8. März 2009

Windows Hacking Frage für Spezialisten

Category: Hacking,Work — Christian @ 17:19

Windows 2000 SP4, aktuelle Service Packs. Nessus (aktuelle Version 3.2.1.1, aktueller Commercial Feed) hat mir folgendes ausgespuckt:

SMB Registry : Autologon

Synopsis :

Anyone can logon to the remote system.

Description :

This script determines whether the autologon feature is enabled. This feature allows an intruder to log into the remote host as DefaultUserName with the password DefaultPassword.

Solution :

Delete the keys AutoAdminLogon and DefaultPassword under
HKLM\SOFTWARE\Microsoft\Window NT\CurrentVersion\Winlogon

Risk factor :

High / CVSS Base Score : 7.2
(CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C)

Hat zufällig einer der Mitleser eine Idee, wie man das aus der Ferne ausnutzen kann? Der Server steht im gleichen LAN in dem ich mich auch befinde. Es gibt keine Firewall dazwischen. Der Zugriff auf Shares ist prinzipiell möglich, scheitert aber an Rechten.

9 Comments

  1. Autologin sorgt dafür dass sich der Benutzer, der in der Registry in dem Key steht, automatisch am Windows anmeldet. D.h. man muss als „Angreifer“ vor dem Monitor stehen, um das ausnutzen zu können.

    Comment by lupo49 — 11. März 2009 @ 16:19

  2. Das entspricht soweit meinem Wissen, ja. Ich hätte aber gehofft, daß mein Wissen unzureichend ist und man da irgendwie auch undokumentiert aber lustig mit obskuren illegalen Hackertools auf Shares zugreifen kann … 🙁

    Comment by Christian — 11. März 2009 @ 16:57

  3. Ich bin mir nicht ganz sicher, kann es auch nicht testen ob es geht weil ich gerade keinen 2000 Server zur Hand habe.

    Wenn der RemoteRegistry Dienst nicht angehalten ist sollte man als Domain-Benutzer die Registry des 2000 Servers laden können.
    Da unter Windows 2000 der Dienst als „System“ anstatt „LokalService“ läuft sollte man zumindest Read-Zugriff auf HKLM haben, Benutzername und Passwort stehen dann dort also im Klartext. Ein Versuch wäre es wert.
    Dann hat man halt aus einem Domänen-Benutzer einen Domänen-Admin gemacht. Vieleicht nicht ganz das was du suchst, aber doch schon Nett.

    Comment by Oliver — 11. März 2009 @ 18:52

  4. Mein Problem ist, ich habe gar keinen Account auf diesem Rechner. Ich bin eigentlich völlig fremd in dieser Infrastruktur und habe nur meinen Rechner in das Netz gehängt und Nessus laufen lassen. Ich weiß zwar ungefähr, wo der Rechner stehen könnte aber Physical Access ist leider keine Option.

    Comment by Christian — 15. März 2009 @ 16:58

  5. Die Frage ist ja, wie Nessus die Information mit diesem Plugin übers Netz rausgefunden hat ohne Credentials. Ich hab mal im smb_reg_autologon.nasl-File gekramt: Basis ist, dass auch smb_registry_access.nasl erfolgreich war. Allerdings sollte laut nasl-File neben der reinem Meldung auch der Plugin-Output folgendes kommen:
    ‚Autologon is enabled on this host.\n‘ +
    „This allows an attacker to access it as “ + value1[1] + „/“ + value2[1];

    Ergo: Kommt der Output nicht, ist es eine False-Positive. Kommt der Output und Du hast ihn uns vorenthalten, sollte mit den Default-Credentials ein Connect möglich sein 🙂

    Comment by Toby — 15. März 2009 @ 18:40

  6. Gut, sehr clever 🙂
    Ja, da steht ein Benutzername mit leerem Passwort. Der Account funktioniert aber so nicht mehr, weil das Passwort inzwischen geändert wurde.

    Comment by Christian — 22. März 2009 @ 20:42

  7. Dann warst Du wohl zu lahm 🙂 Aber egal, die Schwachstelle war ja da, jetzt kannst Du das lecker verwurschten, warum z. B. die sicherlich vorhandenen PW Richtlinien nicht technisch umgesetzt wurden, warum die Umsetzung nicht geprüft wurde etc..

    Comment by Toby — 23. März 2009 @ 09:31

  8. Ich hätte mir ja gewünscht, daß trotzdem irgendwas geht 😉

    Comment by Christian — 23. März 2009 @ 13:23

  9. Kommentare gesperrt wegen Spam

    Comment by Christian — 7. Juni 2012 @ 18:39

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.