{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Dagboek van Tom Hunter: 'De Hound of the Baskervilles'","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vertraging bij het ondertekenen is een normaal fenomeen voor elk groot bedrijf. Het contract tussen Tom Hunter en een online dierenwinkel voor een grondige pentest vormde hierbij geen uitzondering. Zowel de website als het interne netwerk, en zelfs het werk-Wi-Fi moesten worden gecontroleerd.<\/p>\n

Geen verrassing dat de handen al jeukten voordat alle formaliteiten waren afgehandeld. Gewoon de website even scannen voor de zekerheid, zo\u2019n beroemd winkel als 'De Honden van Baskerville' zal vast geen fouten hier hebben gemaakt. Een paar dagen later ontving Tom uiteindelijk het ondertekende origineel van het contract \u2013 ondertussen drinkend aan zijn derde kop koffie, beoordeelde Tom met interesse de voorraadstatus in het interne CMS...<\/p>\n

\"DagboekBron: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nMaar echt aan de slag gaan in het CMS was niet mogelijk \u2013 de IP van Tom Hunter was door de sitebeheerders geblokkeerd. Terwijl hij misschien nog wel wat tijd had om bonussen voor de winkel te genereren en maandenlang zijn geliefde kat goedkoop te voeden... 'Niet deze keer, Darth Sidious', dacht Tom met een glimlach. Het zou ook interessant zijn geweest om van de website naar het lokale netwerk van de klant te gaan, maar blijkbaar waren deze segmenten bij de klant niet met elkaar verbonden. Dit gebeurt meestal in erg grote bedrijven.<\/p>\n

Na alle formaliteiten bewapende Tom Hunter zich met de verstrekte VPN-credentials en ging hij naar het lokale netwerk van de klant. Het account bevond zich binnen het Active Directory-domein, dus hij kon zonder veel poespas een AD-dump maken \u2013 alle openbare informatie over gebruikers en werkstations verzamelen.<\/p>\n

Tom startte de tool adfind en begon LDAP-queries naar de domeincontroller te sturen. Met een filter op de klasse objectCategory, met person als attribuut. Het antwoord kwam terug met de volgende structuur:<\/p>\n

dn:CN=Gast,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: Gast\n>description: Ingebouwde account voor gasttoegang tot de computer of het domein\n>distinguishedName: CN=Gast,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nNaast dit was er nog veel nuttige informatie, maar het meest interessante lag in het veld >description: >description. Dit is de opmerking bij het account \u2014 in principe een handige plek om kleine notities op te slaan. Maar de klantbeheerders dachten dat ook wachtwoorden hier wel veilig konden liggen. Wie zou tenslotte al deze onbeduidende operationele accounts kunnen interesseren? Daarom hadden de opmerkingen die Tom ontving de volgende vorm:<\/p>\n
Gemaakt door Administrator, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nJe hoeft geen genie te zijn om te begrijpen waarvoor de combinatie aan het einde van pas komt. Het was alleen nog maar een grote responsbestand van het KD te parseren op het veld >description: en daar waren ze \u2014 20 paar login-wachtwoord. Bijna de helft heeft zelfs RDP-toegang. Een prima uitvalsbasis, tijd om de aanvallende krachten te splitsen.<\/p>\n
Netwerk omgeving<\/h2>\n
\nDe beschikbare shares van 'De Hound of the Baskervilles' leken op een grote stad in al zijn chaos en onvoorspelbaarheid. Met de profielen user en RDP was Tom Hunter in deze stad een arme jongen, maar zelfs hij had al veel kunnen bekijken door de glanzende etalages van het beveiligingsbeleid.<\/p>\n
Delen van bestandsservers, boekhoudrekeningen en zelfs bijbehorende scripts \u2014 alles was openbaar gedeeld. In de instellingen van een van deze scripts vond Tom de MS SQL-hash van een gebruiker. Een beetje brute-kracht magie \u2014 en de gebruikershash veranderde in een plaintext wachtwoord. Bedankt John The Ripper en Hashcat.<\/p>\n
\"Dagboek
\n
\nDeze sleutel moest wel voor een bepaalde kist passen. De kist werd gevonden, en nog beter \u2014 er waren nog tien 'kisten' aan verbonden. En binnen zes lagen... superuser rechten, nt authority systeem! Op twee was het mogelijk om de opgeslagen procedure xp_cmdshell uit te voeren en cmd-opdrachten naar Windows te sturen. Wat kun je nog meer wensen?<\/p>\n
Domeincontrollers<\/h2>\n
\nDe tweede slag had Tom Hunter in petto voor de domeincontrollers. In het netwerk van 'De Hound of the Baskervilles' waren er drie \u2014 in overeenstemming met het aantal geografisch verspreide servers. Elke domeincontroller heeft een openbare map, alsof het een open etalage in een winkel is, waar dezelfde arme jongen Tom rondhangt.<\/p>\n
En deze keer had de jongen weer geluk \u2014 ze waren vergeten het script van de etalage te verwijderen, waarin het wachtwoord van de lokale serveradmin hardcoded was. Dus de weg naar de domeincontroller was geopend. Kom binnen, Tom!<\/p>\n
Hieruit werd de toverhoed getrokken mimikatz<\/a><\/noindex>, die door enkele domeinbeheerders zijn ge\u00efnfiltreerd. Tom Hunter kreeg toegang tot alle machines in het lokale netwerk, en de duivelse lach joeg de kat van de buurman van de stoel. Deze route was korter dan verwacht.<\/p>\n
EternalBlue<\/h2>\n
\nDe herinnering aan WannaCry en Petya is nog steeds levendig in de gedachten van pentesters, maar sommige beheerders lijken de ransomware te vergeten te midden van andere avondnieuws. Tom ontdekte drie knooppunten met een kwetsbaarheid in het SMB-protocol \u2014 CVE-2017-0144 of EternalBlue. Dit is de kwetsbaarheid die werd gebruikt om de WannaCry en Petya ransomware te verspreiden, een kwetsbaarheid die het mogelijk maakt om willekeurige code op een knooppunt uit te voeren. Op een van de kwetsbare knooppunten was er een sessie van een domeinbeheerder \u2014 'exploiteer en ontvang'. Wat kun je doen, de tijd heeft niet iedereen onderwezen.<\/p>\n
\"Dagboek
\n<\/p>\n
\u2018De Hound of the Baskervilles\u2019<\/h2>\n
\nKlassiekers in de informatiebeveiliging herhalen graag dat het zwakste punt van elk systeem de mens is. Heb je opgemerkt dat de titel hierboven niet overeenkomt met de naam van de winkel? Misschien is niet iedereen zo oplettend.<\/p>\n
In de beste traditie van phishingblockbusters registreerde Tom Hunter een domein dat slechts \u00e9\u00e9n letter verschilde van het domein \u2018Hound of the Baskervilles\u2019. Het e-mailadres op dit domein imiteerde het adres van de informatiebeveiligingsdienst van de winkel. Gedurende 4 dagen tussen 16:00 en 17:00 werd op 360 adressen gelijkmatig een dergelijke e-mail van een nepadres verzonden:<\/p>\n
\"Dagboek
\n
\nWaarschijnlijk werd de massale uitlekken van wachtwoorden van medewerkers alleen gered door hun eigen luiheid. Van de 360 e-mails werden er slechts 61 geopend \u2014 de beveiligingsdienst is niet erg populair. Daarna werd het echter gemakkelijker.<\/p>\n
\"Dagboek
\nPhishingpagina<\/i><\/p>\n
46 mensen klikten op de link en bijna de helft \u2014 21 medewerkers \u2014 keek niet naar de adresbalk en voerde rustig hun inloggegevens in. Goede vangst, Tom.<\/p>\n
\"Dagboek
\n<\/p>\n
Wi-Fi netwerk<\/h2>\n
\nNu kon Tom niet meer rekenen op de hulp van de kat. Tom Hunter gooide een paar apparaten in zijn oude sedan en vertrok naar het kantoor van \u2018Hound of the Baskervilles\u2019. Zijn bezoek was niet goedgekeurd: Tom was van plan de Wi-Fi van de klant te testen. Op de parkeerplaats van het zakelijke centrum waren er verschillende vrije plekken die goed binnen de perimeter van het doelnet vielen. Over de beperkingen werd blijkbaar niet erg nagedacht \u2014 alsof de beheerders willekeurig extra punten installeerden als reactie op iedere klacht over een zwakke Wi-Fi.<\/p>\n
Hoe werkt WPA\/WPA2 PSK-beveiliging? De encryptie tussen het toegangspunt en de clients wordt geleverd door een pre-session key - Pairwise Transient Key (PTK). PTK maakt gebruik van de Pre-Shared Key en vijf andere parameters - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), MAC-adressen van het toegangspunt en de client. Tom heeft alle vijf parameters onderschept, en alleen de Pre-Shared Key ontbreekt nog.<\/p>\n
\"Dagboek
\n
\nDe tool Hashcat heeft dit ontbrekende schakelstuk in ongeveer 50 minuten gebroken - en onze held kwam op het gastnetwerk. Van daaruit kon hij het werknetwerk zien - vreemd genoeg wist Tom het wachtwoord in ongeveer negen minuten te krijgen. En dat terwijl hij op de parkeerplaats bleef zitten, zonder enige VPN. Het werknetwerk bood onze held eindeloze mogelijkheden voor schimmige activiteiten, maar hij\u2026 voegde geen bonussen toe aan de winkelkaart.<\/p>\n
Tom nam een pauze, keek op de klok, liet een paar bankbiljetten op de tafel liggen en verliet het caf\u00e9. Misschien weer een pentest, of misschien iets anders. telegramkanaal<\/a><\/noindex> had bedacht om te schrijven\u2026
\n<\/i>
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Dagboek van Tom Hunter: \u2018De Hound of the Baskervilles\u2019 | ProHoster","description":"Vertraging bij het ondertekenen is gebruikelijk voor elk groot bedrijf. De overeenkomst tussen Tom Hunter en een netwerk dierenwinkel voor een grondige pentest was hierop geen uitzondering.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}