Track Windows / Teoría
01 Post-foothold · Mirar antes de disparar
Enumeración Windows
Ya tienes un primer shell como usuario. El 90% del trabajo de escalar es MIRAR bien: qué privilegios tienes, qué servicios corren mal, qué puedes escribir, y qué credenciales hay tiradas por ahí. Aquí aprendes el método manual Y las herramientas automáticas, porque en el examen a veces el AV te tira winPEAS y tienes que saber hacerlo a mano.
🔍Enumeración manual (lo primero, siempre)
Hazte una foto del sistema sin depender de herramientas externas:
| whoami /all | tu usuario, grupos, SID y PRIVILEGIOS (lo más importante: /priv). |
| systeminfo | versión y build exactos de Windows, parches (hotfix), arquitectura -> exploits aplicables. |
| net user / net localgroup | usuarios locales y quién está en Administrators. |
| tasklist /svc | procesos y a qué servicio pertenecen (cazar servicios como SYSTEM). |
| sc query / wmic service | servicios, su estado y su binario (binPath) -> buscar mal configurados. |
| schtasks /query /fo LIST /v | tareas programadas: qué ejecutan, cuándo y como quién. |
| netstat -ano | puertos abiertos y a escucha SOLO en local (servicios internos no expuestos). |
| ipconfig /all · route print · arp -a | redes, rutas y vecinos -> pivoting hacia redes internas. |
| wmic product get name,version | software instalado -> versiones vulnerables. |
🤖Enumeración automática (rápida y exhaustiva)
Las herramientas hacen en segundos lo que a mano lleva media hora. Súbelas y lánzalas:
| winPEAS (.exe / .bat) | el estándar: resalta en colores los vectores de escalada. Si el AV lo bloquea, usa el .bat o renómbralo. |
| PowerUp.ps1 (Invoke-AllChecks) | en PowerShell; caza servicios inseguros, unquoted paths, AlwaysInstallElevated, etc. |
| Seatbelt | orientado a 'situational awareness': credenciales, configs, historiales. |
| SharpUp | versión C# de PowerUp (cuando PS está restringido). |
| Watson / Sherlock | sugiere exploits de kernel según los parches que faltan (de systeminfo). |
| Snaffler | rastrea shares y ficheros buscando SECRETOS (claves, configs) a lo bestia. |
Consejo: lanza winPEAS, pero LEE su salida con el mapa del módulo 00 en la cabeza. La herramienta encuentra; tú entiendes y decides.
👑Caza de credenciales (el atajo que más gente ignora)
Muchas máquinas se escalan sin exploit: hay credenciales tiradas. Dónde mirar:
| unattend.xml / sysprep.inf / autounattend.xml | ficheros de instalación desatendida: a menudo con la contraseña del admin (en claro o base64). |
| Registro | AutoLogon (DefaultPassword), claves de VNC, PuTTY (sesiones), software con secretos. |
| Ficheros de config | web.config, connection strings, .kdbx (KeePass), scripts .ps1/.bat con credenciales. |
| Historial de PowerShell | ConsoleHost_history.txt: comandos escritos, a veces con claves. |
| Credential Manager / DPAPI | credenciales guardadas de Windows (cmdkey /list) y blobs DPAPI descifrables. |
| RDP / navegadores / Wi-Fi | conexiones RDP guardadas, claves de navegador, claves Wi-Fi (netsh wlan). |
🧭El flujo que siempre funciona
1
1) Identidad
whoami /all -> ¿tengo un privilegio de token abusable? (SeImpersonate, SeBackup...). Si sí, ve a su módulo.
2
2) Automático
winPEAS / PowerUp -> marca servicios, rutas y configs sospechosas.
3
3) Verifica a mano
comprueba cada 'hallazgo' con icacls/sc/reg: ¿de verdad puedo escribir ahí?
4
4) Credenciales
busca secretos (unattend, registro, configs, history). Una clave puede valer en otra máquina.
5
5) Decide el vector
elige UNA vía clara y explótala limpio. Si falla, vuelve a la lista. Documenta.
Método > suerte. En Windows casi nunca falta el vector: falta mirar en el sitio correcto.
"winPEAS no corre / lo borra el Defender"
Usa la versión .bat, renómbralo, o súbelo a una carpeta donde tengas permiso y Defender sea más laxo (p.ej. C:\Windows\Temp). O enumera a mano con los comandos clave: casi todo está en whoami/priv, sc query y schtasks.
"Veo mil cosas y no sé por dónde tirar"
Prioriza SIEMPRE: 1) privilegios de token, 2) servicios inseguros, 3) credenciales. Si winPEAS te lo marca en rojo/amarillo, empieza por ahí.
"No puedo subir archivos a la máquina"
Monta un servidor en tu Kali (python3 -m http.server / smbserver de impacket) y descarga con certutil, powershell (iwr), o copia por SMB. Lo verás en el Arsenal.
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal