search

flagLiar HackMyVM (Easy - Windows)

hashtag
Escaneo de puertos

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>
nmap -sCV -p<PORTS> <IP>

Info:

Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-26 03:23 EDT
Nmap scan report for 192.168.1.154
Host is up (0.00037s latency).

PORT      STATE SERVICE       VERSION
80/tcp    open  http          Microsoft IIS httpd 10.0
|_http-server-header: Microsoft-IIS/10.0
|_http-title: Site doesn't have a title (text/html).
| http-methods: 
|_  Potentially risky methods: TRACE
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
445/tcp   open  microsoft-ds?
5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49664/tcp open  msrpc         Microsoft Windows RPC
49665/tcp open  msrpc         Microsoft Windows RPC
49666/tcp open  msrpc         Microsoft Windows RPC
49667/tcp open  msrpc         Microsoft Windows RPC
49669/tcp open  msrpc         Microsoft Windows RPC
49679/tcp open  msrpc         Microsoft Windows RPC
MAC Address: 08:00:27:5B:D0:18 (Oracle VirtualBox virtual NIC)
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_clock-skew: 17s
|_nbstat: NetBIOS name: WIN-IURF14RBVGV, NetBIOS user: <unknown>, NetBIOS MAC: 08:00:27:5b:d0:18 (Oracle VirtualBox virtual NIC)
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled but not required
| smb2-time: 
|   date: 2025-03-26T07:24:27
|_  start_date: N/A

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 59.02 seconds

Vemos varias cosas interesantes, entre ellas que tiene una pagina web en el puerto 80 y tambien tiene un servidor SMB, si intentamos enumerar de forma anonima el servidor SMB veremos que no nos deja, por lo que tendremos que seguir buscando.

Si entramos en la pagina web veremos unicamente eso:

Vemos que nos estan proporcionando un nombre de usuario, por lo que vamos a utilizarlo para realizar fuerza bruta en el servidor SMB de la siguiente forma:

hashtag
NetExec

Info:

Vemos que hemos encontrado las credenciales de dicho usuario, por lo que listaremos los recursos compartidos del servidor de SMB.

Info:

Veremos los recursos compartidos por defecto, por lo que no nos sirve de mucho, pero vamos a probar a conectarnos de forma remota con dichas credenciales por si fueran las mismas mediante la herramienta evil-winrm.

hashtag
Evil-winrm

Como antes hemos observado el puerto de winrm esta abierto:

Por lo que podremos realizar lo siguiente, probando dichas credenciales:

Info:

Vemos que funciona por lo que tendremos una PowerShell de forma remota con la maquina victima como el usuario nica.

Vamos a leer la flag del usuario.

user.txt

hashtag
Escalate user akanksha

Vamos a ver que usuarios hay:

Info:

Vemos que hay otro usuario llamado akanksha por lo que tiene pinta de que tendremos que intentar escalar a dicho usuario, ya que si vemos los privilegios que tenemos no veremos gran cosa.

Vamos a probar a realizar fuerza bruta desde el SMB con el usuario akanksha y ver si nos encuentra algo, ya que si nos encuentra alguna credencial puede ser que sea la misma que la del propio sistema operativo.

hashtag
NetExec akanksha

Info:

Vemos que nos ha descubierto las credenciales de forma correcta, por lo que ahora vamos a probar a utilizarlas con dicho usuario desde el PowerShell de nica.

Como nosotros no tenemos una interfaz grafica, no podremos utilizar un simple comando de runas para que se nos habra una PowerShell autenticado como el usuario, por lo que tendremos que utilizar un ejecutable de GitHub que te autentica con el usuario en la misma terminal:

URL = RunasCs.exe Downloadarrow-up-right

Una vez descargado en nuestro host tendremos que pasarnoslo a la maquina victima, ya que estamos en una sesion con Evil-WinRM podremos realizar la subida del archivo de forma facil:

Info:

Con esto ya tendremos el archivo subido de forma correcta, pero si diera algun error como me esta pasando a mi, podremos hacerlo de otra forma mediante el archivo .ps1 directamente:

URL = Invoke-RunasCs.ps1 Downloadarrow-up-right

Vamos a pasarnoslo a la maquina victima de la misma forma que hicimos con el .exe:

Info:

Ahora vamos a importarlo para despues poder ejecutarlo de la siguiente forma:

Pero esto tambien me lo esta bloqueando el antivirus, por lo que os dejo una pagina que yo he creado para Bypassear dicho antivirus de Windows realizando un Bypass en el modulo AMSI que contiene las firmas de dichos malwares, no saldra a la primera, pero me llevo unos 30 minutos hasta que consegui uno que funcionada de los codigos que genera de forma aleatoria, os dejo el que utilice:

URL = Bypass Modulo AMSI Paginaarrow-up-right

Cuando enviemos esto mediante la terminal de WinRM si no nos aparece ningun error y ningun bloqueo significa que se ejecuto de forma correcta, por lo que ahora mismo el antivirus no va a mirar las firmas de los archivos que ejecutemos, por lo que si volvemos a realizar el siguiente comando:

Ahora si nos dejara, no nos aparecera ningun error ni nada parecido, vamos a generarnos una reverse shell con dicho script.

Antes nos pondremos a la escucha:

Y en la maquina victima ejecutamos el modulo de la siguiente forma:

Info:

Ahora si volvemos a donde tenemos la escucha, veremos lo siguiente:

Vemos que ha funcionado, por lo que seremos dicho usuario.

hashtag
Escalate Privileges

Vamos a ver que permisos tenemos con dicho usuario:

Info:

Vemos varias cosas interesantes pero entre ellas que pertenecemos al siguiente grupo:

El grupo WIN-IURF14RBVGV\Idministritirs es el grupo de administradores en el sistema. Aunque su nombre está mal escrito, tiene los mismos privilegios que el grupo de administradores de Windows. Los miembros de este grupo tienen acceso completo al sistema, lo que les permite modificar configuraciones, instalar programas, y acceder a todos los archivos. Si un atacante obtiene acceso a este grupo, podría controlar todo el sistema. Es crucial limitar quién pertenece a este grupo para evitar riesgos de seguridad.

Por lo que tendremos privilegios de administrador, vamos a probar a entrar en la carpeta del Administrador:

Y veremos que si nos deja, por lo que ya habremos terminado la maquina, leeremos la flag del admin.

root.txt

PreviousHackMyVMNextZero HackMyVM (Easy - Windows)

Last updated