Haremos los mismos reconocimientos de siempre:

Como vemos que tiene abierto el puerto 80 vamos a entrar en la web y analizarlo con whatweb:

Podemos buscar subdominios ocultos que la IP no esté apuntando, por tanto podemos hacer un ataque axfr (ataque de transferencia de zona), utilizando el comando dig, y vemos que encontramos un dominio oculto llamado preprod-payroll.trick.htb:

Y lo añadimos al /etc/hosts:

Y accedemos a esta extraña web:

Podemos probar en hacer una inyección SQL básica y vemos que podremos entrar:

En la parte de Users vemos que podemos modificar el usuario, y se puede ver el Username y la contraseña con asteriscos:

Si inspeccionamos el código fuente de la página, veremos cómo podemos modificar el html para quitar esos asteriscos y así poder ver la contraseña:

Ahora lo que haremos será comprobar subdominios ocultos en esta web, ya que vemos que trick.htb se mantendrá pero la parte de preprod-payroll es posible que cambie y que haya otras webs con distintos nombre, por tanto lo haremos con WFUZZ, pero la configuración será un poco diferente porque las combinaciones no van al final de la URL, sino en medio:

Y nos encuentra un subdominio que se llama marketing:

Lo añadimos al /etc/hosts:

Y si lo ponemos en el navegador nos encuentra esto:

Y vamos a probar si es vulnerable a path traversal, y vemos que sí:

Ahora podremos obtener la RSA para poder acceder por ssh, que estará dentro del directorio del usuario michael donde se almacenan las id_rsa:Acceder id_rsa para iniciar sesión por SSH a la máquina

Guardamos la clave:

Le damos los permisos propios de una id_rsa:

Y nos conectamos por ssh de esta manera utilizando la id_rsa: