Exchange + Android = FAIL!!

Tal vez la herramienta mas importante en entornos corporativos hoy en día es el correo electrónico, mediante este servicio se transportan datos cruciales para cualquier compañía, mediante el correo se transportan datos tan importantes como estrategias, productos, usuarios y un largo etc.

Uno de los servidores de correo mas usado en este momento por las corporaciones es Microsoft exchange, bien sea en sus versiones 2007 o 2010 y bueno otras tantas en sus versiones mas antiguas, regularmente las compañías tienen el servicio de correo electrónico unido con el directorio activo por lo tanto el mismo usuario y contraseña nos servirá para ingresar a la red de una compañía (Esto incluye todo y todo es todo lo que el usuario pueda hacer dentro de dicha red). 

Ahora bien si unimos todo lo anterior a que el sistema operativo mas usado en nuestros días para móviles es Android (para las pruebas se utilizo uno con ICS v4.0.3), obtendremos el siguiente pequeño riesgo.

Tipo de ataque

ARP poisoning: consiste en enviar mensajes ARP (Address Resolution Protocol) falsificados, ARP primero que todo es un protocolo que se encarga de resolver la dirección MAC que se corresponde con una dirección IP, por lo tanto ya se imaginaran que hace el ARP poisoning: pues si suplanta la dirección Física para realizar un ataque MITM, existen dos tipos de ataques ARP, activo y pasivo el pasivo únicamente recibe la información la lee y la envía tal cual al otro punto de red mientras que en el activo se modifica la información enviada.

Como se que ya se están impacientando, entremos en materia. este tipo de ataque funciona muchísimo mejor cuando las aplicaciones transmiten la información en texto plano y si logramos hacer el ARP poisoning en una red tendremos toda la información necesaria.

Pues este es el caso de la aplicación exchange para android, si! esta aplicación envía usuario y password en texto plano a través de la red , esto te da la posibilidad de obtener datos de ingreso a muchas redes corporativas.

La dirección 192.168.1.105 corresponde al dispositivo android.

Se realiza el ARP poisoning con Cain & Abel v4.9.43

Solo debemos esperar para obtener URL del servicio, usuario y password.

Como de costumbre les comento que esta información es compartida para uso académico y lo que realicen con ello no es responsabilidad del escritor de esta entrada.

Saludos!!

skyg4mb

La pesadilla de los servidores vinculados (Linked Servers)

Buenos Dias Lectores, este sera la primer entrada relacionada con el tema central de este blog que se concentra en como su titulo lo indica; seguridad, les escribe D4G4 y espero les agrade lo que viene.

Al igual que en otras bases de datos los servidores vinculados hacen parte de las posibilidades de configuración de nuestros motores MS SQL SERVER, ¿que es un servidor vinculado?

Quien lo puede decir mejor que microsoft "Un servidor vinculado permite obtener acceso a consultas heterogéneas distribuidas en orígenes de datos OLE DB. Después de crear un servidor vinculado, las consultas distribuidas se pueden ejecutar en este servidor. Las consultas pueden unir tablas de varios orígenes de datos. Si el servidor vinculado se define como instancia de SQL Server, se pueden ejecutar procedimientos almacenados remotos."

La opciones de seguridad que me permiten un servidor vinculado son:

- Inicio de sesion local

- Representar

- Usuario remoto

Y otras cuatro que no van con el tema de esta publicacion, regularmente los DBA (en donde hay DBA) de las empresas utilizan como opcion de seguridad; Usuario remoto y alli colocan un usuario y un pass de login en el servidor remoto

Como vemos en este tutorial:

Que esta sucediendo cuando el usuario selecciona la opción de esta forma?

Que bien todo funciona de maravillas, puedo hacer lo que quiera en las tablas del servidor remoto. Pero en realidad esto es lo que quería?, la accion que esta realizando el DBA es que TODOS si TODOS los usuarios con acceso a la instancia de la maquina local estan heredando TODOS los permisos DML y DDL del usuario admin, ademas si activa la opcion ejecutar RPC, permite ejecutar todos los procedimientos almacenados del servidor remoto y si Admin es administrador del servidor remoto estamos incluyendo los procedimientos de sistema, es decir todos los usuarios con acceso a la instancia local heredan los privilegios del usuario admin en el servidor remoto. Entonces: ¿para que coños coloca el usuario sa en el listado superior?

Este grave error suele suceder en sistemas de baja importancia que hacen Linked Server a sistemas núcleo de negocio poniendo en riesgo los datos de las compañías.

Solución:

Si es necesario enlazar el servidor en la opción "For a login not defined in the list above, connections will"

Escojan la opción "NOT BE MADE" y definan en la lista superior los accesos a los usuarios locales con los privilegios limitados de los usuarios remotos.

Espero les haya gustado la primer entrega de este blog dedicado a seguridad, toda la informacion aqui expuesta es para fines educativos.

Un abrazo,

skyg4mb.