Fórum Root.cz
Hlavní témata => Server => Téma založeno: Zvedave 18. 10. 2011, 19:42:51
-
Zdravím,
tušíte někdo teoreticky, jak se může stát, že např. společnosti sony ukradnou hackeři data o klientech? Nezajímá mě to z důvodu, že bych si chtěl hrát na nějakého rádoby hackera nebo něco podobného, jen mi to přijde takové hrozně nereálné, že někdo nějakým způsobem např. rozběhne svůj program na cizím PC. Myslíte, že na světe existuje třeba jednotlivec, který kdybyste mu dali mojí IP, tak by např. do 24 hodin zařídil, že mi zčerná obrazovka a objeví se tam nějaký nápis?
-
Tazko povedat...kazdopadne by musel vynaložiť riadne úsilie aby sa k tebe dostal bez toho aby ti spustil nejaký RAT na tvojom PC ;)
-
Ked je tvoj PC za NATom, tak na nom tazko niekto nieco spravi. Ak je vystaveny s public IP a bezi na nom kopa verejnych sluzieb, tak to moze byt mozne tak, ze je mozne ponuknut aplikacii nieco, co necaka.
Napriklad caka retazec do 100 znakov, ale niekto tam da 10k vhodne zvolenych znakov, ktorymi sa "zhodou okolnosti" prepise aj navratova adresa na zasobniku a po navrate sa "zhodou okolnosti" zacne vykonavat to, co tam ten clovek napisal. To je v podstate asi najcastejsia metoda na spustenie svojho kodu na cudzom stroji.
Niekde to moze byt diera ako zle osetrene citanie. Jednoducho admin caka, ze ked moze kazdy uzivatel vidiet len svoj uzivatelsky profil (UP), tak mu da odkaz len na jeho UP v tvare example.com/profil?id=123 a to staci. Ked chce niekto skusit ziskat cudzi UP, tak skusi adresu prepisat napr. na example.com/profil?id=124 a zrazu ma to, co chcel. Toto je mozne automatizovat (pisat si na to programy / skripty).
Inokedy niekto nieco osetri len u klienta napr. v JavaScripte, ale staci si vypnut JS a hned je taky nezmysel zbytocny.
Utoky nemusia utocit nutne na takuto dieru v aplikacii. Moze to byt logicka chyba - niektore eshopy napr. funguju tak, ze tam mam nejaky penazny ucet, ktory si peniazmi "dobijam" a za to si potom kupujem tovar. A potom si staci objednat zaporny pocet kusov a hned mam peniaze na ucte.
A aby sme nezabudli, je mozne utocit aj priamo "na ludi". To bud tak, ze mu poslem mailom (kt. bude vyzerat ako od jeho kamosa) spustitelny subor naked_jessica_biel a on si ho ochotne skopiruje a ked to bude ziadat prava roota, tak ich zada - vsak chce vidiet ten zaujimavy obrazok. A ak mu tam dam okrem svojho kodu aj ten obrazok, tak bude spokojny a nicoho si nevsimne.
K utokom "na ludi" pocitam aj hesla ako "123", rovnake hesla v praci a na inych sluzbach alebo priame ziadosti o heslo, "lebo si to pyta sef a je to treba hned", ktorym casto vela ludi s radostou vyhovie.
-
zvedave: od verejne viditelneho pc (a jeho bezpecnostni problemy) az po backdoory v routeru (a nepouzity nat je timpadem nanic)
staci, kdyz tam existuje nejaky bug a hned se toho muzou hackeri chytit (nebo volne pristupny server a brutalforce...)
pripadne neni uplne neobvykle, ze si nejaky zamestnanec prohlizi nevhodne stranky, stahne si vira, ktery se rozsiri po siti a stahne dulezita data :)
-
Myslíte, že na světe existuje třeba jednotlivec, který kdybyste mu dali mojí IP, tak by např. do 24 hodin zařídil, že mi zčerná obrazovka a objeví se tam nějaký nápis?
To jde poměrně jednoduše. Nejlevnější cesta je najmout si dva pány z nejmenované postsovětské republiky, kteří k tobě přijdou, na nic se nebudou ptát, spustí vim (černá obrazovka) a napíšou tam co bude potřeba.
-
Myslíte, že na světe existuje třeba jednotlivec, který kdybyste mu dali mojí IP, tak by např. do 24 hodin zařídil, že mi zčerná obrazovka a objeví se tam nějaký nápis?
To jde poměrně jednoduše. Nejlevnější cesta je najmout si dva pány z nejmenované postsovětské republiky, kteří k tobě přijdou, na nic se nebudou ptát, spustí vim (černá obrazovka) a napíšou tam co bude potřeba.
Já myslím, že by se minimálně museli zeptat na heslo, ať už verbálně, nebo nonverbálně :-)
-
Myslíte, že na světe existuje třeba jednotlivec, který kdybyste mu dali mojí IP, tak by např. do 24 hodin zařídil, že mi zčerná obrazovka a objeví se tam nějaký nápis?
Já bych to zřejmě dokázal, to říkám teoreticky, protože vesměs řeším vyhledávání bezpečnostních děr a ne to, jak se někomu vloupat do PC.
Ale nakonec by všechno stejně záleželo na Vaší inteligenci.
Provést takový kousek je obecně podstatně těžší Geekovi s BSD než Dežovi s Widlema.
Postupy, jak někdo něco takového udělal (cíl je blb a vesměs s Widlema).
- poštou mu poslal originálně vypadající PC hru obsahující jeho vlastní backdoor, který samozřejmě žádný Antivirus ještě nikdy neviděl
- obdoba předchozí varianty, pouze poslal program
- obdoba předchozí varianty, když přišla falešná aktualizace účetního programu
Dále:
- asi útok man in the middle, kdy došlo podstrčení zavirovaného exe (MIRANDY!!!)
- asi útok man in the middle na celou síť, kdy došlo k podstrčení falešené aktualizace
(Útočník přesvědčil DNS server, že má IP adresu na něco.něco.něco přeložit na jehoIP.)
- zaslání zavirovaného e-mailu
.....
Lidská blbost je nekonečná a kdyby mi přišla zavirovaná flash-ka s nápisem ,,dárek od obchodního partnera" - třeba maskovaná jako ofiko dárek od T-mobile...asi bych jí do počítáku taky strčil.
Ale naprostí pitomci se rekrutují i z řad správců sítí.
Dříve stačilo do firmy poslat AP (které obsahovalo ještě jedno skryté AP) a cesta do firemní sítě byla volná. Obecně nelze říct, že by záleželo na tom, jak geniální je útočník, ale jak velký debil sedí na druhé straně :P :P
-
Mnohem lepší než program, je poslat PDF obsahující nebezpečný kód, který nasadí trojana a následně modifikuje PDF tak, aby neobsahovalo nic závadného :-)
-
Myslím, že PDF reader se aktualizuje už tak často, že to není nijak jednoduché.
I když někde objevíš proof of concept nebo DRAZE KOUPÍŠ takovou informaci, může aktualizace přijít dřív, než se ti to povede odladit.
Výše uvedené útoky jsou primitivní a obecně platné.
To o čem mluvíš je poměrně sofistikovaný postup, který by vyžadoval úberhackera a protože naší "haxorskou scénu :P" tak trochu znám, ať už se bavíme o security-portal.cz nebo soom.cz, můžu říct, že takových lidí tu máme v republice možná 5. To o čem mluvím já by zvládl téměř každý trochu chytřejší programátor.
Tedy je podstatně méně pravděpodobné, že z 10 000 000 lidí v naší zemi naštveš jednoho z těch 5, kteří by to dokázali takhle elegantně, než jednoho z tisíce, který to zvládne za použití poněkud trapnějších a přesto fungujících metod.
-
PDF s integrovaným Javaskriptem má zase tu výhodu, že je multiplatformní :-) Člověk ani nemusí mít windows, aby něco chytnul.
-
DgBd - ale prece jenom, ktery blbec spousti pdf s pravy roota :)
-
Já myslím, že by se minimálně museli zeptat na heslo, ať už verbálně, nebo nonverbálně :-)
A tak to by myslim tem panum necinilo vetsi potize - myslim ze by se metodou brute force dostali k heslu pomerne rychle... spis si nejsem jist, jestli by pak zvladli pustit ten vim, natoz do nej neco napsat :)
-
To o čem mluvíš je poměrně sofistikovaný postup, který by vyžadoval úberhackera a protože naší "haxorskou scénu :P" tak trochu znám, ať už se bavíme o security-portal.cz nebo soom.cz, můžu říct, že takových lidí tu máme v republice možná 5. To o čem mluvím já by zvládl téměř každý trochu chytřejší programátor.
5? To je podla mna velmi nizky odhad; ale zase je to pomerne vela na to, ze poznas len tie 2 spominane stranky.
Treba pocitat s tym, ze dnes sa da kupit asi vsetko a funkcny 0day exploit nie je vynimkou. A ked ta len niekto nema rad, tak si radsej zaplati radovo lacnejsi DDoS...
-
DarkKnight: to není potřeba. Většina důležitých dat je v uživatelově domovském adresáři.
-
Vzhledem k tomu, jak se Sony chova ke svym zamestnancum a zakaznikum bych se nedivil, kdyby to byl nekdo zevnitr. Kazdopadne se ocividne jednalo o systematickej a organizovanej utok profiesionalu jenze takovi se pocitaji na svete asi v desitkach mozna stovkach. Vetsina klasickych utoku je typu script kiddie jak zminoval KapitanRUM a nebo v dnesni dobe daleko beznejsi a nebezpecnejsi sociotechniky, ponevadz nejslabsim clankem bezpecnosti je vzdycky lidsky faktor.
-
Zdravím,
tušíte někdo teoreticky, jak se může stát, že např. společnosti sony ukradnou hackeři data o klientech? Nezajímá mě to z důvodu, že bych si chtěl hrát na nějakého rádoby hackera nebo něco podobného, jen mi to přijde takové hrozně nereálné, že někdo nějakým způsobem např. rozběhne svůj program na cizím PC. Myslíte, že na světe existuje třeba jednotlivec, který kdybyste mu dali mojí IP, tak by např. do 24 hodin zařídil, že mi zčerná obrazovka a objeví se tam nějaký nápis?
Verte tomu, ze na svete existuji lide, proti kterym je i Linus nebo jine podobne osobnosti totatlni cucak a ti pokud chteji neci data, tak je dostanou. Tam uz je pak obrana se leda nechat poslat i s celou historii na Proxima Centauri :-)
Na druhou stranu drtiva vetsina populace a firem je pro takove osobnosti neco jako mravenec pro slona, takze po na slapou nebo nas prekracuji a neprojevuji absolutne zadny zajem.
A pokud jste mel nekdy tu cest zazit velkou korporaci nebo nedej boze statni podnik (nemocnice, socialni urady, sprava dat socialniho zabezpeceni a podobne), tak presne od te chvile by jste musel vedet, ze cokoliv provedete doma/ve firme je vam uplne k hounu, protoze to co dokazi tam v ramci zpraseni bezpecnosti dat se rovna tomu jako kdyz to rovnou vsechno sam posilate spatne strane :-) A upozornuju, ze to se nejeda jen o CR, ale i o perly z USA kde v jednom state byla ukradena napr. veskera data 4 milionu obyvatel a ze takovych uz bylo. Ted by bylo jeste fajn vedet o kolika podobnych se nevi u tech velkych korporaci a vysledky obrazek je velmi tristni.
-
Má z tohoto hlediska význam to, že se fyzicky připojuji k NETu pouze po dobu , kterou na něm pracuji, to znamená, pokud odesílám/příjímám poštu , stahuji aktualizace,surfuji , popřípadě žvaním?
Tím fyzickým přípojením myslím to, že po ukončení těchto operací kabel prostřednicvím spojky z routeru vythánu!
-
Vidíte, a tu nejjednodušší věc jste zapomněli. Uděláte pěkně vypadjící webovou stránku, která obsahuje vhodně upravený skriptík, který použije nějaké hezké zranitelnosti (ty se dají koupit - tedy popis použití, na netu - pokud víte, kam jít, tak se doptáte), kterých je stále ještě desítky. Pak pošlete uživateli mail, který jej donutí se na tu stránku juknout. A jste u něj.
Ke kradení velkých množství dat se používají jiné mechanismy, které jsou z repertoáru webových útoků: SQL injecty, Cross Site skriptování, vložený kód do podvrhnutých stránek a pod.
Ale ze všeho nejlepší je zaplatit si hodného zaměstnance, který má k těm datům přístup (třeba je to backup admin)... :P
-
to Nemous Hloupy:
Jenze i tyhle techniky vyzadujou spise socialni inzenyrstvi nez-li kdovijake technicke znalosti a skilly, nakolik musite nejakym zpusobem uzivatele donutit se na tu stranku kouknout. To ze existuji vetsi borci nez-li Linus a spol ve sfere hackingu je nabiledni. Je ovsem nutne si uvedomit, ze Linus neni bezpecnostni profesional a jeho primarni amereni je trosku nekde jinde. Je to podobny, jako bych srovnaval Sebrleho s Rosickym. Ma sice vyborny fyzicky predpo, klady, ale do balonu treba kopnout neumi (to je jenom prirovnani, treba hraje jako panbuh). Bezpecnostni profesional zna slabiny jednotlivych protokolu/aplikaci a umi jich vyuzit. Muj nazor je stejny, jako nekolikrat omilane klise na vsech strankach o hackingu. Abyste mohli byt skvelym white-hatem musite zacit jako black-hat o tom zadna. Ne nadarmo se v historii bezpecnostnich slozek vyuzivali a stale vyuzivaji zlocinci a vyvrhelove :). Nikdo nema totiz v danem odvetvi lepsi prehled nez-li oni a co si budem povidat, az na vyjimky to vetsina delala hlavne kvuli penezum, takze kdyz jim vlada zacvakala rozumnej peniz tak proc ne.
Co se tyce placeni toho hodneho zamestnance tak tam bych byl moooc opatrnej. Ono totiz nekoho uplatit neni tak jednoduchy jak se na prvni pohled muze zdat, to za prve a za druhe se k takovemu cloveku musite nejdrive dostat a zjistit kdo to je coz vetsinou taky na na trochu te hackerske/detektivni prace.
-
Sony a ten utok je ina trieda... Mozem popisat len to co obcas robim z pasie.
1) Socialne inzinierstvo vyzaduje gule... Klud... Nesmies byt nervozny a posobit prorodzene. IMHO fest tazka vec a velmi obdivujem Kevina Mitnicka ktori dokazal rolko vody namusit aj ked bol lepsi v komunikacii s ludmi nez programator/cracker.
2) Najjednoduchsia cesta je dat dole neaktualizovane weby pod spravou buranov... Pamate sa na probelm v roundcube spred asi 2 rokov? html2text.php pomocou craftovaneho POST requestu sa dalo vyuzit v php eval(); Nic viac nebolo treba... :)
Si zober ze mas linuxovy server kde mas php pustene v default konfiguracii. Nebolkuje funkcie, nema safe mode... Mas skoro vyhrate.
a) najst zranitelnost cez ktoru sa dostanes k php eval(); na lamerskom serveri
b) pustis si system command na styl /usr/bin/nc -l -p10000 -vvv -e /bin/sh
Pravdaze treba dufat ze nemaju aktivny firewall na inbound traffic, ale aj kebyze ano, zozenies si dakde VPS zadarmo (bezne na 24h) aj s verejnou IP na TEST ;) a pripojis sa reverzne na svoju IP... Cize na svojej masine nechas nc v listen a pripojis sa s nc na serveri ktory prave davas dole.
c) Mas bash... plne funkcny... :) Ale si neprivilegovany uzivatel typu www-data
uname -a... pozriet aky cron bezi ake ine programy bezia a na cvedetail treba hladat zranictelnosti idealne aj s verejnym exploitom...
d) skomilujes explot... dakam zavesis... wget :) Pripadne ak mam pozit ze admin je tazky flakac tak vascinou komplujem expolity priamo na jeho serveri ak ma toolsy... setri to cas.
e) po chvili snazenia sa mas root shell... ;)
Vasinou mavaju flakaci kopec systemovych userov... Staci par zmenit aby mali /bin/sh a dam ti do home foldrov authorized keys... Myslim si ze heslo v shadow je via do oci bijuce.
Pripadne si rovo vytvoris nejakeho systemovo znejuceho usera s uid 0 gid 0... Ak je admin flakac, nic si nevsime.
f) je dobre si urobit par suid binarok... S oblubou si skopirujem bash a nastavim mu suid. Potom ho staci volat /cest/k/suid-bash -p a mas efektivne root prava.
Dalsie kroky su uz potom na utocnikovi... Ale zaklad je nahradit binarky ssh alebo shellu aby logovali... Ak mas stastie, mas po case celu siet.
Este odporucanie na zaver... Pouzivaj torify :)
-
Já myslím, že by se minimálně museli zeptat na heslo, ať už verbálně, nebo nonverbálně :-)
pokud maji fyzicky pristup k pocitaci tak se ptat nemusi
-
Já myslím, že by se minimálně museli zeptat na heslo, ať už verbálně, nebo nonverbálně :-)
pokud maji fyzicky pristup k pocitaci tak se ptat nemusi
se zašifrovaným diskem?
-
Ked je tvoj PC za NATom, tak na nom tazko niekto nieco spravi.
Nevis o cem mluvis. Se zbytkem tvyho prispevku asi taky nema cenu ztracet cas
-
NAT nie je firewall. A System za NATom nie je chraneny.
Na temu NAT traversal sa tu toho uz pisalo dost.
-
DgBd - ale prece jenom, ktery blbec spousti pdf s pravy roota :)
Nikdo. Ale
- dost škody se dá napáchat i pod běžným uživatelem
- na roota se dostane při nejbližším su (případně pokud ti - jako teď mně - běží terminál, kde jsi přihlášen jako root)
-
…
soom.cz? Go deeper ;-).