{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Diario di Tom Hunter: \u00abIl cane dei Baskerville\u00bb","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firmare in ritardo \u00e8 una pratica comune per qualsiasi grande azienda. Non fa eccezione il contratto tra Tom Hunter e un negozio di animali online per un robusto penetration test. Era necessario controllare sia il sito che la rete interna, e persino il Wi-Fi operativo.<\/p>\n

Non sorprende che le mani si siano affrettate ancor prima che tutte le formalit\u00e0 fossero sistemate. Giusto per scansionare il sito, dopotutto un negozio cos\u00ec noto come \"Il Cane dei Baskerville\" non far\u00e0 errori gi\u00e0 a questo punto. Dopo un paio di giorni, comunque, \u00e8 stata recapitata a Tom l'originale firmato del contratto \u2014 in quel momento, mentre sorseggiava la terza tazza di caff\u00e8, Tom valutava con interesse lo stato dei magazzini dalla sua CMS interna...<\/p>\n

\"DiarioFonte: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nMa purtroppo non riusciva a fare molto nella CMS \u2014 gli amministratori del sito avevano bannato l'IP di Tom Hunter. Anche se si sarebbe potuto generare dei bonus sulla carta del negozio e sfamare a buon mercato il suo amato gatto per mesi... \"Non questa volta, Dart Sidious\", pens\u00f2 sorridendo Tom. Sarebbe stato altrettanto interessante passare dalla zona del sito web alla rete locale del cliente, ma a quanto pare questi segmenti non sono collegati. Dopotutto, \u00e8 pi\u00f9 comune in aziende molto grandi.<\/p>\n

Dopo tutte le formalit\u00e0, Tom Hunter ha preso in mano l'account VPN fornito e si \u00e8 diretto verso la rete locale del cliente. L'account era all'interno del dominio Active Directory, quindi era possibile eseguire facilmente un dump di AD e raccogliere tutte le informazioni pubbliche su utenti e macchine di lavoro.<\/p>\n

Tom ha avviato l'utility adfind e ha cominciato a inviare richieste LDAP al controller di dominio. Con un filtro sulla classe objectCategory, specificando person come attributo. \u00c8 tornata una risposta con questa struttura:<\/p>\n

dn:CN=Guest,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: Guest\n>description: Account integrato per l'accesso degli ospiti al computer o al dominio\n>distinguishedName: CN=Guest,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nOltre a ci\u00f2, c'era molte informazioni utili, ma la cosa pi\u00f9 interessante era nel campo >description: >description. Questo \u00e8 un commento all'account \u2014 in pratica, \u00e8 un posto comodo per conservare appunti insignificanti. Ma gli amministratori del cliente hanno ritenuto che anche le password potessero essere tranquillamente qui. A chi, in fin dei conti, possono interessare tutti questi account di servizio trascurabili? Pertanto, i commenti ricevuti da Tom erano di questo tipo:<\/p>\n
Creato dall'Amministratore, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nNon \u00e8 necessario essere dei geni per capire a cosa servir\u00e0 la combinazione alla fine. Restava solo da analizzare il grande file di risposta dal CD per il campo >description: ed ecco qui \u2014 20 coppie di login-password. Inoltre, quasi la met\u00e0 ha accesso RDP. Non \u00e8 un cattivo terreno di lancio, \u00e8 tempo di dividere le forze attaccanti.<\/p>\n
Ambiente di rete<\/h2>\n
\nLe condivisioni disponibili di 'I Cani dei Baskerville' ricordavano una grande citt\u00e0 con tutto il suo caos e imprevedibilit\u00e0. Con profili user e RDP, Tom Hunter era in questa citt\u00e0 un ragazzo povero, ma anche lui ha potuto osservare molto attraverso le scintillanti vetrine della sicurezza.<\/p>\n
Parti dei file server, conti contabili e anche gli script associati sono stati resi pubblici. Nelle impostazioni di uno di questi script, Tom ha trovato l'hash MS SQL di un utente. Un po' di magia del brute force, e l'hash dell'utente si \u00e8 trasformato in una password in plain text. Grazie a John The Ripper e Hashcat.<\/p>\n
\"Diario
\n
\nQuesto chiave doveva adattarsi a un qualche baule. Il baule \u00e8 stato trovato e, inoltre, era collegato ad altri dieci \u00abbauli\u00bb. Dentro sei si trovavano... i diritti di superutente, il sistema nt authority! Su due di essi \u00e8 stato possibile eseguire la stored procedure xp_cmdshell e inviare comandi cmd a Windows. Cosa si potrebbe desiderare di pi\u00f9?<\/p>\n
Domain Controller<\/h2>\n
\nIl secondo colpo che Tom Hunter ha preparato per i domain controller. Nella rete dei \u00abCani di Baskerville\u00bb ce n'erano tre, in linea con il numero di server geograficamente remoti. Ogni domain controller ha una cartella pubblica, proprio come una vetrina aperta in un negozio, davanti alla quale si aggira sempre lo stesso povero ragazzo Tom.<\/p>\n
E anche questa volta il ragazzo \u00e8 stato fortunato: hanno dimenticato di rimuovere dalla vetrina lo script, dove era hardcoded la password dell'amministratore del server locale. Cos\u00ec la strada verso il controller di dominio era aperta. Entra, Tom!<\/p>\n
Da un cilindro magico \u00e8 stato estratto mimikatz<\/a><\/noindex>, che si \u00e8 nutrito di alcuni amministratori di dominio. Tom Hunter ha ottenuto accesso a tutte le macchine nella rete locale, e una risata diabolica ha spaventato il gatto dalla poltrona accanto. Questa strada era pi\u00f9 corta del previsto.<\/p>\n
EternalBlue<\/h2>\n
\nIl ricordo di WannaCry e Petya \u00e8 ancora vivo nelle menti dei pentester, ma alcuni amministratori sembrano aver dimenticato i ransomware nel flusso di altre notizie serali. Tom ha scoperto tre nodi vulnerabili nel protocollo SMB \u2013 CVE-2017-0144 o EternalBlue. Questa \u00e8 la stessa vulnerabilit\u00e0 che ha permesso la diffusione dei ransomware WannaCry e Petya, una vulnerabilit\u00e0 che consente di eseguire codice arbitrario sul nodo. Su uno dei nodi vulnerabili c'era una sessione dell'amministratore di dominio \u2014 'sfruttala e ottieni'. Che dire, il tempo non ha insegnato a tutti.<\/p>\n
\"Diario
\n<\/p>\n
\u00abIl cane dei Baskerville\u00bb<\/h2>\n
\nI classici della sicurezza informatica amano ripetere che il punto pi\u00f9 debole di qualsiasi sistema \u00e8 l'essere umano. Hai notato che il titolo qui sopra non corrisponde al nome del negozio? Forse non tutti sono cos\u00ec attenti.<\/p>\n
Nel migliore stile dei blockbuster di phishing, Tom Hunter ha registrato un dominio che differisce di una lettera dal dominio 'Cani dei Baskerville'. L'indirizzo email su questo dominio imitava l'indirizzo del servizio di sicurezza informatica del negozio. Per 4 giorni, dalle 16:00 alle 17:00, sono stati inviati 360 messaggi da un indirizzo falso come questo:<\/p>\n
\"Diario
\n
\nProbabilmente, il rilascio massivo delle password dei dipendenti \u00e8 stato evitato solo dalla loro pigrizia. Su 360 email, solo 61 sono state aperte \u2014 il servizio di sicurezza non gode di grande popolarit\u00e0. Ma da quel punto in poi \u00e8 stato pi\u00f9 semplice.<\/p>\n
\"Diario
\nPagina di phishing<\/i><\/p>\n
46 persone hanno cliccato sul link e quasi la met\u00e0 \u2014 21 dipendenti \u2014 non hanno controllato la barra degli indirizzi e hanno tranquillamente inserito le proprie credenziali. Un bel colpo, Tom.<\/p>\n
\"Diario
\n<\/p>\n
Rete Wi-Fi<\/h2>\n
\nOra non c'era pi\u00f9 bisogno di contare sull'aiuto del gatto. Tom Hunter ha caricato alcune attrezzature nel suo vecchio sedan e si \u00e8 diretto verso l'ufficio dei 'Cani dei Baskerville'. La sua visita non era stata concordata; Tom intendeva testare il Wi-Fi del cliente. Nel parcheggio del centro affari c'erano alcuni posti liberi che rientravano perfettamente nel perimetro della rete target. A quanto pare, il suo limite non era un problema particolarmente pensato \u2014 come se gli amministratori avessero semplicemente aggiunto ulteriori punti in risposta a qualsiasi lamentela riguardo a un Wi-Fi scarso.<\/p>\n
Come funziona la protezione WPA\/WPA2 PSK? La crittografia tra il punto di accesso e i clienti \u00e8 garantita da una chiave di sessione preliminare \u2014 Pairwise Transient Key (PTK). Il PTK utilizza una Pre-Shared Key e altri cinque parametri \u2014 SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), e gli indirizzi MAC del punto di accesso e del cliente. Tom ha catturato tutti e cinque i parametri, e ora mancava solo la Pre-Shared Key.<\/p>\n
\"Diario
\n
\nL'utility Hashcat ha riportato questo anello mancante in circa 50 minuti \u2014 e il nostro eroe si \u00e8 trovato nella rete guest. Da l\u00ec, si poteva gi\u00e0 vedere la rete lavorativa \u2014 sorprendentemente, Tom \u00e8 riuscito a decifrare la password in circa nove minuti. E tutto questo senza lasciare il parcheggio, senza alcun VPN. La rete lavorativa apriva al nostro eroe spazi per attivit\u00e0 mostruose, ma lui\u2026 non ha mai caricato bonus sulla carta del negozio.<\/p>\n
Tom ha fatto una pausa, ha guardato l'orologio, ha lasciato un paio di banconote sul tavolo e, dopo aver salutato, \u00e8 uscito dal caff\u00e8. Forse un altro pentest, o forse ha pensato a qualcosa di diverso... canale telegram<\/a><\/noindex> ha pensato di scrivere\u2026
\n<\/i>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Diario di Tom Hunter: \u00abIl Cane dei Baskerville\u00bb | ProHoster","description":"Ritardare la firma \u00e8 la norma per qualsiasi grande azienda. Non ha fatto eccezione il contratto tra Tom Hunter e un negozio di animali online per un pentesting completo. Doveva controllare sia il sito che la rete interna, e persino il Wi-Fi di lavoro. Non sorprende che le mani si siano gi\u00e0 grattate prima che tutte le formalit\u00e0 fossero sistemate. Beh, giusto per scansionare il sito per ogni evenienza, \u00e8 difficile\u2026","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}