Retomando el hilo de la Parte I vamos a meternos con la aplicación Caín instalada en el equipo con Windows 7. Vamos a utilizar funcionalidad CCDU ya que con ella vamos a conseguir bajarnos la configuración del equipo indicándole la IP, el nombre de comunidad de lectura-escritura y la versión de SNMP, en este caso la 2.
Para ello, con el Firewall de Windows o de nuestro antivirus deshabilitado, ejecutaremos Caín como administrador y nos situaremos en la pestaña CCDU como figura en la imagen siguiente:
Luego pincharemos sobre el símbolo + de color azul y agregaremos la siguiente información:
Y tras darle a OK se nos habrá descargado la configuración del equipo.
Ésta queda almacenada en C:\Program Files\Cain\CCDU . Una vez allí podremos verla con detalle y extraer toda la información que nos sea de utilidad. Por ejemplo, servidores NTP, servidores donde enviar traps SNMP, hashes de usuarios y modo “enable” para posterior crackeo, descripciones de interfaces, servidores de autenticación, prioridades de STP, etc. Aparte si este fuera un equipo con capacidades de routing o conmutación multicapa, ver métodos de enrutamiento, estático o dinámico y de ser éste, protocolo elegido, hashes de autenticación de interfaces tipo HSRP u OSPF, ACL’s si es que las hubiese, etc. etc. etc.
Por poner un ejemplo:
enable secret 5 $1$9bXR$3.AxxK9qo6xda5tzNXv88.
username edorta password 7 045E0F091D354D
Aquí os invito a que echéis un vistazo a otro de mis post en el que hablo sobre el crackeo de contraseñas en dispositivos Cisco. Lo podréis encontrar aquí.
Lo malo del asunto puede es que de la misma manera que podremos descargar la configuración del equipo, podremos subirla. Así que imaginaros si alguien le da por crear un usuario, sustituir los hash de las cuentas de usuarios locales, añadir un “shutdown” a alguna de las interfaces, cambiar la prioridad de Spanning Tree Protocol, etc. etc. etc. Vamos que nos la pueden liar, y bien liada. En el siguiente ejemplo lo que haremos será cambiar sólo el nombre del switch OF_01 por SW_PWD.
Lo que haremos será abrir el fichero de configuración y sustituir el campo hostname OF_01 por SW_PWD. Para ello pincharemos con el botón derecho del ratón sobre el archivo de configuración y seleccionaremos “View”. Se nos abrirá el editor bloc de notas , localizaremos la palabra hostname, donde a continuación figurará el nombre del equipo.
Antes del cambio veremos que la consola figura:
Luego nuevamente sobre el archivo de configuración, botón derecho y…. UPLOAD!!!
Y … cambio efectuado!!!
Para evitar esta situación podríamos configurar una ACL (Access Control List) para que sólo permita el tráfico proveniente de la IP de la NMS. Para ello deberemos configurar el equipo de la siguiente manera:
OF_01(config)# access-list 10 permit 192.168.10.250 log
OF_01(config)# access-list 10 deny 192.168.10.0 0.0.0.255 log
OF_01(config)# snmp-server community roedorta ro 10
OF_01(config)# snmp-server community rwedorta rw 10
Con la primera línea creamos una ACL estándar indicando que se permite tráfico con IP de origen 192.168.10.250, y que cada vez que encuentre un paquete que coincida con esta regla lo registre. Obviamente esta IP es la de nuestra NMS. A continuación le indicamos que deniegue todo el tráfico de la red 192.168.10.0 /24 y que si hay alguna coincidencia lo registre también. Hay que decir que las entradas de las ACL se comprueban de forma secuencial y cada vez que un paquete coincida con alguna regla se deja de comprobar las restantes. Por ello aunque la segunda prohíba el tráfico de la red en la que se encuentra la NMS como la primera lo permite la dejará pasar.
Con las otras dos definiremos las comunidades de lectura y lectura-escritura y aplicaremos la ACL 10, que es la que hemos definido previamente.
Así que si ahora repetimos la operación veremos que no sólo no es posible subir la configuración manipulada:
Sino que además, al ponerle el log quedará registro de ella en la consola del switch. A continuación vemos cómo se ha permitido tráfico de la IP 192.168.10.250, la NMS, y en cambio se ha denegado tráfico de la IP 192.168.10.22 que es desde la que ejecutamos Caín.
Obviamente el mensaje aquí no es cómo hacerle la faena al administrador de turno o comprometer equipos de red, que también, sino mostrar cómo nuevamente, los equipos de red deben ser configurados de forma correcta y que, de no hacerlo, pueden llegar a tener sus “debilidades”. Debilidades que alguien puede aprovechar. Aquí hemos puesto un ejemplo tonto, cambiar el nombre del equipo, pero imaginar lo que podríamos haber hecho si configuramos un puerto como puerto espejo de otro al que sabemos que está conectado el equipo de alguien que pueda manejar información sensible o de especial interés, capturando todo el tráfico que nos llegue. Luego con un poco de paciencia, wireshark, sus filtros y otras aplicaciones como Xplico, puees….. tarde o temprano seguro que encontramos algo interesante. O como decía antes, cambiar la configuración de otros protocolos de red como VRRP, HSRP, OSPF, STP, etc. etc. etc. y DoS al canto Pues que nos la pueden preparar, y bien preparada.
En fin, creo que por hoy esto es todo, así que nos vemos en la siguiente entrega.
Seguiremos informando…