*Skenaarion labran käynnistyminen kestää hetken, joten voit käydä käynnistämässä sen sivun alalaidasta nyt ja lukea moduulin sillä aikaa.*

## Verkkoisäntien ja porttien alkukartoitus Nmapilla, RPC ja SMB

Aloita tutkimalla nmapilla verkko. Voit käyttää esimerkiksi seuraavia vipuja: 

- **-O**: Yritä tunnistaa käyttöjärjestelmä
- **-sS**: Käytä SYN-skannausta
- **-sV**: Yritä tunnistaa verkkopalvelut
- **10.0.0.0/24**: Yritysverkon IP-alue (osoitteet 10.0.0.0-10.0.0.255).

```
sudo nmap -O -sS -sV 10.0.0.0/24
```

![](sanity:image-ebad2b229c9c39ae33c38fdc5e1fc3a0876b3d85-1610x478-png)

Tee lisäksi kevyt UDP-skanni mutta ota siihen ajan säästämiseksi nyt vain portti 137. Oikeassa asiakascasessa varaisit aikaa, ottaisit mukavan asennon ja skannaisit kaikki portit.

```
sudo nmap -sU -sV -p137 10.0.0.0/24
```

![](sanity:image-1ff2f6552dd7a33ff4fd6cc7a4f97e0d67453401-1448x346-png)

---

## Muistiinpanot CherryTreellä

Kali Linux -työasemaasi on asennettu CherryTree niminen ohjelma. Voit käyttää sitä muistiinpanoihin skenaarion aikana. Avaa CherryTree, luo uusi node nimeltä "Enumerointi" ja sen sisälle uusi node nimeltä "Nmap" ja copy-pasteta nmapin tulokset terminaalista nodeen.

![](sanity:image-470fdfaad893a9d4617c3e8277b28c4d76289c07-1036x488-png)

![](sanity:image-6a92e43d6f3538812793093e38dcd60e62da553b-872x286-png)

![](sanity:image-7f8e57d5dfa09b8374822e28f92c7a7a7503d92a-1030x386-png)

![](sanity:image-7a3db6c46ea86270e0cc459d5c7d8d8d96e5c824-880x314-png)

![](sanity:image-e626945864d6076cd01a542d8ccd92cd76275d0a-1308x804-png)

---

## Nmap tulosten purkaminen

Tulokset paljastavat kaksi mielenkiintoista kohdetta, 10.0.0.2 (dc1.evilcorp.local) ja 10.0.0.3 (iis.evilcorp.local).

DC1 on selvästi toimialueohjain (domain controller) ja IIS1 on web-palvelin.

DC1-palvelimella on auki useita Windows-ympäristölle tyypillisiä portteja. Tässä skenaariossa oleellisia näistä ovat seuraavat: 

---

## 135/tcp, 593/tcp: epmapper

### MS-RPC

MSRPC (Microsoft Remote Procedure Call) on Microsoftin kehittämä protokolla, joka mahdollistaa eri tietokoneiden sovellusten välisen kommunikoinnin.

Esimerkiksi, Windows-palvelin voisi tarjota TCP portilla 49502 "etäproseduurin" (RPC) jonka nimi voisi olla vaikkapa "LaskeYhteen", jota voisi sitten käyttää yhdistämällä porttiin ja kutsumalla funktiota joka suoritetaan sitten kyseisellä palvelimella.

### Epmapper

RPC käyttää tyypillisesti tällaisia "dynaamisia" (vaihtelevia) portteja alueelta 49152-65535 etäproseduurien tarjoamiseen. Jotta palvelua käyttävä taho voisi tietää että milloin joku tietty palvelu löytyy mistäkin, tarvitaan tavallaan osoitehakemisto josta voidaan kysyä että "mistäköhän portista tämä LaskeYhteen palvelu mahtaa löytyä".

Ja juuri tämä palvelu on kyseessä porteilla 135 ja 593. Epmapper (MS-RPC EndPoint Mapper) on verkkopalvelu joka kuuntelee TCP porteilla 135 ja 593. Erona on että portti 593 tarjoaa protokollan HTTP:n yli. Protokolla on sama.

![](sanity:image-e744a3a4c0e8818e29c0f191fc73371467ea5228-1000x1000-png)

Eli epmapper toimii MSRPC-palvelujen resoluutorina. Tämä tarkoittaa, että kun sovellus haluaa muodostaa yhteyden MSRPC-palveluun, se lähettää RPC-endpoint-mapper-portille kyselyn. RPC-endpoint-mapper-portti vastaa sitten kyselyyn kertoen, mihin TCP-porttiin kyseinen MSRPC-palvelu on kytketty. 

#### impacket-rpcdump

Työasemaltasi löytyy työkalu "impacket-rpcdump" jolla voit kokeilla hakea epmapperilta Windows-palvelimen listaamat RPC-palvelut.

![](sanity:image-2a205604b7532def33b5d13c7b065489959caef5-972x574-png)

Jos katsot samalla Wiresharkilla, huomaat TCP-liikennettä porttiin 135 jonka Wireshark on tunnistanut DCE/RPC Endpoint Mapper liikenteeksi.

![](sanity:image-0d57ca957bcb7d33f589970ea3d4b9e0d43ecc45-1820x704-png)

Sekä vastauksen: 

![](sanity:image-04af8ffdd25140c77e66ff43db0987a4ed83099d-1380x508-png)

### RPC toimii myös SMB yli

RPC-palvelu ei aina löydy dynaamisesta TCP-portista. Palvelu saataa löytyä myös *nimetyn putken* (named pipe) takaa jonka kanssa voidaan kommunikoida SMB-protokollalla, jolloin taas käytettäisiin portteja 139 ja 445.

---

## 139/tcp, 445/tcp: SMB

SMB (Server Message Block) on laajalti Windows-ympäristöissä käytössä oleva protokolla jota käytetään pääasiallisesti kolmeen tarkoitukseen: 

- Tiedostojen jakamiseen
- Tulostinten jakamiseen
- Prosessien väliseen kommunikointiin (IPC, Inter Process Communication) käyttämällä ns. putkia (pipes).

SMB toimii suoraan TCP portin 445 yli.

SMB-protokolla on tavoitettavissa myös TCP portista 139 jolloin protokolla tarjoillaan NBT (NetBIOS over TCP/IP) avulla. NetBIOS on vanha protokolla joka on tarjolla SMB:tä varten lähinnä sitä varten jos verkossa on todella vanhoja laitteita kuten vaikkapa Windows XP-koneita. Se on kuitenkin oletuksena päällä silloin kun SMB:kin on.

---

## 137/udp, NetBIOS Name Service

NetBIOS-nimipalvelu on protokolla, jota käytetään tietokoneverkkojen nimien tunnistamiseen. Se on osa vanhempaa Windows-verkkoympäristöä, mutta edelleen oletuksena päällä uusissakin Windows-palvelimissa. NetBIOS-nimipalvelu mahdollistaa tietokoneiden tunnistamisen niiden NetBIOS-nimillä, jotka voivat olla enintään 15 merkkiä pitkiä.

#### nbtscan

NetBIOS-nimipalvelua voidaan myös hyödyntää Windows-verkkojen tutkimiseen. Työasemallasi on "nbtscan" -niminen työkalu joka lähettää NetBIOS -nimikyselyitä kaikkiin haluamiisi IP-osoitteisiin ja tulostaa vastaukset taulukossa.

![](sanity:image-4b9b6d9071f9171f9cdd5aa42c0a4407f9b21862-1304x276-png)

Taas jos katsotaan Wiresharkilla, voidaan nähdä UDP-liikennettä porttiin 137 jonka Wireshark tunnistaa oikein NetBIOS-nimipalvelun NBSTAT -kyselyiksi. NBSTAT tarkoittaa tavallaan että "esittele itsesi".

![](sanity:image-328f9c9aa4990a03233b255c1438afc309ac265e-2092x948-png)

![](sanity:image-36380a6eb54c2c3f60f99ee188ea0cb5b5e2ca74-2050x1388-png)

---

## 3389/tcp, RDP

TCP portilla 3389 on RDP (Remote Desktop) eli etätyöpöytäprotokolla. Yhdistämme tähän porttiin kurssin lopussa kun teemme kovennuksia.

---

## 80/tcp, HTTP

Portti 80 on tyypillisesti HTTP-palvelu, tässä tapauksessa nmap on tunnistanut IIS (Internet Information Services) web-palvelimen joka on Microsoftin HTTP-palvelin.

---

## Harjoitukset

@exercise 3a65be88170d

---

## Labra

@exercise af75afdbdd39


Tämä on skenaario, älä turhaan sulje sitä saman kurssialueen (Skenaario 1) sisällä ettet menetä edistymistäsi. Lisääthän aikaa tarvittaessa. Skenaariolla voi kestää jokunen minuutti käynnistyä, odotathan kärsivällisesti.

Evilcorp - Skenaario 1

Hyökkäyspinnan kartoittaminen (Enumerointi)

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Hyökkäyspinnan kartoittaminen (Enumerointi)

Hakkeroinnin oppiminen alkaa tästä