{"id":38057,"date":"2019-10-31T22:21:26","date_gmt":"2019-10-31T19:21:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dnevnik-toma-hantera-sobaka-baskervilevyh\/"},"modified":"2019-10-31T22:21:26","modified_gmt":"2019-10-31T19:21:26","slug":"dnevnik-toma-hantera-sobaka-baskervilevyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","title":{"rendered":"Dnevnik Toma Huntera: \u201ePsica Baskervilov\u201c","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Odgoda s potpisivanjem uobi\u010dajena je za svaku veliku kompaniju. Izuzetak nije bio ni ugovor izme\u0111u Toma Huntera i jedne mre\u017ene prodavnice ku\u0107nih ljubimaca za temeljno testiranje sigurnosti. Trebalo je proveriti i sajt, i internu mre\u017eu, \u010dak i radni Wi-Fi.<\/p>\n

Nije iznena\u0111uju\u0107e \u0161to su Tomove ruke bile spremne da deluju jo\u0161 pre nego \u0161to su sve formalnosti bile zavr\u0161ene. Pa, samo da skenira sajt za svaki slu\u010daj, malo je verovatno da bi tako poznata prodavnica kao \u201ePsica Baskervilov\u201c napravila gre\u0161ke ve\u0107 ovde. Nakon nekoliko dana, Tom je ipak dobio potpisani original ugovora \u2014 u to vreme je uz tre\u0107u \u0161olju kafe Tom iz interne CMS-a sa zanimanjem procenjivao stanje skladi\u0161ta\u2026<\/p>\n

\"DnevnikIzvor: Ehsan Taebloo<\/a><\/noindex><\/i>
\n<\/a><\/noindex>
\nAli posebno se nije moglo pozabaviti CMS-om \u2014 Tomov IP je bio blokiran od strane administratora sajta. Mada, moglo se sti\u0107i da se generi\u0161u bonusi na prodavnici i mesecima prehranjuje omiljeni ma\u010dak po sni\u017eenoj ceni\u2026 \u201eNe ovaj put, Darth Sidious\u201c \u2014 pomislio je Tom s osmehom. Bilo bi jednako zanimljivo pre\u0107i iz zone veb sajta u lokalnu mre\u017eu klijenta, ali, o\u010digledno, ti segmenti kod klijenta nisu povezani. Tako obi\u010dno biva u veoma velikim kompanijama.<\/p>\n

Nakon svih formalnosti, Tom Hunter se opremio dostavljenom VPN ra\u010dunom i oti\u0161ao u lokalnu mre\u017eu klijenta. Ra\u010dun je bio unutar domena Active Directory, tako da je mogao lako napraviti AD dump \u2014 izvu\u0107i sve javno dostupne informacije o korisnicima i radnim ma\u0161inama.<\/p>\n

Tom je pokrenuo alatku adfind i po\u010deo slati LDAP upite kontroleru domena. Sa filterom po klasi objectCategory, navode\u0107i person kao atribut. Vratio se odgovor sa takvom strukturom:<\/p>\n

dn:CN=Gost,CN=Users,DC=domain,DC=local\n>objectClass: top\n>objectClass: person\n>objectClass: organizationalPerson\n>objectClass: user\n>cn: Gost\n>description: Ugra\u0111eni ra\u010dun za pristup gostiju ra\u010dunaru ili domeni\n>distinguishedName: CN=Gost,CN=Users,DC=domain,DC=local\n>instanceType: 4\n>whenCreated: 20120228104456.0Z\n>whenChanged: 20120228104456.0Z<\/code><\/pre>\n
\nPoleg tega je bilo \u0161e veliko koristnih informacij, toda kar je bilo najbolj zanimivo, je le\u017ealo na polju >description: >description. To je bil komentar za ra\u010dun \u2014 v bistvu priro\u010dno mesto za shranjevanje nepomembnih opomb. Vendar so skrbniki stranke menili, da lahko tukaj mirno le\u017eijo tudi gesla. Kdo bi se na koncu zanimala za vse te nepomembne delovne ra\u010dune? Zato so komentarji, ki jih je prejel Tom, izgledali tako:<\/p>\n
Ustvaril Administrator, 2018.11.16 7po!*Vqn<\/code><\/pre>\n
\nNi treba biti genij, da bi razumel, za kaj bo pri\u0161la prav kombinacija na koncu. Ostalo je le \u0161e raz\u010dleniti velik odgovor od KD po polju >description: in tukaj je \u2014 20 parov prijava-geslo. Poleg tega skoraj polovica ima dostop preko RDP. Niso slab izhodi\u0161\u010dni pogoji, \u010das je, da razdelimo napadalne sile.<\/p>\n
Omre\u017eno okolje<\/h2>\n
\nNa voljo delitve 'Baskervilskih psov' so spominjale na veliko mesto v vsem njegovem kaosu in nepredvidljivosti. S profili user in RDP je bil Tom Hunter v tem mestu reve\u017e, a tudi on je uspel marsikaj opaziti skozi svetle vitrine varnostne politike.<\/p>\n
Delovi datote\u010dnih stre\u017enikov, ra\u010duni ter zapleti, povezani z njimi \u2014 vse to je bilo objavljeno v skupno rabo. V nastavitvah enega od teh skriptov je Tom na\u0161el MS SQL hash enega uporabnika. Malo magije brute force in hash uporabnika se je spremenil v plain text geslo. Hvala John The Ripper in Hashcat.<\/p>\n
\"Dnevnik
\n
\nTa klju\u010d bi moral ustrezati nekemu zaboju. Zabo je bil najden, in kar je ve\u010d \u2014 s tem je bilo povezanih \u0161e deset 'zaboj\u010dkov'. In znotraj \u0161estih so le\u017eale\u2026 pravice superuporabnika, nt authoritysistem! Na dveh je bilo mo\u017eno zagnati shranjeno proceduro xp_cmdshell in poslati cmd ukaze v Windows. Kaj \u0161e \u017eeli\u0161?<\/p>\n
Domenni kontrolerji<\/h2>\n
\nDrugi udarec je Tom Hunter pripravil za domenne kontrolerje. V omre\u017eju 'Baskervilskih psov' jih je bilo tri \u2014 v skladu s \u0161tevilom teritorialno odstranjenih stre\u017enikov. Vsak domeni kontroler ima javno mapo, kot odprta izlo\u017eba v trgovini, kjer se zadr\u017ei vse tisti reve\u017e Tom.<\/p>\n
In tokrat je fant spet imel sre\u010do \u2014 iz izlo\u017ebe niso odstranili skripta, kjer je bil hardkodiran geslo lokalnega stre\u017eni\u0161kega skrbnika. Tako je bila pot do domenega kontrolerja odprta. Vstopi, Tom!<\/p>\n
Tukaj je bila izvle\u010dena iz \u010darobnega klobuka mimikatz<\/a><\/noindex>, ki se je prehranjeval z nekaj domenami skrbnikov. Tom Hunter je pridobil dostop do vseh ra\u010dunalnikov v lokalnem omre\u017eju, in hudi\u010dev smeh je prestra\u0161il ma\u010dko s sosednje naslonja\u010de. Ta pot je bila kraj\u0161a, kot je bilo pri\u010dakovano.<\/p>\n
EternalBlue<\/h2>\n
\nSpomin na WannaCry in Petya je \u0161e vedno \u017eiv v mislih pentesterjev, a nekateri skrbniki so o\u010ditno pozabili na \u0161ifrantne programe sred ve\u010dernih novic. Tom je odkril tri vozli\u0161\u010da z ranljivostjo v protokolu SMB \u2013 CVE-2017-0144 ali EternalBlue. To je tista ranljivost, s katero so se \u0161irili \u0161ifrantni programi WannaCry in Petya, ranljivost, ki omogo\u010da izvajanje poljubne kode na vozli\u0161\u010du. Na enem od ranljivih vozli\u0161\u010d je bila seansa domena skrbnika \u2013 \"izkoristi in osvoji\". Kaj naj re\u010dem, \u010das ni nau\u010dil vseh.<\/p>\n
\"Dnevnik
\n<\/p>\n
\u00abPes Baskervilskih\u00bb<\/h2>\n
\nKlasiki informacijske varnosti radi govorijo, da je naj\u0161ibkej\u0161a to\u010dka katerega koli sistema \u010dlovek. Opazili ste, da naslov zgoraj ne ustreza imenu trgovine? Morda niso vsi tako pozorni.<\/p>\n
V najbolj\u0161ih tradicijah ribarskih blokbasterjev je Tom Hunter registriral domeno, ki se je po eni \u010drki razlikovala od domene \u00abPes Baskervilskih\u00bb. E-po\u0161tni naslov na tej domeni je posnemal naslov slu\u017ebe za informacijsko varnost trgovine. V 4 dneh, od 16:00 do 17:00, je z la\u017enega naslova bilo poslano tak\u0161no sporo\u010dilo na 360 naslovov:<\/p>\n
\"Dnevnik
\n
\nMorda je pred mno\u017ei\u010dnim uhajanjem gesel zaposlenih re\u0161ila le njihova lastna lenoba. Od 360 e-po\u0161tnih sporo\u010dil je bilo odprtih le 61 \u2013 slu\u017eba za varnost ni zelo priljubljena. A naprej je bilo la\u017eje.<\/p>\n
\"Dnevnik
\nPhishing stran<\/i><\/p>\n
46 ljudi je kliknilo povezavo in skoraj polovica \u2013 21 zaposlenih \u2013 ni pogledala v vrstico z naslovom in mirno vnesla svoje prijavne podatke. Dober ulov, Tom.<\/p>\n
\"Dnevnik
\n<\/p>\n
Wi-Fi omre\u017eje<\/h2>\n
\nZdaj ni bilo mogo\u010de ra\u010dunati na ma\u010dko. Tom Hunter je v svoj starinski avto vrgel nekaj naprav in se odpravil v pisarno \u00abPsa Baskervilskih\u00bb. Njegova ob visita ni bila dogovorjena: Tom je nameraval preizkusiti Wi-Fi naro\u010dnika. Na parkiri\u0161\u010du poslovnega centra je bilo nekaj prostih mest, ki so bila ugodno v okviru tar\u010dnega omre\u017eja. O njegovem omejevanju se o\u010ditno niso preve\u010d spra\u0161evali \u2013 kot da so skrbniki naklju\u010dno dodajali dodatne to\u010dke kot odgovor na kakr\u0161no koli prito\u017ebo o \u0161ibkem Wi-Fiju.<\/p>\n
Kako deluje WPA\/WPA2 PSK za\u0161\u010dita? \u0160ifriranje med dostopno to\u010dko in strankami zagotavlja klju\u010d prej\u0161nje seje \u2014 Pairwise Transient Key (PTK). PTK uporablja Pre-Shared Key in pet drugih parametr\u016f \u2014 SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), MAC naslove dostopne to\u010dke in stranke. Tom je zajel vseh pet parametrov, ter zdaj je manjkala le \u0161e Pre-Shared Key.<\/p>\n
\"Dnevnik
\n
\nOrodje Hashcat je na\u0161lo to manjkajo\u010de povezavo v pribli\u017eno 50 minutah \u2014 in na\u0161 junak se je zna\u0161el v gostiteljskem omre\u017eju. Iz njega je \u017ee lahko videl delovno omre\u017eje \u2014 kot neverjetno, Tom je s pravo\u010dasno prijavo upravljal v devetih minutah. In vse to brez zapustitve parkiri\u0161\u010da, brez kak\u0161nih koli VPN. Delovno omre\u017eje je odprlo \u0161iroke mo\u017enosti za stra\u0161ne aktivnosti, a on\u2026 ni dodal bonusov na trgovinsko kartico.<\/p>\n
Tom je naredil pavzo, pogledal na uro, odlo\u017eil nekaj bankovcev na mizo in, poslavljajo\u010d se, zapustil kavarno. Mogo\u010de ponovno pentest, mogo\u010de pa kaj drugega. telegram kanal<\/a><\/noindex> je zamislil napisati\u2026
\n<\/i>
\n
Izvor: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433. \u041f\u0440\u0435\u0434\u0441\u0442\u043e\u044f\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u0441\u0430\u0439\u0442, \u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c, \u0438 \u0434\u0430\u0436\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 Wi-Fi. \u041d\u0435\u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0443\u043a\u0438 \u0437\u0430\u0447\u0435\u0441\u0430\u043b\u0438\u0441\u044c \u0435\u0449\u0435 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b\u0438 \u0443\u043b\u0430\u0436\u0435\u043d\u044b \u0432\u0441\u0435 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438. \u041d\u0443 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0430\u0439\u0442 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0432\u0440\u044f\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38057","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Dnevnik Toma Hunterja: \u00abHound of the Baskervilles\u00bb | ProHoster","description":"Zakasnitev s podpisovanjem je obi\u010dajno za katero koli veliko podjetje. Pogodba med Tomom Hunterjem in enim osmim mre\u017enim trgovino z \u017eivalmi za temeljit pentest ni bila izjema.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u043d\u0435\u0432\u043d\u0438\u043a \u0422\u043e\u043c\u0430 \u0425\u0430\u043d\u0442\u0435\u0440\u0430: \u00ab\u0421\u043e\u0431\u0430\u043a\u0430 \u0411\u0430\u0441\u043a\u0435\u0440\u0432\u0438\u043b\u0435\u0432\u044b\u0445\u00bb | ProHoster","og:description":"\u0417\u0430\u0442\u044f\u043d\u0443\u0442\u044c \u0441 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0434\u0435\u043b\u043e \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0439 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0442\u0430\u043b \u0434\u043e\u0433\u043e\u0432\u043e\u0440 \u043c\u0435\u0436\u0434\u0443 \u0422\u043e\u043c\u043e\u043c \u0425\u0430\u043d\u0442\u0435\u0440\u043e\u043c \u0438 \u043e\u0434\u043d\u0438\u043c \u0441\u0435\u0442\u0435\u0432\u044b\u043c \u0437\u043e\u043e\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u043e\u043c \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0438\u043d\u0433.","og:url":"https:\/\/prohoster.info\/sl\/blog\/news\/dnevnik-toma-hantera-sobaka-baskervilevyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:21:26+00:00","article:modified_time":"2019-10-31T19:21:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 20:17:37","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:16:22","updated":"2026-01-23 20:17:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/38057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=38057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/38057\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=38057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=38057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=38057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}