Windows Remote Management Protocols
Windows servers pueden ser administrados localmente utilizando las tareas de administración de Server Manager en servidores remotos. La administración remota está habilitada de manera predeterminada a partir de Windows Server 2016. La administración remota es un componente de las características de administración de hardware de Windows que gestiona el hardware del servidor local y remotamente. Estas características incluyen un servicio que implementa el protocolo WS-Management, diagnósticos de hardware y control a través de controladores de administración de placas base, y una API COM y objetos de script que nos permiten escribir aplicaciones que se comuniquen remotamente a través del protocolo WS-Management.
Los principales componentes utilizados para la administración remota de Windows y servidores Windows son los siguientes:
Protocolo de Escritorio Remoto (RDP)
Windows Remote Management (WinRM)
Windows Management Instrumentation (WMI)
RDP
El Protocolo de Escritorio Remoto (RDP) es un protocolo desarrollado por Microsoft para el acceso remoto a una computadora que ejecuta el sistema operativo Windows. Este protocolo permite que los comandos de visualización y control se transmitan mediante la GUI encriptada a través de redes IP. RDP funciona en la capa de aplicación en el modelo de referencia TCP/IP, utilizando típicamente el puerto TCP 3389 como protocolo de transporte. Sin embargo, el protocolo sin conexión UDP también puede usar el puerto 3389 para la administración remota.
Para que se establezca una sesión RDP, tanto el firewall de la red como el firewall en el servidor deben permitir conexiones desde el exterior. Si se utiliza la Traducción de Direcciones de Red (NAT) en la ruta entre el cliente y el servidor, como suele ser el caso con las conexiones a Internet, la computadora remota necesita la dirección IP pública para acceder al servidor. Además, debe configurarse el reenvío de puertos en el enrutador NAT en dirección al servidor.
RDP ha manejado la Seguridad de Capa de Transporte (TLS/SSL) desde Windows Vista, lo que significa que todos los datos, y especialmente el proceso de inicio de sesión, están protegidos en la red mediante un buen cifrado. Sin embargo, muchos sistemas Windows no insisten en esto y aún aceptan cifrado inadecuado a través de la Seguridad de RDP. No obstante, con esto, un atacante aún está lejos de ser bloqueado porque los certificados que proporcionan la identidad son meramente autofirmados por defecto. Esto significa que el cliente no puede distinguir un certificado genuino de uno falsificado y genera una advertencia de certificado para el usuario.
El servicio de Escritorio Remoto está instalado de forma predeterminada en servidores Windows y no requiere aplicaciones externas adicionales. Este servicio puede activarse utilizando el Server Manager y viene con la configuración predeterminada para permitir conexiones al servicio solo a hosts con Autenticación a Nivel de Red (NLA).
Footprinting the Service
Escanear el servicio de RDP puede proporcionarnos mucha información sobre el host. Por ejemplo, podemos determinar si NLA (Network Level Authentication) está habilitado en el servidor, la versión del producto y el nombre del host.
Nmap
Resultado del escaneo:
Adicionalmente, podemos usar la opción --packet-trace para rastrear los paquetes individuales e inspeccionar su contenido manualmente. Observamos que las cookies de RDP (mstshash=nmap), utilizadas por Nmap para interactuar con el servidor RDP, pueden ser identificadas por los cazadores de amenazas y varios servicios de seguridad, como Endpoint Detection and Response (EDR), lo que podría bloquear nuestra entrada como pentesters en redes endurecidas.
Resultado del escaneo con trazado de paquetes:
Un script en Perl llamado rdp-sec-check.pl fue desarrollado por Cisco CX Security Labs, que puede identificar sin autenticación la configuración de seguridad de los servidores RDP basándose en los handshakes.
Verificación de Seguridad de RDP - Instalación
Al ejecutar CPAN para instalar módulos Perl, primero te pedirá configurar algunas opciones. La mayoría se pueden configurar automáticamente.
Luego, instalamos el módulo Encoding::BER:
Después de la instalación del módulo, clonamos el repositorio del script de verificación de seguridad de RDP:
Verificación de Seguridad de RDP
Resultado del escaneo:
Conexión a servidores RDP en Linux
Es posible autenticarse y conectarse a servidores RDP de varias maneras. En Linux, se pueden usar herramientas como xfreerdp, rdesktop o Remmina para interactuar con la GUI del servidor.
Iniciar una Sesión RDP
Para iniciar una sesión de RDP en Linux utilizando xfreerdp, ejecuta el siguiente comando:
Proceso de conexión:
Advertencia de certificado:
Detalles del certificado:
Después de autenticar con éxito, se abrirá una nueva ventana con acceso al escritorio del servidor al cual te has conectado.
WinRM
Windows Remote Management (WinRM) es un protocolo de administración remota integrado en Windows que utiliza la línea de comandos. WinRM se basa en SOAP (Simple Object Access Protocol) para establecer conexiones con hosts remotos y sus aplicaciones. Este servicio debe habilitarse y configurarse explícitamente, comenzando con Windows 10.
WinRM utiliza los puertos TCP 5985 y 5986 para la comunicación, con el puerto 5986 utilizando HTTPS. Anteriormente, los puertos 80 y 443 se usaban para esta tarea, pero debido a razones de seguridad, se adoptaron los nuevos puertos.
Otro componente útil en la administración remota es Windows Remote Shell (WinRS), que permite ejecutar comandos en sistemas remotos. WinRS viene incluido en Windows 7 de forma predeterminada. A través de WinRM, se pueden ejecutar comandos en servidores remotos.
Servicios como sesiones remotas con PowerShell y la fusión de registros de eventos requieren que WinRM esté habilitado. En versiones de Windows Server 2012 y posteriores, WinRM está activado por defecto, pero en versiones anteriores debe configurarse manualmente y habilitar las excepciones necesarias en el firewall.
Footprinting del Servicio
Como ya sabemos, WinRM utiliza los puertos TCP 5985 (HTTP) y 5986 (HTTPS) por defecto, los cuales podemos escanear usando Nmap. Sin embargo, a menudo veremos que solo se utiliza HTTP (TCP 5985) en lugar de HTTPS (TCP 5986).
Escaneo de WinRM con Nmap
Como WinRM utiliza los puertos TCP 5985 (HTTP) y 5986 (HTTPS), se pueden escanear estos puertos utilizando Nmap. En muchos casos, solo se usa el puerto HTTP (5985) en lugar de HTTPS.
El escaneo muestra que el puerto 5985 (HTTP) está abierto y es utilizado por Microsoft HTTPAPI.
Comprobación de Conexiones WinRM
En entornos Windows, se puede usar el cmdlet Test-WsMan de PowerShell para verificar si un servidor remoto está disponible a través de WinRM. En Linux, se puede usar la herramienta evil-winrm, diseñada para interactuar con WinRM.
Conexión usando Evil-WinRM
La conexión a través de evil-winrm se ha establecido correctamente y se ha obtenido acceso al sistema remoto, donde es posible ejecutar comandos.
WMI
Windows Management Instrumentation (WMI) es la implementación de Microsoft y también una extensión del Common Information Model (CIM), una funcionalidad central del estándar Web-Based Enterprise Management (WBEM) para la plataforma Windows. WMI permite acceso de lectura y escritura a casi todas las configuraciones de los sistemas Windows. Por lo tanto, es la interfaz más crítica en el entorno de Windows para la administración y mantenimiento remoto de computadoras con Windows, ya sean PC o servidores.
WMI se accede típicamente a través de PowerShell, VBScript o la Windows Management Instrumentation Console (WMIC). No es un solo programa, sino que consiste en varios programas y diversas bases de datos, también conocidas como repositorios.
Footprinting del Servicio
La inicialización de la comunicación con WMI siempre se realiza a través del puerto TCP 135, y luego de establecerse la conexión con éxito, la comunicación se traslada a un puerto aleatorio. Por ejemplo, el programa wmiexec.py del toolkit Impacket puede utilizarse para esto.
WMIexec.py
Es importante mencionar que el conocimiento adquirido al instalar estos servicios y experimentar con las configuraciones en nuestro propio servidor Windows no puede ser reemplazado por leer manuales. Por ello, recomendamos encarecidamente configurar tu propio Windows Server, experimentar con la configuración y escanear estos servicios repetidamente para observar las diferencias en los resultados.
Last updated