Bản trình bày bằng tiếng Việc của chương trình đào tạo CEH v9 Module 04Module 04 của CEHv9 trình bày các vấn đề liên quan đến kỹ thuật Enumeration (kỹ thuật điều tra, moi móc thông tin của hệ thống mạng đối tượng muốn tấn công)
Module Enumeration Những Nội Dung Chính Được Trình Bày Enumeration Là Gì? Null Session SNMP Enumeration Active Directory Enumeration Enumeration hay Liệt kê bước trình tìm kiếm thông tin tổ chức, xảy sau scanning dùng để tập hợp phân tích tên người dùng, tên máy, tài nguyên chia dịch vụ Quá trình chủ động truy vấn kết nối tới mục tiêu để có thông tin mà hacker quan tâm Enumeration Là Gì? Enumeration định nghĩa trinh trích xuất thông tin có phần scan thành hệ thống có trật tự Những thông tin trích xuất bao gồm thứ có liên quan đến mục tiêu cần công, tên người dùng (user name), tên máy tính (host name), dịch vụ (service), tài nguyên chia (share) Các bạn tham khảo thêm Enumeration giảng http://youtu.be/r6wP_yi-dak Những kỹ thuật liệt kê điều khiển từ môi trường bên Enumeration bao gồm công đoạn kết nối đến hệ thống trực tiếp rút trích thông tin Mục đích kĩ thuật liệt kê xác định tài khoản người dùng tài khoản hệ thống có khả sử dụng vào việc hack mục tiêu Không cần thiết phải tìm tài khoản quản trị tăng tài khoản lên đến mức có đặc quyền phép truy cập vào nhiều tài khoản cấp trước Các kỹ thuật sử dụng liệt kê kể như: Kỹ thuật Win2k Enumeration : dùng để trích xuất thông tin tài khoản người dùng (user name) Kỹ thuật SNMP (Simple Network Management Protocol) để liệt kê thông tin người dùng Kỹ thuật Active Directory Enumeration dùng liệt kê hệ thống Active Directory Null Session gì? Khi người dùng đăng nhập vào hệ điều hành, hệ thống yêu cầu chứng thực với thông tin username password Sau trình chứng thực, danh sách truy cập – ACL – tải để xác định quyền hạn user đăng nhập Nó cách khác, trình tạo cho user phiên làm việc rõ ràng Tuy nhiên, có dịch hệ điều hành kích hoạt tự chạy, với user ẩn danh đó, chẳng hạn SYSTEM USER Các user không cần có password dùng để khởi chạy dịch vụ ví dụ dịch vụ tìm kiếm tài nguyên chia bạn chọn chức duyệt Explorer, lúc sử dụng dịch vụ thuộc dạng Null Session Những dịch vụ sử dụng giao thức NetBIOS sử dụng kết nối thuộc dạng Null Session Một phương pháp kết nối Null Session, hay gọi IPC$ máy chủ tảng Windows, dạng kết nối nặc danh tới mạng chia sẻ cho phép người dùng mạng truy cập tự Tấn công Null Session xuất kể từ Windows 2000 sử dụng rộng rãi Tuy nhiên, hình thức công không quản trị viên hệ thống ý áp dụng biện pháp bảo mật mạng Điều dẫn đến kết cục khôn lường tin tặc sử dụng hình thức công để lấy thông tin hữu dụng cần thiết để giành quyền truy cập từ xa vào hệ thống Mặc dù không mẻ, công Null Session phổ biến nguy hiểm năm trước Xét khía cạnh đó, khả bảo mật hệ thống đại yếu thực thử nghiệm xâm nhập máy tính Windows kết cho thấy Null Session hình thức cần lưu ý Phương thức hoạt động Null Session Một phiên truy cập từ xa tạo lập người dùng đăng nhập từ xa vào máy tính sử dụng tên người dùng mật có quyền truy cập vào tài nguyên hệ thống Tiến trình đăng nhập thực qua giao thức SMB (Server Message Block) dịch vụ Windows Server Những kết nối hoàn toàn hợp pháp thông tin đăng nhập xác sử dụng Một Null Session xảy người dùng thực kết nối tới hệ thống Windows mà không sử dụng tên người dùng hay mật Hình thức kết nối thực hình thức chia sẻ Windows thông thường nào, nhiên lại thực chia sẻ quản trị IPC (Interprocess Communication) Chia sẻ IPC tiến trình Windows sử dụng (với tên người dùng SYSTEM) để giao tiếp với tiến trình khác qua mạng Chia sẻ IPC giao thức SMB sử dụng Chia sẻ không yêu cầu thông tin đăng nhập IPC thường sử dụng cho chương trình giao tiếp với chương trình khác, nhiên đảm bảo người dùng kết nối tới máy tính kết nối IPC Kết nối IPC không cho phép truy cập không giới hạn vào máy tính, mà trao quyền truy cập vào tất máy tính mạng, mà tin tặc cần để xâm nhập hệ thống Tham khảo trình bày Null Session trình bày địa http://youtu.be/Tqb_IVKCROU Phương thức công sử dụng Null Session Giờ biết cách thức hoạt động Null Session, nhiên ‘liệu tin tặc sử dụng hình thức công dễ dàng hay không?’ Câu trả lời ‘khá dễ dàng’ Kết nối Null Session thiết lập trực tiếp từ lệnh Windows mà không cần sử dụng công cụ bổ sung, lệnh NET Lệnh NET thực nhiều chức quản trị, sử dụng lệnh tạo kết nối tới chia sẻ tiêu chuẩn máy chủ đích, nhiên kết nối thất bại thông tin đăng nhập không xác Hình 1: Kết nối thất bại vào mạng chia sẻ sử dụng lệnh NET Khi sử dụng lệnh NET, thay đổi tên chia sẻ kết nối tới chia sẻ quản trị IPC$ Khi kết khả quan Hình 2: Kết nối Null Session thành công với lệnh NET Lúc này, thiết lập kết nối Null Session tới máy tính nạn nhân Tuy nhiên, chưa có quyền truy cập quản trị máy tính chưa thể bắt đầu duyệt tìm ổ cứng hay lấy mật Cần nhớ rằng, chia sẻ IPC sử dụng để giao tiếp tiến trình, quyền truy cập bị giới hạn xuống quyền truy cập tên người dùng SYSTEM Chúng ta sử dụng lệnh NET để lấy nhiều thông tin từ máy tính mục tiêu, nhiên có nhiều công cụ tự động hóa thực công việc rắc rối Công Cụ Null Session dễ dàng công với công cụ có sẵn windows Net, Netview Tuy nhiên, trình bày trên, cần trình phúc tập để làm nhiều việc, liệt kê thư mục, user…Công cụ Nbtstat Enum giúp thực hàng loạt công việc phức tạp, để cuối xâp nhập vào hệ thống Dumpsec Superscan hai công cụ đồ họa hổ trợ thực công việc Chống công Null Session Null Session sử dụng cổng TCP 135, 137,139, hay 445 đóng cổng cách để chặn kết nối null session Tuy nhiên, máy tính chia tài nguyên cho người dùng khác đóng cổng Trên hệ thống tường lữa hay gateway hệ thống mạng quản trị hệ thống hay tắt chức NetBIOS cách mở trang thuộc tính card mạng chọn tab WINS Advance TCP/IP Settings chọn Disable NetBIOS over TCP/IP Hình 4.1 Hình 4.1 – Disable NetBIOS over TCP/IP Chặn Null Session Trong Registry Chúng ta chặn Null Session cách thêm vào khóa có kiểu REG_WORD với giá trị Registry sau : Mở regedt32, di chuyển đến HKLM\SYSTEM\CurrentControlSet\LSA Chọn Edit Add Value Và nhập vào giá trị : Tên : RestrictAnonymous Kiểu : REG_WORD Giá trị: Phát Hiện Null Session với IDS Nếu thay đổi Registry hay Firewall loại bỏ chức ứng dụng mạng phải sử dụng phương pháp khác Thay chặn thống kê qua Null Session, biện pháp hữu hiệu phát công Null Session cách sớm để triển khai biện pháp khắc phục kịp thời thực kiện bảo mật mạng thông thường Nếu sử dụng Snort, IDS/IPS (Hệ thống phát chặn xâm nhập mạng) phổ biến môi trường sản xuất, rule sau phát thống kê Null Session: alert tcp $EXTERNAL_NET any -> $HOME_NET 139 (msg:”NETBIOS NT NULL session”; flow:to_server.establshed; content: ‘|00 00 00 00 57 00 69 00 6E 00 64 00 6F 00 77 00 73 00 20 00 4E 00 54 00 20 00 31 00 33 00 38 00 31|’; classtype:attempted-recon;) Rule không ngăn chặn kết nối Null Session, nhiên thông báo Null Session xảy Nâng cấp hệ điều hành Giải pháp cuối đề cập nâng cấp hệ điều hành Null Session dễ dàng thực với hệ điều hành đời cũ trước năm 2000 Còn sau Windows XP, Windows 2003 việc Microsoft tích hợp sản phẩm Do đó, nâng cấp hệ điều hành làm yên tâm Bài giới thiệu NetBIOS Nul Session http://youtu.be/iiNNPI6xs98 Kĩ thuật liệt kê SNMP (Simple Network Management Protocol) Tìm hiểu SNMP SNMP “giao thức quản lý mạng đơn giản”, viết tắc “Simple Network Management Protocol” Thế giao thức quản lý mạng đơn giản ? Giao thức tập hợp thủ tục mà bên tham gia cần tuân theo để giao tiếp với Trong lĩnh vực thông tin, giao thức quy định cấu trúc, định dạng (format) dòng liệu trao đổi với quy định trình tự, thủ tục để trao đổi dòng liệu Nếu bên tham gia gửi liệu không định dạng không theo trình tự bên khác không hiểu từ chối trao đổi thông tin SNMP giao thức, có quy định riêng mà thành phần mạng phải tuân theo Một thiết bị hiểu hoạt động tuân theo giao thức SNMP gọi “có hỗ trợ SNMP” (SNMP supported) “tương thích SNMP” (SNMP compartible) SNMP dùng để quản lý, nghĩa theo dõi, lấy thông tin, thông báo, tác động để hệ thống hoạt động ý muốn VD số khả phần mềm SNMP: Theo dõi tốc độ đường truyền router, biết tổng số byte truyền/nhận Lấy thông tin máy chủ có ổ cứng, ổ cứng trống Tự động nhận cảnh báo switch có port bị down Điều khiển tắt (shutdown) port switch SNMP Enumeration Kĩ thuật SNMP Enumeration trình sử dụng SNMP để liệt kê tài khoản người dùng hệ thống mục tiêu Hầu hết tất thiết bị hạ tầng mạng, router,switch bao gồm hệ thống Windows, chứa đựng SNMP agent để quản lý hệ thống thiết bị Các trạm quản lý SNMP gửi yêu cầu tới agent agent trả lời lại.Các yêu cầu trả lời gửi đến biến truy cập cấu hình phần mềm agent Các trạm quản lý gửi yêu cầu để thiết lập giá trị cho biến định Các trạm quản lý nhận gói Trap từ agent để biết vài điều quan trọng vừa xẩy phần mềm agent có khởi động lại hay lỗi giao diện SNMP có hai password sử dụng để truy cập cấu hình SNMP agent từ trạm quản lý Cái gọi “read community string”, password cho phép bạn xem cấu hình thiết bị hệ thống Cái thứ hai gọi “read/write community string”, dùng để thay đổi hay chỉnh sức cấu hình thiết bị Nói chung, mặc định read community string public, read/write community string private Một lỗ hổng bảo mật phổ biến xảy community string không thay đổi so với thiết lập mặc định Một hacker sử dụng password mặc định để xem thay đổi cấu hình thiết bị Nếu bạn có câu hỏi việc làm cách để xác định password mặc định thiết bị ,truy cập vào www.defaultpassword.com Công Cụ SNMPUtil Network Browser công cụ liệt kê SNMP SNMPUtil tập trung thông tin tài khoản người dùng qua SNMP hệ thống Windows Một vài thông tin bảng công việc hàng ngày,các bảng ARP,địa IP,địa MAC, cổng mở TCP UDP, tài khoản người dùng phần chia bị đọc từ hệ thống Windows nơi SNMP cho phép sử dụng công cụ SNMPUtil IPNetworkBrowser từ công cụ SolarWinds sử dụng SNMP để thu thập thêm thông tin thiết bị có SNMP agent Đối phó với kỹ thuật liệt kê SNMP Cách đơn giản để ngăn chặn kỹ thuật liệt kê SNMP gỡ bỏ SNMP agent tắt dịch vụ SNMP Nếu không chọn tắt SNMP, thay đổi tên mặc định read read/write community Thực thi bảo mật “Group Policy” thêm điều kiện ngăn ngừa kết nối người dùng nặc danh Active Directory Enumeration Active Directory (AD) ? Active Directory sở liệu tài nguyên mạng (còn gọi đối tượng) thông tin liên quan đến đối tượng Tuy vậy, Active Directory khái niệm Novell sử dụng dịch vụ thư mục (directory service) nhiều năm Mặc dù Windows NT 4.0 hệ điều hành mạng tốt, hệ điều hành lại không thích hợp hệ thống mạng tầm cỡ xí nghiệp Đối với hệ thống mạng nhỏ, công cụ Network Neighborhood tiện dụng, dùng hệ thống mạng lớn, việc duyệt tìm kiếm mạng ác mộng (và tệ bạn xác tên máy in Server gì) Hơn nữa, để quản lý hệ thống mạng lớn vậy, bạn thường phải phân chia thành nhiều domain thiết lập mối quan hệ uỷ quyền thích hợp Active Directory giải vấn đề cung cấp mức độ ứng dụng cho môi trường xí nghiệp Lúc này, dịch vụ thư mục domain lưu trữ mười triệu đối tượng, đủ để phục vụ mười triệu người dùng domain Chức Active Directory Lưu giữ danh sách tập trung tên tài khoản người dùng, mật tương ứng tài khoản máy tính Cung cấp Server đóng vai trò chứng thực (authentication server) Server quản lý đăng nhập (logon Server), Server gọi domain controller (máy điều khiển vùng) Duy trì bảng hướng dẫn bảng mục (index) giúp máy tính mạng dò tìm nhanh tài nguyên máy tính khác vùng Cho phép tạo tài khoản người dùng với mức độ quyền (rights) khác như: toàn quyền hệ thống mạng, có quyền backup liệu hay shutdown Server từ xa… Cho phép chia nhỏ miền thành miền (subdomain) hay đơn vị tổ chức OU (Organizational Unit) Sau ủy quyền cho quản trị viên phận quản lý phận nhỏ Active Directory Enumeration Liệt kê AD có nghĩa truy vấn tìm kiếm thông tin có liên quan đến AD server Windows ứng dụng qua AD Những kỹ thuật tìm hiểu kỹ thuật liệt kê NTP, WEB, DNS, LDAP… User Account Enumeration Có nghĩa liệt kê thông tin có liên quan đến user, username, phone, mail, first name, address…Những thông tin có liên quan bạn thực hình thức công khác Ví dụ bạn muốn dò tìm mật user nhớ quy tắc, user thường đặt mật có liên quan đến ngày sinh, số điện thoại, số nhà, số xe… Các bạn xem thêm trình bày User Account Enumeration http://youtu.be/kcc51MiKXho Công Cụ Sid2user User2sid hai công cụ dạng dòng lệnh giúp bạn liệt kê thông tin có liên đến user GetAcct chương trình dạng đồ họa, cho phép bạn tìm kiếm thông tin user hệ điều hành Win NT 2000 Tổng kết Sau kết thúc chương bạn cần nắm rõ vấn đề sau: Hiểu rỏ liệt kê thông tin user account: Bằng cách tạo kết nối đến hệ thống đích giao thức NetBIOS để truy vấn thông tin hệ thống Trình bày thông liệt kê từ hệ thống Những thông bao gồm tài nguyên mạng chia sẽ, user, group ứng dụng Lý giải Null Session gì? Và kỹ công dựa null session Kết nối đến hệ thống password trắng Null Session Hacker kết nối đến hệ thống đích để thực thi ứng dụng Các công cụ dùng để liệt kê Có thể chia hai loại Loại dùng NetBIOS, loại dùng SNMP SNMP Until, Enum…