पेंटेस्टर के नोट्स: शिकार के मामले - 2

हम पेन्टेस्टर्स के काम में दिलचस्प मामलों के लिए बातचीत जारी रखते हैं। पिछले पोस्ट में, हमने बाहरी प्रवेश परीक्षण के बारे में बात की थी, आज हम उन सबसे दिलचस्प आंतरिक कीटों के बारे में बात करेंगे जिन्हें हमने हाल ही में लागू किया है। उनका सार यह है कि हमें ग्राहक की आंतरिक परिधि में होना चाहिए, डोमेन में अधिकतम विशेषाधिकार प्राप्त करना चाहिए और किसी भी महत्वपूर्ण डेटा को प्राप्त करना चाहिए। यह तो हुआ हैरान। लेकिन पहले बातें पहले।

केस 1. पासवर्ड मैनेजर अच्छा है, लेकिन उन्हें उपयोग करने में सक्षम होना चाहिए

हमने एक बड़े ग्राहक के लिए आंतरिक प्रवेश परीक्षण किया, जिसने पहले से ही sysadmins और IS सेवा को प्रशिक्षित किया था। कार्य के दौरान, हमें कई खाते मिले, जिनके साथ हम पहले से ही नेटवर्क पर जाने और अन्य उपयोगकर्ताओं की मशीनों से जुड़ने में सक्षम थे। कुछ बिंदु पर, वे सिस्टम प्रशासकों में से एक की कार में बस गए और वहां एक एल्डोराडो मिला। सिस्टम प्रशासक ने वास्तव में जटिल पासवर्ड का उपयोग किया (ऐसे लोगों को ढूंढना मुश्किल होगा) और यहां तक ​​कि उन्हें रखने में संग्रहीत भी किया। लेकिन यहाँ बुरा भाग्य है: पासवर्ड प्रबंधक स्वयं को कभी भी अवरुद्ध नहीं किया गया था - 15 मिनट के बाद, या स्क्रीन लॉक के समय नहीं। इस बोनस के साथ, हमें शोर और धूल के बिना महत्वपूर्ण ग्राहक प्रणालियों में प्रशासनिक अधिकार मिल गए।

एक अन्य ग्राहक के पास एक समान मामला था। इसके अलावा जटिल पासवर्ड, भी रखें, हालांकि 15 मिनट के बाद भी ऑटो लॉक था। हम इसका उपयोग कैसे कर सकते हैं? वे तब तक इंतजार करते रहे जब तक कि व्यवस्थापक ने डेस्कटॉप को लॉक नहीं किया और दोपहर के भोजन के लिए छोड़ दिया। तब यह छोटी बात थी।

यदि आप पासवर्ड प्रबंधकों का उपयोग करते हैं, तो उन्हें बुद्धिमानी से उपयोग करें - लॉक स्क्रीन के साथ लॉक विकल्प चालू करें और गतिविधि के अभाव में 1-5 मिनट के लिए।

केस 2. खारिज किए गए कर्मचारी

बहुत बार आंतरिक पंचकोण के दौरान हम पासवर्ड का चयन करके पहुंच प्राप्त करते हैं - उपयोगकर्ता आमतौर पर जटिल संयोजनों के साथ आने के लिए बहुत आलसी होते हैं, खासकर जब पासवर्ड नीति को हर महीने उन्हें अपडेट करने की आवश्यकता होती है। अक्सर संख्या बस बदल जाती है - इसलिए, एक महीने बाद सुपरपासवर्ड_03.2019 सुपरपासवर्ड_04.2019 में बदल जाता है और सूची में और नीचे आता है।

लेकिन कभी-कभी ग्राहक नीले रंग से बाहर आते हैं। इसलिए, कंपनियों में से एक में एक पासवर्ड छिड़काव हमले का आयोजन करते हुए, हमें कई खाते मिले और उनमें से एक विशेष रूप से हमारे लिए दिलचस्प था: उसके पास काफी व्यापक अधिकार थे, हालांकि अधिकार नहीं। उसके (qaz12345) के लिए एक लाइट पासवर्ड सेट किया गया था, और AD में इस प्रविष्टि पर टिप्पणियों ने संकेत दिया कि कर्मचारी को निकाल दिया गया था - लगभग एक साल पहले की तारीख को देखते हुए। यही है, बर्खास्तगी के बाद, खाता ब्लॉक नहीं किया गया था, लेकिन बस पासवर्ड को "डिफ़ॉल्ट" पर रीसेट करें और "पहले लॉगिन पर पासवर्ड बदलें" विकल्प सेट करें। ग्राहक की खुशी के लिए, हम पहले व्यक्ति थे जिन्हें ऐसा करने के लिए आमंत्रित किया गया था।

केस 3. पैच? नहीं, नहीं

आंतरिक पंचक का सबसे कठिन हिस्सा पहला खाता हो रहा है। ऐसा करने के लिए कई उपकरण और तरीके हैं, कार्यालय में एक जासूसी फैशन शो के साथ शुरू होता है जो पासवर्ड के साथ पोषित स्टिकर की तलाश में है और एक क्लोन कार्यालय वाई-फाई के साथ पीड़ित को पकड़ता है, केर्बरोस और पासवर्ड अकाउंटिंग पर हमलों के साथ समाप्त होता है। लेकिन कभी-कभी शुरुआती स्कैन से भी आप ऐसे सॉफ़्टवेयर पा सकते हैं जो कोई भी दस हज़ार सालों से अपडेट नहीं कर रहा है (आंतरिक आधारभूत संरचना में सॉफ़्टवेयर को अपडेट करने से क्यों परेशान है?)।

इस तरह की एक परियोजना में, वे एचपी से प्रबंधन सॉफ्टवेयर में आए थे, जिसमें आरसीई को प्रमाणीकरण के बिना पाया गया था - इसमें से उन्हें खातों का हिस्सा मिला।

¯ \ _ (ツ) _ / ツ

ऐसा लगता था कि आगे सब कुछ सरल होगा - मिमिकेज़, और बात टोपी में है, लेकिन यह पता चला है कि प्राप्त खातों में हमारे पास आवश्यक विशेषाधिकार नहीं हैं। जैसा कि वे कहते हैं, हमारी ताकत क्लाउड के लिए तत्परता में है: नैंप के जादू और स्क्रिप्ट smb-enum-शेयरों का उपयोग करते हुए, हमें पता चला कि परीक्षण सर्वर पर खातों में से एक में स्थानीय व्यवस्थापक अधिकार थे, जो उस समय डोमेन प्रशासक सक्रिय रूप से शामिल थे =)।

केस 4. ताले

अंत में, चलो संभव एक्सेस ब्लॉकिंग के बारे में थोड़ी बात करते हैं। "Vnutryanka" पर काम करें हम दूरस्थ पहुंच के साथ सबसे अधिक बार करते हैं। योजना इस तरह दिखती है: हम वीपीएन से जुड़ते हैं, हमें आंतरिक पता मिलता है, फिर हम आरडीपी के माध्यम से हमारे लिए आवंटित मशीन से चिपके रहते हैं। और इस मशीन के साथ हम पहले से ही काम करना शुरू कर रहे हैं, लेकिन इसके लिए हमें किसी तरह अपने साधनों को व्यक्त करना होगा। हमारे कई क्लाइंट इंटरनेट की पहुंच के लिए, कभी-कभी बंदरगाहों की सफेद सूचियों के साथ, साइटों की सफेद सूचियों के साथ प्रॉक्सी सर्वर का उपयोग करते हैं (उदाहरण के लिए, आप पोर्ट 80 वाली वेबसाइट से कनेक्ट कर सकते हैं, लेकिन आप अब 8081 से कनेक्ट नहीं कर सकते हैं)। यह वास्तव में काम को थोड़ा अधिक कठिन बनाता है, खासकर अगर आरडीपी के माध्यम से कॉपी-पेस्ट निषिद्ध है।

लेकिन बिना बारीकियों के हमारे व्यवसाय में कहां। एक ग्राहक के पास बहुत सख्त नियम थे और हमें आधिकारिक रूप से हमारे उपकरण भरने की अनुमति नहीं थी, इसलिए बोलने के लिए, उन्होंने "मुख्य प्रवेश द्वार" के माध्यम से प्रवेश को रोक दिया। जैसे, यहाँ एक वर्चुअल मशीन और आपके लिए न्यूनतम अधिकार हैं - असली हैकर्स की तरह।

मुझे लंबे समय तक नहीं झेलना पड़ा। प्रॉक्सी ने वास्तव में बहुत कुछ अवरुद्ध किया, यह केवल अपने http सर्वर से कनेक्ट करना संभव नहीं था (यह सफेद सूचियों में नहीं है), कॉपी-पेस्ट निषिद्ध था, ब्राउज़र ने http (80 / tcp) और https (443 / tcp) को छोड़कर कहीं भी जाने से इनकार कर दिया, और आंतरिक पोर्टल्स के अलावा कहीं और। हमने पावरशेल के माध्यम से छूट की कोशिश की - यह भी काम नहीं करता है, यह प्रॉक्सी के बिना नहीं जाता है, और प्रॉक्सी इसे मना करता है। लेकिन विंडोज की अंतर्निहित एफ़टीपी उपयोगिता ने ठीक काम किया - फ़ायरवॉल पर कोई नियम नहीं थे जो इस तरह के ट्रैफ़िक को रोकेंगे। इसलिए हमने अपने सभी उपकरणों को परिधि के अंदर खींच लिया और एक महान कार्य करने में सक्षम थे।

अंत में

मैं पिछले हिस्से से सिफारिशों को दोहराऊंगा, क्योंकि दोहराव हकलाने वाली शिक्षाओं की जननी है। समय-समय पर पैठ परीक्षण का परीक्षण करें - वे आपकी रक्षा में नाजुक स्थानों को खोजने में आपकी मदद करेंगे, उदाहरण के लिए, मामले में 3. आप विचार कर सकते हैं कि आंतरिक परिधि में सिस्टम को पैच करना आवश्यक नहीं है, लेकिन कभी-कभी यह गंभीर परिणाम देता है।

एक पैच प्रबंधन प्रणाली का निर्माण करें - न केवल "हाई-प्रोफाइल" कमजोरियों (जैसे कि इटरनलब्लू या ब्लूकेप) को खत्म करें, बल्कि कम प्रसिद्ध भी हैं, लेकिन उनके ऑपरेशन के मामले में कम खतरनाक नहीं है (जैसा कि एचपी एएम के साथ मामला है)। संक्षेप में, अपने सभी सिस्टम का ध्यान रखें।