> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/pressenter.md). # 🟩 Pressenter ## 🕵️ Reconocimiento Comenzamos con un escaneo de puertos con `nmap`: ```bash nmap -sC -sV -Pn $IPTARGET | tee nmap ```

En la página principal no encontramos ninguna funcionalidad relevante. En el pie de página vemos una pista: ```plaintext Find us at pressenter.hl ```

Si accedemos a `pressenter.hl` después de meterlo al fichero `/etc/hosts`, nos encontramos con una nueva página:

Investigando un poco podemos averiguar que estamos ante un wordpress (por ejemplo, si inspeccionamos el código de la página vemos redirecciones a directorios empezando por `wp`). Usando `wpscan` podemos encontrar los usuarios que hay registrados en el wordpress: ```bash wpscan --url http://pressenter.hl --enumerate --api-token ```

Ejecutamos un ataque de fuerza bruta con los usuarios que hemos encontrado junto al `rockyou.txt`: ```bash wpscan --password-attack xmlrpc -t 20 -U pressi, hacker -P /usr/share/wordlists/rockyou.txt --url http://pressenter.hl ```

Podemos editar algún fichero `php` de un tema que no esté en uso, como `Twenty Twenty Three`. Editamos el fichero `patterns/hidden-404.php` con una webshell:

Ahora si lanzamos una petición a dicho fichero y le pasamos un comando al parámetro `cmd`, nos muestra el resultado del comando.

## 🚪 Ganando acceso Si subimos una reverse shell (en mi caso, la de pentestmonkey) y lanzamos una petición al archivo `php`, obtenemos acceso a la máquina:

## 💥 Escalada de privilegios Mirando el fichero `/etc/passwd`, encontramos un usuario llamado `enter`:

Buscamos el fichero de configuración de wordpress para ver si encontramos información sensible: ```bash find / -type f -name "wp-config.php" 2>/dev/null ```

Encontramos las credenciales de una base de datos con el usuario `admin` y la contraseña `rooteable`. Accedemos al a base de datos con: ```bash mysql -u admin -p ``` Una vez dentro, enumeramos las `DATABASES` y `TABLES` de la base de datos. Encontramos una tabla dentro de la base de datos `wordpress` en la tabla `wp_usernames`:

Probamos a entrar con las credenciales que hemos encontrado:

La escalada a `root` es contraintuitiva, puesto que se reutilizan credenciales del usuario `enter`: