Black-A-Tech בלוג טכני בעברית בנושאים טכנולוגים,אבטחת מידע,קוד פתוח,מערכות הפעלה,רשתות, ותקשורת

שלום לכולם,
הפלטפורמה הנוכחית של בלוגר לא מאפשרת לי להציג את הבלוג שלי כמו שאני רוצה (מבחינת חזון לא ויזואלית)

ולכן הבלוג עבר דירה לכאן, אני אשמח לראות אותכם שם,
www.Black-A-Tech.com

משה epotex

הטריק הזה כל כך ישן שיש לו זקן לבן ארוך, אבל יכול להיות שהוא יהיה יעיל למישהו אז בבקשה.


ביום יום אנחנו רגילים לשלוח מיילים באמצעות תוכנות כמו  outlook, incredimail, thunderbird   וכו' ישנה עוד דרך פשוטה לשלוח מייל ולבצע בו מניפולציות כגון מי שלח את המייל ותוכנו, ובכך לבדוק גם את ההגדרות על שרת הדואר SMTP האם הוא מאפשר לכל מי שרוצה לשלוח מייל דרכו?  (Mail Relay)  ובנוסף להתחכם קצת עם הנדסה חברתית.


 אנחנו נתחבר לשרת הדואר באמצעות הפקודה "telnet" ונכתיב לו מה לשלוח וממי לשלוח נניח שאנחנו רוצים לקבל סיסמא של משתמש בארגון בו אנו מבצעים בדיקת חדירות, אנחנו נברר מי הם האנשים שאחראים על מחלקת הIT בארגון ומה כתובות המייל שלהם, לאחר מכן שיהיו לנו את הפרטים המלאים נוכל לשלוח מייל בשם אותם אנשי הIT  שמבקש מהם את הסיסמא בטענה כזאת או אחרת (משאיר לכם מקום לקצת יצירתיות)




הנה סדר הפקודות לביצוע משורת הפקודה :



 המייל נכנס ל"תור" השליחה של שרת הדואר ללא  בקשת הזדהות וכדומה....

ניתן לראות ששלחנו מייל כביכול בשם ITMANAGER  אל someuser


הסבר על הפקודות:

telnet בפורט 25 יחבר אותנו אל השרת

HELO  יפתח את הדיאלוג עם השרת שבאמצעותו נשלח המייל

MAIL FROM ממי המייל ישלח, כאן אנחנו מזייפים את האימייל של השולח

RCPT TO אל מי המייל ישלח

DATA תוכן ההודעה

ENTER .EMTER סיום ההודעה ושליחתה

QUIT לצאת


ניתן להוסיף את הפקודה

Reply-To: על מנת שהשולח יחזיר את המייל אל הכתובת שאתם רוצים


 במידה והשרת לא מוגדר כ -  Mail Relay נקבל הודעה דומה לזו....


550 5.7.1 Relaying not allowed. Please use SMTP Authentication. For assistance:



לעולם אל תמסרו את הסיסמאות שלכם במייל!

נניח ואנחנו נמצאים ברשת אשר מאפשרת לנו לגשת רק לאתר אחד נניח: -  http://Black-A-Tech.blogspot.com

אבל אנחנו ממש אבל ממש חייבים לעדכן סטטוס בפייסבוק מה עושים?!

כדי להבין איך העקיפה מתבצעת צריך להבין איך החסימה מיושמת.

ישנם שתי דרכים לחסום גישה לאתרים על פי כתובת מספרית -  IP או כתובת מילולית – hostname

לדוגמא במקרה שלנו פייסבוק חסום ומי שחסם אותו חסם את הכתובת IP:

69.63.187.19

וגם את hostname

Facebook.com

מה שאומר שאם נקליד את ה IP או את ה HOSTNAME נחסם על ידי הפרוקסי

כי כתובות אלו מוגדרות כחסומות.

אז איך בכל זאת נעקוף את החסימה?

על מנת לעקוף את החסימה נצטרך לדעת מהי כתובת הIP של האתר החסום (בדוגמא שלנו פייסבוק)

נבצע את הפקודה הבאה בחלון שורת הפקודה CMD

אוקיי אז מצאנו את הIP אבל מה עושים איתו?

אנחנו נפרק אותו למספר עשרוני

כתובת הIP מחולקת ל4 אוקטטות (מקטעים)

אנחנו נמיר כל חלק מהכתובת למספר עשרוני בן 8 ספרות (במידה ויצא פחות משמונה ספרות נוסיף אפסים בתחילת המספר)

נחבר את כל המספרים ונבצע המרה למספר בינארי על ידי שימוש במחשבון של מערכת ההפעלה במצב "מחשבון מדעי"

(מקלידים את הספרות של האוקטטה ולוחצים על BIN)

טוב יש לנו את הכתובת 69.63.187.19

אוקטטה ראשונה "69" שווה בהמרה למספר בינארי ל - 1000101  * יצא רק שבעה ספרות ולכן נוסיף 0 בהתחלה

01000101

אוקטטה שנייה "63" שווה בהמרה למספר בינארי ל – 111111 * נוסיף שני אפסים

00111111

אוקטטה שלישית "187" שווה בהמרה למספר בינארי ל – 10111011

אוקטטה רביעית "19" שווה בהמרה למספר בינארי ל -  10011  * נוסיף שלושה אפסים

 00010011

אוקיי אז עד עכשיו יש לנו את המספרים הבאים:

69     =    01000101
63     =    00111111
187   =    10111011
19     =    00010011

עכשיו נחבר את כל המספרים הבינאריים לשורה אחת

01000101001111111011101100010011

נעתיק את השורה למחשבון כאשר אנחנו תחת אופציית הBIN  ונלחץ על DEC

נקבל את המספר 1161804563

מה יקרה אם נקליד אותו בשורת הכתובת בדפדפן?

http://1161804563


כרגע עקפתם את הפרוקסי.

 

ולכל מי שלא נוח לחשב, יש את השיטה של העצלנים, אתר שעושה את זה בשבילכם:

כאן

לאחרונה פנה אלי אחד הלקוחות שלי ושאל לגבי פריצה של דיסק מוצפן תחת מערכת הפעלה מסוג CENTOS 4.4, שאלתי למה הוא צריך לפרוץ את הדיסק?

הוא הסביר שלפני כמה שנים הוא רכש מספק XXX (לא מעוניין לתת לו במה) מרכזיית טלפוניה מבוססת קוד פתוח  (elastix) ועד עכשיו הוא היה מקבל את השירותים מאותו ספק. לאחרונה הוא ביקש לעזוב את XXX,  ולקבל את שירותי ניהול שרת  הטלפוניה מחברה אחרת. לגיטימי אמרתי....

רק שבXXX לא חשבו ככה, הם לא אהבו את העניין והחליטו לא לספק ללקוח את הסיסמא לשרת הטלפוניה(או להחליפה לסיסמא לבקשת הלקוח), למרות שמדובר בחומרה של הלקוח, למרות שחלק מכריע מהתנהלות העסק מתבסס על המרכזייה הזו (ללקוח מספר סניפים ברחבי הארץ) ולמרות שהלקוח מחויב מבחינה חוקית לשמור את כל ההקלטות של השיחות ששמורות על הדיסק הקשיח המוצפן.

ההתנהלות של חברת XXX נוגדת את כל מה שהקוד הפתוח אמור לייצג, הם חשבו שהם תפסו את הלקוח בביצים, הרי הוא חייב את הנתונים ורק הם יכולים לספק את הסיסמא....

פשוט כדי להבין מה הם עשו הם לקחו מערכת הפעלה  בקוד פתוח משולבת ביכולות VOIP אשר גם היא בקוד פתוח שניתן להוריד אימייג' שלה בלי תשלום, מכרו אותה בסכום "נכבד" ללקוח ונעלו את המערכת בצורה שרק הם יוכלו לספק את השירותים השוטפים.

לגיטימי בעניי לנעול את המערכת בשימוש השוטף למניעת תקלות וסתם חטטנים שלא אמורים לגעת במערכת, אבל האם זה לגיטימי להשאיר את הלקוח עם דיסק מוצפן שבמקרה הטוב ישמש כמשקולת נייר?

האם זה הוגן לנעול את הלקוח מחוץ לשרת שלו?

מעוצבן ומאותגר הגעתי למשרד הלקוח חמוש בקייס הדיסקים שלי שלפתי משם את הדיסק עם הכיתוב

KON-BOOT

זהו דיסק livecd  שבעצם מאפשר לבצע מעקף של הסיסמאות השמורות במערכת ההפעלה ((Windows &Linux , לאחר שהדיסק עולה  הוא מעלה את המערכת ההפעלה מהדיסק הקשיח ומשתיל לתוך הקרנל משתמש  אדמיניסטרטיבי חדש.... אפשר לראות את הדיסק הזה כrootkit  חיובי...

לאחר מספר דקות התייצבנו בתוך המערכת שלפנו משם את השיחות המוקלטות והעברנו אותם למקום בטוח


ניתן לקרוא כאן הסבר כיצד להשתמש בKON-BOOT

מומלץ :)

 בפועל מה שXXX עשו זה להכניס לעצמם אצבע בעין.... הלקוח לא ימליץ עליהם לאחר שהבין עם מי יש לו עסק, בנוסף אחרי שהבין שמכרו לו תוכנה חופשית בקוד פתוח....

 כל מה שיש לי להגיד ל XXX הלקוח הוא לא כלי שלך, אתה כלי של הלקוח!

 ב28 לפברואר מיקרוסופט הודיעה  שהם בודקים חולשה שנתגלתה בדפדפן אינטרנט אקספלורר
החולשה תקפה לגרסאות 6,7,8 של IE, מהבדיקה שלהם עולה בי משתמשי vistta, win7 server2008 לא חשופים לניצול לחולשה.
ניצול החולשה מתבצע כאשר המשתמש גולש לאתר (כזה שנשתל בו קוד זדוני), קופצת הודעה שתשכנע בדרך כזו או אחרת, את הגולש ללחוץ על מקש ה-F1 (מקש העזרה) מרגע זה התוקף מסוגל להשתיל קוד זדוני אל המחשב ולנצל את הקוד לשלל מטרותיו הזדוניות.

מיקרוסופט עוד לא סיימו לדווח על בדיקה של החולשה, וכבר אפשר למצוא ברשת את ה exploit לניצול החולשה


 משנה זהירות:
כל מי שברשותו מחשב עם מערכות ההפעלה Windows Xp ו Server2003  ומטה  נא לשים לב, ניתן לעבור להשתצש בדפדפן אחר בנתיים או פשוט לא ללחוץ על F1 כאשר משתמשים בדפדפן 

הבהרה קטנה לפני שנתחיל:
האקר – "פורץ טוב"
קראקר – "פורץ רע"
ההבדל בין האקר לקראקר הוא שהאקר יבצע את אותן הפעולות של הקראקר, לעיתים אפילו ללא מטרת רווח כלשהוא(ראה כובע לבן\אפור\שחור\אדום), על מנת לחשוף חולשות במנגנוני האבטחה תחת האובייקטים אותם הוא בוחן, וידווח עליהן ללא ניצול החולשות אותן מצא.
ניתם לסווג האקרים לכמה סוגים:
סקריפט קידיס – לא באמת האקרים, כל אותם משתמשי תוכנות הפריצה שלא באמת מבינים מעבר ללחיצות העכבר (לרוב הם יעדיפו  לא להשתמש בCLI  כי זה נראה להם קשה\מורכב מידי), ואינם מבינים את מהלך הפריצה עצמה לרוב לא יעשו עבודת מחקר על האובייקט הנתקף, אלה פשוט ירוצו לתקוף כשהם חמושים בסקריפטים, תוכנות, ושאר ירקות שאחרים עמלו עליהם,
כובע לבן – "הנשמות הטובות של אבטחת המידע",  חוקרי אבטחת מידע שידווחו על בעיות אבטחה לאחר שנתקלו בהם באקראי או במכוון ללא מטרת רווח, לרוב יעשו זאת למען הסיפוק האישי שבחשיפת הפירצה או החולשה.
כובע אפור – אלו האקרים\קראקרים שרוכבים על שני העולמות מצד אחד יגנו על מערכות ומצד שני יפרצו לאחרות
כובע שחור – "האנשים שלא כדאי שיכנסו לך למחשב :)" אלה אותם האנשים שמכונים בטעות האקרים, הם יפרצו וישחיתו על מנת לצבור רווח אישי  ובכוונת זדון
כובע אדום - אלה יהיו האקרים אשר מציעים את שירותיהם בתשלום, על מנת לעזור לארגון לבדוק את רמת האבטחה של  המוצר\ארגון,
הכלים:
ישנם מגוון רחב של כלים לביצוע פעולות האקינג, חלקם מותאמים לLinux חלקם לWindows ויש כאלה שהם לא תלויים במערכות ההפעלה,ישנם כלים חינמים שהקוד שלהם פתוח וישנם כלים בתשלום עם גרסאות מסחריות, קיימות גם מערכות הפעלה המיועדות לרכז את כלל הכלים, ועל ידי כך להקל על פעולת ההאקינג,
אני אנסה לפרוס כאן רשימת כלים מעניינים, שבאמצעותם לרוב נעשות פעולות ההאקינג, מאיסוף המידע לקראת התקיפה (החלק הפאסיבי) ועד למתקפה עצמה(החלק האקטיבי)
אני לא אתיימר להסביר על כל אחד ואחד מהכלים, חלקם ישמשו אותי בהדגמות בפוסטים בהמשך,אך אם כלי מסוים נשמע לכם מעניין או מתאים לכם, תחקרו אותו ואתהעיקרון שעליו הוא עובד לא חסר מידע ברשת.
אני ממליץ לכם להכיר את הכלים שאתם צריכים לעומק, זאת לא חוכמה להחזיק במגוון כלים, אלה להשתמש באלה שיתנו לך את התוצאה הרצויה.


כמה מהכלים שמשמשים האקרים - הסדר אקראי לחלוטין:

Google –  צריך להרחיב?
exploitd-db  - מאגר של פירצות קיימות והדרך לנצל אותן, מסתמן כמאגר שיחליף את milw0rm
 Maltego - מצויין לאיסוף מידע
Metasploit  - חלומו הרטוב של כל סקריפט קידי
Nmap  -  סריקת פורטים (מבואות)
Nessus – מנוע שבודק פגיעות וחולשות קיימות על המחשב\רשת שנסרקת
Beef – האפליקציה הזאת תקרע לדפדן שלכם תצורה! מומלץ לחקור
Openvas – כמו Nessus רק שכtן מדובר בקוד פתוח לחלוטין
Ettercap – כמו שהדגמתי בעבר כאן מעולה לMITM ושאר מניפולציות אחרות
Aircrack-ng – חבילת כלים למגוון מניפולציות בתחום ה WI-FI
John The Ripper – אחד ממפצחי הסיסמאות הטובים ביותר שקיימים
Nikto – כלי בדיקות מול שירות הWEB
Wireshark – סניפר מצוין
Cain & Able – כלי מצוין למי שרוצה לעבוד תחת windows
Hping2 – כלי לבדיקת\יצירת התקפות שונות
 Netcat מצוין לשימוש כ “Backdoor”
Basic’s - Ping,Telnet,Dig,Traceroute,Whois,Netstat,Nslookup – כלי הבסיס יעילים לא פחות מכל כלי אחר, הפלט שנקבל מכל אחת מהפקודות הללו יספק לנו מידע רב במהלך איסוף המידע לתקיפה
Hydra – ברוט פורסר
Dsniff – כשמו כן הוא סניפר מעניין
Sysinternals Tools - חבילת כלים שימושים
Scapy - מניפולציה ברמת הפאקט מעניין מאוד שווה לחקור
L0phtcrack – פריצת סיסמאות של מערכות ההפעלה
Pwdump – על שלל גירסאותיה כלי לחילוץ ה hash  של סיסמאות מערכת ההפעלה
Yersinia - ניצול חולשות בפרוטוקולים ברמת LAYER 2


מערכות הפעלה:
בעניי זהו אחד המקרים שבברור Linux  מנצחת את  Microsoft בהליכה,  ל Microsoft אין יצוג ראוי בתחום, למרות שלא חסרים כלים שימושיים תחת Windows להאקינג, אני לא יודע איך אף אחד לא יצר עדיין  איזה unattended security XP   אחלה רעיון כשאני חושב על זה  :)
האפשרות ליצור מערכת הפעלה  שמשלבת את המגוון העצום של כלי הפריצה, נותנת למשתמש את היכולת לעבוד בצורה מהירה מאוד,
Backtrack - מערכת ההפעלה האולטימטיבית, עברה כמה גרסאות שונות לאחרונה יצאה בגרסה 4 השינוי המשמעותי הוא מעבר לשימוש ב  Kubuntu  כבסיס למערכת ובכך להשיג את היתרונות של מנהל החבילות (apt)  מה שלא היה קיים בגרסאות הקודמות (Slax)
ניתן להכניס לקטוגרייה את Erd Commander   ואת Bart Pe אבל לדעתי הדיסקים אלה שימושיים יותר לטכנאים מאשר לפעולות האקינג, אבל אם זה מה שיכניס אותי למחשב מסויים אני לא פוסל ;)

כל הכלים למעלה ישמשו לרוב באיסוף מידע לקראת התקפה ולאחר מכן בתקיפה עצמה
אבל על מנת להיות האקר אתה חייב להיות בעל ידע שיכלול יותר מאשר לחיצה על עכבר או הקלדה של פקודה,
כמה קישורים מחייבים:
חשיבה מחוץ לקופסא, היכולת לראות את מה שאחרים לא רואים, לתקוף בעיות מורכבות בגישה שונה,להפוך את מה שמסובך ונסתר, לקל וברור...
ידע בשפת תכנות כל שהיא פרל, פייתון, ו – C, הם דוגמאות מצוינות, זה נחמד שיש כלים מוכנים אבל לכתוב כלים משלך,או לנתח ולהבין תוכנות, זה כבר סיפור אחר,
מערכת ההפעלה שלך היא הנשק שלך בעיניי, זה ממש לא משנה אם אתה משתמש בWindows  או Linux  תלמד את הקרביים שלה איך היא עובדת מרמת הבוט ועד לתקשורת החוצה, וככל שתכיר ותבין את המערכת תוכל להתאים אותה לשימושים שלך,וכמובן התשוקה הטבעית אחר הרצון לחקור ולרדוף אחרי המידע...

כמו שהבטחתי כאן, פוסט שכולו מוקדש להתקפת MITM
בפוסט הזה אני אעבור על קצת על מושגי יסוד על מנת שהקריאה תהיה מובנת גם למי שעוד לא מכיר לעומק את הנושא,
ואראה הדמיה של מחשב תחת התקפה.
נתחיל בכמה מושגי יסוד:
MAC ADDRESS - Media Access Control Address
זו היא כתובת פיזית שצרובה על כל רכיב רשת לדוגמא :בכרטיס הרשת,נתב,טלפון בעל מודם סלולארי, וכו'
הכתובת נראית בדומה לדוגמא הבאה 00:18:F8:1A:8C:04
הכתובת מתחלקת לשתיים – ששת התווים הראשונים הם מזוהים עם היצרן של החומרה במקרה שלנו 00:18:F8  שייך ליצרן Linksys
וששת התווים הבאים 1A:8C:04  הם מעין מספר סידורי של החומרה עצמה, למרות שהיא צרובה על רכיב הרשת ניתן לזייפה.
על מנת לדעת מהו המאק של המחשב שלך ניתן להקליד את הפקודה הבאה:
Ipconfig /all
תחת physical address  תופיע הכתובת
ARP – Address Resolution Protocol
הפרוטוקול ש"אחראי" למפות ולתרגם בין  כתובות MAC ADDRESS  הפיזיות, לכתובות IP ולהפך, בעזרת ניצול חולשה בתכנון הפרוטוקול, (אין  אוטנטיקציה)ניתן לממש את ההתקפה,
המנגנון עובד  באמצעות ארבע שלבים פשוטים:
ARP REQUEST - בשלב זה נשלחת בקשה לרשת ששואלת מי מחזיק בכתובת 192.168.1.100  ?
ARP REPLAY – התשובה לשאלה ובה מוחזרת ההכרזה "אני מחזיק את הכתובת 192.168.1.100  והMAC  שלי הוא 00:1B:1C:08:FF:0A  "
המנגנון עובד גם בצורה ההפוכה:
RARP  - "מי מחזיק בכתובת 00:1B:1C:08:FF:0A   ?
RARP REPLAY – והתשובה תהיה " אני מחזיק בכתובת ה 00:1B:1C:08:FF:0A   והIP שלי הוא 192.168.1.100 "
כמו שאתם שמים לב הפרוטוקול לא מוודא מי מקור התשובה לשאלה, וכל תשובה שהוא מקבל מבחינתו היא אמינה.
כלומר אם אני אחזיר לאחת מהשאלות (מי מחזיק ב...)תשובה, גם אם היא תהיה לא נכונה המחשב השואל יקבל אותה כאמינה ויסמוך עליה בעניים עצומות.
*לרוב מחשבים  נתבים ומתגים מחזיקים בזיכרון  (cache ), את רשימת הכתובות הפיזיות(mac address ) ואת כתובות הIP  שנמצאות ברשת, ומעדכנים אותם מפעם לפעם על מנת לייעל ולקצר את הליך החיפוש.
נהוג לקרוא להליך ההתחזות (כאשר אני עונה לשאלת ARP ומפנה רכיב רשת כל שהוא לכתובת שהיא לא באמת נכונה) "זיהום הרשת"  (ARP POISONING/SPOOFING )
אני אנסה לתמצת את כל מה שהבנו עד עכשיו:
כאשר מחשב שמבקש לדעת מה היא כתובת המאק של כתובת IP שקיימת ברשת , התוקף מחזיר לו תשובה שהוא מחזיק  בכתובת,בצירוף כתובת הmac  האמיתית של מחשב התוקף, אותו מחשב ששאל על הכתובת יודע שכעת על מנת לשלוח תעבורה אל אותה כתובת IP, הוא אמור לפנות אל אותו mac address  של התוקף, אותו הליך התוקף יעשה אל מול הכתובת האמיתית, ובכך הוא משיג את הכינוי האיש שבאמצע Man In The Middle
לדוגמא אם התקפנו את  מחשב ברשת ואת הנתב של אותה רשת,מה שיקרה לאחר ההליך הזה, הוא שהמחשב המותקף חושב שהנתב שלו הוא המחשב התוקף, והנתב חושב שהמחשב המותקף הוא המחשב של התוקף, מה שהשיג התוקף בזה הוא שכל התעבורה פנימה או החוצה, של אותו מחשב\רשת המותקפת יעברו דרכו, והוא יכול להאזין לה בלי יותר מידי בעיות. (כל עוד התעבורה לא מוצפנת) נשמע מבלבל אני יודע לכן הכנתי תרשים שיעזור להבין את התהליך...
חצים בכחול – מצב התעבורה כאשר הרשת לא מזוהמת
חצים באדום – מצב התעבורה כאשר הרשת מזוהמת

המחשה: (ניתן להגדלה בלחיצה)



ועכשיו  אחרי שהבנו את התיאוריה מאחורי ההתקפה, נעבור לתאכלס...
אזהרה! - לפני שאתם מבצעים איזה שהוא הליך שכזה וודאו כי בעל הרשת מרשה לכם לעשות זאת!
זאת עבירה לבצע פעולות אלו ללא הסכמה מפורשת של בעל הרשת!

את ההתקפה הזאת ניתן לבצע עם כלים שונים תחת Windows  ו Linux .
חלק מהכלים שניתן להשתמש בהם הם:
1.Ettercap – תוכנה מצוינת גם לLinux  וגם ל Windows.
2.Cain and able - תוכנה  מצוינת עובדת בסביבת Windows  כוללת עוד המון כלים מעניינים  ממליץ לכם לחקור אותה.
3.Dsniff  - תוכנה גם לLinux  וגם ל Windows.

לצורך ההדגמה אני אשתמש ב Ettercap  על Linux  בגרסת הcommand line  *קיימת גם תמיכה ב GUI .

פרטים:
נתב:
 IP: 192.168.1.100
מחשב מותקף:
IP: 192.168.1.101
מחשב מתקיף
IP :192.168.1.102

epotex@Black-A-Tech:/$ sudo echo 1 > /proc/sys/net/ipv4/ip_forward
פקודה זו גורמת למחשב שלי ( התוקף) להתנהג כנתב אנו זקוקים לה כדי להעביר את התעבורה.

epotex@Black-A-Tech:/$ sudo ettercap -T -q -M ARP /192.168.1.100/ /192.168.1.101/
מתג ה  T  יוציא פלט טקסט
מתג q לא יגרום להצגה של כל התעבורה אשר תעבור דרכי אלה רק לשמות המשתמש וסיסמאות
מתג M  יגרום להפעלת מתקפת Man In The Middle
ARP יפעיל את זיהום הנתב 192.168.1.100 ואת זיהום המחשב המותקף 192.168.1.101
ניתן להוסיף מתג w- somefile.txt אם תרצו לשמור את הפלט לקובץ
מיד כאשר תיכנסו במחשב המותקף לשירות רשת כל שהוא אשר דורש שם משתמש וסיסמא
היא תופיע על המסך (ותכתב לקובץ אם אפשרתם זאת).
לדוגמא:
HTTP : mail.nana10.co.il:80 -> USER: hackmymail  PASS: password  INFO: mail.nana10.co.il/OWAContainer.asp
והנה אנחנו רואים את החשבון hackmymail והסיסמא שלו  password תחת שרות הדואר של נענע

ניתן לשלב את sslstrip במידה ורוצים להאזין לשירותי רשת שמשתמשים בהצפנת SSL לדוגמא בנקים gmail  וכו'.

על ידי התקפת Man In The Middle ניתן לבצע מניפולציות רבות ברשת המותקפת, ניתן להאזין להתחברויות ברשת, לבצע זיוף של תשובות DNS, ועוד הרבה הרבה פעולות שיגרמו לתוקף להשיג מידע (כמעט)מבלי להחשף.



דרכי זיהוי והתגוננות 

חומת אש לא מסוגלת להתמודדת עם התקיפה משני סיבות עיקריות:

* ההתקפה עובדת על השכבה השניה במודל ה OSI   כאשר IP נמצאת בשכבה השלישית חומת אש עובדת לפי כתובות IP.
* ההתקפה עובדת  ברמת ה LAN ולכן ההתקפה לא תעבור דרך חומת האש.
 


* ישנם כלים כדוגמת Snort אשר יאזינו לרשת וברגע שיתבצע arp poisoning תתריע בפני מנהל הרשת על כך
יעיל ברשתות גדולות אך למשתמשים ביתיים לא תמיד יש יכולת יישום של הכלים הללו


*  ניתן להשתמש בסוויץ שמיישם את מנגנון ה Port Security ונועל אותו למאק ספציפי, קיים רק בדגמים יקרים של סוויצים
ולכן גם פיתרון זה לא ישים ברשת ביתית


לסיום חידה לא קשה....
כיצד ניתן מתוך המחשב המותקף לדעת שהוא מותקף....?

במהלך היום יום כ 80% מעסקי הSMB שאני נתקל בהם, אינם מודעים לכמות הסיכונים שבתי העסק שלהם חשופים אליהם. לרוב אין שום גורם שאמון על היבט אבטחת המחשוב בארגון, במקרה הטוב מפילים את הנושא על איש הסיסטם, שהוא בתורו יפעל לפי הידע שלו ולפי ניסיונו,לא תמיד הראיה שלו תהיה רחבה במחשבה על כלל הארגון לרוב היא תהיה רק על המערכות שהוא קשור בהם, מה גם שלא תמיד יש לו את הגיבוי, התקציב, והסמכות להכיל נהלים כאלה ואחרים.

ברמת הנהלת הארגון לא מתבצעת חשיבה מעמיקה ורוחבית על אותם סיכונים שהארגון חשוף אליהם.

לרוב הגישה תהיה שהסתדרנו עד עכשיו מצוין! לא פרצו לנו ולא איבדנו מידע....ואין סיבה להכביד על ההוצאות האמנם?

ברוב ה SMB’s לא מתבצעות בדיקות חדירות (pen testing) יזומות של גורם פנימי או חיצוני על מנת לבדוק מה תוקף פוטנציאלי עלול לגלות בניסיונות הפריצה שלו, האם יש יכולת ומספיק ידע בארגון לעקוב אחרי ניסיונות פריצה שכאלו?

משיחות שהיו לי עם גורמים שונים בארגונים רבים, עולה הנקודה שאין דרישה ממנהלי הארגון וגם אם הייתה אחת כזאת, אין להם את הידע או הכלים לבצע כאלה בדיקות, ובכן אני לא תמיד מסכים עם הקביעה הזאת, אבטחת מידע לא מתחילה בפריצה או גילוי של פרצה לרוב שם זה סופה, היא מתחילה הרבה לפני, באופן שבו מתנהלת אסטרטגיית ניהול המשאבים בארגון שאלות לדוגמא:

מי צריך לקבל גישה לחדר שרתים? למי צרכה להיות גישה למערכת סליקת אשראי? האם כל המידע בשרת האחסון אמור להיות חשוף לכולם? מדיניות עבודה במחשבי הארגון – האם כל אחד יכול להתקין אימיול על המחשב שלו? והאם הוא בכלל זקוק להרשאה להתקין אפליקציות על המחשב? האם מדיניות הסיסמאות בארגון נכונה? מה הנהלים במקרה של עובד שעזב\פוטר? האם קיימת חומת אש ? אם כן מי מנהל אותה ומי מאשר את ה"חוקים" בה? ועוד שאלות רבות שרבים מתעלמים מהם.

כמעט תמיד שאני מעלה את השאלות הללו התשובות הם לזה אחראי ספק X ולזה ספק Y והבדיקות חדירות יקרות,

כאן נכנס עניין היחסיות, עד כמה יקר לך המידע של הארגון? מה עלות הפגיעה הכלכלית במידה ומידע זה ייחשף?

כהנחת יסוד אני מאמין שהמידע הוא יקר מאוד, ולא תמיד דווקא במובן הכלכלי אלה במובן הערכי, מה יקרה אם כרטיסי האשראי של לקוחותייך ייחשף? האם הם יחזרו לעשות איתך עסקים? מה יקרה אם עסק מתחרה ישים את ידיו על רשימת הלקוחות שלך? או על מידע עסקי פנימי?

לפעמים אין אפילו יכולת לאמוד את הנזק כלכלית, ולכן כדאי לשקול שוב האם בדיקות חדירות באמת יקרות?

ועניין ריבוי ספקי הפתרונות הוא חור אבטחה לא פשוט, לכמה אנשים מבחוץ יש גישה למערכות הארגון? האם אתה יכול לסמוך עליהם בעניים עצומות? האם יש תיאום בין כל הגורמים? לרוב התשובה היא לא, ולכן בהרבה משרדים נתקלתי במספר לא מבוטל של תוכנות השתלטות על שרת אחד מהסיבה שכל ספק מעדיף לעבוד עם תוכנה אחרת, כלומר אותו שרת חשוף ל4-5 פיתרונות השתלטות מרחוק ולפעמים אפילו יותר.

ומכיוון שאין גורם אחד שאמון על החשיבה והתכנון ותיאום בין כל ספקי הפתרונות, המערכות נותרות במרבית המקרים חשופות לשלל פרצות אשר חלקן לא מתוחכמות בכלל.... לדוגמא מהחיים:

אני מגיע למשרדי לקוח (נחמד) חדש בדרישה למתן הצעה להחלפת איש התמיכה שלהם, הכול נחמד ויפה קובעים להתחיל סקירה כמה ימים לאחר מכן, על מנת לאפיין את המערכות הפועלות בארגון, רמת התחזוקה, ואת מערך האבטחה.

אני מגיע למשרדי הלקוח מתחילים את הסקירה ומגלה שהלקוח מספק שירותי WIFI כחלק מההטבות כלפי קהל לקוחותיו(אמרנו כבר שהוא בחור נחמד לא?), הלקוח מיד ממהר להגיד שמדובר ברשת נפרדת ואין לה קשר לרשת של העסק, ויש לה קו אינטרנט נפרד שמוקדש כולו לטובת הלקוחות.

מעיף מבט מהיר על התשתית הפיזית, אמנם מדובר בשני קווי אינטרנט, שני מודמים, ושני ראוטרים אבל מתג אחד משותף לשניהם, כלומר הרשתות לוגית מופרדות כי לכל אחת מהם מוקצה תחום כתובות איי פי שונה אבל פיזית התקשורת עוברת דרך אותו המתג, ולקוח לא תמים בקלות יכול להאזין לכל התעבורה ברשת המשרדית.... על ידי הפעלת סניפר פשוט הוא יוכל לגלות מה כתובת הרשת השנייה(במשרדים) לתת לעצמו כתובת מאותו תחום ולבצע התקפה שנקראת Man In The Middle (אקדיש לה פוסט בשבועות הקרובים), ובכך להשיג המון מידע על הארגון

כמו חשבונות משתמשים לשירותים שונים גם חשבונות אשר התעבורה מוגנת בSSL !, ראו sslstrip

ולבצע מניפולציות שונות ברמת התקשורת ברשת.




הלקוח סרב להאמין באיזה קלות ניתן לחדור לרשת המשרדית שלו וביקש הדגמה - וקיבל...

התחברתי לרשת האלחוטית אשר מחלקת כתובות בתחום 192.168.1.0/24 הפעלתי את הסניפר החביב עליי Wireshark וראיתי שהרשת המשרדית יושבת על כתובות 10.20.20.0/24 אשר מוגדרות ידנית ברשת.

מצאתי כתובת לא פעילה ו"השאלתי" אותה, בדיקה עם פינג העלתה שיש לי תקשורת לראוטר ולשרת המרכזי בארגון.

הפעלתי את התקפת ה MITM כנגד המחשב המשרדי של הלקוח, וביקשתי מהלקוח שיכנס אל מערכת הWEB של הארגון, אותה מערכת אחראית על הנהלת החשבונות ועל סליקת האשראי,ממחשבו הוא ביצע את חלקו, ואני את חלקי...., ביקשתי ממנו לצאת מהמערכת ולהצטרף אליי באזור הרשת האלחוטית של הלקוחות, הוא הגיע דיי מהר סקרן לראות מה כבר עוללתי, לאחר מבט קצר במסך המחשב שלי "גיליתי" את כתובת השרת ואת שם המשתמש והסיסמא של הלקוח

לוגין אל המערכת והופ טרלללה אני בפנים, מיותר לציין שהלקוח היה המום הסברתי שזה לא התקפה מתוחכמת מידי וכל ילד על לפטופ ודיסק livecd מסוגל לבצע אותה..., בסקירה עמוקה יותר נתגלו עוד הרבה נקודות תורפה חלקם חמורות יותר.

כמובן שלאחר התחלת העבודה עם הלקוח כולם תוקנו במהירות המרבית,

תחקרתי את הלקוח לגבי הגורמים שאחראים על פריסת התשתית הפיזית, הוא הסביר שבמהלך השנים היו ספקים שונים של פתרונות, וכל אחד שהגיע לתת מענה הוסיף טלאי על טלאי וכנראה שניסו לחסוך בעלויות על מתג נוסף, סכום פעוט לעומת המידע שעלול להיחשף במקרה של ריגול עסקי או אדם שמחפש פרצה.

הרי כבר נאמר שפרצה קוראת לגנב,וזה כל כך נכון לדוגמא פורץ מזדמן יראה שהבית שלך מוגן עם אזעקה חכמה, מצלמות, וסורגים הוא ימשיך אל הבית הבא, ובדיוק כך גם בעולם המחשוב ככל שהארגון שלך יהיה מוגן יותר ומודע יותר לאמצעי אבטחת המידע כך סיכוני האבטחה ירדו.




לא משנה במה הארגון שלך עוסק, החשיבה על אבטחת המידע והמשאבים ברשת הארגונית צריכה להיות במקום חשוב בסדר העדיפויות, אין הרבה מקומות שמבינים שבמקרה של חשיפת מידע של לקוחותיהם או זליגת מידע פנימי למתחרה עסקי יכולה למוטט את הארגון. לא רבים המקומות שהגעתי אליהם ומיהרו לאשר תקציבים לאבטחת המידע בארגון, לרוב התשובה היא בנוסח: "השקענו הון על חומת האש זה מספיק" חומת אש זה לא קסם זה רק מעגל האבטחה החיצוני והראשוני, מה קורה בפנים?הרי זה ידוע שרוב הפריצות בארגונים נעשות מבפנים על ידי עובדים ממורמרים או כאלה שנשלחו מלכתחילה למטרה זו.




מתי לאחרונה בדקת עד כמה העסק\הארגון שלך מוגן?




אבטחת מידע היא הרבה יותר מחומת אש.