Trust

Trust es una máquina de la plataforma DockerLabs con dificultad Muy Fácil, basada en Linux Debian. Expone únicamente dos servicios: SSH en el puerto 22 y un servidor web Apache en el puerto 80.

El objetivo es comprometer completamente el sistema — obtener acceso inicial como usuario no privilegiado y escalar hasta conseguir una shell como root. La cadena de ataque pasa por enumeración web, extracción de un nombre de usuario expuesto, fuerza bruta de credenciales SSH y abuso de permisos sudo mal configurados.

Desplegamos la máquina con el script auto_deploy.sh de DockerLabs. Levanta el contenedor, asigna la IP interna de la red Docker y mantiene la máquina activa hasta que se para con Ctrl+C. Requiere sudo para gestionar interfaces de red Docker.

Lanzamos Nmap con detección de versiones sobre todos los puertos TCP. El resultado identifica dos servicios: SSH en el 22 (OpenSSH 9.2p1 Debian) y HTTP en el 80 (Apache 2.4.57 Debian). Superficie de ataque mínima — todo el reconocimiento se centra en el servidor web.

Accedemos al puerto 80 en el navegador. Encontramos la página por defecto de Apache2 en Debian — no hay contenido útil visible. Esto nos indica que hay recursos no enlazados que hay que descubrir mediante fuzzing.

Aplicamos fuzzing con Gobuster usando la wordlist DirBuster medium de SecLists y extensiones php, html, txt. Gobuster prueba sistemáticamente cada entrada contra el servidor y reporta los códigos de respuesta. El objetivo es encontrar recursos ocultos no enlazados desde la página principal.

Accedemos a http://172.22.0.3/secret.php. La página muestra el mensaje "Hola Mario, Esta web no se puede hackear." — el desarrollador dejó expuesto el nombre de un usuario real del sistema. Confirmamos con curl que el nombre mario está hardcodeado en el HTML. Ya tenemos el primer factor de las credenciales SSH.

Con el usuario mario confirmado, lanzamos Hydra para un ataque de diccionario contra SSH usando rockyou.txt — el wordlist de contraseñas estándar en CTFs con millones de contraseñas reales filtradas. El flag -t 4 lanza 4 hilos paralelos.

Nos conectamos por SSH con las credenciales obtenidas. Al ser la primera conexión a esta IP, SSH pide confirmación para almacenar el fingerprint del host — respondemos yes. Obtenemos shell como mario.

El primer comando tras obtener acceso es sudo -l — lista qué binarios puede ejecutar el usuario actual con privilegios elevados. El resultado muestra que mario puede ejecutar vim como cualquier usuario del sistema, incluyendo root, sin restricciones.

Consultamos GTFOBins para ver cómo abusar de vim con permisos sudo. En el momento de hacer esta máquina, la entrada de vim en GTFOBins tenía la sección Shell en recuadro discontinuo sin información — versión incompleta. La solución: buscar vi en GTFOBins, ya que vim es una extensión directa de vi y comparten exactamente los mismos vectores de escalada. El exploit :shell funciona igual en ambos.

Ejecutamos vim con sudo y el flag -c que lanza un comando Ex al arrancar. :shell abre una shell interactiva desde dentro de vim. Como vim corre con sudo, la shell heredada es de root. Verificamos con whoami.

Trust demuestra cómo una cadena de vulnerabilidades simples puede comprometer completamente un sistema. La enumeración web exhaustiva fue clave — sin Gobuster, secret.php nunca hubiera aparecido. El segundo aprendizaje importante es que cualquier editor de texto con permisos sudo es un vector de escalada: vim, nano, less, more... todos están en GTFOBins. Siempre auditar sudo -l tras obtener acceso inicial.