Peidetud paroolide häkkimine Smbexec'i abil

Me regulaarselt kirjutame sellest, kuidas häkkerid tihti toetuvad kahjutu koodi häkkimise meetoditele, et vältida avastamist. Nad sõna otseses mõttes „elavad kühveldades“, kasutades Windowsi standardseid tööriistu, vältides seeläbi viirusetõrjet ja muid pahatahtliku tegevuse tuvastamise utiliite. Meie, kaitsjatena, peame nüüd tegelema nende kavalate häkkimistehnikate kurbade tagajärgedega: korralikult asetatud töötaja võib kasutada sama lähenemist varjatud andmepiraatimiseks (ettevõtte intellektuaalne omand, krediitkaartide numbri). Ja kui ta ei kiirusta, vaid töötab aeglaselt ja märkamatult, on äärmiselt keeruline — kuid siiski võimalik, kui rakendada õiget lähenemist ja vastavaid tööriistu, — sellise tegevuse tuvastamine.

Teiselt poolt, ma ei tahaks demoniseerida töötajaid, sest keegi ei soovi töötada „1984“ Orwelli ettevõtluskeskkonnas. Õnneks on olemas mitmeid praktilisi samme ja nippe, mis võivad oluliselt raskendada siseringi liikmete elu. Uurime varjatud rünnaku meetodeid, mida kasutavad häkkerid ja töötajad, kellel on teatud tehniline taust. Veel hiljem arutame riski vähendamise võimalusi – uurime nii tehnilisi kui ka organisatsioonilisi tegevusviise.

Mis on vale PsExec'is?

Edward Snowden on õigustatult või õigustamatult saanud siseringi andmepiraatluse sünonüümiks. Muide, ärge unustage vaadata seda märkust teiste siseringi liikmete kohta, kes samuti väärivad teatud kuulsuse staatust. Oluline on rõhutada ühte punkti Snowdeni kasutatud meetodite kohta — niipalju kui me teame, ta ei installeerinud mingit välist pahavara!

Selle asemel kasutas Snowden natuke sotsiaalset inseneriteadust ja kasutas oma süsteemi administraatori ametipositsiooni paroolide kogumiseks ja kontode loomiseks. Midagi keerulist – ei mingit mimikatz, rünnakut man-in-the-middle või metasploit.

Organisatsioonide töötajad ei ole alati Snowdeni ainulaadses positsioonis, kuid „elamise kühveldades“ kontseptsioonist saab tõmmata mitmeid õppetunde, mida tuleks teada – ärge tehke hävitavaid toiminguid, mida on võimalik avastada, ja eriti olge ettevaatlikud kontoandmete kasutamisel. Pidage seda mõtet meeles.

Psexec ja ja nõbu crackmapexec on jätnud mulje arvukatele pentesteritele, häkkeritele ja infotehnoloogia blogijatele. Koos mimikatz'iga võimaldab psexec ründajatel liikuda võrgus ilma, et oleks vaja teada parooli selgesõnaliselt.

Mimikatz püüab NTLM-i räsi LSASS protsessist ja edastab seejärel tokeni või mandaadi – nii nimetatud „pass the hash” rünnak – psexec'is, võimaldades kurjategijal siseneda teisele serverile teise kasutaja rollis. Iga edasise liikumise korral uuele serverile kogub ründaja täiendavaid mandaate, laiendades oma võimeid ligipääsetava sisu otsimisel.

Kui ma esmakordselt psexeciga tööle hakkasin, näis see mulle lihtsalt maagiline – aitäh Mark Russinovich, psexeci geniaalne arendaja, – kuid ma tean ka tema kõrgeid komponente. See ei ole kunagi varjatud!

Esimene huvitav fakt psexeci kohta on see, et see kasutab äärmiselt keerulist Microsofti SMB võrgufaili protokolli. SMB kaudu edastab psexec väikesed binaarfailid sihtsüsteemi, asetades need kausta C:Windows. Seejärel loob psexec Windowsi teenuse kopeeritud binaarfaili abil ja käivitab selle äärmiselt „ootamatute” nimede all PSEXECSVC. Samal ajal saate seda kõike tõeliselt jälgida, nagu mina, jälgides eemal asuvat masinat (vt allpool).

Psexeci visiitkaardiks on teenus „PSEXECSVC”. See käivitab binaarfaili, mis paigutati SMB kaudu kausta C:Windows.

Lõppfaasina avab kopeeritud binaarfail

RPC-ühenduse sihtserveriga ja seejärel võtab vastu juhtimise käsud (vaikimisi – Windowsi cmd-shelli kaudu), käivitades need ja suunates sisendid ja väljundid ründaja kodumasinasse. Sellega näeb kurjategija põhikomandorida – just nagu oleks ta otse ühendatud. Palju komponente ja väga kõrge protsess!

Psexeci keeruline sisemine protsesside mehhanism selgitab sõnumit, mis segas mind minu esimesel testimisel paar aastat tagasi: „Starting PSEXECSVC …” ja järgneva pausi enne käsurida ilmumist.

Psexec Impacket'ilt näitab tegelikult, mis toimub „kales all”.

Psexec Impacket'ilt näitab tegelikult, mis toimub „kales all”.

Pole ei ole üllatav: psexec tegi tohutut tööd "kapoti all". Kui teid huvitab põhjalikum selgitus, vaadake seda suurepärast kirjeldust.

On ilmne, et süsteemi haldamise tööriistana, mis oli algne eesmärk psexec, ei ole Windowsi nende mehhanismide "surinast" midagi hullu. Kuid nende jaoks, kes ründavad, loob psexec probleemid, ja ettevaatlikule ning nutikale siseringile, nagu Snowden, on psexec või sarnane tööriist liiga suur risk.

Ja siis tuleb Smbexec

SMB on osav ja varjatud viis failide edastamiseks serverite vahel ning häkkerid on juba ammusest ajast otse SMB-d kasutanud. Arvan, et kõik teavad, et ei tohiks avatud SMB porte 445 ja 139 Internetis, kas pole?

2013. aastal esitles Defconil Eric Milman (brav0hax) smbexec'it, et pentesterid saaksid proovida SMB varjatut häkkimist. Ma ei tea kogu ajalugu, kuid seejärel täiendavalt arendas Impacket smbexec'i. Tegelikult alla laadisin ma oma testimiseks Impacketi Python skripteErinevalt psexec'ist, smbexec Github.

väldib potentsiaalselt tuvastatava binaarfaili edastamist sihtmasinasse. Selle asemel elab utiliit täielikult "toidujäätmetest" läbi Windowsi kohaliku komandoreali käivitamise. See teeb järgmist: edastab käsu ründava masina kaudu SMB spetsiaalsesse sissetulevasse faili, seejärel loob ja käivitab keerulise käsurea (nagu Windowsi teenus), mis tundub tuttav Linuxi kasutajatele. Lühidalt: see käivitab natiivse Windowsi shelli cmd, suunab väljundi teise faili ja seejärel saadab selle SMB kaudu tagasi ründaja masinale.

Parim viis seda mõista on uurida käsurea käsku, mille suutsin hankida sündmuste logist (vt allpool).

Kas see ei ole kõikide aegade parim sisendi/väljundi suunamise viis? Muide, teenuse loomine omab sündmuse ID-d 7045.

Nagu psexec, loob see samuti teenuse, mis täidab kogu töö, kuid teenus pärast seda

kustutatakse – see kasutatakse ainult korra käsu käivitamiseks ja siis kaob! Infoturbe töötaja, kes jälgib ohvrimasinat, ei suuda tuvastada ilmseid märke. ründade rünnakute indikaatorite: ei ühtegi kahjulikku käivitatavat faili, ei installita ühtegi püsivat teenust ning ei ole tõendeid RPC kasutamise kohta, kuna SMB on ainus andmeedastuse vahend. Geniaalne!

Ründaja poolt on siiski saadaval 'pseudo-shell', millel on viivitused käsu saatmise ja vastuse saamise vahel. Kuid seda on ründajale - olgu see siis siseringi töötaja või väline häkker, kellel on juba platvorm - täiesti piisavalt, et alustada huvitava sisu otsimist.

Sihtmasinast ründaja masinasse andmete edastamiseks kasutatakse smbclient. Jah, see on sama Samba utiliit, kuid ümber kirjutatud Python-skripti Impacket'i poolt. Tegelikult võimaldab smbclient teil varjatult korraldada FTP edastamist SMB-i kaudu.

Teeme sammu tagasi ja mõtleme, mida see võiks töötajale pakkuda. Minu väljamõeldud stsenaariumis, eeldame, et blogija, finantsanalüütik või kõrgelt tasustatav turvaguru on lubatud kasutada isiklikku sülearvutit tööks. Tulemuseks on mingisugune maagiline protsess, kus ta solvub ettevõtte peale ja 'laseb end vajuda'. Sõltuvalt sülearvuti operatsioonisüsteemist kasutab ta kas Impact'i Python versiooni või Windows versiooni smbexec või smbclient .exe failina.

Nagu Snowden, saab ta teise kasutaja parooli kas piiludes selle õlgade kohale või õnnestub tal leida tekstifail parooliga. Ja nende kasutajatunnustega hakkab ta süsteemis ringi kaevama uue privileegitaseme pealt.

DCC häkkimine: me ei vaja mingit 'lollakat' Mimikatz

Minu varasemates postitustes, mis käsitlevad penetratsioonitestimist, olen ma tihti kasutanud mimikatz. See on imeline tööriist, et tabada autentimistunnuseid - NTLM-hashesid ja isegi avatud parooli, mis peidavad end sülearvutites ning ootavad, et neid ära kasutada.
Ajad on muutunud. Jälgimise tööriistad on muutunud paremaks mimikatz'i avastamisel ja blokeerimisel. Teabehõive administraatoritel on nüüd rohkem valikuvõimalusi ründe 'pass the hash' - tüüpi (edaspidi PtH) riskide vähendamiseks.
Mida peaks tark töötaja tegema, et koguda täiendavaid kasutajatunnuseid ilma mimikatz'i kasutamata?

Impacket'i komplekti kuulub utiliit nimega secretsdump, mis hangib mandaadi autentimise andmed Domain Credential Cache'ist, või lühidalt DCC. Nii palju kui ma aru saan, kui domeeni kasutaja siseneb serverisse, kuid domeeni kontroller ei ole sellel ajal saadaval, lubab DCC serveril kasutajat autentida. Nii või teisiti võimaldab secretsdump teil kõik need hashid, kui need on saadaval.

DCC-hashid on mitte NTLM-hashid Ja nende ei saa kasutada PtH-rünnakuteks.

Kuid võite proovida neid murda, et saada algne parool. Siiski on Microsoft DCC osas muutunud nutikamaks ja DCC-hashide purustamine on äärmiselt keeruline. Jah, on olemas hashcat, "maailma kiireim paroolide murdja", kuid selleks on GPU-d tõhusalt vaja.

Selle asemel proovime mõelda nagu Snowden. Töötaja võib tegeleda silmast silma sotsiaalse inseneritööga ja võib-olla saada mingit teavet inimesest, kelle parooli ta püüab murda. Näiteks välja selgitada, kas selle inimese veebikonto on kunagi häkitud ja uurida tema parooli avatud kujul, et leida vihjeid.

Ja see on stsenaarium, millele ma otsustasin keskenduda. Oletagem, et siseinfo on teada saanud, et tema ülemus Cruella on korduvalt erinevatel veebisaitidel häkitud. Pärast paljude nende paroolide analüüsimist mõistab ta, et Cruella eelistab kasutada beisbolimeeskonna nime formaati "Yankees" ja sellele järgnenud aastaarvu - "Yankees2015".

Kui te proovite seda praegu kodus reprodutseerida, siis võite alla laadida väikese, "C" koodi, mis implementeerib DCC-hashimise algoritmi ja kompileerida selle. John the Ripper, muide, lisas tugi DCC-le, seega on seda samuti võimalik kasutada. Oletame, et siseinfo ei taha John the Ripper'iga tegeleda ja armastab käivitada "gcc" vanas C-koodis.

Insaiderina mängides käivitasin mitmeid kombinatsioone ja lõpuks suutsin avastada, et Cruella parool on "Yankees2019" (vt allpool). Missioon täidetud!

Veidi sotsiaalset inseneritööd, natuke arvamist ja näpuotsatäis Maltegot – ja olete juba teel DCC-hashi murdmisele.

Pakun, et lõpetame sellega. Me tuleme selle teema juurde tagasi teistes publikatsioonides ja vaatame veel aeglasi ja varjatud rünnakumeetodeid, toetudes suurepärasele tööriistakomplektile, mille on loonud Impacket.

Allikas: habr.com