Dziennik Toma Huntera: „Pies Baskerville'a”

Zwłoka w podpisaniu umowy to powszechna praktyka w każdej dużej firmie. Nie inaczej było z umową między Tomem Hunterem a jednym sieciowym sklepem zoologicznym dotycząca gruntownego testowania bezpieczeństwa. Należało sprawdzić zarówno stronę internetową, jak i wewnętrzną sieć, a nawet robocze Wi-Fi.

Nic dziwnego, że ręce zaczęły swędzieć jeszcze zanim załatwiono wszystkie formalności. Po prostu przeszukać stronę dla pewności, w końcu tak znany sklep jak „Pies Baskerville’ów” nie może sobie pozwolić na błędy już na tym etapie. Po kilku dniach Tom otrzymał podpisany oryginał umowy — w tym czasie przy trzeciej filiżance kawy z zainteresowaniem oceniał stan magazynów w swojej wewnętrznej CMS...

Źródło: Ehsan Taebloo

Jednak nie udało się zbytnio poszaleć w CMS — adres IP Toma Huntera został zablokowany przez administratorów strony. Chociaż można by było zdążyć wygenerować zniżki na kartę sklepu i przez długie miesiące karmić ukochanego kota tanio… „Nie tym razem, Darth Sidious” — pomyślał Tom z uśmiechem. Mniej więcej równie ciekawie byłoby przejść z obszaru strony internetowej do lokalnej sieci klienta, ale najwyraźniej te segmenty u klienta nie są połączone. Często tak jest w bardzo dużych firmach.

Po załatwieniu wszystkich formalności Tom Hunter uzbroił się w przyznaną mu usługę VPN i udał się do lokalnej sieci klienta. Konto znajdowało się w obrębie domeny Active Directory, więc można było bez większych problemów wykonać zrzut AD — zebrać wszystkie publicznie dostępne informacje o użytkownikach i stacjach roboczych.

Tom uruchomił narzędzie adfind i zaczął wysyłać zapytania LDAP do kontrolera domeny. Z filtrem według klasy objectCategory, wskazując person jako atrybut. Otrzymał następującą strukturę odpowiedzi:

dn:CN=Gość,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Gość
>description: Wbudowane konto do dostępu gości do komputera lub domeny
>distinguishedName: CN=Gość,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Oprócz tego było wiele przydatnych informacji, ale to, co najciekawsze, znajdowało się w polu >description: >description. To komentarz do konta — w zasadzie wygodne miejsce na przechowywanie niewielkich notatek. Jednak administracja klienta uznała, że hasła mogą tu spokojnie leżeć. Kto w końcu mógł być zainteresowany tymi nieistotnymi służbowymi kontami? Dlatego komentarze, które otrzymał Tom, wyglądały tak:

Utworzone przez Administratora, 2018.11.16 7po!*Vqn

Nie trzeba być geniuszem, aby zrozumieć, do czego przyda się kombinacja na końcu. Pozostało rozparsować duży plik odpowiedzi od KD po polu >description: i oto są — 20 par login-hasło. Co więcej, prawie połowa ma dostęp przez RDP. Niezły punkt wyjścia, czas podzielić siły ataku.

Środowisko sieciowe

Dostępne udostępnienia 'Psa Baskerville'a' przypominały wielkie miasto w całym jego chaosie i nieprzewidywalności. Z profilami użytkownika i RDP, Tom Hunter był w tym mieście biednym chłopcem, ale nawet on miał wiele do zobaczenia przez lśniące witryny polityki bezpieczeństwa.

Części serwerów plików, konta księgowe i nawet związane z nimi skrypty — wszystko to było wystawione na publiczny dostęp. W ustawieniach jednego z takich skryptów Tom znalazł hash MS SQL jednego użytkownika. Trochę magii brute force — i hash użytkownika zamienił się w hasło w formacie plain text. Dzięki John The Ripper i Hashcat.

Ten klucz musiał pasować do jakiejś skrzynki. Skrzynka została znaleziona, a co więcej — było z nią związanych jeszcze dziesięć 'skrzynków'. A w sześciu leżały… prawa superużytkownika, nt authority system! W dwóch udało się uruchomić procedurę składowaną xp_cmdshell i wysłać komendy cmd do Windows. Czego chcieć więcej?

Kontrolery domeny

Drugi cios Tom Hunter przygotował dla kontrolerów domeny. W sieci 'Psa Baskerville'a' były trzy — zgodnie z ilością terenowo odległych serwerów. Każdy kontroler domeny miał publiczny folder, niczym otwarta witryna w sklepie, przy której kręci się wciąż ten sam biedny chłopiec Tom.

I tym razem chłopak znowu miał szczęście — z witryny nie usunięto skryptu, w którym był hardkodowany hasło lokalnego administratora serwera. Więc droga do kontrolera domeny była otwarta. Wchodź, Tom!

Tutaj z magicznego kapelusza wyciągnięto mimikatz, który nałożył rękę na kilku administratorów domen. Tom Hunter uzyskał dostęp do wszystkich maszyn w lokalnej sieci, a diabelski śmiech spłoszył kota z sąsiedniego fotela. Ta droga była krótsza, niż się spodziewano.

EternalBlue

Pamięć o WannaCry i Petya wciąż żyje w umysłach pentesterów, ale niektórzy administratorzy zdają się zapominać o ransomware'ach w strumieniu innych wieczornych wiadomości. Tom odkrył trzy węzły z podatnością w protokole SMB — CVE-2017-0144 lub EternalBlue. To ta sama podatność, która pozwalała ransomware'om WannaCry i Petya się rozprzestrzeniać, podatność, która umożliwia wykonanie dowolnego kodu na węźle. Na jednym z podatnych węzłów była sesja administratora domeny — „wystawiaj i zgarniaj”. Cóż, czas nie nauczył wszystkich.

„Pies Baskerville'ów”

Klasycy bezpieczeństwa informacji lubią powtarzać, że najsłabszym ogniwem w każdej systemie jest człowiek. Zauważyliście, że powyższy tytuł nie odpowiada nazwie sklepu? Może nie wszyscy są tak spostrzegawczy.

W najlepszym stylu phishingowych blockbusterów, Tom Hunter zarejestrował domenę, różniącą się o jedną literę od domeny „Psa Baskerville'ów”. Adres e-mail na tej domenie imitował adres służby bezpieczeństwa informacyjnego sklepu. Przez 4 dni, w godzinach od 16:00 do 17:00, równomiernie na 360 adresów z fałszywego adresu wysyłano takie oto wiadomości:

Prawdopodobnie jedynie lenistwo pracowników ocaliło ich przed masowym wyciekiem haseł. Z 360 wiadomości otwarto zaledwie 61 — służba bezpieczeństwa nie cieszy się dużą popularnością. Ale potem było już łatwiej.

Strona phishingowa

46 osób kliknęło w link, a prawie połowa — 21 pracowników — nie spojrzała w pasek adresu i spokojnie wpisała swoje loginy i hasła. Dobry wynik, Tom.

Sieć Wi-Fi

Teraz nie można było liczyć na pomoc kota. Tom Hunter wrzucił do swojego starego sedana kilka gratów i udał się do biura „Psa Baskerville'ów”. Jego wizyta nie była uzgodniona: Tom zamierzał przetestować Wi-Fi klienta. Na parkingu centrum biznesowego znalazło się kilka wolnych miejsc, które idealnie mieściły się w obrębie celu sieci. O jego ograniczeniach najwyraźniej nie myślano zbytnio — jakby administratorzy chaotycznie dodawali dodatkowe punkty w odpowiedzi na każdą skargę dotyczącą słabego Wi-Fi.

Jak działa zabezpieczenie WPA/WPA2 PSK? Szyfrowanie między punktem dostępu a klientami zapewnia klucz sesji wstępnej — Pairwise Transient Key (PTK). PTK korzysta z Pre-Shared Key i pięciu innych parametrów — SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), adresów MAC punktu dostępu i klienta. Tom przechwycił wszystkie pięć parametrów, a jedyne, czego mu brakowało, to Pre-Shared Key.

Narzędzie Hashcat przechwyciło ten brakujący element w ciągu około 50 minut — i nasz bohater znalazł się w sieci gościnnej. Z tej sieci można już zobaczyć sieć roboczą — co ciekawe, tutaj Tom uporał się z hasłem w zaledwie dziewięć minut. I to wszystko bez wychodzenia z parkingu, bez żadnych VPN. Sieć robocza otworzyła naszemu bohaterowi możliwości do potwornych działań, ale… tak i nie załadował bonusów na kartę sklepu.

Tom zrobił chwilę przerwy, popatrzył na zegarek, rzucił kilka banknotów na stolik i, pożegnawszy się, wyszedł z kawiarni. Może znów pentest, a może coś innego... kanał telegramowy ...zamiast tego wymyślił, że napisze...


Źródło: habr.com