DOCKERLABS
11 análisisObsession
FTP anónimo + enumeración con wfuzz + fuerza bruta SSH con Hydra + escalada mediante SUID env.
Trust
Gobuster para descubrir secret.php + fuerza bruta SSH con Hydra + escalada mediante sudo vim.
Tproot
Nmap detecta vsftpd 2.3.4 → backdoor CVE-2011-2523 explotada con exploit Python → root directo sin escalada.
BreakMySSH
nmap detecta puerto 22 OpenSSH 7.7 → Metasploit auxiliary/scanner/ssh/ssh_login → fuerza bruta SSH → acceso root.
FirstHacking
DockerLabs muy fácil: nmap detecta vsFTPd 2.3.4 en el puerto 21 y el backdoor de la versión troyanizada abre una shell como root en el 6200 tras autenticarse con un usuario que contiene la secuencia de dos puntos y paréntesis.
BorazuwarahCTF
Una imagen del puerto 80 filtra el usuario por metadatos EXIF; Hydra rompe la contraseña SSH y un sudo /bin/bash sin contraseña da acceso root.
Mírame
SQLi con sqlmap + esteganografía con steghide/stegseek + crackeo ZIP con John → SSH → escalada mediante SUID find.
Injection
Bypass de inyección SQL en login → credenciales dylan → SSH → SUID env con GTFObins → root.
Pinguinazo
SSTI Jinja2 en Flask → RCE como pinguinazo → reverse shell → sudo java NOPASSWD → Shell.java con ProcessBuilder → root.
Upload
Panel de subida sin restricciones → Reverse shell en PHP (PentestMonkey) → shell como www-data → sudo /usr/bin/env NOPASSWD → GTFObins → root.
Database
SQLi + enumeración SMB + Java reverse shell + escalada mediante SUID env.
HACKTHEBOX
26 análisisMeow
nmap descubre puerto 23 Telnet abierto → credenciales por defecto root sin contraseña → acceso directo como root → flag.
Fawn
nmap descubre puerto 21 FTP con vsftpd 3.0.3 → login anónimo permitido → descarga flag.txt vía get → flag.
Redeemer
nmap descubre puerto 6379 Redis abierto → redis-cli sin autenticación → info keyspace revela db0 → select 0 → keys * → get flag → flag.
Overlay
WebShell RCE como www-data → reverse shell con Netcat → escalada a root explotando CVE-2021-3493 (LPE con OverlayFS).
Dancing
nmap descubre puertos 135/139/445 (SMB) → smbclient lista shares → acceso anónimo a WorkShares → descarga flag.txt desde James.P → flag.
Spark
nmap descubre Apache Spark 3.0.3 en :8080 → CVE-2022-33891 OS Inyección de comandos → PoC python3 poc.py --check confirma RCE vía sleep 10 → nc -lvnp 443 + --revshell → root.
Unholy Union
Challenge Web — campo de búsqueda concatena la entrada sin sanitizar → UNION SELECT calibra columnas → dump de information_schema (BD, tablas, columnas) → SELECT flag FROM flag.
Explosion
nmap descubre RDP (3389), SMB (445) y WinRM (5985) abiertos → xfreerdp con /v: y usuario Administrator → contraseña en blanco aceptada → escritorio remoto → root flag.
RansomNet
Challenge Web sobre vBulletin 6.0.3 vulnerable a CVE-2025-48828: invocación no autenticada de métodos protegidos de la API + inyección de plantilla <vb:if> con system() → RCE como el usuario del servidor web → cat /flag.txt.
Archetype
Máquina Windows Muy Fácil: SMB anónimo expone prod.dtsConfig con credenciales en claro → MSSQL con Impacket y xp_cmdshell → reverse shell → WinPEAS encuentra el historial de PowerShell con la contraseña de Administrator → impacket-psexec → SYSTEM.
Initialization
Challenge Crypto Muy Fácil: un bug de aliasing en Python reutiliza la misma clave AES y el contador AES-CTR arranca en 0, así que los 4 mensajes comparten keystream (many-time pad); con 3 textos conocidos se recupera el keystream por XOR y se descifra la flag.
Mongod
Máquina Linux Muy Fácil: MongoDB 3.6.8 en el puerto 27017 sin control de acceso (usuario anónimo habilitado) → conexión con mongosh sin credenciales → show dbs → db.flag.find() en sensitive_information → flag.
Synced
Máquina Linux Muy Fácil: un demonio rsync en el puerto 873 expone el módulo public como 'Anonymous Share' sin autenticación → rsync --list-only enumera módulos y archivos → se descarga flag.txt sin credenciales.
Preignition
Máquina Linux Muy Fácil: nmap encuentra nginx 1.14.2 en el puerto 80 → gobuster descubre /admin.php → el panel 'Admin Console Login' cae con las credenciales por defecto admin:admin → flag.
Caving
Máquina Linux Muy Fácil: Splunk Enterprise 9.0.4 con credenciales débiles (guest:password) y CVE-2023-32707 (el permiso edit_user permite cambiar la contraseña de cualquier usuario) → account takeover del admin woodenk → app maliciosa → RCE como root.
GetLab
nmap revela GitLab 16.0.0 con registro público; el CVE-2023-2825 permite leer archivos del servidor, como /etc/passwd, con un PoC en Python.
Base
Directory listing expone swap de Vim → bypass de autenticación por PHP Type Juggling → subida de archivo PHP para RCE → credenciales en texto plano → SSH → escalada con sudo find.
Bank
DNS local (/etc/hosts) → wfuzz enumera /balance-transfer → archivo con ERR ENCRYPT FAILED expone credenciales → Subida de archivos bypass extensión .htb → RCE → SUID /var/htb/bin/emergency → root.
Cap
IDOR en /data/0 expone captura .pcap → tráfico FTP en texto plano revela credenciales → SSH como nathan → Python3.8 con CAP_SETUID → root.
Nocturnal
IDOR en view.php + wfuzz enumera usuarios → ODT con credenciales → command injection en backup → reverse shell → hashes SQLite en CrackStation → SSH tunneling → ISPConfig CVE-2023-46818 → root.
Conversor
Source code disclosure en /static/source_code.tar.gz → Inyección XSLT → reverse shell www-data → hashes SQLite en CrackStation → SSH fismathack → CVE-2024-48990 needrestart Perl Injection → root.
Mirai
Header x-pi-hole revela Raspberry Pi → credenciales por defecto pi:raspberry → SSH → sudo NOPASSWD ALL → root.txt vacío → USB stick → strings /dev/sdb recupera flag eliminada.
Blue
Nmap detecta SMB Windows 7 SP1 → --script vuln confirma MS17-010 → Metasploit EternalBlue (CVE-2017-0144) → shell directa como NT AUTHORITY\SYSTEM.
GoodGames
SQLi en login → sqlmap dumpea hash MD5 → crackeo en CrackStation → SSTI Jinja2 en campo nombre → reverse shell en contenedor Docker → reutilización de contraseña → SSH al host real → escape Docker con volumen montado + SUID bash → root.
Lame
Nmap detecta Samba 3.0.20 → vsftpd 2.3.4 backdoor bloqueado por firewall (rabbit hole) → CVE-2007-2447 usermap_script en SMB → Metasploit → root directo.
Soccer
Tiny File Manager expone RCE (CVE-2021-45010) → acceso inicial como www-data → SQLi ciega vía WebSockets en panel de chat → credenciales de usuario → doas + dstat mal configurado → root.