Detecção de Sistema, Portas, Serviços, Comprovação e Exploração de falha

Índice

1.	Detecção de S.O., portas, serviços e versões
2.	Confirmação e exploração da falha 2.1 Informações Técnicas 2.2 Comprovação 2.3 Exploração
3.	Simples correção para a falha
4.	Downloads
5.	Desmonstração de exploração e correção da falha em vídeo

1.Detecção de S.O., portas, serviços e versões

Bom primeiro.. Vamos a detecção do S.O., portas, serviços e versão...
Pra isso vo usa o nmap...
Bom oque é o nmap? é basicamente um portscaner
Mais e ai? oque é um portscaner?

Um port scanner (scanner de porta) é um aplicativo com o objetivo de testar as portas lógicas de determinado host remoto. Neste teste ele identifica o status das portas, se estão fechadas, escutando ou abertas. Pode-se explicitar o range de portas que o aplicativo irá scanear, por ex: 25 a 80. Geralmente os port scanners são usado por pessoas mal intencionadas para identificar portas abertas e planejar invasões. Pode também ser usado também por empresas de segurança para análise de vulnerabilidades (pen test). Um dos port scanners mais conhecidos é o nmap.

---

Conhecida a nossa primeira ferramenta vamo la... Antes uma preview do alvo (windows 7 ultimate), atacante (backtrack 5 R3), e no fundo meu PC do qual eu vou rodar o nmap.. tem nmap ja no backtrack mais nesse caso eu usei o meu mesmo rsrs

Click here to view the original image of 800x640px.

---

Blz,Agora ja iniciando o nmap, o modo de texto dele é iniciado assim
primeiro vc vai até o local da instalação do nmap dai vc digita nmap e mais os comandos..
no caso os comandos aqui foram:
iniciar>cmd

logo em seguida ja é o inicio do scan contra o alvo com o comando:




Click here to view the original image of 800x640px.







Oque cada comando faz?
-sV - identifica a versão do serviço rodando na porta
-p- - diz para o nmap escanear todas as portas.. O nmap escaneia por padrão apenas mil portas porem existem ao todo 65.535 portas então para escanear todas usamos o comando -p- .
-O - Identifica o sistema operacional usado
e por ultimo o Ip do alvo



Agora vejamos o resultado do Scan


Click here to view the original image of 800x640px.



Como é possível ver eu destaquei alguns pontos.. vamos analisa-los:

Código:

Destaquei o IP para mostrar que o alvo é realmente aquele mostrado..
PORT, STATE, SERVICE, VERSION -  Abaixo de cada um esta as informações correspondentes a eles.. a porta, o estado da porta ali estão todas as portas abertas... O serviço que esta rodando naquela porta e por ultimo a versão do serviço que é muito importante quando vai explorar o serviço mesmo que é o assunto do proximo tópico sobre pentest no qual vou mostrar um pentest no qual sera invadido uma versão do linux rodando alguns serviços vulneráveis..
Running/OS details: é a detecção do sistema operacional..

Termina a parte de dectção de sistema, portas, serviços e versões vamos passar para a prox parte

2.Confirmação e exploração da falha

Bom.. vamos ao RDP...
Oque é o RDP?

Remote Desktop Protocol (ou somente RDP) é um protocolo multi-canal que permite que um usuário conecte a um computador rodando o Microsoft Terminal Services. Existem clientes para a maioria das versões do Windows, e outros sistemas operacionais como o Linux. O servidor escuta por padrão a porta TCP 3389.
Baseado no protocolo da ITU T.share (conhecido como T.128), a primeira versão do RDP (chamada versão 4.0) foi introduzida com o Terminal Services no Windows NT 4.0 Server, Terminal Server Edition. A versão 5.0 introduzida com o Windows 2000 Server adicionou suporte para alguns recursos incluindo impressão em impressoras locais e foi voltado para melhorar o uso da banda. A versão 5.1, lançada com o Windows XP inclui vários recursos como suporte a cor em 24-bits e som.

Ok.. Parece legal isso.. Mais como não existe sistema 100% seguro vamos a falha '-'
Microsoft Security Bulletin MS12-020 - Crítica
Resumo vulnerabilidade para CVE-2012-0002
National Vulnerability Database (NVD) National Vulnerability Database (CVE-2012-0152)
3 links sobre a vulnerabilidade uma original da micrsoft que relata a falha e sua correções e 2 dos CVE's que é um indexador, seja, um código único que identifica aquela vulnerabilidade..

Resumindo a falha:


Conhecido um pouco sobre a falha vamos a confirmação e exploração
Para confirmar a falha eu use um script no NSE

2.1 Informações Técnicas

Atacante	BackTrack 5 R3 KDE x86
Alvo	Windows 7 Ultimate x86
Falha	MS12-020 - descoberta em março deste ano.
exploit(metasploit)	Auxiliary/dos/windows/rdp/ms12_020_maxchannelids
Condições Para presença da falha:	Basicamente ter o RDP ativado.. Principalmente no modo menos seguro
Comprovante da vulnerabilidade:	Script NSE

Click here to view the original image of 800x640px.



Acima o script ja executado comprova falha como é mostrado na parte destacada
"State: Vulnerable"
Bom com isso comprovado nos resta apenas explorar a falha que é bem simples..

2.3 Exploração da falha

Click here to view the original image of 800x640px.


Ja executando o metasploit la no meu backtrack.. como podem ver usei o comando search rdp
poderia ter usado o comando use + o nome do modulo (mais eu não lembrava o nome ai usei o search mesmo..
Ao fundo continua a imagem do windows 7 ultimate que sera o alvo.. voltando ao backtrack.. o modulo grifado em verde é oque sera usado..



Click here to view the original image of 800x640px.


blz... Como ja disse no ultimo tópico sobre pentest, a sintaxe básica do uso de exploits é:
use Nome_Do_exploit
ali no caso ficou:

Código:

use : Auxiliary/dos/windows/rdp/ms12_020_maxchannelids

que no caso é um modulo auxiliar na verdade..modulo auxiliar são exploit que não precisam de payload.. payload é tipo o cara que vai seu exploit.. nesse caso é um auxiliary então não tem payload.. Mais isso é mais a nvl teorico a sintaxe de uso é praticamente igual

depois claro um show options pra ver oque esse modulo precisa para funcionar...
Bem ele precisa de um rhost (remote host(imagino que seja isso que significa rsrs) que é o alvo) e o rport que é a porta onde o serviço explorado esta rodando ali esta na porta default se agnt tivesse visto que o serviço estava em outra porta ai teria que mudar..
visto os requireds, falta apenas preenche-los

Código:

set rhost 192.168.1.111

Set é o comando usado pra vc atribuir um valor a opção ali.. tipo set rhost 192.168.1.111 é como se vc dissesse "o rhost é esse 192.168.1.111 ou configura o rhost com esse valor 192.168.1.111"
Bem.. "setado" os requireds.. Mais um show options pra ver mesmo que o rhost pegou esse valor.. e ta prnto o modulo configurado
Bom falta agora apenas lançar o modulo.. o comando é simplesmente "run"
lançado o modulo vamo ve o resultado



Click here to view the original image of 800x640px.


Como dito faltava apenas o comando "run"
depois disso é possivel ver oque essa execução causou.. UMA BSOD (blue screen of dead - tela azul da morte) esse modulo visa um ataque DOS no sistema alvo e não a obtenção de acesso



Click here to view the original image of 800x640px.


Um ponto legal dos modulos auxiliares é que não tem aquela enrolação e talz.. você configura.. ele faz a execução te da o resultado e morre sem perguntas ou informações desnecessárias.. Depois da BSOD o windows sempre reinicia né rs. e ali no backtrack a informação de o sistema caiu seguido da conclusão do modulo.



Click here to view the original image of 800x640px.



E para terminar a parte da demonstração da exploração da falha a msg exibida pelo windows depois de iniciar

3.Simples correção para a falha

Essa falha afeta apenas computadores que estejam executando este serviço sem o patch de segurança. Felizmente este serviço vem por padrão desabilitado em todos os computadores. Mais né não vale dar uma conferida.. a solução é bem simples.. desativar o serviço porem isso não substitui os patchs de correção importantes principalmente para quem precisa usar o serviço e obviamente não pode simplesmente desabilitar o serviço.. Bom mais como eu sei que desabilitando o serviço o pc deixa de ser vulneravel? Simples isso foi dito pela própria microsoft que mesmo eu não gostando da empresa nem tão pouco do Bill gates tenho confiança nessa resposta embora eu ja tenha instaldo o patch no meu pc rs.. então desculpa decepcionar algum hackudo ai mais esse ataque não esta disponivel no meu pc :aplauso:

vamo a correção entao;

Click here to view the original image of 800x640px.


Menu iniciar> botão direito do mouse sobre "Computador"> propriedades



Click here to view the original image of 800x640px.



Depois configurações remotas



Click here to view the original image of 800x640px.


Depois deixar marcado a opção "Não permitir conexões com este computador"
e com isso simplesmente o PC não é afetado por esta falha porem é sempre bom instalar os patchs de segurança e manter o Computador um pouco mais seguro

4. Downloads

Download the Free Nmap Security Scanner for Linux/MAC/UNIX or Windows
BackTrack

​Download do patch para correção da falha: Microsoft Security Bulletin MS12-020 - Crítica : Vulnerabilidades na área de trabalho remota podem permitir a execução remota de código (2671387)
PS:: Não necessita de scan pois os links acima são direto dos fabricantes dos sistemas
Download do script: rdp.nse

Scan: https://www.virustotal.com/file/7a07...is/1352638118/

5. Desmonstração de exploração e correção da falha em vídeo

http://www.youtube.com/watch?v=FJJxBliO4j0&feature=player_embedded