HTB Beep Walkthrough

 

 

Beep es una máquina de HackTheBox basada en linux que tiene una lista muy grande de servicios en ejecución, lo que puede hacer que sea un poco difícil encontrar al principio l apuerta de entrada a la máquina.

 

 En un primer lugar hemos hecho una enumeración de puerto mediante nmap lo que nos ha descubierto una lista de puerto interesante 22 (SSH), 25 (SMTP), 80 (HTTP), 110 (POP3),  111 (RPCBIND), 143 (IMAP), 443 (HTTPS), 993 (IMAP), 3306 (MYSQL), 10000 (HTTP)

 

Visitando el puerto 443 nos encontramos que nos carga un página de Elastix que es un servidor de comunicaciones IP PBX, IM, etc.  

 

Buscando sobre este software nos encontramos que la versión 2.2.0 es vulnerable a un LFI, lo que nos permitiría ver los archivos o ejecutar scripts locales dentro del contexto del proceso web.

 

 

Intentamos explotar esta vulnerabilidad intentando ver el archivo /etc/amportal.conf que es un archivo que contiene distintas configuraciones de Elastix. En este caso nos encontramos una password en ARI_ADMIN_PASSWORD y un nombre de usuario que parece ser admin

 

 

Con las credenciales conseguidas intentamos acceder y conseguimos hacerlo con éxito, teniendo esto nos encontramos con un exploit que nos permitirá un a ejecución remota de código que no permitirá conseguir una shell

 

 

 

Con nuestras credenciales iniciadas dentro de Elastix nos vamos a Security -> Weak Keys y nos encontramos con la extensión 233  

 

Esta extensión encontrada la utilizaremos en nuestro exploit

 

Editado nuestro exploit abriremos con netcat un puerto a la espera donde se conectará de vuelta la máquina con nuestra shell.

 

Una vez tenemos la shell nos encontramos con el usuario asterisk dentro del host beep

 

Intentamos conseguir algo más de información y nos encontramos un CentOS 5.6 

 

Con esta información seguimos enumerando y nos encontramos que la máquina tiene el software nmap instalada y se puede ejecutar, sabiendo esto podremos un intentar conseguir una shell como root mediante nmap. Para ello ejecutaremos sudo nmap --interactive una vez dentro de la consola interactiva ejecutaremos !sh que nos dará un shell con el usuario root

 

Con el usuario root ya podremos acceder a las flags una dentro del usuario fanis (user.txt) y otro dentro de root

 

 

Enhorabuena, con esto ya hemos conseguido nuestras flags y ya hemos terminado la máquina