WebShells [Conoce acerca de ellas] || Parte 1

¿Qué son las WebShells?

Con @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta tuvimos la oportunidad de hablar sobre WebShells.

Un tema muy amplio, donde sitúa temas importantes como vulnerabilidades junto a su respectiva explotación(y post-explotación).

Los motivos de subir una WebShell(Backdoor) varían desde:

• El momento indicado para realizar un ataque
• Intruir al Sistema Operativo
• Ejecución arbitraria de comando

También depende las ideologías, ciberdelitos, análisis de inteligencia, entre otr@s.

Antes de comenzar el post, debemos brindar conocimientos sobre que es una WebShell.

---

WebShell y sus funciones

Las WebShells, son puertas traseras que son subidas al servidor(de manera reversa/directa) para obtener acceso completo a él.

Independientemente si se cuenta o no con permisos de escritura, es posible realizar diversas cosas.

Incluso, es posible hacer Bypass con la Navaja Suiza cuando tenemos un Backdoor en un servidor donde no tenemos los permisos de lectura|escritura|ejecución.

Hacemos hincapié en que las WebShells podemos subir a servidores Windows, Linux.

Sin embargo, el hecho no está en subir un backdoor a un servidor que maneja tecnologías que no interprete; no debemos subir a un servidor que use tecnología JSP un backdoor escrito en PHP, simplemente, será inútil.

Usualmente, las WebShells que existen en línea y están disponibles para su descarga, poseen interfaz web.

El término Shell, implica el acceso a línea de comandos del estilo de Unix que es entregado a través del servidor web.

Las funcionalidades que poseen WebShells tradicionales son:

• Conocer archivos del servidor.
• Conectarnos a algún motor de base de datos.
• Herramientas de String para conversiones.
• Bruteforce.
• Administrar procesos.

A pesar que existan más funcionalidades, las anteriores son algunas de ellas. Dependiendo la Webshell, incrementan o disminuyen las características.

---

¿Cómo se sube una WebShell a un servidor?

Cuando deseamos tener un backdoor en 'un' sitio web, el primer paso es explotar la vulnerabilidad y subir el backdoor creado(o descargado[cuidado con los que descargan]).

Asumiendo que previamente han realizado los procedimientos inmutables para encontrar el fallo.

Ahora, las vulnerabilidades web, se han extendido a lo largo del tiempo:

# Vulnerabilidades > Tipo de Vulnerabilidades.

Cumpliendo la anterior 'fórmula', nuestra proeza como Pentesters se ha maximizado, por intentar identificar la mayor parte de vulnerabilidades en los servidores extendidos alrededor del mundo.

Por tanto, mientras se posea una vulnerabilidad que sea explotable donde permita subir archivos, es posible inyectar nuestro backdoor.

De hecho, existen webs que muestran las vulnerabilidades mundiales, por países y demás segmentación que son muy útiles.

Les mostraré una. No tienes permitido ver los links. Registrarse o Entrar a mi cuenta permite analizar los tipos de vulnerabilidades frecuentes en distintos años, vectores de ataque filtrados por diferentes tópicos como el top de vulnerabilidades, el análisis por países de éstas, incluso por universidades, entre otras.

Como recuerdo, el caso tan "famoso" de Rasputin, el cual mencionaba que había creado una tool privada, la cual encontraba, explotaba y backdoreaba los servidores que sus matchs fueran TRUE.

Recuerdo que algunas personas no creían hasta que salió un leak que corroboró lo de Rasputin.

No me extraña éste tipo de herramientas, ya que poseo una priv8 que desarrollé y presenté en No tienes permitido ver los links. Registrarse o Entrar a mi cuenta.

El tema de Rasputin no tuvo tanta represalia por el motivo de que el/los gobiernos mediante los índices de Vaughn esto no logró ser 'apocalíptico', sobresaltando de manera 'legal' la FOIA(es una ley que otorga a todos los miembros de los Estados Unidos el derecho de conocer la información federal del gobierno).

A continuación, una imagen de lo que RecorderFuture capturó (y lo que muchos vimos) de un Pastebin (eliminado) que salió precisamente de bases de datos donde estaban los vectores de las SQLi.

Habían vulnerabilidades de universidades como la de Cambridge, Oxford, Washington, Arizon, Tennessee, entre otras.


Estos backdoors se vendían y de hecho, algunos aún no han reparado las fallas.

Ni los mismos sitios grandes se libran de vulnerabilidades, porque somos humanos y pecamos por distracción, pereza o desconocimiento.

La respuesta es fácil:

• Analizar
• Encontrar una vulnerabilidad {en lo posible critica}
• Explotar
• Analizar viabilidad de subir archivos por algún medio
• Congrats!

---

¿Puedo encontrar una WebShell en mi servidor?

¡Claro que es posible! siempre y cuando tu sitio web no sea muy grande o no dispongas de muchos servidores que sólo controles tú.

Explayándome, si tienes pocos servidores y puedes revisarlos a diarios, esa vigilancia es perfecta.

Sin embargo, esto no pasa en Bancos o Multinacionales, en términos inmensurables, es incontenible, las empresas poseen cientos de servidores web, con distintos sistemas operativos, aplicaciones, usuarios locales agregando/eliminando/editando archivos y entre otras variables, hacen que la deteccion de un backdoor sea extremadamente compleja.

Como aclaramos en el vídeo, existen herramientas como:

• NeoPI.
• Shell Detector.
• LMD | Maldet + WSS(Web Shell Scanner).

Aún con estas herramientas no se logra reconocer en un 100% una Webshell sin falsos positivos o, con reconocimiento que es infalible.

---

¿Cómo funciona?

Hay dos modalidades de cómo funciona una WebShell:

• Subir del lado del servidor completamente.
• Subir del lado del servidor un archivo de conexión pero hacer la conexión directa desde el lado del cliente.

La primera opción, hay desventajas, como los logs, el tipo de requests y entre otras.

Desde el lado del cliente, es mucho mejor, siempre y cuando se haya codeado de manera idónea.

En resumen, cuando tengan que escoger entre si subirla del lado del servidor completamente o del lado del cliente, seleccionen la segunda.

Nosotros en el vídeo mostramos una Webshell del lado del cliente que es sumamente poderosa y útil, es de @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta.

El post lo pueden abrir presionando No tienes permitido ver los links. Registrarse o Entrar a mi cuenta y conocer más a fondo de cómo funciona esta Webshell(sin backdoors xD).

A continuación, pueden descargar los archivos de prueba, donde existe una inyección de código SQL para posteriormente subir el backdoor.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

---

¡Hagamos una PoC!

Una vez descargados los archivos, debe proceder a iniciar nuestro Apache e importar la base de datos.

En mi caso, uso Arch, pero eso no afecta en nada si posees Ubuntu, Windows, Debian, entre otras.

Almacenamos los archivos en nuestro gestor de servidor local, Wamp/Xampp/Lampp, entre otr@s.

Debería quedar:



Como notaran, solo quedaría importar la base de datos, vía PhpMyAdmin o vía CLI.

Una vez importada, quedaría de la siguiente manera:


Una vez esté previamente subido, podremos hacer la PoC con el vídeo que dejaremos al final .

---

Otros intereses

Como mostramos, existen muchas más webshells, unas creativas, otras no, pero queremos hacer énfasis en algo: podemos realizar webshells más avanzadas, dependiendo nuestra creatividad y eso es más que suficiente para hacer Bypass a cualquier sistema de control.

---

Streaming

Sin más, en el Streaming pueden opinar qué tema quieren que mostremos .

Próximamente, tenemos pensado algo que sabemos también gustará.


Además, queremos agradecer a la comunidad de Underc0de y de VIINVIDEOS HD, nos brindan soporte completamente para crear un espacio agradable donde nos consumen nuestras ganas de aprender.

Post creado por: @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta & @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta.

muy bueno puedes hacer uno de exploits web's actualizado?