O

nie! Z powodu dużej ilości pracy przed świętami ktoś zapomniał na serwerze WWW zaktualizować wtyczkę do wykonywania kopii zapasowej w używanym przez św. Mikołaja CMS WordPress. Dzięki temu złośliwe ELFy przedostały się do wewnętrznej sieci i w ramach Lateral Movement “przeskoczyły” do maszyny w fabryce św. Mikołaja odpowiedzialnej za kompilację kodu programów używanych w zabawkach. Jest na niej pełno sekretnych rozwiązań, schematów i innych wrażliwych danych, które można ukraść. Niestety oprócz kompilatorów (gcc) i debuggerów (gdb) maszyna nie posiada żadnych narzędzi (wget, curl itd.), które można wykorzystać do eksfiltracji danych lub ściągnięcia ładunków ze złego C2. Złe ELFy mają dostęp tylko do zwykłego konta dobrego ELFa o imieniu reversek, a dzięki prostemu skanerowi portów w czystej powłoce bash zorientowały już się, że maszyna ma dostęp do internetu tylko na portach HTTP (80) i HTTPS (443). Czy uda im się wykraść zaawansowane patenty i zamienić je w tańsze podróbki ?
[ czytaj całość… ]

D

zisiaj stworzymy sobie małe wejście do szyny danych wzbogacającej o metadane adres IP klienta. Prototyp o nazwie Interceptor, który zademonstruje użyje JA3 do fingerprintingu botów, skanerów, szkodliwego oprogramowania oraz innych programów, które korzystają w komunikacji z protokołu HTTPS. Zacznijmy od JA3. Firma Salesforce otworzyła tę metodę fingerprintigu klientów TLS w 2017 roku. Podstawowa koncepcja pobierania “cyfrowych odcisków palców” od klientów TLS pochodzi z badań Lee Brotherstona (w 2015 roku wygłosił on prezentację na ten temat). Jak wiemy TLS i jego poprzednik SSL, są używane do szyfrowania komunikacji dla popularnych aplikacji, aby zapewnić bezpieczeństwo danych. Aby zainicjować sesję TLS klient wysyła pakiet: TLS Client Hello po potrójnym uścisku dłoni TCP. Pakiet ten i sposób, w jaki jest generowany, zależy od metod i innych pakietów / bibliotek oprogramowania użytych podczas budowania danej aplikacji klienckiej.
[ czytaj całość… ]

P

aswyny fingerprinting odnosi się do zbierania atrybutów klienta lub serwera będącego w zasięgu naszego połączenia sieciowego. Atrybuty mogą być zbierane z warstwy transportu, sesji lub aplikacji (np. właściwości TCP, możliwości szyfrowania TLS lub charakterystyki implementacji protokołu HTTP). Można je wykorzystać do celów dedukcji informacji np. o używanym systemie operacyjnym (typie i wersji), jego czasie uptime, a w przypadku klientów – typu używanej przeglądarki (i nie mowa tutaj o user-agent, który można dowolnie zmieniać). Ponadto pasywne rozpoznawanie klienta może służyć do dodawania unikatowości / entropii to tożsamości danego klienta w sieci, w szczególności przy użyciu metody wielowarstwowego fingerprintingu. Powszechnie stosowanymi podejściami do “oznaczania obiektów” internetowych są: TCP/IP, TLS / SSL oraz HTTP od strony klienta i serwera.
[ czytaj całość… ]

N

agłówek protokołu HTTP: X-Forwarded-For (XFF) pierwotnie został przedstawiony przez zespół developerów odpowiedzialnych za rozwijanie serwera Squid, jako metoda identyfikacji oryginalnego adresu IP klienta łączącego się do serwera web, poprzez inny serwer proxy lub load balancer. Bez użycia XFF lub innej, podobnej techniki, dowolne połączenie za pośrednictwem proxy, pozostawiłoby jedynie adres IP pochodzący z samego serwera proxy zamieniając go w usługę anonimizującą klientów. W ten sposób, wykrywanie i zapobieganie nieautoryzowanym dostępom, stałoby się znacznie trudniejsze niż w przypadku przekazywania informacji o adresie IP, z którego przyszło żądanie. Przydatność X-Forwarded-For zależy od serwera proxy, który zgodnie z rzeczywistością, powinien przekazać adres IP łączącego się z nim klienta. Z tego powodu, serwery będące za serwerami proxy muszą wiedzieć, które z nich są “godne zaufania”. Niestety, czasami nawet i to nie wystarczy. W najnowszym Sekurak Zine #3 (mirror) postaram się przedstawić, dlaczego nie powinniśmy na ślepo ufać wartościom pochodzącym z tego nagłówka.

Z

naczniki czasu określone przez RFC1323 służą między innymi do ochrony przed “owijaniem” się numerów sekwencyjnych (PAWS – ang. Protection Against Wrapped Sequence Numbers), czy obliczaniem opóźnienia pomiędzy wysłaniem segmentu (PDU – ang. Protocol Data Unit dla warstwy transportu), a otrzymaniem potwierdzenia jego otrzymania (RTTM – ang. Round-Trip-Time Measurement).
[ czytaj całość… ]

P

okładanie nadziei w matematycznych gwarancjach bezpieczeństwa algorytmów szyfrujących i zabezpieczających dane to czysta naiwność. Każde hasło, każde zabezpieczenie można złamać… lub obejść. Niezmiennie najsłabsze ogniwo stanowi czynnik ludzki.
[ czytaj całość… ]

W

iele standardowo zainstalowanych serwerów WWW obsługiwanych za pomocą Apacza ujawnia zbyt wiele danych umożliwiających przeprowadzenie tzw. ataku banner grabbing należącego do grupy ataków typu fingerprinting. Jeśli chodzi o standardową konfigurację Apacza atak banner grabbing można przeprowadzić bez szczegółowego wgłębiania się w nagłówek HTTP. W przypadku zdezaktualizowanych serwerów może stanowić to pretekst do szybko podjętej decyzji o ataku wymierzonym w wykryte podatności starszej wersji.
[ czytaj całość… ]

I

stnieje wiele narzędzi pozwalających określić, jaka usługa działa na danym porcie i jakie oprogramowanie ją obsługuje. Spróbujemy zrozumieć, jak one działają, a następnie zastanówmy się, czy byłoby możliwe (i czy byłoby łatwo) je oszukać.
[ czytaj całość… ]

F

irewalle są często uznawane za niezawodny sposób ochrony przed nieuprawnionym dostępem. Jednak zapory sieciowe również mają swoje słabości – można je omijać, wykorzystując błędy w konfiguracji albo luki w oprogramowaniu. Intruz może zdobyć dostęp do systemu na wiele różnych sposobów.

[ czytaj całość… ]

P

odanie do publicznej wiadomości zbyt dużej ilości informacji może naruszyć zasad polityki bezpieczeństwa, a tym samym ułatwić atak na system informatyczny przedsiębiorstwa lub organizacji. Zobaczmy, gdzie i w jaki sposób łatwo znajdziemy cenne dane, które mogą posłużyć do kompromitacji systemu firmowych zabezpieczeń.
[ czytaj całość… ]