[WINDOWS 7 EXPLOITS]

[Giubi]

Ragazzi, creo questo topic per linkare/raccogliere tutti gli exploit di winzoz 7 che troviamo, come ci ha chiesto il prof. durante l'ultima lezione, così per la prox lezione siamo già preparati ! 

[Vulnerability in Web Services on Devices API Could Allow Remote Code Execution (973565)]:
https://technet.microsoft.com/library/security/ms09-063

[ɹǝǝuıƃuǝsɹǝʌǝɹ]

Non-Affected Software
Operating System

...

• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
  ...

 

[Giubi]

Sì..... 

[Vereos]

Io ne ho trovati due che potrebbero essere interessanti. Le vulnerabilità riguardano in realtà Internet Explorer e non Windows 7 SP1 direttamente, ma dato che viene installato come browser predefinito le segnalo comunque. Entrambe permettono all'attaccante remoto di acquisire i privilegi della vittima se questa visualizza una pagina web appositamente creata (lo scenario non è così improbabile, basti pensare agli scammer su Steam per fare un esempio).

https://technet.microsoft.com/it-it/library/security/ms13-097.aspx
La cosa che mi ha colpito di questa vulnerabilità è che ha un ottimo range di targets, da Windows XP SP3 a Windows 8.1, e da IE6 a IE11.

Leggendo l'exploit trovato su metasploit mi sembra però di capire che il livello di sicurezza del browser deve essere impostato a "Low"; non ho ben capito se è il metodo di attacco utilizzato a richiederlo o se sia necessario per exploitare la vulnerabilità, nel pomeriggio cerco di studiarlo meglio.

https://technet.microsoft.com/en-us/library/security/ms13-008.aspx
Questo ha un range di target meno vasto ma dovrebbe essere più realistico del precedente. Si basa sul concetto di UAF (Use After Free -> https://cwe.mitre.org/data/definitions/416.html ).

NOTA: Anche se la vulnerabilità vale anche per Windows 7 SP1 con IE8, l'exploit trovato su metasploit non sembra funzionare. Dovrei controllare se funziona in una macchina senza SP, forse sto sbagliando qualcosa io.

[Vereos]

Come richiesto dal professore ieri a lezione, posto l'exploit per Windows 7 SP1.

Si può trovare in exploit/windows/browser/ms13_037_svg_dashstyle: impostato con i parametri corretti (i soliti, evito di scriverli qui, non si sa mai...   ) apre un server web che contiene una pagina malevola. La macchina della vittima viene violata non appena la pagina viene aperta, aprendo una sessione meterpreter nel nostro caso.

La vulnerabilità è valida solo per Windows 7 SP1 con IE8, ma la cosa a mio parere importante da notare è che sfrutta gli indirizzi di memoria di una DLL nota (ntdll.dll) per bypassare l'ASLR, cosa che è stata fixata con dei successivi aggiornamenti. Si può anche provare ad utilizzare JRE6 per bypassare ASLR, ma come abbiamo visto con gli altri exploit a lezione non è un metodo molto affidabile (perché la macchina non lo ha o perché non ha quell'esatta versione). Nel mio caso è stato necessario impostare manualmente il target perché altrimenti andava di default con JRE.

Ulteriori informazioni sul funzionamento dell'exploit qui http://www.rapid7.com/db/modules/exploit/windows/browser/ms13_037_svg_dashstyle

Sidenote: L'ultima versione di Avast! effettivamente riesce a rilevare il Javascript malevolo sul sito web prima che venga eseguito, evitando di fatto che la macchina venga violata. Tuttavia, se proviamo a disattivare l'antivirus, violare la macchina, e solo successivamente riattiviamo Avast!, possiamo eseguire qualsiasi tipo di comando da meterpreter senza essere rilevati.

La cosa "divertente" è che non mi ero accorto di aver lasciato Windows 7 aperto sulla schermata di Avast!, quando sono tornato su Kali per fare delle prove e lanciare qualche comando da meterpreter. Potete ben immaginare la grassa risata che mi sono fatto quando ho lanciato "screenshot", visualizzando la schermata verde dell'antivirus con scritto "YOU ARE PROTECTED"