Често Задавани Въпроси

Още една презентация от Dojocon 2010 – Michael theprez98 Shearer обяснява как да използваме Shodan, заедно с практически примери и етични съображения.

Michael Shearer, @theprez98 How to 0wn an ISP in 10 Minutes from Adrian Crenshaw on Vimeo.

PJL e Print Job Language, разработен от HP, който се поддържа от над 40 производители на принтери. Споменавал съм за принтерите като заплаха за информационната сигурност, но Ben Smith ( TheX1le ) отива по-далеч, като открива сериозни дупки в PJL и е създал няколко инструмента за тяхното използване – PrintFS, който използва всички принтери в мрежата като “облачен” диск ( и то с криптирани файлове със случайни имена ) и PrintJack, който може да разпраща команди на множество принтери едновременно.

Ето цялата лекция от Dojocon 2010:

Ben Smith Printer Exploitation from Adrian Crenshaw on Vimeo.

От време на време ми се налага да монтирам дъмпнати с dd дискове – основно при анализ на компрометирани системи, когато не е желателно системата да бъде стартирана, за да не може да бъде увредено доказателство.

Под Линукс проблема е тривиален – намираме си offset-а на дяла, който искаме да монтираме например с командата:

   1: # fdisk -lu samsung.dd

   2: You must set cylinders.

   3: You can do this from the extra functions menu.

   4:  

   5: Disk samsung.dd: 0 MB, 0 bytes

   6: 255 heads, 63 sectors/track, 0 cylinders, total 0 sectors

   7: Units = sectors of 1 * 512 = 512 bytes

   8: Disk identifier: 0x2dae2dad

   9:  

  10:      Device Boot      Start         End      Blocks   Id  System

  11: samsung.dd1   *          63    81915434    40957686    7  HPFS/NTFS

  12: Partition 1 has different physical/logical endings:

  13:      phys=(1023, 254, 63) logical=(5098, 254, 63)

  14: samsung.dd2        81915435   390700799   154392682+   f  W95 Ext'd (LBA)

  15: Partition 2 has different physical/logical beginnings (non-Linux?):

  16:      phys=(1023, 254, 63) logical=(5099, 0, 1)

  17: Partition 2 has different physical/logical endings:

  18:      phys=(1023, 254, 63) logical=(24319, 254, 63)

  19: samsung.dd5        81915498   390700799   154392651    7  HPFS/NTFS

Ако в конкретният случай искаме да монтираме първият дял, то офсетът ни е 63*512=32256 байта. Оттук нататък с командата:

sudo mount -o loop,offset=32256 -t auto /mnt/ samsung.dd

монтираме дяла в /mnt и voila.

Под Windows нещата изглеждат малко по-гърбаво, основно поради нуждата от допълнителен софтуер. Тук имате следните варианти:

• Да конвертирате dd дъмпа до VMWare диск ( .vmdk ) например чрез LiveView и в последствие да го монтирате чрез VMWare DiskMount. Това няма да ви струва нищо, но ще ви трябва двойно повече свободно пространство.
• FileDisk е още един добър безплатен кандидат, който би трябвало да може да свърши работа. Единственото, за което не съм сигурен е как се указва отместването за да се монтира конкретен дял от целият дисков дъмп ( не съм го тествал лично, ако някой е – моля да сподели опит в коментарите )
• Доста лесно, гъвкаво и работещо решение е Mount Image Pro – софтуера сам си намира дяловете и ви дава избор кое и как да бъде монтирано. Основният недостатък е, че струва $300, но пък има безплатна демо версия, която работи 14 дни.
• Друго безплатно решение е P2 eXplorer Free ( има и Pro версия ), който обаче при мен имаше зловещ memory leak, който на практика сриваше цялата система след 15-20 минути активна работа с дъмпа
• Последното безплатно решение, което работи прилично е OSFMount. Работи много добре, но не разпознава сам дяловете в цял дъмп и ще трябва да смятате и указвате offset-а на ръка, както е в примера горе. Поддържат се доста различни формати ( IMG, DD, ISO, BIN, 00n, NRG, SDI, AFF, AFM, AFD и VMDK ) – от изпробваните инструменти под Windows този ми свърши най-добрата работа.

USBSploit има нова версия – 0.5beta:

USBsploit v0.5b: PoC to generate Reverse TCP backdoors, running Auto[run|play]/[LNK|PDF|EXE] USB infections using wmic or railgun, but also dumping all USB files remotely on multiple targets at the same time and replaced all LNK, PDF and/or EXE files by malicious ones on the USB targets. USBsploit works through Meterpreter sessions with a light ( 30MB – not Mini version ) modified version of Metasploit (v3.5.1-dev svn r11223). The interface is a mod of SET (The Social Engineering Toolkit). The Meterscript script usbsploit.rb of the USBsploit Framework can otherwise be used with the original Metasploit Framework.

Един от основните инструменти има нова версия – 6.0, която вече поддържа IPv6, smtp-auth, APOP за POP3 плюс още добавки и бъгфиксове

Ако сте проспали последните 10 години, THC-Hydra е инструмент, който позволява гъвкаво отдалечено тестване на потребители/пароли. Ето списъка на поддържаните протоколи:

TELNET, FTP, HTTP, HTTPS, HTTP-PROXY, SMB, SMBNT, MS-SQL, MYSQL, REXEC,RSH, RLOGIN, CVS, SNMP, SMTP-AUTH, SOCKS5, VNC, POP3, IMAP, NNTP, PCNFS,ICQ, SAP/R3, LDAP2, LDAP3, Postgres, Teamspeak, Cisco auth, Cisco enable,AFP, Subversion/SVN, Firebird, LDAP2, Cisco AAA (incorporated in telnet module). For HTTP, POP3, IMAP and SMTP, several login mechanisms like plain and MD5 digest are supported.

THC-Hydra можете да свалите от страницата на проекта.

Видео демонстрация на BruteSSH – многонишков инструмент за брутфорс на пароли. Използва речници и е базиран на paramico библиотеката.