# Nocturnal

***

Se le hizo un escaneo en la cual se vieron dos puertos abiertos:

* 22 SSH
* 80 HTP

Entramos por el 80:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FTylE4iSpfuNeNx3Eiomn%2Fimage.png?alt=media&#x26;token=00194f50-d438-4d60-9911-76463bbe4fb3" alt=""><figcaption></figcaption></figure>

Al agregar archivos se pudo observar el siguiente link de descarga:

Si el nombre de usuario se obtiene a través de **la URL** , puede enumerar los usuarios aquí.

```
http://nocturnal.htb/view.php?username=luis&file=new.xlsx
```

Con el siguiente comando:

```
ffuf -u 'http://nocturnal.htb/view.php?username=FUZZ&file=new.xlsx' \
     -w /usr/share/wordlists/rockyou.txt \
     -H 'Cookie: PHPSESSID=b39nq45rmcsmiu30uq3u80dj9m' \
     -fs 2985
```

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FcCVlz3lMxXFOWKw8W30Z%2Fimage.png?alt=media&#x26;token=adcfc1db-86bd-45a5-a6d7-7baf0fadd7c7" alt=""><figcaption></figcaption></figure>

Entramos al de amanda primero:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FaqGjOvgYLpl4Svr8razI%2Fimage.png?alt=media&#x26;token=608611a1-b814-41c8-be58-b607c5f83dd5" alt=""><figcaption><p>Descargamos el fichero</p></figcaption></figure>

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2Fsv8VsrV3j2Pk5ucXgLmL%2Fimage.png?alt=media&#x26;token=efe4ea34-2833-4d06-a7f9-0a8ae034281b" alt=""><figcaption><p>Se encontro una credencial</p></figcaption></figure>

Con eso entramos al panel de admin:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FrNaVmMnxxYl2U5PXrwBl%2Fimage.png?alt=media&#x26;token=57c49f30-cc18-4914-a68f-9d91e4a812fe" alt=""><figcaption></figcaption></figure>

Creamos el Backup y lo descargamos:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FmbM0alQf0DnYloEMNDVp%2Fimage.png?alt=media&#x26;token=d9f408d8-ede5-4981-bd3f-dcfe04b15858" alt=""><figcaption></figcaption></figure>

Se obtuvo un .db

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FoiqQk8ZfNyPNZUOuB97M%2Fimage.png?alt=media&#x26;token=3b8a743d-6102-4019-85ca-ee75aa6a0137" alt=""><figcaption></figcaption></figure>

Al abrirlo nos da un hash la cual la crakeamos:

`ssh tobias@nocturnal.htb` pass : `slowmotionapocalypse`

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FlN4gMFPrBXIbdP8gCdIT%2Fimage.png?alt=media&#x26;token=4fc75721-c0f7-47e4-aab2-cfc853a051b4" alt=""><figcaption></figcaption></figure>

***

Encontramos un tunel abierto:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2F2DPiqE8veGuY0e5zNbsx%2Fimage.png?alt=media&#x26;token=e1bd3701-3177-4b3c-96bd-b753658dbc64" alt=""><figcaption></figcaption></figure>

* **Hay un servicio escuchando en el puerto 8080**
* Pero **solo en `127.0.0.1`** (localhost), no está expuesto a la red
* Desde **fuera** (por ejemplo, tú en tu IP `10.10.16.70`), **no puedes acceder directamente** a `http://nocturnal.htb:8080`

```
ssh -L 8080:127.0.0.1:8080 tobias@nocturnal.htb
```

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FtOEDA5xuYyJCTDqIfc5L%2Fimage.png?alt=media&#x26;token=7d3d2d1f-7b27-4925-aed7-cbe31feda81b" alt=""><figcaption></figcaption></figure>

Encontramos la version de ISPCONFIG:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FR664OLWe8Csm9PxMUyxo%2Fimage.png?alt=media&#x26;token=be54a5e2-ffc6-45dd-aa9d-9858a3329329" alt=""><figcaption></figcaption></figure>

El exploit:

{% embed url="<https://github.com/ajdumanhug/CVE-2023-46818.git>" %}

Y bingo:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2F9aj5rcBV9f3Ts2BRSgEa%2Fimage.png?alt=media&#x26;token=4dd75020-52da-429c-816b-1732a3bafae1" alt=""><figcaption></figcaption></figure>

SOMOS ROOT....

***
