İstismarlar nelerdir? İstismarlar. Bilgisayar korsanlarının üçüncü taraf yazılım açıklarından yararlanmaları nasıl engellenir?

Spoiler nereden geliyor? Hiç bu cansız haberlerin nasıl olduğunu merak ettiniz mi?
çanta kamyonu gerçekten çalışan bir ana anahtara dönüşüyor mu? İki düzine nasıl olabilir?
kod satırları uzak bir sunucuda bir kabuk alabilir misiniz? Bugün ziyaret edeceğiz
Fabrikayı dağıtın ve nasıl yapıldığını ayrıntılı olarak görün
kaliteli ürün.

MSF eXploit Builder'ı başlatın, "Düzenleyici" menüsüne gidin ve "Yeni"yi seçin.
Birkaç sekme içeren bir pencere görüntülenir (Bilgi, Badchars, Analiz,
Kabuk Kodu, Tasarım). "Bilgi" sekmesine gidelim ve birçok ilginç şey görelim
alanlar. Hatırlayacağınız gibi bu bölümde hedefler (OS + SP) ve tür/protokol belirtilir.
istismar (örneğin uzak/tcp). Ayrıca program bize
ortaya çıkan istismarı test etme ve hata ayıklama yeteneği, böylece hemen yapabilirsiniz
yürütülebilir dosyayı seçin ve başlatmak için parametreleri (bağlantı noktası, IP adresi) belirtin.

Bu nedenle, tftpd.exe dosyamızı seçin, ardından yardımcı program aşağıdaki eylemleri sunacaktır.
seçim: uygulamayı çalıştırın, bir hata ayıklayıcı altında çalıştırın veya çalıştırmayın
Genel olarak uygulamayı başlatalım. Sağ tarafta olduğuna dikkat edin
Uygulama tarafından yüklenen DDL'lerin bir listesi görüntülenecektir.

Şimdi yararlanma koduna bakmaya başlıyoruz - neyse ki bizim için bu son derece açık.

Alanında birçok acemi uzman bilgi Güvenliği Açıklardan yararlanmalarla ilgili birçok soru ortaya çıkıyor: Açıklardan yararlanmalar nedir? Kim istismar yazıyor? Exploit'ler nasıl kullanılır? Bu yazıda bu soruların cevaplarını bulacaksınız!

Bir istismar nedir?

Faydalanmak- Bu bilgisayar programı yazılımdaki güvenlik açıklarından yararlanan ve bir saldırı gerçekleştirmek için kullanılan bir yazılım kodu parçası veya bir dizi komuttur. bilgisayar sistemi. Saldırının amacı sistemin kontrolünü ele geçirmek (ayrıcalık yükseltme) veya işleyişini bozmak (DoS saldırısı) olabilir. ...

Özünde bir istismar, belirli bir güvenlik açığından nasıl yararlanılabileceğinin küçük bir örneğidir; deneyimli bir bilgisayar korsanının elinde, bir istismar, kişinin hedef sistemi tehlikeye atmasına izin veren güçlü bir silahtır.

Kim istismar yazıyor?

Exploit'ler, bilgi güvenliği konusunda tutkulu olan binlerce meraklı tarafından yazılıyor ve bunları SecurityFocus gibi birçok tanınmış sitede yayınlıyorlar. Bunu şöhret uğruna ya da senaryo çocuklarının keyfi için yapmıyorlar, bilgilendirme için yapıyorlar sistem yöneticileri ve diğer bilgi güvenliği uzmanları bu güvenlik açığının varlığı konusunda. Sonuçta, belirli bir güvenlik açığının uygulanmasını elinizde bulundurarak kolayca bir "yama" yazabilirsiniz.

Exploit'ler nasıl kullanılır?

Yeni gelenlerin çoğunun kafası karışık olmasına rağmen büyük üsler istismarlarla kullanımı oldukça kolaydır!

Örneğin, birçok güvenlik açığından birinde bulunan bir güvenlik açığını ele alalım. Joomla bileşenleri. Bu istismarın açıklamasını Joomla Bileşeni com_camp SQL Enjeksiyon Güvenlik Açığı bağlantısını takip ederek bulabilirsiniz.

Öncelikle güvenlik açığının bulunduğu uygulamaya ve uygulamanın sürümüne bakmalısınız. İhtiyacınız olanı bulursanız, istismarın açıklamasını incelemeye başlayın. Açıklamada genellikle zafiyetin tam olarak nerede bulunduğunu yazıyorlar.Bizim durumumuzda com_camp bileşenidir.Gördüğünüz gibi zafiyet cid değişkenindeki filtreleme eksikliğinden kaynaklanmaktadır:

Http://127.0.0.1/index.php?option=com_camp&task=show&cid=

Bu güvenlik açığına sahip bir siteyi ziyaret ettiğinizde ve cid değişkeninde bir alıntı kullandığınızda, büyük olasılıkla sayfada sql enjeksiyonunun varlığını gösteren bir hata bulacaksınız.

Sonra ne yapacağız? Biraz hayal gücünüz varsa çok şey yapabilirsiniz! İşte bu noktada istismarın kendisine geliyoruz. Açıklardan yararlanma açıklama sayfasında, genellikle açıktan yararlanmanın kendisini veya derlenmesi veya bir şekilde savunmasız uygulamaya "beslenmesi" gereken bir program kodu satırını içeren bir dosya yayınlarlar. Bizim durumumuzda cid değişkenine eklenmesi gereken bir sql kodu satırı görüyoruz:

1/**/UNION/**/SELECT/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14--

Ayrıca bizim durumumuzda bu güvenlik açığının uygulanmasına ilişkin bir örnek görüyoruz:

Http://127.0.0.1/index.php?option=com_camp&task=show&cid=-1/**/UNION/**/SELECT/**/1,2,3,4,5,6,7,8, 9,10,11,12,13,14--

Bu verilere sahip olarak ve Joomla veritabanının yapısını bilerek, yönetici de dahil olmak üzere kullanıcılar için oturum açma bilgileri ve parola karmaları da dahil olmak üzere gerekli tüm verileri kolayca alabilirsiniz.

Başka hangi istismarlar var?

Savunmasız yazılıma erişim sağlama yöntemine bağlı olarak, istismarlar uzak ve yerel olarak ikiye ayrılır.

Açıklardan yararlanmalar, savunmasız bir sistem üzerinde üçüncü taraf eylemleri gerçekleştirmek üzere tasarlanmıştır ve kendi aralarında aşağıdaki şekilde bölünebilir:

Genel olarak GoogleHack ve "Gelişmiş Arama" belirli bir sitede arama yapmanıza yardımcı olur; örneğin site: http:securityfocus.com joomla sql enjeksiyonu joomla'da sql enjeksiyonu yapmanıza olanak tanıyan birçok istismarı göstereceğim.

İstismarlar her aptal tarafından kullanılabilir mi?

Hayır, hayır ve HAYIR. Açıklardan yararlanmak için en azından genel programlama bilgisine sahip olmanız gerekir (birçok açıktan yararlanma kasıtlı olarak hatalarla yazılır ve çok fazla işlevsellik sağlamaz çünkü bu yalnızca bir güvenlik açığının "sunumudur"), aynı zamanda sistemi incelemek de gereklidir. saldırıya uğruyor ve bunu gerçekleştirmek için yeterli bilgi topluyor. Deneyimler, "kolay para" isteyen birçok insanın gerekli bilgiye sahip olmadığını gösteriyor.

Çözüm:
Her geçen gün daha fazla güvenlik açığı bulunuyor ve bu nedenle giderek daha fazla istismar yazılıyor. Sizi senaryo çocukları olmaya teşvik etmiyorum ve hiçbir durumda bu bilgileri yasa dışı amaçlarla kullanmamanız gerektiğini söylemeyeceğim!

Nükleer enerji ışık da getirebilir, sonsuz karanlık da, herkes nasıl yaşayacağına kendisi karar verir...

Eğer istismar paketleri ve teker teker indirmeler dünyasındaki durumu imrenilecek bir düzenlilikle analiz etmeseydik, dergimiz bu şekilde anılmazdı (örneğin bkz. ][ No. 162). O zamandan beri son inceleme birçok değişiklik teslimat araçlarını etkiledi zararlı kod. Özellikle görevleri sıradan işçileri her türlü tehlikeden korumak olan kişiler Dünya çapında Ağ, uyumadı ve bir zamanlar en popüler Kara Delik istismarlarının yazarı olan kötü şöhretli Paunch'un tutuklanması, muhtemelen istismar paketi pazarındaki ana oyuncuların yeniden dağıtımını etkiledi.

UYARI!

Tüm bilgiler yalnızca bilgilendirme amaçlıdır. Bu makalenin materyallerinden kaynaklanabilecek olası zararlardan ne yazar ne de editörler sorumlu değildir.

Bugünkü listemizde en popüler istismar kitlerinden dokuzu yer alacak. Bir zamanlar olduğu gibi bariz bir liderin olduğunu belirtmekte fayda var. Kara delik, bunların arasında yer almıyor ve bir veya başka bir temsilcinin popülaritesi, farklı araştırmacılar ve antivirüs şirketleri tarafından her zaman eşit şekilde değerlendirilmiyor. Ancak genel tablo şuna benziyor:

• Balık Avcısı İstismar kiti;
• Sweet Orange Exploit kiti;
• Nükleer İstismar kiti;
• Fiesta Exploit kiti;
• Magnitude Exploit kiti;
• Neutrino Exploit kiti;
• Astrum Exploit kiti;
• RIG Exploit kiti;
• Archie Exploit kiti.

Balıkçı İstismar kiti

Bugünkü incelememizin lideri. Geçen yılın sonunda ortaya çıktı ve bazı raporlara göre birçok Black Hole Exploit Kit kullanıcısı Paunch'un tutuklanmasının ardından bu istismar paketini kullanmaya başladı. Bugün cephaneliğinde on iki güvenlik açığına yönelik istismarlar mevcut (ve bunlardan ikisi çok yeni).

Birinci ( CVE 2015-0311) şu adreste isteğe bağlı kod çalıştırmanıza izin verir: Flash sürümleri Windows ve OS X için 16.0.0.287'ye kadar, saniye ( CVE 2015-0310) - Adobe'deki güvenlik kısıtlamalarını atlayın Flash player, ASLR'yi devre dışı bırakın ve isteğe bağlı kodu yürütün.

Angler EK, kötü amaçlı faaliyetine başlamadan önce, saldırı altındaki makinenin sanal ortamda çalışıp çalışmadığını (VMware, VirtualBox ve Parallels Workstation ilgili sürücülerin varlığıyla tanınır) ve hangi anti-virüs araçlarının kurulu olduğunu (algılandı) kontrol eder. farklı versiyonlar Kaspersky, Trend Micro'nun antivirüsleri ve Symantec, antivirüs programı AVZ). Yukarıdakilere ek olarak Fiddler web hata ayıklayıcısının varlığı da kontrol edilir.

Bu arada, bu tür kontroller artık birçok istismar paketinde, bugün incelememizde yer alanlar da dahil olmak üzere, bir dereceye kadar uygulanmaktadır.

Angler EK kodu, beklendiği gibi, çok iyi bir şekilde gizlenmiş ve şifrelenmiştir ve yazarlar, istismar paketi kodunu (anti-virüs veritabanlarına girerken) düzenli olarak temizler.

Tatlı turuncu Exploit kiti

Her ne kadar bu istismar paketi o kadar da yeni olmasa da (2012'de ortaya çıktı), oldukça popüler (özellikle Ekim 2013'ten sonra) ve yakın zamanda ortaya çıkan bir güvenlik açığından yararlanılmasıyla övünebilir. Bazı araştırmacılara göre bir istismar paketinin penetrasyon oranı %15 civarındadır. Açık şu an on adet güvenlik açığına yönelik istismarlar içerir ve Angler EK'den farklı olarak Sweet Orange çeşitli Java güvenlik açıklarından yararlanır ( CVE 2012-1723, CVE 2013-2424, CVE 2013-2460, CVE 2013-2471).

Sweet Orange, birkaç dakikada bir rastgele alan adları oluşturmak için bir algoritma kullanıyor ve bu da bu istismar paketinin tespit edilmesini ve araştırılmasını zorlaştırıyor. Örneğin, alt alan adları şu şekilde görünebilir:

• abnzzkpp.syt * .açık
• abtkslxy.syt * .açık
• ajijaohoo.syt * .açık
• ancezvwzvn.syt * .açık
• azrrfxcab.syt * .açık
• bnfjqksp.syt * .açık
• bvakjbktwg.syt * .açık

Alan adlarının ve IP adreslerinin farklı antivirüslerin kara listelerinde bulunup bulunmadığını kontrol etmek için scan4you.net hizmeti kullanılır; paketin kullanıcısı başka bir kontrol hizmeti belirtebilir.

Paket fiyatı - 2500 WMZ artı ilk iki haftalık temizlik ve alan adı değişiklikleri ücretsizdir.

Ek hizmetler:

• Temizlik: bir ay - 1000 WMZ.
• Alan adlarını değiştirme:
  • Adet sınırı, fiyat tek alan adı içindir:
    • 10 - 25 WMZ'ye kadar;
    • 10'dan 30 - 15 WMZ'ye;
    • 30 - 10 WMZ arası.
  • zaman sınırı (gün olarak):
    • 10 - 300 WMZ;
    • 20 - 400 WMZ;
    • 30 - 600 WMZ.
• Sunucu değişikliği: 20WMZ.

Nükleer İstismar kiti

Bu güvenlik açıklarının ilk versiyonları 2009'da ortaya çıktı. Bugüne kadar, incelemede sunulanlar arasında en çok yüklenen istismar paketi, on iki güvenlik açığına yönelik istismarları içeriyor (bunların hepsinin en yeni olmadığını belirtmekte fayda var).

Çoğu durumda, bulaşma için aşağıdaki şemaya göre üç düzeyli bir yönlendirme kullanılır: ilk düzey, yerleşik bir iframe'e sahip, güvenliği ihlal edilmiş bir web sayfasıdır, ikinci düzey, yararlanma paketine bir bağlantıdır ve üçüncüsü ise paketin kendisidir. .

Yararlanma paketi kodu oldukça karmaşıktır; çok sayıda kullanılmayan farklı yerlerde bildirilen değişkenler ve işlevler.

Çalıştırırken kodun gizliliğini kaldırmak için Nuclear EK yaklaşık olarak aşağıdaki işlevleri kullanır (bu işlevleri gerçekleştiren eylemlerin açıklama olmadan açık olduğunu düşünüyorum):

VV8Y6W = function(uAVnC, mhTbz) ( return uAVnC(mhTbz); ); WL3 = function(uAVnC, mhTbz, YSu) ( return uAVnC(mhTbz, YSu); );

Ek olarak, bazı işlevlerin kodu, özellikle de tarayıcı eklentilerinin platformunu ve sürümlerini belirlemeye yönelik komut dosyası (eklentileri belirlemek için PluginDetect JS kitaplığı kullanılır) dinamik olarak oluşturulur:

J_version = PluginDetect.GetVersion("Java"); p_version = PluginDetect.GetVersion("AdobeReader"); f_version = PluginDetect.GetVersion("Flash"); s_version = PluginDetect.GetVersion("Silverlight");

• 50k - 500 WMZ;
• 100k - 800 WMZ;
• 200k - 1200 WMZ;
• 300k - 1600 WMZ.

İki hafta:

• 50k - 300 WMZ;
• 100k - 500 WMZ;
• 200k - 700 WMZ;
• 300k - 900 WMZ.

Bir hafta:

• 100k - 300 WMZ;
• 200k - 400 WMZ;
• 300k - 500 WMZ.

İncelememizdeki en eski güvenlik açığı CVE2010-0188 Nuclear EK'de bulunan bir istismar olan , özel hazırlanmış bir PDF dosyası kullanarak saldırıya uğrayan sistemde rastgele kod çalıştırmanıza olanak tanır.

Fiesta Exploit kiti

Bu istismar paketi, bir istismardan güvenlik açığına doğru yolculuğuna başladı. CVE-2007-5659 2008'de. Bugün, güvenlik açıkları 2010-2013'e kadar uzanan dokuz güvenlik açığını bünyesinde barındırıyor. Bunlardan en yenisi, çift işaretçi referans hatası nedeniyle sistemde rastgele kod çalıştırılmasına izin veren Silverlight güvenlik açıklarıdır ( CVE2013-0074) veya nesnelerin bellekte yanlış işlenmesi nedeniyle ( CVE2013-3896).

Silverlight ve AdobeFlash'ın gerekli sürümlerinin kullanılabilirliğinin kontrolü aşağıdaki şekilde yapılır:

// Silverlight varlığını kontrol edin new ActiveXObject("AgControl.AgControl"); // Sınav Adobe Flash yeni swfobject.embedSWF();

Bu işlevlerin her ikisi de bir istisna oluşturursa, diğer güvenlik açıklarından (Java veya IE) yararlanma girişiminde bulunulur.

Yararlanma paketi kodu büyük ölçüde gizlenmiştir ve ayrıca rastgele sayılar ve diziler kullanarak çoğu dizenin şifrelenmesini kullanır.

Büyüklük İstismar kiti

Paket 2013'ün başlarında piyasaya çıktı ve başlangıçta şu şekilde biliniyordu: PopAds İstismar Kiti.

Bu yararlanma paketinin ana özelliği, farklı antivirüsler tarafından tespit edilmek üzere, istismar paketinin kodunun yanı sıra IP adreslerini ve etki alanlarını kontrol etmek için scan4you.net hizmetinin kullanılmasıdır. Buna ek olarak, Magnitude EK, Sweet Orange EK gibi, alt alan adlarının dinamik oluşturulmasını ve birkaç dakikada bir değiştirilmesini kullanır.

Çok yakın zamanda istismar edilmeyen güvenlik açıklarına rağmen (şu anda bu sette yedi tane var), bu istismar paketi oldukça kabul edilebilir bir penetrasyon sağlıyor.

Bağımsız değişkenleri XOR şifreli dizinin öğeleri olan String.fromCharCode yöntemini kullanarak bağlama kodunun gizliliğini kaldırabilirsiniz. Bu dizideki elemanları birbirinden ayırmak için % simgesi kullanılır.

Diğer istismar paketlerinden farklı olarak Magnitude EK, örneğin bir hafta veya bir ay süreyle kiralanamaz. Bu paketin yaratıcıları, ödeme olarak virüslü bilgisayarların belirli bir yüzdesini müşterinin toplam trafiğinden alır.

Nötrino Exploit kiti

Bu istismar paketi yolculuğuna Mart 2013 civarında başladı ve ardından yalnızca iki güvenlik açığına yönelik istismarları içeriyordu ( CVE 2012–1723 Ve CVE 2013–0431, her ikisi de Java için). Bugün, istismar edilen güvenlik açıklarının listesi biraz genişledi; artık Java için beş ve bir ( CVE2013-2551) İle İnternet Explorer.

Yararlanma paketi kodu yaklaşık olarak Magnitude EK'dekiyle aynı şekilde gizlenir. Gizlemeyi kaldırmak için aşağıdaki işlev kullanılır:

Fonksiyon xor (giriş, geçiş) ( var çıkış = ""; var i = 0; var konum = 0; for (i = 0; i< input.length; i++){ pos = Math.floor(i%pass.length); output += String.fromCharCode(input.charCodeAt(i) ^ pass.charCodeAt(pos)); } return output; }

Neutrino EK tarafından kurbanın virüslü bilgisayarına indirilen "yük", XOR şifreli biçimde iletilir ve bu da antivirüs ürünleri tarafından tespit edilme olasılığını bir miktar azaltır.

Bir yararlanma paketi kiralamanın maliyeti paylaşılan sunucu genel temizlik ile:

• gün - 40 dolar;
• hafta - 150 dolar;
• ay - 450 dolar.

Astrum Exploit kiti

Bugünkü incelememizdeki en genç istismarlar grubu. Bazı antivirüs şirketlerine göre ilk çıkış tarihi yaklaşık olarak Eylül 2014 ortasıdır.

Yararlanma paketi kodu büyük ölçüde gizlenmiştir ve virüslü makinede çeşitli hacker araçlarının varlığına yönelik dahili bir kontrol içerir. antivirüs programları ve sanal bir makinede çalışıyor olması. Ayrıca Kaspersky'nin ekran klavyesi koruma eklentisi de ayrı bir kontrolden geçti:

( var O = $(Kaspersky.IeVirtualKeyboardPlugin.JavaScriptApi.1); O && (mr = 1) ) catch (s) ()'yi deneyin

Yedi güvenlik açığına (Silverlight, Flash, LibTiff ve IE) yönelik istismarlar içerir.

RIG İstismar kiti

RIG EK, kötü niyetli faaliyetlerine 2013 yılı sonunda başladı ve bugün Internet Explorer, Java, Adobe Flash ve Silverlight'taki güvenlik açıklarından yararlanıyor.

Kullanıcılar, güvenliği ihlal edilmiş sayfaya yerleştirilmiş bir JS betiği kullanılarak yararlanma paketinin bulunduğu sayfaya yönlendirilir. Geçerli tarih(CRC32 karması ondan alınır) üretir alan isimleri, yararlanma paketi kodunun bulunduğu yer.

Bu güvenlik açıklarından yararlanma grubu aynı zamanda anti-virüs ürünlerinin varlığını da kontrol eder (ancak yalnızca Kaspersky ve Trend Micro) ve aşağıdaki sürücülerin mevcut olup olmadığını belirler:

• c:\\Windows\\System32\\drivers\\kl1.sys
• c:\\Windows\\System32\\drivers\\tmactmon.sys
• c:\\Windows\\System32\\drivers\\tmcomm.sys
• c:\\Windows\\System32\\drivers\\tmevtmgr.sys
• c:\\Windows\\System32\\drivers\\TMEBC32.sys
• c:\\Windows\\System32\\drivers\\tmeext.sys
• c:\\Windows\\System32\\drivers\\tmancyc.sys
• c:\\Windows\\System32\\drivers\\tmtdi.sys

Bu istismar kitinin maliyeti:

• gün - 40 dolar;
• hafta - 100 dolar;
• ay - 500 dolar.

Archie Exploit kiti

Bu istismar paketi nispeten yakın zamanda ortaya çıktı (F-Secure'e göre - yaklaşık olarak geçen yılın Temmuz ayının sonunda). Yaratıcıları kodu kendileri geliştirmekle uğraşmadılar ve yararlanma modüllerini aldılar. Metasploit Çerçevesi hakkında bilgi almak ve Silverlight versiyonları, Flash ve diğer şeylerde PluginDetect JS kütüphanesi kullanılır.

Archie'nin ilk sürümleri, kullanıcılarını gizleme veya başka hilelerle şımartmadı, ancak sonraki sürümler, hem kod gizlemeyi hem de URL'lerin ve dosya adlarının şifrelenmesini ve ayrıca bunların kontrol edilmesini sağladı. Sanal makineler ve antivirüs programları.

Çözüm

Kaptan Belli, uyarı kutusundan bana, zaman geçtikçe güvenlik açıklarının ve istismar paketlerinin azalmayacağını söylüyor. Bu nedenle, özetlemek gerekirse, birkaç sonuç çıkarabiliriz:

• Çoğu istismar paketinin yazarları, sunucularında doğrudan satıştan kiralamaya geçtiler ve genellikle temizlikten, hizmete kadar geniş bir hizmet yelpazesi sağlıyorlar. kalıcı vardiya alan adları ve antivirüs tespit kontrolleri;
• neredeyse tüm istismar paketleri Java ve Silverlight güvenlik açıklarından aktif olarak yararlanmaya başladı;
• birçok istismar paketi, sanal makinelerin, antivirüslerin ve çeşitli bilgisayar korsanlığı yardımcı programlarının varlığını tanımaya yönelik işlevler edinmeye başladı;
• güvenlik açığı CVE2013-2551çok popülerdir ve incelememizdeki tüm yararlanma kitlerinde kullanılmaktadır.

WWW

Son zamanlarda kaynak kodları RIG Exploit Kiti sızdırıldı Serbest erişim. Bunun hakkında konuşabilirsin

İstismarın ne olduğunu tam olarak anlamayanlar için bilgi.
Bir istismar nedir?
"Resmi" tanım bilgisayar ansiklopedilerinde okunabilir. Şunu beğendim: "Amaca bağlı olarak, yazılım tarafından kontrol edilen herhangi bir şey için yazılımdaki mevcut bir güvenlik açığından yararlanmanıza olanak tanıyan bir program, kod parçası veya komut dosyası." Bir bakıma, akıllı telefona çekiçle vurmak da teknik bir istismardır ve ilkel bir amaç doğrultusunda hareket eder: cihazı yok etmek. Bir sistemi hacklemede istismarın özünü, uygulama ilkesini ve rolünü ele alalım. İstismarın nereden alınacağı, indirmenin veya satın almanın mantıklı olup olmadığı ve onaylanmış bir istismarın neden işe yaramayacağı sorusu dikkate alınır.

• İstismarlar nelerdir
• Ne tür istismarlar var?
• Güvenlik açıkları hakkında biraz
• Bir sisteme yapılan saldırıda istismarın rolü
• Başarılı bir istismar örneği
• Veritabanlarından yararlanma
• Suistimalle ilgili sorunlar

• hizmet istismarı
• istemci istismarı
• ayrıcalık istismarı

Yavaş yavaş sistem uzlaşmasının nasıl çalıştığı ilkesine yaklaşıyoruz. Bu aşamaların her biri çok ciltli bir el kitabı gerektiren oldukça karmaşık bir süreçtir. Ancak şematik olarak şu şekilde gösterilebilir:

• Potansiyel olarak savunmasız bir sistem, açık bağlantı noktaları ve çalışan hizmetler açısından taranır
• vurulabilecek noktalar belirlendi
• Açık uzak bilgisayar bilinen bir güvenlik açığının istismarı şu veya bu noktalara gönderilir
• İstismara bir veri yükü eklenmiştir (kurbanın sistemini kontrol etmenize izin verecektir)
• eğer istismar işe yararsa (ilk başlatılan buysa) ve kurbanın sistemi yanıt verirse veri yükü başlatılır; Yük kodunun yürütülmesinin sonuçlarına göre bilgisayar korsanı, kurbanın bilgisayarına erişim sağlar.

• nmap -v -n 192.168.0.162

• -v adres hakkında detaylı rapor almanızı sağlar
• -N ters DNS aramalarını devre dışı bırakır

nmap -T4 -A -v 192.168.0.162

Çok fazla bilgi var. Grevin yerini seçiyoruz.
Düşmanın sistemine potansiyel arka kapı olan birçok bağlantı noktası açıktır.
Bu açık portlardan biri olsun 135 İle çalışan hizmet mcrpc(diğer adıyla Microsoft Windows RPC - sistem uzaktan prosedür çağrı hizmeti). Tek yapmamız gereken belirli bir süreç için uygun istismarı seçmek.
Veritabanından Yararlanma. Teorik olarak birkaç saniye.
Şu anda Cali'de oturuyorsanız, üs parmaklarınızın ucunda. Tek ihtiyacınız olan bir ağ bağlantısı ve çalışıyor msfconsole(diğer adıyla Metasploit araç seti). Şu anda konsolu başlatarak görebileceğiniz, sürekli güncellenen bir güvenlik açıkları tabanı msfconsole ve komutu yazarak istismarları göster, istismarların bir listesini gösterecektir:

Ekranda bir liste görüntülemek size henüz hiçbir şey söylemeyecektir. Bunlar, yayınlanma tarihi, uygulama ve operasyonun güvenilirliği açısından belirlenen sıralama ve neyi hedefledikleri hakkında kısa bir açıklama ile alfabetik sırayla sunulmaktadır.
Bir çeşit tabanın aynasıünlü bir kaynaktır
Tamamen istismarlara adanmıştır. Ve burada (bir sözlükle donanmış olarak) istismarın geçmişini daha ayrıntılı olarak tanıyabilir, doğrudan indirebilir (kendi istismarınızı oluşturmak istiyorsanız, daha sonra bunun hakkında daha fazla bilgi edinebilirsiniz) ve istismarla ilgili bilgileri tanıyabilirsiniz. Genel olarak tüm lezzetler burada bulunur. Ama başka bir şey daha var.
Fena bir kaynak değil ilginç bir şey bulabileceğiniz yer:
ru.0day.today/
Yalnızca iyi bilinen (okunan: uzun süredir ele alınan) güvenlik açıklarını değil aynı zamanda katılımcıların kendi versiyonlarını da sunan çok dilli bir kaynak. Para için. Ziyaret edin ve göz atın: Burada Rus dili de desteklenmektedir.
Devam edelim. Uygun bir istismar arıyoruz.
Metasploit doğrudan yararlanma veritabanına bağlıdır, dolayısıyla gördüğünüz adımları hatırlamanıza gerek yoktur: Metasploit'in iyi yanı, adımlarının otomatik olmasıdır (ancak bu her zaman iyi değildir). Makale bu istismarla ilgili ve biz onu yalnızca kullanacağız, yani. manuel olarak. Hadi bulalım, indirelim, yükleyelim. Neden manuel olarak? Bu konuda daha fazla bilgiyi Sorunlardan Yararlanma paragrafında bulabilirsiniz.
İlgilendiğiniz istismarı nasıl bulabilirsiniz?
Belirli bir platform veya programa karşı kullanılabilecek bir istismarla ilgileniyorsanız, komut tarafından görüntülenen bir buçuk binden fazla manuel istismarın yer aldığı listede gezinmenize gerek yoktur.
istismarları göster
Bunun yerine açık bir Metasploit oturumuna şöyle bir komut yazabilirsiniz:
arama adı:smb türü:istismar platformu:windows
Metasploit yalnızca Windows işletim sistemi üzerinde çalışan istismarları görüntüleyecektir. Daha sonra, Windows işletim sistemindeki tarayıcı istismarlarıyla ilgileniyorsanız, komuta bir ad ekleyin. Görmek:
msf > arama adı:tarayıcı türü:istismar platformu:windows

Ek olarak Kali Linux'ta, Metasploit oturumu çalıştırmadan doğrudan terminalden açıkları arayabilirsiniz. Şu biçimde bir istismar aramak için komutu yazın:
arama programı internet explorer
Terminal, haftalık olarak güncellenen veritabanındaki mevcut tüm açıkları size geri gönderecektir.
Devam edelim...
Yani hizmeti biliyoruz, işletim sistemi türünü görüyoruz. Yani veritabanına şunu yazıyoruz: Aramak-bir istek girdikten sonra düğmesi:
Windows rpc'si
Aramadan önce robotun doğrulanmasını gerçekleştirelim ve sonuçları öğrenelim:

İşte bizimki. Bağlantıya tıklıyoruz, aşağıdaki İndirme bağlantısına gidiyoruz ve bilgisayarımızda 66.c dosyası olarak.
TEKRARLIYORUM . Yukarıda yapılan her şey daha hızlı yapılabilir. Metasploit çalışırken, Kali'nizden bir istismar aramak için komutu yazın:

Ve istismar ikili dosyasını doğrudan XP kurbanına gönderiyorum:
./66 6 192.168.0.162

Sistem yanıt verdi. Bilimsel olarak buna sistem uzlaşmasının başarılı sonucu denir. Aslında bu bilgisayar zaten bir hackerın elinde. Bilgisayar korsanı onu bir bilgisayarın başında oturuyormuş gibi görüyor; sistemi konsol komutlarını kullanarak kontrol edebiliyor. Şimdi Metasploit kontrollü istismarın nasıl kullanıldığına bakalım. Zaten kurbanın limanlarıyız Nmap kullanarak "halkalı". Ve fark ettiğiniz gibi, diğerlerinin yanı sıra, o da açık 445 servis kontrolü altındaMicrosoft-ds. Metasploit penceresinde uygun istismarı seçin:
istismar/windows/smb/ms08_067_netapi
faydalanmak
Bilgisayar artık sahibine ait değil.

“Hazır” sevenler için problemlerden veya bir paragraftan yararlanın.
Bu kısım ayrı bir konuyu hak ediyor. Ama sadece bir paragraf yeterli. Bir istismarı kullanma yolunda bir pentester'ı neler bekliyor? Bunu basit terimlerle açıklayacağım (profesyonellerin beni affedin):

• İlk sorun, geliştiricilerin neredeyse anında bir yama yüklediği güvenlik açığının eskimesidir. Evet, mevcut haliyle istismarların büyük çoğunluğu dikkatinize değmez. İşe yaramazlar; güvenlik güncellemeleri onları gizler. Yani birkaç seçenek var: kullanıyoruz 0gün istismarlar ( sıfır gün) - bulabilir ve uygulayabilirseniz; ya da başımızı çevirip kendi başımıza çalışırız; bu bir numaralı sorun; ders almalıyız işletim sistemleri ve programlar önceki nesiller: nedeni basit - geliştiriciler destekten vazgeçtiler (Windows XP tipik bir örnektir) ve ortaya çıkan güvenlik açıklarına resmi bildirimle bile yanıt vermiyorlar (ancak bu güvenlik açığının programların çalışan sürümlerinde görünüp görünmeyeceğini kontrol etmeyi unutmayın) veya işletim sistemleri).
• ikinci sorun (ilkinden devam eder) - eğer bir güvenlik açığı yayınlanırsa ve bunun için bir istismar varsa, düzinelerce uzman güvenlik açığının geçmişte kalmasını sağlamak için zaten çalışıyor. Ücret alıyorlar. Ve güvenlik açıklarını arayan insanlar da ödeme almak istiyor. Bu nedenle, iyice aşınmış kırılganlığa güvenmeyin: güzellik, yolun daha az geçildiği yerdedir. İhtiyacınız olan bir şey ortaya çıkarsa, ancak zekanız veya deneyiminiz yoksa, bazen bunun bedelini ödemek zorunda kalırsınız (sonuçsuz ve parasız kalma riskiyle birlikte). Ve bu her zaman güvenlik açığı öncüsü ve istismar yazarının hatası değildir. Keşke üçüncü bir sorun olduğu için...
• Bu açıktan yararlanmanın teknik yönleri, Windows'un İngilizce yerel ayarında ÇALIŞAN ŞEYİN ÇOK OLASI OLMASIDIR OLUMSUZ Rusça SÜRECEK. Amerika için yazılmış istismar Windows sürümleri haklı olarak Rus sistemi için işe yaramayacak. Uygulamanın sonucu beklenmedik olabilir: Metasploit tipinde sessiz bir hataya Exploit başarısız görünüyor ta ki kurbanın sistem tarafındaki bir hizmet hatası onun temkinli olmasına neden olana kadar.

Geliştirme aşamasında, dışarıdan yetkisiz saldırıları önleyen kilitler gibi tüm programlara ve ağlara bilgisayar korsanlarına karşı koruma mekanizmaları yerleştirilmiştir. Güvenlik açığı benzer açık pencere Bir saldırganın geçmesi zor olmayacak. Bir bilgisayar veya ağ söz konusu olduğunda, saldırganlar, kontrolü ele geçirmek veya kendi bencil amaçları doğrultusunda sistemi etkilemek ve ilgili sonuçları doğurmak için bir güvenlik açığından yararlanarak kötü amaçlı yazılım yükleyebilir. Çoğu zaman, tüm bunlar kullanıcının bilgisi olmadan gerçekleşir.

İstismarlar nasıl meydana gelir?

Açıklardan yararlanmalar geliştirme sürecindeki hatalardan kaynaklanır yazılım Bunun sonucunda, siber suçlular tarafından programın kendisine ve onun aracılığıyla tüm bilgisayara sınırsız erişim sağlamak için başarıyla kullanılan program koruma sisteminde güvenlik açıkları ortaya çıkıyor. Açıklardan yararlanmalar, bilgisayar korsanının kullandığı güvenlik açığı türüne göre sınıflandırılır: sıfır gün, DoS, kimlik sahtekarlığı veya XXS. Elbette program geliştiricileri, bulunan kusurları ortadan kaldırmak için yakında güvenlik güncellemeleri yayınlayacak, ancak o zamana kadar program hala saldırganlara karşı savunmasız durumda.

Bir istismar nasıl tanınır?

Açıklardan yararlanma yazılım güvenlik mekanizmalarındaki açıklardan yararlandığından, ortalama bir kullanıcının bunların varlığını tespit etme şansı neredeyse yoktur. Bu nedenle desteklenmesi son derece önemlidir. yüklü programlarözellikle program geliştiricileri tarafından yayımlanan güvenlik güncellemelerinin derhal yüklenmesi için güncellendi. Bir yazılım geliştiricisi, yazılımındaki bilinen bir güvenlik açığını gidermek için bir güvenlik güncellemesi yayınlarsa ancak kullanıcı bunu yüklemezse, bu durumda ne yazık ki program gerekli en son virüs tanımlarını alamayacaktır.

İstismar nasıl düzeltilir?

Açıklardan yararlanmaların hataların sonucu olması nedeniyle, bunların ortadan kaldırılması doğrudan geliştiricilerin sorumluluğundadır, dolayısıyla hata düzeltmelerini hazırlamak ve dağıtmak yazarlara ait olacaktır. Ancak, bilgisayar korsanlarının güvenlik açıklarından yararlanmasını önlemek için yüklü programları güncel tutma ve güncelleme paketlerini zamanında kurma sorumluluğu tamamen program kullanıcısına aittir. Biri olası yollar En son güncellemeleri kaçırmayın; yüklü tüm programların güncellendiğinden emin olacak bir uygulama yöneticisi kullanın veya daha da iyisi bir araç kullanın otomatik arama ve güncellemelerin yüklenmesi.

Bilgisayar korsanlarının güvenlik açıklarından yararlanmaları nasıl engellenir? üçüncü taraf programları

• Tüm programlar için en son güvenlik güncellemelerine ve yamalara sahip olduğunuzdan emin olun.
• Çevrimiçi ortamda güvende kalmak ve güncel kalmak için tüm güncellemeleri yayınlandıkları anda yükleyin.
• Yüklü programları otomatik olarak güncelleyebilen birinci sınıf bir antivirüs yükleyin ve kullanın