Analizarea unui atac (Partea 1)
Analiza unui atac (Partea a 2-a)
Don Parker
În partea 2 a acestei serii, am lăsat toate informațiile necesare pentru un atac asupra rețelei victimei. Având în vedere asta, să trecem la un atac real. Acest atac presupune transmiterea mai multor programe de solicitare pentru a putea merge mai departe in exploatarea unui atac.
Ar fi inutil să atacăm pur și simplu un computer și apoi să ne retragem, așa că vom face un atac puternic. De obicei, scopul unui atacator rău intenționat nu este doar de a-și crește prezența într-o rețea de computere, ci și de a o menține. Asta înseamnă că atacatorul dorește în continuare să-și ascundă prezența și să efectueze alte acțiuni.
Probleme interesante
Acum vom folosi Metasploit Framework pentru a facilita un atac real. Acest mecanism de lucru este cu adevărat interesant, deoarece vă oferă multe tipuri diferite de minerit, precum și multe opțiuni diferite atunci când vine vorba de alegerea sarcinilor utile. Poate că nu doriți un utilitar invers sau o injectare VNC. Sarcina utilă depinde adesea de ținta viitoare, arhitectura rețelei și obiectivul final. În acest caz, o vom face cu o utilitate inversă. Aceasta este adesea abordarea mai avantajoasă, mai ales în cazurile în care ținta noastră se află în spatele routerului și nu este direct accesibilă. De exemplu, „loviți” un server web, dar încărcarea este încă echilibrată. Nu există nicio garanție că va fi posibil să vă conectați la acesta cu un utilitar înainte, așa că veți dori ca computerul dvs. să genereze un utilitar invers. Nu vom acoperi cum să folosiți Metasploit Framework, deoarece este posibil să fi fost tratat într-un alt articol. Deci, să ne concentrăm doar pe lucruri precum nivelurile pachetelor.
De data aceasta, în loc să folosim metoda de introducere a fiecărui pas de atac cu imagini scurte și fragmente de cod, vom prezenta un atac diferit. Ceea ce se va face este să recreați atacul cu ajutorul lui Snort. Vom profita de jurnalul binar din atacul pe care l-am efectuat, apoi îl vom analiza prin Snort. Ideal ar arăta ca tot ce am făcut. De fapt, ceea ce va fi implementat este un pachet de probă. Scopul aici este să vedem cât de exact putem pune cap la cap ceea ce sa întâmplat. Având în vedere asta, vom folosi jurnalul de pachete binar care a înregistrat tot ce a fost executat și îl vom analiza prin Snort folosind unele dintre regulile sale implicite.
Ieșire Snort
Sintaxa folosită pentru a invoca Snort este următoarea:
C:\snort\bin\snort.exe –r c:\article_binary –dv –c snort.conf –A fullAceastă sintaxă determină Snort să analizeze un pachet binar numit article_binary, rezultatul este afișat mai jos. Am trunchiat ieșirea Snort, astfel încât să putem privi fiecare secțiune în detaliu.
==============================================================
Snort processed 1345 packets.
==============================================================
Breakdown by protocol:
TCP: 524 (38.959%)
UDP: 810 (60.223%)
ICMP: 11 (0.818%)
ARP: 0 (0.000%)
EAPOL: 0 (0.000%)
IPv6: 0 (0.000%)
ETHLOOP: 0 (0.000%)
IPX: 0 (0.000%)
FRAG: 0 (0.000%)
OTHER: 0 (0.000%)
DISCARD: 0 (0.000%)
==============================================================
Action Stats:
ALERTS: 63
LOGGED: 63
PASSED: 0Această secțiune este interesantă deoarece au existat 63 de alerte declanșate de o acțiune de atac. Ne vom uita la fișierul alert.ids, care poate oferi o mulțime de detalii despre ceea ce s-a întâmplat. Acum, dacă vă amintiți că primul lucru pe care l-a făcut atacatorul a fost să folosească Nmap pentru a efectua o scanare a rețelei, aceasta a creat și prima alertă care a fost declanșată de Snort.
[**] [1:469:3] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
08/09-15:37:07.296875 192.168.111.17 -> 192.168.111.23
ICMP TTL:54 TOS:0x0 ID:3562 IpLen:20 DgmLen:28
Type:8 Code:0 ID:30208 Seq:54825 ECHO
[Xref => http://www.whitehats.com/info/IDS162]În acest fel, atacatorul a folosit netcat pentru a enumera serverul web pentru a afla ce tip de server web este acesta. Această acțiune nu a declanșat nicio alertă Snort. De asemenea, vrem să aflăm ce s-a întâmplat, așa că haideți să aruncăm o privire mai atentă la jurnalul pentru pachet. După ce respectăm procedura obișnuită de strângere de mână TCP/IP, vom vedea pachetul de mai jos.
15:04:51.546875 IP (tos 0x0, ttl 128, id 9588, offset 0, flags [DF], proto: TCP (6), length: 51) 192.168.111.17.1347 > 192.168.111.23.80: P, cksum 0x5b06 (correct), 3389462932:3389462943(11) ack 2975555611 win 64240
0x0000: 4500 0033 2574 4000 8006 75d7 c0a8 6f11 E..3%[email protected].
0x0010: c0a8 6f17 0543 0050 ca07 1994 b15b 601b ..o..C.P.....[`.
0x0020: 5018 faf0 5b06 0000 4745 5420 736c 736c P...[...GET.slsl
0x0030: 736c 0a sl.Nu este nimic remarcabil la acest pachet, în afară de faptul că are o solicitare GET, cu unele probleme interne, cum ar fi slslsl, de exemplu. Deci, în realitate, Snort nu are nimic de făcut. Prin urmare, este foarte dificil să construiți o semnătură IDS (sau semnătură) eficientă pentru a declanșa acest tip de încercare de enumerare. De aceea nu există astfel de semnături. Următorul pachet de după acesta este locul în care se listează serverul web al rețelei victime.
Odată ce enumerarea este făcută, atacatorul trimite imediat un cod pentru a executa exploit-ul către serverul web. Acest cod va da apoi niște rezultate cu semnăturile Snort activate. În special pentru exploit-ul prezentat mai jos putem vedea această semnătură Snort.
[**] [1:1248:13] WEB-FRONTPAGE rad fp30reg.dll access [**]
[Classification: access to a potentially vulnerable web application] [Priority:
2]08/09-15:39:23.000000 192.168.111.17:1454 -> 192.168.111.23:80
TCP TTL:128 TOS:0x0 ID:15851 IpLen:20 DgmLen:1500 DF
***A**** Seq: 0x7779253A Ack: 0xAA1FBC5B Win: 0xFAF0 TcpLen: 20
[Xref => http://www.microsoft.com/technet/security/bulletin/MS01-035.mspx][Xref
=> http://cve.mitre.org/cgi-bin/cvename.cgi?name=2001-0341][Xref => http://www.s
ecurityfocus.com/bid/2906][Xref => http://www.whitehats.com/info/IDS555]Odată ce atacatorul a obținut acces la serverul web, va începe să folosească clientul TFTP pentru a transfera 4 fișiere: nc.exe, ipeye.exe, fu.exe, msdirectx.exe. Odată ce aceste fișiere au fost transferate, atacatorul folosește netcat pentru a trimite un utilitar înapoi la computerul său. De acolo, el poate deconecta celălalt utilitar care a rezultat în urma atacului inițial și poate face toată munca rămasă în utilitarul netcat. Interesant este că niciuna dintre acțiunile efectuate de atacator prin intermediul utilitarului invers nu a fost înregistrată de Snort. Cu toate acestea, indiferent de asta, atacatorul a folosit un rootkit pe care l-a transmis prin TFTP pentru a ascunde informațiile de proces pentru netcat.
Concluzie
În partea a treia a acestei serii, am văzut un atac demonstrat folosind Snort. Putem recrea complet unul dintre lucrurile care au fost făcute, cu excepția utilizării rootkit-ului. Chiar dacă IDS este o tehnologie destul de utilă și o parte a sistemului dvs. de apărare a rețelei, nu este întotdeauna perfect. IDS-urile vă pot avertiza doar asupra traficului pe care îl poate detecta. Având în vedere acest lucru, vom învăța cum să construim semnături Snort în partea finală a acestei serii. Odată cu asta, vom învăța și cum să testăm o semnătură digitală (semnătură) pentru a-i evalua eficacitatea.
Această serie se va baza pe o vulnerabilitate a rețelei. Ceea ce va fi introdus în articol este un atac real, începând de la recunoaștere până la enumerare, exploatare a serviciilor de rețea și terminând cu strategii de exploatare a notificărilor. Toți acești pași vor fi observați la nivel de pachet de date și apoi explicați în detaliu.
V-am arătat în prima parte informațiile care pot fi observate în timpul deschiderii secvenței de pachete trimise de Nmap. Secvența trimisă începe cu un răspuns ecou ICMP pentru a determina dacă computerului sau rețelei i-a fost atribuită o adresă IP.
Televizoarele inteligente au luat cu adevărat lumea cu asalt. Cu atât de multe funcții grozave și conectivitate la internet, tehnologia a schimbat modul în care ne uităm la televizor.
Frigiderele sunt aparate cunoscute în gospodării. Frigiderele au de obicei 2 compartimente, compartimentul cool este spatios si are o lumina care se aprinde automat de fiecare data cand utilizatorul il deschide, in timp ce compartimentul congelator este ingust si nu are lumina.
Rețelele Wi-Fi sunt afectate de mulți factori, dincolo de routere, lățime de bandă și interferențe, dar există câteva modalități inteligente de a vă îmbunătăți rețeaua.
Dacă doriți să reveniți la iOS 16 stabil pe telefonul dvs., iată ghidul de bază pentru dezinstalarea iOS 17 și downgrade de la iOS 17 la 16.
Iaurtul este un aliment minunat. Este bine să mănânci iaurt în fiecare zi? Când mănânci iaurt în fiecare zi, cum se va schimba corpul tău? Să aflăm împreună!
Acest articol discută cele mai hrănitoare tipuri de orez și cum să maximizați beneficiile pentru sănătate ale orezului pe care îl alegeți.
Stabilirea unui program de somn și a rutinei de culcare, schimbarea ceasului cu alarmă și ajustarea dietei sunt câteva dintre măsurile care vă pot ajuta să dormiți mai bine și să vă treziți la timp dimineața.
Inchiriez va rog! Landlord Sim este un joc mobil de simulare pe iOS și Android. Veți juca ca proprietarul unui complex de apartamente și veți începe să închiriați un apartament cu scopul de a îmbunătăți interiorul apartamentelor și de a le pregăti pentru chiriași.
Obțineți codul de joc Roblox Bathroom Tower Defense și răscumpărați pentru recompense interesante. Ele vă vor ajuta să faceți upgrade sau să deblocați turnuri cu daune mai mari.
Să învățăm despre structura, simbolurile și principiile de funcționare ale transformatoarelor în cel mai precis mod.
De la o calitate mai bună a imaginii și a sunetului la controlul vocal și multe altele, aceste funcții bazate pe inteligență artificială fac televizoarele inteligente mult mai bune!
Inițial, oamenii aveau mari speranțe în DeepSeek. Fiind un chatbot AI comercializat ca un concurent puternic pentru ChatGPT, acesta promite capacități și experiențe inteligente de chat.
Este ușor să ratezi detalii importante atunci când notezi alte elemente esențiale, iar încercarea de a lua notițe în timpul conversației poate fi distragerea atenției. Fireflies.ai este soluția.
Axolot Minecraft va fi un asistent excelent pentru jucători atunci când operează sub apă, dacă știu să le folosească.
Un loc liniștit: configurația Road Ahead este foarte apreciată, așa că va trebui să luați în considerare configurația înainte de a decide să descărcați.
