Enumeración usando smtp-enum y sacábamos un correo fiona@inlanefreight.htb. Con ese usuario hacíamos brute forcing sobre servicios (mysql y ftp te bloqueaban al instante), pero rdp sí dejaba y sacábamos la password. Con esa misma password accedíamos a mysql, donde teníamos permiso de escritura, así que subíamos una webshell (máquina windows) y nos enviábamos una reverse.
Medium
Había que escanear todos los puertos porque había uno que no era común: un servidor ftp en el puerto 37010. Iniciado como anonymous daba unas creds que con brute-forcing (hydra) permitían acceder a ssh. RECORDATORIO: escanear siempre con -p-
Hard
txt
1433/tcp open ms-sql-s Microsoft SQL Server 2019
3389/tcp open ms-wbt-server Microsoft Terminal Services
Escaneábamos smb y sacábamos contraseña de fiona (unas creds + bruteforcing en rdp) para acceder al mssql.
MSSQL
Ver si podíamos ejecutar
Listar base de datos buscando creds
Intentar listar archivos locales
Intentar capturar hashes ntlm con smbclient + responder (no funcaba)
Vimos los usuarios que podíamos impersonar (john y simon):
sql
EXECUTE AS LOGIN = 'john' SELECT SYSTEM_USER SELECT IS_SRVROLEMEMBER('sysadmin');
Como john no teníamos permisos, quedaban los linked servers:
sql
EXEC sp_linkedservers
-- LOCAL.TEST.LINKED.SRV
Ejecutando sobre el linked server éramos admin y sacábamos la flag. RECORDATORIO: al ejecutar xp_cmdshell poner comillas ""