Tom Hunteri päevik: „Baskerville'i koer“

Lepinguga allkirjastamine on tavapärane igas suuremas ettevõttes. Erandi ei teinud ka leping Tom Hunteri ja ühe võrgu lemmikloomapoe vahel põhjaliku pentestimise jaoks. Kontrollima pidi nii veebilehte kui ka sisemist võrku ning isegi töötavaid Wi-Fi ühendusi.

Pole üllatav, et käed sügelevad veel enne, kui kõik formaalsused on korraldatud. Lihtsalt niisama veebilehte skannida, suure tõenäosusega ei lase nii tuntud pood nagu «Baskerville’i koer» siin vigu teha. Mõni päev hiljem toimetati Toma juurde siiski allkirjastatud leping — sel ajal hindas Tom kolmandal kohvikohvil oma sisemises CMS-is huvi pärast laode seisukorda…

Allikas: Ehsan Taebloo

Aga CMS-is eriti mässata ei õnnestunud — Tom Hunteri IP aadress blokeeriti saidi administraatorite poolt. Kuigi oleks saanud piisavalt aega, et genereerida poes boonuseid ja kaua toita oma lemmik kassi odavalt... "Ei sel korral, Dart Sidious," mõtles Tom naeratades. Oleks olnud huvitav liikuda veebilehelt kliendi kohalikku võrku, kuid näib, et need segmendid ei ole omavahel ühendatud. Nii juhtub tihti väga suurtes ettevõtetes.

Pärast kõiki formaalsusi varustas Tom Hunter end saadud VPN-konto ja suundus kliendi kohalikku võrku. Konto oli Active Directory domeenis, seega võis lihtsasti teha AD-dump'i — saada kogu avalik teave kasutajate ja töökeskkondade kohta.

Tom kirjutas käivitusprogrammi adfind ja hakkas saatma domeeni juhtimisse LDAP-päringuid. Filtreerides objectCategory klassi kaudu ja määrates atribuudi inimeseks. Vastus tuli sellise struktuuriga:

dn:CN=Külastaja,CN=Users,DC=domeen,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Külastaja
>description: Süsteemi konto külaliste juurdepääsuks arvutisse või domeeni
>distinguishedName: CN=Külastaja,CN=Users,DC=domeen,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Lisaks oli palju muud kasulikku teavet, kuid kõige huvitavam oli väljadel >description: >description. See on kommentaar kontole — tegelikult mugav koht, et hoida väikseid märkmeid. Kuid kliendi administraatorid arvasid, et ka paroolid võivad seal rahulikult olla. Kellele, lõpuks, võivad kõik need väheolulised teenusekontod huvi pakkuda? Seetõttu olid Tomi saadud kommentaarid järgmised:

Loodud Administraatori poolt, 2018.11.16 7po!*Vqn

Ei pea olema geenius, et mõista, milleks lõpus olev kombinatsioon kasulik on. Oli vaja suure vastusefaili parsimist KDs väljaga >description: ja siin nad on — 20 paar login-parool. Peaaegu poolel neist on RDP-kasutusõigused. Tore alguspunkt, aeg rünnakujõud jagada.

Võrgukeskkond

«Baskerville'i koerte» jagatavad ressursid meenutasid suurt linna kogu selle kaoses ja ettearvamatuses. User ja RDP profiilidega oli Tom Hunter selles linnas kerjuse poisike, kuid isegi tema jõudis palju näha läbi turvaveebide säravate vitriinide.

Osalused failiserverid, raamatupidamiskontod ja isegi seotud skriptid – kõik see oli avalikustatud. Ühes sellises skriptis leidis Tom MS SQL-hashi ühe kasutaja kohta. Natuke bruteforce'i võlu ja kasutaja hash muutus tavalise tekstiga parooliks. Aitäh John The Ripper ja Hashcat.

See võti pidi sobima mingisse kirstu. Kirst leiti ja lisaks oli sellega seotud veel kümme 'kirstu'. Ja kuues neist sisaldas... superkasutaja õigusi, nt authority süsteem! Kahel neist õnnestus käivitada salvestatud protseduur xp_cmdshell ja saata cmd-käske Windowsisse. Mida veel soovida?

Domeenikontrollerid

Teise löögi valmistab Tom Hunter domeenikontrollerite jaoks. Baskerville'i koerte võrgus oli neid kolm – vastavalt territoriaalselt lahusolevatele serveritele. Igal domeenikontrolleril on avalik kaust, nagu avatud vitriin poes, mille juures tiirutab sama kerjamine poiss Tom.

Ja seekord oli noormeest taas õnne — vitriinilt unustati eemaldada skript, kus oli kõvasti sisse kirjutatud kohaliku serveri administraatori parool. Nii et tee domeeni kontrollijasse oli avatud. Tere tulemast, Tom!

Siin oli välja võetud mimikatz, mis kasutas ära mitmeid domeeni administraatoreid. Tom Hunter sai ligipääsu kõigile kohaliku võrguga seotud masinatele, ja kuratlik naer hirmutas naaberkohvris olevat kassi minema. See tee oli lühem, kui oodati.

EternalBlue

Mälu WannaCry ja Petya kohta elab endiselt pentestijate mõtetes, kuid mõned administraatorid paistavad olevat unustanud krüptoraha ründajad teiste õhtuste uudiste voos. Tom leidis kolm sõlme, millel oli SMB protokolli haavatavus — CVE-2017-0144 või EternalBlue. Just see haavatavus võimaldas WannaCry ja Petya krüptoraha levikut, haavatavus, mis võimaldab sõlmes täita suvalist koodi. Ühel haavataval sõlmel oli domeeni administraatori seanss — „rakenda ja saa”. Mis sa teed, aeg ei ole kõiki õpetanud.

„Baskerville’i koer“

Infotehnoloogia klassikud armastavad korduvalt öelda, et iga süsteemi kõige nõrgem koht on inimene. Kas olete märganud, et ülaltoodud pealkiri ei vasta poe nimele? Võib-olla ei ole kõik nii tähelepanelikud.

Parimates kalameeste traditsioonides registreeris Tom Hunter domeeni, mis erineb ühe tähe võrra 'Baskerville'i koerte' domeenist. Selle domeeni e-posti aadress jäljendas poe infotehnoloogia teenistuse aadressi. Nelja päeva jooksul, kella 16:00–17:00, saadeti 360 valeaadressilt selliseid kirju:

Omaenda laiskus päästis ilmselt töötajate massilisest paroole kaotamisest. 360 kirjast avati vaid 61 — turvateenistust ei teata eriti palju. Edasi läks aga lihtsamaks.

Phishing'i leht

46 inimest klõpsas lingil ja peaaegu pool — 21 töötajat — ei vaadanud aadressiribal ja sisestasid rahulikult oma kasutajanimesid ja paroole. Hea saak, Tom.

Wi-Fi võrk

Nüüd ei pidanud Tom Hunter lootma kassi abi peale. Ta viskas oma vanasse sedaani paar rauatükki ja suundus Baskerville'i koerte kantseleist läbi. Tema visiiti ei olnud kooskõlastatud: Tom soovib proovida kliendi Wi-Fi-d. Ärikeskuse parklas leidus mõned vabad kohad, mis sobisid sihtvõrgu piiridesse. Tundub, et tema piirangutest ei mõeldud eriti – nagu oleks administraatorid juhuslikult lisanud täiendavaid punkte igasuguste nõudmiste peale nõrgema wi-fi osas.

Kuidas töötab WPA/WPA2 PSK kaitse? Krüpteerimine juurdepääsupunkti ja klientide vahel toimub eelneva seansi võtme - Pairwise Transient Key (PTK) kaudu. PTK kasutab eesregistreeritud võtit ja viit muud parameetrit - SSID, autentimise nissani (ANounce), vajalikku nissani (SNounce), juurdepääsupunkti ja kliendi MAC-aadresse. Tom tabas kõik viis parameetrit ja nüüd jäi puudu vaid eesregistreeritud võti.

Hashcat utiliit suutis selle puuduva lüli umbes 50 minutiga tagasi tuua — ja meie kangelane leidis end külalisvõrgust. Sealt oli juba võimalik näha töökeskkonda — kummalisel kombel suutsid Tom seal parooliga hakkama saada vaid üheksa minutiga. Ja kõike seda tegi ta parkimisest lahkumata, ilma igasuguste VPN-idega. Töökeskkond avas meie kangelasest hirmuäratavad võimalused, kuid ta… ei suutnud kaarte kauplusesse boonuseid lisada.

Tom tegi pausi, vaatas kella, viskas paar rahatäit lauale ja, hüvasti jättes, lahkus kohvikust. Võib-olla uus pentest, või äkki midagi muud... telegrami kanal tuli talle kirjutada...


Allikas: habr.com