> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/consolelog.md).
# 🟩 ConsoleLog
## 🕵️ Reconocimiento
Escaneamos los puertos de la máquina con `nmap`:
Vemos que hay dos servicios HTTP abiertos: uno en el puerto 80 y otro en el 3000. Además, la máquina tiene abierto un servicio SSH en el puerto 5000.
Si nos vamos al navegador, nos encontramos con una página con un botón. Cada vez que le damos al botón, se llama a la función `console.log` que imprime lo siguiente en la consola:
Realizamos un escaneo de directorios sobre este servicio:
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-lowercase-2.3-medium.txt:FUZZ -u http://$IPTARGET/FUZZ -e .html,.php,.txt,.xml,.js
```
En el directorio `/backend` se encuentran algunos ficheros utilizados para el backend del servicio web. Entre ellos, nos fijamos en el fichero llamado `server.js`:
Este script en `js` gestiona peticiones POST de un servicio alojado en el puerto 3000 (visto previamente). Por cada petición POST que se hace al directorio `/recurso/` de dicho servidor, se comprueba si la petición incluye el token `tokentraviesito`. En dicho caso, se devuelve la cadena `lapassworddebackupmaschingonadetodas`. De lo contrario, se devuelve un 401.
Hacemos la prueba:
## 🚪 Ganando acceso
La cadena de antes puede ser una contraseña, por lo que podemos hacer password spraying al SSH para ver qué usuario tiene esta contraseña:
```bash
hydra -L /usr/share/wordlists/rockyou.txt -p lapassworddebackupmaschingonadetodas ssh://$IPTARGET:5000
```
Encontramos unas credenciales:
```
lovely:lapassworddebackupmaschingonadetodas
```
## 💥 Escalada de privilegios
Primero de todo, comprobamos los permisos que tenemos con `sudo`:
Contamos con permisos para el binario `nano` como `root` sin necesidad de contraseña.
Una forma de escalar privilegios en esta máquina es editar el fichero `/etc/shadow` con nano quitándole la contraseña al usuario `root`. De esta manera, haciendo un `su` tendremos acceso a `root` directamente cuando queramos.
Otro camino es ejecutar código dentro de nano para obtener una shell como `root` (visto en [gtfobins](https://gtfobins.github.io/)):
```bash
sudo nano
# Presionar CTRL+R y CTRL+X
reset; sh 1>&0 2>&0
```