X-Tools # 196. Софт для злому і аналізу безпеки

1. Зміст статті UAC - не проблема
2. Фаззі media на Android
3. Network Attack Tool
4. PyPhisher
5. Symboliclink Testing Tools
6. Пишемо shellcode по-дорослому
7. Хакан тачку

Зміст статті

UAC - не проблема

Автор: hfiref0x
URL: https://github.com/hfiref0x/UACME
Система: Windows

Ті, хто стикається з завданням компрометації Windows-системи, неодмінно (звичайно, якщо користувач його не вимкнув) зустрічають на своєму шляху UAC (User Account Control). За великим рахунком це не є такою гігантською проблема. Але особливих інструментів в даній темі не було до цього моменту.

UACMe - інструмент, націлений на обхід UAC в системі. Поширюється у вигляді вихідних кодів. Для роботи з ним досить запустити його з командного рядка і вибрати один з варіантів обходу в якості ключа програми.

Підтримувані варіанти обходу UAC:

1. Sysprep-метод Лео Девідсона (Leo Davidson), працює тільки на Windows 7 і Windows 8, використовувався в безлічі шкідливий.
2. Змінений sysprep-метод Лео Девідсона, працює тільки для Windows 8.1.9600.
3. Метод Лео Девідсона, який використовується розробниками WinNT / Pitou developers, працює з Windows 7 до 10.0.10049.
4. Application Compatibility Shim RedirectEXE метод, з WinNT / Gootkit. Працює з Windows 7 до 8.1.9600.
5. ISecurityEditor WinNT / Simda метод, використовується для відключення UAC, працює з Windows 7 до Windows 10.0.10049.
6. Wusa-метод, який використовується Win32 / Carberp, використовується при роботі з Windows 8 / 8.1.
7. Wusa-метод, використовується з Windows 7 до 10.0.10049.
8. Трохи змінений метод Лео Девідсона, який використовується в Win32 / Tilon, працює тільки в Windows 7.
9. Гібридний метод, комбінація WinNT / Simda і Win32 / Carberp + AVrf, працює з Windows 7 до 10.0.10049.

Природно, кожен метод має ще деякі умови і обмеження (не працює з wow64 або взагалі не працює для 64-бітної ОС). Інструмент перевірений на наступних конфігураціях системи:

• x86-32 / x64 Windows 7/8 / 8.1 / 10;
• з-під адмінській аккаунта з настройками UAC за замовчуванням.

А в якості рекомендацій щодо захисту від цього всього можна порадити:

• встановити UAC на максимальний рівень і повне інформування про кожному вікні, що буде включатися;
• працювати з-під аккаунта без адміністративних привілеїв.

Також на цю тему радимо ознайомитися зі статтею Windows 7 UAC whitelist .

Фаззі media на Android

Автор: Razvan Ionescu
URL: https://github.com/fuzzing/MFFA
Система: Android

MFFA - Media Fuzzing Framework для Android.

Основна ідея даного проекту полягає в створенні пошкодженого, але структурно валидного медіафайлу, передача його з відповідним програмного компоненту в Android для його декодування і / або відтворення. І природно, моніторинг системи після того, як це відбувається для лову потенційних проблем, які можуть привести до експлуатабельним вразливостей.

Все це написано і автоматизовано на Python.

Якщо заглибитися у внутрішній пристрій ОС Android, то фактично медіафайли на Android-пристроях декодируются за допомогою Stagefright-інтерфейсу командного рядка.

залежності:

В процесі своєї роботи автори даного творіння знайшли сім вразливостей в Android. Але скільки ще не знайшли? 🙂

Для ближчого знайомства з інструментом радимо звернутися до презентації Fuzzing the Media Framework in Android .

Network Attack Tool

Автор: Bryan Alexander
URL: https://github.com/hatRiot/zarp
Система: Linux

Zarp - це інструмент для атаки мереж, заточений під атаки в локальних мережах. Це не просто набір експлойтів для конкретних вразливостей - інструмент використовує в своїй роботі архітектурні недоліки мереж, протоколів і так далі. Програма може працювати з декількома системами одночасно і все робити паралельно: отруювати трафік, сніфать, дампи важливу інформацію і просто атакувати безпосередньо. Різні сніфери включають автоматичний парсинг імен користувачів і паролів з різних протоколів, як HTTP, так і інших. Є також і грубі атаки, такі як DoS.

Інструмент повністю написаний на Python і для своєї роботи ще використовує відому бібліотеку Scapy. Також для виконання усіх функцій програми може знадобитися наявність таких інструментів: airmon-ng suite, tcpdump, libmproxy, paramiko, nfqueue-bindings. Програма може працювати як в режимі командного рядка, так і в інтерактивному режимі.

Основні групи можливостей:

• Poisoners;
• DoS Attacks;
• Sniffers;
• Scanners;
• Parameter;
• Services;
• Attacks;
• Sessions.

У поточній версії програми представлено 34 модуля.

PyPhisher

Автор: Sneakerhax
URL: https://github.com/sneakerhax/PyPhisher
Система: Windows / Linux

PyPhisher - це до неподобства простий Python-скрипт (67 рядків коду), що дозволяє проводити фішингові email-розсилки. Скрипт має commandline-інтерфейс і всього кілька параметрів, що дозволяє легко використовувати і масштабувати.

Даний інструмент був створений для задач фішингових розсилок при тестах на проникнення. Скрипт на вхід бере прегенеренний HTML-код (наприклад, повністю скопійована версія листи від магазину або платіжної системи) листи, замінює в ньому все посилання на необхідні і відправляє жертві. Раніше в подібних програмах доводилося в основному замінювати посилання вручну.

Параметри запуску:

• --server - ім'я сервера;
• --port - номер порту;
• --html - текст листа;
• --url_replace - замінена посилання;
• --subject - тема листа;
• --sender - відправник листа;
• --sendto - одержувач листа.

Приклад використання:

PyPhisher.py --server mail.server.com --port 25 --username user --password password --html phish.txt --url_replace phishlink.com --subject Read --sender [email protected] --sendto [email protected]

Symboliclink Testing Tools

Автор: James Forshaw
URL: https://github.com/google/symboliclink-testing-tools
Система: Windows

C першого погляду (для недосвідченого користувача / атакуючого) може здатися дивним / незрозумілим, що такого небезпечного може бути в символьних посиланнях в ОС Windows (з Linux все зрозуміло). Але дані файли приховують під собою багато чого цікавого. Отже, символьне посилання може дозволити атакуючому прочитати / записати / пошкодити файл, до якого в звичайній ситуації він не мав прав доступу.

У Windows найцікавіше зловживання символьними посиланнями менеджера об'єктів. Як приклад можеш подивитися опис IE EPM MOTWCreateFile Information
Disclosure або Adobe Flashbroker Incorrect Canonicalization Sandbox Escape.

Symboliclink Testing Tools - інструмент, який як раз дозволяє перевіряти коректність обробки символьних посилань і шукати такі уразливості. Сам автор інструменту частенько використовує такі уразливості для підвищення привілеїв і втечі з пісочниці IE.

У підсумку цей невеликий набір для тестування складається з наступних програм: BaitAndSwitch, CreateDosDeviceSymlink, CreateMountPoint, CreateNtfsSymlink, CreateObjectDirectory, CreateRegSymlink, DeleteMountPoint, DumpReparsePoint, NativeSymlink, SetOpLock.

Більш докладніше про цю тему ти можеш дізнатися з презентації «A Link to the Past: Abusing Symbolic Links on Windows» з конференції SyScan 2015.

Пишемо shellcode по-дорослому

Автор: Peter Hlavaty
URL: https://github.com/k33nteam/cc-shellcoding
Система: Windows

Написання шелл-коду - це невід'ємна частина створення експлойта. Так, хтось бере з сайтів типу exploit-db або програм типу Metasploit. Але не завжди там є те, що потрібно тобі. Ось в такій ситуації доводиться писати самому. Часом завдання стоять дуже складні, і писати шелл-код на асемблері - дуже довга і марудна завдання.

При цьому ймовірність отримати більш компактний код, ніж згенерує компілятор, дуже невелика. Так давай же писати шелл-код на високорівневої мовою і довіряти його оптимізацію компілятору :).

Проект cc-shellcoding якраз і дозволяє робити такі речі. особливості:

• змішування user mode і kernel mode коду;
• відсутність імпорту (не треба його обробляти вручну);
• наявність С ++ (частково std і boost);
• relocations (немає необхідності самому писати позиційно незалежний код);
• динамічний завантажувач.

Також фішка цього проекту в тому, що можна використовувати С ++ прямо в ядрі.
Вперше проект був представлений на конференції NoSuchCon 2014. Детальніше про виступ і інструменті можна дізнатися з презентації «Attack on the Core!» .

Хакан тачку

Автор: Eric Evenchick
URL: https://github.com/ericevenchick/canard
Система: Linux

CAN (англ. Controller Area Network - мережа контролерів) - стандарт промислового мережі, орієнтований передусім на об'єднання в мережу різних виконавчих пристроїв і датчиків. Режим передачі послідовний, широкомовний, пакетний. CAN в даний час широко поширений в промисловій автоматизації, технології «розумного будинку», автомобільної промисловості та багатьох інших областях. Стандарт для автомобільної автоматики.

CANard - це Python-фреймворк для роботи з Controller Area Network додатками. C його допомогою можна проводити різні DoS-атаки, ін'єкції, діагностику, фаззінга.

Для початку роботи з цим фреймворком радимо звернутися до таткові examples, де є багато всього корисного і цікавого.

Для більш зручної роботи можна ще придбати залізяку під назвою CANtact , Яка повністю підтримує CANard і працює по серійному порту.

Вперше проект був представлений на конференції Black Hat Asia 2015. Детальніше про виступ і інструменті можна дізнатися з презентації «Hopping On the CAN Bus: Automotive Security and the CANard Toolkit» .