search
GithubHTB ProfileTHM Profile

linuxAceituno

hashtag
Enumeration

Vamos a empezar con un escaneo nmap:

┌──(pylon㉿kali)-[~/…/pylon/THL/Aceituno/nmap]
└─$ nmap -p- --open -sS --min-rate=5000 -n -Pn -vvv 192.168.44.138
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-21 19:24 CEST
Initiating ARP Ping Scan at 19:24
Scanning 192.168.44.138 [1 port]
Completed ARP Ping Scan at 19:24, 0.04s elapsed (1 total hosts)
Initiating SYN Stealth Scan at 19:24
Scanning 192.168.44.138 [65535 ports]
Discovered open port 80/tcp on 192.168.44.138
Discovered open port 443/tcp on 192.168.44.138
Discovered open port 22/tcp on 192.168.44.138
Discovered open port 3306/tcp on 192.168.44.138
Completed SYN Stealth Scan at 19:24, 1.02s elapsed (65535 total ports)
Nmap scan report for 192.168.44.138
Host is up, received arp-response (0.00068s latency).
Scanned at 2025-07-21 19:24:48 CEST for 1s
Not shown: 65531 closed tcp ports (reset)
PORT     STATE SERVICE REASON
22/tcp   open  ssh     syn-ack ttl 64
80/tcp   open  http    syn-ack ttl 64
443/tcp  open  https   syn-ack ttl 64
3306/tcp open  mysql   syn-ack ttl 64
MAC Address: 00:0C:29:C2:BF:29 (VMware)

Read data files from: /usr/share/nmap
Nmap done: 1 IP address (1 host up) scanned in 1.18 seconds
           Raw packets sent: 65536 (2.884MB) | Rcvd: 65536 (2.621MB)

Vamos a realizar un segundo escaneo para determinar el servicio y versión misma:

Bien, vemos 2 puertos enfocados a http donde normalmente el puerto 443 es para https pero vemos que no es el caso. Vamos a ver de primeras el puerto 80, donde en el segundo escaneo nmap vemos que detecto que es un WordPress en la versión 6.5.2:

Vemos que falla en la carga seguramente porque haya un dominio configurado, si leemos el código fuente nos podremos percatar de lo siguiente:

Vale, ahora empleemos el dominio para ver si carga la página web:

Bien, vamos a emplear wpscan para hacer una enumeración exhaustiva a toda la aplicación wordpress:

Vemos que el plugin wpdiscuz en la versión 7.0.4 donde nos comentan que la ultima versión del plugin es 7.6.33, vamos a buscar algún posible CVE:

hashtag
Shell as www-data

Vemos que hay un CVE reportado cuyo fallo de seguridad es Unauthenticated Remote Command Execution, buscando encontre el siguiente exploit en GitHubarrow-up-right:

LogoCVE-2020-24186-wpDiscuz-7.0.4-RCE/wpDiscuz_RemoteCodeExec.py at main · hev0x/CVE-2020-24186-wpDiscuz-7.0.4-RCEGitHubchevron-right

Vamos a explotarlo:

Vamos a ejecutarlo para ver que parámetros requiere:

En este caso requiere de:

  1. -u -> La URL donde se encuentra WordPress

  2. -p -> La página donde se usa el plugin wpDiscuz

Vamos a buscar esa pàgina… Buscando encontré el siguiente post donde veo que se emplea el plugin wpDiscuz:

Ahora en el exploit vamos a poner los respectivos datos solicitados y vamos a ver si funciona:

Vamos a ver si funciona:

Bien!! Ahora me bajaré el PHP PentestMonkeyarrow-up-right y la descargaré en el servidor:

Ahora nos pondremos en escucha y abriremos un servidor en python3:

Ahora lo descargaremos en el servidor y lo abriremos:

Vemos que somos el usuario www-data.

hashtag
Shell as aceituno

Al a ver un WordPress vamos a leer el archivo wp-config.php para ver las credenciales con las que se están conectando:

Vamos a conectarnos:

Vamos a ver las bases de datos existentes:

Vamos a usar la base de datos y enumerar las tablas:

Si nos fijamos existe una tabla no común en las bases de datos de wordpress, se llama pelopicopata, vamos a seleccionar todas las columnas:

Se ve que forma la palabra ElSeñorDeLaNoche seguramente la letra ñ no se muestre por conflicto. Vamos a probar por SSH ambas:

  • ElSeorDeLaNoche

  • ElSeñorDeLaNoche

hashtag
Shell as root

Vamos a ver si tenemos permisos SUDOERS:

Vemos que podemo usar el binario most, si lo buscamos en GTFObins no está. Vamos a ver su ayuda:

Si buscamos por google que es most es un paginador de texto. Esto significa que como root podemos leer cualquier archivo. Vamos a intentar leer el id_rsa de root:

Vemos que funciona!! Vamos a copiarlo y darle el permiso 600:

Ahora vamos a usarlo para iniciar por SSH con el id_rsa:

Vemos que nos piden contraseña… Vamos a usar ssh2john para sacar el hash y con john crackearlo:

Ahora iniciamos como root!!

root! ;)

AnteriorTheHackersLabsSiguienteFruits