# Debugsec

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FHxAzHJJg6hdnN27RsScs%2Fimage.png?alt=media&#x26;token=5ff8b507-f978-4c1c-b7a2-4eb7a99afb6b" alt=""><figcaption></figcaption></figure>

## Fase de reconocimiento

Primero iniciamos con un escaneo de nmap, encontramos los puertos 22 (ssh) y 80 (http) abiertos, y despues lanzamos un whatweb para ver que tenemos en el puerto 80 y nos da error, vamos a añadir a /etc/hosts la IP y el dominio, en este caso "debugsec.thl"

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FjuSK7Rmbi6aKpodeakKB%2Fimage.png?alt=media&#x26;token=e76378f2-089f-4005-a568-b7d7a65a2e29" alt=""><figcaption></figcaption></figure>

```
nmap -sSVC -Pn -min-rate 5000 -vvv -open IP
```

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FeWAZfvfCMnj2gyyzMFBn%2Fimage.png?alt=media&#x26;token=7c05f534-fcc0-4469-bed7-0e41e56597fe" alt=""><figcaption></figcaption></figure>

Vamos a ver que hay adentro de la pagina (si no os carga y os va a buscar los resultados envede la pagina web, teneis que poner explicitamente "<http://debugsec.thl>", lo digo porque yo cuando empece tenia muchos errores en los write-ups no lo explicaban bien para los nuevos)

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2Fv8FWIJrTiXQ6YKcZ5een%2Fimage.png?alt=media&#x26;token=196d1038-77e5-42cb-8e89-e826f4751819" alt=""><figcaption></figcaption></figure>

## Fase de intrusión

Nos enfrentamos a un wordpress, asi que vamos a hacer uso de la herramienta wpscan en busqueda de plugins vulnerables, y nos encontramos un plugin vulnerable, busco en google y encuentro en github un exploit en .py

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FVtLXwbj9IMw6aVvDwmXx%2Fimage.png?alt=media&#x26;token=ae84df16-e4da-40e5-8939-5b1cf518d062" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FXTluBpc7RY6L6lVMHO0M%2Fimage.png?alt=media&#x26;token=31ccf0c3-fcbc-4216-a280-80fb8343d76b" alt=""><figcaption></figcaption></figure>

```
wpscan --url debugsec.thl
```

Lo descargamos y editamos el parametro de url

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FEuwsxu4r2K8GDodOxs7D%2Fimage.png?alt=media&#x26;token=1c25d975-4a25-4a00-b2d3-253193d806f0" alt=""><figcaption><p>(git clone URL)</p></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FxLzh4kPELS48AxQQChpH%2Fimage.png?alt=media&#x26;token=c68dea11-aedc-416a-a419-4c5ed2e67f33" alt=""><figcaption></figcaption></figure>

Ya hemos obtenido el hash, ahora vamos a desencriptarlo con hashcat o tambien lo podemos hacer con john, a mi me ha ido mucho mas rapido con john

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F8Au9YiCUiwgYAutLXZYk%2Fimage.png?alt=media&#x26;token=19af459a-3e6d-4909-a866-cc2f1268daba" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FWxeBjlr1V42OobQIx0nv%2Fimage.png?alt=media&#x26;token=14f1c336-c36e-4794-bc68-3cf98cf92e6a" alt=""><figcaption></figcaption></figure>

Iniciamos sesion en "wp-admin" wordpress:mcartney

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FbiOdoRdlx0RnCN245S7v%2Fimage.png?alt=media&#x26;token=b47cec9c-db2d-44f8-ace1-0396ff296938" alt=""><figcaption></figcaption></figure>

Ahora he intentado cambiar algun .php para añadir un cmd pero no me deja, voy a subir una revershell como si fuera un plugin, para hacer esto hare uso de la herramienta wordpwn, este exploit hace uso de un modulo de metasploit, asi que tambien podrias hacer solo uso de metasploit para obtener shell. El codigo de github que he descargado no me funciona, asi que voy a directamente usar el metasploit y me quito de rollos jajajaj.

Abrimos metasploit con "msfconsole" y buscamos el modulo

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FEZ6uUcP7fwkRWlPUmhWT%2Fimage.png?alt=media&#x26;token=faec340a-eab8-46a9-9ac9-6bd9042ba88c" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2F7AUKKsTczu8x5Rgu8gIj%2Fimage.png?alt=media&#x26;token=6c770cbb-8caf-4db5-80ee-920e8dff7fe1" alt=""><figcaption></figcaption></figure>

Introducimos "options" y configuramos las opcciones haciendo uso de "set", ejemplo "set PASSWORD mcarney"

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FBJdX5pupM1w9XgvJL7DZ%2Fimage.png?alt=media&#x26;token=56d067e8-d96c-4003-9f27-6b9c05037e5f" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FrJbE5WC7cYVJlqOe9nEx%2Fimage.png?alt=media&#x26;token=e378417b-95de-4725-aaea-02ff34431c7c" alt=""><figcaption><p>(Revisamos los usuarios)</p></figcaption></figure>

Si navegamos a /opt podemos encontrar un id\_rsa, lo pasamos a nuestra maquina atacante, ahora vamos a pasar con ssh2john el hash y con john vamos a proporcionarle el rockyou y el hash

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FPy21OKjUsFrsv8ywpObw%2Fimage.png?alt=media&#x26;token=4c7a7fff-d919-4435-a9b9-9f2759fca772" alt=""><figcaption></figcaption></figure>

Con la contraseña que hemos obtenido, vamos a iniciar sesion por el puerto ssh (22), el cual antes en el escaneo de nmap vimos que estaba abierto, como decia, vamos a inciar sesion haciendo uso del id\_rsa y la contraseña q hemos conseguido con john.

Antes de iniciar sesion debemos darle permisos 600 al id\_rsa

## Escalación de privilegios

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FaLVy3PNbuYMon5cvY9i6%2Fimage.png?alt=media&#x26;token=2d89bdc0-7c3c-49a8-bbf1-cb129960751f" alt=""><figcaption></figcaption></figure>

Hacemos un sudo -l que nos releva que root puede ejecutar gmic

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FdNE9t4iH1a1bVKF54b19%2Fimage.png?alt=media&#x26;token=69205a7b-04ed-4dd8-96d5-8ffaa0f42a00" alt=""><figcaption></figcaption></figure>

Ejecutamos este comando y hubieramos conseguido root

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FYpdKzxPjYAGgxAOKSOhW%2Fimage.png?alt=media&#x26;token=46c66b2c-3e8a-4a59-8263-3e7f6b52b55d" alt=""><figcaption></figcaption></figure>

Las flags como siempre estan en /root y /home/user (en este caso debugsec)

<figure><img src="https://2216970731-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FgI96Zsgdt6Oh2PlOLDwP%2Fuploads%2FgTxz0MWtjZUszQAhJiaC%2Fimage.png?alt=media&#x26;token=366f81d9-5ca0-450f-b23c-5d1c82479a3c" alt=""><figcaption></figcaption></figure>
