Hack The Box - Informe de Preignición (Directorios)

En este write up cubro los pasos de solución de la máquina Preignition de la ruta Starting Point de Hack The Box, con nivel de dificultad Muy fácil. Es una máquina VIP, por lo que se requiere una mejora desde el plan gratuito para desplegarla.

Introducción

Los servidores web suelen ser la puerta de entrada a muchas infraestructuras. Alojan aplicaciones como WordPress, que exponen un sitio público y un panel privado de administración en rutas típicas como wp admin. Aunque estos paneles requieren inicio de sesión, componentes desactualizados o configuraciones inseguras pueden abrir vulnerabilidades críticas. Para un pentester, dominar cómo funcionan estos paneles y su enumeración es clave para obtener un primer acceso y pivotar dentro de la red.

Por ello, la enumeración web y, en particular, el directorio busting o dir busting, es una de las habilidades esenciales en ciberseguridad ofensiva. Navegar manualmente rara vez revela todo. Muchas rutas y páginas no están vinculadas públicamente y, por tanto, quedan menos vigiladas. Si no supiéramos que wp admin es el área administrativa, la descubriríamos mediante enumeración y dir busting.

Cuestionario rápido

Tarea 1 Nombre alternativo para Directory Brute forcing. Respuesta: dir busting

Tarea 2 Conmutador de Nmap para detección de versiones. Respuesta: -sV

Tarea 3 Servicio en el puerto 80 tcp según Nmap. Respuesta: http

Tarea 4 Nombre y versión del servidor en 80 tcp. Respuesta: nginx 1.14.2

Tarea 5 Modo de Gobuster para dir busting. Respuesta: dir

Tarea 6 Extensiones a buscar con Gobuster para PHP. Respuesta: -x php

Tarea 7 Página encontrada en el dir busting. Respuesta: admin.php

Tarea 8 Código de estado HTTP reportado para la página descubierta. Respuesta: 200

Enumeración y explotación

1. Escaneo inicial con Nmap. Ejecuté un reconocimiento con detección de versiones y scripts de reconocimiento. Comandos típicos de uso: sudo nmap -Pn IP_objetivo -sV -A o, de forma más rápida, sudo nmap IP_objetivo -sV. El resultado mostró el puerto 80 abierto y servicio http corriendo sobre nginx 1.14.2.

2. Revisión en el navegador. Al visitar IP_objetivo en el puerto 80, se carga la página por defecto de nginx. Este índice sugiere una configuración básica o incluso credenciales por defecto aún no cambiadas, y no ofrece enlaces visibles para navegar más allá.

3. Dir busting con Gobuster. Para buscar contenido oculto utilicé gobuster en modo dir con un wordlist como common.txt, indicando la URL objetivo y la extensión php para aumentar el alcance. Parámetros clave usados: -w para el diccionario, -u para la URL y -x php para buscar archivos PHP además de directorios. Ejemplo orientativo de uso: sudo gobuster dir -w ruta_al_diccionario -u https://IP_objetivo -x php.

4. Alternativa con ffuf. Si el servidor responde de forma particular a directorios, probar patrones de archivos puede acelerar hallazgos. Con ffuf, un patrón común es usar FUZZ.php en la ruta. Ejemplo orientativo de uso: sudo ffuf -w ruta_al_diccionario -u https://IP_objetivo/FUZZ.php. El resultado devolvió admin.php con código 200.

5. Acceso al panel. Al abrir https://IP_objetivo/admin.php aparece un panel de login. Probé credenciales por defecto habituales y funcionó admin admin. Tras iniciar sesión, se muestra directamente la flag de root en el panel.

Conclusiones y aprendizaje

La máquina Preignition refuerza conceptos esenciales: reconocimiento con Nmap y lectura de versiones, dir busting con Gobuster y ffuf para encontrar rutas y archivos ocultos, y verificación de credenciales por defecto en paneles administrativos. Estos hábitos marcan la diferencia en cualquier auditoría de ciberseguridad y pentesting web.

Acerca de Q2BSTUDIO

En Q2BSTUDIO somos una empresa de desarrollo de software con foco en aplicaciones a medida, software a medida, inteligencia artificial e iniciativas de ciberseguridad. Diseñamos productos robustos, escalables y seguros, apoyados en servicios cloud AWS y Azure, servicios de inteligencia de negocio y analítica avanzada con power bi, y capacidades de ia para empresas incluyendo agentes IA y automatización inteligente. Si buscas un socio tecnológico que combine seguridad y velocidad de entrega, podemos ayudarte.

Te invitamos a conocer nuestros servicios de ciberseguridad y pruebas de penetración en ciberseguridad y pentesting, y descubrir cómo aceleramos tus iniciativas digitales con aplicaciones a medida y software a medida.

Consejo final

Integra enumeración web en cada proyecto, automatiza con diccionarios bien curados, registra cada hallazgo y fortalece tus despliegues con hardening de servicios y eliminación de credenciales por defecto. Así evitas vectores como el de Preignition antes de llegar a producción.