Metasploit - Bypass UAC fodhelper [Post-explotación]

METASPLOIT
bypass UAC
ADRIÁN LOIS

Técnicas para BypassUAC
> OphCrack - Sethc y magnify
> MITM - Passwords Kerberos
> Meterpreter MSF + Demo
> Charla UAC-A-MOLA

Conceptos previos
 Seguridad defensiva: Es la parte de la seguridad dedicada a defender un sistema
(hardening), software, red, etc.
 Seguridad ofensiva: Es la parte de la seguridad dedicada a encontrar fallos intentando
compremeter un sistema, software, red, etc.
 CVE (Common Vulnerabilities and Exposures): Es el "número" que se le asigna a una
vulnerabiliad. Formato para las entradas CVE es: CVE-YYYY-NNNN
 RCE (Remote Code Execution): Es la ejecución remota de código, nos deja ejecutar
comandos de manera remota.
 APT (Advanced Persistent Threat): Persistencia y efectividad para comprometer la
seguridad de los sistemas informáticos de cualquier organización. Son ataques dirigidos
a una entidad en particular.

Conceptos previos
 Vulnerabilidad: Significa que tienen un agujero de seguridad en un sistema que
puede ser utilizado para colarse dentro de ellos. Están provocados por errores de
programación y/o diseño.
 Exploit: Es una técnica o un programa (tool) que aprovecha un fallo o hueco de
seguridad -una vunerabilidad- existente. Un exploit es un programa formado por
un trozo o fragmento de código que explota una o varias vulnerabilidades
 Bug: Este término se emplea para indicar un fallo o error en un programa
informático.
 0-day: Una vulnerabilidad aún no conocida públicamente, al no ser conocida el
fabricante no pudo desarrollar ningún parche o solución.

Vulnerabilidades y 0-days.
¿Dónde se venden? ¿Cuál es su precio?
 Zerodium (https://zerodium.com)
 ZDI (http://www.zerodayinitiative.com)
 Full disclosure (https://www.princeton.edu/~achaney/tmve/wiki100k/docs/Full_disclosure.html)
 Bugcrowd (https://www.bugcrowd.com)
 Base de datos de exploits (https://www.exploit-db.com)
 Ver defacements a tiempo real (http://www.zone-h.org/archive)
 Precio de vulnerabilidades Año 2012:

Password administrador Windows
 Restablecer password administrador. Sethc.exe o magnify.exe
 http://www.zonasystem.com/2011/07/generar-o-restablecer-la-password-o.html
 Conocer password administrador. Ophcrack con Rainbow-tables
 https://www.isunshare.com/ophcrack-chntpw/use-ophcrack-on-windows-7-password-reset.html
 Mimikatz: http://blog.gentilkiwi.com/mimikatz

Establecer password setup BIOS, para evitar estos
ataques
 Establecer password de setup BIOS
https://www.zonasystem.com/2010/09/borrar-quitar-o-romper-la-contrasena-o.html
https://www.zonasystem.com/2013/06/restablecer-la-contrasena-de-la-bios.html
 No permitir el bootstraping de medios desmontables ni unidades óptivas
(CD/DVD/USB)
 Habilitar el Secure Boot

MITM – Man in the middle
Aprovechándolo para NTLM (autenticación
Kerberos con LDAP)
 Ataques "Man in the middle [MITM]" (ARP Spoofing/Poisoning) sobre IPv4
 http://www.zonasystem.com/2012/05/ataques-man-in-middle-mitm-arp.html
 Ataque MITM: ARP Poisoning y DNS Spoof con ARPSpoof
 http://www.zonasystem.com/2017/07/ataque-mitm-arp-poisoning-dns-spoof-arpspoof.html
 https://www.zonasystem.com/2017/07/ataque-mitm-arp-poisoning-y-dns-spoof-con-ettercap.html
 Como protegerse de ataques ARP Spoofing
 http://www.zonasystem.com/2017/08/como-protegerse-de-ataques-arp-spoofing.html

Conceptos MSF (Metaesploit-Framework)

Conceptos MSF (Metaesploit-Framework)
 Framework: Es un esquema (un esqueleto, un patrón) para el desarrollo y/o la implementación de una aplicación
 Auxiliary: Es un programa que permite obtener información sobre el objetivo con el fin de determinar posibles vulnerabilidades.
 Payload: Es un programa que acompaña a un exploit para realizar funciones específicas una vez el sistema objetivo es comprometido.
 Payload Meterpreter: es un troyano que se carga en memoria, por ende utiliza una estructura adecuada para poder ocultarse (Shell remota)
 Post: Permite ejecutar acciones post explotación, por ejemplo para elevar privilegios en un sistema previamente comprometido.
 Encoder: Sirve para encodear exploits y así poder evadir los antivirus
 Bypass: Es evitar, eludir o sobrepasar cualquier mecanismo, en este caso de seguridad.
 Encodear: Es transformar un archivo a otro formato.
 Nop: Los nops pueden ser utilizados para bypasear un IDS/IPS.
 Msfvenom: Herramienta permite crear un backdoor para poder ejecutar una conexión reversa entre la víctima y el atacante

DEMO
EXPLOIT BypassUAC
Modulo fodhelper

Técnicas para UAC Bypass
(User account control)
 Ejecución de procesos en integridad alta (usuario SYSTEM)
 UAC Bypass DLL Hijacking
 UAC Bypass Fileless

¿Preguntas?
$>WHOAMI
adrianlois@zonasystem.com
https://zonasystem.com
@adrianlois_

Metasploit - Bypass UAC fodhelper [Post-explotación]

Más contenido relacionado

La actualidad más candente (19)

Similar a Metasploit - Bypass UAC fodhelper [Post-explotación] (20)

Último (20)

Metasploit - Bypass UAC fodhelper [Post-explotación]