हमारे अपने अभ्यास से एक पैठ परीक्षण का एक और उदाहरण

अच्छे दिन, प्रिय पाठकों। लंबे समय तक मैंने अपनी प्रैक्टिस से पेन टेस्ट पर उदाहरण नहीं लिखे, इसे ठीक करने का समय आ गया है। बस एक आदेश है, जिसके बाद पर्याप्त समय बीत चुका है, और क्लाइंट ने नेटवर्क पर जानकारी प्रकाशित करने की अनुमति दी है, लेकिन, निश्चित रूप से, कंपनी का नाम, अपने कर्मचारियों के नाम आदि का उल्लेख किए बिना, बहुत समय नहीं लेने के लिए, मैं बिना संक्षेप में सब कुछ बताने की कोशिश करूंगा। पानी।

ठीक एक दिन, मुझे प्रदाता X की सुरक्षा का परीक्षण करने का आदेश मिला। परीक्षण का उद्देश्य बाहरी नेटवर्क से अभियान के स्थानीय नेटवर्क तक पहुंचना है, और फिर किसी भी जानकारी तक पहुंच प्राप्त करना है जो कम से कम कुछ वाणिज्यिक मूल्य प्रदान करता है। प्रारंभिक डेटा संगठन की वेबसाइट है (आइए इसे साइट.कॉम के रूप में कल्पना करें)।

यह सब आधिकारिक साइट के रूप में एक ही सबनेट में स्थित मशीनों की खोज के साथ शुरू हुआ। 10 ऐसे मेजबान मिले। सीधे तौर पर खुदाई करने के लिए कुछ भी नहीं था: बाहर दिखने वाली सभी सेवाएँ नवीनतम संस्करण की थीं, उन्होंने उपयोगकर्ता नाम / पासवर्ड के लोकप्रिय शब्दकोशों द्वारा ब्रूट को नहीं दिया या इसका प्रतिसाद दिया (आईपी द्वारा प्रतिबंध, प्रवेश करने के दौरान वेब सर्वर पर बड़ी देरी, एक्सेस करने पर IP पर ब्रूट बल को कोई भी संदिग्ध निर्देशिका या फ़ाइलें नहीं मिलीं।

फिर, Google, बिंग और कुछ बस्टर्स की मदद से, site.com सबडोमेन की एक सूची तैयार की गई। यह पता चला कि एक बार एक अलग सर्वर पर, प्रदाता ने वेब होस्टिंग सेवाएं प्रदान कीं। साधारण स्थिति, एक छोटा शुल्क, एक उपहार के रूप में एक तृतीय-स्तरीय डोमेन। इनमें से कई डोमेन आज तक कार्य करते हैं।

जब इन साइटों को उनमें से एक पर देखा गया, तो बहुत पुराने संस्करण 2.0.15 के phpBB फोरम की खोज की गई थी, जिसमें RCE भेद्यता (रिमोट कोड निष्पादन) थी। भेद्यता का तुरंत शोषण किया गया था, और मंच निर्देशिकाओं में से एक में एक शेल डाला गया था। हालाँकि, प्रत्येक क्लाइंट के लिए PHP सेटिंग्स में, ओपन_बेडिअर विकल्प को उसकी कार्यशील निर्देशिका के एक संकेत के साथ चालू किया गया था, जो दुभाषिया के कार्यों को सीमित करता है। Safe_mode भी शामिल था।

लेकिन इस स्थिति से बाहर निकलने का एक रास्ता था। Phpinfo () में अफवाह होने के बाद, मुझे पथ "/ usr / bin /" के साथ safe_mode_exec_dir विकल्प मिला। जैसा कि यह पता चला, व्यवस्थापक ने उन ग्राहकों में से एक के अनुरोध पर यह अनुमति दर्ज की, जिन्हें इमेजमैजिक बायनेरिज़ तक पहुंचने की आवश्यकता थी। बेशक, पर्ल / यूएसआर / बिन में भी स्थित था। इसलिए, सिस्टम के माध्यम से होस्ट पर (), एक मोती बार पिछले दरवाजे को तुरंत लॉन्च किया गया था, शेल के समान निर्देशिका में डाला गया।

मेरे अंदर थोड़ी निराशा थी - यह सर्वर कंपनी के स्थानीय नेटवर्क से जुड़ा नहीं था, लेकिन इस पर गोलाबारी पहले से ही कुछ थी। इसके अलावा, अधिकारों में कोई विशेष अंतर नहीं था, और मैं आसानी से सभी तैनात मेजबानों की वेब निर्देशिका के आसपास घूमता रहा। इस सर्वर से सूचना को संसाधित करने में लगभग 2 दिन लगे। डेटाबेस से सभी पासवर्ड, होस्ट की गई साइटों, उनके उपयोगकर्ताओं और अन्य चीजों के प्रवेश को इकट्ठा किया गया था, इस उम्मीद में कि वे किसी प्रकार के परीक्षण प्रोजेक्ट में आएंगे, प्रशासकों में से एक द्वारा संचालित और विशेषाधिकार प्राप्त लॉगिन और पासवर्ड युक्त होगा।

उम्मीदें सच हुईं, और अंत में मुझे 2 प्रोजेक्ट मिले जो एडिंस द्वारा छोड़ दिए गए थे। पहली कंपनी के मुख्य साइट के पुराने संस्करण की एक प्रति थी, और दूसरा एक बीटा होस्ट था, जिसने पूर्ण लॉन्च से पहले उसी साइट के एक नए संस्करण की मेजबानी की थी। दोनों वहां और एक मंच थे जहां कंपनी के कर्मचारियों ने उपयोगकर्ताओं के साथ बात की, सलाह दी और खबर को फैलाया। उनके सभी हैश को तुरंत विलय कर दिया गया और एक जानवर पर डाल दिया गया।

व्यक्तिगत खाते के पुराने संस्करण की स्क्रिप्ट भी मिलीं, जिसके माध्यम से उपयोगकर्ता अपने खाते के आंकड़ों को देख सकते हैं और टैरिफ योजनाओं को बदल सकते हैं। नए संस्करण को बीटा होस्ट पर नहीं देखा गया था, लेकिन पुराने में पोस्टग्रेक्यूएल तक पहुंच का वास्तविक विवरण था, जो बाहरी कनेक्शन के लिए सुलभ नहीं था। होस्ट पर pgsql क्लाइंट जहाँ मैं स्थापित नहीं था। पर्ल में केवल एक ही मॉड्यूल था (पुराने एलसी की स्क्रिप्ट उस पर लिखी गई थी)। मुझे उस पर उसी छोटे कंसोल उपयोगिता को लिखना था जो उपयोगकर्ता से एक sql क्वेरी प्राप्त करता है और एक पठनीय रूप में अपना परिणाम प्रदर्शित करता है।

इसकी मदद से, मैं डेटाबेस से जुड़ने और क्लाइंट बेस तक पहुंचने में कामयाब रहा। विशेष रूप से, इंटरनेट से कनेक्ट करने के लिए उपयोगकर्ता लॉगिन और पासवर्ड युक्त एक तालिका। इसमें, मुझे व्यवस्थापक खाते खोजने की उम्मीद थी। सैद्धांतिक रूप से, उन्हें तालिका में पहले स्थान पर होना चाहिए था। हालांकि, सब कुछ बहुत सरल निकला। क्लाइंट लॉगिन में संख्याओं का एक समूह शामिल होता है, जबकि विशेष खातों के लिए वे अल्फ़ाबेटिक थे। उनमें से केवल 10 थे। सौभाग्य से, पासवर्ड स्पष्ट में संग्रहीत किए गए थे, और कुछ भी ब्रश नहीं करना था। एकत्र किए गए डेटा को पहले से कॉन्फ़िगर किए गए पासवर्डों में जोड़ा गया था, और मुझे विशेषाधिकार प्राप्त उपयोगकर्ताओं के उपयोगकर्ता नामों / पासवर्डों की एक सूची प्राप्त हुई, जो मुझे अन्य सर्वरों को प्राप्त करने में मदद कर सकती है।

पहले मिले फ़ोरम से कई प्रशासनिक खातों ने वर्तमान साइट के फ़ोरम के व्यवस्थापक पैनल से संपर्क किया। यह IPB3 था, और व्यवस्थापक पैनल के माध्यम से शेल डालना मुश्किल नहीं था। मेरे पास जो भी था, उसके खिलाफ कर्मचारियों के खातों की वर्तमान सूची की जाँच की गई। 2 नए लॉगिन सामने आए, जिनकी राख तुरंत खोज के लिए चली गई। उन हैश के साथ जो इस समय के दौरान अटकने का प्रबंधन नहीं करते थे, मैंने आसान काम किया। एक बैकडोर को फोरम कोड में बनाया गया था, जिसमें मुझे रुचि रखने वाले लॉगिन के पासवर्ड दर्ज किए गए थे, और इन उपयोगकर्ताओं के सत्र डेटाबेस से हटा दिए गए थे, जिसके कारण उनमें से प्रत्येक को फिर से प्राधिकरण से गुजरना पड़ा था। अगले दिन के अंत तक, प्रशासकों के लिए प्रभावी लॉगिन और पासवर्ड की मेरी सूची में कुछ और प्रविष्टियों की वृद्धि हुई। इसका उपयोग करने का समय आ गया है।

पहले मेजबान पर लक्ष्य का चयन करने के लिए, जहां मैंने शेल प्राप्त करने में कामयाबी हासिल की, नैम्प का निर्माण किया गया, और उन्होंने सभी 10 होस्ट्स को स्कैन किया, जो कि बाहर से सुलभ थे, लेकिन सर्वर की ओर से जो उनके साथ एक ही नेटवर्क पर था। इससे परिणाम मिले - नई सेवाएं "सामने" आईं जिनमें इंटरनेट की पहुंच का अभाव था।

तब हाइड्रा को इकट्ठा किया गया था और सभी 10 सर्वरों का एसएसएच ब्रूट (मैंने इसके साथ शुरू करने का फैसला किया था) लॉन्च किया गया था। इसने 3 अतिरिक्त सर्वर तक पहुंच प्रदान की। अब मैं 10 में से 5 पर पैर रख सकता था। लेकिन मुझे ऐसा करने की जरूरत नहीं थी, क्योंकि उनमें से एक कंपनी के स्थानीय नेटवर्क से जुड़ा था।

उस पर उसी नैंप और हाइड्रा को तैनात करते हुए, मैंने लैन का पता लगाना शुरू किया। बहुत सी दिलचस्प चीजें मिलीं, लेकिन पहला ध्यान आंतरिक एफ़टीपी सर्वर और ओपन-ई एनएएस-एक्सएसआर प्रशासनिक वेब पैनल (फाइल स्टोरेज) पर गया। एफ़टीपी को तुरंत ब्रूट पर डाल दिया गया था, लेकिन ओपन-ई एनएएस-एक्सएसआर पर मैं Google में चढ़ गया, क्योंकि मैंने इस उत्पाद को पहले कभी नहीं देखा था।

वहां, सामान्य जानकारी के अलावा, डिफ़ॉल्ट प्रशासनिक पासवर्ड पाए गए, जो कि, जैसा कि आप शायद पहले से ही अनुमान लगा चुके हैं, का पता नियंत्रण कक्ष पर चला गया। इसमें smb- स्टोरेज डायरेक्टरीज़ और उन यूज़र्स के नामों की सूची थी, जिनकी वहाँ पहुँच थी। हाइड्रा ने मुझे यह कहकर फिर से आश्चर्यचकित कर दिया कि इन लॉगिन के माध्यम से smb की पहुंच बिना पासवर्ड के है। बाहरी नेटवर्क से सुलभ एक सर्वर पर 3proxy का उपयोग करते हुए, मैंने बंदरगाहों को "गेंद" के लिए अग्रेषित किया और, इसे अपनी मशीन से जोड़ते हुए, कई बेतरतीब ढंग से चयनित डॉक्टर फ़ाइलों को डाउनलोड किया, जिन्हें ग्राहक को वांछित सबूत के रूप में स्थानांतरित किया गया था।

अपने संसाधनों का प्रबंधन करते समय सावधान रहें और हर किसी के लिए एक सुखद काम करें :)