# MAQUINA HUTCH (Netexec LDAP enum - PrivEsc Netexec DUMP Laps)

MAQUINA HUCH

Enumere los puertos de la maquina usando nmap.

`nmap -p- --open -sS --min-rate 4000 -v -Pn 192.168.142.122 -oG basicScan.txt`

Este escaneo me va a mostrar solamente los puertos abiertos.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FUgVuMtKnSB6EF5V1h7ge%2F0.png?alt=media)

Ejecute otro tipo de escaneo, ahora este escaneo me va a mostrar todos los servicios y sus versiones de los puertos encontrados.

`nmap -p[rango de puertos encontrados] -sCV 192.168.142.122 -oN fullservice.txt`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FuKNiir2JAGbn93dVtdfd%2F1.png?alt=media)

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FYS8cr3O3hP4vdJ4etydv%2F2.png?alt=media)

Revise el informe de nmap y encontré un dominio llamado "hutch.offsec" que lo agregue a mi

`/etc/hosts.`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FWdPrgAaElJZJ0fARcqa7%2F3.png?alt=media)

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FEgBb7bX1raHciWetLRdb%2F4.png?alt=media)

Con el puerto 88 abierto ya se que estoy ante un DC, luego use netexec para identificar ante que Windows me estoy enfrentando.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FbSXvNUxBSLAJAxyyCI9B%2F5.png?alt=media)

Observe a primera vista que al pasarle una null sesion para identificar el OS me devolvió un \[+] lo que quiere decir que podría tener permisos para realizar alguna accion en la maquina.

En un articulo de "[https://www.hackingarticles.in/"](https://www.hackingarticles.in/%22) encontré varias formas de aprovechar esta herramienta.

Leyendo un poco pude ver que si en la maquina tiene expuesto el servicio LDAP y si funciona las credenciales en ese servicio puedo ejecutar varios comandos.

En este caso use el comando "--users" donde me devolvió mucha información entre ellos los usuarios del DC.

`nxc ldap 192.168.142.122 -u '' -p '' --users`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FJ45dfBbeUuIOpxxUWapl%2F6.png?alt=media)

Le indique a netexec que me muestre la query de los "samaccountname" y resulto exitoso lo solicitado.

Este comando me muestra información valiosa entre ella las descripciones {cosa muy importante a tener en cuenta}.

`nxc ldap 192.168.142.122 -u '' -p '' --query "(sAMAccountName=*)" ""`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FT4XCFLjUswdkr7Kmclyh%2F7.png?alt=media)

Al cabo de un tiempo después de leer detalladamente todo encontré una posible contraseña del usuario FREDDY.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FzX1lznSvFweA3DVnyRx4%2F8.png?alt=media)

Realice un password spray para ver si esta contraseña puede ser valida con otros usuarios a parte de freddy, pero solamente es valida con dicho usuario.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FSHoR5idPij4w539kO2ha%2F9.png?alt=media)

Otra forma mas sencilla de encontrar los usuario en un formato mas limpio es usando el siguiente método.

`-M group-mem -o GROUP="Domain users"`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2F9RLDo8wI6JdUY8us9DL5%2F10.png?alt=media)

Lo mismo con las descripciones, en este caso es utilizado el siguiente método:

`-M get-desc-users`

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FPmgyZS4fK56tEtB2fXSY%2F11.png?alt=media)

Antes de intentar ingresar a la maquina vía evil-winrm, utilice el método {-M}.

`-M laps`

Al ejecutar este comando me mostro una contraseña sin usuario. Así que realice otro password spray y me indico automáticamente que pertenece al usuario administrador.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FFLPpjfDqyrDWyjaGo9sh%2F12.png?alt=media)

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FF01QOwoGgocsDWXdRmgd%2F13.png?alt=media)

Ingrese con evil-winrm siendo usuario administrador y logre comprometer la maquina.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2Ffl1jmL8EaK0yfjn4bCYz%2F14.png?alt=media)

OTRA FORMA DE ENCONTRAR LA PASSWORD DE ADMINISTRADOR.

![](https://2262788210-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Ff1UWZ7xdDAb8KAEfAIlA%2Fuploads%2FtkB89i276ZOGhJOY5G3X%2F15.png?alt=media)
