Blog

Instalando y atacando phpVirtualBox – Acceso remoto a Maquinas Virtuales

Buenas a todos! En este nuevo post vamos a ver una utilidad de VirtualBox llamada phpVirtualBox. ¿Que es eso de phpVirtualBox? Pues básicamente es un proyecto que permite administrar nuestras maquinas virtuales de VirtualBox con una interfaz web, ya sea accediendo local o remotamente.

Lo primero que vamos a hacer es ver como podríamos instalarlo. Los pasos a seguir serian los siguientes:

– Descargarnoslo de “http://code.google.com/p/phpvirtualbox/downloads/list”.

– Lo descomprimimos y los copiamos a “/var/www” para poder acceder desde la web.

– Editamos el fichero config.php para modificar el usuario y la password por los de nuestro Sistema Operativo.

– Una vez hemos echo esto, ejecutamos el servidor web de virtualbox mediante “sudo vboxwebsrv”

 

Y con esto ya tendríamos en nuestro servidor un administrador de maquinas virtuales que podemos manejar desde casa pero… ¿Y la seguridad? Pues ese es como siempre un punto que a mucha de la gente que monta estos servicios se le olvida. Al instalar phpVirtualBox estamos permitiendo controlar nuestras maquinas virtuales de forma remota, pero como veremos a continuación, se puede obtener mucha mas información.

Para empezar y como es costumbre, únicamente una minoría de la gente cambia la contraseña por defecto de acceso, que es admin/admin, por lo que resulta trivial poder acceder. Cuando me di cuenta de esto busque un poco por Google y Shodan a ver la cantidad de objetivos que se encontraban con una simple búsqueda y el resultado fue el siguiente:

phpVirtualBox

phpVirtualBox_2

 

Como veis hemos encontrado mas de 1400 resultado en Google y mas de 600 en Shodan únicamente con una consulta. De estos ya os aseguro que muchas tiene admin/admin, pero… ¿Y que se puede hacer realmente en estos objetivos si fuéramos un atacante?

Lo primero lógicamente seria comprobar que el acceso es admin/admin, sino seria necesario realizar fuerza bruta contra el panel web con cualquier tipo de Software como BurpSuite.

phpVirtualBox_3

 

En caso de lograr acceso a la zona interna de phpVirtualBox veremos una pantalla como la siguiente, donde nos aparecen las maquinas virtuales que tiene el objetivo de una forma muy similar al software de VirtualBox.

phpVirtualBox_4

 

Ahora ya tenemos acceso muy privilegiado al sistema. Vamos a ver que podríamos hacer… Lo primero, podríamos ver la configuración de cada MV.

phpVirtualBox_5

 

phpVirtualBox_6

 

Aquí seria posible obtener información sobre la red y demás pero… Lo mas interesante sin duda seria la posibilidad de compartir carpetas, ya que podríamos compartir con alguna maquina virtual la carpeta raíz y al acceder a la maquina virtual (Ahora veremos como) podríamos acceder también a todos los archivos del servidor, pudiendo modificar y leer cualquier archivo del host anfitrión.

 

¿Pero… Como entramos en la maquina virtual?

Pues es realmente sencillo, tenemos dos posibilidades aunque muy similares. La primera, seria seleccionar la maquina virtual que queremos y arriba a la derecha la damos a “Console”.

phpVirtualBox_7

 

Una vez le demos nos aparecerá la siguiente pantalla…

phpVirtualBox_8

 

Una vez le demos a conectar nos conectara mostrándonos el escritorio remoto en pantalla, que podremos controlar a nuestro antojo, por lo tanto y unido a compartir las carpetas tendríamos acceso completo tanto a la MV como al host anfitrión.

La otra forma de acceder es en la pantalla de “Details” en la parte de “Display” nos aparece un enlace (El 5000 en este caso, que indica el puerto) que nos descarga un archivo para poder conectarnos de forma remota mediante RPD, lo cual provocaría el mismo final que antes, tener acceso a la MV como si estuviéramos delante del ordenador.

phpVirtualBox_9

 

Ademas de esto que hemos visto, también seria posible hacer otra seria de cosas, como cambiar la contraseña del administrado, acceder a la configuración de phpVirtualBox, importar y exportar maquinas virtuales, etc… Lo cual también podría darnos gran cantidad de información.

Por lo tanto y como conclusión, recordar cambiar siempre la contraseña de todos los servicios que instaléis y sobretodo aquellos que estén de cara al publico. Por otro lado, que para aquellos que tengáis que hacer alguna auditoria o test de intrusión, echéis un ojo a ver si vuestro objetivo tiene un phpVirtualBox instalado y publico porque os ahorraría mucho trabajo 😉

Si queréis mas información sobre como instalar phpVirtualBox aquí os dejo un par de enlaces, pero por favor, asegurarlas!

Enlace 1

Enlace 2

 

Espero que os haya gustado!

Un saludo,

Eduardo – eduardo@highsec.es – @_Hykeos

  1. Ahiezer Alvares
    Ahiezer Alvares01-28-2014

    Realmente un buen articulo.

Leave a Reply

*

    No Twitter Messages