একবার পেন্টেস্টে, বা কীভাবে একজন ইউরোলজিস্ট এবং রোসকোমনাডজোরের সাহায্যে সবকিছু ভেঙে ফেলা যায়

এই নিবন্ধটি একটি খুব সফল পেন্টেস্টের উপর ভিত্তি করে লেখা হয়েছিল যা গ্রুপ-আইবি বিশেষজ্ঞরা কয়েক বছর আগে পরিচালনা করেছিলেন: একটি গল্প ঘটেছে যা বলিউডে চলচ্চিত্রের জন্য অভিযোজিত হতে পারে। এখন, সম্ভবত, পাঠকের প্রতিক্রিয়া অনুসরণ করবে: "ওহ, আরেকটি পিআর নিবন্ধ, আবার এগুলি চিত্রিত করা হচ্ছে, সেগুলি কতটা ভাল, একটি পেন্টেস্ট কিনতে ভুলবেন না।" ওয়েল, একদিকে, এটা হয়. যাইহোক, এই নিবন্ধটি উপস্থিত হওয়ার জন্য অন্যান্য কারণ রয়েছে। আমি দেখাতে চেয়েছিলাম যে পেন্টেস্টাররা ঠিক কী করে, এই কাজটি কতটা আকর্ষণীয় এবং অ-তুচ্ছ হতে পারে, প্রকল্পগুলিতে কী মজার পরিস্থিতি দেখা দিতে পারে এবং সবচেয়ে গুরুত্বপূর্ণভাবে বাস্তব উদাহরণ সহ লাইভ উপাদান দেখান।

বিশ্বে শালীনতার ভারসাম্য পুনরুদ্ধার করতে, কিছুক্ষণ পরে আমরা একটি পেন্টেস্ট সম্পর্কে লিখব যা ভাল হয়নি। আমরা দেখাব যে কীভাবে একটি কোম্পানিতে সুপরিকল্পিত প্রক্রিয়াগুলি আক্রমণের সম্পূর্ণ পরিসরের বিরুদ্ধে রক্ষা করতে পারে, এমনকি ভালভাবে প্রস্তুতকৃতগুলিও, কারণ এই প্রক্রিয়াগুলি বিদ্যমান এবং বাস্তবে কাজ করে৷

এই নিবন্ধে গ্রাহকের জন্য, সবকিছুই সাধারণত চমৎকার ছিল, আমাদের অনুভূতি অনুসারে রাশিয়ান ফেডারেশনের বাজারের অন্তত 95% এর চেয়ে ভাল, তবে বেশ কয়েকটি ছোট ছোট সূক্ষ্মতা ছিল যা ইভেন্টের একটি দীর্ঘ শৃঙ্খল তৈরি করেছিল, যা প্রথমে কাজ একটি দীর্ঘ রিপোর্ট নেতৃত্বে, এবং তারপর এই নিবন্ধে.

সুতরাং, আসুন পপকর্ন মজুত করি, এবং গোয়েন্দা গল্পে স্বাগতম। শব্দ - পাভেল সুপ্রুনুক, গ্রুপ-আইবি-এর "অডিট অ্যান্ড কনসাল্টিং" বিভাগের প্রযুক্তিগত ব্যবস্থাপক।

পার্ট 1. Pochkin ডাক্তার

2018 একটি গ্রাহক আছে - একটি উচ্চ প্রযুক্তির আইটি সংস্থা, যা নিজেই অনেক ক্লায়েন্টকে পরিবেশন করে। প্রশ্নটির উত্তর পেতে চায়: কোনো প্রাথমিক জ্ঞান এবং অ্যাক্সেস ছাড়াই কি ইন্টারনেটের মাধ্যমে কাজ করে অ্যাক্টিভ ডিরেক্টরি ডোমেন প্রশাসকের অধিকার পাওয়া সম্ভব? আমি কোন সামাজিক প্রকৌশলে আগ্রহী নই (ওহ, কিন্তু নিরর্থক), তারা উদ্দেশ্যমূলক কাজের সাথে হস্তক্ষেপ করতে চায় না, তবে তারা দুর্ঘটনাক্রমে - একটি অদ্ভুতভাবে কাজ করা সার্ভার পুনরায় লোড করতে পারে, উদাহরণস্বরূপ। একটি অতিরিক্ত লক্ষ্য হল বাইরের ঘেরের বিপরীতে যতটা সম্ভব অন্যান্য আক্রমণ ভেক্টর চিহ্নিত করা। কোম্পানি নিয়মিত এই ধরনের পরীক্ষা পরিচালনা করে, এবং এখন একটি নতুন পরীক্ষার সময়সীমা এসেছে। শর্তগুলি প্রায় সাধারণ, পর্যাপ্ত, বোধগম্য। চল শুরু করি.

গ্রাহকের একটি নাম আছে - মূল ওয়েবসাইট সহ এটি "কোম্পানী" হতে দিন www.company.ru. অবশ্যই, গ্রাহককে ভিন্নভাবে বলা হয়, তবে এই নিবন্ধে সবকিছু নৈর্ব্যক্তিক হবে।
আমি নেটওয়ার্ক রিকনেসান্স পরিচালনা করি - কোন ঠিকানা এবং ডোমেনগুলি গ্রাহকের সাথে নিবন্ধিত রয়েছে তা খুঁজে বের করুন, একটি নেটওয়ার্ক চিত্র আঁকুন, কীভাবে পরিষেবাগুলি এই ঠিকানাগুলিতে বিতরণ করা হয়। আমি ফলাফল পেয়েছি: 4000 টিরও বেশি লাইভ আইপি ঠিকানা। আমি এই নেটওয়ার্কগুলির ডোমেনগুলির দিকে তাকাই: সৌভাগ্যবশত, বিশাল সংখ্যাগরিষ্ঠ নেটওয়ার্কগুলি গ্রাহকের ক্লায়েন্টদের জন্য উদ্দিষ্ট, এবং আমরা আনুষ্ঠানিকভাবে সেগুলিতে আগ্রহী নই৷ গ্রাহকও একই ভাবেন।

256 টি ঠিকানা সহ একটি নেটওয়ার্ক রয়ে গেছে, যার জন্য এই মুহুর্তের মধ্যে ইতিমধ্যে আইপি ঠিকানাগুলির দ্বারা ডোমেন এবং সাবডোমেনগুলির বিতরণ সম্পর্কে একটি বোঝাপড়া রয়েছে, স্ক্যান করা পোর্টগুলি সম্পর্কে তথ্য রয়েছে, যার অর্থ আপনি আকর্ষণীয়গুলির জন্য পরিষেবাগুলি দেখতে পারেন। সমান্তরালভাবে, সমস্ত ধরণের স্ক্যানার উপলব্ধ আইপি ঠিকানাগুলিতে এবং ওয়েবসাইটগুলিতে আলাদাভাবে চালু করা হয়।

সেবা অনেক আছে. সাধারণত এটি পেন্টেস্টারের জন্য আনন্দ এবং দ্রুত বিজয়ের প্রত্যাশা, যেহেতু যত বেশি পরিষেবা রয়েছে, আক্রমণের জন্য ক্ষেত্র তত বড় এবং একটি শিল্পকর্ম খুঁজে পাওয়া তত সহজ। ওয়েবসাইটগুলির একটি দ্রুত নজরে দেখা গেছে যে তাদের বেশিরভাগই বৃহৎ বৈশ্বিক কোম্পানিগুলির সুপরিচিত পণ্যগুলির ওয়েব ইন্টারফেস, যা সমস্ত উপস্থিতি দ্বারা আপনাকে বলে যে তারা স্বাগত নয়৷ তারা একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ডের জন্য জিজ্ঞাসা করে, দ্বিতীয় ফ্যাক্টরটি প্রবেশ করার জন্য ক্ষেত্রটি ঝেড়ে ফেলে, একটি TLS ক্লায়েন্ট শংসাপত্রের জন্য জিজ্ঞাসা করে, অথবা এটি Microsoft ADFS-এ পাঠায়। কিছু ইন্টারনেট থেকে সহজলভ্য হয়. কারো কারো জন্য, আপনার অবশ্যই তিনটি বেতনের জন্য একটি বিশেষ অর্থপ্রদানকারী ক্লায়েন্ট থাকতে হবে বা প্রবেশ করার জন্য সঠিক URLটি জানতে হবে। পরিচিত দুর্বলতাগুলির জন্য সফ্টওয়্যার সংস্করণগুলি "ব্রেক থ্রু" করার চেষ্টা করার প্রক্রিয়ায়, ওয়েব পাথগুলিতে লুকানো সামগ্রী অনুসন্ধান করা এবং লিঙ্কডইন-এর মতো তৃতীয় পক্ষের পরিষেবাগুলি থেকে ফাঁস হওয়া অ্যাকাউন্টগুলি, সেগুলি ব্যবহার করে পাসওয়ার্ডগুলি অনুমান করার চেষ্টা করার প্রক্রিয়াতে ধীরে ধীরে হতাশার আরেকটি সপ্তাহ এড়িয়ে যাই। স্ব-লিখিত ওয়েবসাইটগুলিতে দুর্বলতা খনন করার জন্য — যাইহোক, পরিসংখ্যান অনুসারে, এটি আজ বহিরাগত আক্রমণের সবচেয়ে প্রতিশ্রুতিশীল ভেক্টর। আমি অবিলম্বে মুভি বন্দুকটি নোট করব যা পরবর্তীতে গুলি করেছিল।

সুতরাং, আমরা দুটি সাইট খুঁজে পেয়েছি যা শত শত পরিষেবা থেকে আলাদা। এই সাইটগুলির মধ্যে একটি জিনিস মিল ছিল: আপনি যদি ডোমেন দ্বারা সূক্ষ্ম নেটওয়ার্ক রিকনেসান্সে জড়িত না হন, তবে খোলা পোর্টগুলির জন্য মাথার দিকে তাকান বা একটি পরিচিত আইপি পরিসর ব্যবহার করে একটি দুর্বলতা স্ক্যানারকে লক্ষ্য করেন, তাহলে এই সাইটগুলি স্ক্যানিং এড়িয়ে যাবে এবং সহজে হবে না DNS নাম না জেনেই দৃশ্যমান। সম্ভবত তারা আগে মিস করেছে, অন্তত, এবং আমাদের স্বয়ংক্রিয় সরঞ্জামগুলি তাদের সাথে কোনও সমস্যা খুঁজে পায়নি, এমনকি যদি সেগুলি সরাসরি সংস্থানে পাঠানো হয়।

যাইহোক, পূর্বে লঞ্চ করা স্ক্যানারগুলি সাধারণভাবে পাওয়া যায়। আমি আপনাকে মনে করিয়ে দিই: কিছু লোকের জন্য, "পেন্টেস্ট" "স্বয়ংক্রিয় স্ক্যান" এর সমতুল্য। কিন্তু এই প্রকল্পের স্ক্যানার কিছুই বলেনি। ঠিক আছে, মাঝারি দুর্বলতা দ্বারা সর্বাধিক দেখানো হয়েছে (তীব্রতার পরিপ্রেক্ষিতে 3 টির মধ্যে 5): কিছু পরিষেবাতে একটি খারাপ TLS শংসাপত্র বা পুরানো এনক্রিপশন অ্যালগরিদম এবং বেশিরভাগ সাইটে ক্লিকজ্যাকিং। কিন্তু এটি আপনাকে আপনার লক্ষ্যে পৌঁছাতে পারবে না। সম্ভবত স্ক্যানারগুলি এখানে আরও কার্যকর হবে, তবে আমি আপনাকে মনে করিয়ে দিই: গ্রাহক নিজেই এই জাতীয় প্রোগ্রামগুলি কিনতে এবং সেগুলির সাথে নিজেকে পরীক্ষা করতে সক্ষম এবং, হতাশাজনক ফলাফলের বিচার করে, তিনি ইতিমধ্যে পরীক্ষা করেছেন।

চলুন ফিরে আসা যাক “অসাধারণ” সাইটগুলিতে। প্রথমটি একটি অ-মানক ঠিকানায় স্থানীয় উইকির মতো, তবে এই নিবন্ধে এটি wiki.company[.]ru হতে দিন। তিনি অবিলম্বে একটি লগইন এবং পাসওয়ার্ড চেয়েছিলেন, কিন্তু ব্রাউজারে NTLM এর মাধ্যমে। ব্যবহারকারীর জন্য, এটি একটি তপস্বী উইন্ডোর মত দেখাচ্ছে যা একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড লিখতে বলছে। এবং এটি একটি খারাপ অভ্যাস।

একটি ছোট নোট. পেরিমিটার ওয়েবসাইটের মধ্যে NTLM বিভিন্ন কারণে খারাপ। প্রথম কারণ হল Active Directory ডোমেইন নাম প্রকাশ করা হয়। আমাদের উদাহরণে, এটি "বহিরাগত" DNS নামের মতো company.ru হিসাবেও পরিণত হয়েছে। এটি জেনে, আপনি সতর্কতার সাথে দূষিত কিছু প্রস্তুত করতে পারেন যাতে এটি শুধুমাত্র সংস্থার ডোমেন মেশিনে কার্যকর করা হয়, কিছু স্যান্ডবক্সে নয়। দ্বিতীয়ত, প্রমাণীকরণ সরাসরি এনটিএলএম (আশ্চর্য, ঠিক?) এর মাধ্যমে ডোমেন কন্ট্রোলারের মাধ্যমে যায়, যার মধ্যে "অভ্যন্তরীণ" নেটওয়ার্ক নীতির সমস্ত বৈশিষ্ট্য রয়েছে, যার মধ্যে পাসওয়ার্ড প্রবেশের প্রচেষ্টার সংখ্যা অতিক্রম করা থেকে অ্যাকাউন্টগুলিকে ব্লক করা সহ। যদি একজন আক্রমণকারী লগইনগুলি খুঁজে পায়, তাহলে সে তাদের জন্য পাসওয়ার্ড চেষ্টা করবে৷ আপনি ভুল পাসওয়ার্ড প্রবেশ করা থেকে অ্যাকাউন্ট ব্লক করতে কনফিগার করা হলে, এটি কাজ করবে এবং অ্যাকাউন্ট ব্লক করা হবে। তৃতীয়ত, এই ধরনের প্রমাণীকরণে দ্বিতীয় ফ্যাক্টর যোগ করা অসম্ভব। যদি পাঠকদের কেউ এখনও জানেন কিভাবে, দয়া করে আমাকে জানান, এটি সত্যিই আকর্ষণীয়। চতুর্থ, পাস-দ্য-হ্যাশ আক্রমণের দুর্বলতা। ADFS উদ্ভাবিত হয়েছিল, অন্যান্য জিনিসের মধ্যে, এই সব থেকে রক্ষা করার জন্য।

মাইক্রোসফ্ট পণ্যগুলির একটি খারাপ বৈশিষ্ট্য রয়েছে: এমনকি আপনি যদি নির্দিষ্টভাবে এই জাতীয় NTLM প্রকাশ না করেন তবে এটি ডিফল্টরূপে OWA এবং Lync-এ সর্বনিম্নভাবে ইনস্টল করা হবে।

যাইহোক, এই নিবন্ধের লেখক একবার ভুলবশত একই পদ্ধতি ব্যবহার করে মাত্র এক ঘন্টার মধ্যে একটি বড় ব্যাঙ্কের কর্মচারীদের প্রায় 1000 অ্যাকাউন্ট ব্লক করে দিয়েছিলেন এবং তারপরে কিছুটা ফ্যাকাশে দেখাচ্ছিলেন। ব্যাঙ্কের আইটি পরিষেবাগুলিও ফ্যাকাশে ছিল, কিন্তু সবকিছুই ভাল এবং পর্যাপ্তভাবে শেষ হয়েছিল, এমনকি আমরা এই সমস্যাটি খুঁজে বের করার জন্য এবং একটি দ্রুত এবং সিদ্ধান্তমূলক সমাধানের জন্য প্রথম হওয়ার জন্য প্রশংসিত হয়েছিল।

দ্বিতীয় সাইটের ঠিকানা ছিল "অবশ্যই শেষ নাম.company.ru"। Google এর মাধ্যমে এটি পাওয়া গেছে, পৃষ্ঠা 10 এ এরকম কিছু। নকশাটি XNUMX-এর দশকের প্রথম দিকের ছিল, এবং একজন সম্মানিত ব্যক্তি এটিকে মূল পৃষ্ঠা থেকে দেখছিলেন, এরকম কিছু:

এখানে আমি "একটি কুকুরের হৃদয়" থেকে একটি স্টিল নিয়েছি, তবে বিশ্বাস করুন, এটি অস্পষ্টভাবে অনুরূপ ছিল, এমনকি রঙের নকশাও একই রকম ছিল। সাইট কল করা যাক preobrazhensky.company.ru.

এটি ছিল একটি ব্যক্তিগত ওয়েবসাইট... একজন ইউরোলজিস্টের জন্য। আমি অবাক হয়েছিলাম যে একটি ইউরোলজিস্টের ওয়েবসাইট একটি হাই-টেক কোম্পানির সাবডোমেনে কী করছে। Google-এ একটি দ্রুত খনন করে দেখা গেছে যে এই ডাক্তার আমাদের একজন গ্রাহকের আইনি সত্তার সহ-প্রতিষ্ঠাতা এবং এমনকি অনুমোদিত মূলধনে প্রায় 1000 রুবেল অবদান রেখেছেন। সাইটটি সম্ভবত অনেক বছর আগে তৈরি করা হয়েছিল এবং গ্রাহকের সার্ভার সংস্থানগুলি হোস্টিং হিসাবে ব্যবহার করা হয়েছিল। সাইটটি দীর্ঘদিন ধরে তার প্রাসঙ্গিকতা হারিয়েছে, তবে কিছু কারণে এটি দীর্ঘ সময়ের জন্য কাজ করা ছেড়ে দেওয়া হয়েছিল।

দুর্বলতার পরিপ্রেক্ষিতে, ওয়েবসাইটটি নিজেই সুরক্ষিত ছিল। সামনের দিকে তাকিয়ে, আমি বলব যে এটি স্ট্যাটিক তথ্যের একটি সেট ছিল - কিডনি এবং মূত্রাশয় আকারে সন্নিবেশিত চিত্র সহ সাধারণ এইচটিএমএল পৃষ্ঠা। এই ধরনের একটি সাইট "ব্রেক" করা অকেজো।

তবে নীচের ওয়েব সার্ভারটি আরও আকর্ষণীয় ছিল। এইচটিটিপি সার্ভার হেডার দ্বারা বিচার করে, এটিতে আইআইএস 6.0 ছিল, যার অর্থ এটি অপারেটিং সিস্টেম হিসাবে উইন্ডোজ 2003 ব্যবহার করেছে। স্ক্যানার পূর্বে শনাক্ত করেছিল যে এই বিশেষ ইউরোলজিস্ট ওয়েবসাইট, একই ওয়েব সার্ভারের অন্যান্য ভার্চুয়াল হোস্টের বিপরীতে, PROPFIND কমান্ডে সাড়া দিয়েছে, যার অর্থ এটি WebDAV চালাচ্ছে। যাইহোক, স্ক্যানার এই তথ্যটি মার্ক ইনফো দিয়ে ফেরত দিয়েছে (স্ক্যানার রিপোর্টের ভাষায়, এটি সর্বনিম্ন বিপদ) - এই জাতীয় জিনিসগুলি সাধারণত এড়িয়ে যায়। সংমিশ্রণে, এটি একটি আকর্ষণীয় প্রভাব দিয়েছে, যা Google-এ আরেকটি খননের পরেই প্রকাশিত হয়েছিল: ছায়া ব্রোকারস সেটের সাথে যুক্ত একটি বিরল বাফার ওভারফ্লো দুর্বলতা, যেমন CVE-2017-7269, যা ইতিমধ্যেই একটি তৈরি শোষণ ছিল। অন্য কথায়, আপনার যদি Windows 2003 থাকে এবং WebDAV IIS-এ চলমান থাকে তাহলে সমস্যা হবে। যদিও 2003 সালে উত্পাদনে উইন্ডোজ 2018 চালানো তার নিজের মধ্যে একটি সমস্যা।

শোষণটি মেটাসপ্লয়েটে শেষ হয়েছিল এবং অবিলম্বে একটি লোড দিয়ে পরীক্ষা করা হয়েছিল যা একটি নিয়ন্ত্রিত পরিষেবাতে একটি DNS অনুরোধ পাঠিয়েছিল - Burp Collaborator ঐতিহ্যগতভাবে DNS অনুরোধগুলি ধরতে ব্যবহৃত হয়। আমার আশ্চর্যের জন্য, এটি প্রথমবার কাজ করেছে: একটি DNS নকআউট প্রাপ্ত হয়েছিল। এর পরে, পোর্ট 80 এর মাধ্যমে একটি ব্যাককানেক্ট তৈরি করার চেষ্টা করা হয়েছিল (অর্থাৎ, সার্ভার থেকে আক্রমণকারীর সাথে একটি নেটওয়ার্ক সংযোগ, শিকার হোস্টে cmd.exe-এ অ্যাক্সেস সহ), কিন্তু তারপরে একটি ব্যর্থতা ঘটেছিল। সংযোগটি আসেনি, এবং সাইটটি ব্যবহার করার তৃতীয় প্রচেষ্টার পরে, সমস্ত আকর্ষণীয় ছবি সহ, চিরতরে অদৃশ্য হয়ে গেছে।

সাধারণত এটির পরে "গ্রাহক, জাগো, আমরা সবকিছু বাদ দিয়েছি।" কিন্তু আমাদের বলা হয়েছিল যে সাইটটির ব্যবসায়িক প্রক্রিয়ার সাথে কোনো সম্পর্ক নেই এবং সম্পূর্ণ সার্ভারের মতো কোনো কারণ ছাড়াই সেখানে কাজ করে এবং আমরা আমাদের ইচ্ছামতো এই সংস্থানটি ব্যবহার করতে পারি।
প্রায় একদিন পর হঠাৎ করেই সাইটটি নিজে থেকেই কাজ শুরু করে। IIS 6.0-এ WebDAV থেকে একটি বেঞ্চ তৈরি করার পরে, আমি দেখেছি যে ডিফল্ট সেটিং হল প্রতি 30 ঘণ্টায় IIS কর্মী প্রক্রিয়াগুলি পুনরায় চালু করা। অর্থাৎ, যখন নিয়ন্ত্রণ শেলকোড থেকে প্রস্থান করে, আইআইএস কর্মী প্রক্রিয়া শেষ হয়, তারপরে এটি নিজেকে কয়েকবার পুনরায় চালু করে এবং তারপর 30 ঘন্টা বিশ্রামে চলে যায়।

যেহেতু tcp-এ ব্যাককানেক্ট প্রথমবার ব্যর্থ হয়েছে, তাই আমি এই সমস্যাটিকে একটি বন্ধ পোর্টে দায়ী করেছি। অর্থাৎ, তিনি এমন কিছু ফায়ারওয়ালের উপস্থিতি অনুমান করেছিলেন যা বহির্গামী সংযোগগুলিকে বাইরে যেতে দেয় না। আমি শেলকোড চালানো শুরু করেছি যা অনেক টিসিপি এবং ইউডিপি পোর্টের মাধ্যমে অনুসন্ধান করেছে, কোন প্রভাব ছিল না। Metasploit থেকে http(গুলি) এর মাধ্যমে বিপরীত সংযোগ লোড কাজ করেনি - meterpreter/reverse_http(গুলি)৷ হঠাৎ, একই পোর্ট 80 এর সাথে একটি সংযোগ স্থাপন করা হয়েছিল, কিন্তু অবিলম্বে বাদ দেওয়া হয়েছিল। আমি এটিকে এখনও কাল্পনিক IPS-এর কর্মের জন্য দায়ী করেছি, যা মিটারপ্রেটার ট্র্যাফিক পছন্দ করে না। পোর্ট 80-এ একটি বিশুদ্ধ tcp সংযোগের মাধ্যমে যাওয়া হয়নি, কিন্তু একটি http সংযোগ হয়েছে, আমি এই উপসংহারে পৌঁছেছি যে সিস্টেমে একটি HTTP প্রক্সি কোনোভাবে কনফিগার করা হয়েছে।

আমি এমনকি DNS এর মাধ্যমে মিটারপ্রেটার চেষ্টা করেছি (ধন্যবাদ d00kie আপনার প্রচেষ্টার জন্য, অনেকগুলি প্রকল্প সংরক্ষণ করা হয়েছে), প্রথম সাফল্যের কথা স্মরণ করে, তবে এটি স্ট্যান্ডেও কাজ করেনি - এই দুর্বলতার জন্য শেলকোডটি খুব বেশি ছিল।

বাস্তবে, এটি এইরকম দেখায়: 3 মিনিটের মধ্যে আক্রমণের 4-5 প্রচেষ্টা, তারপর 30 ঘন্টা অপেক্ষা করে। এবং এভাবে একটানা তিন সপ্তাহ। আমি এমনকি একটি অনুস্মারক সেট করেছি যাতে সময় নষ্ট না হয়। উপরন্তু, পরীক্ষা এবং উত্পাদন পরিবেশের আচরণের মধ্যে পার্থক্য ছিল: এই দুর্বলতার জন্য দুটি অনুরূপ শোষণ ছিল, একটি Metasploit থেকে, দ্বিতীয়টি ইন্টারনেট থেকে, শ্যাডো ব্রোকার সংস্করণ থেকে রূপান্তরিত। সুতরাং, যুদ্ধে শুধুমাত্র মেটাসপ্লয়েট পরীক্ষা করা হয়েছিল, এবং শুধুমাত্র দ্বিতীয়টি বেঞ্চে পরীক্ষা করা হয়েছিল, যা ডিবাগিংকে আরও কঠিন করে তুলেছিল এবং মস্তিষ্ক-বাস্টিং ছিল।

শেষ পর্যন্ত, একটি শেলকোড যা HTTP এর মাধ্যমে একটি প্রদত্ত সার্ভার থেকে একটি exe ফাইল ডাউনলোড করে এবং লক্ষ্য সিস্টেমে এটি চালু করে তা কার্যকর প্রমাণিত হয়েছে। শেলকোডটি ফিট করার জন্য যথেষ্ট ছোট ছিল, তবে অন্তত এটি কাজ করেছিল। যেহেতু সার্ভারটি টিসিপি ট্র্যাফিক মোটেও পছন্দ করেনি এবং মিটারপ্রেটারের উপস্থিতির জন্য http(গুলি) পরিদর্শন করা হয়েছিল, তাই আমি সিদ্ধান্ত নিয়েছি যে এই শেলকোডের মাধ্যমে DNS-meterpreter ধারণকারী একটি exe ফাইল ডাউনলোড করাই দ্রুততম উপায়।

এখানে আবার একটি সমস্যা দেখা দিয়েছে: একটি exe ফাইল ডাউনলোড করার সময় এবং, যেমনটি দেখানো হয়েছে, যেটিই হোক না কেন, ডাউনলোডটি বাধাগ্রস্ত হয়েছিল। আবার, আমার সার্ভার এবং ইউরোলজিস্টের মধ্যে কিছু সুরক্ষা ডিভাইস ভিতরে একটি exe সহ HTTP ট্র্যাফিক পছন্দ করেনি। "দ্রুত" সমাধানটি শেলকোড পরিবর্তন করা বলে মনে হচ্ছে যাতে এটি ফ্লাইতে HTTP ট্র্যাফিককে অস্পষ্ট করে, যাতে exe এর পরিবর্তে বিমূর্ত বাইনারি ডেটা স্থানান্তরিত হয়। অবশেষে, আক্রমণ সফল হয়েছিল, পাতলা DNS চ্যানেলের মাধ্যমে নিয়ন্ত্রণ প্রাপ্ত হয়েছিল:

এটি অবিলম্বে স্পষ্ট হয়ে গেল যে আমার কাছে সবচেয়ে মৌলিক আইআইএস ওয়ার্কফ্লো অধিকার রয়েছে, যা আমাকে কিছুই করতে দেয় না। মেটাসপ্লয়েট কনসোলে এটি দেখতে কেমন ছিল:

সমস্ত পেন্টেস্ট পদ্ধতি দৃঢ়ভাবে পরামর্শ দেয় যে অ্যাক্সেস পাওয়ার সময় আপনাকে অধিকার বৃদ্ধি করতে হবে। আমি সাধারণত স্থানীয়ভাবে এটি করি না, যেহেতু প্রথম অ্যাক্সেসটিকে কেবল একটি নেটওয়ার্ক এন্ট্রি পয়েন্ট হিসাবে দেখা হয় এবং একই নেটওয়ার্কে অন্য মেশিনে আপস করা একটি বিদ্যমান হোস্টে বিশেষাধিকার বৃদ্ধির চেয়ে সাধারণত সহজ এবং দ্রুত। তবে এটি এখানে নয়, যেহেতু ডিএনএস চ্যানেলটি খুব সংকীর্ণ এবং এটি ট্র্যাফিক পরিষ্কার করতে দেয় না।

এই উইন্ডোজ 2003 সার্ভারটি বিখ্যাত MS17-010 দুর্বলতার জন্য মেরামত করা হয়নি বলে ধরে নিয়ে, আমি লোকালহোস্টের মিটারপ্রেটার ডিএনএস টানেলের মাধ্যমে পোর্ট 445/টিসিপিতে ট্র্যাফিক টানেল করি (হ্যাঁ, এটিও সম্ভব) এবং এর মাধ্যমে পূর্বে ডাউনলোড করা এক্সি চালানোর চেষ্টা করুন। দুর্বলতা আক্রমণ কাজ করে, আমি একটি দ্বিতীয় সংযোগ পাই, কিন্তু সিস্টেম অধিকার সহ।

এটি আকর্ষণীয় যে তারা এখনও MS17-010 থেকে সার্ভারটিকে রক্ষা করার চেষ্টা করেছে - এটি বহিরাগত ইন্টারফেসে দুর্বল নেটওয়ার্ক পরিষেবাগুলি অক্ষম করেছে৷ এটি নেটওয়ার্কে আক্রমণ থেকে রক্ষা করে, কিন্তু লোকালহোস্টের ভেতর থেকে আক্রমণ কাজ করেছে, যেহেতু আপনি লোকালহোস্টে দ্রুত SMB বন্ধ করতে পারবেন না।

পরবর্তী, নতুন আকর্ষণীয় বিবরণ প্রকাশিত হয়:

1. সিস্টেম অধিকার থাকার কারণে, আপনি সহজেই TCP এর মাধ্যমে একটি ব্যাক সংযোগ স্থাপন করতে পারেন। স্পষ্টতই, সরাসরি TCP নিষ্ক্রিয় করা সীমিত IIS ব্যবহারকারীর জন্য কঠোরভাবে একটি সমস্যা। স্পয়লার: IIS ব্যবহারকারীর ট্র্যাফিক একরকম স্থানীয় ISA প্রক্সিতে উভয় দিকে মোড়ানো ছিল। এটা ঠিক কিভাবে কাজ করে, আমি পুনরুত্পাদন না.
2. আমি একটি নির্দিষ্ট "DMZ" এ আছি (এবং এটি একটি অ্যাক্টিভ ডিরেক্টরি ডোমেন নয়, কিন্তু একটি ওয়ার্কগ্রুপ) - এটি যৌক্তিক শোনাচ্ছে৷ কিন্তু প্রত্যাশিত ব্যক্তিগত ("ধূসর") আইপি ঠিকানার পরিবর্তে, আমার কাছে একটি সম্পূর্ণ "সাদা" আইপি ঠিকানা রয়েছে, যা আমি আগে আক্রমণ করেছি ঠিক একই রকম৷ এর মানে হল যে কোম্পানিটি IPv4 অ্যাড্রেসিংয়ের জগতে এতটাই পুরানো যে এটি 128 থেকে Cisco ম্যানুয়ালগুলিতে চিত্রিত হিসাবে স্কিম অনুযায়ী NAT ছাড়া 2005টি "সাদা" ঠিকানার জন্য একটি DMZ জোন বজায় রাখতে পারে৷

যেহেতু সার্ভার পুরানো, Mimikatz মেমরি থেকে সরাসরি কাজ করার গ্যারান্টিযুক্ত:

আমি স্থানীয় প্রশাসকের পাসওয়ার্ড পাই, TCP এর উপর RDP ট্র্যাফিক টানেল করি এবং একটি আরামদায়ক ডেস্কটপে লগ ইন করি। যেহেতু আমি সার্ভারের সাথে যা চাই তা করতে পারতাম, তাই আমি অ্যান্টিভাইরাসটি সরিয়ে দিয়েছি এবং খুঁজে পেয়েছি যে সার্ভারটি শুধুমাত্র TCP পোর্ট 80 এবং 443 এর মাধ্যমে ইন্টারনেট থেকে অ্যাক্সেসযোগ্য ছিল এবং 443 ব্যস্ত ছিল না। আমি 443-এ একটি OpenVPN সার্ভার সেট আপ করেছি, আমার VPN ট্রাফিকের জন্য NAT ফাংশন যোগ করেছি এবং আমার OpenVPN এর মাধ্যমে সীমাহীন আকারে DMZ নেটওয়ার্কে সরাসরি অ্যাক্সেস পেতে পারি। এটি লক্ষণীয় যে ISA, কিছু অ-অক্ষম IPS ফাংশন থাকার কারণে, পোর্ট স্ক্যানিংয়ের মাধ্যমে আমার ট্র্যাফিক ব্লক করেছে, যার জন্য এটি একটি সহজ এবং আরও কমপ্লায়েন্ট RRAS দিয়ে প্রতিস্থাপন করতে হয়েছিল। তাই পেন্টেস্টারদের মাঝে মাঝে এখনও সব ধরণের জিনিস পরিচালনা করতে হয়।

একজন মনোযোগী পাঠক জিজ্ঞাসা করবেন: "দ্বিতীয় সাইট সম্পর্কে কী - NTLM প্রমাণীকরণ সহ একটি উইকি, যার সম্পর্কে এত কিছু লেখা হয়েছে?" এই বিষয়ে পরে আরো.

পার্ট 2. এখনও এনক্রিপ্ট হচ্ছে না? তাহলে আমরা ইতিমধ্যেই আপনার কাছে আসছি

সুতরাং, ডিএমজেড নেটওয়ার্ক বিভাগে অ্যাক্সেস রয়েছে। আপনাকে ডোমেইন অ্যাডমিনিস্ট্রেটরের কাছে যেতে হবে। প্রথম যে জিনিসটি মনে আসে তা হল স্বয়ংক্রিয়ভাবে DMZ বিভাগের মধ্যে পরিষেবাগুলির নিরাপত্তা পরীক্ষা করা, বিশেষ করে যেহেতু তাদের মধ্যে অনেকগুলি এখন গবেষণার জন্য উন্মুক্ত৷ একটি অনুপ্রবেশ পরীক্ষার সময় একটি সাধারণ ছবি: বাহ্যিক পরিধি অভ্যন্তরীণ পরিষেবাগুলির চেয়ে ভাল সুরক্ষিত, এবং যখন একটি বৃহৎ অবকাঠামোর ভিতরে যে কোনও অ্যাক্সেস অর্জন করা হয়, তখন একটি ডোমেনে বর্ধিত অধিকার প্রাপ্ত করা অনেক সহজ হয় শুধুমাত্র এই কারণে যে এই ডোমেনটি শুরু হয়। সরঞ্জামগুলিতে অ্যাক্সেসযোগ্য, এবং দ্বিতীয়ত, কয়েক হাজার হোস্ট সহ একটি পরিকাঠামোতে, সর্বদা কয়েকটি জটিল সমস্যা থাকবে।

আমি একটি OpenVPN টানেলের মাধ্যমে DMZ এর মাধ্যমে স্ক্যানারগুলি চার্জ করি এবং অপেক্ষা করি৷ আমি রিপোর্ট খুললাম - আবার কিছু গুরুতর নয়, দৃশ্যত কেউ আমার আগে একই পদ্ধতির মধ্য দিয়ে গিয়েছিল। পরবর্তী ধাপ হল DMZ নেটওয়ার্কের মধ্যে হোস্টগুলি কীভাবে যোগাযোগ করে তা পরীক্ষা করা। এটি করার জন্য, প্রথমে সাধারণ Wireshark চালু করুন এবং সম্প্রচারের অনুরোধগুলি শুনুন, প্রাথমিকভাবে ARP। সারাদিন এআরপি প্যাকেট সংগ্রহ করা হয়। দেখা যাচ্ছে যে এই সেগমেন্টে বেশ কয়েকটি গেটওয়ে ব্যবহার করা হয়। এটি পরে কাজে আসবে। ARP অনুরোধ এবং প্রতিক্রিয়া এবং পোর্ট স্ক্যানিং ডেটা একত্রিত করে, আমি ওয়েব এবং মেইলের মতো পূর্বে পরিচিত পরিষেবাগুলি ছাড়াও স্থানীয় নেটওয়ার্কের ভিতর থেকে ব্যবহারকারীর ট্র্যাফিকের প্রস্থান পয়েন্টগুলি খুঁজে পেয়েছি৷

যেহেতু এই মুহুর্তে অন্য সিস্টেমে আমার কোনো অ্যাক্সেস ছিল না এবং কর্পোরেট পরিষেবাগুলির জন্য আমার একটি একক অ্যাকাউন্ট ছিল না, তাই ARP স্পুফিং ব্যবহার করে ট্রাফিক থেকে অন্তত কিছু অ্যাকাউন্ট বের করার সিদ্ধান্ত নেওয়া হয়েছিল।

কেইন অ্যান্ড অ্যাবেল ইউরোলজিস্টের সার্ভারে চালু করা হয়েছিল। চিহ্নিত ট্রাফিক প্রবাহকে বিবেচনায় নিয়ে, ম্যান-ইন-দ্য-মিডল আক্রমণের জন্য সবচেয়ে প্রতিশ্রুতিবদ্ধ জোড়া নির্বাচন করা হয়েছিল, এবং তারপর সার্ভারটি রিবুট করার জন্য একটি টাইমার সহ 5-10 মিনিটের জন্য স্বল্প-মেয়াদী লঞ্চের মাধ্যমে কিছু নেটওয়ার্ক ট্র্যাফিক প্রাপ্ত হয়েছিল। জমে যাওয়ার ক্ষেত্রে। কৌতুক হিসাবে, দুটি খবর ছিল:

1. ভাল: প্রচুর শংসাপত্র সংগ্রহ করা হয়েছিল এবং পুরো আক্রমণটি কাজ করেছিল।
2. খারাপ: সমস্ত শংসাপত্রগুলি গ্রাহকের নিজস্ব ক্লায়েন্টদের কাছ থেকে ছিল। সমর্থন পরিষেবা প্রদান করার সময়, গ্রাহক বিশেষজ্ঞরা ক্লায়েন্টদের পরিষেবার সাথে সংযুক্ত থাকে যাদের সবসময় ট্র্যাফিক এনক্রিপশন কনফিগার করা হয়নি।

ফলস্বরূপ, আমি প্রচুর শংসাপত্র অর্জন করেছি যা প্রকল্পের প্রেক্ষাপটে অকেজো ছিল, তবে আক্রমণের বিপদের প্রদর্শন হিসাবে অবশ্যই আকর্ষণীয়। টেলনেট সহ বড় কোম্পানির বর্ডার রাউটার, ডিবাগ HTTP পোর্টগুলিকে সমস্ত ডেটা সহ অভ্যন্তরীণ CRM-তে ফরওয়ার্ড করা, স্থানীয় নেটওয়ার্কে Windows XP থেকে RDP-তে সরাসরি অ্যাক্সেস এবং অন্যান্য অস্পষ্টতা। এটা এই মত পরিণত MITER ম্যাট্রিক্স অনুযায়ী সাপ্লাই চেইন কম্প্রোমাইজ.

আমি ট্রাফিক থেকে চিঠি সংগ্রহ করার একটি মজার সুযোগ খুঁজে পেয়েছি, এইরকম কিছু। এটি একটি রেডিমেড চিঠির উদাহরণ যা আমাদের গ্রাহকের কাছ থেকে তার ক্লায়েন্টের SMTP পোর্টে আবার এনক্রিপশন ছাড়াই চলে গেছে। একটি নির্দিষ্ট আন্দ্রে তার নামকে ডকুমেন্টেশন পুনরায় পাঠাতে বলে, এবং এটি একটি ক্লাউড ডিস্কে একটি লগইন, পাসওয়ার্ড এবং একটি প্রতিক্রিয়া চিঠিতে লিঙ্ক সহ আপলোড করা হয়:

এটি সমস্ত পরিষেবা এনক্রিপ্ট করার জন্য আরেকটি অনুস্মারক। কে এবং কখন আপনার ডেটা বিশেষভাবে পড়বে এবং ব্যবহার করবে তা অজানা - প্রদানকারী, অন্য কোম্পানির সিস্টেম অ্যাডমিনিস্ট্রেটর, বা এই জাতীয় পেন্টেস্টার। আমি এই বিষয়ে নীরব যে অনেক লোক কেবল এনক্রিপ্ট করা ট্র্যাফিককে বাধা দিতে পারে।

আপাত সাফল্য সত্ত্বেও, এটি আমাদের লক্ষ্যের কাছাকাছি নিয়ে আসেনি। অবশ্যই, দীর্ঘক্ষণ বসে থাকা এবং মূল্যবান তথ্য বের করা সম্ভব ছিল, তবে এটি সেখানে উপস্থিত হবে এমন সত্য নয় এবং নেটওয়ার্কের অখণ্ডতার ক্ষেত্রে আক্রমণটি নিজেই খুব ঝুঁকিপূর্ণ।

পরিষেবাগুলিতে আরও একটি খনন করার পরে, একটি আকর্ষণীয় ধারণা মাথায় এসেছিল। রেসপন্ডার নামক একটি ইউটিলিটি রয়েছে (এই নামে ব্যবহারের উদাহরণগুলি খুঁজে পাওয়া সহজ), যা "বিষাক্ত" সম্প্রচারের অনুরোধের মাধ্যমে, SMB, HTTP, LDAP ইত্যাদির মতো বিভিন্ন প্রোটোকলের মাধ্যমে সংযোগকে উস্কে দেয়। বিভিন্ন উপায়ে, তারপর যারা প্রমাণীকরণের সাথে সংযোগ করে তাদের প্রত্যেককে জিজ্ঞাসা করে এবং এটি সেট আপ করে যাতে প্রমাণীকরণ NTLM এর মাধ্যমে এবং শিকারের কাছে স্বচ্ছ মোডে হয়। প্রায়শই, একজন আক্রমণকারী এইভাবে NetNTLMv2 হ্যান্ডশেক সংগ্রহ করে এবং তাদের থেকে, একটি অভিধান ব্যবহার করে, দ্রুত ব্যবহারকারীর ডোমেন পাসওয়ার্ড পুনরুদ্ধার করে। এখানে আমি অনুরূপ কিছু চেয়েছিলাম, কিন্তু ব্যবহারকারীরা "একটি প্রাচীরের পিছনে" বসেছিল, বা বরং, তারা একটি ফায়ারওয়াল দ্বারা বিচ্ছিন্ন ছিল এবং ব্লু কোট প্রক্সি ক্লাস্টারের মাধ্যমে WEB-তে অ্যাক্সেস করেছিল৷

মনে রাখবেন, আমি উল্লেখ করেছি যে অ্যাক্টিভ ডিরেক্টরি ডোমেন নামটি "বহিরাগত" ডোমেনের সাথে মিলে গেছে, অর্থাৎ এটি company.ru? সুতরাং, উইন্ডোজ, আরও সুনির্দিষ্টভাবে ইন্টারনেট এক্সপ্লোরার (এবং এজ এবং ক্রোম), ব্যবহারকারীকে NTLM-এর মাধ্যমে HTTP-তে স্বচ্ছভাবে প্রমাণীকরণ করার অনুমতি দেয় যদি তারা বিবেচনা করে যে সাইটটি কিছু "ইন্ট্রানেট জোনে" অবস্থিত। একটি "ইন্ট্রানেট" এর লক্ষণগুলির মধ্যে একটি হল একটি "ধূসর" আইপি ঠিকানা বা একটি ছোট ডিএনএস নাম, অর্থাৎ বিন্দু ছাড়া অ্যাক্সেস। যেহেতু তাদের একটি "সাদা" আইপি এবং ডিএনএস নামের একটি সার্ভার ছিল preobrazhensky.company.ru, এবং ডোমেন মেশিনগুলি সাধারণত সরলীকৃত নাম এন্ট্রির জন্য DHCP এর মাধ্যমে সক্রিয় ডিরেক্টরি ডোমেন প্রত্যয় গ্রহণ করে, তাই তাদের শুধুমাত্র ঠিকানা বারে URL লিখতে হয়েছিল preobrazhensky, যাতে তারা আপস করা ইউরোলজিস্টের সার্ভারের সঠিক পথ খুঁজে পায়, ভুলে যায় না যে এটিকে এখন "ইন্ট্রানেট" বলা হয়। অর্থাৎ, একই সাথে আমাকে তার অজান্তেই ব্যবহারকারীর NTLM-হ্যান্ডশেক দেওয়া। যা অবশিষ্ট থাকে তা হল ক্লায়েন্ট ব্রাউজারদের এই সার্ভারের সাথে যোগাযোগ করার জরুরী প্রয়োজন সম্পর্কে চিন্তা করতে বাধ্য করা।

বিস্ময়কর ইন্টারসেপ্টার-এনজি ইউটিলিটি উদ্ধারে এসেছিল (ধন্যবাদ ইন্টারসেপ্টর) এটি আপনাকে ফ্লাইতে ট্রাফিক পরিবর্তন করার অনুমতি দেয় এবং উইন্ডোজ 2003-এ দুর্দান্ত কাজ করে। এমনকি ট্রাফিক প্রবাহে শুধুমাত্র জাভাস্ক্রিপ্ট ফাইলগুলি পরিবর্তন করার জন্য এটির আলাদা কার্যকারিতা ছিল। এক ধরণের বিশাল ক্রস-সাইট স্ক্রিপ্টিংয়ের পরিকল্পনা করা হয়েছিল।

ব্লু কোট প্রক্সি, যার মাধ্যমে ব্যবহারকারীরা গ্লোবাল WEB-তে অ্যাক্সেস করেছে, পর্যায়ক্রমে স্ট্যাটিক কন্টেন্ট ক্যাশ করে। ট্র্যাফিক বাধা দিয়ে, এটা স্পষ্ট যে তারা চব্বিশ ঘন্টা কাজ করছে, পিক আওয়ারে বিষয়বস্তু প্রদর্শনের গতি বাড়ানোর জন্য ঘন ঘন ব্যবহৃত স্ট্যাটিককে অবিরাম অনুরোধ করছে। উপরন্তু, BlueCoat একটি নির্দিষ্ট ব্যবহারকারী-এজেন্ট ছিল, যা স্পষ্টভাবে এটি একটি বাস্তব ব্যবহারকারী থেকে পৃথক.

জাভাস্ক্রিপ্ট প্রস্তুত করা হয়েছিল, যা, ইন্টারসেপ্টার-এনজি ব্যবহার করে, ব্লু কোটের জন্য জেএস ফাইলগুলির সাথে প্রতিটি প্রতিক্রিয়ার জন্য রাতে এক ঘন্টার জন্য প্রয়োগ করা হয়েছিল। স্ক্রিপ্ট নিম্নলিখিত কাজ করেছে:

• ব্যবহারকারী-এজেন্ট দ্বারা বর্তমান ব্রাউজার নির্ধারণ করা হয়েছে। যদি এটি ইন্টারনেট এক্সপ্লোরার, এজ বা ক্রোম হয় তবে এটি কাজ করতে থাকে।
• পৃষ্ঠার DOM গঠিত না হওয়া পর্যন্ত আমি অপেক্ষা করেছি।
• ফর্মের একটি src বৈশিষ্ট্য সহ DOM-এ একটি অদৃশ্য চিত্র সন্নিবেশ করা হয়েছে৷ preobrazhensky:8080/NNNNNN.png, যেখানে NNN হল ইচ্ছামত সংখ্যা যাতে BlueCoat এটি ক্যাশে না করে।
• একটি গ্লোবাল ফ্ল্যাগ ভেরিয়েবল সেট করুন ইঙ্গিত করার জন্য যে ইনজেকশন সম্পূর্ণ হয়েছে এবং আর ছবি ঢোকানোর দরকার নেই।

ব্রাউজারটি এই ছবিটি লোড করার চেষ্টা করেছে; আপস করা সার্ভারের পোর্ট 8080-এ, একটি TCP টানেল আমার ল্যাপটপে এটির জন্য অপেক্ষা করছিল, যেখানে একই প্রতিক্রিয়াশীল চলমান ছিল, ব্রাউজারটিকে NTLM এর মাধ্যমে লগ ইন করতে হবে।

রেসপন্ডার লগ দ্বারা বিচার করে, লোকেরা সকালে কাজ করতে এসেছিল, তাদের ওয়ার্কস্টেশন চালু করেছিল, তারপর এনটিএলএম হ্যান্ডশেকগুলিকে "ড্রেন" করতে ভুলে গিয়ে ইউরোলজিস্টের সার্ভারে ব্যাপকভাবে এবং অলক্ষিতভাবে পরিদর্শন করতে শুরু করেছিল। সারাদিন হ্যান্ডশেক বৃষ্টিপাত হয়েছে এবং পাসওয়ার্ড পুনরুদ্ধার করার জন্য স্পষ্টতই সফল আক্রমণের জন্য স্পষ্টভাবে উপাদান জমা হয়েছে। উত্তরদাতা লগগুলি দেখতে এইরকম ছিল:

ব্যবহারকারীদের দ্বারা ইউরোলজিস্ট সার্ভারে ব্যাপক গোপন পরিদর্শন

আপনি সম্ভবত ইতিমধ্যেই লক্ষ্য করেছেন যে এই পুরো গল্পটি "সবকিছু ঠিকঠাক ছিল, কিন্তু তারপরে একটি অস্বস্তি ছিল, তারপরে একটি কাটিয়ে উঠল এবং তারপরে সবকিছু সফল হয়েছিল।" সুতরাং, এখানে একটি bummer ছিল. পঞ্চাশটি অনন্য হ্যান্ডশেকের মধ্যে একটিও প্রকাশ করা হয়নি। এবং এটি এই বিষয়টিকে বিবেচনা করে যে এমনকি একটি মৃত প্রসেসর সহ একটি ল্যাপটপে, এই NTLMv2 হ্যান্ডশেকগুলি প্রতি সেকেন্ডে কয়েকশো মিলিয়ন প্রচেষ্টার গতিতে প্রক্রিয়া করা হয়।

আমাকে পাসওয়ার্ড মিউটেশন কৌশল, একটি ভিডিও কার্ড, একটি মোটা অভিধান এবং অপেক্ষা করতে হয়েছিল। দীর্ঘ সময় পরে, "Q11111111....1111111q" ফর্মের পাসওয়ার্ড সহ বেশ কয়েকটি অ্যাকাউন্ট প্রকাশিত হয়েছিল, যা থেকে বোঝা যায় যে সমস্ত ব্যবহারকারীকে একসময় বিভিন্ন অক্ষরের ক্ষেত্রে একটি খুব দীর্ঘ পাসওয়ার্ড নিয়ে আসতে বাধ্য করা হয়েছিল, যা অনুমিত হয়েছিল জটিল হতে কিন্তু আপনি একজন পাকা ব্যবহারকারীকে বোকা বানাতে পারবেন না, এবং এভাবেই তিনি মনে রাখা সহজ করে দিয়েছেন। মোট, প্রায় 5টি অ্যাকাউন্টের সাথে আপস করা হয়েছিল এবং তাদের মধ্যে শুধুমাত্র একটিরই পরিষেবাগুলির কোনও মূল্যবান অধিকার ছিল৷

অংশ 3. Roskomnadzor ফিরে আঘাত

সুতরাং, প্রথম ডোমেন অ্যাকাউন্টগুলি প্রাপ্ত হয়েছিল। আপনি যদি দীর্ঘক্ষণ পড়া থেকে এই বিন্দুতে ঘুমিয়ে না পড়ে থাকেন তবে আপনি সম্ভবত মনে রাখবেন যে আমি এমন একটি পরিষেবা উল্লেখ করেছি যার জন্য প্রমাণীকরণের দ্বিতীয় ফ্যাক্টরের প্রয়োজন নেই: এটি NTLM প্রমাণীকরণ সহ একটি উইকি। অবশ্য প্রথমেই সেখানে ঢুকতে হবে। অভ্যন্তরীণ জ্ঞানের ভিত্তি খনন করা দ্রুত ফলাফল এনেছে:

• কোম্পানির স্থানীয় নেটওয়ার্কে অ্যাক্সেস সহ ডোমেন অ্যাকাউন্ট ব্যবহার করে প্রমাণীকরণ সহ একটি ওয়াইফাই নেটওয়ার্ক রয়েছে। ডেটার বর্তমান সেটের সাথে, এটি ইতিমধ্যেই একটি কার্যকর আক্রমণ ভেক্টর, তবে আপনাকে আপনার পায়ে অফিসে যেতে হবে এবং গ্রাহকের অফিসের অঞ্চলে কোথাও অবস্থিত হতে হবে।
• আমি একটি নির্দেশনা পেয়েছি যা অনুযায়ী এমন একটি পরিষেবা ছিল যা... ব্যবহারকারী যদি স্থানীয় নেটওয়ার্কের মধ্যে থাকে এবং আত্মবিশ্বাসের সাথে তার ডোমেন লগইন এবং পাসওয়ার্ড মনে রাখে তবে স্বাধীনভাবে একটি "দ্বিতীয় ফ্যাক্টর" প্রমাণীকরণ ডিভাইস নিবন্ধন করার অনুমতি দেয়। এই ক্ষেত্রে, "ভিতরে" এবং "বাইরে" ব্যবহারকারীর কাছে এই পরিষেবাটির পোর্টের অ্যাক্সেসযোগ্যতার দ্বারা নির্ধারিত হয়েছিল। বন্দরটি ইন্টারনেট থেকে অ্যাক্সেসযোগ্য ছিল না, তবে DMZ এর মাধ্যমে বেশ অ্যাক্সেসযোগ্য ছিল।

অবশ্যই, একটি "দ্বিতীয় ফ্যাক্টর" অবিলম্বে আমার ফোনে একটি অ্যাপ্লিকেশন আকারে আপস করা অ্যাকাউন্টে যোগ করা হয়েছিল। এমন একটি প্রোগ্রাম ছিল যা হয় উচ্চস্বরে ফোনে "অনুমোদন"/"অস্বীকৃতি" বোতামগুলির সাহায্যে অ্যাকশনের জন্য একটি পুশ অনুরোধ পাঠাতে পারে, অথবা আরও স্বাধীন প্রবেশের জন্য নীরবে স্ক্রিনে OTP কোডটি দেখাতে পারে। অধিকন্তু, নির্দেশাবলী দ্বারা প্রথম পদ্ধতিটি একমাত্র সঠিক বলে অনুমিত হয়েছিল, কিন্তু OTP পদ্ধতির বিপরীতে এটি কাজ করেনি।

"দ্বিতীয় ফ্যাক্টর" ভাঙ্গার সাথে, আমি সিট্রিক্স নেটস্কেলার গেটওয়েতে আউটলুক ওয়েব অ্যাক্সেস মেল এবং দূরবর্তী অ্যাক্সেস অ্যাক্সেস করতে সক্ষম হয়েছি। আউটলুকে মেলটিতে একটি চমক ছিল:

এই বিরল শটে আপনি দেখতে পাচ্ছেন যে কীভাবে রোসকোমনাডজোর পেন্টেস্টারদের সাহায্য করে

টেলিগ্রামের বিখ্যাত "ফ্যান" ব্লক করার পরে এই প্রথম মাস ছিল, যখন হাজার হাজার ঠিকানা সহ সম্পূর্ণ নেটওয়ার্কগুলি অ্যাক্সেস থেকে অদৃশ্য হয়ে গিয়েছিল। এটা স্পষ্ট হয়ে গেল কেন ধাক্কাটি এখনই কাজ করেনি এবং কেন আমার "শিকার" অ্যালার্ম বাজেনি কারণ তারা খোলা থাকার সময় তার অ্যাকাউন্ট ব্যবহার করা শুরু করেছিল।

Citrix Netscaler এর সাথে পরিচিত যে কেউ কল্পনা করে যে এটি সাধারণত এমনভাবে প্রয়োগ করা হয় যে শুধুমাত্র একটি ছবি ইন্টারফেস ব্যবহারকারীকে জানানো যেতে পারে, তাকে তৃতীয় পক্ষের অ্যাপ্লিকেশন চালু করতে এবং ডেটা স্থানান্তর করার সরঞ্জাম না দেওয়ার চেষ্টা করে, প্রতিটি সম্ভাব্য উপায়ে ক্রিয়াকলাপ সীমিত করে। স্ট্যান্ডার্ড কন্ট্রোল শেল মাধ্যমে। আমার "শিকার", তার পেশার কারণে, শুধুমাত্র 1C পেয়েছে:

1C ইন্টারফেসের চারপাশে একটু হাঁটার পরে, আমি দেখতে পেলাম যে সেখানে বাহ্যিক প্রক্রিয়াকরণ মডিউল রয়েছে। এগুলি ইন্টারফেস থেকে লোড করা যেতে পারে এবং অধিকার এবং সেটিংসের উপর নির্ভর করে সেগুলি ক্লায়েন্ট বা সার্ভারে কার্যকর করা হবে।

আমি আমার 1C প্রোগ্রামার বন্ধুদের একটি প্রসেসিং তৈরি করতে বলেছি যা একটি স্ট্রিং গ্রহণ করবে এবং এটি কার্যকর করবে। 1C ভাষায়, একটি প্রক্রিয়া শুরু করা দেখতে এরকম কিছু দেখায় (ইন্টারনেট থেকে নেওয়া)। আপনি কি একমত যে 1C ভাষার সিনট্যাক্স রাশিয়ান-ভাষী লোকেদের স্বতঃস্ফূর্ততার সাথে বিস্মিত করে?

প্রক্রিয়াকরণটি নিখুঁতভাবে সম্পাদিত হয়েছিল; এটি পরিণত হয়েছিল যাকে পেন্টেস্টাররা "শেল" বলে - এটির মাধ্যমে ইন্টারনেট এক্সপ্লোরার চালু হয়েছিল।

এর আগে, একটি সিস্টেমের ঠিকানা যা আপনাকে অঞ্চলটিতে পাস অর্ডার করতে দেয় মেলে পাওয়া গেছে। যদি আমাকে একটি ওয়াইফাই আক্রমণ ভেক্টর ব্যবহার করতে হয় তবে আমি একটি পাস অর্ডার করেছি।

ইন্টারনেটে আলোচনা আছে যে গ্রাহকের অফিসে এখনও সুস্বাদু ফ্রি ক্যাটারিং ছিল, কিন্তু আমি এখনও আক্রমণটি দূর থেকে বিকাশ করতে পছন্দ করি, এটি আরও শান্ত।

AppLocker Citrix চলমান অ্যাপ্লিকেশন সার্ভারে সক্রিয় করা হয়েছিল, কিন্তু এটি বাইপাস করা হয়েছিল। একই মিটারপ্রেটার লোড করা হয়েছিল এবং DNS এর মাধ্যমে চালু করা হয়েছিল, যেহেতু http(গুলি) সংস্করণগুলি সংযোগ করতে চায়নি, এবং আমি সেই সময়ে অভ্যন্তরীণ প্রক্সি ঠিকানা জানতাম না৷ যাইহোক, এই মুহূর্ত থেকে, বাহ্যিক পেন্টেস্ট মূলত সম্পূর্ণরূপে একটি অভ্যন্তরীণে পরিণত হয়েছে।

পার্ট 4. ব্যবহারকারীদের জন্য অ্যাডমিন অধিকার খারাপ, ঠিক আছে?

একটি ডোমেন ব্যবহারকারী সেশনের নিয়ন্ত্রণ অর্জন করার সময় একজন পেন্টেস্টারের প্রথম কাজটি হল ডোমেনের অধিকার সম্পর্কে সমস্ত তথ্য সংগ্রহ করা। একটি ব্লাডহাউন্ড ইউটিলিটি রয়েছে যা আপনাকে স্বয়ংক্রিয়ভাবে ব্যবহারকারী, কম্পিউটার, নিরাপত্তা গোষ্ঠীর তথ্য একটি ডোমেন কন্ট্রোলার থেকে LDAP প্রোটোকলের মাধ্যমে এবং SMB-এর মাধ্যমে ডাউনলোড করতে দেয় - কোন ব্যবহারকারী সম্প্রতি কোথায় লগ ইন করেছে এবং কে স্থানীয় প্রশাসক সে সম্পর্কে তথ্য।

ডোমেন অ্যাডমিনিস্ট্রেটর অধিকার দখল করার জন্য একটি সাধারণ কৌশল একঘেয়ে কর্মের চক্র হিসাবে সরলীকৃত দেখায়:

• আমরা ডোমেন কম্পিউটারগুলিতে যাই যেখানে ইতিমধ্যেই ক্যাপচার করা ডোমেন অ্যাকাউন্টগুলির উপর ভিত্তি করে স্থানীয় প্রশাসকের অধিকার রয়েছে৷
• আমরা Mimikatz চালু করি এবং সম্প্রতি এই সিস্টেমে লগ ইন করা ডোমেইন অ্যাকাউন্টগুলির ক্যাশে করা পাসওয়ার্ড, Kerberos টিকেট এবং NTLM হ্যাশ পাই। অথবা আমরা lsass.exe প্রক্রিয়ার মেমরি ইমেজ মুছে ফেলি এবং আমাদের পাশে একই কাজ করি। এটি ডিফল্ট সেটিংস সহ 2012R2/Windows 8.1 এর চেয়ে কম বয়সী Windows এর সাথে ভাল কাজ করে।
• আমরা নির্ধারণ করি কোথায় আপস করা অ্যাকাউন্টগুলির স্থানীয় প্রশাসকের অধিকার আছে৷ আমরা প্রথম পয়েন্ট পুনরাবৃত্তি। কিছু পর্যায়ে আমরা পুরো ডোমেনের জন্য প্রশাসক অধিকার লাভ করি।

"চক্রের সমাপ্তি;", যেমন 1C প্রোগ্রামাররা এখানে লিখবে।

সুতরাং, আমাদের ব্যবহারকারী উইন্ডোজ 7 এর সাথে শুধুমাত্র একটি হোস্টে একজন স্থানীয় প্রশাসক হিসাবে পরিণত হয়েছে, যার নামটিতে "ভিডিআই" বা "ভার্চুয়াল ডেস্কটপ অবকাঠামো", ব্যক্তিগত ভার্চুয়াল মেশিনগুলি অন্তর্ভুক্ত রয়েছে। সম্ভবত, ভিডিআই পরিষেবার ডিজাইনার বলতে চেয়েছিলেন যে যেহেতু ভিডিআই হল ব্যবহারকারীর ব্যক্তিগত অপারেটিং সিস্টেম, এমনকি যদি ব্যবহারকারী তার ইচ্ছামতো সফ্টওয়্যার পরিবেশ পরিবর্তন করে তবে হোস্ট এখনও "পুনরালোড" হতে পারে। আমি আরও ভেবেছিলাম যে সাধারণভাবে ধারণাটি ভাল, আমি এই ব্যক্তিগত ভিডিআই হোস্টে গিয়েছিলাম এবং সেখানে একটি বাসা তৈরি করেছি:

• আমি সেখানে একটি OpenVPN ক্লায়েন্ট ইনস্টল করেছি, যা আমার সার্ভারে ইন্টারনেটের মাধ্যমে একটি টানেল তৈরি করেছে। ক্লায়েন্টকে ডোমেন প্রমাণীকরণের সাথে একই ব্লু কোটের মধ্য দিয়ে যেতে বাধ্য করতে হয়েছিল, কিন্তু ওপেনভিপিএন এটি করেছে, যেমন তারা বলে, "বাক্সের বাইরে।"
• VDI তে OpenSSH ইনস্টল করা হয়েছে। ওয়েল, সত্যিই, SSH ছাড়া উইন্ডোজ 7 কি?

এটা লাইভ মত লাগছিল কি. আমি আপনাকে মনে করিয়ে দিই যে এই সব করতে হবে Citrix এবং 1C এর মাধ্যমে:

প্রতিবেশী কম্পিউটারগুলিতে অ্যাক্সেস প্রচারের একটি কৌশল হল একটি ম্যাচের জন্য স্থানীয় প্রশাসকের পাসওয়ার্ড পরীক্ষা করা। এখানে ভাগ্য অবিলম্বে প্রতীক্ষিত: ডিফল্ট স্থানীয় প্রশাসকের NTLM হ্যাশ (যাকে হঠাৎ প্রশাসক বলা হয়েছিল) প্রতিবেশী ভিডিআই হোস্টদের কাছে পাস-দ্য-হ্যাশ আক্রমণের মাধ্যমে যোগাযোগ করা হয়েছিল, যার মধ্যে কয়েকশ ছিল। অবশ্যই, আক্রমণটি সঙ্গে সঙ্গে তাদের আঘাত করে।

এখানেই ভিডিআই অ্যাডমিনিস্ট্রেটররা নিজেদের পায়ে দুবার গুলি করেছে:

• প্রথমবার যখন VDI মেশিনগুলিকে LAPS-এর আওতায় আনা হয়নি, মূলত VDI-তে ব্যাপকভাবে স্থাপন করা চিত্র থেকে একই স্থানীয় প্রশাসকের পাসওয়ার্ড বজায় রাখা হয়েছিল।
• ডিফল্ট অ্যাডমিনিস্ট্রেটর হল একমাত্র স্থানীয় অ্যাকাউন্ট যা পাস-দ্য-হ্যাশ আক্রমণের জন্য ঝুঁকিপূর্ণ। এমনকি একই পাসওয়ার্ড দিয়েও, একটি জটিল র্যান্ডম পাসওয়ার্ড সহ একটি দ্বিতীয় স্থানীয় প্রশাসক অ্যাকাউন্ট তৈরি করে এবং ডিফল্টটিকে ব্লক করে ব্যাপক আপস এড়ানো সম্ভব হবে।

কেন যে উইন্ডোজ একটি SSH পরিষেবা আছে? খুবই সহজ: এখন OpenSSH সার্ভার ব্যবহারকারীর কাজে হস্তক্ষেপ না করে শুধুমাত্র একটি সুবিধাজনক ইন্টারেক্টিভ কমান্ড শেল প্রদান করে না, VDI-তে একটি সক্স5 প্রক্সিও দেয়। এই মোজার মাধ্যমে, আমি এসএমবি-এর মাধ্যমে সংযুক্ত হয়েছি এবং এই সমস্ত শত শত ভিডিআই মেশিন থেকে ক্যাশে করা অ্যাকাউন্ট সংগ্রহ করেছি, তারপর ব্লাডহাউন্ড গ্রাফগুলিতে সেগুলি ব্যবহার করে ডোমেন প্রশাসকের পথের সন্ধান করেছি। আমার নিষ্পত্তি শত হোস্ট সঙ্গে, আমি বেশ দ্রুত এই পথ খুঁজে পেয়েছি. ডোমেন প্রশাসক অধিকার প্রাপ্ত করা হয়েছে.

এখানে একটি অনুরূপ অনুসন্ধান দেখানো ইন্টারনেট থেকে একটি ছবি আছে. সংযোগগুলি দেখায় যে প্রশাসক কোথায় আছেন এবং কে কোথায় লগ ইন করেছেন৷

যাইহোক, প্রকল্পের শুরু থেকে শর্তটি মনে রাখবেন - "সোশ্যাল ইঞ্জিনিয়ারিং ব্যবহার করবেন না।" তাই, ব্যানাল ফিশিং ব্যবহার করা সম্ভব হলে স্পেশাল ইফেক্ট সহ এই সমস্ত বলিউড কতটা কেটে যাবে তা নিয়ে ভাবার প্রস্তাব করছি। কিন্তু ব্যক্তিগতভাবে, এই সব করা আমার জন্য খুব আকর্ষণীয় ছিল। আমি আশা করি আপনি এই পড়া উপভোগ করেছেন. অবশ্যই, প্রতিটি প্রকল্প এত আকর্ষণীয় দেখায় না, তবে সামগ্রিকভাবে কাজটি খুব চ্যালেঞ্জিং এবং এটিকে স্থবির হতে দেয় না।

সম্ভবত কারও কাছে একটি প্রশ্ন থাকবে: কীভাবে নিজেকে রক্ষা করবেন? এমনকি এই নিবন্ধটি অনেক কৌশল বর্ণনা করে, যার মধ্যে অনেকগুলি উইন্ডোজ অ্যাডমিনিস্ট্রেটররাও জানেন না। যাইহোক, আমি এগুলিকে হ্যাকনিড নীতি এবং তথ্য সুরক্ষা ব্যবস্থার দৃষ্টিকোণ থেকে দেখার প্রস্তাব করছি:

• পুরানো সফ্টওয়্যার ব্যবহার করবেন না (শুরুতে উইন্ডোজ 2003 মনে রাখবেন?)
• অপ্রয়োজনীয় সিস্টেম চালু রাখবেন না (কেন একটি ইউরোলজিস্টের ওয়েবসাইট ছিল?)
• নিজের শক্তির জন্য ব্যবহারকারীর পাসওয়ার্ড পরীক্ষা করুন (অন্যথায় সৈন্যরা... পেন্টেস্টাররা এটি করবে)
• বিভিন্ন অ্যাকাউন্টের জন্য একই পাসওয়ার্ড নেই (ভিডিআই আপস)
• এবং অন্যান্য

অবশ্যই, এটি বাস্তবায়ন করা খুব কঠিন, তবে পরবর্তী নিবন্ধে আমরা অনুশীলনে দেখাব যে এটি বেশ সম্ভব।

উত্স: www.habr.com