> For the complete documentation index, see [llms.txt](https://4lec4st.gitbook.io/4lec4st/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://4lec4st.gitbook.io/4lec4st/writes-ups/tryhackme/medium/whats-your-name.md).
# Whats your name?
## Información de la máquina
La máquina **“Whats Your Name?”** de TryHackMe, clasificada con un nivel **Medium**, nos plantea un escenario enfocado en vulnerabilidades web clásicas pero potentes: **fuzzing de directorios, XSS y CSRF**.
El reto nos obliga a pensar como un atacante real, que tras un reconocimiento inicial con Nmap y Gobuster, descubre un subdominio oculto donde se centraliza la autenticación. A partir de ahí, mediante la explotación de un **XSS persistente** es posible robar la sesión de un moderador, y con ello acceder a funcionalidades restringidas. Finalmente, se aprovecha un **CSRF** en el cambio de contraseña para escalar privilegios y tomar control de la cuenta administrador, consiguiendo así la flag final.
El recorrido de esta máquina es un ejemplo muy práctico de cómo fallos aparentemente pequeños (un mensaje en un formulario, un mal control de permisos, la falta de validaciones) pueden encadenarse para comprometer por completo una aplicación web.
***
## Reconocimiento
Empezaremos haciendo un primer reconocimiento para ver los puertos abiertos en el sistema.
**1. `-p-` → Escaneo de todos los puertos (1-65535)**
Por defecto, `nmap` solo escanea los **1000 puertos más comunes**.\
Con `-p-`, forzamos a que escanee **los 65.535 puertos** de la máquina objetivo, lo que puede ser útil para encontrar servicios que corren en puertos poco convencionales.
**2. `--open` → Filtrar solo los puertos abiertos**
Cuando escaneamos un sistema, muchos puertos pueden estar cerrados o filtrados por un firewall.\
Este parámetro hace que `nmap` **solo muestre los puertos abiertos**, reduciendo el ruido y facilitando el análisis.
**3. `-sS` → Stealth Scan (Escaneo Sigiloso con SYN)**
Es conocido como **"TCP SYN Scan"**, y funciona de la siguiente manera:
* `nmap` envía un paquete **SYN** (solicitud de conexión).
* Si el puerto está abierto, el servidor responde con **SYN-ACK**.
* En lugar de completar la conexión con un **ACK**, `nmap` responde con un **RST (Reset)**, interrumpiendo la comunicación.
**4. `--min-rate 5000` → Velocidad mínima de paquetes (5000 por segundo)**
Por defecto, `nmap` ajusta dinámicamente la velocidad de los paquetes según la respuesta de la red.\
Con `--min-rate 5000`, obligamos a `nmap` a **no enviar menos de 5000 paquetes por segundo**, acelerando el escaneo.
**5. `-n` → Deshabilitar resolución DNS**
Normalmente, `nmap` intenta resolver el nombre de dominio de las IPs escaneadas (DNS lookup).\
Con `-n`, evitamos esta resolución de nombres, lo que **acelera el escaneo** y evita que los servidores DNS registren nuestra actividad.
**6. `-Pn` → Omitir detección de host (Host Discovery Off)**
Por defecto, `nmap` envía paquetes ICMP (ping) para ver si un host está activo antes de escanearlo.\
Si un firewall bloquea los pings, `nmap` puede marcarlo como "host down" y no escanearlo.
**7. `-oG`** **→ Exportar el contenido en formato grepeable**
Todo el resultado del escaneo lo exportaremos en un archivo llamado **`allPorts` .**
**1.** `-p22,1337` **→ Escaneo de puertos específicos**
Con `-p22,1337`, le indicamos que **solo** escanee los puertos que le indicamos
**2. `-sCV` → Escaneo de versiones y scripts básicos**
Este parámetro en realidad es **dos combinaciones en una**:
* **`-sC`** → Activa los **NSE scripts por defecto** en `nmap` (similar a usar `--script=default`).\
Ejecuta scripts básicos para enumerar información del servicio detectado, como banners, versiones, etc.
* **`-sV`** → Realiza **fingerprinting de versiones**, intentando identificar la versión exacta del software en cada puerto abierto.
**3. `-oN` → Guardar el resultado en formato Normal**
Por defecto, `nmap` muestra los resultados en pantalla, pero con **`-oN targeted`**, guardamos el resultado en un archivo en **formato legible para humanos**.
Añadimos el dominio worldwap.thm al /etc/hosts ya que nos lo dice la propia máquina.
## Fuzzing web
Comenzamos realizando un **fuzzing de directorios** en el dominio principal (`worldwap.thm`) utilizando **Gobuster**.\
El objetivo de esta técnica es descubrir rutas y archivos ocultos que no son enlazados directamente desde la web, pero que aún están disponibles en el servidor.
Tras lanzar el escaneo, encontramos varios archivos interesantes, entre ellos **`login.php`**.
Cuando accedemos a `worldwap.thm/login.php`, en lugar de mostrarnos un formulario típico de login, la aplicación nos devuelve un mensaje:
> *“Para iniciar sesión vaya al subdominio login.worldwap.thm"*
Para poder acceder, añadimos dicho subdominio en nuestro archivo `/etc/hosts`:
```bash
echo "10.10.61.61 login.worldwap.thm" | sudo tee -a /etc/hosts
```
Al visitar `login.worldwap.thm`, la página aparece totalmente en negro. Sin embargo, al intentar acceder a la ruta `login.php`, nos encontramos con un formulario distinto al anterior, lo que confirma que este subdominio maneja el sistema de autenticación.
Lo primero que probamos es **registrarnos en la web**. El registro funciona, pero tanto en el dominio principal como en el subdominio los intentos de login fallan
`worldwap.thm/login.php` → no deja iniciar sesión.
`login.worldwap.thm/login.php` → tampoco nos autentica.
Durante el registro, observamos un detalle importante:\
El sistema muestra un mensaje diciendo que **el moderador revisará los detalles de nuestra cuenta**.\
Esto enciende una alerta: podría existir una **vulnerabilidad de XSS** aprovechable en el flujo de validación del moderador.
## XXS cookie hijacking
Para comprobarlo, preparamos un **payload de XSS** con el objetivo de robar la cookie de sesión del moderador.
Ejemplo de payload clásico:
```html
```
En nuestra máquina, levantamos un servidor HTTP en el puerto 80 para recibir la cookie:
```bash
python3 -m http.server 80
```
Cuando el moderador revisa nuestro registro, el payload se ejecuta y recibimos su cookie de sesión en nuestro servidor.
Con esa cookie, vamos a `login.worldwap.thm` y reemplazamos nuestra cookie con la robada.
Tras recargar la página, entramos directamente como el usuario **moderator**.
Dentro de la sesión de `moderator`, encontramos una sección de chat. Inicialmente parece vulnerable a XSS, pero no ofrece un vector de escalada inmediato, así que seguimos investigando.
## CSRF change password
Revisando el panel, hallamos una funcionalidad de **cambio de contraseña**.\
El sistema nos dice explícitamente que *solo los administradores pueden cambiar contraseñas*.\
Esto nos hace pensar en un posible **ataque CSRF** (*Cross-Site Request Forgery*).
Después de varias pruebas, notamos que si enviamos la petición de forma directa, el servidor la bloquea.\
Sin embargo, si **codificamos la URL a Base64** y la decodificamos dinámicamente en el payload, la validación se salta.
Payload CSRF funcional:
```html
```
Este script fuerza al navegador del moderador (o admin) a ejecutar la petición de cambio de contraseña, configurando la nueva clave del administrador en `admin12345`.
Tras ejecutar el payload, iniciamos sesión en `login.worldwap.thm` con las credenciales:
```
admin : admin12345
```
La autenticación es exitosa y obtenemos acceso como administrador.\
Finalmente, al explorar el panel de administración, conseguimos la **flag final**
***
## Conclusión
La máquina **“Whats Your Name?”** demuestra cómo un atacante puede pasar de un reconocimiento básico a un **compromiso total de la aplicación** siguiendo una cadena de vulnerabilidades:
* **Fuzzing** con Gobuster → descubriendo rutas y subdominios ocultos.
* **XSS (Cookie Hijacking)** → permitiendo robar la sesión del moderador.
* **CSRF en cambio de contraseña** → explotado para forzar la elevación a administrador.
Este laboratorio refuerza la importancia de implementar **medidas de seguridad en aplicaciones web**, como validaciones de entrada, uso de cookies seguras con flags `HttpOnly` y `SameSite`, y la protección contra CSRF mediante tokens únicos por sesión.