Sqlmap Parte II: Obteniendo acceso de administrador de base de datos.

En esta segunda etapa veremos cómo obtener acceso de administrador de base datos con Sqlmap y de esta manera poder conectarnos por mysql a través de phpmyadmin, esto es muy importante, ya que en un Pentesting real a veces sucede que al obtener las credenciales del panel administrativo, la password se encuentra encriptada, y no es posible obtenerla en texto plano.

Objetivo a atacar

Se tiene la máquina utilizada anteriormente (con ciertas modificaciones), es importante mencionar que en esta parte nos enfocaremos en lograr acceder dentro del panel de administración y realizar un deface.

Panel de administración del Target

Al tener el panel de administración, procederemos a extraer la información necesaria de la tabla de users (login y password) para lograr ingresar dentro del panel administrativo.

Dump de credenciales del target

Al extraer esta información, se utilizó el diccionario por defecto de Sqlmap para intentar realizar un cracking a la contraseña, sin embargo no se logró tener éxito. Posteriormente se utilizó un diccionario personalizado para intentar obtener la contraseña en texto plano, sin embargo el ataque no logró completarse.

En algunos casos no es posible crackear la contraseña, ya que estas utilizan combinaciones más complejas, las cuales no se encuentran disponibles en un diccionario.

Si bien es cierto, es posible realizar un cracking a este tipo de contraseñas, sin embargo es incierto el tiempo que tardaría, ya que dependerá de la complejidad de la misma.

Es necesario pensar si es posible acceder a través de otro recurso de la aplicación. Por esta razón al investigar los recursos de la aplicación nos encontramos con lo siguiente:

Phpmyadmin disponible

Se encuentra disponible el servicio phpmyadmin. Este servicio permite administrar las bases de datos del servidor web, tener este servicio expuesto representa un riesgo, por lo que se recomienda siempre bloquear el acceso desde Internet.

Con Sqlmap es posible extraer las credenciales que permiten acceder a este servicio.

Opciones fundamentales para la extracción de usuarios de base de datos

Usuarios del sistema gestor de Base de Datos

A continuación se procederá a realizar la extracción de las contraseñas (hashes) de cada uno de estos usuarios, y posteriormente se intentará realizar el cracking de los mismos.

Dump de los hashes de Usuarios

Al extraer los usuarios con sus respectivas contraseñas en texto plano es momento de acceder a phpmyadmin e iniciar una sesión.

Sesión iniciada en phpmyadmin

Posteriormente ingresaremos a la base de datos que nos interesa, en este caso es photoblog.

Tablas de la Base de datos photoblog

Como vimos en un principio, al extraer el usuario del panel de administración del sitio web nos arrojó un usuario admin y un password no fue posible crackear a través de un diccionario. Ahora procederemos a agregar otro usuario con un password en md5.

Agregando un usuario al sistema

Lo que se realizó fue añadir un usuario al sistema denominado “manager” y la contraseña “manager” cifrada con MD5. Ahora procederemos a ir al panel de administración del sitio web e ingresar con este usuario.

Sesión Iniciada en el target

Una vez iniciada la sesión en el sitio web objetivo, es momento de subir una web shell para realizar un deface.

Uploader del sitio web

Es importante mencionar que si se intenta subir un archivo con extensión PHP, el sistema no nos permite subir esa clase de archivos, para lograr bypassear el uploader utilizaremos el complemento de Mozilla llamado Tamper Data, con esta herramienta es posible interceptar la petición enviada al servidor y posteriormente modificarla.

Bypasseando Uploader

Al cambiar la extensión PHP por la extensión PHP3, el archivo se logra subir correctamente. Finalmente buscamos la ruta donde se suben las imágenes y ejecutamos nuestra web shell.