 Autor
|
Tema: Bloqueo selectivo de webs - UltraSurf no funciona (Leído 10,578 veces)
|
AsimoJMSR
 Desconectado
Mensajes: 193
|
De todas maneras prueba a ver si puedes hacer una esacalada a SYSTEM (cuenta Local) con "at" o similar. Es solo para ver si se han seteado los filtros por user.
Saludos. La verdad es que no tengo conocimientos tan avanzados como los tuyos, de manera que todo esto que he citado arriba no lo entiendo para nada. ¿Qué es hacer una escalada a System? ¿Qué es setear los filtros por user? Lo del tunneling lo veo demasiado complicado, aunque supongo que viable, fuera aparte de que tendría que dejar en mi casa mi ordenador encendido. Me has dejado dos enlaces que conducen a información relativa a productos Trend Micro, pero ninguno de ellos contiene información de Trend Micro Internet Security, que es el firewall-antivirus que se ejecuta en los ordenadores con acceso restringido a la web. ¿Me explico? De manera que gracias, pero no creo que siguiendo ese camino vaya a dar con la solución. El SO de estos ordenadores es Güindous XP, de manera que haciéndome con privilegios de administrador y matando el proceso correcto lo más probable es que el problema haya quedado solucionado, aunque la verdad es que es bastante engorroso, por no decir que los admins de las máquinas pueden cambiar la contraseña de administrador y el proceso habría que repetirlo de nuevo. ¿Hay alguna otra manera de matar procesos de sistema sin tener privilegios de administrador? Otra cosa que se me ocurre es borrar el proceso que restringe el acceso a la web (que lo más probable es que sea el tal *proxy*) del disco duro y reiniciar el equipo, de manera que cuando Güindows cargue ya no podrá ejecutarlo... También se me ocurre utilizar uno de estos programas que sirven para gestionar los programas que se inician automáticamente con Güindows. Habría que desactivar el inicio del proceso *proxy* y reiniciar el equipo. Pero hasta el lunes no puedo probar nada, así que toca esperar... Gracias por vuestras respuestas.
|
|
|
|
« Última modificación: 13 Febrero 2010, 11:37 por AsimoJMSR »
|
En línea
|
|
|
|
|
TRICKY
|
Que tal?
Bueno primero ante todo, no hace falta tener muchos conocimientos para poder escalar hacia la cuenta Local System. Recientemente salio un ejecutable (esta por Hacking Avanzado creo...) que hace eso mismo con tan solo ejecutarlo (si el sistema no esta parcheado que no lo creo).
Lo de los filtros por user es que a veces, con productos Tren Micro (creo) puedes hacer filtros basados en hostnames, usernames.. por ello que si escalas a System podras, en teoria, tener todo lo necesario si ese fuera el contexto.
Los links que te pase no son para Tren Micro Internet Security, pero mucho me temo, por lo poco que lei, que todos los productos de Tren Micro usen el mismo modulo de Url Filtering: Google
intitle:trend micro url filtering
Al ser un "modulo" es lo que supongo, asi que esos links te hubieran servido igualmente.
Como te han dicho los procesos que no pertenezcan a tu mismo user id, no los vas a poder matar a priori. Los procesos son entidades activas que se activan, valga la redundancia bajo un user id, aparte de otros atributos, por defecto.
Por seguridad solo el usuario o grupo de usuarios con el mismo user id O con mas privilegios puede matar procesos que conciernan a determinado user id. De ello lo que se te explica.
Saludos.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
¿Qué significa escalar hacia la cuenta Local System?
¿Qué es un módulo de URL filtering?
Gracias.
|
|
|
|
|
En línea
|
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
Ya está, el proceso se llama TmProxy.exe y su archivo asociado es TmProxy.exe también.
He intentado eliminar el archivo TmProxy.exe para que al reiniciar el equipo no se cargue, pero no me deja, me dice "acceso denegado".
He googleado un poco y la solución más certera que encontrado pasa por utilizar un programa llamado FreeFile, que sirve para eliminar ficheros que están bloqueados. Pero este programa te da, de un fichero, todos los procesos que lo están bloqueando para que así puedas matar esos procesos.
Evidentemente esta no es la solución, ya que no puedo matar el proceso TmProxy.exe, puesto que si pudiera el problema ya estaría solucionado.
¿Hay alguna forma de eliminar, bajo Windows, un archivo bloqueado por un proceso sin matar el proceso que lo está bloqueando?
Otra posible solución es limitar el inicio de TmProxy.exe. ¿Qué utilidad/es de gestión de los programas de inicio automático conoceis?
|
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
Bueno, te dira que esta bloqueado entre otras cosas porque esta siendo utilizado mientras windows esta encendido (mejor dicho, mientras el proceso este activo). Asi pues no podras borrarlo, piensa en el arhivo SAM y por que no puedes borrarlo mientras windows corre. El S.O lo esta usando y por ende no se puede borrar. Primero intentemos escalar a la cuenta System. Bajate este zip: http://downloads.securityfocus.com/vulnerabilities/exploits/37864.zipdescomprimelo y ejecuta el .exe. Una vez hecho eso te deberia de salir una ventana de cmd con privilegios de System (de eso se trata). Tras ello, ejecuta en esa ventana tasklist y despues usa taskkill para matar al/a los proceso(s) relevantes. Si quieres, desde esa misma ventana de cmd, pues ejecuta "taskmgr" para asi tener un taskmgr con privilegios de Local System. Si, todo proceso que ejecutes desde esa ventana va a tener privilegios de System. Prueba y cuenta. Saludos y Suerte.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
Muchas gracias.
Verás, lo primero, nada más descargar el archivo comprimido me salta el antivirus y automáticamente borra un archivo que detecta como troyano.
Lo segundo, cuando descomprimo el archivo, me dice que el CRC ha fallado en el archivo vdmexploit.c y que este archivo está corrupto.
Por último, veo que el programa no está compilado, como es habitual en los exploits... En el Readme dice que hay que compilarlo con Visual C++...
Nunca he compilado un exploit, de manera que: ¿tengo que compilarlo en la misma máquina en la que lo voy a usar? ¿Es fácil compilar con Visual C++? ¿Puedo compilarlo en Linux (que es donde yo sé compilar) y posteriormente ejecutarlo en la máquina objetivo?
Gracias de nuevo.
|
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
Hmmm...  No, lo que ha ocurrido es que el AV ha recnocido, gracias a la firma digital que tenga dicho AV de ese exploit.., el ejecutable como maligno. Al parecer ya se han actualizado las DBs de lso AVs para reconocer ese ejecutable como maligno. Lo que dices de compilarlo no deberia de ser viable. Por que? Primero, lo que importa, mas que compilarlo bajo GNU/Linux, MAC OSX .. es que si el code esta en ANSI C (esta en C no ??). De todas maneras no te deberia de servir, ya que una vez ejecutado el exploit las instrucciones de ese exploit iran a RAM, y el AV analizara la RAM y lo volvera a detectar como virus. Lo que necesitas quizas es otro modo de acceder a System. Has probado con el metodo de el comando "at" ?? Es un XP Pro no? Pues haz el truco. O sea, ve inicio-Ejecutar (esta activo no??) e introduces: at 18:52 /interact "cmd.exe" 18:52 es si tu hora local es 18:51, para dar algo de tiempo a que ejecutes el comando antes de que se cumpla la hora 18:52. Si (siendo ahora las 18:51) a las 18:52 no te sale una ventana de cmd es que no has tenido exito. Si si te sale pues vuelve, dentro de esa ventana, a hacer lo que te recomende de matar procesos en el hilo anterior. Bueno Saludos!
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
He probado lo que me has dicho. La ventana de línea de comandos salió. Intenté matar el proceso primero gráficamente mediante taskmgr, pero eso no funcionó. Luego intenté hacerlo mediante el siguiente comando: taskkill /IM TmProxy.exe /F Pero me salió un mensaje por la línea de comandos que decía: "acceso denegado". He probado a abrir una línea de comandos (inicio->todos los programas, etc...) en los ordenadores en los que es posible desactivar el bloqueo. Resulta que en estos ordenadores tengo privilegios de administrador y puede que en los otros (en los que tienen activado el bloqueo) también. El caso es que tras abrir la línea de comandos e introducir la misma orden que antes (en un ordenador en el que tengo privilegios de administrador) me vuelve a salir el mismo mensaje: "acceso denegado". ¡Saludos! |
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
Bueno, antes que adentrarnos en el registro o usar cacls y tal prueba algo. Prueba, con tus privilegios normales (si acceso a SYSTEM), a bajarte la aplicacion "process explorer": http://technet.microsoft.com/en-us/sysinternals/bb896653.aspxTras ello ejecutalo y prueba a matar el/los procesos con process explorer. Esto lo haras una vez ejecutado el programa, haciendo click derecho en el/los procesos adecuados y matandolos. Si esto no te funciona vuelve y di. Saludos. |
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
Me sigue dando acceso denegado.
He aprovechado para comprobarlo y, efectivamente, tal y como yo pensaba o suponía, en los ordenadores en los que no me es posible (por ahora) desactivar el filtro o el bloqueo de navegación tengo privilegios de administrador by the face.
¡Un saludo!
|
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
No eso suele ocurrir. Estas dentro del grupo Administradores para que tengas mas libertad de expresion !  Pero despues estas atado a una serie de filtrados y discapacidades como las que experimentas  Bueno no conseguistes matar el proceso con el cmd de System usanndo windows taskmgr y taskkill, y tampoco has podido con process explorer. Ahora prueba a lanzar una ventana de cmd cmo SYSTEM con lo de "at". Cuando te salga la ventana tipea services.msc Dentro de los Servicios prueba a parar/deshabilitar los que veas con nombres relevantes. Avisa como te va.. Saludos.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
Vale, mañana lo probaré. Solo una pregunta: si ya tengo privilegios de administrador, ¿de qué me sirve lanzar un terminal con el comando at? Es decir, ¿no podría ejecutar cmd.exe simplemente desde inicio->todos los programas->accesorios?
¡Un saludo!
|
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
Haz un "cacls" sobre el proceso (mira a ver si esta bajo system32, dir C:\windows\system32\Nombre_del_proceso O buscalo) y mira a ver si SYSTEM tiene F (Full) permisos. Normalmente con System tienes mas privilegios y puedes saltarte ciertas restricciones. Resulta util a veces dependiendo de lo que se quiera hacer..
Saludos.
(el cmd que te sale tiene permisos de SYSTEM, todo proceso que salga de ahi tendra supuestamente permisos de SYSTEM. Es por ello que si matas el proceso "explorer" con el taskmgr y despues desde esa ventana ejecutas un "explorer.exe" tendras un Desktop de SYSTEM)
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
AsimoJMSR
Desconectado
Mensajes: 193
|
Esta terminología no la entiendo: Haz un "cacls" sobre el proceso ¿Te refieres a esto o es solo una aclaración? mira a ver si esta bajo system32, dir C:\windows\system32\Nombre_del_proceso O buscalo) y mira a ver si SYSTEM tiene F (Full) permisos El proceso no está en C:\Windows\System32, sino en C:\Archivos de Programa\Trend Micro Internet Security. Para ver si System tiene F (Full) permisos, clic con el botón derecho y propiedades no? Bueno y si System no tiene Full permisos entonces se los doy verdad?  ¡Un saludo! |
|
|
|
|
En línea
|
|
|
|
|
TRICKY
|
Cacls es un programa, un comando que puedes ejecutar desde la terminal de SYSTEM par cambiarle los permisos. Si quieres puedes ir primero al ejecutable y comprobar con Propiedades-Seguridad quien tiene control total de la aplicacion y quien no.
Yo decia desde el cmd de SYSTEM para hacerlo todo desde ese cmd.
Asegurate, y despues intenta lo del services.msc.
Tras ello incluso en services.msc puedes mirar como estan configurados los/el servico (busca por el nombre del proceso o similar).
De todas maneras prueba desde el mismo cmd SYSTEM con el comando "sc" a tu gusto, algo como :
sc stop nombre_del_servicio
prueba a ver que tal. Si no pues intenta con services.msc ir l servicio y haz 2 click. Tras ello ve a la casilla "Iniciar sesion" y mira si el servicio comienza bajo la cuenta de sistema local (System). Si eso, marca la casilla "permitir a los servicios que interactuen con el escritorio". Tras ello intenta matar le proceso. Si no, pues cambiale la cuenta... no se, paralo AH!
Hehe, Suerte.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
|
 |
Suscripción al boletín mensual de elhacker.net