Операция «Воздух-земля»

Андрей «Skvoznoy» Комаров

Хакер, номер #098, стр. 068

(admin@cup.su)

Нестандартные методы вторжения в беспроводные сети

В прошлых номерах мы рассматривали атаки на точки аутентификации в беспроводных сетях. Весь процесс заключался в компрометации стандартных способов авторизации с помощью WEP/WPA/WPA2/LEAP-ключей. Это демонстрировалось на самых разных объектах, начиная пользовательскими домашними хотспотами и заканчивая оборудованием, расположенным на территории Красной площади :). Сейчас я расскажу тебе о нестандартных методах вторжения практически в любую беспроводную сеть.

Прямая компрометация

Атаками с прямой компрометацией являются инциденты, где атакующий получает интерактивный или привилегированный доступ. Прямая компрометация позволяет контролировать захваченное оборудование и просматривать хранящиеся на компьютере данные. Сказать честно, украсть данные из беспроводной точки доступа и маршрутизатора достаточно трудно, так как их не так уж и много :). Ты вряд ли обнаружишь на машинах платежные БД или какие-либо секретные штучки Пентагона. Самое большое, на что можно рассчитывать, - это информация о сетевой топологии, паролях и данных о маршрутах.

Применив определенную смекалку, можно перейти и к отдельным клиентам, которые пользуются услугами захваченного оборудования. Для начала введу тебя в курс дела. Из недавней статьи «Атака на Кремль» ты узнал, что, обратившись к определенному адресу сети, реально найти то самое оборудование, которое «питает» всех инетом, и даже попытаться его взломать. Действительно это так, при конфигурации точки доступа, а иногда и роутера, существует опция установки веб-интерфейса для визуализации процесса управления роутинга. Безусловно, тут есть определенные плюсы, но, как правило, любые облегчения админской деятельности вызывают тяжелые последствия. Используя подобную технологию, администратор в первую очередь должен скрыть ее, например, добавив защиту по IP, а не только авторизацию. Как ни странно, защита фаерволом выпадает у 70% админов из памяти, что и позволяет хакеру напасть на железки удаленно. Сперва веб-интерфейс надо задетектить – обратимся, как уже говорили, к xxx.xxx.0.0 или xxx.xxx.0.1, чаще всего он висит именно там. Но кто сказал, что это всегда так? Именно для этого мы автоматизируем процесс поиска, используя следующий метод:

Посылая GET запрос к web-порту роутера, в ответ можно получить что-то вроде

"GET request "/" to 192.168.0.1 (192.168.0.1)

HTTP/1.0 401 NG

WWW-Authenticate: Basic realm="DI-824VUP+"

Unauthorized

Total bytes read: 75 "

Посоветовались с нашим Perl-кодером KSURi и решили разработать утилиту, выполняющую аудит ПО точки на всевозможные атаки.

perl hardware_auditor.pl -s 192.168.0.0 -e 192.168.0.100

LOADINC MAC ... ok

LOADING BUGS ... ok

LOADING CREDITS ... ok

192.168.0.12 - DWL-2100ap detected (!)

Одной из ошибок является применение службы ЫТЬЗ (Ышьзду Туецщкл Ьфтфпуьуте Зкщещсщд) с дефолтовым паролем «public».

Наличие snmp позволило мне опознать «биографию» хотспота путем посылки специального snmp-фрейма с OID 1.3.6.1.2.1.1.1. Когда эта служба включена, можно получить большой объем полезной сетевой информации. К примеру, атакующие из интернета могут даже узнать хосты и диапазоны IP-адресов внутренних сетей.

System information :

sysDescr : Internet Gateway Device

sysObjectID : 1.3.6.1.4.1.171

sysUptime : 1d 9h 47m 29s

sysContact :

sysName :

sysLocation :

sysServices : 2

По аптайму делаем вывод, что точка либо совсем девственная, либо периодически выключается/перезагружается админом, поэтому нужно действовать как можно быстрее. Итак, мы залезли на оборудование. Дальнейшие действия зависят только от твоей фантазии! Из самого простого - можно попытаться воспользоваться паролем какого-либо пользователя, например, пассвордом от ящика электронной почты или ICQ.

Атака на драйверы беспроводного устройства

3 сентября 2006 года Johny Cashe описал принципиально новую атаку, суть которой в том, что, используя уязвимости драйверов, можно выполнить неавторизированный код. Уязвимы следующие продукты:

APPLE:MacOS X 10.4

INTEL:Intel PRO/Wireless 2200BG

INTEL:Intel PRO/Wireless 2915ABG

INTEL:Intel PRO/Wireless 2100

INTEL:Intel PRO/Wireless 3945ABG

(w22n50.sys, w22n51.sys, w29n50.sys, w29n51.sys)

Заметь, вторая карта из этого списка фигурирует чуть ли не в каждом магазинном ноутбуке. Компрометировать удаленные системы можно с использованием LORCON (http://802.11ninja.net/code/lorcon-current.tgz). Говоря о возможностях проведения атаки, следует отметить, что обязательными условиями ее успешного осуществления являются только включенная Wi-Fi карта и непосредственная близость хакера к «радиусу действия» беспроводной сети. Сейчас я продемонстрирую атаку, которую проводил не раз.

skvoz@cup # ./lorcon -c 1 -d 80 -t 00:0C:6E:4F:A2:00

Finding channel and signal strength ... DONE!

Preparing shellcode ...

Sending attack ...

Writing for response

..... Got shell!

Разъясню параметры запуска. Здесь ‘-с’ – номер канала (по умолчанию 1); ‘-d’ - «слушаемый порт», его мы будем бомбить специальными пакетами; ‘-t’ – атакуемая машина. Кроме того, присутствует флаг ‘-r’ – порт для backconnect-подключения при удачном захвате машины.

Дальше ты можешь выполнять любые интерпретируемые консольные команды.

Следует подробнее остановиться на методе выполнения подобной атаки – fuzzing. Термином «fuzzing» объединяют действия, сопровождающие выявление большинства дефектов безопасности. Один из приемов фаззинга основан на внесении ошибок путем передачи приложению «кривых» данных. Конкретно в описанном примере это выглядит так: на атакующего обрушивается шквал UDP-пакетов, по 1400 байт с определенным интервалом. В посылаемые пакеты внедряется шеллкод, который исполняется в режиме ядра.

Подробности этого чуда были приведены Крисом Касперски в октябрьском номере, а главное, что стоит извлечь из этого, – ошибки синхронизации фреймов, которыми можно не только вызвать отказ в обслуживании, но и передать управление на шеллкод.

Похожий метод компрометации, но с использованием абсолютно другого способа захвата, присутствует в драйверах Broadcom, которые обычно поставляются в стандартной сборке ПК компаний HP, Dell, Gateway и eMachines. Эта уязвимость, обнаруженная в рамках программы MoKB (Month of Kernel Bugs), провоцирует переполнение буфера драйвером для беспроводных устройств Broadcom BCMWL5.SYS путем некорректной обработки ответов карточки 802.11, содержащих длинное SSID-поле, и приводит к исполнению произвольного кода в привилегированном режиме. Исходный код эксплойта можно найти в Metasploit Framework, :Windows::Driver::Broadcom_WiFi_SSID < Msf::Exploit::Remote на Ruby. В папке /framework3/trunk/modules/exploits/windows/driver расположена еще парочка хороших тем под баги в дровах Wi-Fi, о которых написано ниже. Обрати внимание на строки во всех сплоитах под них:

OptString.new('ADDR_DST', [ true, "The MAC address of the target system",'FF:FF:FF:FF:FF:FF']),

OptInt.new('RUNTIME', [ true, "The number of seconds to run the attack", 60])

Их ты изменяешь сразу или запускаешь сплоит с соответствующими флагами. После завершения процесса ты сможешь выполнять неавторизированный код.

Атака на конечные клиенты

Заметь, что проделать такой легкий трюк мне позволила абсолютная незащищенность сети и возможность подключения с любым MAC-адресом. Но представь, что перед нами грамотно настроенная сетка. Тратить время на сниф инициализационных векторов для подбора WEP не очень хочется, особенно когда дело происходит на улице. Безусловно, при определенном опыте ты сориентируешься, что делать. Об одном из возможных решений сейчас пойдет речь.

Наверняка, тебе запомнилась статья хЫр'а (ustsecurity.info) «С любовью из России». Примечательность атаки EvilTwin, которую описывал автор, состоит в том, что она абсолютно «прозрачна» и не заметна жертве. Эмулируя «точку-близнец», вся сетевая инфраструктура коннектится к твоему хозяйству, предоставляя тебе возможность для компрометации. Для проведения EvilTwin нам потребуется знать MAC-адрес найденной точки доступа, канал и SSID. Эту информацию ты можешь с легкостью узнать из Netstambler или Kiswin. Воспользовавшись штатными средствами своего адаптера, легко перевести его в режим «act as base station», но учти, что чипсет адаптера должен быть на базе agere/hermes, иначе затея сорвется. В результате пару минут ты будешь чувствовать себя админом, настраивая диапазон выдаваемых IP'шников, идентификатор сети и еще многое другое. Естественно, мощность сигнала «твоей» точки должна быть выше подменяемой. После коннекта клиентов к твоей точке доступа, ты спокойно выполнишь аудит в испеченной сети, как у себя в любимой локалке. Если ты все просек, то, используя фейковые точки, ты можешь без палева изучать стороннюю беспроводную инфраструктуру.

«Gnivirdraw» - «wardriving» наоброт, термин, в первые упомянутый в докладе Rogue Squadron известной Shmoo. Заюзав беспроводной Honeypot из своего ноутбука, ты извлечешь всю ту же информацию, которую ты узнавал из сканеров беспроводных сетей. Создать такой софтварно можно на базе Soft AP, либо Karma Tools, которая, кроме возможности эмуляции AP, на своем борту имеет встроенный http-, FTP-, DNS-, DHCP- и POP3-сервер (modules/servers).

Воровство WEP по-другому

Существует ряд моделей оборудования, которые хранят WEP-ключ для авторизации сети в реестре. Как правило, эти модели используют подключаемую через USB Wi-Fi карточку, вроде Intel(R) PRO/Wireless 2011B LAN USB Device. Заполучив доступ непосредственно к подобной тачке, ты без труда сможешь выхватить его обращением к соответствующей ветке реестра.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\

Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318}\0008] (ключ зависит от конкретного устройства)

"Key128"="2544801583660d7009abcdef00000000000000"

"DefKeyId128"="1

Осматриваем раздел и видим примерно следующий текст: «"DefaultKeys"="364e01815b300d8038abc5ff00000000000000"», где первые 12 чисел – WEP-ключ в plaintext. На аналогичной системе, с драйвером 1.15.18.0, ключ располагался в Profiles\Default\WepKey.

Для начала тебе потребуется определить GUID устройства для подстановки. Исходный код программы, позволяющий это сделать, ты найдешь на диске. Там же описано, как все-таки нарыть этот WEP-ключ софтварно. Если же ситуация осложнена тем, что ключ не хранится в реестре, что, естественно, небезопасно, то смело заюзай уязвимость в Intel Wireless Service (s24evmon.exe). С помощью этого бага локальный пользователь может получить конфигурационные данные беспроводного оборудования, в том числе WEP-ключи. Уязвимость присутствует из-за небезопасного разграничения прав на доступ к общей секции \BaseNamedObjects\S24EventManagerSharedMemory\, которая используется службой Wireless Management Service, что позволяет атакующему читать, писать, удалять сегменты информации в памяти. Смело компилируй сплоит vc++ и запускай на вражеской тачке, после запуска получишь что-то вроде: «Possible Alphanumeric WEP KEY found: kd%2mzkl».

О том самом, или ловкость рук

В докладе Контрольно-счетной палаты США отмечено, что Wi-Fi технологии, внедряемые в правительственные организации, не имеют должной безопасности. По их сводкам, в 13 агентствах не установлена защита, а в большинстве агентств не отслеживается происходящее в беспроводных сетях. В одном из агентств 90 ноутбуков настроены на автоматический поиск сигнала в эфире, что может привести к нахождению подставного сервера. Поверь, в родной России ситуация абсолютно такая же, порой корпоративная инфраструктура настроена гораздо грамотней государственной. Так, одним зимним вечерком мне удалось украсть, пожалуй, одну из важнейших ведомственных баз «Lunar» из здания далеко не отдаленного, скажем так :). Наверняка, тебе известно, что существует ряд баз данных для служебного пользования. Вот некоторые из них: «Лабиринт» (база данных о политиках и их биографиях), база «Лунар» (телефоны и справочная информация о руководящем составе МВД, налоговой полиции, правительства, прокуратуры, Газпрома и пр.), база «БТИ» (собственники жилья в Москве), база «ГИБДД» (полные данные по автовладельцам Москвы) и т.п. Дистрибутивы подобных вещей хранятся в сейфах за толстыми стенами и право их использования имеют лишь избранные сотрудники. Больше всего меня интересовала база «Lunar» по личным соображениям. Получив автоматически IP-адрес, я попал в просторы Сети. Проглядывая сетевую статистику (netstat), я обратил внимание на IP-адрес 192.168.0.100. После его открытия в браузере выяснилось, что за ним скрывается поднятый HTTP-сервер, на котором отлаживались какие-то web-приложения, напоминающие интерфейс к СУБД. Востребованность узла была налицо, и активность пользователей явно присутствовала. Выяснив кое-что о нем, я понял, что он находится в группе компьютеров.

NetBIOS information on 192.168.0.100

6 names in table

HOME_161 00 UNIQUE Workstation service name

MSHOME 00 GROUP Workstation service name

HOME_161 20 UNIQUE Server services name

MSHOME 1E GROUP Group name

MSHOME 1D UNIQUE Master browser name

##__MSBROWSE__ 01 GROUP

MAC address 4: 00:0C:6E:4F:A2:00

Получение имен доменов системы происходит с помощью работы с nbtscan. При этом посылается специальный пакет на 137/udp порт, где висит соответствующая служба. Обрати внимание на «NULL session successful to \\192.168.0.100\IPC$», открытые переменные окружения - первый знак наличия расшаренных ресурсов в сети.

Кроме того, из скана стало ясно, что перед нами терминальный сервер, что имеется FTP-сервер с разрешенным anonymous-доступом, откуда я выкачал кучу интересных данных сотрудников заведения.

Существует дефект: при эмуляции вызова LsaQueryInformationPolicy() можно определить host SID (Security Identifier), который может быть использован для получения листа локальных пользователей, размещенных на хосте. Так я получил список всех юзеров.

The remote host SID value is :

1-5-21-790525478-630328440-1801674531

CVE : CVE-2000-1200

BID : 959

- Administrator account name : ?4<8=8AB@0B>@ (id 500)

- Guest account name : ?>ABL (id 501)

- HelpAssistant (id 1000)

- HelpServicesGroup (id 1001)

- SUPPORT_388945a0 (id 1002)

- Sergey (id 1003)

- Aleksey (id 1004)

- ASPNET (id 1005)

- IUSR_HOME-161 (id 1006)

- IWAM_HOME-161 (id 1007)

- Debugger Users (id 1008)

Их логины можно было использовать для пробручивания учетных записей на терминале с помощью medusa (читай статью «Терминальная эпопея»), что я и сделал, получив парочку аккаунтов. Это позволило мне побродить по пользовательским файлам всех работников, а на одной машине валялась та самая «Lunar».

Не стоит забывать об информации, которую предоставила служба NetBIOS. Действительно, наша цель находится в сетевой группе. Заходим в «Сетевое окружение -> Отобразить компьютеры в рабочей группе» (консольно: net view). Чтобы получить детальную информацию о строении сети, открой вкладку «Microsoft Windows Network (MWN)». Выполнил проверку ресурсов сети net use, анализируй их на предмет шар. Безусловно, я бы мог покопаться в «чужом белье», полазив по чужим компам рабочей группы, но все же существует определенная этика, о которой следует помнить любому хакеру, поэтому я ограничился простым netsend'ом с девизом «Priwet kolgotochniki! gemaglab1n (C)» и просмотром желаемой базы на харде одного из сотрудников. Я умышленно не стал скрывать свое присутствие, и это ввело админов в панику - судорожно они начали производить защитные действия и сканы моей системы. Но у меня всегда грамотно настроена IDS, файрвол (wipf), а ОС перебита с помощью Security Cloacker'a (его ты найдешь на диске). При попытке определения «марки» моей системы, товарищам сотрудникам выдавалось язвительное сообщение «Playstation». Удивлен? Дело в том, что, изменяя параметры в реестровой ветке SYSTEM\\CurrentControlSet\\Services\\Tcpip\, ты сможешь «смущать» любые сканеры безопасности, ведь они основываются на вполне традиционных методах анализа.

DANGER

В США полиция арестовала жителя Флориды за то, что он самовольно подключался к чужой беспроводной сети Wi-Fi. 41-летнего Бенджамина Смита обвиняют в несанкционированном проникновении в компьютерную сеть Ричарда Дайнона, который в минувшем апреле заметил, что Смит подъехал к его дому на автомобиле и стал пользоваться ноутбуком. Последующее разбирательство подтвердило факт несанкционированного доступа. Если ты собираешь повторить подобный опыт, готовься к тому, что твои действия могут попасть под статьи УК РФ.

DVD

На диске к журналу ты найдешь уникальную презентацию хакеров Дэвида Мейнора и Элча, создателей LORCON.