search

windowsChimichurri

Primeramente hacemos un escaneo básico para saber los puertos abiertos:

          PORT      STATE SERVICE       VERSION
   3   │ 53/tcp    open  domain        Simple DNS Plus
   4   │ 88/tcp    open  kerberos-sec  Microsoft Windows Kerberos (server time: 2025-02-17 14:53:08Z)
   5   │ 135/tcp   open  msrpc         Microsoft Windows RPC
   6   │ 139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
   7   │ 389/tcp   open  ldap          Microsoft Windows Active Directory LDAP (Domain: chimichurri.thl, Site: Default-First-Site-Name)
   8   │ 445/tcp   open  microsoft-ds?
   9   │ 464/tcp   open  kpasswd5?
  10   │ 593/tcp   open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
  11   │ 636/tcp   open  tcpwrapped
  12   │ 3268/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: chimichurri.thl, Site: Default-First-Site-Name)
  13   │ 3269/tcp  open  tcpwrapped
  14   │ 5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
  15   │ |_http-server-header: Microsoft-HTTPAPI/2.0
  16   │ |_http-title: Not Found
  17   │ 6969/tcp  open  http          Jetty 10.0.11
  18   │ |_http-title: Panel de control [Jenkins]
  19   │ | http-robots.txt: 1 disallowed entry 
  20   │ |_/
  21   │ |_http-server-header: Jetty(10.0.11)
  22   │ 9389/tcp  open  mc-nmf        .NET Message Framing
  23   │ 47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
  24   │ |_http-title: Not Found
  25   │ |_http-server-header: Microsoft-HTTPAPI/2.0
  26   │ 49664/tcp open  msrpc         Microsoft Windows RPC
  27   │ 49665/tcp open  msrpc         Microsoft Windows RPC
  28   │ 49666/tcp open  msrpc         Microsoft Windows RPC
  29   │ 49669/tcp open  msrpc         Microsoft Windows RPC
  30   │ 49673/tcp open  msrpc         Microsoft Windows RPC
  31   │ 49674/tcp open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
  32   │ 49676/tcp open  msrpc         Microsoft Windows RPC
  33   │ 49680/tcp open  msrpc         Microsoft Windows RPC
  34   │ 49713/tcp open  msrpc         Microsoft Windows RPC
  35   │ 49737/tcp open  msrpc         Microsoft Windows RPC
  36   │ MAC Address: 00:0C:29:8F:E7:16 (VMware)
  37   │ Service Info: Host: CHIMICHURRI; OS: Windows; CPE: cpe:/o:microsoft:windows
  38   │ 
  39   │ Host script results:
  40   │ | smb2-time: 
  41   │ |   date: 2025-02-17T14:54:01
  42   │ |_  start_date: 2025-02-17T09:47:34
  43   │ | smb2-security-mode: 
  44   │ |   3:1:1: 
  45   │ |_    Message signing enabled and required
  46   │ |_clock-skew: -1h00m01s

Por el puerto 445 smb listamos los archivos compartidos:

Miramos esa carpeta sospechosa llamada drogas que tenemos permiso de READ:

Al descargarlo y abrir el archivo txt encontramos:

Tenemos un Jenkins en el puerto 6969/tcp:

Ahora pasamos a ver si hay alguna vulnerabilidad en el servicio web. Como hemos visto antes, en el puerto 6969 hay un servicio web. Empezamos a buscar información de que tecnología esta usando:

El exploit:

LogoGitHub - godylockz/CVE-2024-23897: POC for CVE-2024-23897 Jenkins File-ReadGitHubchevron-right

Así que entramos con ellas.

Tenemos algo interesante para subir privilegios:

LogoRelease Fresh potatoes · ohpe/juicy-potatoGitHubchevron-right

Bien ahora pasemos el archivo a la máquina victima:

Ejecutando el .exe para ver sus funcionalidades;

Ahora crearemos un .exe malicioso con msfvenon para la rever Shell como otro usuario:

Teniendo los dos archivos subidos a la amquina victima ejecuatamos el siguiente comando:

Estando en la escucha por el puerto que corresponde al ejecutable malicioso:

Ahora para abrir el user.txt no tenemos ese poder por lo cual miramos los permisos:

Permisos:

  • icacls .\ /t

Solo el ADMINSTRATOR tiene permisos para el user.txt

Ahora como somos NT AUTHORITY podemos setear la contraseña:

Ahora entramos con esa contraseña como Admin:

PreviousDoraemonNextPacharán

Last updated