Falafel

Executive summary — Falafel chains a vulnerable PHP web app with an unconventional Linux privilege escalation path. A forgotten text file (cyberlaw.txt) accidentally leaks the entire attack roadmap: that the login can be bypassed without knowing the password, and that the image upload filter has a gap. A boolean-based blind SQL injection in login.php extracts, character by character, the MD5 hashes of two users; one falls to a wordlist, the other is a "magic hash" exploiting a loose (==) PHP comparison. With admin access, a URL-based image upload feature falls victim to a wget filename truncation that smuggles a PHP webshell past the extension filter. From there, the escalation uses no SUID binary and no sudo rule at all: it relies on membership in the video and disk groups to, first, literally screenshot another user's graphical session by reading the raw framebuffer, and then read the entire disk bypassing filesystem permissions with debugfs.

Two recon details already point somewhere: the web service is called "Falafel Lovers" (a custom app, not a known CMS), and robots.txt explicitly disallows any path ending in .txt — almost always a tell that there's a .txt file somewhere the owner would rather Google not index.

Resumen ejecutivo — Falafel encadena una web app PHP vulnerable con una escalada de privilegios Linux poco convencional. Un fichero de texto olvidado (cyberlaw.txt) filtra, sin querer, el mapa completo del ataque: que el login se puede eludir sin password y que el filtro de subida de imágenes tiene un hueco. Una inyección SQL ciega booleana en login.php permite extraer, carácter a carácter, los hashes MD5 de dos usuarios; uno cae por diccionario, el otro es un "magic hash" que explota una comparación floja (==) de PHP. Con acceso de administrador, una función de subida de imágenes por URL es víctima de un truncamiento de nombre de fichero de wget que deja colar una webshell PHP saltándose el filtro de extensión. Desde ahí, la escalada no usa ningún SUID ni sudo: usa la membresía en los grupos video y disk para, primero, fotografiar literalmente la sesión gráfica de otro usuario leyendo el framebuffer crudo, y después, leer el disco entero saltándose los permisos del sistema de ficheros con debugfs.

Dos detalles de recon que ya apuntan a algo: el servicio web se llama "Falafel Lovers" (aplicación a medida, no un CMS conocido), y robots.txt excluye explícitamente cualquier ruta que termine en .txt — una señal casi siempre reveladora de que existe algún .txt en el servidor que el propietario preferiría que Google no indexara.