Ретроспектирую о прошедшей зиме

Да, я всё ещё что-то пишу. Хоть и довольно редко. Не то чтобы нет времени на посты, да только вот писать было не о чем. В плане разнообразия работ прошедшая зима была весьма насыщенной, удалось как прямо так и косвенно поучаствовать практически во всём — от физического проникновения на объект до пентеста наикрутейшей неприступной сети. Проблема в том, что всё это не подлежит разглашению, хотя и содержит в себе интереснейшие находки и ситуации. В разрезе полученного опыта минувшая зима стала самым результативным временем, которое я провёл в инфосеке. Печально, что на количестве постов в блоге это не отразилось положительно 🙂

Я планировал писать заметки о новейших и эффективных инструментах, которые я применяю в ходе работы, но будучи ленивым туловищем я добираюсь до написания заметки только когда инструмент набирает популярность и становится известен даже цтферам.

Могу, разве что, с запозданием в месяц сообщить о том, что 7-8 апреля мы с ребятами были в Иннополисе и читали несколько лекций на тему нашей работы. Мне довелось провести трёхчасовой воркшоп о пивотинге при помощи Metasploit.

Хочу сказать, что это был полезный опыт, но мой стул окончательно прогорел ещё в ходе подготовки к воркшопу. В попытке сделать воркшоп интересным, я пришёл к конфигурации в 7 виртуальных машин:

  • Kali Linux в роли атакующей машины;
  • Windows Server 2008 с Coldfusion на борту, пробивающийся при помощи exploit/windows/http/coldfusion_fckeditor (CVE-2009-2265). Мгновенный SYSTEM делает этот конфиг превосходным образцом. К тому же пример из практики. Этот сервер сыграл роль пивота в якобы внутреннюю сеть (на моей сваянной за минуту схеме это 10.200.0.X);
  • Windows 7 воображаемого администратора компании. По легенде админ оставил компьютер незаблокированным. И уязвимым к MS17-010. Пробив машину, делаем скриншот и видим рабочий экран. Извините, машина не выжила, остался только скриншот этого скриншота с записи воркшопа:

В красной области видим открытый файл «TODOLIST», в котором, среди прочего, есть задача обновить WordPress на Ubuntu с Apache и указан админский пароль. В синей области рутовая ssh-сессия до сервера Debian с FTP. Понимаем, что нам нужно сохранить рабочий стол админа, дабы получить сессию до FTP-сервера. Для этого, пользуясь имеющимися правами SYSTEM, инжектим sticky_keys бэкдор при помощи post/windows/manage/sticky_keys. Далее инициируем соединение через rdesktop и действуем, как описано в этой классной статье, в результате чего перехватываем сессию админа, сохранив все запущенные им программы и открытые окна;

  • Debian c FTP берём под контроль, перехватив сессию админа с открытым терминалом и отправив netcat-шелл обратно через пивот. Очень просто;
  • Ubuntu с Apache и WordPress на борту, с учётом изъятых из файла «TODOLIST» админских учётных данных, покоряется в один подход с применением exploit/unix/webapp/wp_admin_shell_upload;
  • Debian Test не сработал. По сценарию на машине админа настроен вход на этот сервер по ключу. Хорошо поискав, мы находим и скачиваем приватный ключ, но не можем им воспользоваться, потому что на момент проведения воркшопа ssh через proxychains с ключом не проталкивался, разобраться не успели;
  • Windows 7 не менее воображаемого разработчика — последняя мишень. В уже дважды упомянутом файле «TODOLIST» у админа также есть задача залить новую версию Notepad++ для разработчика. Пользуясь тем, что FTP-сервер находится под контролем, трояним исполняемый файл так, как было описано в этой статье. Называем его новой версией Notepad++ и заливаем на FTP. Воображаемый разработчик скачивает файл и исполняет, возвращая последний шелл. Конечно же, на машине стоял антивирус. Конечно же, Вы уже знаете какой.

Итого, получился любопытный опыт проведения воркшопа на английском языке с весьма отзывчивой аудиторией. Ребята проявляли интерес и участвовали в ходе всего воркшопа. Проведя с ними два дня, могу сказать, что по моему мнению в Иннополисе сейчас сосредоточены самые крутые ИБ-студенты России. Всё благодаря довольно современной программе и (относительному) обилию практики.

Один комментарий к “Ретроспектирую о прошедшей зиме”

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *