⌨️RELEVANT

Resumen de la máquina "Relevant":

Exploración:

  1. Utilicé Nmap para escanear todos los puertos abiertos en la dirección IP proporcionada.

nmap -sS -Pn -sV -O -script='vuln' 10.10.185.132
                  y
nmap -p- 10.10.175.233                  
  1. Luego, realicé un escaneo más detallado para obtener información sobre los servicios que se estaban ejecutando en los puertos abiertos.

nmap -p 5985,49663,49667,49669,3389,135 -sV -Pn -sS --script=vuln 10.10.190.133

Después de los dos escaneos con Nmap, utilicé Gobuster y FFuF para realizar una enumeración más exhaustiva de los servicios HTTP en la máquina objetivo de SERVICIOS IIS.

  1. Utilicé Gobuster para realizar una búsqueda de directorios en el puerto 80:

gobuster dir -u 10.10.10.82 -w /usr/share/wordlists/dirb/common.txt
  1. Luego, utilicé FFuF para realizar una búsqueda de directorios en el puerto 49663:

ffuf -u http://10.10.236.182:49663/FUZZ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

Después de estos escaneos, encontré un directorio interesante en el servidor HTTP en el puerto 49663 que se llamaba nt4wrksv. Este directorio parecía estar relacionado con el servidor SMB que había descubierto anteriormente.

Enumeración:

  1. Utilicé smbclient -L primero para enumerar los recursos compartidos en el servidor SMB, y luego nos conectamos sin credenciales al mas sospechoso que es el que nos dejo entrar solamente.

smbclient //10.10.175.233/nt4wrksv
  1. Descubrí un archivo llamado contraseñas.txt y lo descargue con get y leí para obtener credenciales codificadas en base64 que luego decodificamos con GPT y un decoder de base 64 online teniendo las siguientes credenciasles, que probamos usar para distintas tipos de conecciones ssh, rdp, smbclient, y no funcionaron.

Explotación :

  1. Creé un shell inverso con msfvenom con extension .aspx por recomendasion de compativilidad con el servicio IIS

  1. Cargué el shell inverso en el servidor SMB y lo ejecuté con curl. y por URL funciono escuchando en nuestro NETCAT que estaba listando a la espera de la reverse shell.

Escalada de Privilegios:

  1. Descubrí que el privilegio con whoami /priv descubri el privilegio de SeImpersonatePrivilege y SeAssignPrimaryTokenPrivilege estaba habilitado para mi usuario.

  2. Luego de probar el script de RogueWinRM que no funciono para escalar privilegios por impersonate, tras seguir buscando en google encontre y Utilicé PrintSpoofer (https://github.com/itm4n/PrintSpooferarrow-up-right) para aprovechar este privilegio y obtener una shell como NT Authority, que dicho script a lo que entendi se levanta un servicio NTLM como haciendoce pasar por original y solicitandole el token a NT Authority logra soplantar su toquen y darnos los privilegios de System a nosotros. Primero damos privilegios Full a nuestro script que cargamos como los demas a través de smbclient, y luego lo ejecutamos obteniendo la escalada de privilegios al instante.

La máquina llamada "Relevant" se centró en la enumeración de servicios, la búsqueda de credenciales, el acceso inicial a través de una shell inversa, y la escalada de privilegios para obtener acceso total al sistema. Se enfocó en la importancia de la enumeración exhaustiva y la comprensión de los servicios y sistemas en la red objetivo para encontrar y explotar vulnerabilidades.

Last updated