hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

128    Охота на пользовательские реквизиты

to

w Click

w Click

m

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

В следующем разделе вы узнаете, как осуществить эти действия в лабора-

-x cha

торной среде перед выполнением упражнения.

Взлом реквизитов доступа пользователя

Теперь,когда вы знаете стратегии,пришло время для практики.Однако перед этим примите во внимание несколько важных соображений:

1)не выполняйте эти шаги в производственной среде;

2)создайте изолированную среду длятестирования любоготипа операций Красной команды;

3)после того как все тесты будут выполнены и проверены, убедитесь, что вы создали свой собственный план для воспроизведения этих задач в производственной среде в рамках упражнения для Красной команды;

4)передвыполнениемупражненияубедитесь,чтоувасестьсогласиеваше- го менеджера и что вся командная цепочка знает об этом упражнении.

Приведенные ниже тесты могут быть применены в локальной среде,а также в виртуальной машине,расположенной в облаке (IaaS).

Полный перебор

Первоеупражнениепоатаке,возможно,самоестарое,нооновсеещеподходит для тестирования двух аспектов контроля защиты,таких как:

точность вашей системы мониторинга. Поскольку атаки методом полногопереборамогутвызыватьпомехи,ожидается,чтовашисредства защиты безопасности смогут отследить действие, пока оно происходит. Если нет, это значит, что у вас серьезная проблема в стратегии защиты;сила вашей политики паролей. Если ваша политика паролей слабая, есть вероятность, что в ходе этой атаки можно будет получить много

учетных данных. Если это так, у вас еще одна серьезная проблема.

Дляэтогоупражненияпредполагается,чтозлоумышленникужеприсутству- ет в сети,а это может быть причиной внутренней угрозы,когда предпринима- ется попытка компрометации учетных данных пользователя по злонамерен- ным причинам.

На компьютере Linux с Kali откройте меню Applications (Приложения), на- жмитеExploitationTools(Инструментыэксплуатации)ивыберитеmetasploitframework (рис. 6.4).

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Взлом реквизитов доступа пользователя   

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
129to					BUY
										m
w Click
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис.6.4

Когда откроется консоль Metasploit, наберите use exploit/windows/smb/psexec, в результате чего ваша подсказка изменится, как показано на рис. 6.5.

Рис.6.5

Теперьсновапереключитеподсказку,т.к.выбудетеиспользоватьSMBLogin Scanner.Для этого наберите extra/scanner/smb/smb_login.Сконфигурируйте уда- ленный хост, используя набор команд rhosts <target>, укажите пользователя, которого хотите атаковать, с помощью набора команд smbuser <username> и обя- зательно включите подробный режим с помощью набора команд verbose true.

Послетого как все это будетсделано,вы можете следоватьинструкциям,по- казанным на рис. 6.6.

Рис.6.6

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

130    Охота на пользовательские реквизиты

to

w Click

w Click

m

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

Как видите, последовательность команд проста. Эффект атаки зависит от

-x cha

файла паролей. Если этот файл содержит много комбинаций, вероятность успеха увеличивается, но это займет больше времени и потенциально приве- дет к появлению оповещений в системе мониторинга из-за усиления трафика SMB.Еслипокакой-либопричиневозникаетсигналтревоги,то,будучичленом Красной команды, вы должны отступить и попробовать другой подход.

Социальная инженерия

Приведенное далее упражнение начинается с внешней стороны.Другими сло- вами,злоумышленникдействуетизинтернетаиполучаетдоступксистемедля выполнения атаки. Один из подходов к этому состоит в том, чтобы направить пользователя на вредоносный сайт для получения реквизитов доступа поль- зователя.

Ещеодинширокоиспользуемыйметод–отправкафишинговогописьма,ко- торое установит вредоносное ПО на локальный компьютер. Так как это один из самых эффективных методов, мы будем использовать его в этом примере. Чтобы подготовить письмо, мы будем использовать Social-Engineer Toolkit (SET), который поставляется с Kali.

На компьютере с Linux, где работает Kali, откройте меню Приложения,

нажмите Инструменты эксплуатации и выберите Social-Engineer Toolkit

(рис. 6.7).

Рис.6.7

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

Взлом реквизитов доступа пользователя    131to

BUY

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

На начальном экране вам предлагается шесть вариантов для выбора. По-

-x cha

скольку целью является создание специального электронного письма,которое будет применяться для атаки с использованием методов социальной инжене- рии, выберите первый вариант и увидите следующее (рис. 6.8).

Рис.6.8

Выберите первый вариант на этом экране, который позволит вам присту- питьксозданиюписьма,котороебудетиспользоватьсяввашейфишинг-атаке.

Рис.6.9

БудучичленомКраснойкоманды,вы,вероятно,нехотитеиспользоватьпер- вый вариант(массовую атаку по электронной почте),т.к.у вас естьконкретная цель, полученная в ходе разведки через социальные сети.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

132    Охота на пользовательские реквизиты

to

w Click

w Click

m

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

По этой причине правильным выбором на данный момент является либо

-x cha

второй вариант(полезная нагрузка),либотретий (шаблон).В этом примере вы будете использовать второй вариант.

Рис.6.10

Предположим, что в ходе разведки вы заметили, что пользователь исполь- зует много PDF-файлов. Это делает его очень хорошим кандидатом, открою- щим электронное письмо, к которому прикреплен PDF-файл. В этом случае выберите опцию16 (Adobe PDF EmbeddedEXE Social Engineering),ивы увидите следующий экран (рис. 6.11).

Рис.6.11

Вариант, который вы здесь выбираете, зависит от наличия PDF-файла. Если у вас,как у члена Красной команды,естьподготовленный PDF-файл,выберите первый вариант, но для этого примера примените второй вариант, чтобы ис- пользоватьдляданнойатакивстроенныйпустойPDF-файл.Послевыбораэтой опции появляется экран, показанный на рис. 6.12.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Взлом реквизитов доступа пользователя   

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
133to					BUY
										m
w Click
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис.6.12

Выберите опцию 2 и следуйте интерактивной подсказке, спрашивающей о вашем локальном IP-адресе, который будет использоваться в качестве зна- чения LHOST, и о порте для соединения с этим хостом.

Рис.6.13

Теперь вы хотите быть крутым, поэтому выберите второй вариант, чтобы настроить имя файла.В этом случае имя файла будет financialreport.pdf.После ввода нового имени доступные параметры отображаются так,как показано на рис. 6.14.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to		134  
w Click
										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Охота на пользовательские реквизиты

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис.6.14

Поскольку это атака на определенную цель,а вы знаете адреса электронной почты жертвы, выберите первый вариант (рис. 6.15).

Рис.6.15

В этом случае мы выберем отчето состоянии,и после выбора этой опции вы должны будете указать адрес электронной почты получателя и отправителя. Обратите внимание, что в этом случае мы используем второй вариант – учет- ную запись Gmail.

Рис.6.16

Наданный моментфайл financialreport.pdf уже сохранен влокальной систе- ме. Вы можете использовать команду ls для просмотра местоположения этого файла, как показано на рис. 6.17.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Взлом реквизитов доступа пользователя   

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
135to					BUY
										m
w Click
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис.6.17

Этого PDF-файла объемом 60 Кб вам будет достаточно, чтобы получить до- ступ к командной строке пользователя. Затем используйте mimikatz, чтобы скомпрометировать учетные данные пользователя.Как это сделать,вы увиди- те в следующем разделе.

Если вы хотите оценить содержимое этого PDF-файла,можете использовать

PDF Examiner на странице https://www.malwaretracker.com/pdf.php. Загрузите файл на этот сайт, нажмите Send (Отправить) и проверьте результаты. Основ- ной отчетдолжен выглядетьтак, как показано на рис. 6.18.

Рис.6.18