Misión imposible I : "no puedo acceder al servidor dedicado"

Misión imposible I : "no puedo acceder al servidor dedicado" att wizard

Bienvenidos a esta nueva entrada!!!

En esta ocasión como cosa rara, tenemos una vez más a nuestro protagonista estrella wizard.

Todo comienza cuando nuestro intrépido y "experimentado" amigo le dio por cacharrear algunas configuraciones de DNS que tendría que hacer próximamente y como dicen le dio por usar de conejillo el servidor dedicado que tiene contratado la empresa donde labora y que está a su cargo y ese instinto de cacharreo una vez más sin querer queriendo fue su perdición...

...nuestro amigo sobre el servidor con Windows 2008 server R2 agrego el rol y configuro el dominio wizard.com.co (espero y no exista) y demás, mas uno dira ahh eso lo hace cualquiera, pero ¿que paso?

En el momento que nuestro amigo quito todo lo que había montado y reinicio el server tal y como el mismo sistema se lo sugirio, quizo con la agilidad de siempre ingresar sus credenciales pero este solo respondió acceso denegado!!! de modo que intento una y otra vez pero nada de nada, hasta el modo de inicio habia cambiado.

Ahí si como dice mi maestro "tuki"...
...solo me imagino a wizard pensando "oh!! y ahora quien podrá defenderme?"

Desafortunadamente para él, nuestro héroe ya está muy veterano para estos trotes, de modo que no le quedo más que acudir al servicio de soporte del servidor. Los cuales no sé si seria molestando o qué pero una de las tantas cosas que le dijeron fue "¿y se demorarían mucho volviendo a instalar y desplegar todas la aplicaciones?"...

...en conclusión, la solución que le daban es que le iban a formatear el server!!!

Ya no recuerdo porque motivo estaba en las instalaciones de la oficina donde labora wizard, el hecho fue que cuando su jefe le dijo “ve wizard no puedo entrar al dedicado” en ese momento el simplemente dijo “estoy en las mismas, no puedo entrar al servidor dedicado” y ya se imaginaran que después de esto vino el porqué y las respectivas explicaciones

 jejeje de eso es mejor no hablar!!!

El hecho fue que entre tanto y tanto en el área de desarrollo uno del equipo le pregunto al desarrollador estrella (me imagino que es el mejor ya que le llaman gurú) si había podido desplegar los servicios web en el dedicado, y la respuesta en este momento fue si el servidor de glassfish está funcionando sin problemas…

 

En ese momento les dije glassfish?, es el mismo dedicado al que no puede acceder wizard? En los dos casos la respuesta  fue afirmativa de modo esa recuperación de acceso al sistema que los de soporte veían como imposible, fue tomando un color diferente.

 

De inmediato les dije: ¿puedo intentar algo con su servidor?
Wizard ya sabía que a cambio de publicar una vez más una de sus historias en mi blog yo podría intentar recuperar su servidor, y al no haber más opciones y con la presión de necesitar acceder de forma rápida aceptaron mi propuesta. 

 

La verdad me senti asi:

 

 jajaja no mentiras!!!

¿Cuál fue la solución?, mis apreciados lectores la verdad fue algo bastante sencillo (pensé que iba a ser más grave) solo fue que el desarrollador estrella con las medidas para que no viera la contraseña de su glassfish desplegara mi webshell en jsp y buala!!!,

Desafortunadamente no me dejaron tomar los pantallazos pero d7n0 tiene evidencia de la Shell en uso, el funcionamiento es igual ya que como esta en java la programe de forma que funcionara en Windows y en Linux…

...asi que les muestro una de las imagenes del mundo de d7n0s4ur70

 

En el punto en que la webShell se desplego y se ejecuto de manera apropiada el siguiente paso fue
Verificar los usuarios del sistema:

>net user
donde solo aparecían el usuario Administrador y el usuario guest
 

De modo que pudimos verificar que los otros usuarios habían sido borrados del sistema, con base en esto intentamos crear un nuevo usuario ya que en este caso lo más probable es que glassfish estuviera corriendo con privilegios, de modo que ejecutamos
 

>net user crodallega 12345 /add
Y la respuesta del sistema fue The command completed successfully

Fail!!!

En conclusión ya habíamos agregado un usuario al sistema, ahora solo nos quedaba darle los privilegios correspondientes
 

> net localgroup administrators crodallega /add

Con el cual la respuesta de igual manera fue satisfactoria

En este punto se accesó con la nueva cuenta de manera satisfactoria y yo le di de baja a la webshell.

El desarrollador estrella muy agradecido me facilito un pantallazo de la administracion de usuarios que realizo despues de acceder (casi no les muestro nada del escenario real)

 

De este modo (algo realmente sencillo) se logro realizar la misión imposible, para los encargados del soporte claro esta!!!
Ahora el asunto es:
¿Debería el glassfish haberme permitido hacer todo lo que hice?,
¿No debería ejecutarse con pocos privilegios?
Ahí les dejo para que reflexionen y porque no para que comenten.

Hasta una próxima entrada quien les escribe:

Carlos Andrés Rodallega Obando
@crodallega

PD1: Desarrollador estrella, recuerdas que ya antes te había hablado de los privilegios del glassfish? Que bueno que no me habías hecho caso, jajaja es broma.

PD2: A wizard gracias por ayudarme a generar contenido, sigue asi muchacho, saludos!!!

Soy consciente que use una plataforma parcialmente insegura y tu??

Bienvenidos a esta nueva entrada!!!


En esta ocasión les traigo el caso de éxito (lo fue para mí) que fue lograr que se mejoraran las condiciones de las plataformas de aprendizaje que se tienen en el programa de Ingeniería de Sistemas de la Universidad del Cauca.

Todo comenzó ya hace varios semestres (en términos universitarios) cuando me encontraba en uno de los laboratorios del programa realizando unas pruebas de captura de tráfico, esto aprovechando que en ese entonces la red estaba basada en hubs de modo que podía capturar el trafico de todos los equipos sin ningún problema, o sea sin realizar ninguna acción adicional a abrir mi analizador de protocolos favorito wireshark.

Sin mas cosas vamos al grano, en un momento durante una de las capturas pude ver una gran cantidad de peticiones del tipo http que se hacían hacia una ip en una red diferente desde varios equipos de la red, al analizar este tráfico exhaustivamente pude ver que hacía uso del método post  para el envió de parámetros, de modo que al mirar con detalle la información que se estaba enviando di con dos parametros que de inmediato fueron muy atractivos para mí en este caso “username” y “password” de modo que fue solo tomar la ip de destino y como dijo el que mira la tabla con júbilo “BINGO” era el servidor de moodle del programa, en este caso:

http://pis.unicauca.edu.co/

del mismo modo realice las respectivas pruebas con el otro servidor que también tiene moodle el cual es:

http://ciclope.unicauca.edu.co/ev/

y desafortunadamente mi queridos  lectores el resultado fue el mismo

de modo que tome la evidencia y envié las respectivas notificaciones; buscando en mi correo encontré la imagen que le envié en ese entonces en un correo al ingeniero Libardo Pantoja (miren las fechas de las imágenes)

 

En ese punto se tomaron las acciones correspondientes sobre el servidor de ciclope de modo que tiempo después al realizar la captura del tráfico de la misma manera, solo se capturo trafico https.

 

Lo curioso es que a pesar de que se había notificado en ese tiempo aun hasta hace 2 semanas más o menos el problema sobre el primer servidor persistía y esto a pesar de que le habían actualizado la  versión de moodle (se ve mas bonito en verdad); de modo que no me quedo más que re-notificar y hablar de mis intensiones de realizar esta publicación.

Esto funciono debido a que los directos encargados me escribieron comunicándome que iban a tomar las acciones respectivas y ya hace unos 6 días me notificaron que ya se puede acceder a este usando https

https://www.unicauca.edu.co/moodle-2.1.2/login/index.php

De modo que mi labor con la U una vez más estaba cumplida; hago la afirmación anterior debido a  aquí entre nos, lo mismo se realizó de forma similar con los accesos sobre el servidor de correo que la verdad son mucho más críticos debido a que esas credenciales son las mismas que se usan para el acceso al tan apreciado SIMCA (Sistema de matriculas de la Universidad del Cauca)  ¿se imaginan en este sistema a alguien con las credenciales de acceso de un docente o un administrativo?

como dirian OSRIVA & ENCANTO : Mmmm jodido!!!

Lo bueno de estos casos es que ya los problemas fueron corregidos y siendo sincero es gratificante el hecho de poder colaborar con tu institución y aun más cuando te das cuenta que tu opinión tiene un valor significativo para ellos.

No siendo mas hasta una proxima entrada, quien les escribe

Carlos Andrés Rodallega Obando

@crodallega

PD: Eso si, les digo que tengo la conciencia tranquila ya que a pesar que llegue a obtener credenciales de algunos profes y compañeros en ningún momento hice uso de ellas (no tenia la autorización respectiva), de modo que si no confían en mí les recomiendo en la próxima entrada a las plataformas cambien su password!!!