Reconocimiento y enumeración

La mayoría de las veces que te atascas es porque te has saltado algo aquí. Repasa la lista entera aunque creas que ya tienes el camino.

Objetivo 0 de 20

Ocultar lo hecho

Los comandos usan los datos que escribiste en las chuletas (tu IP, la de la víctima, el dominio...).

Puertos y versiones 0/5

Comprobar que responde y adivinar el sistema por el TTL
Cerca de 64 suele ser Linux; cerca de 128, Windows.
```
ping -c 1 10.10.11.20
```
Escanear los 65535 puertos TCP
Los servicios interesantes muchas veces están en puertos altos que un escaneo por defecto no ve.
```
sudo nmap -p- --open -sS --min-rate 5000 -n -Pn 10.10.11.20 -oG puertos
```
Chuleta →
Lanzar versiones y scripts por defecto solo en los puertos abiertos
```
nmap -sCV -p22,80 10.10.11.20 -oN objetivo
```
Revisar los UDP más comunes (SNMP, TFTP, DNS, IKE)
```
sudo nmap -sU --top-ports 100 --open -n -Pn 10.10.11.20
```
Buscar cada versión exacta en searchsploit y en Google
Apunta las versiones: un banner antiguo es a menudo la entrada.
```
searchsploit apache 2.4.49
```
Guía →

Marca solo los que apliquen; si un servicio no está, márcalo igualmente como revisado.

FTP: acceso anónimo, ficheros y permisos de escritura
```
ftp [email protected]
```
Chuleta →
SMB: sesión nula o invitado, recursos compartidos y lo que se puede leer
```
netexec smb 10.10.11.20 -u '' -p '' --shares
```
Guía →
NFS: exportaciones montables
```
showmount -e 10.10.11.20
```
Guía →
SNMP: comunidades por defecto y procesos con argumentos
```
snmpwalk -v2c -c public 10.10.11.20
```
Guía →
DNS: transferencia de zona y subdominios
```
dig axfr @10.10.11.20 box.htb
```
Bases de datos expuestas (MySQL, MSSQL, PostgreSQL, Redis, MongoDB) con credenciales por defecto
SSH: versión, métodos de autenticación y usuarios que vayas encontrando

Casi nunca es la entrada, pero sí el sitio donde reutilizar credenciales.

Añadir el dominio a /etc/hosts si hay redirección
```
echo '10.10.11.20 box.htb' | sudo tee -a /etc/hosts
```
Identificar tecnologías, cabeceras y versión del CMS
```
whatweb http://box.htb
```

Buscar virtual hosts y subdominios

ffuf -u http://box.htb -H 'Host: FUZZ.box.htb' -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -ac

Fuzzing de rutas y extensiones

feroxbuster -u http://box.htb -x php,txt,bak -k

Apuntar usuarios, correos, rutas y versiones encontrados

Una lista de usuarios sirve luego para spraying, ASREPRoast y reutilización de contraseñas.
Ordenar las vías posibles de la más probable a la menos