sábado, 5 de agosto de 2017

[STEP-BY-STEP] Explotar Eternalromance en Windows Server 2016


Quizás es un poco tarde para escribir este post, mis últimas semanas preparando la charla para Black Hat Arsenal/DefCon y el viaje a Las Vegas fue todo bastante a las apuradas. Increíblemente ya hace casi 1 mes desde que redacté el paper hablando sobre cómo explotar Eternalromance y Eternalsynergy en Windows Server 2016. La versión en inglés del paper se publicó en exploit-db aquí: https://www.exploit-db.com/docs/42329.pdf y la versión en español no la subieron, ni idea por qué, envié los 2 papers juntos pero me parece que al de offensive-security le dió ganas de ir al baño justo cuando tenía que subir la versión en español y dejó solo la de inglés :p.

El paso a paso de la explotación es un poco largo como para un post, así que en los siguientes párrafos me limitaré simplemente a contar de qué se trata y luego dejaré el link al paper en español con el detalle de los pasos :-).

Los exploits Eternalromance y Eternalsynergy que fueron publicados por TheShadowBrokers no son estables al momento de atacar sistemas con Windows Server 2012 y 2016, cuando se intenta utilizarlos desde Fuzzbunch (el framework de la NSA), ocasionan la mayoría de las veces un BSOD en la máquina víctima.

Hace unas semanas, Sleepya desarrolló un exploit que aprovecha el mismo bug de eternalromance y eternalsynergy pero el método de explotación es diferente, logrando enorme estabilidad al impactar sistemas con Windows Server 2012 y 2016. Pero como ya ha ocurrido con exploits anteriores de Sleepya, no había ningún comentario ni guía o algo que mostrará cómo utilizarlo, por ende nadie había publicado nada al respecto.

Cuando me puse a analizarlo, lo cierto es que había que entenderlo para lograr cambiar su comportamiento y ejecutar en la máquina target lo que nosotros quisiéramos. Una vez que lo logré, me dispuse a escribir un paso a paso y así nació el nuevo paper ;-).

A lo largo del documento (que tampoco es tan largo) se explica cómo hacer funcionar el exploit, proporcionar los parámetros adecuados y preparar una shellcode para finalmente obtener una sesión de meterpreter en el equipo objetivo.




Dos cosas interesantes a mencionar: primero, que el exploit es autenticado, sin embargo, aun si utilizáramos una cuenta Guest, la shell que vamos a recibir tendrá privilegios de SYSTEM. Segundo, el exploit NO está disponible en metasploit, no es eternalblue, sin embargo, es un exploit que funciona muy bien y hay que tenerlo en cuenta ;-).

Sin más, dejo el link al paper en español: https://drive.google.com/open?id=0B6QiDzK5icraS2JGWlVDcmRDUzg.

Nos leemos pronto!.

Author: Sheila A. Berta.
Tw: @UnaPibaGeek.
Web: www.semecayounexploit.com.

No hay comentarios.:

Publicar un comentario