> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Resolución de HackTheBox Delivery {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración de hosting virtual * Abusando del sistema de tickets de soporte * Acceso a MatterMost * Fuga de información * Enumeración de base de datos - MYSQL * Cracking de hashes * Jugando con reglas de hashcat para crear contraseñas * Jugando con sucrack para descubrir la contraseña de un usuario {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22,80,8085)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### Puerto 80:

**Identificación de información con WhatWeb:** Al ejecutar WhatWeb se revela un usuario **jane** con la dirección de correo electrónico ****. ```bash whatweb 10.10.10.222 ```

También encontramos un dominio **delivery.htb** y un subdominio **helpdesk.delivery.htb**.

**Configuración del archivo /etc/hosts** Añadimos la dirección IP del objetivo a nuestro `/etc/hosts` archivo para facilitar las resoluciones DNS locales.

## **Centro de soporte - HelpDesk :** El `helpdesk.delivery.htb` El subdominio permite crear tickets de soporte. Estamos intentando crear una cuenta con la siguiente información:

**Apertura de un ticket** * `jordan@delivery.com`

Se abre un nuevo ticket y recibimos un correo que contiene un identificador: * **Correo electrónico** : <7990131@delivery.htb> * **ID del ticket**: 7990131

Al consultar el ticket, usamos nuestra propia dirección de correo electrónico (****), aunque no lo creamos nosotros, así como el número del ticket recibido (**7990131**).

Esto nos permite acceder al buzón asociado.

### Puerto 8065 - Mattermost **Descubrimiento de Mattermost:** Puerto **8065** alberga un **Mattermost** CMS.

**Intentando crear una cuenta:** Estamos intentando crear una cuenta, luego usamos la dirección de correo electrónico: <7990131@delivery.htb> nombre: jordan1 contraseña Jordan1234#

Recibimos un mensaje de verificación que contiene un **token** para activar la cuenta:

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

Tras la validación, nos conectamos con nuestras credenciales y accedemos a Mattermost **panel de administración**.

**Recuperación de credenciales** En el **"Switch Channels"** encontramos un mensaje que contiene un nombre de usuario y una contraseña: * **Nombre de usuario**: `maildeliverer` * **Contraseña**: Youve/\_G0t/\_Mail!

Luego intentamos una conexión SSH con estas credenciales: ```bash ssh maildeliverer@delivery.htb ```

### Bandera user.txt :)

## **Escalada de privilegios** Nos dirigimos a la raíz del sistema, en la `/var/www/html/osticket` carpeta, y filtramos por la palabra **contraseña**: ```bash grep -ir "password" ``` No encontramos nada interesante. Ahora buscaremos información sobre **Mattermost** filtrando los procesos en ejecución: ```bash ps -faux ```

Observamos que Mattermost está instalado en `/opt` y encontramos un **config.json** archivo.

Al abrirlo, descubrimos credenciales para la base de datos SQL:

* Nombre de usuario: `mmuser` * Contraseña: `Crack_The_MM_Admin_PW` ### Conectando a MySQL Usamos estas credenciales para conectarnos a la base de datos: ```bash mysql -u mmuser -p ``` Listamos las bases de datos: ```sql show databases; use mattermost ```

Listamos las tablas disponibles y describimos la estructura de la **Users** tabla: ```sql show tables; describe Users; ```

Finalmente, seleccionamos las **Nombre de usuario** y **Contraseña** columnas: ```sql select Username, Password from Users; ``` Luego encontramos el **hash de la contraseña de root:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. Fuerza bruta - Hash Usamos **hashid** para identificar el tipo de hash: ```bash hashid hash ```

El hash se identifica como **bcrypt**. Con **John the Ripper**lanzaremos un ataque de fuerza bruta especificando el **bcrypt** formato: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` Sin embargo, no funciona con **rockyou.txt**, no se encontró ninguna contraseña.

Al observar el chat grupal, notamos que dicen directamente que la contraseña **"PleaseSubscribe!"** se reutiliza. Esta contraseña no aparece en **rockyou.txt**, pero un hacker podría usar **hashcat** para generar variaciones.

### Variantes de contraseña - Hashcat **Generación de variantes con Hashcat** Con **hashcat**, crearemos variaciones de la contraseña: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

Luego intentaremos descifrar el hash usando **hashcat** y el nuevo diccionario: ```bash hashcat -m 3200 -a 0 hash passwords ``` La contraseña encontrada es: **¡Por favor, suscríbete!21**

### 2. Fuerza bruta en "su" - sucrack Lanzaremos un ataque contra **su**: ```bash sucrack -w 20 -u root passwords ```

Nos dice que la contraseña es correcta: **¡Por favor, suscríbete!21** Iniciamos sesión correctamente como **root**.

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.