{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Tagebuch von Tom Hunter: \u201eDer Hund der Baskervilles\u201c","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Es ist nicht ungew\u00f6hnlich, dass die Unterzeichnung sich bei gro\u00dfen Unternehmen hinzieht. Der Vertrag zwischen Tom Hunter und einem Netzwerk-Online-Tiergesch\u00e4ft \u00fcber ein umfassendes Pen-Testing machte da keine Ausnahme. Es galt sowohl die Website als auch das interne Netzwerk und sogar das Arbeits-Wi-Fi zu \u00fcberpr\u00fcfen.<\/p>\n

Es ist wenig \u00fcberraschend, dass es Tom in den Fingern kribbelte, noch bevor alle Formalit\u00e4ten gekl\u00e4rt waren. Nur schnell die Website scannen, schlie\u00dflich wird ein so bekanntes Gesch\u00e4ft wie 'Hund der Baskervilles' sicher keine Fehler hier machen. Nach ein paar Tagen erhielt Tom schlie\u00dflich das unterschriebene Original des Vertrags \u2013 zu diesem Zeitpunkt bewertete er bei der dritten Tasse Kaffee mit Interesse den Zustand der Lagerbest\u00e4nde aus dem internen CMS.<\/p>\n

\"TagebuchQuelle: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nDoch besonders in der CMS konnte Tom nicht viel anstellen \u2013 die IP von Tom Hunter wurde von den Administratoren der Website gesperrt. Obwohl er es geschafft h\u00e4tte, um einige Boni auf die Karte des Gesch\u00e4fts zu generieren und lange Monate seinen geliebten Kater g\u00fcnstig zu f\u00fcttern ... 'Nicht diesmal, Darth Sidious', dachte Tom mit einem L\u00e4cheln. Es w\u00e4re nicht weniger spannend gewesen, aus dem Bereich der Website in das lokale Netzwerk des Auftraggebers zu gelangen, aber anscheinend sind diese Segmente beim Kunden nicht miteinander verbunden. In sehr gro\u00dfen Unternehmen kommt das schlie\u00dflich h\u00e4ufig vor.<\/p>\n

Nach allen Formalit\u00e4ten r\u00fcstete sich Tom Hunter mit dem bereitgestellten VPN-Konto und ging ins lokale Netzwerk des Auftraggebers. Das Konto befand sich innerhalb der Active Directory-Dom\u00e4ne, sodass er ohne viel Aufwand ein AD-Dump erstellen konnte \u2013 all die \u00f6ffentlichen Informationen \u00fcber Benutzer und Arbeitsstationen auslesen.<\/p>\n

Tom startete das Tool adfind und begann, LDAP-Anfragen an den Dom\u00e4nencontroller zu senden. Mit einem Filter nach dem Klassenattribut objectCategory, wobei er person als Attribut angab. Die Antwort kam mit folgender Struktur zur\u00fcck:<\/p>\n

dn:CN=Gast,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: Gast\n>description: Eingebaute Konto f\u00fcr den Zugang von G\u00e4sten zu Computer oder Dom\u00e4ne\n>distinguishedName: CN=Gast,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nNeben dem gab es viele n\u00fctzliche Informationen, doch das Interessanteste lag im Feld >description: >description. Dies ist ein Kommentar zum Konto \u2013 im Grunde ein praktischer Ort, um unwichtige Notizen zu speichern. Doch die Administratoren des Clients hielten es f\u00fcr angebracht, auch Passw\u00f6rter dort abzulegen. Wer k\u00f6nnte schlie\u00dflich an all diesen unwichtigen Dienstkonten interessiert sein? Daher hatten die Kommentare, die Tom erhielt, folgenden Inhalt:<\/p>\n
Erstellt von Administrator, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nMan muss kein Genie sein, um zu verstehen, wof\u00fcr die Kombination am Ende n\u00fctzlich sein k\u00f6nnte. Es blieb nur noch, die gro\u00dfe Antwortdatei vom KD nach dem Feld >description: zu parsen, und voil\u00e0 \u2013 da waren sie: 20 Login-Passwort-Paare. Fast die H\u00e4lfte hatte RDP-Zugriffsrechte. Ein guter Ausgangspunkt, Zeit, die angreifenden Kr\u00e4fte zu teilen.<\/p>\n
Netzwerkumgebung<\/h2>\n
\nDie verf\u00fcgbaren Shares \"Die Hunde von Baskerville\" erinnerten an eine gro\u00dfe Stadt in all ihrem Chaos und ihrer Unvorhersehbarkeit. Mit den Profilen user und RDP war Tom Hunter in dieser Stadt ein armer Junge, doch sogar er hatte durch die glitzernden Schaufenster der Sicherheitsrichtlinien schon viel gesehen.<\/p>\n
Teile von Dateien-Servern, Buchhaltungsunterlagen und sogar die zugeh\u00f6rigen Skripte \u2013 all das war \u00f6ffentlich zug\u00e4nglich gemacht worden. In den Einstellungen eines solcher Skripte fand Tom einen MS SQL-Hash eines Benutzers. Ein wenig Brute-Force-Magie \u2013 und der Benutzer-Hash verwandelte sich in ein Klartext-Passwort. Danke an John The Ripper und Hashcat.<\/p>\n
\"Tagebuch
\n
\nDieser Schl\u00fcssel musste zu irgendeiner Truhe passen. Die Truhe wurde gefunden, und dar\u00fcber hinaus war sie mit weiteren zehn \u201eTruhen\u201c verbunden. Und in sechs lagen\u2026 Superuser-Rechte, nt authority.SYSTEM! Bei zwei konnte die gespeicherte Prozedur xp_cmdshell gestartet und cmd-Befehle an Windows gesendet werden. Was k\u00f6nnte man sich mehr w\u00fcnschen?<\/p>\n
Dom\u00e4nencontroller<\/h2>\n
\nDen zweiten Schlag bereitete Tom Hunter f\u00fcr die Dom\u00e4nencontroller vor. Im Netzwerk der \u201eHunde von Baskerville\u201c gab es drei \u2013 entsprechend der Anzahl der geografisch entfernten Server. Jeder Dom\u00e4nencontroller hat einen \u00f6ffentlichen Ordner, wie ein offenes Schaufenster im Gesch\u00e4ft, vor dem der gleiche arme Junge Tom herumlungert.<\/p>\n
Und diesmal hatte der Junge wieder Gl\u00fcck \u2013 im Schaufenster wurde ein Skript vergessen, in dem das Passwort des lokalen Serveradministrators hardcodiert war. Somit war der Weg zum Dom\u00e4nencontroller offen. Komm rein, Tom!<\/p>\n
Hier wurde aus dem magischen Hut herausgezogen , Angriffe<\/a><\/noindex>, der von mehreren Domain-Administratoren profitiert hat. Tom Hunter hatte Zugang zu allen Maschinen im lokalen Netzwerk, und das teuflische Gel\u00e4chter verscheuchte die Katze von dem benachbarten Sessel. Dieser Weg war k\u00fcrzer als erwartet.<\/p>\n
EternalBlue<\/h2>\n
\nDie Erinnerung an WannaCry und Petya lebt noch in den K\u00f6pfen der Pentester, aber einige Administratoren scheinen die Ransomware inmitten anderer Abendnachrichten vergessen zu haben. Tom entdeckte drei Knoten mit einer Schwachstelle im SMB-Protokoll \u2013 CVE-2017-0144 oder EternalBlue. Dies ist jene Schwachstelle, \u00fcber die sich die Ransomware WannaCry und Petya verbreitete, eine Schwachstelle, die es erm\u00f6glicht, beliebigen Code auf dem Knoten auszuf\u00fchren. An einem der anf\u00e4lligen Knoten gab es eine Session eines Domain-Admins \u2013 \u201eausnutzen und gewinnen\u201c. Nun ja, die Erfahrung hat nicht alle gelehrt.<\/p>\n
\"Tagebuch
\n<\/p>\n
\"Der Hund von Baskerville\"<\/h2>\n
\nDie Klassiker der Informationssicherheit wiederholen gerne, dass der menschliche Faktor das schw\u00e4chste Glied jeder System ist. Ist Ihnen aufgefallen, dass die \u00dcberschrift oben nicht mit dem Namen des Gesch\u00e4fts \u00fcbereinstimmt? Vielleicht sind nicht alle so aufmerksam.<\/p>\n
In bester Tradition von Phishing-Blockbustern registrierte Tom Hunter eine Domain, die sich nur um einen Buchstaben von der Domain \"Hund von Baskerville\" unterscheidet. Die E-Mail-Adresse dieser Domain imitierte die Adresse des Sicherheitsdienstes des Gesch\u00e4fts. \u00dcber einen Zeitraum von 4 Tagen, jeweils zwischen 16:00 und 17:00 Uhr, wurden gleichm\u00e4\u00dfig an 360 Adressen von einer gef\u00e4lschten Adresse solche Briefe verschickt:<\/p>\n
\"Tagebuch
\n
\nNur die eigene Faulheit der Mitarbeiter hat wohl einen massiven Passwortdiebstahl verhindert. Von 360 E-Mails wurden nur 61 ge\u00f6ffnet \u2013 die Sicherheitsabteilung erfreut sich nicht gro\u00dfer Beliebtheit. Aber danach wurde es einfacher.<\/p>\n
\"Tagebuch
\nPhishing-Seite<\/i><\/p>\n
46 Personen klickten auf den Link, und fast die H\u00e4lfte \u2013 21 Mitarbeiter \u2013 schauten nicht in die Adresszeile und gaben beruhigt ihre Nutzernamen und Passw\u00f6rter ein. Ein guter Fang, Tom.<\/p>\n
\"Tagebuch
\n<\/p>\n
Wi-Fi-Netzwerk<\/h2>\n
\nNun konnte man nicht mehr auf die Hilfe der Katze z\u00e4hlen. Tom Hunter packte einige Ger\u00e4te in seinen alten Sedan und machte sich auf den Weg zum B\u00fcro des \"Hundes von Baskerville\". Sein Besuch war nicht abgesprochen: Tom wollte das Wi-Fi des Kunden testen. Auf dem Parkplatz des Gesch\u00e4ftsgeb\u00e4udes gab es einige freie Pl\u00e4tze, die g\u00fcnstig im Perimeter des Zielnetzwerks lagen. \u00dcber die Einschr\u00e4nkung schien man sich anscheinend nicht besonders Gedanken gemacht zu haben \u2013 als ob die Administratoren wahllos zus\u00e4tzliche Punkte als Antwort auf jede Beschwerde \u00fcber schwaches Wi-Fi gesetzt h\u00e4tten.<\/p>\n
Wie funktioniert der WPA\/WPA2 PSK-Schutz? Die Verschl\u00fcsselung zwischen dem Zugangspunkt und den Clients erfolgt \u00fcber den Pre-Session Key \u2013 den Pairwise Transient Key (PTK). Der PTK verwendet den Pre-Shared Key und f\u00fcnf weitere Parameter \u2013 SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), die MAC-Adressen des Zugangspunkts und des Clients. Tom hat alle f\u00fcnf Parameter abgefangen, und es fehlte nur noch der Pre-Shared Key.<\/p>\n
\"Tagebuch
\n
\nDas Hashcat-Tool hat dieses fehlende Glied in etwa 50 Minuten geknackt \u2013 und unser Held fand sich im G\u00e4ste-Netzwerk wieder. Von dort konnte er bereits das Arbeitsnetzwerk sehen \u2013 merkw\u00fcrdigerweise hat Tom das Passwort in etwa neun Minuten gel\u00f6st. Und das alles, ohne den Parkplatz zu verlassen, ohne VPN. Das Arbeitsnetzwerk bot unserem Helden M\u00f6glichkeiten f\u00fcr monstr\u00f6se Aktivit\u00e4ten, aber er... hat dennoch keine Bonuspunkte auf die Kundenkarte geladen.<\/p>\n
Tom hielt inne, sah auf die Uhr, lie\u00df ein paar Scheine auf den Tisch fallen und verabschiedete sich, als er das Caf\u00e9 verlie\u00df. Vielleicht wieder ein Pentest, oder vielleicht etwas anderes. Telegram-Kanal<\/a><\/noindex> hat er sich \u00fcberlegt zu schreiben\u2026
\n<\/i>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Tagebuch von Tom Hunter: \u201eDer Hund von Baskerville\u201c | ProHoster","description":"Die Verz\u00f6gerung bei der Unterzeichnung ist f\u00fcr jedes gr\u00f6\u00dfere Unternehmen eine gew\u00f6hnliche Sache. Auch der Vertrag zwischen Tom Hunter und einem Online-Zoohandel f\u00fcr ein umfangreiches Pentesting war da keine Ausnahme.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}