Writeups

Domain Controller con le porte AD filtrate e un Redis 2.8 esposto. Lettura file arbitraria via Lua, hash NetNTLMv2 catturato con Responder, SYSTEM con GodPotato.

Macchina già compromessa, sedici domande investigative. Webshell .jsp, mimikatz rinominato, tre meccanismi di persistenza e hosts file avvelenato.

Due attacchi diversi sulla stessa macchina: una backdoor agganciata al servizio di stampa di Windows, e il framework Empire nascosto dentro explorer.exe, il processo del desktop.

Trenta domande su una macchina compromessa. L'attaccante ha lasciato una backdoor WMI che chiama casa ogni ora e che chiude Process Explorer appena provi ad aprirlo.

osCommerce con la directory install mai rimossa. Nessun payload PHP regge sul target: la strada è php/exec più un eseguibile msfvenom servito via HTTP.

L'accesso iniziale passa da Kerberos stesso: kerbrute, AS-REP roast su svc-admin, credenziali base64 in una share backup, DCSync e pass-the-hash.

Nessun exploit, solo osservazione richiesta. Password nel robots.txt, username ricavato da un documento, privilege escalation riscrivendo le ACL di una cartella.

RCE su Icecast, bypass UAC per arrivare a SYSTEM, dump di SAM e LSA secrets con kiwi.

EternalBlue su SMB. Il payload reverse_tcp viene bloccato in uscita, bind_tcp apre una shell diretta come SYSTEM.

WordPress nascosto sotto /retro, credenziali nei commenti di un post, escalation a SYSTEM via CVE-2019-1388 sulla finestra UAC di hhupd.exe.

53 punti. Il servizio cifra qualunque cosa gli mandi, e la flag te la dà solo cifrata. Con 96 tentativi si ricostruisce il generatore di chiavi, che non è casuale come sembra, e si decifra.

83 punti. Un eseguibile .NET che dentro ne nasconde altri tre, fra cui un finto processore con istruzioni inventate. La password non è scritta da nessuna parte: si ricava al contrario dai 16 controlli che il programma fa.

77 punti. La shell parte dentro un chroot con due sole directory e nessun comando. Ma /bin/sh è BusyBox, che contiene mount e tutto il resto: si monta /proc e da lì si esce dalla gabbia.

Domain Controller with the AD ports filtered and a Redis 2.8 exposed. Arbitrary file read via Lua, NetNTLMv2 hash captured with Responder, SYSTEM with GodPotato.

Machine already compromised, sixteen investigative questions. A .jsp webshell, renamed mimikatz, three persistence mechanisms and a poisoned hosts file.

Two different attacks on the same machine: a backdoor hooked into the Windows print service, and the Empire framework hidden inside explorer.exe, the desktop process.

Thirty questions on a compromised machine. The attacker left a WMI backdoor that calls home every hour and that closes Process Explorer as soon as you try to open it.

osCommerce with the install directory never removed. No PHP payload holds up on the target: the route is php/exec plus an msfvenom executable served over HTTP.

Initial access comes from Kerberos itself: kerbrute, AS-REP roast on svc-admin, base64 credentials in a backup share, DCSync and pass-the-hash.

No exploit, only observation required. Password in robots.txt, username derived from a document, privilege escalation by rewriting the ACLs of a folder.

RCE on Icecast, UAC bypass to reach SYSTEM, dump of SAM and LSA secrets with kiwi.

EternalBlue over SMB. The reverse_tcp payload gets blocked outbound, bind_tcp opens a shell straight in as SYSTEM.

WordPress hidden under /retro, credentials in the comments of a post, escalation to SYSTEM via CVE-2019-1388 on the UAC window of hhupd.exe.

53 points. The service encrypts anything you send it, and gives you the flag only encrypted. With 96 attempts you reconstruct the key generator, which isn't as random as it looks, and you decrypt it.

83 points. A .NET executable that hides another three inside it, one of them a fake processor with invented instructions. The password is written nowhere: it is derived backwards from the 16 checks the program runs.

77 points. The shell starts inside a chroot with only two directories and no commands. But /bin/sh is BusyBox, which contains mount and everything else: you mount /proc and from there you get out of the cage.