search

file-linesCorrosion 2

hashtag
Sobre esta maquina: VulnHub

Sistema Operativo: Linux

Skills Usados:

  • Note: On this machine we have configured an internal network to Pivot to Corrosion 1

  • Web Enumeration

  • Information Leakage + Cracking ZIP File

  • Abusing Tomcat - Creating a malicious WAR file [RCE]

  • Abusing SUID Binary - Reading privileged files

  • Cracking Hashes

  • Manipulating the code of a Python library with incorrectly configured permissions [Privilege Escalation]

  • EXTRA: Pivoting Lab with Corrosion 1

Metodologia:

Escaneo en Nmap:

// 
❯ nmap -p- -n -T5 --open 192.168.1.142

Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-05-05 22:32 EDT
Stats: 0:00:05 elapsed; 0 hosts completed (1 up), 1 undergoing SYN Stealth Scan
SYN Stealth Scan Timing: About 51.76% done; ETC: 22:32 (0:00:05 remaining)
Stats: 0:00:09 elapsed; 0 hosts completed (1 up), 1 undergoing SYN Stealth Scan
SYN Stealth Scan Timing: About 90.67% done; ETC: 22:32 (0:00:01 remaining)
Stats: 0:00:10 elapsed; 0 hosts completed (1 up), 1 undergoing SYN Stealth Scan
SYN Stealth Scan Timing: About 97.08% done; ETC: 22:32 (0:00:00 remaining)
Nmap scan report for 192.168.1.142
Host is up (0.00100s latency).
Not shown: 65533 closed tcp ports (reset)
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
8080/tcp open proxy
MAC Address: 00:0C:29:6C:73:2D (VMware)

Realizamos escaneo de Scripts y versiones:

Vemos que corre por el puerto 80:

Utilizamos Gobuster para encontrar subdominios:

No conseguimos nada, intentaremos por el puerto 8080

Conseguimos un archivo de backups y un txt, los revisamos (captura):

backup.zip.
nota txt.

El readme dice: " Hey randy! It's your System Administrator. I left you a file on the server, I'm sure nobody will find it. Also remember to use that password I gave you."

Ahora intentaremos descomprimir el Backup, pero tiene password, asi que intentaremos crackearlo con jhontheriper:(captura)

Backuo con password.

Ya con el hash obtenido terminamos de realizar un ataque de fuerza bruta para obtener el password en texto claro:

Dentro de tomcat-users encontramos usuario y password de una dministrador en texto claro, username="manager" password="melehifokivai" roles="manager-gui" :

User y password.

Con las credenciales obtenidas intentaremos logearnos: (capturas)

Login por el puerto 8080.
Ingreso al servidor.

Hemos ingresado, ahora crearemos un archivo .war malicioso que nos pueda permitir ganar acceso total al sistema, para esto usaremos msfvenom:

Ya con el payload creado solo debemos subirlo al servidor y ponernos en escucha en el puerto que queramos:

Nos ponemos en escucha por puerto 443.
Subimos el payload .war al servidor.
Confirmamos que este subido.
damos click al payload para que se ejecute.

Lo logramos, estamos dentro, ahora busquemos las flags:

Obtuvimos la primera bandera, pero no somos root y esta maquina en particular esta creada para pivotear hacia otra, así que con un script, intentaremos tener bash dentro del sistema:

Ya tenemos la Bash completa y la flag de randy, pero el sistema no nos deja entrar a jaye, probaremos con las passwords anteriores a ver si hay reutilizacion:

Estamos dentro, en Jaye no encontramos nada tan interesante a excepcion de un binario que nos puede indicar como podemos escalar privilegios:

Con este binario podemos listar los hashes de otros usuarios ,edoamte /etc/shadow para despues crackearlos con John, usando el comando ./look:

Conseguimos el hash de Randy, lo podemos crackear con john:

Con la nueva password nos logeamos por ssh:

Entramos, Ahora el objetivo es escalar privilegios:

Nos damos cuenta que randy puede ejecutar scripts en Python, asi que podemos buscar el origen de la libreria y alterarla para ganar privilegios:

Creamos un Script nuevo para ejecutarlo y ganar privilegios aprovechandonos de la libreria de Origen:

Ejecutamos el Script:

Hemos ganado acceso ahora buscamos la siguiente flag:

Una vez hemos ganado privilegios, intentaremos pivotiar hacia Corrosion 1, para ver como lo lograremos debes irte a ese writeup, esta maquina la damos por terminada.

PreviousICA: 1NextVenom 1

Last updated