Peidetud paroolide häkkimine Smbexeciga

Me kirjutame regulaarselt sellest, kuidas häkkerid sageli toetuvad kasutatavatele rünnakute meetoditele, mis ei kasuta pahavarakoodi, et vältida avastamist. Nad sõna otseses mõttes „elavad tagurliku söötmise”, kasutades Windowsi standardvahendeid, kõrvale hoides viirusetõrje ja muid pahavara tuvastamise utiliite. Meie, kui kaitsjad, peame nüüd tegelema nende nutikate häkkimistehnikate kurbade tagajärgedega: hästi asetatud töötaja võib kasutada sama lähenemist andmete varjatud varastamiseks (ettevõtte intellektuaalne omand, krediitkaardi numbrid). Ja kui ta ei kiirusta, vaid töötab aeglaselt ja märkamatult, on erakordselt keeruline — aga siiski võimalik, kui rakendada õiget lähenemist ja vajalikke tööriistu, — tuvastada sellist tegevust.

Teisest küljest, ma ei soovi demoniseerida töötajaid, kuna keegi ei taha töötada äri keskkonnas, mis on otse välja „1984” Orwelli romaanist. Õnneks on olemas mitmeid praktilisi samme ja nippe, mis võivad oluliselt keeruliseks muuta siseringi inimeste elu. Vaatame üle salajased rünnaku meetodid, mida kasutatakse häkkerite ja tehnilise taustaga töötajate poolt. Peagi arutame, kuidas neid riske vähendada – vaatame nii tehnilisi kui ka organisatsioonilisi lähenemisi.

Mis on vale PsExecis?

Edward Snowden on õigustatult või mitte, muutunud andmesalajõudude varguse sünonüümiks. Muide, ärge unustage vaadata seda märget teistele insaideritele, kes samuti väärivad teatud tuntust. Oluline on rõhutada, et Snowdeni kasutatavate meetodite kohta on teada, et ta ei installinud ühtegi väliseid pahavara!

Pigem kasutas Snowden veidi sotsiaalset inseneriteadust ja rakendas oma süsteemiadministraatori staatust paroolide kogumiseks ja kontoandmete loomiseks. Mitte midagi keerulist – ei olnud mimikatz, rünnakud man-in-the-middle või metasploit.

Organisatsioonide töötajad ei pruugi alati olla Snaudeni ainulaadses positsioonis, kuid mõisted "ellu jäämine" kaudu on võimalik tuletada mitmeid õppetunde, mida tasub teada – ei tohi teha ühtegi pahatahtlikku tegevust, mida võiks avastada, ja eriti ettevaatlik olla autentimisdokumentide kasutamisel. Pidage seda meeles.

Psexec ja tema nõbu crackmapexec on jätnud mulje arvukatele pentestijatele, häkkeritele ja küberjulgeoleku blogijatele. Koos mimikatziga võimaldab psexec ründajatel liikuda võrgus ilma parooli teadmiseta.

Mimikatz püüab NTLM-i räsida LSASS-protsessist ja edastab seejärel žetooni või autentimisdokumendid – nn „pass the hash“ rünnak – psexec-is, võimaldades kurjategijal logida teisele serverile teise kasutaja nimel. Ja iga edasise liikumisega uuele serverile kogub ründaja lisainfot, laiendades oma võimalusi ligipääsetava sisu leidmiseks.

Kui ma esmakordselt psexec-iga töötama hakkasin, tundus see mulle lihtsalt maagiline – aitäh Mark Russinovich, geeniusele arendajale psexec, — aga ma tean ka tema mürarikkaid komponente. Ta ei ole sugugi varjatud!

Esimene huvitav fakt psexeci kohta on see, et ta kasutab äärmiselt keerulist võrgufaili protokolli SMB Microsoftilt. SMB abil saadab psexec väikeseid binaarseid faile sihtsüsteemi, asetades need kausta C:Windows.

Peale selle loob psexec Windowsi teenuse kopeeritud binaarfaili abil ja käivitab selle äärmiselt „ootamatu” nimega PSEXECSVC. Seda kõike saab tõeliselt näha, nagu ka mina, vaadates eemal asuvat masinat (vt allpool).

Psexeci visiitkaart: teenus „PSEXECSVC”. See käivitab binaarfaili, mis on SMB kaudu paigutatud kausta C:Windows.

Lõppstaadiumina avab kopeeritud binaarfail RPC-ühenduse sihtserveriga ja seejärel võtab vastu juhtimis käsklusi (vaikimisi – Windowsi cmd-shelli kaudu), käivitades need ja suunates sisendi ja väljundi ründaja kodumasinale. Sellega näeb ründaja põhikäsurealiini – sama, nagu kui ta oleks otse ühendatud.

Palju komponente ja väga mürarikas protsess!

Sisemine protsesside mehhanism psexec selgitab sõnumit, mis segadusse ajas mind minu esimestel katsetel paar aastat tagasi: „Starting PSEXECSVC ...“ ja seejärel järgnev viivitus enne käsuviiba ilmumist.

Impacket'i psexec näitab tegelikult, mis toimub „kapoti all“.

Pole ime, et psexec tegi tohutult tööd „kapoti all“. Kui teid huvitab põhjalikum selgitus, tutvuge selle suurepärase kirjeldus.

Koheselt on selge, et süsteemi haldamise tööriistana, mis oligi psexec'i algne otstarve, ei ole Windowsi kõikide nende mehhanismide „müristamine“ sugugi hirmutav. Kuid ründe korral psexec toob kaasa komplikatsioone ja ettevaatlikule ning nutikale siseruumide kasutajale, nagu Snowden, on psexec või sarnane utiliit liiga suur risk. psexec, kõigis nendes Windowsi mehhanismides ei ole midagi hullu. Ründaja jaoks aga loob psexec komplikatsioone, ja ettevaatlikule ning nutikale siseringi inimesele, nagu Snowden, oleks psexec või sarnane utiliit liiga suur risk.

Ja siia tuleb Smbexec.

SMB on osav ja varjatud viis failide edastamiseks serverite vahel ning häkkerid on sajandeid otse SMBsse tunginud. Arvan, et kõik on juba kuulnud, et ei tohiks avatud SMB pordid 445 ja 139 internetis, eks?

2013. aastal esitles Defconil Eric Milman (brav0hax) smbexec, et testere kunne eksperimentere med skjult SMB-hacking. Jeg kjenner ikke hele historien, men deretter perfeksjonerte Impacket smbexec videre. Faktisk lastet jeg ned skriptene fra Impacket i Python for testingen min fra Github.

I motsetning til psexec, smbexec unngår overføring av potensielt oppdagbare binærfiler til målmaskinen. I stedet lever verktøyet helt av «smulene» ved å kjøre lokal Windows-kommandolinje.

Slik fungerer det: den overfører kommandoen fra angripermaskinen gjennom SMB til en spesiallaget inngangfil, og deretter oppretter og kjører en kompleks kommandolinje (som en Windows-tjeneste) som vil virke kjent for Linux-brukere. Kort sagt: den kjører den native Windows-shellet cmd, omdirigerer utdataene til en annen fil og sender deretter denne filen tilbake til angripermaskinen via SMB.

Den beste måten å forstå dette på er å se på kommandolinjen jeg klarte å fange fra hendelsesloggen (se nedenfor).

Er ikke dette den mest geniale måten å omdirigere inndata/utdata på? For øvrig har opprettelsen av tjenesten hendelses-ID 7045.

Som psexec oppretter den også en tjeneste som utfører alt arbeidet, men tjenesten etter dette eemaldatakse – seda kasutatakse ainult üks kord käsu käivitamiseks ja siis see kaob! Ohutustöötaja, kes jälgib ohvri masinat, ei suuda seda avastada ilmselged rünnaku indikaatorid: ei mingit pahavara käivitatud faili, ei seadistata püsivat teenust ning ei ole tõendeid RPC kasutamise kohta, kuna SMB on ainus andmete edastamise vahend. Geniaalne!

Ründaja poolelt on juurdepääs ‘pseudo-shelle’, millel on viivitused käsu saatmise ja vastuse saamise vahel. Kuid sellest piisab ründaja – kas siseringi inimesena või välistena häkkerina, kellel on juba stardikoht – alustada huvitava sisu otsimist.

Andmete tagasitoomiseks sihtmasinast ründaja masinasse kasutatakse smbclient. Jah, see on sama Samba utiliit, kuid see on lihtsalt ümber kirjutatud Python-skripti Impacketiga. Tegelikult võimaldab smbclient salaja korraldada FTP edastamist SMB üle.

Võtame samm tagasi ja mõtleme, mida see töötajale annab. Minu väljamõeldud stsenaariumis on näiteks veebiblogija, finantsanalüütik või kõrgelt tasustatud turvakonuldiid. Talle on lubatud kasutada isiklikku sülearvutit töötamiseks. Tulemuseks on mingi maagiline protsess, mille käigus ta solvub ettevõtte peale ja "läheb vallas, mis tahes hirmutavaks". Olenevalt sülearvuti operatsioonisüsteemist, kasutab ta kas Impacti Python versiooni või Windowsi versiooni smbexec või smbclient .exe failina.

Nagu Snowden, avastab ta teise kasutaja parooli, kas piiludes üle õla või õnnestub tal leida tekstifail parooliga. Ja nende kasutajatunnustega hakkab ta süstemaatiliselt ringi kaevama kõrgematelt privileegidelt.

DCC häkkimine: me ei vaja mingit "rumalat" Mimikatz

Oma varasemates postitustes, mis käsitlesid pentestimist, olen ma sageli kasutanud mimikatz. See on suurepärane tööriist, mis aitab salvestada kasutajatunnuseid – NTLM hash'e, ja isegi selgesõnalisi paroole, varjatult sülearvutites, oodates, kuni neid kasutatakse.
Ajad on muutunud. Jälgimisvahendid on nüüd paremad, et tuvastada ja blokeerida mimikatz. Infoturbe administraatoritel on nüüd rohkem valikuvõimalusi, et vähendada riskitekitavaid ohte, mis on seotud „pass the hash” (PtH) rünnakutega.
Mida peaks nutikas töötaja tegema, et koguda täiendavaid autentimisandmeid ilma mimikatzita?

Impacket paketis on tööriist nimega secretsdump, mis ekstraktib autentimisandmed Domeeni Autentimisandmete Cache'ist ehk DCC. Nii palju kui ma aru saan, kui domeeni kasutaja logib serverisse, kuid domeeni kontroller ei ole sel hetkel ligipääsetav, võimaldab DCC serveril kasutajat autentida. Igatahes, secretsdump võimaldab sul need hashed andmed välja võtta, kui need on saadaval.

DCC-hashed andmed on mitte NTLM-hash'id ja nende ei saa kasutada PtH-rünnaku jaoks..

Sa võid proovida neid murda, et originaalparool kätte saada. Siiski on Microsoft DCC-ga töötamisel nutikamaks muutunud, ja DCC-hash'i murdmine on äärmiselt keeruline. Jah, on olemas hashcat, „maailma kiireim paroolide genereerija”, kuid selle tõhusaks tööks on vajalik GPU.

Võtame selle asemel, et proovida mõelda nagu Snowden. Töötaja võib viia läbi sotsiaalset inseneriteavet ja võib-olla saab teada mingit teavet inimesest, kelle parooli ta soovib murda. Näiteks, kas see inimene on kunagi oma veebikonto häkkinud ja uurida oma parooli avalikult vihjete olemasolu osas.

Ja see on see stsenaarium, mille ma otsustasin võtta. Oletame, et siseringi liige on teada saanud, et tema ülemus, Cruella, on korduvalt erinevates veebiallikates häkitud. Pärast mitme nende parooli analüüsimist mõistab ta, et Cruella eelistab kasutada pesapalli meeskonna nime formaati 'Yankees' ja sellele järgnenud aasta - 'Yankees2015'.

Kui te praegu proovite seda kodus korrata, siis võite alla laadida väikese 'C' kood, mis realiseerib DCC hashimise algoritmi, ja kompileerida selle. John the Ripper, muide, lisas DCC toe, seega saab seda ka kasutada. Oletame, et siseringi liige ei soovi tegeleda John the Ripperi uurimisega ja armastab 'gcc' käivitada aegunud C-koodil.

Insideri rolli mängides proovisin mitmeid erinevaid kombinatsioone ja lõpuks suutsin avastada, et Cruella parool on "Yankees2019" (vt allpool). Missioon täidetud!

Veidi sotsiaalset inseneriteadust, natuke arvamist ja näputäis Maltegoga – ja oledki valmis DCC hash'i purustamiseks.

Pakun, et lõpetame selle siin. Me tuleme sellele küsimusele tagasi teiste väljaannete kaudu ja vaatame veelgi enam aeglaseid ja varjatud sissetungi meetodeid, tuginedes Impacketi suurepärasele tööriistakomplektile.

Allikas: habr.com