Mois : <span>juillet 2017</span>

Dans la continuité de mes “blog post” à propos de la faille “MS17-010” et du virus “WannaCry”, je vais montrer comment prendre le contrôle de serveurs Windows 2003 avec “DoublePulsar” et ceci, à partir de Debian bien sur !

La mise en place jusqu'à l’exécution de l'exploit est un peu longue et un peu complexe… mais j'ai fait de mon mieux pour ne rien oublier.

Déjà, il faudrait parler de “DoublePulsar” et “EternalRomance”, car l'exploit ne fonctionnera qu'avec l'utilisation des 2 là:

• “DoublePulsar” est le “malware”/“backdoor” qui va être injecté.
• “EternalRomance” est l'exploit qui va injecter “DoublePulsar”.

Mais à la fin, on va encore devoir envoyer un “shellcode” sous forme de DLL à la “backdoor” “DoublePulsar” pour établir la communication avec une console sous “metasploit”.

Oui, je sais: ça pique déjà.

Par ailleurs, la plupart des démonstrations montrent qu'il faut 3 PC:

1. La victime sous Windows 2003
2. Un poste sous Windows 7 qui va utiliser un outil nommé “fuzzbunch” …
3. Un poste qui va recevoir le contrôle, en console, de la victime.

Rares sont les solutions qui parlent aussi d'utiliser “Wine” a la place de Windows 7…

Et c'est ça que je vais vous montrer, car on va remplacer Windows 7 par Wine…
Et là, plus besoin de 3 postes: La victime et notre Debian suffiront. 😉

Mes sources principales:

• http://www.hackingtutorials.org/exploit-tutorials/eternalromance-exploiting-windows-server-2003/
• https://www.exploit-db.com/docs/41896.pdf
• https://www.youtube.com/watch?v=DxPueg6qXcw

Après mon petit article sur une manière d'exploiter la faille “SMBv1” popularisé par WannaCry et Petya , j'étais malgré tout un peu frustré de ne pas trouver de méthode pour prendre le contrôle de certaines versions de Windows, dont “Windows 2012 R2”.

Alors je vais d'abord saluer ici les developpeurs qui réalisent ces exploits, mais aussi ces administrateurs qui ne mettent jamais à jour leurs Windows, qui ne lisent pas la presse, qui se croient invulnérable, et qui me donne ici l'occasion de réaliser un exploit tel, que je deviens “Domain Admins” 😉

Parce qu'il y a quelques jours, l'exploit s'appuyant sur la faille “MS17-010” a été porté pour “Windows 2012 R2”, et je vais montrer comment le mettre en pratique…