La idea de este tutorial es mostrar la estructura de los módulos auxiliares de metasploit, familiarizarnos con el código, conocer las funcionalidades que nos ofrece el framework, para de esta forma empezar a crear y modificar los módulos de esta magnifica herramienta.

VideoTutorialesMetasploit

Este primer tutorial explica la modificación del módulo auxiliar de metasploit llamado «apache_mod_cgi_bash_env». Este módulo aprovecha la vulnerabilidad de Bash denominada shellshock y el cual fue publicado al poco tiempo que la vulnerabilidad se hizo publica.

La principal motivación para modificar el módulo es por que al hacer las pruebas contra un servidor vulnerable, el módulo no respondía, ni generaba error o las excepciones correctas para verificar que el servidor era vulnerable o no, simplemente salia la siguiente pantalla:

Creando-Modulo-Metasploit-1

Esta pantalla no era nada diciente por esta razón nace la necesidad de modificar los módulos y agregar puntos de depuración o mejoras.

Antes de empezar a modificar el módulo una breve explicación del código:

Creando-Modulo-Metasploit-2

A continuación los parámetros que recibe como tal el módulo

Creando-Modulo-Metasploit-3

y por ultimo las 3 funciones que conforman la operación del módulo auxiliar, las cuales vamos a explicar en detalle, la primera la funcion check_host, la cual es invocada una vez ejecutamos el comando check desde la consola de metasploit

Creando-Modulo-Metasploit-4

El cuerpo de la función muestra el llamado de otro método llamado «req», el cual realizara la petición al servidor, enviando como parámetro el comando a ejecutar.

Creando-Modulo-Metasploit-5

La función req hace uso del método «send_request_cgi» el cual hace parte de la clase «Msf::Exploit::Remote::HttpClient» incluida en la cabecera del módulo . Esta función se encarga de hacer la petición HTTP al servidor.

Creando-Modulo-Metasploit-6

Como se puede observar en la imagen anterior, el método «send_request_cgi» recibe tres parámetros en este caso, el primero es el metodo http, el cual esta almacenado en la variable datastore[‘METHOD’], cabe recordar que esta variable es la que almacena el valor cuando nosotros hacemos uso del comando «set METHOD» en la consola de metasploit.

Creando-Modulo-Metasploit-7

El segundo parámetro es el path del cgi, el cual almacenamos con el comando «set targeturi « en la consola de metasploit y por ultimo parámetro es el user-agent donde se inyecta el comando.

El método run_host no lo vamos a modificar en este ejemplo, por esta razón no vamos a explicar la funcionalidad. Solo vamos a modificar y validar el método check_host.

Entonces lo primero es agregar una función que imprima la respuesta del servidor, para esto vamos a utilizar el método:
print_status o el metodo vprint_status La diferencia entre estos dos métodos es que el método vprint_status despliega la información en pantalla si se encuentra en TRUE la variable VERBOSE

Creando-Modulo-Metasploit-8

Nuestra función check_host queda de la siguiente forma

Creando-Modulo-Metasploit-9

en la consola ejecutamos el comando reload, para que se tomen los cambios realizados

Creando-Modulo-Metasploit-10

ejecutamos la función check para validar la respuesta del servidor

Creando-Modulo-Metasploit-11

Con esto validamos que la respuesta del servidor es un error interno del servidor (código 500) Podemos modificar el código que se envía en el agente, dado que el código inicial espera que la respuesta imprima un valor aleatorio, pero al validar que el servidor responde con un error 500, podemos intentar enviar un comando que cree un archivo en el servidor. Por ejemplo:
() { :; }; /bin/echo prueba > /var/www/poc/index_xxxxxx.php

el método req, quedaría de la siguiente forma:

Creando-Modulo-Metasploit-12

Si recargamos el módulo con el comando reload y ejecutamos con check, vemos que sale el mismo erro 500 pero si verificamos en el explorador la dirección del nuevo archivo que se debió crear en el servidor podemos verificar que efectivamente responde

Creando-Modulo-Metasploit-13

Por ultimo agregamos al módulo que verifique si la creación del archivo en el servidor fue exitosa. solo basta con agregar un request y que dependiendo de la respuesta informe si el servidor es vulnerable.

Creando-Modulo-Metasploit-14

Si todo sale bien el módulo auxiliar informa que el servidor es vulnerable una vez verifica la creación del archivo

Creando-Modulo-Metasploit-15

Notas:

  • Para la POC es servidor vulnerable contaba con el CGI que especifican en la pagina https://www.invisiblethreat.ca/2014/09/cve-2014-6271/
  • La versión publicada del módulo fue la que salio una vez se hizo publica la vulnerabilidad. En estos momentos el módulo tiene modificaciones y mejoras. (Recuerden mantener actualizado su metasploit msfupdate)
  • En la próxima entrega como construir un módulo auxiliar para explotar una vulnerabilidad de denegación de servicio para Joomla.Saludos

Artículo escrito por Luis Hernandez, Especialista Seguridad Informática @luisco100 para La Comunidad DragonJAR.

×

! Contacta con DragonJAR ¡

Haga clic en uno de nuestros representantes para chatear en WhatsApp, tambien puedes llamarnos al +57 3046768721 o envíenos un correo a [email protected]

× ¿Como puedo ayudarte?