ஒருமுறை ஒரு பெண்டெஸ்ட், அல்லது சிறுநீரக மருத்துவர் மற்றும் ரோஸ்கோம்னாட்ஸரின் உதவியுடன் எல்லாவற்றையும் உடைப்பது எப்படி

இரண்டு ஆண்டுகளுக்கு முன்பு குரூப்-ஐபி நிபுணர்கள் நடத்திய மிகவும் வெற்றிகரமான பென்டெஸ்ட்டின் அடிப்படையில் இந்தக் கட்டுரை எழுதப்பட்டது: பாலிவுட்டில் திரைப்படத்திற்குத் தழுவி எடுக்கப்பட்ட ஒரு கதை நடந்தது. இப்போது, ​​அநேகமாக, வாசகரின் எதிர்வினை பின்வருமாறு: "ஓ, மற்றொரு PR கட்டுரை, மீண்டும் இவை சித்தரிக்கப்படுகின்றன, அவை எவ்வளவு நல்லவை, ஒரு பென்டெஸ்ட் வாங்க மறக்காதீர்கள்." சரி, ஒருபுறம், அது. இருப்பினும், இந்த கட்டுரை தோன்றியதற்கு வேறு பல காரணங்கள் உள்ளன. பென்டெஸ்டர்கள் சரியாக என்ன செய்கிறார்கள், இந்த வேலை எவ்வளவு சுவாரஸ்யமானது மற்றும் அற்பமானது, திட்டங்களில் என்ன வேடிக்கையான சூழ்நிலைகள் ஏற்படலாம், மிக முக்கியமாக, உண்மையான எடுத்துக்காட்டுகளுடன் நேரடி விஷயங்களைக் காட்ட விரும்புகிறேன்.

உலகில் அடக்கத்தின் சமநிலையை மீட்டெடுக்க, சிறிது நேரம் கழித்து, சரியாக நடக்காத ஒரு பெண்டெஸ்ட் பற்றி எழுதுவோம். ஒரு நிறுவனத்தில் நன்கு வடிவமைக்கப்பட்ட செயல்முறைகள் எவ்வாறு முழு அளவிலான தாக்குதல்களிலிருந்து பாதுகாக்க முடியும் என்பதை நாங்கள் காண்பிப்போம், நன்கு தயாரிக்கப்பட்டவை கூட, இந்த செயல்முறைகள் உள்ளன மற்றும் உண்மையில் செயல்படுகின்றன.

இந்த கட்டுரையில் உள்ள வாடிக்கையாளருக்கு, எங்கள் உணர்வுகளின்படி, ரஷ்ய கூட்டமைப்பில் உள்ள சந்தையின் 95% ஐ விட பொதுவாக எல்லாமே சிறப்பாக இருந்தன, ஆனால் பல சிறிய நுணுக்கங்கள் இருந்தன, அவை நீண்ட நிகழ்வுகளின் சங்கிலியை உருவாக்கின, அவை முதலில் வேலை பற்றிய நீண்ட அறிக்கைக்கு வழிவகுத்தது, பின்னர் இந்த கட்டுரைக்கு.

எனவே, பாப்கார்னை சேமித்து வைப்போம், மேலும் துப்பறியும் கதைக்கு வரவேற்கிறோம். சொல் - பாவெல் சுப்ருன்யுக், குழு-IB இன் "தணிக்கை மற்றும் ஆலோசனை" துறையின் தொழில்நுட்ப மேலாளர்.

பகுதி 1. Pochkin மருத்துவர்

2018 ஒரு வாடிக்கையாளர் இருக்கிறார் - ஒரு உயர் தொழில்நுட்ப ஐடி நிறுவனம், இது பல வாடிக்கையாளர்களுக்கு சேவை செய்கிறது. கேள்விக்கான பதிலைப் பெற விரும்புகிறது: எந்தவொரு ஆரம்ப அறிவும் அணுகலும் இல்லாமல், இணையம் வழியாகப் பணிபுரிந்து, செயலில் உள்ள டைரக்டரி டொமைன் நிர்வாகி உரிமைகளைப் பெறுவது சாத்தியமா? எனக்கு எந்த சமூக பொறியியலிலும் ஆர்வம் இல்லை (ஓ, ஆனால் வீண்), அவர்கள் வேண்டுமென்றே வேலையில் தலையிட விரும்பவில்லை, ஆனால் அவர்கள் தற்செயலாக - விசித்திரமாக வேலை செய்யும் சேவையகத்தை மீண்டும் ஏற்றலாம். வெளிப்புற சுற்றளவுக்கு எதிராக முடிந்தவரை பல தாக்குதல் திசையன்களை அடையாளம் காண்பது கூடுதல் இலக்காகும். நிறுவனம் தொடர்ந்து இதுபோன்ற சோதனைகளை நடத்துகிறது, இப்போது ஒரு புதிய சோதனைக்கான காலக்கெடு வந்துவிட்டது. நிலைமைகள் கிட்டத்தட்ட பொதுவானவை, போதுமானவை, புரிந்துகொள்ளக்கூடியவை. ஆரம்பிக்கலாம்.

வாடிக்கையாளரின் பெயர் உள்ளது - அது முக்கிய வலைத்தளத்துடன் “நிறுவனம்” ஆக இருக்கட்டும் www.company.ru. நிச்சயமாக, வாடிக்கையாளர் வித்தியாசமாக அழைக்கப்படுகிறார், ஆனால் இந்த கட்டுரையில் எல்லாம் ஆளுமையற்றதாக இருக்கும்.
நான் நெட்வொர்க் உளவுத்துறையை நடத்துகிறேன் - வாடிக்கையாளருடன் எந்த முகவரிகள் மற்றும் டொமைன்கள் பதிவு செய்யப்பட்டுள்ளன என்பதைக் கண்டறியவும், நெட்வொர்க் வரைபடத்தை வரையவும், இந்த முகவரிகளுக்கு சேவைகள் எவ்வாறு விநியோகிக்கப்படுகின்றன. நான் முடிவைப் பெற்றேன்: 4000 க்கும் மேற்பட்ட நேரடி IP முகவரிகள். இந்த நெட்வொர்க்குகளில் உள்ள டொமைன்களை நான் பார்க்கிறேன்: அதிர்ஷ்டவசமாக, பெரும்பாலானவை வாடிக்கையாளரின் வாடிக்கையாளர்களுக்காக வடிவமைக்கப்பட்ட நெட்வொர்க்குகள், மேலும் நாங்கள் அவற்றில் முறையாக ஆர்வம் காட்டவில்லை. வாடிக்கையாளரும் அப்படித்தான் நினைக்கிறார்.

256 முகவரிகளுடன் ஒரு பிணையம் உள்ளது, இந்த நேரத்தில் ஐபி முகவரிகள் மூலம் டொமைன்கள் மற்றும் துணை டொமைன்களின் விநியோகம் பற்றிய புரிதல் ஏற்கனவே உள்ளது, ஸ்கேன் செய்யப்பட்ட போர்ட்களைப் பற்றிய தகவல்கள் உள்ளன, அதாவது சுவாரஸ்யமான சேவைகளுக்கான சேவைகளைப் பார்க்கலாம். இணையாக, அனைத்து வகையான ஸ்கேனர்களும் கிடைக்கக்கூடிய ஐபி முகவரிகளிலும் தனித்தனியாக இணையதளங்களிலும் தொடங்கப்படுகின்றன.

நிறைய சேவைகள் உள்ளன. பொதுவாக இது பென்டெஸ்டருக்கு மகிழ்ச்சி மற்றும் விரைவான வெற்றிக்கான எதிர்பார்ப்பு, ஏனெனில் அதிக சேவைகள் இருப்பதால், தாக்குதலுக்கான களம் பெரியது மற்றும் ஒரு கலைப்பொருளைக் கண்டுபிடிப்பது எளிது. வலைத்தளங்களை விரைவாகப் பார்த்தால், அவற்றில் பெரும்பாலானவை பெரிய உலகளாவிய நிறுவனங்களின் நன்கு அறியப்பட்ட தயாரிப்புகளின் வலை இடைமுகங்கள் என்பதைக் காட்டுகிறது, அவை எல்லா தோற்றங்களிலும் அவை வரவேற்கப்படுவதில்லை என்று உங்களுக்குத் தெரிவிக்கின்றன. அவர்கள் பயனர்பெயர் மற்றும் கடவுச்சொல்லைக் கேட்கிறார்கள், இரண்டாவது காரணியை உள்ளிடுவதற்கான புலத்தை அசைப்பார்கள், TLS கிளையன்ட் சான்றிதழைக் கேட்கிறார்கள் அல்லது Microsoft ADFS க்கு அனுப்புகிறார்கள். சில இணையத்திலிருந்து அணுக முடியாதவை. சிலருக்கு, நீங்கள் மூன்று சம்பளத்திற்கு ஒரு சிறப்பு ஊதியம் பெற்ற கிளையண்டை வைத்திருக்க வேண்டும் அல்லது உள்ளிடுவதற்கான சரியான URL தெரிந்து கொள்ள வேண்டும். அறியப்பட்ட பாதிப்புகளுக்கான மென்பொருள் பதிப்புகளை "முறிக்க" முயற்சிப்பது, இணைய பாதைகளில் மறைக்கப்பட்ட உள்ளடக்கம் மற்றும் LinkedIn போன்ற மூன்றாம் தரப்பு சேவைகளில் இருந்து கசிந்த கணக்குகளைத் தேடுவது, அவற்றைப் பயன்படுத்தி கடவுச்சொற்களை யூகிக்க முயற்சிப்பது போன்ற செயல்களில் படிப்படியான விரக்தியின் மற்றொரு வாரத்தைத் தவிர்ப்போம். சுய-எழுதப்பட்ட வலைத்தளங்களில் உள்ள பாதிப்புகளை தோண்டி எடுப்பது போல் - புள்ளிவிபரங்களின்படி, இது இன்று வெளிப்புற தாக்குதலின் மிகவும் நம்பிக்கைக்குரிய திசையன் ஆகும். பின்னர் சுடப்பட்ட திரைப்பட துப்பாக்கியை நான் உடனடியாக கவனிக்கிறேன்.

எனவே, நூற்றுக்கணக்கான சேவைகளிலிருந்து தனித்து நிற்கும் இரண்டு தளங்களைக் கண்டறிந்தோம். இந்த தளங்களில் பொதுவான ஒன்று உள்ளது: நீங்கள் டொமைன் மூலம் நுணுக்கமான நெட்வொர்க் உளவுப் பணியில் ஈடுபடாமல், திறந்த போர்ட்களை நேருக்கு நேர் பார்த்துக் கொண்டால் அல்லது அறியப்பட்ட ஐபி வரம்பைப் பயன்படுத்தி பாதிப்பு ஸ்கேனரை இலக்காகக் கொண்டால், இந்தத் தளங்கள் ஸ்கேனிங்கில் இருந்து தப்பித்துவிடும். DNS பெயர் தெரியாமல் தெரியும். ஒருவேளை அவை முன்பே தவறவிடப்பட்டிருக்கலாம், மேலும் எங்கள் தானியங்கி கருவிகள் நேரடியாக ஆதாரத்திற்கு அனுப்பப்பட்டாலும், அவற்றில் எந்த சிக்கலும் இல்லை.

மூலம், முன்பு தொடங்கப்பட்ட ஸ்கேனர்கள் பொதுவாகக் காணப்பட்டதைப் பற்றி. நான் உங்களுக்கு நினைவூட்டுகிறேன்: சிலருக்கு "பென்டெஸ்ட்" என்பது "தானியங்கி ஸ்கேன்" க்கு சமம். ஆனால் இந்த திட்டத்தில் ஸ்கேனர்கள் எதுவும் கூறவில்லை. சரி, அதிகபட்சம் நடுத்தர பாதிப்புகளால் காட்டப்பட்டது (கடுமையின் அடிப்படையில் 3 இல் 5): சில சேவைகளில் தவறான TLS சான்றிதழ் அல்லது காலாவதியான குறியாக்க அல்காரிதம்கள் மற்றும் பெரும்பாலான தளங்களில் கிளிக்ஜாக்கிங். ஆனால் இது உங்கள் இலக்கை அடையாது. ஒருவேளை ஸ்கேனர்கள் இங்கே மிகவும் பயனுள்ளதாக இருக்கும், ஆனால் நான் உங்களுக்கு நினைவூட்டுகிறேன்: வாடிக்கையாளர் தானே அத்தகைய திட்டங்களை வாங்க முடியும் மற்றும் அவற்றுடன் தன்னை சோதிக்க முடியும், மேலும் மோசமான முடிவுகளால் ஆராயும்போது, ​​அவர் ஏற்கனவே சரிபார்த்துள்ளார்.

"ஒழுங்கற்ற" தளங்களுக்குத் திரும்புவோம். முதலாவது, தரமற்ற முகவரியில் உள்ள உள்ளூர் விக்கி போன்றது, ஆனால் இந்தக் கட்டுரையில் அது wiki.company[.]ru ஆக இருக்கட்டும். அவள் உடனடியாக உள்நுழைவு மற்றும் கடவுச்சொல்லைக் கேட்டாள், ஆனால் உலாவியில் NTLM மூலம். பயனருக்கு, இது ஒரு பயனர்பெயர் மற்றும் கடவுச்சொல்லை உள்ளிடுமாறு கேட்கும் அசெட்டிக் சாளரம் போல் தெரிகிறது. மேலும் இது தவறான நடைமுறை.

ஒரு சிறு குறிப்பு. சுற்றளவு இணையதளங்களில் NTLM பல காரணங்களுக்காக மோசமாக உள்ளது. முதல் காரணம், ஆக்டிவ் டைரக்டரி டொமைன் பெயர் வெளிப்படுத்தப்பட்டது. எங்கள் எடுத்துக்காட்டில், இது "வெளிப்புற" DNS பெயரைப் போலவே company.ru ஆகவும் மாறியது. இதை அறிந்தால், நீங்கள் தீங்கிழைக்கும் ஒன்றை கவனமாக தயார் செய்யலாம், அது நிறுவனத்தின் டொமைன் கணினியில் மட்டுமே செயல்படுத்தப்படும், சில சாண்ட்பாக்ஸில் அல்ல. இரண்டாவதாக, NTLM வழியாக டொமைன் கன்ட்ரோலர் வழியாக அங்கீகாரம் நேரடியாக செல்கிறது (ஆச்சரியம், சரியா?), "உள்" நெட்வொர்க் கொள்கைகளின் அனைத்து அம்சங்களும், கடவுச்சொல் உள்ளீடு முயற்சிகளின் எண்ணிக்கையை மீறாமல் கணக்குகளைத் தடுப்பது உட்பட. தாக்குபவர் உள்நுழைவுகளைக் கண்டறிந்தால், அவர் அவர்களுக்கான கடவுச்சொற்களை முயற்சிப்பார். தவறான கடவுச்சொற்களை உள்ளிடுவதில் இருந்து கணக்குகளைத் தடுக்க நீங்கள் கட்டமைக்கப்பட்டிருந்தால், அது செயல்படும் மற்றும் கணக்கு தடுக்கப்படும். மூன்றாவதாக, அத்தகைய அங்கீகாரத்திற்கு இரண்டாவது காரணியைச் சேர்க்க இயலாது. வாசகர்களில் யாருக்காவது எப்படி என்று இன்னும் தெரிந்தால், தயவுசெய்து எனக்கு தெரியப்படுத்துங்கள், இது மிகவும் சுவாரஸ்யமானது. நான்காவது, பாஸ்-தி-ஹாஷ் தாக்குதல்களுக்கு பாதிப்பு. இவை அனைத்திலிருந்தும் பாதுகாக்க, மற்றவற்றுடன், ADFS கண்டுபிடிக்கப்பட்டது.

மைக்ரோசாஃப்ட் தயாரிப்புகளில் ஒரு மோசமான சொத்து உள்ளது: நீங்கள் குறிப்பாக அத்தகைய NTLM ஐ வெளியிடாவிட்டாலும், அது OWA மற்றும் Lync இல் இயல்பாக நிறுவப்படும்.

மூலம், இந்த கட்டுரையின் ஆசிரியர் ஒருமுறை தற்செயலாக ஒரு பெரிய வங்கியின் ஊழியர்களின் சுமார் 1000 கணக்குகளை ஒரே ஒரு மணி நேரத்தில் அதே முறையைப் பயன்படுத்தி தற்செயலாகத் தடுத்து, பின்னர் ஓரளவு வெளிர் நிறமாகத் தெரிந்தார். வங்கியின் தகவல் தொழில்நுட்ப சேவைகளும் மங்கலாக இருந்தன, ஆனால் அனைத்தும் நன்றாகவும் போதுமானதாகவும் முடிந்தது, இந்த சிக்கலைக் கண்டறிந்து விரைவான மற்றும் தீர்க்கமான தீர்வைத் தூண்டியதற்காக நாங்கள் பாராட்டப்பட்டோம்.

இரண்டாவது தளத்தில் "வெளிப்படையாக சில வகையான கடைசி பெயர்.company.ru" என்ற முகவரி இருந்தது. பக்கம் 10 இல் இது போன்றது, கூகிள் மூலம் கிடைத்தது. வடிவமைப்பு XNUMX களின் முற்பகுதியில் இருந்தது, மேலும் ஒரு மரியாதைக்குரிய நபர் பிரதான பக்கத்திலிருந்து அதைப் பார்த்துக் கொண்டிருந்தார், இது போன்றது:

இங்கே நான் "ஹார்ட் ஆஃப் எ டாக்" இலிருந்து ஒரு ஸ்டில் எடுத்தேன், ஆனால் என்னை நம்புங்கள், அது தெளிவற்றதாக இருந்தது, வண்ண வடிவமைப்பு கூட ஒரே மாதிரியான தொனியில் இருந்தது. தளம் அழைக்கப்படட்டும் preobrazhensky.company.ru.

இது சிறுநீரக மருத்துவரின் தனிப்பட்ட இணையதளம். உயர் தொழில்நுட்ப நிறுவனத்தின் துணை டொமைனில் சிறுநீரக மருத்துவரின் இணையதளம் என்ன செய்கிறது என்று நான் ஆச்சரியப்பட்டேன். கூகுளில் ஒரு விரைவான ஆய்வு, இந்த மருத்துவர் எங்கள் வாடிக்கையாளரின் சட்டப்பூர்வ நிறுவனங்களில் ஒன்றின் இணை நிறுவனர் மற்றும் அங்கீகரிக்கப்பட்ட மூலதனத்தில் சுமார் 1000 ரூபிள் பங்களிப்பை வழங்கியது. இந்த தளம் பல ஆண்டுகளுக்கு முன்பு உருவாக்கப்பட்டது, மேலும் வாடிக்கையாளரின் சேவையக வளங்கள் ஹோஸ்டிங்காகப் பயன்படுத்தப்பட்டன. தளம் நீண்ட காலமாக அதன் பொருத்தத்தை இழந்துவிட்டது, ஆனால் சில காரணங்களால் அது நீண்ட காலமாக வேலை செய்யாமல் இருந்தது.

பாதிப்புகளின் அடிப்படையில், இணையதளமே பாதுகாப்பாக இருந்தது. முன்னோக்கிப் பார்க்கையில், இது நிலையான தகவல்களின் தொகுப்பு என்று நான் கூறுவேன் - சிறுநீரகங்கள் மற்றும் சிறுநீர்ப்பைகள் வடிவில் செருகப்பட்ட விளக்கப்படங்களுடன் கூடிய எளிய html பக்கங்கள். அத்தகைய தளத்தை "உடைப்பது" பயனற்றது.

ஆனால் கீழே உள்ள வலை சேவையகம் மிகவும் சுவாரஸ்யமானது. HTTP சர்வர் தலைப்பின் மூலம் ஆராயும்போது, ​​அதில் IIS 6.0 இருந்தது, அதாவது விண்டோஸ் 2003 ஐ இயக்க முறைமையாகப் பயன்படுத்தியது. இந்த குறிப்பிட்ட யூரோலஜிஸ்ட் இணையதளம், அதே இணைய சர்வரில் உள்ள மற்ற மெய்நிகர் ஹோஸ்ட்களைப் போலல்லாமல், PROPFIND கட்டளைக்கு பதிலளித்தது, அதாவது WebDAV ஐ இயக்குகிறது என்பதை ஸ்கேனர் முன்பே கண்டறிந்தது. மூலம், ஸ்கேனர் இந்த தகவலை குறி தகவல் (ஸ்கேனர் அறிக்கைகளின் மொழியில், இது மிகக் குறைந்த ஆபத்து) உடன் திரும்பியது - இது போன்ற விஷயங்கள் பொதுவாக தவிர்க்கப்படுகின்றன. இணைந்து, இது ஒரு சுவாரஸ்யமான விளைவைக் கொடுத்தது, இது Google இல் மற்றொரு தோண்டலுக்குப் பிறகுதான் தெரியவந்தது: நிழல் தரகர்கள் தொகுப்புடன் தொடர்புடைய ஒரு அரிய இடையக வழிதல் பாதிப்பு, அதாவது CVE-2017-7269, இது ஏற்கனவே ஆயத்த சுரண்டலைக் கொண்டிருந்தது. வேறு வார்த்தைகளில் கூறுவதானால், உங்களிடம் Windows 2003 இருந்தால், WebDAV IIS இல் இயங்கினால் சிக்கல் இருக்கும். 2003 இல் விண்டோஸ் 2018 தயாரிப்பில் இயங்குவது ஒரு பிரச்சனையாக இருந்தாலும்.

இந்தச் சுரண்டல் Metasploit இல் முடிந்தது மற்றும் கட்டுப்படுத்தப்பட்ட சேவைக்கு DNS கோரிக்கையை அனுப்பிய சுமையுடன் உடனடியாக சோதனை செய்யப்பட்டது - DNS கோரிக்கைகளைப் பிடிக்க Burp Collaborator பாரம்பரியமாகப் பயன்படுத்தப்படுகிறது. எனக்கு ஆச்சரியமாக, இது முதல் முறையாக வேலை செய்தது: DNS நாக் அவுட் பெறப்பட்டது. அடுத்து, போர்ட் 80 வழியாக பின்னிணைப்பை உருவாக்கும் முயற்சி நடந்தது (அதாவது, சர்வரில் இருந்து தாக்குபவருக்கு நெட்வொர்க் இணைப்பு, பாதிக்கப்பட்ட ஹோஸ்டில் cmd.exe அணுகலுடன்), ஆனால் பின்னர் ஒரு தோல்வி ஏற்பட்டது. இணைப்பு வரவில்லை, மேலும் தளத்தைப் பயன்படுத்துவதற்கான மூன்றாவது முயற்சிக்குப் பிறகு, அனைத்து சுவாரஸ்யமான படங்களுடனும், என்றென்றும் மறைந்துவிட்டது.

வழக்கமாக இதைத் தொடர்ந்து "வாடிக்கையாளர், எழுந்திருங்கள், நாங்கள் அனைத்தையும் கைவிட்டோம்" என்ற பாணியில் ஒரு கடிதம் வரும். ஆனால் இந்த தளத்திற்கு வணிக செயல்முறைகளுடன் எந்த தொடர்பும் இல்லை என்றும், முழு சேவையகத்தைப் போலவே எந்த காரணமும் இல்லாமல் வேலை செய்கிறது என்றும், இந்த ஆதாரத்தை நாங்கள் விரும்பியபடி பயன்படுத்தலாம் என்றும் எங்களுக்குத் தெரிவிக்கப்பட்டது.
சுமார் ஒரு நாள் கழித்து, தளம் திடீரென்று வேலை செய்யத் தொடங்கியது. IIS 6.0 இல் WebDAV இலிருந்து ஒரு பெஞ்சை உருவாக்கியதால், ஒவ்வொரு 30 மணிநேரத்திற்கும் IIS பணியாளர் செயல்முறைகளை மறுதொடக்கம் செய்வதே இயல்புநிலை அமைப்பாக இருப்பதைக் கண்டேன். அதாவது, கட்டுப்பாடு ஷெல்கோடில் இருந்து வெளியேறியதும், IIS பணியாளரின் செயல்முறை முடிந்தது, பின்னர் அது இரண்டு முறை தன்னைத்தானே மறுதொடக்கம் செய்து 30 மணிநேரம் ஓய்வெடுக்கச் சென்றது.

tcpக்கான பின் இணைப்பு முதன்முறையாக தோல்வியடைந்ததால், நான் இந்தச் சிக்கலை மூடிய போர்ட் காரணமாகக் கூறினேன். அதாவது, வெளிச்செல்லும் இணைப்புகளை வெளியே செல்ல அனுமதிக்காத சில வகையான ஃபயர்வால் இருப்பதாக அவர் கருதினார். பல tcp மற்றும் udp போர்ட்களில் தேடும் ஷெல்கோடுகளை இயக்கத் தொடங்கினேன், எந்த விளைவும் இல்லை. Metasploit இலிருந்து http(s) வழியாக தலைகீழ் இணைப்பு ஏற்றங்கள் வேலை செய்யவில்லை - meterpreter/reverse_http(s). திடீரென்று, அதே போர்ட் 80 க்கு ஒரு இணைப்பு நிறுவப்பட்டது, ஆனால் உடனடியாக கைவிடப்பட்டது. மீட்டர்பிரிட்டர் டிராஃபிக்கை விரும்பாத இன்னும் கற்பனையான ஐபிஎஸ்ஸின் செயலே இதற்குக் காரணம். போர்ட் 80க்கான ஒரு தூய tcp இணைப்பு செல்லவில்லை, ஆனால் ஒரு http இணைப்பு கிடைத்தது என்ற உண்மையின் வெளிச்சத்தில், கணினியில் ஒரு http ப்ராக்ஸி எப்படியாவது கட்டமைக்கப்பட்டுள்ளது என்று முடிவு செய்தேன்.

நான் டிஎன்எஸ் வழியாக மீட்டர்ப்ரெட்டரையும் முயற்சித்தேன் (நன்றி d00kie உங்கள் முயற்சிகளுக்காக, பல திட்டங்களைச் சேமித்தது), முதல் வெற்றியை நினைவுபடுத்துகிறது, ஆனால் அது நிலைப்பாட்டில் கூட வேலை செய்யவில்லை - இந்த பாதிப்புக்கு ஷெல்கோட் மிகவும் பெரியதாக இருந்தது.

உண்மையில், இது இப்படி இருந்தது: 3 நிமிடங்களுக்குள் 4-5 தாக்குதல் முயற்சிகள், பின்னர் 30 மணி நேரம் காத்திருக்கவும். இப்படி மூன்று வாரங்கள் தொடர்ச்சியாக. நேரத்தை வீணடிக்கக் கூடாது என்பதற்காக ஒரு நினைவூட்டலைக் கூட அமைத்தேன். கூடுதலாக, சோதனை மற்றும் உற்பத்தி சூழல்களின் நடத்தையில் வேறுபாடு இருந்தது: இந்த பாதிப்புக்கு இரண்டு ஒத்த சுரண்டல்கள் இருந்தன, ஒன்று Metasploit இலிருந்து, இரண்டாவது இணையத்திலிருந்து, நிழல் தரகர்கள் பதிப்பிலிருந்து மாற்றப்பட்டது. எனவே, மெட்டாஸ்ப்ளோயிட் மட்டுமே போரில் சோதிக்கப்பட்டது, இரண்டாவது பெஞ்சில் சோதனை செய்யப்பட்டது, இது பிழைத்திருத்தத்தை இன்னும் கடினமாக்கியது மற்றும் மூளையை உடைத்தது.

இறுதியில், http வழியாக கொடுக்கப்பட்ட சர்வரில் இருந்து exe கோப்பைப் பதிவிறக்கம் செய்து, இலக்கு கணினியில் அதைத் துவக்கிய ஷெல்கோட் பயனுள்ளதாக இருந்தது. ஷெல்கோட் பொருந்தும் அளவுக்கு சிறியதாக இருந்தது, ஆனால் குறைந்தபட்சம் அது வேலை செய்தது. சர்வர் TCP ட்ராஃபிக்கை விரும்பாததாலும், http(கள்) மீட்டர்ப்ரிட்டர் உள்ளதா எனப் பரிசோதிக்கப்பட்டதாலும், இந்த ஷெல்கோட் மூலம் DNS-meterpreter உள்ள exe கோப்பைப் பதிவிறக்குவதே வேகமான வழி என்று முடிவு செய்தேன்.

இங்கே மீண்டும் ஒரு சிக்கல் எழுந்தது: exe கோப்பைப் பதிவிறக்கும் போது, ​​முயற்சிகள் காட்டியபடி, எதுவாக இருந்தாலும், பதிவிறக்கம் தடைபட்டது. மீண்டும், எனது சேவையகத்திற்கும் சிறுநீரக மருத்துவருக்கும் இடையே உள்ள சில பாதுகாப்பு சாதனம் உள்ளே exe உள்ள http போக்குவரத்து பிடிக்கவில்லை. "விரைவான" தீர்வாக ஷெல்கோடை மாற்றுவது போல் தோன்றியது, இதனால் அது பறக்கும்போது http போக்குவரத்தை மழுங்கடிக்கும், அதனால் exe க்கு பதிலாக சுருக்க பைனரி தரவு மாற்றப்படும். இறுதியாக, தாக்குதல் வெற்றிகரமாக இருந்தது, மெல்லிய டிஎன்எஸ் சேனல் மூலம் கட்டுப்பாடு பெறப்பட்டது:

எனக்கு மிக அடிப்படையான IIS பணிப்பாய்வு உரிமைகள் உள்ளன என்பது உடனடியாகத் தெளிவாகியது, அது என்னை எதுவும் செய்ய அனுமதிக்கவில்லை. மெட்டாஸ்ப்ளோயிட் கன்சோலில் இது எப்படி இருந்தது:

அணுகலைப் பெறும்போது உரிமைகளை அதிகரிக்க வேண்டும் என்று அனைத்து பெண்டெஸ்ட் முறைகளும் வலுவாக பரிந்துரைக்கின்றன. நான் வழக்கமாக இதை உள்நாட்டில் செய்வதில்லை, ஏனெனில் முதல் அணுகல் ஒரு நெட்வொர்க் நுழைவுப் புள்ளியாகவே பார்க்கப்படுகிறது, மேலும் அதே நெட்வொர்க்கில் உள்ள மற்றொரு இயந்திரத்தை சமரசம் செய்வது, ஏற்கனவே உள்ள ஹோஸ்டில் சலுகைகளை அதிகரிப்பதை விட எளிதாகவும் வேகமாகவும் இருக்கும். ஆனால் டிஎன்எஸ் சேனல் மிகவும் குறுகலாக இருப்பதால், போக்குவரத்தை சீரமைக்க அனுமதிக்காது என்பதால், இங்கு அப்படி இல்லை.

பிரபலமான MS2003-17 பாதிப்புக்கு இந்த Windows 010 சேவையகம் சரிசெய்யப்படவில்லை என்று கருதி, லோக்கல் ஹோஸ்டில் உள்ள மீட்டர்பிரேட்டர் DNS டன்னல் மூலம் போர்ட் 445/TCPக்கு சுரங்கப் போக்குவரத்தைச் செய்கிறேன் (ஆம், இதுவும் சாத்தியம்) மற்றும் முன்பு பதிவிறக்கம் செய்யப்பட்ட exe ஐ இயக்க முயற்சிக்கிறேன். பாதிப்பு. தாக்குதல் வேலை செய்கிறது, நான் இரண்டாவது இணைப்பைப் பெறுகிறேன், ஆனால் SYSTEM உரிமைகளுடன்.

அவர்கள் இன்னும் MS17-010 இலிருந்து சேவையகத்தைப் பாதுகாக்க முயன்றனர் என்பது சுவாரஸ்யமானது - இது வெளிப்புற இடைமுகத்தில் பாதிக்கப்படக்கூடிய பிணைய சேவைகளை முடக்கியது. இது பிணையத்தின் மீதான தாக்குதல்களுக்கு எதிராகப் பாதுகாக்கிறது, ஆனால் லோக்கல் ஹோஸ்டில் உள்ள தாக்குதல் வேலை செய்தது, ஏனெனில் நீங்கள் லோக்கல் ஹோஸ்டில் SMB ஐ விரைவாக முடக்க முடியாது.

அடுத்து, புதிய சுவாரஸ்யமான விவரங்கள் வெளிப்படுத்தப்படுகின்றன:

1. SYSTEM உரிமைகள் இருப்பதால், TCP வழியாக நீங்கள் எளிதாக ஒரு பின் இணைப்பை நிறுவலாம். வெளிப்படையாக, நேரடி TCP ஐ முடக்குவது வரையறுக்கப்பட்ட IIS பயனருக்கு கண்டிப்பாக ஒரு பிரச்சனையாகும். ஸ்பாய்லர்: IIS பயனர் போக்குவரத்து எப்படியோ உள்ளூர் ISA ப்ராக்ஸியில் இரு திசைகளிலும் மூடப்பட்டிருந்தது. இது எவ்வாறு சரியாக வேலை செய்கிறது, நான் மீண்டும் உருவாக்கவில்லை.
2. நான் ஒரு குறிப்பிட்ட “DMZ” இல் இருக்கிறேன் (இது செயலில் உள்ள டைரக்டரி டொமைன் அல்ல, ஆனால் ஒரு பணிக்குழு) - இது தர்க்கரீதியாகத் தெரிகிறது. ஆனால் எதிர்பார்க்கப்படும் தனிப்பட்ட (“சாம்பல்”) ஐபி முகவரிக்குப் பதிலாக, நான் முன்பு தாக்கியதைப் போலவே முற்றிலும் “வெள்ளை” ஐபி முகவரி உள்ளது. 4 ஆம் ஆண்டு முதல் சிஸ்கோ கையேடுகளில் சித்தரிக்கப்பட்டுள்ளபடி, IPv128 முகவரியில் நிறுவனம் NAT இல்லாமல் 2005 "வெள்ளை" முகவரிகளுக்கு DMZ மண்டலத்தை பராமரிக்கும் அளவுக்கு மிகவும் பழமையானது.

சேவையகம் பழையதாக இருப்பதால், Mimikatz நினைவகத்திலிருந்து நேரடியாக வேலை செய்ய உத்தரவாதம் அளிக்கப்படுகிறது:

நான் லோக்கல் அட்மினிஸ்ட்ரேட்டர் பாஸ்வேர்டைப் பெற்று, TCP வழியாக சுரங்கப்பாதை RDP டிராஃபிக்கைப் பெற்று, வசதியான டெஸ்க்டாப்பில் உள்நுழைகிறேன். சேவையகத்துடன் நான் விரும்பியதைச் செய்ய முடியும் என்பதால், நான் வைரஸ் தடுப்பு மருந்தை அகற்றி, TCP போர்ட்கள் 80 மற்றும் 443 வழியாக மட்டுமே சேவையகத்தை இணையத்திலிருந்து அணுக முடியும் என்பதைக் கண்டறிந்தேன், மேலும் 443 பிஸியாக இல்லை. நான் 443 இல் OpenVPN சேவையகத்தை அமைத்து, எனது VPN ட்ராஃபிக்கிற்கு NAT செயல்பாடுகளைச் சேர்த்தேன் மற்றும் எனது OpenVPN மூலம் வரம்பற்ற வடிவத்தில் DMZ நெட்வொர்க்கிற்கு நேரடி அணுகலைப் பெறுகிறேன். ஐஎஸ்ஏ, சில முடக்கப்படாத ஐபிஎஸ் செயல்பாடுகளைக் கொண்டிருப்பதால், போர்ட் ஸ்கேனிங் மூலம் எனது போக்குவரத்தைத் தடுத்தது என்பது குறிப்பிடத்தக்கது, அதற்காக அது எளிமையான மற்றும் மிகவும் இணக்கமான ஆர்ஆர்ஏஎஸ் மூலம் மாற்றப்பட வேண்டியிருந்தது. எனவே பெண்டெஸ்டர்கள் சில நேரங்களில் எல்லா வகையான விஷயங்களையும் நிர்வகிக்க வேண்டும்.

ஒரு கவனமுள்ள வாசகர் கேட்பார்: "இரண்டாவது தளத்தைப் பற்றி என்ன - என்டிஎல்எம் அங்கீகாரத்துடன் கூடிய விக்கி, அதைப் பற்றி அதிகம் எழுதப்பட்டுள்ளது?" இதைப் பற்றி பின்னர்.

பகுதி 2. இன்னும் என்க்ரிப்ட் செய்யவில்லையா? நாங்கள் ஏற்கனவே இங்கே உங்களிடம் வருகிறோம்

எனவே, DMZ நெட்வொர்க் பிரிவுக்கான அணுகல் உள்ளது. நீங்கள் டொமைன் நிர்வாகியிடம் செல்ல வேண்டும். DMZ பிரிவில் உள்ள சேவைகளின் பாதுகாப்பை தானாகச் சரிபார்ப்பதே நினைவுக்கு வரும் முதல் விஷயம், குறிப்பாக அவற்றில் பல இப்போது ஆராய்ச்சிக்காக திறக்கப்பட்டுள்ளன. ஊடுருவல் சோதனையின் போது ஒரு பொதுவான படம்: உள் சேவைகளை விட வெளிப்புற சுற்றளவு சிறப்பாக பாதுகாக்கப்படுகிறது, மேலும் ஒரு பெரிய உள்கட்டமைப்பிற்குள் எந்த அணுகலையும் பெறும்போது, ​​இந்த டொமைன் தொடங்கும் உண்மையின் காரணமாக மட்டுமே ஒரு டொமைனில் நீட்டிக்கப்பட்ட உரிமைகளைப் பெறுவது மிகவும் எளிதானது. கருவிகளுக்கு அணுகக்கூடியது, இரண்டாவதாக, பல ஆயிரம் ஹோஸ்ட்களைக் கொண்ட உள்கட்டமைப்பில், எப்போதும் இரண்டு முக்கியமான சிக்கல்கள் இருக்கும்.

நான் OpenVPN சுரங்கப்பாதை வழியாக DMZ வழியாக ஸ்கேனர்களை சார்ஜ் செய்து காத்திருக்கிறேன். நான் அறிக்கையைத் திறக்கிறேன் - மீண்டும் ஒன்றும் தீவிரமாக இல்லை, வெளிப்படையாக யாரோ ஒருவர் எனக்கு முன் அதே முறையைப் பின்பற்றினார். அடுத்த படி DMZ நெட்வொர்க்கில் உள்ள ஹோஸ்ட்கள் எவ்வாறு தொடர்பு கொள்கின்றன என்பதை ஆராய்வது. இதைச் செய்ய, முதலில் வழக்கமான வயர்ஷார்க்கைத் தொடங்கவும் மற்றும் ஒளிபரப்பு கோரிக்கைகளைக் கேட்கவும், முதன்மையாக ARP. ARP பாக்கெட்டுகள் நாள் முழுவதும் சேகரிக்கப்பட்டன. இந்த பிரிவில் பல நுழைவாயில்கள் பயன்படுத்தப்படுகின்றன என்று மாறிவிடும். இது பின்னர் கைக்கு வரும். ARP கோரிக்கைகள் மற்றும் பதில்கள் மற்றும் போர்ட் ஸ்கேனிங் தரவு ஆகியவற்றின் தரவை இணைப்பதன் மூலம், இணையம் மற்றும் அஞ்சல் போன்ற முன்னர் அறியப்பட்ட சேவைகளுக்கு கூடுதலாக உள்ளூர் நெட்வொர்க்கிற்குள் இருந்து பயனர் போக்குவரத்தின் வெளியேறும் புள்ளிகளைக் கண்டறிந்தேன்.

இந்த நேரத்தில் எனக்கு பிற அமைப்புகளுக்கான அணுகல் இல்லை மற்றும் கார்ப்பரேட் சேவைகளுக்கு ஒரு கணக்கு கூட இல்லாததால், ARP ஸ்பூஃபிங்கைப் பயன்படுத்தி டிராஃபிக்கில் இருந்து குறைந்தபட்சம் சில கணக்கையாவது வெளியேற்ற முடிவு செய்யப்பட்டது.

கெய்ன் & ஏபெல் சிறுநீரக மருத்துவரின் சேவையகத்தில் தொடங்கப்பட்டது. அடையாளம் காணப்பட்ட ட்ராஃபிக் ஓட்டங்களைக் கணக்கில் எடுத்துக்கொண்டு, மேன்-இன்-தி-மிடில் தாக்குதலுக்கான மிகவும் நம்பிக்கைக்குரிய ஜோடிகள் தேர்ந்தெடுக்கப்பட்டன, பின்னர் சேவையகத்தை மறுதொடக்கம் செய்வதற்கான டைமருடன் 5-10 நிமிடங்களுக்கு குறுகிய கால ஏவுதலால் சில நெட்வொர்க் ட்ராஃபிக் பெறப்பட்டது. உறைபனி வழக்கில். நகைச்சுவையைப் போலவே, இரண்டு செய்திகள் இருந்தன:

1. நல்லது: நிறைய சான்றுகள் பிடிபட்டன மற்றும் ஒட்டுமொத்த தாக்குதல் வேலை செய்தது.
2. மோசமானது: அனைத்து சான்றுகளும் வாடிக்கையாளரின் சொந்த வாடிக்கையாளர்களிடமிருந்து வந்தவை. ஆதரவு சேவைகளை வழங்கும் போது, ​​எப்போதும் போக்குவரத்து குறியாக்கத்தை உள்ளமைக்காத வாடிக்கையாளர்களின் சேவைகளுடன் வாடிக்கையாளர் வல்லுநர்கள் இணைக்கப்பட்டுள்ளனர்.

இதன் விளைவாக, திட்டத்தின் சூழலில் பயனற்ற பல சான்றுகளை நான் பெற்றேன், ஆனால் தாக்குதலின் ஆபத்தை நிரூபிக்கும் வகையில் நிச்சயமாக சுவாரஸ்யமானது. டெல்நெட் கொண்ட பெரிய நிறுவனங்களின் பார்டர் ரவுட்டர்கள், அனைத்து தரவுகளுடன் உள்ளக CRM க்கு பிழைத்திருத்த http போர்ட்களை அனுப்புதல், உள்ளூர் நெட்வொர்க்கில் Windows XP இலிருந்து RDP க்கு நேரடி அணுகல் மற்றும் பிற தெளிவற்றவை. இது இப்படி மாறியது MITER மேட்ரிக்ஸின் படி சப்ளை செயின் சமரசம்.

டிராஃபிக்கிலிருந்து கடிதங்களை சேகரிக்கும் வேடிக்கையான வாய்ப்பையும் நான் கண்டேன், இது போன்ற ஏதாவது. இது எங்கள் வாடிக்கையாளரிடமிருந்து அவரது வாடிக்கையாளரின் SMTP போர்ட்டுக்கு மீண்டும், குறியாக்கம் இல்லாமல் சென்ற ஒரு ஆயத்த கடிதத்தின் எடுத்துக்காட்டு. ஒரு குறிப்பிட்ட ஆண்ட்ரே தனது பெயரை ஆவணங்களை மீண்டும் அனுப்பும்படி கேட்கிறார், மேலும் அது ஒரு பதில் கடிதத்தில் உள்நுழைவு, கடவுச்சொல் மற்றும் இணைப்புடன் கிளவுட் டிஸ்கில் பதிவேற்றப்படுகிறது:

அனைத்து சேவைகளையும் குறியாக்கம் செய்வதற்கான மற்றொரு நினைவூட்டல் இது. உங்கள் தரவை குறிப்பாக யார், எப்போது படித்துப் பயன்படுத்துவார்கள் என்பது தெரியவில்லை - வழங்குநர், மற்றொரு நிறுவனத்தின் சிஸ்டம் அட்மினிஸ்ட்ரேட்டர் அல்லது அத்தகைய பெண்டெஸ்டர். மறைகுறியாக்கப்படாத போக்குவரத்தை பலர் வெறுமனே இடைமறிக்க முடியும் என்ற உண்மையைப் பற்றி நான் அமைதியாக இருக்கிறேன்.

வெளிப்படையான வெற்றி இருந்தபோதிலும், இது இலக்கை நெருங்கவில்லை. நிச்சயமாக, நீண்ட நேரம் உட்கார்ந்து மதிப்புமிக்க தகவல்களைப் பெறுவது சாத்தியம், ஆனால் அது அங்கு தோன்றும் என்பது உண்மையல்ல, மேலும் நெட்வொர்க்கின் ஒருமைப்பாட்டின் அடிப்படையில் தாக்குதல் மிகவும் ஆபத்தானது.

சேவைகளில் மற்றொரு தோண்டிய பிறகு, ஒரு சுவாரஸ்யமான யோசனை நினைவுக்கு வந்தது. ரெஸ்பாண்டர் என்று அழைக்கப்படும் ஒரு பயன்பாடு உள்ளது (இந்த பெயரின் பயன்பாட்டின் எடுத்துக்காட்டுகளைக் கண்டுபிடிப்பது எளிது), இது ஒளிபரப்பு கோரிக்கைகளை "விஷம்" செய்வதன் மூலம், SMB, HTTP, LDAP போன்ற பல்வேறு நெறிமுறைகள் வழியாக இணைப்புகளைத் தூண்டுகிறது. வெவ்வேறு வழிகளில், அங்கீகரிப்பதற்காக இணைக்கும் அனைவரையும் கேட்டு, NTLM வழியாகவும், பாதிக்கப்பட்டவருக்கு வெளிப்படையான முறையில் அங்கீகாரம் அளிக்கும் வகையில் அதை அமைக்கவும். பெரும்பாலும், தாக்குபவர் NetNTLMv2 ஹேண்ட்ஷேக்குகளை இந்த வழியில் சேகரிக்கிறார், மேலும் அவர்களிடமிருந்து, அகராதியைப் பயன்படுத்தி, பயனர் டொமைன் கடவுச்சொற்களை விரைவாக மீட்டெடுக்கிறார். இங்கே நான் இதேபோன்ற ஒன்றை விரும்பினேன், ஆனால் பயனர்கள் "சுவருக்குப் பின்னால்" அமர்ந்தனர் அல்லது மாறாக, அவர்கள் ஒரு ஃபயர்வால் மூலம் பிரிக்கப்பட்டு, ப்ளூ கோட் ப்ராக்ஸி கிளஸ்டர் மூலம் இணையத்தை அணுகினர்.

ஆக்டிவ் டைரக்டரி டொமைன் பெயர் "வெளிப்புற" டொமைனுடன் ஒத்துப்போகிறது என்பதை நினைவில் கொள்க, அதாவது இது company.ru? எனவே, விண்டோஸ், இன்னும் துல்லியமாக இன்டர்நெட் எக்ஸ்ப்ளோரர் (மற்றும் எட்ஜ் மற்றும் குரோம்), சில "இன்ட்ராநெட் மண்டலத்தில்" தளம் அமைந்துள்ளது என்று கருதினால், NTLM வழியாக HTTP இல் வெளிப்படையாக அங்கீகரிக்க பயனர்களை அனுமதிக்கிறது. "இன்ட்ராநெட்" இன் அறிகுறிகளில் ஒன்று "சாம்பல்" ஐபி முகவரி அல்லது குறுகிய டிஎன்எஸ் பெயரை அணுகுவது, அதாவது புள்ளிகள் இல்லாமல். "வெள்ளை" ஐபி மற்றும் டிஎன்எஸ் பெயர் preobrazhensky.company.ru கொண்ட சர்வர் மற்றும் டொமைன் இயந்திரங்கள் பொதுவாக DHCP வழியாக ஆக்டிவ் டைரக்டரி டொமைன் பின்னொட்டைப் பெறுவதால், எளிமைப்படுத்தப்பட்ட பெயர் உள்ளீட்டிற்காக, அவர்கள் முகவரிப் பட்டியில் URL ஐ மட்டுமே எழுத வேண்டியிருந்தது. preobrazhensky, சமரசம் செய்யப்பட்ட சிறுநீரக மருத்துவரின் சேவையகத்திற்கான சரியான பாதையை அவர்கள் கண்டுபிடிப்பார்கள், இது இப்போது "இன்ட்ராநெட்" என்று அழைக்கப்படுகிறது என்பதை மறந்துவிடாதீர்கள். அதாவது, அதே நேரத்தில் பயனரின் NTLM-ஐ அவருக்குத் தெரியாமல் எனக்குக் கொடுப்பது. இந்த சேவையகத்தைத் தொடர்புகொள்வதற்கான அவசரத் தேவையைப் பற்றி சிந்திக்க கிளையன்ட் உலாவிகளை கட்டாயப்படுத்துவது மட்டுமே எஞ்சியுள்ளது.

அற்புதமான இன்டர்செப்டர்-என்ஜி பயன்பாடு மீட்புக்கு வந்தது (நன்றி இடைமறிப்பான்) பயணத்தின்போது போக்குவரத்தை மாற்றுவதற்கு இது உங்களை அனுமதித்தது மற்றும் Windows 2003 இல் சிறப்பாகச் செயல்பட்டது. போக்குவரத்து ஓட்டத்தில் ஜாவாஸ்கிரிப்ட் கோப்புகளை மட்டும் மாற்றியமைப்பதற்கான தனி செயல்பாடும் இருந்தது. ஒரு வகையான கிராஸ்-சைட் ஸ்கிரிப்டிங் திட்டமிடப்பட்டது.

புளூ கோட் ப்ராக்ஸிகள், இதன் மூலம் பயனர்கள் உலகளாவிய வலையை அணுகினர், அவ்வப்போது நிலையான உள்ளடக்கத்தை தற்காலிகமாக சேமித்து வைத்தனர். போக்குவரத்தை இடைமறிப்பதன் மூலம், அவர்கள் கடிகாரத்தைச் சுற்றி வேலை செய்கிறார்கள் என்பது தெளிவாகத் தெரிந்தது, பீக் ஹவர்ஸின் போது உள்ளடக்கத்தை விரைவுபடுத்துவதற்கு அடிக்கடி பயன்படுத்தப்படும் நிலையானதைக் கோருகின்றனர். கூடுதலாக, ப்ளூகோட் ஒரு குறிப்பிட்ட பயனர்-ஏஜென்ட்டைக் கொண்டிருந்தது, இது உண்மையான பயனரிடமிருந்து தெளிவாக வேறுபடுத்தப்பட்டது.

ஜாவாஸ்கிரிப்ட் தயாரிக்கப்பட்டது, இது இன்டர்செப்டர்-என்ஜியைப் பயன்படுத்தி, ப்ளூ கோட்டிற்கான JS கோப்புகளுடன் ஒவ்வொரு பதிலுக்கும் இரவில் ஒரு மணிநேரம் செயல்படுத்தப்பட்டது. ஸ்கிரிப்ட் பின்வருவனவற்றைச் செய்தது:

• பயனர் முகவர் மூலம் தற்போதைய உலாவி தீர்மானிக்கப்பட்டது. இன்டர்நெட் எக்ஸ்ப்ளோரர், எட்ஜ் அல்லது குரோம் என்றால், அது தொடர்ந்து வேலை செய்யும்.
• பக்கத்தின் DOM உருவாகும் வரை நான் காத்திருந்தேன்.
• படிவத்தின் src பண்புக்கூறுடன் DOM இல் ஒரு கண்ணுக்கு தெரியாத படம் செருகப்பட்டது preobrazhensky:8080/NNNNNNN.png, NNN என்பது தன்னிச்சையான எண்கள், அதனால் BlueCoat அதை தேக்கிக்கொள்ளாது.
• உட்செலுத்துதல் முடிந்ததைக் குறிக்க உலகளாவிய கொடி மாறியை அமைக்கவும், இனி படங்களைச் செருக வேண்டிய அவசியமில்லை.

உலாவி இந்தப் படத்தை ஏற்ற முயற்சித்தது; சமரசம் செய்யப்பட்ட சேவையகத்தின் போர்ட் 8080 இல், ஒரு TCP சுரங்கப்பாதை எனது மடிக்கணினிக்கு காத்திருக்கிறது, அங்கு அதே பதிலளிப்பான் இயங்குகிறது, உலாவி NTLM வழியாக உள்நுழைய வேண்டும்.

பதிலளிப்பவர் பதிவுகள் மூலம் ஆராய, மக்கள் காலையில் வேலைக்கு வந்தனர், தங்கள் பணிநிலையங்களை இயக்கினர், பின்னர் ஒட்டுமொத்தமாக மற்றும் கவனிக்கப்படாமல் சிறுநீரக மருத்துவரின் சேவையகத்தைப் பார்வையிடத் தொடங்கினர், NTLM ஹேண்ட்ஷேக்குகளை "வடிகால்" செய்ய மறக்கவில்லை. நாள் முழுவதும் ஹேண்ட்ஷேக்குகள் மழை பெய்தது மற்றும் கடவுச்சொற்களை மீட்டெடுப்பதற்கான ஒரு வெற்றிகரமான தாக்குதலுக்கான பொருள் தெளிவாக குவிந்தது. பதிலளிப்பவர் பதிவுகள் இப்படித்தான் இருந்தன:

யூரோலாஜிஸ்ட் சர்வருக்குப் பயனர்கள் அதிக அளவில் ரகசிய வருகைகள்

இந்த முழு கதையும் "எல்லாம் நன்றாக இருந்தது, ஆனால் பின்னர் ஒரு குழப்பம் இருந்தது, பின்னர் ஒரு வெற்றி இருந்தது, பின்னர் எல்லாம் வெற்றிக்கு வந்தது" என்ற கொள்கையின் அடிப்படையில் கட்டப்பட்டிருப்பதை நீங்கள் ஏற்கனவே கவனித்திருக்கலாம். எனவே, இங்கே ஒரு குழப்பம் இருந்தது. ஐம்பது தனித்துவமான ஹேண்ட்ஷேக்குகளில், ஒன்று கூட வெளிப்படுத்தப்படவில்லை. இறந்த செயலியுடன் கூடிய மடிக்கணினியில் கூட, இந்த NTLMv2 ஹேண்ட்ஷேக்குகள் வினாடிக்கு பல நூறு மில்லியன் முயற்சிகள் வேகத்தில் செயலாக்கப்படுகின்றன என்ற உண்மையை இது கணக்கில் எடுத்துக்கொள்கிறது.

கடவுச்சொல் பிறழ்வு நுட்பங்கள், வீடியோ அட்டை, தடிமனான அகராதி ஆகியவற்றைக் கொண்டு நான் காத்திருக்க வேண்டியிருந்தது. நீண்ட காலத்திற்குப் பிறகு, "Q11111111....1111111q" படிவத்தின் கடவுச்சொற்களைக் கொண்ட பல கணக்குகள் வெளிப்படுத்தப்பட்டன, இது ஒரு காலத்தில் அனைத்து பயனர்களும் வெவ்வேறு எழுத்துக்களைக் கொண்ட மிக நீண்ட கடவுச்சொல்லைக் கொண்டு வர வேண்டிய கட்டாயத்தில் இருந்ததாகக் கூறுகிறது. சிக்கலானதாக இருக்கும். ஆனால் அனுபவமுள்ள பயனரை நீங்கள் முட்டாளாக்க முடியாது, மேலும் அவர் நினைவில் கொள்வதை எளிதாக்கினார். மொத்தத்தில், சுமார் 5 கணக்குகள் சமரசம் செய்யப்பட்டன, அவற்றில் ஒன்று மட்டுமே சேவைகளுக்கு மதிப்புமிக்க உரிமைகளைக் கொண்டிருந்தது.

பகுதி 3. Roskomnadzor தாக்குகிறது

எனவே, முதல் டொமைன் கணக்குகள் பெறப்பட்டன. நீண்ட நேரம் படித்த பிறகும் நீங்கள் தூங்கவில்லை என்றால், இரண்டாவது காரணி அங்கீகாரம் தேவைப்படாத ஒரு சேவையை நான் குறிப்பிட்டது உங்களுக்கு நினைவிருக்கும்: இது NTLM அங்கீகாரத்துடன் கூடிய விக்கி. நிச்சயமாக, முதலில் செய்ய வேண்டியது அங்கு நுழைவதுதான். உள் அறிவுத் தளத்தைத் தோண்டி விரைவாக முடிவுகளைத் தந்தது:

• நிறுவனம் உள்ளூர் நெட்வொர்க்கிற்கான அணுகலுடன் டொமைன் கணக்குகளைப் பயன்படுத்தி அங்கீகாரத்துடன் WiFi நெட்வொர்க்கைக் கொண்டுள்ளது. தற்போதைய தரவுத் தொகுப்பில், இது ஏற்கனவே வேலை செய்யும் தாக்குதல் திசையன், ஆனால் நீங்கள் உங்கள் கால்களால் அலுவலகத்திற்குச் சென்று வாடிக்கையாளர் அலுவலகத்தின் பிரதேசத்தில் எங்காவது இருக்க வேண்டும்.
• பயனர் உள்ளூர் நெட்வொர்க்கிற்குள் இருந்தால் மற்றும் அவரது டொமைன் உள்நுழைவு மற்றும் கடவுச்சொல்லை நம்பிக்கையுடன் நினைவில் வைத்திருந்தால், "இரண்டாம் காரணி" அங்கீகார சாதனத்தை சுயாதீனமாக பதிவு செய்ய அனுமதிக்கும் ஒரு சேவை உள்ள வழிமுறையை நான் கண்டேன். இந்த வழக்கில், "உள்ளே" மற்றும் "வெளியே" இந்த சேவையின் துறைமுகத்தை பயனருக்கு அணுகுவதன் மூலம் தீர்மானிக்கப்பட்டது. போர்ட் இணையத்தில் இருந்து அணுகப்படவில்லை, ஆனால் DMZ மூலம் அணுகக்கூடியதாக இருந்தது.

நிச்சயமாக, எனது தொலைபேசியில் உள்ள பயன்பாட்டின் வடிவத்தில் சமரசம் செய்யப்பட்ட கணக்கில் "இரண்டாவது காரணி" உடனடியாக சேர்க்கப்பட்டது. செயலுக்கான "அனுமதி"/"மறுப்பு" பொத்தான்களுடன் தொலைபேசியில் புஷ் கோரிக்கையை சத்தமாக அனுப்பக்கூடிய ஒரு நிரல் உள்ளது, அல்லது மேலும் சுயாதீனமாக நுழைவதற்கு OTP குறியீட்டை திரையில் அமைதியாகக் காண்பிக்கும். மேலும், முதல் முறை மட்டுமே சரியானதாக இருக்கும் என்று அறிவுறுத்தல்களால் கருதப்பட்டது, ஆனால் அது OTP முறையைப் போலல்லாமல் வேலை செய்யவில்லை.

"இரண்டாவது காரணி" உடைந்ததால், Citrix Netscaler Gateway இல் Outlook Web Access அஞ்சல் மற்றும் தொலைநிலை அணுகலை என்னால் அணுக முடிந்தது. அவுட்லுக்கில் மின்னஞ்சலில் ஒரு ஆச்சரியம் இருந்தது:

இந்த அரிய ஷாட்டில், ரோஸ்கோம்னாட்ஸர் பெண்டெஸ்டர்களுக்கு எவ்வாறு உதவுகிறார் என்பதை நீங்கள் பார்க்கலாம்

டெலிகிராமின் பிரபலமான "ரசிகர்" தடுப்பிற்குப் பிறகு, ஆயிரக்கணக்கான முகவரிகளைக் கொண்ட முழு நெட்வொர்க்குகளும் அணுகலில் இருந்து தவிர்க்க முடியாமல் மறைந்த முதல் மாதங்கள் இவை. புஷ் ஏன் உடனடியாக வேலை செய்யவில்லை என்பதும், எனது "பாதிக்கப்பட்டவர்" ஏன் அலாரத்தை ஒலிக்கவில்லை என்பதும் தெளிவாகியது, ஏனெனில் அவர்கள் திறந்த நேரங்களில் அவரது கணக்கைப் பயன்படுத்தத் தொடங்கினர்.

சிட்ரிக்ஸ் நெட்ஸ்கேலரைப் பற்றி நன்கு தெரிந்த எவரும், இது வழக்கமாக ஒரு பட இடைமுகத்தை மட்டுமே பயனருக்குத் தெரிவிக்கும் வகையில் செயல்படுத்தப்படும் என்று கற்பனை செய்கிறார்கள், மூன்றாம் தரப்பு பயன்பாடுகளைத் தொடங்குவதற்கும் தரவை மாற்றுவதற்கும் கருவிகளை அவருக்கு வழங்காமல் இருக்க முயற்சி செய்கிறார்கள், எல்லா வழிகளிலும் கட்டுப்படுத்துகிறார்கள். நிலையான கட்டுப்பாட்டு குண்டுகள் மூலம். எனது "பாதிக்கப்பட்டவர்", அவரது ஆக்கிரமிப்பு காரணமாக, 1C மட்டுமே பெற்றார்:

1C இடைமுகத்தைச் சுற்றி சிறிது நடந்த பிறகு, வெளிப்புற செயலாக்க தொகுதிகள் இருப்பதைக் கண்டேன். அவை இடைமுகத்திலிருந்து ஏற்றப்படலாம், மேலும் உரிமைகள் மற்றும் அமைப்புகளைப் பொறுத்து அவை கிளையன்ட் அல்லது சர்வரில் செயல்படுத்தப்படும்.

நான் எனது 1C ப்ரோக்ராமர் நண்பர்களிடம் ஒரு சரத்தை ஏற்று அதைச் செயல்படுத்தும் செயலாக்கத்தை உருவாக்கச் சொன்னேன். 1C மொழியில், ஒரு செயல்முறையைத் தொடங்குவது இப்படித்தான் தெரிகிறது (இணையத்திலிருந்து எடுக்கப்பட்டது). 1C மொழியின் தொடரியல் தன்னிச்சையாக ரஷ்ய மொழி பேசும் மக்களை வியக்க வைக்கிறது என்பதை நீங்கள் ஒப்புக்கொள்கிறீர்களா?

செயலாக்கம் சரியாக செயல்படுத்தப்பட்டது; இது பென்டெஸ்டர்கள் "ஷெல்" என்று அழைக்கப்பட்டது - இன்டர்நெட் எக்ஸ்ப்ளோரர் அதன் மூலம் தொடங்கப்பட்டது.

முன்னதாக, பிரதேசத்திற்கான பாஸ்களை ஆர்டர் செய்ய அனுமதிக்கும் அமைப்பின் முகவரி மின்னஞ்சலில் காணப்பட்டது. வைஃபை அட்டாக் வெக்டரைப் பயன்படுத்த வேண்டியிருந்தால், பாஸை ஆர்டர் செய்தேன்.

வாடிக்கையாளரின் அலுவலகத்தில் இன்னும் சுவையான இலவச கேட்டரிங் இருப்பதாக இணையத்தில் பேச்சு உள்ளது, ஆனால் நான் இன்னும் தாக்குதலை தொலைதூரத்தில் உருவாக்க விரும்பினேன், அது அமைதியானது.

சிட்ரிக்ஸ் இயங்கும் பயன்பாட்டுச் சேவையகத்தில் AppLocker செயல்படுத்தப்பட்டது, ஆனால் அது புறக்கணிக்கப்பட்டது. http(கள்) பதிப்புகள் இணைக்க விரும்பாததால், அதே Meterpreter DNS வழியாக ஏற்றப்பட்டு தொடங்கப்பட்டது, மேலும் அந்த நேரத்தில் எனக்கு உள் ப்ராக்ஸி முகவரி தெரியாது. மூலம், இந்த தருணத்திலிருந்து, வெளிப்புற பெண்டெஸ்ட் அடிப்படையில் முற்றிலும் உள் ஒன்றாக மாறியது.

பகுதி 4. பயனர்களுக்கான நிர்வாக உரிமைகள் மோசமாக உள்ளன, சரியா?

ஒரு டொமைன் பயனர் அமர்வின் கட்டுப்பாட்டைப் பெறும்போது ஒரு பெண்டெஸ்டரின் முதல் பணி, டொமைனில் உள்ள உரிமைகள் பற்றிய அனைத்து தகவல்களையும் சேகரிப்பதாகும். ஒரு டொமைன் கன்ட்ரோலரிலிருந்து LDAP நெறிமுறை வழியாகவும், SMB வழியாகவும் பயனர்கள், கணினிகள், பாதுகாப்புக் குழுக்கள் பற்றிய தகவல்களை தானாகவே பதிவிறக்க அனுமதிக்கும் BloodHound பயன்பாடு உள்ளது - சமீபத்தில் எந்தப் பயனர் உள்நுழைந்தார், உள்ளூர் நிர்வாகி யார் என்பது பற்றிய தகவல்.

டொமைன் நிர்வாகி உரிமைகளைக் கைப்பற்றுவதற்கான ஒரு பொதுவான நுட்பம் ஒரே மாதிரியான செயல்களின் சுழற்சியாக எளிமைப்படுத்தப்பட்டுள்ளது:

• ஏற்கனவே கைப்பற்றப்பட்ட டொமைன் கணக்குகளின் அடிப்படையில், உள்ளூர் நிர்வாகி உரிமைகள் உள்ள டொமைன் கணினிகளுக்குச் செல்கிறோம்.
• நாங்கள் Mimikatz ஐத் தொடங்கி, தற்காலிகச் சேமிப்புக் கடவுச்சொற்கள், Kerberos டிக்கெட்டுகள் மற்றும் இந்த அமைப்பில் சமீபத்தில் உள்நுழைந்த டொமைன் கணக்குகளின் NTLM ஹாஷ்களைப் பெறுகிறோம். அல்லது lsass.exe செயல்முறையின் நினைவகப் படத்தை அகற்றி, அதையே நம் பக்கத்திலும் செய்கிறோம். இது இயல்புநிலை அமைப்புகளுடன் 2012R2/Windows 8.1 ஐ விட இளைய Windows உடன் நன்றாக வேலை செய்கிறது.
• சமரசம் செய்யப்பட்ட கணக்குகளுக்கு உள்ளூர் நிர்வாகி உரிமைகள் எங்குள்ளது என்பதை நாங்கள் தீர்மானிக்கிறோம். நாங்கள் முதல் புள்ளியை மீண்டும் செய்கிறோம். சில கட்டத்தில் முழு டொமைனுக்கான நிர்வாகி உரிமைகளைப் பெறுகிறோம்.

"சுழற்சியின் முடிவு;", 1C புரோகிராமர்கள் இங்கே எழுதுவார்கள்.

எனவே, எங்கள் பயனர் Windows 7 உடன் ஒரே ஒரு ஹோஸ்டில் உள்ளூர் நிர்வாகியாக மாறினார், அதில் "VDI" அல்லது "Virtual Desktop Infrastructure", தனிப்பட்ட மெய்நிகர் இயந்திரங்கள் ஆகியவை அடங்கும். அநேகமாக, VDI சேவையின் வடிவமைப்பாளர் VDI என்பது பயனரின் தனிப்பட்ட இயக்க முறைமை என்பதால், பயனர் அவர் விரும்பியபடி மென்பொருள் சூழலை மாற்றினாலும், ஹோஸ்ட் "ரீலோட்" செய்யப்படலாம். பொதுவாக இந்த யோசனை நல்லது என்று நான் நினைத்தேன், நான் இந்த தனிப்பட்ட VDI ஹோஸ்டுக்குச் சென்று அங்கு கூடு கட்டினேன்:

• நான் அங்கு ஒரு OpenVPN கிளையண்டை நிறுவினேன், அது எனது சேவையகத்திற்கு இணையம் வழியாக ஒரு சுரங்கப்பாதையை உருவாக்கியது. கிளையண்ட் டொமைன் அங்கீகாரத்துடன் அதே ப்ளூ கோட் வழியாக செல்ல வேண்டிய கட்டாயம் ஏற்பட்டது, ஆனால் OpenVPN அவர்கள் சொல்வது போல் "பெட்டிக்கு வெளியே" அதைச் செய்தது.
• VDI இல் OpenSSH நிறுவப்பட்டது. சரி, உண்மையில், SSH இல்லாமல் விண்டோஸ் 7 என்றால் என்ன?

இது நேரலையாகத் தோன்றியது. இவை அனைத்தும் சிட்ரிக்ஸ் மற்றும் 1 சி மூலம் செய்யப்பட வேண்டும் என்பதை நினைவூட்டுகிறேன்:

அண்டை கணினிகளுக்கான அணுகலை ஊக்குவிப்பதற்கான ஒரு நுட்பம், உள்ளூர் நிர்வாகியின் கடவுச்சொற்களை பொருத்தமாக சரிபார்க்க வேண்டும். இங்கே அதிர்ஷ்டம் உடனடியாகக் காத்திருந்தது: இயல்புநிலை உள்ளூர் நிர்வாகியின் NTLM ஹாஷ் (திடீரென்று நிர்வாகி என்று அழைக்கப்பட்டார்) பக்கத்து VDI ஹோஸ்ட்களுக்கு பாஸ்-தி-ஹாஷ் தாக்குதல் மூலம் அணுகப்பட்டது, அதில் பல நூறு பேர் இருந்தனர். நிச்சயமாக, தாக்குதல் உடனடியாக அவர்களைத் தாக்கியது.

இங்குதான் VDI நிர்வாகிகள் தங்களை இரண்டு முறை காலில் சுட்டுக் கொண்டனர்:

• முதல் முறையாக VDI இயந்திரங்கள் LAPS இன் கீழ் கொண்டு வரப்படவில்லை, அடிப்படையில் VDI க்கு பெருமளவில் பயன்படுத்தப்பட்ட படத்திலிருந்து அதே உள்ளூர் நிர்வாகி கடவுச்சொல்லைத் தக்கவைத்துக் கொண்டது.
• பாஸ்-தி-ஹாஷ் தாக்குதல்களால் பாதிக்கப்படக்கூடிய ஒரே உள்ளூர் கணக்கு இயல்புநிலை நிர்வாகி மட்டுமே. அதே கடவுச்சொல்லுடன் கூட, சிக்கலான சீரற்ற கடவுச்சொல்லுடன் இரண்டாவது உள்ளூர் நிர்வாகி கணக்கை உருவாக்கி, இயல்புநிலை ஒன்றைத் தடுப்பதன் மூலம் வெகுஜன சமரசத்தைத் தவிர்க்க முடியும்.

அந்த விண்டோஸில் SSH சேவை ஏன்? மிகவும் எளிமையானது: இப்போது OpenSSH சேவையகம் பயனரின் வேலையில் குறுக்கிடாமல் ஒரு வசதியான ஊடாடும் கட்டளை ஷெல்லையும் வழங்கியுள்ளது, ஆனால் VDI இல் ஒரு socks5 ப்ராக்ஸியையும் வழங்குகிறது. இந்த சாக்ஸ் மூலம், நான் SMB வழியாக இணைக்கப்பட்டு, இந்த நூற்றுக்கணக்கான VDI இயந்திரங்களிலிருந்து தற்காலிக சேமிப்பு கணக்குகளை சேகரித்தேன், பின்னர் BloodHound வரைபடங்களில் அவற்றைப் பயன்படுத்தி டொமைன் நிர்வாகிக்கான பாதையைத் தேடினேன். நூற்றுக்கணக்கான ஹோஸ்ட்கள் என் வசம் இருப்பதால், நான் இந்த வழியை மிக விரைவாக கண்டுபிடித்தேன். டொமைன் நிர்வாகி உரிமைகள் பெறப்பட்டுள்ளன.

இதேபோன்ற தேடலைக் காட்டும் இணையத்திலிருந்து ஒரு படம் இங்கே உள்ளது. அட்மினிஸ்ட்ரேட்டர் எங்கே இருக்கிறார், யார் எங்கே உள்நுழைந்திருக்கிறார் என்பதை இணைப்புகள் காட்டுகின்றன.

மூலம், திட்டத்தின் தொடக்கத்திலிருந்து நிபந்தனையை நினைவில் கொள்ளுங்கள் - "சமூக பொறியியலைப் பயன்படுத்த வேண்டாம்." எனவே, ஸ்பெஷல் எஃபெக்ட்களைக் கொண்ட பாலிவுட் அனைத்தும் சாதாரணமான ஃபிஷிங்கைப் பயன்படுத்த இன்னும் முடிந்தால் எவ்வளவு துண்டிக்கப்படும் என்பதைப் பற்றி சிந்திக்க நான் முன்மொழிகிறேன். ஆனால் தனிப்பட்ட முறையில், இதையெல்லாம் செய்வது எனக்கு மிகவும் சுவாரஸ்யமாக இருந்தது. நீங்கள் இதைப் படித்து மகிழ்ந்தீர்கள் என்று நம்புகிறேன். நிச்சயமாக, ஒவ்வொரு திட்டமும் மிகவும் புதிரானதாகத் தெரியவில்லை, ஆனால் ஒட்டுமொத்த வேலை மிகவும் சவாலானது மற்றும் அது தேக்கமடைய அனுமதிக்காது.

ஒருவேளை ஒருவருக்கு ஒரு கேள்வி இருக்கும்: உங்களை எவ்வாறு பாதுகாத்துக் கொள்வது? இந்த கட்டுரை கூட பல நுட்பங்களை விவரிக்கிறது, அவற்றில் பல விண்டோஸ் நிர்வாகிகளுக்கு கூட தெரியாது. எவ்வாறாயினும், ஹேக்னிட் கொள்கைகள் மற்றும் தகவல் பாதுகாப்பு நடவடிக்கைகளின் கண்ணோட்டத்தில் அவற்றைப் பார்க்க நான் முன்மொழிகிறேன்:

• காலாவதியான மென்பொருளைப் பயன்படுத்த வேண்டாம் (ஆரம்பத்தில் விண்டோஸ் 2003 நினைவிருக்கிறதா?)
• தேவையற்ற கணினிகளை இயக்க வேண்டாம் (சிறுநீரக மருத்துவரின் இணையதளம் ஏன் இருந்தது?)
• வலிமைக்கான பயனர் கடவுச்சொற்களை நீங்களே சரிபார்க்கவும் (இல்லையெனில் வீரர்கள்... பென்டெஸ்டர்கள் இதைச் செய்வார்கள்)
• வெவ்வேறு கணக்குகளுக்கு ஒரே கடவுச்சொற்கள் இல்லை (VDI சமரசம்)
• மற்றும் பிற

நிச்சயமாக, இதை செயல்படுத்துவது மிகவும் கடினம், ஆனால் அடுத்த கட்டுரையில் இது மிகவும் சாத்தியம் என்பதை நடைமுறையில் காண்பிப்போம்.

ஆதாரம்: www.habr.com