NFsec Logo

Command and Control przy pomocy UDP, czyli DNS Tunneling

16/09/2016 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

N

ie ważne, jak bardzo skręcimy dostęp sieciowy do i z naszych serwerów – to zawsze zezwolimy na ruch DNS, aby móc rozwiązywać nazwy domenowe na adresy IP i na odwrót. Osoba, która dokonała skutecznego ataku na nasze maszyny może wykorzystać tą „lukę” w zaporze ogniowej i potajemnie wyprowadzić dane za pomocą połączeń do C&C, które trudno zablokować. Aby bliżej zrozumieć tunelowanie poleceń i danych za pomocą DNS do serwerów Command and Control spójrzmy na narzędzie autorstwa Rona Bowsesa o nazwie dnscat2.
[ czytaj całość… ]

Kanarek rozdaje tokeny, czyli jak używać Canarytokens

13/09/2016 w Bezpieczeństwo Brak komentarzy.

M

iodowy token? (ang. honeytoken) jest podobną techniką do garnków miodu (ang. honeypot), a dokładniej mówiąc to zasób komputerowy, który istnieje wyłącznie w celu powiadamiania nas, gdy tylko ktoś uzyska do niego dostęp. Może to być konto użytkownika, do którego generalnie nikt nie powinien mieć dostępu; plik, którego nikt nie powinien przeczytać; link, w który nikt nie powinien kliknąć. Funkcjonalność taką za darmo oddała nam firma Thinkst Applied Research pod postacią serwisu Canarytokens.
[ czytaj całość… ]

MySQL – Zdalne wykonanie kodu oraz eskalacja uprawnień

12/09/2016 w Bezpieczeństwo Brak komentarzy.

D

awid Glounski opublikował dzisiaj 0day na serwery bazodanowe oparte na silniku MySQL (dotyczy to również MariaDB oraz Percona). Błąd pozwala atakującym na wstrzyknięcie złośliwych ustawień do plików konfiguracyjnych serwera (my.cnf), które mogą prowadzić do poważnych konsekwencji. Podatność dotyka wszystkie serwery MySQL w podstawowej konfiguracji (wersje: 5.7, 5.6 oraz 5.5) wliczając w to najnowsze wersje. Eksploracja błędu może zostać przeprowadzona zarówno lokalnie, jak i zdanie (poprzez uwierzytelniony dostęp sieciowy / interfejs webowy w postaci PHPmyAdmin lub atak SQL Injection). Udane wykorzystanie luki może pozwolić agresorowi na wykonanie dowolnego kodu z uprawnieniami użytkownika root, czyli administratora – w konsekwencji może dojść do pełnej kompromitacji serwera, na którym został zaatakowany daemon MySQL, ponieważ wykorzystanie tej podatności jest możliwe nawet jeśli moduły zabezpieczeń w postaci AppArmor oraz SELinux są aktywowane z domyślnymi politykami dla różnych dystrybucji Linuksa.

Więcej informacji: Szczegóły ataku oraz dowód na słuszność koncepcji

Wszystko, co chciałbyś wiedzieć o użytkowniku Twittera, ale boisz się zapytać

11/09/2016 w Pen Test Brak komentarzy.

T

infoleak jest prostym skryptem napisanym w języku Python, który pozwala na uzyskanie takich informacji o użytkowniku Twittera, jak:

  • podstawowe informacje: nazwę, zdjęcie, lokacje, śledzących itp.,
  • urządzenia oraz systemy operacyjne,
  • aplikacje oraz używane inne media społecznościowe,
  • odwiedzane miejsca oraz dane geolokalizacyjne,
  • analizę hashtagów, wspomnień i wiele innych…

Oczywiście informacje te uzależnione są od ustawień konta, jakie wybrał dany użytkownik Twitter’a. Przejdźmy do procesu instalacji i przykładowego użycia skryptu.
[ czytaj całość… ]

Zapalmy flarę nad CloudFlare

09/09/2016 w Pen Test Brak komentarzy.

P

rzy okazji wygasania certyfikatu na stronie zacząłem się zastanawiać, czy skorzystać z Let’s Encrypt, czy może z CloudFlare? CF to serwis oferujący „darmową” ochronę webaplikacji, CDN oraz szyfrowanie SSL (jeśli używa się go poprawnie). Zastanawiało mnie ile klientów / domen korzysta z tego serwisu? Oto, co udało mi się ustalić.
[ czytaj całość… ]

Audyt pakietów Linuksa za pomocą bazy Vulners

28/08/2016 w Bezpieczeństwo Brak komentarzy.

S

erwis zajmujący się między innymi gromadzeniem informacji o podatnościach pakietów czołowych dystrybucji Linuksa (Debian, Ubuntu, Oracle Linux, Fedora, CentOS, RedHat) udostępnił możliwość darmowego sprawdzania, czy w naszym systemie nie są obecne wersje oprogramowania, które zawiera błędy bezpieczeństwa. Autorzy serwisu napisali już Proof Of Concept agenta w języku Python. Istnieje też ręczna możliwość sprawdzenia pakietów poprzez formularz na stronie.

darkstar@darkstar:~$ git clone https://github.com/videns/vulners-scanner
Cloning into 'vulners-scanner'...
remote: Counting objects: 49, done.
remote: Compressing objects: 100% (19/19), done.
remote: Total 49 (delta 9), reused 0 (delta 0), pack-reused 30
Unpacking objects: 100% (49/49), done.
Checking connectivity... done.
darkstar@darkstar:~$ cd vulners-scanner/
darkstar@darkstar:~/vulners-scanner$ python3 linuxScanner.py

             _
__   ___   _| |_ __   ___ _ __ ___
\ \ / / | | | | '_ \ / _ \ '__/ __|
 \ V /| |_| | | | | |  __/ |  \__ \
  \_/  \__,_|_|_| |_|\___|_|  |___/

==========================================
Host info - Host machine
OS Name - ubuntu, OS Version - 16.04
Total found packages: 448
No vulnerabilities found

Więcej informacji: Linux Vulnerability Audit in Vulners

Uciekając z sudo – część trzecia

28/08/2016 w Bezpieczeństwo Brak komentarzy.

W nawiązaniu do poprzednich dwóch edycji oraz odpowiadając na pytanie: Jakie jeszcze przykładowe programy umożliwiają ucieczkę z sudo? – Możemy przyjrzeć się następującym przypadkom:
[ czytaj całość… ]

Instalacja serwera httpd apache w środowisku chroot() – Ubuntu 16.04 LTS Server

16/08/2016 w Administracja, Bezpieczeństwo Brak komentarzy.

T

a krótka instrukcja poruszy temat skonfigurowania serwera httpd apache (2.4) w środowisku chroot() pod katalogiem /chroot. Na początek w systemie należy zainstalować takie pakiety jak: apache2 oraz libapache2-mod-php. Pierwszy z dwóch zapewni nam oprogramowanie httpd samo w sobie podczas, gdy libapache2-mod-php wsparcie dla interpretera PHP w wersji 7.0.8:
[ czytaj całość… ]

Prosty IDS dla SSH i nie tylko

14/08/2016 w Administracja, Bezpieczeństwo Brak komentarzy.

M

onit jest małym, ale potężnym narzędziem, które potrafi zarządzać monitoringiem i kondycją systemu. Potrafi przeprowadzać zautomatyzowane czynności utrzymaniowe, naprawcze i zaradcze w sytuacjach wystąpienia różnych błędów. Nie tylko umie czuwać nad poprawnym działaniem procesów, ale również zgłaszać incydenty oraz podejmować różne akcje (np. poprzez skrypty). Poniżej zamieszczam prosty przykład, jak wykorzystać tego daemona do monitorowania logowań przez SSH i wysyłania powiadomień przez e-mail.
[ czytaj całość… ]

Linux posiada błąd w TCP ułatwiający ataki przechwytywania sesji

11/08/2016 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

D

o pliku net/ipv4/tcp_input.c w jądrze Linuksa od wersji 3.6 wprowadzono patch mający na celu poprawienie odporności stosu TCP przed atakiem Blind In-Window. Niestety spowodował on zupełnie odwrotne działanie i w rzeczywistości ułatwia przechwytywanie sesji TCP poprzez wyciek informacji bocznym kanałem. Podatne są wszystkie systemy Linux z zakresu 3.6 – 4.7 (do przeprowadzenia ataku wystarczy, że tylko jedna strona w komunikacji klient – serwer jest podatna). Jak twierdzą autorzy będący m.in. członkami Cyber Security Group Uniwersytetu w Kalifornii atak zajmuje od 40 do 60 sekund i posiada od 88% do 97% skuteczności. Pierwsza prezentacja odkrycia odbyła się w maju 2016 roku na konferencji GeekPwn, a w ciągu dwóch dni na konferencji Usenix Security Symposium zostaną przedstawione pełne wyniki badań. Na YouTube dostępy jest film prezentujący przeprowadzenie ataku z wstrzyknięciem treści w trwającą sesję TCP. Tymczasowym rozwiązaniem do czasu pojawienia się oficjalnych poprawek jest podniesienie limitu ilości wysyłanych segmentów ACK służących do kwestionowania pakietów SYN z niezgodnymi numerami sekwencyjnymi.

sysctl -w net.ipv4.tcp_challenge_ack_limit=999999999

Warto wspomnieć, że pierwszy tego rodzaju atak przeprowadził Kevin Mitnick.

Więcej informacji: Fixing an Internet Security Threat, CVE-2016-5696

Strona 11 z 65« Pierwsza...5...910111213...2025...Ostatnia »