हम VMware vCenter के माध्यम से तोड़ते हैं

वर्चुअल सिस्टम की सुरक्षा अब एक फैशनेबल चलन है, इसलिए इस प्रश्न को अनदेखा नहीं किया जा सकता है। आज हम VMware इन्फ्रास्ट्रक्चर - vCenter सर्वर का दिल तोड़ देंगे। उसी समय, हम 0-दिन की कमजोरियों का उपयोग करेंगे ताकि जीवन शहद की तरह न लगे। हम इसे पुराने-स्कूल के तरीकों से तोड़ेंगे, जो आभासी तकनीकों से किसी भी तरह से जुड़े नहीं हैं: प्रवृत्ति, निश्चित रूप से फैशनेबल है, लेकिन बग सभी समान हैं।

पुनश्च: हमेशा की तरह जिम्मेदार सफेद-झोपड़ियों के साथ, यहां वर्णित सभी कीड़े पहले से ही बंद होना चाहिए, वे हैकिंग के समय, यानी 2011 में थे। यह लेख हैकर मैगज़ीन नंबर 7/12 (162) में प्रकाशित हुआ था, और यह कॉन्फिडेंस 2012, पीएचडी 2012 और डीफोकॉन 20 की रिपोर्टों का आधार भी था।

VMware vCenter

कई एंटरप्राइज़ सिस्टम वर्चुअल वातावरण में रहते हैं। यह सस्ता है। यह अधिक सुविधाजनक है, यह कूलर है! इन समान वातावरण प्रदान करने में अग्रणी कुख्यात VMware कंपनी है। इन लोगों के पास एक शांत हाइपरवाइज़र है और यह भी महत्वपूर्ण है, आसान तैनाती, प्रबंधन और नियंत्रण के लिए सभी प्रकार के सॉफ़्टवेयर का एक गुच्छा। यह सब VMware समाधानों को लचीला, स्केलेबल और अंततः कुशल बनाता है। इस सभी शांत छोटे आदमी के सुविधाजनक प्रशासन के लिए, लोगों ने सर्वर सॉफ्टवेयर विकसित किया, जो बुनियादी ढांचे के पूरे प्रशासनिक हिस्से को समेकित करता है - वीएमवेयर वीकेटर। उदाहरण के लिए, आपके पास VMware ESX (i) के साथ 10 लोहे की मशीनें हैं। कुल मिलाकर, 50 आभासी मशीनें उन पर चल रही हैं। यदि आपके पास यह vCenter नहीं है, तो इस आभासी चिड़ियाघर का प्रशासन करना काफी असुविधाजनक है। इसके अलावा, vCenter के लिए धन्यवाद, विभिन्न चालें संभव हैं, जैसे कि ईएसएक्स में से किसी एक के काम न करने की स्थिति में आभासी छवियों का पारदर्शी प्रवास आदि, संक्षेप में, एक मेगा-सुविधाजनक और महत्वपूर्ण बात। यह विज्ञापन का अंत है। मुख्य बिंदु यह है कि यदि कोई दुष्ट हैकर आपके vCenter को तोड़ता है, तो पूरा नेटवर्क उसके खराब हाथों में है।

हम बचाव से टूटते हैं

प्रसिद्ध शोधकर्ता क्लाउडियो क्रिक्सेन इस "केंद्र" में एक से अधिक बार आए हैं, और इसलिए इसे तोड़ना जानते हैं। इसलिए, पेन-टेस्ट में से एक में, मैं इस सॉफ़्टवेयर में आया और वहां सब कुछ भूल जाने के लिए क्लाउडियो के ज्ञान का उपयोग करने का निर्णय लिया। दरअसल, क्लाउडियो का विचार सरल था: हमारे मित्र ने vCenter अपडेट मैनेजर में भेद्यता पाई। भेद्यता VMware प्रोग्रामर की गलती भी नहीं थी। तथ्य यह है कि इस प्रबंधक का वेब इंटरफ़ेस (टीसीपी पोर्ट 9084 पर लटका हुआ) जेट्टी को वेब सर्वर के रूप में उपयोग करता है। इसलिए, क्लाउडियो ने वहां भेद्यता पाई। भेद्यता - शैली का एक क्लासिक: कैटलॉग की सीमाओं से परे जा रहा है:

target:9084/vci/download/health.xml/%3f/../../../../../../FILE.EXT


ब्लैकहैट सम्मेलन से क्लाउडियो स्लाइड ;-)

यह सरल है: हम किसी भी फाइल को पढ़ते हैं जिस पर vCenter चल रहा है जिसके पास पर्याप्त अधिकार हैं। लेकिन यहाँ सवाल है कि क्लाउडियो ने पूछा - मैं एक फाइल कैसे पढ़ सकता हूं? सामान्य तौर पर, उन्होंने फाइल सिस्टम में रम किया और एक अद्भुत एक्सेस लॉग फाइल प्राप्त की, जिसमें सत्र कोड संग्रहीत किया गया था (स्लाइड का स्क्रीनशॉट देखें)।


बीमार फ़ाइल की सामग्री ;-)

यह कोड क्या है? तथ्य यह है कि vSphere क्लाइंट SOAP के माध्यम से vCenter के साथ काम करता है, अर्थात, यह नियमित HTTPS ट्रैफ़िक है, जिसके शरीर में डेटा, कमांड्स आदि के साथ XML संरचना है। इस मामले में, प्रशासक प्रमाणीकरण के बाद, SOO सत्र कोड इसे लिखा जाता है। , और फिर इस कोड को PHPSESSIONID के साथ कुकी के रूप में जांचा जाता है, जैसे एनालॉग 8) जाहिर है, इस कोड को चुराकर, हम इसे अपने SOAP अनुरोध में खिसका सकते हैं, और vCenter सोचेंगे कि हमने पहले ही कुछ व्यवस्थापक प्रमाणित कर दिया है (यदि सत्र अभी भी जीवित है )। यही है, क्लाउडियो इन SOAP कोड के साथ लॉग को पढ़ने के लिए जेट्टी वेब सर्वर में भेद्यता के माध्यम से सुझाव देता है।

target:9084/vci/download/health.xml/%3f/../../../../../../ProgramData\VMware\VMware VirtualCenter\Logs\vpxd-profiler-6.log

फिर, इन कोडों को vSphere से अनुरोध में स्थानापन्न करें। ऐसा करने के लिए, उन्होंने एक प्रॉक्सी सर्वर भी विकसित किया, जो कि मक्खी पर सत्र कोड को vSphere के पैकेज में बदल देता है, और इस प्रॉक्सी को अपने Metasploit ऐड-ऑन VASTO में शामिल करता है। इसके अलावा, इस ऐडऑन में कई अन्य चिप्स हैं, लेकिन अब हम इसके बारे में बात नहीं करते हैं।

इस तरह, Google का हमारा इतालवी मित्र vCenter को दंडित करने का सुझाव देता है। लेकिन परेशानी यह थी कि ये सभी बग मेरे पेन टेस्ट (स्प्रिंग-समर 2011) के समय तक पुराने थे: हमें सॉफ्टवेयर के नवीनतम संस्करण से निपटना था, जिसका अर्थ है कि जेट्टी पैच-पैचेड था।

क्या शैल एक ही फ़नल से दो बार नहीं टकराई है?

निराश महसूस किया (मुफ्त काम नहीं किया), मैं सोचने लगा कि क्या करूं। सामान्य तौर पर, इस स्थिति में कोई भी पेन परीक्षक केवल इस रिपोर्ट में पास करेगा और लिखेगा कि इस संसाधन पर कोई भेद्यता नहीं है। लेकिन, हमेशा की तरह, फोर्स में आक्रोश महसूस करते हुए, मुझे इन पैच पर भरोसा नहीं था। कुछ ने मुझे निर्देशिका के बाहर जाने के लिए शोषण के विकल्पों को मिलाकर जेट्टी का मजाक बनाना जारी रखा। और 15 मिनट बाद मुझे इसका परिणाम मिला। पहले से ही उसी अपडेट मैनेजर के एक अन्य स्थान पर फिर से भेद्यता थी:

target:9084/vci/download/.\..\..\..\..\..\..\..\..\FILE.EXT

यह पहले से ही कुछ है, क्योंकि आप SOAP कोड वाली फाइल को पढ़ सकते हैं!


अपनी खुशी खोजने की कोशिश कर रहा है ...

लेकिन फिर से हम निराश थे - सत्र कोड अब इस अद्भुत फ़ाइल में निहित नहीं हैं। आप केवल VMware से प्रोग्रामर्स के उत्कृष्ट काम को नोट कर सकते हैं, जिन्होंने लॉग्स को भर दिया और हमें बायकू बना दिया। ठीक है, चलो अपने आप को देखें कि फाइल सिस्टम पर और क्या हो सकता है, क्या काम आता है ... सबसे पहली बात जो दिमाग में आती है वह एसएसएल के लिए गुप्त कुंजी चोरी करना है। फिर इस कुंजी के साथ हम एसएसएल ट्रैफिक को रोक सकते हैं और इसे डिक्रिप्ट कर सकते हैं (वायरशर्क आपको बिना किसी समस्या के ऐसा करने की अनुमति देता है)। कुंजी को इस तरह से पाया जा सकता है:

target:9084/vci/downloads/.\..\..\..\..\..\..\..\Documents and Settings\All Users\Application Data\VMware\VMware VirtualCenter\SSL\rui.key

तदनुसार, यदि हम ARP SPOOFING का उपयोग करते हुए एक मध्य-मध्य हमले का आयोजन करते हैं, तो हम सर्वर और प्रशासनिक कार्य केंद्र के बीच यातायात को रोक सकते हैं। वैसे, अब भी प्रशासक और उनके लॉगिन के आईपी पते प्रोफाइलर फ़ाइल में पाए जा सकते हैं। बेशक, हम एसएसएल प्रमाणपत्र को बदल सकते हैं (कैन बिना समस्याओं के ऐसा कर सकता है) और कुंजी चोरी किए बिना ट्रैफ़िक को डिक्रिप्ट कर सकता है, लेकिन तब व्यवस्थापक को एक अवैध एसएसएल प्रमाणपत्र के बारे में चेतावनी दिखाई देगी। यदि हम कुंजी चुराते हैं, तो व्यवस्थापक कुछ भी नहीं देखेगा, क्योंकि प्रमाणपत्र सही होगा। यही है, इस तरह के हमले अधिक चालाक और गुप्त है ...


नकली प्रमाण पत्र चेतावनी!

VMware vCenter आर्केस्ट्रा

लेकिन vCenter के साथ सर्वर पर एक और अद्भुत चीज है जो एक मुफ्त ऐड-ऑन के साथ आती है और इच्छाशक्ति पर स्थापित होती है - यह "ऑर्केस्ट्रा" है। एक और प्रबंधन इंटरफ़ेस, इस बार केंद्र द्वारा ही। यह किस लिए है? और यह कोई कम मस्त बात नहीं है। इसका उपयोग डेटा सेंटर के जीवन चक्र को प्रबंधित करने के लिए किया जाता है। यह एक वर्चुअल इन्फ्रास्ट्रक्चर में विभिन्न प्रक्रियाओं को विकसित करने और स्वचालित करने के लिए एक पूरी रूपरेखा है। संक्षेप में, यह अच्छा है और यह बात है। फ़ाइल सिस्टम का अध्ययन, मैं निम्नलिखित फ़ाइल में आया:

target:9084/vci/download/.\..\..\..\..\..\..\..\..\Program files\VMware\Infrastructure\Orchestrator\configuration\jetty\etc\passwd.properties


पहले से ही कुछ!

ठीक इसी तरह से हमें कुछ MD5 हैश मिलते हैं। जाहिर है, इस "ऑर्केस्ट्रा" में प्रशासनिक खाते से एक पासवर्ड छिपा हुआ है। मैं क्या कह सकता हूं? नमक मुक्त एमडी 5 का उपयोग करना एक रहस्य नहीं है। इसलिए इस संदर्भ में, हमें पासवर्ड बहुत जल्दी मिल गया (स्क्रीनशॉट में, डिफ़ॉल्ट पासवर्ड ने पासवर्ड को पासवर्ड किया है, वैसे, तो प्रशासक भी समस्याएं पैदा कर सकते हैं)। प्राप्त पासवर्ड का उपयोग करके, हमने वेब इंटरफ़ेस के माध्यम से लॉग इन किया। आरामदायक, प्यारा, अच्छा डिजाइन, लेकिन हमें और अधिक की आवश्यकता है। वेब इंटरफ़ेस में चारों ओर घूमते हुए, हमने देखा कि वर्चुअल इन्फ्रास्ट्रक्चर को प्रबंधित करने के लिए उसी vCenter सर्वर का उपयोग किया जाता है, जिसका अर्थ है कि ऑर्केस्ट्रेटर को वहां प्रमाणित करने में सक्षम होना चाहिए। और वह जानता है कि कैसे, क्योंकि सेटिंग्स में कहीं एक एक्सेस पासवर्ड सेट है।


VCenter की सेटिंग एक्सेस करें।

HTML कोड को खोलने के बाद, मैं खुश था: पासवर्ड वहां स्पष्ट रूप में प्रदर्शित किया गया है, जैसा कि यह है, हालांकि नेत्रहीन, ब्राउज़र में, यह "सितारों" के पीछे छिपा है।


VCenter से व्यवस्थापक खाता हमारा है!

इसके अलावा, मेल खाते से, डोमेन खातों से और अन्य चीजों से भी पासवर्ड हैं जो ऑर्केस्ट्रेटर का उपयोग करने में सक्षम होना चाहिए। एक हैकर के लिए सीधे पासवर्ड मैनेजर! यह स्पष्ट है कि पूरी प्रणाली को सफलतापूर्वक हैक किया गया था, न केवल आभासी, बल्कि एक डोमेन नियंत्रक भी, जिसका अर्थ है कि सब कुछ जो वहां था।

Moarrrrrr!

ऐसा लगता है कि सब कुछ होगा, लेकिन एक और विस्तार है। जैसा कि आपने देखा, ऑर्केस्ट्रेटर पासवर्ड को कहीं स्टोर करता है। और ताकि उन्हें शुद्ध रूप में प्राप्त किया जा सके और उनका उपयोग किया जा सके। यह हमें बताता है कि एमडी 5 हैश को तोड़ना संभव नहीं था, लेकिन यह देखने के लिए कि ये पासवर्ड कहाँ हैं। लगभग थोड़ा खुदाई करने के बाद, मैंने उन्हें पाया: उदाहरण के लिए, vCenter पहुंच के लिए पासवर्ड संग्रहीत है:

target:9084/vci/download/.\..\..\..\..\..\..\..\..\Program Files\VMware\Infrastructure\Orchestrator\app-server\server\vmo\conf\plugins\VC.xml

इसके अलावा, एन्कोडेड स्ट्रिंग के प्रारूप को देखते हुए, यह एन्क्रिप्शन प्रतिवर्ती है। यहां तक ​​कि समान पासवर्ड बहुत एन्क्रिप्टेड दिखते हैं।

 <?xml version="1.0" encoding="UTF-8" standalone="yes"?> <virtual-infrastructure-hosts> <virtual-infrastructure-host xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="VirtualCenterHost"> <enabled>true</enabled> <url>https://new-virtual-center-host:443/sdk</url> <administrator-username>vmware</administrator-username> <administrator-password>000a506275767b74786b383a4a60be767864740329d5fcf324ec7fc98b1e0aaeef </administrator-password> <pattern>%u</pattern> </virtual-infrastructure-host> </virtual-infrastructure-hosts> 

एक और दिलचस्प फ़ाइल C: \ Program Files \ VMware \ Infrastructure \ Orchestrator \ app-server \ server \ vmo \ conf \ vmo.propirties है। यहां, DBMS पासवर्ड उसी तरह से इनकोड किया गया है।

यह एन्कोडिंग विधि के सार को समझने और समझने के लिए रहता है कि हमारा अनुमान सही है या नहीं। यह वह जगह है जहाँ मेरे दोस्त और सहकर्मी आते हैं, और अंशकालिक भी लेटमोर सीटीएफ टीम के खिलाड़ी, अलेक्जेंडर जुग मिनज़ेनको। उसके लिए, इस तरह के कार्य दो उंगलियों की तरह हैं ... एक नज़र में उसने निर्धारित किया कि पहले दो बाइट्स पूरे पासवर्ड की लंबाई का वर्णन करते हैं, और फिर एन्कोडेड प्रतिनिधित्व आता है। साशा ने केवल "ऑर्केस्ट्रेटर" के जावा वर्ग को विघटित किया, जो पासवर्ड को बचाने के लिए जिम्मेदार है, और एन्कोडिंग एल्गोरिथ्म को पार्स किया। नीचे की रेखा सरल है: पासवर्ड की लंबाई लें, फिर पासवर्ड के प्रत्येक बाइट को एक हेक्स में एनकोड करें, इसमें बाइट की स्थिति संख्या जोड़कर (शून्य से शुरू)। इस प्रकार, "कूटशब्द।" का कूटबद्ध मूल्य: जैसा दिखता है:

000a506275767b74786b383a4a60be767864740329d5fcf324ec7fc98b1e0aaeef

साशा ने एक डिकोडर लिखा (रूबी में):

 #  pass = "010506275767b74786b383a4a60be767864740329d5fcf324ec7fc98b1e0aaeef" #  len = (pass[0..2]).to_i #  3    enc_pass = pass[3..-1].scan(/.{2}/) #  hex-   dec_pass = (0...len).collect do |i| byte = enc_pass[i].to_i(16) #  hex    byte -= i #        byte.chr end # –  : “Password01.” puts "Password: #{dec_pass.join()}" 

इस प्रकार, एक फ़ाइल को पढ़ने के लिए हमारे 0-दिन का उपयोग करने के लिए हमला होता है, और दूसरा - रीड की गई फ़ाइलों से पासवर्ड को डीकोड करने के लिए। और फिर से हम vCenter तक पूरी पहुँच प्राप्त करते हैं। कुछ सेकंड में ... (मेटस्प्लोइट के लिए संगत मॉड्यूल तैयार है)

अन्त

जैसा कि आप देख सकते हैं, 0-दिन सरल और खतरनाक हैं। मैं और क्या कह सकता हूं? .. यदि व्यवस्थापकों ने फ़ायरवॉल का उपयोग करके फ़िल्टर किया, तो प्रशासनिक बंदरगाहों तक पहुंच को प्रतिबंधित करना, एक हमला और अधिक कठिन होगा। दृश्यों के पीछे बहुत कुछ रहता है, क्योंकि वर्चुअल इन्फ्रास्ट्रक्चर की सुरक्षा सिर्फ एक मिनट नहीं होती है और न ही एक सर्वर। मैं VMware हार्डनिंग गाइड (http://www.vmware.com/files/pdf/techpaper/VMW-TWP-vSPHR-SECRTY-HRDNG-USLET-101-WEW-1.pdf) पर सभी को सलाह दे सकता हूं। इस PDF में ध्यान देने लायक कई जगहों को सूचीबद्ध किया गया है। वह सब है, बीमार मत बनो!