Buenas noches
Hoy en SecurityTwins te traemos la tercera y última parte de la serie de publicaciones que trata sobre Meterpreter
Bien, comenzamos.
Vamos a seguir por donde lo dejamos en la anterior publicación, quiero que tengas en cuenta que para realizar las siguientes acciones deberás de subir los privilegios de la máquina que ya tienes vulnerada, aquí te dejo un enlace a una publicación anterior donde realizamos ejemplos para realizar esta operación.
Sigamos por el grupo de comandos que nos permitirá trabajar sobre los propios privilegios del equipo de la víctima, esto tres se subdividen en tres grupos.
Utilizaremos el comando getsystem para realizar la subida de privilegios de nuestra consola con meterpreter
Ahora lo que haremos será introducir esta instrucción para poder elevar nuestros privilegios.
Como se puede observar la operación ha fallado y es porque no la sesión que tenemos abierta no tiene privilegios, te remito al siguiente artículo para poder darle privilegios a la sesión.
Con los privilegios subidos y con getuid podremos ver los que tenemos actualmente, que son los de un usuario normal y corriente y con getsystem podremos elevarlos.
Ahora, acciones que con anterioridad no podíamos hacer como por ejemplo la de migrar nuestro servicio ahora si podremos hacerlo.
Como se puede observar la operación ahora si ha tenido éxito, y se ha migrado al servicio de explore.exe con PID 8228.
También quiero avisar que en el momento que queramos poner en segundo plano esta sesión con privilegios, estos se perderán y para recuperarlos tendremos que repetir toda la operación anterior.
Con la siguiente instrucción podremos sacar todos los hashes que están almacenados en el archivo SAM de Windows
Como se puede observar en la imagen de abajo, si se ha podido conseguir los hashs, pero para poder llegar hasta aquí, nosotros tendríamos a haber migrado a un servicio que nos permite realizar esta operación con éxito.
Si no, nos encontramos en el servicio correcto no podremos realizar esta operación, por lo que nos saldría el siguiente fallo.
Yo, para que esto funcionara he tenido que migrar al servicio 2708 que pertenece a *svchost.exe
Pero cuando vemos todos los servicios que tiene la máquina vulnerada, encontraremos más de uno con svchost.exe por lo que para escoger el correcto nos tendremos que fijar en los privilegios del proceso al que no queremos cambiar.
Porque si nos cambiamos a otro proceso, cogeremos las credenciales de ese proceso y si no tiene los de administrador, estos los perderemos y tendríamos que realizar la operación de subida de privilegio de nuevo.
Con la siguiente herramienta, Meterpreter nos ofrece la oportunidad de ver información sobre un documento, pero con esto no me refiero a su contenido, si no a el mismo, como por ejemplo la fecha de modificación, la última vez que se escribió, entre más opciones
Hasta aquí esta documentación y todo lo que tiene que ver con Meterpreter (por el momento), como se puede observar, esta payload tiene una gran potencia por lo que te recomiendo que veas el siguiente artículo donde te muestro una forma de detectar a este pequeño “cabroncete”.
SecurityTwins no se hace responsable del uso que se le dé a esta información, esta solo tiene un fin didáctico
Solo me queda deciros. Sed Buenos 😉