पेंटेस्टर नोट्स: शिकार के मामले

- तुम लोग मस्त हो! इसलिए अभी तक किसी ने हमें निराश नहीं किया है!
- हमने कोशिश की।

हां, भेद्यता शिकारियों का जीवन ग्राहकों से विशिष्ट तारीफों से भरा होता है और कोई कम विशिष्ट स्थिति नहीं होती है। पिछले एक साल में, हमने विभिन्न कंपनियों में पचास से अधिक प्रवेश परीक्षण पूरे किए हैं और यह कहा जाना चाहिए, सब कुछ देखा है। सभी खातों और प्रणालियों के लिए एक पासवर्ड, डेटाबेस में पासवर्ड का भंडारण, युद्ध के माहौल में डिबगिंग कार्यक्षमता के अवशेष ... इसलिए, जब JSOC CERT के हमारे सहयोगियों ने साइबर घटना की जांच पर कई कहानियां बताईं, तो हमने पेंटेस्ट विभाग में "बैरिकेड" के दूसरे पक्ष को दिखाने और दिखाने का फैसला किया। »: हैकर की नजर से ग्राहक का बुनियादी ढांचा। आज हम आपको हाल के दिनों में सबसे दिलचस्प बाहरी कीटों के बारे में बताएंगे, जब हमें ग्राहक की आंतरिक परिधि में प्रवेश करना था, केवल उसके बाहरी आईपी पते और डोमेन नामों की एक सूची थी।

Odyn, काफी Odyn

मंगलवार:
- दोस्तों, एक तेज गति के साथ शुरू करें - आपके पास हमें हैक करने के लिए केवल 3 सप्ताह हैं। लेकिन ध्यान रखें कि आपकी संभावना कम से कम है: वे हर साल हमारी जांच करते हैं और कोई सुराग नहीं पाते हैं।

4 घंटे के बाद:
"हम पहले से ही अंदर हैं।"
- चलो? यह ऐसा नहीं हो सकता! अब लॉग की जांच करते हैं ...

शुक्रवार:
- अरे, वास्तव में। ऐसा कैसे! लेकिन जब से समय से काम नहीं चला, तो शायद आप कुछ और तलाश करेंगे?
- हां, कोई सवाल नहीं।

और हम खोजने लगे। संगठन की परिधि को स्कैन करते हुए, हम एक मेजबान पर आए थे जिस पर 4 वेब एप्लिकेशन कताई, एक एफ़टीपी सर्वर और phpMyAdmin व्यवस्थापक पैनल लटका हुआ था। वेब अनुप्रयोगों के विश्लेषण से वहां कोई महत्वपूर्ण कमजोरियों का पता नहीं चला (उदाहरण के लिए, SQL इंजेक्शन, XXE, RCE, आदि) जो हमें सर्वर तक पहुंचने की अनुमति देगा। कुछ बिंदु पर उन्होंने एफ़टीपी पर स्विच किया - और यहां यह पहले से ही अधिक दिलचस्प था: सर्वर पर अनाम पहुंच खोली गई थी, लेकिन केवल पढ़ने के लिए।



कई दिनों के लिए, हमने सर्वर की सामग्री की जांच की और लॉग में कुछ अजीब लाइनें पाईं - वेब एप्लिकेशन के प्रवेशकों में से एक के लिए कुछ गलत तरीके से दर्ज पासवर्ड।



गलत विकल्पों के आधार पर, हमने एक धारणा बनाई कि पासवर्ड कैसा दिखना चाहिए, और यह सामने आया। हमने इसे phpMyAdmin के लिए आज़माने का फैसला किया, और - ओह, एक चमत्कार - यह भी आया। अगला, यह एक छोटा मामला था - शेल अपलोड करें, आंतरिक नेटवर्क तक पहुंच प्राप्त करें, वहां एक पैर जमाने और पहले से ही अंदर विकसित करें।



यह सामान्य आलस्य है (और प्रत्येक व्यवस्थापक पैनल के लिए अलग-अलग पासवर्ड दर्ज करने की अनिच्छा को कैसे समझा जाए?) हैकर्स के लिए संगठन के आंतरिक नेटवर्क का मार्ग प्रशस्त करता है।

युद्ध के माहौल में डिबग क्यों?

हमारी अधिकांश सफलता वेब अनुप्रयोगों के माध्यम से होती है, और अक्सर हम विकास और परीक्षण के समय में "उत्सुक" रहते हैं। अक्सर हम लॉग, डिबग-मोड के कुछ टुकड़े पाते हैं, लेकिन हमेशा उनकी मदद से हम आरसीई (रिमोट कोड निष्पादन) का संचालन करने में कामयाब नहीं होते हैं।

हमारे ग्राहकों में से एक के दौरान, हमने एक सीआरएम-सिस्टम की खोज की, जिसे हमने कुछ और समय बिताने का फैसला किया (और, मुझे कहना होगा, यह बाद में भुगतान किया गया)। आवेदन के विश्लेषण को आगे बढ़ाते हुए, हमें परीक्षणों के अवशेष मिले, जो, जाहिर है, विकास के स्तर पर उपयोग किए गए थे। प्रमाणीकरण उनके द्वारा बहुत ही चमत्कारी तरीके से हुआ: केवल उपयोगकर्ता नाम और कुछ पासवर्ड वाले पैरामीटर को पारित करने के तथ्य की जांच की गई। मानक प्रलेखन की खोज और पढ़ने के पांच मिनट - और हमारे हाथों में अंतर्निहित सुपरसुअर खाते का नाम है। खोल भरना पहले से ही प्रौद्योगिकी का विषय था।



एक और उदाहरण। परियोजना की शुरुआत में, हमने उप-डोमेन का एक पुनरावर्ती bruteforce लॉन्च किया और इसे छोड़ दिया। कुछ समय बाद, हमारे आश्चर्य के लिए, एक पांचवें स्तर का उपडोमेन जिसे test.debug.application.client.ru कहा जाता है, आया था, जिस पर हमने वहां एक वेब एप्लिकेशन इंस्टॉल किया था। यह एक हल्का डेटाबेस प्रशासन अनुप्रयोग है, जिसके पुराने संस्करणों में, यदि गलत तरीके से कॉन्फ़िगर किया गया है, तो आप बिना पासवर्ड के SQLite डेटाबेस के साथ बातचीत कर सकते हैं।

तथ्य यह है कि इस डेटाबेस में कोई डेटा नहीं था, महत्वपूर्ण नहीं था - आखिरकार, SQLite में आप एक सरल वेब शेल के साथ एक अनियंत्रित पथ पर एक डेटाबेस बना सकते हैं, जिससे सर्वर को आसानी से प्रबंधित करने और वेब पेज से उस पर कमांड निष्पादित करने की क्षमता प्राप्त होती है।

जो कुछ भी था वह सर्वर पर वेब एप्लिकेशन का पूरा पता जानने के लिए था। यहां हमें सभी "प्यारे" सीएमएस 1 सी-बिट्रिक्स द्वारा मदद की गई थी, जो एक त्रुटि संदेश में, खुशी से हमारे साथ साझा की जाती है जहां यह स्थित है। तब यह केवल शेल को भरने और परियोजना को पूरा करने के लिए बना रहा।



SQLite DB के साथ काम यहाँ देखा जा सकता है ।

लॉग मिला? एक उपहार के रूप में पासवर्ड!

एक ग्राहक ने हमें एक वेब एप्लिकेशन के एक कीट का संचालन करने के लिए कहा। पिछले तीन वर्षों के लिए, उन्होंने एक और टीम के साथ पंचकोटि का आयोजन किया और शायद परिधि के कुछ छिद्रों को पैच करने में कामयाब रहे, इसलिए हमें त्वरित सफलता की उम्मीद नहीं थी।

वेब एप्लिकेशन की फ़ज़िंग के दौरान, हमें एक पृष्ठ मिला, जिस पर उपयोगकर्ता प्राधिकरण लॉग किया गया था। उस उपयोगकर्ता का समय और लॉगिन जो आवेदन में लॉग इन किया था लॉग में प्रदर्शित किया गया था। हमने एक स्क्रिप्ट लिखी है कि एक बार कुछ मिनटों के बाद इस पृष्ठ पर क्लिक किया गया, प्रतिक्रिया को पार्स किया और एक फ़ाइल में पाए गए लॉगिन को नीचे लिखा। कुछ दिनों के बाद, हम लगभग सौ लॉगिन एकत्र करने में सफल रहे। हमने पासवर्ड का चयन शुरू करने का फैसला किया - 5 लॉगिन के लिए वे टॉप -500 सबसे खराब पासवर्ड की सूची में पाए गए ।

एप्लिकेशन तक पहुंच प्राप्त करने के बाद, हमने इसका विश्लेषण करना जारी रखा और एक और दिलचस्प फ़ाइल प्राप्त की - इसमें सभी वास्तविक समय डेटाबेस क्वेरी प्रदर्शित की गईं। इस तरह के एक सुविधाजनक डिबगिंग टूल के साथ, कमजोरियों की खोज करना और पाया गया बूलियन-टाइमबेड SQL इंजेक्शन का दोहन ​​एक तुच्छ कार्य बन गया है।

इस तथ्य के बावजूद कि यह पहले से ही 2019 है, लोग अभी भी मानते हैं कि डेटाबेस में पासवर्ड को खुले रूप में संग्रहीत करना एक अच्छा विचार है। हम इसका उपयोग करते हैं और एसक्यूएल इंजेक्शन पाते हैं और एक व्यवस्थापक खाता प्राप्त करते हैं जिसके साथ वेब-शेल को भरना और संगठन के आंतरिक नेटवर्क तक खुली पहुंच कोई बड़ी बात नहीं थी।

फसल के निशान

सबसे पहले, आवधिक पैठ परीक्षण करें - वे आपको उन पतले धब्बों को खोजने में मदद करेंगे जिन्हें आप विकास के चरण में याद कर सकते हैं या जब परीक्षण वातावरण से लोगों का मुकाबला करने के लिए स्विच कर रहे हों।

दूसरे, हमेशा मानव कारक पर विचार करें: लोग पासवर्ड बदलने के लिए बहुत आलसी हैं, और वे कई साइटों पर एक पासवर्ड का उपयोग भी कर सकते हैं। हाँ, प्रवेश भी यही पाप करते हैं।

तीसरा, मुकाबला वातावरण में डिबगिंग मोड को हटा दें।

पुनश्च

सामान्य तौर पर, पेंटेस्ट विभाग का रोजमर्रा का जीवन सभी प्रकार के "मनोरंजन" से भरा होता है और निश्चित रूप से, बाहरी परीक्षण केवल एक ही नहीं होते हैं। ग्राहक आंतरिक परिधि कमजोरियों (आंतरिक पंचक) की जांच करना, या वेब और मोबाइल अनुप्रयोगों की सुरक्षा, साथ ही वाईफाई नेटवर्क का विश्लेषण करना या सामाजिक इंजीनियरिंग विधियों का उपयोग करने के लिए कर्मचारियों की व्यवस्था करना चाह सकते हैं।

परियोजनाओं से हमारे खाली समय में, हम ज़ेन को समझते हैं, नई कमजोरियों की तलाश करते हैं, हमारे उपकरणों और तकनीकों में सुधार करते हैं। और हम एक बगबाउंटी (जहां इसके बिना) में लगे हुए हैं।

आप निम्नलिखित पोस्टों में हमारे "रोमांच" की विविधता के बारे में जानेंगे।