> For the complete documentation index, see [llms.txt](https://4lec4st.gitbook.io/4lec4st/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://4lec4st.gitbook.io/4lec4st/writes-ups/tryhackme/easy/soupedecode-01.md). # Soupedecode 01 ## Información de la máquina

**Soupedecode 01** es una máquina Windows de nivel *Easy* en *TryHackMe* que permite poner en práctica técnicas clave de enumeración y explotación de entornos de dominio Active Directory. El reto inicia con un reconocimiento SMB empleando **NetExec** para identificar el dominio y extraer una lista de usuarios mediante *RID Brute Forcing*. A partir de ahí, se aplica un ataque de **Password Spraying** que permite descubrir credenciales válidas y acceder a recursos compartidos SMB. Una vez dentro, se avanza a un **Kerberoasting Attack** para obtener y crackear hashes de cuentas de servicio, consiguiendo credenciales adicionales que facilitan el acceso a nuevos recursos. Entre estos, se encuentra un archivo con hashes NTLM que pueden ser reutilizados mediante **Pass-the-Hash** para conseguir ejecución remota con privilegios *SYSTEM*. *** ## Reconocimiento Empezaremos haciendo un primer reconocimiento para ver los puertos abiertos en el sistema.

**1. `-p-` → Escaneo de todos los puertos (1-65535)** Por defecto, `nmap` solo escanea los **1000 puertos más comunes**.\ Con `-p-`, forzamos a que escanee **los 65,535 puertos** de la máquina objetivo, lo que puede ser útil para encontrar servicios que corren en puertos poco convencionales. **2. `--open` → Filtrar solo los puertos abiertos** Cuando escaneamos un sistema, muchos puertos pueden estar cerrados o filtrados por un firewall.\ Este parámetro hace que `nmap` **solo muestre los puertos abiertos**, reduciendo el ruido y facilitando el análisis. **3. `-sS` → Stealth Scan (Escaneo Sigiloso con SYN)** Es conocido como **"TCP SYN Scan"**, y funciona de la siguiente manera: * `nmap` envía un paquete **SYN** (solicitud de conexión). * Si el puerto está abierto, el servidor responde con **SYN-ACK**. * En lugar de completar la conexión con un **ACK**, `nmap` responde con un **RST (Reset)**, interrumpiendo la comunicación. **4. `--min-rate 5000` → Velocidad mínima de paquetes (5000 por segundo)** Por defecto, `nmap` ajusta dinámicamente la velocidad de los paquetes según la respuesta de la red.\ Con `--min-rate 5000`, obligamos a `nmap` a **no enviar menos de 5000 paquetes por segundo**, acelerando el escaneo. **5. `-n` → Deshabilitar resolución DNS** Normalmente, `nmap` intenta resolver el nombre de dominio de las IPs escaneadas (DNS lookup).\ Con `-n`, evitamos esta resolución de nombres, lo que **acelera el escaneo** y evita que los servidores DNS registren nuestra actividad. **6. `-Pn` → Omitir detección de host (Host Discovery Off)** Por defecto, `nmap` envía paquetes ICMP (ping) para ver si un host está activo antes de escanearlo.\ Si un firewall bloquea los pings, `nmap` puede marcarlo como "host down" y no escanearlo. **7. `-oG`** **→ Exportar el contenido en formato grepeable** Todo el resultado del escaneo lo exportaremos en un archivo llamado **`allPorts` .** El escaneo revela muchos puertos abiertos. Ahora haremos un escaneo más detallado.

**1. `-p` → Escaneo de puertos específicos** Con `-p`, le indicamos que **solo** escanee los puertos que queremos **2. `-sCV` → Escaneo de versiones y scripts básicos** Este parámetro en realidad es **dos combinaciones en una**: * **`-sC`** → Activa los **NSE scripts por defecto** en `nmap` (similar a usar `--script=default`).\ Ejecuta scripts básicos para enumerar información del servicio detectado, como banners, versiones, etc. * **`-sV`** → Realiza **fingerprinting de versiones**, intentando identificar la versión exacta del software en cada puerto abierto. **3. `-oN` → Guardar el resultado en formato Normal** Por defecto, `nmap` muestra los resultados en pantalla, pero con **`-oN targeted`**, guardamos el resultado en un archivo en **formato legible para humanos**. Usando la herramienta **NetExec (nxc)**, identificamos el nombre del dominio al que pertenece la máquina objetivo.\ *(NetExec es una herramienta para interactuar con servicios SMB, WinRM, RDP, entre otros, útil en pentesting de redes Windows.)*

Añadimos el nombre del dominio identificado al archivo `/etc/hosts` para resolverlo localmente hacia la IP del objetivo.

Con **nxc smb**, enumeramos los recursos compartidos disponibles en el servicio SMB. Aunque no tenemos permisos para acceder a ellos, podemos listarlos.

Utilizando la opción `--rid-brute` de NetExec, enumeramos los identificadores RID y obtenemos así una lista de usuarios del dominio.

Guardamos los resultados obtenidos en un archivo de texto y los procesamos para quedarnos únicamente con los nombres de usuario. Paralelamente, guardamos la evidencia original sin modificar en otro archivo.

## Password Spraying Realizamos un ataque de **Password Spraying** usando los usuarios obtenidos previamente, probando si la contraseña es igual al nombre del usuario.\ *(El **Password Spraying** consiste en intentar una o pocas contraseñas comunes contra una gran cantidad de usuarios, para evitar bloqueos por intentos fallidos repetidos.)*

Descubrimos que el usuario **ybob137** tiene como contraseña su propio nombre, quedando las credenciales `ybob137:ybob137`.

Con estas credenciales, obtenemos permisos de lectura en el recurso compartido **"Users"**.

Al acceder al recurso, observamos lo que parece ser el directorio `/home/Users` del dominio, donde se almacenan las carpetas personales de los usuarios.

Accedemos específicamente a la carpeta del usuario **ybob137**, incluyendo su escritorio.

Dentro de su escritorio encontramos la **primera flag** de la máquina.

## Kerberoasting Attack Con credenciales válidas, ejecutamos un ataque de **Kerberoasting**, obteniendo varios hashes de contraseñas de cuentas de servicio.\ *(El **Kerberoasting Attack** aprovecha que las cuentas de servicio en entornos Windows tienen tickets Kerberos cifrados con la contraseña de la cuenta. Si se solicita un TGS de ese servicio, el hash puede ser crackeado offline para recuperar la contraseña.)*

Usamos **John the Ripper** para crackear los hashes obtenidos y recuperamos una contraseña: `Password123!!`.

Probamos la contraseña contra distintos usuarios y encontramos que funciona con la cuenta **file\_svc**.

Volvemos a enumerar los recursos SMB y descubrimos que ahora tenemos acceso al recurso **backup**.

Dentro del recurso encontramos un archivo de texto.

Al inspeccionar el archivo, encontramos una lista de usuarios del servidor junto con hashes **NTLM**. Estos hashes no necesariamente corresponden a los usuarios listados.

Procesamos el archivo para separar los nombres de usuario de los hashes **NTLM** en dos listas distintas.

Probamos a autenticarnos usando los hashes con el método **Pass-the-Hash**, y descubrimos que uno es válido. Además, el sistema devuelve el mensaje "Pwned!", indicando compromiso exitoso.

## Pass-The-Hash Usando la herramienta **psexec** con el hash válido, realizamos un **Pass-the-Hash** y conseguimos acceso remoto a la máquina con privilegios de administrador (**SYSTEM**).\ *(El Pass-the-Hash consiste en autenticarse usando el hash NTLM en lugar de la contraseña en texto plano.)*

Con el acceso obtenido, localizamos y visualizamos la **flag final** de la máquina.

*** ## Conclusión La máquina **Soupedecode 01** demuestra cómo la combinación de técnicas clásicas de *Active Directory* —**Password Spraying**, **Kerberoasting** y **Pass-the-Hash**— puede derivar en un compromiso total del sistema con privilegios de administrador. El uso inicial de NetExec para enumerar el dominio y obtener usuarios es un paso crítico que habilita el resto de la cadena de ataque. La debilidad de contraseñas predecibles y la reutilización de hashes NTLM permiten el movimiento lateral y la escalada de privilegios de forma directa. En conjunto, este laboratorio refuerza la importancia de implementar políticas robustas de contraseñas, segmentar los accesos y proteger las cuentas de servicio en entornos Windows