Инстансы по информационной безопасности на платформе attackdefense.com

… Мы живем в эпоху больших событий и маленьких людей
… Уинстон Черчилль

Сегодня вашему вниманию представляем первую статью из цикла о разборе и прохождении лабораторных работ с ресурса attackdefense.com с поддержкой известного организатор конференций (Black Hat ^[1] и Pentes Академии ^[2]) — проект, который позволяет разобраться во многих аспектах атак на различные протоколы, службы, системы. В большей части данный ресурс представляет собой платформу с лабораторными работами по самым актуальным тематикам.

Сразу ответим на часть вопросов, которые могут появиться в ходе чтения данного материала:

В этой статье мы кратко рассмотрим:

• Лирика о возможностях и ресурса. И что оно нам даст.
• Какие виды «атак» предлагает ресурс.
• Материал по вектору атаки согласно той лабораторной работы, которую будем описывать.
• Решение одной из «тестовых» лабораторий.
• Выводы.

В следующих статьях планируется:

• Пройти полную линейку одного направления вида атак. (Traffic Analysis)
• Подготовим материалы по курсу.
• Разберем основные ошибки, возникающие при решения лабораторных работ.
• Соберем краткую теорию по данному направлению (тезисы / шпаргалки)
• Ответим на вопросы по предыдущей статье.

Введение

Цель преследуемая нами: Развить интерес к исследованию сервисов для тех, кто раньше не был посвящён в данную тематику, но имел жгучий интерес к данному направлению.

Часть людей и сообществ ранее уже начинали данную тематику, но никто не раскрыл потенциал ресурса. Что постараемся предложить мы, чего нет у других. Это пояснения в технологиях где возникла та или иная уязвимость, что позволит понять почему данная уязвимость возникла и как можно ее закрыть, избежать или противодействовать.

Для более скиловых людей, кто уже сформировал свое мнение и имеют «свое» направления развития, мы предлагаем ознакомиться с возможностью открытия для себя новых векторов.

Для профессионалов предлагаем открыть для себя новый «Capture the Flag». Данному направлению не будет уделено детальный обзор. Это останется для самостоятельного прохождения. (Но, если будут добровольцы, желающие поделиться своими достижениями, результатами или оригинальными решениями. С удовольствием добавим Ваши мысли в отдельный пласт статей. Как дополнительный обзор. С упоминанием героев.

Загрузка

Немного статистики:

На момент написания статьи количество лабораторий выросло с 505 — 664 — 700 шт.

Скриншоты

Разбор лаборатории: Network Recon — Memcashed [ Теория ]

Memcached — программное обеспечение, реализующее сервис кэширования данных в оперативной памяти на основе хеш-таблицы. С помощью клиентской библиотеки позволяет кэшировать данные в оперативной памяти множества доступных серверов (см. Вики ^[4] или чуть детальнее habr.com ^[5]).

В чем интерес данного продукта, почему ему уделено такое внимание?
Проблема скрывается в простоте использования данного инструмента в интересах «злоумышленников» поскольку протокол используемый в данном приложении UDP. Как Вы помните в чем разница между протоколами TCP vs UDP (напомню, кто подзабыл на пример: otvet.mail ^[6] / Wiki ^[7] или link ^[8]). Т.е. UDP позволяет отправлять фрейм данные, не беспокоясь о получении его адресатом. И самое важно объём данных передаваемых через UDP в разы больше чем через TCP.

Но в чем же такое внимание? А в том, что при обращении к данному ПО через сеть/интернет на порт 11211 с размером входящего пакета 100 кб. Ответ можно получить в 1,000-50,000 раз больше. Те. Отправили 100 кб вернется 100 000 кб. Хороший коэффициент? Лучший!

Но в чем опасность то? Спросите Вы. Зачем нужна эта информация?
А проблема вот в чем: в локальных сетях и операторов связи которые не контролируют трафик, возможна такой вид атаки как ip spoofing Т.е. подмена исходящего ip. Получается, что теперь злоумышление может не только представится кем угодно, но и от его имени запросит какую-либо информацию.

И тут получается вот что (кратко проиллюстрировано на изображении):

1. Злоумышленник использую ip spoofing подменяет свой ip. На ip «жертвы».
2. Делает запрос на сервер Memcashed. С изменённым Ip адресом
3. Сервер отвечает на запрос. Но ответ на обращение уже отправляет «жертве»
4. «Жертве» приходит ответ в 100-ни раз больше размера запроса.

В следствии большого количество таких запрос-ответов. Может произойти атака Dos или DDos в зависимости от количества «зомби» машин.

Более подробно можно почитать тут: securitylab ^[9], xakep.ru ^[10], 360totalsecurity ^[11]

Или поискать в Google.

Уменьшение последствий: Как исправить уязвимость серверов Memcached?
Одним из самых простых способов предотвратить злоупотребление серверами Memcached в качестве отражателей является брандмауэр, блокировка или ограничение скорости UDP на исходном порту 11211. Поскольку Memcached использует INADDR_ANY и запускается с поддержкой UDP по умолчанию, администраторы советуют отключить поддержку UDP, если они не используют его. Атака через Memcached не может быть легко остановлена провайдерами интернет-услуг (ISP), если в Интернете разрешено использование spoofing IP.

Пример поиска сервиса при помощи nmap (не самый рациональны способ)
nmap 192.168.1.1 -p 11211 -sU -sS --script memcached-info

В данном цикле лабораторных работ можно будет ознакомиться с простыми функциями разведки сервиса «Memcashed». Где будут затронуты инструменты с арсенала Metasploit. И стандартные команды Linux системы. Не чего сложного и заурядного.

Разбор Лаборатории [ Практика ]

[ Меню ]

У каждой лабораторной работы существуют пункты меню:
1. Задание
2. Правила
3. Ответы на задание
4. Подсказки к решению. (не всегда и не во всех лабах)
5. Ссылки на литературу для чтения (только En)

[ Задание ]

1. Find the version of memcached server using nmap.
2. Find the version information using netcat or telnet.
3. Find the maximum number of simultaneous incoming connections allowed by the memcached server use available nmap scripts.
4. Find the number of current items on the memcached server using memcstat.
5. Find the value stored in key “flag” from the key value pairs dumped by available metasploit module.
6. Find the name of all keys present on the memcached server using memcdump.

[ Начало ]

Кликаем «Lad link» откроется новое окно с терминалом kali linux

Это будет наше с Вами основное окно. (не каких виртуальных машин. Уже все установлено и настроено для Вас. Все скрипты для лаборатории уже находятся внутри. Не чего скачивать, искать, придумывать не нужно!) Как правило (но не всегда) материалы, скрипты и базы лежат в корневой папке, или в home.

Задание 1: Найдите версию memcached сервера с помощью nmap.

Подсказку уже давал ранее. Используем Nmap

Nmap  –p 11211 ipaddress –sV
–p  порт. Порт по умолчанию 11211
-sV – показывает версию сервиса

Более подробно о nmap можно будет почитать в конце статьи. В разделе Доп. материалы. Туда же выложим шпаргалки.

Результат: 1.5.12 (ответ в лабе который пишут они 1.5.6 – им виднее)

Задание 2: Найдите информацию о версии с помощью netcat или telnet.
Как сильно не просили:

Ответа так и не получил.

Результат: получить результат не удалось.

Задание 3: Найти максимальное количество одновременных входящих соединений, разрешенных memcached сервером использовать доступные nmap скрипты.

Подсказка: поиск google: memcached nmap

Переходим по ссылкам и видим, что уже существует готовое решение для поиска инфы о memcache. Поскольку нас уверили что все скрипты уже установлены, то пробуем:

Nmap –p 111211 –script memcached-info 182.220.144.3

Результат: 2147

Задание 4: Найдите количество текущих элементов на memcached сервере с помощью memcstat.

memcstat –h
memcstat --servers=”IP”

Результат: curr_items: 10

Задание 5: Найдите значение, хранящееся в ключе “flag”, из пар значений ключей, сбрасываемых доступным модулем metasploit

use auxiliary/gather/memcached_extractor
show options
set rhosts 192.220.144.3
run

Ответ скрипта: flag «VALUE flag 0 32rn25c8dc1c75c9965dff9afd3c8ced2775rnENDrn»
Результат: «VALUE flag 0 32rn25c8dc1c75c9965dff9afd3c8ced2775rnENDrn»
(25c8dc1c75c9965dff9afd3c8ced2775) В принципе одно и тоже.

Задание 6: Найти название всех ключей на сервер memcached, используя memcdump.

Подсказка: мы их уже знаем. При помощи нашего метасплоита еще в предыдущего задании. Ну посмотреть все равно можем:

root@attackdefense:~# memcdump 192.220.144.3

flag, password, country, zip, state, city, address, nick_name, last_name, first_name

Результат: flag, password, country,zip, state, city, address, nick_name, last_name, first_name

Задание 7: Найдите значение, хранящееся в ключе “first_name” с помощью memcached-tool.

Захотите попробуете сами тулзой «memcached-tool»

Результат: Но ответ будет такой же: Jimmy
Как узнали? Смотрим скриншот с «Результат 5».

Подведём итоги

1. Относительно данной Лабораторной работы

Как мы увидели, подходов к решению поставленных задач бывает несколько (хорошо заметно на вопросе 5, 6 и 7) и что наиболее важно, от выбора решения зависит Ваше потраченное время.

К сожалению, я так и не понял в чем суть задания №2. Но увы не получил успеха (А может нужно было всего на всего сделать так nmap –o ip “address” or nmap –A “ip address”. Но это уже другая история).

2. Относительно всего ресурса.

Чем нам понравился данный ресурс:

Что не понравилось:

Доп. Материалы

Man nmap ^[12]:
Шпаргалка ^[13]:
Man rus nmap ^[14]

P.S. Дополнение от авторов:

Автор: 0ri0n

Источник ^[17]