> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/elevator.md).
# 🟩 Elevator
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
{% code overflow="wrap" %}
```bash
nmap -sC -sV -sS -Pn 172.17.0.2
```
{% endcode %}
Solo se encuentra abierto el puerto correspondiente al servicio web (HTTP 80).
Realizamos un escaneo de directorios con `ffuf`:
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Realizamos un escaneo de directorios recursivo para comprobar si encontramos información adicional (utilizando `-recursion`):
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-small.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js -recursion
```
{% endcode %}
En `themes/archivo.html` encontramos un panel donde poder subir archivos. Se puede comprobar si la comprobación de la extensión del fichero (solo se permiten ficheros `.jpg`) es vulnerable.
Podemos cambiar la extensión del archivo por `.php.jpg` y añadir en `Content-Type: image/jpg` para hacer parecer que es un fichero `jpg`, cuando realmente es una reverse shell en `php`.
El archivo se ha subido correctamente.
## 🚪 Ganando acceso
Nos ponemos a la escucha con `netcat` y ejecutamos la reverse shell que hemos subido:
## 💥 Escalada de privilegios
Comprobamos los permisos con `sudo` del usuario `www-data`:
Podemos ejecutar el binario `/usr/bin/env` como `daphne` sin necesidad de introducir la contraseña. Podemos explotar esta configuración utilizando env para crear un entorno con `/bin/sh` (encontrado en [gtfobins](https://gtfobins.org/)).
A partir de aquí el proceso es igual: mirar los privilegios que tenemos como sudoer y explotar la configuración. En este caso, ejecutar el binario `ash` como `vilma`.
Ahora, el binario `ruby` como `shaggy`:
Después, el binario `lua` como `fred`:
Una vez conseguida la shell como el usuario `fred`, podemos obtener acceso a otra shell como `scooby` utilizando la configuración de `sudo` para el binario `gcc`:
Y, por último, para llegar a `root` podemos ejecutar desde el usuario `scooby` el binario `sudo` como `root`. Importante poner `sudo` dos veces.