Y nos pide un windows/x64/shell_reverse_tcp la cual la crearemos:
Al ejecutar el exploit RCE nos pide un shell y ahi lo mandamos:
Siempre en la escucha:
Miramos los usuarios del dominio:
Tambien se logra ver un config.php:
MisterGibbs!Parrot!?1
Podemos ver el usuario y contraseña de la base de datos.
Ahora para ejecutar la base de datos tenemos q buscar un mysql.exe:
+
Entramos al directorio y ejecutamos el .exe con el usuario y contraseña:
Miramos la lista de tablas de gibbon:
Consultamos el contenido de la tabla gibbonperson:
Tenemos un hash:
Verificamos que tipo de hash es:
Un 256
En tu archivo hash.txt solo tienes el hash puro (sin salt ni el formato que John necesita para interpretar dinámicos).
El formato dynamic=sha256($s.$p) requiere que el hash esté en formato dinámico, que incluye explícitamente la sal, para que John lo sepa.
Intentamos entrar por ssh:
Como el puerto WinRM no está abierto, usemos SSH con autenticación Kerberos.
Intenté iniciar sesión con ssh, pero no me solicitaron que ingresara una contraseña. Parece que el inicio de sesión con contraseña está
deshabilitado. gssapi-with-mic significa autenticación Kerberos. Desde el nmap anterior, también podemos encontrar que el servicio
kerberos está abierto. Debería ser necesario iniciar sesión con un ticket Kerberos.
Entremos por Kerberos (usado en entornos corporativos).
La contraseña es válida para M.SchoolBusel usuario. Según la información anterior sobre Remote Management Usersla pertenencia al grupo, este usuario es miembro de dicho grupo. Obtenga un ticket e inicie sesión mediante SSH con autenticación Kerberos.
Podríamos crear una GPO New-GPOy vincularla mediante New-GPLinkcomandos. La unidad organizativa de destino es la Domain Controllersunidad organizativa.
La OU de destino es OU=Domain Controllers,DC=frizz,DC=htb.
PS C:\Users\M.SchoolBus> whoami /groups
GROUP INFORMATION
-----------------
Group Name Type SID Attributes
============================================ ================ ============================================== ===============================================================
Everyone Well-known group S-1-1-0 Mandatory group, Enabled by default, Enabled group
BUILTIN\Remote Management Users Alias S-1-5-32-580 Mandatory group, Enabled by default, Enabled group
BUILTIN\Users Alias S-1-5-32-545 Mandatory group, Enabled by default, Enabled group
BUILTIN\Pre-Windows 2000 Compatible Access Alias S-1-5-32-554 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\NETWORK Well-known group S-1-5-2 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization Well-known group S-1-5-15 Mandatory group, Enabled by default, Enabled group
frizz\Desktop Admins Group S-1-5-21-2386970044-1145388522-2932701813-1121 Mandatory group, Enabled by default, Enabled group
frizz\Group Policy Creator Owners Group S-1-5-21-2386970044-1145388522-2932701813-520 Mandatory group, Enabled by default, Enabled group
Authentication authority asserted identity Well-known group S-1-18-1 Mandatory group, Enabled by default, Enabled group
frizz\Denied RODC Password Replication Group Alias S-1-5-21-2386970044-1145388522-2932701813-572 Mandatory group, Enabled by default, Enabled group, Local Group
Mandatory Label\Medium Mandatory Level Label S-1-16-8192
