Дневник на Том Хънтър: „Собака на Баскервилите“

Закачването с подписването е обичайна практика за всяка голяма компания. Договорът между Том Хантер и един от веригите за домашни любимци за задълбочено тестване на сигурността не е изключение. Предстоящата задача беше да се провери както сайтът, така и вътрешната мрежа, дори и работният Wi-Fi.

Не е изненадващо, че ръцете на Том копнееха да действат още преди да бъдат уредени всички формалности. Просто един бърз скан на сайта, по-вероятно е такъв известен магазин като 'Собака Баскервилевых' да не допусне грешки тук. След няколко дни му бе предоставен подписаният оригинал на договора — в този момент, с третата чаша кафе, Том с интерес оценяваше състоянието на складовете в системата за управление на съдържанието...

Източник: Ehsan Taebloo

Но не успя да направи никакви забележителни действия в CMS — IP адресът на Том Хантер беше блокиран от администраторите на сайта. Въпреки това, можеше да успее да генерира бонуси за картата на магазина и дълго време да храни любимия си котарак на ниска цена... 'Не този път, Дарт Сидиус' — помисли си с усмивка Том. Беше интересно да преминеш от зоната на уебсайта в местната мрежа на клиента, но явно тези сегменти не бяха свързани. Все пак, така често се случва в много големи компании.

След приключването на всички формалности, Том Хантер се въоръжи с предоставения VPN акаунт и потегли към локалната мрежа на клиента. Акаунтът беше в домейн Active Directory, така че без особени усилия можеше да направи дамп на AD — да изтегли цялата публична информация за потребителите и работните машини.

Том стартира утилитата adfind и започна да изпраща LDAP заявки до контролера на домейна. С филтър за клас objectСategory, задавайки person като атрибут. Получи отговор със следната структура:

dn:CN=Гост,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гост
>description: Вградена акаунт за достъп на гости до компютъра или домейна
>distinguishedName: CN=Гост,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Освен това имаше още много полезна информация, но най-интересното лежеше в полето >description: >description. Това е коментар към записа — принципно удобно място за съхранение на незначителни бележки. Но администраторите на клиента решиха, че и паролите могат спокойно да си почиват тук. Кому, в крайна сметка, може да са интересни всичките тези незначителни служебни акаунти? Затова коментарите, които получи Том, изглеждаха така:

Създадено от Администратор, 2018.11.16 7po!*Vqn

Не е нужно да си гений, за да разбереш какво ще ти послужи комбинацията в края. Беше нужно само да парснат голям файл с отговори от КД по полето >description: и ето — 20 двойки логин-парола. Освен това почти половината имат права за достъп по RDP. Неплохая плацдарма, време е да разделим атакуващите сили.

Мрежова среда

Достъпните шари „Собаките на Баскервил“ наподобяваха голям град в целия си хаос и непредсказуемост. С профилите user и RDP Том Хантер бе в този град като бедно момче, но дори той успя да види много неща през блестящите витрини на политиката за сигурност.

Части от файловите сървъри, счетоводни сметки и дори свързани с тях скриптове — всичко това беше предоставено за общ достъп. В настройките на един от тези скриптове Том намери MS SQL хеш на един потребител. Малко магия с брутфорс — и хешът на потребителя се превърна в обикновена парола. Благодаря на John The Ripper и Hashcat.

Към някакъв капан този ключ трябваше да подхожда. Капанът беше намерен и още повече — с него бяха свързани десет „капана“. И в шест от тях лежаха… права на суперпотребител, nt authority система! На два успяхме да стартираме хранима процедура xp_cmdshell и да изпратим cmd команди в Windows. Какво още да пожелаеш?

Домейн контролери

Вторият удар, който Том Хантер подготви за домейн контролерите. В мрежата „Собаките на Баскервил“ имаше три — в съответствие с броя на териториално отдалечените сървъри. Всеки домейн контролер има обществена папка, като открита витрина в магазина, около която се навърта същото бедно момче Том.

И този път момчето отново имаше късмет — от витрината не бяха премахнали скрипта, в който беше захардкожен паролата на локалния сървърен администратор. Така че пътят към домейн контролера беше отворен. Влизай, Том!

Тук из магическата шапка беше извадено mimikatz, който осигури няколко домейн-администратори. Том Хантер получи достъп до всичките машини в локалната мрежа и дяволският смях изплаши котката от съседното кресло. Този маршрут беше по-кратък, отколкото се очакваше.

EternalBlue

Споменът за WannaCry и Petya все още живее в умовете на пентестърите, но изглежда, че някои администратори са забравили за крипто вирусите сред потока на другите вечерни новини. Том откри три узла с уязвимост в протокола SMB — CVE-2017-0144 или EternalBlue. Това е същата уязвимост, с която се разпространяваха крипто вирусите WannaCry и Petya, уязвимост, която позволява изпълнението на произволен код на узла. На един от уязвимите узли имаше сесия на домейн администратора — „експлоатирай и получи“. Какво да се прави, времето не е научило всички.

„Кучето на Баскервилите“

Класиките в информационната сигурност обичат да повтарят, че най-слабата част на всяка система е човекът. Забелязали ли сте, че заглавието по-горе не съответства на името на магазина? Може би не всички са толкова внимателни.

По най-добрите традиции на фишинговите блокбастъри, Том Хантер регистрира домейн, който се различава с една буква от домейна на „Кучето на Баскервилите“. Имейл адресът на този домейн имитираше адреса на службата по информационна сигурност на магазина. През 4 дни, между 16:00 и 17:00 часа, равномерно на 360 адреса от фалшивия адрес се разпращаше такова писмо:

Може би само собствената им мързеливост спаси служителите от масовото разкриване на пароли. От 360 писма, само 61 бяха отворени — службата за сигурност не е много популярна. Но след това нещата бяха по-лесни.

Фишинг страница

46 души кликнаха на линка и почти половината — 21 служители — не погледнаха адресната лента и спокойно въведоха своите потребителски имена и пароли. Добър улов, Том.

Wi-Fi мрежа

Сега на помощ от котката не можеше да се разчита. Том Хантер натовари в своя стар седан няколко устройства и се отправи към офиса на „Кучето на Баскервилите“. Неговото посещение не беше предварително уговорено: Том планираше да тества Wi-Fi на клиента. На паркинга на бизнес център се намериха няколко свободни места, които удобно влизаха в периметъра на целевата мрежа. Очевидно не са мислели особено за его ограничения — сякаш администраторите хаотично добавяха допълнителни точки в отговор на всяка жалба за слаб Wi-Fi.

Как работи защитата WPA/WPA2 PSK? Шифроването между точката за достъп и клиентите осигурява ключ за предварителна сесия — Pairwise Transient Key (PTK). PTK използва Pre-Shared Key и пет други параметри — SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), MAC адресите на точката за достъп и клиента. Том е перехвърлил всичките пет параметра и сега му липсва само Pre-Shared Key.

Утилитата Hashcat забрути това недостающе звено за около 50 минути — и нашият герой се озова в гостуваната мрежа. От нея вече можеше да види работната — странно, но тук Том се справи с паролата за девет минути. И всичко това, без да напуска паркинга, без всякакви VPN. Работната мрежа отвори нови възможности за чудовищна дейност, но той… така и не добави бонусите на картата на магазина.

Том направи пауза, погледна часовника, остави няколко банкноти на масата и, следвайки се, излезе от кафенето. Може би нов пентест, а може и нещо друго телеграм-канал придумал да напише…


Източник: habr.com