> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/amor.md).

# 🟩 Amor

🧠Dificultad: Fácil | 🔓28/08/2025

## 🕵️ Reconocimiento

El escaneo de puertos con nmap nos muestra lo siguiente:

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FUqa4l1hvC4FJz7HXbxWw%2Fimage.png?alt=media&amp;token=7f15a78c-b684-4181-a559-6424a7fcb0a6" alt=""><figcaption></figcaption></figure>

La máquina solo cuenta con dos servicios: SSH y HTTP.  Si revisamos la página web nos encontramos con lo siguiente:

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FqmYZ98UD4IhlzuG6yb4w%2Fimage.png?alt=media&amp;token=fc7657c5-078e-4673-83e1-bec0afa4dff7" alt=""><figcaption></figcaption></figure>

## 🚪 Ganando acceso

Probando fuerza bruta en el SSH con el usuario `juan` no obtuve nada, pero sí para el usuario `carlota`:

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FkF4Efpffak9Ij5kXuJmm%2Fimage.png?alt=media&amp;token=63695220-2d9b-4f1f-aff7-55fc1a675fe0" alt=""><figcaption></figcaption></figure>

## 💥 Escalando privilegios

Mirando el `/home` del usuario actual, me encuentro con una serie de carpetas que me llevan hasta una imagen `jpg`.

<div align="left"><figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2Fa9C4iT9VyuiWBeNBJzF0%2Fimage.png?alt=media&amp;token=81f011c6-0a32-47cf-93f8-371a81179251" alt=""><figcaption></figcaption></figure></div>

Además, en las variables de entorno del sistema existe una variable llamada `SECRET` que nos sugiere que hay algo escondido en la imagen.

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FiGNSArVtpGNRl5nS0Su7%2Fimage.png?alt=media&amp;token=6b7c911b-258b-4681-9c43-c8364e0770ce" alt=""><figcaption></figcaption></figure>

Pasamos la imagen a nuestra máquina con un servidor de `python`, y ejecutamos `steghide` para ver si hay algo escondido en la imagen.

<div align="left"><figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2Fvtpb7R1RzkmRJGISP90U%2Fimage.png?alt=media&amp;token=7f6d303e-7836-45b0-8974-6933fc501c71" alt=""><figcaption></figcaption></figure></div>

Esto pueden ser las credenciales de algún usuario. Si vemos el `/etc/passwd`, hay un usuario `oscar` que tiene un shell de inicio de sesión asignado, por lo que podemos probar con este usuario.

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FMF88BmDcrCPae3qbrgyA%2Fimage.png?alt=media&amp;token=b2e459af-5334-4a85-95f1-df7cb2a4d2d2" alt=""><figcaption></figcaption></figure>

Viendo los permisos de sudo, vemos que tenemos permiso para ejecutar el binario `/usr/bin/ruby`  como `root` sin necesidad de contraseña. En [gtfobins](https://gtfobins.github.io/gtfobins/ruby/) encontramos un comando para explotar este fallo de seguridad:

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FfNc2L1eGQlprDYa4xVoG%2Fimage.png?alt=media&amp;token=86a9b17e-bceb-4618-aa6b-6318c43933ce" alt=""><figcaption></figcaption></figure>