Phishing V. - Test the login page

Az alábbi ismeretek oktatási céllal készültek. Ha valaki olyan módon használja fel az ismereteket ami kárt okoz másoknak akkor a következményekért magának kell vállalnia a felelősséget.

Ebben a videóban bemutatom, hogy hogy lehet egy klónozott oldalt feltölteni egy free webhost szerverre és körülbelül milyen módosításokat célszerű elvégezni az eredeti forráson, hogy helyesen működjön az oldal. Az első, hogy azt az oldalt kell módosítanunk, ahol a belépés történik. Ez általában a főoldal vagy a login.html vagy más hasonló lap. Itt a vezérlést át kell adni az általunk készített programnak. Az általunk készített program (a pédában login.php) kiírja egy fájlba a begépelt adatokat - és néhány más paramétert - majd megpróbálja auto submit-al továbbküldeni az adatokat az eredeti oldalra. Biztonság kedvéért betettem egy redirect meta hivatkozást ami 15 másodperc után mindenképpen átküldi a felhasználót az eredeti bejelentkező oldalra. Ezzel a phisingnek ez a része el is készült. Van egy oldalunk ami másolata az eredetinek és ha valaki begépel valamit és megnyomja a belépés gombot, akkor az adatok lementődnek egy fájlba. Íme a videó :

A következő lépés az lenne, hogy az adott linket elküldjük a felhasználónak. Ehhez url obfuscation-t kellene alkalmazni. Ezt részletesen leírják itt :

http://www.pc-help.org/obscure.htm

A fentiekből is látszik, hogy nem olyan túl bonyolult készíteni egy ilyen oldalt - gyakorlatilag bármilyen weboldal lemásolható és hamisítható ilyen módon. Az url elrejtésére más egyéb módszerek is akadnak - az url mező eltüntetése, vagy hamis url mező képként való megjelenítése, stb. Átlagos felhasználót nagyon könnyen megtévesztik ezek a módszerek.

Ezt a phishing módszert lehet máshogyan is alkalmazni. Amennyiben nem valamilyen begépelt adatokra vagyunk kíváncsiak, akkor elég, ha a bejelentkező lapot írjuk át oly módon, hogy az automatikusan továbbküldi a felhasználót egy másik oldalra ahol egy php script megpróbál minél több információt legyűjteni a kliensről. Ip cím, op rendszer, böngésző típusa, verziója, stb. ezt az információt pedig egy kidolgozottabb támadásra tudná egy támadó felhasználni...

Védekezésre meg lehet próbálni úgynevezett anti-phishing szoftvereket, plugineket, stb használni de a legjobb, ha a levélben kapott linkeket alaposan megvizsgáljuk és csak óvatosan kattintgatunk...

Phishing IV. - php/javascript auto submit.

Itt van az a php kód amit említettem. A lemásolt oldalnál erre kell átadni a vezérlést, hogy mikor a felhasználó megnyomja a Belépés-t akkor ez a kód fusson le. Ez elmenti az adatokat egy output.txt nevű file-ba és továbbküldi az adatokat az igazi bejelentkező oldalra. Remélem nemsokára sikerül élesben is kipróbálni és feltenni róla a videó-t.

Ez a php gyakorlatilag bármelyik oldalhoz jó csak a submit oldalt kell benne javítani.

Phishing III - Choice Free Web server provider

A feladat nagyjából a következő :

1. Ki kell választanunk egy free (ingyenes) webszervert ahova majd az oldalunkat feltesszük.
2. Meg kell nézni, hogy az adott web szolgáltató milyen kódok futtatását engedélyezi (cgi, php, perl, stb)
3. A lehetőségeket figyelembe véve kell írni egy saját szubrutint ami :

• átveszi a paramétereket amiket az eredeti oldal küld
• kiírja a megfelelő paramétereket egy egyedi fájlba (A bejelentkező jelszóra és az azonosítóra vagyunk most elsősorban kíváncsiak, de más dolgokat is elmenthetünk :ip cím, böngésző típusa, op-rendszer, stb)
• a kapott paraméterekkel meghívja az eredeti scriptet.

Ezt többféleképpen is meg lehet oldani én csak egy megoldást mutatok be, ha valaki máshogy oldja meg természetesen az is működőképes lehet.

A feladatot megint érdemes több kis részfeladatra szétbontani.

Első lépés : Ingyenes webszolgáltató kiválasztása (ahova a phising oldalunkat majd feltesszük)
A google alapján két oldalt fogok megnézni :

• http://www.000webhost.com/
• http://www.freewebhostingarea.com/

Ennél jóval több free webhosting oldal létezik, de az elvek megértéséhez elég lesz ez a kettő is.
A jobb érthetőség kedvéért megpróbálom majd videóval illusztrálni, hogy mit kell csinálni. Ez egyrészt használhatóbb, másrészt nem akarok felhasználói kézikönyvet írni minden egyes dologról amit itt el kell végezni :)

Tehát : egy több részes folytatásos sorozat következik, minden egyes kis rész tartalmazni fog majd valamit ami a cél felé vezet minket.(Hogy létrehozzuk a phishing oldalunkat és hatékonyan használni is tudjuk)

Azért kezdem ezzel és nem a programozással, mert ettől nagymértékben függ a program elkészítése ami kell majd nekünk. És így ezt bárki le tudja majd utánozni egyszerű módon a videók alapján. (És így nem lesz szükség a helyi gépre web szervert telepíteni, ami nagyban megnehezítené a dolgokat)

Phishing II. - Oldal klónozása

Erre nagyon sok módszer van. (youtube-on több videó is bemutatja, hogy hogy kell egy ilyet csinálni)
Csináltam én is egy példa videót, hogy az oldal klónozását hogy lehet a legegyszerűbb módon megoldani. Pár kattintás és már kész is van az oldal másolata:

A következő lépésben kell egy webszerver, hogy a megfelelő funkció módosításokat végre tudjuk hajtani az oldalon. Általában ezek úgynevezett form-ok és "submit" szekvenciával küldik el a paramétereket továbbfeldolgozásra. Ide kell beékelnünk a saját kis feldolgozó rutinunkat, ami elmenti a begépelt jelszót és az oldalt tovább küldi a többi paraméterrel az eredeti helyére.

Erre is több lehetőség van. első sorban minden attól függ, hogy a web szerver ahova fel akarjuk tenni a végső phishing oldalunkat milyen. Mit engedélyez futtatni. Általában cgi, php esetleg perl scriptek futtatása lehetséges ilyen free website-okon. Ennek megfelelően ezt a módszert fogom alaposabban megvizsgálni. Természetesen itt nagyon sokféle megoldás működhet. fix címmel saját gépen saját webszerver, vagy windows-os szerveren asp kód vagy bármi más amire lehetőség van. égülis az elv a lényeg a megvalósítás némileg eltérhet a környezeti lehetőségektől függően.

Mivel ez egy hosszabb lélegzetvételű bejegyzés lesz ezért egy új postban fogom folytatni...

Phishing használata - I Alapok.

Úgy döntöttem, hogy az érdeklődésre való tekintettel fogok egy többrészes cikksorozatot írni a phishing-ről. Elsősorban arról, hogy hogyan lehet elkészíteni egy ilyen oldalt és milyen módon lehet felhasználni. Amit leírok oktató jelleggel teszem. Mindenki csak a saját felelősségére használja fel az itt leírtakat! Azt most nem fogom bővebben kifejteni, hogy hogy is működik a phishing és mire való, ennek utána lehet nézni itt : http://en.wikipedia.org/wiki/Phishing ( angolul) vagy itt ( magyarul ):
http://nonstopuzlet.hu/rejtozkodo-veszedelem-az-adathalaszat-1-resz-20080606.html

1. Az első lépés az oldal kiválasztása amit phishingelni akarunk. Ez lehet a facebook vagy valamelyik tártskereső oldal vagy valamelyik levelező rendszer (gmail, freemail, yahoomail, stb). Első lépésként azt kell elérnünk, hogy a hamis oldal megszólalásig hasonlítson az eredetire. Ennek is több lépése van :

1. Le kell tükrözni az oldalt egy ingyenes szoftverrel
2. A letükrözött tartalmat ellenőrizni kell lokálisan (ehhez web szerver-t kell telepíteni a gépre)
3. A letükrözött oldalt fel kell tenni egy ingyenes tárhelyre és ellenőrizni kell, hogy ott is úgy néz-e ki ahogy nekünk szükségünk van rá.

A tükrözést többféle programmal el lehet végezni. Erről nagyon sok videó van fent a youtube-on. Microsoft download managerrel vagy httrack-al vagy bármilyen alkalmas programmal meg lehet ezt csinálni. Itt többféle opció közül lehet választani : Teljes weboldal tükrözése, csak adott (pl bejelentkező) oldal klónozása. Mind a kettőnek vannak előnyei-hátrányai. Ha teljes oldalt tükrözünk, az sokáig is eltarthat és több tárhely kell hozzá és a frissen tartása nem biztos, hogy megoldható viszont bárhova kattint az illető úgy érezheti, hogy az eredeti oldalon van. Az egyes oldal tükrözése gyorsabb és up-to-date állapotban tartása egyszerűbb, viszont ha valaki máshova kattint, akkor kiderülhet, hogy kamu oldalra tévedt. (Vagy clickjacking oldalt kell csinálni, ahol mindegy, hogy hova kattint mindig ugyanoda jut) Egyszerűbb felépítésű oldalaknál talán célszerűbb egy web-site mirroring opciót választani , túlságosan nagy és bonyolult site-ok esetében pedig célszerűbb lehet egy sima web page klónozással próbálkozni.

Miután megvan a klónozott oldal egy form-ot kell írni hozzá, hogy a begépelt adatokat rárolja a lap, illetve, hogy a belépő embert továbbküldje az igazi oldalra. Először csak login oldalakra fogom elmondani, hogy ezt hogy kell megvalósítani. A login oldalaknál a legegyszerűbb, ha olyan hamis oldalt csinálunk, ami bekéri az adatokat, majd a legális oldalt meghívja helytelen paraméterekkel (de akár a begépelt paraméterekkel is lehet) és ekkor a felhasználó már az igazi oldalra kerül. Ha helyes paraméterekkel hívjuk meg az oldalt, akkor lehet, hogy semmit se fog észrevenni. Ha viszont helytelen paraméterrel, akkor is csak azt fogja hinni hogy valamit elgépelt. Beírja megint az adatokat (most már természetesen az új oldalra)  és az oldal belépteti és ezzel a felhasználó meg is nyugszik.
Egy elütést még általában minden gond nélkül lenyel még a körültekintőbb felhasználó is - ha utána bejut a rendszerbe és nem történik ezen kívül semmi rendkívüli) Ezt a megírt formot ki kell próbálni előbb lokálisan, utána pedig a feltöltött szerveren.

Ezzel a feladat ezen része készen is van. Már csak el kell érnünk, hogy a felhasználó rákattintson a linkre amit küldünk neki ami a hamis oldalunkra mutat és megpróbáljon belépni.(Ez csak közvetetten tartozik a phishing-hez, úgyhogy erről majd később lesz esetleg szó.)

Készíteni fogok néhány egyszerű videót a lépések végrehajtásáról, hogy bárki előtt világos legyen, hogy mit kell csinálni és hogyan működik a dolog. Az egyszerűség kedvéért windowson fogom csinálni - de természetesen működik linux allatt is.
Amire a phishing elkészítésénél figyelni kell, hogy az url mezőbe olyan tartalom kerüljön ami nem gyanús. Ha pl egy facebook belépő oldalt csinál valaki, akkor nem jól néz ki, ha az ur-be http://freewebsite.service.com/userxyz/facebook.html szerepel, mert ez feltűnő lehet. Az url elfedésére is léteznek módszerek, ehhez már nem árt egy kis programozói tapasztalat és egyéb ismeret. Erről is akarok majd egy pár szót szólni. Most nézzük az első alaplépést : Web oldal tükrözése/klónozása. Megpróbálok megnézni néhány népszerű oldalt, hogy melyiket milyen módszerrel lehetne hamisítani. Remélhetőleg a bemutatott módszerek valamelyike jó lesz bármelyik egyéb oldalra.

Kioptrix III. proxychains features.

A proxychains-en keresztül tudunk nmap-olni (Csak TCP full connect scan-t) sqlman-olni és hydra-val mindenféle password bruteforce támadásokat kivitelezni a belső intranetes gépek irányába.
(még mindig csak a php eléréses hibán keresztül jutok be a belső hálózatra, de gyakorlatilag innentől kezdve szinte olyan, mintha belülről tudnám támadni a gépeket. Ez azért aggasztó. Ha lesz kedvem megpróbálom majd snort-al megfogni a támadást illetve valahogy detektálni a belső hálózaton belüli nemkívánatos ténykedést.) Valójában ez a legkényelmesebb támadási módszer : socks tunnelt kihúzni a belső hálóra. ennek a különféle lehetőségeit érdemes nagyon jól ismerni, mert ha ez megvan, akkor utána egész jól lehet kívülről a belső gépek ellen mindenféle teszteket lefuttatni. Íme a videó :

Ezt a témát még körül fogom járni párszor, mert ha sikerül egy socks proxy-t kitunnelezni, akkor onnantól kezdve olyan, mintha a Black-box teszt helyett Gray-box tesztet csinálnánk (vagyis mintha kaptunk volna egy belső gépre shell elérést, illetve még több, mivel a jól felszerelt internettel összekötött backtrack-os gépünket tudjuk használni támadó gépként egy belső gép helyett.)
Lehet, hogy inkább ennek fogok utánajárni, hogy milyen lehetőségek vannak még tunnelezésre.

Kioptrix3 socks tunnel kungfu

Bűvészkedtem kicsit a tunelekkel és a proxykkal. A feladat az volt, hogy a kioptrix3-ról tudjak a tűzfal mögötti intranetes gépekre mindenféle vizsgálatokat futtatni. A múltkor bemutatott httptunnel segítségével nagyszerűen működött a dolog. A video elején megmutatok egy perl tcp portscannert is,mert néha csak ennyi lehetőségünk van belülről - mert nem mindig lehet tunneleket húzni a belső hálóra. Íme a videó :

Nmap és sqlmap is megy a proxychains-el... Tehát : elég egy apró rést találni a pajzson és azon keresztül ki lhet áramoltatni szépen a többi információt ami kell. Ez főlag akkor hasznos, ha az első gép amin kívülről hibát lehet találni még nem a végállomás, hanem csak egy kapcsolat a belső háló felé. Az intraneten belül sokkal több sebezhető gép lehet, mivel a tűzfal mögött a lusta rendszergazdák nem annyira veszik szigorúan a patch-eléseket és az egyéb biztonsági beállításokat...(tapasztalat) És az is tény, hogy a legtöbb esetben kifelé csak a 80-as vagy a 443-as port látszódik egy szerverről. Ha erre lehet tenni egy php scriptet, akkor a bejutás megoldott méghozzá nagyon konfortosan. Ez sokkal használhatóbb, mint egy reverse_tcp shell, vagy egy netcat-os tunelezés...
Normális cég esetében ilyenkor még csak a DMZ-be jut be a támadó, de onnan már egy fokkal könyebb bejutni az intranet irányába.

SSH over sock over http tunnel

A kioptrix3 megoldásához csináltam egy kis ssh over sock over http tunnelt. Ugyebár a gép tűzfal mögött van, emiatt nem tudok rá ssh-zni közvetlenül. De semmi gond. Mivel a webszervert sikerült meghekkelni, feltettem egy httptunnelt amin keresztül már ment az ssh is. A tűzfal teljesen jól van felkonfigurálva, mégis bessh-ztam egy belső gépre.... Ennyit erről. A támadó gépén fut a httptunnel kliens, ami sock forgalmat tud http tunnelbe csomagolni. Az ssh-t pedig fel lehet konfigurálni úgy, hogy használja ezt a sock proxy-t. GAME OVER. A tűzfal hiába van jól beállítva, mégis a benti gépekre be tudok full terminál emulációval ssh-zni... Nem rossz. Íme a videó :

A továbbiakban megnézem, hogy mit lehet ilyen helyzetben távolról alakítani. Ez a gép csak egy ugródeszka, hogy más gépeket el tudjak ezen keresztül érni. Itt most rootkitekkel és backdoorokkal nem vacakolok, hanem azt nézem meg, hogy erről a gépről milyen hálózatscenneléseket és egyéb felderítéseket lehet végezni. Végülis a httptunnel és a root jog miatt már a weevely-re és a webacoo-ra sincs szükség, mert ssh-val egy teljes környezetem van, ahol a parancsokat tudom futtatni teljes interaktív módban.

(Teszteltem időközben még jónéhány php terminál emulátort, erről majd lehet, hogy megemlékezem egy későbbi bejegyzésben, hogy ha csak ilyen elérésünk van akkor mihez tudunk vele kezdeni.)

Restricted shell

Külföldön voltam néhány napig, úgyhogy a videokészítés szünetelt. Ezt a darabot még a múlt héten készítettem, csak nem volt időm feltenni. Egy Hacking-Lab-os feladat első része : kijutni a restricted shell-ből. Penteszt során ilyesmiket is vizsgálni kell. Ha sikerül, jelenteni és a hibát javítani.

Egy jó kis oldal a témáról itt :

http://pen-testing.sans.org/blog/2012/06/06/escaping-restricted-linux-shells

És íme a videó : (aki saját maga akarja megoldani a feladatokat, az ne nézze meg a megoldást :)

 

A feladat második része a privilégium eszkaláció lenne (magyarul a root jog megszerzése). Eddig local exploitokkal próbálkoztam, de az nem vezetett eredményre így kénytelen leszek végigmenni ezen a listán amit g0tm1lk készített el :

http://g0tmi1k.blogspot.hu/2011/08/basic-linux-privilege-escalation.html

Ha ez sem vezet eredményre, akkor pedig kénytelen leszek megnézni a megoldást :) A videóhoz jó szórakozást, a feladatokhoz meg sok sikert kívánok.

Mai feladvány - USB to serial adapter

Ma megkaptam azt a routert, amit installálni kell majd egy ügyfélnél. A munkát a guru.com-on szereztem, vagyis inkább egy hirdető keresett ott meg, hogy elvállalom-e én meg elvállaltam. Csak le kell szállítani a helyszínre a routert és be kell dugdosni a kábeleket, meg ellenőrizni kell, hogy minden OK-e. Telefonon távolról fognak instruálni, úgyhogy nem egy nagy feladat. És az esemény után meg majd el kell hoznom és vissza kell küldenem ahonnan jött. Íme a mai videó :

Viszont, mivel nem gyakran kerülök olyan helyzetbe, hogy egy ilyen routert közelebbről is megnézzek, egy kicsit szórakozom vele ma meg holnap (mivel pénteken már el kell vinnem a célhelyszínre.(Japán nagykövetség).  Mivel jelszóval védve van, sokat nem tudok rajta csinálni (nem is akarok) inkább csak összehasonlítom a GNS3 alatt található router emulációval, hogy mennyire hasonlít oprendszer szinten.

Hacking-lab

Ma úgy döntöttem, hogy catlakozom a Hacking-Lab-hoz :

http://www.hacking-lab.com

Nagyon sok megoldandó probléma (feltörendő gép, stb) van az oldalon.

Ezzel párhuzamosan elkezdtem még a Metaspoitable 1-et és az UltimateLAMP-ot nézegetni, de elsőre ezek nagyobb falatnak tűnnek a kioptrix-es gépeknél. Továbbra is fogok videókat csinálni - amíg lesz hozzá kedvem :)

UPDATE:

Ide is beléptem : http://pwn0.com meg találtam még egy openvpn-es hacking labort : http://p0wnlabs.com  és ez se rossz : http://smashthestack.org/
És, hogy teljes legyen a lista : http://www.overthewire.org/wargames/  és
http://www.exploit-exercises.com/ Nagyon jó kis helyek...

Kioptrix III. - Advanced php backdoors

Ebben a videóban két advanced php backdoor használatát mutatom meg. A weevely és a WebaCoo.
Mind a kettő nagyon jó kis szoftver. Nem kell a backdoorhoz reverse-shell kapcsolat... Ez azért jó, mert egy url meghívásával lehet (bármikor) rákapcsolódni a gépre még akkor is, ha tűzfal mögött van és a kifelé történő forgalmat esetleg korlátozzák. Ha bent vagyunk a webshellben, akkor különféle dolgokat tudunk csinálni a belső hálózaton. Például portscannelni tudunk gépeket. Természetesen root jogunk nincs, de majdnem olyan, mintha lenne egy belső felhasználónk a tűzfal mögött. Tor-on és anonym proxykon keresztül is működnek (a WebaCoo legalábbis) és így teljesen rejtetten tudunk tevékenykedni. Nem kell hozzá visszafelé nyitó (reverse_shell) megoldás. Így gyakorlatilag bárhonnan és bármikor be tudunk lépni a belső hálózatra. (Teszteltem még az 12309.php-t is, de az még nem igazán működőképes) Ebből a php-s dologból már többet kihozni nem lehet, úgyhogy továbblépek a belső gépek felé. Kár, hogy nem sikerült igazi interaktív shell-t létrehozni, így editálni pl és egyéb dolgokat amikhez terminál shell kell nem tudok csinálni. Ha valaki tud egy jó php shellt ami működik full interaktív módban is, szóljon bátran :)

Kioptrix III - php vulnerability scanners

Ebben a videóban bemutatok pár php vulnerability scannert és forráskód analizátort. Ezek segtségével ki lehet küszöbölni a programozási hibákat, illetve támadó oldalról fel lehet fedni a programkód sérülékeny részeit, ahol biztonsági rések lehetnek. Az analizáláshoz természetesen szükség van a forrás kódra. tehát előbb be kell valamilyen módon jutni a gépre, le kell tölteni az oldal forrását és utána lehet csak elemezni. Penetrációs tesztelésnél jól jöhetnek ilyen szoftverek. Általában ezek a file-ok a world számára olvashatóak, így elég bármilyen hozzáférés a célgéphez, valószínűleg jó eséllyel le lehet szedni a php forráskódokat. A forrás alapján a saját gépünkre fel is tudjuk telepíteni az alkalmazást komolyabb vizsgálatok céljából.

Kioptrix III - Advanced Penetration tools

Ez csak amolyan "töltelék" videó. Azért készítettem, hogy ha Freelancer oldalakon valaki mindenképpen valami referenciára kíváncsi, akkor ezt megnézheti. Ezeket a szoftvereket már párszor használtam és nagyjából ismerem a lehetőségeiket / korlátaikat. Merem őket ajánlani, mert szerintem ingyenes kategóriában nagyon jók és nagyon hatékonyak.

Kioptrix 3 reverse_php

Itt a 3-as szint második videója. Sikerült egy reverse_php backdoor-t installálni, de ennél többre egyelőre nem jutottam. Még próbálkozom a local root exploittal, de nem tűnik egyszerűnek.

kioptrix 3 sqlmap

Sql injection hiba volt az oldalon, és sqlmap-al viszonylag gyorsan ki lehet dumpolni az adatokat. Ez még a bejutáshoz ugyan kevés, de ha lenne ssh lehetőség meg lehetne próbálkozni belépni a gépre, mivel usernevek és jelszavak is kiestek az adatbázisból.

...folyt köv....

Kioptrix III - Reconnaissance

Itt a kioptrix 3 első videója. Próbáltam illusztrálni benne pár dolgot amit ilyenkor - éles helyzetben persze - célszerű figyelembe venni. Mivel itt nem csupán egy gép feltörése a gyakorlat, ezért kicsit el fogom nyújtani a dolgot. Több részes videó lesz ez is néhány érdekes trükkel megspékelve. Ez az első rész még csak a felderítés szakasz, itt gép feltörés és exploitok villogtatása nincs.

Ehhez fel kellett konfigurálnom egy kis vállalati hálózatot. Mail szerverrel, dns szerverrel, egyebekkel. Be fogom állítani majd rendesen a load balancert is és a Web Application firewallt is. Meg persze az IDS-t is (egy snort-ot) Csak azért, hogy a bypass technikákról is lehessen majd videót csinálni :)

Kioptrix -3 Advanced Pentest

A kioptrix 3 teszteléséhez készítettem egy kis házi labort. Így néz ki az infrastruktúra :

Egy pfsense tűzfal valósítja majd meg a firewall, WAF, IDS és egyéb funkciókat.

 Az ubuntu gépen pedig egy mutiliade figyel, az is arra vár, hogy megtörjem :) így néz ki a konfig a VirtualBox-ban :

Futás közben :

Most egy ideig ezzel a környezettel fogok szórakozni. Lehet, hogy ha az összes minden feltörve rootkittel ellátva és teljesen irányítás alá lesz vonva beteszek windows-os gépeket is a lan-ba és azokon különféle egyéb (phising, browser attack, XSS, stb) dolgokat fogok tesztelgetni.

Kioptrix 2 - full

Ma csináltam egy videót a kioptrix 2-ről is. Sajnos rootkitet nem sikerült telepíteni rá pedig megpróbáltam vagy 8-at feltenni :) De mindegyil elhalt valamin így feladtam. Rátettem inkább egy permanens backdoor-t és az is elég lesz ide. Kicsit hosszú a videó, mert a végén van egy kis trükközés, hogy minél észrevehetelenebb legyen a backdoor. De netstat-ban látszik. (Hát ez ennyit tud. viszont könnyű volt implementálni)

Kioptrix - covering tracks

Íme az utolsó kioptrix1-es videó : (Sniffer - hálózati és terminál - installálása és a nyomok eltüntetése.) A való életben az exploit kihasználása és a nyomok eltüntetése között nem szabad ilyen sok időnek eltelnie. A legjobb, ha egy szuszra sikerül mindezt végrehajtani. Kellő felkészültséggel lehetséges. Most a level 1-es verziót félreteszem és nézek egy másik sérülékeny gépet, hogy azon is ki tudjak próbálni pár fogást és gyakorolhassak rajta egy picit. Jó szórakozást a videókhoz.

Kioptrix1 - Rootkit completed...

Ez a superkit nagyon könnyen felinstallálódott :) Következő két lépés : Adatgyűjtő automaták bekonfigurálása és nyomok eltüntetése. Mivel a file-ok és a processzek teljesen láthatatlanok a root elől, ezért nyugodtan át lehet gondolni, hogy a nyomokat hogy érdemes eltüntetni. Sima törléssel, pl: rm vagy többszörös kinullázással pl:wipe.... vagy más módszerekkel. Egyes állományokat elég átnevezni 'sk' végűre, a rendszer számára akkor is láthtatlanná válik. (Éljen az árnyékvilág) A penteszter feladata, hogy minél kisebb feltűnést keltsen és minél rejtettebben dolgozzon. Így tenne egy igazi támadó is. Egy blackbox pentesztnél minél valósághűbben kell eljárni. Épp úgy, ahogy egy behatoló is viselkedne.

Kioptrix1 Backdoor 2

A második backdoor egy kicsit máshogy működik mint az előző. Ez nem rejti magát, (ps-ben látszik)  viszont nem listener állapotban van, hanem reverse tcp üzemmódban dolgozik. Vagyis a program nyit visszafelé a mi gépünkre egy kapcsolatot amikor egy megfelelő icmp csomagot kap. Ez azért szerintem nem rossz. (A következő falat a superkit lesz, - ha sikerül felinstallálni. Az egy teljesen rejtőzködő és komfortos megoldás ilyen esetekre. Nem látszik a processzek között, és icmp-n hallgatózik - vagyis a netstatban sem lehet észrevenni)

Kioptrix backdoored

Feltettem egy szimpla kis backdoor-t a kompromittált gépre. 3vilSh3ll.c a neve. Indítás után a 8000-es porton várakozik és a helyes jelszó megadása után be is enged és ad egy shellt a netcat-on keresztül.

A netstat-ban a processz az inetd-nek látszik, viszont a ps-ben meg egyáltalán nem látszik. Kezdésnek megfelelő. Már csak be kellene tenni állandóra, hogy reboot után is elinduljon. Ezzel volna is egy nehezen észrevehető és nem feltűnő hátsó ajtónk a gépre. Ha az eredeti hibát javítják, a hozzáférés akkor is megmarad. Persze vannak jobb rootkitek és backdoorok is, remélem sikerül még tesztelni párat :)

Kioptrix keylogger

Ezzel a Kioptrix level 1-es géppel még el fogok egy ideig szórakozni.  Megpróbálom kiaknázni az összes tanulási lehetőséget a gépből.

A mostani videó is egy post exploit task. Egy keyloggert próbálok meg telepíteni a kompromittált gépre. Black-Box teszteknél ez alap, hogy a kompromittált gépeket minél jobban hatalmunkba tudjuk keríteni. (Mivel egy rosszindulatú behatoló is pont ugyanezt tenné...)

Tehát keylogger. A probléma csak az, hogy ez egy linux és nem hemzsegnek rá a keyloggerek. A videón a THC-vlogger-ét és a lkl keyloggert mutatom meg. Ezeket sikerült installálni (igaz, a vlogger még nem teljesen működik - utánanézek majd és lesz egy működőképes verzió is) A tcleo keyloggert is feltettem, de az csak szerver oldalra mysql adatbázisba tud logolni...Az egy pentestnél nem biztos, hogy praktikus. A mysql-el el kellett egy kicsit szórakozni, mire beindult (lehet csinálok erről is egy videót :) A logkeys keylogger-t sajnos nem tudtam lefordítani, mert valami "bus"-t hiányolt. Sebaj, hátra van még a pythonos keylogger meg az uberkey. Ezeket is le fogom tesztelni a kioptrix gépen.
Ezek gyakorlatilag használhatatlanok, úgyhogy nem vesztegetem rá az időmet.  Helyette viszont megnézem a rootsh-t és a sebek-et (Ha jól láttam ez a tcleo egy variánsa - a konfigja kísértetiesen hasonlít :) Egy penteszter kezében többféle eszköz kell legyen, mert nem lehet tudni, hogy a következő kompromittált gép-nél melyik használatára lesz lehetőség vagy melyiket érdemes alkalmazni. (Például régi gépeknél az új szoftverek nem mindig működnek és fordítva új gépeknél meg a régi szoftverek nem igazán működnek, tehát kellenek régi és új szoftverek egyaránt.)

Végülis az életben is egy hasonló ismeretlen gépen kell majd valamit alakítani.

Ha a keyloggerekkel végeztem megpróbálok egy rootkit-et is felinstallálni. Ha ez mind kész, utána pedig megnézem, hogy metasploit-tal milyen backdoorokat és keyloggereket lehet installálni a gépre.

Aztán még lesz szó a nyomok eltüntetéséről is majd később. Így lesz kerek a kép. Íme a videó:

Kioptrix1 post exploit

További demonstrációs videó :)

Kioptrix level 1 automated

Hogy teljes egyen a kép csináltam még kettő videót (főleg gyakorlás végett)

----------------------------------------------------------------------------------------------------------

Jó szórakozást hozzá :)

Kioptrix level 1 Openssl

A videók továbbra is csak demo jellegűek. saját magam szórakoztatására készítem őket....