हम एसएमएस और पंजीकरण के बिना मेल उठाते हैं

इससे पहले कि हम यह फैसला करने में एक महीना भी नहीं गुज़रे कि यह ऑफ़ज़ोन-2018 में हमारे प्रदर्शन के परिणामों के आधार पर लेख लिखने का समय था। पहला लेख FastTrack "MS एक्सचेंज रिले हमले के बिना एसएमएस और पंजीकरण के" रिपोर्ट के आधार पर निष्पादित किया जाएगा।

RedTeam का संचालन करते समय, फ़िशिंग का उपयोग अनिवार्य है - आप परिधि पर उत्कृष्ट सुरक्षा का निर्माण कर सकते हैं, लेकिन कुछ उपयोगकर्ता फ़िशिंग का नेतृत्व करेंगे और एक हमलावर को तुरंत नेटवर्क के अंदर रहने का अवसर देंगे। हर कोई जानता है कि फ़िशिंग के लिए वे मुख्य रूप से तृतीय-पक्ष साइटों के लिंक का उपयोग करते हैं जिन्हें उपयोगकर्ता को मैक्रो के साथ या दस्तावेज़ पर क्लिक करने की आवश्यकता होती है। प्रतिबंध "ट्रेन" उपयोगकर्ताओं के खतरे के तहत सुरक्षा सेवाएं, यह कहते हुए कि किसी भी स्थिति में आपको "सक्षम सामग्री" बटन पर क्लिक नहीं करना चाहिए। और सिद्धांत रूप में, सफलता है - इस तरह के मेलिंग पर उपयोगकर्ता कम और कम हैं। लेकिन हमलावर भी खड़े नहीं होते हैं - फ़िशिंग अधिक से अधिक दिलचस्प होता जा रहा है। ग्राहकों को हमसे कुछ दिलचस्प फ़िशिंग मेलिंग की भी आवश्यकता होती है। और हम स्वयं इस तथ्य में रुचि रखते हैं कि ग्राहक के कर्मचारियों को फ़िशिंग के लिए नेतृत्व किया जाता है, और हम उन्हें समझा सकते हैं कि पत्र प्राप्त करते समय क्या देखना है।

फ़िशिंग के लिए ये तरीके बिल्कुल क्यों?

कई कंपनियां MS Exchange का उपयोग कॉर्पोरेट मेल सर्वर के रूप में करती हैं। यह कंपनी के लिए सुविधाजनक है, लेकिन हमलावर के लिए भी सुविधाजनक है। एक हमलावर पीड़ित के मेल से संदेश भेजने के साथ-साथ कोई भी पत्र डाउनलोड करने में रुचि रखता है। RedTeam के रूप में हम, एक हमलावर के कार्यों का पूरी तरह से अनुकरण करना चाहते हैं और हम मेल के साथ एक ही क्रिया करने में रुचि रखते हैं। स्वाभाविक रूप से, हमारे मामले में, मेल का डाउनलोड पूरी तरह से नहीं है, और ग्राहक को पहले इस बारे में सूचित किया जाता है। गोपनीय जानकारी के लिए, सभी चीजें।

इस तरह की कार्रवाई करने के लिए, हमें एक उपयोगकर्ता मेल सत्र की आवश्यकता है। पहली बात यह है कि इस तरह के सत्र को कैसे रोकना है। हमने अच्छे पुराने NTLM रिले का उपयोग करने का निर्णय लिया (क्योंकि अधिकांश कंपनियां अभी भी NTLM का उपयोग करती हैं)। हां, केर्बरोस के मामले में यह काम नहीं करेगा - आप लेख को बंद कर सकते हैं और आगे नहीं पढ़ सकते हैं।

एनटीएलएम रिले लंबे समय से जाना जाता है और इसके पर्याप्त कार्यान्वयन हैं। हमने साइकिल का आविष्कार भी नहीं किया था, और हमने Arno0x0x से GitHub के साथ कार्यान्वयन में से एक लिया। हालांकि, सब कुछ इतना सरल नहीं था और मुझे थोड़ा जोड़ना पड़ा। अर्थात्:

• विंडोज ओएस के सभी आधुनिक संस्करणों के साथ सब कुछ काम करें (win10 पर काम न करें और server2016 जीतें);
• इसे अंतिम इम्पैकेट के साथ काम करें;
• एक सुविधाजनक लॉगिंग सिस्टम जोड़ें।

एक संशोधित संस्करण हमारे जीथब पर पाया जा सकता है।

Microsoft Office दस्तावेज़ों को डिलीवरी के लिए कंटेनर के रूप में चुना गया था, क्योंकि वे अक्सर कॉर्पोरेट मेल द्वारा भेजे जाते हैं, और उपयोगकर्ता उन्हें खोलते हैं। और यह उप-दस्तावेजों (सबड्यूक्लेमेंट) का उपयोग करने का निर्णय लिया गया था, क्योंकि यह एक दस्तावेज़ के साथ एक कानूनी ऑपरेशन है, और कोई भी एंटीवायरस ऐसी फ़ाइल का जवाब नहीं देगा। एक नेस्टेड लिंक के रूप में, आप smb और http दोनों संसाधन शामिल कर सकते हैं। विवरण पर बाद में चर्चा की जाएगी।

फ़िशिंग दस्तावेज़ कैसे बनाएं?

एक उदाहरण के रूप में, पूरी तरह से "साफ" दस्तावेज़ mydoc3.docx पर विचार करें, जो कि सबसे आम Microsoft Word दस्तावेज़ है।



कोई भी Microsoft Office दस्तावेज़ एक ज़िप संग्रह है जिसमें xml शामिल होता है, जो अंततः आपका सुंदर दस्तावेज़ बनाता है। संलग्न दस्तावेज़ बनाने के लिए, हमें एक्सटेंशन .rels के साथ फ़ाइलों में परिवर्तन करने की आवश्यकता है। MS Office के संस्करण के आधार पर, परिवर्तन या तो document.xml.rels या settings.xml.rels में किए जाने चाहिए। यह आलेख Office 365 पर चर्चा करता है और settings.xml.rels में परिवर्तन करता है।



संलग्न दस्तावेज के रूप में, हम उस संसाधन का लिंक देते हैं जिस पर यह संलग्न दस्तावेज स्थित है। हमारे मामले में, संलग्न दस्तावेज़ smb संसाधन \\ 127.0.0.1 \ subdoctest \ पर स्थित है



हम परिवर्तनों को सहेजते हैं और प्राप्त दस्तावेज़ को खोलते हैं। सफल होने पर, दस्तावेज़ इस तरह दिखाई देगा:



हालांकि, इस रूप में, यह उपयोगकर्ताओं के बीच संदेह का कारण बनता है। आपको इसे थोड़ा बदलने और विभिन्न शैलियों और सफेद फ़ॉन्ट रंग का उपयोग करके लिंक को छिपाने की कोशिश करने की आवश्यकता है।



नतीजतन, हमें एक पूरी तरह से गैर-संदिग्ध दस्तावेज़ मिला, जिसके खुलने पर वर्ड अपने हिस्से के लिए संसाधन पर जाएगा, जो इसके साथ संलग्न दस्तावेज़ के रूप में पंजीकृत है।

और सब कुछ कहाँ आएगा?

दस्तावेज़ आपके सर्वर पर खटखटाया जाएगा (वास्तव में, उन्हें इसके लिए एक लिंक देना चाहिए)। सर्वर एक SMB सर्वर या HTTP सर्वर हो सकता है (नीचे मामलों को देखें)। यह लेख केवल उस उपयोगकर्ता के मेल से एक संदेश भेजने के एक उदाहरण पर विचार करता है, जिसका सत्र हमने बाधित किया था।

सब कुछ शुरू करने के लिए, एक न्यूनतम सेट पर्याप्त है - अंतिम इम्पैकेट , MSExchangeRelay और Python2.7।
हम सब कुछ कमांड के साथ शुरू करते हैं:

python MsExchangeRelay.py -v -t https://exchange_addr/ews/exchange.asmx -r sendMail -d "example@email.com" -s Hello -m sampleMsg.html -o out.txt 

 exchange_addr –  exchange   example@email.com –           . -s Hello –   -m sampleMsg.html –  ,    -o out.txt –    . 

शुरू करने के बाद, सर्वर पर SMB और HTTP सर्वर उठते हैं, जो उनके लिए कनेक्शन की प्रतीक्षा कर रहे हैं।



एक सफल कनेक्शन के बाद, आप देख सकते हैं कि किस लॉगिन और किस आईपी पते से उपयोगकर्ता ने लॉगिन किया है:

अब इसे कैसे लागू करें?

आप इस विधि का उपयोग विभिन्न मामलों पर कर सकते हैं।

केस 1. बाहरी घुसपैठिए, ग्राहक के पास एक आउटगोइंग 445 पोर्ट है

इस स्थिति में, आप smb संसाधन के लिंक का उपयोग कर सकते हैं। इस तरह के एक लिंक का पूरा आकर्षण यह है कि विंडोज उपयोगकर्ता को फिर से परेशान नहीं करना चाहता है अगर वह खुद को संभाल सकती है। तदनुसार, जब आप smb-resource के लिंक के साथ कोई दस्तावेज़ खोलते हैं, तो Windows स्वयं इस संसाधन के लिए उपयोगकर्ता के डोमेन क्रेडिट भेजता है। यानी यूजर को कुछ नहीं होता है। उपयोगकर्ता दस्तावेज़ खोलता है। और वह सब है। संदेह कुछ भी पैदा नहीं करता है। और हमारे पास पहले से ही एक कस्टम ईमेल सत्र है।
ओपन पोर्ट 445, हालांकि दुर्लभ है, अभी भी पाया जाता है। इसलिए, हम इसे भी मानते हैं और इसे छोड़ देते हैं।

केस 2. आंतरिक घुसपैठिया


यहां हम smb संसाधन के लिंक को भी लागू करते हैं। सत्र के एक सफल अवरोधन की स्थिति में, हमने जो पत्र इंगित किया है वह संकेतित डाक पते पर भेजा जाएगा।

केस 3. बाहरी घुसपैठिया और आउटगोइंग पोर्ट 445 बंद है


हम HTTP सर्वर के लिंक का उपयोग कर सकते हैं। हालांकि, इस मामले में, उपयोगकर्ता के लिए सब कुछ इतना पारदर्शी नहीं होगा। जब आप दस्तावेज़ खोलते हैं, तो उपयोगकर्ता को विंडोज से एक मानक विंडो दिखाई देगी, जो उपयोगकर्ता के उपयोगकर्ता नाम और पासवर्ड के लिए पूछती है। वह क्षण जो उपयोगकर्ता को भ्रमित कर सकता है वह है bad_http_server डोमेन नाम - यह ग्राहक के एक्सचेंज डोमेन नाम के समान संभव होना चाहिए।

उपयोगकर्ता द्वारा अपने क्रेडिट दर्ज करने के बाद, हम उसका सत्र प्राप्त करते हैं और एक पत्र भेजते हैं।

एक निष्कर्ष के बजाय

NTLMRelay को विभिन्न कंटेनरों में लपेटा जा सकता है और फ़िशिंग उपयोगकर्ताओं के लिए पूरी तरह से अलग दृष्टिकोण के साथ आ सकते हैं। जबकि NTLM जीवित है, इस तरह का हमला भी जीवित है। तो प्रयोग करो!

PS एक शानदार सम्मेलन के लिए OFFZONE-2018 के आयोजकों को धन्यवाद!