Писање Реверсе соцкс5 проксија у поверсхелл-у. 1. део

Прича о истраживању и развоју у 3 дела. Први део је истраживачки.
Има много стабала букве - још више користи.

Проблем статемент

Током пентестова и РедТеам кампања, није увек могуће користити стандардне алате Купца, као што су ВПН, РДП, Цитрик, итд. као сидро за улазак у интерну мрежу. На неким местима стандардни ВПН функционише користећи МФА и хардверски токен се користи као други фактор, на другим се брутално надгледа и наша ВПН пријава одмах постаје видљива, како кажу, са свиме што подразумева, али на некима постоје једноставно нема таквих средстава.

У таквим случајевима, стално морамо да правимо такозване „обрнуте тунеле“ – везе из унутрашње мреже са спољним ресурсом или сервером који контролишемо. Унутар таквог тунела већ можемо да радимо са интерним ресурсима купаца.

Постоји неколико варијанти ових повратних тунела. Најпознатији од њих је, наравно, Метерпретер. ССХ тунели са обрнутим прослеђивањем портова такође су веома тражени међу хакерским масама. Постоји доста средстава за имплементацију обрнутог тунелирања и многа од њих су добро проучена и описана.
Наравно, са своје стране, програмери безбедносних решења не стоје по страни и активно откривају такве акције.
На пример, модерни ИПС компаније Цисцо или Поситиве Тецх успешно детектују МСФ сесије, а обрнути ССХ тунел може да открије скоро сваки нормалан заштитни зид.

Стога, да бисмо остали непримећени у доброј РедТеам кампањи, потребно је да изградимо обрнути тунел користећи нестандардна средства и прилагодимо се што је могуће ближе стварном режиму рада мреже.

Хајде да покушамо да пронађемо или измислимо нешто слично.

Пре него што било шта измислимо, морамо да разумемо који резултат желимо да постигнемо, које функције треба да обавља наш развој. Који ће бити захтеви за тунел да бисмо могли да радимо у максималном стелт моду?

Јасно је да се за сваки случај такви захтеви могу значајно разликовати, али на основу радног искуства могу се идентификовати главни:

• рад на Виндовс-7-10 ОС. Пошто већина корпоративних мрежа користи Виндовс;
• клијент се повезује са сервером преко ССЛ-а како би избегао глупо слушање користећи ипс;
• Приликом повезивања, клијент мора да подржава рад преко прокси сервера са ауторизацијом, јер У многим компанијама приступ Интернету се одвија преко проксија. У ствари, клијентска машина можда чак и не зна ништа о томе, а прокси се користи у транспарентном режиму. Али ми морамо да обезбедимо такву функционалност;
• клијентски део треба да буде сажет и преносив;
  Јасно је да за рад унутар мреже клијента можете инсталирати ОпенВПН на клијентску машину и креирати потпуни тунел до вашег сервера (на срећу, опенвпн клијенти могу да раде преко проксија). Али, прво, ово неће увек функционисати, јер тамо можда нисмо локални админи, а друго, направиће толику буку да ће нас пристојан СИЕМ или ХИПС одмах „подбацити“. У идеалном случају, наш клијент би требало да буде такозвана инлине команда, јер се на пример многе басх шкољке имплементирају и покрећу преко командне линије, на пример, када се извршавају команде из макроа речи.
• наш тунел мора да буде вишенит и да подржава много веза истовремено;
• веза клијент-сервер мора да има неку врсту ауторизације да се тунел успостави само за нашег клијента, а не за све који долазе на наш сервер на наведену адресу и порт. У идеалном случају, одредишна страница са мачкама или професионалним темама у вези са оригиналним доменом треба да се отвори за „кориснике треће стране“.
  На пример, ако је Клијент медицинска организација, онда за администратора безбедности информација који одлучи да провери ресурс коме је приступио запослени у клиници, страницу са фармацеутским производима, Википедију са описом дијагнозе или блог др Комаровског, итд. треба да се отвори.

Анализа постојећих алата

Пре него што поново осмислите сопствени бицикл, потребно је да урадите анализу постојећих бицикала и схватите да ли нам је заиста потребан и вероватно нисмо једини који су размишљали о потреби за таквим функционалним бициклом.

Гуглање на Интернету (изгледа да гугламо нормално), као и претраживање на Гитхубу користећи кључне речи „обрнуте чарапе“ није дало много резултата. У суштини, све се своди на изградњу ссх тунела са обрнутим прослеђивањем портова и свега што је повезано са тим. Поред ССХ тунела, постоји неколико решења:

гитхуб.цом/клсецсервицес/рпивот
Дугогодишња имплементација обрнутог тунела од момака из Касперски Лаб-а. Име јасно говори чему је ова скрипта намењена. Имплементиран у Питхон 2.7, тунел ради у моду чистог текста (како је сада модерно рећи - здраво РКН)

гитхуб.цом/тонисеек/рсоцкс
Још једна имплементација у Питхон-у, такође у чистом тексту, али са више могућности. Написан је као модул и има АПИ за интеграцију решења у ваше пројекте.

гитхуб.цом/ллкат/рсоцкстун
гитхуб.цом/мис-теам/рсоцкстун
Прва веза је оригинална верзија реверсе сок имплементације у Голангу (није подржана од стране програмера).
Друга веза је наша ревизија са додатним карактеристикама, такође на Голангу. У нашој верзији имплементирали смо ССЛ, рад преко проксија са НТЛМ ауторизацијом, ауторизацију на клијенту, одредишну страницу у случају нетачне лозинке (тачније, преусмеравање на одредишну страницу), вишенитни режим (тј. неколико људи може да ради са тунелом у исто време), систем пинговања клијента да би се утврдило да ли је жив или не.

гитхуб.цом/јун7тх/тсоцкс
Имплементација реверсе сок-а од наших „кинеских пријатеља“ у Питхон-у. Тамо, за лење и „бесмртне“, постоји готова бинарна датотека (еке), коју су Кинези саставили и спремна за употребу. Овде само кинески Бог зна шта још овај бинарни фајл може да садржи осим главне функционалности, па га користите на сопствени ризик и ризик.

гитхуб.цом/сецуресоцкетфуннелинг/ссф
Прилично занимљив пројекат у Ц++ за имплементацију реверсе сок-а и још много тога. Поред обрнутог тунела, може да врши прослеђивање портова, креира командну шкољку итд.

МСФ метерпретер
Овде, како кажу, нема коментара. Сви чак и мање-више образовани хакери су веома упознати са овом ствари и разумеју како се лако може открити безбедносним алатима.

Сви горе описани алати раде користећи сличну технологију: унапред припремљен извршни бинарни модул се покреће на машини унутар мреже, која успоставља везу са спољним сервером. Сервер покреће СОЦКС4/5 сервер који прихвата везе и преноси их клијенту.

Недостатак свих горе наведених алата је у томе што или Питхон или Голанг морају бити инсталирани на клијентској машини (да ли сте често виђали Питхон инсталиран на машинама, на пример, директора компаније или канцеларијских радника?), или унапред састављен бинарни (заправо питхон) мора бити превучен на ову машину и скрипту у једној боци) и покренути овај бинарни фајл већ тамо. А преузимање еке-а и затим његово покретање је такође потпис за локални антивирус или ХИПС.

Генерално, закључак се намеће сам од себе - потребно нам је Поверсхелл решење. Сада ће парадајз летети на нас - кажу да је поверсхелл већ сав хацкнеиед, надгледа се, блокира итд. и тако даље. У ствари, не свуда. Изјављујемо одговорно. Иначе, постоји много начина да се заобиђе блокирање (овде је опет модерна фраза о здраво РКН 🙂), почевши од глупог преименовања поверсхелл.еке -> цмдд.еке и завршавајући са повердлл итд.

Почнимо да измишљамо

Јасно је да ћемо прво погледати на Гуглу и... нећемо наћи ништа о овој теми (ако је неко нашао, поставите линкове у коментарима). Само постоји имплементација Соцкс5 на поверсхелл-у, али ово је обичан „директни“ сок, који има низ својих недостатака (о њима ћемо касније). Можете га, наравно, лаганим покретом руке претворити у обрнути, али ово ће бити само једнонитни сокс, што нам није баш оно што нам треба.

Дакле, нисмо нашли ништа готово, тако да ћемо и даље морати да измислимо наш точак. Узећемо као основу за наш бицикл наш развој реверсе сок у Голангу, а ми имплементирамо клијента за њега у поверсхелл-у.

РСоцксТун
Па како функционише рсоцкстун?

Рад РсоцксТун (у даљем тексту рс) заснива се на две софтверске компоненте - Иамук и Соцкс5 сервер. Соцкс5 сервер је обичан локални соцкс5, ради на клијенту. А мултиплексирање веза са њим (сећате ли се вишенитног?) је обезбеђено помоћу иамук-а (још један мултиплексер). Ова шема вам омогућава да покренете неколико клијентских соцкс5 сервера и дистрибуирате екстерне везе на њих, прослеђујући их преко једне ТЦП везе (скоро као у метерпретер-у) од клијента до сервера, чиме се имплементира вишенитни режим, без којег једноставно нећемо бити способан да у потпуности ради у интерним мрежама.

Суштина начина на који иамук функционише је да уводи додатни мрежни слој токова, имплементирајући га у облику 12-бајтног заглавља за сваки пакет. (Овде намерно користимо реч „стреам“ уместо нит, како не бисмо збунили читаоца са програмским стреамом „нит“ – овај концепт ћемо такође користити у овом чланку). Иамук заглавље садржи број тока, ознаке за инсталирање/завршавање тока, број пренетих бајтова и величину прозора за пренос.

Поред инсталирања/укидања стрима, иамук имплементира механизам одржавања који вам омогућава да надгледате перформансе успостављеног комуникационог канала. Рад механизма за одржавање порука се конфигурише приликом креирања Иамук сесије. Заправо, од подешавања постоје само два параметра: омогући/онемогући и учесталост слања пакета у секундама. Кеепаливе поруке може слати Иамук сервер или Иамук клијент. Приликом примања поруке о одржавању активације, удаљена страна мора да одговори на њу слањем потпуно истог идентификатора поруке (у ствари број) који је примила. Генерално, кеепаливе је исти пинг, само за иамук.

Целокупна техника рада мултиплексера: типови пакета, подешавање везе и заставице за завршетак, као и механизам преноса података детаљно су описани у спецификације то иамук.

Закључак за први део

Дакле, у првом делу чланка смо се упознали са неким алатима за организовање реверзних тунела, погледали њихове предности и мане, проучили механизам рада Иамук мултиплексера и описали основне захтеве за новостворени поверсхелл модул. У наредном делу ћемо развити сам модул, практично од нуле. Наставиће се. Не мењај :)

Извор: ввв.хабр.цом