HARD CORE SECURITY LAB

Do przeprowadzenie naszego testu penetracyjnego wykorzystamy najczęściej stosowany w tym celu system operacyjny typu Linux LiveCD BackTrack 4.

Po uruchomieniu systemu logujemy się jako root:toor. W celu pobrania konfiguracji sieci z serwera DHCP może nam się przydać polecenie dhclient. Jeśli chcemy uruchomić tryb graficzny, wpisujemy polecenie startx.

Do przeprowadzenia całego testu potrzebny będzie nam The Social-Engineer Toolkit (SET), czyli zbiór gotowych narzędzi do przeprowadzania socjotechnicznych testów penetracyjnych. Łatwe pobranie pakietu umożliwi nam wydanie następującego polecenia w konsoli systemu BackTrack: svn co http://svn.thepentest.com/social_engineering_toolkit/ SET/.

Wykonując polecenie cd /root/SET (wielkość liter ma znaczenie) przechodzimy do katalogu z pakietem SET. Polecenie ./set spowoduje natomiast uruchomienie narzędzia. Poprzez prosty wybór odpowiednich numerów pozycji menu możemy przystąpić do właściwego przygotowania ataku. Wybieramy 2 (Website Attack Vectors). Następnie ponownie wybieramy nr 2 (Clone and setup a fake website). W następnym menu jeszcze raz nr 2 (The Metasploit Browser Exploit Method). W kolejnym kroku musimy ręcznie wpisać adres strony internetowej, którą SET ma dla nas sklonować, wpiszmy więc http://www.google.pl/. W kolejnym kroku wybieramy exploit, czyli program, za pomocą którego przejmiemy kontrolę nad ofiarą, wybierzmy słynny chiński exploit "Aurora" za pomocą opcji 1 (Microsoft Internet Explorer "Aurora" Memory Corruption MS10-002). Następnie musimy wybrać payload, czyli kod, który ma zostać wykonany w systemie ofiary po udanym ataku, wybierzmy 2 (Windows Reverse_TCP Meterpreter).

W tym momencie mamy już wszystko, co jest potrzebne do wykonania testowego ataku! Pozostaje nam już tylko nakłonienie (w tym celu crackerzy stosują np. wiadomości e-mail lub wiadomości IM zachęcające do kliknięcia w odnośnik) w jakikolwiek sposób potencjalnej ofiary do odwiedzenia następującego odnośnika: http://192.168.64.129:8080/ (adres będzie się różnił, w zależności od adresu IP Twojej karty sieciowej w systemie BackTrack).

Zobaczmy więc, co się stanie, gdy potencjalna ofiara odwiedzi powyższy adres za pomocą Internet Explorera... Okazuje się, że payload, po udanym wykorzystaniu luki (za co odpowiedzialny był z kolei exploit) w przeglądarce IE, nawiązał z nami zwrotne połączenie. W wyniku tego, po wydaniu komend sessions -i 1, a następnie shell otrzymamy zdalny dostęp do konsoli systemowej przejętego systemu Windows XP!

Całą procedurę obrazuje dostępny po prawej stronie zrzut ekranowy (wszystkie komendy wprowadzane przez użytkownika zostały podkreślone na czerwono). Zrzut w pełnej rozdzielczości można obejrzeć tutaj.

Okazuje się więc, że przejęcie kontroli nad komputerem przeciętnego internauty nie stanowi większego problemu nie tylko dla super ekspertów. Intruz wyposażony w odpowiednie, gotowe narzędzie może się okazać dla nas równie groźny... zawsze należy więc zachować najwyższą ostrożność w trakcie otwierania nieznanych odnośników, bowiem tylko tyle wystarczy do całkowitej utraty kontroli nad własnym systemem...

Artykuł autorski HCSL - Wojciech Smol