Të vonosh nënshkrimin është një praktikë e zakonshme për çdo kompani të madhe. Asnjë përjashtim nuk bëhet për marrëveshjen mes Tom Hunter dhe një duçani online për kafshë për një testim të thelluar të sigurisë. Duhej të kontrolloheshin si faqja e internetit ashtu edhe rrjeti i brendshëm, madje edhe Wi-Fi në punë.
Nuk është befasuese që duart filluan të trokasin akoma përpara se të formalizoheshin të gjitha detajet. Një skanim i thjeshtë i faqes në internet, ndoshta një dyqan kaq i njohur si 'Bashkëshorti i Baskervileve' nuk do të bënte gabime këtu. Pas disa ditësh, Tomi përfundimisht mori një kopje origjinale të nënshkruar të kontratës – nga ana tjetër, me filxhanin e tretë të kafesë, Tomi ishte duke shqyrtuar me interes gjendjen e magazinave përmes CMS së brendshme...
Burimi:
Por nuk pati shumë mundësi për të bërë menaxhim në CMS – IP e Tom Hunter u bllokua nga administratorët e faqes. Megjithëse do të ishte e mundur të gjeneroheshin bonuse për kartën e dyqanit dhe për një kohë të gjatë të ushqehej macja e tij e dashur me çmime më të ulta... 'Jo këtë herë, Darth Sidious' – mendoi Tom me një buzëqeshje. Do të ishte po ashtu interesante të kalosh nga zona e faqes në rrjetin lokal të klientit, por duket se këto segmente nuk janë të lidhura. Kjo është më e zakonshme në kompanitë shumë të mëdha.
Pas të gjitha formaliteteve, Tom Hunter u armatos me llogarinë VPN të ofruar dhe doli në rrjetin lokal të klientit. Llogaria ishte brenda domainit Active Directory, kështu që mund të merrej lehtësisht dhe të bëhej një dump i AD - të eksportohej të gjithë informacioni publik mbi përdoruesit dhe makinat e punës.
Tom nisi të përdorte mjetin adfind dhe filloi të dërgonte kërkesa LDAP në kontrollorin e domainit. Me filtrin sipas klasës objectCategory, duke specifikuar person si atribut. Ktheu një përgjigje me këtë strukturë:
dn:CN=Guest,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Guest
>description: Llogaria e integruar për qasje për mysafirët në kompjuterin ose domainin
>distinguishedName: CN=Guest,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0ZPërveç kësaj kishte shumë informacion të dobishëm, por më interesante ishte në fushën >description: >description. Ky është një koment për llogarinë — në thelb, një vend i përshtatshëm për të ruajtur shënime të vogla. Por administratoret e klientit menduan se edhe fjalëkalimet mund të prekin këtu me qetësi. Kush, në fund të fundit, mund të ketë interes për të gjitha këto llogari të vogla? Prandaj, komentet që mori Tom kishin këtë pamje:
Krijuar nga Administratori, 2018.11.16 7po!*VqnNuk është e nevojshme të jesh gjeni për të kuptuar se për çfarë do të përdoret kombinimi në fund. Duhej thjesht të analizoheshin skedarët e mëdhenj të përgjigjeve nga KD për fushën >description: dhe ja, ata janë — 20 çifte të login-fjalëkalim. Dhe pothuajse gjysma e tyre ka të drejta qasjeje për RDP. Një platformë e shkëlqyer, është koha për të ndarë forcat sulmuese.
Mjedisi rrjetë
Pjesët e paketuara të "Qentë e Baskervilëve" i përngjasonin një qyteti të madh në gjithë kaosin dhe papriturinë e tij. Me profilin e përdoruesit dhe RDP, Tom Hunter ishte në këtë qytet një djalë të varfër, por edhe ai kishte arritur të shihte shumë përmes vitrinave të ndritshme të politikave të sigurisë.
Pjesë nga serverët e skedarëve, llogaritë e kontabilitetit dhe madje skriptet e lidhura me to – të gjitha këto ishin vendosur në dispozicion publik. Në cilësimet e njërit prej këtyre skripteve, Tomi gjeti hash-in MS SQL të një përdoruesi. Pak magji brute-force – dhe hash-i i përdoruesit u shndërrua në një fjalëkalim në tekst të hapur. Faleminderit John the Ripper dhe Hashcat.
Ky çelës duhej të përputhej me ndonjë arkë. Arkë u gjet, dhe më tej – ajo kishte lidhje me dhjetë ‘arkat’ të tjera. Dhe brenda gjashtë prej tyre ndodhen… privilegjet e superpërdoruesit, sistemi nt authority! Në dy prej tyre arritëm të ekzekutonim procedurën e ruajtur xp_cmdshell dhe të dërgonim komandat cmd në Windows. Çfarë tjetër mund të dëshirojmë?
Kontrolluesit e domain-it
Goditja e dytë që Tom Hunter kishte parashikuar ishte për kontrolluesit e domain-it. Në rrjetin ‘Qentë e Baskervileve’ kishte tre – në përputhje me numrin e serverëve të largët. Çdo kontrollues domain-i ka një dosje publike, si një vitrinë e hapur në dyqan, përballë së cilës shfaqet vazhdimisht ai fëmija i varfër, Tom.
Dhe këtë herë djaloshi kishte përsëri fat — nga vitrina harrohej të hiqej skripti, ku ishte hardkoduar password-i i adminit të serverit lokal. Pra, rruga drejt kontrolluesit të domenit ishte e hapur. Hyj, Tom!
Nga topi magjik u nxorr , i cili përfitoi nga disa administratorë të domain-it. Tom Hunter fitoi qasje në të gjitha makinat në rrjetin lokal dhe qeshja djallëzore friksoi macen nga kolltuku fqinj. Kjo rrugë ishte më e shkurtër sesa pritej.
EternalBlue
Kujtimi për WannaCry dhe Petya është ende i gjallë në mendjet e pentesterëve, por disa adminë, duket, e kanë harruar ransomware-in në rrjedhën e lajmeve të tjera të mbrëmjes. Tom zbuloi tre node me dobësi në protokollin SMB — CVE-2017-0144 ose EternalBlue. Kjo është ajo dobësi me të cilën u përhapën ransomware-t WannaCry dhe Petya, një dobësi që lejon ekzekutimin e kodit të arbitrueshëm në node. Në një nga node-t e dobësoar kishte një sesion të adminit të domain-it — 'shfrytzoje dhe merr'. Çfarë të bëjmë, koha nuk i mësoi të gjithë.
«Qeni i Baskervileve»
Ekspertët e sigurisë informacionit shpesh përsërisin se pika më e dobët e çdo sistemi është njeriu. A e keni vënë re se titulli më sipër nuk përputhet me emrin e dyqanit? Ndoshta, jo të gjithë janë aq të vëmendshëm.
Në traditën më të mirë të bllokadave phishing, Tom Hunter regjistroi një domen që dallonte vetëm me një shkronjë nga domeni "Qentë e Baskervileve". Adresa e postës elektronike në këtë domen imitouar adresën e shërbimit të sigurisë informacionit të dyqanit. Gjatë 4 ditëve nga ora 16:00 në 17:00, u dërguan shkresa të tilla në 360 adresa nga një adresë false.
Mund të thuhet se vetëm lenia e vetme e punonjësve shpëtoi nga rrjedhja masive e fjalëkalimeve. Nga 360 mesazhe, vetëm 61 u hapën - shërbimi i sigurisë nuk gëzon popullaritet të madh. Megjithatë, më pas gjithçka u bë më e lehtë.
Faqja phishing
46 persona klikuan në lidhje dhe pothuajse gjysma - 21 punonjës - nuk e kontrolluan shiritin e adresave dhe me qetësi vendosën emrat e përdoruesve dhe fjalëkalimet e tyre. Një kapje e mirë, Tom.
Rrjeti Wi-Fi
Tani, Tom Hunter nuk kishte nevojë të llogariste në ndihmën e macës. Ai hodhi disa pajisje në sedanin e tij të vjetër dhe u drejtua për në zyrën e 'Qenit të Baskervileve'. Vizita e tij nuk ishte e konfirmuar: Tom planifikonte të testonte Wi-Fi-në e klientit. Në parkimin e qendrës biznesore u gjetën disa vende të lira, të cilat ishin në perimetrin e rrjetit të synuar. Rreth kufizimeve të tij, duket, asnjeri nuk kishte menduar shumë — sikur administratorët thjesht po vendosnin pika të tjera në përgjigje të çdo ankesë për Wi-Fi të dobët.
Si funksionon mbrojtja WPA/WPA2 PSK? Kriptimi midis pikës së aksesit dhe klientëve sigurohet nga çelësi i sesionit paraprak — Pairwise Transient Key (PTK). PTK përdor çelësin e Përbashkët të Parapërgatitur dhe pesë parametra të tjerë — SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), adresat MAC të pikës së aksesit dhe klientit. Tom kapte të pesë parametrat, dhe tani i duhej vetëm çelësi i Përbashkët të Parapërgatitur.
Utilita Hashcat zbatoi këtë lidhje të munguar për rreth 50 minuta — dhe heroi ynë u gjend në rrjetin e mysafirëve. Nga aty, mund të shihej rrjeti në punë — si befasuese siç ishte, Tom e zgjidhi fjalëkalimin për rreth nëntë minuta. Dhe gjithë kjo pa lëvizur nga parkingu, pa ndonjë VPN. Rrjeti në punë i ofronte heroit tonë hapësira për aktivitete monstruoze, por ai... nuk e shtoi dot bonusin në kartën e dyqanit.
Tom bëri një pauzë, shqyrtoi orën, hodhi disa banknotë mbi tavolinë dhe, duke u përshëndetur, doli nga kafeneja. Ndoshta një pëntest tjetër, ndoshta ndonjë gjë tjetër në mendoi të shkruante...
Burimi: habr.com
