# Hackmedaddy

<details>

<summary>Datos</summary>

* **Máquina** -> Hackmedaddy
* **Dificultad** -> Difícil
* **Creador** -> [d1se0](https://github.com/D1se0)

</details>

Como es costumbre, después de desplegar el laboratorio procedemos a hacer un `ping` para verificar conectividad:

```bash
ping -c 1 172.17.02 -R
```

<mark style="color:yellow;">**Resultado**</mark>

```c
PING 172.17.0.2 (172.17.0.2) 56(124) bytes of data.
64 bytes from 172.17.0.2: icmp_seq=1 ttl=64 time=0.145 ms
RR: 	172.17.0.1
		172.17.0.2
		172.17.0.2
		172.17.0.1

--- 172.17.0.2 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 0.145/0.145/0.145/0.000 ms
```

Obtenemos conexión con la maquina victima, y mediante el **TTL** intuimos que estamos frente a una maquina **Linux**, ahora crearemos nuestras carpetas de trabajo mediante el comando `mkt` y nos moveremos a la carpeta `recognition/nmap` para empezar nuestro escaneo:

```bash
nmap -p- --open --min-rate 5000 -sSCV -v -n -Pn -oN targeted.txt 172.17.0.2
```

<mark style="color:yellow;">**Resultado -**</mark><mark style="color:yellow;">**&#x20;**</mark><mark style="color:yellow;">**`targeted.txt`**</mark>

```ruby
# Nmap 7.95 scan initiated Thu May 29 22:13:12 2025 as: nmap -p- --open --min-rate 5000 -sSCV -v -n -Pn -oN targeted.txt 172.17.0.2
Nmap scan report for 172.17.0.2
Host is up (0.0000030s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 05:48:9d:f6:29:e1:dd:c4:f6:18:87:ff:13:15:5a:80 (ECDSA)
|_  256 0a:3d:0d:c3:fe:4e:57:8a:de:1f:5f:3c:8e:92:e9:5b (ED25519)
80/tcp open  http    Apache httpd 2.4.58 ((Ubuntu))
| http-robots.txt: 3 disallowed entries 
|_/FLAG.txt /joomla/* /secret/
| http-methods: 
|_  Supported Methods: GET POST OPTIONS HEAD
|_http-title: HackMeDaddy - Hacking \xC3\x89tico
|_http-server-header: Apache/2.4.58 (Ubuntu)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Read data files from: /usr/bin/../share/nmap
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Thu May 29 22:13:21 2025 -- 1 IP address (1 host up) scanned in 9.25 seconds
```

Solo notamos 2 puertos abiertos, el **22 -> ssh** y el **80 -> http**, el puerto **22** parece seguro por el momento, por lo cual nos centraremos en el puerto **80**, ya `nmap` nos da algunos datos muy interesantes, uno de ellos nos dice que existe un `http-robots.txt` el cual contiene 3 directorios o archivos: `/FLAG.txt`, `/joomla/*` y `/secret/`, como siguiente paso iremos a la web a ver que podemos encontrar:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FuRHZJF5mxBbzGNyXXpbi%2Fhackmedaddy_img_1.png?alt=media&#x26;token=51dd3e44-06a4-4cc3-9a76-e0ee4f596e1f" alt=""><figcaption></figcaption></figure>

> Contenido de la pagina web -> `http://172.17.0.2/`

La página web nos explica 3 fases importantes en el Hacking Ético y nos habla sobre laboratorios simulados, en la primera parte tenemos una especie de `cli` con 2 botones, uno para ejecutar un comando el cual no podemos elegir y el segundo para limpiar la salida de dicho comando, viendo el código fuente de la página podemos apreciar una lista de estos comandos que van apareciendo de forma dinámica cuando presionamos los botones, dicho fragmento de código es el siguiente:

```js
const commands = [
            { command: 'ping -c 1 example.com', output: 'PING example.com (93.184.216.34) 56(84) bytes of data. 64 bytes from 93.184.216.34: icmp_seq=1 ttl=55 time=11.6 ms --- example.com ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 11.619/11.619/11.619/0.000 ms' },
            { command: 'whoami', output: 'root' },
            { command: 'ls -l', output: `total 24
drwxr-xr-x 2 root root 4096 Mar  3 10:00 bin
drwxr-xr-x 3 root root 4096 Mar  3 10:00 boot
drwxr-xr-x 5 root root  340 Mar 31 14:13 dev
drwxr-xr-x 1 root root 4096 Mar 31 14:13 etc
drwxr-xr-x 2 root root 4096 Mar  3 10:00 home
drwxr-xr-x 2 root root 4096 Mar  3 10:00 lib` },
            { command: 'cat README.txt', output: 'd05notfound exploit payload shell bruteforce vulnerability cipher zero-day phishing root port_scan firewall backdoor' },
            { command: 'nmap -sS example.com', output: 'Starting Nmap 7.80 ( https://nmap.org ) at 2024-08-13 12:00 UTC Nmap scan report for example.com (93.184.216.34) Host is up (0.011s latency). Not shown: 998 filtered ports PORT STATE SERVICE 80/tcp open http 443/tcp open https' }
        ];
```

Vemos 5 comandos y hay uno que llama la atención -> `cat README.txt` el cual contiene nombres de posibles directorios o archivos, todo esto lo guardaremos con el mismo nombre `README.txt` en el directorio de trabajo `content`, lo pondremos en forma de lista quedando de la siguiente manera:

<mark style="color:yellow;">**Comando**</mark>

```bash
cat README.txt | tr ' ' '\n' | tee README.txt
```

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FnYUxgsqg6PSgkyI3eS1v%2Fhackmedaddy_img_2.png?alt=media&#x26;token=a44e6d5d-6546-4c38-9f40-79faa03e478e" alt=""><figcaption></figcaption></figure>

Ahora pasaré a ver los directorios y archivos que encontró `nmap`:

* `http://172.17.0.2/robots.txt`

```js
 ######    #####   ######    #####   ######    #####              ##                ##
  ##  ##  ##   ##   ##  ##  ##   ##  # ## #   ##   ##             ##                ##
  ##  ##  ##   ##   ##  ##  ##   ##    ##     #                  #####   ##  ##    #####
  #####   ##   ##   #####   ##   ##    ##      #####              ##      ####      ##
  ## ##   ##   ##   ##  ##  ##   ##    ##          ##             ##       ##       ##
  ##  ##  ##   ##   ##  ##  ##   ##    ##     ##   ##    ##       ## ##   ####      ## ##
 #### ##   #####   ######    #####    ####     #####     ##        ###   ##  ##      ###

User-agent: *
Disallow: /FLAG.txt
Disallow: /joomla/*
Disallow: /secret/
```

En este archivo vemos 2 directorios y un archivo, pero todos nos devuelven un error, así que procedemos a hacer fuzzing con los directorios o archivos de `README.txt`:

<mark style="color:yellow;">**Comando**</mark>

```bash
feroxbuster --url http://172.17.0.2/ -w README.txt
```

> También podemos usar `directory-list-2.3-medium.txt` y encontraremos archivos útiles como: `/flag.txt` e `/info.txt` que nos darás pistas sobre la siguiente salida.

<mark style="color:yellow;">**Salida**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2F4rfKlWu1mHV24k0FHuR2%2Fhackmedaddy_img_3.png?alt=media&#x26;token=b522b24b-29ff-400d-96e7-bb5af7af6a8d" alt=""><figcaption></figcaption></figure>

Hay una salida exitosa -> `http://172.17.0.2/d05notfound/d05notfound.php`, esta pagina web es la siguiente:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FILjOHN40itSWHDsJRBhx%2Fhackmedaddy_img_4.png?alt=media&#x26;token=b138a15d-0a14-49d1-8b95-895a14abb5b5" alt=""><figcaption></figcaption></figure>

Esta pagina contiene 9 secciones, los primeros botones no funcionan y en general solo un botón funciona el cual esta de ultimo, el resto de información de la pagina web no nos es de utilidad, esta ultima nos da la posibilidad de hacer `ping` a una IP dada:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FwjcwWuGIQSZ8yA1WzHy7%2Fhackmedaddy_img_5.png?alt=media&#x26;token=42a3e0b3-cfce-4ed2-bcc6-2583b60f39f8" alt=""><figcaption></figcaption></figure>

Para comprobar esto nos pondremos en escucha por la interfaz `docker0` mediante la herramienta `tcpdump` de la siguiente manera:

<mark style="color:yellow;">**Comando**</mark>

```bash
tcpdump -i docker0 icmp -X
```

> Escribimos nuestra IP -> `172.17.0.1` y ejecutamos en el servidor.

<mark style="color:yellow;">**Salida**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FnZp4hXzZvMPBG6VKofxo%2Fhackmedaddy_img_6.png?alt=media&#x26;token=b41a9dd1-e463-410b-b14f-09a0ec358345" alt=""><figcaption></figcaption></figure>

Como podemos apreciar `tcpdump` detecto una serie de `ping` echos por la IP `172.17.0.2` osea la maquina victima, por lo cual podemos decir que este apartado si es funcional, veamos como podemos aprovecharnos de esto utilizando un proxy, en este caso **Caido**:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FP13bOSAEH0W202OpL28Q%2Fhackmedaddy_img_7.png?alt=media&#x26;token=d1821168-e18c-4a55-b445-4652b2ca65b8" alt=""><figcaption></figcaption></figure>

Ya estando en **Caido** y después de haber creado un proyecto, nos dirigiremos a **Scopes** y agregaremos la IP `172.17.0.2`, quedando de la siguiente manera:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FvfeR0zKOpeNtKFIXrALn%2Fhackmedaddy_img_8.png?alt=media&#x26;token=4b3a2e8f-da04-45e3-bcc7-01ef7119f20e" alt=""><figcaption></figcaption></figure>

Ahora configuraremos un proxy en nuestro explorador, en mi caso usare **FoxyProxy** la IP y puerto son: `127.0.0.1:8080`, luego de conectarlos nos dirigiremos a **Intercept** le agregamos el **Scope** y en el navegador entramos a la web de nuevo, para enviarnos el `ping` otra vez:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FXnWdt8GHqTUUbCSekoGO%2Fhackmedaddy_img_9.png?alt=media&#x26;token=14992e4d-fdbd-44c9-9cf5-7e967c2b75f9" alt=""><figcaption></figcaption></figure>

La parte importante esta al final, veremos un campo llamado `comando`, podremos notar que en este campo se envía la IP a la cual se le va a hacer `ping`, tal vez este campo se añada sin sanitizar la variable, en **Linux** hay varias formas de concatenar comandos, entre ellas tenemos: `&&`, `;` y `|`, los 2 primeros ejecutaran un comando luego de ejecutar el anterior por ejemplo: `&&` podría decirse como, ejecuta este comando y el siguiente, `;` el punto y como se asemeja a un salto de linea para introducir un nuevo comando y el ultimo `|` se utiliza para concatenar comandos, osea ejecuta esto y a lo que salga ejecuta esto otro, aunque este ultimo comando podría no tener nada que ver con el primero, para probar cual de estas opciones son funcionales primero ejecutaremos un servicio en local:

<mark style="color:yellow;">**Comando**</mark>

```bash
php -S 0.0.0.0:80
```

Esto levantara un servidor web utilizando `php`, ahora en la web mandaremos el `ping` nuevamente y al final de la IP agregaremos un `wget` concatenando con las 3 opciones que mencionamos anteriormente una por una, en mi caso funciono la ultima ya que ni `&&` y `;` funcionaron, pero `|` si dio resultado:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2Fc9n5TANOfzZOEcA4LCWW%2Fhackmedaddy_img_10.png?alt=media&#x26;token=20d4aa22-6f52-418d-91fe-12e21b40270c" alt=""><figcaption></figcaption></figure>

<mark style="color:yellow;">**Resultado**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FuVOGjw42HNCXCZQKV8Q8%2Fhackmedaddy_img_11.png?alt=media&#x26;token=d13e1e9a-3b53-476c-b5e8-adac415c3aa1" alt=""><figcaption></figcaption></figure>

> Desde **Caido** en **Response** podremos ver que se envió una conexión a nuestro equipo.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2F4RNZB43QWNOyh9AGOxtR%2Fhackmedaddy_img_12.png?alt=media&#x26;token=7cd575f2-618f-4f17-ac64-aa1029ad8712" alt=""><figcaption></figcaption></figure>

> Y desde la **terminal** podremos observar la conexión que envió la IP victima.

Ahora crearemos un archivo como el siguiente y levantaremos un servidor en `php` de nuevo, este archivo nos enviara una reverse shell una vez sea ejecutado.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FRGgMRx6ntZTxwmTRWxBA%2Fhackmedaddy_img_13.png?alt=media&#x26;token=861e0b24-4f45-4c9e-852d-8bd57d8d02e2" alt=""><figcaption></figcaption></figure>

En la pagina web al hacer `ping` podremos concatenar el siguiente comando de `wget` para descargar `test.sh` y guardarlo en la carpeta `/tmp/`.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FlKdN232B2FfWA3puBLIA%2Fhackmedaddy_img_14.png?alt=media&#x26;token=1f51ca0a-fa6d-4f5a-8ed7-3f8aff3f6eeb" alt=""><figcaption></figcaption></figure>

Al enviar la petición, podremos notar en la **Respuesta** que el archivo se descargo y guardo correctamente en `/tmp/`.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FlxmntFLCcBYVtVit5TOV%2Fhackmedaddy_img_15.png?alt=media&#x26;token=82279197-d70b-46ce-9aa0-cb9e634146d1" alt=""><figcaption></figcaption></figure>

Antes de ejecutar el archivo `test.sh` me pongo en escucha mediante `pwncat-cs` de la siguiente manera:

```js
pwncat-cs :1234
```

Ahora si enviamos la siguiente petición:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FkxrHaZrOtAEIGOwMKC4o%2Fhackmedaddy_img_16.png?alt=media&#x26;token=cef17cbe-ae9e-45be-9a94-a7cff37c7c6a" alt=""><figcaption></figcaption></figure>

Y veremos como obtenemos una reverse shell de la IP `172.17.0.2`

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FWgeMITCHPADzfGfAemnk%2Fhackmedaddy_img_17.png?alt=media&#x26;token=fc221ccb-e748-4440-b66d-2f44aa18a34f" alt=""><figcaption></figcaption></figure>

Con **Ctrl + d** podemos entrar a una terminal totalmente interactiva en la maquina victima y empezar a buscar una forma de escalar privilegios:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FC5h0OCDZ0GePKg1ICn1x%2Fhackmedaddy_img_18.png?alt=media&#x26;token=f7fd3679-5ca9-4394-aede-1036d60aca4e" alt=""><figcaption></figcaption></figure>

Como podemos ver, somos el usuario `www-data` y tenemos la IP `172.17.0.2`, para salir de la terminal y ejecutar módulos de `pwncat-cs` también usamos **Ctrl + d**.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FEvJECADpVKM4EBmsL5O7%2Fhackmedaddy_img_19.png?alt=media&#x26;token=4d86a1aa-362c-45fe-944d-1cd6a42c5c93" alt=""><figcaption></figcaption></figure>

Ahora bien enumerando un poco encontramos esta nota:

> Recordatorio:
>
> Borra mis contraseñas de la agenda, no quiero volver a meter la pata con el jefe.
>
> Por e1i0t

Esta nota nos da una pista de que la contraseña de `e1i0t` esta en un archivo que se llama agenda, y lo encontramos dentro del directorio `documents` para probar si la contraseña se encuentra dentro de este archivo usaremos uno de mis script de Bash, pueden clonarlo y probarlo con el siguiente enlace, [force\_sudo](https://github.com/anonymous-17-03/force_sudo.git), este script toma un nombre de usuario y un fichero con una lista de contraseñas a probar:

```bash
./force_sudo.sh -u usuario -d diccionario.txt
```

Así que pasaremos este archivo a la maquina victima y usaremos `agenda.txt` como diccionario.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2F2OLI4Zg4tjbKkCGWN9jH%2Fhackmedaddy_img_20.png?alt=media&#x26;token=f7c8edce-28a3-47a8-8979-8562784d8170" alt=""><figcaption></figcaption></figure>

Primero vamos al CLI de `pwncat-cs` y usamos el modulo `upload` para subir a la maquina victima el script en la carpeta `/tmp/`, luego entramos de nuevo a la Bash y nos dirigimos a `/tmp/`, lo que aremos ahora es copiar el archivo `agenda.txt` a `/tmp/` y luego ejecutar el script.

> Debemos recordar darle permisos de ejecución al script con `chmod`.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FX3AbEdHg4VmsieORuUW2%2Fhackmedaddy_img_21.png?alt=media&#x26;token=8fd1193b-d1cc-47a5-972f-4cbd17ada833" alt=""><figcaption></figcaption></figure>

Y como podemos apreciar en la imagen, la contraseña que encontró el script es `eliotelmejor`, ahora hay que seguir buscando como elevar nuestros privilegios o migrar a otro usuario.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FTVzMWY6Y7eL0CPVFXPrI%2Fhackmedaddy_img_22.png?alt=media&#x26;token=df9b1b34-3e2f-4df9-b70b-479002e6814c" alt=""><figcaption></figcaption></figure>

Enumerando un poco ya sea de forma manual o con los módulos de `pwncat-cs` encontramos que el usuario `e1i0t` puede ejecutar `/bin/find` sin contraseña como el usuario `an0n1mat0`, podemos usar `searchbins` para saber como aprovecharnos de esto:

```bash
searchbins -b find -f sudo
```

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FgWJHISXtBRlLGi2h7eeB%2Fhackmedaddy_img_22.png?alt=media&#x26;token=3719b34e-55bb-47e1-b4e7-dd4ce3b407ca" alt=""><figcaption></figcaption></figure>

Lo modificaremos un poco y ejecutaremos:

```bash
sudo -u an0n1mat0 find . -exec /bin/bash \; -quit
```

<mark style="color:yellow;">**Resultado**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2F4AEGyEDMHmyIR3qSZcGM%2Fhackmedaddy_img_24.png?alt=media&#x26;token=c1d7ccb3-4b2e-4bf8-ad3b-aa7c687202a1" alt=""><figcaption></figcaption></figure>

De tal forma que ahora somos `an0n1mat0`, en la carpeta `/home/` de este usuario podemos encontrar una nota que nos dice:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2Fkgsx21FCaPjQz61ScRqJ%2Fhackmedaddy_img_25.png?alt=media&#x26;token=a24f4131-e01f-4602-b953-c24bf173c6cd" alt=""><figcaption></figcaption></figure>

> El jefe me dijo que pronto te quitará los privilegios para poder acceder a tu carpeta secreta.

En la `/home/` del mismo usuario no tenemos ninguna carpeta que llame la atención, pero en la raíz del sistema si tenemos una carpeta sospechosa llamada `secret`:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FfkgpjpQw4gC7oYvWFfjZ%2Fhackmedaddy_img_26.png?alt=media&#x26;token=b49a64e2-a5d5-4ad5-8016-11058ae8d488" alt=""><figcaption></figcaption></figure>

En esta carpeta encontramos un archivo con nombre `confidencial.txt` el cual dice:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FebqKMfvLg8Mqzf6vT9mZ%2Fhackmedaddy_img_27.png?alt=media&#x26;token=17461467-8746-45e4-a700-e1a98592b541" alt=""><figcaption></figcaption></figure>

> Hay un archivo super secreto que nadie más que el jefe debe leer, porque hay algunas contraseñas de usuario.
>
> Tienes que mover el archivo `passwords_users.txt` a un lugar más seguro.

Usaremos `find` para buscar donde se encuentra dicho archivo:

```bash
find / -name passwords_users.txt 2>/dev/null
```

<mark style="color:yellow;">**Resultado**</mark>

```js
/usr/local/bin/passwords_users.txt
```

Copiaremos este archivo a `/tmp/`, el contenido es el siguiente:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2F6pSKufb1UGHYZTSW5kPf%2Fhackmedaddy_img_28.png?alt=media&#x26;token=c8788c31-3c88-4d18-9597-20685a873166" alt=""><figcaption></figcaption></figure>

> **Contraseñas de usuario:**
>
> **e1i0t:** eliotelmejor **an0n1mat0:** XXyanonymous **root:** root
>
> Hay algunas contraseñas desactualizadas, pero no recuerdo la contraseña completa de **an0n1mat0**, solo sé que donde los dos...

Tenemos algunas contraseñas, por ejemplo la de `e1i0t` ya la tenemos y probando nos damos de cuenta que la de `root` no es la que aparece hay, ademas de que la nota nos dice que hay contraseñas desactualizadas, ahora bien, la nota también nos menciona o nos da la pista sobre la contraseña de `an0n1mat0` la cual esta incompleta, nos hace una pequeña referencia para completar los 2 caracteres donde van las 2 **XX**, usaremos la siguiente herramientas para generar un diccionario y hacer fuerza bruta con el:

```bash
crunch 12 12 abcdefghijklmnopqrstuvwxyz -o diccionario.txt -t @@yanonymous
```

<mark style="color:yellow;">**Resultado**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2Fz3BBKmJ4zqvAeGR9fUp8%2Fhackmedaddy_img_29.png?alt=media&#x26;token=004847db-f29b-4785-870a-e1cb7e72c039" alt=""><figcaption></figcaption></figure>

Ahora pasaremos este diccionario a la maquina victima en el directorio `/tmp/` y procederemos a ejecutar nuevamente el script `force_sudo.sh` usando este diccionario que acabamos de crear.

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FpcMlKkQYDnYyYqLsEvaq%2Fhackmedaddy_img_30.png?alt=media&#x26;token=c72144bb-f923-4dd9-9a9c-64f456dbb849" alt=""><figcaption></figcaption></figure>

Ahora que hemos obtenido la contraseña del usuario `an0n1mat0` podemos ejecutar comandos como `sudo -l`:

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FsQ7mhgdzTeQfvv3U90m0%2Fhackmedaddy_img_31.png?alt=media&#x26;token=52fd1889-7a6b-410d-a8ce-1fd5983f648f" alt=""><figcaption></figcaption></figure>

Y efectivamente podemos ejecutar `php` como **root** sin contraseña, nuevamente usaremos `searchbins` para saber como aprovecharnos de esto:

```bash
searchbins -b php -f sudo
```

<mark style="color:yellow;">**Resultado**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FDFhOO141b7L5u0nDQZ7X%2Fhackmedaddy_img_32.png?alt=media&#x26;token=b63232e0-2759-4931-8384-1abe82db7c9c" alt=""><figcaption></figcaption></figure>

Procedemos a ejecutar los siguientes comandos:

```bash
CMD="/bin/bash"
sudo php -r "system('$CMD');"
```

<mark style="color:yellow;">**Resultado**</mark>

<figure><img src="https://2363760337-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOLXdCb8C04srrgLFNO0L%2Fuploads%2FAUhZVZXhcEnhuFrhu6kg%2Fhackmedaddy_img_33.png?alt=media&#x26;token=56e05698-47c6-47d8-9b3a-a2a5c3f826b7" alt=""><figcaption></figcaption></figure>

Con este ultimo paso logramos obtener los máximos privilegios en el sistema.
