Rojnivîska Tom Hunter: "Hound of the Baskervilles"

Dereng di îmzekirinê de ji bo her pargîdaniyek mezin hevpar e. Peymana di navbera Tom Hunter û yek dikana zincîra heywanên heywanan de ji bo ceribandina bêkêmasî ne îstîsna bû. Me neçar ma ku malper, tora hundurîn, û tewra Wi-Fi-ya xebatê jî kontrol bikin.

Ne ecêb e ku destên min hê jî berî ku hemû formalîte biqedin, diêşiyan. Welê, tenê di her rewşê de malperê bişopînin, ne mimkûn e ku firotgehek wusa naskirî wekî "The Hound of the Baskervilles" li vir xeletiyan bike. Çend roj şûnda, Tom di dawiyê de peymana orîjînal a îmzekirî hate radest kirin - di vê demê de, li ser qehweya sêyem, Tom ji CMS-ya hundurîn bi berjewendî rewşa depoyan nirxand ...

Source: Ehsan Taeblo

Lê ne mumkun bû ku di CMS-ê de pir were rêvebirin - rêvebirên malperê IP-ya Tom Hunter qedexe kirin. Her çend dê gengaz be ku meriv wextê xwe hebe ku hûn li ser karta dikanê bonusan çêkin û pisîka xweya delal bi erzan bi mehan bixwin... "Ne vê carê, Darth Sidious," Tom bi bişirîn fikirî. Dê ne kêmtir balkêş be ku hûn ji qada malperê biçin tora herêmî ya xerîdar, lê xuya ye ku ev beş ji bo xerîdar ve girêdayî ne. Dîsa jî, ev di pargîdaniyên pir mezin de pir caran diqewime.

Piştî hemî fermî, Tom Hunter xwe bi hesabê VPN-ya peydakirî çekdar kir û çû tora herêmî ya xerîdar. Hesab di hundurê domaina Active Directory de bû, ji ber vê yekê mimkun bû ku AD-ê bêyî hîleyên taybetî were avêtin - hemî agahdariya berdest a gelemperî di derbarê bikarhêner û makîneyên xebatê de rijand.

Tom kargêriya adfind dest pê kir û dest bi şandina daxwazên LDAP ji kontrolkerê domainê re kir. Bi parzûnek li ser çîna objectСategory, kesek wekî taybetmendiyek diyar dike. Bersiv bi strukturê jêrîn vegeriya:

dn:CN=Гость,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гость
>description: Встроенная учетная запись для доступа гостей к компьютеру или домену
>distinguishedName: CN=Гость,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Ji xeynî vê, gelek agahiyên bikêrhatî hebûn, lê ya herî balkêş di warê danasînê de bû. Ev şîroveyek li ser hesabek e - bi bingehîn cîhek hêsan e ku hûn notên piçûk bihêlin. Lê rêvebirên xerîdar biryar da ku şîfre jî dikarin li wir bêdeng rûnin. Kî, di dawiyê de, dibe ku bi van hemî tomarên fermî yên negirîng re eleqedar bibe? Ji ber vê yekê şîroveyên ku Tom wergirtin ev bûn:

Создал Администратор, 2018.11.16 7po!*Vqn

Hûn ne hewce ne ku bibin zanyarek roketan da ku fêm bikin ka çima berhevoka di dawiyê de bikêr e. Tiştê ku mabû ew bû ku pela bersivê ya mezin ji CD-yê bi karanîna qada ravekirinê were pars kirin: û li vir ew bûn - 20 cotên têketin-şîfreyê. Wekî din, hema nîvê mafên gihîştina RDP hene. Ne pirek xirab e, dema ku hêzên êrîşkar parçe bikin.

tora

Topên Hounds of Baskerville yên gihîştî bi hemî kaos û nepêşbîniya xwe ve bajarek mezin dianî bîra xwe. Digel profîlên bikarhêner û RDP, Tom Hunter li vî bajarî kurikek şikestî bû, lê tewra wî karî di nav pencereyên ronî yên siyaseta ewlehiyê de gelek tiştan bibîne.

Parçeyên pêşkêşkerên pelan, hesabên hesabkirinê, û tewra nivîsarên ku bi wan re têkildar in hemî hatin eşkere kirin. Di mîhengên yek ji van tîpan de, Tom hash MS SQL ya yek bikarhêner dît. Sêrbaziyek piçûk a hêzek hov - û haşa bikarhêner veguherî şîfreyek nivîsê ya sade. Spas ji bo John The Ripper û Hashcat.

Divê ev kilît hinek sîngê bi cih bike. Sîng hat dîtin, û ji vê zêdetir, deh "sîng"ên din pê re hatin girêdan. Û di hundurê şeşan de… mafên superbikarhêner, pergala desthilatdariya nt! Li ser du ji wan me karî proseya hilanînê xp_cmdshell bimeşînin û emrên cmd ji Windows re bişînin. Ma hûn dikarin bêtir çi bixwazin?

Kontrolkerên domainê

Tom Hunter derbeya duyemîn ji bo kontrolkerên domainê amade kir. Sê ji wan di tora "Kûçikên Baskervilles" de, li gorî hejmara serverên dûr ên erdnîgarî hebûn. Her kontrolkerek domainê xwedan peldankek gelemperî ye, mîna pêşangehek vekirî ya li firotgehekê, ku li nêzîkê wê heman kurê belengaz Tom li dar dixe.

Û vê carê xort dîsa bi şens bû - wan ji bîr kir ku skrîptê ji pêşangehê derxînin, ku şîfreya rêveberê servera herêmî hişk bû. Ji ber vê yekê riya kontrola domainê vekirî bû. Were hundur, Tom!

Li vir ji şepêla hat kişandin mimikatz, ku ji çend rêvebirên domainê sûd werdigire. Tom Hunter gihîştina hemî makîneyên li ser tora herêmî, û kenê şeytanî pisîk ji kursiya din ditirsand. Ev rê ji texmînan kurttir bû.

Eternal Blue

Bîra WannaCry û Petya hîn jî di hişê pentesters de zindî ye, lê dixuye ku hin admîn di herikîna nûçeyên êvarê yên din de ransomware ji bîr kirine. Tom di protokola SMB - CVE-2017-0144 an EternalBlue de sê girêkên bi qelsî vedîtin. Ev heman xirapiya ku ji bo belavkirina ransomware WannaCry û Petya hate bikar anîn, qelsiyek ku dihêle koda keyfî li ser mêvandarek were darve kirin. Li ser yek ji girêkên xedar danişînek rêveberê domainê hebû - "kêr bikin û bistînin." Hûn dikarin çi bikin, wextê hînî her kesî nekiriye.

"Kûçikê Basterville"

Klasîkên ewlehiya agahdariyê dixwazin dubare bikin ku xala herî qels a her pergalê mirov e. Bala xwe bidinê ku sernivîsa jorîn bi navê dikanê re hev nagire? Dibe ku her kes ne ewqas baldar be.

Di kevneşopiyên çêtirîn ên blokên phishing de, Tom Hunter domainek tomar kir ku yek tîp ji domaina "Hounds of the Baskervilles" cûda dibe. Navnîşana posta li ser vê domainê navnîşana karûbarê ewlehiya agahdariya firotgehê teqlîd kir. Di nav 4 rojan de ji saet 16:00 heta 17:00, nameya jêrîn ji navnîşanek sexte ji 360 navnîşanan re bi yekrengî hate şandin:

Belkî, tenê tembeliya wan karmendan ji belavbûna girseyî ya şîfreyan xilas kir. Ji 360 nameyan, tenê 61 hatin vekirin - karûbarê ewlehiyê ne pir populer e. Lê paşê ew hêsantir bû.

rûpel Phishing

46 kesan li ser lînkê klîk kirin û hema nîvê wan -21 karmend- li barika navnîşanan nenihêrî û bi aramî têketin û şîfreyên xwe ketin. Girtina xweş, Tom.

tora Wi-Fi

Êdî ne hewce bû ku bi alîkariya pisîkê hesab bikira. Tom Hunter çend perçe hesin avêtin nav seda xwe ya kevn û çû nivîsgeha Hound of the Baskervilles. Serdana wî li hev nehat: Tom diçû Wi-Fi-ya xerîdar ceriband. Di parkkirina navenda karsaziyê de gelek cîhên belaş ên ku bi rehetî di nav perimeterê tora armancê de bûn hebûn. Wusa dixuye, ew pir li ser sînorkirina wê nefikirîn - mîna ku rêveberan di bersiva her gilî li ser Wi-Fi-ya qels de xalên din bi korfelaqî dikişînin.

Ewlekariya WPA/WPA2 PSK çawa dixebite? Şîfrekirina di navbera xala gihîştinê û xerîdaran de ji hêla mifteyek pêş-rûniştinê ve - Pairwise Transient Key (PTK) ve tê peyda kirin. PTK Mifteya Pêş-Shared û pênc pîvanên din bikar tîne - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), xala gihîştinê û navnîşanên MAC-ya xerîdar. Tom her pênc parameteran rawestand, û naha tenê Mifteya Pre-Shared winda bû.

Karûbar Hashcat di nav 50 hûrdeman de ev zencîreya winda daxist - û lehengê me di tora mêvanan de bi dawî bû. Ji wê we berê dikaribû ya xebatê bibînin - ecêb e, li vir Tom şîfreya di nav neh hûrdeman de birêve kir. Û ev hemî bêyî derketina ji parkkirinê, bêyî VPN. Tora xebatê ji lehengê me re çarçoveyek ji çalakiyên cinawir vekir, lê wî ... qet bonus li qerta dikanê zêde nekir.

Tom sekinî, li saeta xwe nêrî, çend banknot avêtin ser masê û xatir xwest, ji qehwexaneyê derket. Dibe ku ew dîsa pentestek be, an jî dibe ku ew tê de be kanala telegramê Ez fikirîm ku binivîsim...


Source: www.habr.com