Em bi rêkûpêk dinivîsin ka çawa hacker bi gelemperî xwe dispêre îstismarkirinê ji bo ku ji tespîtê dûr bikevin. Ew bi rastî , amûrên standard ên Windows-ê bikar tîne, bi vî rengî ji bo tespîtkirina çalakiya xirab antîvîrus û karûbarên din ên din derbas dike. Em, wekî parêzvan, naha neçar in ku bi encamên nebaş ên teknîkên hacking ên wusa jîr re mijûl bibin: karmendek bi cîhkirî dikare heman nêzîkatiyê bikar bîne da ku daneyan bi dizî bidize (maldariya rewşenbîrî ya pargîdanî, hejmarên qerta krediyê). Û heger ew lez neke, lê hêdî û bêdeng bixebite, ew ê pir dijwar be - lê dîsa jî heke ew nêzîkatiya rast û guncan bikar bîne. , - ji bo naskirina çalakiya wisa.
Ji hêla din ve, ez ê naxwazim karmendan şeytanî bikim ji ber ku kes naxwaze rasterast ji Orwell ya 1984-an di hawîrdorek karsaziyê de bixebite. Bi bextewarî, hejmarek gavên pratîkî û hêmanên jiyanê hene ku dikarin jiyanê ji hundurûyan re pir dijwartir bikin. Em ê bifikirin rêbazên êrîşa veşartî, ji hêla hackeran ve ji hêla karmendên ku hin paşnavên teknîkî ve têne bikar anîn. Û hinekî din em ê vebijarkên ji bo kêmkirina xetereyên weha nîqaş bikin - em ê hem vebijarkên teknîkî û hem jî rêxistinî bixwînin.
Çi xeletiya PsExec heye?
Edward Snowden, rast an xelet, bi diziya daneyên hundurîn re bûye hevwate. Bi awayê, ji bîr nekin ku hûn lê binêrin li ser hundurên din ên ku di heman demê de hin statuya navdariyê jî heq dikin. Xaleke girîng a ku hêjayî balkişandina li ser rêbazên ku Snowden bikar anîne ev e ku, li gorî zanîna me, wî saz nekir nermalava xerab a derve tune!
Di şûna wê de, Snowden piçek endezyariya civakî bikar anî û pozîsyona xwe wekî rêveberê pergalê bikar anî da ku şîfreyan berhev bike û pêbaweriyan biafirîne. Tiştek tevlihev - tune , êrîşan an .
Karmendên rêxistinê ne her gav di pozîsyona yekta ya Snowden de ne, lê çend ders hene ku divê ji têgeha "ji ber çîvaniyê xilas bibe" ku jê haydar bin - nekevin nav ti çalakiyek xirab a ku dikare were tespît kirin, û bi taybetî jî were girtin. baldar bi karanîna pêbaweran. Vê ramanê bîr bînin.
û pismamê wî bêhejmar pentesters, hackers, û bloggerên ewlehiya sîber bandor kiriye. Û gava ku bi mimikatz re tê hev kirin, psexec dihêle ku êrîşkar di nav torgilokê de tevbigerin bêyî ku hewce ne ku şîfreya zelal zanibin.
Mimikatz hash NTLM ji pêvajoya LSASS-ê digire û dûv re nîşanek an pêbaweran derbas dike - bi vî rengî. êrîşa "haş derbas bike". - di psexec de, dihêle êrîşkerek wekî serverek din têkeve yekî din bikaranîvan. Û bi her gavê paşîn a serverek nû, êrîşkar pêbaweriyên zêde berhev dike, di lêgerîna naveroka berdest de qada kapasîteyên xwe berfireh dike.
Dema ku min dest bi xebata bi psexec re kir ji min re sêrbaz xuya bû - spas , pêşdebirê hêja yê psexec - lê ez di derbarê wî de jî dizanim dengbilind pêkhateyên. Ew qet ne veşartî ye!
Yekem rastiya balkêş di derbarê psexec de ev e ku ew pir tevlihev bikar tîne Protokola pelê tora SMB ji Microsoft. Bi karanîna SMB, psexec piçûk vediguhezîne binary pelên pergala armancê, wan di peldanka C: Windows-ê de bi cîh bikin.
Dûv re, psexec bi karanîna binarya kopîkirî karûbarek Windows-ê diafirîne û wê di bin navê zehf "nexêr" PSEXECSVC de dimeşîne. Di heman demê de, hûn dikarin bi rastî van hemîyan bibînin, mîna ku min kir, bi temaşekirina makîneyek dûr (li jêr binêre).
Karta gazî ya Psexec: Karûbarê "PSEXECSVC". Ew pelek binary ku bi SMB-ê di peldanka C: Windows-ê de hatî danîn dimeşîne.
Wekî gava dawîn, pelê binaryê kopî vedibe Girêdana RPC ber bi servera armancê ve diçe û dûv re fermanên kontrolê qebûl dike (bi navgîniya şêlê cmd ya Windows-ê ve), wan dide destpêkirin û ketin û derketinê ber bi makîneya malê ya êrîşkar ve vedigerîne. Di vê rewşê de, êrîşkar rêzika fermana bingehîn dibîne - eynî mîna ku ew rasterast were girêdan.
Gelek pêkhate û pêvajoyek pir bi deng!
Navxweyîyên tevlihev ên psexec peyama ku çend sal berê di ceribandinên min ên yekem de ez şaş kirim rave dike: "Destpêkirina PSEXECSVC..." li dû rawestanek berî ku fermana fermanê xuya bibe.
Impacket's Psexec bi rastî nîşan dide ka çi di bin kapê de diqewime.
Ne ecêb e: psexec di bin kaxezê de xebatek mezin kir. Heke hûn bi ravekek berfirehtir eleqedar in, li vir binihêrin danasîna ecêb.
Eşkere ye, dema ku wekî amûrek rêveberiya pergalê tê bikar anîn, ku bû armanca orjînal psexec, tiştek xelet di "pişk"a van hemî mekanîzmayên Windows-ê de tune. Lêbelê, ji bo êrîşkarek, psexec dê tevliheviyan biafirîne, û ji bo hundurînek hişyar û hîlekar mîna Snowden, psexec an karûbarek wusa dê pir xeternak be.
Û paşê Smbexec tê
SMB ji bo veguheztina pelan di navbera serveran de rêyek jîr û nehênî ye, û hacker bi sedsalan rasterast rasterast di nav SMB de ne. Ez difikirim ku her kes jixwe dizane ku ew ne hêja ye Portên SMB 445 û 139 ji Înternetê re, rast?
Li Defcon 2013, Eric Millman () pêşkêş kirin , da ku pentesters dikarin hackkirina SMB-ya dizî biceribînin. Ez tevahiya çîrokê nizanim, lê paşê Impacket smbexec bêtir paqij kir. Bi rastî, ji bo ceribandina xwe, min nivîsarên ji Impacket li Python dakêşand .
Berevajî psexec, smbexec dûr dike veguheztina pelek binary a potansiyel a veguheztina makîneya armancê. Di şûna wê de, karûbar bi tevahî ji mêrgê heya destpêkirinê dijî herêmî Xeta fermana Windows.
Ya ku ew dike ev e: ew fermanek ji makîneya êrîşkar bi riya SMB-ê di pelek têketina taybetî re derbas dike, û dûv re rêzek fermanek tevlihev (wek karûbarek Windows-ê) ku dê ji bikarhênerên Linux re nasdar xuya bike diafirîne û dimeşîne. Bi kurtasî: ew şêlek cmd ya Windows-ê ya xwemalî dide destpêkirin, encam ber bi pelek din ve beralî dike, û dûv re wê bi SMB ve dişîne makîneya êrîşkar.
Awayê çêtirîn ku meriv vê yekê fam bike ev e ku meriv li rêzika fermanê mêze bike, ya ku min karîbû ji têketina bûyerê bi dest xwe bixim (li jêr binêre).
Ma ev ne awayê herî mezin e ku meriv I/O beralî bike? Bi awayê, afirandina karûbarê nasnameya bûyerê 7045 heye.
Mîna psexec, ew jî karûbarek diafirîne ku hemî karan dike, lê karûbarê piştî wê derxistin - ji bo xebitandina fermanê tenê carekê tê bikar anîn û paşê winda dibe! Karmendek ewlehiya agahdariyê ku makîneya mexdûr dişopîne dê nikaribe tespît bike berçavan Nîşaneyên êrîşê: Tu pelek xirab nayê destpêkirin, karûbarek domdar nayê saz kirin, û delîl tune ku RPC were bikar anîn ji ber ku SMB yekane navgîna veguheztina daneyê ye. Birqanî!
Ji alîyê êrîşker ve, "xew-şelek" bi dereng di navbera şandina fermanê û wergirtina bersivê de peyda dibe. Lê ev ji bo êrîşkarek - an hundurîn an jî hackerek derveyî ku berê xwedan bingehek e - bes e ku dest bi lêgerîna naveroka balkêş bike.
Ji bo derxistina daneyan ji makîneya armancê berbi makîneya êrîşkar vegere, ew tê bikar anîn . Erê, ew heman Samba ye , lê tenê ji hêla Impacket ve veguherî skrîptek Python. Bi rastî, smbclient dihêle hûn bi veşartî veguheztinên FTP-ê li ser SMB-ê mêvandar bikin.
Werin em gav paşde bavêjin û bifikirin ka ev dikare ji bo karmend çi bike. Di senaryoya min a xeyalî de, em bibêjin blogger, analîstek darayî an şêwirmendê ewlehiyê yê pir drav destûr dide ku laptopek kesane ji bo xebatê bikar bîne. Di encama hin pêvajoyek efsûnî de, ew ji pargîdaniyê aciz dibe û "herî xirab dibe." Bi pergala xebitandina laptopê ve girêdayî, ew guhertoya Python ji Impact, an guhertoya Windows-ê ya smbexec an smbclient wekî pelek .exe bikar tîne.
Mîna Snowden, ew şîfreya bikarhênerek din an li ser milê xwe dinihêre, an jî bextewar dibe û li pelek nivîsê ya bi şîfreyê dikeve. Û bi alîkariya van pêbaweran, ew dest bi kolandina li dora pergalê di astek nû ya îmtiyazan de dike.
Hacking DCC: Em ne hewceyî Mimikatzek "bêaqil" in
Di nivîsên xwe yên berê yên li ser pentesting de, min pir caran mimikatz bikar anî. Ev amûrek girîng e ji bo girtina pêbaweriyan - NTLM haş û tewra şîfreyên zelal ên ku di hundurê laptopan de veşartî ne, tenê li bendê ne ku werin bikar anîn.
Dem hatine guhertin. Amûrên çavdêriyê di tespîtkirin û astengkirina mimikatz de çêtir bûne. Rêvebirên ewlehiya agahdarî di heman demê de naha xwedan vebijarkên zêdetir in da ku xetereyên ku bi derbasbûna êrîşên hash (PtH) ve girêdayî ne kêm bikin.
Ji ber vê yekê karmendek jîr divê çi bike da ku bêyî karanîna mimikatz pêbaweriyên zêde berhev bike?
Kitê Impacket karûbarek bi navê , ku pêbaweriyan ji Cacheya Krediyê ya Domainê, an bi kurtasî DCC vedigire. Têgihîştina min ev e ku heke bikarhênerek domainê têkeve serverê lê kontrolkerê domainê ne berdest e, DCC destûrê dide server ku bikarhêner rast bike. Digel vê yekê, secretsdump destûrê dide we ku hûn van hemî haşeyan bavêjin heke hebin.
Haşeyên DCC hene ne haşeyên NTML û wan ji bo êrîşa PtH nayê bikar anîn.
Welê, hûn dikarin hewl bidin ku wan hack bikin da ku şîfreya orjînal bistînin. Lêbelê, Microsoft bi DCC-ê re jîr bûye û haşeyên DCC-ê pir dijwar bûne ku bişkînin. Erê heye , "texmînkera şîfreya herî bilez a cîhanê," lê ji bo ku bi bandor bixebite GPU hewce dike.
Di şûna wê de, em hewl bidin ku mîna Snowden bifikirin. Karmendek dikare rû bi rû endezyariya civakî bike û dibe ku di derheqê kesê ku ew dixwaze şîfreya wî bişkîne hin agahdarî bibîne. Mînakî, fêr bibin ka hesabê serhêl ê kesê carî hatiye hack kirin û şîfreya wî ya zelal ji bo her nîşanan lêkolîn bikin.
Û ev senaryoya ku min biryar da ku ez pê re biçim ev e. Ka em bihesibînin ku kesek hundur fêr bû ku serokê wî, Cruella, çend caran li ser çavkaniyên cûda yên malperê hate hack kirin. Piştî analîzkirina çend ji van şîfreyan, ew pê dihese ku Cruella tercîh dike ku formata navê tîmê bejsbolê "Yankees" bikar bîne û li dû wê sala heyî - "Yankees2015".
Heke hûn nuha hewl didin ku vê yekê li malê ji nû ve hilberînin, wê hingê hûn dikarin "C"-ya piçûk dakêşin. , ku algorîtmaya hashkirina DCC bicîh tîne, û berhev dike. , bi awayê, piştgirî ji bo DCC zêde kir, da ku ew jî were bikar anîn. Ka em bihesibînin ku hundurînek naxwaze ku fêrbûna John The Ripper aciz bibe û hez dike ku "gcc" li ser koda C-ya mîras bimeşîne.
Bi xapandina rola hundurînek, min çend hevbendiyên cûda ceriband û di dawiyê de karîbû kifş bikim ku şîfreya Cruella "Yankees2019" bû (li jêr binêre). Mission Complete!
Piçek endezyariya civakî, bextê bextê û piçek Maltego û hûn di rê de ne ku hûn haşa DCC-yê bişkînin.
Ez pêşniyar dikim ku em li vir bi dawî bibin. Em ê di postên din de vegerin ser vê mijarê û li rêbazên hêrişên hê hêdîtir û dizî binihêrin, ku em li ser sazûmanên hêja yên Impacket-ê ava bikin.
Source: www.habr.com