{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Tomi Hunteri p\u00e4evik: \u201eBaskerville'i koer\u201c","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Lepingu allkirjastamisega viivitamine on igas suuremas firmas tavaline. Erandiks ei olnud leping Tomi Hunteri ja \u00fche veebipoe vahel, mis pakkus p\u00f5hjalikku pentestimist. Oli vaja kontrollida nii veebisaiti, sisev\u00f5rku kui ka t\u00f6\u00f6-Wi-Fi-d.<\/p>\n

Pole \u00fcllatav, et k\u00e4ed s\u00fcgelesid juba enne, kui k\u00f5ik formaalsused olid l\u00f5puni viidud. Lihtsalt saidi skaneerimine igaks juhuks, v\u00e4he t\u00f5en\u00e4oline, et nii tuntud pood nagu \u201eBaskerville'i koer\u201c lubaks endale siinkohal vigu. Paar p\u00e4eva hiljem toodi Tomile siiski allkirjastatud lepingu originaal \u2013 sel ajal, kui kolmanda kohvitassi taga hindas Tom huviga laode olukorda oma sise-CMS-is\u2026<\/p>\n

\"TomiAllikas: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nKuid CMS-is eriti majandada ei \u00f5nnestunud \u2013 Tomi Hunteri IP-aadress blokeeriti veebisaidi administreerijate poolt. Kuigi oleks olnud v\u00f5imalik teenida poekardile boonuseid ja toita oma lemmik kassi pikka aega odavalt\u2026 \"Seekord mitte, Darth Sidious\" \u2013 m\u00f5tles Tom naeratades. Samuti oleks olnud huvitav liikuda kodulehe piirkonnast kliendi lokaalsesse v\u00f5rgustikku, aga n\u00e4ib, et need segmendid ei ole omavahel seotud. See juhtub t\u00f5esti sagedamini v\u00e4ga suurtes ettev\u00f5tetes.<\/p>\n

P\u00e4rast k\u00f5iki formaalsusi varustas Tom Hunter end antud VPN-konto abil ja suundus kliendi lokaalv\u00f5rku. Konto kuulus Active Directory domeeni, nii et saaks lihtsalt v\u00f5tta ja ilma erilise vaevata teha AD dump \u2013 lasta v\u00e4lja kogu avalik teave kasutajatest ja t\u00f6\u00f6jaamadest.<\/p>\n

Tom k\u00e4ivitas utiliidi adfind ja hakkas saatma domeeni kontrollerile LDAP-p\u00e4ringuid. Objekti kategooria klassi filtriga, m\u00e4\u00e4rates atribuudiks isiku. Vastuseks tuli sellise struktuuriga:<\/p>\n

dn:CN=K\u00fclastaja,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: K\u00fclastaja\n>description: Sisseehitatud konto, et anda k\u00fclalistele juurdep\u00e4\u00e4s arvutile v\u00f5i domeenile\n>distinguishedName: CN=K\u00fclastaja,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nLisaks oli veel palju kasulikku teavet, kuid k\u00f5ige huvitavam leidus valdkonnas >description: >description. See on konto kommentaar - p\u00f5him\u00f5tteliselt mugav koht, kus hoida v\u00e4hese t\u00e4htsusega m\u00e4rkmeid. Kuid kliendi administraatorid arvasid, et ka paroolid v\u00f5ivad siin rahus olla. Kellest, l\u00f5puks, v\u00f5iksid k\u00f5ik need v\u00e4het\u00e4htsad teenusekontod huvi pakkuda? Seet\u00f5ttu olid Tomi saadud kommentaarid j\u00e4rgmised:<\/p>\n
Loodud Administraatori poolt, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nEi ole vaja olla eriline geenius, et m\u00f5ista, milleks l\u00f5puks kombinatsioon vajalik on. J\u00e4i alles suure vastuse faili parsimine KD j\u00e4rgi >description: v\u00e4lja ja siin nad on - 20 paari kasutajanimi-parool. Peaaegu pooltel on RDP juurdep\u00e4\u00e4su \u00f5igused. Tubli stardiplatvorm, aeg jagada sissetungijate j\u00f5ud.<\/p>\n
V\u00f5rgukeskkond<\/h2>\n
\n\u00abBaskerville'ide koerte\u00bb jagatud kaustad meenutasid suurt linna oma kaoses ja ettearvamatuses. Kasutaja ja RDP profiilidega oli Tom Hunter selles linnas vaene poiss, kuid isegi tema j\u00f5udis l\u00e4bi turvaarhitektuuri s\u00e4ravate vitriinide palju n\u00e4ha.<\/p>\n
Failiserverite osad, raamatupidamisarved ja isegi nendega seotud skriptid - k\u00f5ik see oli avalikult saadaval. \u00dche sellise skripti seadetes leidis Tom MS SQL-i hash'i \u00fche kasutaja kohta. Veidi bruteforce'i n\u00f5idus ja kasutaja hash muutus tavaliseks parooliks. Ait\u00e4h John The Ripperile ja Hashcat'ile.<\/p>\n
\"Tomi
\n
\nSee v\u00f5ti pidi sobima m\u00f5nele aardekirstule. Aardekirst leiti ja veelgi enam - sellega oli seotud veel k\u00fcmme \u00abaardekirstu\u00bb. Ja kuues neist sisaldas\u2026 superkasutaja \u00f5igusi, nt authority s\u00fcsteem! Kaks neist suudeti k\u00e4ivitada salvestatud protseduuri xp_cmdshell ja saata cmd-k\u00e4ske Windowsi. Mida veel soovida?<\/p>\n
Domeenikontrollerid<\/h2>\n
\nTeise l\u00f6\u00f6gi valmistab Tom Hunter domeenikontrollerite suhtes. \u00abBaskerville'ide koerte\u00bb v\u00f5rgus oli neid kolme - vastavalt territooriumilt eemal asuvate serverite arvule. Igal domeenikontrolleril on avalik kaust, nagu avatud vitriin poes, mille k\u00f5rval h\u00e4ngib ikka sama vaene poiss Tom.<\/p>\n
Ja seekord vedas poisil uuesti - vitriinilt unustati \u00e4ra skript, kus oli hardcode'itud kohaliku serveri administraatori parool. Nii et tee domeenikontrollerisse oli avatud. Tere tulemast, Tom!<\/p>\n
Siit t\u00f5mmati v\u00e4lja<\/span> imejahuti mimikatz<\/a><\/noindex>, mis on saanud mitme domeeni administraatori ohvriks. Tom Hunter p\u00e4\u00e4ses ligi k\u00f5igile masinatele kohalikus v\u00f5rgus ja kurjakuulutav naer ajas naabri kassi kiiktoolist minema. See tee oli l\u00fchem, kui oodati.<\/p>\n
EternalBlue<\/h2>\n
\nM\u00e4lu WannaCryst ja Petjast elab endiselt pentesterite m\u00e4lus, kuid m\u00f5ned administraatorid on tundunud unustavat kr\u00fcptoreid teiste \u00f5htuste uudiste voos. Tom avastas kolm s\u00f5lme, mis olid haavatavad SMB protokolli vastu - CVE-2017-0144 ehk EternalBlue. Just see on see haavatavus, mille kaudu levitati WannaCry ja Petya kr\u00fcpto. See haavatavus v\u00f5imaldab k\u00e4ivitada suvalist koodi s\u00f5lmes. \u00dchel haavataval s\u00f5lmel oli domeeni administraatori sessioon \u2014 \u201ekasuta \u00e4ra ja saa k\u00e4tte\u201c. Mis sa teed, aeg ei ole k\u00f5iki \u00f5petanud.<\/p>\n
\"Tomi
\n<\/p>\n
\u201eBaskerville'i koer\u201c<\/h2>\n
\nInfotehnoloogia klassikud armastavad \u00f6elda, et iga s\u00fcsteemi k\u00f5ige n\u00f5rgem l\u00fcli on inimene. Kas olete m\u00e4rganud, et \u00fclaltoodud pealkiri ei vasta poe nimele? V\u00f5ib-olla ei ole k\u00f5ik nii t\u00e4helepanelikud.<\/p>\n
Hea vanas phishingu p\u00f5nevuse traditsioonis registreeris Tom Hunter domeeni, mis erineb Baskerville'i koera domeenist vaid \u00fche t\u00e4he v\u00f5rra. Selle domeeni e-posti aadress matkib poe infotehnoloogia teenistuse aadressi. Nelja p\u00e4eva jooksul, ajavahemikus 16:00 kuni 17:00, saadeti 360 aadressile selline kiri vale aadressilt:<\/p>\n
\"Tomi
\n
\nT\u00f5en\u00e4oliselt p\u00e4\u00e4stis massilisest paroolide lekkimisest ainult t\u00f6\u00f6tajate enda laiskus. 360 kirjast avati vaid 61 - turvteenus ei ole v\u00e4ga populaarne. Kuid edasi oli lihtsam.<\/p>\n
\"Tomi
\nPhishingu leht<\/i><\/p>\n
46 inimest kl\u00f5psas linki ja peaaegu pool - 21 t\u00f6\u00f6tajat - ei vaadanud aadressiriba ning sisestasid rahulikult oma kasutajanimi ja paroolid. Hea saak, Tom.<\/p>\n
\"Tomi
\n<\/p>\n
Wi-Fi v\u00f5rk<\/h2>\n
\nN\u00fc\u00fcd ei saanud kassi abile loota. Tom Hunter viskas oma vanasse sedaani m\u00f5ned seadmed ja suundus Baskerville'i koera kontorisse. Tema visiit ei olnud koosk\u00f5lastatud: Tom kavatseb testida kliendi Wi-Fi-d. \u00c4rihoone parklas leidus mitmeid vabu kohti, mis sobisid sihtv\u00f5rgu perimeetrisse. Ilmselt ei m\u00f5elnud keegi selle piirangule eriti - justkui oleks administraatorid segaduses lisanud t\u00e4iendavaid punkte igasuguste n\u00f5uete vastuseks n\u00f5rga Wi-Fi kohta.<\/p>\n
Kuidas t\u00f6\u00f6tab WPA\/WPA2 PSK kaitse? Andmed, mis liiguvad allksi ja klientide vahel, kaitseb sessioonieelne v\u00f5ti - Pairwise Transient Key (PTK). PTK kasutab eelnevalt jagatud v\u00f5tit ja viit muud parameetrit - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), juurdep\u00e4\u00e4supunktide ja klientide MAC-aadresse. Tom varastas k\u00f5ik viis parameetrit, ja n\u00fc\u00fcd puudus ainult eelnevalt jagatud v\u00f5ti.<\/p>\n
\"Tomi
\n
\nHashcat t\u00f6\u00f6riist leidis selle puuduva l\u00fcli umbes 50 minutiga - ja meie kangelane sattus k\u00fclalisv\u00f5rku. Sealt oli v\u00f5imalik juba n\u00e4ha t\u00f6\u00f6v\u00f5rku - kummalisel kombel sai Tom parooliga hakkama vaid \u00fcheksa minutiga. Ja k\u00f5ik see ilma parkimisplatsilt lahkumata, igasugu VPN-ideta. T\u00f6\u00f6v\u00f5rk avas meie kangelasele tohutud v\u00f5imalused kohutavateks tegevusteks, kuid ta... ei lisanud ikka veel boonuseid kaupluse kaardile.<\/p>\n
Tom tegi pausi, vaatas kella, viskas paar paberraha lauale ja, j\u00e4tnud h\u00fcvasti, lahkus kohvikust. V\u00f5ib-olla j\u00e4rgmine pentsest, v\u00f5ib-olla midagi muud. telegraafikanal<\/a><\/noindex> m\u00f5tles kirjutada...
\n<\/i>
\n
Allikas: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Tom Hunteri p\u00e4evik: \u00abBaskerville'i koer\u00bb | ProHoster","description":"Allkirjastamise venitamine on tavaline asi iga suure ettev\u00f5tte jaoks. Erandiks ei olnud ka leping Tom Hunteri ja \u00fche v\u00f5rgu lemmikloomapoega p\u00f5hjaliku pentsestimise osas.","canonical_url":"https:\/\/prohoster.info\/et\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/et\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}