Hacemos el escaneo de nmap:

Y esto es lo que corre por el puerto 80, donde se hace una mención al protocolo ftp y vemos un usuario llamado Juan:

Por lo que hacemos un ataque de fuerza bruta con hydra:

hydra -l juan -P /usr/share/wordlists/rockyou.txt ftp://192.168.0.60

Dentro del servidor ftp vemos muchos archivos:

Por lo que haremos una descarga recursiva de todos estos archivos con el comando wget de esta forma, poniendo la IP del servidor FTP:

wget -r ftp://"juan":"alexis"@192.168.0.60/

Si ejecutamos el comando tree veremos todos los archivos dentro de las carpetas, donde vemos un fichero de contraseña:

Pero es un rabbit hole:

De todos modos con el comando tree no estamos viendo los archivos ocultos, por lo que usaremos un tree -a .

tree -a .

Y ahora vemos un archivo oculto dentro de fold10:

Y nos dice algo de una cookie dentro del directorio personal del usuario:

De todos modos, dejando esta parte en pausa, si accedemos vía ssh con las credenciales de FTP vemos que estamos dentro:

Vemos 2 usuarios dentro de /home:

Pero lo interesante es si buscamos archivos con extensión .sh, donde vemos que hay uno muy interesante:

find / -name *.sh 2>/dev/null | xargs ls -l

Y si vemos el contenido del script sería este, donde vemos que se hace un curl a un archivo y luego se ejecuta con bash:

Nos da que pensar que este script se está ejecutando por detrás de forma automatizada, por lo que tenemos una utilidad llamada pspy para ver procesos que están corriendo:

Nos lo compartimos con curl porque wget no está instalado en la máquina víctima:

Y se empieza a ejecutar:

Y podemos confirmar que el script se ejecuta cada cierto tiempo:

La idea es poder crear un fichero llamado a.bash y hacer que el script lo ejecute antes de que llegue a eliminarlo:

Por tanto vamos a crear un bucle que constantemente esté creando el archivo con el código malicioso:

#!/bin/bash
 
while true; do
    echo 'chmod u+s /bin/bash' >> /tmp/a.bash && echo 'Funciona'
done

Si hacemos esto estaremos creando constantemente dicho archivo y si ejecutamos el script conseguiremos que se ejecute el código malicioso:

Y mientras este bucle se ejecuta, posiblemente se haya ejecutado de forma automatizada el script de chek_for_install.sh, por lo que detenemos el script y probamos en ejecutar un bash -p y ya somos root: