Hacemos el reconocimiento con nmap:

{{pasted_image_20230717192747.png|}}

Y esto es lo que tenemos en la web:

{{pasted_image_20230717192806.png|}}

Y esto por el puerto 3333:

{{pasted_image_20230717192857.png|}}

Vamos a hacer fuzzing al puerto 80 en busca de directorios web con gobuster:

{{pasted_image_20230717193236.png|}}

Y si hacemos fuzzing de extensiones de archivos, vemos un action.php:

{{pasted_image_20230717194522.png|}}

Y vemos que si accedemos al action.php se encuentra en blanco:

{{pasted_image_20230717194645.png|}}

Por otra parte, si buscamos estos directorios y cada uno de ellos tiene un código codificado en base64:

{{pasted_image_20230717193426.png|}}

Si decodificamos cada uno de los textos, vemos lo siguiente:

{{pasted_image_20230717193652.png|}}

Y si establecemos conexiones sobre cada una de estos directorios por el puerto 3333, veremos que si escribo lamp, me saca una serie de archivos:

{{pasted_image_20230717194124.png|}}

Vamos a interceptar una petición desde el cuadro inicial con burp suite:

{{pasted_image_20230717195357.png|}}

Y esta es la petición interceptada:

{{pasted_image_20230717195422.png|}}

Y tenemos que cambiar el content-type y añadir abajo el payload del XXE, por tanto lo modificamos de esta forma:

{{pasted_image_20230717195624.png|}}

Y buscamos el payload en la web de payloadsallthethings:

<code bash>
https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XXE%20Injection

</code>

{{pasted_image_20230717195609.png|}}

Y este es el resultado, donde podemos explotar un XXE y ver el archivo /etc/hosts:

{{pasted_image_20230717195711.png|}}