Co jsou exploity? Využívá. Jak zabránit hackerům ve zneužívání zranitelností softwaru třetích stran

Odkud pocházejí spoilery? Přemýšleli jste někdy, jak z nevýrazných zpráv
promění se taškař ve skutečně fungující hlavní klíč? Jak mohou dvě desítky
řádky kódu můžete získat shell na vzdáleném serveru? Dnes navštívíme
Sploit factory a podrobně se podívat, jak se vyrábí
kvalitní výrobek.

Spusťte MSF eXploit Builder, přejděte do nabídky „Editor“ a vyberte „New“.
Zobrazí se okno s několika kartami (Informace, Badchars, Analysis,
Shellcode, Design). Pojďme na kartu "Informace" a uvidíme spoustu zajímavého
pole. Jak si pamatujete, tato část uvádí cíle (OS + SP) a typ/protokol
exploit (například remote/tcp). Navíc nám program poskytuje
možnost testovat a ladit výsledný exploit, takže můžete okamžitě
vyberte spustitelný soubor a zadejte parametry pro jeho spuštění (port, IP adresa).

Vyberte tedy náš tftpd.exe, po kterém nástroj nabídne následující akce
volba: spustit aplikaci, spustit ji pod debuggerem nebo ji nespustit
Obecně stačí spustit aplikaci. Všimněte si, že na pravé straně
Zobrazí se seznam DDL načtených aplikací.

Nyní se začneme dívat na exploit kód - naštěstí pro nás je extrémně jasný.

Mnoho začínajících specialistů v oboru informační bezpečnost Ohledně exploitů vyvstává mnoho otázek: Co jsou exploity? Kdo píše exploity? Jak využívat exploity? V tomto článku najdete odpovědi na tyto otázky!

Co je exploit?

Využívat- Tento počítačový program, část softwarového kódu nebo sekvence příkazů, které využívají zranitelnosti v softwaru a používají se k provedení útoku na počítačový systém. Účelem útoku může být buď převzetí kontroly nad systémem (eskalace privilegií), nebo narušení jeho fungování (DoS útok). ...

V jádru je exploit malým příkladem toho, jak lze danou zranitelnost zneužít; v rukou zkušeného hackera je exploit mocná zbraň, která umožňuje kompromitovat cílový systém.

Kdo píše exploity?

Exploity jsou napsány tisíci nadšenců zapálených do studia informační bezpečnosti; publikují je na mnoha známých webech, jako je SecurityFocus. Nedělají to kvůli slávě a ne pro radost ze scénářů, dělají to pro upozornění správci systému a další specialisté na informační bezpečnost o existenci této chyby zabezpečení. Koneckonců, když máte v ruce implementaci konkrétní zranitelnosti, můžete snadno napsat „záplatu“.

Jak využívat exploity?

Nehledě na to, že řada nováčků je zmatená obrovské základny s exploity se docela snadno používají!

Vezměme si například zranitelnost nalezenou v jedné z mnoha Komponenty Joomla. Popis exploitu naleznete pod odkazem Joomla Component com_camp SQL Injection Vulnerability.

Nejprve byste se měli podívat na aplikaci a verzi aplikace, pro kterou existuje zranitelnost. Pokud najdete, co potřebujete, začněte studovat popis exploitu. V popisu obvykle píšou, kde přesně byla zranitelnost nalezena. V našem případě je to komponenta com_camp. Jak vidíte, zranitelnost existuje kvůli nedostatečnému filtrování v proměnné cid:

Http://127.0.0.1/index.php?option=com_camp&task=show&cid=

Návštěvou webu s touto zranitelností a nahrazením uvozovky v proměnné cid s největší pravděpodobností najdete na stránce chybu, která indikuje přítomnost injekce sql.

Co dělat dál? Pokud máte jen trochu fantazie, dokážete hodně! Zde se dostáváme k samotnému exploitu. Na stránce s popisem exploitu obvykle zveřejní soubor se samotným exploitem nebo řádek programového kódu, který je třeba buď zkompilovat, nebo nějakým způsobem „dodat“ zranitelné aplikaci. V našem případě vidíme řádek sql kódu, který je třeba vložit do proměnné cid:

1/**/UNION/**/SELECT/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14--

Také v našem případě vidíme příklad implementace této zranitelnosti:

Http://127.0.0.1/index.php?option=com_camp&task=show&cid=-1/**/UNION/**/SELECT/**/1,2,3,4,5,6,7,8, 9,10,11,12,13,14--

Díky těmto údajům a znalosti struktury databáze Joomla můžete snadno získat všechna potřebná data, včetně přihlašovacích údajů a hash hesel pro uživatele, včetně správce.

Jaké další exploity existují?

Podle způsobu získání přístupu k zranitelnému softwaru se exploity dělí na vzdálené a místní.

Exploity jsou navrženy k provádění akcí třetích stran na zranitelném systému a lze je mezi sebou rozdělit následovně:

Obecně platí, že GoogleHack & „Advanced Search“ vám pomůže například hledat na konkrétním webu web: http:securityfocus.com joomla sql injection vám ukáže mnoho exploitů, které vám umožní provádět sql injection v joomle.

Může exploity používat každý hlupák?

Ne, ne a NE. Pro použití exploitů potřebujete minimálně obecné znalosti programování (mnoho exploitů je záměrně napsáno s chybami a neposkytuje mnoho funkcí, protože se jedná pouze o „prezentaci“ zranitelnosti), je také nutné prostudovat systém, který je napaden a shromážděte dostatek informací k jeho provedení. Zkušenosti ukazují, že mnoho lidí, kteří chtějí „snadné peníze“, prostě nemají potřebné znalosti.

Závěr:
Každým dnem se nachází více a více zranitelností, a proto se píše stále více exploitů. Nenabádám vás k tomu, abyste se stali dětmi ze skriptů, a v žádném případě neřeknu, že byste tyto informace neměli používat k nezákonným účelům!

Jaderná energie může přinést světlo, nebo může přinést věčnou temnotu, každý se rozhoduje sám, jak bude žít...

Náš časopis by se nejmenoval, čím je, kdybychom se záviděníhodnou pravidelností neanalyzovali situaci ve světě exploit packů a drive-by-downloadů (viz např. ][ č. 162). Od té doby poslední recenze mnoho změn ovlivnilo způsob doručení Škodlivý kód. Zejména lidé, mezi jejichž povinnosti patří ochrana běžných pracovníků před nejrůznějšími nebezpečími Celosvětová Síť, nespal a zatčení nechvalně známého Paunche, autora kdysi nejpopulárnější sady exploitů Black Hole, pravděpodobně ovlivnilo přerozdělení hlavních hráčů na trhu exploit packů.

VAROVÁNÍ!

Veškeré informace jsou poskytovány pouze pro informační účely. Autor ani redakce nenesou odpovědnost za případné škody způsobené materiály tohoto článku.

Náš dnešní seznam bude obsahovat devět nejoblíbenějších exploit kitů. Stojí za zmínku, že tak zjevný vůdce, jakým kdysi byl Černá díra, mezi ně nepatří a obliba toho či onoho zástupce není vždy různými výzkumníky a antivirovými společnostmi hodnocena stejně. Celkový obrázek však vypadá asi takto:

• Sada Angler Exploit;
• Sweet Orange Exploit kit;
• Nuclear Exploit kit;
• Fiesta Exploit kit;
• Magnitude Exploit kit;
• Neutrino Exploit kit;
• Astrum Exploit kit;
• RIG Exploit kit;
• Sada Archie Exploit.

Sada Angler Exploit

Vedoucí naší dnešní recenze. Objevil se na konci minulého roku a podle některých zpráv mnoho uživatelů Black Hole Exploit Kit přešlo na používání tohoto exploit packu po Paunchově zatčení. Dnes má ve svém arzenálu využití pro dvanáct zranitelností (a dvě z nich jsou velmi nedávné).

První ( CVE 2015-0311) umožňuje spouštět libovolný kód na Flash verze až 16.0.0.287 pro Windows a OS X, druhá ( CVE 2015-0310) - obejít bezpečnostní omezení v Adobe Flash Player, deaktivujte ASLR a spusťte libovolný kód.

Před zahájením své škodlivé činnosti Angler EK zkontroluje, zda napadený stroj běží ve virtuálním prostředí (VMware, VirtualBox a Parallels Workstation jsou rozpoznány podle přítomnosti odpovídajících ovladačů) a jaké antivirové nástroje jsou nainstalovány (zjištěno různé verze Kaspersky, antiviry od Trend Micro a Symantec, antivirový nástroj AVZ). Kromě výše uvedeného se kontroluje i přítomnost webového debuggeru Fiddler.

Mimochodem, tento druh kontrol je nyní do té či oné míry implementován v mnoha balících exploitů, včetně těch z naší dnešní recenze.

Kód Angler EK je podle očekávání velmi dobře zamlžován a zašifrován a autoři kód exploit packu pravidelně čistí (jak se dostává do antivirových databází).

Sladká oranžová Exploit sada

Přestože tento exploit pack není až tak nový (objevil se již v roce 2012), může se pochlubit nemenší popularitou (zejména po říjnu 2013) a zneužitím jedné nedávné zranitelnosti. Podle některých výzkumníků je míra penetrace exploit packu asi 15 %. Na tento moment obsahuje exploity pro deset zranitelností a na rozdíl od Angler EK využívá Sweet Orange několik zranitelností Java ( CVE 2012-1723, CVE 2013-2424, CVE 2013-2460, CVE 2013-2471).

Sweet Orange používá algoritmus pro generování náhodných doménových jmen každých pár minut, takže je obtížné tento exploit pack odhalit a prozkoumat. Názvy subdomén mohou vypadat například takto:

• abnzzkpp.syt * .síť
• abtkslxy.syt * .síť
• ajijaohoo.syt * .síť
• ancezvwzvn.syt * .síť
• azrrfxcab.syt * .síť
• bnfjqksp.syt * .síť
• bvakjbktwg.syt * .síť

Pro kontrolu doménových jmen a IP adres na jejich přítomnost v blacklistech různých antivirů se používá služba scan4you.net, uživatel balíčku si může určit jinou kontrolní službu.

Cena balíčku - 2500 WMZ plus první dva týdny čištění a změny domény jsou zdarma.

Doplňkové služby:

• Čištění: jeden měsíc - 1000 WMZ.
• Změna domén:
  • Limit množství, cena je za jednu doménu:
    • až 10 - 25 WMZ;
    • od 10 do 30 - 15 WMZ;
    • od 30 - 10 WMZ.
  • časový limit (ve dnech):
    • 10 - 300 WMZ;
    • 20 - 400 WMZ;
    • 30 - 600 WMZ.
• Změna serveru: 20 WMZ.

Nukleární Exploit kit

První verze této skupiny exploitů se objevily již v roce 2009. K dnešnímu dni nejzatíženější balíček exploitů ze všech prezentovaných v recenzi obsahuje exploity pro dvanáct zranitelností (za zmínku stojí, že ne všechny jsou nejnovější).

Ve většině případů se k infekci používá tříúrovňové přesměrování podle následujícího schématu: první úroveň je kompromitovaná webová stránka s vloženým prvkem iframe, druhá úroveň je odkaz na exploit pack a třetí je samotný balíček. .

Kód exploit packu je velmi silně zatemněn velký počet proměnné a funkce deklarované na různých místech, které se nepoužívají.

K deobfuskaci kódu při provádění používá Nuclear EK přibližně následující funkce (myslím, že akce, které tyto funkce provádějí, jsou jasné bez vysvětlení):

VV8Y6W = function(uAVnC, mhTbz) ( return uAVnC(mhTbz); ); WL3 = function(uAVnC, mhTbz, YSu) ( return uAVnC(mhTbz, YSu); );

Kromě toho je kód pro některé funkce, zejména skript pro určení platformy a verzí pluginů prohlížeče (k určení pluginů se používá knihovna PluginDetect JS), generován dynamicky:

J_version = PluginDetect.GetVersion("Java"); p_version = PluginDetect.GetVersion("AdobeReader"); f_version = PluginDetect.GetVersion("Flash"); s_version = PluginDetect.GetVersion("Silverlight");

• 50k - 500 WMZ;
• 100k - 800 WMZ;
• 200k - 1200 WMZ;
• 300k - 1600 WMZ.

Dva týdny:

• 50k - 300 WMZ;
• 100k - 500 WMZ;
• 200k - 700 WMZ;
• 300k - 900WMZ.

Týden:

• 100k - 300 WMZ;
• 200k - 400 WMZ;
• 300k - 500WMZ.

Nejstarší zranitelnost v naší recenzi je CVE 2010-0188, exploit pro který je součástí Nuclear EK, vám umožňuje spustit libovolný kód na napadeném systému pomocí speciálně vytvořeného souboru PDF.

Fiesta Exploit kit

Tento balíček exploitů začal svou cestu od exploitu ke zranitelnosti. CVE-2007-5659 zpět v roce 2008. Dnes má na palubě devět exploitů, jejichž zranitelnost se datuje do let 2010–2013. Nejnovější z nich jsou zranitelnosti Silverlight, které umožňují spuštění libovolného kódu v systému kvůli chybě dereference dvojitého ukazatele ( CVE 2013-0074) nebo kvůli nesprávnému zpracování objektů v paměti ( CVE 2013-3896).

Kontrola dostupnosti požadovaných verzí Silverlight a AdobeFlash se provádí následovně:

// Kontrola přítomnosti Silverlightu new ActiveXObject("AgControl.AgControl"); // Vyšetření Adobe Flash new swfobject.embedSWF();

Pokud obě tyto funkce vygenerují výjimku, dojde k pokusu o zneužití jiných zranitelností (Java nebo IE).

Kód exploit packu je silně obfuskovaný a navíc používá šifrování většiny řetězců pomocí náhodných čísel a sekvencí.

Magnitude Exploit kit

Balíček se objevil na trhu na začátku roku 2013 a byl zpočátku známý jako PopAds Exploit Kit.

Hlavním rysem tohoto exploit packu je použití služby scan4you.net ke kontrole IP adres a domén, stejně jako kódu samotného exploit packu, pro detekci různými antiviry. Kromě toho Magnitude EK, stejně jako Sweet Orange EK, používá dynamické generování a změny názvů subdomén každých pár minut.

Navzdory nepříliš nedávným zneužitým zranitelnostem (v této sadě jich je aktuálně sedm) poskytuje tento exploit pack celkem přijatelnou penetraci.

Vazebný kód můžete deobfuskovat pomocí metody String.fromCharCode, jejíž argumenty jsou prvky sekvence šifrované XOR. K oddělení prvků v této sekvenci od sebe se používá symbol % .

Na rozdíl od jiných exploit packů nelze Magnitude EK pronajmout například na týden nebo měsíc. Tvůrci tohoto balíčku si jako platbu berou určité procento infikovaných počítačů z celkového provozu zákazníka.

Neutrino Exploit kit

Tento balíček exploitů začal svou cestu kolem března 2013 a poté obsahoval exploity pouze pro dvě zranitelnosti ( CVE 2012–1723 A CVE 2013–0431, obojí pro Javu). Dnes se seznam zneužitých zranitelností mírně rozšířil, nyní obsahuje pět exploitů pro Javu a jeden ( CVE 2013-2551) Komu internet Explorer.

Kód exploit packu je obfuskován přibližně stejným způsobem jako v Magnitude EK. Pro deobfuskaci se používá následující funkce:

Funkce xor (vstup, průchod) ( var výstup = ""; var i = 0; var pos = 0; pro (i = 0; i< input.length; i++){ pos = Math.floor(i%pass.length); output += String.fromCharCode(input.charCodeAt(i) ^ pass.charCodeAt(pos)); } return output; }

„Úžitková zátěž“ stažená Neutrino EK do infikovaného počítače oběti je přenášena v šifrované formě XOR, což poněkud snižuje pravděpodobnost detekce antivirovými produkty.

Náklady na pronájem exploit packu za sdílený server s generálním čištěním:

• den - 40 dolarů;
• týden - 150 dolarů;
• měsíc - 450 dolarů.

Sada Astrum Exploit

Nejmladší sada exploitů v naší dnešní recenzi. Podle některých antivirových společností je datum jeho prvního vydání přibližně polovina září 2014.

Kód exploit packu je silně obfuskovaný a obsahuje interní kontrolu přítomnosti různých hackerských nástrojů na infikovaném počítači, antivirové programy, stejně jako skutečnost, že běží na virtuálním počítači. Kromě toho modul ochrany klávesnice na obrazovce od společnosti Kaspersky obdržel samostatnou kontrolu:

Zkuste ( var O = $(Kaspersky.IeVirtualKeyboardPlugin.JavaScriptApi.1); O && (mr = 1) ) catch (s) ()

Obsahuje exploity pro sedm zranitelností (Silverlight, Flash, LibTiff a IE).

RIG Exploit kit

RIG EK zahájila své škodlivé aktivity na konci roku 2013 a dnes využívá zranitelnosti aplikací Internet Explorer, Java, Adobe Flash a Silverlight.

Uživatelé jsou přesměrováni na stránku s exploit packem pomocí JS skriptu vloženého do napadené stránky, který je založen na dnešní datum(z něj je převzat hash CRC32) generuje názvy domén, kde se nachází kód exploit packu.

Tato skupina exploitů také kontroluje přítomnost antivirových produktů (i když pouze Kaspersky a Trend Micro) - určuje, zda jsou přítomny následující ovladače:

• c:\\Windows\\System32\\drivers\\kl1.sys
• c:\\Windows\\System32\\drivers\\tmactmon.sys
• c:\\Windows\\System32\\drivers\\tmcomm.sys
• c:\\Windows\\System32\\drivers\\tmevtmgr.sys
• c:\\Windows\\System32\\drivers\\TMEBC32.sys
• c:\\Windows\\System32\\drivers\\tmeext.sys
• c:\\Windows\\System32\\drivers\\tmnciesc.sys
• c:\\Windows\\System32\\drivers\\tmtdi.sys

Cena této exploit kit:

• den - 40 dolarů;
• týden - 100 dolarů;
• měsíc - 500 dolarů.

Sada Archie Exploit

Tento exploit pack se objevil relativně nedávno (podle F-Secure - přibližně koncem července loňského roku). Jeho tvůrci se s vývojem kódu sami neobtěžovali a převzali exploit moduly Metasploit Framework a získat informace o Verze Silverlight, Flash a další věci, používá se knihovna PluginDetect JS.

První verze Archieho své uživatele nehýčkaly zatemňováním ani žádnými jinými triky, ale pozdější verze zaváděly jak zamlžování kódu, tak šifrování adres URL a názvů souborů a také kontrolu virtuální stroje a antivirové programy.

Závěr

Kapitán Obviousness ze své krabičky s nápovědou mi říká, že jak čas plyne, zranitelností a exploitových balíčků neubývá. Abychom to shrnuli, můžeme vyvodit několik závěrů:

• autoři většiny exploit balíčků přešli od přímého prodeje k pronájmu na svých serverech a často poskytují celou řadu služeb – od čištění po stálý posun názvy domén a antivirové detekční kontroly;
• téměř všechny exploit balíčky začaly aktivně využívat zranitelnosti Javy a Silverlightu;
• mnoho exploit packů začalo získávat funkce pro rozpoznání přítomnosti virtuálních strojů, antivirů a různých hackerských utilit;
• zranitelnost CVE 2013-2551 je velmi populární a používá se ve všech exploit kitech z naší recenze.

WWW

Nedávno zdrojové kódy Unikla sada RIG Exploit Kit Volný přístup. Můžete o tom mluvit

Informace pro ty, kteří úplně nechápou, co je exploit.
Co je exploit?
„Oficiální“ definici si lze přečíst v počítačových encyklopediích. Líbí se mi toto: „V závislosti na účelu program, část kódu nebo skript, který vám umožní využít existující zranitelnost v softwaru pro cokoli, co je řízeno softwarem.“ V jistém smyslu je kladivo proti smartphonu také technickou vymožeností, jednající s primitivním cílem – zničit zařízení. Podívejme se na podstatu, princip použití a roli exploitu při hackování systému. Zvažuje se otázka, kde exploit získat, zda má smysl si jej stáhnout nebo koupit a proč nemusí potvrzený exploit fungovat.

• Co jsou exploity
• Jaké druhy exploitů existují?
• Něco málo o zranitelnostech
• Role exploitu při útoku na systém
• Příklad úspěšného exploitu
• Využívejte databáze
• Problémy s exploitem

• zneužití služby
• zneužití klienta
• využívat privilegia

Postupně se přibližujeme principu fungování systémového kompromisu. Každá z těchto fází je velmi složitý proces, který vyžaduje vícedílnou příručku. Ale lze to schematicky znázornit takto:

• potenciálně zranitelný systém je prohledán na otevřené porty a spuštěné služby
• jsou identifikovány body, které lze zasáhnout
• na vzdálený počítač do tohoto nebo těchto bodů je odeslán exploit známé zranitelnosti
• užitečné zatížení je připojeno k exploitu (umožní vám ovládat systém oběti)
• pokud exploit funguje (je to první, který je spuštěn) a systém oběti odpoví, spustí se užitečné zatížení; Na základě výsledků provedení kódu užitečného zatížení získá hacker přístup k počítači oběti

• nmap -v -n 192.168.0.162

• - v umožňuje získat podrobnou zprávu o adrese
• -n deaktivuje zpětné vyhledávání DNS

nmap -T4 -A -v 192.168.0.162

Informací je dost. Vybíráme místo zásahu.
Je otevřena celá řada portů, které jsou potenciálními zadními vrátky do systému nepřítele.
Nechť je to jeden z otevřených portů 135 S běžící službu mcrpc(aka Microsoft Windows RPC - služba vzdáleného volání procedury systému). Jediné, co musíme udělat, je vybrat vhodný exploit pro konkrétní proces.
Využití databáze. Pár sekund pro teorii.
Pokud právě sedíte v Cali, základnu máte na dosah ruky. Vše, co potřebujete, je připojení k síti a spuštění msfconsole(aka sada nástrojů Metasploit). Neustále aktualizovaná základna exploitů, kterou můžete vidět hned po spuštění konzole msfconsole a napsáním příkazu ukázat exploity, zobrazí seznam exploitů:

Zobrazení seznamu na obrazovce vám zatím nic neřekne. Jsou uvedeny v abecedním pořadí s datem vydání, přidělenou hodností pro aplikaci a spolehlivost provozu a krátkým vysvětlením toho, na co jsou zaměřeny.
Jakési zrcadlo základny je slavným zdrojem
Je také zcela věnován exploitům. A zde se můžete (vyzbrojeni slovníkem) podrobněji seznámit s historií exploitu, přímo si jej stáhnout (pokud si chcete poskládat vlastní exploit, více později) a seznámit se s informacemi o exploitu. Obecně platí, že veškerá chuť se nachází zde. Ale je tu ještě něco.
Není to špatný zdroj kde můžete najít něco zajímavého:
ru.0day.today/
Vícejazyčný zdroj, který nabízí nejen dobře známé (čti: dlouho kryté) exploity, ale také vlastní verze účastníků. Pro peníze. Navštivte a zkontrolujte: ruský jazyk je zde také podporován.
Pokračujme. Hledáme vhodný exploit.
Metasploit je přímo připojen k databázi exploitů, takže si kroky, které vidíte, nemusíte pamatovat: dobrá věc na Metasploitu je, že jeho kroky jsou automatizované (což však není vždy dobré). Článek je o exploitu a my jej pouze využijeme, tzn. ručně. Pojďme to najít, stáhnout, nahrát. Proč ručně? Více o tom v odstavci Problémy s využíváním.
Jak najít exploit, který vás zajímá?
Pokud máte zájem o exploit, který lze použít proti konkrétní platformě nebo programu, nemusíte procházet seznam více než jeden a půl tisíce manuálních exploitů zobrazených příkazem
ukázat exploity
Místo toho můžete zadat příkaz takto v otevřené relaci Metasploit:
hledaný název:smb typ:exploit platforma:windows
Metasploit zobrazí pouze ty exploity, které fungují v OS Windows. Dále, pokud vás zajímají exploity prohlížeče v OS Windows, přidejte k příkazu název. Vidět:
msf > název hledání:typ prohlížeče:využívání platformy:windows

Kromě toho můžete v Kali Linuxu přímo vyhledávat exploity přímo z terminálu, aniž byste spouštěli relaci Metasploit. Zadejte příkaz pro vyhledání exploitu ve formátu:
searchsploit internet explorer
Terminál vám vrátí všechny dostupné exploity v databázi, která je aktualizována každý týden.
Pokračujme...
Známe tedy službu, vidíme typ OS. Do databáze tedy napíšeme: Vyhledávání-tlačítko po zadání požadavku:
Windows RPC
Před hledáním si projdeme ověření robota a seznámíme se s výsledky:

Tady je naše. Klikneme na odkaz, přejdeme na následující odkaz Stáhnout a je na našem počítači v jako soubor 66.c.
OPAKUJI . Vše, co bylo provedeno výše, lze provést rychleji. Se spuštěným Metasploit zadejte příkaz k vyhledání exploitu z vašeho Kali:

A vložím binární kód exploitu přímo do oběti XP:
./66 6 192.168.0.162

Systém zareagoval. Vědecky se tomu říká úspěšný výsledek systémového kompromisu. Ve skutečnosti je tento počítač již v rukou hackera. Hacker ho vidí, jako by seděl u počítače – systém může ovládat pomocí příkazů konzole. Nyní se podívejme, jak se využívá exploit řízený Metasploit. Přístavy oběti už jsme "zakroužkovaný" pomocí Nmap. A jak jste si všimli, mimo jiné je také otevřená 445 pod servisní kontrolouMicrosoft-ds. V okně Metasploit vyberte příslušný exploit:
exploit/windows/smb/ms08_067_netapi
využívat
Počítač již nepatří majiteli.

Využití problémů nebo odstavce pro ty, kteří mají rádi „hotové“.
Tato část si zaslouží samostatné téma. Ale stačí jen odstavec. Co čeká pentestera na cestě k využití exploitu? Vysvětlím to jednoduše (profesionálové mi prominou):

• Prvním problémem je stárnutí zranitelnosti, na kterou vývojáři téměř okamžitě instalují opravu. Ano, naprostá většina exploitů tak, jak existují, si nezaslouží vaši pozornost. Jsou k ničemu – bezpečnostní aktualizace je zakrývají. Existuje tedy několik možností: používáme 0 den exploity ( nultý den) - pokud můžete najít a uplatnit; nebo se otočíme na hlavu a pracujeme na svém; to je problém číslo jedna – musíme se z toho poučit operační systémy a programy předchozí generace: důvod je prostý – vývojáři rezignovali na podporu (typickým příkladem je Windows XP) a na vznikající zranitelnosti nereagují ani oficiálním upozorněním (nezapomínejte však zkontrolovat, zda se tato zranitelnost objeví i ve funkčních verzích programů nebo OS).
• druhý problém (vyplývá z prvního) - pokud je zveřejněna zranitelnost a existuje pro ni exploit, desítky specialistů již pracují na tom, aby zranitelnost zůstala minulostí. Dostávají zaplaceno. A lidé, kteří hledají zranitelná místa, chtějí být také placeni. Nespoléhejte se tedy na zaběhnutou zranitelnost: krása leží tam, kde je cesta méně prošlapaná. Pokud se objeví něco, co potřebujete, ale nemáte na to inteligenci nebo zkušenosti, musíte za to někdy zaplatit (s rizikem, že zůstanete bez výsledků a bez peněz). A není to vždy chyba průkopníka zranitelnosti a autora exploitů. Už jen proto, že je tu třetí problém...
• Technické aspekty používání exploitu jsou takové, že TO, CO FUNGOVALO v anglickém národním prostředí Windows, je NEJPRAVDĚPODOBNĚJŠÍ NE BUDE JEZDIT v ruštině. Exploit napsaný pro Američany Verze Windows oprávněně nebude fungovat pro ruský systém. Výsledek aplikace může být neočekávaný: k tiché chybě s typem Metasploit Exploit se zdá být neúspěšný dokud selhání služby na straně systému oběti nezpůsobí, že bude ostražitý.

Ve fázi vývoje jsou do všech programů a sítí zabudovány ochranné mechanismy proti hackerům, jako jsou zámky, které zabraňují neoprávněným útokům zvenčí. Zranitelnost je podobná jako otevřené okno, kterou nebude pro útočníka těžké projít. V případě počítače nebo sítě mohou útočníci instalovat malware s využitím zranitelnosti, aby získali kontrolu nebo infikovali systém pro své vlastní sobecké účely s odpovídajícími důsledky. Nejčastěji se to vše děje bez vědomí uživatele.

Jak dochází k exploitům?

Zneužívání je způsobeno chybami ve vývojovém procesu software, v důsledku čehož se v systému ochrany programu objevují zranitelnosti, které kyberzločinci úspěšně využívají k získání neomezeného přístupu k samotnému programu a jeho prostřednictvím dále k celému počítači. Exploity jsou klasifikovány podle typu zranitelnosti, kterou hacker používá: zero-day, DoS, spoofing nebo XXS. Vývojáři programů samozřejmě brzy vydají bezpečnostní aktualizace, které odstraní nalezené závady, ale do té doby je program stále zranitelný vůči útočníkům.

Jak rozpoznat exploit?

Vzhledem k tomu, že exploity využívají díry v mechanismech zabezpečení softwaru, běžný uživatel nemá prakticky žádnou šanci jejich přítomnost odhalit. Proto je nesmírně důležité podporovat nainstalované programy aktualizovat, zejména proto, aby rychle instalovali aktualizace zabezpečení vydané vývojáři programů. Pokud vývojář softwaru vydá aktualizaci zabezpečení, která opraví známou chybu zabezpečení ve svém softwaru, ale uživatel ji nenainstaluje, program bohužel neobdrží potřebné nejnovější definice virů.

Jak opravit exploit?

Vzhledem k tomu, že exploity jsou důsledkem chyb, je jejich odstranění přímou odpovědností vývojářů, a tak to budou autoři, kdo bude muset připravovat a distribuovat opravy chyb. Odpovědnost za udržování aktualizovaných nainstalovaných programů a včasnou instalaci aktualizačních balíčků, aby se zabránilo hackerům ve zneužití zranitelnosti, však spočívá výhradně na uživateli programu. Jeden z možné způsoby Nenechte si ujít nejnovější aktualizace – použijte správce aplikací, který se postará o aktualizaci všech nainstalovaných programů, nebo – ještě lépe – použijte nástroj automatické vyhledávání a instalaci aktualizací.

Jak zabránit hackerům ve zneužívání zranitelností programy třetích stran

• Ujistěte se, že máte nejnovější aktualizace zabezpečení a opravy pro všechny programy
• Chcete-li zůstat online v bezpečí a mít aktuální informace, nainstalujte všechny aktualizace ihned po jejich vydání.
• Nainstalujte a používejte prémiový antivirus, který dokáže automaticky aktualizovat nainstalované programy