Tìm hiểu tấn công Null Session

Tìm hiểu cơng Null Session Null Session, gọi IPC$ máy chủ tảng Windows, dạng kết nối nặc danh tới mạng chia sẻ cho phép người dùng mạng truy cập tự Tấn công Null Session xuất kể từ Windows 2000 sử dụng rộng rãi, nhiên, hình thức công không quản trị viên hệ thống ý áp dụng biện pháp bảo mật mạng Điều dẫn đến kết cục khơn lường tin tặc sử dụng hình thức cơng để lấy thơng tin hữu dụng cần thiết để giành quyền truy cập từ xa vào hệ thống Mặc dù khơng cịn mẻ, công Null Session phổ biến nguy hiểm năm trước Xét khía cạnh đó, khả bảo mật hệ thống đại yếu thực thử nghiệm xâm nhập máy tính Windows kết cho thấy Null Session hình thức cần lưu ý Trong viết tìm hiểu cách thức hoạt động công Null Session phương pháp ngăn chặn xảy hệ thống Phương thức hoạt động Null Session Một phiên truy cập từ xa tạo lập người dùng đăng nhập từ xa vào máy tính sử dụng tên người dùng mật có quyền truy cập vào tài nguyên hệ thống Tiến trình đăng nhập thực qua giao thức SMB (Server Message Block) dịch vụ Windows Server Những kết nối hoàn toàn hợp pháp thơng tin đăng nhập xác sử dụng Một Null Session xảy người dùng thực kết nối tới hệ thống Windows mà không sử dụng tên người dùng hay mật Hình thức kết nối khơng thể thực hình thức chia sẻ Windows thơng thường nào, nhiên lại thực chia sẻ quản trị IPC (Interprocess Communication) Chia sẻ IPC tiến trình Windows sử dụng (với tên người dùng SYSTEM) để giao tiếp với tiến trình khác qua mạng Chia sẻ IPC giao thức SMB sử dụng Chia sẻ không yêu cầu thông tin đăng nhập IPC thường sử dụng cho chương trình giao tiếp với chương trình khác, nhiên khơng có đảm bảo người dùng khơng thể kết nối tới máy tính kết nối IPC Kết nối IPC không cho phép truy cập khơng giới hạn vào máy tính, mà cịn trao quyền truy cập vào tất máy tính mạng, mà tin tặc cần để xâm nhập hệ thống Phương thức công sử dụng Null Session Giờ biết cách thức hoạt động Null Session, nhiên ‘liệu tin tặc sử dụng hình thức cơng dễ dàng hay không?’ Câu trả lời ‘khá dễ dàng’ Kết nối Null Session thiết lập trực tiếp từ lệnh Windows mà không cần sử dụng cơng cụ bổ sung, lệnh NET Lệnh NET thực nhiều chức quản trị, sử dụng lệnh tạo kết nối tới chia sẻ tiêu chuẩn máy chủ đích, nhiên kết nối thất bại thơng tin đăng nhập khơng xác Hình 1: Kết nối thất bại vào mạng chia sẻ sử dụng lệnh NET Khi sử dụng lệnh NET, thay đổi tên chia sẻ kết nối tới chia sẻ quản trị IPC$ Khi kết khả quan Hình 2: Kết nối Null Session thành công với lệnh NET Lúc này, thiết lập kết nối Null Session tới máy tính nạn nhân Tuy nhiên, chưa có quyền truy cập quản trị máy tính chưa thể bắt đầu duyệt tìm ổ cứng hay lấy mật Cần nhớ rằng, chia sẻ IPC sử dụng để giao tiếp tiến trình, quyền truy cập bị giới hạn xuống quyền truy cập tên người dùng SYSTEM Chúng ta sử dụng lệnh NET để lấy nhiều thơng tin từ máy tính mục tiêu, nhiên có nhiều cơng cụ tự động hóa thực cơng việc rắc rối Trong ví dụ này, sử dụng công cụ lấy thông tin từ Null Session có tên Enum Enum tiện ích tảng dịng lệnh miễn phí sử dụng để lấy tên người dùng, tên nhóm, thơng tin hệ thống, … Một thông tin quan với tin tặc danh sách người dùng hệ thống Với danh sách này, tiến hành dự đốn mật chí áp dụng biện pháp phá mật Để lấy danh sách người dùng với Enum, chạy lệnh sau: Hình 3: Sử dụng cơng cụ Enum để lấy danh sách người dùng hệ thống Với danh sách người dùng tay, truy lục sách mật hệ thống để dễ dàng phá mật Hình 4: Sử dụng Enum để hiển thị sách mật hệ thống Ngồi lấy danh sách chia sẻ máy tính nạn nhân Hình 5: Sử dụng Enum để hiển thị chia sẻ hệ thống Enum cung cấp số tùy chọn khác sử dụng để lấy kiểu thơng tin tương tự, chí tích hợp cơng cụ công tra cứu giúp bẻ mật dựa danh sách từ người dùng cung cấp Hình 6: Danh sách tùy chọn Enum Những tùy chọn khơng thể lấy xác thơng tin đăng nhập vào hệ thống, nhiên bước đệm thành phần chủ chốt để tin tặc giành quyền truy cập vào máy tính nạn nhân Phương pháp phòng vệ trước Null Session Khi nghĩ đến tin tặc công, có lẽ câu hỏi thường nghĩ đến ‘liệu hệ thống có điểm yếu hay không?’ Câu trả