Heist
Heist es un sistema operativo Windows de dificultad fácil con un portal de "Problemas" accesible en el servidor web, desde el que es posible obtener hashes de contraseñas de Cisco. Estos hashes se descifran y, posteriormente, se utiliza la fuerza bruta de RID y Password Spraying para obtener acceso al sistema. Se descubre que el usuario está ejecutando Firefox. Se puede descartar el proceso firefox.exe y buscar la contraseña del administrador.
Reconnaissance
Realizaremos un reconocimiento con nmap para ver los puertos que están expuestos en la máquina Heist. Este resultado lo almacenaremos en un archivo llamado allPorts.
A través de la herramienta de extractPorts, la utilizaremos para extraer los puertos del archivo que nos generó el primer escaneo a través de Nmap. Esta herramienta nos copiará en la clipboard los puertos encontrados.
Lanzaremos scripts de reconocimiento sobre los puertos encontrados y lo exportaremos en formato oN y oX para posteriormente trabajar con ellos.
Transformaremos el archivo generado targetedXML para transformar el XML en un archivo HTML para posteriormente montar un servidor web y visualizarlo.
Accederemos a http://localhost y verificaremos el resultado en un formato más cómodo para su análisis.
Information Leakage
Accederemos a http://10.10.10.149 y verificaremos que se trata de un panel de inicio de sesión. También ofrece la opción de iniciar sesión como invitado a través de la opción Login as guest.
Al acceder como usuario Invitado, comprobamos que hay una conversación interesante.
En la conversación que se muestra, el usuario llamado Hazard tiene problemas con su router Cisco, le indica al soporte técnico que le ha adjuntado un archivo con una parte de la configuración que el anterior administrador estaba utilizando en el router.
Probaremos de visualizar el archivo adjunto para verificar la configuración del router del usuario.
Verificamos que tal y como había indicado el usuario, se trata de una parte de la configuración del router Cisco del usuario.
Entre la información que podemos rescatar, nos encontramos con un enable secret y dos contraseñas de los usuarios rout3r y admin.
Cracking Hashes
Întentaremos crackear el hash de la contraseña de enable secret que encontramos. Nos encontramso que se trata de un hash de Cisco, con lo cual nos confirma que se trata de la contraseña del router Cisco que mencionaba.
Al ejecutar la herramiente de hashcat, logramos crackear el hash y obtener la contraseña en texto plano.
Cisco Password 7 Decrypt
Por otro lado, nos queda crackear los hashes de las contraseñas de los usuarios rout3r y admin. Este tipo de hash se trata de una contraseña de Cisco Encriptada.
Realizando una búsqueda por Internet nos encontramos con la siguiente web en la cual nos explican como diferenciar los diferentes tipos de Cisco Passwords que existen.
En este caso, nos indica que nuestra contraseña encriptada, se encuentra encriptada en el algoritmo 7 de Cisco.
Buscando en Internet cómo podemos desencriptar esta contraseña de Cisco Password 7, nos encontramos con el siguiente blog de la página de Cisco en la cual un usuario menciona un sitio web dónde podremos utilizarlo para desencriptar la contraseña.
Al acceder al sitio web, ingresamos la contraseña y procedemos a crackearla. Logramos obtener la contraseña en texto plano.
Realizaremos el mismo proceso con la última contraseña que nos queda, también logramos obtener las credenciales válidas.
Initial Access
Netexec Brute Force Password
Dispnemos del siguiente listado de usuarios y contraseñas que hemos encontrado anteriormente.
A través de la herramienta de nxc realizaremos fuerza bruta para verificar si alguna de las credenciales son válidas para algún usuario. Logramos validar las credenciales del usuario hazard.
RID Cycling Attack
A través de las credenciales de hazard, realizaremos un RID Cycling Attack para lograr obtener más usuarios válidos del equipo. En este caso, logramos obtener más nombres de usuarios.
Guardaremos estos nuevos usuarios encontrados en el archivo users.txt, volveremos a lanzar un ataque de fuerza bruta para validar si alguno de estos nuevos usuarios dispone de alguna contraseña válida del listado que tenemos.
Logramos verificar las credenciales del usuario chase.
Abusing WinRM - EvilWinRM
En la enumeración de Nmap, verificamos que el WinRM se encontraba abierto. Por lo tanto, probaremos de validar si a través del usuario chase podemos conectarnos al equipo.
Verificamos que disponemos de los permisos adecuados, nos conectaremos al equipo y visualizaremos la flag de user.txt.
Privilege Escalation
Creating a dump file of the Firefox Process - Procdump64.exe (Windows Sysinternals)
Revisando los procesos que se encuentran en ejecución, nos encontramos que existen varios de ellos que son del navegador Firefox, un tanto inusual.
A través de la herramienta de ProcDump de Sysinternals, lo que realizaremos es un volcado de memoria del proceso de Firefox para disponer y verificar la información del proceso.
Nos descargaremos el archivo comprimido Procdum.zip de la página oficial de Sysinternals. Una vez descomprimido, levantaremos un servidor web para compartir el archivo.
Desde el equipo víctima, nos descargaremos el binario de ProcDump64.exe.
Realizaremos un volcado de memoria sobre el proceso de Firefox y nos descargaremos el volcado de memoria realizado.
Hay que realizar el volcado de memoria del proceso de Firefox que esté consumiendo más procesos, en nuestr caso era el 6716.
Reading the password of the administrator user in the previously performed dump
Revisaremos el volcado de memoria que disponemos en nustro equipo local, filtraremos por los campos que nos interesen y al parecer hemos logrado encontrar en el volcado de memoria lo que parecen ser las credenciales del usuario Admninistrator.
Validaremos si son las credenciales válidas, al verificar el acceso, nos conectaremos mediante evil-winrm y lograremos visualizar la flag de root.txt.
Última actualización
¿Te fue útil?