> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/chocolatelovers.md).
# 🟩 ChocolateLovers
🧠Dificultad: Fácil | 🔓02/09/2025
## 🕵️ Reconocimiento
La máquina solo tiene el puerto 80 abierto con un servicio web. Si accedemos a él a través de un navegador, vemos la página por defecto de Apache. En los comentarios de la página se hace referencia a `nibbleblog`. Si accedemos al directorio `/nibbleblog`, vemos lo siguiente:
Estamos en la página principal de Nibbleblog, una aplicación que permite crear y administrar blogs. En el post inicial nos dan un enlace a `/nibbleblog/admin.php`. Si accedemos a este sitio encontraremos un inicio de sesión al panel de administrador. Probando con las credenciales `admin:admin`, ganamos acceso al panel:
Si buscamos exploits para nibbleblog con `searchsploit`, vemos que hay uno para subir ficheros arbitrarios a través de `metasploit`:
## 🚪 Ganando acceso
Aunque el exploit es sencillo de llevar a cabo manualmente, uso metasploit para ganar una shell.
El exploit falló al principio, y es que para que funcione correctamente, debemos tener instalado el plugin `My image`. Para ello, nos vamos al panel de plugins y lo instalamos:
Ahora si, ganamos una sesión con `meterpreter`:
## 💥 Escalada de privilegios
Mejorar la shell desde meterpreter es bastante tedioso, por ello, recomiendo que ganéis acceso manualmente y no uséis metasploit.
Comprobamos los permisos que tenemos con `sudo`:
Teniendo permisos para ejecutar php con `chocolate`, podemos ejecutar a través de la función `system()` el comando que queramos, por ejemplo, `/bin/bash`. De esta manera obtendremos una shell como el usuario `chocolate`:
Una vez obtenida la shell como usuario `chocolate`, listamos los procesos del sistema (`sudo -l` nos pide contraseña):
Existe un proceso de `root` que ejecuta el fichero `script.php` cada 0.5 segundos con `php`.
El script no hace prácticamente nada. Vemos que tenemos permisos suficientes sobre el fichero, por lo que podemos cambiar el contenido de este para ponerle el bit suid a `/bin/bash`. Después, bastará con ejecutar `bash -p` para obtener una shell como `root`.
```bash
echo "" > script.php
```
