qual è la vulnerabilità se il servizio DCE sulla porta remota è enumerato?

Question

qual è la vulnerabilità se il servizio DCE sulla porta remota è enumerato?

#1 da (7 voti)
#2 da (2 voti)

7

quando eseguo la scansione del mio server usando nessus, uno dei risultati è il seguente:

By sending a Lookup request to the portmapper (TCP 135 or epmapper PIPE) it was possible to enumerate the Distributed Computing Environment (DCE) services running on the remote port.

Using this information it is possible to connect and bind to each service by sending an RPC request to the remote port/pipe.

Il mio dubbio è se un utente malintenzionato può avviare un attacco utilizzando questo tipo di enumerazione?

penetration-test nessus

posta PentestLover 02.11.2015 - 10:49

fonte

2 risposte

Leggi altre domande sui tag penetration-test nessus

C'è qualche motivo di sicurezza per cui i servizi di posta come gmail o yahoomail limitano la dimensione del file allegato? Perché i codici SMS di autenticazione a 2 fattori di Google non iniziano mai con uno 0? [chiuso]

score 7 · Answer 1

Se ci sono delle vulnerabilità sui servizi che il portmapper DCE pubblicizza, l'utente malintenzionato potrebbe utilizzare questi servizi per sfruttare la macchina.

Inoltre, se ci sono account con password deboli impostate su questi servizi, dovresti preoccuparti.

Nessus analizzerà il primo, supponendo che quelle porte siano nel campo di applicazione, e quest'ultimo arriverà alla sicurezza dei singoli account sulla macchina o sul suo dominio.

Quindi di per sé non è una vulnerabilità, tuttavia è necessario esporre la porta 135 solo alle reti affidabili. È una cattiva idea avere questa porta esposta a Internet perché aumenta la superficie di attacco e potrebbe lasciarti vulnerabile nel caso di future debolezze trovate in questo servizio o in quelle che consente l'enumerazione di.

score 2 · Answer 2

Sì, utilizzando le pipe denominate MSRPC o SMB, i servizi DCE-RPC possono essere enumerati. Queste informazioni possono fornire informazioni sull'host, incluse informazioni sul sottosistema SAM (ad esempio, database di autenticazione contenente le credenziali dell'host) o Sicurezza (ad esempio, servizio e credenziali di dominio). Gli IFID DCE-RPC (numeri di identificazione dell'interfaccia) possono essere utilizzati per determinare la versione di Windows e il livello di patch approssimativo dell'host.

Negli ultimi 16 anni ci sono una decina di exploit pubblici che si rivolgono ai servizi DCE-RPC, come quelli elencati al livello di cui si sta parlando. La maggior parte, o tutti, di questi sono exploit di esecuzione di codice remoto - il tipo più pericoloso. Esiste un'altra risposta StackExchange che analizza ciascuno di questi e fornisce riferimenti su come enumerare i dettagli più profondi, nonché come determinare quale sistema operativo e service pack di Windows - che porterà quindi a scoprire quali exploit utilizzare contro l'host di destinazione.