NetBIOS küberhäkki kätes

Selles artiklis räägime lühidalt, mida meile räägib näiliselt tavaline asi nagu NetBIOS. Millist teavet ta võib anda potentsiaalsele kurjategijale/pentestijale.

Kuvatud rakenduste ala kuulub sisemistele ehk isoleeritud ja väljast ligipääsmatutele võrkudele. Sellised võrgud on tavaliselt igasugustes, isegi pisikeses ettevõttes.

Isegi NetBIOS kasutatakse tavaliselt võrgunime hankimiseks. Ja seda piisab, et teha vähemalt nelja asja.

Hostide avastamine
Kuna NetBIOS võib kasutada UDP-d transpordina, võimaldab selle töökiirus avastada hoste väga suurtes võrgus. Näiteks tööriist nbtscan, mis kuulub samanimelisse paketti, võib vaid kahe sekundi jooksul (võib rivistuse maale panna) lahendada võrguaadresse nagu 192.168.0.0/16, samas kui traditsiooniline TCP-skannimine võtab kümneid minuteid. Seda funktsiooni saab kasutada hostide avastamise tehnikana (host sweep) väga suurtes võrgus, millest ei ole midagi teada, enne kui jooksutada nmap'i. Kuigi tulemus ei taga 100% avastamist, kuna peamiselt vastavad Windowsi hostid ja mitte kõik neist, võimaldab see siiski kindlaks teha, millistes ligikaudsetes vahemikes elavad hostid asuvad.

Hostide identifitseerimine
Kasutades tulemusi nimede saamisest IP-aadressidest:

saame näha: peale selle, et nimi paljastab tööjaama omaniku (kuigi see ei ole kaugel alati tõsi), eristub üks aadress selgelt ülejäänutest. Me näeme, et saime nime KALI. Selline käitumine on enamasti iseloomulik unix-rakendusele SMB/NetBIOS programmide paketis samba või väga vanadele Windows 2000.
Nime saamine KALI, samas kui teistes hostides see <unknown> viitab nn null-session. Vaikeseadistustega SMB-serverid on selle suhtes altid. linux Null-session ainult võimaldab täiesti anonüümselt (ja me ei ole mitte ühtki parooli sisestanud, nagu ekraanilt näha) saada piisavalt palju lisainfot, näiteks kohalikud paroolipoliitikad, kohalike kasutajate nimekiri, grupid ja jagatud ressursside nimekiri (shar): Sageli linux SMB

kasutamine on. linux SMB-serverites on olemas avalikult ligipääsetavaid jagamisi, mitte ainult lugemiseks, vaid ka kirjutamiseks. Nende olemasolu erineb omavahel ning toob endaga kaasa erinevaid ohte, mille kasutamine ületab käesoleva artikli raame.

NetBIOS samuti võimaldab saada kõigi tüüpide nimed, mida tööjaam salvestab:

antud juhul võimaldab teada saada, et host on ka domeeni kontroller ARRIVA.

Samuti tasub veel lisaks tähelepanu pöörata, et NetBIOS võimaldab saada mac-aadress. Ja erinevalt arp-päringutest suudavad NetBIOS-päringud välja minna alamvõrgust. See võib olla kasulik, kui näiteks tuleb leida mingisugune sülearvuti või spetsiifiline riistvara, teades selle tootjat. Kuna esimesed kolm oktetti mac-aadressidest iseloomustavad tootjat, saab laiali saata sarnaseid NetBIOS-päringuid kõigisse tuntud alamvõrkudesse, et leida vajalik seade (http://standards-oui.ieee.org/oui.txt).

Mugavuse määramine domeeniga
Sageli, liikudes ringi sisemistes ettevõtte võrkudes, on vajalik rünnata just tööjaama, mis on domeenis (näiteks, et tõsta õigusi domeeni administraatori tasemele) või vastupidi. Antud juhul NetBIOS võib taas aidata:

Antud juhul saadi abil NetBIOS kõik tüübid nimed. Nende seas võib näha, peale PC nime (mida oli juba varem saadud), ka töögrupi nime. Vaikimisi on see tavaliselt midagi sellist windows WORKGROUP IVAN-PC või , kuid kui tööjaam on domeenis, siis on tema töögrupp just domeeni nimi.Nii võib abil
saada teada, kas tööjaam on domeenis ja kui jah, siis millises. NetBIOS Kuid kui on vajalik saada loetelu domeeni hostidest alamvõrgus, siis piisab ühe laiali saadetud päringu kohta domeeni nimega:
vastuseid saavad kõik hostid, mis kuuluvad antud domeeni.

Multihomed hostide avastamine

Ja lõpuks, veel üks võib-olla väga vähe tuntud tehnika, mis on lihtsalt hädavajalik
teede leidmiseks kaitstud, võib-olla isegi füüsiliselt isoleeritud, võrkudesse. Need võivad olla tööstuslikud ettevõtte võrgud, mis on täidetud kontrolleritega. Selle võrgu juurde pääsemine tähendab ründajale võimalust mõjutada tehnoloogilist protsessi, ja ettevõttele on see risk kannatada tohutuid kahjusid. kaitstud, võib-olla isegi füüsiliselt isoleeritud, võrkudesse. Need võivad olla ettevõtete tehasevõrgud, millel on suured kontrollerid. Juhtimine sellele võrku tähendab ründajale võimalust mõjutada tehnoloogilist protsessi, ja ettevõttele võib see tähendada tohutuid rahalisi kaotusi.
Seega, asjaolu on see, et isegi kui võrk on eraldatud ettevõtte võrgust, armastavad mõned administraatorid kas laiskuse tõttu või muul viisil oma arvutitele tõsta veel ühe võrgukaardi, et pääseda sellesse võrku. Ja see juhtub muidugi linnulennult mööda kõiki ettevõtte võrgu tulemüüri reegleid. Mugav, jah, aga mitte just väga ohutu, kui teid häkitakse, muutute te sildaks sellesse võrku ja kannate vastutust.
Siiski esineb sellele kuritegelikul isikul probleem — leida see administraator, kes on sellesse kaitstud võrku sisenenud ebaseaduslikult. Veelgi enam, see on keeruline probleem ka võrgu turvameestele. Suurtel ettevõtetel on see tõeliselt keeruline ülesanne, justkui otsides nõela heinas.
Selles situatsioonis oleks kuritegelikule isikule selgeid võimalusi kaks:
1. proovida kasutada igat arvutit ettevõtte alamvõrgus sillana soovitud võrku. See oleks väga mugav, kuid selline asi esineb harva, kuna windows hostidel ip edastamine on peaaegu alati välja lülitatud. Veelgi enam, selline kontroll on võimalik vaid oma alamvõrgus, ning see nõuab kuritegelikult isikult täpset teadmist sihtaadressist eraldatud võrgus.
2. proovida kaugelt siseneda igasse hosti ja sooritada lihtne käsk ipconfig/ifconfig. Ja siin ei ole see sugugi lihtne. Isegi kui kuritegelik isik on saanud domeeni administraatori õigused, ei ole võrgu tulemüürid ja kohalikud tulemüürid kadunud. Seega ei ole see ülesanne 100% automatiseeritud. Tulemusena jääb ebamugavus iga hosti juurde siseneda, ületades võrgu tulemüüre (kiirelt blokeeriva 445/tcp pordi) lootuses lõpuks näha soovitud võrgu liidest.

Siiski on asi palju lihtsam. On üks äärmiselt lihtne meetod, mis võimaldab saada mingilt hostilt võrgu liideste nimekirja. Oletame, et meil on mingi host:

see on tagasivaateline resolv ip-aadress → võrgu nimi. Kui nüüd püüame teha otsest resolvi võrgu nimi → ip-aadress:

siis saame teada, et antud host on samuti sillaks (ilmselt) mingisse teise võrku. Tõsiselt tasub mainida, et antud juhul pöördus päring laialdasele levitusele. Teisisõnu, seda kuulevad ainult kuritegeliku isiku alamvõrgu hostid.
Kui sihthost on alamvõrgust väljas, saab saata sihitud päringu:

Selles olukorras on näha, et siht asub ründaja alamvõrgust väljas. -B võtmega on märgitud, et päring tuleks saata konkreetsele aadressile, mitte päringule.
Nüüd tuleb lihtsalt koguda teavet kogu huvipakkuvast alamvõrgust, mitte ühest aadressist. Selleks saab kasutada väikest python-skripti:

Ja mõne sekundi pärast:

Käesolevas improviseeritud näites oleks just nimelt pühendatud host esimeseks sihtmärgiks, kui ründaja jälitaks võrku 172.16.1/24.

Korratud nimed erinevatel ip-del viitavad sellele, et host’il on samuti kaks võrguadapterit, kuid juba ühes alamvõrgus. Siinkohal tasub märkida, et NetBIOS ei avalikusta alias-te (mille saab hõlpsasti ARP-päringute kaudu välja arvutada, nagu ip samadega mac). Antud juhul ip-aadresside on erinevad mac.

Teine näide selle meetodi kasutamisest on avalik Wi-Fi. Mõnikord võib esineda olukordi, kus avaliku võrgu külalisseadmete seas on ühendatud töötajad, kes töötavad suletud korporatiivses segmendis. Siis saab ründaja väga kiiresti määrata endale tee juurdepääsuks suletud võrgule, kasutades seda luuretehnikat:

Antud juhul oli 65 avaliku Wi-Fi kliendi seas kaks tööjaama, millel oli lisaliides, mis tõenäoliselt kuulub ettevõtte võrgule.

Kui vahel on võrgu segmentide vahel või otse tööjaamades tõrke filtreerimine 445/tcp pordi kaudu, mis takistab kaugjuurdepääsu süsteemile (kaugkoodi täitmine), siis antud juhul kasutatakse nimede lahendamiseks NetBIOS 137/udp porti, mille teadlik blokeerimine on peaaegu tundmatu, kuna see mõjutab tugevalt võrgu kasutusmugavust, näiteks võrguümbrus ja jne.

Nagu öeldud, enumeration is the key
Kas selle vastu on kaitse? Seda pole, kuna see pole haavatavuse ning see on lihtsalt see, mis on vaikimisi olemas windows (Kalis linux käitumine on veidi erinev). Ja kui te, ootamatult, võrgu marsruutimise reeglite eiramise kaudu, lülitute suletud segmendi, leiab ründaja teid kindlasti ja teeb seda väga kiiresti.

Allikas: habr.com