👜Caso práctico: Informes
Somos un pentester de Acme Security, Ltd. Su equipo ha sido contratado para realizar una prueba de penetración interna en una de las redes internas de Inlanefreight. El evaluador asignado al proyecto tuvo que ausentarse inesperadamente, por lo que su gerente le ha encomendado la tarea de hacerse cargo de la evaluación. Ha tenido poca comunicación con el evaluador, y todas sus notas se guardan en la máquina virtual de pruebas configurada dentro de la red interna. El alcance proporcionado por el cliente es el siguiente:
Alcance de la red:
172.16.5.0/24Dominio:
INLANEFREIGHT.LOCAL
Tu compañero de equipo ya ha creado una estructura de directorio y un cuaderno de Obsidian detallado para registrar sus actividades de prueba. Hicieron una lista, 13 findingspero solo registraron evidencia de algunas. Conviértete en el evaluador de penetración y completa este simulacro de prueba lo mejor que puedas.
Objetivo(s): 10.129.177.16 (ACADEMY-DOCRPT-PAR01)
RDP con el usuario "htb-student" y la contraseña "HTB_@cademy_stdnt!"Pregunta 1
Conéctate a la máquina virtual de prueba mediante Xfreerdp y practique las pruebas, la documentación y la generación de informes con el laboratorio objetivo. Una vez que el objetivo se genere, acceda a la instancia de WriteHat en el puerto 443 y autentíquese con las credenciales de administrador proporcionadas. Experimente con la herramienta y practique añadiendo hallazgos a la base de datos para familiarizarse con las herramientas de informes disponibles. Recuerde que todos los datos se perderán al reiniciar el objetivo, así que guarde los hallazgos de práctica localmente. A continuación, complete la prueba de penetración en curso. Una vez que obtenga acceso de administrador de dominio, envíe el contenido del archivo flag.txt al Escritorio del administrador en el host DC01.
Una vez que accedemos nos encontramos un cuadernos de Obsidian con una estructura super completa de pentesting:
En el apartado Evidence > FIndings > H5 nos encontramos las credenciales del usuario administrator, que usaremos para conseguir una shell SYSTEM en el sistema objetivo:
Este host no es el DC por lo que necesitaremos buscar más información. En el apartado Notes > Credentials encontramos la contraseña del usuario asmith, con el que podremos realizar el resto de ataques. Esta sección deberíamos ir anotando todas las credenciales que consigamos:
Kerberoasting
En el apartado Evidence > FIndings > H1 vemos que este usuario asmith puede realizar un ataque Kerberoasting, ya que ha recopilado cuentas válidas con GetUserSPNs.py:
Vamos a explotar esto para finalizar el ataque Kerberoasting:
Cracking de Hashes
Tenemos los hashes krb5tgs de varias cuentas! Vamos a guardarlos en un archivo hashes.txt y a crackearlos para obtener las contraseñas en plano en caso de que sean débiles.
Obtenemos 3 contraseñas en plano. Estas contraseñas deberíamos añadirlas en el apartado Notes > Credentials
DCSync
Utilizando las credenciales de solarwindsmonitor conseguimos realizar un volcado de todos los hashes del sistema, con lo que estaría el dominio totalmente comprometido:
Pass the Hash
Tenemos el hash del administrador, con lo que podríamos realizar un Pass the Hash para conseguir una Shell SYSTEM como Administrator:
Acceso a la flag
Pregunta 2
Después de obtener el estatus de administrador del dominio, envíe el hash NTLM de la cuenta KRBTGT.
En la salida del ataque DCSync vemos el hash del usuario KRBTGT:
Al igual que el resto de hashes encontrados (o por lo menos los de los usuarios importantes) deberíamos añadirlos al apartado Notes > Hashes
Pregunta 3
Descarga el archivo NTDS y realice el descifrado de contraseñas sin conexión. Envíe la contraseña del usuario
svc_reportingcomo respuesta.
Pass the Hash con Evil-WinRM
Crear Shadow Copy de C:
Copiar NTDS.dit desde VSS
Para extraer los hashes del NTDS.dit necesitamos el archivo SYSTEM, por lo que lo copiaremos a C:/ y nos lo enviaremos igualmente:
Envio a la máquina atacante
En la máquina atacante recibimos el NTDS.dit
Extracción de hashes
Ahora podemos filtrar el archivo que nos ha generado para buscar solamente los del usuario svc_reporting:
Tenemos el hash NTLM, concretamente el primero.
Cracking del hash
Tenemos la contraseña en plano del usuario svc_reporting que deberíamos incluir en el apartado Notes > Credentials
Pregunta 4
¿A qué grupo local poderoso pertenece este usuario?
Vemos que pertenece al grupo privilegiado Backup Operators.
Última actualización
¿Te fue útil?