# TryHackMe Simple-CTF

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2F40LddRASeK5uF8BZ9OU2%2FCaptura%20de%20pantalla%202023-09-29%20a%20las%2019.38.54.png?alt=media&#x26;token=ba79c746-8b05-4395-ba6e-3f61e7a71f94" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FcEJPZchbcaqdjhzqjWXu%2F1.png?alt=media&#x26;token=1caa8c74-ae57-42bb-89e4-54ce2ae0c6fc" alt=""><figcaption></figcaption></figure>

## Nmap&#x20;

* Primeramente empezamos escaneando los puertos abiertos usando Nmap.

```javascript
# Nmap 7.93 scan initiated Tue Sep 26 17:46:24 2023 as: nmap -sCV -p21,80,2222 -oN target.txt 10.10.56.252
Nmap scan report for 10.10.56.252
Host is up (0.062s latency).

PORT     STATE SERVICE VERSION
21/tcp   open  ftp     vsftpd 3.0.3
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_Can't get directory listing: TIMEOUT
| ftp-syst: 
|   STAT: 
| FTP server status:
|      Connected to ::ffff:10.8.104.25
|      Logged in as ftp
|      TYPE: ASCII
|      No session bandwidth limit
|      Session timeout in seconds is 300
|      Control connection is plain text
|      Data connections will be plain text
|      At session startup, client count was 2
|      vsFTPd 3.0.3 - secure, fast, stable
|_End of status
80/tcp   open  http    Apache httpd 2.4.18 ((Ubuntu))
|_http-server-header: Apache/2.4.18 (Ubuntu)
|_http-title: Apache2 Ubuntu Default Page: It works
| http-robots.txt: 2 disallowed entries 
|_/ /openemr-5_0_1_3 
2222/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.8 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 294269149ecad917988c27723acda923 (RSA)
|   256 9bd165075108006198de95ed3ae3811c (ECDSA)
|_  256 12651b61cf4de575fef4e8d46e102af6 (ED25519)
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Tue Sep 26 17:47:02 2023 -- 1 IP address (1 host up) scanned in 38.18 seconds
```

* Ahora observamos los servicios y versiones que corren para cada puerto que en este caso son tres.

## WFUZZ

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FyrYpKj6glOyaUe5FayCd%2F2.png?alt=media&#x26;token=f67ca79b-06ac-4197-923b-643e2a409d4c" alt=""><figcaption></figcaption></figure>

* Ahora empezamos haciendo fuzzing al puerto 80 utilizando WFUZZ y observamos dos directorios uno robots.txt y simple.
* En robots.txt no hay mucho un nombre de usuario llamado mike. Es informacion y hay que tenerla en cuenta.

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FceV8372X6Nka4QBijkvm%2F3.png?alt=media&#x26;token=8c6a1de0-8fb1-4b5f-95e8-74a274a05e8a" alt=""><figcaption></figcaption></figure>

* El directorio /simple nos lleva aca.

## Whatweb

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FHDtl7xl4f2jiFBnzbiZb%2F4.png?alt=media&#x26;token=7a96e2e6-9065-4cad-b1c4-7049fcb98085" alt=""><figcaption></figcaption></figure>

* Si usamos whatweb para ver que tecnologias corren, observamos un CMS osea un gestor de contenido llamado Made-Simple de version 2.2.8

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FQxOSg9RkbMSDXFKB3SLH%2F5.png?alt=media&#x26;token=905c90fa-e257-4342-8aa5-9c633a21da9a" alt=""><figcaption></figcaption></figure>

* Haciendo uso de Searchsploit buscamos haber si encontramos algo, observamos que encontramos un SQL Injection un script en python.
* Te dejo el enlace al script, se ejecuta con python2. [https://www.exploit-db.com/exploits/46635](https://www.exploit-db.com/exploits/46635)

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FvfK4XcrsF4V20G0QvKR4%2F6.png?alt=media&#x26;token=dd455b42-bbca-4fd8-b003-d35747cdd07b" alt=""><figcaption></figcaption></figure>

* Observando el codigo fuente de la pagina encontramos otro usuario llamado mitch que usando el script de python damos que este usuario usamos para conectarnos por ssh.&#x20;
* Dato, siempre hay que ser curioso y si en la pagina principal no observas nada, el codigo fuente este tu mejor opcion, filtra en el buscador por **\[ID,USER,USERS,Posted,]** aveces puedes encontrar cosas que en la web principal no se observa.

## SSH

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FyfSRp4QVW7WvolgqrzvZ%2F7.png?alt=media&#x26;token=b662c38e-98d8-4657-bf8c-2f3e3d160639" alt=""><figcaption></figcaption></figure>

* Ya con dos usuarios y un pass en mano, nos conectamos por ssh usando el usuario mitch y la contraseña secret.

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2Fbnjx7HACw7lRUSY08Ai0%2F8.png?alt=media&#x26;token=cc0ddeeb-a2e4-4d1a-afb7-568038131b5a" alt=""><figcaption></figcaption></figure>

* Ahora ya dentro y con una TTY totalmente funcional vamos por nuestra primera flag **user.txt.**
* Ahora nos queda buscar la de **root.txt**

## Escalada de privilegios

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FKcCU6rFRXY78eBiIxUWf%2F9.png?alt=media&#x26;token=aa6a9a8c-eda4-4771-b60b-4519148ac7dd" alt=""><figcaption></figcaption></figure>

* Buscando la forma de escalar privilegios observamos que mitch puede ejecutar vim sin proporcionar contraseña.
* Si nos vamos a [https://gtfobins.github.io/](https://gtfobins.github.io/) y buscamos vim hay una forma de ser root que es lo que hago ejecutar vim invocando una bin/sh.
* Ya dentro de vim, si pongo id observamos que soy **root** ahora solo queda ir por nuestra flag de root.txt.
* Y es lo que hacemos en el paso dos ir por la ultima flag y maquina resuelta&#x20;
