Robando Credenciales con incógnito (Procesos en Memoria)

Continuando con meterpreter , existe una "utilidad" llamada incógnito originalmente independiente que se integro a metasploit y luego en meterpreter, esta herramienta permita robar los "tokens" en un sistema comprometido haciendo analogía a las Cookies de la web.

Es decir si un usuario ejecuta un proceso y nosotros lo listamos con ps de meterpreter , verificamos los procesos creados ( y que usuario los creo el mismo) incógnito permite robar las credenciales del proceso en memoria y obtener la "identidad", en otras palabras suplantar sus roles y permisos del sistema comprometido.

Siguiendo el post de Metasploit & Meterpreter , una vez comprometido el sistema podríamos robar las credenciales , ¿ para que corno robar las credenciales? , bueno depende de nuestra imaginacion.

Supongamos que necesitamos crear usuarios un Controlador de dominio y sabes a priori tenemos identificado el dominio , en nuestro caso se llama pps-labs

Listando los procesos con el comando ps de meterpreter

 Antes de robar la nueva "identidad" verificamos la nuestra, en este caso el servidor comprometido es un windows 2003 server y estamos como administrador

Window server 2003 Comprometido

Usuario antes de robar la credencial con incógnito

En el listado encontramos a un usuario\dominio llamado Chuck\pps-labs para robar la credencial necesitamos conocer el PID (identificador de proceso) 1540, procedemos a robar la credencial.

Robando la credencial con incógnito "steal_token PID"

Imaginemos el siguiente escenario , supongamos el usuario Chuck es el dueño y señor del controlador de dominio(Windows 2008), una vez suplantada su identidad podríamos crear usuarios , eliminar o modificar los grupos y permisos del usuario que necesitemos.

En mi caso creare un usuario y lo agregar al grupo de administradores del Servidor Windows 2008 R1 desde una shell remota de un Windows 2003 Server.

Agregando un usuario NET USER

Una vez agregado el usuario con la identidad (Chuck el administrador de dominio del windows 2008 server ) , procedemos a agregar al grupo de administradores

Agregando nuestro usuario creado al grupo de "Administradores"

Con eso acabamos de crear un usuario del el dominio pps-labs  en el windows 2008 R1 sin acceder al mismo.

ipconfig windows 2008 server

Considero que incógnito es una utilidad que todo pentester debería conocer y utilizar.

Saludos!

Metasploit & Metepreter (Diversion garantizada)

Metasploit es un framework que nos proporciona múltiples exploit y herramientas que nos permiten identificar vulnerabilidades en una prueba de penetración de sistemas.

Recuerdo cuando no existia este framework y tenias que descargar cada exploit , modificarlo y compilarlo por lo general todos estaban escritos C, como olvidar el exploit de tarasco que explotaba una vulnerabilidad conocida en los sistemas Windows "RPC DCOM" mi primera shell reversa con windows XP fue amor a primera vista .

Comenzamos determinando el S.O , los servicios y versiones de software con el que cuenta nuestro objetivo (Target).

Determinamos que nuestro objetivo es un w2k3 sin parche alguno , ejecutamos metasploit  buscamo el exploit para nuestro w2k3 , configuramos el ms03_026_dcom , en nuestro caso vamos a utilizar como payload a meterpreter y una shell reversa por si hay algún firewall "protegiendo" el S.O

En la imagen podemos observar que metepreter creo una sesión de forma exitosa, ahora podemos hacer lo que nuestra imaginación nos permita , el comando sysinfo permite obtener datos del S.O.

Con el comando Shell nos devuelve una "shell" del S.O , con la cual podemos utilizar los comandos nativos de Windows , como por ejemplo listar la configuración de las IP

Listamos los procesos del sistema operativo con el comando Tasklist

Para volver a la sesión de meterpreter solo escribimos exit, con el comando screenshot capturamos la pantalla actual del servidor

 

Metepreter nos permite hacer un dump al archivo SAM de windows , para posteriormente crackear, con el comando upload subimos un Netcat al equipo y modificamos el editor de registros de windows para crear una BindShell.

 

Modificamos "regedit"

Ya tenemos una puerta trasera escuchando en un puerto en este caso el 666 jajaaj, meterpreter permite aplicar técnicas "anti forenses" como el de limpiar el registro de eventos de windows para no "dejar" huellas con el comando clearev.

  

Mientras menos rastros se pueda dejar en una intrusión mejor , el nivel de experiencia de un buen pentester es proporcional a las huellas que pueda dejar en una intrusión.