Hoy a primera hora ha faltado la profesora de lengua, y como tenemos que hacer un trabajo de sociales por parejas en los ordenadores, la de sociales nos dijo que nos iba a dar los ordenadores para que siguiéramos haciendo el trabajo, algunos de la clase cuando se enteraron de que la de lengua no vino se fueron, con intención de entrar a segunda hora, yo opté por quedarme para analizar la red del instituto, como mi pareja se fue tenía el ordenador para hacer lo que yo quisiera.
Por supuesto tenía mi pendrive encima para copiar lo que fuera necesario, lo primero que copié fue el archivo de configuración de grub, para luego intentar crackear la contraseña y confiar en que esa password coincida con la de root y a su vez dicha password de root sea común para todos los PCs de la red, así como con la de los servidores, porque esto lo manejan desde Sevilla, y no creo que tengan una contraseña para cada PC de todos los que han distribuido por Andalucía.
También apunté las direcciones ip internas de los 2 servidores que hay en la red, f0 y c0, servidor de seguridad y servidor de contenidos respectivamente es como los llama la Junta de Andalucía, gracias a esto también descubro que el servidor f0 es el DNS de la red, también me llamo la atención el curioso nombre que reciben dentro de la red, tenían toda la pinta de ser accesible desde internet, no os quiero poner la dirección entera porque si lo hago podéis averiguar a que instituto voy y después es fácil averiguar quien soy, y prefiero mantener mi anonimato y un mínimo de privacidad. Bueno esos dos nombres también los apunté, uno de los motivos que me llevo a pensar que sería accesible desde el exterior es que el final de nombre de ambos servidores era junta-andalucia.es. Posteriormente he comprobado que esa hipótesis es falsa, no son accesibles desde internet, o al menos no usando esos nombres.
Mas cosas, yo también sabía que desde un navegador se pueden ver las estadísticas de ambos servidores, por lo que las mire, las URLs son simples, f0/munin y c0/munin, miro las estadísticas de ambos servidores y solo veo que se usan poco, el centro TIC no tiene mucha actividad, también mirando con mas detenimiento quizás hubiera sacado algo de información sobre el hardware, pero eso no lo mire, eran demasiadas estadísticas y no iba a estar mucho tiempo con eso. Sin embargo ahora que lo pienso debí haber guardado las paginas html de las estadísticas de ambos servidores para analizarlo con detenimiento aquí en mi casa.
También probé a conectarme por ssh a ambos sistemas usando el usuario por defecto de guadalinex, 'usuario' con su fuerte contraseña 'usuario'. No sirvió para nada. También apunte la ip externa del instituto, para hacerle un scaneo de puerto desde mi casa a ver si tiene algún servicio accesible desde el exterior. Acabo de hacerle un scaneo ahora mismo y dice que tiene abiertos el 23 y el 80, telnet y http, que según acabo de ver, para la conexión http hay que autenticarse y por telnet... tampoco funciona, pide user y pass y no sirve nada de lo que he probado.
También tras una intensa búsqueda de documentación oficial sobre los centros tic (esto lo hice el domingo en mi casa), averigüé que la url para acceder al filtro de contenido era f0/app/filtrodecontenido, lo pongo en el firefox y me pide user y pass, tampoco logré entrar, y a primera vista no era vulnerable a los ataques mas sencillos de sql injection, luego habría que probar también haciéndolo con los códigos ascii de cada carácter, pero eso no lo probé.
También entré a la interfaz web de administración de los usuarios en el servidor de contenidos, porque aparte de los usuario locales del ordenador (realmente el único útil es usuario), han montado en el servidor un sistema de ficheros remoto, de forma que cada uno tiene un user y un password propio (cada alumno y cada profesor) y en la pantalla de login de Guadalinex cada uno se logea con su user/pass propio, esto se envía al server, se verifica, y luego se envía los datos de cada usuario, es un sistema de archivos remoto, cada user tiene un /home remoto en el servidor, excepto usuario, ese es un usuario local en cada ordenador y no hace falta network para loguearse, yo por supuesto todas mis investigaciones las hago desde el user usuario, no voy a entrar desde mi propio usuario. Bueno lo que os decía, estos usuarios remotos son lo que se administran desde esa web en el servidor c0/gesuser, pero, por supuesto, hacía falta user/pass y no pude entrar tampoco, y si también probe sql injection no me sirvió, ahora pensándolo en frío y con detenimiento me he dado cuenta de que podría haber probado xss y rfi, para el próximo día dejaré preparadas un par de shells php, por si acaso funcionara el rfi.
Por último el domingo en mi casa me pase por la sección de descargas del CGA (Centro de Gestión Avanzada) , que es quien lleva todo el tema, y me descargue la iso de guadalinex remote install. Que es para instalación en red, y es la imagen que usan en los centros tic para instalar vía red el sistema, se arranca el sistema con esa imagen y con el portátil conectado al server y luego desde el server se envía todo lo necesario para la instalación del sistema completo. Me pareció útil para obtener algún dato del server y sobre como se obtenían los datos, también me resulto atractivo porque si consigo los datos que se usan para dejar los portátiles listos para ser usados con su guadalinex completo, podría obtener el /etc/shadow o algo sobre el sistema que me diera información sobre root. Bueno monte la imagen en /mnt, con mout -o loop -t iso9660 instalacion_remota.iso /mnt y listo, me voy a /mnt y miro por allí a ver que hay, leo el syslinux.cfg y veo que se conecta via ftp al server f0 y obtiene el fichero install.cfg, bien ya sabemos algo más, el server f0 tiene un servidor ftp, ya hoy, en el instituto, me conecto por por ftp a f0, pongo en firefox ftp://f0 y me por lo que veo parece un servidor apt, miro y efectivamente era un servidor de paquetes, ademas miro también el /etc/apt/sources.list para confirmar que es el servidor que utilizan los PCs del centro, y efectivamente, este es el único repositorio que tienen: deb ftp://f0/guadalinex-cga breezy main restricted, miro también que paquetes hay a ver si hay alguno que me pueda ser útil, por ejemplo, nmap, no, no estaba, bueno vuelvo a atrás y miro los archivos que había por allí, el que mas importante me pareció fue el install.cfg, que por supuesto lo copié, todavía no lo he analizado, es un poco largo, pero creo que describe perfectamente el proceso de instalación, ya lo miraré despacio.
Eso es todo lo que hecho. Voy a ver si crackeo el pass de grub a ver que pasa. Otra cosa, tengo que comprobar si tengo permisos de escritura sobre /boot/grub/menu.lst, de ser así borro la línea del password, reinicio, edito, entro como root copio el archivo /etc/shadow y crackeo directamente el pass de root, pero bueno de todas formas creo que la cosa va bien, si alguien tiene una buena rainbow table que haga el favor de mirarme este hash: $1$RTEFc1$TtQvImnmXq/wDQaQyN7Ec1
De todas formas creo que grub usa salted hash así que no se como va a salir la cosa, luego seguiré pensando, ahora tengo que empezar a estudiar que ya me he pasado la hora que tenía prevista, que aunque parezca mentira en preparar un post se tarda bastante mas de lo que parece.
Saludos ;-)
PD: Todavía no he montado lo del disco duro, ahora voy a estudiar, a ver si luego hago algo.
