Haremos el escaneo de nmap:

{{pasted_image_20230426111455.png|}}

Vemos que está abierto el puerto 80, por lo que hacemos un whatweb y vemos la web en el navegador:

{{pasted_image_20230426111604.png|}}

{{pasted_image_20230426111613.png|}}

Podemos hacer fuzzing y vemos una ruta llamada admin, que nos lleva a un panel de autenticación:

{{pasted_image_20230426111826.png|}}

{{pasted_image_20230426111840.png|}}

Si miramos el código fuente de la página, vemos que se hace una llamada a varios archivos javascript:

{{pasted_image_20230515133354.png|}}

Y en el fichero login.js vemos cómo hay un código donde se hace uso de las cookies de la web:

{{pasted_image_20230515133426.png|}}

Por lo que viendo esto, podemos ir al apartado de las cookies en la web y crear una nueva cookie con el nombre de SessionToken y el siguiente path (tal y como vemos en esa sentencia condicional, donde dice que nos da el id_rsa si ponemos SessionToken):

{{pasted_image_20230515133607.png|}}

Y ahora refrescamos la página y obtenemos un id_rsa:

{{pasted_image_20230515133624.png|}}

Creamos un archivo con el id_rsa:

{{pasted_image_20230515133708.png|}}

Y ahora con john the ripper lo crackeamos para obtener el salvo conducto y poder acceder vía ssh y vemos que la contraseña es james13:

{{pasted_image_20230515133821.png|}}

{{pasted_image_20230515133931.png|}}

Para escalar privilegios, podemos listar los binarios SUID y vemos que pkexec está ahí:

{{pasted_image_20230515134527.png|}}

Por lo que tenemos este exploit para explotar esta vulnerabilidad:

{{pasted_image_20230515134549.png|}}

Lo compartimos con la máquina víctima, lo ejecutamos y ya somos root:

{{pasted_image_20230515134615.png|}}