Sec-Track

Ahora que tenemos acceso al sistema como usuarios privilegiados, procedemos a recolectar y extraer la información confidencial que exista en el sistema.

Nos logueamos en el sistema:

login as: bbanter
bbanter@192.168.1.110’s password:
Linux 2.6.16.
bbanter@slax:~$ su
Password: **********
root@slax:/home/bbanter#

Exploremos los diferentes directorios en busca de información confidencial

root@slax:/home/aadams# ls -la
total 4
drwxr-xr-x 2 aadams users   80 Mar 15  2007 .
drwxr-xr-x 8 root   root   140 Mar 15  2007 ..
-rw-r–r– 1 aadams users 3729 Feb  4  2007 .screenrc
root@slax:/home/aadams# ls /home/bbanter/ -la
total 4
drwxr-xr-x 2 bbanter users   80 Mar 15  2007 .
drwxr-xr-x 8 root    root   140 Mar 15  2007 ..
-rw-r–r– 1 bbanter users 3729 Feb  4  2007 .screenrc
root@slax:/home/aadams# ls /home/ccoffee/ -la
total 4
drwxr-xr-x 2 ccoffee users   80 Mar 15  2007 .
drwxr-xr-x 8 root    root   140 Mar 15  2007 ..
-rw-r–r– 1 ccoffee users 3729 Feb  4  2007 .screenrc
root@slax:/home/aadams# ls /home/ftp/ -la
total 0
drwxr-xr-x 4 root   root  80 Mar 15  2007 .
drwxr-xr-x 8 root   root 140 Mar 15  2007 ..
drwxr-xr-x 7 aadams  513 160 Mar 15  2007 download
drwxrwxrwx 2 root   root  60 Feb 26  2007 incoming
root@slax:/home/aadams# ls /home/root/ -la
total 4
drwxr-xr-x 3 aadams  513  100 Mar 15  2007 .
drwxr-xr-x 8 root   root  140 Mar 15  2007 ..
drwx—— 2 root   root  100 Mar 15  2007 .save
-rw-r–r– 1 aadams  513 3729 Feb 27  2007 .screenrc

Nos encontramos con dos archivos de interés:

root@slax:/home/aadams# cd ..
root@slax:/home# cd root/.save/
root@slax:/home/root/.save# ls -la
total 8
drwx—— 2 root   root 100 Mar 15  2007 .
drwxr-xr-x 3 aadams  513 100 Mar 15  2007 ..
-r-x—— 1 root   root 198 Mar 13  2007 copy.sh
-rw-r–r– 1 aadams  513 560 Mar 13  2007 customer_account.csv.enc

Exploremos el contenido de estos:

COPY.SH

root@slax:/home/root/.save# cat copy.sh
#!/bin/sh
#encrypt files in ftp/incoming
openssl enc -aes-256-cbc -salt -in /home/ftp/incoming/$1 -out /home/root/.save/$1.enc -pass file:/etc/ssl/certs/pw
#remove old file
rm /home/ftp/incoming/$1

Este archivo parecía ser utilizado para cifrar los archivos contenidos en el directorio incoming del FTP con cifrado aes-256-cbc luego realiza una copia del archivo cifrado al directorio /home/root/.save haciendo uso de los certificados en /etc/ssl/certs/pw y eliminando copias anteriores.

Por lo tanto por este mismo medio podemos descifrar el contenido de este archivo…

root@slax:/home/root/.save# openssl enc -d -aes-256-cbc -salt -in customer_account.csv.enc -out clientes.csv -pass file:/etc/ssl/certs/pw
root@slax:/home/root/.save# ls
clientes.csv  copy.sh  customer_account.csv.enc

Visualicemos el archivo:

root@slax:/home/root/.save# cat clientes.csv
“CustomerID”,”CustomerName”,”CCType”,”AccountNo”,”ExpDate”,”DelMethod”
1002,”Mozart Exercise Balls Corp.”,”VISA”,”2412225132153211″,”11/09″,”SHIP”
1003,”Brahms 4-Hands Pianos”,”MC”,”3513151542522415″,”07/08″,”SHIP”
1004,”Strauss Blue River Drinks”,”MC”,”2514351522413214″,”02/08″,”PICKUP”
1005,”Beethoven Hearing-Aid Corp.”,”VISA”,”5126391235199246″,”09/09″,”SHIP”
1006,”Mendelssohn Wedding Dresses”,”MC”,”6147032541326464″,”01/10″,”PICKUP”
1007,”Tchaikovsky Nut Importer and Supplies”,”VISA”,”4123214145321524″,”05/08″,”SHIP”

Hemos obtenido acceso a las tarjetas de crédito de los clientes de dicho sistema objetivo…

Veamos ahora como podemos implementar un backdoor en el sistema:

Tema ya tratado en el anterior entorno