search
GithubHTB ProfileTHM Profile

linuxMortadela

hashtag
Enumeration

Vamos a empezar con un escaneo nmap:

┌──(pylon㉿kali)-[~/…/pylon/THL/Mortadela/nmap]
└─$ nmap -p- --open -sS --min-rate=5000 -n -Pn -vvv 192.168.231.130
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-17 12:24 CEST
Initiating ARP Ping Scan at 12:24
Scanning 192.168.231.130 [1 port]
Completed ARP Ping Scan at 12:24, 0.04s elapsed (1 total hosts)
Initiating SYN Stealth Scan at 12:24
Scanning 192.168.231.130 [65535 ports]
Discovered open port 22/tcp on 192.168.231.130
Discovered open port 3306/tcp on 192.168.231.130
Discovered open port 80/tcp on 192.168.231.130
Completed SYN Stealth Scan at 12:24, 0.87s elapsed (65535 total ports)
Nmap scan report for 192.168.231.130
Host is up, received arp-response (0.00041s latency).
Scanned at 2025-07-17 12:24:31 CEST for 1s
Not shown: 65532 closed tcp ports (reset)
PORT     STATE SERVICE REASON
22/tcp   open  ssh     syn-ack ttl 64
80/tcp   open  http    syn-ack ttl 64
3306/tcp open  mysql   syn-ack ttl 64
MAC Address: 00:0C:29:39:0A:C9 (VMware)

Read data files from: /usr/share/nmap
Nmap done: 1 IP address (1 host up) scanned in 1.03 seconds
           Raw packets sent: 65536 (2.884MB) | Rcvd: 65536 (2.621MB)

Ya vemos varios puertos abiertos, donde está expuesto el puerto 3306 de MySQL así que quizás a futuro tendremos que entrar a ella. Vamos a realizar un segundo escaneo nmap para ver las versiones de los servicios y lanzar algunos scripts básicos de reconocimiento:

Vamos a ver la aplicación web:

Vemos que es la página por defecto de Apache2, vamos a realizar fuzzing a ver si encontramos otras cosas más interesantes:

Vemos la carpeta wordpress vamos a entrar en ella:

circle-exclamation

Es normal que notéis que la aplicación web va lenta, ya que tiene un fallo de virtualhosting. Esto no afecta a la resolución de la máquina.

Vamos a emplear wpscan para tirar un enumeramiento a toda la aplicación Wordpress:

Vemos que encontró un plugin llamado wpdiscuz que tiene la versión 7.0.4 vamos a buscarlo por Google:

En mi caso encontré este repositorio con el exploit:

LogoGitHub - substing/CVE-2020-24186_reverse_shell_uploadGitHubchevron-right

hashtag
Shell as www-data

Para emplearlo nos piden lo siguiente:

  • -u -> URL objetivo que en este caso es http://192.168.231.130/wordpress/

  • -p -> Un post donde se emplee este plugin, donde desconocemos de uno.

Vamos a buscar un post, viendo la web me percato de lo siguiente:

Si le damos click nos redirige a un post, lo encontramos!!

circle-exclamation

Al darle click nos redirigirá a http://192.168.0.108/.... tendremos que cambiar la IP por la correspondiente.

La web no carga, seguramente por el virtual hosting, vamos a usar el exploit!

Antes de explotarlo nos pondremos en escucha:

Ahora iniciamos el exploit:

Bien nos ha creado y subido una webshell, vamos a entrar a ese archivo:

circle-exclamation

Al darle click nos redirigirá a http://192.168.0.108/.... tendremos que cambiar la IP por la correspondiente.

hashtag
Shell as root

Si leemos el /etc/passwd nos percataremos de un usuario:

Vemos el usuario mortadela pero no tenemos ningún tipo de credenciales. Vamos a buscar el archivo wp-config.php donde encontraremos las credenciales de la base de datos:

Encontramos que el usuario wordpress su credencial a la base de datos es lolalolitalola, pero si intentamos acceder no tendremos permisos. Vamos a seguir buscando por el sistema. Viendo el directorio /opt/ me encontré lo siguiente:

Vamos a abrir un servidor en python3 y bajarnos ese archivo .zip:

Vamos a intentar descomprimirlo:

Nos piden credenciales, vamos a ver si se reutilizan las de mysql:

Vemos que no, así que haremos fuerza bruta. Sacaremos el hash con zip2john:

Ahora con john haremos un ataque de fuerza bruta con la wordlist rockyou.txt:

circle-info

John

Añadimos el parámetro --format=PKZIP ya que el hash si leemos sus primeras lineas nos indica que es de formato PKZIP.

Ya teniendo la contraseña vamos a descomprimirlo:

Vemos que tenemos 2 archivos de KeePass, vamos a abrir Database.kdbx:

Nos pide una Master Key, buscando en google me encontré el siguiente repositorio:

LogoGitHub - JorianWoltjer/keepass-dump-extractor: Find and collect parts of a Keepass master key to recover it in plain text from a memory dumpGitHubchevron-right

Nos podrá ser de ayuda ya que tenemos el archivo KeePass.DMP, así que vamos a emplearlo:

Esto nos ha creado posibles combinaciones de Master Key, ahora con keepass2john vamos a sacar el hash de Database.kdbx:

Ahora con hashcat vamos a hacerle un ataque de fuerza bruta:

Tenemos la Master Key!! Vamos a probarla

Vamos a iniciar sesión por SSH:

root! ;)

AnteriorZapasGuapasSiguienteBackToTheFuture