Cicada es una máquina Windows de nivel fácil que se centra en la enumeración y explotación de Active Directory para principiantes. En esta máquina, los jugadores enumerarán el dominio, identificarán usuarios, navegarán por recursos compartidos, descubrirán contraseñas en texto plano almacenadas en archivos, ejecutarán un password spray y usarán SeBackupPrivilege para lograr un compromiso total del sistema.
Sightless es una máquina Linux de dificultad fácil que presenta un sitio web para una empresa que ofrece varios servicios. La enumeración del sitio web revela una instancia de SQLPad vulnerable a template injection CVE-2022-0944, que se aprovecha para afianzarse dentro de un contenedor Docker. Una enumeración adicional revela el archivo /etc/shadow con un hash, que se descifra para revelar la contraseña, lo que otorga acceso SSH al host. La enumeración posterior a la explotación revela una instancia de Froxlor vulnerable a Blind XSS CVE-2024-34070. Esto se aprovecha para obtener acceso al servicio FTP, que contiene una base de datos KeePass. El acceso a la base de datos revela las claves SSH raíz, lo que lleva a un shell privilegiado en el host.
Sea es una máquina Linux de nivel de dificultad fácil que presenta en WonderCMS una vulnerabilidad de cross-site scripting (XSS) que se puede utilizar para cargar un módulo malicioso, lo que permite el acceso al sistema. La escalada de privilegios consiste en extraer y descifrar una contraseña del archivo de base de datos de WonderCMS, para luego explotar una inyección de comandos en un software de monitoreo de sistema personalizado, lo que nos da acceso a root.
En este Sherlock, se familiarizará con la investigación forense de MFT (tabla maestra de archivos). Se le presentarán herramientas y metodologías conocidas para analizar artefactos de MFT a fin de identificar actividades maliciosas. Durante nuestro análisis, utilizará la herramienta MFTECmd para analizar el archivo MFT proporcionado, TimeLine Explorer para abrir y analizar los resultados del MFT analizado y un editor hexadecimal para recuperar el contenido de los archivos del MFT.
En este Sherlock, te familiarizarás con los registros de Sysmon y varios EventIDs útiles para identificar y analizar actividades maliciosas en un sistema Windows. Unit42 de Palo Alto realizó recientemente una investigación sobre una campaña de UltraVNC, en la que los atacantes utilizaron una versión con backdoor de UltraVNC para mantener el acceso a los sistemas. Este laboratorio está inspirado en esa campaña y guía a los participantes a través de la etapa de acceso inicial de la campaña.
Cap es una máquina Linux de dificultad fácil que ejecuta un servidor HTTP encargado de funciones administrativas, como capturas de red. Un control inadecuado provoca una Referencia Directa de Objetos Insegura (IDOR), permitiendo el acceso a la captura de otro usuario. La captura contiene credenciales en texto plano que pueden usarse para obtener acceso inicial. Luego, se utiliza una capability de Linux para escalar los privilegios a root.
La red de Forela está bajo constante ataque. El sistema de seguridad emitió una alerta sobre una antigua cuenta de administrador que solicita un ticket de KDC en un controlador de dominio. El inventario muestra que esta cuenta de usuario no se utiliza en este momento, por lo que se le solicita que la revise. Esto puede ser un ataque AsREPRoast, ya que cualquiera puede solicitar el ticket de cualquier usuario que tenga la autenticación previa deshabilitada.
El IDS, nos alertó sobre un posible dispositivo no autorizado en la red interna de Active Directory. El sistema de detección de intrusiones también indicó señales de tráfico LLMNR, lo cual es inusual. Se sospecha que se produjo un ataque de envenenamiento de LLMNR. El tráfico LLMNR se dirigió hacia Forela-WKstn002, que tiene la dirección IP 172.17.79.136. Se le proporciona a usted, nuestro experto en análisis forense de redes, una captura de paquetes limitada del tiempo circundante. Dado que esto ocurrió en la VLAN de Active Directory, se sugiere que realicemos una búsqueda de amenazas de red teniendo en cuenta el vector de ataque de Active Directory, centrándonos específicamente en el envenenamiento de LLMNR.
GreenHorn es una máquina de dificultad fácil que aprovecha un exploit en Pluck para lograr la ejecución remota de código y luego demuestra los peligros de las credenciales pixeladas. La máquina también demuestra que debemos tener cuidado al compartir configuraciones de código abierto para asegurarnos de no revelar archivos que contengan contraseñas u otra información que deba mantenerse confidencial.
TwoMillion es una máquina Linux de dificultad Fácil, lanzada para celebrar que HackTheBox alcanzó los 2 millones de usuarios. La máquina utiliza una versión antigua de la plataforma de HackTheBox que incluye un antiguo código de invitación obsoleto. Al hackear el código de invitación, se puede crear una cuenta en la plataforma. Esta cuenta permite explorar varios endpoints de la API, uno de los cuales puede usarse para elevar los privilegios del usuario a Administrador. Con acceso administrativo, el usuario puede hacer una inyección de comandos en el endpoint de generación de VPN para obtener un shell del sistema. Se encuentra un archivo .env con credenciales de la base de datos, y debido a la reutilización de contraseñas, los atacantes pueden iniciar sesión como usuario admin en la máquina. Además, el kernel del sistema está desactualizado, y se puede usar CVE-2023-0386 para obtener un shell con privilegios de root.