د ټام هنټر ډایری: "د باسکرویلز ښکار"

د لاسلیک کولو ځنډ د هر لوی شرکت لپاره عام دی. د بشپړ پینټیسټینګ لپاره د ټام هنټر او یو سلسلي پالتو پلورنځی ترمینځ تړون هیڅ استثنا نه وه. موږ باید ویب پاڼه وګورئ، داخلي شبکه، او حتی د Wi-Fi کار کول.

دا د حیرانتیا خبره نه ده چې زما لاسونه حتی مخکې له دې چې د ټولو رسمياتو له سره خارښ وکړي. ښه ، یوازې په هغه حالت کې سایټ سکین کړئ ، دا امکان نلري چې د "باسکرویلز هونډ" په څیر مشهور پلورنځی به دلته غلطي وکړي. یو څو ورځې وروسته ، ټام ته په پای کې لاسلیک شوی اصلي تړون وسپارل شو - پدې وخت کې ، د کافي دریم مګ په اوږدو کې ، ټام د داخلي CMS څخه د ګدامونو حالت په علاقه سره ارزولی ...

سرچینه: احسان تبلغ

مګر دا ممکنه نه وه چې په CMS کې ډیر څه اداره کړي - د سایټ مدیرانو د ټام هنټر IP منع کړ. که څه هم دا به ممکنه وي چې د پلورنځي کارت کې بونس رامینځته کولو لپاره وخت ولرئ او خپلې ګرانې پیشو ته د څو میاشتو لپاره په ارزانه توګه خواړه ورکړئ ... "دا ځل نه ، ډارت سیډیوس ،" ټام په مسکا سره فکر وکړ. دا به لږ په زړه پورې نه وي چې د ویب پاڼې ساحې څخه د پیرودونکي محلي شبکې ته لاړ شئ، مګر په ښکاره ډول دا برخې د پیرودونکي لپاره ندي تړل شوي. بیا هم، دا ډیری وختونه په لویو شرکتونو کې پیښیږي.

د ټولو رسمياتو وروسته، ټام هنټر ځان د چمتو شوي VPN حساب سره مسلح کړ او د پیرودونکي محلي شبکې ته لاړ. حساب د فعال لارښود ډومین دننه و، نو دا ممکنه وه چې پرته له کوم ځانګړي چالونو څخه AD ډمپ کړئ - د کاروونکو او کاري ماشینونو په اړه ټول عامه موجود معلومات وچول.

ټام د اډفینډ افادیت پیل کړ او د ډومین کنټرولر ته یې د LDAP غوښتنې لیږل پیل کړل. د څیز کټګوري ټولګي کې د فلټر سره ، د شخص مشخص کول د ځانګړتیا په توګه. ځواب د لاندې جوړښت سره بیرته راغی:

dn:CN=Гость,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гость
>description: Встроенная учетная запись для доступа гостей к компьютеру или домену
>distinguishedName: CN=Гость,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

د دې سربیره، ډیر ګټور معلومات شتون درلود، مګر تر ټولو په زړه پورې د > توضیح: > تشریح ساحه کې وه. دا په یوه حساب کې تبصره ده - اساسا د کوچني نوټونو ساتلو لپاره یو مناسب ځای. مګر د پیرودونکي مدیرانو پریکړه وکړه چې پاسورډونه هم په خاموشۍ سره ناست وي. څوک، په هرصورت، کیدای شي د دې ټولو غیر رسمي رسمي ریکارډونو سره علاقه ولري؟ نو هغه تبصرې چې ټام ترلاسه کړې وې:

Создал Администратор, 2018.11.16 7po!*Vqn

تاسو اړتیا نلرئ د راکټ ساینس پوه شئ ترڅو پوه شئ چې ولې په پای کې ترکیب ګټور دی. ټول هغه څه چې پاتې دي د > توضیحي ساحې په کارولو سره د CD څخه د لوی ځواب فایل پارس کول دي: او دلته دوی - 20 د ننوتلو پاسورډ جوړه وه. سربیره پردې، نږدې نیمایي د RDP لاسرسي حق لري. خراب پل نه دی، د برید کونکي ځواکونو ویشلو وخت دی.

شبکه

د باسکرویل بالونو د لاسرسي وړ هونډونه په خپل ټول ګډوډي او غیر وړاندوینې کې د لوی ښار یادونه کوي. د کارونکي او RDP پروفایلونو سره، ټام هنټر په دې ښار کې یو مات شوی هلک و، مګر حتی هغه د امنیتي پالیسۍ د چمکۍ کړکیو له لارې ډیری شیان لیدلي.

د فایل سرورونو برخې، د محاسبې حسابونه، او حتی د دوی سره تړلي سکریپټونه ټول عامه شوي. د دې سکریپټونو څخه د یوې په ترتیباتو کې، ټام د یو کاروونکي MS SQL هش وموندل. یو کوچنی وحشي ځواک جادو - او د کارونکي هش په ساده متن پټنوم بدل شو. د جان دی ریپر او هشکټ څخه مننه.

دا کیلي باید یو څه سینې سره سمون ولري. سينه وموندل شوه، او نور څه دي، لس نور "سينې" ورسره تړلي دي. او په شپږ پوړونو کې دننه ... د سوپر کاروونکو حقونه، د واک سیسټم! په دوی کې موږ وکولی شو د xp_cmdshell ذخیره شوي پروسیجر پرمخ یوسو او وینډوز ته د cmd کمانډونه واستوو. تاسو نور څه غواړئ؟

د ډومین کنټرولر

ټام هنټر د ډومین کنټرولرانو لپاره دوهم ګوزار چمتو کړ. د جغرافیائی پلوه لیرې پرتو سرورونو د شمیر سره سم د دوی درې یې د "باسکرویلز سپي" شبکې کې شتون درلود. هر ډومین کنټرولر یو عامه فولډر لري، لکه په پلورنځي کې د پرانیستې نندارې قضیه، چې نږدې ورته غریب هلک ټام ځړول کیږي.

او دا ځل هلک بیا بختور و - دوی د ښودنې قضیې څخه سکریپټ لرې کول هیر کړل ، چیرې چې د محلي سرور اډمین پاسورډ هارډ کوډ شوی و. نو د ډومین کنټرولر ته لاره خلاصه وه. دننه راشئ، ټام!

دلته د جادو خولۍ څخه ایستل شوی و mimikatz، چا چې د ډیری ډومین مدیرانو څخه ګټه پورته کړه. ټام هنټر په محلي شبکه کې ټولو ماشینونو ته لاس رسی ترلاسه کړ، او شیطاني خندا د بلې څوکۍ څخه پیشو ډار کړ. دا لاره له توقع څخه لنډه وه.

انټرنیټ بلو

د WannaCry او پیټیا یادونه لاهم د پینټیسټانو په ذهنونو کې ژوندي ده ، مګر داسې بریښي چې ځینې مدیران د ماښام د نورو خبرونو په جریان کې د ransomware په اړه هیر کړي. ټام د SMB پروتوکول - CVE-2017-0144 یا EternalBlue کې د زیان منونکي سره درې نوډونه کشف کړل. دا هماغه زیان منونکی دی چې د WannaCry او Petya ransomware ویشلو لپاره کارول شوی و، یو زیانمنونکی چې په کوربه کې د خپل سري کوډ اجرا کولو ته اجازه ورکوي. په یو زیان منونکي نوډونو کې د ډومین اډمین سیشن شتون درلود - "استخراج او ترلاسه کړئ." څه کولی شی، وخت هرچاته درس نه دی ورکړی.

"د باسټرویل سپی"

د معلوماتو خوندیتوب کلاسیکونه تکرار کول خوښوي چې د هر سیسټم ضعیف ټکی سړی دی. په یاد ولرئ چې پورته سرلیک د پلورنځي نوم سره سمون نه لري؟ شاید هرڅوک دومره پاملرنه نه کوي.

د فشینګ بلاک بسټرونو په غوره دودونو کې، ټام هنټر یو ډومین ثبت کړ چې د "باسکرویلز هونډز" ډومین څخه د یو لیک سره توپیر لري. په دې ډومین کې د بریښنالیک پته د پلورنځي د معلوماتو امنیت خدماتو پته تقلید کړې. د 4 ورځو په جریان کې د 16:00 څخه تر 17:00 پورې، لاندې لیک په یو ډول د جعلي پتې څخه 360 پتې ته لیږل شوی و:

شاید، یوازې د دوی خپل سست کارمندان د پاسورډونو د ډله ایز لیک څخه وژغورل. د 360 لیکونو څخه، یوازې 61 خلاص شوي - د امنیت خدمت خورا مشهور نه دی. مګر بیا دا اسانه وه.

د فشینګ پاڼه

46 خلکو په لینک کلیک وکړ او نږدې نیمایي - 21 کارمندان - د ادرس بار ته نه ګوري او په آرامۍ سره خپل ننوتل او پاسورډونه دننه کړي. ښه کیچ، ټام.

د وای فای شبکه

اوس د بلی په مرسته حساب کولو ته اړتیا نه وه. ټام هنټر په خپل زوړ سیډان کې د اوسپنې څو ټوټې وغورځولې او د باسکرویل د هونډ دفتر ته لاړ. د هغه لیدنه موافقه نه وه شوې: ټام د پیرودونکي وای فای ازموینه کوي. د سوداګرۍ مرکز په پارکینګ کې ډیری وړیا ځایونه شتون درلود چې په اسانۍ سره د هدف شبکې په احاطه کې شامل وو. په ښکاره ډول ، دوی د دې محدودیت په اړه ډیر فکر نه کاوه - لکه څنګه چې مدیران په تصادفي ډول د ضعیف وای فای په اړه د کوم شکایت په ځواب کې اضافي ټکي ټکوي.

د WPA/WPA2 PSK امنیت څنګه کار کوي؟ د لاسرسي نقطې او مراجعینو تر مینځ کوډ کول د ناستې دمخه کیلي لخوا چمتو شوي - د پییر وار انتقالي کیلي (PTK). PTK د مخکینۍ شریک شوي کیلي او پنځه نور پیرامیټونه کاروي - SSID، تصدیق کونکی اعلان (ANounce)، د غوښتونکی نوم (SNounce)، د لاسرسي نقطه او د پیرودونکي MAC پتې. ټام ټول پنځه پیرامیټونه مداخله وکړه، او اوس یوازې مخکې شریک شوی کیلي ورکه وه.

د Hashcat افادیت دا ورک شوی لینک په شاوخوا 50 دقیقو کې ډاونلوډ کړ - او زموږ اتل د میلمنو شبکه کې پای ته ورسید. له دې څخه تاسو کولی شئ دمخه کار وګورئ - په عجیب ډول ، دلته ټام شاوخوا نهه دقیقو کې پاسورډ اداره کړ. او دا ټول د پارکینګ پریښودو پرته ، پرته له کوم VPN. کاري شبکې زموږ د اتل لپاره د شیطاني فعالیتونو لپاره فرصت خلاص کړ، مګر هغه ... هیڅکله د پلورنځي کارت ته بونس نه دي اضافه کړي.

ټام ودرید، خپل ساعت ته یې وکتل، یو څو بانک نوټونه یې په میز کې وغورځول او الوداع یې وویل، له کیف څخه ووتل. شاید دا یو پینټیسټ بیا وي، یا شاید دا دننه وي د ټیلیګرام چینل ما فکر کاوه چې لیکل وکړم ...


سرچینه: www.habr.com