Puerto 3389: RDP

RDP (Remote Desktop Protocol) es un protocolo propietario desarrollado por Microsoft que permite a los usuarios conectarse a otro equipo a través de una red mediante una interfaz gráfica. RDP opera sobre el puerto 3389 y se utiliza comúnmente para la administración remota de sistemas Windows.

Descripción de RDP

• Protocolo: RDP es un protocolo de capa de aplicación que proporciona una interfaz gráfica para el usuario. Opera sobre TCP y UDP en el puerto 3389.

• Funcionalidad: Permite a los usuarios ver y controlar un escritorio remoto, transferir archivos, y realizar tareas administrativas de forma remota.

• Cifrado: RDP soporta varios niveles de cifrado para proteger los datos transmitidos entre el cliente y el servidor.

• Autenticación: Utiliza métodos de autenticación que incluyen credenciales de usuario y autenticación de red (NLA).

Relevancia en Pentesting

Importancia de RDP en Pentesting:

• Acceso Remoto: RDP proporciona acceso total a un sistema, lo que significa que comprometer un servicio RDP puede dar al atacante control completo sobre el equipo.

• Vulnerabilidades: RDP ha sido objetivo de numerosas vulnerabilidades y exploits, incluyendo vulnerabilidades críticas como BlueKeep (CVE-2019-0708).

• Brute Force y Enumeración: Los servicios RDP son a menudo objetivo de ataques de fuerza bruta y enumeración de usuarios, especialmente si están expuestos a Internet sin medidas de protección adecuadas.

• Detección y Prevención: Evaluar y asegurar los servicios RDP es crucial para prevenir accesos no autorizados y proteger la infraestructura de red.

Ejemplo de Escaneo de RDP con Nmap

Para identificar servidores RDP activos y verificar posibles vulnerabilidades, se puede utilizar Nmap con scripts NSE específicos.

Comando Nmap

nmap -p 3389 --script rdp-enum-encryption,rdp-vuln-ms12-020,rdp-ntlm-info target-ip

Explicación del Comando

• nmap: Ejecuta el comando Nmap.

• -p 3389: Especifica que Nmap debe escanear el puerto 3389, el puerto predeterminado para RDP.

• --script rdp-enum-encryption,rdp-vuln-ms12-020,rdp-ntlm-info: Utiliza scripts NSE para detectar configuraciones y vulnerabilidades en el servicio RDP.

  • rdp-enum-encryption: Enumera los métodos de cifrado soportados por el servidor RDP.

  • rdp-vuln-ms12-020: Detecta la vulnerabilidad MS12-020 en el servidor RDP.

  • rdp-ntlm-info: Recupera información de NTLM del servidor RDP.

• target-ip: Especifica la dirección IP del objetivo.

Ejemplo de Salida de Nmap

Starting Nmap 7.80 ( https://nmap.org ) at 2024-05-18 22:00 UTC
Nmap scan report for 192.168.1.150
Host is up (0.0013s latency).

PORT     STATE SERVICE
3389/tcp open  ms-wbt-server
| rdp-enum-encryption:
|   Security layer
|     CredSSP (NLA): SUCCESS
|     CredSSP with NTLMv2: SUCCESS
|     TLS with NTLMv2: SUCCESS
|     RDP Standard Security: FAILURE
|   RDP Encryption level: Client Compatible
|   Encryption methods supported: 128-bit RC4, 56-bit RC4, 40-bit RC4
| rdp-vuln-ms12-020:
|   VULNERABLE:
|   MS12-020 Remote Desktop Protocol Denial Of Service Vulnerability
|     State: VULNERABLE
|     IDs:  CVE:CVE-2012-0002
|     Risk factor: HIGH
|       A denial of service vulnerability exists in the Remote Desktop Protocol. An attacker
|       who successfully exploited this vulnerability could cause the target system to stop
|       responding.
|
|     Disclosure date: 2012-03-13
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0002
|       https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-020
|_      https://technet.microsoft.com/library/security/ms12-020
| rdp-ntlm-info:
|   Target_Name: EXAMPLE
|   NetBIOS_Domain_Name: EXAMPLE
|   NetBIOS_Computer_Name: SERVER
|   DNS_Domain_Name: example.local
|   DNS_Computer_Name: server.example.local
|   Forest_DNS_Name: example.local
|_  Product_Version: 10.0.14393

Nmap done: 1 IP address (1 host up) scanned in 7.65 seconds

Interpretación de la Salida

• Host is up: Indica que el sistema objetivo está en línea y responde.

• 3389/tcp open ms-wbt-server: El puerto 3389 está abierto y el servicio RDP (Microsoft Terminal Services) está activo.

• rdp-enum-encryption: Enumera los métodos de cifrado soportados por el servidor RDP.

  • CredSSP (NLA): Éxito, indicando que el servidor soporta CredSSP con autenticación de red.

  • TLS con NTLMv2: Éxito, indicando soporte para cifrado TLS con autenticación NTLMv2.

  • RDP Standard Security: Fallo, indicando que el servidor no soporta el cifrado estándar de RDP.

  • Encryption Level: Cliente compatible.

  • Encryption Methods: Métodos de cifrado soportados (128-bit RC4, 56-bit RC4, 40-bit RC4).

• rdp-vuln-ms12-020: Detecta la vulnerabilidad MS12-020, que permite ataques de denegación de servicio en RDP.

  • Estado: Vulnerable.

  • CVE: CVE-2012-0002.

  • Factor de riesgo: Alto.

• rdp-ntlm-info: Recupera información NTLM del servidor RDP.

  • Target Name: EXAMPLE.

  • NetBIOS Domain Name: EXAMPLE.

  • NetBIOS Computer Name: SERVER.

  • DNS Domain Name: example.local.

  • DNS Computer Name: server.example.local.

  • Forest DNS Name: example.local.