چگونه به RDP حمله کنیم

[zamoova]

سلام

دوست عزیز ، توجه کنید که در حمله به هر باگی ، نهایت و آخر کار دسترسی به شل سیستم هستش
اگه رو سرور یه vulun پیدا کردی ببین اکسپلویت داری یا نه؟
اگه داشتی سعی کن ران کنی ، با این تفاسیری که بالا گفتین مطمئن باشین کاری از پیش نمی برین
یعنی راه و اصول کار اینه ، تکیه به نرم افزار خاص که حتی درست کار نمی کنه فقط وقت تلف کردنه
اگه بفرض پسورد رو هم بگیرین می خوایین چیکار کنین؟
در نهایت به شل باید برسین. و از اونجا همله رو لنچ کنین. باز اگه حرفم رو قبول ندارین ادامه بدین و
مطمئن باشین به جایی می رسین که گفتم.



_____________________________________
While !me.died
me.work () ;
l

[th95]

سلام

دوست عزیز ، توجه کنید که در حمله به هر باگی ، نهایت و آخر کار دسترسی به شل سیستم هستش
اگه رو سرور یه vulun پیدا کردی ببین اکسپلویت داری یا نه؟
اگه داشتی سعی کن ران کنی ، با این تفاسیری که بالا گفتین مطمئن باشین کاری از پیش نمی برین
یعنی راه و اصول کار اینه ، تکیه به نرم افزار خاص که حتی درست کار نمی کنه فقط وقت تلف کردنه
اگه بفرض پسورد رو هم بگیرین می خوایین چیکار کنین؟
در نهایت به شل باید برسین. و از اونجا همله رو لنچ کنین. باز اگه حرفم رو قبول ندارین ادامه بدین و
مطمئن باشین به جایی می رسین که گفتم.



_____________________________________
While !me.died
me.work () ;
l

من شرایط رو گفتم ! میدونم هم که اون جمله چندان کارساز نیست. ولی خوب شرایط فعلی اینه ! شما گفتی یه پورت باز روی اون سیستم پیدا کن من هم راهنمایی خواستم
شما یه برنامه بدید که یه ای پی ولید بهش بدیم بره بگرده همه پورتهای بازش رو پیدا کنه

[zamoova]

سلام
لطف کنید کلی نپرسید. نرم افزاری که آی پی بدی همه پروت های بازو بده وجود نداره.
بیشتر از 100 تا نرم افزار پویش داریم. بسته به نو اسکن ، نوع VULUn و نوع حمله باید استفاده کنید.
یه نرم افزار مثل Samspade ممکنه همه کار بکنه همراه با پویش پورت ولی معملا جواب نمی.
من خودم برای تحت ویندوز ازQuery application , cyberkit , spike استفاده می کنم ولی هیچ
کدوم جواب صد در صد نمی ده.
اگه میخوایی حرفه ای کار کنی تحت لینوکس کار کن.



____________________
While !me.died
me.work () ;
l

[th95]

مثلا یه نرم افزاری مثل nmap چطوری کار میکنه ؟ فقط سیستم لوکالی که روش اجرا میشه رو بررسی میکنه ؟ نمیشه بگیم برو فلان ای پی رو بررسی کن ؟

راستی یه سوالی هم همینجا برام پیش اومد
من از نرم افزاری مثل سولار ویندز برای بررسی باز بودن پورتهای یه سرور استفاده میکنم (از سیستم خودم اجراش میکنم و ای پی سرور رو بهش میدم)
اون میگه مثلا 80 بازه ! 443 بازه و ..
سوال من اینه ! خودش چطوری به اون سیستم وصل میشه و چک میکنه ؟ خودش هم از یه پورت خاص استفاده میکنه
فرض کنید روی اون سیستم فایروال برقراره و فقط پورتهای 80 و 23 بازه
اما این بنده خدا در مورد همه پورت ها (انهایی که بسته هم هستند) اطلاعات میده
اشکالی این وسط وجود نداره ؟ اینطوری کاربران آمار پورتهای باز سرور رو میگیرن که ! مثلا شما فرض کن من RDP رو گذاشتم رو پورت 933
حالا طرف وصل میشه (با یه همچین نرم افزاری) و این قضیه رو میفهمه ؟؟

[zamoova]

سلام
دوست عزیز متاسفانه نگاه سطحی به قضیه باعث میشه اینجوری فکر کنین.
اولا 99% ابزار های نفوذ ریموت کار میکنند. لزومی نداره حتما روش نصب بشه اگه
اینجوری بود که خیلی بد بود، باید رو سروری تو امریکا میرفتی نصب میکردی تا بهت
اطلاعات بده ، یه سری به توابع شبکه C بزن تا کامل متوجه بشی چه اتفاقی می افته.
این از این.

دوست عزیز باز بودن پورت دلیل بر نفوذ نیست.
در بانک ها بازه ، این دلیل بر ضعف بانکه؟ خب اگه درش باز نباشه مشتریا از کجا برن
بیان؟ سرور هم طبیعیه که پورت 80 بازه ، اگه باز نبود که ریکوئست های HTTP از کجا می اومدن تو سرور؟

در ضمن متخصصین امنیت شبکه کاری می کنن که ریکئوست های نرم افزار هایی مثل سولار یا nmap یا
... به سرور نرسه ، اگه رسید جواب نگیره ، اگه گرفت به درد نخوره....و این اصل ماجراست. ساده ترین
و ابتدای ترین راه استفتده از یک فایر وال مبتنی بر پروکسی هست.

در مورد فایر وال هم بگم که تنظیم رول ها در جهت امنیت شبکه سواد و تخصص خاص خودشو می خواد.
تغییر رول های فایر وال از راه دور در جهت نفوذ هم ، دانش خاصی داره.
اگه متخصص امنیتی با سواد و به روز باشه ، معمولا اتفاقی نمی افته ، ولی اگه نفوذگر با سواد تر باشه
اتفاق های جالبی می افته ، البته اگه نفوذ گر حرفه ای باشه ، متوجه هیچ کدوم از این اتفاق ها نمی شین.
اگه ناراحت نمی شین ، توصیه میکنم اول چنتا کتاب بخونین و ابزار ها رو با علم بکار ببرین.


__________________________
While !me.died
me.work() ;
l

[th95]

اگه ناراحت نمی شین ، توصیه میکنم اول چنتا کتاب بخونین و ابزار ها رو با علم بکار ببرین.

نه دوست عزیز چرا ناراحت بشم. وقتی چیزی رو بلد نیستم بلد نیستم دیگه
اما یه نکته ای وجود داره ! خیلی از ما وقتی مشکلی داریم میایم تو سایت و از بقیه می پرسیم تا حلش کنیم. اکثر اوقات نمیخوایم Detail وارد قضیه بشیم. ببینید در حال حاضر اولویت من این نیست که متخصص امنیت بشم. گرچه به عنوان مسوول شبکه قطعا باید خیلی چیزها رو بدونم. الان نکته اینه که به من میگن (جزو چک لیست های امنیتی هستش) یوزرها نباید بفهمند کدوم پورتها روی سرور بازه ! الان این کار جزو وظایف منه ! حالا من میخوام ابزارهایی مثل nmap یا سولارویندز نتونن این کار رو انجام بدن. مشکلی هم که براش کمک میخوام همینه (البته از اون بحث RDP فعلا بگذریم گرچه اون هم یه جورایی به شبکه خودم و چک لیست امینتی ربط دار) حالا چه باید کرد ؟آیا باید پورتهای نرم افزارهای معروف رو پیدا کنم و ببندم ؟ آیا این پورت اسکنرها رفتاری دارند که میشه شناساییشون کرد ؟ آیا حتما نیاز به فایروال سخت افزاریه ؟ ...
ضمنا منظورتون رو از فایروال مبتنی بر پراکسی نفهمیدم
باز هم ممنون از شما که یه تکون اساسی به بخش امنیت سایت دادید

[zamoova]

سلام
دوست عزیز قبل از جواب وظیفۀ خودم میدونم به خاطر خطوط اول و آخر پست قبلیتون نشکر کنم.

اما اگه اجازه بدین با مثال بانک ادامه بدم.
اگه قرار باشه پورت های نرم افزار هارو شناسایی بکنید ، مثل اینه که مسئول حفاظت بانک بره آدرس تموم دزد های
شهرو گیر بیاره ، روش دزدی رو بفهمه و بر اسا اونا بانکو ایمن کنه.! البته که منطقی نیست.
اگه دزدی روش جدید اختراع کنه ، .....
نرم افزار ها هم ثابت نیستند ، در طول ماه حتی ، هفته ، کارکرد اونا فرق میکنه و خودشونو با شرایط ایمنی شبکه ها
وفق میدن.

می خوام یه داستان جالب برات بگم : nmap تو ورژهای قبلی ، به هر آی پی یه کانکشن میزد و اطلاعات رو از اون کانال رد می کرد ،
با رشد IDS ها ، تریس بک نفوذ گران nmap راحت شد ، بعد nmap جوری آپدیت شد که به تعداد زیاد به هدف کانکشن بیخود ایجاد میکنه
و ارتباط اصلی یکی از این کانکشن هاست که البته نمیشه تشخیص داد، چراکه اصلی در دهها فرعی گم شده و وقت زیادی می طلب!!.

اما در مورد بحث اصلی ، اگه نمی خوایین کسی اسکن پورت کنه :

میتونین فایر وال رو جلوتر از سرور بزارین که بتونه به آی پی ها رنج شما با در خواست سرویس معتبر اجازۀ رد شدن بده.
بیشتر متد پورت اسکن رو ICMP سوار هستند. این پروتکل بهمراه UDP رو حتما ببندین ، البته اگه استفاده نمی کنیین.
لوگ های IDS رو طوری تنظیم کنین که درخواست های نا تمام ارتباط TCP رو ثبت کنه .

بازم ، شدیدا تاکید میکنم، نمی تونین کاری بکنین دزد شب سراغ بانک نیاد ، ولی میشه کاری کرد که اگه اومد نتونه بیاد تو
دزد گیر ، دوربین ،... که بعدا براحتی بگیرینش

اما در مورد فایر وال هم بگم که عملیات آنها بر دو نوعه :

state full
proxy base

که خلاصۀ خلاصه بگم که ، اولی حالت و وضیعت درخواست های معتبر رو چک میکنه، و از اونجایی که
ابزار های نفوز بیشتر از چند هزارم ثانیه با هدف در ارتباط نیستند ، ثبت و ریجکت میشوند.

دومی دقیقا مثل رابط ، بین سرور و سرویس گیرنده عمل میکنه. کلاینت سرور رو نمی بینه و فقط با پروکسی در ارتباطه.
همین.



_____________________________
While !me.died
me.work () ;
l

[th95]

باسلام و تشکر مجدد از شما

خوب تا حدودی خیالم راحت شد چون با اکسس لیست فقط پورتهای مجاز رو باز کردم. ضمنا در مورد ICMP هم باید بگم که فقط Reply رو برای کلاینتها مجاز کردم

اما دو تا سوال
1- آیا این برنامه های اسکنر میتونند از پورتهای معروف مثل 80 استفاده کنند ؟ خوب همه میدونند که سرور اتوماسیون پورت 80 اش بازه ! حالا میشه نرم افزار از اون طریق وارد بشه ؟

سوال دوم

ابزار های نفوز بیشتر از چند هزارم ثانیه با هدف در ارتباط نیستند ، ثبت و ریجکت میشوند.

سوییچ خودش این رو میفهمه ! یا باید یه جوری تعریف کنیم که ارتباط های چند هزارم ثانیه ای رو ریجکت کنه ؟ ضمنا سوییچ یا هر ابزار دیگه ای اول بسم ا.. از کجا میفهمه که ارتباط فلان ابزار غیرم مجاز قراره چند هزارم ثانیه بیشتر طول نکشه

دومی دقیقا مثل رابط ، بین سرور و سرویس گیرنده عمل میکنه. کلاینت سرور رو نمی بینه و فقط با پروکسی در ارتباطه.

من توی شبکه ام با چند تا سوییچ لایه 2 و 3 چطوری باید همچین حالتی رو پیاده کنم ؟ آیا خود سوییچ و اکسس لیست ها حالت پروکسی و نقش اون رو ندارند ؟

[zamoova]

سلام
دوست عزیز تا حدودی فهمیدم سوال های شما و نگرانی هاتوون از کجا ناشی می شه.
ببینید ، نرم افزار های تست پورت ، از سرور استفاده نمی کنند ،
شما گفتین

همه میدونند که سرور اتوماسیون پورت 80 اش بازه ! حالا میشه نرم افزار از اون طریق وارد بشه ؟

نرم افزار اسکن وارد نمیشه ، اینجارو توجه کنین که این نرم افزار ها با ارسال درخواست ارتباط به سرور
و تحلیل جواب اون می فهمن پورت بازه یا نه. این در خواست ارتباط همون نوع اسکنه که تو پست های پیش گفته بودم.
پس : نرم افزار به سرور وارد ننمی شه، مثل یه کلاینت معمولی درخواست ارتباط ارسال و پاسخ سرور رو تحلیل میکنه.
اما در مورد سوال دوم بگم که من این اصل رو مثال زدم و یک اصل نیست. این اتفاق در درون فایروال ها بصورت Built-in اتفاق می افته.
اون دو موردی هم که گفتم ، منظورم فایر وال بود نه سوئیچ های لایۀ 2 و 3 . در نهایت درخواست ها به
فیروال ورودی میرسه.



____________________________
While !me.died
me.work() ;
l

[th95]

این اتفاق در درون فایروال ها بصورت Built-in اتفاق می افته.
اون دو موردی هم که گفتم ، منظورم فایر وال بود نه سوئیچ های لایۀ 2 و 3 .

دقیقا منظور من هم همین بود. یا حتما یک فایروال سخت افزاری لازمه ! یا این قضیه تو خود فایروال ویندوز یا با نوشتن یه اکسس لیست روی سوییچها اعمال میشه ! به نظر میرسه فایروال سخت افزاری رو باید بیاریم تو بازی

[zamoova]

سلام
دوست عزیز ، احتیاجی نیست به فایر وال سخت افزاری.
از یه کامپیوتر استفاده کن. بهترین راه اینه که ISA رو در حالت proxy تنظیم کنی رو اون کامیوتر
تا درخواست ها به سرور از طریق اون پروکسی بره بیاد. خیلی راحت میتونی جلوی اسکن های
بی مورد رو بگیری. البته کارای دیگه هم باید بکنی که توضیحش طولانیه.



__________________________
While !me.died
me.work () ;
l

[th95]

ISA ؟؟
من اصلا اینترنت ندارما
این توضیحات فقط در مورد ارتباطات بین کلاینتها و سرورهای داخلی هستش
شما میگید تو شبکه داخلی از ISA استفاده کنیم ؟
اگه اینطوره میشه توضیح بدید نحوه قرار گیری سوییچهای اکسس و core و .. چی میشه /؟

[zamoova]

سلام
مگه فایر وال رو فقط در اینترنت بکار می برن؟ خوب برای کنترل ترافیک فایروال می زارن .
چه از اینترنت به DMZ چه از لوکال به DMZ و برعکس...

ببینید ، core , distribute ...جزئ بستر سخت افزاری هستن. بالاخره ترافیک از کلاینت میاد به
سرور. باید ورودی بزارین فایروال رو. بین DMZ و لوکال.



____________________
While !me.died
me.work() ;
l

[th95]

جالبه
اولین کسی هستید که می بینم از ISA تو چنین نقشی استفاده کنه
خوب حالا ISA رو بذارم بین سرورها و بخش لوکال
حالا چه کنم ؟ گیت وی رو برابر با ISA بدم تا ترافیک از اونجا رد بشه ؟

[zamoova]

سلام
دوست عزیز مگه نمی خوایین سرور رو محافظت کنین؟ خب باید کاری بکنین تمام ترافیک به سمت DMZ
از فایروال رد بشه و هم Inbound هم outbound .



_______________________
While !me.died
me.work () ;
l