Pentesting-Pruebas de Intrusión

Fase Técnica: Explotación

-- Ganando Acceso--
Pentesting-Pruebas de Intrusión
Importante!!!, es casi improbable
realizar una labor de explotación
(hackeo) a un host, sin que esto
conlleve a técnicas de post
explotación (Post Hacking)
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Terminología y conceptos base:

Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Ganando Acceso):

Definición: Es una fase de acceso al sistema (Hackeo) y consiste en
aprovecharse de una debilidad informática previamente identificada en
un host (Servidores, estación de trabajo, dispositivos de red, dispositivos
Móvil).
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Acceso):
Actividades Técnicas: Cada fase del ciclo de auditoria técnica del tipo
Pentesting, incluye la ejecución de actividades y el uso de herramientas
Informáticas (Software). Aquí algunas técnicas básicas e iniciales,
aplicadas dentro de la fase de Explotación:
 Conectarse a un servicios de red vulnerable
 Inyección de una Shell-code
 Inyección de un código Payload
 Lanzar código exploit para aprovechar una debilidad informática
 Denegación de Servicios
 Control Remoto de un host
 Posesión (Adueñarse) de un equipo
 Ingeniería social aplicada
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:
Explotación (Acceso):
Actividades Técnicas: regla Importante!! No se puede explotar (Atacar-
Hackear) lo que no se ve!!!!

4-Se Post
1-Puertos
explota el
Abierto
puerto

3-Se
2-Debilidad
explota el
en el puerto
puerto
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Acceso):
Fases previas dependientes: Cada fase del ciclo de auditoria técnica del
tipo Pentesting, depende de fases previas, y se proyecta a fases y pruebas
técnicas de auditoria posteriores. La fase de Explotación tiene cierta
dependencia de:
 Resultados obtenidos en las fases de análisis de vulnerabilidades e
identificación de puertos
 Resultados obtenidos con software de análisis automatizados de
vulnerabilidades como NESSUS, OPENVAS, NEXPOSE, entre otros.
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Acceso):
Fases posteriores (Proyectadas): Cada fase del ciclo de auditoria técnica
del tipo Pentesting, se proyecta y-o complementa con fases y pruebas
técnicas de auditoria posteriores. La fase de Explotación se proyecta con:
 Post explotación de vulnerabilidades en servicios de red enumerados
vulnerabilidades a nivel de infraestructura y webapps
 Password Cracking
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Acceso):
Resultados esperados: Cada fase del ciclo del Pentesting, debe de
suministrar al auditor(a) de seguridad resultados específicos que puedan
ser usados para otras pruebas- Técnicas de auditoria, y además para
incluirlos en los reportes de auditoria. La fase de Explotación debe de
suministrar los siguientes resultados:
 Evidencias de vulnerabilidades criticas y-o altas explotadas en servicios
de red.
 Acceso y obtener control de un sistemas vulnerable (Sin importante
los privilegios de acceso)
 Causar una denegación de servicios
Fases y Técnicas aplicadas en una prueba de Intrusión-Explotación:

Explotación (Acceso):
Riesgos (Risk): Algunas pruebas de auditoria incluidas y ejecutadas
dentro de un PenTesting y-o Hacking ético, puede incluir riesgos asicadas
a la disponibilidad, confidencialidad e integridad de la información que se
transporta , procesa y almacena en los sistemas de información de una
infraestructura tecnológica auditada.
Para el caso de la fase de Explotación, y sus respectivas técnicas y uso
de herramientas, representan RIESGO ALTOS, en temas asociados a
delitos y-o acciones ilícitas usando las tecnologías de la Información y en
temas de exposición de información sensible y disponibilidad de
información.
Explotación de Vulnerabilidades “Riesgos“

El proceso de explotación puede tener algunos riesgos, los cuales son

inherentes, y deben de ser estimados y analizados por parte del equipo
de auditores de seguridad (PenTesters).
 Caídas de servicios (Parcial)
 Caídas del sistema (Full- Total server o telecomunicaciones)
 Denegación de servicios (Perdidas de disponibilidad)
 Impactos en la estabilidad y rendimiento (Performance) del sistema
evaluado
 Perdidas de confidencialidad e integridad en datos
 Exposición de información confidencial
Anotación de interés: Teniendo presente que los anteriores riesgos hacen parte de
la evaluación de seguridad, estos deben de registrarse de forma clara en las reglas
definidas entre el cliente y el auditor antes de realizar las pruebas de seguridad.

© www.dsteamseguridad.com
Pentesting-Pruebas de Intrusión

Fase Técnica: Explotación-Concepto

ESCENCIALES
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Que se puede explotar”

Qué se puede explotar o atacar? De forma similar y/o secuencial al

análisis de vulnerabilidades, se puede realizar explotación a
Servidores, estaciones de trabajo, Switches, Routers, aplicaciones
web, servicios de red, una base de datos, dispositivos móviles, a las
personas entre otros.

Al ser humano!!

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Definición de Exploit: Un Exploit es un mecanismo o técnica que se

aprovecha de una debilidad o una brecha de seguridad. También es
entendido como un código, método o vía, que permite a un atacante
informático y/o a un auditor de seguridad, explotar una vulnerabilidad
conocida, para poder comprometer la seguridad de un sistema
informático, y tomar posesión y control de este.

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Un exploit (Código) es diferente de una

labor de explotar (Explotación de una
debilidad)

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Ejemplo código Exploit (A nivel de Software):

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Componentes de un Exploit”
Componentes base de un Exploit desde la óptica de un proceso de
explotación (Framework): Un Exploit esta dividido en dos partes:

PAYLOAD CÓDIGO (Exploit)

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Definición de Payload: Un código Payload, es la porción de código

(MALWARE) en una labor de explotación que tiene como objetivo ejecutar
una acción concreta y maliciosa en el sistema victima (Auditado). En la
mayoría de los casos el código Payload se usa (Inyecta) para obtener una
acción concreta y-o una conexión entre el atacante y la victima. Algunos
ejemplos del accionar de un Payload, seria la conexión a la victima por
medio de una Shell de comandos como cmd.exe por ejemplo, o conectarse
a la victima usando el protocolo VNC. Un Payload también puede verse
representado como una serie de acciones o comandos que se ejecutan en
el sistema victima.

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Definición de Payload:

 Los payloads pueden programarse y-o codificarse en diferentes

sistemas operativos.
 Los payloads se estructuran en tecnologías y arquitecturas
(Windows, Linux *BSD) (X86 X64).
 Los payloads pueden ser registrados por los sistemas de defensa
como porción de código malicioso (MALWARE)

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Qué es un Exploit”

Ejemplo código de Payload:

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Ataque al Sistema”

Clases de Exploit: En lo que respecta a la ejecución de Código de

forma arbitraria, se tienen dos modalidades de Exploit

Exploit Local: Es ejecutado de forma local, y

uno de sus principales objetivos, es escalar
privilegios.

Exploit Remoto: Es ejecutado desde un equipo

atacante, hacia el equipo victima, muy comúnmente
ejecutado vía Internet. De forma remota el atacante
se posiciona del equipo objetivo y muy posiblemente
de los equipos que tenga visibilidad desde este.
© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Ataque al Sistema”
Lado de Impacto de un Exploit: Según el lado donde tenga impacto un
Exploit, este puede ser:
En lo que respecta al lugar donde el impacto del ataque , se pueden
tener dos modalidades:
Server Side: Es el tipo de explotación mas común, y
consiste en aprovecharse de una debilidad de una
aplicación y/o servicio de red que es accesible de
forma directa y no requiere de la intervención de un
tercero (usuario-administrador-operador).
Cliente Side: Tiene como objetivo explotar la
vulnerabilidad en el lado del cliente, aprovechándose de
las debilidades de uno de los eslabones mas débil en la
cadena de la seguridad de la información, como lo es “El
usuario Final”. Esta tipo de explotación requiere de la
intervención del usuario. © www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Ataque al Sistema”

BIND SHELL- : Es una Shell que funciona de forma directa entre un

equipo local y otro remoto , ya que no hay en el equipo remoto un
Router o Dispositivo que haga NAT.

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Ataque al Sistema”

REVERSE SHELL- : Es utilizado cuando se tiene en medio algún

dispositivo de Enrutamiento que esta haciendo NAT, por lo que se
hace necesario que sea el cliente, quien llame o abra la conexión con
el servidor.

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Exploit 0-Zero Day”

Un Exploit o ataque de día cero, es un código de explotación que tiene

una característica muy particular, y es que puede explotar vulnerabilidades
que aun no han sido reportadas, corregidas, ni se han liberado parches por
parte de los fabricantes del software o producto vulnerable. Un exploit de
este tipo es considerado altamente peligroso, y genera un impacto
representativo como posible amenaza tecnológica, además es un gran
negocio en el mercado negro de los códigos de explotación.

Mas Información en:

http://es.wikipedia.org/wiki/Ataque_de_d%C3%ADa_cero

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Bases de datos de Exploits”

Donde encontrar códigos exploit (Explotación) para objetivos y propósitos

educativos.

searchsploit
https://www.exploit-db.com/

https://es.0day.today/ https://packetstormsecurity.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Ataque al Sistema”

Herramientas utilizadas durante la fase de Explotación: Algunas de

las herramientas importantes en esta fase son las siguientes

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Métodos de Explotación”

Formas de realizar un procesos de explotación:

Explotación Automatizada
Explotación Manual
(Frameworks de Explotación, Compilar
(Línea de comandos Kung-Fu)
códigos, Herramientas de apoyo)

Combinando Fuerzas
© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Demostraciones practicas”

DEMOS.
 Explotación automatizada server side a Windows
 Explotación automatizada server side a Linux
 Explotación remota
 Explotación local
 Shells-payloads directas y reversas
 Explotación manual a un router
 Explotación combinada
 Ataque de negación de servicios a RDP- (2008 server)
 Infección de Ransomware (Manual, dirigido y controlado)
 Ataque del lado cliente (win 10-7)
Los demos se van completando a medida de los avances de las clases del
módulo d explotación.
© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Demostraciones practicas”

TIPS y recomendaciones pruebas de intrusión en un entorno real (NO

CTF- No labs).

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Explotación de Vulnerabilidades “Demostraciones practicas”

TIPS y recomendaciones pruebas de intrusión en un entorno real (NO

CTF- No labs).

 Excluir y-o no auditar (Atacar) equipos de computo que no están

incluidos dentro del alcance del Pentesting (Excepto que se ha
pactado lo contrario con el cliente en los acuerdos de niveles de
servicios).
 Realizar ejecución de explotación de servidores en horas no
laborales (Es ideal).
 Recomendado (Mas no mandatorio) que el auditor(a) pentester
diseñe un entorno virtualizado similar al del cliente de forma previa,
para ver funcionamiento y monitoreo de consecuencias y labores de
explotación)

© www.dsteamseguridad.com
 Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -

+
Importante el manejo de estas dos
herramientas!!

© www.dsteamseguridad.com