search

flagDC01 HackMyVM (Easy - Windows)

hashtag
Escaneo de puertos

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>
nmap -sCV -p<PORTS> <IP>

Info:

Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-27 13:28 EDT
Nmap scan report for 192.168.28.9
Host is up (0.00034s latency).

PORT      STATE SERVICE       VERSION
53/tcp    open  domain        Simple DNS Plus
88/tcp    open  kerberos-sec  Microsoft Windows Kerberos (server time: 2025-03-28 01:28:28Z)
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp   open  ldap          Microsoft Windows Active Directory LDAP (Domain: SOUPEDECODE.LOCAL0., Site: Default-First-Site-Name)
445/tcp   open  microsoft-ds?
464/tcp   open  kpasswd5?
593/tcp   open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
636/tcp   open  tcpwrapped
3268/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: SOUPEDECODE.LOCAL0., Site: Default-First-Site-Name)
3269/tcp  open  tcpwrapped
5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
9389/tcp  open  mc-nmf        .NET Message Framing
49664/tcp open  msrpc         Microsoft Windows RPC
49668/tcp open  msrpc         Microsoft Windows RPC
49674/tcp open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
49687/tcp open  msrpc         Microsoft Windows RPC
MAC Address: 08:00:27:11:1F:48 (Oracle VirtualBox virtual NIC)
Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_nbstat: NetBIOS name: DC01, NetBIOS user: <unknown>, NetBIOS MAC: 08:00:27:11:1f:48 (Oracle VirtualBox virtual NIC)
| smb2-time: 
|   date: 2025-03-28T01:29:16
|_  start_date: N/A
|_clock-skew: 7h59m57s
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled and required

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 95.14 seconds

No vemos que haya una pagina web, pero si vemos que hay un dominio asociado llamado SOUPEDECODE.LOCAL, vemos tambien que el DC (Domain Controller) se llama DC01, por lo que ya podremos deducir que tiene un Active Directory con su autenticacion de Kerberos, etc...

Vamos añadir el dominio a nuestro archivo hosts:

Lo guardamos y con esto ya podremos tener conexion con la maquina victima a nivel de dominio.

hashtag
SMB

Vamos a enumerar los recursos compartidos del servidor SMB que hemos visto que tiene, de la siguiente forma:

Info:

Vemos varios recursos compartidos bastante interesantes, por lo que vamos a fuzzear un poco.

Pero veremos que no nos deja de forma anonima practicamente nada, por lo que vamos a utilizar una herramienta para intentar enumerar los usuarios del dominio a ver si tuvieramso suerte.

hashtag
impacket-lookupsid

Dejamos la contraseña vacia.

Info:

Vemos que nos ha funcionado, por lo que vamos a obtener solamente los usuarios para generar una lista de la siguiente forma:

users.txt

Ahora con esta lista de usuarios vamos a realizar fuerza bruta mediante el servidor SMB con la herramienta NetExec.

hashtag
NetExec

Vamos a probar la misma lista de usuarios como contraseña, por si algun usuario tuviera su contraseña como su nombre de usuario.

Info:

Esperando un rato veremos que nos encontro las credenciales:

Ahora vamos a probar a enumerar los recursos compartidos del servidor SMB con las siguientes credenciales.

hashtag
SMB con ybob317

Info:

Si entramos en el recurso compartido llamado Users:

Si listamos veremos lo siguiente:

Vemos que se esta compartiendo la carpeta de C:\Users de Windows por lo que leeremos la flag del usuario.

user.txt

Vemos que no podemos listar ningun recurso compartido mas, por lo que vamos a intentar realizar un Kerberoasting hacia el Active Directory de la maquina victima de Windows.

hashtag
Kerberoasting (ATTACK)

Info:

Vemos los servicios que son vulnerables a un Kerberoasting mas sus TGTs, por lo que vamos a probar a intentar crackear los hashes obtenidos de la siguiente forma:

Antes vamos a guardar todos esos hashes en un archivo llamado kerberosHash.txt.

hashtag
Crack Hash Kerberos

Info:

Vemos que nos saco las credenciales de un servicio llamado file_svc, por lo que ahora vamos a probar si con este servicio se pudiera acceder a los recursos compartidos del servidor SMB.

Info:

Vemos que si funciona, por lo que vamos acceder alguno de los recursos compartidos que encontramos anteriormente.

Si listamos el recurso, veremos lo siguiente:

Vamos a pasarnoslo a la maquina host:

Si leemos lo que contiene veremos lo siguiente:

Vemos lo que parecen hashes de varios usuarios o servicios, pero el que vemos que nos interesa es el siguiente:

Ya que es del servicio que hemos descuvierto de su TGT, por lo que vamos a utilizar dicho hash para utilizarlo como contraseña y probar si funciona en el servidor SMB.

hashtag
crackmapexec

Info:

Vemos que si funciona de esta forma, por lo que vamos a ejecutar codigo de forma remota mediante esta herramienta:

hashtag
Escalate user fileserver$

Info:

Vemos que funciona, tambien sabemos que tiene WinRM en el servidor de Windows por lo que vamos a probar a conectarnos con el hash del usuario directamente de la siguiente forma:

Info:

Vemos que ha funcionado, por lo que ya seremos dicho usuario dentro de la maquina victima.

hashtag
Escalate Privileges

Vamos a ver que privilegios tenemos con dicho usuario:

Info:

Vemos esta linea bastante interesante:

Antes de ver que exploit utilizar vamos a ver que version de Windows Server estamos:

Info:

Vemos que es un servidor bastante moderno, pero antes vamos a ver a que grupos pertenecemos:

Info:

Vemos esta linea de aqui:

Por lo que vemos pertenecemos al grupo Administrador, por lo que podremos hacer lo siguiente:

Info:

Ahora si nos conectamos desde ese usuario mediante WinRM:

Info:

Por lo que leeremos la flag de root y del user.

user.txt

root.txt

PreviousAlways HackMyVM (Easy - Windows)Nextquoted HackMyVM (Easy - Windows)

Last updated