MAQUINA HUTCH (Netexec LDAP enum - PrivEsc Netexec DUMP Laps)

MAQUINA HUCH

Enumere los puertos de la maquina usando nmap.

nmap -p- --open -sS --min-rate 4000 -v -Pn 192.168.142.122 -oG basicScan.txt

Este escaneo me va a mostrar solamente los puertos abiertos.

Ejecute otro tipo de escaneo, ahora este escaneo me va a mostrar todos los servicios y sus versiones de los puertos encontrados.

nmap -p[rango de puertos encontrados] -sCV 192.168.142.122 -oN fullservice.txt

Revise el informe de nmap y encontré un dominio llamado "hutch.offsec" que lo agregue a mi

/etc/hosts.

Con el puerto 88 abierto ya se que estoy ante un DC, luego use netexec para identificar ante que Windows me estoy enfrentando.

Observe a primera vista que al pasarle una null sesion para identificar el OS me devolvió un [+] lo que quiere decir que podría tener permisos para realizar alguna accion en la maquina.

Leyendo un poco pude ver que si en la maquina tiene expuesto el servicio LDAP y si funciona las credenciales en ese servicio puedo ejecutar varios comandos.

En este caso use el comando "--users" donde me devolvió mucha información entre ellos los usuarios del DC.

nxc ldap 192.168.142.122 -u '' -p '' --users

Le indique a netexec que me muestre la query de los "samaccountname" y resulto exitoso lo solicitado.

Este comando me muestra información valiosa entre ella las descripciones {cosa muy importante a tener en cuenta}.

nxc ldap 192.168.142.122 -u '' -p '' --query "(sAMAccountName=*)" ""

Al cabo de un tiempo después de leer detalladamente todo encontré una posible contraseña del usuario FREDDY.

Realice un password spray para ver si esta contraseña puede ser valida con otros usuarios a parte de freddy, pero solamente es valida con dicho usuario.

Otra forma mas sencilla de encontrar los usuario en un formato mas limpio es usando el siguiente método.

-M group-mem -o GROUP="Domain users"

Lo mismo con las descripciones, en este caso es utilizado el siguiente método:

-M get-desc-users

Antes de intentar ingresar a la maquina vía evil-winrm, utilice el método {-M}.

-M laps

Al ejecutar este comando me mostro una contraseña sin usuario. Así que realice otro password spray y me indico automáticamente que pertenece al usuario administrador.

Ingrese con evil-winrm siendo usuario administrador y logre comprometer la maquina.

OTRA FORMA DE ENCONTRAR LA PASSWORD DE ADMINISTRADOR.