Symulacja włamania - propozycja.

[schizo6]

Cześć,
Mam zadanie za symulować atak na komputer w celach naukowych(do szkoły).
Pierwszy mój atak, który opracowałem i za symulowałem wygląda tak:

Konfiguracja sprzętowa:

Windows Xp sp2 pl
+
zapora systemowa windows xp
+
Sygate Personal Firewall
+
Antywirus AVAST

Wykorzystana luka:
System ma zainstalowany serwer ftp GlobalSCAPE - Secure FTP Server z luką typu buffer overflow.

Podczas wykonania się exploita, zostaje dezaktywowany antywirus, zapora sygate a w firewallu systemowym dodany zostaje port na którym mogę się potem połączyć z komputerem przy użyciu netcata, który przekierowuje mnie do cmd. Po włamaniu pobieram potrzebne mi dane używając tftp, następnie zacieram ślady usuwając logi firewalla, systemu, serwera ftp.

Chodzi o to żebym wymyślił teraz nową symulację ataku ale nie mam pomysłu... i zwracam sie do Was o podesłanie jakiejś ciekawej konfiguracji systemu, ciekawej luki która można by wykorzystać do za symulowania ataku. Ewentualnie postawienie jakichś dodatkowych przeszkód itp. chodzi o to żeby to było w miarę ciekawe i edukacyjne Może to być też włamanie z życia wzięte, które np. dotknęło Was :]

[GSG-9]

nie rozumiem jak wg Ciebie wyglada symulacja wlamania...
chodzi o sama teorie?

podesłanie jakiejś ciekawej konfiguracji systemu

czyjego i jakiego?

[schizo6]

nie rozumiem jak wg Ciebie wyglada symulacja wlamania...
chodzi o sama teorie?


czyjego i jakiego?

Symulacja włamania polega na postawieniu systemu o danej konfiguracji a następnie włamania się na niego.

[hedVB]

Aha, czyli liczysz na to że przygotuje swój system specjalnie dla Ciebie abyś mógł sie włamać i jeszcze krok po kroku powiem czego masz się chwycić? Faaajna symulacja..

[schizo6]

Aha, czyli liczysz na to że przygotuje swój system specjalnie dla Ciebie abyś mógł sie włamać i jeszcze krok po kroku powiem czego masz się chwycić? Faaajna symulacja..

Kurcze albo ja źle tłumaczę albo jesteście nadwrażliwi trochę

Ja sobie tworzę system podatny na daną lukę a mój kolega analizuję ten system po włamaniu w celu zgadnięcia kto się włamał i zabezpieczenia śladów :] (taka kryminalistyka cyfrowa)
Chodzi mi tylko o pomysł a nie krok po kroku chyba nie jestem w przedszkolu...i żeby ten pomysł był ciekawy. Może znacie jakąś ciekawą historię z życia wziętą...

Taki pierwsze utrudnienia które sobie teraz wymyśliłem to:
Dodanie routera z firewallem, tylko tutaj zastanawiam się jak bym mógł tego firewalla ominąć.

[naichniach]

Nie musisz dodawać portu ani neutralizować AV
wystarczy ci bind shell albo reverse
FTP i tak jest przepuszczany przez firewall
a shellcode jest wykonywany w kontekscie serwera ftp
zresztą większość demonów av
działa z uprawnianiami system
więc mająć uprawnienia administratora bo zapewne na takich pracuje właściciel FTPA będzie ci trudno go wyłaczyć nie kożystając
z interfejsu samego av
INNA LUKA w xp to ANI sp2 chyba jej nie łata
Wszystko pięknie brzmi w teori wiesz

[schizo6]

Symulację ataku według opisu który podałem już wykonałem i wszystko poszło dobrze :)
Anty virusa w sumie nie wyłączam bo mi nie szkodzi za to wyłączam firewalla sygate przy wykonaniu shellcode za pomocą:
cmd /c sc stop smcservice

Sygate jest dość kiepski i pozwala na wyłączenie w taki sposób siebie samego, np. w przypadku Kaspersky już nie da się tak zrobić ;) Firewalla wyłączam po prostu aby mi nie przeszkadzał, myślę że sygate by zablokował bind shell albo reverse FTP, gdyż tworz on reguły aplikacja -> port

No tak teoria jest dużo łatwiejsza :) takie "real" włamywanie jest bardzo trudne bo nigdy do końca nie wiemy co nas czeka :) Ja mam trochę łatwiejsze zadanie bo sam tworzę dla siebie konfiguracje :P
Zresztą samo zacieranie śladów... co z tego że usunę logi skoro można je odzyskać za pomocą jakiegoś recovera.

No tak o luce ani też myślałem :) jest bardzo fajna bo wystarczy tylko wejść na stronę...ale chodzi mi bardziej o jakiś przykładowy scenariusz jak najbliższy realiom.

[naichniach]

No jeśli chodzi o xp sp2
zchowany za firewalem
to luki w przeglądarkach czy jakiś pluginach czyli akcje w stylu ANI
klikkni w link chyba są najbardziej prawdopodobne jeśłi chodzi o ataki z internetu
pozatym to niewiem czy coś znajdziesz ciekawego
nie bęðąc w wewnętrznej sieci a i wtedy wcale nie jest lekko
w xp sp 1 jest ciakwy bug w ans1 szel w sekund 3
Ja ostanio mam zgryz sytemem NT 4 ze wszystkimi łatami
kolesie mają tylko jeden port nie filtrowany (http IIS 5.0)
na wszytkich maszynach w podsieci
Wydawało by się bułka z masłem
a tu z000nk na całej lini
wszystkie populrne luki na ten serwr załatane
a same serwisy to w większości czysty HTML
pare przypadków ASP w tym jeden z blind sql injection <--
sytem oddalony od celu o jakieś 200 hostów (biorąc poduwage adresowanie klasowe)

nie ma lekko jak sam wiesz wszytko zależy tak naparwde od wiedzy administratora to ze ktoś siedzi na
NT czy XP nie ma tak naparwde znaczenia
kwestia tego jak admin przykłada się do swoich obowiązków

[michalski007]

hmm.. możesz wykorzystać dziurę w VNC o ile jeszcze istnieje, pamietam 3 miesiace temu robiłem w szkole taki pokaz, druga rzecz to możesz zaprezentować jakis framework, np metaspolit3, a trzecia propozycja to sniffowanie, jest ciekawą formą pokazu a na efekty nie bedziesz musial dlugo czekać.

p.s: uważaj z takimi pokazami , bo jak za dużo im pokarzesz, a w przyszłości w szkole sie coś namiesza będziesz pierwszym podejżanym znam to z własnego doświadczenia