सुरक्षित (वेब) संसाधन बनाने के रास्ते पर। भाग 3 - कार्यालय, कर्मचारी

विशिष्ट कर्मचारी कर्मचारी की आंखों के माध्यम से और सुरक्षा विभाग की आंखों के माध्यम से काम करते हैं

इस विषय के पहले दो भाग मुख्य रूप से वेब संसाधनों के लिए समर्पित थे। यह हिस्सा अधिक सामान्य है और इसमें परियोजना प्रोफ़ाइल के लिए ऐसा लिंक नहीं है (फिर भी कुछ बिंदुओं के अपवाद के साथ)। यह संभव है, कर्मचारियों के हमलों और कंपनी के कार्यालय के तकनीकी समर्थन पर लोकप्रिय वैक्टर (मूल रूप से सुरक्षा परीक्षण के बारे में लिखना चाहते थे, लेकिन विभिन्न कारणों से इस विषय पर "कूदने" का फैसला किया)।

लेखक वर्णित विधियों और / या उपकरणों के अवैध उपयोग के लिए कोई ज़िम्मेदारी नहीं उठाता है।

नीचे मैं सामग्री की प्रस्तुति की अपनी अधिक परिचित शैली पर लौटूंगा (हमले के पक्ष से स्थिति का विचार, रक्षा नहीं)। और मैं संभावित (वास्तविक जीवन से लिया गया) हमला करने वाले वैक्टरों की सूची दूंगा जो आंतरिक डेटा का एक समझौता हो सकता है (प्रस्तावित समाधान वास्तव में समाधान नहीं हैं, बल्कि जोखिम को कम करने के तरीके हैं)

1 वेक्टर। प्लगइन कमजोरियाँ

सबसे लोकप्रिय (और सफल?) आक्रमण वैक्टर में से एक। 25 फरवरी, 2013 को Securitylab.ru पर उद्धरण समाचार:

Microsoft ने कहा कि कंपनी हैकर के हमले का शिकार थी, फेसबुक और ऐप्पल द्वारा सामना किए गए।

माइक्रोसॉफ्ट ने एक बयान में कहा, "हमारी जांच के दौरान, हमने पाया कि मैक डिवीजन में शामिल कंप्यूटरों की एक छोटी संख्या, अन्य संगठनों द्वारा सूचित मैलवेयर से संक्रमित थे।"
...
पिछले कुछ हफ्तों में Microsoft अज्ञात हैकर्स का शिकार होने वाली पहली कंपनी नहीं है। विशेष रूप से, ऐप्पल, फेसबुक, ट्विटर, साथ ही द न्यूयॉर्क टाइम्स और द वॉल स्ट्रीट जर्नल के प्रमुख प्रकाशनों ने पहले साइबर हमलों की घोषणा की।

ओरेकल से जावा प्लेटफॉर्म में कमजोरियों के शोषण के माध्यम से फेसबुक और ऐप्पल पर हमले किए गए। Microsoft ने कहा कि उनके सिस्टम पर हमला उसी तरह से किया गया था।

ऐसा मत सोचो कि समान हमलों के लिए अत्यधिक योग्य विशेषज्ञों की आवश्यकता होती है। वर्तमान में, बहुत सारे ब्राउज़र शोषण और उनके लिए प्लगइन्स मेटस्प्लोइट में उपलब्ध हैं, और एक सरल मॉड्यूल भी है - ब्राउज़र ऑटोप्वेन, जो उस पोर्ट पर एक वेब सर्वर लॉन्च करता है जिसकी हमें आवश्यकता है और बदले में, क्लाइंट के ब्राउज़र में सभी प्रकार की कमजोरियों का फायदा उठाने की कोशिश करता है। विशिष्ट लॉन्च:

use server/browser_autopwn set LHOST <ip address> set URIPATH / run 

ब्राउज़र स्वतः कार्रवाई में ( छवि स्रोत )

समाधान: कर्मचारियों के लिए सबसे कमज़ोर प्लगइन्स को अक्षम करें (कम से कम जावा)।

2 वेक्टर। परियोजना स्थल पर कमजोरियाँ

"कप्तान का वेक्टर।" स्पष्ट रूप से, लेकिन तथ्य यह है कि जैसे ही हमलावर ने आरसीई प्राप्त किया, संसाधन और उसके डेटा से समझौता किया जाता है। लेकिन मैं इस मामले पर विचार करना चाहूंगा जब, उदाहरण के लिए, मैं केवल व्यवस्थापक / मॉडरेटर / तकनीकी खाते को निकालने में कामयाब रहा। XSS (उदाहरण के लिए) के माध्यम से समर्थन और व्यवस्थापक पैनल तक पहुंच है। यहां (व्यवस्थापक पैनल में) फाइलों की मनमानी अपलोडिंग के लिए कोई कार्यक्षमता नहीं होनी चाहिए। जब आप किसी व्यवस्थापक खाते को प्राप्त करते हैं, तो आप विषयों का एक क्लाउड (drupal | wordpress | phpbb शेल खोल सकते हैं) खोल सकते हैं, और शेल में भरने की क्षमता नहीं है।

समाधान: सुरक्षा परीक्षण, समीक्षा कोड, नियमित रूप से पेंट और सीमित कार्यक्षमता भी "सबसे महत्वपूर्ण" व्यवस्थापक के लिए।

3 वेक्टर। तृतीय-पक्ष संसाधनों पर कमजोरियों के माध्यम से कर्मचारियों पर हमले

कर्मचारियों के लॉगिन एकत्र किए जाते हैं (मंच से, तकनीकी सहायता के पत्राचार, आदि) और वे सभी सेवाएँ जहाँ वे पंजीकृत हैं उन्हें पता चला है (उदाहरण के लिए, लॉगिन द्वारा उद्धरण के साथ खोज के माध्यम से)। हैकिंग के लिए अतिसंवेदनशील संसाधनों को चुना जाता है, हैक किया जाता है, पासवर्ड मर्ज किए जाते हैं, और यदि सफल होते हैं, तो हमें उन कर्मचारियों (कर्मचारी) का पासवर्ड मिलता है जिनकी हमें आवश्यकता होती है। हम इस पासवर्ड को उसके मेल / कार्य खाते, आदि के लिए आज़माते हैं।

समाधान: ऐसा कोई समाधान नहीं है, लेकिन आप एक प्रोजेक्ट पर एक सुविधा लागू कर सकते हैं जो कर्मचारियों को पासवर्ड का उपयोग करने से रोकता है, उदाहरण के लिए, इस डेटाबेस से (2.2 मिलियन पासवर्ड, 19.2 एमबी)। या LinkedIN, Gamigo, Adobe, Blizzard, eHarmony, Geissens, NVidia, Stratfor, Project Whitefox, और Pastebin से प्रकाशित विभिन्न लीक) से पासवर्ड लीक के आधार पर इस शब्द सूची (176.6 MB) का उपयोग करने का प्रयास करें।


हालांकि, शायद सब कुछ आसान है?

4 वेक्टर। पत्रों में संलग्न

हमने एक लक्ष्य निर्धारित किया है - एक कर्मचारी के कंप्यूटर को संक्रमित करने के लिए। एक विकल्प यह देखना है कि नौकरी की तलाश में कौन है (पहले से ही एक और नौकरी) या बस एक पत्र प्राप्त करने की उम्मीद है। हम आवश्यक पाठ बनाते हैं, हम कहते हैं - अनुलग्नक में एक परीक्षण कार्य है। लेकिन नहीं, ऐसा नहीं लगता है कि एक प्रतिबंधक निष्पादन योग्य फ़ाइल नहीं होगी, एक .doc दस्तावेज़ होगा, जब खोला जाता है, तो आवश्यक बाइनरी डाउनलोड और निष्पादित किया जाएगा (यदि आप भाग्यशाली हैं, तो निश्चित रूप से)। और आप इस तरह के .doc फ़ाइल को जनरेट कर सकते हैं, उदाहरण के लिए, जनता में उपलब्ध एक शोषण के साथ - www.exploit-db.com/exploits/24526 (या लाइक )।

5 वेक्टर। वाईफ़ाई

हम एक कर्मचारी का चयन करते हैं, कैफे / प्रतिष्ठानों की सूची बनाते हैं, जहां वह अपने लैपटॉप / टैबलेट आदि के साथ जाता है। डिवाइस और वाईफाई का उपयोग करता है। हम उसके साथ कॉफी पीने के लिए आते हैं (और संयोग से बैठते हैं) या तब तक इंतजार करते हैं जब तक वह जगह नहीं छोड़ देता और बस / सबवे पर नहीं जाता। हम खाली हाथों से नहीं, एक पहुंच बिंदु के साथ बैठते हैं जिसका संकेत उस संस्था से काम करने वाले की तुलना में अधिक होगा। और हम उसी SSID को सेट करते हैं जिससे कर्मचारी अब जुड़ा हुआ है। वाईफाई नेटवर्क से किसी कर्मचारी को डिस्कनेक्ट करना ऐसी समस्या नहीं है, जिससे वह पहले से ही हमारे साथ जुड़ जाए (क्योंकि हमारा सिग्नल अधिक हो जाएगा)। खैर, उसका सारा ट्रैफिक हमलावर के हाथ में है। या यदि संभव हो तो (और सबसे अधिक बार संभव हो) वाईफाई नेटवर्क के अंदर मितम का प्रयास करें। या इसके उपकरण को स्कैन करें और नेटवर्क सेवाओं में कमजोरियों को खोजने का प्रयास करें। Nexus 7 पर आधारित एक हैकर टैबलेट इन उद्देश्यों के लिए एकदम सही है।


पैड पैड

6 वेक्टर। कार्यालय में वाईफाई

वाईफाई नेटवर्क को हैक करना एक काफी लोकप्रिय मामला है और अधिक बार यह हमलावर से विशिष्ट कौशल की आवश्यकता नहीं है। अगर यह WEP है, तो सब कुछ सरल है। यदि यह डब्ल्यूपीए / डब्ल्यूपीए 2 डब्ल्यूपीएस के साथ है - तो इस लेख के लिए कार्यों का एल्गोरिदम। खैर, अगर यह डब्ल्यूपीए / डब्ल्यूपीए 2 डब्ल्यूपीएस के बिना है, तो हम हैंडशेक को "हटा दें" और या तो अपने आप को पुन: व्यवस्थित करने के लिए बुनियादी ढांचे को तैनात करें, या आप तैयार सेवाओं (20 मिनट में और $ 17 के लिए 300 मिलियन पासवर्ड) का उपयोग कर सकते हैं। तो हम स्थिति का मतलब है कि कार्यालय में वाईफाई है (आप शायद ही कभी कार्यालय देखें जहां यह नहीं है) और यह पहले से ही हैक हो गया है।

6.1 पहला "सामान्य" मित्र है: पासवर्ड, मेल, पत्राचार आदि। आप राउटर सेटिंग में अपने आप को arp स्पूफिंग से एक daw द्वारा सुरक्षित कर सकते हैं:


6.2 यदि आप वाईफाई को वितरित करने के लिए एक राउटर का उपयोग करते हैं, तो आप इसमें कमजोरियों (http://routerpwn.com) का फायदा उठाने की कोशिश कर सकते हैं और डीएनएस को अपने आप में बदल सकते हैं, जो लंबे समय तक किसी को ध्यान नहीं देकर आपके सर्वर से गुजरने की अनुमति देगा।
6.3 कर्मचारियों में से एक पर लक्षित हमला ताकि अधिक शोर न हो। पृष्ठों (VKontakte / मेल) में से एक पुनर्निर्देशित और नकली बनाएं और आवश्यक डेटा प्राप्त करें।

7 वेक्टर। चंचल एसएमएस

कई ने सोचा - मैं घर पर छोड़कर वाईफाई का उपयोग नहीं करता! केवल मोबाइल इंटरनेट। लेकिन इंटरनेट कॉन्फ़िगरेशन के साथ एसएमएस को क्राफ्ट करना और कर्मचारी के फोन पर भेजना मुश्किल नहीं होगा। कई बस स्वचालित रूप से सहेजें पर क्लिक करते हैं। और पहले से ही विदेशी गेटवे हैं, विदेशी डीएनएस।

8 वेक्टर। बाहर से हमला

बाहर से कार्यालय नेटवर्क में आने की कोशिश करना काफी संभव है ( वाल्व हैकिंग का एक अच्छा उदाहरण)। कोई विशिष्ट एल्गोरिथ्म नहीं है, यह सब हमलावर के ज्ञान पर निर्भर करता है। लेकिन किसी तरह के टेम्पलेट के लिए, आप लगभग 2 साल पहले मेरा लेख ले सकते हैं - ऑडिट। ब्लैक बॉक्स ।

9 वेक्टर। हैकिंग डिवाइस

यदि किसी भी कर्मचारी डिवाइस के साथ सीधे बातचीत करने का अवसर है, तो आप काफी सस्ती " टेनेसी " का उपयोग कर सकते हैं। एक प्रोग्राम योग्य डिवाइस, जो जुड़ा होने पर, वह करेगा जो हमें चाहिए। चूंकि यह एक छिपाई के रूप में मान्यता प्राप्त है, इसलिए सिस्टम द्वारा डिवाइस को पहचानने में कोई समस्या नहीं होगी।


कौटिल्य टूलकिट, जो टेनेसी के लिए आवश्यक पेलोड उत्पन्न करने में मदद करेगा

10 वेक्टर। USB वायरस के साथ ड्राइव करता है

स्टक्सनेट की कहानी को याद करें, जो फ्लैश ड्राइव के माध्यम से ईरानी परमाणु परियोजनाओं तक सफलतापूर्वक पहुंच गया था। ऑफिस, ट्रांसपोर्ट या किसी और चीज में टॉस हो गया, यह सोशल इंजीनियरिंग का मामला है।

इस लेख को लिखते समय मुझे जो कुछ याद आ रहा था, उसका मैंने हवाला दिया। स्वाभाविक रूप से, ये सभी विकल्प नहीं हैं, ऊपर दिए गए विकल्पों में से कई को संयुक्त, परिवर्तित, वर्तमान परिस्थितियों के अनुकूल बनाया जा सकता है। लेकिन, मुझे आशा है कि, आप चर्चा के तहत विषय के क्षेत्र में सुरक्षा के सबसे विविध पहलुओं का मूल्यांकन करने में सक्षम थे, साथ ही साथ यह भी समझते हैं कि सामान्य तौर पर कई तकनीकी रूप से परिष्कृत हमलों में हमलावर पक्ष से उच्च योग्यता की आवश्यकता नहीं होती है।

और अंत में, एक छोटा वीडियो जो प्रदर्शित करता है:

• वाईटीएम नेटवर्क के भीतर मिटम (एआरपी-स्पूफिंग) और वीकेकंट्टे खाते की अवरोधन (https का उपयोग करने की उपेक्षा);
• डी-लिंक डीआईआर -320 राउटर को नवीनतम फर्मवेयर के साथ फिंग और राऊटरपब्लन डॉट कॉम के माध्यम से हैक करना;

दोनों प्रदर्शनों को ~ 5 हजार के बजट बजट से रिकॉर्ड किया गया। जोर यह है कि प्रश्न में हमलों को सूचना सुरक्षा के क्षेत्र में किसी भी ज्ञान की आवश्यकता नहीं है और सब कुछ बॉक्स से बाहर उपलब्ध है)।

श्रृंखला:

• सुरक्षित वेब संसाधन की ओर। भाग 1 - सर्वर सॉफ्टवेयर
• सुरक्षित वेब संसाधन की ओर। भाग 2 - विकास
• सुरक्षित (वेब) संसाधन बनाने के रास्ते पर। भाग 3 - कार्यालय, कर्मचारी