# Twisted

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FQ541IlHVXQmtiD2bIlBw%2Fimage.png?alt=media&#x26;token=75ac437e-cb6c-4b4b-a757-3979f3e95e57" alt=""><figcaption></figcaption></figure>

## `Fase de reconocimiento`

### `Nmap`

`Comenzamos con un escaneo de nmap como de costumbre y encontramos los siguientes puertos abiertos:`

* `80 HTTP`
* `2222 SSH`

`nmap -p- -sSVC --min-rate 10000 -Pn 192.168.8.112`&#x20;

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2Faz3fGTE0Tw63w3DIR0BH%2Fimage.png?alt=media&#x26;token=a44e6146-3ef3-4f7c-a725-7c27d768eed7" alt=""><figcaption></figcaption></figure>

`En la página web encontramos dos imágenes de gatos, y me llama la atención el ultimo gato ya que dice que parece diferente, quizás tiene algo escondido en su interior que podríamos extraer con herramientas de escenografía:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2Fc8I4pfnHDJv6eCuSaU78%2Fimage.png?alt=media&#x26;token=b9481ef5-013b-4dbb-858f-e135313b0451" alt=""><figcaption></figcaption></figure>

## `Fase de intrusión`

### `Gobuster ❌`

`Hago fuzzing con gobuster para encontrar posibles directorios o archivos pero no encuentro nada relevante:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FLtLjxVKGAJ0HWPZ01QnX%2Fimage.png?alt=media&#x26;token=28cc1dc6-7514-4f63-b340-2b4848d14754" alt=""><figcaption></figcaption></figure>

`Vamos al tajo! Probablemente las imágenes como bien he dicho previamentes contengan algo en su interior, así que voy a descargar ambos para analizarlos:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FG2PDYhhuHqgG3Nvt81kq%2Fimage.png?alt=media&#x26;token=8141c0af-d40b-47d5-a412-b138b7ed21a5" alt=""><figcaption></figcaption></figure>

### `Exiftool ❌`

`Exiftool sirve para revisar los metadatos pero no encontramos nada, útil en cambio...`

### `Stegseek`&#x20;

`Con stegseek encontramos en ambas imágenes información bastante relevante:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F0MUTEBYKBw1kwxE4vJG9%2Fimage.png?alt=media&#x26;token=bd16827f-327d-44ce-a63d-d98279cf1442" alt=""><figcaption></figcaption></figure>

`El output de las imágenes es el siguiente:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FtDA0VR79GWhu9kwKvBJ9%2Fimage.png?alt=media&#x26;token=c28e0584-bffe-49cb-bffa-30315fef32df" alt=""><figcaption></figcaption></figure>

## `Escalada de privilegios`

### `SSH`

`Con los credenciales obtenidos del cat-hidden podemos iniciar sesión por el puerto SSH (2222) como mateo, no podemos ver nada muy relevante así que iniciamos sesión como markus usando los credenciales obtenidos del cat-original:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2Ffs3Iq1cePy3mvWzcnkLQ%2Fimage.png?alt=media&#x26;token=f7c67727-98cb-4b27-bbf8-482c9982ae4d" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FFRNPMbbbtzfSalUDDdiS%2Fimage.png?alt=media&#x26;token=d3cbeafd-9a68-42ea-ad34-707c46837e4c" alt=""><figcaption></figcaption></figure>

`En el directorio /home de markus podemos encontrar una nota bastante relevante, la cual nos indica la existencia de una key para bonita, esto es relevante ya que el usuario bonita tiene cosas interesantes en su directorio de /home`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F7KS3END31ny8GH9zZ2X2%2Fimage.png?alt=media&#x26;token=528cab48-6053-4410-87de-36124927ba9e" alt=""><figcaption></figcaption></figure>

### `Linpeas`

`Pero hay un inconveniente, no podemos abrir el dicho archivo ya que solo root lo puede hacer, esto me lleva a la importación de linpeas para encontrar información más relevante, y lo que más me llama la atención son las capabilities:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FaNcN4rQILUmXTxBwxudm%2Fimage.png?alt=media&#x26;token=c33801b9-f2dd-4629-83c2-e022ca306fe5" alt=""><figcaption></figcaption></figure>

`Lo que me interesa de aquí son las capabilities de tail, ya que si pudiera emplearlo para leer archivos, conseguiría obtener la id_rsa de bonita:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FRUWpUc5C30or9hJBiQnU%2Fimage.png?alt=media&#x26;token=a77e270c-9774-4076-860c-f38722a2d05d" alt=""><figcaption></figcaption></figure>

`De esta manera conseguimos leer la id_rsa de bonita:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F4YCoUX3hkfyj95rF9mVP%2Fimage.png?alt=media&#x26;token=dda414ec-0db8-401a-aeb6-d742f8c0c2e6" alt=""><figcaption></figcaption></figure>

`Nos copiamos la key a nuestra máquina atacante y le damos permisos, y accedemos a el ssh de bonita:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F88aCnZkhD0i48NeBwrXO%2Fimage.png?alt=media&#x26;token=6f4f46fd-fb30-4a41-b6cb-141d28f92cd2" alt=""><figcaption></figcaption></figure>

### `Decompilación del binario`

`Dentro del directorio de bonita encontramos algo que me lleva llamando la atención desde que entre como mateo y es el beroot, el cual es un binario, nunca he tratado con decompilación de binarios, así que investigando un poco descubro que se puede decompilar su interior con algunas aplicaciones para ver más o menos lo que hace (`[`Web`](https://dogbolt.org)`):`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F3lwUihyiu5LS0i4WMlyW%2Fimage.png?alt=media&#x26;token=44ac1193-acdd-4b26-bf69-b4974ce2c252" alt=""><figcaption><p>Parece ser que si el valor introducido NO ES IGUAL A 0x16f8 es incorrecto</p></figcaption></figure>

`5880 es 0x16f8 en Hex:`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FjULUBY4OcM2nIpes0b5G%2Fimage.png?alt=media&#x26;token=c63b7c75-d49f-477f-b9db-2342707772ff" alt=""><figcaption></figcaption></figure>

`Corremos el binario con el decimal proporcionado y obtenemos root!`

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FtGCIJ33bahNrcfknxfE7%2Fimage.png?alt=media&#x26;token=5bcf146b-9a98-48f7-999e-f05fd38a88c1" alt=""><figcaption></figcaption></figure>

## Conclusión

`En esta máquina, logramos la intrusión y escalada de privilegios aprovechando varias debilidades:`

* `Con herramientas de escenografía como`` `**`stegseek`**` ``encontramos credenciales validos para el`` `**`SSH`**
* `Nos aprovechamos de las`` `**`capabilities`**` ``de`` `**`tail`**
* `Descompilamos un binario para descubrir su interior con`` `**`Dogbolt`**

`En lo personal me ha parecido una máquina bastante entretenida donde he aprendido cosas nuevas, 100% recomendada para novatos como yo en el hacking web!`
