Acabamos de entrar en el sistema, y lo primero es hacer algunas comprobaciones iniciales de nuestra situación. ¿Qué permisos tenemos?¿Podemos subirnos a root?¿Qué más usuarios hay en la máquina?¿Cuales son los más privilegiados?
Contenido de /etc/passwd
Fijemonos en un par de cosas. En primer lugar, ese aviso en el usuario root, que indica algo acerca de la encriptación del ftp y el password de root. En segundo lugar, fijaos que el usuario aadams, tiene un gid de 10, y que si miramos en /etc/groups, pertenece al grupo wheel. El grupo wheel suele ser un grupo con privilegios de administración, así que si no podemos acceder directamente a root, igual deberíamos tratar de pasar por aadams.
Una de las cosas que podemos hacer, es tratar de encontrar los ficheros setuid que pertenezcan a root o a aadams, y tratar de localizar los scripts, ya que es difícil localizar binarios oficiales con fallos que nos permitan elevar privilegios y requiere mucho más tiempo del que tenemos.
¿Algún setuid interesante?
Bueno, no ha habido suerte, pero mientras hacíamos esto, hemos dejado un ataque con brutessh contra el usuario aadams (igual que el que usamos contra bbanter). Y como eso tarda un rato, lanzamos un análisis con nikto por si hubiera algo interesante; no lo hay. Ojeamos por si hubiera algún exploit para el kernel, y aunque lo hay, la máquina no dispone de herramientas de compilación (punto a favor). Aunque he intentado compilarlo en una slax, no he tenido éxito (problemas de dependencias, librerías distintas…). Mientras exploramos algunas otras posibilidades el ataque por fuerza bruta ha tenido éxito, y hemos obtenido la password de aadams. Accedemos al sistema con el nuevo usuario, y comprobamos de nuevo el estado en que nos encontramos.
El hash del password de root es nuestro
En primer lugar comprobamos que somos del grupo wheel, y tratamos de acceder al cofre del tesoro, pero no tenemos permisos suficientes. Bueno, tratamos de usar sudo con la esperanza de que perteneciendo a wheel podamos hacerlo y… bueno, no podemos subir a root, pero fijaos en el mensaje “not allowed to execute /bin/bash”, lo que quiere decir que existen algunos comandos que sí podemos ejecutar. Tras varias pruebas, encontramos que cat es uno de ellos, y como es obvio, echamos un ojo al fichero /etc/sudoers a ver qué más podemos hacer. Parece que poca cosa, pero suficiente para leer /etc/shadow y llevarnos el hash del password de root para crackearlo con calma. Además, podemos acceder al ftp, y descubrimos que lo que hay allí es un fichero cifrado con supuesta información acerca de sueldos.
Usamos john the ripper con dos diccionarios diferentes
Ha sido fácil, en apenas unos minutos, john nos ha encontrado la password de root. Podíamos haber utilizado rainbow tables e incluso haber buscado ese hash en google, pero esto no ha sido costoso. Con la password de root en mano, suponemos que nos servirá para descifrar el archivo de sueldos (el comentario en /etc/password sugería esto). Se nos plantea un problema, ¿qué algoritmo se ha utilizado para cifrar el fichero? Podríamos haber examinado el contenido del fichero cifrado (con un hexdump) y quizá habríamos localizado algo de información relevante, pero en realidad tampoco hay tantos tipos, y puesto que hemos llegado hasta aquí a base de fuerza bruta…
Desciframos con openssl
Sí amigos, un script bastante simple que prueba todas las opciones de cifrado que da openssl y luego un file a todos los ficheros, a ver cual es el descifrado (el ASCII, obviamente). No nos queda más que ir al responsable de la empresa y presentar nuestro informe, un poco flojo, puesto que pese a haber conseguido acceso root y los datos confidenciales, se ha realizado todo con técnicas de fuerza bruta; aunque oye, la seguridad de las contraseñas es algo que se debe tener en cuenta.
El premio gordo
Por supuesto, esta es mi solución al reto, seguro que hay muchas otras, y mejores que esta, pero funciona, ¿no? 
Esto ha sido todo por ahora, más adelante contaremos como resolver el siguiente nivel.
).
Con esto es suficiente por ahora, que el post ya es bastante largo de por sí. El acceso a la víctima y la escalada de privilegios, en otro post.
