> For the complete documentation index, see [llms.txt](https://propus.gitbook.io/hackbook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://propus.gitbook.io/hackbook/writeups/dockerlabs/whoiam.md).
# 🟩 Whoiam
## 🕵️ Reconocimiento
Comenzamos con un escaneo de puertos con `nmap`:
```bash
nmap -sC -sV -Pn $IPTARGET | tee nmap
```
Vemos que solo está abierto el puerto 80 con un WordPress. Hacemos un escaneo de directorios con `ffuf`:
{% code overflow="wrap" %}
```bash
ffuf -w /usr/share/wordlists/SecLists-2025.2/Discovery/Web-Content/directory-list-2.3-medium.txt:FUZZ -u "http://$IPTARGET/FUZZ" -e .html,.php,.txt,.xml,.js
```
{% endcode %}
Vemos un directorio que nos llama la atención: `/backups`.
Descargamos el zip y lo extraemos en nuestra máquina. Vemos que contiene un fichero con credenciales.
Probamos estas credenciales en el panel de WordPress y obtenemos acceso al panel de administrador.
Si echamos un vistazo a la versión de los plugins, encontramos un plugin que es vulnerable (`Modern Events Calendar 5.16.2`):
Vemos un RCE que necesita autenticación (la tenemos).
## 🚪 Ganando acceso
Configuramos metasploit para usar el exploit.
Una vez tenemos todo configurado, conseguimos una sesión de meterpreter y abrimos una shell.
## 💥 Escalada de privilegios
Una vez dentro de la máquina, vemos los permisos que tenemos con sudo con el usuario `www-data`:
Podemos usar el binario `/usr/bin/find` como `rafa` sin necesidad de contraseña para conseguir una shell con el parámetro `-exec`:
```bash
find . -exec /bin/sh \; -quit
```
Como `rafa` volvemos a ver los permisos con `sudo`:
Tenemos permisos para ejecutar `/usr/sbin/debugfs` como `ruben` sin contraseña. En [gtfobins](https://gtfobins.org/gtfobins) vemos un exploit que podemos usar para conseguir una shell.
De nuevo, vemos los permisos que tenemos con `ruben`. Podemos ejecutar `/bin/bash /opt/penguin.sh` como `root` sin necesidad de contraseña. El script no lo podemos modificar porque no tenemos permisos de escritura en él.
Si introducimos como variable `a[$(/bin/bash >&2 1>&2)]`, lo que va a hacer el intérprete es intentar calcular la dirección de un array (el array `a[]`). Para ello, va a evaluar lo que hay dentro de la expresión `$()`, que corresponde a un bash.