9 may 2013

CVE-2013-1347: 0day en IE8 explotado con Metasploit

Tan sólo hace unos días que Microsoft publicó una vulnerabilidad sobre Internet Explorer, sobre la cual no existe actualización, CVE-2013-1347. A priori, se pensaba que el exploit, que ya existe, afectaba a la vulnerabilidad ya conocida CVE-2012-4792.

En el presente artículo se muestra dónde buscar el exploit y como configurar el módulo para llevar a cabo la explotación. Además, se recomienda la actualización a la versión 9 y 10 de Internet Explorer. Más ejemplos y explicaciones detallas de como utilizar el framework disponible en el libro Metasploit para Pentesters.

Obtención del módulo

Para disponer del módulo de manera manual se puede acceder al sitio web de Metasploit y realizar una búsqueda por CVE, tal y como se puede apreciar en la imagen.

Una vez descargado el módulo, que es un fichero en lenguaje Ruby, hay que añadirlo a la carpeta que se desee, teniendo en cuenta que esa será la ruta que habrá que invocar desde msfconsole. Por ejemplo, en Linux copiamos el fichero a la ruta /pentest/exploit/framework3/modules/exploits/windows, siendo esta ruta una válida dentro de la distribución BackTrack. Si el atacante utiliza Microsoft Windows, la ruta donde deberá almacenar el fichero será la raíz donde tenga instalado Metasploit, por ejemplo %systemdrive%\metasploit. Dentro de dicha ruta se encuentra la carpeta %systemdrive%\metasploit\apps\pro\msf3\modules\exploits\windows. Son rutas equivalentes, en función del sistema operativo o distribución que se utilice. Hay que añadir que generalmente los exploits de Internet Explorer se suelen almacenar en la ruta lógica exploit/windows/browser, siendo fácilmente accesibles desde msfconsole para su configuración.

El ataque que se debe llevar a cabo para que las potenciales víctimas que disponen de dicha versión del navegador sean de tipo client side attack, es decir, todo ocurrirá en el lado del cliente. La víctima se conectará de algún modo al servicio malicioso que le enviará el exploit, produciendo la explotación de la vulnerabilidad y proporcionado el control de la máquina remota al atacante.

Configuración del módulo

La configuración del módulo no es más que otra configuración de un exploit de tipo client side. El potencial de Metasploit radica en la sencillez con la que realiza un gran número de acciones, lo cual proporciona al auditor flexibilidad  a la hora de realizar dichas acciones.

Se tienen que configurar estos parámetros:

-          URIPATH: indicando el recurso que debe solicitar la víctima, se recomienda el recurso raíz o /.

-          PAYLOAD: payload que se utilizará en la inyección de código en la memoria de la máquina remota.

-          LHOST: Dirección IP a la que se debe conectar el paylaod una vez se ejecute en la máquina remota, otorgando el control al atacante.

Una vez que la víctima realice una petición se realizará el envío del exploit, lógicamente no introducirá el recurso a mano, pero existen diversas maneras para conseguir que la víctima haga una petición al atacante sin ser consciente.

Y tras la petición y el envío del exploit junto a la shellcode, si la víctima es vulnerable se obtendrá una sesión inversa. Si el atacante quiere troyanizar el equipo rápidamente tendría que haber configurado la variable InitialAutoRunScript indicando que acciones debería llevar cabo la shellcode nada más ejecutarse en la máquina remota.

Si quieres aprender más sobre Metasploit y conocer todos los secretos del framework más importante y utilizado en seguridad informática no dudes en consultar el libro “Metasploit para pentesters”.

3 comentarios:

  1. Hola! felicidades por el artículo! Muy interesante!Solo apuntar que el comando "msfupdate" es la mejor opción para mantener el framework actualizado, así como la última versión de los módulos.Si el comando msfupdate no funciona como se espera, algunas razones son las siguientes:- Si se está utilizando una versión antigua del framework, es posible que el comando todavía este utilizando SVN, y no GIT, por lo tanto el resultado no está siendo el esperado :P- Si se realiza una instalación de un producto Metasploit desde binarios es necesario, antes de realizar actualizaciones con msfupdate, registrar el producto instalado.- Si se realiza una instalación de un producto Metasploit desde binarios, recordar que las actualizaciones tienen caracter semanal!Teniendo en cuenta lo anterior, lo dicho, "msfupdate" es el mecanismo recomendado para mantener actualizado el framework :)

    ResponderEliminar
  2. Hola..tengo una pregunta....tengo metasploit instalado en windows...quiero agregarle exploits y lo que hago es descargarlos, meterlos en la ruta correspondiente y ponerle la extension .rb. El problema es que no me lo encuentra..que me falta por hacer??Un saludo y enhorabuena por el articulo!!!

    ResponderEliminar
  3. Debería encontrarlos, también puedes utilizar msfupdate y actualizar.

    ResponderEliminar