ٽام هنٽر جي ڊائري: "دي هاؤنڊ آف دي باسڪرويلز"

دستخط ۾ دير ڪنهن به وڏي ڪمپني لاءِ عام آهن. ٽام هنٽر جي وچ ۾ معاهدو ۽ هڪ زنجير پالتو جانورن جي دڪان جي مڪمل پينٽيٽنگ لاءِ ڪو به استثنا نه هو. اسان کي ويب سائيٽ چيڪ ڪرڻو پيو، اندروني نيٽ ورڪ، ۽ اڃا به ڪم ڪندڙ وائي فائي.

عجب جي ڳالهه ناهي ته سموريون رسمون پوريون ٿيڻ کان اڳ ئي منهنجي هٿن ۾ خارش ٿي رهي هئي. خير، صرف سائيٽ کي صرف ان صورت ۾ اسڪين ڪريو، اهو ممڪن ناهي ته هڪ مشهور اسٽور جيئن ته "The Hound of the Baskervilles" هتي غلطيون ڪندو. ڪجهه ڏينهن بعد، ٽام کي آخرڪار دستخط ٿيل اصل معاهدو پهچايو ويو - هن وقت، ڪافي جي ٽئين مگ تي، اندروني سي ايم ايس کان ٽام دلچسپي سان گودام جي حالت جو جائزو ورتو ...

جو ذريعو: احسان تبلو

پر سي ايم ايس ۾ گهڻو انتظام ڪرڻ ممڪن نه هو - سائيٽ جي منتظمين ٽام هنٽر جي IP تي پابندي لڳائي ڇڏي. جيتوڻيڪ اهو ممڪن هوندو ته اسٽور ڪارڊ تي بونس پيدا ڪرڻ ۽ ڪيترن ئي مهينن تائين پنهنجي پياري ٻلي کي سستي تي کارائڻ لاءِ وقت هجي... ”هن ڀيري نه، ڊارٿ سيڊيوس،“ ٽام مسڪرائيندي سوچيو. ويب سائيٽ جي علائقي کان ڪسٽمر جي مقامي نيٽ ورڪ ڏانهن وڃڻ گهٽ دلچسپ نه هوندو، پر ظاهر آهي ته اهي حصا ڪلائنٽ لاءِ ڳنڍيل ناهن. اڃا تائين، اهو گهڻو ڪري تمام وڏي ڪمپنين ۾ ٿئي ٿو.

سڀني رسمن کان پوء، ٽام هنٽر پاڻ کي مهيا ڪيل وي پي اين اڪائونٽ سان هٿياربند ڪيو ۽ ڪسٽمر جي مقامي نيٽ ورڪ ڏانهن ويو. اڪائونٽ Active Directory ڊومين جي اندر هو، تنهنڪري اهو ممڪن هو ته AD کي ڪنهن خاص چال کان سواءِ ڊمپ ڪيو وڃي - استعمال ڪندڙن ۽ ڪم ڪندڙ مشينن بابت عوامي طور تي موجود معلومات کي ختم ڪرڻ.

ٽام شروع ڪيو ايڊفائنڊ يوٽيلٽي ۽ LDAP درخواستون موڪلڻ شروع ڪيو ڊومين ڪنٽرولر ڏانهن. هڪ فلٽر سان اعتراض جي درجي جي درجي تي، شخص کي هڪ خاصيت جي طور تي بيان ڪندي. جواب هيٺ ڏنل ڍانچي سان واپس آيو:

dn:CN=Гость,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Гость
>description: Встроенная учетная запись для доступа гостей к компьютеру или домену
>distinguishedName: CN=Гость,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

ان کان علاوه، تمام گهڻي مفيد معلومات هئي، پر سڀ کان وڌيڪ دلچسپ هئي > وضاحت: > وضاحت واري فيلڊ ۾. هي هڪ اڪائونٽ تي هڪ تبصرو آهي - بنيادي طور تي نابالغ نوٽس رکڻ لاءِ هڪ آسان جڳهه. پر ڪلائنٽ جي منتظمين فيصلو ڪيو ته پاس ورڊ به خاموشيءَ سان اتي ويهي سگهن ٿا. ڪير، آخرڪار، انهن سڀني غير معمولي سرڪاري رڪارڊ ۾ دلچسپي رکي سگهي ٿو؟ تنهن ڪري ٽام کي مليل رايا هئا:

Создал Администратор, 2018.11.16 7po!*Vqn

توھان کي سمجھڻ لاءِ راڪيٽ سائنسدان ٿيڻ جي ضرورت ناھي ته آخر ۾ ميلاپ مفيد ڇو آھي. باقي رهيل وڏي جوابي فائل کي سي ڊي مان پارس ڪرڻ لاءِ > وضاحت واري فيلڊ کي استعمال ڪندي: ۽ هتي اهي هئا - 20 لاگ ان-پاسورڊ جوڙو. ان کان علاوه، تقريبن اڌ ۾ RDP رسائي جا حق آهن. خراب پل نه، حملو ڪندڙ قوتن کي ورهائڻ جو وقت.

نيٽ ورڪ

باسڪرويل بالن جا پهچ وارا هينڊز ان جي تمام افراتفري ۽ غير متوقع طور تي هڪ وڏي شهر جي ياد ڏياري رهيا هئا. صارف ۽ آر ڊي پي پروفائلز سان، ٽام هنٽر هن شهر ۾ هڪ ڀڃي ڇوڪرو هو، پر ان جي باوجود هن سيڪيورٽي پاليسي جي چمڪندڙ ونڊوز ذريعي ڪيتريون ئي شيون ڏسڻ ۾ اينديون.

فائل سرور جا حصا، اڪائونٽنگ اڪائونٽس، ۽ حتي ان سان لاڳاپيل اسڪرپٽ سڀ عوامي ڪيا ويا. انهن مان هڪ اسڪرپٽ جي سيٽنگن ۾، ٽام هڪ صارف جو MS SQL هيش مليو. ٿورڙو وحشي قوت جادو - ۽ صارف جو هيش هڪ سادي متن پاسورڊ ۾ تبديل ٿي ويو. جان The Ripper ۽ Hashcat جي مهرباني.

هن چاٻي کي ڪجهه سينه مناسب هجڻ گهرجي. سينه ملي ويو، ۽ وڌيڪ ڇا آهي، ڏهه وڌيڪ "چيسٽ" ان سان لاڳاپيل هئا. ۽ ڇهن ڇهن جي اندر ... سپر يوزر حق، اين ٽي اٿارٽي سسٽم! انهن مان ٻن تي اسان هلائي سگهندا هئاسين xp_cmdshell ذخيرو ٿيل طريقيڪار ۽ سي ايم ڊي حڪمن کي ونڊوز ڏانهن موڪليو. توهان وڌيڪ ڇا چاهيو ٿا؟

ڊومين سنڀاليندڙ

ٽام هنٽر ڊومين ڪنٽرولرز لاءِ ٻيو ڌڪ تيار ڪيو. جاگرافيائي طور تي ريموٽ سرورز جي تعداد جي مطابق، انهن مان ٽي ”باسڪرويلز جا ڪتا“ نيٽ ورڪ ۾ هئا. هر ڊومين ڪنٽرولر وٽ هڪ پبلڪ فولڊر هوندو آهي، جهڙوڪ اسٽور ۾ کليل ڊسپلي ڪيس، جنهن جي ويجهو ساڳيو غريب ڇوڪرو ٽام ٽنگيل آهي.

۽ هن ڀيري اهو ڇوڪرو ٻيهر خوش قسمت هو - اهي اسڪرپٽ کي ڊسپلي ڪيس مان هٽائڻ وساري ويٺا، جتي مقامي سرور منتظم پاسورڊ هارڊ ڪوڊ ٿيل هو. تنهنڪري ڊومين ڪنٽرولر جو رستو کليل هو. اندر اچو، ٽام!

هتي جادو ٽوپي مان ڪڍيو ويو mimikatz، جن ڪيترن ئي ڊومين جي منتظمين کان فائدو ورتو. ٽام هنٽر مقامي نيٽ ورڪ تي سڀني مشينن تائين رسائي حاصل ڪئي، ۽ شيطاني کلڻ ٻلي کي ايندڙ ڪرسي کان خوفزده ڪيو. اهو رستو توقع کان ننڍو هو.

دائمي بليو

WannaCry ۽ Petya جي يادگيري اڃا تائين پينٽسٽرز جي ذهنن ۾ زنده آهي، پر ڪجهه منتظمين شام جي ٻين خبرن جي وهڪري ۾ ransomware کي وساري ويٺا آهن. ٽام دريافت ڪيو ٽي نوڊس هڪ ڪمزوري سان SMB پروٽوڪول ۾ - CVE-2017-0144 يا EternalBlue. اهو ساڳيو نقصان آهي جيڪو WannaCry ۽ Petya ransomware کي ورهائڻ لاءِ استعمال ڪيو ويو هو، هڪ اهڙي ڪمزوري جيڪا اجازت ڏئي ٿي ثالثي ڪوڊ کي ميزبان تي عمل ڪرڻ جي. هڪ ڪمزور نوڊس تي هڪ ڊومين انتظامي سيشن هو - "استحصال ڪريو ۽ حاصل ڪريو." تون ڇا ڪري سگهين ٿو، وقت سڀني کي سيکاريو ناهي.

"Basterville جو ڪتو"

معلومات جي سيڪيورٽي جا ڪلاس ٻيهر ورجائڻ پسند ڪن ٿا ته ڪنهن به سسٽم جو ڪمزور ترين نقطو ماڻهو آهي. نوٽ ڪريو ته مٿي ڏنل عنوان اسٽور جي نالي سان نٿو ملي؟ شايد هرڪو ايترو ڌيان نه آهي.

فشنگ بلاڪ بسٽرز جي بهترين روايتن ۾، ٽام هنٽر هڪ ڊومين رجسٽرڊ ڪيو جيڪو هڪ خط کان مختلف آهي “Hounds of the Baskervilles” ڊومين. هن ڊومين تي ٽپال ايڊريس اسٽور جي معلومات سيڪيورٽي سروس جي ايڊريس کي نقل ڪيو. 4 ڏينهن دوران 16:00 کان 17:00 تائين، هيٺ ڏنل خط هڪجهڙائي سان 360 پتي تي جعلي ايڊريس کان موڪليو ويو:

شايد، صرف انهن جي پنهنجي سستي ملازمن کي پاس ورڊ جي وڏي ليک کان بچايو. 360 خطن مان، صرف 61 کوليا ويا - سيڪيورٽي سروس تمام مشهور نه آهي. پر پوء اهو آسان ٿي ويو.

فشنگ صفحو

46 ماڻهن لنڪ تي ڪلڪ ڪيو ۽ لڳ ڀڳ اڌ - 21 ملازمن - ايڊريس بار ڏانهن نه ڏٺو ۽ آرام سان پنهنجا لاگ ان ۽ پاسورڊ داخل ڪيا. سٺي پڪڙي، ٽام.

وائي فائي نيٽ ورڪ

هاڻي ٻلي جي مدد تي ڳڻڻ جي ضرورت نه هئي. ٽام هنٽر پنهنجي پراڻي سيڊان ۾ لوهه جا ڪيترائي ٽڪر اڇلايا ۽ هوائون آف دي باسڪرويلز جي آفيس ۾ ويو. هن جي دوري تي اتفاق نه ڪيو ويو: ٽام ڪسٽمر جي وائي فائي کي جانچڻ وارو هو. ڪاروباري مرڪز جي پارڪنگ ۾ ڪيترائي خالي جڳھون آھن جيڪي آساني سان ٽارگيٽ نيٽ ورڪ جي دائري ۾ شامل آھن. ظاهري طور تي، انهن ان جي حد جي باري ۾ گهڻو ڪجهه نه سوچيو - ڄڻ ته منتظمين بي ترتيب طور تي ضعيف وائي فائي جي باري ۾ ڪنهن به شڪايت جي جواب ۾ اضافي پوائنٽون پوکي رهيا هئا.

WPA/WPA2 PSK سيڪيورٽي ڪيئن ڪم ڪندو آهي؟ رسائي پوائنٽ ۽ ڪلائنٽ جي وچ ۾ انڪرپشن هڪ پري سيشن ڪيچ - Pairwise Transient Key (PTK) ذريعي مهيا ڪئي وئي آهي. PTK Pre-Shared Key ۽ پنج ٻيا پيرا ميٽر استعمال ڪري ٿو - SSID، Authenticator Nounce (ANounce)، Supplicant Nounce (SNounce)، رسائي پوائنٽ ۽ ڪلائنٽ MAC ايڊريس. ٽام سڀني پنجن پيٽرولن کي روڪيو، ۽ هاڻي صرف پري شيئر ڪيل چاٻي غائب هئي.

Hashcat افاديت هن غائب لنڪ کي اٽڪل 50 منٽن ۾ ڊائون لوڊ ڪيو - ۽ اسان جو هيرو مهمان نيٽ ورڪ ۾ ختم ٿي ويو. ان کان توهان اڳ ۾ ئي ڪم ڪندڙ هڪ ڏسي سگهو ٿا - عجيب ڪافي، هتي ٽام تقريبا نو منٽن ۾ پاسورڊ منظم ڪيو. ۽ هي سڀ بغير ڪنهن وي پي اين جي پارڪنگ لاٽ ڇڏڻ کان سواءِ. ڪم ڪندڙ نيٽ ورڪ اسان جي هيرو لاءِ خوفناڪ سرگرمين جو دائرو کولي ڇڏيو، پر هن ڪڏهن به اسٽور ڪارڊ تي بونس شامل نه ڪيو.

ٽام رڪيو، پنهنجي واچ ڏانهن ڏٺو، ٽيبل تي ٻه بئنڪ نوٽ اڇلايا ۽ الوداع چئي ڪيفي مان نڪري ويو. ٿي سگهي ٿو ته اهو هڪ پينٽسٽ ٻيهر آهي، يا شايد ان ۾ آهي ٽيليگرام چينل لکڻ جو سوچيم...


جو ذريعو: www.habr.com