Black-A-Tech בלוג טכני בעברית בנושאים טכנולוגים,אבטחת מידע,קוד פתוח,מערכות הפעלה,רשתות, ותקשורת

הטריק הזה כל כך ישן שיש לו זקן לבן ארוך, אבל יכול להיות שהוא יהיה יעיל למישהו אז בבקשה.


ביום יום אנחנו רגילים לשלוח מיילים באמצעות תוכנות כמו  outlook, incredimail, thunderbird   וכו' ישנה עוד דרך פשוטה לשלוח מייל ולבצע בו מניפולציות כגון מי שלח את המייל ותוכנו, ובכך לבדוק גם את ההגדרות על שרת הדואר SMTP האם הוא מאפשר לכל מי שרוצה לשלוח מייל דרכו?  (Mail Relay)  ובנוסף להתחכם קצת עם הנדסה חברתית.


 אנחנו נתחבר לשרת הדואר באמצעות הפקודה "telnet" ונכתיב לו מה לשלוח וממי לשלוח נניח שאנחנו רוצים לקבל סיסמא של משתמש בארגון בו אנו מבצעים בדיקת חדירות, אנחנו נברר מי הם האנשים שאחראים על מחלקת הIT בארגון ומה כתובות המייל שלהם, לאחר מכן שיהיו לנו את הפרטים המלאים נוכל לשלוח מייל בשם אותם אנשי הIT  שמבקש מהם את הסיסמא בטענה כזאת או אחרת (משאיר לכם מקום לקצת יצירתיות)




הנה סדר הפקודות לביצוע משורת הפקודה :



 המייל נכנס ל"תור" השליחה של שרת הדואר ללא  בקשת הזדהות וכדומה....

ניתן לראות ששלחנו מייל כביכול בשם ITMANAGER  אל someuser


הסבר על הפקודות:

telnet בפורט 25 יחבר אותנו אל השרת

HELO  יפתח את הדיאלוג עם השרת שבאמצעותו נשלח המייל

MAIL FROM ממי המייל ישלח, כאן אנחנו מזייפים את האימייל של השולח

RCPT TO אל מי המייל ישלח

DATA תוכן ההודעה

ENTER .EMTER סיום ההודעה ושליחתה

QUIT לצאת


ניתן להוסיף את הפקודה

Reply-To: על מנת שהשולח יחזיר את המייל אל הכתובת שאתם רוצים


 במידה והשרת לא מוגדר כ -  Mail Relay נקבל הודעה דומה לזו....


550 5.7.1 Relaying not allowed. Please use SMTP Authentication. For assistance:



לעולם אל תמסרו את הסיסמאות שלכם במייל!

נניח ואנחנו נמצאים ברשת אשר מאפשרת לנו לגשת רק לאתר אחד נניח: -  http://Black-A-Tech.blogspot.com

אבל אנחנו ממש אבל ממש חייבים לעדכן סטטוס בפייסבוק מה עושים?!

כדי להבין איך העקיפה מתבצעת צריך להבין איך החסימה מיושמת.

ישנם שתי דרכים לחסום גישה לאתרים על פי כתובת מספרית -  IP או כתובת מילולית – hostname

לדוגמא במקרה שלנו פייסבוק חסום ומי שחסם אותו חסם את הכתובת IP:

69.63.187.19

וגם את hostname

Facebook.com

מה שאומר שאם נקליד את ה IP או את ה HOSTNAME נחסם על ידי הפרוקסי

כי כתובות אלו מוגדרות כחסומות.

אז איך בכל זאת נעקוף את החסימה?

על מנת לעקוף את החסימה נצטרך לדעת מהי כתובת הIP של האתר החסום (בדוגמא שלנו פייסבוק)

נבצע את הפקודה הבאה בחלון שורת הפקודה CMD

אוקיי אז מצאנו את הIP אבל מה עושים איתו?

אנחנו נפרק אותו למספר עשרוני

כתובת הIP מחולקת ל4 אוקטטות (מקטעים)

אנחנו נמיר כל חלק מהכתובת למספר עשרוני בן 8 ספרות (במידה ויצא פחות משמונה ספרות נוסיף אפסים בתחילת המספר)

נחבר את כל המספרים ונבצע המרה למספר בינארי על ידי שימוש במחשבון של מערכת ההפעלה במצב "מחשבון מדעי"

(מקלידים את הספרות של האוקטטה ולוחצים על BIN)

טוב יש לנו את הכתובת 69.63.187.19

אוקטטה ראשונה "69" שווה בהמרה למספר בינארי ל - 1000101  * יצא רק שבעה ספרות ולכן נוסיף 0 בהתחלה

01000101

אוקטטה שנייה "63" שווה בהמרה למספר בינארי ל – 111111 * נוסיף שני אפסים

00111111

אוקטטה שלישית "187" שווה בהמרה למספר בינארי ל – 10111011

אוקטטה רביעית "19" שווה בהמרה למספר בינארי ל -  10011  * נוסיף שלושה אפסים

 00010011

אוקיי אז עד עכשיו יש לנו את המספרים הבאים:

69     =    01000101
63     =    00111111
187   =    10111011
19     =    00010011

עכשיו נחבר את כל המספרים הבינאריים לשורה אחת

01000101001111111011101100010011

נעתיק את השורה למחשבון כאשר אנחנו תחת אופציית הBIN  ונלחץ על DEC

נקבל את המספר 1161804563

מה יקרה אם נקליד אותו בשורת הכתובת בדפדפן?

http://1161804563


כרגע עקפתם את הפרוקסי.

 

ולכל מי שלא נוח לחשב, יש את השיטה של העצלנים, אתר שעושה את זה בשבילכם:

כאן

לאחרונה פנה אלי אחד הלקוחות שלי ושאל לגבי פריצה של דיסק מוצפן תחת מערכת הפעלה מסוג CENTOS 4.4, שאלתי למה הוא צריך לפרוץ את הדיסק?

הוא הסביר שלפני כמה שנים הוא רכש מספק XXX (לא מעוניין לתת לו במה) מרכזיית טלפוניה מבוססת קוד פתוח  (elastix) ועד עכשיו הוא היה מקבל את השירותים מאותו ספק. לאחרונה הוא ביקש לעזוב את XXX,  ולקבל את שירותי ניהול שרת  הטלפוניה מחברה אחרת. לגיטימי אמרתי....

רק שבXXX לא חשבו ככה, הם לא אהבו את העניין והחליטו לא לספק ללקוח את הסיסמא לשרת הטלפוניה(או להחליפה לסיסמא לבקשת הלקוח), למרות שמדובר בחומרה של הלקוח, למרות שחלק מכריע מהתנהלות העסק מתבסס על המרכזייה הזו (ללקוח מספר סניפים ברחבי הארץ) ולמרות שהלקוח מחויב מבחינה חוקית לשמור את כל ההקלטות של השיחות ששמורות על הדיסק הקשיח המוצפן.

ההתנהלות של חברת XXX נוגדת את כל מה שהקוד הפתוח אמור לייצג, הם חשבו שהם תפסו את הלקוח בביצים, הרי הוא חייב את הנתונים ורק הם יכולים לספק את הסיסמא....

פשוט כדי להבין מה הם עשו הם לקחו מערכת הפעלה  בקוד פתוח משולבת ביכולות VOIP אשר גם היא בקוד פתוח שניתן להוריד אימייג' שלה בלי תשלום, מכרו אותה בסכום "נכבד" ללקוח ונעלו את המערכת בצורה שרק הם יוכלו לספק את השירותים השוטפים.

לגיטימי בעניי לנעול את המערכת בשימוש השוטף למניעת תקלות וסתם חטטנים שלא אמורים לגעת במערכת, אבל האם זה לגיטימי להשאיר את הלקוח עם דיסק מוצפן שבמקרה הטוב ישמש כמשקולת נייר?

האם זה הוגן לנעול את הלקוח מחוץ לשרת שלו?

מעוצבן ומאותגר הגעתי למשרד הלקוח חמוש בקייס הדיסקים שלי שלפתי משם את הדיסק עם הכיתוב

KON-BOOT

זהו דיסק livecd  שבעצם מאפשר לבצע מעקף של הסיסמאות השמורות במערכת ההפעלה ((Windows &Linux , לאחר שהדיסק עולה  הוא מעלה את המערכת ההפעלה מהדיסק הקשיח ומשתיל לתוך הקרנל משתמש  אדמיניסטרטיבי חדש.... אפשר לראות את הדיסק הזה כrootkit  חיובי...

לאחר מספר דקות התייצבנו בתוך המערכת שלפנו משם את השיחות המוקלטות והעברנו אותם למקום בטוח


ניתן לקרוא כאן הסבר כיצד להשתמש בKON-BOOT

מומלץ :)

 בפועל מה שXXX עשו זה להכניס לעצמם אצבע בעין.... הלקוח לא ימליץ עליהם לאחר שהבין עם מי יש לו עסק, בנוסף אחרי שהבין שמכרו לו תוכנה חופשית בקוד פתוח....

 כל מה שיש לי להגיד ל XXX הלקוח הוא לא כלי שלך, אתה כלי של הלקוח!

כמו שהבטחתי כאן, פוסט שכולו מוקדש להתקפת MITM
בפוסט הזה אני אעבור על קצת על מושגי יסוד על מנת שהקריאה תהיה מובנת גם למי שעוד לא מכיר לעומק את הנושא,
ואראה הדמיה של מחשב תחת התקפה.
נתחיל בכמה מושגי יסוד:
MAC ADDRESS - Media Access Control Address
זו היא כתובת פיזית שצרובה על כל רכיב רשת לדוגמא :בכרטיס הרשת,נתב,טלפון בעל מודם סלולארי, וכו'
הכתובת נראית בדומה לדוגמא הבאה 00:18:F8:1A:8C:04
הכתובת מתחלקת לשתיים – ששת התווים הראשונים הם מזוהים עם היצרן של החומרה במקרה שלנו 00:18:F8  שייך ליצרן Linksys
וששת התווים הבאים 1A:8C:04  הם מעין מספר סידורי של החומרה עצמה, למרות שהיא צרובה על רכיב הרשת ניתן לזייפה.
על מנת לדעת מהו המאק של המחשב שלך ניתן להקליד את הפקודה הבאה:
Ipconfig /all
תחת physical address  תופיע הכתובת
ARP – Address Resolution Protocol
הפרוטוקול ש"אחראי" למפות ולתרגם בין  כתובות MAC ADDRESS  הפיזיות, לכתובות IP ולהפך, בעזרת ניצול חולשה בתכנון הפרוטוקול, (אין  אוטנטיקציה)ניתן לממש את ההתקפה,
המנגנון עובד  באמצעות ארבע שלבים פשוטים:
ARP REQUEST - בשלב זה נשלחת בקשה לרשת ששואלת מי מחזיק בכתובת 192.168.1.100  ?
ARP REPLAY – התשובה לשאלה ובה מוחזרת ההכרזה "אני מחזיק את הכתובת 192.168.1.100  והMAC  שלי הוא 00:1B:1C:08:FF:0A  "
המנגנון עובד גם בצורה ההפוכה:
RARP  - "מי מחזיק בכתובת 00:1B:1C:08:FF:0A   ?
RARP REPLAY – והתשובה תהיה " אני מחזיק בכתובת ה 00:1B:1C:08:FF:0A   והIP שלי הוא 192.168.1.100 "
כמו שאתם שמים לב הפרוטוקול לא מוודא מי מקור התשובה לשאלה, וכל תשובה שהוא מקבל מבחינתו היא אמינה.
כלומר אם אני אחזיר לאחת מהשאלות (מי מחזיק ב...)תשובה, גם אם היא תהיה לא נכונה המחשב השואל יקבל אותה כאמינה ויסמוך עליה בעניים עצומות.
*לרוב מחשבים  נתבים ומתגים מחזיקים בזיכרון  (cache ), את רשימת הכתובות הפיזיות(mac address ) ואת כתובות הIP  שנמצאות ברשת, ומעדכנים אותם מפעם לפעם על מנת לייעל ולקצר את הליך החיפוש.
נהוג לקרוא להליך ההתחזות (כאשר אני עונה לשאלת ARP ומפנה רכיב רשת כל שהוא לכתובת שהיא לא באמת נכונה) "זיהום הרשת"  (ARP POISONING/SPOOFING )
אני אנסה לתמצת את כל מה שהבנו עד עכשיו:
כאשר מחשב שמבקש לדעת מה היא כתובת המאק של כתובת IP שקיימת ברשת , התוקף מחזיר לו תשובה שהוא מחזיק  בכתובת,בצירוף כתובת הmac  האמיתית של מחשב התוקף, אותו מחשב ששאל על הכתובת יודע שכעת על מנת לשלוח תעבורה אל אותה כתובת IP, הוא אמור לפנות אל אותו mac address  של התוקף, אותו הליך התוקף יעשה אל מול הכתובת האמיתית, ובכך הוא משיג את הכינוי האיש שבאמצע Man In The Middle
לדוגמא אם התקפנו את  מחשב ברשת ואת הנתב של אותה רשת,מה שיקרה לאחר ההליך הזה, הוא שהמחשב המותקף חושב שהנתב שלו הוא המחשב התוקף, והנתב חושב שהמחשב המותקף הוא המחשב של התוקף, מה שהשיג התוקף בזה הוא שכל התעבורה פנימה או החוצה, של אותו מחשב\רשת המותקפת יעברו דרכו, והוא יכול להאזין לה בלי יותר מידי בעיות. (כל עוד התעבורה לא מוצפנת) נשמע מבלבל אני יודע לכן הכנתי תרשים שיעזור להבין את התהליך...
חצים בכחול – מצב התעבורה כאשר הרשת לא מזוהמת
חצים באדום – מצב התעבורה כאשר הרשת מזוהמת

המחשה: (ניתן להגדלה בלחיצה)



ועכשיו  אחרי שהבנו את התיאוריה מאחורי ההתקפה, נעבור לתאכלס...
אזהרה! - לפני שאתם מבצעים איזה שהוא הליך שכזה וודאו כי בעל הרשת מרשה לכם לעשות זאת!
זאת עבירה לבצע פעולות אלו ללא הסכמה מפורשת של בעל הרשת!

את ההתקפה הזאת ניתן לבצע עם כלים שונים תחת Windows  ו Linux .
חלק מהכלים שניתן להשתמש בהם הם:
1.Ettercap – תוכנה מצוינת גם לLinux  וגם ל Windows.
2.Cain and able - תוכנה  מצוינת עובדת בסביבת Windows  כוללת עוד המון כלים מעניינים  ממליץ לכם לחקור אותה.
3.Dsniff  - תוכנה גם לLinux  וגם ל Windows.

לצורך ההדגמה אני אשתמש ב Ettercap  על Linux  בגרסת הcommand line  *קיימת גם תמיכה ב GUI .

פרטים:
נתב:
 IP: 192.168.1.100
מחשב מותקף:
IP: 192.168.1.101
מחשב מתקיף
IP :192.168.1.102

epotex@Black-A-Tech:/$ sudo echo 1 > /proc/sys/net/ipv4/ip_forward
פקודה זו גורמת למחשב שלי ( התוקף) להתנהג כנתב אנו זקוקים לה כדי להעביר את התעבורה.

epotex@Black-A-Tech:/$ sudo ettercap -T -q -M ARP /192.168.1.100/ /192.168.1.101/
מתג ה  T  יוציא פלט טקסט
מתג q לא יגרום להצגה של כל התעבורה אשר תעבור דרכי אלה רק לשמות המשתמש וסיסמאות
מתג M  יגרום להפעלת מתקפת Man In The Middle
ARP יפעיל את זיהום הנתב 192.168.1.100 ואת זיהום המחשב המותקף 192.168.1.101
ניתן להוסיף מתג w- somefile.txt אם תרצו לשמור את הפלט לקובץ
מיד כאשר תיכנסו במחשב המותקף לשירות רשת כל שהוא אשר דורש שם משתמש וסיסמא
היא תופיע על המסך (ותכתב לקובץ אם אפשרתם זאת).
לדוגמא:
HTTP : mail.nana10.co.il:80 -> USER: hackmymail  PASS: password  INFO: mail.nana10.co.il/OWAContainer.asp
והנה אנחנו רואים את החשבון hackmymail והסיסמא שלו  password תחת שרות הדואר של נענע

ניתן לשלב את sslstrip במידה ורוצים להאזין לשירותי רשת שמשתמשים בהצפנת SSL לדוגמא בנקים gmail  וכו'.

על ידי התקפת Man In The Middle ניתן לבצע מניפולציות רבות ברשת המותקפת, ניתן להאזין להתחברויות ברשת, לבצע זיוף של תשובות DNS, ועוד הרבה הרבה פעולות שיגרמו לתוקף להשיג מידע (כמעט)מבלי להחשף.



דרכי זיהוי והתגוננות 

חומת אש לא מסוגלת להתמודדת עם התקיפה משני סיבות עיקריות:

* ההתקפה עובדת על השכבה השניה במודל ה OSI   כאשר IP נמצאת בשכבה השלישית חומת אש עובדת לפי כתובות IP.
* ההתקפה עובדת  ברמת ה LAN ולכן ההתקפה לא תעבור דרך חומת האש.
 


* ישנם כלים כדוגמת Snort אשר יאזינו לרשת וברגע שיתבצע arp poisoning תתריע בפני מנהל הרשת על כך
יעיל ברשתות גדולות אך למשתמשים ביתיים לא תמיד יש יכולת יישום של הכלים הללו


*  ניתן להשתמש בסוויץ שמיישם את מנגנון ה Port Security ונועל אותו למאק ספציפי, קיים רק בדגמים יקרים של סוויצים
ולכן גם פיתרון זה לא ישים ברשת ביתית


לסיום חידה לא קשה....
כיצד ניתן מתוך המחשב המותקף לדעת שהוא מותקף....?