आपके लिए एक ड्यूस, या हैकिंग के साथ एक ऑडिट

हमेशा की तरह, बिना नाम के, और चूंकि मैं अतिरिक्त रूप से एक गैर-प्रकटीकरण हस्ताक्षर के साथ जुड़ा हुआ हूं, इसलिए इसमें थोड़ा परिवर्तित इतिहास भी है (और प्रकाशन के लिए कुछ विवरणों को छोड़ दिया गया था, जिनकी मुझे अनुमति नहीं मिली थी)।
निम्नलिखित एक कंप्यूटर में घुसने वाले कर्मचारी की वास्तविक कहानी है ... ठीक है, चलो कुछ निजी बैंक कहते हैं। डीएसजीवीओ (जीडीपीआर, आरजीपीडी) से पहले, लेकिन कुछ समय पहले आपके यूरोपीय सेवक के बारे में जो घटनाएं आपके विनम्र सेवक ने कहीं, उसके बारे में नहीं बताया गया है।

दरअसल, यह सब एक सुरक्षा ऑडिट के साथ शुरू हुआ - ..., एक साक्षात्कार, सब कुछ और सब कुछ के आवर्धक कांच के नीचे देख रहा है, खोज और संभावित खामियों और बाधाओं से बाहर निकलने के लिए (वहां और वहां से) दोनों के माध्यम से चढ़ाई करने के लिए, ... और वास्तव में डिबेटिंग। जिस पर ग्राहक को अंत में उसके लिए निराशाजनक निष्कर्ष मिला - "खिंचाव के साथ सी ग्रेड।"

आइए उन शब्दों को छोड़ दें जो आईटी सुरक्षाकर्मी अपनी आंखों के सामने शरमा रहे थे, लेकिन सामान्य गीतात्मक संदेश यह है कि मैं निराधार आरोप लगा रहा हूं, और उनके पास सब कुछ बंद है, और सीएसओ कुंजी मेरे दिल के नीचे मेरी जेब में है।

यह समझाने का प्रयास किया गया है कि सुरक्षा प्रणाली फ़ायरवॉल + प्रॉक्सी + वेबवेज़र जैसे सामग्री-फ़िल्टर और एंटीवायरस के बिना बनाई गई है, बिना किसी बहुत खराब तरीके से कॉन्फ़िगर किए गए हाइब्रिड आईडी (एड्स + एड्स), हनीपोट्स आदि के बिना। आदि, सबसे पहले, परिभाषा से, सुरक्षित नहीं है, दूसरी बात, जैसा कि यह था, मैंने पहले ही कई स्थानों को दिखाया है जहां यह कम से कम आईएल faut नहीं है। रचनात्मक विभाग द्वारा बनाई गई आक्रोश की तीन मंजिला दीवार के खिलाफ एक रचनात्मक संवाद (वास्तव में वापस विश्लेषण) पर लौटने का प्रयास किया गया।

बैठक को रोकने और कर्मचारियों को रिहा करने के लिए, सीएसओ ने दो महत्वपूर्ण मालिकों के साथ मिलकर, फिर भी ईमानदारी से मुझसे यह जानने की कोशिश की कि कुत्ते ने कहां से हंगामा किया और समझा आगे कैसे जीना है तथ्य की बात के रूप में और वास्तव में, मेरी विनम्र राय में, करने की जरूरत है।

क्योंकि भविष्य में समझ की एक झलक भी नहीं देखी गई थी, उत्साह के साथ मुझे अभ्यास में दिखाने का प्रस्ताव मिला। उस डी के बारे में समझाने के बाद अब यह औपचारिकताओं को निपटाने, (कुछ और कागजों पर हस्ताक्षर करने, आदि) पर काम नहीं कर पाया, मुझे आगे बढ़ गया।

मुझे वास्तव में यह पसंद नहीं है कि मैं "नेत्रहीन" काम करता हूं (यह एक काम, लंबी और महंगी, और pentesting भाग्य की बात है) और कृपया कुछ अतिरिक्त जानकारी प्रदान करें (उदाहरण के लिए, व्यक्तिगत कर्मचारियों के कुछ व्यक्तिगत डेटा, जैसे डेवलपर्स और सुरक्षा कर्मी ), मैं एक काउंटर समझ से भी नहीं मिला।

आप हैकर हैं या नहीं !? (वास्तव में, नहीं, मैं एक डेवलपर हूं, अन्यथा यह एक शौक है)

मैं लंबे समय तक आगे की चर्चा पर ध्यान केंद्रित नहीं करूंगा - हमेशा की तरह, मैंने पैसे और समय के कारक को आश्वस्त किया (यानी, वास्तव में वही पैसा)।

यानी नतीजतन, हमें कंपनी की रक्षा संरचना (प्रारंभिक ऑडिट के परिणामस्वरूप प्राप्त) के बारे में कुछ प्रकार का ज्ञान है, साथ ही एक पूर्ण नाम और 4 प्रशासकों और 3 डेवलपर्स की एक छोटी जीवनी है।

व्यवस्थापक और डेवलपर वास्तव में क्यों हैं, आखिरकार, आप "लड़कियों के एकाउंटेंट" के लिए पूछ सकते हैं, उन्हें कुछ प्रकार के बिल्ली को भेज सकते हैं जिसमें कुछ बहुत कम सुरक्षित जानवर जुड़ा हुआ है (या सोशल इंजीनियरिंग क्षेत्र से कुछ ऐसा ही क्रैंक करना) । लेकिन ...
हालाँकि, बहुत सी कंपनियां, एक नियम के रूप में, वास्तव में इसे पसंद नहीं करती हैं जब वे पीओसी प्रस्तुति में इसके बारे में बात करना शुरू करते हैं, अर्थात। सोशल इंजीनियरिंग के क्षेत्र से साज़िशों पर आधारित "हैकिंग सिस्टम" का कम से कम स्वागत नहीं किया जाता है, चाहे वह कितना भी शानदार ढंग से बनाया गया हो।

तकनीक की ओर लौटते हुए, वे पहले से कम "सामाजिक" नहीं हैं (जिसका अर्थ यह बिल्कुल नहीं है कि वे किसी प्रकार की "बिल्ली" लॉन्च करेंगे, लेकिन यह तथ्य स्वयं महत्वपूर्ण है), और दूसरी बात, उनके पास आमतौर पर अधिक "कार्यात्मक रूप से विकसित" कंप्यूटर ( जो आप अभी नहीं मिलेंगे)। और क्या दिलचस्प है, इसके अलावा, उनके पास अक्सर एक ही लेखाकार लड़की के विपरीत, "विशेषाधिकार" के कुछ प्रकार होते हैं, वे या तो सुरक्षा और सिस्टम प्रतिबंधों (जैसे नीतियों और सह - जैसे कि, किसी भी तरह से एक नए संकलित exe-shnik को चलाने के लिए आवश्यक है) के संदर्भ में कम उल्लंघन कर सकते हैं / और वे सुरक्षा गार्ड (उदाहरण के लिए, एक सुरंग को आगे करके) से बनाई गई "दीवार" के माध्यम से चढ़ सकते हैं। एक प्रॉक्सी के माध्यम से), आदि। आदि

फिर से, एक ही समय में कंप्यूटर प्रोग्रामर या व्यवस्थापक का उपयोग करके, सुरक्षा के माध्यम से क्रॉल करना, उदाहरण के लिए, अकाउंटेंट ट्रोजन को चलाने के लिए "मजबूर" से पूरी तरह से अलग लगता है।

यानी प्रारंभिक प्राप्त, कार्यों को आवाज दी - चलो चलते हैं ...

पहला कदम "ग्राहकों" के बारे में जानकारी एकत्र करना है - कौन, क्या, कहाँ, कब।

मैं यहां बहुत विचलित नहीं हुआ, लेख पूरी तरह से इसके बारे में नहीं है, इसलिए मैं सिर्फ इतना कहूंगा - मैं एक सुंदर सामाजिक व्यक्ति पर, फेसबुक और सह के साथ, अपने स्वयं के यूट्यूब चैनल (YouTube, वास!) सहित, कई ओपन सोर्स प्रोजेक्ट (समूह में और दोनों) पर बस गया। और खुद) और सिर्फ एक विशाल योगदान गतिविधि (पूछता है, लेकिन वह आम तौर पर मुख्य स्थान पर काम करता है) ।

आज हू-हू का पता लगाना आम तौर पर कोई समस्या नहीं है (कहीं मैंने किसी उपनाम के साथ एक जगह पर अपने असली नाम का इस्तेमाल किया था, तो कहीं मुझे कंपनी का एक प्रॉक्सी आईपी पता और तस्वीर बन गई थी), लेकिन कोई भी वास्तव में इसे छिपाता नहीं है।

मुझे इसमें शामिल होने के लिए मजबूर होना पड़ा मेरा स्वाभाविक स्वभाव तथ्य यह है कि समुदाय में से एक में हमारे नायक चैट में अधिक या कम सक्रिय समर्थन में लगे हुए थे, और आईआरसी क्लाइंट का उपयोग कर रहे थे, जो कि आईपी के अलावा प्रदान की गई उपयोगकर्ता-जानकारी में, जहां से पैर बढ़ते हैं, खुद का नाम और संस्करण प्यार करता था, अच्छी तरह से, वह प्रसिद्ध था कीड़े / छेद और डिफ़ॉल्ट रूप से यह प्लग द्वारा लपेटा गया था कि कितना व्यर्थ है।

खैर, हमेशा की तरह, एक शाम, घर सो गया, बॉक्स में एक dregs, हमारा फिर से खो गया :) उस चैट में मुझे 12 घंटे से अधिक समय तक एक कनेक्शन के साथ एक सक्रिय उपयोगकर्ता के रूप में एक परिचित उपनाम मिला (मध्यवर्ती डिस्कनेक्ट / पुन: कनेक्ट के साथ लॉग को देखते हुए, क्योंकि एक कॉर्पोरेट प्रॉक्सी ऐसी चीज है, लेकिन पहले कनेक्शन के बाद आधे से अधिक दिन), आईपी पते से मुझे चाहिए। यानी फॉर्म के एक लॉगिन के साथ max.mustermann@proxyext.our-company.example.com ।

यही है, या तो हमारे क्लाइंट के पास एक दिन है - 24 घंटे, या अधिक संभावना (क्योंकि 2 घंटे उसके अंतिम संदेश के बाद से चले गए हैं), उसने बस काम करने वाले कंप्यूटर को बंद नहीं किया और आईआरसी क्लाइंट को सक्रिय छोड़ दिया।

या हो सकता है कि उसने कंप्यूटर को सोने के लिए रखा, लेकिन (फिर से, सुरक्षा या प्रवेश की गलती) ऐसा होता है कि बाद वाला खुद उठता है, उदाहरण के लिए, विंडोज के लिए अपडेट अपडेट करने के लिए (और रिबूट करने के लिए 4 घंटे के ठहराव के बाद) या बस एक वेक-ऑन-लेन सिग्नल को बेवकूफ़ बनाकर ।। ।

जैसा कि हो सकता है, मेरे पास कुछ समय था जब हम कंप्यूटर पर या हमारे "पीड़ित" के आईआरसी क्लाइंट को थपथपा सकते थे।

आईआरसी क्लाइंट के इस विशिष्ट (संयोग से प्रासंगिक) संस्करण में एक भी ज्ञात छेद नहीं मिल रहा है, जो एक आईडीए, ऑलीडबग, आदि से लैस है। और स्रोत (शांत डरावनी, वासिया!) पर नज़र डालना वह किसी प्रकार की भेद्यता की तलाश करने लगा, जो उसे कम से कम वहाँ कुछ निष्पादित करने की अनुमति दे, कम से कम दूर से आईआरसी क्लाइंट को नियंत्रित करने के लिए एक आँख के साथ (और हम प्लगइन्स के बारे में याद करते हैं)।

और यह पाया गया, अपेक्षाकृत जल्दी भी!

नियंत्रण को sprintf हुए खराब फ़िल्टर किए गए विदेशी-इनपुट (एन्कोडिंग इंजेक्शन के साथ संयोजन) के अंदर स्टैक से बफर को एक असुरक्षित sprintf कॉल की उपस्थिति की अनुमति देता है, जो सही जगह पर स्टैक पर "शोषण कोड लोडर" लिखने की अनुमति देता है (कोड के लिए ग्राहक के डेवलपर्स के लिए धन्यवाद); Microsoft तराई स्टैक और भाग्य के लिए)।

हालांकि पीड़ा अभी भी थी - क्योंकि हमारे पास डीईपी है, आप सीधे स्टैक से निष्पादित कर सकते हैं, आपको निष्पादन के लिए स्टैक पर "प्रोग्राम कोड" की एक प्रति लिखने की आवश्यकता है, सही जगह पर कॉपी करने के लिए अंतिम के साथ memcpy कॉल को ढूंढें (कम-उपयोग किए गए वर्ग को फिर से लिखें), कई प्रक्रियाओं से सही जगह पर आउटपुट रीडायरेक्ट करें, पहले से ही एक तैयार किए गए इकट्ठा करने के क्रम में, टूटे हुए संदेशों से लोडर की तरह, एक प्लग-इन के रूप में कुछ अजगर कोड (और अपने खुद के लिए इस अजगर कोड को बदलने का कारण बनता है कि अगली आभासी विधि कॉल करके एक घटना उत्पन्न करने के लिए कई VTABLE मूल्यों को अधिलेखित करें। ployt-Toolkit)।

अरे हाँ, आपको अभी भी एक प्लगइन का निर्माण करना था (ऐसी उदार कार्यक्षमता के लिए क्लाइंट के डेवलपर्स के लिए फिर से धन्यवाद), एक प्रॉक्सी के रूप में, मक्खी पर संदेश बदलना (इंजेक्शन लगाने के लिए एक आवरण जोड़ना, इसके लिए एन्कोडिंग को तोड़ना, जबकि सही जगह पर अपूर्ण एग्रेट्स सम्मिलित करना, और टी। आदि), इंजेक्शन संदेश के प्रारंभिक लोडर को एन्कोड करें, आदि।
इसके अलावा, मुझे कंसोल सिस्टम के रूप में टारगेट सिस्टम के लिए एक नए क्लाइंट प्लगइन के रूप में एक छोटी सी पाइथन स्क्रिप्ट का निर्माण करना था (अपने स्टैन में मेरे संदेश प्राप्त करना, और अपने उपनाम में एक निजी संदेश में stdout + stderr भेजना)।

अपने घुटने पर यह सब एकत्र करने के बाद, उन्होंने खुद को पीड़ित के रूप में आज़माने के लिए उस आईआरसी क्लाइंट को लॉन्च किया, अर्थात। देखें कि यह पूर्ण, समाप्त रूप में कैसे होगा।

और आवेदन के दूसरे लॉन्च किए गए संस्करण से दूसरे सत्र से मेरे प्लग-इन के माध्यम से भेजते हुए, कई निजी संदेश-इंजेक्शन, मुझे सामान्य पायथन ग्रीटिंग >>> (जो मैं एमुलेटर में फंस गया, स्पष्टता के लिए - पायथन) देखकर बहुत खुश हुआ।

एक हाथी के रूप में संतुष्ट (यह देखते हुए कि हमला किया गया आवेदन गिर नहीं गया), उसने देखा कि उसके संदेश आउटपुट विंडो में क्या हो रहा है - यह विभिन्न गैर-अस्सी पात्रों से भरा था, जिनमें से सबसे अधिक ध्यान देने योग्य था सीरियल नंबर 90h के साथ (जो कम से कम il faut नहीं है, यह आपको हैक करने का प्रयास भी करता है), मैंने सोचा कि मुझे अभी भी बूटलोडर को निम्नलिखित संदेशों को मास्क करने के लिए फिर से करना था (अचानक यह अभी भी काम करता है और नोटिस करता है)।

उन्होंने कोड में देखा, और वे आउटपुट पर एनटीएस लाइन की प्रतीक्षा कर रहे थे, उन्होंने बहुत परेशान करने का फैसला किया और बेवकूफी से शून्य लोड करने के बाद संदेश के पहले बाइट को फिर से लिखना पड़ा (इस उम्मीद के साथ कि संदेश थोड़ी देर बाद स्क्रीन पर प्रदर्शित होगा)।

पूरी प्रक्रिया को दोहराते हुए, और वांछित >>> प्रतीक्षा में फिर से एक और खिड़की पर देखा और पाया कि चैट में कुछ भी नहीं था (मैं अभी भी एक प्रतिभाशाली हूं) , परीक्षण जारी रखने का फैसला किया।
from glob import glob as ls; ls('*') संदेश from glob import glob as ls; ls('*') from glob import glob as ls; ls('*') और मैंने खुशी से उत्तर को फ़ोल्डर और फ़ाइलों की सूची के रूप में देखा, जो एप्लिकेशन फ़ोल्डर में समाहित है।

सच है, मैंने हमलावर क्लाइंट की खिड़की में एक ही संदेश देखा, जैसा कि मेरे उपनाम को भेजा गया है। मुझे इसे भेजने के बाद लाइन की शुरुआत में 0-बाइट (NTS) भी डालनी थी।

तैयारी के चरण के साथ समाप्त होने के बाद, उन्होंने कहा कि हमारे प्रयोगात्मक दोस्त अभी भी चैट कर रहे थे (संदेश, वास्या के बिना!), उन्होंने पहले से ही हमारे उम्मीदवार के लिए एक शोषण तैयार किया था।

आइए जाने ...

इंजेक्शन संदेश चले गए थे ... और कुछ लंबे सेकंड के बाद (जाहिर है कि डिस्क सो रही थी या प्रॉक्सी गूंगा था) मैंने फिर से इनवॉइस >>> देखा।
जैसा कि मैंने कमरे में चारों ओर कदम रखा, मैं अभी भी नहीं बताता (कि तमाशा दिल के बेहोश करने के लिए नहीं है, क्योंकि खुशी प्रकट करने की एक अनियंत्रित प्रक्रिया के परिणामस्वरूप, मैंने अभी भी कुर्सी पैर पर अपने छोटे पैरों को हिला दिया था)।

दर्द में जीतना और तुरंत सोचना, "क्या होगा अगर उसकी पुनरावृत्ति खिड़की में कुछ दिखाई नहीं दे रहा है, अचानक मैंने कहीं और खराब कर दिया और परिणामस्वरूप आवेदन क्रैश हो गया," अपडेट के बाद एक संभावित मजबूर पुनरारंभ याद आया (यदि अचानक कंप्यूटर उस से जाग गया और पहले से ही लुढ़का हुआ अपडेट), एक ठंडे पसीने में (सूजन छोटी उंगली को देखकर और कांपते हाथों को हटाते हुए) मैंने तेज किया।

पहला कदम यह है कि हम जिस स्थिति में हैं, बस उसकी जाँच करें।

 >>> import os; os.environ['userdomain'] 

और जवाब है:

 'OUR-COMPANY' >>> 

खैर, सब कुछ, हाथ अनकहे हैं ... चलो चलते हैं।

एक छोटी स्क्रिप्ट के साथ जांच करने के बाद कि लॉगोनुई बंद है, थोड़ा शांत हो जाने के बाद, मैंने यह देखने का फैसला किया कि सामान्य रूप से कंप्यूटर पर क्या उपलब्ध है:

 >>> from glob import glob as ls; ls(r'C:\Program Files\*') 

और जवाब में, उनकी किस्मत पर विश्वास न करते हुए, कई दिलचस्प चीजों में से मैंने निम्नलिखित देखा:

 [...,'C:\\Program Files\\TeamViewer',...] >>> 

यानी अतिरिक्त इशारों को बनाने की कोई आवश्यकता नहीं है - आपको कुछ भी डाउनलोड करने, संकलन करने और एक फ़ोल्डर की तलाश करने की आवश्यकता नहीं है जहां आप किसी भी नीतियों का उल्लंघन किए बिना यह सब लिख सकते हैं।

और फिर इस बीच उड़ान भरी:

 >>> import subprocess; subprocess.call([r'C:\Program Files\TeamViewer\TeamViewer.exe']) 

खैर, उत्तर देने के बाद:

 0 >>> 

प्रॉक्सी के माध्यम से टीमव्यूअर की प्रतीक्षा करने के बाद और सर्वर ने इसे एक आईडी (पासवर्ड के साथ) दिया, मैंने वहां एक स्क्रिप्ट चलाई, टीमव्यूअर विंडो की तलाश की, इससे एक स्क्रीनशॉट लिया और इसे बेस 64 लाइन के रूप में मुझे वापस भेजा, जिसमें, इसे वापस विस्तारित करना बिटमैप, मैं कनेक्शन के लिए आईडी और पासवर्ड दोनों पाकर प्रसन्न था।

...

अगली सुबह मुझे एक आश्चर्यचकित सीएसओ द्वारा बुलाया गया, जिसने पहली बार मुझसे एक पत्र प्राप्त किया (लेकिन किसी तरह अपने कर्मचारी के आंतरिक एक्सचेंज खाते से), और फिर उसी कर्मचारी से "शेफ, हमने इसे खो दिया है -" हमें बताएं "शब्द के साथ एक भयावह कॉल आया, जिसने सुबह एक खुली खिड़की पाई। "आपकी सुरक्षा के लिए दो। आपके पास हैक किया गया है!"

उसके बाद, सुरक्षा गार्ड के साथ संचार पहले से ही अधिक फलदायी था, बिना लार के छिड़काव, शर्ट और चीख के बिना। कड़वे अनुभव ( उदाहरण के लिए, इस लेख में वर्णित ) द्वारा सिखाया गया, मैंने बाद में स्वयं हैकिंग को स्थगित करने के लिए जितना संभव हो सके उतना प्रयास किया (क्योंकि पहले मैं एक नई "सुरक्षा अवधारणा" के लिए एक मनी ऑर्डर प्राप्त करना चाहता था), लेकिन बहुत अनुनय के बाद, लंबी अवधि के सहयोग के संकेत, आदि। एन।, साथ ही साथ दोषी कर्मचारी (सहकर्मी सब के बाद) को "न छूने" के लिए अपनी ओर से वादा किया, उन्हें लगभग सभी मुख्य बिंदुओं को पूरा करना था।

फिर मुझे पूरी तरह से हैकिंग (साथ ही प्रारंभिक ऑडिट की लागत) के लिए बातचीत का इनाम प्राप्त हुआ, लेकिन फिर कार्यालय ने व्यवहार किया ... चलो कहते हैं, काफी खेल नहीं। कॉन्सर्ट जारी रखने के लिए, उन्होंने एक प्रमुख और प्रसिद्ध ऑडिट फर्म को नियुक्त किया, जिसने मूल रूप से मेरी ओर से बाहरी के साथ काम करने से इनकार कर दिया।

ठीक है, जैसा कि वे जर्मनी में कहते हैं, "मैन सीहट सिच इमर ज़वीमल इम लेबेन", जिसका अर्थ है "फिर से मिलना सुनिश्चित करें।"