[XP] Slechtste configuratie mogelijk gezocht

[Chemist]

Ik ben bezig een VM te maken die gaat dienen als studieobject voor het testen van security. Nu heb ik al diverse vulnerable web applicaties draaien (Hacme series, Webgoat, DVWA, mutillidae), maar nu leek het me ook wel leuk om windows zelf zo onveilig mogelijk te maken.

Als basis heb ik XP SP3 genomen, dus de meest bekende exploits zullen (waarschijnlijk) niet meer werken, maar er zullen ongetwijfeld nog configuraties mogelijk zijn die normaal gesproken absoluut af te raden zijn.

Software die tot nu toe geinstalleerd is:
- windows XP SP3
- .NET framework 1.0, 1.1, 2.0
- IIS 5.1
- XAMPP 1.7.2
- tomcat (2 instances)
- MSDE 2000
- Adobe Coldfusion MX 7

Wat ik zelf al bedacht (en ingesteld) heb:
- firewall uit
- guest account enabled
- alle databases / applicatie servers accepteren verbindingen vanaf ieder IP

Verder lijkt het me ook wel leuk om wat software te installeren die redelijk simpel te exploiten is. Uiteraard kan je met metaspl0it heel veel doen, maar ik ben meer op zoek naar de dingen die nog handmatig te doen zijn.

Iemand nog tips om mijn windows zo onveilig mogelijk te maken ?

[Gomez12]

File-access opengooien op de complete schijf ( desnoods write-access achter een dictionary pw ), dan is de complete pc iemands speeltuin als hij 1x opnieuw opgestart wordt. ( of met een binaire registry editor eerder )

[leuk_he]

Kun je geen XP sp1 meer vinden?

[0xDEADBEEF]

_{Wat is het host-OS ?}

Chemist schreef op dinsdag 29 september 2009 @ 23:31:
Als basis heb ik XP SP3 genomen

Daar heb je niet per sé een XP/Windows-installatie voor nodig:

Nepenthes is a versatile tool to collect malware. It acts passively by emulating known vulnerabilities and downloading malware trying to exploit these vulnerabilities

http://nepenthes.carnivore.it/

[Chemist]

Gomez12 schreef op dinsdag 29 september 2009 @ 23:38:
File-access opengooien op de complete schijf ( desnoods write-access achter een dictionary pw ), dan is de complete pc iemands speeltuin als hij 1x opnieuw opgestart wordt. ( of met een binaire registry editor eerder )

Dat dictionary ww is een leuke ja !! Gelijk even instellen.

@0xDEADBEEF
Nephentis is een honeypot; die vangt dus alleen maar dingen af zonder wat door te laten. Niet echt interessant dus als studieobject omdat alles lijkt werken zonder daadwerkelijk wat te doen ..
(desalnietemin bedankt voor de suggestie)

[sebastius]

Beetje zoals dit?

[Patriot]

sebastius schreef op dinsdag 29 september 2009 @ 23:49:
[afbeelding]

Beetje zoals dit?

Hah, daar moest ik ook al aan denken. Vraag me eigenlijk af in hoeverre zoiets mogelijk is..

[Mistraller]

VNC met wachtwoord welkom/admin oid?

[Chemist]

LOL !!

Nou, ik heb ooit een aquarium gehad en dat was op zich wel leuk, maar uiteindelijk kostte dat me te veel tijd. Misschien moet ik dit maar eens overwegen

[Chemist]

Mistraller schreef op dinsdag 29 september 2009 @ 23:59:
VNC met wachtwoord welkom/admin oid?

VNC en RDP met zwak wachtwoord is ook leuk ja !
(dat ik daar zelf niet op gekomen ben ... )

[Gomez12]

Chemist schreef op dinsdag 29 september 2009 @ 23:46:
[...]
@0xDEADBEEF
Nephentis is een honeypot; die vangt dus alleen maar dingen af zonder wat door te laten. Niet echt interessant dus als studieobject omdat alles lijkt werken zonder daadwerkelijk wat te doen ..
(desalnietemin bedankt voor de suggestie)

Dat kan toch ook gewoon onderdeel zijn van security testen? Het onderscheid kunnen maken tussen een honeypot en een echt lek...
En het kunnen doorbreken van een honeypot is ook een leuke uitdaging ( weet je wanneer je erdoor bent )

Maar wat is het beoogde publiek? 1e jaars studenten of mensen die serieus met security bezig zijn?
Want volgens mij ben je nu gewoon een totaal onrealistische speeltuin aan het creeeren die niets meer met security te maken heeft.

Voor een studieobject voor security zou ik gewoon wat security meldingen van een half jaar geleden pakken en ze daar naar laten zoeken, het enige nadeel is dat er tegenwoordig te veel script-kiddie packs zijn die met 1x downloaden en executen veelal voldoende zijn, met een inet verbinding en de juiste sites heb je een pc met security van een half jaar geleden ( of langer ) in een kwartier doorgelicht...

[Chemist]

Gomez12 schreef op woensdag 30 september 2009 @ 00:01:
Maar wat is het beoogde publiek? 1e jaars studenten of mensen die serieus met security bezig zijn?
Want volgens mij ben je nu gewoon een totaal onrealistische speeltuin aan het creeeren die niets meer met security te maken heeft.

Op zich heb je gelijk, maar de bedoeling is een VM te maken voor meerdere gerichte doelen. Het wordt dus geen speeltuin in de zin van 'kijk maar hoe ver je komt', maar wel een speeltuin in de zin van 'deze specifieke vulnerability is aanwezig; probeer hem maar te exploiten'. Een specifieke gerichte aanval op een bewust onveilig systeem dus. Verder heb je gelijk dat dit geen uitdaging gaat zijn voor degenen die al wat langer bezig zijn, maar dat is ook de bedoeling niet. De omgeving gaat met name gebruikt worden in awereness cursussen. Voor degenen die al enige ervaring hebben heb ik al een paar realistischere VM's.

[Gomez12]

Je moet het zelf weten, maar mijn menig erover is :

Chemist schreef op woensdag 30 september 2009 @ 00:14:
[...]
maar wel een speeltuin in de zin van 'deze specifieke vulnerability is aanwezig; probeer hem maar te exploiten'.

Wow, een cursus googlen, meer kan ik het niet echt noemen...

De omgeving gaat met name gebruikt worden in awereness cursussen. Voor degenen die al enige ervaring hebben heb ik al een paar realistischere VM's.

De meeste mensen die ik ken die vragen na zo'n awareness cursus of zij dat of dat of dat ook hebben, zonee dan gaan ze gewoon weer verder slapen achter hun bureau.
Ik zou je toch echt adviseren om ze wat daadwerkelijke problemen te laten zien die ze ook op hun eigen computer kunnen nabootsen ipv ze enkel het gevoel te geven dat hun pc wel goed beveiligd is want alle getoonde gaten werken niet op hun pc.

[Chemist]

Gomez12 schreef op woensdag 30 september 2009 @ 00:23:
Je moet het zelf weten, maar mijn menig erover is :

[...]

Wow, een cursus googlen, meer kan ik het niet echt noemen...


[...]

De meeste mensen die ik ken die vragen na zo'n awareness cursus of zij dat of dat of dat ook hebben, zonee dan gaan ze gewoon weer verder slapen achter hun bureau.
Ik zou je toch echt adviseren om ze wat daadwerkelijke problemen te laten zien die ze ook op hun eigen computer kunnen nabootsen ipv ze enkel het gevoel te geven dat hun pc wel goed beveiligd is want alle getoonde gaten werken niet op hun pc.

Sja ... Een awareness cursus geef je natuurlijk niet aan de hand van 1 VM. Deze VM moet gewoon een omgeving worden waar ik snel en simpel wat basis voorbeelden kan laten zien. Verder gaat het er hier met name om om de problemen in webapplicaties aan te geven en dan is het natuurlijk wel zo dat het feit dat ' OR '1'='1 niet werkt op je productiemachine geen garantie is dat je niet vatbaar bent voor SQL injections.

[alt-92]

Chemist schreef op woensdag 30 september 2009 @ 08:09:
[...] Verder gaat het er hier met name om om de problemen in webapplicaties aan te geven en dan is het natuurlijk wel zo dat het feit dat ' OR '1'='1 niet werkt op je productiemachine geen garantie is dat je niet vatbaar bent voor SQL injections.

Err...No offense maar SQL injection is een kwestie van je applicatie, niet van je OS.

Maar evengoed past je topic met deze insteek beter in B&V
Ik verhuis 'm daar dan ook naartoe.

[Chemist]

alt-92 schreef op woensdag 30 september 2009 @ 08:15:
[...]
Err...No offense maar SQL injection is een kwestie van je applicatie, niet van je OS.

None taken en je hebt gelijk; het was ook maar een voorbeeld. De focus van de VM is voornamelijk insecure applicaties, maar als ik dan toch een onveilige VM maak, dan kan ik net zo goed wat extra gaten er in plaatsen.