톰 헌터의 일기: "바스커빌 가문의 사냥개"

서명 지연은 모든 대기업에서 흔히 발생합니다. 철저한 침투 테스트를 위해 톰헌터와 한 체인 펫샵이 맺은 합의도 예외는 아니었다. 웹사이트, 내부 네트워크, 심지어 작동하는 Wi-Fi까지 확인해야 했습니다.

모든 절차가 끝나기도 전에 손이 근질거리는 것도 당연하다. 글쎄요, 혹시라도 사이트를 스캔해 보세요. "The Hound of the Baskervilles"와 같은 잘 알려진 상점이 여기서 실수를 저지를 가능성은 거의 없습니다. 며칠 후 Tom은 마침내 서명된 원본 계약서를 전달받았습니다. 이때 내부 CMS의 Tom은 세 번째 커피 잔을 통해 창고 상태를 관심있게 평가했습니다...

출처 : 에산태블로

하지만 CMS에서는 많은 것을 관리할 수 없었습니다. 사이트 관리자가 Tom Hunter의 IP를 금지했습니다. 매장 카드에서 보너스를 생성하고 사랑하는 고양이에게 몇 달 동안 저렴한 가격으로 먹이를 줄 시간을 가질 수는 있겠지만... Tom은 미소를 지으며 "이번에는 안 돼요, Darth Sidious"라고 생각했습니다. 웹 사이트 영역에서 고객의 로컬 네트워크로 이동하는 것도 그다지 흥미롭지 않지만 분명히 이러한 세그먼트는 클라이언트에 연결되어 있지 않습니다. 그럼에도 불구하고 이런 일은 매우 큰 회사에서 더 자주 발생합니다.

모든 절차를 마친 후 Tom Hunter는 제공된 VPN 계정으로 무장하고 고객의 로컬 네트워크로 이동했습니다. 계정이 Active Directory 도메인 내부에 있었기 때문에 특별한 트릭 없이 AD를 덤프할 수 있었습니다. 즉, 사용자 및 작업 컴퓨터에 대해 공개적으로 사용 가능한 모든 정보가 유출되었습니다.

Tom은 adfind 유틸리티를 시작하고 도메인 컨트롤러에 LDAP 요청을 보내기 시작했습니다. objectСategory 클래스에 대한 필터를 사용하여 사람을 속성으로 지정합니다. 응답은 다음과 같은 구조로 돌아왔습니다.

dn:CN=Гость,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гость
>description: Встроенная учетная запись для доступа гостей к компьютеру или домену
>distinguishedName: CN=Гость,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

이 외에도 유용한 정보가 많았는데, 가장 흥미로운 정보는 >설명: >설명 필드에 있었습니다. 이것은 계정에 대한 댓글입니다. 기본적으로 사소한 메모를 보관하기에 편리한 장소입니다. 그러나 클라이언트의 관리자는 비밀번호가 조용히 있을 수도 있다고 결정했습니다. 결국 누가 이 모든 하찮은 공식 기록에 관심을 가질 수 있겠습니까? 그래서 Tom이 받은 의견은 다음과 같습니다.

Создал Администратор, 2018.11.16 7po!*Vqn

마지막 조합이 왜 유용한지 이해하기 위해 로켓 과학자가 될 필요는 없습니다. 남은 것은 >설명 필드를 사용하여 CD에서 큰 응답 파일을 구문 분석하는 것뿐이었습니다. 여기에는 20개의 로그인-비밀번호 쌍이 있습니다. 또한 거의 절반이 RDP 액세스 권한을 가지고 있습니다. 나쁘지 않은 교두보입니다. 공격 세력을 분산시킬 시간입니다.

회로망

접근하기 쉬운 Baskerville 공의 Hounds는 모든 혼란과 예측 불가능성으로 인해 대도시를 연상시켰습니다. 사용자 및 RDP 프로필을 통해 Tom Hunter는 이 도시에서 가난한 소년이었지만 보안 정책의 빛나는 창을 통해 많은 것을 볼 수 있었습니다.

파일 서버의 일부, 회계 계정, 심지어 이와 관련된 스크립트까지 모두 공개되었습니다. Tom은 이러한 스크립트 중 하나의 설정에서 한 사용자의 MS SQL 해시를 찾았습니다. 약간의 무차별 마법 - 사용자의 해시가 일반 텍스트 비밀번호로 바뀌었습니다. John The Ripper와 Hashcat에게 감사드립니다.

이 열쇠는 가슴에 딱 맞았을 겁니다. 상자가 발견되었고, 게다가 그 상자와 관련된 XNUMX개의 "상자"가 더 발견되었습니다. 그리고 XNUMX개의 평신도 내부에는... 슈퍼유저 권한, NT 권한 시스템이 있습니다! 그 중 두 개에서는 xp_cmdshell 저장 프로시저를 실행하고 Windows에 cmd 명령을 보낼 수 있었습니다. 무엇을 더 원할 수 있나요?

도메인 컨트롤러

Tom Hunter는 도메인 컨트롤러에 대한 두 번째 타격을 준비했습니다. 지리적으로 멀리 떨어진 서버 수에 따라 "Baskervilles의 개" 네트워크에는 세 개가 있었습니다. 각 도메인 컨트롤러에는 상점의 열린 진열장과 같은 공용 폴더가 있으며, 그 근처에는 불쌍한 소년 Tom이 어울립니다.

그리고 이번에 그 사람은 다시 운이 좋았습니다. 그들은 로컬 서버 관리자 비밀번호가 하드코딩되어 있는 진열장에서 스크립트를 제거하는 것을 잊었습니다. 따라서 도메인 컨트롤러에 대한 경로가 열려 있었습니다. 들어오세요, 톰!

여기 마술 모자가 뽑혔습니다. 미미 카츠, 여러 도메인 관리자로부터 이익을 얻었습니다. Tom Hunter는 로컬 네트워크의 모든 기계에 접근할 수 있게 되었고, 사악한 웃음소리가 옆 의자에 앉은 고양이를 놀라게 했습니다. 이 경로는 예상보다 짧았습니다.

영원한 블루

워너크라이(WannaCry)와 페트야(Petya)에 대한 기억은 침투 테스터들의 마음 속에 아직도 생생하지만, 일부 관리자들은 다른 저녁 뉴스의 흐름 속에서 랜섬웨어에 대해 잊어버린 것 같습니다. Tom은 SMB 프로토콜(CVE-2017-0144 또는 EternalBlue)에 취약점이 있는 노드 XNUMX개를 발견했습니다. 이는 호스트에서 임의의 코드를 실행할 수 있는 취약점인 워너크라이(WannaCry), 페트야(Petya) 랜섬웨어를 유포하는데 사용된 취약점과 동일하다. 취약한 노드 중 하나에는 "Exploit and get it"이라는 도메인 관리 세션이 있었습니다. 당신은 무엇을 할 수 있습니까? 시간은 모든 사람을 가르쳐주지 않았습니다.

"바스터빌의 개"

정보 보안의 고전에서는 모든 시스템의 가장 약한 부분이 사람이라고 반복합니다. 위의 헤드라인이 매장 이름과 일치하지 않는다는 점에 주목하세요. 아마도 모든 사람이 그렇게 세심한 것은 아닐 것입니다.

최고의 피싱 블록버스터 전통에 따라 Tom Hunter는 "Hounds of the Baskervilles" 도메인과 한 글자만 다른 도메인을 등록했습니다. 이 도메인의 우편 주소는 해당 매장의 정보보안 서비스 주소를 모방했습니다. 4:16부터 00:17까지 00일 동안 가짜 주소에서 360개 주소로 다음과 같은 편지가 일률적으로 발송되었습니다.

아마도 자신의 게으름만이 직원을 대량의 비밀번호 유출로부터 구했을 것입니다. 360통의 편지 중 61통만 공개돼 보안 서비스가 그리 인기가 없다. 하지만 그때는 더 쉬웠습니다.

피싱 페이지

46명이 링크를 클릭했고 거의 절반인 21명의 직원이 주소 표시줄을 보지 않고 침착하게 로그인과 비밀번호를 입력했습니다. 잘 잡았어, 톰.

와이파이 네트워크

이제 더 이상 고양이의 도움을 기대할 필요가 없었습니다. 톰 헌터는 낡은 세단에 철 조각 몇 개를 던져 넣고 바스커빌 가문의 사냥개 사무실로 갔습니다. 그의 방문은 합의되지 않았습니다. Tom은 고객의 Wi-Fi를 테스트하려고 했습니다. 비즈니스 센터 주차장에는 대상 네트워크 주변에 편리하게 포함된 여러 개의 여유 공간이 있었습니다. 분명히 그들은 약한 Wi-Fi에 대한 불만 사항에 대해 관리자가 무작위로 추가 포인트를 찌르는 것처럼 제한 사항에 대해 많이 생각하지 않았습니다.

WPA/WPA2 PSK 보안은 어떻게 작동합니까? 액세스 포인트와 클라이언트 간의 암호화는 사전 세션 키인 PTK(Pairwise Transient Key)를 통해 제공됩니다. PTK는 사전 공유 키와 SSID, ANounce(Authenticator Nounce), SNounce(Supplicant Nounce), 액세스 포인트 및 클라이언트 MAC 주소 등 XNUMX가지 기타 매개변수를 사용합니다. Tom은 XNUMX개의 매개변수를 모두 가로채서 이제 사전 공유 키만 누락되었습니다.

Hashcat 유틸리티는 약 50분 만에 이 누락된 링크를 다운로드했으며 우리 영웅은 결국 게스트 네트워크에 접속하게 되었습니다. 여기에서 이미 작동하는 것을 볼 수 있었습니다. 이상하게도 Tom은 약 XNUMX분 만에 비밀번호를 관리했습니다. VPN 없이 주차장을 떠나지 않고도 이 모든 것이 가능합니다. 작동 중인 네트워크는 우리 영웅에게 엄청난 활동을 할 수 있는 여지를 열어줬지만 그는... 상점 카드에 보너스를 추가하지 않았습니다.

톰은 잠시 멈춰 시계를 보고 테이블 위에 지폐 몇 장을 던진 뒤 작별 인사를 하고 카페를 떠났습니다. 어쩌면 또 다시 침투 테스트일 수도 있고, 아니면 이미 진행 중일 수도 있습니다. 전보 채널 글을 쓸 생각이었는데...


출처 : habr.com