> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/walkingcms.md).
# 🟩 WalkingCMS
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
Vemos que solo está el puerto 80 activo (servicio web). Si realizamos un escaneo de directorios encontramos lo siguiente:
{% code overflow="wrap" expandable="true" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Estamos ante un WordPress. Vamos a enumerarlo con la herramienta `wpscan`:
{% code overflow="wrap" %}
```bash
wpscan --url http://$IPTARGET/wordpress --enumerate --api-token
```
{% endcode %}
Esta herramienta nos encuentra un usuario que podemos utilizar en un ataque de diccionario.
Para realizar este ataque se ha utilizado la wordlist `rockyou.txt`.
{% code overflow="wrap" %}
```bash
wpscan --password-attack xmlrpc -t 20 -U mario -P /usr/share/wordlists/rockyou.txt --url http://$IPTARGET/wordpress
```
{% endcode %}
Encontramos una combinación para entrar al panel de WordPress: `mario:love`.
## 🚪 Ganando acceso
Una vez dentro, podemos modificar un fichero php de una plantilla de WordPress para inyectar una reverse shell. Cada vez que solicitemos ese recurso dentro del directorio `wp-content`, se ejecutará el código que nos da acceso a la máquina.
En este caso, voy a editar el fichero `index.php` de la plantilla `twentytwentytwo` para añadir la reverse shell de pentestmonkey.
Una vez actualizado el recurso, lo solicitamos a través del siguiente enlace. Previamente, nos ponemos a la escucha con `netcat`.
```
http://172.17.0.2/wordpress/wp-content/themes/twentytwentytwo/index.php
```
## 💥 Escalada de privilegios
Si buscamos los binarios con el bit SUID activado, encontramos uno potencialmente peligroso: `/usr/bin/env`. Con este binario podemos ejecutar cualquier comando o binario, y al tener el bit SUID activo, lo podemos hacer con los privilegios del propietario del archivo (`root`).