Skip to content

Reproduciendo el exploit «Aurora» para Internet Explorer

Publicado por Sergio Hernando el 18 enero 2010

Hola,

Os dejo este vdeo que he grabado hace un ratito para ilustrar la ltima vulnerabilidad de Internet Explorer. Recomiendo visionar en HQ y a ser posible a pantalla completa (para ello, hacer doble click en el video), ya que con el tamao de previsualizacin a duras penas se puede ver la secuencia de comandos.

Esta demo demuestra cmo con el simple hecho de visitar una pgina maliciosa con una versin vulnerable de Internet Explorer (6.0 en este caso) es posible ganar acceso a un sistema. Espero que sea de utilidad para aquellos que quieran evaluar si sus despliegues son vulnerables o no, as como para concienciar a los usuarios de los efectos devastadores que puede tener un problema de seguridad.

Todo est ejecutado en una mquina Windows XP SP3, tanto Metasploit v3.3.4-dev como lgicamente, el propio navegador. No hay que ser un genio para hacer esta prueba en tu propio ordenador: basta con saber leer.

El problema se debe, segn los laboratorios de McAfee, a que cuando un usuario carga manualmente un sitio Web, cdigo JavaScript especialmente conformado provoca una corrupcin de memoria que en ltima instancia permite el acceso al sistema. Esta vulnerabilidad es extremadamente crtica, y el cdigo lleva circulando libremente por Internet desde hace un par de das, lo que hace ms que posible que el exploit, que en principio se dise para el robo de propiedad intelectual en un ataque segmentado contra grandes corporaciones, pueda estar explotndose de un modo ms generalista.

En ausencia de parches, echa un vistazo a estos consejos prcticos. Si no tienes claro si tu combinacin de navegador y sistema es vulnerable, lo mejor es no usar Internet Explorer hasta que se distribuya el parche corrector.

Un saludo,

Be Sociable, Share!

Categoría/s → Seguridad

5 comentarios
  1. 19 enero 2010

    Jarl! Menudo miedo que das! :-))

    Muy instructivo: a ver si tengo ms tiempo y me lo empollo un poco (que lo que para ti es fcil, para el nefito, creme, es ciencia ficcin :-)).

    Un abrazo,

    Paquito.

  2. 24 marzo 2010
    Angy permalink

    HOla disculpa estoy siguindo paso por paso el video
    pero no tengo instalado el ie_aurora como hago para cargarlo?

  3. 24 marzo 2010

Trackbacks & Pingbacks

  1. Tweets that mention Reproduciendo el exploit “Aurora” para Internet Explorer » Sergio Hernando -- Topsy.com
  2. Isaiasv.com » Blog Archive » Lecturas Recomendas del día

Escribir un comentario

Note: XHTML permitido. Tu email nunca será publicado.

Suscribirse a los comentarios via RSS