Duvida [Resolvido] Como descobrir qual payload usar?

[robcarn]

Escaneei uma rede e resultou nestas falhas:

Usei o nmap:
nmap -sS TCP SYN

89/tcp open su-mit-tg - Esta eu nao conheço
135/tcp open msrpc - Esta falha eu já conheço RPC DCOM

Running: Microsoft Windows NT/2K/XP|2003/.NET
OS details: Microsoft Windows 2003 Server, 2003 Server SP1 or XP Pro SP2


Como saber qual payload do metasploit usar?


Valew galera.

[JeanM]

Cara, o nome do exploit que você pode usar

Microsoft RPC DCOM Interface Overflow

O payload, pode ser qualquer um que desejar, use o adduser. é simples e facil de testar.

[robcarn]

Beleza, e se eu quiser explorar esta outra falha, tem jeito?

su-mit-tg , vc conhece?

[JeanM]

Beleza, e se eu quiser explorar esta outra falha, tem jeito?

su-mit-tg , vc conhece?

Cara, nem tudo que aparecer como "open" é uma falha. Quando alguma porta está com o status open "aberta" é porque existe algum serviço usando aquela porta, mas vai depender do serviço está ou não vulneravel.

E em relação ao serviço, acho que tem alguma coisa errada, esse su-mit-tg roda na porta 89.
A ultima vez que eu vi esse serviço rodando foi em um lentium 0.5 acho que uns 7 anos atraz.

Não sei se existe algum problema com este serviço e estou com preguissa de pesquisar.
Da uma olhada ae no Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

[JeanM]

Ah man, desculpa. no seu primeiro post eu li errado, pensei ter lido porta 80 ¬¬

Como eu perdi meu MOD, sou obrigado a recorrer ao flood.

[robcarn]

Beleza JBO valew, será que existe algum comando no nmap ou no próprio metasploit que me mostra se esta porta 89 esta realmente vulnerável?

Ou ate outras falhas?

[magopoka]

pessoal .. o metasplit funciona da seguinte maneira:

exploit a ser usado = o que vc vai explorar

payload a ser usado = qual a maneira que vc vai entrar na possível máquina vulnerável

Então se vc descobre uma falha que pode ser explorada com o metasploit vc tem que procurar um EXPLOIT que consiga explorar essa falha. Mas a escolha do Payload é muito importante tb.

Neste caso .. se você já estiver dentro da rede scaneada com o nmap e com o msrpc aberto, o ideal seria usar o exploit do RPC DCOM e o payload eu optaria por um de conexão reversa, para o possível firewall da vitima não detectar a conexão. Axo que o reverse_meterpreter_tcp seria o ideal.

Abraços...

[JeanM]

pessoal .. o metasplit funciona da seguinte maneira:

exploit a ser usado = o que vc vai explorar

payload a ser usado = qual a maneira que vc vai entrar na possível máquina vulnerável

Então se vc descobre uma falha que pode ser explorada com o metasploit vc tem que procurar um EXPLOIT que consiga explorar essa falha. Mas a escolha do Payload é muito importante tb.

Neste caso .. se você já estiver dentro da rede scaneada com o nmap e com o msrpc aberto, o ideal seria usar o exploit do RPC DCOM e o payload eu optaria por um de conexão reversa, para o possível firewall da vitima não detectar a conexão. Axo que o reverse_meterpreter_tcp seria o ideal.

Abraços...

Eu sempre uso o adduser como payload, se o adduser funcionar, qualquer outro funciona. falo assim em visão de teste de penetração, não de invasão.
Magopoka, mas se a maquina ta com firewall, não concorda comigo que as portas deveriam está fechadas ou filtradas? (Um firewall bem configurado)

[JeanM]

Para mais informações sobre o que é um Exploit/Payload

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

[magopoka]

Eu sempre uso o adduser como payload, se o adduser funcionar, qualquer outro funciona. falo assim em visão de teste de penetração, não de invasão.
Magopoka, mas se a maquina ta com firewall, não concorda comigo que as portas deveriam está fechadas ou filtradas? (Um firewall bem configurado)

As portas ficam abertas quando provavelmente existe algum serviço rodando ... e só porque o nmap está mostrando como porta aberta não significa que o host está sem firewall. Firewalls geralmente proteje conexões de fora pra dentro, por isso o uso de um payload reverse.

Para checar se realmente existe um firewall que proteje o host vc pode dar um traceroute no host, pegar o endereço IP que antecede o host e verificar o SO dele ... geralmente o IP que fica antes do host é um firewall.

Abraços...

[JeanM]

As portas ficam abertas quando provavelmente existe algum serviço rodando ... e só porque o nmap está mostrando como porta aberta não significa que o host está sem firewall. Firewalls geralmente proteje conexões de fora pra dentro, por isso o uso de um payload reverse.

Para checar se realmente existe um firewall que proteje o host vc pode dar um traceroute no host, pegar o endereço IP que antecede o host e verificar o SO dele ... geralmente o IP que fica antes do host é um firewall.

Abraços...

Correto.

[]'s

[robcarn]

Maravilha e obrigado pelas respostas.

Mas voces conhecem algum outro programa que mostre as vulnerabilidades (fora o nessus que nao roda na minha máquina).

Eu tenho instalado na minha máquina o Acutinex, mas será que so rola com sites? e se eu tentar scanear um ip?

Tenho tbem o sss (shadow security).

Com estes dois instalados na minha máquina eu posso procurar por vulnerabilidades?

[JeanM]

Maravilha e obrigado pelas respostas.

Mas voces conhecem algum outro programa que mostre as vulnerabilidades (fora o nessus que nao roda na minha máquina).

Eu tenho instalado na minha máquina o Acutinex, mas será que so rola com sites? e se eu tentar scanear um ip?

Tenho tbem o sss (shadow security).

Com estes dois instalados na minha máquina eu posso procurar por vulnerabilidades?

Te recomendo Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

[robcarn]

Valew magopoka e jbo pelas informações, mas voces tem passo a passo como se faz, deste a descoberta das falhas usando um scanner até chegar no metasploit?

Valew.

[magopoka]

tenho videos priv8 de minha autoria ... focando scans como o nmap, nessus, sniffers como o ettercap e o framework metasploit.