एकदा पेंटेस्ट वर, किंवा यूरोलॉजिस्ट आणि रोस्कोमनाडझोरच्या मदतीने सर्वकाही कसे तोडायचे

हा लेख ग्रुप-आयबी तज्ञांनी दोन वर्षांपूर्वी आयोजित केलेल्या अत्यंत यशस्वी पेन्टेस्टवर आधारित आहे: एक कथा घडली जी बॉलीवूडमध्ये चित्रपटासाठी स्वीकारली जाऊ शकते. आता, बहुधा, वाचकांची प्रतिक्रिया येईल: "अरे, आणखी एक पीआर लेख, हे पुन्हा चित्रित केले जात आहेत, ते किती चांगले आहेत, पेंटेस्ट खरेदी करण्यास विसरू नका." बरं, एकीकडे, ते आहे. तथापि, हा लेख का दिसला याची इतर अनेक कारणे आहेत. मला हे दाखवायचे होते की पेंटेस्टर्स नेमके काय करतात, हे काम किती मनोरंजक आणि क्षुल्लक असू शकते, प्रकल्पांमध्ये कोणती मजेदार परिस्थिती उद्भवू शकते आणि सर्वात महत्त्वाचे म्हणजे वास्तविक उदाहरणांसह थेट सामग्री दाखवा.

जगातील नम्रतेचे संतुलन पुनर्संचयित करण्यासाठी, थोड्या वेळाने आम्ही एका पेंटेस्टबद्दल लिहू जे चांगले झाले नाही. कंपनीमध्ये चांगल्या प्रकारे डिझाइन केलेल्या प्रक्रिया आक्रमणांच्या संपूर्ण श्रेणीपासून, अगदी चांगल्या प्रकारे तयार केलेल्या प्रक्रियांपासून कसे संरक्षण करू शकतात हे आम्ही दाखवू, कारण या प्रक्रिया अस्तित्वात आहेत आणि प्रत्यक्षात कार्य करतात.

या लेखातील ग्राहकांसाठी, सर्व काही सामान्यत: उत्कृष्ट होते, आमच्या भावनांनुसार, रशियन फेडरेशनमधील बाजाराच्या 95% पेक्षा कमीत कमी चांगले होते, परंतु तेथे अनेक लहान बारकावे आहेत ज्यांनी घटनांची एक लांब साखळी तयार केली, जी प्रथम कामावर दीर्घ अहवाल आणि नंतर या लेखाकडे नेले.

चला तर मग, पॉपकॉर्नचा साठा करूया आणि डिटेक्टिव्ह स्टोरीमध्ये आपले स्वागत आहे. शब्द - पावेल सुप्रुन्युक, ग्रुप-आयबीच्या "ऑडिट आणि कन्सल्टिंग" विभागाचे तांत्रिक व्यवस्थापक.

भाग 1. पोचकिन डॉक्टर

2018 एक ग्राहक आहे - एक उच्च-तंत्रज्ञान आयटी कंपनी, जी स्वतः अनेक ग्राहकांना सेवा देते. प्रश्नाचे उत्तर मिळवायचे आहे: कोणत्याही प्रारंभिक ज्ञानाशिवाय आणि प्रवेशाशिवाय, इंटरनेटद्वारे कार्य करून, सक्रिय निर्देशिका डोमेन प्रशासक अधिकार प्राप्त करणे शक्य आहे का? मला कोणत्याही सामाजिक अभियांत्रिकीमध्ये रस नाही (अरे, पण व्यर्थ), ते हेतुपुरस्सर कामात व्यत्यय आणू इच्छित नाहीत, परंतु ते चुकून - विचित्रपणे कार्यरत सर्व्हर रीलोड करू शकतात, उदाहरणार्थ. बाह्य परिमितीच्या विरूद्ध शक्य तितक्या इतर आक्रमण वेक्टर ओळखणे हे अतिरिक्त ध्येय आहे. कंपनी नियमितपणे अशा चाचण्या घेते आणि आता नवीन चाचणीची अंतिम मुदत आली आहे. परिस्थिती जवळजवळ ठराविक, पुरेशी, समजण्यासारखी आहे. चला सुरू करुया.

ग्राहकाचे नाव आहे - मुख्य वेबसाइटसह ते "कंपनी" असू द्या www.company.ru. अर्थात, ग्राहकाला वेगळ्या प्रकारे संबोधले जाते, परंतु या लेखात सर्वकाही अवैयक्तिक असेल.
मी नेटवर्क शोध घेतो - ग्राहकाकडे कोणते पत्ते आणि डोमेन नोंदणीकृत आहेत ते शोधा, नेटवर्क आकृती काढा, या पत्त्यांवर सेवा कशा वितरित केल्या जातात. मला परिणाम मिळाला: 4000 हून अधिक थेट IP पत्ते. मी या नेटवर्कमधील डोमेन पाहतो: सुदैवाने, बहुसंख्य नेटवर्क ग्राहकांच्या क्लायंटसाठी आहेत आणि आम्हाला त्यांच्यामध्ये औपचारिकपणे स्वारस्य नाही. ग्राहक हाच विचार करतो.

256 पत्त्यांसह एक नेटवर्क शिल्लक आहे, ज्यासाठी या क्षणापर्यंत आयपी पत्त्यांद्वारे डोमेन आणि सबडोमेनचे वितरण आधीच समजले आहे, स्कॅन केलेल्या पोर्टबद्दल माहिती आहे, याचा अर्थ आपण स्वारस्य असलेल्या सेवा पाहू शकता. समांतर, सर्व प्रकारचे स्कॅनर उपलब्ध IP पत्त्यांवर आणि वेबसाइट्सवर स्वतंत्रपणे लॉन्च केले जातात.

भरपूर सेवा आहेत. सामान्यत: पेंटेस्टरसाठी हा आनंद आणि जलद विजयाची अपेक्षा आहे, कारण तेथे जितक्या जास्त सेवा असतील तितके आक्रमणासाठी क्षेत्र मोठे आणि आर्टिफॅक्ट शोधणे सोपे आहे. वेबसाइट्सवर त्वरित नजर टाकल्यास असे दिसून आले की त्यापैकी बहुतेक मोठ्या जागतिक कंपन्यांच्या सुप्रसिद्ध उत्पादनांचे वेब इंटरफेस आहेत, जे सर्व दिसण्याद्वारे तुम्हाला सांगतात की त्यांचे स्वागत नाही. ते वापरकर्तानाव आणि पासवर्ड विचारतात, दुसरा घटक प्रविष्ट करण्यासाठी फील्ड हलवतात, TLS क्लायंट प्रमाणपत्र मागतात किंवा Microsoft ADFS कडे पाठवतात. काही इंटरनेटवरून फक्त अगम्य आहेत. काहींसाठी, तुम्हाला स्पष्टपणे तीन पगारांसाठी विशेष सशुल्क क्लायंट असणे आवश्यक आहे किंवा प्रविष्ट करण्यासाठी अचूक URL माहित असणे आवश्यक आहे. ज्ञात असुरक्षिततेसाठी सॉफ्टवेअर आवृत्त्या “ब्रेक थ्रू” करण्याचा प्रयत्न करणे, वेब पाथमध्ये लपविलेल्या सामग्रीचा शोध घेणे आणि LinkedIn सारख्या तृतीय-पक्षाच्या सेवांमधून लीक झालेली खाती, त्यांचा वापर करून पासवर्डचा अंदाज लावण्याचा प्रयत्न करणे या प्रक्रियेत आणखी एक आठवडा हळूहळू उदासीनता सोडूया. स्वयं-लिखित वेबसाइट्समधील असुरक्षा उत्खनन म्हणून — तसे, आकडेवारीनुसार, हे आज बाह्य हल्ल्याचे सर्वात आशादायक वेक्टर आहे. त्यानंतर गोळीबार झालेल्या मूव्ही गनची मी लगेच नोंद घेईन.

तर, आम्हाला दोन साइट सापडल्या ज्या शेकडो सेवांमधून वेगळ्या आहेत. या साइट्समध्ये एक गोष्ट सामाईक होती: जर तुम्ही डोमेनद्वारे बारीकसारीक नेटवर्क शोधात गुंतले नाही, परंतु खुल्या पोर्टसाठी डोके वर पहात असाल किंवा ज्ञात IP श्रेणी वापरून असुरक्षितता स्कॅनरला लक्ष्य केले, तर या साइट स्कॅनिंगपासून दूर राहतील आणि ते शक्य होणार नाही. DNS नाव जाणून घेतल्याशिवाय दृश्यमान. कदाचित ते आधी चुकले असतील, कमीतकमी, आणि आमच्या स्वयंचलित साधनांना त्यांच्याशी कोणतीही समस्या आढळली नाही, जरी ते थेट संसाधनावर पाठवले गेले असले तरीही.

तसे, पूर्वी लॉन्च केलेल्या स्कॅनरबद्दल सर्वसाधारणपणे काय आढळले. मी तुम्हाला आठवण करून देतो: काही लोकांसाठी, "पेंटेस्ट" हे "स्वयंचलित स्कॅन" च्या समतुल्य आहे. परंतु या प्रकल्पावरील स्कॅनर काहीच बोलले नाहीत. बरं, मध्यम असुरक्षा (तीव्रतेच्या दृष्टीने 3 पैकी 5): काही सेवेवर खराब TLS प्रमाणपत्र किंवा कालबाह्य एन्क्रिप्शन अल्गोरिदम आणि बर्‍याच साइटवर क्लिकजॅकिंगद्वारे कमाल दर्शविली गेली. पण हे तुम्हाला तुमच्या ध्येयापर्यंत पोहोचवू शकणार नाही. कदाचित स्कॅनर येथे अधिक उपयुक्त असतील, परंतु मी तुम्हाला आठवण करून देतो: ग्राहक स्वत: असे प्रोग्राम खरेदी करण्यास आणि त्यांच्यासह स्वतःची चाचणी घेण्यास सक्षम आहे आणि निराशाजनक परिणामांनुसार, त्याने आधीच तपासले आहे.

चला “विसंगत” साइट्सवर परत जाऊया. प्रथम एक मानक नसलेल्या पत्त्यावर स्थानिक विकीसारखे काहीतरी आहे, परंतु या लेखात ते wiki.company[.]ru असू द्या. तिने लगेच लॉगिन आणि पासवर्ड मागितला, पण ब्राउझरमध्ये NTLM द्वारे. वापरकर्त्यासाठी, हे वापरकर्तानाव आणि संकेतशब्द प्रविष्ट करण्यास सांगणाऱ्या तपस्वी विंडोसारखे दिसते. आणि ही वाईट प्रथा आहे.

एक छोटी टीप. परिमिती वेबसाइट्समधील NTLM अनेक कारणांमुळे खराब आहे. पहिले कारण म्हणजे अ‍ॅक्टिव्ह डिरेक्टरी डोमेन नाव उघड झाले आहे. आमच्या उदाहरणात, ते "बाह्य" DNS नावाप्रमाणेच company.ru देखील असल्याचे दिसून आले. हे जाणून घेतल्यावर, आपण काहीतरी दुर्भावनापूर्ण काळजीपूर्वक तयार करू शकता जेणेकरून ते केवळ संस्थेच्या डोमेन मशीनवर कार्यान्वित केले जाईल, आणि काही सँडबॉक्समध्ये नाही. दुसरे म्हणजे, प्रमाणीकरण थेट डोमेन कंट्रोलरद्वारे NTLM (आश्चर्यचकित, बरोबर?) द्वारे जाते, "अंतर्गत" नेटवर्क धोरणांच्या सर्व वैशिष्ट्यांसह, पासवर्ड प्रविष्ट करण्याच्या प्रयत्नांची संख्या ओलांडण्यापासून खाती अवरोधित करणे यासह. आक्रमणकर्त्याला लॉगिन आढळल्यास, तो त्यांच्यासाठी पासवर्ड वापरून पाहतो. तुम्ही चुकीचे पासवर्ड टाकण्यापासून खाती ब्लॉक करण्यासाठी कॉन्फिगर केले असल्यास, ते कार्य करेल आणि खाते ब्लॉक केले जाईल. तिसरे, अशा प्रमाणीकरणामध्ये दुसरा घटक जोडणे अशक्य आहे. वाचकांपैकी कोणाला अद्याप कसे माहित असल्यास, कृपया मला कळवा, हे खरोखर मनोरंजक आहे. चौथे, पास-द-हॅश हल्ल्यांची असुरक्षा. या सर्वांपासून संरक्षण करण्यासाठी इतर गोष्टींबरोबरच ADFS चा शोध लावला गेला.

मायक्रोसॉफ्ट उत्पादनांची एक वाईट मालमत्ता आहे: जरी तुम्ही असे NTLM विशेषतः प्रकाशित केले नसले तरी, ते किमान OWA आणि Lync मध्ये डीफॉल्टनुसार स्थापित केले जाईल.

तसे, या लेखाच्या लेखकाने एकदा चुकून एकाच पद्धतीचा वापर करून एका मोठ्या बँकेच्या कर्मचार्‍यांची अंदाजे 1000 खाती अवघ्या एका तासात ब्लॉक केली आणि नंतर ते काहीसे फिकट दिसले. बँकेच्या IT सेवा देखील फिकट होत्या, परंतु सर्व काही व्यवस्थित आणि पुरेशा प्रमाणात संपले, ही समस्या शोधण्यात आणि जलद आणि निर्णायक निराकरणासाठी प्रवृत्त केल्याबद्दल आमचे कौतुकही झाले.

दुसर्‍या साइटचा पत्ता होता “स्पष्टपणे काही प्रकारचे आडनाव.company.ru”. ते Google द्वारे सापडले, पृष्ठ 10 वर असे काहीतरी. हे डिझाईन XNUMX च्या दशकाच्या सुरुवातीच्या-मध्यभागी होते आणि एक आदरणीय व्यक्ती मुख्य पृष्ठावरून ते पहात होते, असे काहीतरी:

येथे मी "हार्ट ऑफ अ डॉग" मधून एक स्टिल घेतला, परंतु माझ्यावर विश्वास ठेवा, ते अस्पष्टपणे सारखेच होते, अगदी रंग डिझाइन देखील समान टोनमध्ये होते. साइटला कॉल करू द्या preobrazhensky.company.ru.

युरोलॉजिस्टसाठी ही वैयक्तिक वेबसाइट होती. मला आश्चर्य वाटले की युरोलॉजिस्टची वेबसाइट हाय-टेक कंपनीच्या सबडोमेनवर काय करत आहे. Google मध्ये झटपट शोध घेतल्याने असे दिसून आले की हा डॉक्टर आमच्या ग्राहकाच्या कायदेशीर घटकांपैकी एकाचा सह-संस्थापक होता आणि त्याने अधिकृत भांडवलामध्ये सुमारे 1000 रूबलचे योगदान दिले. साइट कदाचित बर्याच वर्षांपूर्वी तयार केली गेली होती आणि ग्राहकांच्या सर्व्हर संसाधनांचा होस्टिंग म्हणून वापर केला गेला होता. साइटने बर्याच काळापासून त्याची प्रासंगिकता गमावली आहे, परंतु काही कारणास्तव ती बर्याच काळासाठी कार्यरत राहिली होती.

असुरक्षिततेच्या बाबतीत, वेबसाइट स्वतःच सुरक्षित होती. पुढे पाहताना, मी म्हणेन की तो स्थिर माहितीचा एक संच होता - मूत्रपिंड आणि मूत्राशयाच्या स्वरूपात घातलेल्या चित्रांसह साधी html पृष्ठे. अशा साइटला "ब्रेक" करणे निरुपयोगी आहे.

पण खाली असलेला वेब सर्व्हर अधिक मनोरंजक होता. HTTP सर्व्हर शीर्षलेखानुसार, त्यात IIS 6.0 होते, याचा अर्थ ऑपरेटिंग सिस्टम म्हणून विंडोज 2003 वापरले. स्कॅनरने पूर्वी ओळखले होते की या विशिष्ट यूरोलॉजिस्ट वेबसाइटने, त्याच वेब सर्व्हरवरील इतर आभासी होस्टच्या विपरीत, PROPFIND कमांडला प्रतिसाद दिला, म्हणजे ती WebDAV चालवत होती. तसे, स्कॅनरने ही माहिती मार्क माहितीसह परत केली (स्कॅनर अहवालांच्या भाषेत, हा सर्वात कमी धोका आहे) - अशा गोष्टी सहसा वगळल्या जातात. एकत्रितपणे, याने एक मनोरंजक परिणाम दिला, जो Google वर आणखी एका शोधानंतरच प्रकट झाला: शॅडो ब्रोकर्स सेटशी संबंधित एक दुर्मिळ बफर ओव्हरफ्लो असुरक्षा, म्हणजे CVE-2017-7269, ज्यामध्ये आधीच तयार शोषण होते. दुसऱ्या शब्दांत, तुमच्याकडे Windows 2003 असल्यास आणि IIS वर WebDAV चालत असल्यास त्रास होईल. जरी 2003 मध्ये उत्पादनामध्ये विंडोज 2018 चालवणे ही एक समस्या आहे.

शोषण मेटास्प्लोइटमध्ये संपले आणि ताबडतोब एका नियंत्रित सेवेला DNS विनंती पाठवलेल्या लोडसह चाचणी केली गेली - बर्प कोलॅबोरेटर पारंपारिकपणे DNS विनंत्या पकडण्यासाठी वापरला जातो. माझ्या आश्चर्याची गोष्ट म्हणजे, हे प्रथमच कार्य केले: DNS नॉकआउट प्राप्त झाले. पुढे, पोर्ट 80 द्वारे बॅककनेक्ट तयार करण्याचा प्रयत्न केला गेला (म्हणजे सर्व्हरवरून आक्रमणकर्त्यापर्यंत नेटवर्क कनेक्शन, पीडित होस्टवर cmd.exe मध्ये प्रवेशासह), परंतु नंतर एक फियास्को झाला. कनेक्शन आले नाही, आणि साइट वापरण्याच्या तिसऱ्या प्रयत्नानंतर, सर्व मनोरंजक चित्रांसह, कायमचे गायब झाले.

सहसा यानंतर "ग्राहक, जागे व्हा, आम्ही सर्व काही सोडले" या शैलीतील एक पत्र येते. परंतु आम्हाला सांगण्यात आले की साइटचा व्यवसाय प्रक्रियेशी काहीही संबंध नाही आणि संपूर्ण सर्व्हरप्रमाणेच तेथे कोणतेही कारण नसताना कार्य करते आणि आम्ही आमच्या इच्छेनुसार या संसाधनाचा वापर करू शकतो.
सुमारे एक दिवसानंतर साइटने अचानक स्वतःचे काम सुरू केले. IIS 6.0 वर WebDAV वरून बेंच तयार केल्यावर, मला आढळले की डीफॉल्ट सेटिंग म्हणजे दर 30 तासांनी IIS वर्कर प्रक्रिया पुन्हा सुरू करणे. म्हणजेच, जेव्हा नियंत्रण शेलकोडमधून बाहेर पडले, तेव्हा IIS कार्यकर्ता प्रक्रिया समाप्त झाली, नंतर ती स्वतःच दोन वेळा पुन्हा सुरू झाली आणि नंतर 30 तास विश्रांती घेतली.

tcp ला बॅककनेक्ट प्रथमच अयशस्वी झाल्यामुळे, मी या समस्येचे श्रेय बंद पोर्टला दिले. म्हणजेच, त्याने काही प्रकारच्या फायरवॉलची उपस्थिती गृहीत धरली जी आउटगोइंग कनेक्शनला बाहेर जाऊ देत नाही. मी शेलकोड चालवायला सुरुवात केली ज्यांनी अनेक tcp आणि udp पोर्टमधून शोध घेतला, कोणताही परिणाम झाला नाही. Metasploit वरून http(s) द्वारे रिव्हर्स कनेक्शन लोड काम करत नाही - meterpreter/reverse_http(s). अचानक, त्याच पोर्ट 80 वर कनेक्शन स्थापित केले गेले, परंतु लगेचच ते सोडले. मी याचे श्रेय अजूनही काल्पनिक IPS च्या कृतीला दिले, ज्यांना मीटरप्रिटर रहदारी आवडत नाही. पोर्ट 80 शी शुद्ध tcp कनेक्शन गेले नाही, परंतु HTTP कनेक्शन झाले या वस्तुस्थितीच्या प्रकाशात, मी असा निष्कर्ष काढला की सिस्टममध्ये HTTP प्रॉक्सी कसा तरी कॉन्फिगर केला होता.

मी DNS द्वारे मीटरप्रिटर वापरून देखील पाहिले (धन्यवाद d00kie आपल्या प्रयत्नांसाठी, बरेच प्रकल्प जतन केले), पहिल्या यशाची आठवण करून दिली, परंतु ते स्टँडवर देखील कार्य करत नाही - या असुरक्षिततेसाठी शेलकोड खूप मोठा होता.

प्रत्यक्षात, हे असे दिसले: 3 मिनिटांच्या आत हल्ल्याचे 4-5 प्रयत्न, नंतर 30 तास प्रतीक्षा. आणि असेच सलग तीन आठवडे. वेळ वाया जाऊ नये म्हणून मी एक स्मरणपत्र देखील सेट केले. याव्यतिरिक्त, चाचणी आणि उत्पादन वातावरणाच्या वर्तनात फरक होता: या असुरक्षिततेसाठी दोन समान शोषण होते, एक मेटास्प्लोइट, दुसरा इंटरनेटवरून, शॅडो ब्रोकर्स आवृत्तीमधून रूपांतरित. तर, लढाईत फक्त मेटास्प्लोइटची चाचणी घेण्यात आली आणि बेंचवर फक्त दुसर्‍याची चाचणी घेण्यात आली, ज्यामुळे डीबगिंग आणखी कठीण झाले आणि ते मेंदूला त्रास देणारे होते.

सरतेशेवटी, शेलकोड ज्याने HTTP द्वारे दिलेल्या सर्व्हरवरून exe फाइल डाउनलोड केली आणि ती लक्ष्य प्रणालीवर लॉन्च केली ती प्रभावी असल्याचे सिद्ध झाले. शेलकोड बसण्यासाठी पुरेसा लहान होता, परंतु कमीतकमी तो कार्य करतो. सर्व्हरला TCP रहदारी अजिबात आवडत नसल्यामुळे आणि मीटरप्रिटरच्या उपस्थितीसाठी http(s) ची तपासणी करण्यात आली होती, मी ठरवले की या शेलकोडद्वारे DNS-meterpreter असलेली exe फाइल डाउनलोड करणे हा सर्वात जलद मार्ग आहे.

येथे पुन्हा एक समस्या उद्भवली: exe फाईल डाउनलोड करताना आणि, जसे प्रयत्न दर्शविले गेले, कोणतेही महत्त्वाचे नाही, डाउनलोडमध्ये व्यत्यय आला. पुन्हा, माझ्या सर्व्हर आणि यूरोलॉजिस्टमधील काही सुरक्षा उपकरणांना आत exe सह http रहदारी आवडली नाही. "त्वरित" उपाय म्हणजे शेलकोड बदलणे असे दिसते जेणेकरुन ते फ्लायवर http ट्रॅफिकला अस्पष्ट करते, जेणेकरून अमूर्त बायनरी डेटा exe ऐवजी हस्तांतरित केला जाईल. शेवटी, हल्ला यशस्वी झाला, पातळ DNS चॅनेलद्वारे नियंत्रण प्राप्त झाले:

हे लगेच स्पष्ट झाले की माझ्याकडे सर्वात मूलभूत IIS वर्कफ्लो अधिकार आहेत, जे मला काहीही करू देत नाहीत. मेटास्प्लोइट कन्सोलवर हे असे दिसते:

सर्व पेंटेस्ट पद्धती जोरदारपणे सूचित करतात की प्रवेश मिळवताना तुम्हाला अधिकार वाढवणे आवश्यक आहे. मी सहसा हे स्थानिक पातळीवर करत नाही, कारण पहिल्या प्रवेशास फक्त नेटवर्क एंट्री पॉइंट म्हणून पाहिले जाते आणि त्याच नेटवर्कवर दुसर्‍या मशीनशी तडजोड करणे हे विद्यमान होस्टवर विशेषाधिकार वाढवण्यापेक्षा सामान्यतः सोपे आणि जलद असते. परंतु येथे तसे होत नाही, कारण DNS चॅनेल अतिशय अरुंद आहे आणि त्यामुळे वाहतूक सुरळीत होऊ देणार नाही.

हे Windows 2003 सर्व्हर प्रसिद्ध MS17-010 असुरक्षिततेसाठी दुरुस्त केलेले नाही असे गृहीत धरून, मी लोकलहोस्टवरील मीटरप्रीटर DNS बोगद्याद्वारे पोर्ट 445/TCP कडे रहदारी सुरू करतो (होय, हे देखील शक्य आहे) आणि पूर्वी डाउनलोड केलेले exe चालवण्याचा प्रयत्न करा. भेद्यता. हल्ला कार्य करतो, मला दुसरे कनेक्शन मिळते, परंतु सिस्टम अधिकारांसह.

हे मनोरंजक आहे की त्यांनी अद्याप MS17-010 वरून सर्व्हरचे संरक्षण करण्याचा प्रयत्न केला - त्यात बाह्य इंटरफेसवर असुरक्षित नेटवर्क सेवा अक्षम केल्या होत्या. हे नेटवर्कवरील हल्ल्यांपासून संरक्षण करते, परंतु लोकलहोस्टवरील आक्रमणाने कार्य केले, कारण तुम्ही लोकलहोस्टवर त्वरित SMB बंद करू शकत नाही.

पुढे, नवीन मनोरंजक तपशील उघड झाले आहेत:

1. SYSTEM अधिकार असल्याने, तुम्ही TCP द्वारे बॅककनेक्शन सहज स्थापित करू शकता. अर्थात, थेट TCP अक्षम करणे ही मर्यादित IIS वापरकर्त्यांसाठी एक समस्या आहे. स्पॉयलर: IIS वापरकर्ता ट्रॅफिक कसा तरी स्थानिक ISA प्रॉक्सीमध्ये दोन्ही दिशांनी गुंडाळलेला होता. ते नेमके कसे कार्य करते, मी पुनरुत्पादित केलेले नाही.
2. मी एका विशिष्ट "डीएमझेड" मध्ये आहे (आणि हे सक्रिय निर्देशिका डोमेन नाही, परंतु वर्कग्रुप आहे) - ते तर्कसंगत वाटते. परंतु अपेक्षित खाजगी ("राखाडी") IP पत्त्याऐवजी, माझ्याकडे पूर्णपणे "पांढरा" IP पत्ता आहे, जो मी आधी हल्ला केला होता तसाच आहे. याचा अर्थ कंपनी IPv4 अॅड्रेसिंगच्या जगात इतकी जुनी आहे की 128 पासून सिस्को मॅन्युअलमध्ये दर्शविल्याप्रमाणे, योजनेनुसार NAT शिवाय 2005 “पांढऱ्या” पत्त्यांसाठी DMZ झोन राखणे परवडते.

सर्व्हर जुना असल्याने, Mimikatz थेट मेमरीमधून कार्य करण्याची हमी आहे:

मला स्थानिक प्रशासक पासवर्ड, TCP वर RDP ट्रॅफिक टनेल आणि आरामदायी डेस्कटॉपवर लॉग इन करा. मी सर्व्हरसह मला पाहिजे ते करू शकत असल्याने, मी अँटीव्हायरस काढून टाकला आणि आढळले की सर्व्हर इंटरनेटवरून फक्त TCP पोर्ट 80 आणि 443 द्वारे प्रवेशयोग्य आहे आणि 443 व्यस्त नाही. मी 443 वर एक OpenVPN सर्व्हर सेट केला, माझ्या VPN रहदारीसाठी NAT फंक्शन्स जोडा आणि माझ्या OpenVPN द्वारे अमर्यादित स्वरूपात DMZ नेटवर्कमध्ये थेट प्रवेश मिळवा. हे लक्षात घेण्याजोगे आहे की ISA, काही अक्षम नसलेली IPS फंक्शन्स असल्याने, पोर्ट स्कॅनिंगसह माझी रहदारी अवरोधित केली, ज्यासाठी ते अधिक सोप्या आणि अधिक अनुरूप RRAS ने बदलले पाहिजे. त्यामुळे काहीवेळा पेंटेस्टर्सना सर्व प्रकारच्या गोष्टींचे व्यवस्थापन करावे लागते.

एक सजग वाचक विचारेल: "दुसऱ्या साइटचे काय - NTLM प्रमाणीकरणासह विकी, ज्याबद्दल बरेच काही लिहिले गेले आहे?" याबद्दल अधिक नंतर.

भाग 2. अद्याप एनक्रिप्ट करत नाही? मग आम्ही तुमच्याकडे आधीच येत आहोत

तर, DMZ नेटवर्क विभागात प्रवेश आहे. तुम्हाला डोमेन प्रशासकाकडे जाण्याची आवश्यकता आहे. मनात येणारी पहिली गोष्ट म्हणजे DMZ विभागातील सेवांची सुरक्षितता आपोआप तपासणे, विशेषत: यापैकी अनेक आता संशोधनासाठी खुल्या असल्याने. प्रवेश चाचणी दरम्यान एक सामान्य चित्र: बाह्य परिमिती अंतर्गत सेवांपेक्षा अधिक चांगले संरक्षित आहे आणि मोठ्या पायाभूत सुविधांमध्ये प्रवेश मिळवताना, डोमेनमध्ये विस्तारित अधिकार प्राप्त करणे खूप सोपे आहे कारण हे डोमेन सुरू होते. साधनांमध्ये प्रवेश करण्यायोग्य, आणि दुसरे म्हणजे, अनेक हजार होस्ट असलेल्या पायाभूत सुविधांमध्ये, नेहमीच दोन गंभीर समस्या असतील.

मी DMZ द्वारे OpenVPN बोगद्याद्वारे स्कॅनर चार्ज करतो आणि प्रतीक्षा करतो. मी अहवाल उघडतो - पुन्हा काहीही गंभीर नाही, वरवर पाहता कोणीतरी माझ्या आधी त्याच पद्धतीतून गेला होता. पुढील पायरी म्हणजे DMZ नेटवर्कमधील होस्ट कसे संवाद साधतात याचे परीक्षण करणे. हे करण्यासाठी, प्रथम नेहमीच्या वायरशार्क लाँच करा आणि प्रसारण विनंत्या ऐका, प्रामुख्याने ARP. दिवसभर एआरपीची पाकिटे जमा झाली. हे दिसून आले की या विभागात अनेक गेटवे वापरले जातात. हे नंतर उपयोगी पडेल. ARP विनंत्या आणि प्रतिसाद आणि पोर्ट स्कॅनिंग डेटा वरील डेटा एकत्र करून, मला पूर्वी ज्ञात असलेल्या सेवांव्यतिरिक्त स्थानिक नेटवर्कमधून वापरकर्ता रहदारीचे निर्गमन बिंदू सापडले, जसे की वेब आणि मेल.

या क्षणी माझ्याकडे इतर प्रणालींमध्ये प्रवेश नसल्यामुळे आणि कॉर्पोरेट सेवांसाठी एकच खाते नसल्यामुळे, एआरपी स्पूफिंग वापरून किमान काही खाते ट्रॅफिकमधून काढून टाकण्याचा निर्णय घेण्यात आला.

यूरोलॉजिस्टच्या सर्व्हरवर Cain&Abel लाँच केले गेले. ओळखले जाणारे ट्रॅफिक प्रवाह लक्षात घेऊन, मॅन-इन-द-मिडल हल्ल्यासाठी सर्वात आशादायक जोड्या निवडल्या गेल्या आणि नंतर सर्व्हर रीबूट करण्यासाठी टायमरसह 5-10 मिनिटांसाठी अल्प-मुदतीच्या लॉन्चद्वारे काही नेटवर्क रहदारी प्राप्त झाली. अतिशीत बाबतीत. विनोदाप्रमाणे, दोन बातम्या होत्या:

1. चांगले: बरीच क्रेडेन्शियल्स पकडली गेली आणि संपूर्ण हल्ला यशस्वी झाला.
2. वाईट: सर्व क्रेडेन्शियल ग्राहकाच्या स्वतःच्या क्लायंटचे होते. समर्थन सेवा प्रदान करताना, ग्राहक तज्ञ ग्राहकांच्या सेवांशी जोडलेले असतात ज्यांच्याकडे नेहमीच रहदारी एन्क्रिप्शन कॉन्फिगर नसते.

परिणामी, मी बरीच क्रेडेन्शियल्स मिळवली जी प्रकल्पाच्या संदर्भात निरुपयोगी होती, परंतु हल्ल्याच्या धोक्याचे प्रात्यक्षिक म्हणून निश्चितपणे मनोरंजक होती. टेलनेटसह मोठ्या कंपन्यांचे बॉर्डर राउटर, सर्व डेटासह अंतर्गत CRM कडे डीबग HTTP पोर्ट फॉरवर्ड केले, स्थानिक नेटवर्कवरील Windows XP वरून RDP वर थेट प्रवेश आणि इतर अस्पष्टता. असे निघाले MITER मॅट्रिक्सनुसार पुरवठा साखळी तडजोड.

मला ट्रॅफिकमधून पत्रे गोळा करण्याची एक मजेदार संधी देखील मिळाली, असे काहीतरी. हे एका तयार पत्राचे उदाहरण आहे जे आमच्या ग्राहकाकडून त्याच्या क्लायंटच्या SMTP पोर्टवर पुन्हा एनक्रिप्शनशिवाय गेले. एका विशिष्ट आंद्रेने त्याचे नाव कागदपत्रे पुन्हा पाठवण्यास सांगितले आणि ते एका प्रतिसाद पत्रातील लॉगिन, पासवर्ड आणि लिंकसह क्लाउड डिस्कवर अपलोड केले:

सर्व सेवा एनक्रिप्ट करण्यासाठी हे आणखी एक स्मरणपत्र आहे. तुमचा डेटा विशेषत: कोण आणि केव्हा वाचेल आणि वापरेल हे अज्ञात आहे - प्रदाता, दुसर्‍या कंपनीचा सिस्टम प्रशासक किंवा असा पेन्टेस्टर. मी या वस्तुस्थितीबद्दल शांत आहे की बरेच लोक एनक्रिप्टेड ट्रॅफिक सहजपणे रोखू शकतात.

स्पष्ट यश असूनही, यामुळे आम्हाला ध्येयाच्या जवळ आणले नाही. नक्कीच, बराच वेळ बसून मौल्यवान माहिती काढणे शक्य होते, परंतु ते तेथे दिसून येईल हे तथ्य नाही आणि नेटवर्कच्या अखंडतेच्या दृष्टीने हा हल्ला स्वतःच धोकादायक आहे.

सेवांमध्ये आणखी एक खोदल्यानंतर, एक मनोरंजक कल्पना मनात आली. रिस्पॉन्डर नावाची अशी उपयुक्तता आहे (या नावाने वापरण्याची उदाहरणे शोधणे सोपे आहे), जी "विषबाधा" प्रसारण विनंत्या करून, SMB, HTTP, LDAP इत्यादी विविध प्रोटोकॉलद्वारे कनेक्शनला भडकावते. वेगवेगळ्या मार्गांनी, नंतर प्रमाणीकरणासाठी कनेक्ट करणाऱ्या प्रत्येकाला विचारतात आणि ते सेट अप करतात जेणेकरून प्रमाणीकरण NTLM द्वारे आणि पीडितासाठी पारदर्शक मोडमध्ये होईल. बर्‍याचदा, आक्रमणकर्ता अशा प्रकारे NetNTLMv2 हँडशेक गोळा करतो आणि त्यांच्याकडून, शब्दकोश वापरून, डोमेन वापरकर्ता संकेतशब्द पटकन पुनर्प्राप्त करतो. येथे मला असेच काहीतरी हवे होते, परंतु वापरकर्ते “भिंतीच्या मागे” बसले, किंवा त्याऐवजी, ते फायरवॉलद्वारे वेगळे केले गेले आणि ब्लू कोट प्रॉक्सी क्लस्टरद्वारे WEB मध्ये प्रवेश केला.

लक्षात ठेवा, मी निर्दिष्ट केले की सक्रिय निर्देशिका डोमेन नाव "बाह्य" डोमेनशी एकरूप आहे, म्हणजेच ते company.ru होते? तर, विंडोज, अधिक तंतोतंत इंटरनेट एक्सप्लोरर (आणि एज आणि क्रोम), वापरकर्त्याला NTLM द्वारे HTTP मध्ये पारदर्शकपणे प्रमाणीकरण करण्याची अनुमती देते जर त्यांनी साइट काही “इंट्रानेट झोन” मध्ये स्थित असल्याचे मानले. "इंट्रानेट" चे एक चिन्ह म्हणजे "राखाडी" IP पत्ता किंवा लहान DNS नाव, म्हणजेच ठिपके नसलेले प्रवेश. त्यांच्याकडे “पांढरा” IP आणि DNS नाव preobrazhensky.company.ru असलेला सर्व्हर असल्याने आणि डोमेन मशीन्सना सामान्यतः सरलीकृत नाव प्रविष्टीसाठी DHCP द्वारे सक्रिय निर्देशिका डोमेन प्रत्यय प्राप्त होतो, त्यांना फक्त अॅड्रेस बारमध्ये URL लिहावी लागली. preobrazhensky, जेणेकरून त्यांना तडजोड केलेल्या यूरोलॉजिस्टच्या सर्व्हरचा योग्य मार्ग सापडेल, हे विसरून चालणार नाही की याला आता "इंट्रानेट" म्हणतात. म्हणजेच, त्याच वेळी मला वापरकर्त्याचा NTLM-हँडशेक त्याच्या नकळत देत आहे. फक्त क्लायंट ब्राउझरला या सर्व्हरशी संपर्क साधण्याच्या तातडीच्या गरजेबद्दल विचार करण्यास भाग पाडणे बाकी आहे.

आश्चर्यकारक इंटरसेप्टर-एनजी उपयुक्तता बचावासाठी आली (धन्यवाद इंटरसेप्टर). याने तुम्हाला फ्लायवर रहदारी बदलण्याची परवानगी दिली आणि Windows 2003 वर चांगले काम केले. ट्रॅफिक फ्लोमध्ये फक्त JavaScript फाइल्समध्ये बदल करण्यासाठी यात वेगळी कार्यक्षमता होती. मोठ्या प्रमाणात क्रॉस-साइट स्क्रिप्टिंगची योजना होती.

ब्लू कोट प्रॉक्सी, ज्याद्वारे वापरकर्त्यांनी जागतिक WEB मध्ये प्रवेश केला, वेळोवेळी स्थिर सामग्री कॅश केली. रहदारी रोखून, हे स्पष्ट झाले की ते चोवीस तास काम करत आहेत, पीक अवर्स दरम्यान सामग्रीच्या प्रदर्शनाची गती वाढवण्यासाठी वारंवार वापरल्या जाणार्‍या स्टॅटिकची सतत विनंती करत आहेत. याव्यतिरिक्त, ब्लूकोटमध्ये एक विशिष्ट वापरकर्ता-एजंट होता, ज्याने ते वास्तविक वापरकर्त्यापासून स्पष्टपणे वेगळे केले.

जावास्क्रिप्ट तयार करण्यात आली होती, जी इंटरसेप्टर-एनजी वापरून, ब्लू कोटसाठी जेएस फाइल्ससह प्रत्येक प्रतिसादासाठी रात्री एक तास लागू केली गेली. स्क्रिप्टने पुढील गोष्टी केल्या:

• वापरकर्ता-एजंटद्वारे वर्तमान ब्राउझर निर्धारित केले. जर ते इंटरनेट एक्सप्लोरर, एज किंवा क्रोम असेल तर ते कार्य करत राहिले.
• मी पृष्ठाचा DOM तयार होईपर्यंत प्रतीक्षा केली.
• फॉर्मच्या src विशेषतासह DOM मध्ये अदृश्य प्रतिमा घातली preobrazhensky:8080/NNNNNNN.png, где NNN — произвольные цифры, чтобы BlueCoat не закешировал.
• इंजेक्शन पूर्ण झाले आहे हे दर्शविण्यासाठी जागतिक ध्वज चल सेट करा आणि यापुढे प्रतिमा घालण्याची आवश्यकता नाही.

ब्राउझरने ही प्रतिमा लोड करण्याचा प्रयत्न केला; तडजोड केलेल्या सर्व्हरच्या पोर्ट 8080 वर, माझ्या लॅपटॉपवर एक TCP बोगदा त्याची वाट पाहत होता, जिथे तोच प्रतिसादकर्ता चालू होता, ब्राउझरला NTLM द्वारे लॉग इन करणे आवश्यक होते.

प्रतिसादकर्त्यांच्या नोंदीनुसार, लोक सकाळी कामावर आले, त्यांची वर्कस्टेशने चालू केली, नंतर मोठ्या प्रमाणावर आणि लक्ष न देता यूरोलॉजिस्टच्या सर्व्हरला भेट देऊ लागले, NTLM हँडशेक "निचरा" करण्यास विसरले नाहीत. दिवसभर हँडशेकचा पाऊस पडला आणि पासवर्ड पुनर्प्राप्त करण्यासाठी स्पष्टपणे यशस्वी हल्ल्यासाठी सामग्री स्पष्टपणे जमा झाली. प्रतिसादक लॉग यासारखे दिसले:

युरोलॉजिस्ट सर्व्हरला वापरकर्त्यांद्वारे मोठ्या प्रमाणात गुप्त भेटी

आपण कदाचित आधीच लक्षात घेतले असेल की ही संपूर्ण कथा "सर्व काही ठीक होते, परंतु नंतर एक गोंधळ झाला, नंतर तेथे मात झाली आणि नंतर सर्वकाही यशस्वी झाले." त्यामुळे येथे शुकशुकाट होता. पन्नास अद्वितीय हस्तांदोलनांपैकी एकही उघड झाला नाही. आणि हे लक्षात घेते की मृत प्रोसेसर असलेल्या लॅपटॉपवरही, या NTLMv2 हँडशेकवर प्रति सेकंद अनेक शंभर दशलक्ष प्रयत्नांच्या वेगाने प्रक्रिया केली जाते.

मला पासवर्ड म्युटेशन तंत्र, एक व्हिडिओ कार्ड, एक जाड शब्दकोष आणि प्रतीक्षा करावी लागली. बर्‍याच काळानंतर, “Q11111111....1111111q” या फॉर्मचे पासवर्ड असलेली अनेक खाती उघड झाली, ज्यावरून असे सूचित होते की सर्व वापरकर्त्यांना एकेकाळी वेगवेगळ्या वर्णांच्या केसांसह खूप लांब पासवर्ड आणण्यास भाग पाडले गेले होते, जे देखील अपेक्षित होते. जटिल असणे. परंतु आपण अनुभवी वापरकर्त्याला मूर्ख बनवू शकत नाही आणि अशा प्रकारे त्याने स्वतःला लक्षात ठेवणे सोपे केले. एकूण, सुमारे 5 खात्यांशी तडजोड करण्यात आली होती आणि त्यापैकी फक्त एकाकडे सेवांचे कोणतेही मौल्यवान अधिकार होते.

भाग 3. Roskomnadzor परत स्ट्राइक

तर, प्रथम डोमेन खाती प्राप्त झाली. जर तुम्ही खूप वेळ वाचून या बिंदूपर्यंत झोपी गेला नसाल, तर तुम्हाला कदाचित आठवत असेल की मी एका सेवेचा उल्लेख केला आहे ज्यासाठी प्रमाणीकरणाचा दुसरा घटक आवश्यक नाही: तो NTLM प्रमाणीकरणासह एक विकी आहे. अर्थात, सर्वप्रथम तिथे प्रवेश केला. अंतर्गत ज्ञान बेसमध्ये खोदल्यामुळे त्वरीत परिणाम प्राप्त झाले:

• कंपनीकडे स्थानिक नेटवर्कमध्ये प्रवेश असलेल्या डोमेन खात्यांचा वापर करून प्रमाणीकरणासह WiFi नेटवर्क आहे. डेटाच्या सध्याच्या सेटसह, हे आधीपासूनच कार्यरत हल्ला वेक्टर आहे, परंतु आपल्याला आपल्या पायांनी कार्यालयात जाणे आणि ग्राहकाच्या कार्यालयाच्या प्रदेशात कुठेतरी स्थित असणे आवश्यक आहे.
• मला एक सूचना सापडली ज्यानुसार एक सेवा होती ज्याने... वापरकर्ता स्थानिक नेटवर्कमध्ये असल्यास आणि आत्मविश्वासाने त्याचे डोमेन लॉगिन आणि पासवर्ड लक्षात ठेवल्यास स्वतंत्रपणे "सेकंड फॅक्टर" प्रमाणीकरण डिव्हाइसची नोंदणी करण्याची परवानगी दिली होती. या प्रकरणात, वापरकर्त्यासाठी या सेवेच्या पोर्टच्या प्रवेशयोग्यतेद्वारे "आत" आणि "बाहेर" निर्धारित केले गेले. पोर्ट इंटरनेटवरून प्रवेश करण्यायोग्य नव्हते, परंतु DMZ द्वारे प्रवेश करण्यायोग्य होते.

अर्थात, माझ्या फोनवरील ऍप्लिकेशनच्या रूपात तडजोड केलेल्या खात्यात एक "दुसरा घटक" त्वरित जोडला गेला. असा एक कार्यक्रम होता जो एकतर कृतीसाठी “मंजूर”/“नाकार” बटणांसह फोनवर जोरात पुश विनंती पाठवू शकतो किंवा पुढील स्वतंत्र प्रवेशासाठी स्क्रीनवर शांतपणे OTP कोड दर्शवू शकतो. शिवाय, सूचनांनुसार पहिली पद्धत ही एकमेव योग्य असल्याचे मानले जात होते, परंतु OTP पद्धतीच्या विपरीत ती कार्य करत नाही.

“सेकंड फॅक्टर” तुटल्यामुळे, मी आउटलुक वेब ऍक्सेस मेल आणि सिट्रिक्स नेटस्केलर गेटवेमध्ये रिमोट ऍक्सेस करू शकलो. Outlook मधील मेलमध्ये एक आश्चर्य होते:

या दुर्मिळ शॉटमध्ये आपण पाहू शकता की रोस्कोमनाडझोर पेंटेस्टर्सना कशी मदत करते

टेलिग्रामच्या प्रसिद्ध "फॅन" ब्लॉकिंगनंतरचे हे पहिले महिने होते, जेव्हा हजारो पत्त्यांसह संपूर्ण नेटवर्क अ‍ॅक्सेसमधून अदृश्य झाले. हे स्पष्ट झाले की पुश लगेच का काम करत नाही आणि माझ्या "पीडित" ने अलार्म का वाजवला नाही कारण त्यांनी तिचे खाते उघडण्याच्या वेळेत वापरण्यास सुरुवात केली.

सिट्रिक्स नेटस्केलरशी परिचित असलेल्या कोणत्याही व्यक्तीची कल्पना आहे की हे सहसा अशा प्रकारे लागू केले जाते की वापरकर्त्याला फक्त एक चित्र इंटरफेस कळविला जाऊ शकतो, त्याला तृतीय-पक्ष अनुप्रयोग लॉन्च करण्यासाठी आणि डेटा हस्तांतरित करण्यासाठी साधने न देण्याचा प्रयत्न केला जातो, प्रत्येक संभाव्य मार्गाने क्रिया मर्यादित ठेवतो. मानक नियंत्रण शेल्सद्वारे. माझ्या "बळी", त्याच्या व्यवसायामुळे, फक्त 1C मिळाले:

1C इंटरफेसभोवती थोडेसे फिरल्यानंतर, मला आढळले की तेथे बाह्य प्रक्रिया मॉड्यूल आहेत. ते इंटरफेसवरून लोड केले जाऊ शकतात आणि अधिकार आणि सेटिंग्जवर अवलंबून ते क्लायंट किंवा सर्व्हरवर कार्यान्वित केले जातील.

मी माझ्या 1C प्रोग्रामर मित्रांना एक प्रक्रिया तयार करण्यास सांगितले जी स्ट्रिंग स्वीकारेल आणि ती कार्यान्वित करेल. 1C भाषेत, प्रक्रिया सुरू करणे यासारखे काहीतरी दिसते (इंटरनेटवरून घेतलेले). 1C भाषेचा वाक्यरचना रशियन भाषिक लोकांना त्याच्या उत्स्फूर्ततेने आश्चर्यचकित करते हे तुम्ही सहमत आहात का?

प्रक्रिया उत्तम प्रकारे पार पाडली गेली; हे असे झाले की ज्याला पेंटेस्टर्स "शेल" म्हणतात - इंटरनेट एक्सप्लोरर त्याद्वारे लॉन्च केले गेले.

पूर्वी, तुम्हाला प्रदेशात पास ऑर्डर करण्याची परवानगी देणार्‍या सिस्टमचा पत्ता मेलमध्ये सापडला होता. मला वायफाय अटॅक वेक्टर वापरावे लागल्यास मी पास ऑर्डर केला.

इंटरनेटवर अशी चर्चा आहे की ग्राहकाच्या कार्यालयात अजूनही स्वादिष्ट विनामूल्य केटरिंग होते, परंतु तरीही मी दूरस्थपणे हल्ला विकसित करण्यास प्राधान्य दिले, ते अधिक शांत आहे.

Citrix चालवणाऱ्या अॅप्लिकेशन सर्व्हरवर AppLocker सक्रिय केले होते, परंतु ते बायपास केले गेले. समान मीटरप्रीटर लोड केले गेले आणि DNS द्वारे लॉन्च केले गेले, कारण http(s) आवृत्त्या कनेक्ट करू इच्छित नाहीत आणि मला त्यावेळी अंतर्गत प्रॉक्सी पत्ता माहित नव्हता. तसे, या क्षणापासून, बाह्य पेंटेस्ट पूर्णपणे अंतर्गत मध्ये बदलले.

भाग 4. वापरकर्त्यांसाठी प्रशासक अधिकार वाईट आहेत, ठीक आहे?

डोमेन वापरकर्ता सत्रावर नियंत्रण मिळवताना पेंटेस्टरचे पहिले कार्य डोमेनमधील अधिकारांबद्दल सर्व माहिती गोळा करणे आहे. BloodHound युटिलिटी आहे जी तुम्हाला डोमेन कंट्रोलरकडून LDAP प्रोटोकॉलद्वारे वापरकर्ते, कॉम्प्युटर, सुरक्षा गटांची माहिती आपोआप डाउनलोड करण्याची परवानगी देते आणि SMB द्वारे - कोणत्या वापरकर्त्याने अलीकडे कुठे लॉग इन केले आणि स्थानिक प्रशासक कोण आहे याची माहिती.

डोमेन प्रशासक अधिकार जप्त करण्यासाठी एक विशिष्ट तंत्र नीरस क्रियांचे चक्र म्हणून सरलीकृत दिसते:

• आम्ही डोमेन संगणकांवर जातो जेथे स्थानिक प्रशासक अधिकार आहेत, आधीपासून कॅप्चर केलेल्या डोमेन खात्यांवर आधारित.
• आम्ही Mimikatz लाँच करतो आणि या प्रणालीमध्ये अलीकडे लॉग इन केलेल्या डोमेन खात्यांचे कॅशे केलेले पासवर्ड, Kerberos तिकिटे आणि NTLM हॅश मिळवतो. किंवा आम्ही lsass.exe प्रक्रियेची मेमरी इमेज काढून टाकतो आणि आमच्या बाजूला तेच करतो. हे डीफॉल्ट सेटिंग्जसह 2012R2/Windows 8.1 पेक्षा लहान असलेल्या Windows सह चांगले कार्य करते.
• तडजोड केलेल्या खात्यांना स्थानिक प्रशासक अधिकार कोठे आहेत हे आम्ही निर्धारित करतो. आम्ही पहिला मुद्दा पुन्हा करतो. काही टप्प्यावर आम्ही संपूर्ण डोमेनसाठी प्रशासक अधिकार मिळवतो.

"सायकलचा शेवट;", जसे 1C प्रोग्रामर येथे लिहितात.

तर, आमचा वापरकर्ता Windows 7 सह फक्त एका होस्टवर स्थानिक प्रशासक बनला, ज्याच्या नावात “VDI” किंवा “व्हर्च्युअल डेस्कटॉप इन्फ्रास्ट्रक्चर”, वैयक्तिक व्हर्च्युअल मशीन्स हा शब्द समाविष्ट आहे. कदाचित, व्हीडीआय सेवेच्या डिझायनरचा अर्थ असा आहे की व्हीडीआय ही वापरकर्त्याची वैयक्तिक ऑपरेटिंग सिस्टम असल्याने, वापरकर्त्याने सॉफ्टवेअर वातावरणात त्याच्या इच्छेनुसार बदल केला तरीही, होस्ट अजूनही "रीलोड" होऊ शकतो. मला असेही वाटले की सर्वसाधारणपणे कल्पना चांगली आहे, मी या वैयक्तिक व्हीडीआय होस्टकडे गेलो आणि तेथे घरटे बनवले:

• मी तेथे एक OpenVPN क्लायंट स्थापित केला, ज्याने माझ्या सर्व्हरवर इंटरनेटद्वारे एक बोगदा केला. क्लायंटला डोमेन प्रमाणीकरणासह त्याच ब्लू कोटमधून जाण्याची सक्ती करावी लागली, परंतु ओपनव्हीपीएनने ते केले, जसे ते म्हणतात, "बॉक्सच्या बाहेर."
• VDI वर OpenSSH स्थापित केले. बरं, खरोखर, एसएसएचशिवाय विंडोज 7 म्हणजे काय?

हे लाइव्ह दिसत होते. मी तुम्हाला आठवण करून देतो की हे सर्व Citrix आणि 1C द्वारे केले पाहिजे:

शेजारच्या संगणकांमध्ये प्रवेशास प्रोत्साहन देण्यासाठी एक तंत्र म्हणजे जुळण्यासाठी स्थानिक प्रशासक संकेतशब्द तपासणे. येथे नशीब ताबडतोब वाट पाहत होते: डीफॉल्ट स्थानिक प्रशासकाच्या NTLM हॅशला (ज्याला अचानक प्रशासक म्हटले गेले) पास-द-हॅश हल्ल्याद्वारे शेजारच्या व्हीडीआय यजमानांशी संपर्क साधला गेला, ज्यामध्ये अनेक शंभर होते. अर्थात, हल्ल्याचा फटका त्यांना लगेचच बसला.

येथेच व्हीडीआय प्रशासकांनी स्वतःच्या पायावर दोनदा गोळी झाडली:

• प्रथमच जेव्हा व्हीडीआय मशीन्स LAPS अंतर्गत आणल्या गेल्या नाहीत, मूलत: व्हीडीआयमध्ये मोठ्या प्रमाणात तैनात केलेल्या प्रतिमेवरून समान स्थानिक प्रशासक पासवर्ड कायम ठेवला.
• डीफॉल्ट प्रशासक हे एकमेव स्थानिक खाते आहे जे पास-द-हॅश हल्ल्यांना असुरक्षित आहे. समान पासवर्डसह, जटिल यादृच्छिक पासवर्डसह दुसरे स्थानिक प्रशासक खाते तयार करून आणि डीफॉल्ट खाते अवरोधित करून मोठ्या प्रमाणात तडजोड टाळणे शक्य होईल.

त्या Windows वर SSH सेवा का आहे? अगदी सोपे: आता OpenSSH सर्व्हरने वापरकर्त्याच्या कामात व्यत्यय न आणता केवळ सोयीस्कर संवादात्मक कमांड शेल प्रदान केले नाही तर VDI वर सॉक्स5 प्रॉक्सी देखील दिली आहे. या सॉक्सद्वारे, मी SMB द्वारे कनेक्ट केले आणि या सर्व शेकडो VDI मशीन्समधून कॅशे केलेली खाती गोळा केली, नंतर BloodHound आलेखांमध्ये त्यांचा वापर करून डोमेन प्रशासकाकडे जाण्याचा मार्ग शोधला. माझ्या विल्हेवाटीवर शेकडो यजमानांसह, मला हा मार्ग खूप लवकर सापडला. डोमेन प्रशासक अधिकार प्राप्त झाले आहेत.

असाच शोध दर्शवणारे इंटरनेटवरील चित्र येथे आहे. प्रशासक कोठे आहे आणि कोण कुठे लॉग इन आहे हे कनेक्शन दर्शविते.

तसे, प्रकल्पाच्या सुरुवातीपासूनची अट लक्षात ठेवा - "सोशल इंजिनिअरिंग वापरू नका." त्यामुळे, बॅनल फिशिंग वापरणे अजूनही शक्य असल्यास स्पेशल इफेक्ट्स असलेले हे सर्व बॉलीवूड कितपत कापले जाईल याचा विचार करण्याचा मी प्रस्ताव देतो. पण वैयक्तिकरित्या, हे सर्व करणे माझ्यासाठी खूप मनोरंजक होते. मला आशा आहे की तुम्हाला हे वाचून आनंद झाला असेल. अर्थात, प्रत्येक प्रकल्प इतका मनोरंजक दिसत नाही, परंतु एकूणच काम खूप आव्हानात्मक आहे आणि ते रखडू देत नाही.

कदाचित एखाद्याला प्रश्न असेल: स्वतःचे संरक्षण कसे करावे? अगदी हा लेख अनेक तंत्रांचे वर्णन करतो, ज्यापैकी बर्‍याच Windows प्रशासकांना माहित देखील नाही. तथापि, मी त्यांच्याकडे हॅकनीड तत्त्वे आणि माहिती सुरक्षा उपायांच्या दृष्टीकोनातून पाहण्याचा प्रस्ताव देतो:

• कालबाह्य सॉफ्टवेअर वापरू नका (सुरुवातीला Windows 2003 लक्षात ठेवा?)
• अनावश्यक प्रणाली चालू ठेवू नका (यूरोलॉजिस्टची वेबसाइट का होती?)
• सामर्थ्यासाठी वापरकर्ता संकेतशब्द स्वतः तपासा (अन्यथा सैनिक... पेंटेस्टर्स हे करतील)
• वेगवेगळ्या खात्यांसाठी समान संकेतशब्द नाहीत (VDI तडजोड)
• आणि इतर

अर्थात, हे अंमलात आणणे खूप कठीण आहे, परंतु पुढील लेखात आपण सरावाने दर्शवू की हे अगदी शक्य आहे.

स्त्रोत: www.habr.com