{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Il diario di Tom Hunter: \u00abIl Cane dei Baskerville\u00bb","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ritardare la firma \u00e8 un'abitudine comune per qualsiasi grande azienda. Non ha fatto eccezione il contratto tra Tom Hunter e un negozio di animali online per un approfondito penetration testing. Era necessario controllare il sito, la rete interna e persino il Wi-Fi operativo.<\/p>\n

Non sorprende che le mani abbiano iniziato a prudere ancora prima che tutte le formalit\u00e0 fossero sistemate. In fondo, era solo un'opportunit\u00e0 per scansionare il sito per sicurezza; \u00e8 difficile credere che un negozio cos\u00ec noto come \u00abIl Cane dei Baskerville\u00bb possa avere difetti gi\u00e0 qui. Dopo un paio di giorni, finalmente \u00e8 arrivato a Tom l'originale del contratto firmato\u2014nel frattempo, sorseggiando la sua terza tazza di caff\u00e8, Tom stava valutando con interesse lo stato degli stock dalla CMS interna...<\/p>\n

\"IlFonte: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nTuttavia, non ha potuto cimentarsi pi\u00f9 di tanto nella CMS: gli amministratori del sito hanno bannato l'IP di Tom Hunter. Anche se avrebbe potuto generare un po' di bonus sulla carta del negozio e sfamare il suo amato gatto a basso costo per mesi... \u00abNon questa volta, Darth Sidious\u00bb\u2014pens\u00f2 Tom con un sorriso. Sarebbe stato altrettanto interessante passare dalla zona del sito web alla rete locale del cliente, ma evidentemente questi segmenti non erano collegati. Dopotutto, questo accade spesso nelle aziende di grandi dimensioni.<\/p>\n

Dopo tutte le formalit\u00e0, Tom Hunter si \u00e8 armato di un'account VPN fornita e si \u00e8 diretto verso la rete locale del cliente. L'account era all'interno del dominio Active Directory, quindi era possibile facilmente generare un dump AD\u2014estrarre tutte le informazioni pubbliche su utenti e macchine lavorative.<\/p>\n

Tom ha avviato l'utilit\u00e0 adfind e ha cominciato a inviare richieste LDAP al controller di dominio. Con un filtro basato sulla classe objectCategory, specificando person come attributo. La risposta \u00e8 tornata con questa struttura:<\/p>\n

dn:CN=Ospite,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: Ospite\n>description: Account integrato per l'accesso degli ospiti a computer o dominio\n>distinguishedName: CN=Ospite,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nOltre a ci\u00f2, c'era una grande quantit\u00e0 di informazioni utili, ma la cosa pi\u00f9 interessante si trovava nel campo >description: >description. Questo \u00e8 un commento relativo all'account: fondamentalmente, un posto comodo per conservare annotazioni trascurabili. Tuttavia, gli amministratori del cliente hanno ritenuto che qui potessero tranquillamente essere conservate anche le password. Chi, alla fine, potrebbe essere interessato a tutti questi account di servizio trascurabili? Pertanto, i commenti che Tom ha ricevuto erano del tipo:<\/p>\n
Creato da Amministratore, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nNon \u00e8 necessario essere geni per capire a cosa serve la combinazione alla fine. Resta da analizzare un ampio file di risposta del KD riguardo al campo >description: ed ecco qua: 20 coppie di login-password. Inoltre, quasi la met\u00e0 ha diritti di accesso tramite RDP. Un buon punto di partenza, \u00e8 tempo di dividere le forze d'attacco.<\/p>\n
Ambiente di rete<\/h2>\n
\nLe condivisioni disponibili nella \u00abCaccia ai Cani di Baskerville\u00bb assomigliavano a una grande citt\u00e0 nella sua interezza di caos e imprevedibilit\u00e0. Con i profili utente e RDP, Tom Hunter era in questa citt\u00e0 un ragazzo povero, ma anche lui ha avuto l'opportunit\u00e0 di vedere molte cose attraverso le scintillanti vetrine delle politiche di sicurezza.<\/p>\n
Parte di file server, conti aziendali e persino gli script ad essi correlati erano stati resi disponibili pubblicamente. Nelle impostazioni di uno di questi script, Tom ha trovato l'hash MS SQL di un utente. Un po' di magia bruttore \u2014 e l'hash dell'utente si \u00e8 trasformato in una password in testo chiaro. Grazie a John The Ripper e Hashcat.<\/p>\n
\"Il
\n
\nQuesto chiave doveva adattarsi a qualche forziere. Il forziere \u00e8 stato trovato e, cosa pi\u00f9 importante, era collegato ad altri dieci \"forzieri\". E all'interno di sei c'erano... diritti di superutente, nt authority sistema! Su due di essi \u00e8 stato possibile eseguire la stored procedure xp_cmdshell e inviare comandi cmd in Windows. Cos'altro desiderare?<\/p>\n
Domain controller<\/h2>\n
\nIl secondo colpo Tom Hunter lo ha riservato ai domain controller. Nella rete della \u00abCaccia ai Cani di Baskerville\u00bb ce n'erano tre: in accordo con il numero di server geograficamente distanti. Ogni domain controller ha una cartella pubblica, come una vetrina aperta in un negozio, dove si aggira sempre lo stesso ragazzo povero Tom.<\/p>\n
E anche questa volta al ragazzo \u00e8 andata bene: dalla vetrina non era stato rimosso uno script in cui era hardcodato la password dell'amministratore locale del server. Cos\u00ec il cammino verso il domain controller era aperto. Entra, Tom!<\/p>\n
Qui \u00e8 stato estratto dal famoso cappello mimikatz<\/a><\/noindex>, che si \u00e8 nutrito di diversi amministratori di dominio. Tom Hunter ha ottenuto accesso a tutte le macchine nella rete locale, e la risata diabolica ha spaventato il gatto dal suo vicino divano. Questo percorso era pi\u00f9 breve del previsto.<\/p>\n
EternalBlue<\/h2>\n
\nLa memoria di WannaCry e Petya \u00e8 ancora viva nella mente dei pentester, ma alcuni amministratori sembrano aver dimenticato i ransomware nel flusso di altre notizie serali. Tom ha scoperto tre nodi vulnerabili nel protocollo SMB - CVE-2017-0144 o EternalBlue. Questa \u00e8 la vulnerabilit\u00e0 attraverso la quale si sono diffusi i ransomware WannaCry e Petya, una vulnerabilit\u00e0 che consente di eseguire codice arbitrario su un nodo. Su uno dei nodi vulnerabili c'era una sessione di admin di dominio - 'sfrutta e guadagna'. Che ci puoi fare, il tempo non ha insegnato a tutti.<\/p>\n
\"Il
\n<\/p>\n
\u00abIl cane dei Baskerville\u00bb<\/h2>\n
\nI classici della sicurezza informatica amano ripetere che il punto pi\u00f9 debole di qualsiasi sistema \u00e8 l'essere umano. Hai notato che il titolo sopra non corrisponde al nome del negozio? Forse non tutti sono cos\u00ec attenti.<\/p>\n
Nelle migliori tradizioni dei blockbuster di phishing, Tom Hunter ha registrato un dominio differente da quello \u2018del cane dei Baskerville\u2019 per una sola lettera. L'indirizzo email su quel dominio imitava l'indirizzo del servizio di sicurezza informatica del negozio. Per 4 giorni, tra le 16:00 e le 17:00, \u00e8 stata inviata uniformemente a 360 indirizzi una mail di questo tipo da un indirizzo fasullo:<\/p>\n
\"Il
\n
\nForse a salvare i dipendenti da un massiccio furto di password \u00e8 stata solo la loro stessa pigrizia. Su 360 email, solo 61 sono state aperte - il servizio di sicurezza non gode di grande popolarit\u00e0. Tuttavia, \u00e8 stato pi\u00f9 facile da l\u00ec.<\/p>\n
\"Il
\nPagina di phishing<\/i><\/p>\n
46 persone hanno cliccato sul link e quasi la met\u00e0 - 21 dipendenti - non hanno guardato la barra degli indirizzi e hanno tranquillamente inserito i propri login e password. Ottimo bottino, Tom.<\/p>\n
\"Il
\n<\/p>\n
Rete Wi-Fi<\/h2>\n
\nOra non ci si poteva aspettare l'aiuto del gatto. Tom Hunter ha caricato nel suo vecchio sedan alcune apparecchiature e si \u00e8 diretto all'ufficio \u2018del cane dei Baskerville\u2019. La sua visita non era stata concordata: Tom intendeva testare il Wi-Fi del cliente. Nel parcheggio del centro affari c'erano diversi posti liberi che rientravano nel perimetro della rete target. Evidentemente, non si rifletteva molto sulle sue limitazioni - sembrava che gli amministratori avessero aggiunto punti di accesso casualmente in risposta a qualsiasi lamentela riguardo a un Wi-Fi debole.<\/p>\n
Come funziona la protezione WPA\/WPA2 PSK? La crittografia tra il punto di accesso e i client \u00e8 garantita da una chiave di sessione preliminare - Pairwise Transient Key (PTK). Il PTK utilizza la Pre-Shared Key e altri cinque parametri - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), gli indirizzi MAC del punto di accesso e del client. Tom ha intercettato tutti e cinque i parametri e gli mancava solo la Pre-Shared Key.<\/p>\n
\"Il
\n
\nL'utilit\u00e0 Hashcat ha recuperato questo anello mancante in circa 50 minuti - e il nostro eroe si \u00e8 ritrovato nella rete guest. Da l\u00ec era gi\u00e0 possibile vedere la rete lavorativa - a dirla tutta, qui Tom ha gestito la password in soli nove minuti. E tutto questo senza allontanarsi dal parcheggio, senza alcun VPN. La rete lavorativa apriva al nostro eroe spazi per attivit\u00e0 mostruose, ma lui... non ha mai aggiunto bonus alla carta del negozio.<\/p>\n
Tom ha fatto una pausa, ha guardato l'orologio, ha gettato qualche banconota sul tavolo e, salutando, \u00e8 uscito dal caff\u00e8. Forse un altro pentest, o magari qualcos'altro. canale telegram<\/a><\/noindex> ha pensato di scrivere...
\n<\/i>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Diario di Tom Hunter: \"Il cane dei Baskerville\" | ProHoster","description":"Ritardare la firma \u00e8 prassi comune per qualsiasi grande azienda. Non ha fatto eccezione il contratto tra Tom Hunter e un negozio di animali online per un approfondito pentesting.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}