Exploits

MICROSOFT WINDOWS 2003 SERVER:
1. El primer paso es escanear los puertos habilitados en el servidor para poder usar a través de estos las vulnerabilidades que podremos seleccionar en el Metasploit Framework.
Utilizando el programa ZendMap, averiguamos que puertos y que servicios están habilitados en el servidor.

Como una utilidad mas el programa nos dirá el nivel de dificultad de ingresaral Windows y la versión que está usando.

Para encontrar un exploit apropiado ingresamos a la página http://www.metasploit.com/framework/search.

Ahí buscaremos una vulnerabilidad apropiada para nuestro SO o víctima.

Vulnerabilidad MS03-026
Llamada a procedimiento remoto  (RPC) es un protocolo que se utiliza en el sistema operativo Windows. RPC proporciona un mecanismo de comunicaciónentre procesos que permite a un programa que se ejecuta en un equipo ejecutar código sin dificultades en un sistema remoto. Este protocolo se deriva del protocolo RPC de OSF (Open Software Foundation), pero con la incorporación de algunas extensiones específicas de Microsoft.
Existe un punto vulnerable en la parte de RPC que se encarga del intercambio de mensajes sobre TCP/IP. Los errores son elresultado de la gestión incorrecta de los mensajes mal formados. En concreto, esta vulnerabilidad afecta a una interfaz Modelo de objetos de componentes distribuido (DCOM) con RPC, que escucha en el puerto TCP/IP 135. Esta interfaz controla las solicitudes de activación de objetos DCOM que envían las máquinas cliente (como puedan ser las rutas de acceso de Convención de nomenclatura universal(UNC)) al servidor.
Para aprovechar este punto vulnerable, un atacante debería enviar una solicitud especialmente diseñada al equipo remoto en el puerto 135.

Factores atenuantes:
* Para aprovechar esta vulnerabilidad, el atacante debería contar con los conocimientos necesarios para enviar una solicitud especialmente diseñada al puerto 135 en la máquina remota. En los entornos conectados auna intranet, este puerto suele estar accesible, pero en las máquinas conectadas a Internet, el puerto 135 está normalmente bloqueado por un servidor de seguridad. En el caso de que este puerto no esté bloqueado, o en una configuración intranet, el atacante no necesita privilegios adicionales.

* Se recomienda bloquear todos los puertos TCP/IP que no se utilicen. Por este motivo, la mayoría delos equipos conectados a Internet deben tener bloqueado el puerto 135. RPC sobre TCP no está pensado para utilizarse en entornos hostiles como Internet. Para los entornos hostiles existen protocolos más seguros, como RPC sobre HTTP.

Gravedad:
  | Windows NT 4.0 | Crítica |
  | Windows NT 4.0 Terminal Server Edition | Crítica |
  | Windows 2000 | Crítica |
  | Windows XP | Crítica|
  | Windows Server 2003 | Crítica |

¿Cuál es el alcance de esta vulnerabilidad?
El motivo de esta vulnerabilidad es una saturación del búfer . Un atacante que explotara con éxito esta vulnerabilidad podría lograr el control completo de un equipo remoto. Esto le daría la posibilidad de llevar a cabo cualquier acción que deseara en el servidor, lo que incluye modificar páginas Web, darformato al disco duro o agregar nuevos usuarios al grupo de administradores local.
Para llevar a cabo este ataque, el atacante debería tener los conocimientos necesarios para enviar al servicio RPC un mensaje diseñado especialmente que provocara el funcionamiento incorrecto de la máquina de destino hasta el punto que en ella pudiera ejecutarse código arbitrario.
La mejor defensa contra los ataquesRPC remotos de Internet consiste en configurar el servidor de seguridad para bloquear el puerto 135.
¿Cuál es la causa de esta vulnerabilidad?
Existe vulnerabilidad porque el servicio RPC de Windows no comprueba correctamente las entradas de mensajes en determinadas circunstancias. Si un atacante lograra enviar un tipo de mensaje RPC especial cuando RPC ya ha establecido una conexión, una...