Tomas Hunters dagbok: "Hundarna från Baskerville"

Att dra ut på underskriften är en vanlig företeelse för vilket stort företag som helst. Avtalet mellan Tom Hunter och en nätbaserad djuraffär för en grundlig penetrationstestning var inget undantag. Det var nödvändigt att kontrollera både webbplatsen och det interna nätverket, och till och med det arbetsrelaterade Wi-Fi:et.

Det är ingen överraskning att fingrarna kliade redan innan alla formaliteter var avklarade. Att bara skanna webbplatsen för säkerhets skull, ett så välkänt företag som 'Baskervilles hund' skulle ju knappast ha några brister här. Några dagar senare fick Tom slutligen den signerade originalversionen av avtalet — under tiden njöt Tom av sin tredje kopp kaffe medan han med intresse bedömde lagersituationen från det interna CMS:et...

Källa: Ehsan Taebloo

Men att riktigt sätta klorna i CMS:et gick inte — Toms IP-adress hade administratorerna på webbplatsen blockerat. Även om det hade varit möjligt att snabbt generera bonusar på affärens kort och under lång tid föda sin älskade katt billigt… 'Inte den här gången, Darth Sidious' — tänkte Tom med ett leende. Det skulle ha varit minst lika intressant att gå från webbplatsens område till kundens lokala nätverk, men uppenbarligen var dessa segment inte kopplade hos kunden. Sånt händer oftast i väldigt stora företag.

Efter alla formaliteter beväpnade Tom Hunter sig med den tillhandahållna VPN-kontot och gav sig in i kundens lokala nätverk. Kontot var inne i Active Directory-domänen, så man kunde enkelt göra en dump av AD — och hämta all offentlig information om användare och arbetsstationer.

Tom startade programmet adfind och började skicka LDAP-förfrågningar till domänkontrollern. Med filter för klassen objectCategory, angav han person som attribut. Svaren kom tillbaka med en struktur som följde:

dn:CN=Gäst,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Gäst
>description: Inbyggt konto för gäster för att få tillgång till datorn eller domänen
>distinguishedName: CN=Gäst,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Förutom detta fanns det mycket mer användbar information, men det mest intressanta låg i fältet >description: >description. Det är en kommentar till kontot — i princip en praktisk plats för att lagra obetydliga anteckningar. Men kundens administratörer ansåg att även lösenord kunde ligga här utan problem. Vem kan egentligen vara intresserad av alla dessa obetydliga tjänstekonton? Därför hade kommentarerna som Tom fick utseende av:

Skapat av Administratör, 2018.11.16 7po!*Vqn

Det behövs ingen särskild intelligens för att förstå vad kombinationen i slutet kommer att vara användbar för. Det återstod att parsa den stora svarfilen från KD efter fältet >description: och här är de — 20 par av användarnamn-lösenord. Nästan hälften av dem har RDP-åtkomst. En bra plattform, dags att dela upp de angripande styrkorna.

Nätverksmiljö

De tillgängliga delarna av "Baskervillehundarna" påminde om en stor stad med all sin kaos och oförutsägbarhet. Med användarprofiler och RDP var Tom Hunter en fattig pojke i den här staden, men även han hann se mycket genom de skinande fönstren av säkerhetspolicyn.

Delar av filservrar, bokföringskonton och till och med relaterade skript — allt detta var tillgängligt för allmänheten. I inställningarna för ett av dessa skript hittade Tom en MS SQL-hash av en användare. Lite bruteforce-magi — och användarens hash blev en vanlig textlösenord. Tack till John The Ripper och Hashcat.

Denna nyckel borde passa något kista. Kistan hittades, och mer än så — den var kopplad till ytterligare tio "kistor". Och inuti sex fanns… superanvändarrättigheter, nt authoritysystem! På två av dem lyckades vi köra den lagrade proceduren xp_cmdshell och skicka cmd-kommandon till Windows. Vad mer kan man önska?

Domänkontrollerare

Den andra attacken som Tom Hunter förberedde var mot domänkontrollerarna. I "Baskervillehundarnas" nätverk fanns tre av dem — i enlighet med antalet geografiskt skilda servrar. Varje domänkontroller har en offentlig mapp, som en öppen skyltfönster i en butik, där den fattige pojken Tom hänger.

Och den här gången hade pojken återigen tur — skriptet, där lösenordet för den lokala serveradministratören var hårdkodad, glömdes bort att tas bort från skyltfönstret. Så vägen till domänkontrolleraren var öppen. Kom igen, Tom!

Här drogs fram ur den magiska hatten mimikatz, som blev utnyttjad av flera domänadministratörer. Tom Hunter fick tillgång till alla maskiner i det lokala nätverket, och djävulens skratt skrämde katten bort från den närliggande fåtöljen. Denna väg var kortare än väntat.

EternalBlue

Minnena av WannaCry och Petya lever kvar i huvudet på pentesters, men vissa administratörer verkar ha glömt bort kryptovalutorna i strömmen av andra nyheter på kvällen. Tom upptäckte tre noder med sårbarhet i SMB-protokollet – CVE-2017-0144 eller EternalBlue. Det är just den sårbarheten genom vilken WannaCry och Petya spreds, en sårbarhet som tillåter exekvering av godtycklig kod på noden. På en av de sårbara noderna fanns en sessionsuppkoppling av domänadministratören – "utnyttja och få". Vad göra, tiden har inte lärt alla.

«Baskervilles hund»

Experter inom informationssäkerhet gillar att upprepa att den svagaste länken i vilket system som helst är människan. Märkte du att rubriken ovan inte stämmer överens med butikens namn? Kanske är inte alla så uppmärksamma.

I bästa traditionen av phishing-blockbusters registrerade Tom Hunter en domän som skiljde sig med en bokstav från domänen för «Baskervilles hund». E-postadressen på denna domän imiterade säkerhetstjänstens adress för butiken. Under fyra dagar, mellan 16:00 och 17:00, skickades det här brevet ut jämnt till 360 adresser från en falsk adress:

Det kan mycket väl vara den anställdas egen lathet som räddade dem från ett massivt lösenordsgenombrott. Av 360 skickade brev öppnades bara 61 – säkerhetstjänsten är inte särskilt populär. Men vidare blev det enklare.

Phishing-sidan

46 personer klickade på länken och nästan hälften – 21 anställda – tittade inte i adressfältet och skrev lugnt in sina användarnamn och lösenord. Bra fångst, Tom.

Wi-Fi-nätverk

Nu fanns det ingen anledning att förlita sig på katten. Tom Hunter slängde in några prylar i sin gamla sedan och begav sig till kontoret för «Baskervilles hund». Hans besök var inte godkänt: Tom planerade att testa kundens Wi-Fi. På affärscentrets parkering fanns några lediga platser som perfekt passade in i mål-nätverks perimeter. Det verkar som om man särskilt inte har tänkt på dess begränsningar – som om administratörer slarvigt tryckte på ytterligare punkter som svar på varje klagomål om svagt Wi-Fi.

Hur fungerar WPA/WPA2 PSK-skydd? Krypteringen mellan åtkomstpunkten och klienterna säkerställs av en nyckel för förhands-sessionen – Pairwise Transient Key (PTK). PTK använder en Pre-Shared Key och fem andra parametrar – SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), samt MAC-adresserna för åtkomstpunkten och klienten. Tom har fångat alla fem parametrar, och nu saknas bara Pre-Shared Key.

Verktyget Hashcat knäckte detta saknade länkt på cirka 50 minuter – och vår hjälte befann sig nu i gästnätverket. Från det kunde han redan se det arbetsnätverk – märkligt nog klarade Tom av lösenordet på bara nio minuter. Och allt detta utan att lämna parkeringen, utan några VPN. Arbetsnätverket öppnade stora möjligheter för vår hjälte, men han… lade inte till några bonusar på butikens kort.

Tom tog en paus, tittade på klockan, slängde ett par sedlar på bordet och, efter att ha sagt adjö, gick ut från caféet. Kanske en ny pentest, eller något annat i telegramkanal tänkte han skriva…


Källa: habr.com