Writeups CTF: enumera, explota, escala, documentahttps://theopendoor.jaimecarmena.es/2026-05-21T00:00:00ZJaime Carmenahttps://theopendoor.jaimecarmena.es/es/bigpivoting.html2026-05-21T00:00:00Z2026-05-21T00:00:00Z

BigPivoting es una cadena de cinco máquinas encadenadas por red donde cada host es el puente hacia el siguiente segmento: 10.10.10.0/24 → 20.20.20.0/24 →...

https://theopendoor.jaimecarmena.es/es/dc-1.html2026-05-02T00:00:00Z2026-05-02T00:00:00Z

DC-1 es una máquina Debian que sirve un Drupal 7 sobre Apache 2.2.22. La versión es anterior a la 7.32, así que es vulnerable a Drupalgeddon (CVE-2014-3704)...

https://theopendoor.jaimecarmena.es/es/sickos-1-2.html2026-04-21T00:00:00Z2026-04-21T00:00:00Z

SickOs 1.2 es una máquina Ubuntu que expone SSH y un lighttpd 1.4.28 con WebDAV habilitado en /test/. Los métodos PUT, MKCOL y MOVE están disponibles sin...

https://theopendoor.jaimecarmena.es/es/hokkaido.html2026-03-25T00:00:00Z2026-03-25T00:00:00Z

Cadena AD completa: user spray revela info/info, SMB de homes guía a SYSVOL con password_reset.txt (Start123!) que se prueba contra la lista y valida...

https://theopendoor.jaimecarmena.es/es/vault.html2026-03-25T00:00:00Z2026-03-25T00:00:00Z

Cadena AD que arranca con SMB guest habilitado, RID brute que descubre anirudh, un fichero .url (IconFile=\\...) subido a la share DocumentsShare para forzar...

https://theopendoor.jaimecarmena.es/es/vulnerable-lab.html2026-03-15T00:00:00Z2026-03-15T00:00:00Z

Un laboratorio de tres máquinas encadenadas por red (VulnHub Vulnerable 1, 4 y 5). La atacante solo alcanza el primer segmento; cada host es dual-homed y...

https://theopendoor.jaimecarmena.es/es/fish.html2026-03-13T00:00:00Z2026-03-13T00:00:00Z

Oracle GlassFish Server 4.1 vulnerable a traversal Unicode con %c0%af (CVE-2017-1000028) que lee AppConfig.xml de Synaman con credenciales en claro...

https://theopendoor.jaimecarmena.es/es/spidersociety.html2026-03-12T00:00:00Z2026-03-12T00:00:00Z

Panel admin con admin/admin por defecto que suelta credenciales FTP en un modal ("New Message from Tech Dept"), el FTP en el 2121/TCP guarda una copia del...

https://theopendoor.jaimecarmena.es/es/monster.html2026-03-08T00:00:00Z2026-03-08T00:00:00Z

Monstra CMS 3.0.4 en un XAMPP con login del admin roto por bruteforce dirigido (diccionario generado con cewl sobre el propio site), RCE por edición de...

https://theopendoor.jaimecarmena.es/es/zab.html2026-03-08T00:00:00Z2026-03-08T00:00:00Z

Mage-AI en el 6789 con una terminal nativa que ejecuta comandos como www-data, credenciales de Zabbix en /etc/zabbix/web/zabbix.conf.php, bcrypt del admin...

https://theopendoor.jaimecarmena.es/es/mice.html2026-03-07T00:00:00Z2026-03-07T00:00:00Z

RemoteMouse 3.008 escuchando en 1978/TCP con ejecución remota sin autenticar como usuario de escritorio, credenciales RDP en base64 dentro de...

https://theopendoor.jaimecarmena.es/es/wallpaperhub.html2026-03-04T00:00:00Z2026-03-04T00:00:00Z

Registro anónimo en un Flask, LFI vía subida de imagen que saca /etc/passwd, el .bash_history de wp_hub (que dice dónde vive la base de datos) y el propio...

https://theopendoor.jaimecarmena.es/es/dvr4.html2026-03-02T00:00:00Z2026-03-02T00:00:00Z

El puerto 8080 sirve Argus Surveillance DVR 4.0.0.0, vulnerable a un directory traversal (CVE-2018-13388) que lee ficheros arbitrarios (traversal de Argus...

https://theopendoor.jaimecarmena.es/es/bitforge.html2026-02-28T00:00:00Z2026-02-28T00:00:00Z

El puerto 80 expone un .git/ completo; al volcarlo y leer su historia (dump de repositorio .git, secretos en el historial) recuperamos las credenciales de la...

https://theopendoor.jaimecarmena.es/es/mantis.html2026-02-16T00:00:00Z2026-02-16T00:00:00Z

El /bugtracker/ corre MantisBT. Su install.php deja apuntar la instalación a un servidor MySQL controlado por nosotros, que abusa de LOAD DATA LOCAL INFILE...

https://theopendoor.jaimecarmena.es/es/hepet.html2026-02-15T00:00:00Z2026-02-15T00:00:00Z

La web "Time Travel" filtra las credenciales de jonas en su ficha de equipo. Con ellas entramos por IMAP (Mercury/32) y leemos un correo que describe un...

https://theopendoor.jaimecarmena.es/es/vmdak.html2026-02-14T00:00:00Z2026-02-14T00:00:00Z

El 9443 sirve un Prison Management System vulnerable a la CVE-2024-33288 (SQLi de bypass de login) (bypass de autenticación por SQLi); dentro del panel, un...

https://theopendoor.jaimecarmena.es/es/slort.html2026-02-13T00:00:00Z2026-02-13T00:00:00Z

Un XAMPP en el 8080 sirve site/index.php?page=, vulnerable a inclusión remota de fichero: apuntamos el parámetro a un rev.php alojado en nuestra máquina y...

https://theopendoor.jaimecarmena.es/es/spx.html2026-02-12T00:00:00Z2026-02-12T00:00:00Z

El phpinfo.php delata la extensión php-spx 0.4.15, vulnerable a la CVE-2024-42007: un path traversal que lee ficheros arbitrarios (php-spx path traversal...

https://theopendoor.jaimecarmena.es/es/scrutiny.html2026-02-10T00:00:00Z2026-02-10T00:00:00Z

El vhost teams.onlyrands.com sirve JetBrains TeamCity 2023.05.4. Un bypass de autenticación nos crea un administrador, y con la CVE-2023-42793 (TeamCity RCE...

https://theopendoor.jaimecarmena.es/es/fired.html2026-02-08T00:00:00Z2026-02-08T00:00:00Z

Fired corre Openfire 4.7.3, vulnerable a la CVE-2023-32315: un path traversal en la consola de administración salta la autenticación y nos deja crear un...

https://theopendoor.jaimecarmena.es/es/workaholic.html2026-02-07T00:00:00Z2026-02-07T00:00:00Z

Workaholic corre WordPress con el plugin WP Advanced Search vulnerable a una SQLi no autenticada (CVE-2024-9796) que vuelca los hashes de usuario (WP...

https://theopendoor.jaimecarmena.es/es/zipper.html2026-02-06T00:00:00Z2026-02-06T00:00:00Z

Zipper es un conversor de ZIP online. index.php?file= sufre un LFI, y como el sitio comprime lo que subimos en un .zip, encadenamos el wrapper zip:// de PHP...

https://theopendoor.jaimecarmena.es/es/authby.html2026-02-05T00:00:00Z2026-02-05T00:00:00Z

AuthBy es un WAMP sobre Windows Server 2008. El FTP (zFTPServer) permite acceso anónimo y expone el directorio de cuentas (FTP anónimo); un hydra saca...

https://theopendoor.jaimecarmena.es/es/shenzi.html2026-01-31T00:00:00Z2026-01-31T00:00:00Z

Shenzi es un XAMPP en Windows. El SMB permite sesión como guest y comparte un recurso con un passwords.txt que filtra las credenciales del WordPress...

https://theopendoor.jaimecarmena.es/es/xposedapi.html2026-01-31T00:00:00Z2026-01-31T00:00:00Z

XposedAPI publica en el 13337 una "Remote Software Management API" pensada solo para localhost. Un WAF filtra por host, pero se salta con la cabecera...

https://theopendoor.jaimecarmena.es/es/lavita.html2026-01-29T00:00:00Z2026-01-29T00:00:00Z

LaVita expone una app Laravel 8.4.0 con el modo debug activo. Ignition arrastra la CVE-2021-3129, una RCE no autenticada que nos deja como www-data (Laravel...

https://theopendoor.jaimecarmena.es/es/levram.html2026-01-28T00:00:00Z2026-01-28T00:00:00Z

Levram corre Gerapy v0.9.7 en el 8000. Entramos con credenciales por defecto (admin/admin) y lanzamos la RCE autenticada CVE-2021-43857, cayendo como app.

https://theopendoor.jaimecarmena.es/es/mzeeav.html2026-01-28T00:00:00Z2026-01-28T00:00:00Z

Mzeeav publica un "antivirus online" que solo acepta ejecutables PE. Un /backups/backup.zip filtra el código de upload.php y revela que el filtro se limita a...

https://theopendoor.jaimecarmena.es/es/medjed.html2026-01-26T00:00:00Z2026-01-26T00:00:00Z

MedJed corre BarracudaDrive 6.5 en el 8000 con la cuenta de administrador sin configurar, así que la creamos nosotros.

https://theopendoor.jaimecarmena.es/es/roquefort.html2026-01-26T00:00:00Z2026-01-26T00:00:00Z

Roquefort corre Gitea v1.7.5 en el 3000. Registramos una cuenta y abusamos de los git hooks: un hook post-receive malicioso ejecuta comandos al hacer push...

https://theopendoor.jaimecarmena.es/es/billyboss.html2026-01-25T00:00:00Z2026-01-25T00:00:00Z

Billyboss expone Sonatype Nexus Repository Manager 3.21.0 en el 8081. Entramos con credenciales por defecto (nexus/nexus) y lanzamos la RCE autenticada...

https://theopendoor.jaimecarmena.es/es/flu.html2026-01-24T00:00:00Z2026-01-24T00:00:00Z

Flu sirve Atlassian Confluence 7.13.6 en el 8090, vulnerable a una inyección OGNL que da RCE sin autenticar (CVE-2022-26134).

https://theopendoor.jaimecarmena.es/es/quackerjack.html2026-01-23T00:00:00Z2026-01-23T00:00:00Z

QuackerJack sirve rConfig v3.9 en el puerto 8081. Una inyección SQL sin autenticar (CVE-2020-10220) filtra el hash MD5 del administrador, que crackeamos a...

https://theopendoor.jaimecarmena.es/es/wombo.html2026-01-23T00:00:00Z2026-01-23T00:00:00Z

Wombo expone un Redis 5.0.9 sin autenticación en el puerto 6379. Con la técnica del rogue server forzamos a Redis a replicar desde nuestro servidor malicioso...

https://theopendoor.jaimecarmena.es/es/fanatastic.html2026-01-22T00:00:00Z2026-01-22T00:00:00Z

Fanatastic expone Grafana v8.3.0, vulnerable a la lectura arbitraria de ficheros por path traversal (CVE-2021-43798).

https://theopendoor.jaimecarmena.es/es/exfiltrated.html2026-01-21T00:00:00Z2026-01-21T00:00:00Z

Exfiltrated redirige a un vhost, exfiltrated.offsec, que sirve Subrion CMS 4.2.1. El panel entra con credenciales por defecto (admin/admin) y una subida de...

https://theopendoor.jaimecarmena.es/es/nickel.html2026-01-21T00:00:00Z2026-01-21T00:00:00Z

Nickel expone un panel DevOps Dashboard cuyo código fuente delata tres endpoints en el puerto 33333. Uno de ellos, list-running-procs, contestado con un...

https://theopendoor.jaimecarmena.es/es/marketing.html2026-01-20T00:00:00Z2026-01-20T00:00:00Z

El código fuente de Marketing delata un subdominio, customers-survey.marketing.pg, que sirve LimeSurvey. Entramos con credenciales por defecto...

https://theopendoor.jaimecarmena.es/es/astronaut.html2026-01-19T00:00:00Z2026-01-19T00:00:00Z

Astronaut sirve un Grav CMS 1.10.7 en /grav-admin. Esa versión es vulnerable a CVE-2021-21425 (escritura arbitraria de YAML que deriva en ejecución de...