ಹ್ಯಾಕರ್‌ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಶೋಷಣೆಯನ್ನು ಹೇಗೆ ಅವಲಂಬಿಸುತ್ತಾರೆ ಎಂಬುದರ ಕುರಿತು ನಾವು ನಿಯಮಿತವಾಗಿ ಬರೆಯುತ್ತೇವೆ ಪತ್ತೆ ತಪ್ಪಿಸಲು. ಅವರು ಅಕ್ಷರಶಃ , ಸ್ಟ್ಯಾಂಡರ್ಡ್ ವಿಂಡೋಸ್ ಉಪಕರಣಗಳನ್ನು ಬಳಸಿ, ಆ ಮೂಲಕ ಆಂಟಿವೈರಸ್ಗಳು ಮತ್ತು ದುರುದ್ದೇಶಪೂರಿತ ಚಟುವಟಿಕೆಯನ್ನು ಪತ್ತೆಹಚ್ಚಲು ಇತರ ಉಪಯುಕ್ತತೆಗಳನ್ನು ಬೈಪಾಸ್ ಮಾಡುವುದು. ರಕ್ಷಕರಾಗಿ ನಾವು ಈಗ ಅಂತಹ ಬುದ್ಧಿವಂತ ಹ್ಯಾಕಿಂಗ್ ತಂತ್ರಗಳ ದುರದೃಷ್ಟಕರ ಪರಿಣಾಮಗಳನ್ನು ಎದುರಿಸಲು ಒತ್ತಾಯಿಸಲ್ಪಟ್ಟಿದ್ದೇವೆ: ಉತ್ತಮ ಸ್ಥಾನದಲ್ಲಿರುವ ಉದ್ಯೋಗಿ ರಹಸ್ಯವಾಗಿ ಡೇಟಾವನ್ನು ಕದಿಯಲು ಅದೇ ವಿಧಾನವನ್ನು ಬಳಸಬಹುದು (ಕಂಪೆನಿ ಬೌದ್ಧಿಕ ಆಸ್ತಿ, ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ ಸಂಖ್ಯೆಗಳು). ಮತ್ತು ಅವನು ಹೊರದಬ್ಬದೆ, ನಿಧಾನವಾಗಿ ಮತ್ತು ಸದ್ದಿಲ್ಲದೆ ಕೆಲಸ ಮಾಡಿದರೆ, ಅದು ತುಂಬಾ ಕಷ್ಟಕರವಾಗಿರುತ್ತದೆ - ಆದರೆ ಅವನು ಸರಿಯಾದ ವಿಧಾನವನ್ನು ಮತ್ತು ಸೂಕ್ತವಾದದನ್ನು ಬಳಸಿದರೆ ಇನ್ನೂ ಸಾಧ್ಯ. , - ಅಂತಹ ಚಟುವಟಿಕೆಯನ್ನು ಗುರುತಿಸಲು.
ಮತ್ತೊಂದೆಡೆ, ನಾನು ಉದ್ಯೋಗಿಗಳನ್ನು ರಾಕ್ಷಸೀಕರಿಸಲು ಬಯಸುವುದಿಲ್ಲ ಏಕೆಂದರೆ ಆರ್ವೆಲ್‌ನ 1984 ರಿಂದ ನೇರವಾಗಿ ವ್ಯಾಪಾರ ಪರಿಸರದಲ್ಲಿ ಕೆಲಸ ಮಾಡಲು ಯಾರೂ ಬಯಸುವುದಿಲ್ಲ. ಅದೃಷ್ಟವಶಾತ್, ಒಳಗಿನವರಿಗೆ ಜೀವನವನ್ನು ಹೆಚ್ಚು ಕಷ್ಟಕರವಾಗಿಸುವ ಹಲವಾರು ಪ್ರಾಯೋಗಿಕ ಹಂತಗಳು ಮತ್ತು ಲೈಫ್ ಹ್ಯಾಕ್‌ಗಳಿವೆ. ನಾವು ಪರಿಗಣಿಸುತ್ತೇವೆ ರಹಸ್ಯ ದಾಳಿ ವಿಧಾನಗಳು, ಕೆಲವು ತಾಂತ್ರಿಕ ಹಿನ್ನೆಲೆ ಹೊಂದಿರುವ ಉದ್ಯೋಗಿಗಳಿಂದ ಹ್ಯಾಕರ್‌ಗಳು ಬಳಸುತ್ತಾರೆ. ಮತ್ತು ಸ್ವಲ್ಪ ಮುಂದೆ ನಾವು ಅಂತಹ ಅಪಾಯಗಳನ್ನು ಕಡಿಮೆ ಮಾಡುವ ಆಯ್ಕೆಗಳನ್ನು ಚರ್ಚಿಸುತ್ತೇವೆ - ನಾವು ತಾಂತ್ರಿಕ ಮತ್ತು ಸಾಂಸ್ಥಿಕ ಆಯ್ಕೆಗಳನ್ನು ಅಧ್ಯಯನ ಮಾಡುತ್ತೇವೆ.
PsExec ನಲ್ಲಿ ಏನು ತಪ್ಪಾಗಿದೆ?
ಎಡ್ವರ್ಡ್ ಸ್ನೋಡೆನ್, ಸರಿಯಾಗಿ ಅಥವಾ ತಪ್ಪಾಗಿ, ಆಂತರಿಕ ಡೇಟಾ ಕಳ್ಳತನಕ್ಕೆ ಸಮಾನಾರ್ಥಕವಾಗಿದೆ. ಮೂಲಕ, ಒಂದು ನೋಟ ತೆಗೆದುಕೊಳ್ಳಲು ಮರೆಯಬೇಡಿ ಕೆಲವು ಖ್ಯಾತಿಯ ಸ್ಥಾನಮಾನಕ್ಕೆ ಅರ್ಹರಾಗಿರುವ ಇತರ ಒಳಗಿನವರ ಬಗ್ಗೆ. ಸ್ನೋಡೆನ್ ಬಳಸಿದ ವಿಧಾನಗಳ ಬಗ್ಗೆ ಒತ್ತಿಹೇಳಲು ಯೋಗ್ಯವಾದ ಒಂದು ಪ್ರಮುಖ ಅಂಶವೆಂದರೆ, ನಮಗೆ ತಿಳಿದಿರುವಂತೆ, ಅವನು ಸ್ಥಾಪಿಸಲಿಲ್ಲ ಯಾವುದೇ ಬಾಹ್ಯ ದುರುದ್ದೇಶಪೂರಿತ ಸಾಫ್ಟ್‌ವೇರ್ ಇಲ್ಲ!
ಬದಲಾಗಿ, ಸ್ನೋಡೆನ್ ಸ್ವಲ್ಪ ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಅನ್ನು ಬಳಸಿದರು ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ಸಂಗ್ರಹಿಸಲು ಮತ್ತು ರುಜುವಾತುಗಳನ್ನು ರಚಿಸಲು ಸಿಸ್ಟಮ್ ನಿರ್ವಾಹಕರಾಗಿ ತಮ್ಮ ಸ್ಥಾನವನ್ನು ಬಳಸಿದರು. ಏನೂ ಸಂಕೀರ್ಣವಾಗಿಲ್ಲ - ಯಾವುದೂ ಇಲ್ಲ , ದಾಳಿಗಳು ಅಥವಾ .
ಸಾಂಸ್ಥಿಕ ಉದ್ಯೋಗಿಗಳು ಯಾವಾಗಲೂ ಸ್ನೋಡೆನ್ ಅವರ ವಿಶಿಷ್ಟ ಸ್ಥಾನದಲ್ಲಿರುವುದಿಲ್ಲ, ಆದರೆ "ಮೇಯುವಿಕೆಯಿಂದ ಬದುಕುಳಿಯುವುದು" ಎಂಬ ಪರಿಕಲ್ಪನೆಯಿಂದ ಕಲಿಯಬೇಕಾದ ಹಲವಾರು ಪಾಠಗಳಿವೆ - ಪತ್ತೆ ಮಾಡಬಹುದಾದ ಯಾವುದೇ ದುರುದ್ದೇಶಪೂರಿತ ಚಟುವಟಿಕೆಯಲ್ಲಿ ತೊಡಗಬಾರದು ಮತ್ತು ವಿಶೇಷವಾಗಿ ರುಜುವಾತುಗಳ ಬಳಕೆಯೊಂದಿಗೆ ಜಾಗರೂಕರಾಗಿರಿ. ಈ ಆಲೋಚನೆಯನ್ನು ನೆನಪಿಡಿ.
ಮತ್ತು ಅವನ ಸೋದರಸಂಬಂಧಿ ಅಸಂಖ್ಯಾತ ಪೆಂಟೆಸ್ಟರ್‌ಗಳು, ಹ್ಯಾಕರ್‌ಗಳು ಮತ್ತು ಸೈಬರ್‌ಸೆಕ್ಯುರಿಟಿ ಬ್ಲಾಗರ್‌ಗಳನ್ನು ಪ್ರಭಾವಿಸಿದ್ದಾರೆ. ಮತ್ತು mimikatz ನೊಂದಿಗೆ ಸಂಯೋಜಿಸಿದಾಗ, psexec ಆಕ್ರಮಣಕಾರರಿಗೆ ಕ್ಲಿಯರ್‌ಟೆಕ್ಸ್ಟ್ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ತಿಳಿಯದೆ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಚಲಿಸಲು ಅನುಮತಿಸುತ್ತದೆ.
Mimikatz LSASS ಪ್ರಕ್ರಿಯೆಯಿಂದ NTLM ಹ್ಯಾಶ್ ಅನ್ನು ಪ್ರತಿಬಂಧಿಸುತ್ತದೆ ಮತ್ತು ನಂತರ ಟೋಕನ್ ಅಥವಾ ರುಜುವಾತುಗಳನ್ನು ರವಾನಿಸುತ್ತದೆ - ಕರೆಯಲ್ಪಡುವ. "ಪಾಸ್ ದಿ ಹ್ಯಾಶ್" ದಾಳಿ - psexec ನಲ್ಲಿ, ಆಕ್ರಮಣಕಾರರು ಮತ್ತೊಂದು ಸರ್ವರ್‌ಗೆ ಲಾಗ್ ಇನ್ ಮಾಡಲು ಅನುಮತಿಸುತ್ತದೆ ಮತ್ತೊಂದು ಬಳಕೆದಾರ. ಮತ್ತು ಹೊಸ ಸರ್ವರ್‌ಗೆ ಪ್ರತಿ ನಂತರದ ಚಲನೆಯೊಂದಿಗೆ, ಆಕ್ರಮಣಕಾರರು ಹೆಚ್ಚುವರಿ ರುಜುವಾತುಗಳನ್ನು ಸಂಗ್ರಹಿಸುತ್ತಾರೆ, ಲಭ್ಯವಿರುವ ವಿಷಯವನ್ನು ಹುಡುಕುವಲ್ಲಿ ಅದರ ಸಾಮರ್ಥ್ಯಗಳ ವ್ಯಾಪ್ತಿಯನ್ನು ವಿಸ್ತರಿಸುತ್ತಾರೆ.
ನಾನು ಮೊದಲು psexec ನೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಲು ಪ್ರಾರಂಭಿಸಿದಾಗ ಅದು ನನಗೆ ಮಾಂತ್ರಿಕವಾಗಿ ಕಾಣುತ್ತದೆ - ಧನ್ಯವಾದಗಳು , psexec ನ ಅದ್ಭುತ ಡೆವಲಪರ್ - ಆದರೆ ಅವರ ಬಗ್ಗೆ ನನಗೆ ತಿಳಿದಿದೆ ಗದ್ದಲದ ಘಟಕಗಳು. ಅವನು ಎಂದಿಗೂ ರಹಸ್ಯವಾಗಿರುವುದಿಲ್ಲ!
psexec ಬಗ್ಗೆ ಮೊದಲ ಆಸಕ್ತಿದಾಯಕ ಸಂಗತಿಯೆಂದರೆ ಅದು ಅತ್ಯಂತ ಸಂಕೀರ್ಣವನ್ನು ಬಳಸುತ್ತದೆ SMB ನೆಟ್ವರ್ಕ್ ಫೈಲ್ ಪ್ರೋಟೋಕಾಲ್ Microsoft ನಿಂದ. SMB ಬಳಸಿ, psexec ಚಿಕ್ಕ ವರ್ಗಾವಣೆಗಳು ಅವಳಿ ಗುರಿ ವ್ಯವಸ್ಥೆಗೆ ಫೈಲ್‌ಗಳು, ಅವುಗಳನ್ನು C:Windows ಫೋಲ್ಡರ್‌ನಲ್ಲಿ ಇರಿಸುತ್ತದೆ.
ಮುಂದೆ, psexec ನಕಲು ಮಾಡಿದ ಬೈನರಿಯನ್ನು ಬಳಸಿಕೊಂಡು ವಿಂಡೋಸ್ ಸೇವೆಯನ್ನು ರಚಿಸುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಅತ್ಯಂತ "ಅನಿರೀಕ್ಷಿತ" ಹೆಸರಿನ PSEXECSVC ಅಡಿಯಲ್ಲಿ ರನ್ ಮಾಡುತ್ತದೆ. ಅದೇ ಸಮಯದಲ್ಲಿ, ರಿಮೋಟ್ ಯಂತ್ರವನ್ನು ವೀಕ್ಷಿಸುವ ಮೂಲಕ ನಾನು ಮಾಡಿದಂತೆ ನೀವು ಎಲ್ಲವನ್ನೂ ನೋಡಬಹುದು (ಕೆಳಗೆ ನೋಡಿ).
Psexec ನ ಕರೆ ಕಾರ್ಡ್: "PSEXECSVC" ಸೇವೆ. ಇದು C:Windows ಫೋಲ್ಡರ್‌ನಲ್ಲಿ SMB ಮೂಲಕ ಇರಿಸಲಾದ ಬೈನರಿ ಫೈಲ್ ಅನ್ನು ರನ್ ಮಾಡುತ್ತದೆ.
ಅಂತಿಮ ಹಂತವಾಗಿ, ನಕಲಿಸಿದ ಬೈನರಿ ಫೈಲ್ ತೆರೆಯುತ್ತದೆ RPC ಸಂಪರ್ಕ ಗುರಿ ಸರ್ವರ್‌ಗೆ ಮತ್ತು ನಂತರ ನಿಯಂತ್ರಣ ಆಜ್ಞೆಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ (ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ವಿಂಡೋಸ್ cmd ಶೆಲ್ ಮೂಲಕ), ಅವುಗಳನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ ಮತ್ತು ಇನ್‌ಪುಟ್ ಮತ್ತು ಔಟ್‌ಪುಟ್ ಅನ್ನು ಆಕ್ರಮಣಕಾರರ ಹೋಮ್ ಯಂತ್ರಕ್ಕೆ ಮರುನಿರ್ದೇಶಿಸುತ್ತದೆ. ಈ ಸಂದರ್ಭದಲ್ಲಿ, ಆಕ್ರಮಣಕಾರನು ಮೂಲ ಆಜ್ಞಾ ಸಾಲನ್ನು ನೋಡುತ್ತಾನೆ - ಅವನು ನೇರವಾಗಿ ಸಂಪರ್ಕ ಹೊಂದಿದಂತೆಯೇ.
ಬಹಳಷ್ಟು ಘಟಕಗಳು ಮತ್ತು ತುಂಬಾ ಗದ್ದಲದ ಪ್ರಕ್ರಿಯೆ!
psexec ನ ಸಂಕೀರ್ಣ ಇಂಟರ್ನಲ್‌ಗಳು ಹಲವಾರು ವರ್ಷಗಳ ಹಿಂದೆ ನನ್ನ ಮೊದಲ ಪರೀಕ್ಷೆಗಳ ಸಮಯದಲ್ಲಿ ನನ್ನನ್ನು ಗೊಂದಲಕ್ಕೀಡು ಮಾಡಿದ ಸಂದೇಶವನ್ನು ವಿವರಿಸುತ್ತದೆ: "PSEXECSVC ಅನ್ನು ಪ್ರಾರಂಭಿಸಲಾಗುತ್ತಿದೆ..." ನಂತರ ಕಮಾಂಡ್ ಪ್ರಾಂಪ್ಟ್ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಮೊದಲು ವಿರಾಮ.
Impacket ನ Psexec ವಾಸ್ತವವಾಗಿ ಹುಡ್ ಅಡಿಯಲ್ಲಿ ಏನು ನಡೆಯುತ್ತಿದೆ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ.
ಆಶ್ಚರ್ಯವೇನಿಲ್ಲ: psexec ಹುಡ್ ಅಡಿಯಲ್ಲಿ ದೊಡ್ಡ ಪ್ರಮಾಣದ ಕೆಲಸವನ್ನು ಮಾಡಿದೆ. ನೀವು ಹೆಚ್ಚು ವಿವರವಾದ ವಿವರಣೆಯಲ್ಲಿ ಆಸಕ್ತಿ ಹೊಂದಿದ್ದರೆ, ಇಲ್ಲಿ ಪರಿಶೀಲಿಸಿ ಅದ್ಭುತ ವಿವರಣೆ.
ನಿಸ್ಸಂಶಯವಾಗಿ, ಸಿಸ್ಟಮ್ ಆಡಳಿತ ಸಾಧನವಾಗಿ ಬಳಸಿದಾಗ, ಅದು ಮೂಲ ಉದ್ದೇಶ psexec, ಈ ಎಲ್ಲಾ ವಿಂಡೋಸ್ ಕಾರ್ಯವಿಧಾನಗಳ "ಝೇಂಕರಿಸುವ" ತಪ್ಪು ಏನೂ ಇಲ್ಲ. ಆಕ್ರಮಣಕಾರರಿಗೆ, ಆದಾಗ್ಯೂ, psexec ತೊಡಕುಗಳನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ ಮತ್ತು ಸ್ನೋಡೆನ್, psexec ಅಥವಾ ಅಂತಹುದೇ ಉಪಯುಕ್ತತೆಯಂತಹ ಎಚ್ಚರಿಕೆಯ ಮತ್ತು ಕುತಂತ್ರದ ಒಳಗಿನವರಿಗೆ ತುಂಬಾ ಅಪಾಯವಾಗಿದೆ.
ತದನಂತರ Smbexec ಬರುತ್ತದೆ
SMB ಎಂಬುದು ಸರ್ವರ್‌ಗಳ ನಡುವೆ ಫೈಲ್‌ಗಳನ್ನು ವರ್ಗಾಯಿಸಲು ಒಂದು ಬುದ್ಧಿವಂತ ಮತ್ತು ರಹಸ್ಯ ಮಾರ್ಗವಾಗಿದೆ, ಮತ್ತು ಹ್ಯಾಕರ್‌ಗಳು ಶತಮಾನಗಳಿಂದ SMB ಅನ್ನು ನೇರವಾಗಿ ನುಸುಳುತ್ತಿದ್ದಾರೆ. ಇದು ಯೋಗ್ಯವಾಗಿಲ್ಲ ಎಂದು ಎಲ್ಲರಿಗೂ ಈಗಾಗಲೇ ತಿಳಿದಿದೆ ಎಂದು ನಾನು ಭಾವಿಸುತ್ತೇನೆ SMB ಪೋರ್ಟ್‌ಗಳು 445 ಮತ್ತು 139 ಇಂಟರ್ನೆಟ್‌ಗೆ, ಸರಿ?
ಡೆಫ್ಕಾನ್ 2013 ರಲ್ಲಿ, ಎರಿಕ್ ಮಿಲ್ಮನ್ () ಪ್ರಸ್ತುತಪಡಿಸಲಾಗಿದೆ , ಇದರಿಂದ ಪೆಂಟೆಸ್ಟರ್‌ಗಳು ಸ್ಟೆಲ್ತ್ SMB ಹ್ಯಾಕಿಂಗ್ ಅನ್ನು ಪ್ರಯತ್ನಿಸಬಹುದು. ನನಗೆ ಸಂಪೂರ್ಣ ಕಥೆ ಗೊತ್ತಿಲ್ಲ, ಆದರೆ ನಂತರ Impacket ಮತ್ತಷ್ಟು ಸಂಸ್ಕರಿಸಿದ smbexec. ವಾಸ್ತವವಾಗಿ, ನನ್ನ ಪರೀಕ್ಷೆಗಾಗಿ, ನಾನು ಪೈಥಾನ್‌ನಲ್ಲಿನ ಇಂಪಕೆಟ್‌ನಿಂದ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದ್ದೇನೆ .
psexec ಭಿನ್ನವಾಗಿ, smbexec ತಪ್ಪಿಸುತ್ತದೆ ಸಂಭಾವ್ಯವಾಗಿ ಪತ್ತೆಯಾದ ಬೈನರಿ ಫೈಲ್ ಅನ್ನು ಗುರಿ ಯಂತ್ರಕ್ಕೆ ವರ್ಗಾಯಿಸುವುದು. ಬದಲಾಗಿ, ಉಪಯುಕ್ತತೆಯು ಹುಲ್ಲುಗಾವಲುಗಳಿಂದ ಉಡಾವಣೆಯ ಮೂಲಕ ಸಂಪೂರ್ಣವಾಗಿ ಜೀವಿಸುತ್ತದೆ ಸ್ಥಳೀಯ ವಿಂಡೋಸ್ ಆಜ್ಞಾ ಸಾಲಿನ.
ಅದು ಏನು ಮಾಡುತ್ತದೆ ಎಂಬುದು ಇಲ್ಲಿದೆ: ಇದು ವಿಶೇಷ ಇನ್‌ಪುಟ್ ಫೈಲ್‌ಗೆ SMB ಮೂಲಕ ಆಕ್ರಮಣಕಾರಿ ಯಂತ್ರದಿಂದ ಆಜ್ಞೆಯನ್ನು ರವಾನಿಸುತ್ತದೆ ಮತ್ತು ನಂತರ ಲಿನಕ್ಸ್ ಬಳಕೆದಾರರಿಗೆ ಪರಿಚಿತವಾಗಿರುವ ಸಂಕೀರ್ಣ ಆಜ್ಞಾ ಸಾಲನ್ನು (ವಿಂಡೋಸ್ ಸೇವೆಯಂತೆ) ರಚಿಸುತ್ತದೆ ಮತ್ತು ರನ್ ಮಾಡುತ್ತದೆ. ಸಂಕ್ಷಿಪ್ತವಾಗಿ ಹೇಳುವುದಾದರೆ: ಇದು ಸ್ಥಳೀಯ ವಿಂಡೋಸ್ cmd ಶೆಲ್ ಅನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ, ಔಟ್‌ಪುಟ್ ಅನ್ನು ಮತ್ತೊಂದು ಫೈಲ್‌ಗೆ ಮರುನಿರ್ದೇಶಿಸುತ್ತದೆ ಮತ್ತು ನಂತರ ಅದನ್ನು SMB ಮೂಲಕ ಆಕ್ರಮಣಕಾರರ ಯಂತ್ರಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ.
ಇದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಲು ಉತ್ತಮ ಮಾರ್ಗವೆಂದರೆ ಕಮಾಂಡ್ ಲೈನ್ ಅನ್ನು ನೋಡುವುದು, ನಾನು ಈವೆಂಟ್ ಲಾಗ್‌ನಿಂದ ನನ್ನ ಕೈಗಳನ್ನು ಪಡೆಯಲು ಸಾಧ್ಯವಾಯಿತು (ಕೆಳಗೆ ನೋಡಿ).
I/O ಅನ್ನು ಮರುನಿರ್ದೇಶಿಸಲು ಇದು ಉತ್ತಮ ಮಾರ್ಗವಲ್ಲವೇ? ಮೂಲಕ, ಸೇವೆಯ ರಚನೆಯು ಈವೆಂಟ್ ಐಡಿ 7045 ಅನ್ನು ಹೊಂದಿದೆ.
psexec ನಂತೆ, ಇದು ಎಲ್ಲಾ ಕೆಲಸಗಳನ್ನು ಮಾಡುವ ಸೇವೆಯನ್ನು ಸಹ ರಚಿಸುತ್ತದೆ, ಆದರೆ ಅದರ ನಂತರದ ಸೇವೆ ತೆಗೆದುಹಾಕಲಾಗಿದೆ - ಆಜ್ಞೆಯನ್ನು ಚಲಾಯಿಸಲು ಇದನ್ನು ಒಮ್ಮೆ ಮಾತ್ರ ಬಳಸಲಾಗುತ್ತದೆ ಮತ್ತು ನಂತರ ಕಣ್ಮರೆಯಾಗುತ್ತದೆ! ಬಲಿಪಶುವಿನ ಯಂತ್ರವನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡುವ ಮಾಹಿತಿ ಭದ್ರತಾ ಅಧಿಕಾರಿಯು ಪತ್ತೆಹಚ್ಚಲು ಸಾಧ್ಯವಾಗುವುದಿಲ್ಲ ಸ್ಪಷ್ಟ ದಾಳಿಯ ಸೂಚಕಗಳು: ಯಾವುದೇ ದುರುದ್ದೇಶಪೂರಿತ ಫೈಲ್ ಅನ್ನು ಪ್ರಾರಂಭಿಸಲಾಗಿಲ್ಲ, ಯಾವುದೇ ನಿರಂತರ ಸೇವೆಯನ್ನು ಸ್ಥಾಪಿಸಲಾಗುತ್ತಿಲ್ಲ ಮತ್ತು SMB ಡೇಟಾ ವರ್ಗಾವಣೆಯ ಏಕೈಕ ಸಾಧನವಾಗಿರುವುದರಿಂದ RPC ಅನ್ನು ಬಳಸಲಾಗುತ್ತಿದೆ ಎಂಬುದಕ್ಕೆ ಯಾವುದೇ ಪುರಾವೆಗಳಿಲ್ಲ. ಬ್ರಿಲಿಯಂಟ್!
ಆಕ್ರಮಣಕಾರರ ಕಡೆಯಿಂದ, ಆಜ್ಞೆಯನ್ನು ಕಳುಹಿಸುವ ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಸ್ವೀಕರಿಸುವ ನಡುವಿನ ವಿಳಂಬದೊಂದಿಗೆ "ಹುಸಿ-ಶೆಲ್" ಲಭ್ಯವಿದೆ. ಆದರೆ ಇದು ಆಕ್ರಮಣಕಾರರಿಗೆ ಸಾಕಷ್ಟು ಸಾಕು - ಒಬ್ಬ ಒಳಗಿನವರು ಅಥವಾ ಈಗಾಗಲೇ ಪಾದವನ್ನು ಹೊಂದಿರುವ ಬಾಹ್ಯ ಹ್ಯಾಕರ್‌ಗಳು - ಆಸಕ್ತಿದಾಯಕ ವಿಷಯವನ್ನು ಹುಡುಕುವುದನ್ನು ಪ್ರಾರಂಭಿಸಲು.
ಟಾರ್ಗೆಟ್ ಮೆಷಿನ್‌ನಿಂದ ಆಕ್ರಮಣಕಾರರ ಯಂತ್ರಕ್ಕೆ ಡೇಟಾವನ್ನು ಔಟ್‌ಪುಟ್ ಮಾಡಲು, ಇದನ್ನು ಬಳಸಲಾಗುತ್ತದೆ . ಹೌದು, ಅದೇ ಸಾಂಬಾ , ಆದರೆ ಇಂಪ್ಯಾಕೆಟ್‌ನಿಂದ ಪೈಥಾನ್ ಸ್ಕ್ರಿಪ್ಟ್‌ಗೆ ಮಾತ್ರ ಪರಿವರ್ತಿಸಲಾಗಿದೆ. ವಾಸ್ತವವಾಗಿ, SMB ಮೂಲಕ FTP ವರ್ಗಾವಣೆಗಳನ್ನು ರಹಸ್ಯವಾಗಿ ಹೋಸ್ಟ್ ಮಾಡಲು smbclient ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ.
ಒಂದು ಹೆಜ್ಜೆ ಹಿಂದಕ್ಕೆ ತೆಗೆದುಕೊಳ್ಳೋಣ ಮತ್ತು ಇದು ಉದ್ಯೋಗಿಗೆ ಏನು ಮಾಡಬಹುದು ಎಂಬುದರ ಕುರಿತು ಯೋಚಿಸೋಣ. ನನ್ನ ಕಾಲ್ಪನಿಕ ಸನ್ನಿವೇಶದಲ್ಲಿ, ಬ್ಲಾಗರ್, ಹಣಕಾಸು ವಿಶ್ಲೇಷಕರು ಅಥವಾ ಹೆಚ್ಚು ಪಾವತಿಸಿದ ಭದ್ರತಾ ಸಲಹೆಗಾರರಿಗೆ ಕೆಲಸಕ್ಕಾಗಿ ವೈಯಕ್ತಿಕ ಲ್ಯಾಪ್‌ಟಾಪ್ ಅನ್ನು ಬಳಸಲು ಅನುಮತಿಸಲಾಗಿದೆ ಎಂದು ಹೇಳೋಣ. ಕೆಲವು ಮಾಂತ್ರಿಕ ಪ್ರಕ್ರಿಯೆಯ ಪರಿಣಾಮವಾಗಿ, ಅವಳು ಕಂಪನಿಯಲ್ಲಿ ಅಪರಾಧವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತಾಳೆ ಮತ್ತು "ಎಲ್ಲಾ ಕೆಟ್ಟದಾಗಿ ಹೋಗುತ್ತಾಳೆ." ಲ್ಯಾಪ್‌ಟಾಪ್ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂ ಅನ್ನು ಅವಲಂಬಿಸಿ, ಇದು ಇಂಪ್ಯಾಕ್ಟ್‌ನಿಂದ ಪೈಥಾನ್ ಆವೃತ್ತಿಯನ್ನು ಅಥವಾ smbexec ಅಥವಾ smbclient ನ ವಿಂಡೋಸ್ ಆವೃತ್ತಿಯನ್ನು .exe ಫೈಲ್ ಆಗಿ ಬಳಸುತ್ತದೆ.
ಸ್ನೋಡೆನ್‌ನಂತೆ, ಅವಳು ತನ್ನ ಭುಜದ ಮೇಲೆ ನೋಡುವ ಮೂಲಕ ಇನ್ನೊಬ್ಬ ಬಳಕೆದಾರರ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತಾಳೆ, ಅಥವಾ ಅವಳು ಅದೃಷ್ಟಶಾಲಿಯಾಗುತ್ತಾಳೆ ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್‌ನೊಂದಿಗೆ ಪಠ್ಯ ಫೈಲ್‌ನಲ್ಲಿ ಎಡವಿ ಬೀಳುತ್ತಾಳೆ. ಮತ್ತು ಈ ರುಜುವಾತುಗಳ ಸಹಾಯದಿಂದ, ಅವಳು ಹೊಸ ಮಟ್ಟದ ಸವಲತ್ತುಗಳಲ್ಲಿ ವ್ಯವಸ್ಥೆಯ ಸುತ್ತಲೂ ಅಗೆಯಲು ಪ್ರಾರಂಭಿಸುತ್ತಾಳೆ.
ಹ್ಯಾಕಿಂಗ್ ಡಿಸಿಸಿ: ನಮಗೆ ಯಾವುದೇ "ಮೂರ್ಖ" ಮಿಮಿಕಾಟ್ಜ್ ಅಗತ್ಯವಿಲ್ಲ
ಪೆಂಟೆಸ್ಟಿಂಗ್ ಕುರಿತು ನನ್ನ ಹಿಂದಿನ ಪೋಸ್ಟ್‌ಗಳಲ್ಲಿ, ನಾನು ಆಗಾಗ್ಗೆ ಮಿಮಿಕಾಟ್ಜ್ ಅನ್ನು ಬಳಸಿದ್ದೇನೆ. ರುಜುವಾತುಗಳನ್ನು ಪ್ರತಿಬಂಧಿಸಲು ಇದು ಉತ್ತಮ ಸಾಧನವಾಗಿದೆ - NTLM ಹ್ಯಾಶ್‌ಗಳು ಮತ್ತು ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಳ ಒಳಗೆ ಮರೆಮಾಡಲಾಗಿರುವ ಕ್ಲಿಯರ್‌ಟೆಕ್ಸ್ಟ್ ಪಾಸ್‌ವರ್ಡ್‌ಗಳು, ಬಳಸಲು ಕಾಯುತ್ತಿವೆ.
ಕಾಲ ಬದಲಾಗಿದೆ. ಮಿಮಿಕಾಟ್ಜ್ ಅನ್ನು ಪತ್ತೆಹಚ್ಚುವಲ್ಲಿ ಮತ್ತು ನಿರ್ಬಂಧಿಸುವಲ್ಲಿ ಮಾನಿಟರಿಂಗ್ ಪರಿಕರಗಳು ಉತ್ತಮವಾಗಿವೆ. ಮಾಹಿತಿ ಭದ್ರತಾ ನಿರ್ವಾಹಕರು ಈಗ ಹ್ಯಾಶ್ (PtH) ದಾಳಿಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ ಅಪಾಯಗಳನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಹೆಚ್ಚಿನ ಆಯ್ಕೆಗಳನ್ನು ಹೊಂದಿದ್ದಾರೆ.
ಆದ್ದರಿಂದ ಮಿಮಿಕಾಟ್ಜ್ ಅನ್ನು ಬಳಸದೆಯೇ ಹೆಚ್ಚುವರಿ ರುಜುವಾತುಗಳನ್ನು ಸಂಗ್ರಹಿಸಲು ಸ್ಮಾರ್ಟ್ ಉದ್ಯೋಗಿ ಏನು ಮಾಡಬೇಕು?
ಇಂಪ್ಯಾಕ್ಟ್‌ನ ಕಿಟ್ ಎಂಬ ಉಪಯುಕ್ತತೆಯನ್ನು ಒಳಗೊಂಡಿದೆ , ಇದು ಡೊಮೇನ್ ರುಜುವಾತು ಸಂಗ್ರಹದಿಂದ ರುಜುವಾತುಗಳನ್ನು ಹಿಂಪಡೆಯುತ್ತದೆ ಅಥವಾ ಸಂಕ್ಷಿಪ್ತವಾಗಿ DCC. ನನ್ನ ತಿಳುವಳಿಕೆ ಏನೆಂದರೆ, ಡೊಮೇನ್ ಬಳಕೆದಾರರು ಸರ್ವರ್‌ಗೆ ಲಾಗ್ ಆದರೆ ಡೊಮೇನ್ ನಿಯಂತ್ರಕ ಲಭ್ಯವಿಲ್ಲದಿದ್ದರೆ, ಬಳಕೆದಾರರನ್ನು ದೃಢೀಕರಿಸಲು DCC ಸರ್ವರ್‌ಗೆ ಅನುಮತಿಸುತ್ತದೆ. ಹೇಗಾದರೂ, ಈ ಎಲ್ಲಾ ಹ್ಯಾಶ್‌ಗಳು ಲಭ್ಯವಿದ್ದರೆ ಅವುಗಳನ್ನು ಡಂಪ್ ಮಾಡಲು ಸೀಕ್ರೆಟ್ಸ್‌ಡಂಪ್ ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ.
ಡಿಸಿಸಿ ಹ್ಯಾಶ್‌ಗಳು NTML ಹ್ಯಾಶ್‌ಗಳಲ್ಲ ಮತ್ತು ಅವರ PtH ದಾಳಿಗೆ ಬಳಸಲಾಗುವುದಿಲ್ಲ.
ಸರಿ, ನೀವು ಮೂಲ ಪಾಸ್ವರ್ಡ್ ಪಡೆಯಲು ಅವುಗಳನ್ನು ಹ್ಯಾಕ್ ಮಾಡಲು ಪ್ರಯತ್ನಿಸಬಹುದು. ಆದಾಗ್ಯೂ, ಮೈಕ್ರೋಸಾಫ್ಟ್ ಡಿಸಿಸಿಯೊಂದಿಗೆ ಚುರುಕಾಗಿದೆ ಮತ್ತು ಡಿಸಿಸಿ ಹ್ಯಾಶ್‌ಗಳನ್ನು ಭೇದಿಸಲು ತುಂಬಾ ಕಷ್ಟಕರವಾಗಿದೆ. ಹೌದು ನನ್ನೊಂದಿಗಿದೆ , "ವಿಶ್ವದ ಅತ್ಯಂತ ವೇಗದ ಪಾಸ್ವರ್ಡ್ ಊಹೆಗಾರ," ಆದರೆ ಪರಿಣಾಮಕಾರಿಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಲು ಇದು GPU ಅಗತ್ಯವಿದೆ.
ಬದಲಾಗಿ, ಸ್ನೋಡೆನ್‌ನಂತೆ ಯೋಚಿಸಲು ಪ್ರಯತ್ನಿಸೋಣ. ಒಬ್ಬ ಉದ್ಯೋಗಿಯು ಮುಖಾಮುಖಿ ಸಾಮಾಜಿಕ ಇಂಜಿನಿಯರಿಂಗ್ ಅನ್ನು ನಡೆಸಬಹುದು ಮತ್ತು ಆಕೆಯ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ಭೇದಿಸಲು ಬಯಸುವ ವ್ಯಕ್ತಿಯ ಬಗ್ಗೆ ಕೆಲವು ಮಾಹಿತಿಯನ್ನು ಕಂಡುಹಿಡಿಯಬಹುದು. ಉದಾಹರಣೆಗೆ, ವ್ಯಕ್ತಿಯ ಆನ್‌ಲೈನ್ ಖಾತೆಯನ್ನು ಹ್ಯಾಕ್ ಮಾಡಲಾಗಿದೆಯೇ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ ಮತ್ತು ಯಾವುದೇ ಸುಳಿವುಗಳಿಗಾಗಿ ಅವರ ಕ್ಲಿಯರ್‌ಟೆಕ್ಸ್ಟ್ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ.
ಮತ್ತು ಇದು ನಾನು ಹೋಗಲು ನಿರ್ಧರಿಸಿದ ಸನ್ನಿವೇಶವಾಗಿದೆ. ತನ್ನ ಬಾಸ್, ಕ್ರುಯೆಲ್ಲಾ, ವಿವಿಧ ವೆಬ್ ಸಂಪನ್ಮೂಲಗಳಲ್ಲಿ ಹಲವಾರು ಬಾರಿ ಹ್ಯಾಕ್ ಮಾಡಲಾಗಿದೆ ಎಂದು ಒಳಗಿನವರು ತಿಳಿದುಕೊಂಡಿದ್ದಾರೆ ಎಂದು ಭಾವಿಸೋಣ. ಈ ಹಲವಾರು ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ವಿಶ್ಲೇಷಿಸಿದ ನಂತರ, ಕ್ರುಯೆಲ್ಲಾ ಬೇಸ್‌ಬಾಲ್ ತಂಡದ ಹೆಸರು "ಯಾಂಕೀಸ್" ನಂತರ ಪ್ರಸ್ತುತ ವರ್ಷ - "ಯಾಂಕೀಸ್ 2015" ಅನ್ನು ಬಳಸಲು ಆದ್ಯತೆ ನೀಡುತ್ತಾರೆ ಎಂದು ಅವರು ಅರಿತುಕೊಂಡರು.
ನೀವು ಈಗ ಇದನ್ನು ಮನೆಯಲ್ಲಿ ಪುನರುತ್ಪಾದಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತಿದ್ದರೆ, ನಂತರ ನೀವು ಸಣ್ಣ, "C" ಅನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಬಹುದು , ಇದು DCC ಹ್ಯಾಶಿಂಗ್ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಕಂಪೈಲ್ ಮಾಡುತ್ತದೆ. , ಮೂಲಕ, DCC ಗೆ ಬೆಂಬಲವನ್ನು ಸೇರಿಸಲಾಗಿದೆ, ಆದ್ದರಿಂದ ಇದನ್ನು ಸಹ ಬಳಸಬಹುದು. ಒಳಗಿನವರು ಜಾನ್ ದಿ ರಿಪ್ಪರ್ ಅನ್ನು ಕಲಿಯಲು ಬಯಸುವುದಿಲ್ಲ ಮತ್ತು ಪರಂಪರೆ C ಕೋಡ್‌ನಲ್ಲಿ "gcc" ಅನ್ನು ಚಲಾಯಿಸಲು ಇಷ್ಟಪಡುತ್ತಾರೆ ಎಂದು ನಾವು ಊಹಿಸೋಣ.
ಒಳಗಿನವರ ಪಾತ್ರವನ್ನು ತೋರಿಸುತ್ತಾ, ನಾನು ಹಲವಾರು ವಿಭಿನ್ನ ಸಂಯೋಜನೆಗಳನ್ನು ಪ್ರಯತ್ನಿಸಿದೆ ಮತ್ತು ಅಂತಿಮವಾಗಿ ಕ್ರುಯೆಲ್ಲಾ ಅವರ ಪಾಸ್ವರ್ಡ್ "Yankees2019" ಎಂದು ಕಂಡುಹಿಡಿಯಲು ಸಾಧ್ಯವಾಯಿತು (ಕೆಳಗೆ ನೋಡಿ). ಕಾರ್ಯ ಸಂಪೂರ್ಣ!
ಸ್ವಲ್ಪ ಸೋಶಿಯಲ್ ಇಂಜಿನಿಯರಿಂಗ್, ಅದೃಷ್ಟ ಹೇಳುವ ಡ್ಯಾಶ್ ಮತ್ತು ಮಾಲ್ಟೆಗೊದ ಚಿಟಿಕೆ ಮತ್ತು ನೀವು ಡಿಸಿಸಿ ಹ್ಯಾಶ್ ಅನ್ನು ಕ್ರ್ಯಾಕಿಂಗ್ ಮಾಡುವ ಹಾದಿಯಲ್ಲಿದ್ದೀರಿ.
ನಾವು ಇಲ್ಲಿಗೆ ಕೊನೆಗೊಳ್ಳಬೇಕೆಂದು ನಾನು ಸೂಚಿಸುತ್ತೇನೆ. ನಾವು ಇತರ ಪೋಸ್ಟ್‌ಗಳಲ್ಲಿ ಈ ವಿಷಯಕ್ಕೆ ಹಿಂತಿರುಗುತ್ತೇವೆ ಮತ್ತು ಇನ್ನೂ ಹೆಚ್ಚು ನಿಧಾನವಾದ ಮತ್ತು ರಹಸ್ಯವಾದ ದಾಳಿ ವಿಧಾನಗಳನ್ನು ನೋಡುತ್ತೇವೆ, Impacket ನ ಅತ್ಯುತ್ತಮ ಉಪಯುಕ್ತತೆಗಳ ಮೇಲೆ ನಿರ್ಮಿಸುವುದನ್ನು ಮುಂದುವರಿಸುತ್ತೇವೆ.
ಮೂಲ: www.habr.com