> For the complete documentation index, see [llms.txt](https://ne0b1t3.gitbook.io/vault/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://ne0b1t3.gitbook.io/vault/prolabs/zephyr.md).

# Zephyr

## <mark style="color:cyan;">Certification of Completition</mark>

<figure><img src="/files/R0bG5JOmskpEAPK2kEvu" alt=""><figcaption></figcaption></figure>

Zephyr es una Pro Lab centrada en Active Directory, relaciones de confianza y pivoting bajo restricciones de red (firewall). Es cierto que incluye alguna que otra parte de hacking web y linux pero muy puntual.\
Como alguien que disfruta bastante todo lo relacionado con Active Directory, me gustó mucho… aunque sinceramente me esperaba algo bastante más retador en general.

Lo que la diferencia de otras Pro Labs no es tanto la dificultad técnica aislada de cada máquina, sino el **contexto**: un entorno completamente Active Directory con firewalls que realmente limitan tu movimiento.

***

### <mark style="color:$primary;">Topología Aproximada al Laboratorio</mark>

Empiezas desde el exterior, conectado por VPN a una **DMZ**. Desde ahí, un primer pivoting te lleva a una red interna con un dominio completo con su respectivo DC (Domain Controller), workstations y servidores.&#x20;

<figure><img src="/files/blC1K6BDd7CUB31ZvdHD" alt="" width="347"><figcaption><p>Todas los equipos a comprometer</p></figcaption></figure>

\
Desde ese dominio, hay un **cross-forest trust** hacia otro dominio, que a su vez tiene un **parent-child trust** con su dominio hijo. En total, unos 5 saltos de pivoting en entornos cada vez más restrictivos.

<figure><img src="/files/hTJgquRUtaHkv7HqyPgW" alt=""><figcaption><p>Infraestructura del Laboratorio</p></figcaption></figure>

### <mark style="color:$primary;">Campos que debes dominar antes de realizarlo</mark>

Para enfrentarte a Zephyr tienes que estar bastante cómodo con cómo funcionan los componentes, mecanismos y flujos principales de Active Directory. No hace falta ser un experto en AD, pero sí tener automatizados los conceptos fundamentales. Si alguna de estas áreas te suena vaga, trabájala primero:

<table><thead><tr><th>Área</th><th align="center">Dificultad en Zephyr</th><th valign="middle">Dónde practicar</th></tr></thead><tbody><tr><td>Enumeración AD</td><td align="center"><strong>baja</strong></td><td valign="middle">HTB machines: Forest, Active, Sauna</td></tr><tr><td>Kerberoasting / AS-REP</td><td align="center"><strong>baja</strong></td><td valign="middle">HTB: Sauna, Vulnlab: Shinra</td></tr><tr><td>Abuso de ACLs</td><td align="center"><strong>media</strong></td><td valign="middle">HTB: Object, BloodHound Community Edition labs</td></tr><tr><td>Relay attacks (NTLM)</td><td align="center"><strong>media</strong></td><td valign="middle">HTB: Driver, OSCP PG: Hutch</td></tr><tr><td>Pivoting con Ligolo-ng</td><td align="center"><strong>alta</strong></td><td valign="middle">Dante ProLab (recomendado antes de Zephyr)</td></tr><tr><td>Cross-domain trusts</td><td align="center"><strong>media</strong></td><td valign="middle">HTB: Multimaster, RastaLabs ProLab</td></tr><tr><td>MSSQL attacks</td><td align="center"><strong>alta</strong></td><td valign="middle">HTB: MedCorp, PentesterLab MSSQL path</td></tr></tbody></table>

***

### <mark style="color:$primary;">Herramientas Principales</mark>

Durante Zephyr no hay una sola herramienta dominante, sino un *stack* que vas combinando según la fase del ataque: enumeración, movimiento lateral, pivoting y post-explotación.

#### <mark style="color:$tint;">Enumeración y Análisis</mark>

Estas son las bases para entender el entorno antes de tocar nada:

* <mark style="color:orange;">**BloodHound**</mark>**:** Imprescindible para visualizar relaciones en Active Directory (usuarios, grupos, ACLs, rutas de ataque).
  * Recolección de datos con `bloodhound-python`, `nxc --bloodhound`, `rusthound` o `rusthound-ce` (especialmente útil cuando hay AD CS).
* <mark style="color:orange;">**ldapsearch**</mark>**:** Útil para enumeración LDAP directa cuando necesitas ver atributos de objetos sin abstracción.
* <mark style="color:orange;">**PowerView / powerview\.py**</mark>**:** Enumeración profunda del dominio: sesiones, usuarios, grupos, ACLs, trusts, etc. Muy útil cuando tienes ejecución en el contexto de máquina comprometida.
* <mark style="color:orange;">**bloodyAD**</mark>**:** Una de las herramientas más potentes del lab. Permite:
  * Enumerar Security Descriptors (SD)
  * Analizar y abusar ACLs
  * Modificar atributos en objetos de AD
  * Abuso de ADCS, delegaciones y permisos mal configurados\
    Es especialmente útil porque baja al nivel “crudo” de Active Directory.

#### <mark style="color:$tint;">Movimiento Lateral y Ejecución Remota</mark>

* <mark style="color:orange;">**NetExec (nxc)**</mark>**:** Probablemente la herramienta más versátil para hacking:
  * Enumeración SMB/WinRM/MSSQL/FTP/SSH/LDAP
  * Ejecución remota
  * Dumping de credenciales/hashes
  * Coerciones NTLM
  * Apoyo en bloodhound ingestion
* <mark style="color:orange;">**Impacket suite**</mark>**:** Kit esencial para Kerberos y movimiento lateral:
  * Solicitud de TGT/TGS (Silver Tickets)
  * Pass-the-Hash / Pass-the-Ticket
  * S4U2Self / S4U2Proxy
  * Delegaciones y abusos de Kerberos
  * Acceso a SMB/MSSQL/WinRM

#### <mark style="color:$tint;">Pivoting y Captura de Tráfico</mark>

* <mark style="color:orange;">**Ligolo-ng**</mark> *(pieza clave del lab):* Es la herramienta principal que he utilizado. Dependiendo de cada situación deberemos utilizar la notación CIDR `.0/24` o `.x/32` si queremos especificar una única IP. Flujo típico:
  * Crear interfaz de túnel (`interface_create`)
  * Añadir rutas a nuevas subredes (`add_route`)
  * Levantar túnel (`tunnel_start`)
  * Añadir listener: `listener_add`<br>
* <mark style="color:orange;">**Responder**</mark>**:** Envenenamiento de red para capturar autenticaciones NTLM.
* <mark style="color:orange;">**tcpdump**</mark>**:** Captura de tráfico para análisis posterior en Wireshark.

#### <mark style="color:$tint;">Ejecución Remota y Shells</mark>

* <mark style="color:orange;">**evil-winrm / evil-winrm-py**</mark>**:** Acceso por WinRM cuando hay credenciales válidas.
* <mark style="color:orange;">**psexec / smbexec (Impacket) / wmiexec /wmiexec2**</mark> **:** Ejecución remota en contexto administrativo.
* <mark style="color:orange;">**nc64.exe (Netcat)**</mark>**:** Alternativa simple y efectiva a payloads complejos cuando necesitas estabilidad o bypass de AV básico.

#### <mark style="color:$tint;">Post Explotación y Dumping de Credenciales</mark>

* <mark style="color:orange;">**Secretsdump (Impacket) / Mimikatz / nxc /**</mark> <mark style="color:orange;">**donPAPI / Seatbelt**</mark>: Aquí el enfoque no es solo escalar privilegios, sino maximizar la superficie de credenciales reutilizables.
  * **LSASS** dumping
  * **SAM** / **SYSTEM** / **NTDS**
  * **DPAPI** extraction
  * Credenciales en **navegadores**
  * **Autologon** / **scripts** / **tareas** programadas

***

### <mark style="color:$primary;">Pivoting Avanzado</mark>

Uno de los aspectos más diferenciales de Zephyr es el **pivoting**, no tanto por su complejidad técnica sino por el contexto en el que se desarrolla. Aunque el número de saltos no supera al de Dante (se mantiene en torno a 5), el entorno resulta mucho más restrictivo.

Aquí se empiezan a evidenciar elementos como:

* **Segmentación de red realista**: dominios, subdominios y forests.
* **Firewalls entre subredes** que condicionan activamente el movimiento lateral.
* La necesidad de comprender qué **puertos** están **realmente accesibles** desde cada punto comprometido.
* El **concepto de las interfaces de red (NIC)** y cómo estas determinan las posibilidades de pivoting.
* El **descubrimiento progresivo de redes internas** conforme se avanza en el compromiso.

Además, el uso de múltiples agentes de pivoting se vuelve constante. No basta con "tener un túnel funcionando" sino de de ajustarlo dinámicamente, entender qué tráfico se está canalizando, identificar por qué puertos puede pasar, y reconstruir rutas (listeners) según se progresa. Esto implica modificar sobre la marcha la notación CIDR y las direcciones IP de los hosts en función de la situación.

***

### <mark style="color:$primary;">Técnicas Principales</mark>

| Área                                                                              | Conceptos y técnicas principales                                                                                                                                                                                              |
| --------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| <mark style="color:yellow;">**Enumeración profunda del dominio**</mark>           | <p>• Usuarios, grupos y descripciones<br>• ACLs y permisos<br>• OUs y estructura organizativa<br>• Atributos de objetos<br>• Delegaciones y relaciones implícitas</p>                                                         |
| <mark style="color:yellow;">**Relay Attacks y abuso de NTLM**</mark>              | <p>• Captura de hashes NTLM en red<br>• Uso de UNC paths para forzar autenticaciones<br>• Responder e Inveigh en entornos aislados<br>• Preparación de herramientas offline (Impacket, binarios estáticos)</p>                |
| <mark style="color:yellow;">**Trusts y movimiento lateral entre dominios**</mark> | <p>• Trusts entre dominios y subdominios<br>• Parent-child trusts<br>• Forest trusts<br>• Cuentas en contextos confiados<br>• Golden Tickets inter-realm<br>• SID History Injection<br>• Abuso de relaciones de confianza</p> |
| <mark style="color:yellow;">**Abuso de Kerberos**</mark>                          | <p>• Kerberoasting (Clásica y con No-Preauth)<br>• AS-REP Roasting<br>• Delegaciones (S4U2Self / S4U2Proxy)<br>• Shadow Credentials<br>• Silver Tickets<br>• Golden Tickets</p>                                               |
| <mark style="color:yellow;">**Abuso de ACLs**</mark>                              | <p>• GenericWrite / GenericAll<br>• AddMember / AddSelf<br>• ForceChangePassword<br>• WriteDACL<br>• Encadenamiento de permisos para escalada</p>                                                                             |
| <mark style="color:yellow;">**MSSQL Attacks**</mark>                              | <p>• Trustworthy abuse<br>• Linked Servers<br>• Impersonación de usuarios<br>• Extracción de datos desde bases de datos</p>                                                                                                   |
| <mark style="color:yellow;">**Exfiltración y dumping de credenciales**</mark>     | <p>• DPAPI<br>• SAM / LSASS / NTDS<br>• Secrets del sistema<br>• Credenciales en navegadores<br>• Autologon y scripts<br>• Tareas programadas</p>                                                                             |
| <mark style="color:yellow;">**Bypass de AV y firewall**</mark>                    | <p>• Desactivar Defender / AMSI<br>• Modificar o deshabilitar firewall<br>• Añadir exclusiones a herramientas ofensivas<br>• Habilitar servicios (RDP, SMB, WinRM)</p>                                                        |

{% hint style="info" %}
Cabe destacar que Zephyr cuenta con equipos con Defender pero no son tan restrictivos y tampoco parecen estár actualizados por lo que herramientas como nc64.exe serán tu mejor aliado para obtener reverse shells.\
\
De la misma forma, no es estrictamente necesario el uso de un C2, pero puedes apoyarte en herramientas como Metasploit/Meterpreter para tareas de dumping, explotación o tunneling.
{% endhint %}

***

### <mark style="color:$primary;">Lección Aprendida</mark>

Con Zephyr pude poner en práctica una gran cantidad de técnicas relacionadas con Active Directory: abuso de **ACLs**, **delegaciones**, **Kerberos**, **trusts** entre dominios, **MSSQL**, **relay** attacks y **movimiento lateral**. \
Sin embargo, la mayoría de estos conceptos ya formaban parte de mi día a día, por lo que la dificultad técnica no me resultó especialmente elevada, y en cierto modo, lo percibí como "fácil".

Donde realmente encontré el <mark style="color:$primary;">**desafío**</mark> y me quedé estancado fue en el <mark style="color:$tint;">pivoting bajo segmentación de red y restricciones de firewall</mark>.\
Personalmente, fue la parte que más me aportó y la que más se aleja de los escenarios simplificados que suelen encontrarse en máquinas individuales o laboratorios más pequeños.

Cuando despliegas un agente en una máquina víctima, normalmente esta suele contar con dos interfaces de red:

* La primera es la interfaz de red física o virtual (NIC, *Network Interface Card*), que es el adaptador de red del sistema y la que te proporciona conectividad inicial, ya sea a través de VPN o mediante otro agente.
* La segunda interfaz aparece al pivotar, y es la que te permite acceder a una nueva subred donde descubres nuevos hosts.

Una **NIC** (*Network Interface Card*) es el componente físico o virtual que conecta un sistema a una red. Cada interfaz posee una dirección IP perteneciente a una subred determinada, y esa pertenencia condiciona cómo otros equipos interpretan el origen del tráfico (por ejemplo, si eres considerado un host “interno” o “externo”).

El problema surge cuando comprometes una máquina que únicamente tiene una NIC en una sola subred (por ejemplo, `172.12.1.0/24`), pero que al mismo tiempo puede comunicarse con otra subred (`172.12.2.0/24`) sin disponer de una segunda interfaz física o virtual asignada a esa red.

En estos escenarios entran en juego **políticas de firewall internas**, ya sean locales o aplicadas mediante GPO, que restringen el acceso a ciertos puertos y servicios cuando la conexión no proviene de un host perteneciente a la subred correspondiente. Es decir, el tráfico puede ser bloqueado si el equipo de origen no “pertenece” a esa red de forma directa, es decir, si su NIC no está dentro de esa subred.

Esto te lleva a situaciones en las que es necesario comprometer primero una máquina que sí tenga una NIC válida dentro de la subred objetivo (`172.12.2.0/24`), para que el resto del dominio y los sistemas la traten como un host interno y de confianza. \
Solo entonces es posible continuar con el movimiento lateral y el pivoting de forma efectiva.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://ne0b1t3.gitbook.io/vault/prolabs/zephyr.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.