🔑Lab de contraseñas - Hard
El último host es un cliente basado en Windows.
Al igual que con las evaluaciones anteriores, a nuestro cliente le gustaría asegurarse de que un atacante no pueda obtener acceso a ningún archivo confidencial en caso de un ataque exitoso. Mientras nuestros colegas estaban ocupados con otros hosts de la red, descubrimos que el usuario Johanna está presente en muchos hosts. Sin embargo, todavía no hemos podido determinar el propósito exacto o el motivo de esto.
Objetivo
Examina el tercer objetivo y envía el contenido de
flag.txten C:\Users\Administrator\Desktop\ como respuesta.
Escaneo de puertos
sudo nmap -v -sV -T5 10.129.202.222 -Pn
PORT STATE SERVICE VERSION
111/tcp open rpcbind?
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
2049/tcp open status 1 (RPC #100024)
3389/tcp open ms-wbt-server Microsoft Terminal Services
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windowsObservamos que tiene 6 puertos abiertos, 22, 139 y 445, que se corresponden con y SMB y RDP principalmente, por lo que centraremos el tiro en estos servicios.
Bruteforce de SMB
Encontramos unas credenciales válidas de SMB para el usuario johanna, por lo que vamos a empezar a enumerar las carpetas compartidas:
Encontramos la carpeta compartida IPC$ que tenemos permisos de lectura. También encontramos la carpeta david, lo que nos indica que hay un usuario con ese nombre en el sistema.
No podemos acceder a ninguna carpeta compartida ni ver su contenido, por lo que vamos a probar a hacer bruteforce contra el servicio RDP.
Bruteforce de RDP
Vamos a probar el bruteforce de RDP contra el usuario johanna:
Parece que utiliza la misma contraseña para acceder a SMB y RDP. Vamos a intentar conectarnos por RDP:
Buuumm! Conseguimos acceder correctamente, y podemos empezar a enumerar información. A simple vista parece que utiliza varios navegadores, por lo que podríamos usar Lazagne para intentar extraer contraseñas almacenadas.
Vamos a enviar el ejecutable de lazagne.exe de la siguiente manera:
Lazagne
Una vez que tenemos lazagne en nuestra máquina objetivo, vamos a ejecutarlo de la siguiente manera:
Lazagne nos encuentra 1 archivo .kdbx de KeePass con posibles contraseñas almacenadas:
Al introducir la contraseña que tenemos para RDP no funciona, por lo que tendremos que enumerar más información:
Keepass2john
Vamos a descargarnos este archivo Logins.kdbx y crackearlo con keepass2john:
Vamos a usar el diccionario de contraseñas mutadas que hemos utilizado en toda esta sección para crackearlo:
Buuum! Obtenemos la contraseña en plano para este archivo de Keepass: Qwerty7!
E voilá! Hemos obtenido la contraseña del usuario david. Click derecho > Copiar contraseña
Ahora que tenemos las credenciales de david, vamos a empezar a enumerar información
Enumeración de David
Podemos usar crackmapexec para ver las carpetas compartidas:
Vemos que ahora si, podemos acceder a la carpeta compartida david, con permisos de lectura.
Encontramos un archivo de backup que puede contener información valiosa. Vamos a descargarlo.
Como vemos es un archivo cifrado, y para crackear este tipo de archivo necesitamos bitlocker2john.
Cracking con bitlocker2john
Obtenemos la contraseña en plano y ya podemos montar esta unidad virtual. Necesitamos montarlo en un sistema windows, por lo que necesitamos acceder por RDP, transferir el archivo de Backup y lo montarlo.
También he encontrado el siguiente artículo donde explica como montarlo en sistemas Linux:
Montaje de Backup.vhd
Podemos montarlo en cualquier VM Windows de la siguiente manera:
o por el navegador:
Dentro del disco encontramos 2 archivos: SAM y SYSTEM
Nos enviamos estos dos archivos a nuestra máquina de atacante para extraer los hashes con Impacket
Extracción de hashes
Guardamos los hashes, solamente con el hash NTLM de la siguiente manera:
Cracking con Hashcat
Nos consigue crackear correctamente 2 hashes, que se corresponden con los usuarios johanna y administrator!
Acceso Root
Última actualización
¿Te fue útil?