SMB अपहरण। करबरोस कोई बाधा नहीं है

काफी लिखा गया है और SMBRelay (या सटीक NTLM-Relay होना) के बारे में कहा गया है। बिलकुल इच्छा नहीं
इस हमले का विवरण याद रखें। मुझे केवल यह याद है कि हमले का सार उपयोगकर्ता के प्रमाणीकरण डेटा में हेरफेर करने के लिए नीचे आता है, जिसे बाद में किसी अन्य संसाधन पर पुनर्निर्देशित किया जा सकता है।
ऐसा पुनर्निर्देशन प्रमाणीकरण और तीसरे संसाधन तक पहुंच की अनुमति देता है, जिसके परिणामस्वरूप आमतौर पर इसके बाद के लॉन्च के साथ एक फ़ाइल डाउनलोड की जाती है।


रिलेइंग को विकसित करने की प्रक्रिया लंबे समय से चली आ रही है। और ठीक है, तो यह वहां क्या सुधार होगा, सब कुछ स्पष्ट और समझ में आता है।
एक साल पहले, इंटरसेप्ट पर, NTLMv2 को पुनर्निर्देशित करना संभव था। 3 महीने के बाद, मेटस्प्लोइट में एक समान कार्यक्षमता दिखाई दी, और फिर व्यक्तिगत उत्साही लोगों ने अपनी उपलब्धियों को वितरित करना शुरू कर दिया। यहाँ यह तार्किक सीमा है। SMBRelay स्वयं लगभग कभी उपयोग नहीं किया गया है, यह विशेष रूप से HTTP में अन्य प्रोटोकॉल के माध्यम से NTLM-Relay को लागू करने के लिए इस संबंध में बहुत अधिक सुविधाजनक है। इसके अलावा, डोमेन नेटवर्क में SMBRelay का जीवन "अजेय" Kerberos द्वारा जटिल है, जिसे अक्सर SMBRelay के इलाज के रूप में जाना जाता है। अपने शोध के साथ, मैं इस मिथक को नष्ट करना चाहता हूं और एसएमबी प्रोटोकॉल पर हमला करने के लिए एक पूरी तरह से नया दृष्टिकोण पेश करना चाहता हूं।
यह ध्यान देने योग्य है कि यह पूरी तरह से SMBRelay नहीं होगा, आइए इस SMB अपहरण तकनीक को कॉल करें।

चलो दूर से शुरू करते हैं ...

WPAD MiTM में निर्मित NTLM- रिस्पॉन्स ग्रैबर इंटरसेप्टर के नए संस्करण में दिखाई दिया।
उपयोग में आसानी के लिए, यह सुनिश्चित करने का निर्णय लिया गया कि जॉन को रिपर को इंटरसेप्टेड हैश के साथ कॉल करना संभव है ताकि यह पता लगाया जा सके कि पासवर्ड खाली है या हल्का। उसके बाद, सभी हैश जिसमें स्निफर इंटरसेप्ट करता है और जिसे JTR के माध्यम से ब्रूट-फोर्स किया जा सकता है, को उपयुक्त फॉर्मेट में बदल दिया गया है।

Wireshark के नमूनों के संग्रह में, केर्बरोस प्राधिकरण के साथ एक लॉग था, जिसमें से कैन हैश निकालने में सक्षम था और पासवर्ड खोजने के लिए जानवर बल विधि का उपयोग करता था।
Bruteforce इस तथ्य के कारण संभव है कि AS-REQ अनुरोध में, उपयोगकर्ता पासवर्ड द्वारा एन्क्रिप्ट किया गया टाइमस्टैम्प प्रमाणीकरण सर्वर को प्रेषित किया जाता है, जिनमें से कुछ पहले से जाना जाता है। एक Kerberos प्रमाणीकरण हैंडलर को एक लाइव डोमेन नियंत्रक (Windows 2008 R2) पर जोड़ा और परीक्षण किया गया है। हैरानी की बात यह है कि हैश को इंटरसेप्ट नहीं किया गया था। बात यह है कि विंडोज 2008 में नए एन्क्रिप्शन एल्गोरिदम जोड़े गए थे और पहले इस्तेमाल किए गए आरसी 4-एचएमएसी के बजाय, अब एईएस 256-सेंट्स-एचएमएसी-शेक-96 डिफ़ॉल्ट रूप से उपयोग किया जाता है। इस हैश को rc4-hmac की तरह ही पैकेज से बाहर निकाला जाता है, लेकिन एक और समस्या अभी सामने आई है।
इस समय एईएस द्वारा एन्क्रिप्ट किए गए टाइमस्टैम्प से पासवर्ड को पुनर्प्राप्त करने में सक्षम कोई भी क्रूर बल नहीं है। जॉन की मेलिंग सूची में, एक मित्र ने जेटीआर के लिए एक पैच लिखा था, लेकिन समीक्षाओं के अनुसार यह अभी भी नम है और सबसे महत्वपूर्ण प्रक्रिया आरसी 4 छँटाई की तुलना में सैकड़ों गुना धीमी है।

इसलिए इंटरसेप्टर में एन्स से आरसी 4 तक एन्क्रिप्शन एल्गोरिदम को डाउनग्रेड करने का विकल्प था। दुर्भाग्य से, विस्टा डेस के साथ शुरू करना, एन्क्रिप्शन अक्षम था और आरसी 4 न्यूनतम संभव था, इसलिए डाउनग्रेड को कम करने का कोई कारण नहीं था।


डाउनग्रेड पीड़ित के आउटगोइंग पैकेट में संभव तरीकों को बदलने के द्वारा किया जाता है।

यह यहाँ था कि Kerberos में रुचि पैदा हुई। सामग्री के एक अध्ययन से पता चला है कि केर्बरोस के टिकटों के पुनरावृत्ति के हमलों की एक सैद्धांतिक संभावना है, लेकिन कोई वास्तविक उदाहरण और कार्यान्वयन नहीं मिला।

ट्रैफिक के बारे में सोचते और विश्लेषण करते समय, एक पूरी तरह से अजीब सवाल उठता है: हमें फिर से (पी) कुछ भी बिछाने की आवश्यकता क्यों है! क्यों नहीं!

SMB सत्र कैसा होता है?

1. Host_A Host_B से जुड़ता है
2. एक सत्र प्रोटोकॉल का चयन करें
3. प्राधिकरण विधि का चयन किया जाता है
4. आदेशों का एक सेट ...

अगर हम सही तरीके से मान्यता प्राप्त हैं, तो क्या हम विक्टिम के अधिकारों का पालन करते हैं!

हमें केवल मध्य में खड़े होकर कनेक्शन को प्रॉक्सी करना होगा, जब तक Host_A Host_B पर लॉग इन नहीं करता है, तब तक प्रतीक्षा करें, और फिर सत्र को नियंत्रित करें!
हम पहले से ही अधिकृत हैं और एक SMB सत्र में अपना कोड एम्बेड कर सकते हैं। हम इस बात में बिल्कुल भी दिलचस्पी नहीं रखते हैं कि क्लाइंट को कैसे अधिकृत किया गया था, चाहे वह एनटीएलएम हो या केर्बरोस!
सत्र को किसी भी तरह से एन्क्रिप्ट नहीं किया गया है, और 99% मामलों में सामान्य ग्राहकों पर एसएमबी साइनिंग का उपयोग नहीं किया जाता है।
अधिक सुविधाओं के अलावा, यह तकनीक SMBRelay की तुलना में बहुत अधिक सुरुचिपूर्ण है, हमें अब SMB प्राधिकरण की आत्म-बुद्धिमान प्रक्रिया को लागू करने की आवश्यकता नहीं है।
यह कमांड के न्यूनतम सेट को लागू करने के लिए पर्याप्त है जो आपको फ़ाइल को डाउनलोड करने और इसके लॉन्च को निष्पादित करने की अनुमति देगा।

यह सभी कार्यक्षमता इंटरसेप्टर-एनजी के नए संस्करण में दिखाई दी है और वास्तविक परिस्थितियों में विंडोज 2008 और विंडोज 7/8 के नवीनतम संस्करणों के साथ परीक्षण किया गया है।

इस हमले के कार्यान्वयन में क्या कठिनाइयाँ और विशेषताएं हैं।
विस्टा से शुरू होकर, नए SMB2 प्रोटोकॉल का उपयोग किया जाने लगा। पुराने संस्करण से मुख्य अंतर कमांड का एक सरलीकृत सेट और बढ़ा हुआ प्रदर्शन है।
हमारे लिए दो नियमों का पालन करना महत्वपूर्ण है। सबसे पहले, प्रत्येक SMB सत्र की अपनी सत्र आईडी होती है, और दूसरी बात, SMB2 हेडर में एक कमांड क्रम संख्या फ़ील्ड होती है,
यानी टीम का सीरियल नंबर। आदेशों को लागू करने के लिए, आपको सत्र पहचानकर्ता को निर्दिष्ट करना होगा और कमांड काउंटर को बढ़ाना होगा।

क्योंकि इंटरसेप्टर में, मौजूदा SMBRelay पुराने SMB प्रारूप का उपयोग करके किसी और के कोड पर आधारित है, यह क्रैब को नहीं खोदना और खरोंच से SMB2 कमांड के मुख्य सेट को लागू करने का निर्णय लिया गया था।

सत्र शुरू करने का तर्क इस प्रकार है:

1. हमले और तीसरे मेजबान के बीच में खड़े हो जाओ
2. सकारात्मक प्रतिक्रिया के साथ सत्रसेटअप रिस्पांस कमांड की प्रतीक्षा करें
3. सत्र आईडी और वर्तमान टीम नंबर प्राप्त करें
4. प्रशासनिक बॉल पर फ़ाइल को कॉपी करें (व्यवस्थापक $)
5. एक सेवा बनाएं जो हमारी फ़ाइल लॉन्च करेगी
6. सेवा शुरू करें
7. cmd.exe

पांचवें और छठे अंक केवल इसलिए संभव हैं क्योंकि Microsoft आपको SMB पर RPC अनुरोधों को स्थानांतरित करने की अनुमति देता है।



बस इतना ही। तकनीक एक औसत डोमेन में बढ़िया काम करती है। अक्सर कुछ सॉफ़्टवेयर होते हैं जो स्वचालित रूप से SMB के माध्यम से क्लाइंट कंप्यूटरों पर कुछ ऑपरेशन करते हैं जिनके पास प्रशासनिक पहुंच है। या सीधे, व्यवस्थापक हमले का लक्ष्य बन सकता है।

केर्बरोस हमारे लिए कोई बाधा नहीं है। वैसे, एसएमबी में केर्बरोस का उपयोग केवल तभी किया जाता है जब कंप्यूटर को नाम से एक्सेस किया जाता है, और यदि आप आईपी के माध्यम से गेंद तक पहुंचते हैं, तो केवल एनटीएलएम का उपयोग किया जाता है। डोमेन क्लाइंट पर हमला करते समय, हमलावर को स्वयं डोमेन का सदस्य होने की आवश्यकता नहीं होती है।
आप एक नियमित कार्यसमूह में एसएमबी हाइजैकिंग का उपयोग कर सकते हैं, बशर्ते कि आवश्यकताएं पूरी हों: व्यवस्थापक के पास प्रशासनिक पहुंच हो और IPC $ \ ADMIN $ प्रशासनिक संसाधन उपलब्ध हों।
SMB सत्रों के निष्क्रिय अवरोधन के अलावा, इंटरसेप्टर SMB संसाधन के हमलावर के वेब ट्रैफ़िक में एक लिंक को भी इंजेक्ट करता है, जो पहुंच प्राप्त करने की प्रक्रिया को काफी तेज करता है।

सफल फ़ाइल डाउनलोड या पहुंच के अभाव में, कनेक्शन समाप्त करना आवश्यक है, हमले के लिए सत्र का पहले ही उल्लंघन हो चुका है (कमांड काउंटर खटखटाया जा चुका है) अवरोधन प्रक्रिया को लूप नहीं करने के लिए
और फिर भी आपको अनुरोधित संसाधन तक पहुंचने देते हैं, इंटरसेप्टर पर हमले को चिह्नित करता है और अब प्रवाह के साथ हस्तक्षेप नहीं करता है जब तक कि हमला फिर से शुरू न हो जाए। यह किसी भी संदेह को दूर करता है और एक खराबी को समाप्त करता है।

SMB अपहरण वीडियो डेमो नीचे।



केर्बरोस डाउनग्रेड और एसएमबी हाइजैकिंग के अलावा, इंटरसेप्टर के नए संस्करण में निम्नलिखित परिवर्तन हुए हैं।

MiTM का एकीकृत WPAD प्रॉक्सी सर्वर NTLM-Response Grabber को एकीकृत करता है। परिणामी हैश की गणना की जा सकती है।
अब, कई इंटरसेप्टेड हैश के लिए, लॉन्चिंग ब्रूट फोर्स प्रोग्राम से सीधे उपलब्ध है, इसके लिए आपको पहले जेटीआर (जंबो पैच के साथ) डाउनलोड करना होगा और इसे इंटरसेप्टर के साथ फ़ोल्डर में रखना होगा।
स्मार्ट स्कैन में, एक नया OS फिंगरप्रिंटिंग विधि जोड़ा गया है, जो अधिक सटीक परिणाम देता है।
एक SYN पोर्ट स्कैनर, DHCP MiTM के लिए एक श्वेतसूची मैक पते, IDNs (राष्ट्रीय डोमेन नाम) के लिए समर्थन और कई और सुधार और सुधार थे।

SMB अपहरण का उपयोग डिफ़ॉल्ट रूप से किया जाता है, यदि आपको पुराने SMBRelay को चलाने की आवश्यकता है, तो आपको विशेषज्ञ मोड में संबंधित daw को स्विच करने की आवश्यकता है।

आप मंच पर या मेल से सवाल पूछ सकते हैं।

जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रस्तुत की गई है। इस लेख में सामग्री के कारण होने वाले किसी भी संभावित नुकसान के लिए लेखक जिम्मेदार नहीं है।