Last updated
Enumere los puertos abiertos de la maquina, así mismo el comando va a enumerar los servicios y versiones de cada puerto.
El informe de nmap me mostro datos interesantes, uno de ellos es que me enfrento a una maquina windows.
Con la herramienta nxc sin proporcionarles credenciales y aprovechando el servicio smb 445 voy a verificar ante que windows me enfrento.
Otro dato interesantes que observe fue que tengo 2 servidores web corriendo tanto el puerto 4443 como en el 8080.
Al ingresar al servidor web del puerto 4443 note que me redirigió a un directorio llamado "dashboard" donde tengo un XAMPP corriendo en dicha web.
En uno de las opciones hay un phpinfo donde ingrese y luego de una lectura encontré un usuario llamado RUPERT.
Luego pase a la búsqueda de directorios ocultos, en este caso hice fuerza bruta a la url quitando el directorio donde me redirigió al principio.
Ejecute feroxbuster y encontró varios directorios, el mas interesante el "/site"
Aquí realice un reconocimiento en toda la web, donde me llamo la atención la URL cada vez que selecciono otro apartado.
Te explico, acá estoy en la sección o apartado con nombre "portfolio"
.. si selecciono la opción de "service" me va a cambiar obteniendo esta URL.
Acá el parámetro "page" esta llamando a los archivos tanto como porfolio, service, etc..
Me resulto interesante, por ende busque si existe hacer un LOCAL FILE INCLUSION en windows ya que esta vulnerabilidad se encuentran normalmente en entornos linux.
En esta web encontré información muy exquisita sobre los LFI en windows.
Según el post se puede realizar un LFI como un RFI.
Lo primero que realice fue crear un archivo básico : ""; cmd = ( _REQUEST["cmd"]); system( cmd); echo ""; die; }?>"
, luego use impacket-smbserver para compartir el archivo php y alojarlo en la maquina. La url quedaría de la siguiente forma:
#smb es la carpeta compartida y p.php el payload.
Ahora cree una revershell.exe con msfvenom.
Seguidamente a través del smbserver aloje la revershell.exe colocando lo siguiente:
Quedando la URL de esta manera:
En otra terminal me pongo a la escucha con netcat en el puerto de la revershell. En el mismo instante envié la petición y obtuve la conexión con netcat.
Ya con acceso a la maquina hice un reconocimiento de ella para encontrar la forma de escalar privilegios.
En la carpeta Backup encontré unos archivos de texto y un ejecutable que al leer cada archivo el mas interesante es el info.txt donde me indica que cada 5 min se ejecuta el archivo .exe.
Probé si podía cambiar el nombre del ejecutable lo cual funciono, por ende acá puedo abusar o aprovechar de este ejecutable y suplantarlo con una revershell para obtener acceso como administrador en el caso de que lo ejecute el administrador.
Con el comando move moví el archivo y le coloque nombre TFTP.EXE.OLD
Aquí creo la revershell con nombre TFTP.EXE y la subo a la maquina a través de un servidor con python.
Luego espero un tiempito y obtuve acceso como usuario administrador.
