> For the complete documentation index, see [llms.txt](https://rodgar.gitbook.io/rodgar/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://rodgar.gitbook.io/rodgar/othe/pivoting/internal-tryhackme.md).
# Internal TryHackme
En esta maquina exactamente pivoting no, pero hacemos uso de chisel, y todo lo que lo involucre a ella estaran en este apartado de Pivoting.
Primero hacemos un escaneo para ver que puertos estan abiertos.
```javascript
# Nmap 7.94SVN scan initiated Wed Jan 24 19:28:25 2024 as: nmap -sCV -p22,80 -oN target.txt 10.10.205.185
Nmap scan report for 10.10.205.185
Host is up (0.078s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 2048 6e:fa:ef:be:f6:5f:98:b9:59:7b:f7:8e:b9:c5:62:1e (RSA)
| 256 ed:64:ed:33:e5:c9:30:58:ba:23:04:0d:14:eb:30:e9 (ECDSA)
|_ 256 b0:7f:7f:7b:52:62:62:2a:60:d4:3d:36:fa:89:ee:ff (ED25519)
80/tcp open http Apache httpd 2.4.29 ((Ubuntu))
|_http-title: Apache2 Ubuntu Default Page: It works
|_http-server-header: Apache/2.4.29 (Ubuntu)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Wed Jan 24 19:28:34 2024 -- 1 IP address (1 host up) scanned in 9.36 seconds
```
Observamos las versiones y servicios que corren para estos dos puertos.
Si hacemos uso de Wfuzz para fuzzear directorios ocultos encontramos varios pero el interante blog.
Si te vas ah blog te cargara como el culo debes añadir el dominio internal.thm a tu /etc/hosts para que te cargue bien la pagina, luego nos vamos al Log in.
Ahora si hacemos uso de Wpscan enumerando usuarios encontramos al usuario admin.
Haciendo uso del usuario encontrado hacemos fuerza bruta para su contraseña con el mismo wpscan. con el parametro -U le pasas el usuario el -P la lista de palabras en esta caso la lista de rockyou.
Nos loguemos y estando dentro nos dirigimos ah apariencia y al editor de temas y vamos a editar el 404.php el archivo de error.
Nos copiamos todo el contenido de esta rever shell que la puedes encontrar aca [ReverShell](https://github.com/pentestmonkey/php-reverse-shell/blob/master/php-reverse-shell.php).
Ahora solo falta invocarla y ganar acceso.
Nos vamos ah chatgpt y le preguntamos donde se guarda este 404.php y nos da la ruta a seguir.
Tu tema es el que estamos editando lo veras en la URL.
Le lanzamos un CURL a la ruta y observamos por la parte de abajo que hemos ganado acceso como www-data.
Buscando y enumerando el sistema en el directorio /opt hay una nota donde nos regalan la contraseña para un usuario entonces haremos un user-pivoting.
Migramos al usuario aubreanna, y tenemos la primera bandera la del user.txt.
Si hacemos un ip a o ifconfig, observamos que hay un contenedor corriendo dentro de la maquina.
Si hacemos un netstat -tan observamos que hay un servicio iniciado en local que corre por el puerto 8080.
Aca inicia el pivoting, nos trasladomos chisel de nuestra maquina local a la maquina victima, supongo que si estas intentando hacer una maquina Hard sabras como se hace esto.
Configuramos a chisel en local como servidor y en la maquina victima como cliente que se conectara a un servidor.
Las direcciones IP cambian porque en la hora que te da tryhackme no la pude resolver entonces inicie otra y te asigna una nueva IP.
Haciendo el Redirección de puertos mas que un pivoting observamos que el puerto 5000 corre un Jenkins que lo corre docker en la maquina victima pero ahora nosotros tenemos acceso.
Como es un panel de autentificacion interceptamos la peticion para observar como esta estructurada para hacer un ataque de fuerza bruta con hydra.
Tenemos la peticion ahora ya podemos intuir de que forma esta estructurada la peticion para, usarlo en hydra.
Bueno ya sabiendo como esta estructura la peticion, pues usamos esos parametros para pasarselos a hydra y hacer un ataque de fuerza bruta, observamos que hydra encuntra la contraseña, asi que vamos a loguearnos.
Estando dentro nos vamos a la consola del Jenkins para intentar ganar acceso a la maquina que seria a otra maquina que en este caso creo que seria al contenedor que sirve la maquina principal.
Nos entablamos una shell en este articulo te explican de como establecer esa shell desde Jenkins [ShellJenkins](https://blog.pentesteracademy.com/abusing-jenkins-groovy-script-console-to-get-shell-98b951fa64a6)
Estando en escucha por el puerto 8044 recivimos la conexion y observamos que somos el usuario Jenkins.
Recordando datos de la maquina principal me dirigi el directorio /opt y me encontre una nota donde nos regalan las credenciales de root. Las intente usar internamente pero no funcionaron.
Asi que recorde que el puerto ssh estaba abierto las utilize ahi y ganamos acceso como y podemos ver la flag de root.txt y bueno pues maquina resuelta un poquito enrredada pero divertida eh interesante.
