DC01 HackMyVM (Easy - Windows)
Escaneo de puertos
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>nmap -sCV -p<PORTS> <IP>Info:
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-27 13:28 EDT
Nmap scan report for 192.168.28.9
Host is up (0.00034s latency).
PORT STATE SERVICE VERSION
53/tcp open domain Simple DNS Plus
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-03-28 01:28:28Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: SOUPEDECODE.LOCAL0., Site: Default-First-Site-Name)
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: SOUPEDECODE.LOCAL0., Site: Default-First-Site-Name)
3269/tcp open tcpwrapped
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
9389/tcp open mc-nmf .NET Message Framing
49664/tcp open msrpc Microsoft Windows RPC
49668/tcp open msrpc Microsoft Windows RPC
49674/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49687/tcp open msrpc Microsoft Windows RPC
MAC Address: 08:00:27:11:1F:48 (Oracle VirtualBox virtual NIC)
Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
|_nbstat: NetBIOS name: DC01, NetBIOS user: <unknown>, NetBIOS MAC: 08:00:27:11:1f:48 (Oracle VirtualBox virtual NIC)
| smb2-time:
| date: 2025-03-28T01:29:16
|_ start_date: N/A
|_clock-skew: 7h59m57s
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled and required
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 95.14 secondsNo vemos que haya una pagina web, pero si vemos que hay un dominio asociado llamado SOUPEDECODE.LOCAL, vemos tambien que el DC (Domain Controller) se llama DC01, por lo que ya podremos deducir que tiene un Active Directory con su autenticacion de Kerberos, etc...
Vamos añadir el dominio a nuestro archivo hosts:
Lo guardamos y con esto ya podremos tener conexion con la maquina victima a nivel de dominio.
SMB
Vamos a enumerar los recursos compartidos del servidor SMB que hemos visto que tiene, de la siguiente forma:
Info:
Vemos varios recursos compartidos bastante interesantes, por lo que vamos a fuzzear un poco.
Pero veremos que no nos deja de forma anonima practicamente nada, por lo que vamos a utilizar una herramienta para intentar enumerar los usuarios del dominio a ver si tuvieramso suerte.
impacket-lookupsid
Dejamos la contraseña vacia.
Info:
Vemos que nos ha funcionado, por lo que vamos a obtener solamente los usuarios para generar una lista de la siguiente forma:
users.txt
Ahora con esta lista de usuarios vamos a realizar fuerza bruta mediante el servidor SMB con la herramienta NetExec.
NetExec
Vamos a probar la misma lista de usuarios como contraseña, por si algun usuario tuviera su contraseña como su nombre de usuario.
Info:
Esperando un rato veremos que nos encontro las credenciales:
Ahora vamos a probar a enumerar los recursos compartidos del servidor SMB con las siguientes credenciales.
SMB con ybob317
Info:
Si entramos en el recurso compartido llamado Users:
Si listamos veremos lo siguiente:
Vemos que se esta compartiendo la carpeta de C:\Users de Windows por lo que leeremos la flag del usuario.
user.txt
Vemos que no podemos listar ningun recurso compartido mas, por lo que vamos a intentar realizar un Kerberoasting hacia el Active Directory de la maquina victima de Windows.
Kerberoasting (ATTACK)
Info:
Vemos los servicios que son vulnerables a un Kerberoasting mas sus TGTs, por lo que vamos a probar a intentar crackear los hashes obtenidos de la siguiente forma:
Antes vamos a guardar todos esos hashes en un archivo llamado kerberosHash.txt.
Crack Hash Kerberos
Info:
Vemos que nos saco las credenciales de un servicio llamado file_svc, por lo que ahora vamos a probar si con este servicio se pudiera acceder a los recursos compartidos del servidor SMB.
Info:
Vemos que si funciona, por lo que vamos acceder alguno de los recursos compartidos que encontramos anteriormente.
Si listamos el recurso, veremos lo siguiente:
Vamos a pasarnoslo a la maquina host:
Si leemos lo que contiene veremos lo siguiente:
Vemos lo que parecen hashes de varios usuarios o servicios, pero el que vemos que nos interesa es el siguiente:
Ya que es del servicio que hemos descuvierto de su TGT, por lo que vamos a utilizar dicho hash para utilizarlo como contraseña y probar si funciona en el servidor SMB.
crackmapexec
Info:
Vemos que si funciona de esta forma, por lo que vamos a ejecutar codigo de forma remota mediante esta herramienta:
Escalate user fileserver$
Info:
Vemos que funciona, tambien sabemos que tiene WinRM en el servidor de Windows por lo que vamos a probar a conectarnos con el hash del usuario directamente de la siguiente forma:
Info:
Vemos que ha funcionado, por lo que ya seremos dicho usuario dentro de la maquina victima.
Escalate Privileges
Vamos a ver que privilegios tenemos con dicho usuario:
Info:
Vemos esta linea bastante interesante:
Antes de ver que exploit utilizar vamos a ver que version de Windows Server estamos:
Info:
Vemos que es un servidor bastante moderno, pero antes vamos a ver a que grupos pertenecemos:
Info:
Vemos esta linea de aqui:
Por lo que vemos pertenecemos al grupo Administrador, por lo que podremos hacer lo siguiente:
Info:
Ahora si nos conectamos desde ese usuario mediante WinRM:
Info:
Por lo que leeremos la flag de root y del user.
user.txt
root.txt
Last updated