Kirjutame Reverse socks5 proxy Powershellis. Osa 1

Käesolev uurimistöö ja arendustegevuse lugu on jagatud kolme ossa. Osa 1 — uurimine.
Palju lisanäitajaid — veelgi rohkem kasu.

Ülesande seadmine

Pentestide ja RedTeam kampaaniate käigus ei ole alati võimalik kasutada Tellija tavaressursse, nagu VPN, RDP, Citrix jne, et pääseda sisesüsteemi. Mõnes kohas töötab tavapärane VPN MFA kaudu ja teise faktorina kasutatakse riistvara tokenit, teises kohas jälgitakse seda rangelt ja meie korraldatud sisenemine VPN-i kaudu on koheselt nähtav, nagu öeldud — kõigi selle tagajärgedega, kuid mõnes kohas ei ole selliseid vahendeid lihtsalt olemas.

Sellistes olukordades tuleb pidevalt luua nn 'tagasi tunnelid' — ühendused sisesüsteemist välistesse ressurssidessse või meie kontrolli all olevasse serverisse. Sellise tunneli sees saame juba töötada Tellijate siseressurssidega.

Tagasiulatuvaid tunnelite mitmekesisus on suur. Kõige tuntum neist on muidugi Meterpreter. Samuti on suur nõudlus SSH tunnelite järele, mille abil tagasiviidud pordid on populaarsed häkkerite seas. Tagasiulatuva tunnelimise teostamiseks on palju vahendeid, millest paljud on hästi uuritud ja dokumenteeritud.
Muidugi ei jää turvalahenduste arendajad oma kohustuste täitmisega kõrvale ning nad tuvastavad aktiivselt selliseid tegevusi.
Näiteks tuvastavad kaasaegsed IPS-d, nagu Cisco või Positive Tech, MSF seansid edukalt, ja tagasiulatuvat SSH tunnelit saab tuvastada praktiliselt mis tahes normaalse tulemüüriga.

Seega, et jääda märkamatuks heades RedTeam kampaaniates, peame looma tagasiulatuva tunneli ebatavaliste vahenditega ja kohandama meid võimalikult lähedale võrgu tegelikule töörežiimile.

Proovime leida või leiutada midagi sarnast.

Enne midagi välja mõelda, tuleb mõista, millist tulemust soovime saavutada ja milliseid funktsioone meie arendus peab täitma. Millised on nõuded tunnelile, et saaksime töötada maksimaalse varjamatuse režiimis?

On selge, et igas olukorras võivad need nõuded erineda, kuid tööpraktika põhjal võib välja tuua põhinõuded:

• töötamine Windows 7-10 operatsioonisüsteemidel, kuna enamikus ettevõttevõrgustikes kasutatakse just Windowsit;
• klient ühendub serveriga SSL protokolli kaudu, et välistada sisemist kuulamist IPS-i vahenditega;
• ühendamisel peab klient toetama tööks läbi autentimisega proxy-serveri, kuna paljudes ettevõtetes toimub internetti pääsemine proxy kaudu. Tegelikult ei pruugi kliendi masin sellest isegi midagi teada, kuna proxy töötatakse välja läbipaistvas režiimis. Kuid selline funktsionaalsus peab olema meie lahenduses olemas;
• kliendi osa peab olema kompaktselt kirjutatud ja kantav;
  Selge, et kliendi masinasse saab OpenVPN-i installida ja luua täisfunktsionaalne tunnel oma serverisse (head seetõttu, et OpenVPN-i kliendid oskavad töötada läbi proksi). Kuid esiteks, see ei pruugi alati õnnestuda, kuna me ei pruugi olla seal kohalike administraatorite, ja teiseks, see tekitab nii palju müra, et korralik SIEM või HIPS teatab kohe meile "kuhu vaja". Ideaalis peaks meie klient olema nn inline meeskond, nagu on näiteks teostatud paljudes bash-shellides, ja käivituma käsurealt, näiteks käskude täitmisel Wordi makrost.
• meie tunnel peaks olema mitmeühenduslik ja toetama mitmeid ühendusi korraga;
• kliendi-serveri ühendusel peaks olema mingi autentimine, et tunnel luuakse ainult meie kliendile, mitte kõigile, kes tulevad meie serverisse antud aadressi ja pordiga. Ideaalis peaks "kolmandatele kasutajatele" avanema maandumisleht kassidega või professionaalse temaatikaga, mis on seotud algse domeeniga.
  Näiteks, kui tellijaks on meditsiiniasutus, siis peab infotehnoloogia administraator, kes otsustab kontrollida ressurssi, millele kutsus üles kliiniku töötaja, nägema lehte farmatseutiliste toodete, haiguse kirjelduse vikipeedia või dr Komarovski blogiga jne.

Olemasolevate tööriistade analüüs

Enne oma jalgratta leiutamist on oluline analüüsida olemasolevaid jalgrattaid ja mõista, kas see on meile tõeliselt vajalik ning ilmselt ei ole me ainukesed, kes on mõelnud sellise funktsionaalse jalgratta vajadusele.

Interneti otsing (googeldame me tundub, et normaalselt) ning ka githubis otsing võtmesõnade "reverse socks" järgi ei andnud eriti palju tulemusi. Peamiselt piirduvad kõik SSH tunnelite loomisega tagasipööratud portide läbiviimisega ja kõik, mis sellega seondub. Lisaks SSH tunnelitele võib välja tuua mitmeid lahendusi:

github.com/klsecservices/rpivot
Kauaegu väljatöötatud tagasitunneldamise lahendus Kaspersky Labori meeskonnalt. Nimi viitab selgelt, milleks see skript mõeldud on. Teostatud Python 2.7, tunnel töötab selges tekstis (nagu praegu moes on — tervitused RKN-ile)

github.com/tonyseek/rsocks
Veel üks teostus Pythoni keeles, samuti selges tekstis, kuid rohkem võimalusi. Kirjutatud moodulina ja pakub API-d lahenduse integreerimiseks oma projektidesse.

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
Esimene link — algne versioon tagasitunneldamise teostusest Go keeles (arendaja ei toeta).
Teine link — meie täiustatud versioon koos lisafunktsioonidega, samuti Go keeles. Meie versioonis oleme rakendanud SSL-i, töötamise läbi proxye NTLM-autentimisega, autentimise kliendil, maandumislehe vale parooli korral (õigemini — suunamise maandumislehele), mitme lõime režiimi (s.t. tunnelit saavad kasutada mitu inimest samaaegselt), kliendi pingimissüsteemi selle kohta — kas ta on elus või mitte.

github.com/jun7th/tsocks
Meie «hiina sõprade» koostatud tagasi SOCKS Pythonis. Siin on ka valmis binaar (exe), mille on kokku pannud hiinlased ja mis on kasutamiseks valmis. Ainult hiina jumal teab, mis muidu selle binaari sees on peale peamise funktsionaalsuse, seega kasutage seda omal riskil.

github.com/securesocketfunneling/ssf
Tegemist on üsna huvitava C++ projektiga tagasi SOCKS-i ja muude otsingute rakendamiseks. Peale tagasi tunneli loomise suudab ta ka porte edastada, luua käsurea ja nii edasi.

MSF meterpreter
Siin, nagu öeldakse, kommentaarideta. Kõik vähemalt veidi haritud häkkerid tunnevad selle asjaga hästi ja mõistavad, kui kergelt kaitsemeetmed seda avastavad.

Kõik eelnevalt kirjeldatud tööriistad töötavad sarnasel tehnoloogial: võrgusiseses masinas käivitub eelnevalt ettevalmistatud täidetav binaarmoodul, mis loob ühenduse välise serveriga. Serveris käivitub SOCKS4/5 server, mis aktsepteerib ühendusi ja edastab need kliendile.

Kõikide ülaltoodud tööriistade puuduseks on see, et kas on vajalik Python või Golangi installatsioon kliendimasinas (kui sageli olete kohanud paigaldatud Pythonit näiteks ettevõtte juhataja või kontoritöötajate masinates?), või tuleb sellele masinale tuua eelnevalt loodud binaar (põhimõtteliselt python ja skript ühes pakendis) ja käivitada see seal. Ja exe faili allalaadimine ja selle käivitamine on kohaliku viirusetõrje või HIPS'i jaoks kahtlane signeering.

Üldiselt on järeldus iseenesestmõistetav — meil on vaja lahendust PowerShellis. Nüüd võivad meil meid tomatid lendama hakata — et PowerShell on juba kõvasti läbi käidud, seda jälgitakse, blokeeritakse jne. Tegelikult ei ole see sugugi igal pool nii. Vastutustundlikult väidame. Muide, palju on viise, kuidas blokeeringutest mööda hiilida (siin tuleb jälle moes lause tervitustega RKN-le 🙂), alates PowerShell.exe lihtsast ümbernimetamisest cmdd.exe'ks ja lõpetades powerdll ja muuga.

Alustame leiutamist

Selge on, et kõigepealt vaatame Google’isse ja... ei leia sellel teemal absoluutselt mitte midagi (kui keegi leidis — saatke lingid kommentaaridesse). Ainult teostamine Socks5 PowerShellis, kuid see on tavaline "otse" sokk, millel on mitmeid oma puudusi (millest räägime hiljem). Loomulikult võib selle kergelt tagasi pöörata, kuid see oleks ainult üheahelaline sokk, mis ei ole just see, mida vajame.

Noh, me ei leidnud midagi valmis, seega peame ikkagi oma ratta leiutama. Meie ratta aluseks saab olema meie arendus tagasipöörduv sokk golangis, ning klient selle jaoks teostame PowerShellis.

RSocksTun
Noh, kuidas RSocksTun töötab?

RSocksTuni (edaspidi – rs) tööpõhimõte põhineb kahel programmakomponendil – Yamux ja Socks5 server. Socks5 server on tavaline kohalik socks5, see käivitub kliendil. Ja ühenduste multiplexerimine (kas mäletate, et räägime mitme lõime kasutamisest?) toimub yamuxi kaudu (veel üks multiplexer). Selline skeem võimaldab käivitada mitmeid kliendi sokk5 servereid ja suunata välised ühendused nendesse, edastades need läbi ühe TCP-ühenduse (peaaegu nagu meterpreter) kliendi ja serveri vahel, rakendades seega mitme lõime režiimi, ilma milleta ei saa me lihtsalt sisetööstuses täielikult töötada.

Yamux'i töö seisneb selles, et see loob stream'ide jaoks lisavõrgutaseme, rakendades selle iga paketi puhul 12-baidise päise kujul. (Siin kasutame me sihilikult sõna «stream», mitte voog, et mitte segadusse ajada lugejat programmilise vooga «thread» — seda mõistet kasutame me samuti käesolevas artiklis). Yamux'i päises on salvestatud stream'i number, stream'i loomise/katkestamise lipud, edastatavate baitide arv ja edastusaken.

Lisaks stream'i loomise/katkestamise funktsioonile on yamux'is rakendatud keepalive mehhanism, mis võimaldab jälgida kehtestatud sidekanali toimivust. Keepalive sõnumite töö tõhusust seadistatakse Yamux-seanssi loomisel. Tegelikult on seal ainult kaks parameetrit: lubamine/keelamine ja pakettide saatmise sagedus sekundites. Keepalive sõnumeid võib saata nii yamux-server kui ka yamux-kliend. Kui on saadud keepalive sõnum, peab kaugpool vastama sellele identsete sõnumi identifikaatoritega (praktiliselt - numbriga), mille ta sai. Üldiselt on keepalive sama, mis ping, kuid yamux'i jaoks.

Filip kõigi mulitplexori töömeetodite kohta: pakettide tüübid, ühenduste seadistamise ja lõpetamise lipud, andmete edastamise mehhanism on kirjeldatud spetsifikatsioonis yamuxis.

Esimese osa järeldus

Nii et artikli esimeses osas tutvustasime mõningaid tööriistu tagas tunneli seadmiseks, vaatasime nende eeliseid ja puudusi, uurisime Yamuxi multiplatvormi töömehhanismi ning kirjeldasime peamisi nõudeid uuele powershelli moodulile. Järgmisel osal keskendume mooduli arendamisele praktiliselt nullist. Jätkub. Püsige lainel 🙂

Allikas: habr.com