{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Toms Hunter Dagbog: \"Baskerville Hunden\"","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

At tr\u00e6kke tiden med underskrivelsen er almindelig praksis for enhver stor virksomhed. Undtagelsen var kontrakten mellem Tom Hunter og en online dyrebutik om en grundig penetrationstest. Det skulle b\u00e5de omfatte hjemmesiden, det interne netv\u00e6rk og endda arbejds-Wi-Fi.<\/p>\n

Det er ikke overraskende, at h\u00e6nderne kl\u00f8ede l\u00e6nge f\u00f8r alle formaliteterne var p\u00e5 plads. Det var jo bare at scanne hjemmesiden som en sikkerhed, det er usandsynligt, at en s\u00e5 velkendt butik som 'Baskerville Hounds' vil have fejl her. Efter et par dage modtog Tom den underskrevne originalkontrakt \u2013 i mellemtiden havde Tom fra den interne CMS sp\u00e6ndt vurderet lagerets tilstand med den tredje kop kaffe...<\/p>\n

\"TomsKilde: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nMen det var ikke muligt at lege for meget i CMS \u2013 Tom Hunters IP var blevet blokeret af webstedets administratorer. Selvom det ellers ville have v\u00e6ret muligt at generere bonusser p\u00e5 butikkens kort og i lang tid fodre sin elskede kat billigt... 'Ikke denne gang, Darth Sidious' \u2013 t\u00e6nkte Tom med et smil. Det ville ogs\u00e5 have v\u00e6ret sjovt at bev\u00e6ge sig fra webstedets zone til kundens lokale netv\u00e6rk, men \u00e5benbart er disse segmenter ikke forbundet hos klienten. S\u00e5dan er det ofte i meget store virksomheder.<\/p>\n

Efter alle formaliteterne greb Tom Hunter fat i den tildelte VPN-konto og tog til kundens lokale netv\u00e6rk. Kontoen var inden for Active Directory-dom\u00e6net, s\u00e5 det var muligt at tage og uden s\u00e6rlige krumspring lave et dump af AD \u2013 udvinde al offentlig information om brugere og arbejdsstationer.<\/p>\n

Tom startede v\u00e6rkt\u00f8jet adfind og begyndte at sende LDAP-foresp\u00f8rgsler til dom\u00e6necontrolleren. Med en filter p\u00e5 objectCategory-klassen, angav han person som attribut. Svaret kom tilbage med denne struktur:<\/p>\n

dn:CN=G\u00e6st,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: G\u00e6st\n>description: Indbygget konto til g\u00e6sters adgang til computeren eller dom\u00e6net\n>distinguishedName: CN=G\u00e6st,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nUdover dette var der ogs\u00e5 mange nyttige oplysninger, men det mest interessante l\u00e5 i feltet >description: >description. Det var en kommentar til kontoen \u2014 i princippet et praktisk sted at opbevare mindre notater. Men kundens administratorer mente, at koder ogs\u00e5 kunne ligge her uden problemer. Hvem kan i sidste ende v\u00e6re interesseret i alle disse ubetydelige administrative konti? Derfor havde kommentarerne, som Tom fik, f\u00f8lgende form:<\/p>\n
Oprettet af Administrator, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nMan beh\u00f8ver ikke v\u00e6re en geni for at forst\u00e5, hvad kombinationen til sidst kan bruges til. Det var kun et sp\u00f8rgsm\u00e5l om at parse den store svarfil fra KD efter feltet >description:, og her er de \u2014 20 s\u00e6t af login-adgangskode. Desuden har n\u00e6sten halvdelen adgangsrettigheder via RDP. En god platform, tid til at dele de angrebsm\u00e6ssige styrker.<\/p>\n
Netv\u00e6rksmilj\u00f8<\/h2>\n
\nDe tilg\u00e6ngelige delinger fra 'Baskerville-hundene' mindede om en stor by i al dens kaos og uforudsigelighed. Med profilerne user og RDP var Tom Hunter en fattig dreng i denne by, men selv han fik set en del gennem de glitrende vinduer af sikkerhedspolitikken.<\/p>\n
Dele af filservere, regnskabskonti og endda relaterede scripts \u2014 alt dette var gjort tilg\u00e6ngeligt for offentligheden. I indstillingerne for et af disse scripts fandt Tom en MS SQL-hash for en bruger. En smule bruteforce-magi \u2014 og brugerens hash blev til en plaintext-adgangskode. Tak til John The Ripper og Hashcat.<\/p>\n
\"Toms
\n
\nNogle kiste skulle denne n\u00f8gle passe til. Kisten blev fundet, og mere end det \u2014 der var knyttet yderligere ti \"kister\". Og inden i seks af dem l\u00e5... superbrugerrettigheder, nt authority system! P\u00e5 to var det muligt at k\u00f8re den gemte procedure xp_cmdshell og sende cmd-kommandoer til Windows. Hvad mere kan man \u00f8nske sig?<\/p>\n
Dom\u00e6necontrollere<\/h2>\n
\nAndet angreb var Tom Hunters forberedelse til dom\u00e6necontrollere. I netv\u00e6rket \"Baskerville-hundene\" var der tre \u2014 svarende til antallet af geografisk fjernservere. Hver dom\u00e6necontroller har en offentligt tilg\u00e6ngelig mappe, ligesom en \u00e5ben butiksvindue, hvor den samme fattige dreng Tom h\u00e6nger rundt.<\/p>\n
Og denne gang var drengen igen heldig \u2014 de glemte at fjerne scriptet fra vinduet, hvor adgangskoden for den lokale serveradministrator var hardkodet. S\u00e5 vejen til dom\u00e6necontrolleren var \u00e5ben. Kom ind, Tom!<\/p>\n
Her blev der trukket noget ud af den magiske hat mimikatz<\/a><\/noindex>, som blev styrket af flere dom\u00e6neadministratorer. Tom Hunter fik adgang til alle maskiner i det lokale netv\u00e6rk, og det dj\u00e6velske grin skr\u00e6mte katten fra det n\u00e6rliggende s\u00e6de. Denne rute var kortere end forventet.<\/p>\n
EternalBlue<\/h2>\n
\nMindet om WannaCry og Petya lever stadig i sindene p\u00e5 pentestere, men nogle administratorer ser ud til at have glemt krypteringsmaskinerne midt i str\u00f8mmen af andre aftennyheder. Tom opdagede tre noder med s\u00e5rbarhed i SMB-protokollen - CVE-2017-0144 eller EternalBlue. Det er den s\u00e5rbarhed, som WannaCry og Petya brugte til at sprede sig, en s\u00e5rbarhed, der muligg\u00f8r udf\u00f8relse af vilk\u00e5rlig kode p\u00e5 noden. P\u00e5 en af de s\u00e5rbare noder var der en session med dom\u00e6neadministratoren - \u201eudnyt og f\u00e5 det\u201c. Hvad skal man sige, tiden har ikke l\u00e6rt alle.<\/p>\n
\"Toms
\n<\/p>\n
\u00abBaskerville Hunden\u00bb<\/h2>\n
\nKlassikere inden for informationssikkerhed elsker at gentage, at det svageste punkt i ethvert system er mennesket. L\u00e6g m\u00e6rke til, at overskriften ovenfor ikke svarer til navnet p\u00e5 butikken? M\u00e5ske er ikke alle s\u00e5 opm\u00e6rksomme.<\/p>\n
I bedste tradition for phishing-blockbusters registrerede Tom Hunter et dom\u00e6ne, der var en eneste bogstav forskelligt fra dom\u00e6net for \u201eBaskerville Hunden\u201c. E-mailadressen p\u00e5 dette dom\u00e6ne imiterede adressen til butikkens informationssikkerhedstjeneste. I l\u00f8bet af 4 dage, fra kl. 16:00 til 17:00, blev et s\u00e5dant brev sendt ud til 360 adresser fra en falsk adresse:<\/p>\n
\"Toms
\n
\nM\u00e5ske blev det kun reddet fra masseudslip af medarbejdernes adgangskoder af deres egen dovenskab. Ud af 360 breve blev kun 61 \u00e5bnet - sikkerhedstjenesten nyder ikke stor popularitet. Men herefter blev det lettere.<\/p>\n
\"Toms
\nPhishing-side<\/i><\/p>\n
46 personer klikkede p\u00e5 linket, og n\u00e6sten halvdelen - 21 medarbejdere - s\u00e5 ikke p\u00e5 adressefeltet og indtastede uden problemer deres brugernavne og adgangskoder. God fangst, Tom.<\/p>\n
\"Toms
\n<\/p>\n
Wi-Fi-netv\u00e6rk<\/h2>\n
\nNu kunne katten ikke forventes at v\u00e6re til hj\u00e6lp. Tom Hunter smed nogle metaldele ind i sin gamle sedan og satte kurs mod kontoret for \u201eBaskerville Hunden\u201c. Hans bes\u00f8g var ikke aftalt: Tom havde planer om at teste kundens Wi-Fi. P\u00e5 parkeringspladsen ved forretningscentret fandt han et par ledige pladser, der pr\u00e6cist l\u00e5 inden for m\u00e5lrettet nets gr\u00e6nser. Ingen syntes at have t\u00e6nkt over begr\u00e6nsningen - som om administratorerne klodset havde installeret ekstra punkter som svar p\u00e5 enhver klage om svag wifi.<\/p>\n
Hvordan fungerer WPA\/WPA2 PSK-beskyttelse? Krypteringen mellem adgangspunktet og klienterne sikres af en sessionstast \u2013 Pairwise Transient Key (PTK). PTK bruger en foruddelingsn\u00f8gle og fem andre parametre \u2013 SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), MAC-adresserne p\u00e5 adgangspunktet og klienten. Tom opfangede alle fem parametre, og nu manglede kun den foruddelte n\u00f8gle.<\/p>\n
\"Toms
\n
\nHashcat-v\u00e6rkt\u00f8jet fandt det manglende led p\u00e5 cirka 50 minutter \u2013 og vores helt befandt sig nu p\u00e5 g\u00e6stesnetv\u00e6rket. Herfra kunne man allerede se det arbejdsrelaterede netv\u00e6rk \u2013 underligt nok havde Tom f\u00e5et fat i adgangskoden p\u00e5 kun ni minutter. Og alt dette uden at forlade parkeringspladsen, uden nogen VPN. Det arbejdsrelaterede netv\u00e6rk \u00e5bnede op for vores helts uh\u00e6mmede aktiviteter, men han\u2026 fik ikke tilf\u00f8jet nogen bonusser til butiksudl\u00f8bet.<\/p>\n
Tom tog en pause, s\u00e5 p\u00e5 uret, lagde et par sedler p\u00e5 bordet og sagde farvel, da han forlod caf\u00e9en. M\u00e5ske endnu en pentest, eller m\u00e5ske noget helt andet. telegram-kanal<\/a><\/noindex> t\u00e6nkte han at skrive\u2026
\n<\/i>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Toms dagbog: \"Sherlock Holmes Hund\" | ProHoster","description":"At tr\u00e6kke tiden med at underskrive er almindeligt for enhver stor virksomhed. Der var ingen undtagelse for kontrakten mellem Tom Hunter og en netv\u00e6rks dyrehandel til en grundl\u00e6ggende pentest.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}