आधुनिक विंडोज नेटवर्क में एसएमबेल्ले हमले की प्रासंगिकता

पहली बार, मैं 2000 के दशक के मध्य में स्मेर्बले में आया और मेरा परिचित असफल रहा। उस समय, केवल कुछ ही कारनामे थे जो उस समय भी किसी भी तरह काम करते थे। और यह इस तथ्य के बावजूद है कि प्रोटोकॉल की बहुत भेद्यता 90 के दशक के अंत में वापस खोज ली गई थी। वांछित परिणाम नहीं मिलने से, सभी ब्याज पूरी तरह से खो गए थे।

लेकिन अभी कुछ हफ़्ते पहले इस मुद्दे को फिर से तलाशने की इच्छा थी। यह पता चला कि द्वारा और बड़ी स्थिति में बदलाव नहीं हुआ, लेकिन नए कारनामे सामने आए, जिसके प्रदर्शन को मैं जांचना चाहता था।

उन लोगों के लिए जो एसएमबी भेद्यता से परिचित नहीं हैं, आइए हम इसके सार को याद करते हैं। हमलावर के smb संसाधन में पीड़ित को लॉग इन करने से, हमलावर पीड़ित को स्वयं प्रमाणीकरण डेटा पुनर्निर्देशित कर सकता है, जिससे डिस्क तक पहुंच प्राप्त होती है और इंटरप्रोसेस संचार सेवा के माध्यम से किसी भी कोड को निष्पादित किया जाता है।

यह ध्यान देने योग्य है कि अपने मूल रूप में इस तरह की गंभीर भेद्यता 2008 के अंत तक चली, ठीक जब तक कि एक समझदार काम नहीं दिखाई दिया।


पैच ने एक ही चुनौती के साथ आने वाले कनेक्शन को स्वीकार करने से मना किया है, जो पहले से ही एक आउटगोइंग कनेक्शन के साथ उपयोग किया जाता है। यानी पीड़िता के रिलेयिंग को ही कवर किया गया था।
लेकिन कोई भी पैच हमें प्राधिकरण को किसी तीसरे संसाधन तक पुनर्निर्देशित करने से नहीं रोकेगा, जिस पर हमला पीड़ित की पहुंच है।

Tarasco Security smbrelay3 ने इस भेद्यता के लिए उन्नत शोषण विधियों का एक सेट पेश किया। क्लासिक smb-> smb योजना के अलावा, HTTP \ IMAP \ POP3 \ SMTP जैसी सेवाओं से प्रमाणीकरण पुनर्निर्देशन विधियों को जोड़ा गया है। वे सभी NTLM के माध्यम से प्राधिकरण का समर्थन करते हैं।

अप्रकाशित विंडोज एक्सपी एसपी 3 पर, cmd.exe समस्याओं के बिना भी चलने में सक्षम था, जब पीड़ित को खुद को रीडायरेक्ट कर रहा था (MS08-068 फिक्स बाद में सामने आया)।
XP से विंडोज 2003 तक प्राधिकरण को पुनर्निर्देशित करना भी सफल था (उचित पहुंच के साथ)।
लेकिन विंडोज एक्सपी पहले से ही अतीत का हिस्सा है, और मुझे आधुनिक नेटवर्क में स्मार्बेल के संचालन में रुचि थी, जहां विंडोज 7 का उपयोग क्लाइंट ओएस के रूप में किया जाता है।

यहाँ, बहुत सारे प्रश्न और कई बारीकियाँ उठीं, जिनके लिए यह पाठ लिखा गया था।

पहली समस्या यह थी कि विंडोज 7 में, डिफ़ॉल्ट रूप से, "LAN प्रबंधक प्रमाणीकरण स्तर" केवल "NTLMv2 प्रतिसाद भेजें" पर सेट है। और इसलिए यह पता चला है कि सभी मौजूदा तंतु कार्यान्वयन (smbrelay3 और Metasploit में संबंधित मॉड्यूल सहित) NTLMv2 प्राधिकरण रिले का समर्थन नहीं करते हैं। जाहिर है, यह पहले आवश्यक नहीं था, और बाद में किसी ने भी इस समर्थन को जोड़ने की जहमत नहीं उठाई।

Smbrelay3 स्रोत कोड में आवश्यक परिवर्तन करके, NTLMv2 को विंडोज 7 से विंडोज एक्सपी में सफलतापूर्वक पैच किया गया था। लेकिन अगला कैविएट बाहर आ गया।
विंडोज 7 में, अपने अद्यतन किए गए IE के साथ, इंट्रानेट अवधारणा का अर्थ बदल गया है। यह सरल हुआ करता था, अगर किसी कार्यसमूह में 'some_host' फ़ॉर्म का एक नेटवर्क नाम स्थानीय सेगमेंट के IP पते पर आधारित होता है, तो यह इंट्रानेट में स्थित है और आप सक्रिय सत्र से डेटा का उपयोग करके स्वचालित रूप से अधिकृत कर सकते हैं। IE सात के गुणों में एक डिफ़ॉल्ट विकल्प है, 'ऑटोमैटिकली इंट्रानेट नेटवर्क' का पता लगाना, और इसलिए, इस इंट्रानेट नेटवर्क डिस्कवरी मोड में, सामान्य कार्यसमूह अब आंतरिक विश्वसनीय नेटवर्क से संबंधित नहीं है और इसलिए यह एक अविश्वसनीय क्षेत्र है, और इसलिए कोई स्वचालित प्राधिकरण नहीं है हो जाएगा। लेकिन डोमेन में होने के नाते, विंडोज 7 खुशी से स्थानीय नेटवर्क से किसी भी कंप्यूटर को सभी आवश्यक डेटा प्रदान करेगा।

इस प्रकार, जब इंट्रानेट खोज विकल्प सक्षम किया जाता है, तो कार्यसमूह में Win7 स्मैबलेर हमले से प्रभावित नहीं होता है, लेकिन डोमेन में असुरक्षित हो जाएगा।

कई लोग डोमेन में स्थिति की कल्पना कर सकते हैं, तीसरे होस्ट को डेटा के पुनर्निर्देशन के कारण, यह संभव है, उदाहरण के लिए, व्यवस्थापक के कंप्यूटर पर हमले के बाद डोमेन नियंत्रक पर कब्जा करना।
कम से कम, डिफ़ॉल्ट नियंत्रक कॉन्फ़िगरेशन के साथ, यह संभव नहीं है। स्म्ब्रेले हमलों को रोकने का एक बहुत ही सरल साधन है - एसएमबी साइनिंग, और डोमेन नियंत्रक के लिए क्लाइंट को पैकेट साइनिंग का उपयोग करने की आवश्यकता होती है। इस मामले में, नियंत्रक को पुनर्निर्देशित सत्र को ही अस्वीकार कर दिया जाएगा, क्योंकि पासवर्ड को जाने बिना हस्ताक्षर को रोकना असंभव है।
कुछ मामलों में, SMB हस्ताक्षर व्यवस्थापक द्वारा जानबूझकर अक्षम किया जाता है, क्योंकि मजबूर एन्क्रिप्शन को अधिक संसाधनों की आवश्यकता होती है और साझा फ़ाइलों तक पहुंच की बैंडविड्थ को कम करता है।

एक सफल हमले के लिए एक शर्त IPC $ और ADMIN $ के प्रशासनिक संसाधनों तक पहुंच की उपलब्धता है, उनके बिना कोड को दूरस्थ रूप से निष्पादित करना संभव नहीं होगा, हालांकि अन्य संसाधनों (सी टी ...) पर "गड़गड़ाहट" करने की क्षमता बनी हुई है।

द्वारा और बड़ी, इस समीक्षा को पूरा किया जा सकता है; प्रत्येक चरण पर विस्तार से विचार करने का कोई अर्थ नहीं है, क्योंकि बहुत पहले ही वर्षों का वर्णन किया जा चुका है। मैंने अभी विंडोज परिवार के आधुनिक ओएस के बारे में जानकारी अपडेट की है।

अध्ययन का नतीजा इंटरसेप्टर-एनजी के हिस्से के रूप में तंतुओं के हमलों के संचालन के लिए एक स्थिर मॉड्यूल का कार्यान्वयन था। पोर्ट 445 पर चल रही सर्वर सेवा से जुड़ी कठिनाइयों से बचने के लिए, HTTP-> SMB की दिशा में हमला किया जाता है। यानी एक आने वाले कनेक्शन पर, ब्राउज़र को एनटीएलएम प्राधिकरण की पेशकश की जाएगी, जिसे बाद में या तो एक ही मेजबान या किसी अन्य को पुनर्निर्देशित किया जाएगा।

हमले को अंजाम देने में मुख्य समस्या हमेशा हमारे संसाधन को पीड़ित करने का काम करना रहा है, यह मुख्य रूप से या तो एक ईमेल भेजकर किया गया था, या एक साझा संसाधन के साथ दुर्भावनापूर्ण लिंक के साथ एक फ़ाइल अपलोड करके, कम से कम अक्सर ettercap और स्पूफिंग वेब ट्रैफ़िक के उपयोग के माध्यम से।
हमारे मामले में, अंतिम विकल्प सबसे तेज़ और सबसे प्रभावी के रूप में चुना गया था। एक लक्ष्य का चयन किया जाता है, फिर Arp Poison को बाहर किया जाता है और एक लिंक को वेब ट्रैफ़िक में इंजेक्ट किया जाता है, जिसके अनुरोध पर एक स्मार्बेल हमला किया जाएगा। पूरी प्रक्रिया स्वचालित है और किसी भी हस्तक्षेप की आवश्यकता नहीं है। एक स्थिर और शांत इंजेक्शन के लिए, प्रतिस्थापन की विधि, इसके अलावा, इसलिए चुना गया था, इसलिए, "अनावश्यक" HTML कोड अनुभागों को प्रतिस्थापित किया जाता है, जैसे <! DOCTYPE ...>, <मेटा नाम = "कीवर्ड" ...> और <मेटा नाम = "; वर्णन »...>। अधिकांश साइटों में कम से कम एक होता है, इसलिए आपको लंबे समय तक इंतजार नहीं करना पड़ेगा।

इसके अलावा, हम ध्यान दें कि केवल IE \ Chrome NTLM के माध्यम से स्वचालित प्राधिकरण का समर्थन करता है, इसलिए FireFox \ Opera पर एक हमला विफल हो जाएगा।

आप नीचे वीडियो डेमो देख सकते हैं।

परिणाम। SMBRelay अब भी एक जरूरी समस्या है और एक हमलावर के हाथों में स्थानीय नेटवर्क को भेदने का एक गंभीर उपकरण बन सकता है।
क्लाइंट कंप्यूटरों पर हमलों को रोकने के लिए, उपयुक्त रजिस्ट्री कुंजियों के माध्यम से SMB साइनिंग सक्षम करें "EnableSecuritySignature, NeedSecuritySignature"।

प्रदान की गई जानकारी केवल सूचना के उद्देश्यों के लिए है। इस लेख में सामग्री के कारण होने वाले किसी भी संभावित नुकसान के लिए लेखक जिम्मेदार नहीं है।



अद्यतन: मैं पूरी तरह से स्पष्ट करना भूल गया कि, जब प्राधिकरण को पुनर्निर्देशित करने की कोशिश की जा रही है, तो शर्तों में से एक को पूरा नहीं किया गया था (सीधे संसाधन तक कोई प्रशासनिक संसाधन या खाता पहुंच नहीं है), फिर किसी भी मामले में हमारे पास अभी भी NTLMSSP हैश और हमला किया गया उपयोगकर्ता की चुनौती है, जो क्रूर बल हो सकता है।