1. Unprivileged Network
Post-Exploitation

2. $ whois jselvi
Jose Selvi
Ethical Hacking & Pentesting
S21sec (http://www.s21sec.com)
Pentester.Es (http://www.pentester.es)

3. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

4. Post-Explotación
POST-
RECON PORTSCAN VULNSCAN EXPLOIT
EXPLOIT

5. Post-Explotación
Elevación de Privilegios
Password Cracking
Pass-the-Hash
Sniffing
BackDoors
Pivoting
Buscar Información

6. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

7. Privilegios
Privilegios Usuarios
root
Control Total
SYSTEM
root
Administrador
Administrador
www-data
Usuario Estándar jselvi
Invitado Invitado

8. Sistemas Operativos
UserA UserB
App1 App2 App3
Operating System
Hardware

9. Explotación
UserA
Shell
Exploit Process
Code

10. Acceso No-Privilegiado
Podemos:
- Leer/Escribir ALGUNOS Ficheros
- Ejecutar ALGUNOS binarios
- Establecer conexiones de red
NO podemos:
- Acceder a memoria
- Acceder a ficheros de contraseñas
- Acceder a la tarjeta de red

11. Post-Explotación
Elevación de Privilegios
Password Cracking
Pass-the-Hash
Sniffing
BackDoors *
Pivoting
Buscar Información *

12. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

13. Relaying Clásico
Concepto:
- Hacer de “pasarela” entre dos conexiones
de red
Herramientas:
- NetCat
- /dev/tcp

14. Relaying Clásico
SSH NC
ATACKER TARGET1 TARGET2

15. Relaying Clásico
SSH NC
ATACKER TARGET1 TARGET2
NC

16. NetCat
Hobbit, 1996
- http://nc110.sourceforge.net/
- # aptitude install netcat
Apodada “la navaja suiza”
Versiones: Unix, Windows y MacOS
Conexiones TCP/UDP

17. NetCat Linux
PIPE
HOST A NC | NC HOST B
$ mknod pipe p
$ nc -l -p 2222 0<pipe | nc hostb 22 1>pipe

18. NetCat Windows
HOST A NC NC HOST B
> echo nc.exe hostb 22 > relay.bat
> nc.exe -L -p 2222 -e relay.bat

19. Limitaciones NetCat
No persistente
- Tras cerrarse la conexión se cierra
- Bucle en Shell -> no muy efectivo
Mono-hilo
- Solo una conexión
No muy mantenido
Requiere subir el binario

20. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

21. Relaying 2.0
Mejoras:
- Cifrado, Persistencia, Multihilo
Herramientas:
- Socat
- Cryptcat
- Ncat
- Meterpreter

22. NCat
Fyodor, 2009
- http://nmap.org/ncat/
- # aptitude install nmap
Perteneciente a la Suite NMap
Versiones: Unix, Windows y MacOS
Conexiones TCP/UDP

23. NCat
HOST A NC NC HOST B
$ ncat -l 2222 --sh-exec “ncat hostb 22”

24. Ventajas y Limitaciones
Ventaja:
- Persistente
- Multihilo
- Sintaxis cómoda
Limitaciones:
- Poco portable.
- Requiere subir el binario

25. Meterpreter
Payload de Metasploit Framework
- http://www.metasploit.com
Versiones Windows, Linux, BSD, ...
Completa Suite de Post-Explotación
Pivoting:
- Route
- Portfwd

26. Meterpreter Route
Host A
M
MSF
Host B FW
Host C

27. Ventajas y Limitaciones
Ventajas:
- Da acceso automáticamente toda la red
- No requiere subir binarios
Limitaciones:
- Solo funciona dentro de MSF
- No se pueden utilizar herramientas
externas

28. Meterpreter Portfwd
Host A
M
MSF
Host B FW
Host C

29. Ventajas y Limitaciones
Ventajas:
- Se pueden usar herramientas externas
- No requiere subir binarios
Limitaciones:
- Hay que configurar puerto a puerto
- Requiere descubrimiento de red

30. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

31. Route + Socks4a
Host A
M
MSF
Host B FW Socks4
Host C NMAP

32. ProxyChains
# tail -1 /etc/proxychains.conf
socks4 127.0.0.1 1080
# proxychains nmap 172.16.146.148
ProxyChains-3.1 (http://proxychains.sf.net)
Starting Nmap 5.35DC1 ( http://nmap.org ) at 2011-02-27 14:27
nexthost: failed to determine route to 172.16.146.148
QUITTING!
# proxychains nmap -PN -sT --max-retries 1 172.16.146.148

33. Ventajas y Limitaciones
Ventajas:
- No requiere mapeo
- Se pueden usar herramientas externas
- No requiere subir binarios
- No requiere privilegios
Limitaciones:
- Lento para Discovery y PortScan
- Fallos ante muchas conexiones

34. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

35. Acceso No-Privilegiado
Podemos:
- Leer/Escribir ALGUNOS Ficheros
- Ejecutar ALGUNOS binarios
- Establecer conexiones de red
NO podemos:
- Acceder a memoria
- Acceder a ficheros de contraseñas
- Acceder a la tarjeta de red

36. Requisitos
Podemos ejecutar ALGUNOS binarios
- Herramientas que no requieran privilegios
- Herramientas build-in de los SO
Podemos establecer conexiones de red
- Ping, Telnet, Ftp, Relay
Multi-versión
Multi-idioma
Multi-plataforma

37. Fases MultiRelay
1.Discovery
- Ideal: ARP Scan (requiere privilegios)
- Real: Command Line Kung Fu...
2.PortScan
- Ideal: SYN Scan (requiere privilegios)
- Real: Command Line Kung Fu...
3.Relaying
- No se puede hacer build-in

38. Command Line Kung Fu

39. Discovery Fu
Windows:
FOR /L %i in (1,1,255) do @ping #NET#.%i -w 1 -n 1
> NUL & arp -a | find /V "00-00-00-00-00-00" | find
" #NET#.%i "
Linux:
for i in `seq 1 255`; do ping -c 1 #NET#.$i > /dev/
null ; /usr/sbin/arp -a | grep "(#NET#.$i)" | egrep
"[0-9a-fA-F]+:[0-9a-fA-F]+:[0-9a-fA-F]+:[0-9a-fA-
F]+:[0-9a-fA-F]+:[0-9a-fA-F]+" ; done"

40. PortScan Fu
Windows:
FOR %i in (#PORTS#) do @netsh.exe diag
connect iphost #IP# %i | find "[%i]"
Linux:
PPID=$$nfor i in #PORTS#ndonftp #IP# $i 1>/
dev/null 2>/dev/null &ndonennetstat -n | grep
" #IP#:" | cut -d':' -f 3 | cut -d' ' -f 1 | sort | uniq
nkillall ftp 1>/dev/null 2>/dev/nullnexitn

41. Relaying
Levanta interfaces con cada IP descubierta
- MSF sobre Linux, como root
Meterpreter -> Script (Ruby) & API
- Multiplataforma
Meterpreter -> portfwd
- Cada vez disponible en más plataformas
Tuneliza a través de Meterpreter Session
Modulable cambiando de Scripts

42. Meterpreter Scripts
landiscovery
portscan
MSF Meterpreter multirelay
ifconfig
portfwd

43. Escenario Final
Host A
M A
MSF B
Host B FW
C
Host C

44. landiscovery.rb

45. portscan.rb

46. multirelay.rb

47. DEMO
MultiRelay

48. WIN
MSF FW
LIN

49. Ventajas y Limitaciones
Ventajas:
- Mapeo automático
- Se pueden usar herramientas externas
- No requiere subir binarios
- No requiere privilegios
Limitaciones:
- No detecta nuevos puertos abiertos
- Requiere Discovery y PortScan local

50. Índice
Post-Explotación
Acceso No-Privilegiado
Relaying Clásico
Relaying 2.0
Route + Socks4a
Multi-Relaying
ToDo

51. ToDo
Mejorar el código Ruby
Mejorar el “Command Line Kung Fu”
Desarrollar nuevos módulos de Discovery y
PortScan más eficientes
Errores TargetLAN = LocalLAN
Esperar mejoras de Meterpreter...
¿Combinar con Socks4a?

52. Ficha MultiRelay
Autor: Jose Selvi
Version 0.1: Marzo 2011
Descarga:
- http://tools.pentester.es
- http://www.pentester.es
Quizá más adelante... ¿MSF?

53. ¡GRACIAS!
Jose Selvi
http://twitter.com/JoseSelvi
jselvi@s21sec.com jselvi@pentester.es
http://www.s21sec.com http://www.pentester.es