Aldian-aldian idazten dugu hacker-ek sarritan esplotazioan nola oinarritzen diren antzematea saihesteko. Literalki , Windows tresna estandarrak erabiliz, eta, horrela, birusen aurkako birusak eta bestelako utilitateak saihestuz jarduera gaiztoak detektatzeko. Gu, defendatzaile garen heinean, orain behartuta gaude hacking teknika burutsu horren ondorio tamalgarriei aurre egitera: ondo kokatutako langile batek ikuspegi bera erabil dezake datuak ezkutuan lapurtzeko (enpresaren jabetza intelektuala, kreditu-txartelen zenbakiak). Eta presarik ez badu, baina poliki eta isil-isilik lan egiten badu, oso zaila izango da, baina hala ere posiblea planteamendu egokia eta egokia erabiltzen baditu. , β jarduera hori identifikatzeko.
Bestalde, ez nituzke langileak deabrutu nahi, inork ez duelako Orwellen 1984tik ateratako negozio giro batean lan egin nahi. Zorionez, hainbat urrats praktiko eta bizitza hack daude barnekoentzat bizitza askoz zailagoa izan daitekeena. Kontuan hartuko dugu ezkutuko eraso metodoak, hackerrek erabiltzen duten aurrekari tekniko batzuk dituzten langileek. Eta pixka bat gehiago arrisku horiek murrizteko aukerak eztabaidatuko ditugu - aukera teknikoak eta antolakuntzak aztertuko ditugu.
Zer gertatzen da PsExec-ekin?
Edward Snowden, zuzen ala gaizki, barneko datuen lapurretaren sinonimo bihurtu da. Bide batez, ez ahaztu begirada bat ematea ospea ere merezi duten beste barrukoei buruz. Snowdenek erabilitako metodoei buruz azpimarratzeko moduko puntu garrantzitsu bat da, dakigunez, ez da instalatu kanpoko software gaiztorik ez!
Horren ordez, Snowdenek ingeniaritza sozial pixka bat erabili zuen eta sistema-administratzaile gisa zuen kargua erabili zuen pasahitzak biltzeko eta kredentzialak sortzeko. Ezer konplikatua - bat ere ez , erasoak edo .
Antolakuntzako langileak ez daude beti Snowdenen posizio berezian, baina "arrantza bidezko biziraupena" kontzeptutik ikasi beharreko hainbat lezio atera behar dira: antzeman daitekeen jarduera gaiztorik ez egitea, eta bereziki. kontuz egiaztagirien erabilerarekin. Gogoratu pentsamendu hau.
eta bere lehengusua pentester, hacker eta zibersegurtasun blogari ugari harritu dituzte. Eta mimikatz-ekin konbinatuta, psexec-ek erasotzaileei sare batean mugitzeko aukera ematen die testu garbiko pasahitza jakin beharrik gabe.
Mimikatzek LSASS prozesuko NTLM hash-a atzematen du eta gero tokena edo kredentzialak pasatzen ditu - deiturikoak. "pasatu hash" erasoa β psexec-en, erasotzaile bati beste zerbitzari batean saioa hasteko aukera emanez beste bat erabiltzailea. Eta zerbitzari berri batera igarotzen den bakoitzean, erasotzaileak kredentzial osagarriak biltzen ditu, edukia eskuragarri bilatzeko gaitasunen aukera zabalduz.
Psexec-ekin lanean hasi nintzenean magikoa iruditu zitzaidan - eskerrik asko , psexec-en garatzaile bikaina - baina haren berri ere badakit zaratatsua osagaiak. Ez da inoiz ezkutuan!
Psexec-i buruzko lehen datu interesgarria da oso konplexua erabiltzen duela SMB sareko fitxategien protokoloa Microsoft-en eskutik. SMB erabiliz, psexec transferentzia txikia da binary fitxategiak xede-sistemara, C:Windows karpetan jarriz.
Ondoren, psexec-ek Windows zerbitzu bat sortzen du kopiatutako bitarra erabiliz eta oso "ustekabeko" izenarekin exekutatzen du PSEXECSVC. Aldi berean, hori guztia ikus dezakezu, nik egin nuen bezala, urruneko makina bat ikusiz (ikus behean).
Psexec-en dei-txartela: "PSEXECSVC" zerbitzua. SMB bidez jarritako fitxategi bitar bat exekutatzen du C:Windows karpetan.
Azken urrats gisa, kopiatutako fitxategi bitarra irekitzen da RPC konexioa helburuko zerbitzariari eta, ondoren, kontrol komandoak onartzen ditu (Windows cmd shell-aren bidez lehenespenez), abiaraziz eta sarrera eta irteera erasotzailearen etxeko makinara birbideratuz. Kasu honetan, erasotzaileak oinarrizko komando-lerroa ikusten du - zuzenean konektatuta egongo balitz bezala.
Osagai asko eta prozesu oso zaratatsua!
Psexec-en barneko konplexuek duela zenbait urte nire lehenengo probetan harritu ninduen mezua azaltzen dute: "PSEXECSVC abiarazten..." komando-gonbita agertu baino lehen pausatu ondoren.
Impacket-en Psexec-ek kanpaia azpian gertatzen ari dena erakusten du.
Ez da harritzekoa: psexec-ek lan handia egin zuen kanpaian. Azalpen zehatzago bat interesatzen bazaizu, begiratu hemen deskribapen zoragarria.
Jakina, sistema administratzeko tresna gisa erabiltzen denean, hau da jatorrizko helburua psexec, ez dago ezer gaizki Windows mekanismo horien guztien "zurrunbiloarekin". Erasotzaile batentzat, ordea, psexec-ek konplikazioak sortuko lituzke, eta Snowden bezalako barneko zuhur eta maltzur batentzat, psexec edo antzeko erabilgarritasun bat arrisku handiegia litzateke.
Eta gero Smbexec dator
SMB zerbitzarien artean fitxategiak transferitzeko modu adimentsu eta sekretu bat da, eta hacker-ek mendeetan zehar SMB zuzenean sartzen ari dira. Uste dut denek badakitela ez duela merezi SMB 445 eta 139 portuak Internetera, ezta?
2013ko Defcon-en, Eric Millman () aurkeztu , pentester-ek SMB hacking stealth probatu ahal izateko. Ez dakit istorio osoa, baina gero Impacket-ek smbexec gehiago findu zuen. Izan ere, nire probak egiteko, Impacket-eko script-ak deskargatu nituen Python-etik .
psexec ez bezala, smbexec saihesten du atzemandako fitxategi bitar bat xede makinara transferitzea. Horren ordez, erabilgarritasuna larretik abiarazteraino bizi da tokikoa Windows komando-lerroa.
Hona zer egiten duen: SMB bidez erasotzen duen makinatik komando bat pasatzen du sarrera-fitxategi berezi batera, eta ondoren Linux erabiltzaileei ezaguna irudituko zaien komando-lerro konplexu bat (Windows zerbitzu bat bezala) sortzen eta exekutatzen du. Laburbilduz: jatorrizko Windows cmd shell bat abiarazten du, irteera beste fitxategi batera birbideratzen du eta, ondoren, SMB bidez erasotzailearen makinara bidaltzen du.
Hau ulertzeko modurik onena komando-lerroari begiratzea da, gertaera-erregistrotik eskua hartu ahal izan nuena (ikus behean).
Ez al da hau I/O birbideratzeko modurik onena? Bide batez, zerbitzua sortzeak gertaera ID 7045 du.
Psexec-ek bezala, lan guztia egiten duen zerbitzu bat ere sortzen du, baina horren ondoren zerbitzua kendu β behin bakarrik erabiltzen da komandoa exekutatzeko eta gero desagertzen da! Biktimen makina kontrolatzen duen informazio-segurtasuneko arduradun batek ezin izango du detektatu agerikoa Eraso-adierazleak: ez dago fitxategi maltzurrik abiarazten, ez da zerbitzu iraunkorrik instalatzen eta ez dago RPC erabiltzen ari den frogarik, SMB baita datuak transferitzeko bide bakarra. Bikaina!
Erasotzailearen aldetik, "pseudo-shell" bat dago eskuragarri komandoa bidali eta erantzuna jaso arteko atzerapenekin. Baina hori nahikoa da erasotzaile batentzat -edo barruko hacker bat edo kanpoko hacker bat, dagoeneko oinarria duena- eduki interesgarriak bilatzen hasteko.
Helburuko makinatik erasotzailearen makinara datuak ateratzeko, erabiltzen da . Bai, Samba bera da , baina Impacket-ek Python script batera soilik bihurtu du. Izan ere, smbclient-ek SMB bidez FTP transferentziak ezkutuan ostatatzeko aukera ematen du.
Eman dezagun urrats bat atzera eta pentsa dezagun horrek zer egin dezakeen langilearentzat. Nire fikziozko eszenatokian, demagun blogari, finantza-analista edo oso ordaindutako segurtasun-aholkulari batek ordenagailu eramangarri pertsonal bat erabiltzeko baimena duela lanerako. Prozesu magiko baten ondorioz, enpresarekin iraintzen da eta "gaizki doa". Ordenagailu eramangarriaren sistema eragilearen arabera, Impact-en Python bertsioa edo smbexec edo smbclient Windows bertsioa erabiltzen du .exe fitxategi gisa.
Snowdenek bezala, beste erabiltzaile baten pasahitza aurkitzen du sorbaldatik begiratuta, edo zortea izango du eta pasahitza duen testu-fitxategi batekin topo egiten du. Eta kredentzial horien laguntzaz, sistemaren inguruan zulatzen hasten da pribilegio maila berri batean.
DCC Hacking: Ez dugu Mimikatz "tonto"rik behar
Pentesting-ari buruzko nire aurreko mezuetan, mimikatz askotan erabili nuen. Kredentzialak atzemateko tresna bikaina da - NTLM hashak eta baita testu garbiko pasahitzak ere ordenagailu eramangarrietan ezkutatuta, erabiltzeko zain.
Garaiak aldatu dira. Monitorizazio tresnak hobetu egin dira mimikatz detektatzeko eta blokeatzeko. Informazioaren segurtasuneko administratzaileek orain aukera gehiago dituzte pass the hash (PtH) erasoekin lotutako arriskuak murrizteko.
Beraz, zer egin behar du langile adimendun batek kredentzial gehigarriak biltzeko mimikatz erabili gabe?
Impacket-en kitak izeneko utilitate bat du , kredentzialak domeinuaren kredentzialen cachetik edo DCC-tik lortzen dituena. Nire ulermena da domeinu-erabiltzaile bat zerbitzarian saioa hasten bada baina domeinu-kontrolatzailea ez badago erabilgarri, DCC-k zerbitzariari erabiltzailea autentifikatzeko aukera ematen dio. Dena den, secretsdump-ek hash horiek guztiak iraultzeko aukera ematen du, eskuragarri egonez gero.
DCC hashak dira ez NTML hashak eta beren ezin da PtH erasorako erabili.
Beno, hackeatzen saiatu zaitezke jatorrizko pasahitza lortzeko. Hala ere, Microsoft adimentsuagoa bihurtu da DCC-ekin eta DCC hash-ak oso zaila bihurtu dira crackeatzea. Bai, badut , "munduko pasahitz asmatzailerik azkarrena", baina GPU bat behar du eraginkortasunez exekutatzeko.
Horren ordez, saia gaitezen Snowden bezala pentsatzen. Langile batek aurrez aurre ingeniaritza soziala egin dezake eta, agian, pasahitza crack nahi duen pertsonari buruzko informazioren bat aurki dezake. Adibidez, jakin pertsonaren lineako kontua inoiz hackeatu den eta aztertu testu garbiko pasahitza arrastoren bat ikusteko.
Eta horixe da joatea erabaki nuen eszenatokia. Demagun barneko batek jakin zuela bere nagusia, Cruella, hainbat aldiz hackeatu zutela web baliabide ezberdinetan. Pasahitz horietako hainbat aztertu ondoren, konturatzen da Cruella-k nahiago duela "Yankees" beisbol taldearen izenaren formatua erabili eta ondoren uneko urtea - "Yankees2015".
Hau etxean erreproduzitzen saiatzen ari bazara, "C" txiki bat deskarga dezakezu , DCC hashing algoritmoa inplementatzen duena, eta konpilatu. , bide batez, DCCrako euskarria gehitu zuen, beraz, ere erabil daiteke. Demagun barneko batek ez duela John Destripatzailea ikasteari trabarik eman nahi eta "gcc" ondarezko C kodean exekutatu nahi duela.
Barruko baten rola irudikatuz, hainbat konbinazio probatu nituen eta azkenean Cruellaren pasahitza "Yankees2019" zela deskubritu ahal izan nuen (ikus behean). Misioa beteta!
Ingeniaritza sozial apur bat, igarkizunaren apur bat eta Maltego pixka bat eta DCC hash-a pizteko bidean zaude.
Hemen bukatzea proposatzen dut. Gai horretara itzuliko gara beste argitalpen batzuetan eta eraso-metodo are motelagoak eta ezkutuagoak aztertuko ditugu, Impacket-en utilitateen multzo bikaina eraikitzen jarraituz.
Iturria: www.habr.com