NetBIOS häkkeri käsutuses

Selles artiklis räägitakse lühidalt, mida selline näiliselt harjumuspärane asi nagu NetBIOSvõib potentsiaalsele pahatahtlikule kasutajale/pentesterile teada anda.

Esitatud rakenduseala luuretehnikate osas on see seotud sisemiste, st isoleeritud ja väljastpoolt kättesaamatute võrkudega. Sellised võrgud on olemas reeglina igal, isegi kõige väiksemal ettevõttel.

NetBIOS ise NetBIOS kasutatakse reeglina selleks, et saada võrgu nime. Ja see on piisav, et teha vähemalt nelja asja.

Hostide avastamine
Tänu sellele, et NetBIOS saab kasutada UDP-d transpordina, on selle töö kiirus piisav, et avastada hoste väga suurtes võrkudes. Näiteks tööriist nbtscan, mis sisaldub samanimelises paketis, suudab vaid kahe sekundiga (võib võrku üle koormata) lahendada sellises võrguaadresside vormis nagu 192.168.0.0/16, samas kui traditsiooniline TCP-skaneerimine võtab kümneid minuteid. Seda omadust saab kasutada hostide tuvastamise tehnikana (host sweep) väga suurtes võrkudes, millest ei tea midagi, enne nmap'i käivitamist. Kuigi tulemus ei garanteeri 100% tuvastamist, kuna enamik vastuseid annavad Windowsi hostid ja mitte kõik, aitab see siiski määrata, millistes ligikaudsetes vahemikes asuvad elavad hostid.

Hostide tuvastamine
Kasutatavate tulemuste põhjal IP-aadressidest nimede saamisel:

võime näha: peale selle, et nimi näitab tööjaama omanikku (kuigi see pole kaugeltki alati nii), hakkab üks aadress teistest silma. Me võime näha, et saime nime KALI. Selline käitumine on tavaliselt tüüpiline unix-rakendustele SMB/NetBIOS programmi paketis samba või väga vanadele Windows 2000.
Nime saamine KALI, samas kui teistel hostidel on see <unknown> tõend selle olemasolu kohta, mida nimetatakse null-session. Vaikeseaded SMB-serveritel on linux kaldu sellele. Null-session võimaldab täiesti anonüümselt (ilma paroolide sisestamiseta, nagu ekraanipildilt näha) hankida piisavalt palju täiendavat teavet, näiteks kohaliku paroolipoliitika, kohalike kasutajate nimekirja, rühmade ja jagatud ressursside loendi:

Sageli on linux SMB-serveritel avalikult kergesti ligipääsetavad jagamised, mitte ainult lugemiseks, vaid isegi kirjutamiseks. Nende olemasolu kannab endas erinevaid ohte, millega tegelemine ületab selle artikli piire.

NetBIOS see võimaldab saada ka kõikide tüüpide nimesid, mida tööjaam salvestab:

antud juhul annab see teada, et host on ka domeeninime kontrollija ARRIVA.

Tasub veel tähelepanu pöörata sellele, et NetBIOS võimaldab hankida mac-aadress. Erinevalt arp-päringutest suudavad NetBIOS-päringud ületada alamvõrku. See võib olla kasulik, kui näiteks on vajalik leida võrgu kaudu mõni sülearvuti või spetsiifiline seadeldis, teades selle tootjat. Kuna esimesed kolm oktetti mac-aadressist tuvastavad tootja, saab saata selliseid NetBIOS-proovida kõigis tuntud alamvõrkudes vajalikku seadme leidmist (http://standards-oui.ieee.org/oui.txt).

Sõltuvuse määramine domaadi
Sageli, liikudes ühtsetes ettevõtte siseverkudes, tuleb rünnata konkreetselt tööjaama, mis on liidetud domeeni (näiteks õiguste tõstmiseks domeeni administraatori tasemeni) või vastupidi. Sellisel juhul NetBIOS võib taas abiks olla:

Antud juhul NetBIOS saadi kõikide tüüpide nimed. Nende seas on näha, peale arvuti nime (mida oli juba eelnevalt saadud), ka töörühma nimi. Vaikimisi on see windows tavaliselt midagi sellist nagu WORKGROUP või IVAN-PC, kuid kui tööjaam on domeenis, siis on tema töörühm sama, mis domeeni nimi.
Seega, kasutades NetBIOS on võimalik välja selgitada, kas tööjaam on domeenis ja kui jah, siis millises.
Kui on vajalik saada domeeni hostide nimekiri alamvõrgu piires, siis piisab ka ühest laialdastest päringutest soovitud domeeni nimega:

vastuseks vastavad kõik hostid, mis kuuluvad antud domeeni.

Mitme kodu (multihomed) hostide avastamine
Ja lõpuks, veel üks tõenäoliselt väga vähe tuntud tehnika, mis on lihtsalt asendamatu teede leidmine kaitstud, isegi füüsiliselt isoleeritud, võrkudesse. Need võivad olla ettevõtete tootmisvõrgud, mis on täis kontrolleritega. Juhtimine sellele võrgule cyperkurjategija poolt tähendab võimalust mõjutada tehnoloogilist protsessi, ning ettevõttele toob see riski kannatada tohutute kaotustega.
Nii et asi on selles, et isegi kui võrk on ettevõtte võrgust isoleeritud, siis sageli mõned administreerijad, kas oma laiskuse tõttu või mõnest muust põhjusest, armastavad oma arvutitele lisakaarti seadistada, et pääseda sellele samale võrkule. Ja see kõik toimub muidugi igasuguste ettevõtte võrgu kaitse reeglite eiramise teel. Mugav, jah, aga mitte just väga turvaline, juhul kui teid rünnatakse, siis saate selle võrguga sillaks ja kannate vastutust.
Siiski, kurjategija jaoks on siin üks probleem — leida see administraator, kes on sisenenud kaitstud võrku sellisel ebaseaduslikul viisil. Veelgi enam, see on keeruline probleem ka võrgu turbevetside jaoks. Suurtel ettevõtetel on see tõeliselt keeruline ülesanne, nagu nõela leidmine heinas.
Selles olukorras oleks kurjategijal kaks ilmset varianti:
1. proovida kasutada iga arvutit ettevõtte sisevõrgus sildina nõutud võrku. See oleks väga mugav, kuid selliseid olukordi esineb harva, kuna windows majutusmasinatel IP edastamine on peaaegu alati välja lülitatud. Ühtlasi on selline kontroll võimalik ainult oma sisevõrgus ning see nõuab, et kurjategija teab täpselt sihtaad ress t isoleeritud võrgust.
2. proovida kaugelt sisse logida iga hosti ja käivitada tavaline käsk ipconfig/ifconfig. Siin ei ole kõik nii lihtne. Isegi kui kurjategija on saanud domeeni administraatori õigused, siis võrgu seinad ja kohalikud tulemüürid ei kao kuhugi. Seega ei ole see ülesanne 100% automatiseeritav. Tulemusena tuleb vaeva näha, et logida igasse hosti, ületades võrgu seinad (mis sageli blokeerivad just porti 445/tcp), lootuses lõpuks näha soovitud võrgu liidest.

Kuid on olemas üks ülimalt lihtne meetod, mis võimaldab saada selle või teise hosti võrgu liideste nimekirja. Oletame, et meil on üks host:

see on IP-aadressi tagasiresolveerimine → võrku nimi. Kui me nüüd proovime teha otse resolve'i võrku nimi → IP-aadress:

siis saame teada, et antud host on samuti värav (ilmselt) mõnda teise võrku. Tuleb märkida, et antud juhul tehti päring laialdaselt. Teisisõnu, seda kuulevad ainult kurjategija alamvõrgu hostid.
Kui aga sihthost asub alamvõrgust väljas, siis saab saata sihitud päringu:

Antud juhul on nähtav, et siht on kurjategija alamvõrgust väljas. Võtmega -B on näidatud, et päring tuleks saata konkreetsele aadressile, mitte laialdaselt.
Nüüd jääb üle vaid kiiresti koguda teavet kogu huvitava alamvõrgu kohta, mitte ainult ühest aadressist. Selleks saab kasutada väikest python-skripti:

Ja mõne sekundi pärast:

Just määratud host, antud improvisatsioonilises olukorras, oleks esimene sihtmärk kurjategijale, kui ta jälgiks võrku 172.16.1/24.

Korduvad nimed erinevatel IP-del viitavad sellele, et hostil on ka kaks võrkaart, kuid juba samas alamvõrgus. Siinkohal tuleb märkida, et NetBIOS ei avalikusta alias-d (mida saab ARP-päringute kaudu hõlpsasti tuvastada sama IP-ga, mac). Sellisel juhul IP-aadressid. on erinevad mac.

Teine näide selle tehnika kasutamisest on avalik Wi-Fi. Mõnikord võib kohata olukorda, kus avalikku võrku portaalivate seadmete seas on töötajad, kes töötavad suletud ettevõtte segmendis. Seega suudab pahatahtlik isik selle luuretehnika abil kiiresti üles märkida võimaliku tee sisenemiseks suletud võrku:

Sellisel juhul oli avaliku Wi-Fi seas 65 klienti, sealhulgas kaks tööjaama, millel on täiendav liides, mis kuulub tõenäoliselt ettevõtte võrku.

Kui mõnikord on võrgusegmentide või otse tööjaamade vahel märgata liiklusfiltreerimist 445/tcp sadamal, mis takistab süsteemi kaugpääsu (kaugkäivitus), siis antud juhul kasutatakse nimede lahendamiseks NetBIOS sadamat 137/udp, mille teadlik blokeerimine esineb harva, kuna see vähendaks tugevalt võrgu kasutusmugavust, näiteks võib kaduda võrgu keskkond jne.

Nagu öeldakse, numeratsioon on võti
Kas on sellist kaitset? Seda ei ole, kuna see ei ole haavatavust kokku. See on lihtsalt vaikimisi olemasoleva funktsiooni osa. windows (s linux käitumine erineb veidi). Ja kui te, juhuslikult, mööda võrgu marsruutimise reegleid, satute suletud segmendi, siis ründaja leiab teid kindlasti ja teeb seda väga kiiresti.

Allikas: habr.com