Në këtë artikull do të flitet shkurtimisht për atë që mund të na tregojë një gjë kaq e zakonshme si NetBIOS. Çfarë informacioni mund të sigurojë ai për një keqbërës potencial/pentester.
Zona e demonstruar e aplikimit të teknikave të zbulimit i përket rrjeteve të brendshme, pra atyre të izoluar dhe të paqasshme nga jashtë. Të tilla rrjete zakonisht ka në çdo kompani, madje edhe në ato më të voglat.
I vetë NetBIOS përdoret zakonisht për të marrë emrin e rrjetit. Dhe kjo do të jetë e mjaftueshme për të bërë të paktën 4 gjëra.
Zbulimi i hosteve
Për shkak se NetBIOS mund të përdorë UDP si transport, shpejtësia e tij e punës e lejon të zbulojë hostet në rrjete shumë të mëdha. Kështu, për shembull, mjeti nbtscan, i përfshirë në paketën me të njëjtin emër, mund të zgjidhë adresat e rrjetit të tipit 192.168.0.0/16 për vetëm 2 sekonda (mund të ngadalësojë rrjetin), ndërsa një skanim tradicional TCP do të marrë disa minuta. Kjo veçori mund të përdoret si një teknikë zbulimi hostesh (host sweep) në rrjete shumë të mëdha, për të cilat nuk dihet asgjë, para se të nisi nmap. Edhe pse rezultati nuk garanton 100% zbulimi, pasi kryesisht do të përgjigjen hostet Windows dhe as këto jo të gjitha, ai gjithsesi do të lejojë të përcaktohet në cilat zona ndodhen hostet aktivë.
Identifikimi i hosteve
Duke përdorur rezultatet e marrjes së emrave nga adresat IP:
mund të shohim: përveç se emri zbulon pronarin e stacionit të punës (edhe pse kjo ndodh jo gjithmonë), një nga adresat dallohet qartë nga të tjerat. Mund të shohim se është marrë emri KALI. Ky qëndrim është karakteristik, zakonisht për unix-implementimin SMB/NetBIOS në paketën softuerike samba ose për Windows më të vjetra Windows 2000.
Marrja e emrit KALI, ndonjëherë në hoste të tjera kjo <unknown> tregon praninë e asaj që quhet null-session. Me konfigurimet e paracaktuara SMB-serverat në linux janë të prirë ndaj saj. Null-session thjesht lejon që në mënyrë absolutisht anonime (dhe nuk kemi futur asnjë fjalëkalim, siç duket në ekran) të marrim një sasi të madhe informacioni të mëtejshëm, siç është politika lokale e fjalëkalimeve, lista e përdoruesve lokalë, grupeve dhe lista e burimeve të shpërndara (share):
Shpesh në linux SMB-serverat kanë nshkalla publike të aksesueshme, jo vetëm për të lexuar, por madje edhe për të shkruar. Prania e të dyve bart rreziqe të ndryshme, përdorimi i të cilave kalon përtej këtij artikulli.
NetBIOS po ashtu lejon marrjen e emrave të të gjithë tipeve që ruan stacioni i punës:
në këtë rast, kjo mundëson të dihet se hosti është gjithashtu një kontrollues domeni. ARRIVA.
Për më tepër, është e rëndësishme të vihet në dukje që NetBIOS mundëson të marrë mac-adresë. Në përputhje me kërkesat arp, kërkesat NetBIOS kanë aftësinë të kalojnë përtej nënrrjetës. Kjo mund të jetë e dobishme, për shembull, nëse kërkohet të gjendet një laptop ose një harduer specifik në rrjet, duke ditur prodhuesin e tij. Duke qenë se tre oktetet e para mac-adresave identifikojnë prodhuesin, është e mundur të dërgohen të tilla NetBIOS-kërkesa në të gjitha nënrrjetet e njohura për të provuar të gjejmë pajisjen e kërkuar (http://standards-oui.ieee.org/oui.txt).
Përcaktimi i përkatësisë në domen
Shpesh, kur lëvizim nëpër rrjetet e brendshme kuorporative, është e nevojshme të sulmohet pikërisht stacioni i punës, i përfshirë në domen (p.sh., për të rritur privilegjet në nivelin e administratorit të domenit) ose anasjelltas. Në këtë rast, NetBIOS një herë tjetër mund të ndihmojë:
Në këtë rast, me ndihmën e NetBIOS u morën të gjithë emrat e të gjithë tipeve. Ndër ta, përveç emrit të PC-së (ato që ishte marrë më parë), mund të shikohet gjithashtu emri i grupit të punës. Në mënyrë të parazgjedhur për windows zakonisht është diçka si WORKGROUP или IVAN-PC, por nëse stacioni i punës është në domen, atëherë grupi i tij i punës është emri i domenit.
Kështu, me ndihmën e NetBIOS mund të dihet nëse stacioni i punës është në domen dhe, nëse po, në cilin.
Nëse kërkohet të merret lista e hosteve të domenit brenda nënrrjetës, një kërkesë e vetme e transmetimit me emrin e domenit të nevojshëm do të mjaftojë:
në rezultat do të përgjigjen të gjithë hostet që janë pjesë e këtij domendi.
Zbulimi i hosteve multihomed
Dhe në fund, një teknikë ndoshta shumë e panjohur, e cila është thjesht e domosdoshme për gjetjen e rrugëve në rrjete të mbrojtura, ndoshta edhe fizikisht të izoluara. Këto mund të jenë rrjetet e punës të ndërmarrjeve, të pajisura me kontrolle. Qasje në këtë rrjet për një sulmues do të thotë mundësi për të ndikuar në procesin teknologjik, ndërsa për ndërmarrjen rreziku për të përjetuar humbje të mëdha.
Pra ndaj, thelbi është që, edhe nëse rrjeti është i izoluar nga rrjeti korporativ, shpesh disa administratorë, për shkak të lenësisë së tyre ose ndoshta nga mënyra tjetër, preferojnë të aktivizojnë një kartë të re rrjeti në PC-të e tyre që të kenë akses në këtë rrjet. Kjo bëhet sigurisht në mënyrë të paligjshme përmes rregullave të çdo mbrojtjeje korporative të rrjetit. E lehtë, apo jo, por jo shumë e sigurt; nëse dikush sulmon, atëherë do të bëheni një urë për këtë rrjet dhe do të mbani përgjegjësi.
Megjithatë, për sulmuesin, ka një problem — të gjejë atë administratorin që është futur në rrjetin e mbrojtur në këtë mënyrë të paligjshme. Për më tepër, kjo është një problem i vështirë edhe për sigurinë e rrjetit. Në ndërmarrjet e mëdha, kjo është me te vërtetë një tërësi e vështirë, si të gjesh një gjilpërë në një grumbull me rërë.
Në këtë situatë, për sulmuesin do të kishte dy mundësi të qarta:
1. të përpiqet të përdorë secilin PC në subnetin korporativ si një kalim për në rrjetin e kërkuar. Kjo do të ishte shumë e përshtatshme, por rrallë ndodh, pasi në windows hostet ip forwarding është pothuajse gjithmonë i çaktivizuar. Për më tepër, një kontroll i tillë është i mundur vetëm brenda subnetit të tij, dhe gjithashtu kërkon që sulmuesi të dijë saktësisht adresën e synuar nga rrjeti i izoluar.
2. të përpiqet të hyjë në çdo host dhe të ekzekutojë komandën banale ipconfig/ifconfig. Dhe këtu nuk është gjithçka aq e lehtë. Edhe nëse sulmuesi ka fituar të drejtat e administratorit të domenit, asnjë nga mbrojtjet e rrjetit dhe firewall-at lokalë nuk janë anuluar. Kështu që kjo detyrë nuk mund të automatizohet 100%. Si rezultat, mbetet të hyhet në çdo host duke u përballur me mbrojtjet e rrjetit (shpesh duke bllokuar portin 445/tcp), në shpresë të shohim përfundimisht ndërfaqen e dëshiruar të rrjetit.
Megjithatë, ka një zgjidhje shumë më të thjeshtë. Ekziston një teknikë jashtëzakonisht e thjeshtë që lejon të merret nga një host Lista e ndërfaqeve të rrjetit. Le të supozojmë se kemi një host të tillë:
kjo është një zgjidhje e prapambetur ip-adresa → emri i rrjetit. Nëse tani përpiqemi të bëjmë një zgjidhje të drejtpërdrejtë emri i rrjetit → ip-adresa:
atëherë do të zbulojmë se ky host është gjithashtu një kalim (duke duket) në një rrjet tjetër. Vlen të përsëritet se, në këtë rast, kërkesa është bërë përmes një transmetimi të gjerë. Me fjalë të tjera, do të dëgjohet vetëm nga hostet brenda subnetit të sulmuesit.
Nëse host-i i synuar ndodhet jashtë nënrrjetit, mund të dërgohet një kërkesë e synuar:
Në këtë rast, duket se qëllimi ndodhet jashtë nënrrjetit të sulmuesit. Me ndihmën e çelësit -B, u tregua se kërkesa duhet dërguar në një adresë të caktuar, e jo në atë të përgjithshme.
Tani mbetet vetëm të mblidhet shpejt informacioni nga e gjithë nënrrjeti i interesit, e jo vetëm nga një adresë. Për këtë, mund të përdoret një python-skipt:
Dhe pas disa sekondash:
Në këtë rast, host-i i dedikuar do të bëhej targeti i parë i sulmuesit, nëse ai do të ndiqte rrjetin 172.16.1/24.
Emrat e përsëritur në ip të ndryshme tregojnë se host-i ka gjithashtu dy karta rrjeti, por tashmë në një nënrrjet. Këtu duhet theksuar se NetBIOS nuk zbulon alias-at (të cilat mund të llogariten lehtësisht përmes kërkesave arp si ip me të njëjtin mac). Në këtë rast ip-адреса kanë të ndryshme mac.
Një shembull tjetër i përdorimit të këtij triku është Wi-Fi publik. Ndonjëherë, mund të hasni situata kur në mesin e pajisjeve të mysafirëve që lidhen me rrjetin publik, stafi që punon në një segment të mbyllur të korporatës lidhet gjithashtu. Atëherë, me ndihmën e kësaj teknike spiunazhi, sulmuesi do të jetë shumë shpejt në gjendje të përcaktojë një rrugë për të hyrë në rrjetin e mbyllur:
Në këtë rast, ndër 65 klientët e Wi-Fi publik, u zbuluan dy stacione pune, të cilat kishin një ndërfaqe shtesë, më së shumti të lidhur me rrjetin korporativ.
Nëse ndonjëherë midis segmenteve të rrjetit, ose direkt në stacionet e punës, vërehet filtrimi i trafikut në portin 445/tcp, i cili parandalon hyrjen e largët në sistem (ekzekutimin e kodit nga distanca), atëherë në këtë rast për zgjidhjen e emrave përdoret NetBIOS porti 137/udp, bllokimi i vetëdijshëm i të cilit gati nuk ndodh, pasi do të dëmtonte ndjeshëm lehtësinë e punës në rrjet, për shembull, mund të zhduket ambienti rrjetësor etj.
Siç thuhet, enumeration is the key
A ka ndonjë mbrojtje nga kjo? Nuk ka, pasi ndryshe nuk është një dobësi për të gjithë. Ky është thjesht funksionaliteti standard i asaj pak që ekziston në mënyrë të paracaktuar windows (në linux sjellja ndryshon pak). Dhe nëse, ndonjëherë, pa autorizim, u bashkuat në një segment të mbyllur, sulmuesi do t'ju gjente patjetër dhe do ta bënte këtë shumë shpejt.
Burimi: habr.com
