> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Guía de HackTheBox Delivery Guía de la máquina HackTheBox Delivery Fácil Linux que cubre enumeración de hosting virtual, abuso del sistema de tickets de soporte, acceso a MatterMost, fuga de información, con enumeración práctica, explotación, {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración de alojamiento virtual * Abusando del sistema de tickets de soporte * Acceso a MatterMost * Filtración de información * Enumeración de base de datos - MYSQL * Cracking de hashes * Jugando con reglas de hashcat para crear contraseñas * Jugando con sucrack para averiguar la contraseña de un usuario {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.
**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```
**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22,80,8085)
**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```
### Puerto 80:
**Identificación de información con WhatWeb:** Al ejecutar WhatWeb se revela un usuario **jane** con la dirección de correo electrónico ****. ```bash whatweb 10.10.10.222 ```
También encontramos un dominio **delivery.htb** y un subdominio **helpdesk.delivery.htb**.
**Configuración del archivo /etc/hosts** Añadimos la dirección IP del objetivo a nuestro `/etc/hosts` archivo para facilitar las resoluciones DNS locales.
## **Centro de soporte - HelpDesk :** El `helpdesk.delivery.htb` El subdominio permite crear tickets de soporte. Estamos intentando crear una cuenta con la siguiente información:
**Apertura de un ticket** * `jordan@delivery.com`
Se abre un nuevo ticket, y recibimos un correo electrónico que contiene un identificador: * **Correo electrónico** : <7990131@delivery.htb> * **ID del ticket**: 7990131
Al comprobar el ticket, usamos nuestra propia dirección de correo electrónico (****), aunque no lo creamos, así como el número del ticket recibido (**7990131**).
Esto nos permite acceder al buzón asociado.
### Puerto 8065 - Mattermost **Descubrimiento de Mattermost:** Puerto **8065** alberga un **Mattermost** CMS.
**Intentando crear una cuenta:** Intentamos crear una cuenta, luego usamos la dirección de correo electrónico: <7990131@delivery.htb> nombre: jordan1 contraseña Jordan1234#
Recibimos un mensaje de verificación que contiene un **token** para activar la cuenta:
{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}
Después de la validación, nos conectamos con nuestras credenciales y accedemos al panel de gestión de Mattermost **de administración**.
**Recuperación de credenciales** En el **"Cambiar canales"** sección encontramos un mensaje que contiene un nombre de usuario y una contraseña: * **Nombre de usuario**: `maildeliverer` * **Contraseña**: Youve/\_G0t/\_Mail!
Entonces intentamos una conexión SSH con estas credenciales: ```bash ssh maildeliverer@delivery.htb ```
### Bandera user.txt :)
## **Escalada de privilegios** Nos dirigimos a la raíz del sistema, en la `/var/www/html/osticket` carpeta, y filtramos por la palabra **contraseña**: ```bash grep -ir "password" ``` No encontramos nada interesante. Ahora buscaremos información para **Mattermost** filtrando los procesos en ejecución: ```bash ps -faux ```
Observamos que Mattermost está instalado en `/opt` y encontramos un **config.json** .
Al abrirlo, descubrimos credenciales para la base de datos SQL:
* Nombre de usuario: `mmuser` * Contraseña: `Crack_The_MM_Admin_PW` ### Conectándose a MySQL Usamos estas credenciales para conectarnos a la base de datos: ```bash mysql -u mmuser -p ``` Listamos las bases de datos: ```sql show databases; use mattermost ```
Enumeramos las tablas disponibles y describimos la estructura de la **Usuarios** tabla: ```sql show tables; describe Users; ```
Por último, seleccionamos la **Nombre de usuario** y **Contraseña** columnas: ```sql select Username, Password from Users; ``` Entonces encontramos el **hash de la contraseña de root:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`
### 1. Fuerza bruta - hash Usamos **hashid** para identificar el tipo de hash: ```bash hashid hash ```
El hash se identifica como **bcrypt**. Con **John the Ripper**, lanzaremos un ataque de fuerza bruta especificando el **bcrypt** formato: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` Sin embargo, no funciona con **rockyou.txt**, no se encontró ninguna contraseña.
Al observar el chat grupal, notamos que dicen directamente que la contraseña **"PleaseSubscribe!"** está reutilizada. Esta contraseña no aparece en **rockyou.txt**, pero un hacker podría usar **hashcat** para generar variaciones.
### Variantes de contraseña - Hashcat **Generación de variantes con Hashcat** Con **hashcat**, crearemos variaciones de la contraseña: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```
Luego intentaremos descifrar el hash usando **hashcat** y el nuevo diccionario: ```bash hashcat -m 3200 -a 0 hash passwords ``` La contraseña encontrada es: **PleaseSubscribe!21**
### 2. Fuerza bruta sobre "su" - sucrack Lanzaremos un ataque contra **su**: ```bash sucrack -w 20 -u root passwords ```
Nos indica que la contraseña es correcta: **PleaseSubscribe!21** Iniciamos sesión correctamente como **root**.
### Bandera root.txt :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.