Solo en tu laboratorio: practica estas técnicas únicamente en tus propias máquinas o en sistemas con autorización explícita. Nunca contra sistemas ajenos sin permiso.
Ahora veamos como podemos identificar la disponibilidad del Terminal Services en el sistema analizado, esto con el fin de identificar si este servicio está habilitado o no, para luego verificar en el registro de sucesos de Windows (tema a estudiar en próximos labs y que será determinante en este caso) si ha sido modificado su valor.
Terminal Services: Los servicios de terminal (o terminal services) son un componente de los sistemas operativos windows que permite a un usuario acceder a las aplicaciones y datos almacenados en otro ordenador mediante un acceso por red.
Basado en el protocolo de escritorio remoto (Remote Desktop Protocol (RDP)) aparece por primera vez en Windows NT 4.0 (Terminal Server Edition).
Los productos Windows 2000 Server, Windows 2000 Advanced Server, Windows 2000 Datacenter Server y Windows Server 2003 han introducido algunas mejoras y funcionalidades nuevas. Microsoft proporciona el software cliente para todas las versiones de Windows 32 bits y para Mac OS X de Apple. (más información sobre terminal services)
En el siguiente video tutorial se observa la ruta a seguir desde el registro de windows para identificar el valor de disponibilidad de este servicio. (HKEY_LOCAL_MACHINE – SYSTEM – ControlSet002 – Control – Terminal Server – TSEnabled).
Descargar video tutorial de identificación de Terminal Services desde el registro de WIndows (password: www.dragonjar.org)
Terminal Services hoy: RDP como vector de ataque
Terminal Services es hoy Remote Desktop Services (RDS), el escritorio remoto de Windows sobre RDP (puerto 3389), documentado en Microsoft Learn. La clave del Registro que muestra este laboratorio (Terminal Server, valor TSEnabled) sigue siendo la forma de comprobar si el servicio está habilitado en un equipo. El contexto cambió: RDP expuesto a internet es uno de los vectores de entrada más explotados para ransomware, así que la práctica actual es no exponerlo nunca directamente, usar VPN o gateway, exigir autenticación de nivel de red (NLA) y segundo factor, y vigilar los inicios de sesión en el registro de Seguridad.
