// 01
Reconocimiento con Nmap
Empezamos lanzando un escaneo de los 65.535 puertos TCP contra 10.129.1.13. Explosion es una máquina Windows del nivel very easy de HTB Starting Point, así que un único escaneo bien planteado basta para perfilar toda la superficie: no hay virtual hosts, ni aplicaciones web, ni servicios escondidos en puertos altos.
El comando usa tres flags clave: -sV para detectar la versión de cada servicio, -p- para recorrer los 65.535 puertos (no solo los 1.000 más comunes) y --min-rate 5500 para acelerar el envío de paquetes y terminar el escaneo en segundos.
Tres puertos destacan por encima del ruido de RPC: 3389 (RDP), 445 (SMB) y 5985 (WinRM). Los tres son canales de administración remota de Windows, y los tres exigen credenciales válidas para hacer cualquier cosa. En una máquina de este nivel el vector no suele estar en un exploit, sino en cómo está configurada la autenticación.
// PREGUNTA 5 — SERVICIO DEL PUERTO 3389/TCP
nmap identifica el puerto 3389 como ms-wbt-server (Microsoft Terminal Services), que es el servicio que implementa RDP en Windows. Es decir: la respuesta a la pregunta es ms-wbt-server, el nombre que da Windows al servidor de Escritorio Remoto.
Antes de tocar la máquina conviene fijar la terminología, porque las preguntas teóricas de Starting Point giran precisamente alrededor de estos cuatro conceptos:
| CONCEPTO | SIGNIFICADO | DETALLE |
|---|---|---|
| RDP | Remote Desktop Protocol | Protocolo de escritorio remoto de Microsoft sobre TCP 3389 |
| CLI | Command Line Interface | Interacción con el sistema mediante comandos de texto |
| GUI | Graphical User Interface | Interacción mediante ventanas, iconos y ratón |
| Telnet | Herramienta antigua de acceso remoto | Sin cifrado por defecto, escucha en el puerto TCP 23 |
// CONTEXTO
RDP combina las dos últimas: transporta una GUI completa del sistema remoto y, dentro de ella, también permite abrir una consola (CLI). Es la diferencia clave con Telnet, que solo ofrece texto y sin cifrado alguno.
// 02
Acceso vía RDP con xfreerdp
Con el puerto 3389 confirmado, el siguiente paso es el cliente RDP. En Linux el más habitual es xfreerdp, que se conecta al servicio ms-wbt-server de la máquina objetivo. El switch /v: especifica la IP del host destino — esto responde la pregunta 6 de la máquina — mientras que /u: fija el usuario y /cert:ignore evita que la conexión se detenga ante el aviso del certificado autofirmado que presenta el servidor.
Probamos directamente con Administrator, la cuenta con máximos privilegios del sistema. Cuando el cliente pida la contraseña, dejamos el campo en blanco y pulsamos Enter.
La sesión se abre sin más: tenemos delante el escritorio completo de Windows con la sesión iniciada como Administrator. Eso responde la pregunta 7: el usuario que devuelve una proyección de escritorio con contraseña en blanco es Administrator.
Para confirmar el contexto en el que estamos, abrimos una consola (cmd o PowerShell) y comprobamos identidad y equipo:
// WEAK AUTHENTICATION — ADMINISTRATOR SIN CONTRASEÑA
El servidor acepta una contraseña vacía para la cuenta Administrator. Esto combina dos fallos graves: (1) la cuenta administradora tiene la contraseña en blanco o la política permite contraseñas vacías, y (2) el servicio RDP está expuesto y no exige autenticación previa a nivel de red (NLA). Cualquiera que alcance el puerto 3389 obtiene control total del sistema en segundos, sin exploits ni herramientas especiales.
// 03
Bandera de root
Al tratarse de una máquina Windows, la bandera no vive en /root sino en el escritorio del usuario. Como hemos entrado precisamente como Administrator, basta abrir el Explorador o la consola y leer el archivo flag.txt en C:\Users\Administrator\Desktop\.
Primero listamos el directorio para ubicar el archivo y después volcamos su contenido con type:
// BANDERA DE ROOT
951fa96d7830c451b536be5a6be008a0 — Leída directamente del escritorio de Administrator. Máquina completada en 5 pasos: nmap → 3389/tcp ms-wbt-server → xfreerdp /v: → contraseña en blanco → type flag.txt.
La lección de Explosion es directa: una contraseña vacía en una cuenta administrativa es una vulnerabilidad crítica real, no un detalle de laboratorio. En una auditoría interna aparece constantemente en servidores heredados, cuentas de servicio y equipos que se prepararon «temporalmente» y nunca se endurecieron. La mitigación es sencilla y obligatoria: políticas de contraseña que prohíban valores vacíos, deshabilitar RDP donde no sea imprescindible y exigir NLA.
| VULNERABILIDAD | COMPONENTE | IMPACTO |
|---|---|---|
| Contraseña vacía | Cuenta Administrator | Acceso con máximos privilegios sin credencial |
| Weak Authentication | RDP · ms-wbt-server 3389/tcp | Sesión de escritorio remoto completa aceptando campo vacío |
| Sin Network Level Authentication | RDP · pre-autenticación | El servicio completa la sesión sin exigir credenciales previas |
| Superficie de administración expuesta | SMB 445 · WinRM 5985 | Canales de gestión remota accesibles desde la red |
// 04
Referencia de Comandos
- -sV — detección de versión de los servicios
- -p- — escanea los 65.535 puertos TCP
- --min-rate 5500 — envía al menos 5.500 paquetes por segundo
- --open — muestra solo puertos abiertos
- -Pn — omite el descubrimiento de host previo
- /v: — IP o nombre del host destino
- /u: — nombre de usuario
- /p: — contraseña (omitir para introducirla a mano)
- /cert:ignore — ignora el certificado autofirmado
- /dynamic-resolution — ajusta la resolución a la ventana
- whoami — usuario efectivo (dominio\usuario)
- hostname — nombre del equipo
- dir — lista el contenido del directorio
- type — muestra el contenido de un archivo
- -u — nombre de usuario
- -p - — pide la contraseña por consola
- -g <ancho>x<alto> — fija el tamaño del escritorio
- -r clipboard:PRIMARYCLIPBOARD — comparte el portapapeles
// 05
Glosario
default-password.info o cirt.net documentan miles
de ellas para dispositivos de red, cámaras IP, servidores de aplicaciones y servicios
remotos. En entornos Windows, el usuario Administrator con contraseña
vacía o Password123 es el caso clásico de laboratorio y aparece con
demasiada frecuencia en producción.