книги хакеры / журнал хакер / 207_Optimized

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

ДОСИМ METERPRETER

.

.c

p

g

df

n

e

-xcha

CVSSv2:

N/A

Дата релиза: 19 декабря 2015 года

Автор:

x4zx

CVE:

N/A

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Мы уже как-то раз разбирали уязвимость в популярном сканере веб-уязвимо- стей Acunetix. Самое интересное, что через нее можно было атаковать атакующего. Теперь рассмотрим подобную возможность в Meterpreter из популярного фреймворка Metasploit.

Найденные уязвимости позволяют провести DoS-атаку на обработчик HTTPS-запросов этой утилиты. Процесс состоит из двух шагов.

1.Используя GET-запросы к известным файлам через handler/listener и проверяя наличие строки core_patch_url, узнаем о запущенной версии утилиты.

2.Используя вредоносный или недоделанный GET-запрос к определенным файлам

утилиты, можно попасть в открытую Meterpreter сессию и сделать так, чтобы сессии больше не принимались (DoS).

EXPLOIT

Виной всему порт, который использует утилита. Он доступен по URL (проверялось через HTTPS-протокол).

Доступный поURL порт для работы сMeterpreter

Там есть множество файлов, которые мы можем запросить через URL, и каждый из них, в свою очередь, вызывает разное поведение обработчика. От содержания и типа получаемых файлов зависит возможность определения наличия утилиты или проведения DoS-атаки.

Запустим свой handler с полезной нагрузкой в виде шелла meterpreter reverse_https.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha							Теперь попробуем получить файл chpwd.htm из listener.

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

$ wget -qO- --no-check-certificate https://192.168.1.1/chpwd.htm

...core_patch_url...LUDZ6djujGbWvte_gMomnQm7EQVgW7RJfg3xpGoDUgRe_

SdhLJBud68viiiDN1UsrniHZsjxLn9qYOo4YJIIU6K5ZnhNsuoGoPuWqKpQQVtxU6

L4EQg8ka9cZ4aJ-/

Ты уже заметил, что этот файл содержит строки core_patch_url и следующую за ней, сгенерированную случайным образом. На стороне listener в логах видим следующее:

73.x.x.x:47054 (UUID: 2d40d9e9d8ee8c66/x86=1/windows=1/2015-

12-19T05:50:27Z) Redirecting stageless connection from /chpwd.htm

with UA ‘Wget/1.16 (linux-gnu)’

Есть и альтернативный способ. Мы можем запросить файл blank.php. Это актуальный файл для listener, который представляет собой DLL-библиотеку.

$ wget --no-check-certificate https://666.666.666.666/blank.php

$ file blank.php: PE32 executable (DLL) (GUI) Intel 80386,

for MS Windows

Теперь в логах мы уже видим следующее:

[*]73.x.x.x:10458 (UUID: 376988d5161359f3/x86=1/windows=1/2015- 12-19T04:44:20Z) Staging Python payload ...

[*]Meterpreter session 57 opened (192.168.1.1:65535 ->

73.x.x.x:10458) at 2015-12-19 04:44:20 +0000

Запрос файла blank.php триггерит скрипт на Python и открывает сессию Meterpreter (правда, она неправильная и скоро будет закрыта).

[-] Meterpreter session 57 is not valid and will be closed

Лог самого Meterpreter подтверждает наличие ложной сессии. В итоге мы получаем DoS у handler, вызывая задержку между любой «правильной» полезной нагрузкой и handler/listener.

Помимо получения строки core_patch_url из chpwd.htm и бинарного blank. php, мы можем найти много информации среди доступных файлов (см. скриншоты).

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Список доступных файлов у Meterpreter. Часть 1

Список доступных файлов у Meterpreter. Часть 2

Автор опубликовал исходники обоих скриптов:

•скрипт для DoS;

•скрипт для обнаружения.

Дополнительные подробности есть в статье автора эксплоита.

SOLUTION

Поумолчаниюlistenerсконфигурировантак,чторазрешенывсесоединенияслюбым UUID полезной нагрузки. Установи IgnoreUnknownPayloads true в своем скрипте или из консоли msfconsole переведи полезную нагрузку и listener в Paranoid Mode. Подробности можешь найти в wiki фреймворка.

Или настрой правила iptables:

iptables -I INPUT -p tcp -m tcp -s 0.0.0.0/0

--dport $LISTENER_PORT -j DROP

iptables -I INPUT -p tcp -m tcp -s $SHELL_IP

--dport $LISTENER_PORT -j ACCEPT

iptables -L

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

ВЗЛОМ

df-xchan

df-x chan

w Click

to

m

w Click

to

m

w

w

w

o

w

o

.

РОУТЕР

.

.c

p

g

p

g

e

e

ПОДУГРОЗОЙ

СТАРОЕ РАЗВЛЕЧЕНИЕ НА НОВЫЙ ЛАД: МАССОВЫЙ БРУТ SSH

Денис Колисниченко [e-mail]

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

В отличие от полноценных серверов, где обычно на-

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

-x cha

строены PAM (Pluggable Authentication Modules), которые ограничат доступ к серверу на определенное в конфиге время после нескольких (как правило,

трех-пяти) неудачных попыток входа, в роутере Линукс обрезанный. PAM на нем нет, поэтому ничто не мешает его брутить. И эта идея — брут и захват роутеров — можно сказать, снова в тренде!

НАША ЦЕЛЬ — ТВОЙ РОУТЕР

Зачем нужно захватывать роутер? Это зависит от фантазии хакера: можно использовать его для рассылки спама, сделать из него приватный сокс (прокси). А можно продать полученный доступ — стоит это удовольствие, со слов одного моего знакомого, до 200 долларов в месяц, и этот товар пользуется изрядной популярностью.

СКАНИРУЕМ РОУТЕРЫ

Для получения доступа хакеры используют простую, но эффективную программулину Tunnel Scanner. Параметр Type задает тип сканирования: по статическому логину, по статическому паролю, по списку логинов/паролей. Третий вариант (By Login;Password List), как правило, самый эффективный.

Параметр Static позволяет задать диапазон IP-адресов, который будет сканироваться. Если включить чекбокс IP ranges from file, то диапазон IP-адресов будет браться из файла, указанного в поле IP ranges (по умолчанию это файл с именем ip.txt). Диапазо-

ны в нем указываются, как показа- Рис. 1. Программа Tunnel Scanner в работе но на рис. 2.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Рис. 2.

Файл ip.txt — диапазоны IP-адресов

Список логинов и паролей задается параметром Login;Password. По умолчанию он берется из файла words.txt (рис. 3). Конечно, на рис. 3 список довольно убогий, но, думаю, в Сети ты без проблем найдешь более продвинутый (или можно проявить смекалку и создать свой).

Рис. 3.

Список логинов и паролей

Параметр Threads задает количество одновременных потоков для брута. По умолчанию используется значение 900 — этого более чем достаточно. Параметр Timeout определяет тайм-аут в секундах между попытками.

Что ж, осталось нажать кнопку Start. Программа в работе изображена на рис. 1. Как видишь, мы уже получили первые результаты. Проанализируем их:

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

[1] 37.112.128.160 -

failed to connect

p

g

df

n

e

-xcha

[5] 37.112.128.164 -

checking admin;admin

[4] 37.112.128.163 -

failed to connect

[3] 37.112.128.162 -

failed to connect

[6] 37.112.128.165 -

failed to connect

[2] 37.112.128.161 -

failed to connect

[5] 37.112.128.164 -

[-]: admin;admin

[5] 37.112.128.164 -

checking support;support

[5] 37.112.128.164 -

[-]: support;support

[5] 37.112.128.164 -

checking root;123456

[5] 37.112.128.164 -

[-]: root;123456

[5] 37.112.128.164 -

checking ubnt;ubnt

[5] 37.112.128.164 -

[-]: ubnt;ubnt

[5] 37.112.128.164 -

checking ftp;123456

[5] 37.112.128.164 -

[+]: ftp;123456

…

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Номер в квадратных скобках — это номер потока (для нас он не имеет значения). ДалееуказываетсясканируемыйIP-адрес.Строкаfailed to connectозначает, что порт SSH закрыт — или совсем, или для нас (брандмауэром). Строка вида [-]: admin;admin сообщает, что SSH-порт открыт, однако пароль и/или логин не подошел. А вот аналогичная строка с + говорит, что все удалось:

[5] 37.112.128.164 - [+]: ftp;123456

Это значит, что на машине с IP 37.112.128.164 крутится SSH, войти в систему можно, используя логин ftp и пароль 123456.

Результаты последнего удачного сканирования заносятся в файл brute_ good.txt. С этим файлом нужно быть очень осторожным — программа перезаписывает его при каждом нажатии кнопки Scan. Поэтому после каждого «улова» нужно делать бэкап этого файла.

Рис. 4.

Результат удачного сканирования записывается в файл brute_good.txt

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Напоследок привожу еще два скрина — сканирование диапазона 37.112.

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

128.100–37.112.128.164. Обрати внимание на рис. 5 — на скольких компах в этом диапазоне есть SSH. Сообщений «failed to connect» очень мало. Улов этого сканирования изображен на рис. 6.

Рис. 5.

Сканируем

заданный

диапазон

Рис. 6. «Улов» сканера

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Сколько можно так насобирать? Знакомый говорит, что за один день можно

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

получить до 13 000 строк логин/пароль. Это очень много и говорит о том, что даже в наши дни с безопасностью на многих роутерах все запущено.

КТО БРУТИТ?

Согласно данным atlas.arbor.net, за последние 24 часа брут SSH был второй по популярности атакой в мире (рис. 7).

Рис. 7. Статистика атак

Откуда же исходит угроза? По той же статистике за сутки (сегодня у меня 10 марта 2016 года), чаще всего источник угрозы находится в США, на втором месте — Китай. Конечно, IP-адрес можно изменить, но не думаю, что китайцы особо заморачиваются с этим. На рис. 8 приведена статистика по всем угрозам, а на рис. 9 — только по SSH-атакам.

Рис. 8. Источники угроз за сутки (все угрозы) (начало)

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w									o
	w
	.							.c
		p					g
			df	-x		n		e
					cha

Рис. 8. Источники угроз за сутки (все угрозы) (окончание)

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

o

w

.

.c

p

g

df

-x ch

n

e

a

Рис. 9. Источники SSH-атак за сутки