[HACK] Mas: inseguridad accesos externos a Intranets (con NT Wks 4.0)

[X_IBM_Jover, Miguel A.]

Saludos:

En un NT 4.0 Wks:

- Aislamos la maquina de red o RAS
- Arrancamos una instalación paralela de NT 4.0 WKS, bien desde CD o desde
disquetes, cambiamos el directorio por defecto de instalación a \winnt2, con
esto somos capaces de ver las particiones NTFS (y Fat por supuesto), salvo
que tuviese algun soft adicional de encriptación.
- buscamos la sam, y obtenemos la password de administrador local (con las
herramientas de siempre y un poco de paciencia).
- Arrancamos con la instalacion antigua y borramos el directorio winnt2,
tambien modificamos el boot.ini para que no aparecan restos de la
instalación que hicimos.

hay mil posibilidades mas, en funcion de lo bien capado que este, sin
necesidad de llegar a esto.
probaremos por ejemplo:
- En un navegador tecleamos c:\winnt\system32\cmd.exe o ruta equivalente, o
la aplicación que nos interese. haríamos un Rdisk, ejecutaríamos el regedit,
etc.
- crear Shortcuts o modificar los existentes, (se puede mandar un shortcut
por correo?) hacia herramientas tipo
explorer, regedit, cmd, etc.
- con MS word o con outlook:
	Escribimos urls (http://www.ExplorerVenAMi.com) (que abrirá un
explorer (si esta instalado) aunque le hayan cambiado de localización,
renombrado, etc)(siempre y cuando siga activa la asociación)
	Nombres de ficheros a editar o algun ejecutable
(file:\\c:\winnt\system32\notepad.exe) (podemos crear ficheros script .wsh
luego intentar ejecutarlos de igual modo.
	No he probado a crear con notepad un fichero .reg y despues
guardarlo en el escritorio, para posteriormente hacer doble click sobre el.

una vez mas la creatividad puede hacer maravillas.
Siempre podriamos buscar en Ntbugtraq mil vulnerabilidades e intentar
explotarlas, pero creo que nunca se capa tanto una maquina, suele ser fácil
entontrar fallos en los permisos del registro o de los ficheros.
Por supuesto la ingenieria social siempre es un recurso.

Los comentarios de como capar esto son bienvenidos.
En particular con máquinas con Acceso a internet y con correo electrónico.


Miguel Angel Jover Díaz
Técnico de Sistemas
    Outsourcing IBM
miguel.jover at pfizer.com
       91 490 95 55