-
Subscribe
Subscribed
Already have a WordPress.com account? Log in now.
Creador del Ejercicio: Ricardo Narvaja Análisis General. El objetivo fue entender el flujo de ejecución del programa, identificar cómo se realiza la verificación de una key (clave) de entrada y manipular los valores internos para lograr decifrar la key. Análisis Inicial. Comienzo analizando la instrucción mov rax, cs:__security_cookie Esta línea carga en el registro rax…
Acerca de Bucket Es una máquina Linux de dificultad media que cuenta con LocalStack que simula un entorno AWS local. La aplicación web se ejecuta en un servidor Apache y los archivos están alojados en un bucket S3 abierto que nos permite soltar un archivo PHP malicioso y así obtener una shell inversa. En el…
Acerca de Trickster Trickster es una máquina Linux de dificultad media que incluye una aplicación PrestaShop vulnerable a CVE-2024-34716. La explotación de esta vulnerabilidad otorga acceso al servidor remoto como usuario www-data. La enumeración posterior revela archivos de configuración de PrestaShop que contienen credenciales de base de datos, lo que nos permite volcar y descifrar…
Acerca de Caption Caption es una caja Linux de dificultad dura, que muestra el encadenamiento de vulnerabilidades de nicho que surgen de diferentes tecnologías como HAProxy y Varnish. Comienza con unas credenciales por defecto que dan acceso a GitBucket, que expone las credenciales de acceso a un portal web a través de commits. La aplicación…
Acerca de MonitorsThree Es una máquina Linux de dificultad media que presenta un sitio web para una empresa que ofrece soluciones de red. El sitio web tiene una página de olvido de contraseña vulnerable a la «inyección SQL», que se aprovecha para obtener acceso a las credenciales. Una enumeración más detallada del sitio web revela…
Acerca de Sightless Sightless es una máquina Linux de dificultad fácil que presenta un sitio web para una empresa que ofrece varios servicios. La enumeración del sitio web revela una instancia SQLPad vulnerable a la inyección de plantillas [CVE-2022-0944](https://nvd.nist.gov/vuln/detail/CVE-2022-0944), que se aprovecha para obtener un punto de apoyo dentro de un contenedor Docker. La enumeración…
Acerca de Compiled Compiled es una máquina Windows de dificultad media que cuenta con una instancia de Gitea y una aplicación web que clona URLs de repositorios Git en el backend. La versión Git del servidor es vulnerable a CVE-2024-32002, que puede explotarse para obtener acceso inicial con una shell Git Bash como Richard. Descifrando…
Acerca de Sea Sea es una máquina Linux de dificultad fácil que presenta CVE-2023-41425 en WonderCMS, una vulnerabilidad cross-site scripting (XSS) que puede ser utilizada para subir un módulo malicioso, permitiendo el acceso al sistema. La escalada de privilegios consiste en extraer y crackear una contraseña del archivo de base de datos de WonderCMS, para…
Acerca de Cap. Cap es una máquina Linux de fácil dificultad que ejecuta un servidor HTTP que realiza funciones administrativas incluyendo la realización de capturas de red. Controles inadecuados resultan en Referencia Directa Insegura de Objetos (IDOR) dando acceso a la captura de otro usuario. La captura contiene credenciales en texto plano y puede utilizarse…
Quantum 
You must be logged in to post a comment.