Mailing

Publicado: 18 de Junio de 2025 Autor: José Miguel Romero aKa x3m1Sec Dificultad: ⭐ Easy

📝 Descripción

Mailing es una máquina Windows de dificultad Easy que simula un entorno corporativo con servicios de correo electrónico. La explotación inicial involucra el descubrimiento de una vulnerabilidad de Local File Inclusion (LFI) en una aplicación web que permite acceder a archivos de configuración sensibles del servidor hMailServer. A través de este vector, obtenemos credenciales del administrador que nos permiten explotar CVE-2024-21413, una vulnerabilidad de autenticación NTLM en hMailServer para capturar hashes NTLMv2.

Para la escalada de privilegios, aprovechamos CVE-2023-2255, una vulnerabilidad de control de acceso inadecuado en LibreOffice que permite la ejecución remota de código a través de documentos maliciosos con marcos flotantes incrustados.

Técnicas utilizadas:

  • 🔍 Reconocimiento y enumeración de servicios

  • 📁 Local File Inclusion (LFI) / Path Traversal

  • 🔐 Cracking de hashes MD5 y NTLMv2

  • 📧 Explotación de servicios SMTP

  • 🎯 NTLM Relay Attack (CVE-2024-21413)

  • 📄 Explotación de LibreOffice (CVE-2023-2255)

🔗 Cadena de explotación

  1. 🔍 Reconocimiento: Identificación de servicios y aplicación web

  2. 📁 LFI/Path Traversal: Extracción del archivo de configuración de hMailServer

  3. 🔐 Cracking: Recuperación de credenciales del administrador

  4. 📧 CVE-2024-21413: Captura de hash NTLMv2 mediante SMTP malicioso

  5. 🚪 Acceso inicial: Shell como usuario maya

  6. 📄 CVE-2023-2255: Escalada mediante documento LibreOffice malicioso

  7. 👑 Administrador: Shell como localadmin

🔭 Reconocimiento

🏓 Ping para verificación en base a TTL

💡 Nota: El TTL cercano a 128 sugiere que probablemente sea una máquina Windows.

🔍 Escaneo de puertos TCP

🛠️ Enumeración de servicios

🗂️ Resumen de servicios identificados

Puerto
Servicio
Descripción

25,465,587

SMTP

hMailServer - Servicios de correo

80

HTTP

Microsoft IIS 10.0

110,143,993

POP3/IMAP

Servicios de correo

445

SMB

Servicios de archivos compartidos

5985

WinRM

Administración remota de Windows

⚠️ Configuración de host virtual

🌐 Enumeración Web

🌍 Puerto 80 - HTTP

Revisamos el servicio web y encontramos información sobre lo que parece ser un servicio de correo llamado hMailServer:

Hay un enlace en el que hay un document pdf con unas instrucciones para su descarga, aunque no encontramos nada de utilidad en ellas inicialmente:

URL de interés: http://mailing.htb/index.php/login

🔍 Fuzzing de directorios

Tras probar a realizar fuzzing de directorios con dirsearch encontramos un recurso interesante:

🎯 Análisis del endpoint download.php

URL: http://mailing.htb/download.php

Al acceder recibimos una respuesta que indica que espera parámetros. Analizamos con Burp Suite:

🔎 Fuzzing de parámetros

Utilizamos ffuf para descubrir parámetros válidos:

✅ Parámetro descubierto: file

🔓 Explotación de LFI/Path Traversal

Verificamos que podemos descargar el archivo instructions.pdf legítimo:

🎯 Extracción de archivos de configuración

Probamos el Path Traversal con archivos del sistema:

📧 Archivo de configuración de hMailServer

Conociendo la estructura típica de hMailServer, intentamos acceder a su archivo de configuración:

🔐 Extracción de credenciales

Hash MD5 encontrado:

💥 Cracking del hash

✅ Credenciales obtenidas: administrator:homenetworkingadministrator

📧 Explotación del Servicio SMTP

🔌 Conexión y autenticación

Probamos las credenciales contra varios servicios sin éxito inicial. Procedemos a autenticarnos en SMTP:

🔒 Codificación de credenciales

Para la autenticación SMTP necesitamos codificar las credenciales en base64:

✅ Autenticación exitosa

🎯 Explotación CVE-2024-21413

🔍 Investigación del CVE

CVE-2024-21413 es una vulnerabilidad en hMailServer que permite capturar hashes NTLMv2 mediante el envío de correos maliciosos con enlaces UNC.

Referencias:

  • https://github.com/CMNatic/CVE-2024-21413

  • https://github.com/ThemeHackers/CVE-2024-21413

👤 Identificación del objetivo

Según el documento instructions.pdf, el usuario Maya es responsable de revisar los correos:

🛠️ Preparación del exploit

Paso 1: Descargamos el exploit

Paso 2: Configuramos el exploit con nuestros datos:

Paso 3: Iniciamos servidor SMB para capturar el hash:

Paso 4: Ejecutamos el exploit:

🎯 Captura del hash NTLMv2

Paso 5: Recibimos el hash de Maya:

🔓 Cracking del hash NTLMv2

✅ Credenciales obtenidas: maya:m4y4ngs4ri

🚪 Acceso Inicial

🔑 Verificación de acceso WinRM

🎉 Shell como usuario Maya

🏁 Primera flag

🔝 Escalada de Privilegios

🕵️ Enumeración del sistema

Durante la enumeración encontramos un directorio interesante:

🤔 Comportamiento sospechoso

Al crear archivos en "Important Documents", estos se eliminan automáticamente tras unos segundos:

💡 Observación: Esto sugiere que alguien (posiblemente un usuario administrativo) está monitoreando y procesando archivos en este directorio.

📊 Enumeración de software instalado

Ejecutamos un script PowerShell para listar el software instalado:

🎯 Software vulnerable identificado

LibreOffice 7.4.0.1 - Vulnerable a CVE-2023-2255

🔓 CVE-2023-2255 - LibreOffice RCE

Descripción: Vulnerabilidad de control de acceso inadecuado en LibreOffice relacionada con "floating frames" (marcos flotantes) en documentos.

Exploit público: https://github.com/elweth-sec/CVE-2023-2255

🛠️ Preparación del payload

Paso 1: Creamos comando PowerShell para descarga remota:

Paso 2: Codificamos en base64 (UTF-16LE):

Paso 3: Preparamos reverse shell (Nishang):

Añadimos al final del script:

🚀 Ejecución del exploit

Paso 4: Iniciamos servicios:

Paso 5: Generamos documento malicioso:

Paso 6: Subimos el documento malicioso:

🎉 Shell como Administrador

Una vez que el usuario abre el archivo malicioso:

🏆 Flag de root

PreviousAccessNextHeist

Last updated