Salve Tecnogers,
quest'oggi voglio proproporvi una fantastica guida, scritta dal sottoscritto sul momento, come segno di riconoscimento per il forum.
La guida tratta una grave falla che possiedono la maggior parte delle aziende e delle scuole. La tecnica consiste nell'escalation: guadagnare accesso come amministratore in una macchina, poi del server e infine prendere la password di tutti gli utenti.
Ovviamente è tutto a solo scopo informativo, né io né Tecnogers.com ci prendiamo la resposabilità dell'uso che ne farete!




Per prima cosa bisogna avere accesso ad una macchina connessa alla LAN dell'azienda/scuola (es.: account di lavoro / studio).
Per prendere le password di amministratore della macchina ci servono i file SAM e SYSTEM che risiedono in C:\WINDOWS\system32\config\
Windows ovviamente non lo permette, ma un cd live sì. Si avvia quindi il BIOS del pc all'avvio, si inserisce un cd bootabile (che si può avviare dal BIOS) e che abbia la possibilità di avviare la live (es. ubuntu) e la si avvia.
Si copiano poi i file precedentemente trattati (SAM e SYSTEM) in una chiaveta usb: ora non avranno alcuna protezione dalla copia.
Ora bisogna prendere l'hash della password di amministratore: utilizziamo il programma ophcrack, selezioniamo load>encrypted SAM e poi la cartella contenente i due file.
Avremo così l'elenco degli username della macchina, compreso quella di amministratore e la sua relativa password in LM se windows XP o in NT se windows vista/7.
Per decriptarla ed ottenere la password reale utilizzeremo due siti:
1 NTLM Decrypter - NTLM Decryption, Free NTLM Decryptor, Online NTLM Cracker, NTLM Security
2 Objectif Sécurité - Ophcrack
(con windows xp avremo circa il 99% di possibilità di trovarla, mentre con windows vista/7 sarà già più difficile)


Ottenuta la password di admin ci logghiamo come tale nella macchina ed eseguiamo il programma cachedump, il quale ci permettera di ottenere gli hash delle password di rete, non locali, che sono precedentemente loggati con quella macchina.
Se non c'è l'amministratore provate con altre macchine dove è probabile che si sia loggato oppure usate il social engineer: con qualche scusa fatelo loggare con quella macchina. [Molto probabilmente la password di admin delle varie macchine corrispondono]
Estrate la password dall'hash come fatto sopra e loggatevi come amministratore di rete: ora utilizzando pwdump o ophcrack>load>remote SAM otteniamo l'elenco completo di tutti gli username e password (hash) dell'azienda/scuola.


In questo modo è possibile compromettere "tutti" gli account, accedere risorse di altri a livelli di accesso ai quali non si aveva diritto, gestire remotamente il server e molto altro


Direi che è una grave falla che deve essere presto colmata.
Le soluzioni sono principalmente due:
1-Mettere una password al BIOS [non sempre funziona, alcuni programmi possono rimuoverla]
2-Usare password con più di 14 caratteri e con simboli (es. @, #, !, ?, ecc) [l'hash diventa troppo difficile da poter essere decriptato]




Dunque, voi cosa ne pensate di questo grave problema?