Хакирање на скриена лозинка со Smbexec

Редовно пишуваме за тоа како хакерите често се потпираат на експлоатација методи на хакирање без злонамерен кодза да се избегне откривање. Тие буквално "преживее на пасиште", користејќи стандардни алатки на Windows, со што се заобиколуваат антивируси и други алатки за откривање на малициозни активности. Ние, како бранители, сега сме принудени да се справиме со несреќните последици од таквите паметни техники на хакирање: добро поставен вработен може да го користи истиот пристап за тајно да краде податоци (интелектуална сопственост на компанијата, броеви на кредитни картички). И ако не избрзува, туку работи полека и тивко, ќе биде исклучително тешко - но сепак можно ако го користи вистинскиот пристап и соодветниот Алатки, — да се идентификува таквата активност.

Од друга страна, не би сакал да ги демонизирам вработените затоа што никој не сака да работи во деловно опкружување веднаш од Орвеловата 1984 година. За среќа, постојат голем број на практични чекори и лајф хакови кои можат многу да им го отежнат животот на инсајдерите. Ќе разгледаме методи на таен напад, користен од хакери од вработени со одредена техничка позадина. И малку понатаму ќе разговараме за опциите за намалување на ваквите ризици - ќе ги проучуваме и техничките и организационите опции.

Што не е во ред со PsExec?

Едвард Сноуден, со право или погрешно, стана синоним за кражба на инсајдерски податоци. Патем, не заборавајте да го погледнете оваа белешка за други инсајдери кои исто така заслужуваат одреден статус на слава. Една важна точка што вреди да се нагласи за методите што ги користел Сноуден е дека, според нашите сознанија, тој не се инсталираше нема надворешен злонамерен софтвер!

Наместо тоа, Сноуден искористи малку социјален инженеринг и ја искористи својата позиција како системски администратор за да собира лозинки и да креира ингеренциите. Ништо комплицирано - ништо мимикац, напади човек-во-средината или метасплоит.

Вработените во организацијата не се секогаш во единствената позиција на Сноуден, но има голем број лекции што треба да се извлечат од концептот „преживување со пасење“ за кои треба да бидат свесни - да не се вклучат во каква било злонамерна активност што може да се открие и да се особено внимателни со употребата на ингеренциите. Запомнете ја оваа мисла.

Psexec и неговиот братучед crackmapexec импресионираа безброј петестери, хакери и блогери за сајбер безбедност. И кога се комбинира со mimikatz, psexec им овозможува на напаѓачите да се движат во мрежа без да треба да ја знаат лозинката за чист текст.

Mimikatz го пресретнува NTLM хашот од LSASS процесот и потоа го пренесува токенот или ингеренциите - т.н. нападот „помине хаш“. – во psexec, дозволувајќи му на напаѓачот да се најави на друг сервер како на друг корисник. И со секое наредно преместување на нов сервер, напаѓачот собира дополнителни акредитиви, проширувајќи го опсегот на своите можности во потрагата по достапна содржина.

Кога првпат почнав да работам со psexec ми изгледаше магично - ти благодарам Марк Русинович, брилијантниот развивач на psexec - но знам и за неговиот бучни компоненти. Тој никогаш не е таинствен!

Првиот интересен факт за psexec е тоа што користи исклучително сложени Протокол за мрежна датотека SMB од Мајкрософт. Користејќи SMB, psexec префрла мали бинарни датотеки во целниот систем, ставајќи ги во папката C:Windows.

Следно, psexec создава услуга на Windows користејќи го копираниот бинар и ја извршува под исклучително „неочекуваното“ име PSEXECSVC. Во исто време, всушност можете да го видите сето ова, како и јас, гледајќи далечинска машина (видете подолу).

Повикувачка картичка на Psexec: услуга „PSEXECSVC“. Води бинарна датотека што била ставена преку SMB во папката C:Windows.

Како последен чекор, се отвора копираната бинарна датотека RPC поврзување на целниот сервер и потоа прифаќа контролни команди (преку Windows cmd школка стандардно), ги стартува и ги пренасочува влезот и излезот до домашната машина на напаѓачот. Во овој случај, напаѓачот ја гледа основната командна линија - исто како да е директно поврзан.

Многу компоненти и многу бучен процес!

Сложените внатрешни работи на psexec ја објаснуваат пораката што ме збуни за време на моите први тестови пред неколку години: „Започнување на PSEXECSVC...“ проследено со пауза пред да се појави командната линија.

Psexec на Impacket всушност покажува што се случува под хаубата.

Не е изненадувачки: psexec направи огромна количина на работа под хаубата. Доколку ве интересира подетално објаснување, проверете овде со ова прекрасен опис.

Очигледно, кога се користи како алатка за администрација на системот, што беше оригинална намена psexec, нема ништо лошо во „зуењето“ на сите овие механизми на Windows. За напаѓачот, сепак, psexec би создал компликации, а за внимателен и лукав инсајдер како Сноуден, psexec или слична алатка би била преголем ризик.

А потоа доаѓа Smbexec

SMB е паметен и таен начин за пренос на датотеки помеѓу сервери, а хакерите директно се инфилтрираат во SMB со векови. Мислам дека сите веќе знаат дека не вреди отворен SMB портите 445 и 139 на Интернет, нели?

На Defcon 2013, Ерик Милман (brav0hax) презентирани smbexec, за да можат петестерите да пробаат скришум хакирање на SMB. Не ја знам целата приказна, но потоа Impacket дополнително го рафинира smbexec. Всушност, за моето тестирање, ги преземав скриптите од Impacket во Python од Github.

За разлика од psexec, smbexec избегнува пренесување на потенцијално откриена бинарна датотека на целната машина. Наместо тоа, претпријатието живее целосно од пасиште до лансирање локални Командна линија на Windows.

Еве што прави: пренесува команда од напаѓачката машина преку SMB до специјална влезна датотека, а потоа создава и извршува сложена командна линија (како услуга на Windows) која ќе им изгледа позната на корисниците на Linux. Накратко: лансира мајчин Windows cmd школка, го пренасочува излезот во друга датотека и потоа го испраќа преку SMB назад до машината на напаѓачот.

Најдобар начин да се разбере ова е да се погледне командната линија, која можев да ја дофатам од дневникот на настани (види подолу).

Зарем ова не е најдобриот начин за пренасочување I/O? Патем, создавањето на услугата има ID на настан 7045.

Како psexec, тој исто така создава услуга што ја врши целата работа, но услугата после тоа избришани – се користи само еднаш за да се изврши командата и потоа исчезнува! Службеникот за безбедност на информации што ја следи машината на жртвата нема да може да открие очигледно Индикатори за напад: Не се активира злонамерна датотека, не се инсталира постојана услуга и нема докази за употреба на RPC бидејќи SMB е единственото средство за пренос на податоци. Брилијантно!

Од страната на напаѓачот, достапна е „псевдо-школка“ со одложувања помеѓу испраќањето на командата и примањето на одговорот. Но, ова е сосема доволно за напаѓачот - или инсајдерски или надворешен хакер кој веќе има основа - да почне да бара интересна содржина.

За излез на податоци назад од целната машина до машината на напаѓачот, тие се користат smbclient. Да, тоа е истата Самба корист, но само конвертирано во скрипта за Python од Impacket. Всушност, smbclient ви овозможува тајно да хостирате FTP трансфери преку SMB.

Ајде да направиме чекор назад и да размислиме што може ова да направи за вработениот. Во моето фиктивно сценарио, да речеме, на блогер, финансиски аналитичар или високо платен консултант за безбедност му е дозволено да користи личен лаптоп за работа. Како резултат на некој магичен процес, таа се навредува во компанијата и „тоа оди на лошо“. Во зависност од оперативниот систем на лаптопот, тој или ја користи верзијата на Python од Impact или верзијата на Windows на smbexec или smbclient како датотека .exe.

Како Сноуден, таа ја дознава лозинката на друг корисник или гледајќи преку нејзиното рамо, или ќе има среќа и ќе налета на текстуална датотека со лозинката. И со помош на овие ингеренции, таа почнува да копа околу системот на ново ниво на привилегии.

Хакирање на DCC: Не ни треба никаков „глупав“ Мимикац

Во моите претходни постови за pentesting многу често користев мимикац. Ова е одлична алатка за пресретнување на ингеренциите - хашовите на NTLM, па дури и лозинките за чист текст скриени во лаптопите, само чекаат да се користат.
Времињата се сменија. Алатките за следење станаа подобри во откривањето и блокирањето на мимикац. Администраторите за безбедност на информациите, исто така, сега имаат повеќе опции за намалување на ризиците поврзани со преминувањето на нападите со хаш (PtH).
Значи, што треба да направи паметниот вработен за да собере дополнителни акредитиви без да користи mimikatz?

Комплетот на Impacket вклучува алатка наречена тајни отпадоци, кој ги вади ингеренциите од кешот за акредитиви на доменот или скратено DCC. Моето разбирање е дека ако корисник на домен се најави на серверот, но контролорот на доменот е недостапен, DCC му дозволува на серверот да го автентицира корисникот. Како и да е, secretsdump ви овозможува да ги исфрлите сите овие хаши доколку се достапни.

DCC хашови се не NTML хашови и не може да се користи за напад на PtH.

Па, можете да се обидете да ги хакирате за да ја добиете оригиналната лозинка. Сепак, Microsoft стана попаметен со DCC и DCC хашовите станаа исклучително тешки за пробивање. Да, имам хашкат, „најбрзиот погодувач на лозинки во светот“, но бара графички процесор за ефикасно да работи.

Наместо тоа, да се обидеме да размислуваме како Сноуден. Вработен може да спроведе социјален инженеринг лице в лице и евентуално да дознае некои информации за лицето чија лозинка сака да ја пробие. На пример, дознајте дали онлајн сметката на лицето некогаш била хакирана и проверете ја нивната лозинка за чист текст за какви било индиции.

И ова е сценариото со кое решив да одам. Да претпоставиме дека некој инсајдер дознал дека неговиот шеф, Круела, бил хакиран неколку пати на различни веб-ресурси. Откако анализирал неколку од овие лозинки, тој сфаќа дека Круела претпочита да го користи форматот на името на бејзбол тимот „Yankees“ проследено со тековната година - „Yankees2015“.

Ако сега се обидувате да го репродуцирате ова дома, тогаш можете да преземете мала, „C“ код, кој го имплементира алгоритмот за хеширање DCC и го компајлира. Џон Мевосек, патем, додаде поддршка за DCC, така што исто така може да се користи. Да претпоставиме дека некој инсајдер не сака да се мачи да учи Џон Мевосек и сака да работи „gcc“ на наследниот C код.

Преправајќи ја улогата на инсајдер, пробав неколку различни комбинации и на крајот успеав да откријам дека лозинката на Круела е „Yankees2019“ (види подолу). Мисијата е завршена!

Малку социјален инженеринг, гатање и малку Малтего и на добар пат сте да го пробиете хашот на DCC.

Предлагам да завршиме тука. Ќе се вратиме на оваа тема во други објави и ќе разгледаме уште побавни и скришум методи на напад, продолжувајќи да се надоврзуваме на одличниот сет на комунални услуги на Impacket.

Извор: www.habr.com