Contexto
Durante una misión, conseguimos la ejecución remota de código (RCE) en un servidor web IIS a través de una vulnerabilidad de carga de archivos sin restricciones. Inicialmente, cargamos una shell web y, a continuación, nos enviamos una shell inversa para enumerar más el sistema en un intento de escalar privilegios. Intentamos utilizar PowerShell para transferir PowerUp.ps1 (un script de PowerShell para enumerar vectores de escalada de privilegios), pero PowerShell está bloqueado por la Política de control de aplicaciones. Realizamos nuestra enumeración local manualmente y descubrimos que tenemos SeImpersonatePrivilege. Necesitamos transferir un binario a nuestra máquina de destino para escalar privilegios utilizando la herramienta PrintSpoofer. A continuación, intentamos utilizar Certutil para descargar el archivo que hemos compilado nosotros mismos directamente desde nuestro propio GitHub, pero la organización tiene implantado un fuerte filtrado de contenidos web. No podemos acceder a sitios web como GitHub, Dropbox, Google Drive, etc., que pueden utilizarse para transferir archivos. A continuación, configuramos un servidor FTP e intentamos utilizar el cliente FTP de Windows para transferir archivos, pero el cortafuegos de la red bloqueó el tráfico saliente para el puerto 21 (TCP). Intentamos utilizar la herramienta Impacket smbserver para crear una carpeta, y descubrimos que el tráfico saliente al puerto TCP 445 (SMB) estaba permitido. Utilizamos este método de transferencia de archivos para copiar con éxito el binario en nuestra máquina de destino y lograr nuestro objetivo de escalar privilegios a un usuario de nivel de administrador.