# Nmap 7.94SVN scan initiated Tue Oct 1 16:12:28 2024 as: nmap -p135,139,3268,3269,389,445,464,49667,49673,49674,49677,49689,49696,53,593,5985,636,80,88,9389 -sCV -T5 -oN Targeted 10.10.10.175
Nmap scan report for 10.10.10.175
Host is up (0.17s latency).
PORT STATE SERVICE VERSION
53/tcp open domain Simple DNS Plus
80/tcp open http Microsoft IIS httpd 10.0
|_http-title: Egotistical Bank :: Home
|_http-server-header: Microsoft-IIS/10.0
| http-methods:
|_ Potentially risky methods: TRACE
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-10-01 21:12:38Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: EGOTISTICAL-BANK.LOCAL0., Site: Default-First-Site-Name)
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: EGOTISTICAL-BANK.LOCAL0., Site: Default-First-Site-Name)
3269/tcp open tcpwrapped
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
9389/tcp open mc-nmf .NET Message Framing
49667/tcp open msrpc Microsoft Windows RPC
49673/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49674/tcp open msrpc Microsoft Windows RPC
49677/tcp open msrpc Microsoft Windows RPC
49689/tcp open msrpc Microsoft Windows RPC
49696/tcp open msrpc Microsoft Windows RPC
Service Info: Host: SAUNA; OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
|_clock-skew: 7h00m02s
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled and required
| smb2-time:
| date: 2024-10-01T21:13:29
|_ start_date: N/A
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Tue Oct 1 16:14:09 2024 -- 1 IP address (1 host up) scanned in 101.12 seconds
Explotación
Empezando por la enumeración de los puertos para poder encontrar información y posteriormente una explotación, en el puerto 53 domain he encontrado con el siguiente comando un potencial usuario en el active directory:
al encontrar nombre, las fomras comunes de representar usuarios en un active directory es le siguiente:
hugosmith
hsmith
hugo.smith
h.smith
Esta lista vamos a pasarla por kerbrute y vamos a comprobar si el usuario existe en el Active Directory
Al parecer kerbrute nos da el usuario como valido así que ahora sabemos tanto un usuario de el AD como la sintaxis que utilizan los usuarios, vamos a seguir enumerando.
Dentro de la páguina web hemos encontrado mas trabajadores, los cuales vamos a comprobar si son validos en el AD:
Vamos a ejecutar el siguiente comando para verificar si alguno de los usuarios es vulnerable a AS-REP Roasting:
Una vez que el archivo .zip ha sido subido a BloodHound, el primer paso es identificar y marcar los usuarios comprometidos. A continuación, navegamos a la sección "Find Principals with DCSync Rights", donde descubrimos que el usuario svc_loanmgr tiene asignados los permisos Get Changes y Get Changes All sobre el dominio. Estos permisos indican que el usuario es vulnerable al ataque DCSync, que permite replicar los hashes de contraseñas del controlador de dominio sin necesidad de comprometer directamente el controlador.
Sabiendo esto ejecutamos el ataque DCSync de la siguiente manera:
