> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/upload.md).
# Upload
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Upload** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para extraer los archivos:
```bash
7z x upload.zip
```
#### **1.3. Ejecución**
Desplegamos el entorno con el script proporcionado:
```bash
bash auto_deploy.sh upload.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` para confirmar que la máquina está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
Encontramos el puerto **80** abierto, ejecutando un servicio HTTP.
#### **2.3. Escaneo detallado**
Realizamos un escaneo más exhaustivo del puerto abierto:
```bash
nmap -p80 -sCV 172.17.0.2 -oN targeted
```
Identificamos que se trata de un servidor Apache 2.4.52 en Ubuntu, mostrando una página titulada "Upload here your file".
#### **2.4. Enumeración web**
Al acceder al puerto 80 a través del navegador (`http://172.17.0.2/`), observamos un formulario para subir archivos.
#### **2.4.1. Enumeración de directorios y archivos**
Realizamos un ataque de fuerza bruta para encontrar directorios y archivos ocultos:
```bash
gobuster dir -u http://172.17.0.2 -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,html
```
Entre los resultados, el directorio más relevante es `/uploads`.
### **3. Explotación**
#### **3.1. Preparación de una reverse shell**
Utilizamos [revshells.com](https://www.revshells.com/) para generar un código PHP de reverse shell (PentestMonkey) y lo guardamos en un archivo en nuestra máquina.
#### **3.2. Subida del archivo malicioso**
Subimos el archivo PHP con la reverse shell a través del formulario web.
El sistema nos confirma que el archivo se ha subido correctamente.
#### **3.3. Acceso al directorio de subidas**
Accedemos al directorio donde se almacenan los archivos subidos (`http://172.17.0.2/uploads/`).
Allí vemos nuestro archivo malicioso.
#### **3.4. Ejecución de la reverse shell**
Preparamos nuestro listener con `netcat`:
```bash
nc -nvlp 123
```
Al hacer clic en nuestro archivo PHP en el navegador, la página se queda cargando, pero recibimos una conexión en nuestro listener, obteniendo así una shell en el sistema.
### **4. Escalada de privilegios**
#### **4.1. Verificación de privilegios**
Ejecutamos `sudo -l` para verificar qué privilegios tenemos.
**Resultado:** Podemos ejecutar `/usr/bin/env` como `root` sin necesidad de contraseña:
```bash
(root) NOPASSWD: /usr/bin/env
```
#### **4.2. Explotación con GTFOBins**
Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/env/) y encontramos la siguiente forma de escalar privilegios:
```bash
sudo env /bin/sh
```
Al ejecutar este comando, obtenemos una shell como `root`, completando así la explotación de la máquina.
