Change Vulnyx (Intermediate - Windows)
Escaneo de puertos
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>nmap -sCV -p<PORTS> <IP>Info:
Starting Nmap 7.95 ( https://nmap.org ) at 2025-08-06 04:16 EDT
Nmap scan report for 192.168.5.72
Host is up (0.041s latency).
PORT STATE SERVICE VERSION
53/tcp open domain Simple DNS Plus
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-08-06 18:16:59Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: megachange.nyx0., Site: Default-First-Site-Name)
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: megachange.nyx0., Site: Default-First-Site-Name)
3269/tcp open tcpwrapped
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
9389/tcp open mc-nmf .NET Message Framing
47001/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49664/tcp open msrpc Microsoft Windows RPC
49665/tcp open msrpc Microsoft Windows RPC
49666/tcp open msrpc Microsoft Windows RPC
49667/tcp open msrpc Microsoft Windows RPC
49671/tcp open msrpc Microsoft Windows RPC
49676/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49677/tcp open msrpc Microsoft Windows RPC
49680/tcp open msrpc Microsoft Windows RPC
49681/tcp open msrpc Microsoft Windows RPC
49686/tcp open msrpc Microsoft Windows RPC
49697/tcp open msrpc Microsoft Windows RPC
49710/tcp open msrpc Microsoft Windows RPC
MAC Address: 08:00:27:AE:19:BF (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
Service Info: Host: CHANGE; OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
|_nbstat: NetBIOS name: CHANGE, NetBIOS user: <unknown>, NetBIOS MAC: 08:00:27:ae:19:bf (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled and required
| smb2-time:
| date: 2025-08-06T18:17:54
|_ start_date: N/A
|_clock-skew: 9h59m58s
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 72.71 secondsVeremos varios puertos bastantes interesantes, pero entre ellos el servidor SAMBA, tambien vemos el nombre del DC llamado megachange.nyx0 por lo que lo añadiremos al hosts.
Lo guardamos y vamos a intentar enumerar el servidor SAMBA a ver si se puede de forma anonima.
Pero no veremos recursos compartidos, por lo que no nos sirve de nada.
Despues de estar buscando un rato, probaremos a enumerar con kerbrute un listado de usuarios a nivel de servidor, a ver cual es valido.
Kerbrute
Info:
Veremos que hemos encontrado varios usuarios interesantes, por lo que vamos a crear un listado de usuarios con esta informacion para enumerar dichos usuarios a ver si fueran vulnerables a kerberoasting de esta forma:
users.txt
Pero con esto no sacaremos nada, por lo que ninguno es vulnerable a ello, por lo que vamos a probar la fuerza bruta normal con netexec de esta forma.
Escalate user alfredo
Netexec
Pero antes vamos a pasar el rockyou.txt a UTF-8 y posteriormente vamos a combinarlo para que pille un formato apto para netexec y que lo hagamos desde un diccionario directamente:
Ahora vamos a crear un script para combinar los usuarios con este diccionario.
combo.sh
Lo ejecutaremos de esta forma:
Una vez terminado esto, tendremos un combo.txt pero no me funcionara el diccionario de una para dicha herramienta, por lo que probaremos simplemente el primero usuario que hemos encontrado.
Info:
Veremos que hemos encontrado un usuario valido, por lo que vamos a trastear con el a ver que encontramos.
Info:
Pero no veremos nada interesante, por lo que vamos a dumpearnos con ldap lo que podamos del dominio, para ver que informacion vemos interesante.
Escalate user sysadmin
LDAP
Info:
Ahora abriremos el HTML llamado domain_users.html, entrando dentro de dicha pagina web, veremos lo siguiente bastante interesante:
Vemos que el usuario sysadmin es miembro del grupo Remote Management Users lo cual es bastante interesante, ya que es el unico usuario en el que se puede conectar de forma remota al servidor.
Vamos a utilizar BloodHound para investigar que mas puede realizar el usuario alfredo.
Info:
Ahora con ese ZIP vamos a cargarlo en BloodHound y verlo todo de forma grafica.
Si investigamos lo que puede hacer el usuario alfredo frente al usuario sysadmin veremos lo siguiente:
Vemos que puede forzar el cambio de contraseña de dicho usuario, por lo que podremos cambiar la contraseña al usuario sysadmin de esta forma:
Info:
Una vez dentro forzaremos el cambio de contraseña de esta forma:
Echo esto nos saldremos con quit y probaremos a entrar mediante evil-winrm.
evil-winrm
Info:
Con esto veremos que ha funcionado, por lo que leeremos la flag del usuario.
user.txt
Escalate Privileges
Vamos a pasarnos el winPeasx64.exe a la maquina victima desde el kali nos lo descargaremos en esta pagina:
URL =
Nos lo pasaremos de esta forma:
Info:
Ahora vamos a ejecutarlo de esta forma:
Info:
Veremos esto bastante interesante, lo que parece ser las credenciales del usuario administrador por lo que vamos a probarlas de esta forma:
Info:
Vemos que ha funcionado, por lo que leeremos la flag del usuario root.
root.txt
Last updated