BorazuwarahCTF

Reconocimiento

Realizaremos la primera fase del reconocimiento utilizando la herramienta Nmap, con los siguientes parámetros:

sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG AllPorts

sudo nmap -sC -sV -p22,80 172.17.0.2 -oN Targeted

Actualmente, tenemos dos servicios expuestos: el puerto 22 para SSH y el puerto 80 para HTTP, ejecutando Apache en su versión 2.4.59. Por ahora, no disponemos de credenciales para acceder al puerto 22 SSH. Vamos a centrar nuestra atención en verificar el puerto 80 HTTP.

De momento, solo nos encontramos con la siguiente imagen. Al revisar el código fuente, encontramos un fragmento de código HTML que describe una estructura básica de una página web con una imagen.

Realizaremos fuzzing web para buscar directorios ocultos. Si no encontramos nada relevante, aplicaremos técnicas de esteganografía para analizar la imagen en busca de información oculta.

gobuster dir -u http://172.17.0.2 -w /usr/share/seclists/Discovery/Web-Content/directory-list-lowercase-2.3-medium.txt -x php,html,txt --no-error

Como era de suponer, no encontramos nada relevante al realizar fuzzing web. Procederemos a aplicar técnicas de esteganografía sobre la imagen.

Utilizaremos la herramienta steghide con los siguientes parámetros:

steghide --extract -sf imagen.jpeg

Hemos extraído un archivo de texto que contiene una pista específica. A continuación, verificaremos los metadatos de la imagen para ver si encontramos información adicional.

exiftool imagen.jpeg

Dentro de los metadatos de la imagen, encontramos el nombre de usuario con la contraseña vacía. Realizaremos un ataque de fuerza bruta con Hydra al protocolo SSH, utilizando el nombre de usuario descubierto.

hydra -l borazuwarah -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2 -t 64

Logramos obtener una contraseña "robusta" mediante el ataque de fuerza bruta. Con esta información, accedemos al sistema a través del protocolo SSH expuesto.

Explotación

Accedemos al sistema como el usuario "Borazuwarah" y procedemos a la siguiente fase de escalada de privilegios. Ejecutamos el comando sudo -l y verificamos que el usuario "Borazuwarah" puede ejecutar el binario /bin/bash como root sin proporcionar una contraseña.

Escalada de Privilegios

sudo -u root /bin/bash

Conclusiones

La investigación de los metadatos de una imagen reveló información adicional que facilitó la obtención de una contraseña realizando el ataque de fuerza bruta con Hydra. Finalmente, al ejecutar el comando sudo -l, confirmamos que el usuario "Borazuwarah" puede ejecutar /bin/bash como root sin necesidad de contraseña, lo que permite una escalada de privilegios completa.