Video: AMONG US, but HACKER Impostor (Oktober 2024)
Takket være en håndfuld kommandoer, som jeg havde indtastet i terminalvinduet på min udlånte Linux-laptop, havde jeg formået at overtage en ekstern Windows-maskine. Mens jeg fniste fiendtligt hele tiden, tilføjede jeg også en brugerkonto for mig selv og genstartede computeren.
Jeg hackede, eller rettere, prototocking, og det var et enormt rush.
Jeg har altid betragtet mig som en teknologisk nørder oven på en infosec-journalist. Jeg administrerer mit eget netværk og kan godt lide at skrive mine egne scripts og små applikationer. Jeg kan godt lide at adskille hardware og installere brugerdefineret firmware på enheder. Men jeg har aldrig rigtig vidst, hvordan man skal tage disse færdigheder og sammensætte dem til fjernt at overtage en computer. Jeg vidste hvordan man bruger nogle af værktøjerne, men jeg brugte dem som forsvarer til at beskytte mit netværk. Jeg vidste ikke, hvordan man sætter færdighederne sammen for faktisk at bryde ind. Indtil nu.
"En persons penetrationstester er en anden hacker, " fortalte Mike Belton, en teamleder for penetrationstestfirmaet Rapid7's Assessment Services-gruppe, til vores lille Hacker 101-klasse i New York. De samme værktøjer, som netværksadministratorerne bruger til at scanne deres netværk for at identificere problemer og ondsindet aktivitet, er de samme, som hackere bruger for at få ulovlig adgang til data og computere.
"Du behøver ikke at forårsage skade for at være en hacker, " mindede Belton os.
Hacker 101: Linux
Hver af os i Beltons klasse havde en bærbar computer, der kørte Kali Linux, en Linux-distribution designet specielt til penetrationstest og var forbundet til et netværk indeholdende en blanding af sårbare Windows- og Linux-maskiner. Belton viste os, hvordan man bruger Wireshark, nmap, et par andre kommandolinjeværktøjer og Metasploit, penetrationstest-pakken administreret af Rapid7.
Vi "fandt" en Linux-maskine med en forkert konfigureret NFS-fildelingstjeneste. Vi udnyttede fejlen til at kopiere vores egen SSH-nøgle til den eksterne Linux-maskine, så vi kunne logge ind som root. Selvom vi ikke havde rodadgangskoden, var vi i stand til at få adgang til en brugers hjemmekatalog, fordi NFS var forkert konfigureret, og det var alt, hvad vi havde brug for.
Der er en lektion der skal læres her. Hackere behøver ikke at brute tvinge rodadgangskoden, hvis administratorer og brugere lader huller som den åbne.
Jeg bankede rundt og læste meddelelser i indbakken, lærte, at TikiWiki var installeret, og fandt en adgangskodefil gemt i backup-biblioteket. Jeg ved, at dette var en VM, der omhyggeligt blev oprettet med sårbarheder og fejl, men det var stadig ret åbent (og underholdende!), Der så på tilfældige mapper og indså, hvor meget information en person kan indsamle bare ved at være nysgerrig.
I et ægte scenarie kunne jeg have brugt den adgangskodefil, der er begravet i biblioteket til sikkerhedskopier for at få adgang til webserveren eller andre følsomme maskiner. Jeg kunne have set TikiWiki-konfigurationsfilen for databaseadgangskoden.
Hacker 101: Windows XP
Belton viste os også, hvordan man bruger Metasploit til fjernudnyttelse af en Windows XP-maskine. Fra vores tidligere rekognoseringsaktiviteter vidste vi IP-adressen på Windows-maskinerne, vi kunne målrette mod. Vi konfigurerede Metasploit til at se efter en sårbarhed med ekstern kodeudførelse, der eksisterede i Windows 2000, XP og 2003 Server samt i Windows Vista og Windows Server 2008 (CVE-2008-4250). Selvom Microsoft havde lappet fejlen i 2008 (MS08-067), sagde Belton, at han stadig ser maskiner med denne sårbarhed, når de tester klientnetværk.
Metasploit får hele oplevelsen til at føle sig som børns leg. Med det målcomputersæt og en nyttelast valgt, skrev vi lige ordet "udnytte" for at starte angrebet. Jeg havde dette mentale billede af en katapult, der flyver over med en flammende ildkugle og smækkede ind i borgens vægge.
"Du har udnyttet en gammel XP VM og har en aktiv meterpreter-skal, " sagde Belton. Jeg ønskede, at vi havde lydeffekter til denne øvelse. Vi havde enten brug for en Batman-stil "Pow" eller dåse applaus, jeg er ikke sikker på, hvilken.
Vi tog skærmbilleder af Windows-boksen, og jeg genstarte maskinen (noget, som en ægte hacker ikke ville gøre, da målet er at være stealthy). Vi oprettede også brugerkonti på Windows Domain Controller med administratorrettigheder. På dette tidspunkt var det et øjeblik at bare åbne en remote desktop-session og logge ind med vores nye konti og gøre hvad vi ville.
Værktøjer, der bruges til godt eller dårligt
Selve værktøjerne er ikke dårlige. Jeg bruger dem som netværksadministrator og tester temmelig regelmæssigt. Det er de motiver, den person, der bruger dem, kan være mistænkt. Og efter denne øvelse forstår jeg lidt den "hacking for lulz" tankegang, der hacking pranksters, som Lulz Security talte om for et par år siden, da de gik på deres destruktive spree. Jeg blev skuffet, da vi fik at vide, at det var slut at være. Jeg var lige ved at komme i gang!
"Du behøver ikke vide så meget for at gøre så meget skade, " sagde Belton. Værktøjerne gør det let, men du skal stadig vide nok (eller være i stand til at søge online) for at forstå, hvad du ser på skærmen.
Hacker-tankegangen er ikke den tekniske viden, men snarere viljen til at stikke rundt. Det er ikke nok at sige, at min computer ikke har følsomme data, så enhver, der bryder ind, kan ikke forårsage skade. Den person, der kommer ind, er nysgerrig nok til at se, hvad jeg ellers har gjort, hvilke andre computere jeg er kortlagt til, eller hvilke filer jeg har slettet. Det er de oplysninger, der kræver graving, der vil være min undergang, og det er nøjagtigt, hvad disse mennesker er nysgerrige nok til at se efter.
Derfor er vi nødt til at være bedre med vores forsvar.
Lektioner
Jeg gik hjem og fandt ud af, at mens min Windows XP-maskine var fuldt opdateret, havde jeg tilsyneladende en Windows 2003-server med den samme RCE-sårbarhed, som vi havde spillet med i klassen. Ups. Jeg havde aldrig opdateret denne maskine, fordi det er år siden, at jeg havde gjort noget med den, på trods af at jeg havde den op og kørt på mit netværk. Jeg vil ikke begå den fejltagelse igen.
De samme regler gælder: Vi er nødt til at følge med i softwarepatcher og opdateringer. Brug VPN'er, når vi er på offentlige trådløse netværk. Sørg for, at vi konfigurerer applikationer og tjenester korrekt, såsom at ændre standardadgangskoder og slukke for tjenester, vi ikke bruger.
Glad forsvar!
