pentesting-obioba

Pentesting caja negra: Shellshock (CVE-2014-6271) + Log4Shell (CVE-2021-44228). Escalada a root. Informe ejecutivo y técnico

Pentesting Obioba — Seguridad Audit (Black Box)

Proyecto del Bootcamp 360° en Ciberseguridad de The Bridge Digital Talent Accelerator (2025-2026).

🎯 Objetivo

Realizar una auditoría de seguridad sobre un servidor legacy mediante metodología de caja negra, simulando un actor de amenaza externo sin credenciales previas. El objetivo fue identificar vulnerabilidades que permitieran acceso no autorizado y escalada de privilegios hasta control total del sistema.

🧪 Entorno

• Objetivo: Servidor Obioba (repositorio de bases de datos heredadas)
• Atacante: Kali Linux
• Metodología: Caja negra — sin conocimiento previo de la infraestructura
• Entorno: Laboratorio controlado y aislado

🔁 Fases ejecutadas

1. Reconocimiento y enumeración

Identificación de servicios expuestos mediante Nmap con flags -sV -sC -p-. Descubrimiento de tres vectores de interés: SSH (puerto 22), servicio web Apache (puerto 8081) y servicio Java/Nagios (puerto 8080).

2. Análisis de vulnerabilidades

Enumeración web con DIRB para confirmar rutas /cgi-bin/. Escaneo con Nessus del puerto 8080 que reveló vulnerabilidad crítica Log4Shell con CVSS 10.0.

3. Explotación — Shellshock (CVE-2014-6271)

Explotación del script CGI vulnerable en puerto 8081 mediante Metasploit (apache_mod_cgi_bash_env_exec). Obtención de shell como usuario www-data.

4. Escalada de privilegios — Log4Shell (CVE-2021-44228)

Inyección JNDI en cabeceras HTTP del puerto 8080 mediante Metasploit (log4shell_header_injection). El servicio Java corría como root — compromiso total del sistema.

5. Informe ejecutivo y plan de mitigación

Documentación de impacto en la tríada CIA, análisis de riesgos por criticidad y plan de remediación con plazos concretos.

🛠️ Herramientas utilizadas

🛡️ Mapeo MITRE ATT&CK

📊 Resultado

Compromiso total del servidor en menos de 3 horas. Ambas vulnerabilidades son conocidas y tienen parches disponibles desde hace años — lo que demuestra el riesgo real de sistemas legacy sin mantenimiento.

🔒 Nota de confidencialidad

⚠️ Los informes técnicos detallados, capturas de pantalla y evidencias del proyecto no se publican en este repositorio por razones de confidencialidad con la entidad formativa (The Bridge Digital Talent Accelerator).

Si eres reclutador o profesional del sector y deseas ver el material completo (informes ejecutivos, PoC, capturas y planes de mitigación), no dudes en contactarme:

📧 [email protected] 🔗 LinkedIn

⚠️ Disclaimer

Este proyecto se ejecutó en un entorno de laboratorio aislado con fines educativos. Las técnicas documentadas están orientadas a la mejora de capacidades defensivas.

📧 Contacto

Facundo Martín Fernández Otón · GitHub