Smbexec के साथ हिडन पासवर्ड हैकिंग

हम नियमित रूप से लिखते हैं कि कैसे हैकर्स अक्सर शोषण पर भरोसा करते हैं दुर्भावनापूर्ण कोड के बिना हैकिंग के तरीकेपता लगाने से बचने के लिए. वे वस्तुतः हैं "चरागाह पर जीवित रहें", मानक विंडोज़ टूल का उपयोग करके, जिससे दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए एंटीवायरस और अन्य उपयोगिताओं को दरकिनार कर दिया जाता है। हम, रक्षकों के रूप में, अब ऐसी चतुर हैकिंग तकनीकों के दुर्भाग्यपूर्ण परिणामों से निपटने के लिए मजबूर हैं: एक अच्छी तरह से तैनात कर्मचारी गुप्त रूप से डेटा (कंपनी की बौद्धिक संपदा, क्रेडिट कार्ड नंबर) चुराने के लिए उसी दृष्टिकोण का उपयोग कर सकता है। और अगर वह जल्दबाजी नहीं करता है, लेकिन धीरे-धीरे और चुपचाप काम करता है, तो यह बेहद मुश्किल होगा - लेकिन अगर वह सही दृष्टिकोण और उचित उपयोग करता है तो यह अभी भी संभव है उपकरण, - ऐसी गतिविधि की पहचान करने के लिए।

दूसरी ओर, मैं कर्मचारियों को बदनाम नहीं करना चाहूँगा क्योंकि कोई भी ऑरवेल के 1984 के बाद सीधे कारोबारी माहौल में काम नहीं करना चाहता है। सौभाग्य से, ऐसे कई व्यावहारिक कदम और लाइफ हैक्स हैं जो अंदरूनी लोगों के लिए जीवन को और अधिक कठिन बना सकते हैं। हम विचार करेंगे गुप्त आक्रमण के तरीके, कुछ तकनीकी पृष्ठभूमि वाले कर्मचारियों द्वारा हैकर्स द्वारा उपयोग किया जाता है। और थोड़ा आगे हम ऐसे जोखिमों को कम करने के विकल्पों पर चर्चा करेंगे - हम तकनीकी और संगठनात्मक दोनों विकल्पों का अध्ययन करेंगे।

PsExec में क्या खराबी है?

एडवर्ड स्नोडेन, सही हो या गलत, अंदरूनी डेटा चोरी का पर्याय बन गया है। वैसे, एक नज़र डालना मत भूलना यह नोट अन्य अंदरूनी लोगों के बारे में जो कुछ प्रसिद्धि के पात्र भी हैं। स्नोडेन द्वारा इस्तेमाल किए गए तरीकों के बारे में जोर देने लायक एक महत्वपूर्ण बात यह है कि, हमारी सर्वोत्तम जानकारी के अनुसार, वह इंस्टॉल नहीं किया कोई बाहरी दुर्भावनापूर्ण सॉफ़्टवेयर नहीं!

इसके बजाय, स्नोडेन ने सोशल इंजीनियरिंग का थोड़ा उपयोग किया और पासवर्ड एकत्र करने और क्रेडेंशियल बनाने के लिए सिस्टम प्रशासक के रूप में अपनी स्थिति का उपयोग किया। कुछ भी जटिल नहीं - कोई नहीं mimikatz, आक्रमण मैन-इन-द-मिडल या मेटास्प्लोइट.

संगठनात्मक कर्मचारी हमेशा स्नोडेन की अद्वितीय स्थिति में नहीं होते हैं, लेकिन "चराई द्वारा अस्तित्व" की अवधारणा से कई सबक सीखे जा सकते हैं - जागरूक होने के लिए - किसी भी दुर्भावनापूर्ण गतिविधि में शामिल न हों जिसका पता लगाया जा सके, और विशेष रूप से क्रेडेंशियल्स के उपयोग में सावधानी बरतें. इस विचार को याद रखें.

Psexec और उसका चचेरा भाई crackmapexec अनगिनत पेंटेस्टर, हैकर्स और साइबर सुरक्षा ब्लॉगर्स को प्रभावित किया है। और जब mimikatz के साथ संयुक्त किया जाता है, तो psexec हमलावरों को क्लियरटेक्स्ट पासवर्ड जानने की आवश्यकता के बिना नेटवर्क के भीतर जाने की अनुमति देता है।

Mimikatz LSASS प्रक्रिया से NTLM हैश को रोकता है और फिर टोकन या क्रेडेंशियल - तथाकथित - पास करता है। "हैश पास करें" हमला - psexec में, एक हमलावर को दूसरे सर्वर में लॉग इन करने की अनुमति देता है एक और उपयोगकर्ता. और एक नए सर्वर पर प्रत्येक बाद के कदम के साथ, हमलावर अतिरिक्त क्रेडेंशियल एकत्र करता है, उपलब्ध सामग्री की खोज में अपनी क्षमताओं की सीमा का विस्तार करता है।

जब मैंने पहली बार पेसेक्स के साथ काम करना शुरू किया तो यह मुझे जादुई लगा - धन्यवाद मार्क रुसिनोविच, psexec का शानदार डेवलपर - लेकिन मैं उसके बारे में भी जानता हूं कोलाहलयुक्त अवयव। वह कभी गुप्त नहीं रहता!

Psexec के बारे में पहला दिलचस्प तथ्य यह है कि यह बेहद जटिल उपयोग करता है एसएमबी नेटवर्क फ़ाइल प्रोटोकॉल माइक्रोसॉफ्ट से. SMB का उपयोग करते हुए, psexec छोटे स्थानान्तरण करता है द्विआधारी लक्ष्य सिस्टम में फ़ाइलें, उन्हें C:Windows फ़ोल्डर में रखें।

इसके बाद, psexec कॉपी किए गए बाइनरी का उपयोग करके एक विंडोज़ सेवा बनाता है और इसे बेहद "अप्रत्याशित" नाम PSEXECSVC के तहत चलाता है। साथ ही, आप वास्तव में यह सब देख सकते हैं, जैसे मैंने एक रिमोट मशीन को देखकर देखा (नीचे देखें)।

Psexec का कॉलिंग कार्ड: "PSEXECSVC" सेवा। यह एक बाइनरी फ़ाइल चलाता है जिसे C:Windows फ़ोल्डर में SMB के माध्यम से रखा गया था।

अंतिम चरण के रूप में, कॉपी की गई बाइनरी फ़ाइल खुलती है आरपीसी कनेक्शन लक्ष्य सर्वर पर और फिर नियंत्रण कमांड स्वीकार करता है (डिफ़ॉल्ट रूप से विंडोज सीएमडी शेल के माध्यम से), उन्हें लॉन्च करता है और इनपुट और आउटपुट को हमलावर की होम मशीन पर रीडायरेक्ट करता है। इस मामले में, हमलावर मूल कमांड लाइन को देखता है - जैसे कि वह सीधे जुड़ा हुआ हो।

बहुत सारे घटक और बहुत शोर वाली प्रक्रिया!

Psexec के जटिल आंतरिक संदेश उस संदेश को समझाते हैं जिसने कई साल पहले मेरे पहले परीक्षणों के दौरान मुझे हैरान कर दिया था: "PSEXECSVC शुरू करना..." जिसके बाद कमांड प्रॉम्प्ट प्रकट होने से पहले एक विराम होता है।

इम्पाकेट का Psexec वास्तव में दिखाता है कि हुड के नीचे क्या चल रहा है।

आश्चर्य की बात नहीं: psexec ने हुड के तहत भारी मात्रा में काम किया। यदि आप अधिक विस्तृत स्पष्टीकरण में रुचि रखते हैं, तो यहां देखें इन अद्भुत वर्णन.

जाहिर है, जब एक सिस्टम प्रशासन उपकरण के रूप में उपयोग किया जाता था, जो था मूल उद्देश्य psexec, इन सभी विंडोज़ तंत्रों के "बज़िंग" में कुछ भी गलत नहीं है। हालाँकि, एक हमलावर के लिए, psexec जटिलताएँ पैदा करेगा, और स्नोडेन जैसे सतर्क और चालाक अंदरूनी सूत्र के लिए, psexec या इसी तरह की उपयोगिता बहुत अधिक जोखिम वाली होगी।

और फिर स्मबेक्सेक आता है

SMB सर्वरों के बीच फ़ाइलों को स्थानांतरित करने का एक चतुर और गुप्त तरीका है, और हैकर्स सदियों से सीधे SMB में घुसपैठ कर रहे हैं। मुझे लगता है कि हर कोई पहले से ही जानता है कि यह इसके लायक नहीं है खोलो एसएमबी 445 और 139 को इंटरनेट पर पोर्ट करता है, है ना?

डेफकॉन 2013 में, एरिक मिलमैन (brav0hax) पेश किया smbexec, ताकि पेंटेस्टर्स स्टील्थ एसएमबी हैकिंग का प्रयास कर सकें। मैं पूरी कहानी नहीं जानता, लेकिन फिर इम्पाकेट ने smbexec को और परिष्कृत किया। वास्तव में, अपने परीक्षण के लिए, मैंने पायथन में इम्पाकेट से स्क्रिप्ट डाउनलोड की Github.

Psexec के विपरीत, smbexec बचा जाता है संभावित रूप से पहचानी गई बाइनरी फ़ाइल को लक्ष्य मशीन पर स्थानांतरित करना। इसके बजाय, उपयोगिता लॉन्च के माध्यम से पूरी तरह से चरागाह से रहती है स्थानीय विंडोज़ कमांड लाइन.

यहां बताया गया है कि यह क्या करता है: यह हमलावर मशीन से एसएमबी के माध्यम से एक कमांड को एक विशेष इनपुट फ़ाइल में भेजता है, और फिर एक जटिल कमांड लाइन बनाता है और चलाता है (विंडोज सेवा की तरह) जो लिनक्स उपयोगकर्ताओं को परिचित लगेगा। संक्षेप में: यह एक मूल विंडोज़ सीएमडी शेल लॉन्च करता है, आउटपुट को दूसरी फ़ाइल पर रीडायरेक्ट करता है, और फिर इसे एसएमबी के माध्यम से हमलावर की मशीन पर वापस भेजता है।

इसे समझने का सबसे अच्छा तरीका कमांड लाइन को देखना है, जिसे मैं इवेंट लॉग से प्राप्त करने में सक्षम था (नीचे देखें)।

क्या यह I/O को पुनर्निर्देशित करने का सबसे अच्छा तरीका नहीं है? वैसे, सेवा निर्माण में इवेंट आईडी 7045 है।

Psexec की तरह, यह भी एक ऐसी सेवा बनाता है जो सभी काम करती है, लेकिन उसके बाद की सेवा हटाए गए - इसका उपयोग केवल एक बार कमांड चलाने के लिए किया जाता है और फिर गायब हो जाता है! किसी पीड़ित की मशीन की निगरानी करने वाला सूचना सुरक्षा अधिकारी पता नहीं लगा पाएगा ज़ाहिर हमले के संकेतक: कोई दुर्भावनापूर्ण फ़ाइल लॉन्च नहीं की जा रही है, कोई लगातार सेवा स्थापित नहीं की जा रही है, और आरपीसी का उपयोग किए जाने का कोई सबूत नहीं है क्योंकि एसएमबी डेटा ट्रांसफर का एकमात्र साधन है। शानदार!

हमलावर की ओर से, कमांड भेजने और प्रतिक्रिया प्राप्त करने के बीच देरी के साथ एक "छद्म-शैल" उपलब्ध है। लेकिन यह एक हमलावर के लिए काफी है - या तो एक अंदरूनी सूत्र या एक बाहरी हैकर जो पहले से ही पैर जमा चुका है - दिलचस्प सामग्री की तलाश शुरू करने के लिए।

लक्ष्य मशीन से डेटा को वापस हमलावर की मशीन तक आउटपुट करने के लिए इसका उपयोग किया जाता है चिकना करने वाला. हाँ, यह वही सांबा है उपयोगिता, लेकिन इम्पाकेट द्वारा केवल पायथन लिपि में परिवर्तित किया गया। वास्तव में, smbclient आपको SMB पर गुप्त रूप से FTP स्थानांतरण होस्ट करने की अनुमति देता है।

आइए एक कदम पीछे हटें और सोचें कि यह कर्मचारी के लिए क्या कर सकता है। मेरे काल्पनिक परिदृश्य में, मान लीजिए कि एक ब्लॉगर, वित्तीय विश्लेषक या उच्च भुगतान वाले सुरक्षा सलाहकार को काम के लिए व्यक्तिगत लैपटॉप का उपयोग करने की अनुमति है। कुछ जादुई प्रक्रिया के परिणामस्वरूप, वह कंपनी पर नाराज़ हो जाती है और "सब कुछ ख़राब हो जाता है।" लैपटॉप ऑपरेटिंग सिस्टम के आधार पर, यह या तो इम्पैक्ट से पायथन संस्करण का उपयोग करता है, या .exe फ़ाइल के रूप में smbexec या smbclient के विंडोज संस्करण का उपयोग करता है।

स्नोडेन की तरह, वह या तो अपने कंधे की ओर देखकर किसी अन्य उपयोगकर्ता का पासवर्ड ढूंढ लेती है, या वह भाग्यशाली हो जाती है और पासवर्ड वाली एक टेक्स्ट फ़ाइल पर ठोकर खा जाती है। और इन क्रेडेंशियल्स की मदद से, वह सिस्टम के चारों ओर विशेषाधिकारों के एक नए स्तर की खोज करना शुरू कर देती है।

हैकिंग डीसीसी: हमें किसी "बेवकूफ" मिमिकात्ज़ की आवश्यकता नहीं है

पेन्टेस्टिंग पर मेरी पिछली पोस्टों में, मैंने बहुत बार मिमिकेट्ज़ का उपयोग किया था। क्रेडेंशियल्स को इंटरसेप्ट करने के लिए यह एक बेहतरीन टूल है - एनटीएलएम हैश और यहां तक ​​कि लैपटॉप के अंदर छिपे हुए क्लियरटेक्स्ट पासवर्ड, जो बस उपयोग किए जाने की प्रतीक्षा कर रहे हैं।
समय बदल गया है। मिमिकेटज़ का पता लगाने और उसे अवरुद्ध करने में निगरानी उपकरण बेहतर हो गए हैं। सूचना सुरक्षा प्रशासकों के पास अब हैश (पीटीएच) हमलों से जुड़े जोखिमों को कम करने के लिए अधिक विकल्प हैं।
तो एक स्मार्ट कर्मचारी को मिमिकैट्ज़ का उपयोग किए बिना अतिरिक्त क्रेडेंशियल एकत्र करने के लिए क्या करना चाहिए?

इम्पाकेट की किट में नामक उपयोगिता शामिल है सीक्रेटडम्प, जो डोमेन क्रेडेंशियल कैश या संक्षेप में डीसीसी से क्रेडेंशियल पुनर्प्राप्त करता है। मेरी समझ यह है कि यदि कोई डोमेन उपयोगकर्ता सर्वर में लॉग इन करता है लेकिन डोमेन नियंत्रक अनुपलब्ध है, तो डीसीसी सर्वर को उपयोगकर्ता को प्रमाणित करने की अनुमति देता है। वैसे भी, यदि उपलब्ध हों तो सीक्रेटडंप आपको इन सभी हैश को डंप करने की अनुमति देता है।

DCC हैश हैं एनटीएमएल हैश नहीं और उनके पीटीएच हमले के लिए इस्तेमाल नहीं किया जा सकता.

खैर, आप मूल पासवर्ड प्राप्त करने के लिए उन्हें हैक करने का प्रयास कर सकते हैं। हालाँकि, Microsoft DCC के साथ अधिक स्मार्ट हो गया है और DCC हैश को क्रैक करना बेहद मुश्किल हो गया है। हाँ मेरे पास है hashcat, "दुनिया का सबसे तेज़ पासवर्ड अनुमानक", लेकिन इसे प्रभावी ढंग से चलाने के लिए एक GPU की आवश्यकता होती है।

इसके बजाय, आइए स्नोडेन की तरह सोचने का प्रयास करें। एक कर्मचारी आमने-सामने सोशल इंजीनियरिंग कर सकता है और संभवतः उस व्यक्ति के बारे में कुछ जानकारी प्राप्त कर सकता है जिसका पासवर्ड वह क्रैक करना चाहता है। उदाहरण के लिए, पता लगाएं कि क्या उस व्यक्ति का ऑनलाइन अकाउंट कभी हैक हुआ है और किसी सुराग के लिए उनके क्लियरटेक्स्ट पासवर्ड की जांच करें।

और यही वह परिदृश्य है जिसके साथ मैंने जाने का निर्णय लिया। आइए मान लें कि एक अंदरूनी सूत्र को पता चला कि उसके बॉस, क्रुएला को विभिन्न वेब संसाधनों पर कई बार हैक किया गया था। इनमें से कई पासवर्डों का विश्लेषण करने के बाद, उन्हें पता चला कि क्रुएला बेसबॉल टीम के नाम "यांकीज़" के प्रारूप का उपयोग करना पसंद करते हैं, जिसके बाद वर्तमान वर्ष - "यांकीज़2015" आता है।

यदि अब आप इसे घर पर पुन: प्रस्तुत करने का प्रयास कर रहे हैं, तो आप एक छोटा सा, "सी" डाउनलोड कर सकते हैं। कोड, जो DCC हैशिंग एल्गोरिदम को लागू करता है, और इसे संकलित करता है। जॉन द रिपरवैसे, डीसीसी के लिए समर्थन जोड़ा गया है, इसलिए इसका उपयोग भी किया जा सकता है। आइए मान लें कि एक अंदरूनी सूत्र जॉन द रिपर को सीखने की जहमत नहीं उठाना चाहता और लीगेसी सी कोड पर "जीसीसी" चलाना पसंद करता है।

एक अंदरूनी सूत्र की भूमिका निभाते हुए, मैंने कई अलग-अलग संयोजनों की कोशिश की और अंततः यह पता लगाने में सक्षम हुआ कि क्रुएला का पासवर्ड "यांकीज़2019" था (नीचे देखें)। मिशन पूरा!

थोड़ी सी सोशल इंजीनियरिंग, भाग्य बताने की थोड़ी सी क्षमता और माल्टेगो की एक चुटकी और आप डीसीसी हैश को क्रैक करने की राह पर हैं।

मेरा सुझाव है कि हम यहीं समाप्त करें। हम अन्य पोस्टों में इस विषय पर लौटेंगे और इम्पाकेट की उपयोगिताओं के उत्कृष्ट सेट पर निर्माण जारी रखते हुए और भी धीमी और गुप्त हमले के तरीकों को देखेंगे।

स्रोत: www.habr.com