Të vonosh nënshkrimin është një gjë e zakonshme për çdo kompani të madhe. Një përjashtim nuk ishte as marrëveshja midis Tom Hunter dhe një dyqani online për kafshë për një testim të thelluar. Ishte e nevojshme të kontrollohej si faqja e internetit, ashtu edhe rrjeti i brendshëm dhe madje edhe Wi-Fi i punës.
Nuk është çudi që duar të shkonin të bënin punë përpara se të përfundoheshin të gjitha formalitetet. Ajo ishte vetëm një skanimin e faqes për çdo rast, me siguri një dyqan i njohur si 'Qeni i Baskervilëve' nuk do të bënte gabime këtu. Disa ditë më vonë, një kopje e nënshkruar e kontratës iu dorëzua Tomit - gjatë kësaj kohe ai po vlerësonte me interes gjendjen e magazinave nga CMS e brendshme, duke pirë kafenë e tretë.
Burimi:
Por nuk arriti të ushtrojë shumë pushtet në CMS - IP-ja e Tom Hunter u bllokua nga administratoret e faqes. Megjithatë, ishte e mundur të gjeneroheshin disa bonuse në kartën e dyqanit dhe për muaj të tërë të ushqehej macja e preferuar me çmime të lira... 'Jo këtë herë, Dart Sidious' - u mendua Tom me një buzëqeshje. Do të ishte po aq e këndshme të kalonte nga zona e faqes në rrjetin lokal të klientit, por duket se këto segmente nuk ishin të lidhura. Kështu ndodhi shpesh në kompani shumë të mëdha.
Pas të gjitha formaliteteve, Tom Hunter u pajis me llogarinë VPN të dhënë dhe u nis në rrjetin lokal të klientit. Llogaria ishte brenda domainit Active Directory, kështu që mund të merrej dhe pa ndonjë vështirësi të madhe të bëhej një dump i AD - të lëshohej gjithë informacioni publik mbi përdoruesit dhe makinat punuese.
Tom aktivizoi mjetin adfind dhe filloi të dërgonte kërkesa LDAP në kontrolluesin e domainit. Me filtrin për klasën objectCategory, duke caktuar person si atribut. Ktheu një përgjigje me këtë strukturë:
dn:CN=GUEST,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: GUEST
>description: Llogaria e integruar për qasje nga vizitorët në kompjuter ose domain
>distinguishedName: CN=GUEST,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0ZPërveç kësaj, kishte shumë informacione të tjera të dobishme, por më interesante ishte në fushën >description: >description. Ky është një koment mbi llogarinë - në parim, një vend i përshtatshëm për të ruajtur shënime të parëndësishme. Por administratorët e klientit menduan se edhe fjalëkalimet mund të qëndrojnë këtu. Në fund të fundit, kujt i interesojnë të gjitha këto llogari shërbimi pa rëndësi? Prandaj, komentet që mori Tom kishin këtë formë:
Krijuar nga Administrator, 2018.11.16 7po!*VqnNuk është e nevojshme të jesh ndihmëtar i mençur për të kuptuar se për çfarë do të përdoret kombinimi në fund. Duhej të shqyrtohej një skedar i madh përgjigjeje nga KD sipas fushës >description: dhe ja ata - 20 çifte përdorues-fjalëkalim. Për më tepër, gati gjysma kanë të drejta aksesimi përmes RDP. Një bazë e mirë, është koha për të ndarë forcat sulmuese.
Mjedisi rrjetor
Share-të e disponueshme të 'Qenve të Baskervilëve' i ngjanin një qyteti të madh në të gjithë kaosin dhe të paparashikueshmërinë e tij. Me profilin e përdoruesit dhe RDP, Tom Hunter ishte në këtë qytet si një djalë i varfër, por edhe ai kishte parë shumë përmes vitrinave të ndritshme të politikave të sigurisë.
Pjesët e serverëve të skedarëve, llogaritë e kontabilitetit dhe madje edhe skriptet e lidhura - të gjitha ishin nxjerrë në dispozitë publike. Në cilësimet e një prej këtyre skripteve, Tom gjeti hash-in MS SQL të një përdoruesi. Pak magji brute force - dhe hash-i i përdoruesit u shndërrua në fjalëkalim të qartë. Faleminderit John The Ripper dhe Hashcat.
Ky çelĂ«s duhet tĂ« zvogĂ«lojĂ« ndonjĂ« arkĂ«. ArkĂ« u gjet dhe pĂ«r mĂ« tepĂ«r - ishte e lidhur me dhjetĂ« âarkĂ«â tĂ« tjera. Dhe brenda gjashtĂ« ishte... tĂ« drejta superpĂ«rdoruesi, nt authority sistem! NĂ« dy arritĂ«m tĂ« ekzekutojmĂ« procedurĂ«n e ruajtur xp_cmdshell dhe tĂ« dĂ«rgojmĂ« komanda cmd nĂ« Windows. ĂfarĂ« tjetĂ«r tĂ« kĂ«rkojmĂ«?
Domen-kontrollorët
Goditja e dytĂ« qĂ« Tom Hunter kishte pĂ«r pĂ«r domen-kontrollorĂ«t. NĂ« rrjetin e 'Qenve tĂ« BaskervilĂ«ve', ata ishin tre - nĂ« pĂ«rputhje me numrin e serverĂ«ve tĂ« distancuar territorialisht. Ădo domen-kontrollor ka njĂ« dosje publike, ashtu si njĂ« vitrinĂ« e hapur nĂ« dyqan, pranĂ« sĂ« cilĂ«s qĂ«ndron po ai djalĂ« i varfĂ«r Tom.
Dhe këtë herë, djali kishte përsëri fat - nga vitrina u harrua të hiqej skripti, ku ishte hardkoduar fjalëkalimi i administratorit të serverit lokal. Pra, rruga për domen-kontrollorin ishte e hapur. Hyre, Tom!
Këtu nga kapelja magjike u nxorr , që kishin patur qasje disa administratoreësh domain. Tom Hunter fitoi qasje në të gjitha makinat në rrjetin lokal, dhe qeshja djallëzore i frikësoi macen nga karrigia fqinje. Ky rrugë ishte më e shkurtër se sa pritej.
EternalBlue
Kujtimi i WannaCry dhe Petya Ă«shtĂ« ende i freskĂ«t nĂ« mendjet e pĂ«ntesterĂ«ve, por disa administratore duket se janĂ« harruar pĂ«r kriptuesit nĂ« rrjedhĂ«n e lajmeve tĂ« tjera tĂ« mbrĂ«mjes. Tom zbuloi tre nodĂ« me njĂ« dobĂ«si nĂ« protokollin SMB - CVE-2017-0144 ose EternalBlue. Kjo Ă«shtĂ« ajo dobĂ«si me tĂ« cilĂ«n u pĂ«rhapĂ«n kriptuesit WannaCry dhe Petya, dobĂ«si qĂ« lejon ekzekutimin e kodit tĂ« rastit nĂ« nodĂ«. NĂ« njĂ« nga nodĂ«t e prekura kishte njĂ« seancĂ« admini domaini - "eksplato dhe merr." ĂfarĂ« mund tĂ« bĂ«sh, koha nuk i ka mĂ«suar tĂ« gjithĂ«.
"Qeni i Baskervilëve"
Klassikët e sigurisë së informacionit pëlqejnë të përsërisin se pika më e dobët e çdo sistemi është njeriu. Vëreni se titulli më sipër nuk përputhet me emrin e dyqanit? Ndoshta, nuk janë të gjithë aq të vëmendshëm.
Në traditat më të mira të blockbuster-eve phishing, Tom Hunter regjistroi një domain, i cili ishte një shkronjë ndryshe nga domai "Qeni i Baskervilëve." Adresa e postës në këtë domain imitoi adresën e shërbimit të sigurisë së informacionit të dyqanit. Për 4 ditë nga ora 16:00 deri në 17:00, në mënyrë të barabartë, 360 adresave iu dërgua një email i tillë nga një adresë të rreme:
Së paku, nga rrjedhja masive e fjalëkalimeve të punonjësve shpëtoi vetëm laziness e tyre. Nga 360 emaile, vetëm 61 dolën hapur - shërbimi i sigurisë nuk gëzon shumë popullaritet. Por pastaj, gjithçka ishte më e lehtë.
Faqja e phishingut
46 persona klikuan në lidhje dhe pothuajse gjysma - 21 punonjës - nuk e kontrolluan shiritin e adresës dhe pa problem futën emrat e tyre të përdoruesve-fjalëkalimet. Peshk i mirë, Tom.
Rrjeti Wi-Fi
Tani, nuk mund të mbështetesha më në ndihmën e macës. Tom Hunter hodhi disa pajisje në sedanin e tij të vjetër dhe shkoi te zyra e "Qenit të Baskervilëve". Vizita e tij nuk ishte e miratuar: Tom donte të testonte Wi-Fi-në e klientit. Në parkingun e qendrës së biznesit u gjetën disa vende të lira, të cilat ishin në perimetrin e rrjetit objektiv. Për kufizimin e tij, duket se nuk kishin menduar shumë - sikur administruesit të kishin gjuajtur pikë të tjera pa rend në përgjigje të çdo ankesë për Wi-Fi të dobët.
Si si funksionon mbrojtja WPA/WPA2 PSK? Kriptimi midis pikĂ«s sĂ« qasjes dhe klientĂ«ve siguron çelĂ«si i sesionit paraprak - Pairwise Transient Key (PTK). PTK pĂ«rdor ĂelĂ«sin e Parashkruar tĂ« ParĂ« dhe pesĂ« parameter tĂ« tjerĂ« - SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), adresat MAC tĂ« pikĂ«s sĂ« qasjes dhe klientit. Tomi kapti tĂ« pesĂ« parametrat dhe tani vetĂ«m ĂelĂ«si i Parashkruar i ParĂ« mungonte.
Utilita Hashcat kishte bllokuar këtë lidhje të humbur për rreth 50 minuta - dhe heroi ynë e gjeti veten në rrjetin e mysafirëve. Nga aty mund të shihte rrjetin e punës - si të befasishme, këtu Tomi menaxhoi password-in për rreth nëntë minuta. Dhe gjithë kjo pa u larguar nga parkingu, pa asnjë VPN. Rrjeti i punës i ofronte heroit tonë hapësira për aktivitete monstruoze, por ai... nuk arriti ende të shtonte bonuset në kartën e dyqanit.
Tomi e mbajti një pauzë, shikoi orën, hodhi disa bankënota mbi tavolinë dhe, duke u ndarë, doli nga kafeneja. Ndoshta një testim i ri, ndoshta edhe diçka tjetër... ka menduar të shkruaj...
Burimi: habr.com
