👾Ataques a RDP
Remote Desktop Protocol (RDP) es un protocolo desarrollado por Microsoft que proporciona al usuario una interfaz gráfica para conectarse a otra computadora a través de una conexión de red. También es una de las herramientas de administración más populares, que permite a los administradores de sistemas controlar de forma centralizada sus sistemas remotos con la misma funcionalidad que si estuvieran en el sitio. Además, los proveedores de servicios gestionados (MSP) suelen utilizar la herramienta para gestionar cientos de redes y sistemas de clientes.
Desafortunadamente, si bien RDP facilita enormemente la administración remota de sistemas de TI distribuidos, también crea otra puerta de entrada para los ataques.
De forma predeterminada, RDP utiliza el puerto TCP/3389. Usando Nmap, podemos identificar el servicio RDP disponible en el host de destino:
afsh4ck@kali# nmap -Pn -p3389 192.168.2.143
Host discovery disabled (-Pn). All addresses will be marked 'up', and scan times will be slower.
Starting Nmap 7.91 ( https://nmap.org ) at 2021-08-25 04:20 BST
Nmap scan report for 192.168.2.143
Host is up (0.00037s latency).
PORT STATE SERVICE
3389/tcp open ms-wbt-serverConfiguraciones erróneas
Dado que RDP toma las credenciales del usuario para la autenticación, un vector de ataque común contra el protocolo RDP es el bruteforce de contraseñas. Aunque no es habitual, podríamos encontrarnos con un servicio RDP sin contraseña si hay una mala configuración.
Una advertencia sobre la adivinación de contraseñas en instancias de Windows es que se debe considerar la política de contraseñas del cliente. En muchos casos, una cuenta de usuario se bloqueará o deshabilitará después de una cierta cantidad de intentos fallidos de inicio de sesión. En este caso, podemos realizar una técnica específica para adivinar la contraseña llamada Password Spraying. Esta técnica funciona intentando una única contraseña para muchos nombres de usuario antes de probar con otra contraseña, teniendo cuidado de evitar el bloqueo de la cuenta.
Usando la herramienta Crowbar , podemos realizar un ataque de Password Spraying contra el servicio RDP. Como ejemplo a continuación, la contraseña password123 se probará con una lista de nombres de usuario en el archivo usernames.txt. El ataque encontró credenciales válidas como administrator: password123 en el host RDP de destino.
afsh4ck@kali# cat usernames.txt
root
test
user
guest
admin
administratorCrowbar - Password Spraying de RDP
También podemos utilizar Hydra para realizar un ataque de Password Spraying.
Hydra - Password Spraying de RDP
Podemos realizar RDP en el sistema de destino utilizando rdesktop o xfreerdp con credenciales válidas.
Iniciar sesión en RDP
Ataques específicos de protocolo
Imaginemos que logramos acceder a una máquina y tenemos una cuenta con privilegios de administrador local. Si un usuario está conectado a través de RDP a nuestra máquina comprometida, podemos secuestrar la sesión de escritorio remoto del usuario para escalar nuestros privilegios y suplantar la cuenta. En un entorno de Active Directory, esto podría dar lugar a que tomemos el control de una cuenta de administrador de dominio o aumentemos nuestro acceso dentro del dominio.
Secuestro de sesión RDP
Como se muestra en el siguiente ejemplo, iniciamos sesión como el usuario juurena (ID de usuario = 2) que tiene privilegios de Administrator. Nuestro objetivo es secuestrar la sesión del usuario lewen (ID de usuario = 4), que también inició sesión a través de RDP.
Para hacerse pasar por un usuario sin su contraseña, necesitamos tener privilegios SYSTEM y usar el binario tscon.exe que permite a los usuarios conectarse a otra sesión de escritorio. Funciona especificando la SESSION ID( 4para la sesión de lewen en nuestro ejemplo). Nos gustaría conectarnos a la sesión ( rdp-tcp#13que es nuestra sesión actual). Entonces, por ejemplo, el siguiente comando abrirá una nueva consola dentro del SESSION_ID de nuestra sesión RDP actual:
Si tenemos privilegios de administrador local, podemos utilizar varios métodos para obtener privilegios SYSTEM, como por ejemplo PsExec o Mimikatz . Un truco simple es crear un servicio de Windows que, de forma predeterminada, se ejecutará en Local System y ejecutará cualquier binario con privilegios SYSTEM. Usaremos el binario Microsoft sc.exe . Primero, especificamos el nombre del servicio ( sessionhijack) y el binpath, que es el comando que queremos ejecutar. Una vez que ejecutemos el comando query user se creará un servicio llamado sessionhijack
Para ejecutar el comando, podemos iniciar el servicio sessionhijack:
Una vez iniciado el servicio aparecerá un nuevo terminal con la sesión del usuario lewen. Con esta nueva cuenta, podemos intentar descubrir qué tipo de privilegios tiene en la red, y tal vez tengamos suerte y el usuario sea miembro del grupo de la mesa de ayuda con derechos de administrador para muchos hosts o incluso un administrador de dominio. .
Nota: este método ya no funciona en Windows Server 2019.
RDP Pass the Hash (PtH)
Es posible que queramos acceder a aplicaciones o software instalados en el sistema Windows de un usuario que solo está disponible con acceso GUI durante una prueba de penetración. Si tenemos credenciales en texto plano para el usuario objetivo, no habrá ningún problema para ingresar RDP al sistema.
Sin embargo, ¿qué pasa si solo tenemos el hash NT del usuario obtenido de un ataque de volcado de credenciales como la base de datos SAM , y no podemos descifrar el hash para revelar la contraseña en texto plano? En algunos casos, podemos realizar un ataque RDP PtH para obtener acceso GUI al sistema de destino utilizando herramientas como xfreerdp.
Hay algunas advertencias sobre este ataque:
Restricted Admin Mode, que está deshabilitado de forma predeterminada, debe estar habilitado en el host de destino; de lo contrario, se nos solicitará el siguiente error:
Esto se puede habilitar agregando una nueva clave de registro DisableRestrictedAdmin(REG_DWORD) en HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa.
Se puede hacer usando el siguiente comando:
Agregar la clave de registro DisableRestrictedAdmin
Una vez agregada la clave de registro, podemos usar xfreerdp con la opción /pth para obtener acceso RDP:
Si funciona, ahora iniciaremos sesión a través de RDP como el usuario objetivo sin conocer su contraseña en texto plano.
Tenga en cuenta que esto no funcionará en todos los sistemas Windows que encontremos, pero siempre vale la pena intentarlo en una situación en la que tengamos un hash NTLM, sepamos que el usuario tiene derechos RDP en una máquina o conjunto de máquinas, y el acceso a la GUI sería beneficioso. ayudarnos de alguna manera a cumplir el objetivo de nuestra evaluación.
Impacket-PsExec
Si la técnica anterior falla podemos hacer el Pass the Hash con PsExec para ganar una shell:
Caso práctico
Accede por RDP y busca la manera de elevar tus privilegios. Después accede como administrador y lee la flag del escritorio.
Acceso cómo usuario
Accedemos correctamente y encontramos un archivo que contiene las credenciales de un usuario administrador:
Acceso cómo administrador
Tenemos el acceso restringido por Pass the Hash, por lo que vamos a conectarnos de nuevo y añadir el registro:
Una vez habilitado el registro, vamos a hacer el Pass the Hash con el usuario administrator:
Y buuum! Conseguimos acceder correctamente y obtenemos la flag en el escritorio 🏆
Última actualización
¿Te fue útil?