Learn | ETHICAL HACKING Online Training USA | ETHICAL HACKING Trainings
Ethical hacking 03
Transcript of Ethical hacking 03
Funcionamiento de la validación de credenciales• Las credenciales se encuentran en memoria, hay que
recordar que la contraseña nunca se encuentra en texto plano y si en formato hash, o en algunos casos en una codificación sencilla. Las credenciales son almacenadas
en el proceso LSASS.EXE, este proceso se encarga de administrar la autenticación de dominios de autoridad de seguridad local y el directorio activo.
Funcionamiento de la validación de credenciales• Para un proceso de suplantación de identidad se quiere sustituir las
credenciales en memoria por las que le interesa suplantar.• En la fase de inicio de sesión interactivo, el proceso
WINLOGON.EXE es el encargado de interceptar el proceso de
validación. Cuando se valida al usuario se produce la invocación de LSALogonUser para autenticar en la base de datos SAM (local o
remota), permitiendo crear la sesión si se autenticó correctamente.
Funcionamiento de la validación de credenciales• Esta información será utilizada por LAN Manager y
otros servicios cuando el usuario intente acceder a recursos remotos, objetos locales y al utilizar sus privilegios.
PoC: Llegando mas lejos gracias a la suplantación de identidades• El escenario que se propone en esta prueba de concepto es el
de un auditor que se encuentra en la fase de post-explotación, ya que ha conseguido acceso a una maquina de la red de la empresa que esta auditando. La maquina vulnerada no es una maquina, aparentemente, relevante, pero al parecer varios de los usuarios que se encuentran en dicha maquina también existen en otras maquinas de la red.
PoC: Llegando mas lejos gracias a la suplantación de identidades• A continuación se dan más detalles del escenario:
• El auditor dispone de una maquina con Kali, Bactrack, BackBox
o Buqtraq o cualquier otra maquina de esta índole en
seguridad.
• La maquina vulnerada por el auditor tiene como sistema
operativo Windows XP SP3
• La maquina a la que se quiere acceder es un Windows 7
PoC: Llegando mas lejos gracias a la suplantación de identidades• El punto de partida es la sesión de Meterpreter que
tiene el auditor en la maquina vulnerada de Windows XP SP3. mediante el uso del comando hashdump se puede obtener el listado de usuarios con los hashes LM y NTLM.