ProHoster > Blogs > Administrācija > Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Mēs regulāri rakstām par to, kā hakeri bieži paļaujas uz izmantoÅ”anu uzlauÅ”anas metodes bez ļaunprātÄ«ga kodalai izvairÄ«tos no atklāŔanas. Viņi burtiski "izdzÄ«vot ganÄ«bās", izmantojot standarta Windows rÄ«kus, tādējādi apejot pretvÄ«rusus un citas utilÄ«tas ļaunprātÄ«gas darbÄ«bas noteikÅ”anai. Mēs kā aizstāvji tagad esam spiesti tikt galā ar Ŕādu gudru uzlauÅ”anas paņēmienu neveiksmÄ«gajām sekām: labi iekārtots darbinieks var izmantot to paÅ”u pieeju, lai slepeni nozagtu datus (uzņēmuma intelektuālo Ä«paÅ”umu, kredÄ«tkarÅ”u numurus). Un, ja viņŔ nesteidzas, bet strādās lēni un klusi, tas bÅ«s ārkārtÄ«gi grÅ«ti ā€“ bet tomēr iespējams, ja izmantos pareizo pieeju un atbilstoÅ”u DarbarÄ«ki, ā€” identificēt Ŕādu darbÄ«bu.

No otras puses, es negribētu demonizēt darbiniekus, jo neviens nevēlas strādāt biznesa vidē tieÅ”i no Orvela 1984. gada. Par laimi, ir vairāki praktiski soļi un dzÄ«ves hacks, kas var ievērojami apgrÅ«tināt iekŔējo personu dzÄ«vi. Mēs apsvērsim slēptās uzbrukuma metodes, ko hakeri izmanto darbinieki ar zināmu tehnisko pieredzi. Un nedaudz tālāk apspriedÄ«sim iespējas Ŕādu risku mazināŔanai ā€“ pētÄ«sim gan tehniskās, gan organizatoriskās iespējas.

Kas vainas PsExec?

Edvards Snoudens, pareizi vai nepareizi, ir kļuvis par sinonÄ«mu iekŔējās informācijas zādzÄ«bai. Starp citu, neaizmirstiet apskatÄ«t Ŕī piezÄ«me par citiem insaideriem, kuri arÄ« ir pelnÄ«juÅ”i kādu slavas statusu. Viens svarÄ«gs aspekts, ko vērts uzsvērt par Snoudena izmantotajām metodēm, ir tas, ka, cik mums zināms, viņŔ neinstalēja nekādas ārējas ļaunprātÄ«gas programmatÅ«ras!

Tā vietā Snoudens izmantoja nelielu sociālo inženieriju un izmantoja savu sistēmas administratora amatu, lai savāktu paroles un izveidotu akreditācijas datus. Nekā sarežģīta - nekāda mimikatz, uzbrukumi cilvēks-pa vidu vai metasploit.

Organizācijas darbinieki ne vienmēr atrodas Snoudena unikālajā pozÄ«cijā, taču no jēdziena "izdzÄ«voÅ”ana ganÄ«bās" ir jāmācās vairākas mācÄ«bas, kas jāapzinās - neiesaistÄ«ties nekādās ļaunprātÄ«gās darbÄ«bās, kuras var atklāt, un bÅ«t Ä«paÅ”i. piesardzÄ«gi, izmantojot akreditācijas datus. Atcerieties Å”o domu.

Psexec un viņa brālēns crackmapexec ir iespaidojuÅ”i neskaitāmus pielÅ«dzējus, hakerus un kiberdroŔības emuāru autorus. Un apvienojumā ar mimikatz, psexec ļauj uzbrucējiem pārvietoties tÄ«klā, nezinot skaidrā teksta paroli.

Mimikatz pārtver NTLM hash no LSASS procesa un pēc tam nodod marÄ·ieri vai akreditācijas datus - tā sauktos. "pass the hash" uzbrukums ā€“ psexec, ļaujot uzbrucējam pieteikties citā serverÄ« kā citi lietotājs. Un ar katru nākamo pāreju uz jaunu serveri, uzbrucējs savāc papildu akreditācijas datus, paplaÅ”inot savu iespēju klāstu pieejamā satura meklÄ“Å”anā.

Kad es pirmo reizi sāku strādāt ar psexec, tas man likās maÄ£iski - paldies Marks Russinovičs, izcilais psexec izstrādātājs, taču es zinu arÄ« par viņu skaļŔ sastāvdaļas. ViņŔ nekad nav noslēpumains!

Pirmais interesantais fakts par psexec ir tas, ka tas izmanto ārkārtīgi sarežģītus SMB tīkla failu protokols no Microsoft. Izmantojot SMB, psexec pārsūta mazus binārs failus uz mērķa sistēmu, ievietojot tos mapē C:Windows.

Pēc tam psexec izveido Windows pakalpojumu, izmantojot kopēto bināro failu, un palaiž to ar ārkārtÄ«gi ā€œnegaidÄ«tuā€ nosaukumu PSEXECSVC. Tajā paŔā laikā jÅ«s to visu varat redzēt, tāpat kā es, skatoties attālo maŔīnu (skatiet tālāk).

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Psexec vizītkarte: pakalpojums "PSEXECSVC". Tas palaiž bināro failu, kas tika ievietots mapē C:Windows, izmantojot SMB.

Kā pēdējais solis tiek atvērts nokopētais binārais fails RPC savienojums uz mērÄ·a serveri un pēc tam pieņem vadÄ«bas komandas (pēc noklusējuma izmantojot Windows cmd apvalku), palaižot tās un novirzot ievadi un izvadi uz uzbrucēja mājas iekārtu. Å ajā gadÄ«jumā uzbrucējs redz pamata komandrindu - tādu paÅ”u, it kā viņŔ bÅ«tu tieÅ”i savienots.

Daudz komponentu un ļoti trokŔņains process!

Sarežģītie psexec iekŔējie elementi izskaidro ziņojumu, kas mani mulsināja manu pirmo pārbaužu laikā pirms vairākiem gadiem: ā€œPalaižot PSEXECSVC...ā€, kam seko pauze pirms komandu uzvednes parādÄ«Å”anās.

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Impacket's Psexec faktiski parāda, kas notiek zem pārsega.

Nav pārsteidzoÅ”i: psexec paveica milzÄ«gu darbu zem pārsega. Ja jÅ«s interesē sÄ«kāks skaidrojums, skatiet Å”eit Å”is brÄ«niŔķīgs apraksts.

AcÄ«mredzot, kad to izmantoja kā sistēmas administrÄ“Å”anas rÄ«ku, kas bija sākotnējais mērÄ·is psexec, nav nekas nepareizs ar visu Å”o Windows mehānismu "zummÄ“Å”anu". Tomēr uzbrucējam psexec radÄ«tu sarežģījumus, savukārt piesardzÄ«gam un viltÄ«gam iekŔējam lietotājam, piemēram, Snoudenam, psexec vai lÄ«dzÄ«ga utilÄ«ta bÅ«tu pārāk liels risks.

Un tad nāk Smbexec

SMB ir gudrs un slepens veids, kā pārsÅ«tÄ«t failus starp serveriem, un hakeri ir tieÅ”i iefiltrējuÅ”ies SMB jau gadsimtiem ilgi. Es domāju, ka visi jau zina, ka tas nav tā vērts atvērt SMB porti 445 un 139 uz internetu, vai ne?

Izstādē Defcon 2013 Ēriks Milmens (brav0hax) prezentēts smbexec, lai dalÄ«bnieki varētu izmēģināt slepenu MVU uzlauÅ”anu. Es nezinu visu stāstu, bet pēc tam Impacket vēl vairāk pilnveidoja smbexec. Faktiski manai pārbaudei es lejupielādēju skriptus no Impacket programmā Python no GitHub.

AtŔķirÄ«bā no psexec, smbexec izvairās potenciāli atklāta binārā faila pārsÅ«tÄ«Å”ana uz mērÄ·a maŔīnu. Tā vietā utilÄ«ta pilnÄ«bā dzÄ«vo no ganÄ«bām lÄ«dz palaiÅ”anai vietējais Windows komandrinda.

LÅ«k, ko tas dara: tas nodod komandu no uzbrÅ«koŔās maŔīnas, izmantojot SMB, uz Ä«paÅ”u ievades failu, pēc tam izveido un palaiž sarežģītu komandrindu (piemēram, Windows pakalpojumu), kas ŔķitÄ«s pazÄ«stama Linux lietotājiem. ÄŖsāk sakot: tas palaiž vietējo Windows cmd apvalku, novirza izvadi uz citu failu un pēc tam nosÅ«ta to atpakaļ uz uzbrucēja ierÄ«ci, izmantojot SMB.

Labākais veids, kā to saprast, ir apskatīt komandrindu, kuru es varēju iegūt no notikumu žurnāla (skatiet tālāk).

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Vai tas nav labākais veids, kā novirzīt I/O? Starp citu, pakalpojuma izveidei ir notikuma ID 7045.

Tāpat kā psexec, tas arÄ« izveido pakalpojumu, kas veic visu darbu, bet pakalpojums pēc tam noņemts - tiek izmantots tikai vienu reizi, lai palaistu komandu, un pēc tam pazÅ«d! Informācijas droŔības darbinieks, kas uzrauga cietuŔā maŔīnu, nevarēs atklāt acÄ«mredzams Uzbrukuma indikatori: netiek palaists neviens ļaunprātÄ«gs fails, netiek instalēts pastāvÄ«gs pakalpojums, un nav pierādÄ«jumu par RPC izmantoÅ”anu, jo SMB ir vienÄ«gais datu pārsÅ«tÄ«Å”anas lÄ«dzeklis. Izcili!

No uzbrucēja puses ir pieejams ā€œpseidoapvalksā€ ar aizkavi starp komandas nosÅ«tÄ«Å”anu un atbildes saņemÅ”anu. Taču ar to pilnÄ«gi pietiek, lai uzbrucējs ā€“ vai nu iekŔējais, vai ārējs hakeris, kuram jau ir pamats ā€“ sāktu meklēt interesantu saturu.

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Lai izvadÄ«tu datus atpakaļ no mērÄ·a maŔīnas uz uzbrucēja iekārtu, tas tiek izmantots smbclient. Jā, tā ir tā pati Samba lietderÄ«ba, bet tikai Impacket pārveidots par Python skriptu. Faktiski smbclient ļauj slēpti mitināt FTP pārsÅ«tÄ«Å”anu, izmantojot SMB.

Atkāpsimies soli atpakaļ un padomāsim, ko tas var nodarÄ«t darbinieka labā. Manā fiktÄ«vajā scenārijā pieņemsim, ka emuāru autors, finanÅ”u analÄ«tiÄ·is vai augsti apmaksāts droŔības konsultants drÄ«kst izmantot personÄ«go klēpjdatoru darbam. Kāda maÄ£iska procesa rezultātā viņa apvainojas uz uzņēmumu un ā€œiet sliktiā€. AtkarÄ«bā no klēpjdatora operētājsistēmas tā izmanto vai nu Impact Python versiju, vai smbexec vai smbclient Windows versiju kā .exe failu.

Tāpat kā Snoudena, viņa uzzina cita lietotāja paroli, vai nu paskatoties pār plecu, vai arÄ« viņai paveicas un uzduras teksta failam ar paroli. Un ar Å”o akreditācijas datu palÄ«dzÄ«bu viņa sāk meklēt sistēmu jaunā privilēģiju lÄ«menÄ«.

DCC uzlauŔana: mums nav vajadzīgs neviens "stulbs" Mimikatz

Savos iepriekŔējos ierakstos par pentestÄ“Å”anu es ļoti bieži izmantoju mimikatz. Å is ir lielisks rÄ«ks akreditācijas datu pārtverÅ”anai ā€” NTLM jaucējkodi un pat skaidrā teksta paroles, kas paslēptas klēpjdatoros, tikai gaida, kad tās tiks izmantotas.
Laiki ir mainÄ«juÅ”ies. UzraudzÄ«bas rÄ«ki ir kļuvuÅ”i labāki, lai noteiktu un bloķētu mimikatz. Informācijas droŔības administratoriem tagad ir arÄ« vairāk iespēju samazināt riskus, kas saistÄ«ti ar jaucējkrānu (PtH) uzbrukumiem.
Tātad, kas būtu jādara gudram darbiniekam, lai savāktu papildu akreditācijas datus, neizmantojot mimikatz?

Impaket komplektā ir iekļauta utilÄ«ta ar nosaukumu noslēpumu izgāztuve, kas izgÅ«st akreditācijas datus no domēna akreditācijas datu keÅ”atmiņas jeb saÄ«sināti DCC. Es saprotu, ka, ja domēna lietotājs piesakās serverÄ«, bet domēna kontrolleris nav pieejams, DCC ļauj serverim autentificēt lietotāju. Jebkurā gadÄ«jumā Secretsdump ļauj izmest visus Å”os jaucējus, ja tie ir pieejami.

DCC jaucējvērtības ir nevis NTML jaucējkodi un nevar izmantot PtH uzbrukumam.

Nu, jÅ«s varat mēģināt uzlauzt tos, lai iegÅ«tu sākotnējo paroli. Tomēr Microsoft ir kļuvis gudrāks ar DCC, un DCC jaucējfailus ir kļuvis ārkārtÄ«gi grÅ«ti uzlauzt. Jā, man ir hashcat, "pasaulē ātrākais paroļu uzminētājs", taču tā efektÄ«vai darbÄ«bai ir nepiecieÅ”ams GPU.

Tā vietā mēģināsim domāt kā Snoudens. Darbinieks var veikt klātienes sociālo inženieriju un, iespējams, uzzināt kādu informāciju par personu, kuras paroli viņa vēlas uzlauzt. Piemēram, noskaidrojiet, vai personas tieÅ”saistes konts jebkad ir ticis uzlauzts, un pārbaudiet, vai viņa skaidrā teksta parole nav uzlauzta.

Un tas ir scenārijs, kuru es nolēmu ievērot. Pieņemsim, ka kāds iekŔējās informācijas lietotājs uzzināja, ka viņa priekÅ”nieks Cruella ir vairākas reizes uzlauzts dažādos tÄ«mekļa resursos. Izanalizējis vairākas no Ŕīm parolēm, viņŔ saprot, ka Cruella izvēlas izmantot beisbola komandas nosaukuma formātu "Yankees", kam seko kārtējais gads - "Yankees2015".

Ja tagad mēģināt to reproducēt mājās, varat lejupielādēt nelielu "C" kods, kas ievieÅ” DCC jaukÅ”anas algoritmu, un apkopo to. John Ripper, starp citu, pievienoja DCC atbalstu, tāpēc to var arÄ« izmantot. Pieņemsim, ka kāds iekŔējs nevēlas apgrÅ«tināt Džona UzŔķērdēja apguvi un viņam patÄ«k palaist "gcc" uz mantotā C koda.

Izliekoties iekŔējās informācijas lomā, es izmēģināju vairākas dažādas kombinācijas un galu galā atklāju, ka Cruella parole ir "Yankees2019" (skatiet tālāk). Misija pabeigta!

Slēpta paroles uzlauÅ”ana, izmantojot Smbexec

Nedaudz sociālās inženierijas, mazliet zÄ«lÄ“Å”anas un Ŕķipsniņa Maltego, un jÅ«s esat ceļā uz DCC jaucējkoda uzlauÅ”anu.

Es iesaku beigt Å”eit. Mēs atgriezÄ«simies pie Ŕīs tēmas citos ierakstos un apskatÄ«sim vēl lēnākas un slēptākas uzbrukuma metodes, turpinot veidot Impacket lielisko utilÄ«tu komplektu.

Avots: www.habr.com

Pievieno komentāru