|
|
ПРЕДИСЛОВИЕ
Назначение документа - дать быстрое погружение в процесс взлома компьютеров и сетей;аудитория - не имеющие такого опыта ИТ-специалисты, с опытом системного программирования и администрирования.
ЛАНДШАФТЫ СЕТЕЙ
Любую (почти) современную сеть можно взломать.Это обусловлено:- избыточностью сетей: наличие множества сервисов, разных точек входа в одну и ту же сеть;- приоритетом удобства над безопасностью: тюрьма безопасна, но в ней очень трудно что-то делать;- человеческим фактором: ошибки конфигурации, социальная инженерия.Второй пункт усиливается ощутимой реакцией прибыли на малейшие замедления оборачиваемости в коммерческом секторе,так что без перехода на военные рельсы сети капитализма всегда будут дырявые)https://habr.com/ru/company/selectel/blog/576482/
Если в найденных точках входа нет *известных* уязвимостей, это значит лишь, что- нужно искать другие точки входа;- нужно искать уязвимости самому (если уж очень нужно попасть в сеть);- нужно искать человека;- нужно искать другую цель с той же информацией.
Хорошо защищают сети те организации, которым государство выставляет требования по защите.Это необязательно военные сети или режимные учреждения: если вы храните у себя ФИО и личные данные клиентов,то вы обязаны провести мероприятия по их защите. Защита же коммерческой тайны - "ваши" проблемы.
Ценность цели часто обратно пропорциональна её защите.В военных сетях могут оказаться списки кальсонов за 196х год (что полезно для военных аналитиков),а в слабо защищенной коммерческой сети, или на личном ноутбуке, могут быть важнейшие фарм/ИТ/инженерные разработки.
Но это не всегда так.Есть суперкрепости внутри плохо защищенных сетей, взять которые может либо разносторонняя команда, либо хакер экстра-класса.Такие сценарии обычны в Standoff'ах (Hack The Box etc) для белых шляп.Если вы не хакер экстра-класса, используйте смекалку (уроните сервер и словите в сети/закейлогьте пароль, отдайте задачу на аутсорс, итд)
ТЕХНИКА, ТАКТИКА И СТРАТЕГИЯ
- стратегия: зачем нам нужен взлом? что искать, какие цели выбрать? *- тактика: порядок действий вне и внутри сети, ведущий нас к достижению цели;- техника: -скандалы-интриги-расследования- инструменты, уязвимости, исследования.
(*очень неполная иллюстрация https://habr.com/ru/company/cloud4y/blog/551376/ ориентация на мелкую коммерцию)
Все три уровня в умелых руках - от выбора цели, разведки, реализации и тестирования эксплойтов, к накрытию цели и призу:https://gist.github.com/jaredsburrows/9e121d2e5f1147ab12a696cf548b90b0
РАЗВЕДКА И ВЫБОР ЦЕЛИ
Если нету цели войти в какую-то конкретную сеть, и у вас есть эксплойт - используется сканирование Сети(всего интернета или интересных диапазонов) в поисках уязвимых сервисов.Если некогда, поможет известный сервис shodan.io, но лучше чтобы был свой сканер.
При точечной атаке (конкретный объект) требуется разведка.Можно начинать с анализа доменной зоны компании и ее публичных сервисов.У крупных корпораций с огромными сетями обычно есть свои автономные системы (AS, Autonomous System), с известным диапазоном сетей.Картировать минимум часть внешних сервисов можно используя WHOIS (https://hackertarget.com/whois-lookup/) и DNS (https://habr.com/ru/post/554458/),а также стремление сетевых администраторов к поддержанию иерархичности в описании доменных зон.
Есть поисковики-разведчики наподобие https://www.zoominfo.com с общей и подробной информацией о компаниях.
Далее ищется слабое звено (см.ниже).
Социнженерия требует знаний о персоналиях.Важно все: номера телефонов, место жительства, имя собаки, родной город, любимый цвет, любимая группа, хобби.Особая важность: личная сеть контактов вашего кандидата, в особенности бизнес-контакты.Структура организаций отражает структуру общества.Передвигаясь от одного человека к другому по сети контактов, вы можете менять точку входа внутри одной сети, либо открывать новые сети.Для сбора информации используются как средства разведки OSINT,так и найденная в ранее открытых сетях информация о контактах (адресные книги Outlook, переписка, итд).Разведка для соц.инженерии называется доксинг: https://securelist.ru/corporate-doxing/101055/
Далее эти данные используются либо с помощью фишинговых писем, либо с помощью звонков.В обоих случаях нагрузку запускает человек.
Набор инструментов OSINT* Поисковики широкого спектра https://github.com/laramies/theHarvester - сбор email-адресов, субдоменов, виртуальных хостов, открытых портов/баннеров, имён сотрудников из открытых источников. https://github.com/Bafomet666/OSINT-SAN OSINT-SAN - комбайн широкого профиля https://mor-pah.net/software/dmitry-deepmagic-information-gathering-tool/ - Dmitry - аналог предыдущего инструмента https://github.com/0xInfection/TIDoS-Framework - универсальный фреймворк с возможностью анализа сетей (DNS, whois, emails) https://github.com/smicallef/spiderfoot https://osintframework.com/ - рубрикатор инструментов OSINT, общий поиск по соц. сетям, большой набор разных инструментов для поиска: https://hunter.io/ - сбор инфо о email по имени домена https://hackertarget.com/
* Поисковики по компаниям https://www.zoominfo.com - поисковик данных о компаниях https://opencorpdata.com/ - Open corporate business database https://domainbigdata.com/ - big database of domains and whois records https://opencorporates.com/ - largest open database of companies in the world https://www.sec.gov/edgar/searchedgar/cik.htm - EDGAR Company Filings | Central Index Key Lookup http://www.orsr.sk/search_osoba.asp?lan=en - Business register | Ministry of Justice of the Slovak Republic Больше инструментов в статье https://habr.com/ru/company/pentestit/blog/554006/
* Поиск по USERNAME/NICKNAME: https://namechk.com/ https://github.com/snooppr/snoop
* Поиск по EMAIL: https://haveibeenpwned.com/ https://hacked-emails.com/ https://ghostproject.fr/ https://weleakinfo.com/ https://pipl.com/ https://leakedsource.ru/ http://mailtester.com/ - E-mail address verification Приложение "Skype"
* Поиск по номеру телефона: https://phonenumber.to https://pipl.com/ Приложение "GetContact" Приложение "NumBuster" Приложение "Truecaller" или сайт https://www.truecaller.com/ http://doska-org.ru/ Приложение "Skype"
* Картирование сетей https://www.shodan.io/ https://spyse.com/ https://crt.sh/ - поиск субдоменов https://archive.org/web/ - поиск в прошлом (просмотр сайтов на определенную дату) https://viewdns.info/ - data about a given website or IP address https://github.com/Fadavvi/Sub-Drill Simple script for finding subdomains based on [free] online services without any dependency to API-keys https://builtwith.com/ - на чем сделан сайт
* Поиск местоположения базовой станции сотового оператора: http://unwiredlabs.com http://xinit.ru/bs/
* Поиск по соцсетям, несортированое http://sanstv.ru/photomap - Получение фотографий из соц. сетей из локального района (по геометкам): https://foller.me/ - Twitter Analytics https://followerwonk.com/ - social analytics mega-tool that digs through Twitter data https://tinfoleak.com/ - Search for Twitter users leaks https://twicsy.com/ - Twicsy is social pics https://www.spokeo.com/- iskat infu po USA. https://github.com/jivoi/awesome-osint
* Литература https://anonfiles.com/X0md34ycu1/Operator_Handbook_Red_Team_OSINT_Blue_Team_Reference_pdf Bellingcat’s Online Investigation Toolkit - https://docs.google.com/document/d/1BfLPJpRtyq4RFtHJoNpvWQjmGnyVkfE2HYoICKOGguA/edit
* MITM/фишинговые сканеры (требуют взаимодействия с целью): https://beefproject.com/ https://github.com/beefproject/beef BeeF для сбора информации о броузерах и их эксплуатации, получения информации о сессиях в соцсетях, наличии TOR, посещения интересных сайтов итд. https://github.com/kgretzky/evilginx2 - для перехват сессий и обход 2ФА на сайтах
В дальнейшем рассматриваем сети Windows.Преимущество их эксплуатации в меньших усилиях по сравнению с эксплуатацией сетей Linux.Проще открыть Windows-сегмент сети, и получить пароли/ключи админов для Linux-сегмента.Обратное перемещение (Linux->Windows) значительно сложнее попросту из-за отсутствия необходимых инструментов в Linux.
ВЫБОР ТОЧКИ И СПОСОБА ВХОДА
Любой публично доступный сетевой сервис (открытый IP-адрес:порт) - это потенциальная точка входа.Если пробиться не удается - значит в нем нет *известной* уязвимости.Есть статистика, по которой определенные векторы более часты:- узкопрофильное железо (принтеры, роутеры, умные файрволлы (роутероподобные железки с ф-ей файрволла));- популярные веб-приложения (wordpress, другие cms-системы, итд);- входы с ботнетов.
Прошивки узкопрофильного железа не обновляются - это само по себе опасный процесс;производители игнорируют поддержку железа старше Н лет (да и свежего тоже).Вдобавок железо, как и веб-приложения, не воспринимаются всерьез в контексте безопасности.
В остальных случаях в ход идет социальная инженерия (письмо или звонок).
ЗАЩИТА СЕТЕЙ
Эффективный способ обнаружения вторжения - обнаружение аномалий трафика.Регистрируем легитимный трафик, запоминаем примерную картину (протоколы, частоту обмена, вес пакетов, абонентов сети итд).Находим и изучаем источники странного трафика.https://habr.com/ru/company/dsol/blog/541832/https://habr.com/ru/company/otus/blog/541582/Suricata https://suricata-ids.org/Пример ручного анализа: https://malware-traffic-analysis.net/Библиотека PyWhat для автоматического парсинга трафикаhttps://habr.com/ru/company/dcmiran/news/t/563206/https://github.com/bee-san/pyWhat
Трафик логируется, через отводы в сети, для целей форенсики, юридических доказательств, разборов инцидентов.
По разным данным, SSL/TLS-трафик не может быть расшифрован/может быть расшифрован благодаря проксированию с использованием MITM-сертификата в корп.сети.(файрволлы Palo Alto точно имеют опцию расшифровки SSL).В первом случае используется машинное обучение для поиска аномалий: https://github.com/WalterDiong/TLS-Malware-Detection-with-Machine-Learning(длины нагрузок, частотное распределение и используемые протоколы/порты, частота обмена, ... - рандомизируйте все это)Во втором случае, для обнаружения MITM можно использовать SSL cert pinning в реализации сетевой подсистемы бота.
Технические средства мониторинга ИБ сети: https://habr.com/ru/post/549050/
Дубовая, но эффективная защита - работа по белому списку.Вот список разрешенных сайтов, а черт, тебе не нужно по работе ходить на сайты, извини, никакого веба.Мессенджеры тоже не нужны, вот тебе корпоративная почта.Вот список белых приложений, которые могут быть запущены на компьютере; все остальное блокируется.
ИНСТРУМЕНТЫ
Основным хакерским инструментарием являются фреймворки.Можно без них, но они дают автоматизацию:1. Metasploit Framework (MSF) (+armitage GUI) - самая большая подборка сплойтов и модулей2. Core Impact (+impacket python) - наиболее удобные для пентеста фичи (из минусов - только Windows)3. Powershell Empire - pure powershell фреймворк со всеми вытекающими4. Posh2c5. Koadik - эти двое являются экзотикой, т.е. у них менее детектируемый трафик6. Cobalt Strike - расширяемость https://www.cobaltstrike.com/downloads/csmanual43.pdf7. Burp Suite - ориентирован на веб, очень популярен8. Pupy - RAT (Remote Administration Tool) на Питоне, труден для АВ вследствие того что это и не привычный АВ native код, и не "родной" для Windows (и AMSI) скриптовый язык https://github.com/n1nj4sec/pupy https://ptestmethod.readthedocs.io/en/latest/pupy.htmlи к нему в комплект инжектор https://github.com/infodox/python-dll-injection
БОльшую часть основных действий можно делать из обычного cmd shell'а штатными средствами ОС.
Фреймворк - это:- сплойты;- сканеры к ним;- поиск мисконфигураций;- фаззеры;- снифферы;- сценарии задач.Примерный состав фреймворка https://www.offensive-security.com/metasploit-unleashed/modules-and-locations/
Сканеры сетейEnum4linux https://github.com/CiscoCXSecurity/enum4linux (ресурсы сети Windows/Samba)
Стилеры, дамперы паролей, брут-форс паролейОбзор Mimikatz https://habr.com/ru/company/varonis/blog/539340/Patator https://github.com/lanjelot/patator (password brute forcer)
Сканеры SQL-инъекций и Web-уязвимостейhttps://habr.com/ru/post/542190/SQLMap http://sqlmap.org/jSQL-Injection https://github.com/ron190/jsql-injectionhttps://github.com/commixproject/commix сканер command injection, статья https://habr.com/ru/post/550252/Wapiti https://wapiti.sourceforge.io/ (web scanner/fuzzer)OWASP ZAP https://www.zaproxy.org/ (web scanner/fuzzer/MITM proxy)
Общим минусом всех публично доступных инструментов является их известность для АВ.Приходится прилагать нешуточные усилия по их чистке, либо обзаводиться своим приватным набором чистых инструментов.
ТАКТИКА АТАКИ
Первичная цель большинства атак - Active Directory Domain Controller или Domain Controller сети Windows.Доступ к этим узлам дает как минимум широкие вектора для перемещения по сети, как максимум полный контроль над сетью.Active Directory более удобен для эксплуатации, т.к. есть типовые мисконфигурации, уязвимости самого сервиса, общие ресурсы,делающие работу и сотрудников, и хакеров комфортной.Контроль над Domain Controller сети Windows дает как минимум:- логи авторизаций внутри домена различных пользователей на рабочих станциях домена- NTLM-хеши паролей всех пользователей домена, которые даже необязательно брутить (сервис cmd5.org).Хеши брутятся легко и быстро т.к. несоленые.- почти всегда контроллер домена держит на себе DNS-сервер со всеми записями.
То есть доступ к DC (как AD так и Windows) дает сразу кучу инфы также и за счет присутствия сразу всех сервисов на DC - LDAP, Kerberos, DNS.LDAP позволяет "общаться" внутри AD, получить доступ ко всем сервисам прикрученным к авторизации Active Directory.https://www.varonis.com/blog/the-difference-between-active-directory-and-ldap/
Закрепляться на DC не стоит, т.к. эти узлы важны и плотно мониторятся.Для закрепления предпочтительны серверные машины, которые держат какие-нибудь сервисы стучащие наружу,то есть которым разрешен исходящий трафик.
Идеальный бэкдор - это всегда легитимный доступ - стучащие наружу сервисы наподобие VPN/thin client/RDWeb/RDP итп,под которые можно замаскировать свой трафик. Ищем любые подходящие под это креды и компьютеры в сети.Следующим приоритетом может быть проброс трафика через прикладное/бизнес ПО (Outlook, IIS/PHP webshell, итд).Далее - протоколы DNS/TCP/HTTPS, с использованием для закрепления используются стандартных средств Windows(очевидный минус в том что использование стандартных средств ОС для закрепления плотно мониторится).
В сетях ИТ-компаний как правило есть собственные фермы виртуальных машин.Одним из средств избежать обнаружения может быть использование собственной чистой виртуальной машины (без АВ, EDR) с доступом в сеть.
Вторичной целью является любой узел в DMZ ("видящем" Интернет сегменте сети).Следующим по удобству - любая машина, с которой видна DMZ.
Один пароль на все, и присутствие пользователя на множестве узлов - наиглавнейшая помощь хакеру.
Развитие атаки итеративно и предполагает использование на каждой следующей стадии данных, добытых на предыдущих стадиях:1. просканировал, подампил, сбрутил2. попробовал добытые креды на следующем/предыдущем узле; расширил присутствие3. goto 1
При наличии shell'а с доменной машины, примерный сценарий развития атаки:1. наша первая цель в захвате AD-леса - это поиск хешей пароля доменного администратора;любой хеш ДА означает полную компрометацию домена и всех его пользователей.NTLM хеши позволяют двигаться по сети без знания пароля, так что брутить их не обязательно.2. опрашиваем состав домена (утилитой adfind.exe, net /view /all /domain итд);3. анализируем данные: в комментариях бывают пароли пользователей/сервисных учеток/даже самих доменных администраторов, помимо информации о структуре сети);4. в рамках локальной машины проверяем можем ли повысить права до СИСТЕМЫ.Дальше ветка - смогли/не смогли.СИСТЕМА позволяет5. отравлять ARP-кеш и притвориться другим узлом, чтобы перехватить его трафик и его пароли (их хеши);6. дампить хеши (ntdsutil, mimikatz) на локальном узле.Все использованные хеши используются для развития атаки (один пароль на всё!)Если СИСТЕМУ получить не удалось:7. проходим по текущей машине стилером и ищем доступы внутри сети8. проверяем все видимые доменные машины на RCE (уязвимости удаленного исполнения кода)9. проверяем, имеет ли текущий пользователь администраторские права на какой-то из машин домена: смотрим в каких он группах состоит,эмпирически предсказываем, дальше по SMB проверяем видит ли он $ADMIN шару где-то;если видит - прыгаем туда и получаем там СИСТЕМУ.10. проводим kerberoast атаку для получения керберос-хешей для дальнейшего брута;11. если сеть маленькая - можем нежно побрутить пользователей, предварительно проверив lockout threshold (чтобы не заблокировать их брутом);12. если видим доступный для записи каталог inetpub - пишем туда нагрузку aspx и исполняем, обращаясь к ней через веб;13. сканируем все подсети на доступные сетевые устройства и проверяем имеющиеся у нас креды.
Хаки AD: https://github.com/Integration-IT/Active-Directory-Exploitation-Cheat-Sheet
Матрица MITRE Для Windowshttps://attack.mitre.org/matrices/enterprise/windows/
Работа с паролями AD: https://habr.com/ru/post/543806/
MITRE
Это систематизированная база данных хакерских техник, дающая различные разрезы и аспекты тактик.Официальная цель - усилить защиту, помочь ИБ-отделам и специалистам.Абсолютно все (нет) хаки классифицируются и попадают сюда.
Неполно и на русском Adversarial Tactics, Techniques & Common Knowledge (ATT@CK):https://habr.com/post/423405/https://habr.com/post/424027/https://habr.com/post/425177/https://habr.com/post/428602/https://habr.com/post/432624/
Если вы в тупике, поищите здесь нестандартные (неизвестные вам лично) приемы и хаки.
ЦЕЛЬ - ИНФОРМАЦИЯ
То, ради чего все затевается.1. Почта, переписка, контакты, адресные книги, списки контрагентов2. Базы данных3. Исходные тексты программ4. Документы5. Бухгалтерия6. Конструкторская документация7. Пароли к другим сетям8. Электронные кошелькиTODOкакие файлы искать (расширения)TODO как ее выкачивают?
АНАЛИТИКА, АТТРИБУЦИЯ, ПОЧЕРК
Анализ открытых источников о вашей деятельности важен: вы узнаете ту часть трюков, которую уже раскрыли, а следовательно они стали неэффективными.Однако вы не знаете ту часть трюков, которая не раскрыта. Ради этого противник может запускать дезинформацию, утаивать и обманывать.
Рано или поздно любой хакер читает разборы своих художеств в ИБ-статьях.И с удивлением обнаруживает, что важная информация упущена, а незначительная выпячена.Делается это по нескольким причинам:- истинные отчеты об инцидентах - информация с грифом- никто не даст действующие рецепты в паблик- большая часть статей - реклама "купите наше ИБ-решение", мешающие факты игнорируются, незначительные гипертрофируются- не боги горшки обжигают - аналитики действительно могут упустить важные детали- они все знают, но не подают вида - чтобы использовать это против вас- вместе с истинными фактами можно скормить вам же дезу.
Будьте внимательны, у каждой APT-группы свой известный безопасникам почерк - любимые тактики входа, закрепления, перемещения,YARA-профили инструментов.
Взгляд со стороны IB: https://habr.com/ru/company/group-ib/blog/545104/
|
