Ritardare la firma è un'abitudine comune per qualsiasi grande azienda. Non ha fatto eccezione il contratto tra Tom Hunter e un negozio di animali online per un approfondito penetration testing. Era necessario controllare il sito, la rete interna e persino il Wi-Fi operativo.
Non sorprende che le mani abbiano iniziato a prudere ancora prima che tutte le formalità fossero sistemate. In fondo, era solo un'opportunità per scansionare il sito per sicurezza; è difficile credere che un negozio così noto come «Il Cane dei Baskerville» possa avere difetti già qui. Dopo un paio di giorni, finalmente è arrivato a Tom l'originale del contratto firmato—nel frattempo, sorseggiando la sua terza tazza di caffè, Tom stava valutando con interesse lo stato degli stock dalla CMS interna...
Fonte:
Tuttavia, non ha potuto cimentarsi più di tanto nella CMS: gli amministratori del sito hanno bannato l'IP di Tom Hunter. Anche se avrebbe potuto generare un po' di bonus sulla carta del negozio e sfamare il suo amato gatto a basso costo per mesi... «Non questa volta, Darth Sidious»—pensò Tom con un sorriso. Sarebbe stato altrettanto interessante passare dalla zona del sito web alla rete locale del cliente, ma evidentemente questi segmenti non erano collegati. Dopotutto, questo accade spesso nelle aziende di grandi dimensioni.
Dopo tutte le formalità, Tom Hunter si è armato di un'account VPN fornita e si è diretto verso la rete locale del cliente. L'account era all'interno del dominio Active Directory, quindi era possibile facilmente generare un dump AD—estrarre tutte le informazioni pubbliche su utenti e macchine lavorative.
Tom ha avviato l'utilità adfind e ha cominciato a inviare richieste LDAP al controller di dominio. Con un filtro basato sulla classe objectCategory, specificando person come attributo. La risposta è tornata con questa struttura:
dn:CN=Ospite,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Ospite
>description: Account integrato per l'accesso degli ospiti a computer o dominio
>distinguishedName: CN=Ospite,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0ZOltre a ciò, c'era una grande quantità di informazioni utili, ma la cosa più interessante si trovava nel campo >description: >description. Questo è un commento relativo all'account: fondamentalmente, un posto comodo per conservare annotazioni trascurabili. Tuttavia, gli amministratori del cliente hanno ritenuto che qui potessero tranquillamente essere conservate anche le password. Chi, alla fine, potrebbe essere interessato a tutti questi account di servizio trascurabili? Pertanto, i commenti che Tom ha ricevuto erano del tipo:
Creato da Amministratore, 2018.11.16 7po!*VqnNon è necessario essere geni per capire a cosa serve la combinazione alla fine. Resta da analizzare un ampio file di risposta del KD riguardo al campo >description: ed ecco qua: 20 coppie di login-password. Inoltre, quasi la metà ha diritti di accesso tramite RDP. Un buon punto di partenza, è tempo di dividere le forze d'attacco.
Ambiente di rete
Le condivisioni disponibili nella «Caccia ai Cani di Baskerville» assomigliavano a una grande città nella sua interezza di caos e imprevedibilità. Con i profili utente e RDP, Tom Hunter era in questa città un ragazzo povero, ma anche lui ha avuto l'opportunità di vedere molte cose attraverso le scintillanti vetrine delle politiche di sicurezza.
Parte di file server, conti aziendali e persino gli script ad essi correlati erano stati resi disponibili pubblicamente. Nelle impostazioni di uno di questi script, Tom ha trovato l'hash MS SQL di un utente. Un po' di magia bruttore — e l'hash dell'utente si è trasformato in una password in testo chiaro. Grazie a John The Ripper e Hashcat.
Questo chiave doveva adattarsi a qualche forziere. Il forziere è stato trovato e, cosa più importante, era collegato ad altri dieci "forzieri". E all'interno di sei c'erano... diritti di superutente, nt authority sistema! Su due di essi è stato possibile eseguire la stored procedure xp_cmdshell e inviare comandi cmd in Windows. Cos'altro desiderare?
Domain controller
Il secondo colpo Tom Hunter lo ha riservato ai domain controller. Nella rete della «Caccia ai Cani di Baskerville» ce n'erano tre: in accordo con il numero di server geograficamente distanti. Ogni domain controller ha una cartella pubblica, come una vetrina aperta in un negozio, dove si aggira sempre lo stesso ragazzo povero Tom.
E anche questa volta al ragazzo è andata bene: dalla vetrina non era stato rimosso uno script in cui era hardcodato la password dell'amministratore locale del server. Così il cammino verso il domain controller era aperto. Entra, Tom!
Qui è stato estratto dal famoso cappello , che si è nutrito di diversi amministratori di dominio. Tom Hunter ha ottenuto accesso a tutte le macchine nella rete locale, e la risata diabolica ha spaventato il gatto dal suo vicino divano. Questo percorso era più breve del previsto.
EternalBlue
La memoria di WannaCry e Petya è ancora viva nella mente dei pentester, ma alcuni amministratori sembrano aver dimenticato i ransomware nel flusso di altre notizie serali. Tom ha scoperto tre nodi vulnerabili nel protocollo SMB - CVE-2017-0144 o EternalBlue. Questa è la vulnerabilità attraverso la quale si sono diffusi i ransomware WannaCry e Petya, una vulnerabilità che consente di eseguire codice arbitrario su un nodo. Su uno dei nodi vulnerabili c'era una sessione di admin di dominio - 'sfrutta e guadagna'. Che ci puoi fare, il tempo non ha insegnato a tutti.
«Il cane dei Baskerville»
I classici della sicurezza informatica amano ripetere che il punto più debole di qualsiasi sistema è l'essere umano. Hai notato che il titolo sopra non corrisponde al nome del negozio? Forse non tutti sono così attenti.
Nelle migliori tradizioni dei blockbuster di phishing, Tom Hunter ha registrato un dominio differente da quello ‘del cane dei Baskerville’ per una sola lettera. L'indirizzo email su quel dominio imitava l'indirizzo del servizio di sicurezza informatica del negozio. Per 4 giorni, tra le 16:00 e le 17:00, è stata inviata uniformemente a 360 indirizzi una mail di questo tipo da un indirizzo fasullo:
Forse a salvare i dipendenti da un massiccio furto di password è stata solo la loro stessa pigrizia. Su 360 email, solo 61 sono state aperte - il servizio di sicurezza non gode di grande popolarità. Tuttavia, è stato più facile da lì.
Pagina di phishing
46 persone hanno cliccato sul link e quasi la metà - 21 dipendenti - non hanno guardato la barra degli indirizzi e hanno tranquillamente inserito i propri login e password. Ottimo bottino, Tom.
Rete Wi-Fi
Ora non ci si poteva aspettare l'aiuto del gatto. Tom Hunter ha caricato nel suo vecchio sedan alcune apparecchiature e si è diretto all'ufficio ‘del cane dei Baskerville’. La sua visita non era stata concordata: Tom intendeva testare il Wi-Fi del cliente. Nel parcheggio del centro affari c'erano diversi posti liberi che rientravano nel perimetro della rete target. Evidentemente, non si rifletteva molto sulle sue limitazioni - sembrava che gli amministratori avessero aggiunto punti di accesso casualmente in risposta a qualsiasi lamentela riguardo a un Wi-Fi debole.
Come funziona la protezione WPA/WPA2 PSK? La crittografia tra il punto di accesso e i client è garantita da una chiave di sessione preliminare - Pairwise Transient Key (PTK). Il PTK utilizza la Pre-Shared Key e altri cinque parametri - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), gli indirizzi MAC del punto di accesso e del client. Tom ha intercettato tutti e cinque i parametri e gli mancava solo la Pre-Shared Key.
L'utilità Hashcat ha recuperato questo anello mancante in circa 50 minuti - e il nostro eroe si è ritrovato nella rete guest. Da lì era già possibile vedere la rete lavorativa - a dirla tutta, qui Tom ha gestito la password in soli nove minuti. E tutto questo senza allontanarsi dal parcheggio, senza alcun VPN. La rete lavorativa apriva al nostro eroe spazi per attività mostruose, ma lui... non ha mai aggiunto bonus alla carta del negozio.
Tom ha fatto una pausa, ha guardato l'orologio, ha gettato qualche banconota sul tavolo e, salutando, è uscito dal caffè. Forse un altro pentest, o magari qualcos'altro. ha pensato di scrivere...
Fonte: habr.com
