Tomi Hunteri päevik: „Baskerville'i koer“

Lepingu allkirjastamisega viivitamine on igas suuremas firmas tavaline. Erandiks ei olnud leping Tomi Hunteri ja ühe veebipoe vahel, mis pakkus põhjalikku pentestimist. Oli vaja kontrollida nii veebisaiti, sisevõrku kui ka töö-Wi-Fi-d.

Pole üllatav, et käed sügelesid juba enne, kui kõik formaalsused olid lõpuni viidud. Lihtsalt saidi skaneerimine igaks juhuks, vähe tõenäoline, et nii tuntud pood nagu „Baskerville'i koer“ lubaks endale siinkohal vigu. Paar päeva hiljem toodi Tomile siiski allkirjastatud lepingu originaal – sel ajal, kui kolmanda kohvitassi taga hindas Tom huviga laode olukorda oma sise-CMS-is…

Allikas: Ehsan Taebloo

Kuid CMS-is eriti majandada ei õnnestunud – Tomi Hunteri IP-aadress blokeeriti veebisaidi administreerijate poolt. Kuigi oleks olnud võimalik teenida poekardile boonuseid ja toita oma lemmik kassi pikka aega odavalt… "Seekord mitte, Darth Sidious" – mõtles Tom naeratades. Samuti oleks olnud huvitav liikuda kodulehe piirkonnast kliendi lokaalsesse võrgustikku, aga näib, et need segmendid ei ole omavahel seotud. See juhtub tõesti sagedamini väga suurtes ettevõtetes.

Pärast kõiki formaalsusi varustas Tom Hunter end antud VPN-konto abil ja suundus kliendi lokaalvõrku. Konto kuulus Active Directory domeeni, nii et saaks lihtsalt võtta ja ilma erilise vaevata teha AD dump – lasta välja kogu avalik teave kasutajatest ja tööjaamadest.

Tom käivitas utiliidi adfind ja hakkas saatma domeeni kontrollerile LDAP-päringuid. Objekti kategooria klassi filtriga, määrates atribuudiks isiku. Vastuseks tuli sellise struktuuriga:

dn:CN=Külastaja,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Külastaja
>description: Sisseehitatud konto, et anda külalistele juurdepääs arvutile või domeenile
>distinguishedName: CN=Külastaja,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Lisaks oli veel palju kasulikku teavet, kuid kõige huvitavam leidus valdkonnas >description: >description. See on konto kommentaar - põhimõtteliselt mugav koht, kus hoida vähese tähtsusega märkmeid. Kuid kliendi administraatorid arvasid, et ka paroolid võivad siin rahus olla. Kellest, lõpuks, võiksid kõik need vähetähtsad teenusekontod huvi pakkuda? Seetõttu olid Tomi saadud kommentaarid järgmised:

Loodud Administraatori poolt, 2018.11.16 7po!*Vqn

Ei ole vaja olla eriline geenius, et mõista, milleks lõpuks kombinatsioon vajalik on. Jäi alles suure vastuse faili parsimine KD järgi >description: välja ja siin nad on - 20 paari kasutajanimi-parool. Peaaegu pooltel on RDP juurdepääsu õigused. Tubli stardiplatvorm, aeg jagada sissetungijate jõud.

Võrgukeskkond

«Baskerville'ide koerte» jagatud kaustad meenutasid suurt linna oma kaoses ja ettearvamatuses. Kasutaja ja RDP profiilidega oli Tom Hunter selles linnas vaene poiss, kuid isegi tema jõudis läbi turvaarhitektuuri säravate vitriinide palju näha.

Failiserverite osad, raamatupidamisarved ja isegi nendega seotud skriptid - kõik see oli avalikult saadaval. Ühe sellise skripti seadetes leidis Tom MS SQL-i hash'i ühe kasutaja kohta. Veidi bruteforce'i nõidus ja kasutaja hash muutus tavaliseks parooliks. Aitäh John The Ripperile ja Hashcat'ile.

See võti pidi sobima mõnele aardekirstule. Aardekirst leiti ja veelgi enam - sellega oli seotud veel kümme «aardekirstu». Ja kuues neist sisaldas… superkasutaja õigusi, nt authority süsteem! Kaks neist suudeti käivitada salvestatud protseduuri xp_cmdshell ja saata cmd-käske Windowsi. Mida veel soovida?

Domeenikontrollerid

Teise löögi valmistab Tom Hunter domeenikontrollerite suhtes. «Baskerville'ide koerte» võrgus oli neid kolme - vastavalt territooriumilt eemal asuvate serverite arvule. Igal domeenikontrolleril on avalik kaust, nagu avatud vitriin poes, mille kõrval hängib ikka sama vaene poiss Tom.

Ja seekord vedas poisil uuesti - vitriinilt unustati ära skript, kus oli hardcode'itud kohaliku serveri administraatori parool. Nii et tee domeenikontrollerisse oli avatud. Tere tulemast, Tom!

Siit tõmmati välja imejahuti mimikatz, mis on saanud mitme domeeni administraatori ohvriks. Tom Hunter pääses ligi kõigile masinatele kohalikus võrgus ja kurjakuulutav naer ajas naabri kassi kiiktoolist minema. See tee oli lühem, kui oodati.

EternalBlue

Mälu WannaCryst ja Petjast elab endiselt pentesterite mälus, kuid mõned administraatorid on tundunud unustavat krüptoreid teiste õhtuste uudiste voos. Tom avastas kolm sõlme, mis olid haavatavad SMB protokolli vastu - CVE-2017-0144 ehk EternalBlue. Just see on see haavatavus, mille kaudu levitati WannaCry ja Petya krüpto. See haavatavus võimaldab käivitada suvalist koodi sõlmes. Ühel haavataval sõlmel oli domeeni administraatori sessioon — „kasuta ära ja saa kätte“. Mis sa teed, aeg ei ole kõiki õpetanud.

„Baskerville'i koer“

Infotehnoloogia klassikud armastavad öelda, et iga süsteemi kõige nõrgem lüli on inimene. Kas olete märganud, et ülaltoodud pealkiri ei vasta poe nimele? Võib-olla ei ole kõik nii tähelepanelikud.

Hea vanas phishingu põnevuse traditsioonis registreeris Tom Hunter domeeni, mis erineb Baskerville'i koera domeenist vaid ühe tähe võrra. Selle domeeni e-posti aadress matkib poe infotehnoloogia teenistuse aadressi. Nelja päeva jooksul, ajavahemikus 16:00 kuni 17:00, saadeti 360 aadressile selline kiri vale aadressilt:

Tõenäoliselt päästis massilisest paroolide lekkimisest ainult töötajate enda laiskus. 360 kirjast avati vaid 61 - turvteenus ei ole väga populaarne. Kuid edasi oli lihtsam.

Phishingu leht

46 inimest klõpsas linki ja peaaegu pool - 21 töötajat - ei vaadanud aadressiriba ning sisestasid rahulikult oma kasutajanimi ja paroolid. Hea saak, Tom.

Wi-Fi võrk

Nüüd ei saanud kassi abile loota. Tom Hunter viskas oma vanasse sedaani mõned seadmed ja suundus Baskerville'i koera kontorisse. Tema visiit ei olnud kooskõlastatud: Tom kavatseb testida kliendi Wi-Fi-d. Ärihoone parklas leidus mitmeid vabu kohti, mis sobisid sihtvõrgu perimeetrisse. Ilmselt ei mõelnud keegi selle piirangule eriti - justkui oleks administraatorid segaduses lisanud täiendavaid punkte igasuguste nõuete vastuseks nõrga Wi-Fi kohta.

Kuidas töötab WPA/WPA2 PSK kaitse? Andmed, mis liiguvad allksi ja klientide vahel, kaitseb sessioonieelne võti - Pairwise Transient Key (PTK). PTK kasutab eelnevalt jagatud võtit ja viit muud parameetrit - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), juurdepääsupunktide ja klientide MAC-aadresse. Tom varastas kõik viis parameetrit, ja nüüd puudus ainult eelnevalt jagatud võti.

Hashcat tööriist leidis selle puuduva lüli umbes 50 minutiga - ja meie kangelane sattus külalisvõrku. Sealt oli võimalik juba näha töövõrku - kummalisel kombel sai Tom parooliga hakkama vaid üheksa minutiga. Ja kõik see ilma parkimisplatsilt lahkumata, igasugu VPN-ideta. Töövõrk avas meie kangelasele tohutud võimalused kohutavateks tegevusteks, kuid ta... ei lisanud ikka veel boonuseid kaupluse kaardile.

Tom tegi pausi, vaatas kella, viskas paar paberraha lauale ja, jätnud hüvasti, lahkus kohvikust. Võib-olla järgmine pentsest, võib-olla midagi muud. telegraafikanal mõtles kirjutada...


Allikas: habr.com