quelle est la vulnérabilité si le service DCE sur le port distant est énuméré?
lorsque j'analyse mon serveur à l'aide de nessus, l'un des résultats est le suivant:
En envoyant une demande de recherche au portmapper (TCP 135 ou epmapper PIPE), il était possible d'énumérer les services DCE (Distributed Computing Environment) en cours d'exécution sur le port distant.
À l'aide de ces informations, il est possible de se connecter et de se lier à chaque service en envoyant une demande RPC au port/canal distant.
Mon doute est de savoir si un attaquant peut lancer une attaque en utilisant ce type d'énumération?
S'il existe des vulnérabilités sur les services annoncés par le mappeur de port DCE, l'attaquant pourrait utiliser ces services pour exploiter la machine.
De plus, s'il existe des comptes avec des mots de passe faibles configurés sur ces services, vous devriez être inquiet.
Nessus analysera les premiers, en supposant que ces ports sont à portée, et les seconds dépendront de la sécurité des comptes individuels sur la machine ou son domaine.
En soi, il ne s'agit donc pas d'une vulnérabilité, mais vous ne devez exposer le port 135 qu'à des réseaux de confiance. C'est une mauvaise idée d'avoir ce port exposé à Internet car cela augmente la surface d'attaque, et pourrait vous rendre vulnérable en cas de futures faiblesses trouvées dans ce service ou celles qu'il permet d'énumérer.
Oui, en utilisant MSRPC ou SMB canaux nommés, les services DCE-RPC peuvent être énumérés. Ces informations peuvent fournir des informations sur l'hôte, y compris des informations sur le SAM (c.-à-d., La base de données d'authentification contenant les informations d'identification de l'hôte) ou sous-systèmes de sécurité (par exemple, informations d'identification de service et de domaine) .Les IFID DCE-RPC (numéros d'identification d'interface) peuvent être utilisés pour déterminer la version de Windows et le niveau de correctif approximatif de l'hôte.
Il y a une douzaine d'exploits publics au cours des 16 dernières années qui ciblent les services DCE-RPC, tels que ceux énumérés au niveau dont vous parlez. La plupart ou la totalité d'entre eux sont des exploits d'exécution de code à distance - le type le plus dangereux. Il y a ne autre réponse StackExchange qui passe en revue chacun d'eux et fournit des références sur la façon d'énumérer les détails les plus profonds, ainsi que de déterminer quel système d'exploitation Windows et service pack - ce qui conduira ensuite à découvrir quels exploits à utiliser contre l'hôte cible.