search

windowscicada

Realizamos el reconocimiento de puertos abierto de la maquina en un principio:

hashtag
Puertos Abiertos y Servicios Identificados

  • Posible vector de ataque:

    • SMB (445/tcp): Puede ser vulnerable a ataques como Pass-the-Hash o explotación de vulnerabilidades como EternalBlue.

    • Kerberos (88/tcp): kerbrute para enumerar usuarios validos a nivel de sistema

    • WinRM (5985/tcp): Posible acceso remoto con credenciales válidas.

    • LDAP (389/tcp, 636/tcp): Extracción de información del directorio activo si es accesible.

    • DNS (53/tcp): Puede ser útil para la enumeración de subdominios internos.

hashtag
Uso de netexec en SMB

Con el parámetro siguiente se verifica la configuración del servicio SMB en la máquina objetivo:

Ahora con Kerbrute podemos enumerar usuarios:

Validemos usuarios:

Se esta encontrando usuarios:

Con netexec --shares podemos listar archivos compartidos:

Al salir "STATUS_USER_SESSION_DELETED" probamos con smbclient:

Ahora al probar con el usuario que salio guest viendo sus recursos compartidos:

Con smbmap podemos igualmente listar los archivos pero nos especifica los permisos mucho mejor que el smbclient

Nos llama la atencion el HR

Por lo cual miramos que contiene esa carpeta que podemos leer:

Ahora intentamos descargarlo para ver su contenido:

Usando smbclient:

Listamos y lo descargamos:

Contenido:

Con:

hashtag
¿Para qué sirve?

  • Enumeración de información del sistema :

  • Interacción con SMB (Puerto 445) s

  • Pruebas de acceso anónimo a funciones RPC

hashtag
Comandos útiles dentro derpcclient

Una vez dentro de la sesión interactiva de rpcclient, puedes ejecutar:

  • srvinfo→ Información del

  • enumdomusers→ Enumerador

  • querydominfo→ Obtener información del dominio.

  • enumdomgroups→ Listar grupos del dominio.

  • netshareenum→ Ver recursos compartidos SMB.

  • enumprinters → Enumerar las impresoras compartidas en un servidor Windows.

  • querydispinfo→ Información sobre las cuentas de usuario en un dominio de Windows.

Bien ahora al ver que demora mucho el Kerbrute usamos otra herramienta para enumerar users:

Pero solo queremos lo que dice SidTyUser por lo cual grepeamos:

Y se encontro usuarios validos al instante..

Copiamos los usuarios a un archivo para solo sacar los usuarios:

El comando impacket-GetNPUsers sirve para encontrar usuarios en Active Directory vulnerables al ataque AS-REP Roasting, lo que permite obtener hashes de sus contraseñas sin necesidad de credenciales.

Bien ahora podemos usar fuerza bruta con la contraseña encontrada para cada usuario y ver para cual si funciona:

Tenemos al user: michael.wrightson

Ahora verificamos si el usuario tiene winrm para pasar a una consola interactiva:

  • Solo agregando winrm en vez de smb se verifica:

No tiene el pown

Comando netexec para enumerar recursos compartidos:

Seguimos:

Con:

Nos conectamos con el user y credencial que obtuvimos para ver que contiene:

Usando:

Se encontro una contraseña nueva del usuario david.orelious:

Probando si podemos usar winrm:

De igual manera no se puede asi q seguimos saltando usuarios

Ahora vemos los recursos compartidos del nuevo user con la nueva credencial:

Se puede ver el DEV que se puede leer

Al listarlo de manera recursiva se puede ver:

Ahora para descargar el Backup usamos smblient:

Al entrar descargamos el archivo usando get:

Bien ahora verificamos si es parte de:

hashtag
Grupos requeridos para WinRM:

Grupo Remote Management Users:

SI ES DEL GRUPO:

Bien ahora usando;

Tenemos la console interactiva

AHORA ESCALADA DE PRIVILEGIOS:

Usano el siguiente repositorio podemos abusar de esto:

LogoWindows-Local-Privilege-Escalation-Cookbook/Notes/SeBackupPrivilege.md at master · nickvourd/Windows-Local-Privilege-Escalation-CookbookGitHubchevron-right

Descagamos los archivos para usar impacket:

BINGO

utilizando la técnica Pass-the-Hash (PtH)

PreviousHack The BoxNextTheFrizz

Last updated