Episode 1 : Attacking Windows 2000 Server Using Microsoft RPC DCOM Interface Overflow Exploit

1. OPENING 
Episode kali ini saya akan bercerita mengenai cara menjebol sekuritas dari Windows 2000 dengan menggunakan salah satu exploit milik Metasploit 3 yaitu ms03_026_dcom. ms03_026_dcom adalah salah satu modul exploitasi milik Metasploit yang dapat meng-eksploitasi beberapa Windows Operating System, antara lain Windows NT 4.0 SP3-6a, Windows 2000, Windows XP, dan Windows 2003, namun hanya untuk versi yang menggunakan Bahasa Inggris (English Version). Modul Exploit ini memanfaatkan hole yang terjadi saat sistem mengalami stack overflow/ buffer overflow di bagian RPCSS service. Hole ini ditemukan oleh sebuah group riset bernama “Last Stage Of Delirium”.
Berikut adalah References untuk Hole Ini:

http://www.osvdb.org/2100

http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx

http://www.securityfocus.com/bid/8205

!! Breaking Info !! Buffer Overflow/ Stack Overflow adalah suatu kondisi dimana sebuah computer mengalami proses yang tidak wajar, yang diakibatkan karena data- data yang disimpan melebihi kapasitas buffer/stack dari memory computer tersebut. -http://en.wikipedia.org/wiki/Buffer_overflow- RPCSS Service adalah Sebuah Service Pada OS Windows yang mengatur metode RPC (Remote Procedure Call).RPC adalah sebuah metode yang memungkinkan sebuah program atau user untuk dapat mengakses sebuah procedure dari program pada computer lain melalui network. - http://www.cexx.org/rpc.htm -

Exploit modul milik metasploit untuk eksploitasi hole ini bernama ms03_026_dcom. Exploit modul ini dibuat oleh hdm (hdm@metasploit.com), spoonm (spoonm@no$email.com) and cazz (bmc@shmoo.com). Exploit modul ini ditulis dalam bahasa Ruby.  Untuk Source code dari Exploit Modul ini bisa di-download dari link ini à http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/exploits/windows/dcerpc/ms03_026_dcom.rb

2. CLIMAX
Dalam episode ini, spesifikasi yang saya gunakan dalam mengeksploitasi adalah sebagai berikut:

• Attacker :
• OS : Windows 7 Ultimate
• Metasploit Framework 3
• NMap
• Target :
• OS:Windows 2000 Server Run On VirtualBox

Dalam melakukan eksploitasi saya membaginya menjadi 3 part, yaitu:

I.        Scanning IP Target

Untuk tahap ini saya menggunakan NMap untuk searching IP address dan Port dari Target yang akan di eksploitasi.  Untuk NMap dapat didownload dari alamat http://nmap.org/download.html. Setelah NMap diinstal. langkah yang dilakukan adalah sebagai berikut:

·         Buka Command Prompt (Run -> CMD).

·         Ketik nmap –sS –O   à ex/: nmap –sS –O –P 192.168.56.2-255

è Opsi –sS gunanya untuk TCP SYN scanning, jadi scanning dilakukan dengan mengirimkan signal SYN kepada target, bila ada balasan berarti target UP.Opsi ini biasanya digunakan pada target yg berada pada subnet yg sama dg attacker.

è Opsi –O untuk mengetahui Sistem Operasi yang digunakan target

è Untuk Opsi lain bisa dengan mengetikan nmap pada command prompt.

·         Setelah selesai scan tandai IP yang akan diattack, dan pastikan bahwa Port 135 milik Target terbuka, karena Exploit ini akan menggunakan Port tersebut.

II.    Launch Exploit

Setelah didapatkan IP dan Port milik Target, kita akan me-launch exploit ke target sebagai pembuka Jalan untuk kita melakukan eksploitasi terhadap System milik Target. Untuk melakukan Exploit dilakukan dengan cara sebagai berikut:

·         Buka Console Metasploit.(Untuk yang menggunakan metasploit GUI bisa melompati step ini)

·         Pada  Console Ketikkan ‘search exploits ms03_026_dcom’ untuk mencari exploit ms03_026_dcom.

·         Setelah itu Ketikkan  ‘use exploit/windows/dcerpc/ms03_026_dcom’

·         Kemudian Ketikkan ‘show payloads’, maka akan muncul payload yang dapat digunakan untuk exploitasi ke target. Payload yang saya gunakan adalah ‘generic/shell_bind_tcp’, dimana payload ini akan membuka sebuah console yang dapat mengakses Command Prompt milik target dengan akses Admin sehingga dapat menembus System Windows (heheheheheh)

·         Setelah didapat, ketikkan ‘set payload generic/shell_bind_tcp’ untuk menggunakan payload tersebut pada exploit ms03_026_dcom, setelah sukses ketikkan ‘show options’, maka akan muncul variable yang harus kita set. Variablenya adalah RHOST, dimanaa RHOST adalah IP dari target.Untuk mengesetnya ketikkan ‘set RHOST ’, untuk mengeceknya ketikkan ‘show options’, jika RHOST sudah terisi berarti set RHOST sukses.

3. ANTI CLIMAX

III.        Exploiting Target

·         Setelah setting exploit Selesai, maka launch exploit tersebut. Caranya, pada Console ketikkan “exploit”, maka metasploit akan memproses tunnel ke Command Shell Target.

·         Setelah Proses Selesai, ketikkan “sessions –i lalu enter , maka akan terbuka command shell dari Korban. Command Shell akan mengacu ke folder System 32 dari OS Target. Nah, apabila hal ini telah “terjadi” maka kita sudah dapat mengakses System Target Secara Penuh. Kita dapat melakukan apa saja, mulai dari mengacak- acak system dari OS target, mengubah Account admin target, dan lain sebagainya.

·         Misalkan saya akan menambahkan account administrator ke target, sehingga saya tidak perlu melakukan tunneling lagi bila saya akan mengakses OS target, Langkahnya adalah :

                                                               i.      Ketikkan : net user /add

                                                             ii.      Kemudian jadikan user tersebut menjadi administrator, ketikkan : net localgroup /add

                                                            iii.      Lalu cek dengan mengetikkan : net user , jika ada maka proses pembuatan account berhasil, dengan itu, kita sudah bisa menggunakan akun tersebut untuk akses OS target. :D

·         Setelah berhasil dicoba, maka cobalah untuk menggakses dengan menggunakan user tersebut .