Odgoda s potpisivanjem uobičajena je za svaku veliku kompaniju. Izuzetak nije bio ni ugovor između Toma Huntera i jedne mrežne prodavnice kućnih ljubimaca za temeljno testiranje sigurnosti. Trebalo je proveriti i sajt, i internu mrežu, čak i radni Wi-Fi.
Nije iznenađujuće što su Tomove ruke bile spremne da deluju još pre nego što su sve formalnosti bile završene. Pa, samo da skenira sajt za svaki slučaj, malo je verovatno da bi tako poznata prodavnica kao „Psica Baskervilov“ napravila greške već ovde. Nakon nekoliko dana, Tom je ipak dobio potpisani original ugovora — u to vreme je uz treću šolju kafe Tom iz interne CMS-a sa zanimanjem procenjivao stanje skladišta…
Izvor:
Ali posebno se nije moglo pozabaviti CMS-om — Tomov IP je bio blokiran od strane administratora sajta. Mada, moglo se stići da se generišu bonusi na prodavnici i mesecima prehranjuje omiljeni mačak po sniženoj ceni… „Ne ovaj put, Darth Sidious“ — pomislio je Tom s osmehom. Bilo bi jednako zanimljivo preći iz zone veb sajta u lokalnu mrežu klijenta, ali, očigledno, ti segmenti kod klijenta nisu povezani. Tako obično biva u veoma velikim kompanijama.
Nakon svih formalnosti, Tom Hunter se opremio dostavljenom VPN računom i otišao u lokalnu mrežu klijenta. Račun je bio unutar domena Active Directory, tako da je mogao lako napraviti AD dump — izvući sve javno dostupne informacije o korisnicima i radnim mašinama.
Tom je pokrenuo alatku adfind i počeo slati LDAP upite kontroleru domena. Sa filterom po klasi objectCategory, navodeći person kao atribut. Vratio se odgovor sa takvom strukturom:
dn:CN=Gost,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Gost
>description: Ugrađeni račun za pristup gostiju računaru ili domeni
>distinguishedName: CN=Gost,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0ZPoleg tega je bilo še veliko koristnih informacij, toda kar je bilo najbolj zanimivo, je ležalo na polju >description: >description. To je bil komentar za račun — v bistvu priročno mesto za shranjevanje nepomembnih opomb. Vendar so skrbniki stranke menili, da lahko tukaj mirno ležijo tudi gesla. Kdo bi se na koncu zanimala za vse te nepomembne delovne račune? Zato so komentarji, ki jih je prejel Tom, izgledali tako:
Ustvaril Administrator, 2018.11.16 7po!*VqnNi treba biti genij, da bi razumel, za kaj bo prišla prav kombinacija na koncu. Ostalo je le še razčleniti velik odgovor od KD po polju >description: in tukaj je — 20 parov prijava-geslo. Poleg tega skoraj polovica ima dostop preko RDP. Niso slab izhodiščni pogoji, čas je, da razdelimo napadalne sile.
Omrežno okolje
Na voljo delitve 'Baskervilskih psov' so spominjale na veliko mesto v vsem njegovem kaosu in nepredvidljivosti. S profili user in RDP je bil Tom Hunter v tem mestu revež, a tudi on je uspel marsikaj opaziti skozi svetle vitrine varnostne politike.
Delovi datotečnih strežnikov, računi ter zapleti, povezani z njimi — vse to je bilo objavljeno v skupno rabo. V nastavitvah enega od teh skriptov je Tom našel MS SQL hash enega uporabnika. Malo magije brute force in hash uporabnika se je spremenil v plain text geslo. Hvala John The Ripper in Hashcat.
Ta ključ bi moral ustrezati nekemu zaboju. Zabo je bil najden, in kar je več — s tem je bilo povezanih še deset 'zabojčkov'. In znotraj šestih so ležale… pravice superuporabnika, nt authoritysistem! Na dveh je bilo možno zagnati shranjeno proceduro xp_cmdshell in poslati cmd ukaze v Windows. Kaj še želiš?
Domenni kontrolerji
Drugi udarec je Tom Hunter pripravil za domenne kontrolerje. V omrežju 'Baskervilskih psov' jih je bilo tri — v skladu s številom teritorialno odstranjenih strežnikov. Vsak domeni kontroler ima javno mapo, kot odprta izložba v trgovini, kjer se zadrži vse tisti revež Tom.
In tokrat je fant spet imel srečo — iz izložbe niso odstranili skripta, kjer je bil hardkodiran geslo lokalnega strežniškega skrbnika. Tako je bila pot do domenega kontrolerja odprta. Vstopi, Tom!
Tukaj je bila izvlečena iz čarobnega klobuka , ki se je prehranjeval z nekaj domenami skrbnikov. Tom Hunter je pridobil dostop do vseh računalnikov v lokalnem omrežju, in hudičev smeh je prestrašil mačko s sosednje naslonjače. Ta pot je bila krajša, kot je bilo pričakovano.
EternalBlue
Spomin na WannaCry in Petya je še vedno živ v mislih pentesterjev, a nekateri skrbniki so očitno pozabili na šifrantne programe sred večernih novic. Tom je odkril tri vozlišča z ranljivostjo v protokolu SMB – CVE-2017-0144 ali EternalBlue. To je tista ranljivost, s katero so se širili šifrantni programi WannaCry in Petya, ranljivost, ki omogoča izvajanje poljubne kode na vozlišču. Na enem od ranljivih vozlišč je bila seansa domena skrbnika – "izkoristi in osvoji". Kaj naj rečem, čas ni naučil vseh.
«Pes Baskervilskih»
Klasiki informacijske varnosti radi govorijo, da je najšibkejša točka katerega koli sistema človek. Opazili ste, da naslov zgoraj ne ustreza imenu trgovine? Morda niso vsi tako pozorni.
V najboljših tradicijah ribarskih blokbasterjev je Tom Hunter registriral domeno, ki se je po eni črki razlikovala od domene «Pes Baskervilskih». E-poštni naslov na tej domeni je posnemal naslov službe za informacijsko varnost trgovine. V 4 dneh, od 16:00 do 17:00, je z lažnega naslova bilo poslano takšno sporočilo na 360 naslovov:
Morda je pred množičnim uhajanjem gesel zaposlenih rešila le njihova lastna lenoba. Od 360 e-poštnih sporočil je bilo odprtih le 61 – služba za varnost ni zelo priljubljena. A naprej je bilo lažje.
Phishing stran
46 ljudi je kliknilo povezavo in skoraj polovica – 21 zaposlenih – ni pogledala v vrstico z naslovom in mirno vnesla svoje prijavne podatke. Dober ulov, Tom.
Wi-Fi omrežje
Zdaj ni bilo mogoče računati na mačko. Tom Hunter je v svoj starinski avto vrgel nekaj naprav in se odpravil v pisarno «Psa Baskervilskih». Njegova ob visita ni bila dogovorjena: Tom je nameraval preizkusiti Wi-Fi naročnika. Na parkirišču poslovnega centra je bilo nekaj prostih mest, ki so bila ugodno v okviru tarčnega omrežja. O njegovem omejevanju se očitno niso preveč spraševali – kot da so skrbniki naključno dodajali dodatne točke kot odgovor na kakršno koli pritožbo o šibkem Wi-Fiju.
Kako deluje WPA/WPA2 PSK zaščita? Šifriranje med dostopno točko in strankami zagotavlja ključ prejšnje seje — Pairwise Transient Key (PTK). PTK uporablja Pre-Shared Key in pet drugih parametrů — SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), MAC naslove dostopne točke in stranke. Tom je zajel vseh pet parametrov, ter zdaj je manjkala le še Pre-Shared Key.
Orodje Hashcat je našlo to manjkajoče povezavo v približno 50 minutah — in naš junak se je znašel v gostiteljskem omrežju. Iz njega je že lahko videl delovno omrežje — kot neverjetno, Tom je s pravočasno prijavo upravljal v devetih minutah. In vse to brez zapustitve parkirišča, brez kakšnih koli VPN. Delovno omrežje je odprlo široke možnosti za strašne aktivnosti, a on… ni dodal bonusov na trgovinsko kartico.
Tom je naredil pavzo, pogledal na uro, odložil nekaj bankovcev na mizo in, poslavljajoč se, zapustil kavarno. Mogoče ponovno pentest, mogoče pa kaj drugega. je zamislil napisati…
Izvor: habr.com
