Kita nulis kanthi rutin babagan carane peretas asring ngandelake eksploitasi kanggo ngindhari deteksi. Padha secara harfiah , nggunakake piranti Windows standar, saéngga ngliwati antivirus lan utilitas liyane kanggo ndeteksi aktivitas ala. Kita, minangka pembela, saiki dipeksa kanggo ngatasi akibat sing ora nyenengake saka teknik hacking sing pinter kasebut: karyawan sing duwe posisi sing apik bisa nggunakake pendekatan sing padha kanggo nyolong data kanthi rahasia (kekayaan intelektual perusahaan, nomer kertu kredit). Lan yen dheweke ora cepet-cepet, nanging kerjane alon-alon lan tenang, bakal angel banget - nanging isih bisa ditindakake yen nggunakake pendekatan sing bener lan cocog. , - kanggo ngenali kegiatan kuwi.
Ing sisih liya, aku ora pengin ngganggu karyawan amarga ora ana sing pengin kerja ing lingkungan bisnis langsung saka Orwell's 1984. Untunge, ana sawetara langkah praktis lan hacks urip sing bisa nggawe urip luwih angel kanggo wong njero. Kita bakal nimbang cara serangan rahasia, digunakake dening peretas dening karyawan karo sawetara latar mburi technical. Lan luwih sethithik, kita bakal ngrembug opsi kanggo nyuda risiko kasebut - kita bakal sinau opsi teknis lan organisasi.
Apa sing salah karo PsExec?
Edward Snowden, bener utawa salah, wis dadi sinonim karo nyolong data wong njero. Ngomong-ngomong, aja lali kanggo ndeleng babagan insiders liyane sing uga pantes sawetara status fame. Siji titik penting sing kudu ditekanake babagan metode sing digunakake Snowden yaiku, miturut kawruh kita, dheweke ora nginstal ora ana piranti lunak angkoro eksternal!
Nanging, Snowden nggunakake sawetara teknik sosial lan nggunakake jabatane minangka administrator sistem kanggo ngumpulake sandhi lan nggawe kredensial. Ora ana sing rumit - ora ana , serangan utawa .
Karyawan organisasi ora mesthi ana ing posisi unik Snowden, nanging ana sawetara piwulang sing bisa disinaoni saka konsep "slamet kanthi angonan" sing kudu dingerteni - supaya ora melu kegiatan jahat sing bisa dideteksi, lan utamane. ati-ati karo nggunakake kredensial. Elinga pikiran iki.
lan seduluré wis kesengsem pentesters, peretas, lan blogger cybersecurity. Lan yen digabungake karo mimikatz, psexec ngidini panyerang pindhah ing jaringan tanpa perlu ngerti tembung sandhi cleartext.
Mimikatz nyegat hash NTLM saka proses LSASS lan banjur ngliwati token utawa kredensial - sing diarani. serangan "pass hash". – ing psexec, ngidini panyerang kanggo mlebu menyang server liyane minangka saka liyane panganggo. Lan saben pamindhahan sabanjure menyang server anyar, panyerang ngumpulake kredensial tambahan, ngembangake macem-macem kemampuan kanggo nggoleki konten sing kasedhiya.
Nalika aku miwiti nggarap psexec, aku katon gaib - matur nuwun , pangembang sarwa psexec - nanging aku uga ngerti bab kang rame komponen. Dheweke ora tau rahasia!
Kasunyatan menarik pisanan babagan psexec yaiku nggunakake banget kompleks protokol file jaringan SMB saka Microsoft. Nggunakake SMB, psexec transfer cilik binar file menyang sistem target, diselehake ing folder C:Windows.
Sabanjure, psexec nggawe layanan Windows nggunakake binar sing disalin lan mbukak ing sangisore jeneng "ora dikarepke" PSEXECSVC. Ing wektu sing padha, sampeyan bisa ndeleng kabeh iki, kaya aku, kanthi nonton mesin remot (ndeleng ngisor).
Kertu telpon Psexec: layanan "PSEXECSVC". Nganggo file binar sing diselehake liwat SMB ing folder C: Windows.
Minangka langkah pungkasan, file binar sing disalin bakal mbukak sambungan RPC menyang server target banjur nampa perintah kontrol (liwat cangkang cmd Windows kanthi standar), diluncurake lan pangalihan input lan output menyang mesin ngarep penyerang. Ing kasus iki, panyerang ndeleng baris printah dhasar - padha yen padha disambungake langsung.
Akeh komponen lan proses rame banget!
Internal komplèks psexec nerangake pesen sing mbingungake nalika tes pisanan sawetara taun kepungkur: "Miwiti PSEXECSVC ..." banjur ngaso sadurunge command prompt katon.
Impacket's Psexec bener-bener nuduhake apa sing kedadeyan ing sangisore hood.
Ora nggumunake: psexec nindakake akeh karya ing sangisore hood. Yen sampeyan kasengsem ing panjelasan sing luwih rinci, priksa kene gambaran apik.
Temenan, nalika digunakake minangka alat administrasi sistem, yaiku tujuan asli psexec, ana apa-apa salah karo "buzzing" kabeh mekanisme Windows iki. Nanging, kanggo panyerang, psexec bakal nggawe komplikasi, lan kanggo wong njero sing ati-ati lan licik kaya Snowden, psexec utawa sarana sing padha bakal dadi risiko banget.
Lan banjur teka Smbexec
SMB minangka cara sing cerdas lan rahasia kanggo nransfer file ing antarane server, lan peretas wis nyusup SMB langsung nganti pirang-pirang abad. Aku kabeh wong wis ngerti yen iku ora worth iku SMB port 445 lan 139 menyang Internet, bener?
Ing Defcon 2013, Eric Millman () diwenehi , supaya pentesters bisa nyoba hacking SMB siluman. Aku ora ngerti kabeh crita, nanging banjur Impacket luwih olahan smbexec. Nyatane, kanggo testing, aku ndownload skrip saka Impacket ing Python saka .
Ora kaya psexec, smbexec nyingkiri nransfer file binar sing bisa dideteksi menyang mesin target. Nanging, sarana urip kabeh saka pangonan nganti diluncurake lokal baris printah Windows.
Punika apa iku: liwat printah saka mesin nyerang liwat SMB menyang file input khusus, lan banjur nggawe lan mbukak baris printah Komplek (kaya layanan Windows) sing bakal koyone menowo kanggo pangguna Linux. Singkat: mbukak cangkang cmd Windows asli, pangalihan output menyang file liyane, banjur dikirim liwat SMB bali menyang mesin penyerang.
Cara sing paling apik kanggo mangerteni iki yaiku ndeleng baris printah, sing bisa dakkarepake saka log acara (ndeleng ngisor).
Apa ora iki cara paling apik kanggo ngarahake I / O? Miturut cara, nggawe layanan duwe ID acara 7045.
Kaya psexec, uga nggawe layanan sing nindakake kabeh karya, nanging layanan sawise iku dicopot – digunakake mung sapisan kanggo mbukak printah lan banjur ilang! Petugas keamanan informasi sing ngawasi mesin korban ora bakal bisa dideteksi cetho Indikator serangan: Ora ana file jahat sing diluncurake, ora ana layanan sing terus-terusan diinstal, lan ora ana bukti yen RPC digunakake amarga SMB mung minangka sarana transfer data. sarwa!
Saka sisih panyerang, "pseudo-shell" kasedhiya karo wektu tundha antarane ngirim printah lan nampa respon. Nanging iki cukup kanggo penyerang - wong njero utawa peretas eksternal sing wis duwe pijakan - kanggo miwiti nggoleki konten sing menarik.
Kanggo ngasilake data bali saka mesin target menyang mesin penyerang, digunakake . Ya, iku padha Samba , nanging mung diowahi kanggo script Python dening Impacket. Nyatane, smbclient ngidini sampeyan ngatur transfer FTP kanthi rahasia liwat SMB.
Ayo mundur lan mikir babagan apa sing bisa ditindakake kanggo karyawan kasebut. Ing skenario fiktifku, ayo ngomong blogger, analis finansial utawa konsultan keamanan sing dibayar banget diidini nggunakake laptop pribadi kanggo kerja. Minangka asil saka sawetara proses gaib, dheweke nesu ing perusahaan lan "dadi kabeh ala." Gumantung ing sistem operasi laptop, nggunakake versi Python saka Impact, utawa versi Windows smbexec utawa smbclient minangka file .exe.
Kaya Snowden, dheweke nemokake tembung sandhi pangguna liyane kanthi ndeleng pundhake, utawa dheweke entuk begja lan kesandhung file teks nganggo tembung sandhi. Lan kanthi bantuan kapercayan kasebut, dheweke wiwit ngubengi sistem kasebut ing tingkat hak istimewa sing anyar.
Hacking DCC: Kita ora perlu Mimikatz "bodho".
Ing kiriman sadurunge babagan pentesting, aku kerep nggunakake mimikatz. Iki minangka alat sing apik kanggo nyegat kredensial - hash NTLM lan malah sandhi cleartext sing didhelikake ing laptop, mung ngenteni kanggo digunakake.
Jaman wis owah. Alat ngawasi wis dadi luwih apik kanggo ndeteksi lan mblokir mimikatz. Administrator keamanan informasi saiki uga duwe pilihan liyane kanggo nyuda risiko sing ana gandhengane karo serangan hash (PtH).
Dadi, apa sing kudu ditindakake karyawan sing cerdas kanggo ngumpulake kredensial tambahan tanpa nggunakake mimikatz?
Kit Impacket kalebu sarana sing diarani , sing njupuk kredensial saka Domain Kredensial Cache, utawa DCC kanggo singkat. Pangertenku yaiku yen pangguna domain mlebu menyang server nanging kontroler domain ora kasedhiya, DCC ngidini server kanggo otentikasi pangguna. Oalah, secretsdump ngidini sampeyan mbucal kabeh hash kasebut yen kasedhiya.
Hashes DCC yaiku dudu hash NTML lan dheweke ora bisa digunakake kanggo serangan PtH.
Inggih, sampeyan bisa nyoba kanggo hack kanggo njaluk sandi asli. Nanging, Microsoft wis dadi luwih pinter karo DCC lan DCC hash dadi angel banget kanggo crack. Ya wis , "Pangeran sandi paling cepet ing donya," nanging mbutuhake GPU kanggo mbukak èfèktif.
Nanging, ayo nyoba mikir kaya Snowden. Karyawan bisa nindakake rekayasa sosial tatap-tatap lan bisa uga ngerteni sawetara informasi babagan wong sing sandi pengin dicopot. Contone, goleki manawa akun online wong kasebut wis disusupi lan priksa tembung sandhi teks sing jelas kanggo ngerteni apa wae.
Lan iki skenario sing dakkarepake. Ayo nganggep manawa wong njero ngerti manawa pimpinane, Cruella, wis disusupi kaping pirang-pirang ing macem-macem sumber daya web. Sawise nganalisa sawetara sandhi kasebut, dheweke ngerti yen Cruella luwih seneng nggunakake format jeneng tim baseball "Yankees" diikuti taun saiki - "Yankees2015".
Yen sampeyan saiki nyoba kanggo ngasilake iki ing omah, sampeyan bisa ngundhuh cilik, "C" , sing ngetrapake algoritma hashing DCC, lan ngumpulake. , kanthi cara, nambahake dhukungan kanggo DCC, supaya uga bisa digunakake. Ayo nganggep manawa wong njero ora pengin repot sinau John the Ripper lan seneng mbukak "gcc" ing kode C warisan.
Ngaku dadi wong njero, aku nyoba sawetara kombinasi sing beda-beda lan pungkasane bisa nemokake manawa sandhi Cruella yaiku "Yankees2019" (ndeleng ngisor). Misi Rampung!
A rekayasa sosial sethitik, mlayu saka rejeki lan jiwit saka Maltego lan sampeyan uga ing dalan kanggo crack DCC hash.
Aku suggest kita mungkasi kene. Kita bakal bali menyang topik iki ing kiriman liyane lan katon ing cara serangan malah luwih alon lan siluman, terus kanggo mbangun pesawat banget Impacket saka keperluan.
Source: www.habr.com