Mire la seguridad del servidor de archivos de Windows con ojos de hacker (1)

El rol del servidor de archivos de Windows en la red es crítico. Alojan archivos confidenciales, bases de datos, contraseñas y más. Cuando el servidor de archivos se cae, es probable que la red se avergüence. Si se destruyen, es equivalente a abrir la Caja de Pandora.
El siguiente es un caso real de un servidor de archivos atacado por el autor. Comparta con usted lo que sucedió y cómo se explotaron estas vulnerabilidades para comprometer el sistema, todo desde la perspectiva de un pirata informático. Esto le ayudará a obtener más información sobre cómo se ven las vulnerabilidades del sistema en las noticias y cómo entender los problemas de seguridad en combinación con situaciones específicas. Le ayudará a detectar la seguridad de su servidor desde una nueva perspectiva. No sabrá todo. Los problemas de seguridad son insondables.

Paso 1: descubra un parche que no está instalado

Instale todas las actualizaciones de seguridad importantes que conozca sobre Microsoft y escanee con mis herramientas favoritas de detección de vulnerabilidades. Encontrarás que debe haber una vulnerabilidad que puede ser atacada.

A menudo encontrará que la mayoría de las vulnerabilidades de seguridad del servidor de archivos de Windows están causadas por el olvido de instalar parches, que a menudo causan ataques dentro de la red. Gran parte de esto se debe al hecho de que muchas redes no implementan sistemas de protección contra intrusiones internamente: todas las conexiones internas son confiables. Si hay delincuentes en su empresa que intentan controlar su servidor de Windows, será una molestia.

Veamos la perspectiva de un atacante interno para ver cómo se descubrió una vulnerabilidad que olvidó golpear el parche de Windows. Todo lo que necesita es una conexión de red interna y varias herramientas de seguridad que se pueden descargar de forma gratuita: NeXpose Community edition y Metasploit.

Estos son los pasos específicos:

Los usuarios con malas intenciones escanean la red instalando NeXpose, o una serie de servidores importantes que él conoce, para detectar vulnerabilidades.

Luego descubrió que una vulnerabilidad de MS08-067 en un servidor de archivos permitía ejecutar 'código arbitrario', lo que parece un poco ridículo.

Luego, el usuario puede ingresar a la página de la lista de verificación de Metasploit para ver la vulnerabilidad.

Luego descarga e instala Metasploit, agrega algunos parámetros y luego crea comandos que le dan acceso completo a su servidor, como se muestra a continuación.

Figura 1. Verificar Metasploit MS08-067 vulnerabilidad

1

Esto está relacionado con el sistema Windows y vulnerable La aplicación se puede repetir una y otra vez, incluso si no la comprendes en absoluto. Piense en lo terrible que puede ser esto: elimine archivos, copie bases de datos SAM de respaldo y archivos confidenciales, agregue /elimine usuarios, y más. Si tiene un servidor en la red pública para acceso público pero no tiene protección de firewall, puede ocurrir el mismo tipo de ataque a través de INTERNET.

También es importante recordar que las conexiones de red mencionadas anteriormente se pueden obtener a través de una red inalámbrica insegura. Un ejemplo común es la capacidad de conectarse directamente a su red a través de un punto de acceso inalámbrico que originalmente se proporcionó al dispositivo de escaneo en el almacén. Ya sea que utilicen WEP, WPA u otro cifrado para garantizar la seguridad de estos dispositivos de escaneo, cualquier dispositivo que se encuentre dentro de una cierta distancia (generalmente en su estacionamiento o al lado del edificio) puede acceder a usted fácilmente. La red lanzó así un ataque.

Paso 2: rastrear la red para obtener información útil

Hablando de redes inalámbricas inseguras, los atacantes alienígenas maliciosos se cuelan en su red para obtener información confidencial, generalmente utilizando un análisis de redes inalámbricas. Herramientas como CommView para WiFi o AirMagnet WiFi Analyzer. Además, si un atacante puede obtener una conexión física a su red (o un usuario de confianza), puede usar herramientas para realizar ataques ARP, lo que le permite penetrar en el control de "seguridad" de Ethernet y obtener de usted. Consigue lo que quiera en la red.

¿Por qué tienes que hacer esto cuando atacas un servidor de archivos? Sencillamente, un atacante puede obtener fácilmente una contraseña a través de los diálogos de autenticación de SMB, POP3, WEB, FTP y Windows y luego utilizarla como un enlace directo ilegal para acceder a su servidor de archivos.

Figura 2. Usar una herramienta como Cane% Abel puede ser fácil o con contraseña

En la segunda mitad de este artículo, le mostraremos cómo obtener archivos confidenciales y cómo afecta indirectamente al servidor de archivos. Los pasos de un ataque seguro.