Ataques a RDP
Última actualización
¿Te fue útil?
Última actualización
¿Te fue útil?
es un protocolo desarrollado por Microsoft que proporciona al usuario una interfaz gráfica para conectarse a otra computadora a través de una conexión de red. También es una de las herramientas de administración más populares, que permite a los administradores de sistemas controlar de forma centralizada sus sistemas remotos con la misma funcionalidad que si estuvieran en el sitio. Además, los proveedores de servicios gestionados (MSP) suelen utilizar la herramienta para gestionar cientos de redes y sistemas de clientes.
Desafortunadamente, si bien RDP facilita enormemente la administración remota de sistemas de TI distribuidos, también crea otra puerta de entrada para los ataques.
De forma predeterminada, RDP utiliza el puerto TCP/3389. Usando Nmap, podemos identificar el servicio RDP disponible en el host de destino:
Dado que RDP toma las credenciales del usuario para la autenticación, un vector de ataque común contra el protocolo RDP es el bruteforce de contraseñas. Aunque no es habitual, podríamos encontrarnos con un servicio RDP sin contraseña si hay una mala configuración.
Una advertencia sobre la adivinación de contraseñas en instancias de Windows es que se debe considerar la política de contraseñas del cliente. En muchos casos, una cuenta de usuario se bloqueará o deshabilitará después de una cierta cantidad de intentos fallidos de inicio de sesión. En este caso, podemos realizar una técnica específica para adivinar la contraseña llamada Password Spraying. Esta técnica funciona intentando una única contraseña para muchos nombres de usuario antes de probar con otra contraseña, teniendo cuidado de evitar el bloqueo de la cuenta.
Usando la herramienta , podemos realizar un ataque de Password Spraying contra el servicio RDP. Como ejemplo a continuación, la contraseña password123 se probará con una lista de nombres de usuario en el archivo usernames.txt. El ataque encontró credenciales válidas como administrator: password123 en el host RDP de destino.
También podemos utilizar Hydra para realizar un ataque de Password Spraying.
Podemos realizar RDP en el sistema de destino utilizando rdesktop o xfreerdp con credenciales válidas.
Imaginemos que logramos acceder a una máquina y tenemos una cuenta con privilegios de administrador local. Si un usuario está conectado a través de RDP a nuestra máquina comprometida, podemos secuestrar la sesión de escritorio remoto del usuario para escalar nuestros privilegios y suplantar la cuenta. En un entorno de Active Directory, esto podría dar lugar a que tomemos el control de una cuenta de administrador de dominio o aumentemos nuestro acceso dentro del dominio.
Como se muestra en el siguiente ejemplo, iniciamos sesión como el usuario juurena (ID de usuario = 2) que tiene privilegios de Administrator. Nuestro objetivo es secuestrar la sesión del usuario lewen (ID de usuario = 4), que también inició sesión a través de RDP.
Para ejecutar el comando, podemos iniciar el servicio sessionhijack:
Una vez iniciado el servicio aparecerá un nuevo terminal con la sesión del usuario lewen. Con esta nueva cuenta, podemos intentar descubrir qué tipo de privilegios tiene en la red, y tal vez tengamos suerte y el usuario sea miembro del grupo de la mesa de ayuda con derechos de administrador para muchos hosts o incluso un administrador de dominio. .
Nota: este método ya no funciona en Windows Server 2019.
Es posible que queramos acceder a aplicaciones o software instalados en el sistema Windows de un usuario que solo está disponible con acceso GUI durante una prueba de penetración. Si tenemos credenciales en texto plano para el usuario objetivo, no habrá ningún problema para ingresar RDP al sistema.
Hay algunas advertencias sobre este ataque:
Restricted Admin Mode, que está deshabilitado de forma predeterminada, debe estar habilitado en el host de destino; de lo contrario, se nos solicitará el siguiente error:
Esto se puede habilitar agregando una nueva clave de registro DisableRestrictedAdmin(REG_DWORD) en HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa.
Se puede hacer usando el siguiente comando:
Una vez agregada la clave de registro, podemos usar xfreerdp con la opción /pth para obtener acceso RDP:
Si funciona, ahora iniciaremos sesión a través de RDP como el usuario objetivo sin conocer su contraseña en texto plano.
Tenga en cuenta que esto no funcionará en todos los sistemas Windows que encontremos, pero siempre vale la pena intentarlo en una situación en la que tengamos un hash NTLM, sepamos que el usuario tiene derechos RDP en una máquina o conjunto de máquinas, y el acceso a la GUI sería beneficioso. ayudarnos de alguna manera a cumplir el objetivo de nuestra evaluación.
Si la técnica anterior falla podemos hacer el Pass the Hash con PsExec para ganar una shell:
Accede por RDP y busca la manera de elevar tus privilegios. Después accede como administrador y lee la flag del escritorio.
Accedemos correctamente y encontramos un archivo que contiene las credenciales de un usuario administrador:
Tenemos el acceso restringido por Pass the Hash, por lo que vamos a conectarnos de nuevo y añadir el registro:
Una vez habilitado el registro, vamos a hacer el Pass the Hash con el usuario administrator:
Y buuum! Conseguimos acceder correctamente y obtenemos la flag en el escritorio 🏆
Para hacerse pasar por un usuario sin su contraseña, necesitamos tener privilegios SYSTEM y usar el binario que permite a los usuarios conectarse a otra sesión de escritorio. Funciona especificando la SESSION ID( 4para la sesión de lewen en nuestro ejemplo). Nos gustaría conectarnos a la sesión ( rdp-tcp#13que es nuestra sesión actual). Entonces, por ejemplo, el siguiente comando abrirá una nueva consola dentro del SESSION_ID de nuestra sesión RDP actual:
Si tenemos privilegios de administrador local, podemos utilizar varios métodos para obtener privilegios SYSTEM, como por ejemplo o . Un truco simple es crear un servicio de Windows que, de forma predeterminada, se ejecutará en Local System y ejecutará cualquier binario con privilegios SYSTEM. Usaremos el binario . Primero, especificamos el nombre del servicio ( sessionhijack) y el binpath, que es el comando que queremos ejecutar. Una vez que ejecutemos el comando query user se creará un servicio llamado sessionhijack
Sin embargo, ¿qué pasa si solo tenemos el hash NT del usuario obtenido de un ataque de volcado de credenciales como la base de datos , y no podemos descifrar el hash para revelar la contraseña en texto plano? En algunos casos, podemos realizar un ataque RDP PtH para obtener acceso GUI al sistema de destino utilizando herramientas como xfreerdp.
