# Slingshot

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FjKU8O3WJ2VqS6jfkcM14%2F0.png?alt=media)<br>

Contenido

**Pregunta 1** 3

**Pregunta 2** 3

**Pregunta 3** 4

**Pregunta 4** 4

**Pregunta 5** 5

**Pregunta 6** 5

**Pregunta 7** 6

**Pregunta 8** 6

**Pregunta 9** 7

**Pregunta 10** 8

**Pregunta 11** 9

**Pregunta 12** 9

**Pregunta 13** 9

**Pregunta 14** 10

Vamos a comenzar accediendo a la ip que nos proporciona tryhackme con sus credenciales:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FFBK45CrVMz9PntK8KTJO%2F1.png?alt=media)

Lo siguiente será setear el filtro de tiempo con inicio de 26 de julio de 2023 que según la empresa es cuando comenzó las actividades sospechosas:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2F24BT7Ja2DNjRbWDsGxY3%2F2.png?alt=media)

El siguiente paso que daremos será añadir estos 4 campos a nuestro filtro:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FtyxmROOe91e9tH7IfCVv%2F3.png?alt=media)

### **Pregunta 1** <a href="#toc160452516" id="toc160452516"></a>

Nos piden la ip del atacante , si posicionamos el curos encima del campo transaction.remote.adress:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FTYZBgSaaTjkFsLpC8pSs%2F4.png?alt=media)

Vemos como mas del 80% del trafico remoto viene de la 10.0.2.15 asi que vamos a suponer que ese es el atacante.

### **Pregunta 2** <a href="#toc160452517" id="toc160452517"></a>

Para esta segunda pregunta una vez hemos filtrado por dicha ip vamos a ordenarlos de mas antiguos a mas nuevos:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FGmXB8QqyYjkifgnsN5ZN%2F5.png?alt=media) (Sort old-new)

Y vemos lo siguiente:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FxToI4oWl44G3sPLlWJtU%2F6.png?alt=media)

Y parece que lo primero que hizo el atacante fue un nmap (nmap scripting engine)

### **Pregunta 3** <a href="#toc160452518" id="toc160452518"></a>

Para este ejercicio nos piden el user agent utilizado para la enumeración de directorios. Como es una enumeración de directorios seguramente habrá muchos errores 404 , asi que vamos a filtrar por los errores 404 posando el raton encima y añadiéndolo al filtro:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FyXjelevM35l166oomKAF%2F7.png?alt=media)

Parece que hizo una enumeración típica con gobuster:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FJHdra1kOSQZUDPWD2Pr9%2F8.png?alt=media)

### **Pregunta 4** <a href="#toc160452519" id="toc160452519"></a>

Para esta pregunta solo necesitamos mirar el filtro de la pregunta anterior para ver el numero de hits 404 que genero:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2F2NtPpsefDpPyukWWeDk6%2F9.png?alt=media)

Es decir 1867

### **Pregunta 5** <a href="#toc160452520" id="toc160452520"></a>

Aquí nos piden la flag que encontró el atacante , para ello primero vamos a filtrar por el código 200 en vez del 404 ya que el 200 es un ok:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2Fnh3VJH8hAe265or0cK4p%2F10.png?alt=media)

Como podemos ver tenemos 203 coincidencias.Si bajamos un poco:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FNapEhey1NS50dZQfeBzm%2F11.png?alt=media)

Vemos la flag.

### **Pregunta 6** <a href="#toc160452521" id="toc160452521"></a>

Ahora nos piden la web de login , puesto que mirando los códigos 200 no encontramos nada y los 404 tampoco van a ser vamos a modificar el filtro para que no nos busque ni por uno ni por otro:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FHlobUN73oqXIXPRuoLiZ%2F12.png?alt=media)

Ademas añadiremos el filtro de que busque por el user-agent de gobuster que es el que enumera directorios:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FOs89FaZ0VvLD06ZpMnY1%2F13.png?alt=media)

Y vemos lo siguiente:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FlnDpqErA0hr2K31Fr990%2F14.png?alt=media)

Asi que ya tendríamos el login.

### **Pregunta 7** <a href="#toc160452522" id="toc160452522"></a>

Dado que nos piden el user-agent utilizado en el ataque de fuerza bruta , vamos a filtrar esta vez por los códigos de respuesta 401 que son los no autorizados:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2F4r76d7XxHuUED5qDyNxx%2F15.png?alt=media)

Y como podemos ver el resultado es nuestra famosa herramienta hydra.

### **Pregunta 8** <a href="#toc160452523" id="toc160452523"></a>

Para esta pregunta nos piden el usuario y contraseña utilizados por el atacante en el login , para ello primero utilizaremos el filtro con el código 200 y el user-agent (hydra):

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FkeS2IqocPl4FIyLb3wLy%2F16.png?alt=media)

Y nos da el siguiente resultado:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2Fys6i1t2xyhhFHQSuGS1i%2F17.png?alt=media)

Si clickamos donde dice “toggle dialog with details”:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FbSmLiVcxzUvlDdrjTTEg%2F18.png?alt=media)

Vemos ese tipo de información , nos llama la atención el campo request.headers.authorization que parece un hash.Vamos a descifrarlo:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FHeDCRd7kx1tl0prd1JBu%2F19.png?alt=media)

Y parece que teníamos un base 64.

### **Pregunta 9** <a href="#toc160452524" id="toc160452524"></a>

Ahora nos pregunta por la flag que iba dentro del archivo que uploadeo el atacante desde el directorio admin , asi que vamos a filtrar por ese directorio:

![](https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FIxKLZKskn2Kta6RuqgNm%2F20.png?alt=media)

Y vemos distintos eventos:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FYGC34Dl4apG9XYG8vqdJ%2Fimage.png?alt=media&#x26;token=1069d56d-febf-45ec-a39f-58ce7bd5d110" alt=""><figcaption></figcaption></figure>

Aunque de todos me llama la atención el tercero vamos a abrirlo y ver si vemos algo:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FGlTxYZ1CtZpYmwbU3g4T%2Fimage.png?alt=media&#x26;token=9db5c2df-b248-4213-a9e1-271cd89bd028" alt=""><figcaption></figcaption></figure>

Efectivamente en el campo message estaba la flag.

### **Pregunta 10** <a href="#toc160452525" id="toc160452525"></a>

Ahora nos pide el primer comando que ejecuto con la webshell , asi que vamos a filtrar por códigos 200 , y el nombre del archivo que uploadeo el atacante que lo sacamos de la pregunta anterior:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2F4OX0aiXQxeZg9bnKZSSq%2Fimage.png?alt=media&#x26;token=b3796397-4246-476d-bed4-dc21a6ade62d" alt=""><figcaption></figcaption></figure>

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2Fo8q43A2YTkLvMiYYnWxR%2Fimage.png?alt=media&#x26;token=692eb261-2997-4ba6-8563-496d7efc7104" alt=""><figcaption></figcaption></figure>

Y tras el filtro podemos ver que lo primero que ejecuto fue un whoami:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FJfos0UqKxwArBQDqasT9%2Fimage.png?alt=media&#x26;token=2092a4f7-f9cc-46b8-a736-a74675c63729" alt=""><figcaption></figcaption></figure>

### **Pregunta 11** <a href="#toc160452526" id="toc160452526"></a>

Nos piden la ruta de las cuales el atacante saco las credenciales de la base de datos , anteriormente cuando filtramos por código 200 y /admin/\* vimos una ruta sospechosa:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FjFEGmOgaHje1cBO4JCls%2Fimage.png?alt=media&#x26;token=36c484a7-a8a3-48d7-8935-f6b794b2058c" alt=""><figcaption></figcaption></figure>

Y como el atacante realizo muchas consultas a ese directorio y además se descargo la base de datos suponemos que las saco de ahí. (etc/phpmyadmin/)

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FXa4R3ZLub5ZwxPHcsEAY%2Fimage.png?alt=media&#x26;token=c0b9bae1-daf3-48fa-88ac-9d0eb9478b48" alt=""><figcaption></figcaption></figure>

### **Pregunta 12** <a href="#toc160452527" id="toc160452527"></a>

Esta es muy fácil , nos piden el directorio de donde accedió a la base de datos:

/phpmyadmin

### **Pregunta 13** <a href="#toc160452528" id="toc160452528"></a>

Ahora nos piden la base de datos que exporto , para ello vamos a filtrar por el directorio de la pregunta 12 :&#x20;

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FsxD36f3aX2WFbuNHNtL4%2Fimage.png?alt=media&#x26;token=0af0566f-e2bc-4023-8db6-c6dc83e8af4b" alt=""><figcaption></figcaption></figure>

Ademas añadi la palabra export para ver si tenia suerte:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FcA2b3UCfHYZYQI33pisJ%2Fimage.png?alt=media&#x26;token=d05cfdc7-9116-4b9b-bdaf-80163dd396ef" alt=""><figcaption></figcaption></figure>

Ahora ya solo faltaría abrir el evento y ver el nombre de la base de datos que exporto:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FO0emkmwq1abrAITYZx3r%2Fimage.png?alt=media&#x26;token=1f79844c-20f7-4a3b-a0e3-5214dd26f069" alt=""><figcaption></figcaption></figure>

Y parece que la base de datos se llamaba: “customer\_credit\_cards”

### **Pregunta 14** <a href="#toc160452529" id="toc160452529"></a>

Para la ultima pregunta nos pide que flag añadió el atacante a la base de datos asi que cambiamos el filtro de export , a import:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FPLImX7f3QjtrOQgN7oEX%2Fimage.png?alt=media&#x26;token=13654449-0d63-49e4-921a-12c6e591d922" alt=""><figcaption></figcaption></figure>

Y luego pues lo mismo ir dentro del evento en el mensaje a ver que flag metio:

<figure><img src="https://823954581-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FGpTvvjhvDzSmIBM1pNPw%2Fuploads%2FgYXC09GPhjJrrKNksURn%2Fimage.png?alt=media&#x26;token=9628bf93-c27d-4d69-bb4e-9230a5baf761" alt=""><figcaption></figcaption></figure>

Parece que en todas las consultas aparece el mismo código en todos los insert que hace en la base de datos.Asi que esa será la flag.
