Instâncias de segurança da informação na plataforma attackdefense.com

... Vivemos em uma era de grandes eventos e pessoas pequenas
... Winston Churchill

Hoje, chamamos a atenção do primeiro artigo do ciclo sobre análise e trabalho de laboratório do recurso attackdefense.com, com o apoio do conhecido organizador da conferência ( Black Hat and Pentes Academy ) - um projeto que permite entender muitos aspectos dos ataques a vários protocolos, serviços e sistemas. Na maioria das vezes, esse recurso é uma plataforma com trabalho de laboratório sobre os tópicos mais relevantes.

Responderemos imediatamente a algumas das perguntas que podem surgir durante a leitura deste material:


Neste artigo, revisamos brevemente:

• Letras sobre recursos e recursos. E o que isso nos dará.
• Que tipos de "ataques" o recurso oferece.
• Material sobre o vetor de ataque de acordo com o trabalho de laboratório que descreveremos.
• A solução de um dos laboratórios de "teste".
• Conclusões

Os seguintes artigos estão planejados:

• Complete a linha completa de um tipo de direção de ataque. (Análise de tráfego)
• Vamos preparar os materiais para o curso.
• Vamos analisar os principais erros que surgem ao resolver o trabalho de laboratório.
• Vamos coletar uma breve teoria nessa direção (teses / presépios)
• Respondemos às perguntas do artigo anterior.

1. Introdução

O objetivo perseguido por nós: Desenvolver o interesse no estudo de serviços para aqueles que não haviam se dedicado anteriormente a esse tópico, mas que tinham um interesse crescente nessa área.

Algumas pessoas e comunidades já começaram este tópico, mas ninguém revelou o potencial do recurso. O que tentamos oferecer, o que os outros não. Essas são explicações nas tecnologias em que uma vulnerabilidade específica surgiu, o que ajudará a entender por que essa vulnerabilidade surgiu e como ela pode ser fechada, evitada ou combatida.

Para pessoas mais hábeis que já formaram sua opinião e têm sua própria direção de desenvolvimento, sugerimos que você se familiarize com a possibilidade de descobrir novos vetores para si mesmo.

Para profissionais, oferecemos-lhe a descoberta do novo "Capture the Flag". Essa direção não receberá uma revisão detalhada. Isso permanecerá para passagem independente. (Mas, se houver voluntários que desejam compartilhar suas realizações, resultados ou soluções originais. Teremos o maior prazer de acrescentar seus pensamentos a uma seção separada dos artigos. Como uma revisão adicional. Com a menção de heróis.

A carregar

Algumas estatísticas:

No momento da redação deste artigo, o número de laboratórios aumentou de 505 - 664 - 700 unidades.

Análise de laboratório: Network Recon - Memcashed [Theory]

Memcached é um software que implementa um serviço de cache de dados baseado em tabela de hash. Usando a biblioteca do cliente, permite armazenar dados em cache na RAM de muitos servidores disponíveis (consulte wiki ou habr.com para obter mais detalhes ).

Qual é o interesse deste produto, por que ele recebe tanta atenção?
O problema está na simplicidade de usar essa ferramenta no interesse dos "invasores", porque o protocolo usado neste aplicativo é UDP. Como você se lembra, qual é a diferença entre os protocolos TCP e UDP ( deixe-me lembrá-lo de quem esqueceu o exemplo: otvet.mail / Wiki ou link ). I.e. O UDP permite enviar dados de quadro sem se preocupar em recebê-los pelo destinatário. E o mais importante, a quantidade de dados transmitidos por UDP é muitas vezes maior que por TCP.

Mas o que é essa atenção? E o fato é que, ao acessar este software através de uma rede / Internet, para a porta 11211 com um tamanho de pacote de entrada de 100 kb. A resposta pode ser obtida em 1.000-50.000 vezes mais. Aqueles. 100 kb enviados retornarão 100 000 kb. Boa relação? O melhor!

Mas qual é o perigo? Você pergunta. Por que essas informações são necessárias?
Mas o problema é o seguinte: em redes locais e operadoras de telecomunicações que não controlam o tráfego, é possível um ataque como a falsificação de IP, ou seja, substituição de ip de saída. Acontece que agora o malfeitor não pode apenas se apresentar como alguém, mas também em seu nome, solicitará qualquer informação.

E aqui acontece isso (brevemente ilustrado na imagem):

1. Um invasor usando falsificação de IP falsifica seu IP. No ip "vítima".
2. Faz uma solicitação para o servidor Memcashed. Com um endereço IP alterado
3. O servidor responde à solicitação. Mas a resposta ao recurso já envia para a "vítima"
4. A "vítima" recebe uma resposta 100 vezes o tamanho da solicitação.

Como resultado, um grande número dessas solicitações-respostas. Um ataque Dos ou DDos pode ocorrer dependendo do número de máquinas zumbis.

Mais detalhes podem ser encontrados aqui: securitylab , xakep.ru , 360totalsecurity

Ou pesquise no Google.

Mitigação: Como corrigir vulnerabilidades no servidor Memcached?
Uma das maneiras mais fáceis de impedir que os servidores Memcached sejam mal comportados como refletores é um firewall, bloqueando ou limitando as velocidades UDP na porta de origem 11211. Como o Memcached usa INADDR_ANY e começa com o suporte a UDP por padrão, os administradores recomendam desativar o suporte a UDP, caso não o usem. Um ataque através do Memcached não pode ser facilmente interrompido pelos ISPs (Provedores de Serviços da Internet) se o IP falso for permitido na Internet.

Um exemplo de localização de um serviço usando o nmap (não da maneira mais racional)
nmap 192.168.1.1 -p 11211 -sU -sS --script memcached-info

Neste ciclo de laboratório, você poderá se familiarizar com as funções simples de inteligência do serviço Memcashed. Onde as ferramentas do arsenal Metasploit serão afetadas. E comandos padrão do sistema Linux. Não é tão complicado e comum.

Análise laboratorial [Prática]

[Menu]

Cada trabalho de laboratório possui itens de menu:
1. Cessão
2. Regras
3. Respostas para a tarefa
4. Dicas para resolver. (nem sempre e nem em todos os laboratórios)
5. Referências para leitura (somente En)

[Cessão]

1. Encontre a versão do servidor memcached usando o nmap.
2. Encontre as informações da versão usando netcat ou telnet.
3. Encontre o número máximo de conexões de entrada simultâneas permitidas pelo servidor memcached usando os scripts nmap disponíveis.
4. Encontre o número de itens atuais no servidor memcached usando o memcstat.
5. Encontre o valor armazenado na chave “flag” dos pares de valores-chave despejados pelo módulo metasploit disponível.
6. Encontre o nome de todas as chaves presentes no servidor memcached usando o memcdump.

[Iniciar]

Clique em "Lad link", uma nova janela será aberta com o terminal kali linux



Esta será a nossa janela principal com você. (não algumas máquinas virtuais. Tudo já foi instalado e configurado para você. Todos os scripts do laboratório já estão dentro. Não há necessidade de baixar, pesquisar, inventar nada!) Como regra geral (mas nem sempre) os materiais, scripts e bancos de dados estão na pasta raiz, ou em casa.

Tarefa 1: Encontre a versão do servidor memcached usando o nmap.

Dica já dada anteriormente. Nós usamos o nmap

 Nmap –p 11211 ipaddress –sV –p .    11211 -sV –    

Mais detalhes sobre o nmap podem ser encontrados no final do artigo. Na seção Extras. materiais. Vamos colocar berços lá.

Resultado: 1.5.12 (a resposta no laboratório que eles escrevem 1.5.6 - eles sabem melhor)

Tarefa 2: Encontre informações sobre a versão usando netcat ou telnet.
Quanto eles não perguntaram:



Eu não recebi uma resposta.

Resultado: falha ao obter o resultado.

Tarefa 3: Encontre o número máximo de conexões de entrada simultâneas permitidas pelo servidor memcached para usar os scripts nmap disponíveis.

Dica: pesquisa no google: nmap memcached



Seguimos os links e vemos que já existe uma solução pronta para encontrar informações sobre o memcache. Como garantimos que todos os scripts já estão instalados, tentamos:

 Nmap –p 111211 –script memcached-info 182.220.144.3 

Resultado: 2147

Tarefa 4: Encontre o número de itens atuais no servidor memcached usando o memcstat.

 memcstat –h memcstat --servers=”IP” 

Resultado: curr_items: 10

Tarefa 5: Encontre o valor armazenado na chave "flag" dos pares de valores-chave redefinidos pelo módulo metasploit disponível

 use auxiliary/gather/memcached_extractor show options set rhosts 192.220.144.3 run 

Resposta do script: sinalizador "VALUE sinalizador 0 32 \ r \ n25c8dc1c75c9965dff9afd3c8ced2775 \ r \ nEND \ r \ n"
Resultado: "VALUE sinalizador 0 32 \ r \ n25c8dc1c75c9965dff9afd3c8ced2775 \ r \ nEND \ r \ n"
(25c8dc1c75c9965dff9afd3c8ced2775) Em princípio, a mesma coisa.

Tarefa 6: Encontre o nome de todas as chaves no servidor memcached usando o memcdump.

Dica: já os conhecemos. Com a ajuda do nosso metasplit na tarefa anterior. Bem, ainda podemos ver:

 root@attackdefense:~# memcdump 192.220.144.3 

sinalizador, senha, país, zip, estado, cidade, endereço, apelido, sobrenome, sobrenome, nome


Resultado: bandeira, senha, país, CEP, estado, cidade, endereço, apelido, sobrenome, sobrenome, nome

Tarefa 7: Encontre o valor armazenado na chave "first_name" com a ferramenta memcached.

Você quer tentar você mesmo com a ferramenta memcached-tool

Resultado: mas a resposta será a mesma: Jimmy
Como você descobriu? Nós olhamos para uma captura de tela do "Resultado 5".

Resumir

1. Em relação a este laboratório

Como vimos, existem várias abordagens para resolver as tarefas atribuídas (claramente visíveis nas perguntas 5, 6 e 7) e, mais importante, seu tempo depende da escolha da solução.

Infelizmente, ainda não entendi a essência da tarefa número 2. Mas, infelizmente, não obtive sucesso ( ou talvez você só precisasse fazer tudo como nmap –o endereço IP ou nmap –A “endereço IP. Mas essa é outra história).

2. Em relação a todo o recurso.

O que gostamos deste recurso:


O que não gostou:

Adicionar. Materiais

Man nmap :
Folha de dicas :
Man rus nmap

Adição de PS dos autores: