יומנו של טום האנטר: "כלב הבסקרווילים"

עיכובים בחתימה נפוצים בכל חברה גדולה. ההסכם בין טום האנטר לרשת אחת של חנות חיות לבדיקה יסודית לא היה יוצא מן הכלל. היינו צריכים לבדוק את האתר, את הרשת הפנימית ואפילו Wi-Fi עובד.

זה לא מפתיע שהידיים שלי גרדו עוד לפני שכל הפורמליים הוסדרו. ובכן, פשוט סרוק את האתר למקרה שלא סביר שחנות כל כך ידועה כמו "הכלב של הבסקרווילים" תעשה כאן טעויות. כמה ימים לאחר מכן, סוף סוף נמסר לטום החוזה המקורי שנחתם - בשלב זה, על ספל הקפה השלישי, תום מה-CMS הפנימי העריך בעניין את מצב המחסנים...

מקור: אהסאן טאבלו

אבל לא ניתן היה לנהל הרבה ב-CMS - מנהלי האתר אסרו את ה-IP של טום האנטר. למרות שיהיה אפשר להספיק לייצר בונוסים בכרטיס החנות ולהאכיל את החתול האהוב שלך בזול במשך חודשים רבים... "לא הפעם, דארת' סידיוס," חשב טום בחיוך. יהיה לא פחות מעניין לעבור מאזור האתר לרשת המקומית של הלקוח, אבל כנראה שהקטעים האלה לא מחוברים ללקוח. ובכל זאת, זה קורה לעתים קרובות יותר בחברות גדולות מאוד.

לאחר כל הפורמליות, טום האנטר התחמש בחשבון ה-VPN שסופק והלך לרשת המקומית של הלקוח. החשבון היה בתוך תחום ה-Active Directory, כך שניתן היה לזרוק את AD ללא שום טריקים מיוחדים - לרוקן את כל המידע הזמין לציבור על משתמשים ומכונות עובדות.

טום השיק את כלי השירות adfind והחל לשלוח בקשות LDAP לבקר התחום. עם מסנן במחלקה objectСategory, ציון אדם כתכונה. התגובה חזרה עם המבנה הבא:

dn:CN=Гость,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гость
>description: Встроенная учетная запись для доступа гостей к компьютеру или домену
>distinguishedName: CN=Гость,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

בנוסף לכך, היה הרבה מידע שימושי, אבל המעניין ביותר היה בשדה >תיאור: >תיאור. זוהי הערה על חשבון - בעצם מקום נוח לשמור הערות קטנות. אבל המנהלים של הלקוח החליטו שגם הסיסמאות יכולות לשבת שם בשקט. מי בכל זאת עשוי להתעניין בכל הרישומים הרשמיים חסרי המשמעות הללו? אז התגובות שקיבל טום היו:

Создал Администратор, 2018.11.16 7po!*Vqn

אתה לא צריך להיות מדען טילים כדי להבין למה השילוב בסוף מועיל. כל מה שנותר הוא לנתח את קובץ התגובה הגדול מהתקליטור באמצעות השדה >תיאור: והנה הם - 20 זוגות כניסה-סיסמה. יתרה מכך, כמעט למחציתם יש זכויות גישה ל-RDP. ראש גשר לא רע, הגיע הזמן לחלק את הכוחות התוקפים.

רֶשֶׁת

כדורי ה-Hounds of the Baskerville הנגישים הזכירו עיר גדולה על כל הכאוס וחוסר הניבוי שלה. עם פרופילי משתמשים ו-RDP, טום האנטר היה ילד שבור בעיר הזאת, אבל אפילו הוא הצליח לראות הרבה דברים מבעד לחלונות הנוצצים של מדיניות האבטחה.

חלקים משרתי קבצים, חשבונות הנהלת חשבונות ואפילו סקריפטים הקשורים אליהם, כולם פורסמו לציבור. בהגדרות של אחד מהסקריפטים הללו, טום מצא את ה-hash של MS SQL של ​​משתמש אחד. קצת קסם כוח גס - וה-hash של המשתמש הפך לסיסמת טקסט רגיל. תודה לג'ון המרטש ולהאשקט.

מפתח זה אמור להתאים לאיזה חזה. החזה נמצא, ויותר מכך, היו קשורים אליו עוד עשרה "שידות". ובתוך השישה שכבו... זכויות משתמש-על, מערכת סמכות! בשניים מהם הצלחנו להפעיל את הפרוצדורה המאוחסנת xp_cmdshell ולשלוח פקודות cmd ל-Windows. מה עוד אפשר לרצות?

בקרי דומיין

טום האנטר הכין את המכה השנייה לבקרי תחום. היו שלושה מהם ברשת "הכלבים של הבסקרווילים", בהתאם למספר השרתים המרוחקים גיאוגרפית. לכל בקר תחום יש תיקיה ציבורית, כמו ויטרינה פתוחה בחנות, שלידה מסתובב אותו ילד מסכן טום.

והפעם הבחור התמזל מזלו שוב - הם שכחו להסיר את הסקריפט מהוויטרינה, שם קודדה קשיחה של סיסמת מנהל השרת המקומי. אז הנתיב לבקר התחום היה פתוח. היכנס, טום!

הנה משכו כובע הקסמים מימיקץ, שהרוויח מכמה מנהלי דומיינים. טום האנטר השיג גישה לכל המכונות ברשת המקומית, והצחוק השטני הפחיד את החתול מהכיסא הבא. מסלול זה היה קצר מהצפוי.

EternalBlue

הזיכרון של WannaCry ו-Petya עדיין חי במוחם של החומשים, אבל נראה שכמה מנהלים שכחו מתוכנות כופר בזרם חדשות הערב האחרות. טום גילה שלושה צמתים עם פגיעות בפרוטוקול SMB - CVE-2017-0144 או EternalBlue. זוהי אותה נקודת תורפה ששימשה להפצת תוכנות הכופר של WannaCry ו-Petya, פגיעות המאפשרת להפעיל קוד שרירותי על מארח. באחד הצמתים הפגיעים הייתה הפעלת ניהול דומיין - "נצל וקבל את זה." מה אתה יכול לעשות, הזמן לא לימד את כולם.

"הכלב של באסטרוויל"

קלאסיקות של אבטחת מידע אוהבות לחזור על כך שהנקודה החלשה ביותר בכל מערכת היא האדם. שמתם לב שהכותרת למעלה לא תואמת את שם החנות? אולי לא כולם כל כך קשובים.

במיטב המסורות של שובר קופות דיוג, טום האנטר רשם דומיין ששונה באות אחת מהדומיין של "כלבי הבסקרווילים". כתובת הדואר בדומיין זה חיקה את כתובת שירות אבטחת המידע של החנות. במהלך 4 ימים מהשעה 16:00 עד 17:00, המכתב הבא נשלח באופן אחיד ל-360 כתובות מכתובת מזויפת:

אולי, רק העצלנות שלהם הצילה עובדים מהדלפה המונית של סיסמאות. מתוך 360 מכתבים, רק 61 נפתחו - שירות הביטחון לא מאוד פופולרי. אבל אז זה היה קל יותר.

דף פישינג

46 אנשים לחצו על הקישור וכמעט מחציתם - 21 עובדים - לא הסתכלו בשורת הכתובת והכניסו ברוגע את פרטי הכניסה והסיסמא שלהם. תפיסה יפה, טום.

רשת Wi-Fi

כעת לא היה צורך לסמוך על עזרתו של החתול. טום האנטר זרק כמה חתיכות ברזל לתוך הסדאן הישנה שלו והלך למשרד של כלב הבסקרווילים. הביקור שלו לא סוכם: טום עמד לבדוק את ה-Wi-Fi של הלקוח. בחניון מרכז העסקים היו מספר מקומות פנויים שנכללו בצורה נוחה בהיקף רשת היעד. ככל הנראה, הם לא חשבו הרבה על המגבלה שלו - כאילו המנהלים תוקעים באקראי נקודות נוספות בתגובה לכל תלונה על Wi-Fi חלש.

כיצד פועלת אבטחת WPA/WPA2 PSK? ההצפנה בין נקודת הגישה ללקוחות מסופקת על ידי מפתח טרום הפעלה - Pairwise Transient Key (PTK). PTK משתמש במפתח המשותף מראש ובחמישה פרמטרים נוספים - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), נקודת גישה וכתובות MAC של הלקוח. טום יירט את כל חמשת הפרמטרים, ועכשיו רק המפתח המשותף מראש היה חסר.

כלי השירות Hashcat הוריד את הקישור החסר הזה תוך כ-50 דקות - והגיבור שלנו הגיע לרשת האורחים. ממנו כבר אפשר היה לראות את העובדת - באופן מוזר, כאן טום ניהל את הסיסמה תוך כתשע דקות. וכל זה בלי לצאת מהחניה, בלי שום VPN. הרשת הפועלת פתחה פתח לפעילויות מפלצתיות עבור הגיבור שלנו, אבל הוא... מעולם לא הוסיף בונוסים לכרטיס החנות.

טום עצר, הביט בשעונו, זרק כמה שטרות כסף על השולחן, כשהוא נפרד מבית הקפה. אולי זה שוב פנטסט, או אולי זה נכנס ערוץ מברק חשבתי לכתוב...


מקור: www.habr.com