![Piotr Ka添mierczak (@n0clues)
CDeX CTO, Red Team Leader
piotr.kazmierczak [@] vectorsynergy _._ com
Red Team - najlepszy
przyjaciel Blue Teamu](https://image.slidesharecdn.com/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952/85/Confidence-2016-Red-Team-najlepszy-przyjaciel-Blue-Teamu-1-320.jpg)
![Techniki omijania zabezpiecze
Omijanie White Listingu
regsvcs
https://github.com/subTee/Troopers2016/blob/master/regsvcs.cs
$key = 'BwIAAAAkAABSU0EyA.
$Content = [System.Convert]::FromBase64String($key)
Set-Content key.snk -Value $Content -Encoding Byte
C:WindowsMicrosoft.NETFrameworkv4.0.30319csc.exe
/r:System.EnterpriseServices.dll /target:library /out:regsvcs.dll /keyfile:key.snk
regsvcs.cs
C:WindowsMicrosoft.NETFrameworkv4.0.30319regsvcs.exe regsvcs.dll
https://github.com/subTee/ApplicationWhitelistBypassTechniques/blob/master/TheList
.txt
[ComRegisterFunction]
public static void RegisterClass ( string key )
{
Console.WriteLine("I shouldn't really execute");
Shellcode.Exec();
}](https://image.slidesharecdn.com/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952/85/Confidence-2016-Red-Team-najlepszy-przyjaciel-Blue-Teamu-19-320.jpg)
![Dirty Tricks
Utrudnijmy sobie 甜ycie
zmiana timestamp plik坦w
touch d data plik
touch r plik_wzorzec plik
meterpreter: timestomp plik m data
nieusuwalne pliki
chattr +i plik
podmiana polece/aliasy ];->
czyszczenie log坦w
find /var/log -name "*log*" -type f | xargs -v
find /var/log -name "*gz*" -type f | xargs -v
ruch wychodzcy ograniczony? Zeskanuj swoj maszyn
nadsuchujc poczenia przychodzce.
TCP: nc -nvw 1 -z 10.114.1.83 20-100
UDP: nc -nvuw 1 -z 10.114.1.83 20-100
stawiasz backdoora? Pamitaj o HA](https://image.slidesharecdn.com/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952/85/Confidence-2016-Red-Team-najlepszy-przyjaciel-Blue-Teamu-31-320.jpg)
![Tips & Tricks
Przydatne informacje (1/3)
automatyzuj swoj prac
wiele adres坦w IP:
# ifconfig eth0:1 10.10.15.120
metasploit LHOST
Empire HOST [od nowej wersji]
nc i ncat [-l LHOST] or [-s addr]
nmap [-e <iface>]
curl [--interface INTERFACE]
ping [-I interface]
dla wszystkich pozostaych komend:
# route add -host 10.15.40.101 dev eth0:1](https://image.slidesharecdn.com/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952/85/Confidence-2016-Red-Team-najlepszy-przyjaciel-Blue-Teamu-32-320.jpg)
![[Confidence 2016] Red Team - najlepszy przyjaciel Blue Teamu](https://image.slidesharecdn.com/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952/85/Confidence-2016-Red-Team-najlepszy-przyjaciel-Blue-Teamu-43-320.jpg)
[Confidence 2016] Red Team - najlepszy przyjaciel Blue Teamu
- 1. Piotr Ka添mierczak (@n0clues) CDeX CTO, Red Team Leader piotr.kazmierczak [@] vectorsynergy _._ com Red Team - najlepszy przyjaciel Blue Teamu
- 2. AGENDA Cyber Defence eXercises Red Team Modus Operandi Narzdzia i Techniki Tips & Tricks Red Teaming wprowadzenie Dirty Tricks Red Team vs Blue Team Obiekcje wzgldem Red Teamingu Q & A
- 3. $ whoami Piotr Ka添mierczak (@n0clues) obecnie CDeX CTO i Red Team leader w firmie Vector Synergy tester penetracyjny, posiadacz OSCP i gracz CTF DebugTeam wczeniej analityk bezpieczestwa w SOC w IBM jeszcze wczeniej programista i student polityki Wrocawskiej prywatnie fan motocykli, entuzjasta sztuk walki (1-sze kyu w Karate Kyokushin, instruktor samoobrony), survivalu, militari坦w i astronomii
- 4. Red Teaming Wprowadzenie w tematyk skd pomys na tak prezentacj? troch historii pojcia takie jak Blue Team/Red Team (zwany r坦wnie甜 Tiger Teamem) pochodz z wargamingu i maj swoje pocztki w militariach Blue Team zesp坦 bronicy Red Team (Tiger Team) atakujcy zesp坦 technicznych specjalist坦w, kt坦rych zadaniem jest bezlitosne wyledzenie ka甜dego mo甜liwego 添r坦da awarii w systemie
- 5. Blue Team Charakterystyka zesp坦 obroc坦w Hunting Team zadania BT: ochrona i utwardzanie system坦w wykrywanie atak坦w reagowanie na incydenty wyszukiwanie symptom坦w wama (hunting), przeprowadzanie ledztw po wamaniowych, zabezpieczanie system坦w, log坦w, plik坦w po wamaniu.
- 6. Red Teaming vs Pentesting Konfrontacja poj Test penetracyjny nastawiony na weryfikacj bezpieczestwa infrastruktury IT poprzez analiz mo甜liwych do wykorzystania podatnoci, mo甜e by rozszerzony o elementy socjotechniczne, czsto ograniczony do wybranych system坦w albo aplikacji (np. WWW), koczy si najczciej po uzyskaniu dostpu do system坦w z wykorzystaniem znalezionych podatnoci oraz ewentualnej eskalacji uprawnie, bardzo czsto przeprowadzany w cisej wsp坦pracy z dziaem IT klienta.
- 7. Red Teaming vs Pentesting Konfrontacja poj Red Teaming nastawiony na test umiejtnoci BT oraz procedur obsugi incydent坦w, ma za zadanie zwikszenie skutecznoci i wydajnoci operacyjnej BT, mo甜na powiedzie, 甜e zaczyna si tam gdzie test penetracyjny czsto si koczy, dziaania RT przeprowadzane s bez wiedzy dziau IT atakowanej infrastruktury, wszystkie chwyty dozwolone (z uwzgldnieniem odpowiednio ujtych regu umownych) .
- 8. Red Teaming vs Pentesting Konfrontacja poj RT ma sprawi by BT by silniejszy!
- 9. Red Teaming vs security lifecycle Proces dbania o bezpieczestw o w firmie Operacje RT
- 10. TAKE A CHALLENGE Wargames Cyber Defence Exercises
- 11. Cyber Defence Exercises Cyber Wojna na sportowo Najbardziej znane wiczenia tego typu: Locked Shield odbywaj si raz do roku na otwie i nie s niedostpne dla sektora prywatnego. W manewrach bierze udzia wiele zespo坦w r坦甜nego typu (nie tylko RT i BT, a np. zesp坦 prawny) NCCDC (National Collegiate Cyber Defense Competition) zawody organizowane raz do roku w USA, skierowane do koled甜y. Pierwsze etapy to rozgrywki regionalne (RCCDC), kt坦r kocz si finaem krajowym (NCCDC). Dru甜yny BT s 8-mio osobowe, na ka甜dy zesp坦 przypada dw坦ch RT. Co wpywa na bardzo wysok skuteczno tego typu szkole? hands-on gamifikacja realizm (realne systemy, Gray Team) praca zespoowa.
- 12. RT Role w zespole Podzia umiejtnoci i zakres obowizk坦w Dwie mo甜liwoci podziau RT: RT przypisany do konkretnego BT, RT podzielony na specjalizacj. Podzia RT na specjalizacje: zesp坦 zarzdzajcy dostpami, zesp坦 post exploitacyjny, zesp坦 wykonujcy ataki zdalne na infrastruktur, zesp坦 odpowiedzialny za ataki na aplikacje webowe, zesp坦 przeprowadzajcy ataki typu client-side, zesp坦 wykonujcy zason dymn. Zadanie RT: Zaplanowanie scenariuszy atak坦w, Przygotowanie swojej infrastruktury (serwery C&C, serwery WWW, maszyny porednie), Przygotowanie informacji zwrotnej dla BT z przeprowadzonych dziaa.
- 13. TAKE A CHALLENGE Troch technikali坦w RT Modus Operandi
- 14. Kill chain Nie do koca Rekonesans Omijanie AV/IDS Omijanie White Listingu Eskalacja uprawnie Persystencja Lateral Movements
- 15. Rekonesans Skanuj porty dopiero jeli musisz tajemnice Active Directory SPN Scanning skanowanie port坦w jest haaliwe i niepotrzebne polowanie na u甜ytkownik坦w pasywny nasuch tam gdzie to mo甜liwe Windows netsh netsh trace start capture=yes overwrite=no tracefile=<FilePath.etl> default: 250 MB, maxsize=<N> LLMNR, NBT-NS Responder (https://github.com/SpiderLabs/Responder) tryb analizy
- 16. Techniki omijania zabezpiecze Myl jak BT TROJAN HTTP GET Request on port 53 - Very Likely Hostile WEB_SERVER /bin/bash In URI, Possible Shell Command Execution Attempt Within Web Exploit POLICY Possible HTA Application Download WEB_SERVER Weevely PHP backdoor detected (shell_exec() function used) SCAN Nikto Web App Scan in Progress
- 17. Techniki omijania zabezpiecze Omijanie AV/IDS Rekonesans! msfencode = przeszo pomocny soft: VeilEvasion (https://www.veil-framework.com/framework/veil- evasion/) Shellter (https://www.shellterproject.com/ ) wasny kod: autorskie rozwizania wasne implementacje szyfrowania kod napisany w r坦甜nych jzykach (pyinstaller) wspomagany r坦甜nego rodzaju technikami omijania AV (spowalnianie uruchamiania, zwikszenie liczby operacji lub potrzebnej pamici, etc)
- 18. Techniki omijania zabezpiecze Omijanie AV/IDS - Powershell BT: ale my te甜 go u甜ywamy :/ dostpny w ka甜dej wspieranej wersji Windows NIE DA SI GO WYCZY https://gist.github.com/subTee/68749aa53d7ce0fb02e0a64b8961576 7 restrykcje na wykonywania skrypt坦w? v 2.0 Windows 7 Windows 2008 R2 v 3.0 Windows 8 Windows 2012 v 4.0 Windows 8.1 Windows 2012 R2 v 5.0 Windows 10 Windows 2016 wicej np. na: https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution- policy/
- 19. Techniki omijania zabezpiecze Omijanie White Listingu regsvcs https://github.com/subTee/Troopers2016/blob/master/regsvcs.cs $key = 'BwIAAAAkAABSU0EyA. $Content = [System.Convert]::FromBase64String($key) Set-Content key.snk -Value $Content -Encoding Byte C:WindowsMicrosoft.NETFrameworkv4.0.30319csc.exe /r:System.EnterpriseServices.dll /target:library /out:regsvcs.dll /keyfile:key.snk regsvcs.cs C:WindowsMicrosoft.NETFrameworkv4.0.30319regsvcs.exe regsvcs.dll https://github.com/subTee/ApplicationWhitelistBypassTechniques/blob/master/TheList .txt [ComRegisterFunction] public static void RegisterClass ( string key ) { Console.WriteLine("I shouldn't really execute"); Shellcode.Exec(); }
- 20. Eskalacja uprawnie Zostawmy jdro w spokoju poza tym jest EMET omijanie UAC to funkcjonalno, nie trik inne mo甜liwoci eskalacji uprawnie: podatne usugi bdne uprawnienia na pliki wykonywalne usug cie甜ki usug bez cudzysowu plik autostartu (np. te kt坦re ju甜 nie istniej) DLL Hijacking GPP (groups.xml, <DOMAIN>SYSVOL<DOMAIN>Policies) AlwaysInstallElevated pliki/skrypty z hasami znowu z pomoc przychodzi powershell PowerUp! LLMNR, NBT-NS poisoning Responder Inveigh // zmie challenge Invoke-Mimikatz https://msdn.microsoft.com/en-us/library/cc422924.aspx
- 21. Persistance Nie daj si wykurzy lokalnie schtasks sc WMI klucze SSH u甜ytkownicy backdoorowanie link坦w domena u甜ytkownicy domenowi GoldenTicket SilverTicket inne debuggers backdoory webowe
- 22. Lateral Movements psexec narzdzia: Sysinternals PsExec: https://technet.microsoft.com/en- us/sysinternals/bb897553.aspx modu metasploita: exploit/windows/smb/psexec smbexec: https://github.com/pentestgeek/smbexec po uzyskaniu dostpu do zdalnej maszyny tworzy usug haso niepotrzebne pass the hash pass the ticket CORAZ RZADZIEJ STOSOWANY - NIEZALECANY
- 23. Lateral Movements WinRM Windows Remote Management usuga nie jest wczona domylnie (TCP 5985) pozwala na zdalne zarzdzanie maszynami z wykorzystaniem Powershella Powershell v5 (od Windows 10): logowanie blokowanych skrypt坦w Anti malware scan interface (AMSI)
- 24. Lateral Movements WMI istnieje w Windowsach od czas坦w Win98 i NT4 usuga wczona domylnie na wszystkich systemach Windows pozwala m.in. na: odczytywanie informacji z rejestru, systemu plik坦w, etc. wykonywa komendy odczytywa i reagowa na eventy podobnie jak powershell nie dotyka systemu plik坦w wykorzystuje istniejcy, niepodejrzany protok坦 mo甜e by wykorzystywany do rekonesansu, wykonywania polece, persystencji, komunikacji C2 i przede wszystkim do lateral movements BT czsto nie znaj WMI od strony wektor坦w atak坦w Przykadowe narzdzia: Windows: wmic.exe, winrm.exe Linux: wmic, wmis, wmis-pth mo甜na go obsugiwa z poziomu jzyk坦w skryptowych: VBScript, Jscript oraz z wykorzystaniem modu坦w platformy .NET wykorzystywany przez malware: stuxnet, ghost
- 25. Narzdzia RAT Po甜dane cechy: mechanizm dostarczenia implantu komunikacja low/slow, r坦甜ne protokoy szyfrowany kana komunikacji kontrola persystencji mechanizm logowania mo甜liwo identyfikacji usuwanie. Komercyjne CobaltStrike Innuendo CoreImpact Open-Source Empire meterpreter Throwback Pupy (https://github.com/n1nj4sec/pupy )
- 26. Narzdzia Empire Powershell (1/2) czy w sobie moc narzdzi wykorzystywanych do post- exploitacji opartych o Powershell takich jak powertools, powerup, powerview, itp. integruje si z metasploitem r坦甜nego rodzaju stagery: makra dll war USB Rubber Ducky komunikacja po http/https du甜e mo甜liwoci konfiguracji agent坦w DefaultDelay WorkingHours DefaultJitter DefaultProfile KillDate
- 27. Narzdzia Empire Powershell (2/2) od niedawna RESTful server Integracja z WebGUI Integracja z BEEF Multiplayer console Powerempire wiele modu坦w Rekonesans domeny persystencja lateral movements management eskalacja uprawnie trolling
- 28. Narzdzia meterpreter Powershell Extension Python Extension Reverse Port Forwards TLV Traffic Obfuscation
- 29. Narzdzia Throwback HTTP(s) beaconing backdoor Dwa komponenty Throwback (https://github.com/silentbreaksec/Throwback) ThrowbackLP (https://github.com/silentbreaksec/ThrowbackLP) stringi w 添r坦dle (w tym adresy) s hex-encodowane Integracja z meterpreterem
- 30. Narzdzia netcatoksztatne ncat (brat netcata) white/black listing host坦w SSL dnscat Musimy edytowa 添r坦do w przeciwnym razie wszystkie subdomeny bd prefixowane dnscat shell przesyanie plik坦w powercat https://github.com/besimorhino/powercat - pozwala na czenie si zar坦wno po TCP jak i UDP, ale te甜 DNS (integracja z dnscat serverem) https://github.com/secabstraction/PowerCat - ma mo甜liwo komunikowania si po nazywanych pipeach SMB
- 31. Dirty Tricks Utrudnijmy sobie 甜ycie zmiana timestamp plik坦w touch d data plik touch r plik_wzorzec plik meterpreter: timestomp plik m data nieusuwalne pliki chattr +i plik podmiana polece/aliasy ];-> czyszczenie log坦w find /var/log -name "*log*" -type f | xargs -v find /var/log -name "*gz*" -type f | xargs -v ruch wychodzcy ograniczony? Zeskanuj swoj maszyn nadsuchujc poczenia przychodzce. TCP: nc -nvw 1 -z 10.114.1.83 20-100 UDP: nc -nvuw 1 -z 10.114.1.83 20-100 stawiasz backdoora? Pamitaj o HA
- 32. Tips & Tricks Przydatne informacje (1/3) automatyzuj swoj prac wiele adres坦w IP: # ifconfig eth0:1 10.10.15.120 metasploit LHOST Empire HOST [od nowej wersji] nc i ncat [-l LHOST] or [-s addr] nmap [-e <iface>] curl [--interface INTERFACE] ping [-I interface] dla wszystkich pozostaych komend: # route add -host 10.15.40.101 dev eth0:1
- 33. Tips & Tricks Przydatne informacje (2/3) opcje zaawansowane nie s opcjonalne! metasploit i meterpreter $ SHOW ADVANCED profilowanie Empire Powershella DefaultProfile CertPath Name: ET ATTACK_RESPONSE Metasploit Meterpreter Reverse HTTPS certificate Priority: 1 Type: A Network Trojan was detected IP Info: 10.128.0.67 -> 192.168.11.16
- 34. Tips & Tricks Przydatne informacje (3/3) DNS + SMTP communication/info sharing Etherpad (http://etherpad.org/) Dradis google docs (?) file sharing
- 35. TAKE A CHALLENGE RT vs BT Przemylenia i wnioski
- 36. RT vs BT Jak powinna wyglda wsp坦praca Ze Podejcie nie prowadzi do wzajemnego zwikszania swoich umiejtnoci, poznania nowych technik i technologii. - ominicie zabezpiecze BT = sukces - w przeciwnym razie pora甜ka - raportowanie do BT tylko akcji zakoczonych sukcesem - zablokowanie akcji RT = sukces - w przeciwnym przypadku pora甜ka - brak detekcji akcji RT = pora甜ka
- 37. RT vs BT Jak powinna wyglda wsp坦praca Dobre Podejcie prowadzi do zwikszenia wasnych umiejtnoci, poznania nowych technik, ugruntowania wiedzy, dokadne zrozumienie wykorzystywanych technologii. + testowanie nowych technik jakich? Jakie IOC? + jeli udao si omin zabezpieczenie, jak? + wypracowanie nowych technik wykrywania atak坦w + ulepszenie technik huntingu, monitoringu + aktualizacja procedur obsugi incydent坦w
- 38. RT vs BT Realizm? rekonfiguracje w trakcie treningu otwarcie port坦w, zresetowanie danych uwierzytelniajcych, zablokowanie usug inne Najwiksze cyber-zagro甜enie znajduje si pomidzy monitorem a klawiatur
- 39. RT vs BT Realizm? wielko infrastruktury w firmach liczba pracownik坦w 24/7/365skala treningu
- 40. Podsumowanie Obiekcje wzgldem Red Teamingu #1 - Jestem atakowany ka甜dego dnia, nie potrzebuj Red Teamu #2 Fajnie to brzmi, ale obawiam si, 甜e mi zdestabilizujecie sie #3 RT zawsze wygrywa
- 41. Podsumowanie Kilka zda na koniec Red Teaming to nie test penetracyjny. Red teaming testuje umiejtnoci i procedury. Red Team ma sprawi by BT by silniejszy! Customizujmy istniejce narzdzia, rozwijajmy nowe techniki. Zawsze miej plan awaryjny, jeli jedna technika zawodzi, spr坦buj czego innego.
- 44. n0clues@cdex:~# env x='() { :;}; echo Happy Hunting!' bash -c "echo Thank you!"
Editor's Notes
- #5: RT: mocno rozwijany w USA i troch Europa w PL sabo i tematyka nie do koca rozumiana Ograniczony dostep do materia坦w w polskim internecie (sporo o bug huntingu, pentestach, owasp, troch o socjo i RE, ale niewiele o metodyce prowadzenia dziaa RT) RT parafraza artykuu z 1964 w kontekcie tworzenia i testowania system坦w kosmicznych, mo甜e to by r坦甜nie interpretowane marketing, security, czyli Red Team = 添li chopcy
- #8: RT ma za zadanie sprawi by BT by lepszy, silniejszy, pewien swoich umiejtnoci w czasie rzeczywistej sytuacji kryzysowej.
- #9: RT ma za zadanie sprawi by BT by lepszy, silniejszy, pewien swoich umiejtnoci w czasie rzeczywistej sytuacji kryzysowej. Purple teaming mieszanka BT i RT, cisa wsp坦praca RT z BT nastawiona na okrelone cele. Cele mog by np. r坦甜ne: BT wdro甜y jak regu, kt坦ra ma wykry okrelone akcje i RT w losowym momencie przeprowadzi akcje, kt坦re maj j aktywowa, a nastpnie spr坦bowa obej manager zdaje sobie spraw, 甜e BT mo甜e mie lepsze skille np. Windowsowe i chce przeboksowa zesp坦 np. z Linux坦w RAT np. customowy
- #10: Celowo nie podaje poszczeg坦lnych etap坦w, wyr坦甜niamy m.in.. planning, monitoring, wykrywanie zdarze, szacowanie ryzyka, tworzenie i wdra甜anie polityk, szkolenia, etc ale o to w tym chodzi, 甜e jednym z tych etap坦w jest vulnerability assessment, kt坦re powinno by rozszerzone o cykliczne testy penetracyjne. Dziaania RT powinny odbywa si swoim torem, niezale甜nie od caego procesu tak jak dziaaj agresorzy.
- #11: Do tej pory staraem si przedstawi idee red teamingu i naznaczy wyra添ne r坦甜nice wzgldem innych ofensywnych dziaa typu testy penetracyjne. W IT security jest - jak w sztukach walki, praktyka czyni mistrza i tego oczekuje si od specjalist坦w. Za坦甜my, 甜e trenujemy SW dla siebie po to 甜ebymy w sytuacji zagro甜enia mogli wykorzysta swoje umiejtnoci w samoobronie lub w obronie bliskich, mo甜emy jednak chodzi ulicami latami i nie bdzie to nam nigdy potrzebne i bardzo dobrze. 纏eby jednak by gotowym na sytuacj kryzysowa, musimy by w cigym treningu, wywiczy odruchy z pen si w stresie i zmczeniu, po to 甜eby w odpowiednim momencie zadziaa instynkt. Najlepsz form weryfikowania swoich umiejtnoci jest sparing czy zawody i do tego wanie zmierzam. Red teaming mo甜e przyjmowa form, o kt坦rej wspominaem, ja jednak chciabym dzisiaj si skupi na aspektach sparingowych grach wojennych, gdzie zespoy BT maj szans stan w szranki z RT na specjalnie przygotowanych w tym celu poligonach cybernetycznych gdzie mog rywalizowa z innymi BT. Zao甜enia pozostaj te same RT ma sprawi by BT by lepszy, ma sprowokowa go do intensywnej pracy, podniesienia swoich kompetencji i usprawni jego prac zespoow.
- #12: Gratulacje dla CERTu nie wiem jak w tym roku (wygrali Sowacy), ale w ostatnich latach pokazywali klas. Mo甜na wymieni inne np. Netwars SANSowe, CyberGym izraelska wersja. Hands-on dygresja nt. OSCP Gamifikacja rywalizacja, scoring Realizm z jednej strony rzeczywiste systemy i narzdzia, z drugiej symulacja dziaa zwykych u甜ytkownik坦w i usug Praca zespoowa lepsze poznanie si, wyonienie si leader坦w etc.
- #13: Pierwszy zesp坦: payload configuration manage callback infrastructure survivable access persistence
- #15: Cz rzeczy bdzie uniwersalnych, kt坦re da si analogicznie zaaplikowa na Win i Linux. Jednak podczas wielu rozm坦w rekrutacyjnych, kt坦re miaem okazj prowadzi na stanowiska pentesterskie do projekt坦w dla NATO i UE odnotowaem sab znajomo domeny Windows i nowoczesnych technik opartych o powershell dlatego nie ukrywam, 甜e mo甜e by odczuwalny nacisk na te zagadnienia.
- #16: Dla ka甜dej usugi w domenie wspierajcej kerberosa potrzeba Service Principal Name poczonego z tym kontem. Wszystko to info jest w AD. netsh mo甜e te甜 zosta u甜yty do przekierowania port坦w, warto to sobie te甜 sprawdzi. LLMNR, NBT-NS: Oba protokoy pozwalaj hostom identyfikowa si nawzajem jeli padnie DNS. Responder powoli r坦wnie甜 zmapowa AD, dowiedzie si jakie maszyny s odpytywane, z jakimi innymi podsieciami mo甜emy si komunikowa, etc. Jak bdziemy chcieli przej do aktywnych akcji mamy mo甜liwo WPAD spoofingu czy SMB relaying.
- #17: Jakie zabezpieczenia wdro甜ybym na tym rodowisku? Co na jakim poziomie dziaa mo甜e mnie zablokowa? Jakie lady pozostawiaj moje dziaania? Dlaczego zainstalowali EMETa? ;>
- #18: Naszego RATa nie wysaem na VT z wiadomych powod坦w, testujemy go we wasnym labie na najpopularniejszych vendorach AV, ale co ciekawe kod robicy to samo napisany w Pythonie i C++ jest inaczej identyfikowany. C++ czsto wykrywane jest przez heurystyki przez co trzeba podejmowa dodatkowe kroki zaradcze.
- #19: Wersja 5 Powershella wprowadza szereg dodatkowych funkcji, kt坦re daj nowe mo甜liwoci, ale jest to te甜 dobra wiadomo dla BT, ale o tym p坦添niej.
- #20: Wykorzystanie natywnych technik i narzdzi podpisanych cyfrowo przez Microsoft.
- #21: NTLM challenge-response Kekeo Tool: DCSync Jestem DC, daj mi hasla! Golden Ticket Ticket-Granting Tickets i SID History Silver Ticket Ticket-Granting Services MS wprowadzi mo甜liwo zmiany danych lokalnego admina z u甜yciem Group Policy Preferences, MS14-025 to poprawka, ale blokuje tylko t funkcjonalno (nie usuwa hase) MS14-068 brak prawidowej walidacji checksumy PAC co pozwala na nadpisanie ticketu u甜ytkownika i eskalacje do poziomu admina domeny Zrzut hase z pliku zrzutu pamici: Dump LSASS proces memory securlsa::minidump sciezka
- #22: 5 x shift, ctrl + U Installs a security support provider (SSP) dll.
- #23: passthehash/passtheticket Nie wykorzystywany ju甜 (gony, blokowany przez AV)
- #24: Jest to po prostu wykorzystanie Powershella na zdalnych maszynach.
- #26: Wyjanienie pojcia implantu
- #27: Wyjanienie pojcia stager
- #28: Wyjanienie pojcia stager Na zrzucie ekranu wida ominicie UAC (spatchowany Windows 10) dlatego m坦wiem, 甜e to nie jest 甜aden wyczyn eskalacyjny
- #29: Type, Length, Value Generate the TLV packet as per usual. Generate 4 separate non-NULL bytes, and combine them into a single 32-bit XOR key. XOR the entire TLV packet with the 4-byte XOR key (cycled to match the entire payload length). Write the XOR key to the socket first. Finally write the XOR-ed packet to the socket.
- #33: Dobry przykad automatyzacji: Cobalt Strike i Cortana 256 alias坦w per interfejs
- #34: impersonate_ssl wygenerowanie certa na podstawie innego i dodanie go do meterpretera
- #35: Etherpad te甜 mo甜na pobra i zainstalowa lokalnie Dradis poprawione ostatnio GUI Google docs (w zale甜noci od rodzaju wsp坦dzielonej informacji)
- #37: Mo甜emy sprawi BT omot czy odnoszc si do testu penetracyjnego pokaza, 甜e da si wama. Dana cie甜ka wamu zostanie zabezpieczona, ale BT pozostaje na okrelonym poziomie wtajemniczenia. Nie udao nam si wama do BT wic pora甜ka? Jak si zabezpieczyli, co moglibymy zmieni w przyszoci? A co z akcjami, kt坦re zakoczyy si niepowodzeniem? BT wiedzia, 甜e si przed nimi zabezpiecza? Czy samo si zabezpieczyo? Nie udao nam si zabezpieczy przed atakami RT? Super! Jak to si przeo甜yo na nasz reakcj? Co gdyby to si wydarzyo na naszej infrastrukturze? Czy nasze procedury i umiejtnoci konfiguracji system坦w monitorujcych zawiody? Gdzie popenilimy bd?
- #38: Dzielenie si wiedz z BT jakie techniki s wykorzystywane, jak s wykonywane ataki? Jakie IOC mog powodowa? Udao si omin zabezpieczenie BT? Super! W jaki spos坦b? Jak mo甜na to monitorowa? Jak si zabezpieczy? Odpieramy ataki RT? Ok. Przetestujmy jakie nowe techniki? Nie odpieramy? OK. Wypracujmy z RT odpowiednie metody pracy. Znamy ataki RT, znamy IOC jakie pozostawiaj. Czy nasze metody huntingu sa wystarczajce? Czy powinnimy co poprawi? Czy znamy nowe technologie atak坦w?
- #39: #1 pozostawiony przez BT skrypt zawierajcy haso domain admina #2 uruchomiony przez czonka BT dokument office na drugi dzie po wysaniu
- #40: Podczas treningu mo甜na zauwa甜y wzorce, z kt坦rymi spotykamy si na co dzie. Wystarczy przemno甜y to przez skal wielko infrastruktury w firmach i czas 24/7/365. Wnioski wydaj si by oczywiste.
- #41: #1 Skd wiesz, 甜e odpierasz wszystkie ataki? Czy Tw坦j BT jest gotowy na dzie, w kt坦rym rzeczywicie kto si do Ciebie wamie? #2 Jest ryzyko, ale co jeli zrobi to kto inny? #3 RT nie bierze udziau w bezporedniej rywalizacji