Escenario

¿Alguna vez ha oído hablar de cómo alguien fue capaz de conectarse a una impresora compartida y más tarde obtener el privilegio de administrador de esa máquina?  Bueno, los atacantes pueden usar la técnica que Stuxnet para obtener privilegios para los servidores Windows XP y Windows 2003 que comparten impresoras.  Esta lección proporcionará (1) el reconocimiento para ver esta vulnerabilidad potencial, (2) realizar la explotación, y (3) cómo recoger los archivos forenses para una investigación posterior.

¿Qué es Helix?

Helix es una distribución personalizada del CD de Knoppix Live Linux. Se centra en la respuesta de incidentes y la informática forense.  Helix es algo más que un CD de arranque en vivo. Con Helix puedes arrancar en un robusto entorno Linux que incluye (1) un kernel Linux personalizable, (2) excelente detección de hardware y (3) muchas aplicaciones dedicadas a la respuesta de incidentes y forenses.

¿Qué es la vulnerabilidad de suplantación del servicio de cola de impresión de Microsoft?

El módulo ms10_061_spoolss explota la vulnerabilidad de suplantación de servicios RPC (cola de impresión). Al realizar una solicitud RPC específica de DCE al procedimiento StartDocPrinter, un atacante puede suplantar el servicio de cola de impresión para crear un archivo.

El directorio de trabajo en ese momento es %SystemRoot%system32. Un atacante puede especificar cualquier nombre de archivo, incluyendo rutas transversales o completas de directorios. Al enviar solicitudes WritePrinter, un atacante puede controlar completamente el contenido del archivo creado.

Referencias

• http://www.osvdb.org/67988
• http://cvedetails.com/cve/2010-2729/
• http://www.microsoft.com/technet/security/bulletin/MS10-061.mspx

Requisitos para hacer esta practica

• Maquina XP
• Kali

Post requisitos

• Volatility

Que haremos en esta practica

• Descargar Helix2008R1
• Realizar escaneo de NMAP NetBios y RPC
• Realizar reconocimiento de acciones de NetBios
• Utilizar el módulo Metasploit ms10_061_spoolss para conectarse a la víctima
• Recopilar archivos forenses básicos
• Realizar capturas de memoria forense remota con Helix
• Descargar archivos forenses básicos

Lo primero que tenemos que hacer es navegar a la siguiente URL HELIX y descargar el archivo en el windows xp

Abrimos Windows XP y añadimos una impresora, puede ser Canon, HP…