> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/pequenas-mentirosas.md).
# 🟩 Pequeñas Mentirosas
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
{% code overflow="wrap" %}
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
{% endcode %}
Solo están abiertos el puerto SSH y HTTP. Realizamos un escaneo de directorios sobre el servicio web:
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Si entramos a `index.html` encontramos la siguiente pista:
## 🚪 Ganando acceso
Hacemos un ataque de diccionario para el usuario `a` con la wordlist `rockyou.txt`:
{% code overflow="wrap" %}
```bash
hydra -l a -P /usr/share/wordlists/rockyou.txt ssh://$IPTARGET
```
{% endcode %}
## 💥 Escalada de privilegios
Miramos los usuarios del sistema. Encontramos un usuario llamado `spencer`.
Buscamos todos los ficheros con la extensión `.txt`. Encontramos algunos interesantes.
{% code overflow="wrap" %}
```bash
find / -type f -name "*.txt" 2>/dev/null
```
{% endcode %}
La forma correcta de continuar sería intentar romper el hash de spencer (`hash_spencer.txt`) en nuestra máquina atacante, pero como sabemos el nombre del usuario también podemos hacer ataque de diccionario, aunque en entornos reales esto sería menos recomendable. Aún así he escogido la segunda opción.
{% code overflow="wrap" %}
```bash
hydra -l spencer -P /usr/share/wordlists/rockyou.txt ssh://$IPTARGET
```
{% endcode %}
Las credenciales son `spencer:password1`. Entramos como spencer a la máquina y comprobamos los permisos que tenemos con `sudo`:
Podemos ejecutar `/usr/bin/python3` como `root` sin necesidad de contraseña. Con esto podemos conseguir una shell.