Jefe ze ma olvidao la Contraseña!

Buenas haxors hoy vamos a hablar de unas herramientas que ya tienen cierta solera y que hemos mencionado alguna de ellas en algún post anterior.

"Aiii amo amo! mire que tiene usted memoria de sardina mareada y enlatada... seguro que no recuerda que el amo soy yo??? aii no me pegue que era broma!"

"Como no puede abrir el ordenador que pasa?? no puede seguir viendo imágenes de Ovejas??? como??? que dice??? que ahora le gustan mas las cabras?? pero que le habrán hecho! madre mía! no tiene perdón usted!"

Muchas veces vuestros amigos, vecinos incluso familiares tienen algún equipo viejo guardado en un armario... ya sabéis por si falla el nuevo (por si algún usuario manazas decide hacer clic en ese bonito anuncio de la señorita pechugona) y cuando van a echar mano del resulta que tiene contraseña y no se acuerdan de cual pusieron.

" todo tiene solución... menos la depravación del amo!"

Para esto voy a hablaros de varias herramientas OPHCRACK , FGDump,  John The Ripper, Hashcat y el comando UNSHADOW.(al final o se hace completo o no vamos a perder el tiempo no? jijij)

WINDOWS

Opcrack tiene varios formatos, se puede instalar dentro de Windows, Linux o para mi la versión mas útil, que es llevarlo en un LIVE USB que nos automatiza todo el trabajo y aparte nos da mas herramientas útiles aparte de tener un sistema Linux ligero que si no se tiene acceso a la maquina real... pude ser hasta útil en muchos casos.

"... si amo si también crakea contraseñas .. pero para que quiere usted eso?? ahh entiendo... quiere entrar en algún sitio sin permiso... pues NO! el esbirro no va a ir a la cárcel para que usted robe ovejas y cabras! maldito sea! AY AY! ...!"

Este programa es un crakeador de contraseñas especializado en craquear los archivos SAM de Windows utilizando tablas Rainbow. Posiblemente os habéis quedado igual que yo la primera vez que lo lei...

El archivo SAM es un archivo que se encuentra dentro de Windows en vuestro disco duro local :

Si intentáis abrirlo no os lo va a permitir ya que se trata de un archivo que arranca junto al sistema y por muchos permisos que tengáis no os va a dejar manipularlo de ninguna manera.... Espera corrijo esta afirmación ... de ninguna manera convencional (pero esto lo veremos mas adelante). <Dentro del Archivo se encuentran tanto los nombre de usuarios en RAW (A palo seco) y los HASHES (Contraseñas después de sufrir un cifrado) teniendo este formato:

El sistema que mencionamos arriba se puede usar o bien como programa o bien como sistema operativo Live. 

OPHCRACK LIVE USB o DVD

En el caso de utilizar un USB Live o DVD lo que el propio programa hará es arrancar el sistema operativo y preguntarnos varias opciones a la entrada tal como se ve en la imágen. cuando termina de arrancar el mismo busca automáticamente el archivo SAM (el cual no esta protegido en ese momento ya que Windows esta totalmente inactivo). Una vez tiene el archivo el mismo comenzara el proceso de craqueo, dependiendo el éxito el proceso en la complejidad de la contraseña.

"Amo ya sabemos todos que la suya es ovejalover666 a quien pretende engañar... que? que quiere probar a ver cuanto tardamos eso esta hecho... aunque es tan lerdo que tiene la clave y su usuario MASTEROFEVIL puestos en un postit en el teclado! MERLUZO!"

Y SI TENEMOS ACCESO AL SISTEMA?

Habra casos en los que si tengamos acceso al equipo pero por motivos X (en los que no vamos a entrar) queremos los usuarios y contraseñas del sistema. Esto como hemos comentado puede ser un problema ya que el archivo SAM es un ser intocable ... 

"Amo ve, el archivo SAM es como yo un ser único y especial que cuando se le necesita esta ocupado haciendo algo útil... usted es mas bien como la papelera de reciclaje... traga toda la mierda y encima da gracias... Ay leche no me pegue! Ay!"

Para ello hay una herramienta que nos facilita el trabajo llamada FGDump que si tenemos ciertos privilegios de administrador nos permite hacer una copia del archivo SAM del sistema para posteriormente craquearlo por diferentes métodos.

ADVERTENCIA: FgDump lo detectan los antivirus como software malicioso... y la pagina aparece como NO SEGURA.

Una vez tenemos el archivo en nuestro poder tenemos varias opciones para descifrarlo

1.  CRACKSTATION: Para mi una de las opciones mas rápidas, ingresamos el hash de la clave, si no tiene mucha seguridad o es una clave que existe en su base de datos nos dará el resultado en un plis!
2. Hashcat: Programa que puede utilizar la potencia gráfica de nuestro equipo para crackear de forma rápida cualquier contraseña por fuerza bruta. Esto acelera el proceso un montón ya que no hay pieza en un ordenador que procese mas rápido que una gráfica. La contrapartida es que la temperatura puede subir ... y si no ponemos bien los parámetros podemos dañarla. Necesitaremos para esto un Diccionario TOCHO como podría ser el de crackstation o algún otro que tengamos o hayamos creado por ejemplo con la herramienta YOW que presento el compañero Juan en el blog . Para mas dudas aqui teneis tambien su manual en castellano: <AQUI!>



El origen de las tablas RAINBOW



3. Ophcrack: La variante del Live OS pero en programa instalable bajo Windows o Linux que nos permite utilizar toda la potencia de las tablas rainbow bajo estos sistemas. Este programa tiene como pega el tener que descargarnos los archivos de tablas rainbow que al pesar bastante hay veces que nos imposibilitan la tarea de hacerlo desde una maquina virtual por falta de espacio. 

LINUX

Los datos de conexión de los usuarios en Linux se encuentran almacenados en 2 ficheros diferentes /etc/shadow y /etc/passwd si los abrimos por separado esto es lo que nos muestran:

/etc/shadow

/etc/passwd

Para poder manejar correctamente estos archivos lo que vamos a hacer es juntarlos con el comando UNSHADOW para posteriormente descifrarlos usando John the Ripper. 

"No amo NO! No podemos UNSHADOW cabra-oveja... AL RINCON DE PENSAR!!!!"

$ sudo /usr/sbin/unshadow /etc/passwd /etc/shadow > /tmp/crack.password.db

Las contraseñas del sistema se encuentran cifradas y  hay varios algoritmos hash usados según como comienza el hash:

$1$=MD5      (22 caracteres)
$2$=blowfish
$5$=SHA-256  (43 Caracteres)
$6$=SHA-512  (86 Caracteres)

Este si que tiene clase ¿eh? 

En caso de tener dudas sobre que tipo de HASH estamos manejando lo mejor es utilizar la herramienta llamada Hash Identifier que viene entre las herramientas preinstaladas en Kali


Ahora solo queda descifrar las contraseñas y todo depende de como haya sido de precavido el usuario... al final si tiene cierta idea nos puede hacer de esta tarea algo TITANICO o algo realmente sencillo si es alguna de las contraseñas mas utilizadas. Haremos este proceso  parandolo una vez tengamos éxito:

1º Inslaremos la aplicacion:

sudo apt install john

Lanzamos el craqueo

$ john /tmp/crack.password.db

En caso de no tener éxito por este método ... siempre podemos utilizar los programas que hemos mencionado arriba para buscar la contraseña.

Todo lo explicado en este articulo se hace con fin meramente divulgativo para que la gente sea consciente de lo fácil que puede ser para un atacante quitarnos las contraseñas que creíamos "seguras" o incluso sacar las contraseñas en nuestros equipos si tienen acceso . No nos hacemos responsables de la mala utilización del contenido de este articulo.

"Si Vis Pacem, Para Bellum"  - Vegecio (Escritor Militar Romano)

Nebu_73

Guía Kevgir Parte (I)

Buenos días hackers! En esta PoC, os mostraré una guia de la maquina virtual Kevgir de canyoupwn.me. En esta maquina virtual, se podrá practicar técnicas conocidas en la fase del pentesting ya sea aplicaciones web vulnerables y contraseñas débiles. Las técnicas usadas son Hacking con Redis, Hacking con Tomcat y Jenkins, ataques por diccionario, escalada de privilegios, ataques con exploits y auxiliares, y otras vulnerabilidades como SUID bit.

El primer paso, es realizar un reconocimiento de la red interna, en busca de dispositivos en la infraestructura de red

 

El objetivo tiene como dirección IP 192.168.171.146. Probaremos la conectividad haciendo ping: 

Una vez elegido el objetivo y realizada la prueba de conectividad entre hosts, haremos un escaneo más en profundidad para enumerar los servicios y puertos abiertos:

 

 

Según la información obtenida, tenemos el puerto http abierto con un servidor Apache Tomcat 8080, Joomla en el 8081 y 9000 Jenkins. Además tenemos: NFS, SSH, FTP, Redis.

A través del SMB/TCP 445, haremos una enumeración del servicio Samba con enum4linux: 

• Obtenemos usuarios bien conocidos, que podremos usar para hacer un pequeño diccionario
• Información del sistema operativo Unix, servidor Samba Ubuntu
• Usuarios del host: user, admin y root
• Políticas de contraseñas
• Dominios y grupos

Realizando otro escaneo y enumeración, usando la interfaz gráfica Zenmap, obtenemos los mismo resultados: 

Una vez recolectada la información más general, iremos analizando y explotando mediante técnicas de pentesting los diferentes servicios del Ubuntu.


FTP 25
Usamos hydra para realizar un ataque por diccionario y obtener la contraseña. Para ello hacemos un pequeño diccionario sobre lo recolectado con enum4linux

 
Como se puede observar, el servidor FTP es vulnerable usando un nombre y contraseña bastante débil. Mediante el FTP, se puede subir y descargar archivos del directorio que se comparte por el servidor. Si se tiene permisos para subir archivos, se puede subir un archivo con código malicioso y ejecutarlo empleando otro tipo de herramientas.

TOMCAT 8080

Con nikto escanearemos en busca de vulnerabilidades y carpetas de la aplicación web. 

Sacamos información interesante: /phpmyadmin/ 
Con esto sabemos que posee un gestor de base de datos MySQL. La información es poder, y si se tiene "gaining access" obtendremos información sensible y muy util dependiendo del objetivo del ataque.

Obtenemos más rutas del servidor Apache, en este caso muy interesantes como /manager/html y la cuenta por defecto de la aplicación de Tomcat: tomcat/tomcat. Es una vulnerabilidad muy grave por parte de un sysadmin, usar cuentas por defecto...

Con hydra mediante un ataque por diccionario, usando el mismo método que en el FTP, sacamos lo mismo para evitar falsos positivos: 

Y usando un auxiliar de metasploit, obtenemos la misma información.

Se desarrollará dos métodos en la parte de explotación para conseguir una shell o una sesión meterpreter, y en la parte de post-explotación se usará una técnica debido a una vulnerabilidad SUID bit en /bin/cp, para escalar privilegios, y también se explicará el procedimiento del uso de un exploit local.



Fase explotación Método (I)

Mediante la aplicación Tomcat Manager, el usuario puede subir archivos WAR con un payload malicioso creado con "msfvenom" y enviar peticiones http con "curl" un archivo .jsp para obtener una shell. 
Un archivo WAR o Web Application Archive, es simplemente un archivo JAR que contiene el conjunto de archivos necesarios para hacer funcionar una aplicación web. 
Con jar tf, visualizamos el contenido el archivo JAR. Uno de ellos es un .jsp. 
Los archivos .jsp, es un fichero web en Java

Una vez generado el payload, subimos el archivo WAR desde la aplicación

Usaremos netcat, "la navaja suiza del TCP/IP" para estar a la escucha por el puerto configurado en el payload reverse_tcp. Una vez el atacante realize una petición http a la URI donde se encuentra el archivo .jsp, el servidor Tomcat ejecutará el payload realizando la conexión reversa devolviendonos en el Netcat una shell de usuario. 

Una vez obtenido la shell, ya se ha conseguido el acceso "gaining access", al servidor Ubuntu. El problema radica en que al tener una shell usuario, no tenemos a penas privilegios de poder realizar una serie de acciones, y a su vez es preferible tener un entorno de terminal.

Para ello sabiendo que en ubuntu, esta instalado Python, generaremos una terminal escribiendo el siguiente pequeño script.

Fase de explotación Método (II)

Usando la consola de Metasploit (msfconsole), lanzaremos un exploit a la máquina victima consiguiendo una sesión meterpreter. El exploit usado es el tomcat_mgr_upload. 

Este exploit lo que hace es ejecutar un payload en un Tomcat Apache con la aplicación manager expuesta al atacante. Es similar al Método I, ya que sube un archivo WAR que contiene una aplicación con extensión .jsp mediante POST.

Una vez configurado, lanzamos el exploit y conseguiremos una sesión meterpreter.

Las ventajas con respecto al Método (I), es la potencia que nos ofrece Metasploit y el payload meterpreter, ya que permite nuevas funcionalidades además de la shell, dependiendo del nivel de privilegios que tengamos, en este caso de usuario. 



Fase Post-Explotación

Investigando con la shell obtenida en el Método (I), vemos los permisos que tiene el usuario con el siguiente comando.

Como pueden observar, el comando cp tiene SUID bit, por lo que se puede usar para copiar y sobrescribir archivos que un usuario root puede tener, sin serlo.
Modificamos el archivo, y en la linea admin cambiamos el user ID en 0 (la de root). 

Una vez modificado el archivo, iniciamos un simple servidor http en nuestra maquina kali linux

Desde la shell, nos descargamos el archivo con wget

Y copiamos el archivo descargado a /etc/passwd. Se sobrescribirá, y el resultado final será una escalada de privilegios sencilla.

Con esto ya somos root, amos y dueños del servidor Ubuntu.

Otro método de escalada de privilegios sería mediante el uso de este exploit 
El procedimiento sería el siguiente: 

• Copiar el exploit en un archivo .c
• Compilarlo con gcc, teniendo en cuenta que el sistema victima tiene una arquitectura de 32 bits. 
• Iniciar un servidor http en nuestra maquina kali linux, simplemente para la posterior descarga del exploit escrito en lenguaje C desde la shell.
• Dar permisos de ejecución al archivo y ejecutar el exploit.

Espero que os haya gustado la primera parte de la guía de esta PoC. En la próxima entrada se explicará las diferentes técnicas de acceso mediante la explotación de vulnerabilidades en los distintos servicios.

Un saludo, naivenom.