« Il était une fois un pentester qui découvrait le mot de passe pour se connecter sur un service Terminal Server lors d'un test d'intrusion. Passé un certain temps, il réussit (ou échoua) à compromettre le système localement avec une élévation de privilèges. Ennuyé, il commença à s'intéresser à la configuration réseau du Terminal Server. Soudain, il constata que ce serveur était connecté à un réseau invisible depuis son ordinateur ! Le pentester décida donc d'attaquer le nouveau réseau depuis le Terminal Server. Malheureusement, il se lassa rapidement, car il ne disposait pas des outils nécessaires sur le serveur pour attaquer. Aucun moyen de transférer un fichier, pas même un accès à Internet.Sans nouvelle découverte intéressante, le pentester finit par oublier ce serveur... »
1. Introduction
Le déport d'affichage pour les applications est une fonctionnalité utilisée depuis longtemps avec des protocoles comme X11, VNC et RDP. Par exemple, un client se connecte à un serveur Citrix et se retrouve dans un environnement graphique restreint, généralement dédié à une application bien particulière. Un aspect de ces environnements peu abordé concerne les attaques par rebonds possibles sur ces systèmes. Lorsque l'on se retrouve projeté dans un environnement restreint (ex : Terminal Server, Application Citrix), il est difficile et parfois impossible d'attaquer les services réseau visibles seulement depuis cet environnement.
Cet article propose une solution pour réaliser des relais TCP via une session Terminal Server afin de pouvoir attaquer le réseau uniquement visible depuis ce serveur. Le scénario est donc qu'il existe des services réseau sensibles et visibles uniquement à partir du Terminal Server. Le filtrage mis en place dans...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
