> For the complete documentation index, see [llms.txt](https://1gnotus.gitbook.io/ignotus_pwn/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://1gnotus.gitbook.io/ignotus_pwn/proving-ground-practice-and-play/writeup/maquina-hutch-netexec-ldap-enum-privesc-netexec-dump-laps.md). # MAQUINA HUTCH (Netexec LDAP enum - PrivEsc Netexec DUMP Laps) MAQUINA HUCH Enumere los puertos de la maquina usando nmap. `nmap -p- --open -sS --min-rate 4000 -v -Pn 192.168.142.122 -oG basicScan.txt` Este escaneo me va a mostrar solamente los puertos abiertos. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FUgVuMtKnSB6EF5V1h7ge%2F0.png?alt=media) Ejecute otro tipo de escaneo, ahora este escaneo me va a mostrar todos los servicios y sus versiones de los puertos encontrados. `nmap -p[rango de puertos encontrados] -sCV 192.168.142.122 -oN fullservice.txt` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FuKNiir2JAGbn93dVtdfd%2F1.png?alt=media) ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FYS8cr3O3hP4vdJ4etydv%2F2.png?alt=media) Revise el informe de nmap y encontré un dominio llamado "hutch.offsec" que lo agregue a mi `/etc/hosts.` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FWdPrgAaElJZJ0fARcqa7%2F3.png?alt=media) ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FEgBb7bX1raHciWetLRdb%2F4.png?alt=media) Con el puerto 88 abierto ya se que estoy ante un DC, luego use netexec para identificar ante que Windows me estoy enfrentando. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FbSXvNUxBSLAJAxyyCI9B%2F5.png?alt=media) Observe a primera vista que al pasarle una null sesion para identificar el OS me devolvió un \[+] lo que quiere decir que podría tener permisos para realizar alguna accion en la maquina. En un articulo de "[https://www.hackingarticles.in/"](https://www.hackingarticles.in/%22) encontré varias formas de aprovechar esta herramienta. Leyendo un poco pude ver que si en la maquina tiene expuesto el servicio LDAP y si funciona las credenciales en ese servicio puedo ejecutar varios comandos. En este caso use el comando "--users" donde me devolvió mucha información entre ellos los usuarios del DC. `nxc ldap 192.168.142.122 -u '' -p '' --users` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FJ45dfBbeUuIOpxxUWapl%2F6.png?alt=media) Le indique a netexec que me muestre la query de los "samaccountname" y resulto exitoso lo solicitado. Este comando me muestra información valiosa entre ella las descripciones {cosa muy importante a tener en cuenta}. `nxc ldap 192.168.142.122 -u '' -p '' --query "(sAMAccountName=*)" ""` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FT4XCFLjUswdkr7Kmclyh%2F7.png?alt=media) Al cabo de un tiempo después de leer detalladamente todo encontré una posible contraseña del usuario FREDDY. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FzX1lznSvFweA3DVnyRx4%2F8.png?alt=media) Realice un password spray para ver si esta contraseña puede ser valida con otros usuarios a parte de freddy, pero solamente es valida con dicho usuario. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FSHoR5idPij4w539kO2ha%2F9.png?alt=media) Otra forma mas sencilla de encontrar los usuario en un formato mas limpio es usando el siguiente método. `-M group-mem -o GROUP="Domain users"` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2F9RLDo8wI6JdUY8us9DL5%2F10.png?alt=media) Lo mismo con las descripciones, en este caso es utilizado el siguiente método: `-M get-desc-users` ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FPmgyZS4fK56tEtB2fXSY%2F11.png?alt=media) Antes de intentar ingresar a la maquina vía evil-winrm, utilice el método {-M}. `-M laps` Al ejecutar este comando me mostro una contraseña sin usuario. Así que realice otro password spray y me indico automáticamente que pertenece al usuario administrador. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FFLPpjfDqyrDWyjaGo9sh%2F12.png?alt=media) ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FF01QOwoGgocsDWXdRmgd%2F13.png?alt=media) Ingrese con evil-winrm siendo usuario administrador y logre comprometer la maquina. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2Ffl1jmL8EaK0yfjn4bCYz%2F14.png?alt=media) OTRA FORMA DE ENCONTRAR LA PASSWORD DE ADMINISTRADOR. ![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FtkB89i276ZOGhJOY5G3X%2F15.png?alt=media)