Varjatud paroolihäkkimine Smbexeci abil

Kirjutame regulaarselt sellest, kuidas häkkerid loodavad sageli ärakasutamisele häkkimismeetodid ilma pahatahtliku kooditatuvastamise vältimiseks. Nad sõna otseses mõttes "ellu jääda karjamaal", kasutades standardseid vahendeid Windows, möödudes seeläbi viirusetõrjetest ja muudest pahavara tuvastamise tööriistadest. Kaitsjatena oleme nüüd sunnitud tegelema selliste nutikate häkkimistehnikate kohutavate tagajärgedega: hästi paigutatud töötaja saab sama lähenemisviisi abil salaja andmeid (ettevõtte intellektuaalomand, krediitkaardi numbrid) varastada. Ja kui nad võtavad aega, töötades aeglaselt ja salaja, on see äärmiselt keeruline – kuid siiski võimalik, kui kasutatakse õiget lähenemisviisi ja sobivaid taktikaid. Töövahendid, — sellise tegevuse tuvastamiseks.

Teisest küljest ei tahaks ma töötajaid demoniseerida, sest keegi ei taha töötada ärikeskkonnas otse Orwelli 1984. aastast. Õnneks on mitmeid praktilisi samme ja eluviise, mis võivad siseringi inimeste elu palju keerulisemaks muuta. Me kaalume varjatud rünnaku meetodid, mida häkkerid kasutavad teatud tehnilise taustaga töötajad. Ja veidi edasi arutame võimalusi selliste riskide vähendamiseks – uurime nii tehnilisi kui ka organisatsioonilisi võimalusi.

Mis PsExecil viga on?

Edward Snowden, kas õigustatult või valesti, on muutunud siseandmete varguse sünonüümiks. Muide, ärge unustage pilku heitmast see märkus teiste insaiderite kohta, kes samuti väärivad teatavat kuulsuse staatust. Üks oluline punkt, mida Snowdeni kasutatud meetodite puhul tasub rõhutada, on see, et meie teadmiste kohaselt on ta ei installinud ei mingit välist ründetarkvara!

Selle asemel kasutas Snowden veidi sotsiaalset manipuleerimist ja kasutas oma positsiooni süsteemiadministraatorina paroolide kogumiseks ja mandaatide loomiseks. Ei midagi keerulist – mitte midagi mimikatz, rünnakud mees-keskel või metasploit.

Organisatsiooni töötajad ei ole alati Snowdeni ainulaadses positsioonis, kuid mõistest "karjatamisega ellujäämine" tuleb õppida mitmeid õppetunde, millest tuleb teadlik olla - mitte osaleda pahatahtlikus tegevuses, mida on võimalik tuvastada, ja olla eriti oluline. volikirjade kasutamisega ettevaatlik. Pidage meeles seda mõtet.

Psexec ja tema nõbu crackmapexec on avaldanud muljet lugematutele pentestijatele, häkkeritele ja küberturvalisuse blogijatele. Ja koos mimikatziga võimaldab psexec ründajatel võrgus liikuda, ilma et nad peaksid teadma selgeteksti parooli.

Mimikatz püüab kinni LSASS-i protsessist pärineva NTLM-i räsi ja edastab seejärel loa või mandaadid – nn. "pass the hash" rünnak – psexecis, võimaldades ründajal teise serverisse sisse logida teise kasutaja. Ja iga järgneva uude serverisse liikumisega kogub ründaja täiendavaid mandaate, laiendades oma võimalusi saadaoleva sisu otsimisel.

Kui ma esimest korda psexeciga töötama hakkasin, tundus see mulle maagiline – aitäh Mark Russinovitš, psexeci geniaalne arendaja – aga ma tean ka tema oma lärmakas komponendid. Ta pole kunagi salajane!

Esimene huvitav fakt psexeci kohta on see, et see kasutab äärmiselt keerulisi SMB võrgufaili protokoll Microsoftilt. SMB-d kasutades edastab psexec väikseid binaarne failid sihtsüsteemi, paigutades need kausta C:.Windows.

Järgmine psexec loob Windows-service kasutab kopeeritud binaarfaili ja käivitab selle väga "ootamatu" nime PSEXECSVC all. Tegelikult näete seda kõike, nagu minagi, kaugarvutit jälgides (vt allpool).

Psexeci visiitkaart on teenus "PSEXECSVC". See käitab binaarfaili, mis on SMB kaudu paigutatud C: kausta.Windows.

Viimase sammuna avaneb kopeeritud binaarfail RPC ühendus sihtserverisse ja seejärel aktsepteerib juhtkäsklusi (vaikimisi – cmd-kesta kaudu) Windows), käivitades need ning suunates sisendi ja väljundi ründaja koduarvutisse. Ründaja näeb lihtsat käsuviiba – sama, mis siis, kui nad oleksid otse ühendatud.

Palju komponente ja väga lärmakas protsess!

Psexeci keerukad sisemised osad selgitavad sõnumit, mis mind mitu aastat tagasi esimeste testide ajal hämmingus tekitas: "PSEXECSVC käivitamine...", millele järgnes paus enne käsuviiba ilmumist.

Impaketi Psexec näitab tegelikult seda, mis kapoti all toimub.

Pole üllatav: psexec tegi kapoti all tohutult tööd. Kui olete huvitatud täpsemast selgitusest, vaadake siit need imeline kirjeldus.

Ilmselgelt, kui seda kasutada süsteemihaldusvahendina, mis oli algne eesmärk psexec, kõigi nende mehhanismide "sumises" pole midagi halba Windows Ei. Ründaja jaoks tekitaks psexec aga komplikatsioone ning ettevaatliku ja kavala siseringi isiku, näiteks Snowdeni, jaoks oleks psexec või sarnane utiliit liiga suur risk.

Ja siis tuleb Smbexec

SMB on nutikas ja salajane viis failide edastamiseks serverite vahel ning häkkerid on juba sajandeid otse SMB-sse imbunud. Ma arvan, et kõik teavad juba, et see pole seda väärt avage SMB pordid 445 ja 139 Internetti, eks?

2013. aasta Defconis osales Eric Millman (brav0hax) esitati smbexec, et pentestijad saaksid proovida varajast SMB häkkimist. Ma ei tea kogu lugu, kuid Impacket täiustas smbexeci veelgi. Tegelikult laadisin testimiseks alla Pythoni Impacketist pärit skriptid saidilt Github.

Erinevalt psexec-st, smbexec väldib potentsiaalselt tuvastatud binaarfaili edastamine sihtmasinasse. Selle asemel elab utiliit täielikult karjamaast kuni käivitamiseni kohalik käsurida Windows.

See edastab ründava masina käsu SMB kaudu spetsiaalsesse sisendfaili ning loob ja käivitab seejärel keeruka käsurea (teenusena). Windows), mis tundub Linuxi kasutajatele tuttav. Lühidalt: see töötab natiivselt Windows-cmd shell, suunab väljundi teisele failile ja saadab selle seejärel SMB kaudu ründaja masinasse tagasi.

Parim viis seda mõista on vaadata käsurida, mille sain sündmuste logist (vt allpool).

Kas see pole mitte parim viis I/O ümbersuunamiseks? Muide, teenuse loomisel on sündmuse ID 7045.

Nagu psexec, loob see ka teenuse, mis teeb kogu töö ära, kuid teenus pärast seda eemaldatud - seda kasutatakse käsu käivitamiseks ainult üks kord ja seejärel kaob! Ohvri masinat jälgiv infoturbeametnik ei suuda tuvastada ilmselge Rünnaku tunnused: Pahatahtlikku faili ei käivitata, püsivat teenust pole installitud ja RPC kasutamise kohta pole tõendeid, kuna SMB on ainus andmeedastusvahend. Geniaalne!

Ründaja poolelt on saadaval "pseudo-shell", mille käsu saatmise ja vastuse saamise vahel on viivitus. Kuid see on täiesti piisav, et ründaja – kas sisering või väline häkker, kellel on juba tugipunkt – hakkaks huvitavat sisu otsima.

Andmete väljastamiseks sihtmasinast ründaja masinasse kasutatakse seda smbclient. Jah, see on sama Samba utiliit, kuid Impacket muutis selle Pythoni skriptiks. Tegelikult võimaldab smbclient SMB kaudu FTP-ülekandeid varjatult majutada.

Astume sammu tagasi ja mõtleme, mida see töötaja jaoks tähendada võiks. Minu väljamõeldud stsenaariumis lubatakse näiteks blogijal, finantsanalüütikul või kõrgelt tasustatud turvakonsultandil oma isiklikku sülearvutit tööks kasutada. Mingi maagilise protsessi käigus hakkab ta ettevõtte peale pahaks panema ja läheb raevu. Sõltuvalt sülearvuti operatsioonisüsteemist kasutab ta kas Impacti Pythoni versiooni või Windows smbexeci või smbclienti versioon .exe-failina.

Nagu Snowden, saab ka tema teada teise kasutaja parooli kas üle õla vaadates või siis veab ja komistab parooliga tekstifaili otsa. Ja nende mandaatide abil hakkab ta süsteemis ringi uurima uuel privileegide tasemel.

DCC häkkimine: me ei vaja ühtegi "rumalat" Mimikatzi

Oma eelmistes postitustes pentestimise kohta kasutasin ma mimikatzi väga sageli. See on suurepärane tööriist mandaatide pealtkuulamiseks – sülearvutitesse peidetud NTLM-räsid ja isegi selgeteksti paroolid, mis ootavad kasutamist.
Ajad on muutunud. Seiretööriistad on mimikatzi tuvastamisel ja blokeerimisel paremaks muutunud. Infoturbe administraatoritel on nüüd ka rohkem võimalusi vähendada räsirünnakute (PtH) rünnakutega seotud riske.
Mida peaks tark töötaja tegema, et koguda täiendavaid mandaate ilma mimikatzi kasutamata?

Impaketi komplekt sisaldab utiliiti nimega saladuste prügimägi, mis hangib mandaadid domeeni mandaatide vahemälust ehk lühidalt DCC-st. Ma saan aru, et kui domeeni kasutaja logib serverisse sisse, kuid domeenikontroller pole saadaval, võimaldab DCC serveril kasutaja autentida. Igatahes võimaldab secretsdump kõik need räsid kustutada, kui need on saadaval.

DCC räsid on mitte NTML-räsi ja nende ei saa kasutada PtH rünnaku jaoks.

Noh, võite proovida neid häkkida, et saada algne parool. Microsoft on aga DCC-ga targemaks saanud ja DCC-räsi on muutunud äärmiselt keeruliseks lahti murda. Jah mul on hashcat, "maailma kiireim parooliarvaja", kuid selle tõhusaks tööks on vaja GPU-d.

Selle asemel proovime mõelda nagu Snowden. Töötaja saab teha näost näkku sotsiaalset manipuleerimist ja võib-olla saada teavet inimese kohta, kelle parooli ta soovib murda. Näiteks uurige, kas inimese veebikontole on kunagi sisse häkitud, ja uurige tema selgeteksti parooli vihjete leidmiseks.

Ja see on stsenaarium, mille järgi ma otsustasin järgida. Oletame, et sisering sai teada, et tema ülemust Cruellat oli erinevates veebiressurssides mitu korda häkitud. Pärast mitmete nende paroolide analüüsimist mõistab ta, et Cruella eelistab kasutada pesapallimeeskonna nime "Yankees" vormingut, millele järgneb jooksev aasta - "Yankees2015".

Kui proovite seda nüüd kodus reprodutseerida, saate alla laadida väikese "C" kood, mis rakendab DCC räsimisalgoritmi, ja kompileerib selle. John Ripper, muide, lisas DCC toe, nii et seda saab ka kasutada. Oletame, et insaider ei taha vaeva näha Rippija Johannese õppimisega ja talle meeldib "gcc" käitada pärand C-koodil.

Insaideri rolli teeskledes proovisin mitmeid erinevaid kombinatsioone ja lõpuks suutsin avastada, et Cruella parool oli "Yankees2019" (vt allpool). Ülesanne täidetud!

Natuke sotsiaalset manipuleerimist, näpuotsaga ennustamist ja näpuotsaga Maltegot ning oletegi DCC räsi murdmise teel.

Soovitan siinkohal lõpetada. Naaseme selle teema juurde teistes postitustes ja vaatame veelgi aeglasemaid ja vargasemaid ründemeetodeid, jätkates Impacketi suurepäraste utiliitide komplekti.

Allikas: www.habr.com