Hacking for all!

https://chacker.pl/

Teraz, gdy mamy informacje o użytkowniku, powinniśmy przyjrzeć się samemu hostowi. Hosty często mają dane, które mogą pomóc zidentyfikować ogólną postawę bezpieczeństwa systemów w sieci. Ponadto zainstalowane pakiety oprogramowania mogą dać nam potencjalne ścieżki eskalacji i ruchu bocznego. Używane elementy postawy, takie jak oprogramowanie antywirusowe, produkty EDR, stan zapory, stan UAC itd., dadzą nam pojęcie o tym, co musimy zrobić, aby uniknąć w całej sieci. Możemy zacząć od podstawowej świadomości sytuacyjnej za pomocą programu PowerShell, a następnie przejść do bardziej zaawansowanych narzędzi. Pozwoli nam to zachować jak największą ciszę, a następnie, gdy dowiemy się więcej o systemie, będziemy mogli stać się głośniejsi w oparciu o widoczne elementy sterujące.

https://chacker.pl/

Teraz, gdy wiemy, jakie są uprawnienia użytkownika w kontekście systemu, możemy sprawdzić, jakie inne informacje możemy znaleźć w systemie na temat użytkownika. Może to być wszystko, od treści internetowych po klucze SSH. Część z nich możemy znaleźć, przeglądając system, co jest zdecydowanie zalecane, ale część z nich wymaga przejrzenia rejestru i innych plików. Byłoby to czasochłonne, gdyby zrobić to ręcznie, ale na szczęście narzędzie Seatbelt jest dostępne, aby pomóc znaleźć dodatkowe informacje. Na początek, pozostając połączonym z systemem docelowym, otwórz połączenie SSH z serwerem Kali. Skonfigurujemy serwer internetowy, aby pomóc nam uruchomić narzędzia. Po nawiązaniu połączenia wykonaj następujące kroki:

W systemie docelowym załadujemy program PowerShell i dołączymy moduł Invoke-Seatbelt.ps1 z repozytorium SharpPack sklonowanego w katalogu domowym:

Ładuje moduł Invoke-Seatbelt, który pozwoli nam uruchomić binarny plik C# Seatbelt z PowerShell. Narzędzie Seatbelt pomaga nam uzyskać dodatkowe informacje na temat tego, co jest zainstalowane w systemie i jak jest skonfigurowane. Następnie uruchomimy Seatbelt i poprosimy go o profilowanie informacji o użytkowniku. Dodamy również flagę -q, aby poprosić go o niewyświetlanie informacji o banerze.

Seatbelt przechodzi przez różne obszary profilu użytkownika i pomaga zidentyfikować ostatnio otwierane pliki, adresy URL, które zostały dodane do zakładek, foldery w katalogu domowym użytkownika, a następnie na koniec jego dane uwierzytelniające netNTLMv2, aby złamać je w trybie offline, jeśli nie znasz jeszcze jego hasła. Jest tu o wiele więcej, ale oto niektóre z najważniejszych punktów. Te elementy dadzą ci pewien wgląd w kontekst użytkownika oraz jego uprawnienia, członkostwo i dostęp. Zrozumienie praw i uprawnień użytkownika może pomóc ci ustalić, czy masz dostęp, którego potrzebujesz, aby korzystać z danych lub systemów docelowych.

https://chacker.pl/

W tym laboratorium użyjemy polecenia whoami do identyfikacji uprawnień i uprawnień użytkownika. Zacznij od połączenia się z maszyną docelową jako użytkownik GHH\target z hasłem Winter2021!. Po zalogowaniu otwórz wiersz poleceń cmd.exe. Następnie wpisz whoami i naciśnij ENTER.

W tym laboratorium użyjemy polecenia whoami do identyfikacji uprawnień i uprawnień użytkownika. Zacznij od połączenia się z maszyną docelową jako użytkownik GHH\target z hasłem Winter2021!. Po zalogowaniu otwórz wiersz poleceń cmd.exe. Następnie wpisz whoami i naciśnij ENTER.

SID użytkownika mówi nam kilka rzeczy: pierwszą jest SID domeny, który będzie przydatny w atakach takich jak ataki typu złoty bilet Kerberos. Część domeny to cały ciąg SID aż do ostatniej kreski. W tym przypadku SID domeny to -1-5-21-3262898812-2511208411-1049563518, a ID użytkownika to 1111. Użytkownicy poniżej 1000 są ograniczeni do użytkowników uprzywilejowanych, a użytkownicy powyżej 1000 to normalni użytkownicy. Ci użytkownicy mogą mieć dodatkowe uprawnienia, ale ten użytkownik nie jest częścią wbudowanych grup użytkowników uprzywilejowanych w domenie. Możemy również spojrzeć na wyróżniającą nazwę użytkownika (DN), która jest tożsamością, która czyni go unikalnym w usłudze Active Directory. Da nam to w pełni kwalifikowaną nazwę DN domeny, a także sposób, w jaki użytkownik jest umieszczony w organizacji:

Tutaj możemy zobaczyć, że domena użytkownika to DC=ghh,DC=local (lub w skrócie ghh.local). Możemy również zobaczyć, że użytkownik znajduje się w kontenerze Users w domenie. Użytkownik nie jest zorganizowany w kontenerze privileged users ani w niczym innym, więc ten użytkownik może być po prostu zwykłym użytkownikiem domeny. Przyjrzyjmy się teraz grupom:

Przyglądając się tym grupom, widzimy zarówno grupy lokalne, jak i grupy domenowe. Widzimy jednak kilka różnych typów grup. Dobrze znane grupy (1) to grupy, które mapują się na udokumentowane identyfikatory SID w środowisku. Grupy takie jak grupa WSZYSCY i grupa Administratorzy, które mają ten sam identyfikator SID we wszystkich systemach, należą do tego typu grupy. Drugim typem grupy, który widzimy, jest Alias ​​(2). Typy grup Alias ​​są zazwyczaj mapowane na uprawnienia w systemie i są aliasami identyfikatora SID używanego do ich przyznawania. Użytkownicy pulpitu zdalnego, zdalnego zarządzania i inne elementy, które przyznają określone prawa systemowe według członkostwa w grupie, zazwyczaj należą do tego typu grupy. Trzecim typem grupy jest Grupa (3). Jest to zazwyczaj grupa lokalna lub grupa usługi Active Directory, która może być grupą zabezpieczeń lub dystrybucyjną. Widzimy, że grupy domen są poprzedzone krótką nazwą domeny (GHH) wraz z nazwą grupy i identyfikatorem SID. Jeśli użytkownik ma grupy w różnych domenach, posiadanie SID pomoże zmapować SID domeny dla każdej domeny, do której użytkownik ma uprawnienia. Następnym krokiem jest przyjrzenie się uprawnieniom, jakie użytkownik ma w systemie. Uprawnienia te wskazują, w jaki sposób użytkownik może wchodzić w interakcję z systemem. Możliwość debugowania programów, wykonywania zadań administracyjnych i innych zadań można określić za pomocą flagi /priv:

Tutaj widzimy, że użytkownik ma tylko dwa uprawnienia. SeChangeNotifyPrivilege jest włączony, a drugi przywilej jest wyłączony. Włączony przywilej oznacza, że ​​użytkownik może poruszać się po systemie plików bez sprawdzania każdego folderu, aby ustalić, czy ma specjalne uprawnienia „Traverse Folder”; zamiast tego system sprawdza tylko, czy użytkownik ma dostęp do odczytu katalogu przed kontynuowaniem. Ten użytkownik ma bardzo ograniczone uprawnienia, więc wiele sztuczek dotyczących eskalacji uprawnień może być trudnych do wykonania.

UWAGA Istnieje ogromna lista potencjalnych uprawnień. Przyjrzymy się niektórym z nich później w tym rozdziale. Kiedy oceniasz, dlaczego coś działa lub nie, pomocne może być sprawdzenie uprawnień przypisanych użytkownikowi i zapoznanie się z ich znaczeniem tutaj: https://docs.microsoft.com/enus/windows/security/threat-protection/security-policy-settings/user-rights-assignment.

https://chacker.pl/

Po uzyskaniu dostępu do systemu, pierwszym krokiem jest zazwyczaj ustalenie, jako kto jesteś w systemie. Istnieje kilka sposobów, aby to zrobić, ale najprostszym jest polecenie whoami. To polecenie ma wiele różnych opcji wyświetlania danych. Przeanalizujmy je.

UWAGA Lab 1 używa chmury AWS z konfiguracją . Aby uzyskać dostęp do tego laboratorium, sklonuj repozytorium git na https://github.com/GrayHatHacking/GHHv6/, postępuj zgodnie z instrukcjami konfiguracji w katalogu cloudsetup, a następnie postępuj zgodnie z instrukcjami w folderze ch17, aby skonfigurować laboratorium. Po wykonaniu tej czynności adresy IP systemów będą znajdować się w katalogu ansible w folderze inventory.

https://chacker.pl/

Po początkowym dostępie do celu, pierwszym krokiem jest zazwyczaj uzyskanie pewnej świadomości sytuacyjnej. Ważne jest, aby określić, jako użytkownik jesteś w systemie, jakie uprawnienia ma ten użytkownik i jakie są potencjalne opcje eskalacji i trwałości. Rozpoznanie to może również dostarczyć informacji o tym, do czego użytkownicy mają dostęp. Jednym z błędów, jakie popełnia wielu hakerów, jest przejście bezpośrednio do administratora domeny w środowisku. Ta wysoce uprzywilejowana grupa Active Directory jest świetna, ale często jest również ściśle monitorowana. Nie jest niczym niezwykłym, że użytkownik, do którego uzyskujesz początkowy dostęp, ma wystarczające uprawnienia, aby kierować do innych systemów i innych danych lub zapewnić dodatkowe możliwości ruchu bocznego, ale bez wcześniejszego profilowania hosta i użytkownika, te rzeczy mogą zostać przeoczone.

 

https://chacker.pl/

Wcześniej omówiliśmy kilka sposobów dostania się do systemów, teraz musimy omówić, co zrobić po odniesieniu sukcesu. Eksploatacja po awarii obejmuje wszystkie kroki po początkowej eksploatacji. Obejmuje to dodatkowe rozpoznanie, dodatkową eksploatację, eksploatację uprawnień i wiele innych. Wiele dostępnych informacji pokazuje, jak eskalować, zrzucać skróty i poruszać się bocznie w środowiskach, które nie wykorzystują niektórych nowoczesnych technologii dostępnych dla przedsiębiorstw. Narzędzia takie jak Local Administrator Password Solution (LAPS) firmy Microsoft pomagają losowo ustalać hasła administratorów, a większość środowisk nie pozwala już użytkownikom być administratorami na ich komputerach stacjonarnych. Wiedząc o tym, musimy zrozumieć, jak obsługiwać niektóre z kluczowych elementów eksploatacji po awarii: lokalny rozpoznanie i rozpoznanie usługi Active Directory (AD), eskalowanie uprawnień zarówno w systemie lokalnym, jak i w domenie oraz uzyskiwanie trwałości zarówno na komputerze lokalnym, jak i w samym AD. Aby to zrobić, użyjemy kombinacji plików binarnych PowerShell i C#, aby zidentyfikować podatne usługi, uprawnienia i konfiguracje.

https://chacker.pl/

Eksploatacja po awarii jest ważnym etapem ataku. Kiedy uzyskujemy dostęp do systemu poprzez phishing lub eksploatację, często host, do którego uzyskujemy dostęp, nie jest hostem, który jest naszym celem końcowym. Z tego powodu musimy być w stanie przeprowadzić rozpoznanie użytkowników, hostów i obiektów Active Directory, aby pomóc zidentyfikować ścieżki, gdzie możemy uzyskać uprawnienia i utrzymać nasz dostęp do sieci.

https://chacker.pl/

Przyjrzeliśmy się kilku sposobom dostania się do systemu docelowego bez użycia exploita. Przyjrzeliśmy się kradzieży i łamaniu danych uwierzytelniających za pomocą Responder w celu podszywania się pod odpowiedzi LLMNR i NetBIOS Name Services. Pozwoliło nam to zebrać poświadczenia przekazane za pomocą NetNTLM, a następnie złamać te poświadczenia za pomocą Johna the Rippera. Przyjrzeliśmy się również różnym sposobom uruchamiania poleceń za pomocą poświadczeń, które przechwyciliśmy. Obejmuje to użycie Winexe, które daje nam zdalną interaktywną powłokę. Użyliśmy również WMI do zapytania o informacje systemowe i uruchamiania poleceń. Dzięki WinRM przeszliśmy od prostego uruchamiania powłok do możliwości zdalnego wykonywania skryptów PowerShell, a także plików binarnych z naszego lokalnego systemu. Podczas tego mogliśmy „żyć z ziemi” i używać wbudowanych narzędzi i procesów w tych systemach docelowych. Zmniejsza to ryzyko złapania

https://chacker.pl

Coraz więcej narzędzi pozwala nam zabierać ze sobą kod, dzięki czemu nie musimy zastanawiać się, jak wprowadzić go do systemu. Evil-WinRM oferuje nam dwa różne sposoby na przenoszenie kodu: pliki binarne, które wykona dla nas, oraz skrypty, które możemy uruchomić lokalnie. Zacznijmy od ponownego uruchomienia narzędzia z dwiema dodatkowymi opcjami: katalogiem plików binarnych i katalogiem skryptów.

Opcja -e określa lokalizację, z której pobierane są pliki binarne. Ten katalog zawiera szereg plików binarnych C#, które zostały zbudowane na maszynie Util, a następnie przeniesione do naszego komputera Kali podczas wdrażania. Flaga -s określa lokalizację katalogu skryptów. Będziemy mogli załadować dowolne skrypty z tego katalogu do Evil-WinRM. Możemy utworzyć własny katalog i umieścić w nim mnóstwo różnych skryptów, ale w tym przykładzie użyjemy tylko modułów PowerSploit Recon, które już istnieją w Kali. Skrypty nie ładują się automatycznie, więc gdy mamy już powłokę, możemy dowiedzieć się, które skrypty są ładowane, wpisując menu:

Widzimy cztery polecenia, które są domyślnie automatycznie uwzględniane w narzędziu. Dll-Loader, Donut-Loader i Invoke-Binary to różne sposoby wykonywania plików binarnych. Bypass-4MSI pomija AMSI (Windows Antimalware Scan Interface). AMSI umożliwia narzędziom zabezpieczającym systemu Windows uzyskanie dodatkowych informacji o programie PowerShell i innych lokalizacjach w celu wykrywania złośliwego oprogramowania w czasie wykonywania, w tym potencjalnie złośliwego kodu programu PowerShell. W przypadku niektórych narzędzi będzie to wymagane, ale w naszym przypadku program Windows Defender został już wyłączony, aby dane wyjściowe były spójne na wszystkich poziomach poprawek. Aby uruchomić skrypt, wpisujemy nazwę skryptu, a następnie możemy ponownie uruchomić menu, aby wyświetlić zaktualizowaną listę narzędzi. Tutaj uruchomimy skrypt PowerView.ps1:

Dane wyjściowe po uruchomieniu tych poleceń będą znacznie dłuższe, a ponieważ nie mamy pełnej sesji w systemie, nie będziemy mogli wykonywać niektórych działań w domenie. Niektóre polecenia wymagają, aby użytkownik miał bilety lub skróty buforowane w sesji. Możemy jednak uruchamiać polecenia lokalnie na maszynie. Spróbujmy pobrać dane użytkownika z AWS dla tego systemu:

Z danych wyjściowych wynika, że ​​osoba, która wdrożyła ten system, skonfigurowała zmianę hasła, gdy urządzenie jest online. W tym przypadku hasło użytkownika Admin to „GrayHatHack1ng!”. Teraz będziemy mogli zalogować się jako użytkownik Administrator, nawet jeśli użytkownik docelowy zmienił hasło. Możemy również spróbować pobrać te dane bezpośrednio z systemu, używając jednego z naszych plików binarnych. Możemy je wywołać za pomocą polecenia cmdlet Invoke-Binary wbudowanego w Evil-WinRM.

Mimo że określiliśmy ścieżkę, w której znajduje się nasz plik binarny, nadal musimy użyć pełnej ścieżki, aby dostać się do pliku binarnego, z którego uruchomiono evil-winrm (w tym przypadku katalog Binaries). To narzędzie zrzuca skróty z pamięci, a my musimy określić jeden argument — host, z którym ma nastąpić połączenie. Gdybyśmy mieli wiele argumentów, rozdzielilibyśmy je w cudzysłowie przecinkami, aby program wiedział, który argument zostanie wywołany. Wynikowy wynik zawiera zarówno skróty z lokalnego systemu, takiego jak użytkownik Administrator, jak i buforowane dane uwierzytelniające w systemie dla użytkownika docelowego. Teraz mamy skróty, których możemy użyć, jeśli zajdzie taka potrzeba dla Administratora, a także hasło Administratora ustawione za pomocą danych użytkownika AWS i buforowany skrót użytkowników w systemie, który moglibyśmy spróbować złamać.

 

https://chacker.pl/

Jednym ze sposobów, w jaki WinRM może nam pomóc, jest umożliwienie zdalnego wykonywania poleceń. Niestety, w momencie pisania tego tekstu nie było zbyt wielu narzędzi wiersza poleceń Kali, które mogłyby to zrobić domyślnie. Istnieją jednak gemy Python (pywinrm) i Ruby (winrm), które obsługują protokół. Nasza instalacja Ansible dla laboratorium automatycznie zainstalowała gem evil-winrm, który pozwala nam używać gemów Ruby do wykonywania zadań, ale ma dodatkową funkcjonalność z myślą o testerach penetracyjnych. Aby nawiązać interakcję ze zdalnym hostem za pomocą evil-winrm, zacznijmy od uruchomienia prostego polecenia whoami. Musimy tylko określić użytkownika, hasło i cel, a po nawiązaniu połączenia otrzymamy monit i będziemy mogli wydawać polecenia:

Możesz zobaczyć, że określiliśmy -u dla poświadczeń użytkownika, -p dla hasła i -i dla adresu IP. Po połączeniu otrzymaliśmy monit, który śledzi naszą lokalizację w systemie plików. Używając tego monitu, możemy uruchamiać polecenia powłoki, ale możemy również uruchamiać program PowerShell bezpośrednio z monitu. Pobierzmy listę lokalnych użytkowników:

Widzimy wyjście PowerShell polecenia Get-LocalUser i możemy zobaczyć domyślne konto Administratora, a także konto evilhacker, które utworzyliśmy wcześniej. W tej konfiguracji jesteśmy ograniczeni do skryptów PowerShell, które mamy w systemie lub możemy zaimportować przez Internet. Polecenia cmdlet, takie jak Invoke-WebRequest i Invoke-Expression, mogą być używane do zdalnego pobierania elementów przez Internet i do systemu, ale jeśli chcemy zabrać ze sobą własny kod, musimy spróbować czegoś innego. Aby wyjść z powłoki Evil-WinRM, wpisz exit, aby powrócić do wiersza poleceń Kali.