セキュリティ境界線をクラック する最も弱いリンク: 人間 ヴィシェ ... - PacSec

セキュリティ 境 界 線 をクラック
する 最 も 弱 いリンク: 人 間
ヴィシェゴロデツェフ・マラット
PacSec 2011
東 京 、 日 本

自 己 紹 介
ロシアン 一 番 大 きいセキュリティ 企 業
今 まで 侵 入 テスター
10 月 から 楽 天 -CERT
修 士 課 程
CTF 選 手

背 景
● フラットDNSに 関 して 研 究
● ソーシャルエンジニアリング 侵 入 テストの 方 法 を
開 発
● "Smoked Chicken" ("IV" at DEFCON)でCTF
に 参 加

侵 入 テストのゴールとは?

対

適 当 なウェブサイトを 改 ざんして
見 せびらかすことじゃなくて、
貴 重 品 を 捕 ること。
一 部 の 人 はまだそれをしている

全 体 がセキュアなら、どうすればいい?

弱 っ
* 特 に 大 企 業 で

ソーシャル+テクニカル 侵 入 テストのステージ
偵 察
エクスプロイテーション
準 備
結 果 の 解 析

偵 察 : 企 業 のウェブサイトとサーチエンジン
● グーグルのdorks (Yandexの 方 がいい)
@example.com
mail example.com ← より 上 手 い 方 法
msf: auxiliary/gather/search_email_collector
● PDF、オフィスと 画 像 ファイルは
ユーザー 名 とか 有 用 な 情 報 が 含 まれる →
metagoofilを 使 って

偵 察 : SNS
SNSのユーザーに 攻 撃 は 駄 目
● 範 囲 外
● 違 法
しかし、 姓 名 を 集 めてもいい

LinkedIn

Metasploit 対 ウェブ
Msf::Exploit::Remote::HttpClientとWMAP 以 外 に
ウェブ 自 動 化 ツールはない
( 泣 )
msf 以 外 に 以 下 のツールがある
● w3af
● wXframework (まだ 使 えないみたい)
● 自 家 製 ツール

準 備 : 名 前 のパターンの 解 析
name.surname@victim.com
n.surname@victim.com
surname@victim.com
言 語 的 な 違 い:
ロシア 語 :シドロフ ( 男 ), シドロワ ( 女 )
ラトビア 語 : ジェカブソンス( 男 ), ジェカブソネ ( 女 )

準 備 : メールサーバの 機 能
Sender Validation ― ユーザーがあるべき
● Greylisting ー 二 回 送 信
● 同 名 ドメインからのメール ー 詐 欺
● RCPT TO ブルートフォース 攻 撃
RCPT TO:
550 User unknown
RCPT TO:
250 Ok

Metasploit 対 SMTP
msf: auxiliary/scanner/smtp/smtp_enum
● 期 待 に 答 えない(EXPNチェックで 失 敗 する)
● パターン 変 化 が 対 応 していない
● 複 数 のMXレコードが 対 応 していない

準 備 : ドメイン 名 の 登 録
● 他 のTLDとccTLDを 全 部 を 調 べる
● .tkは 一 番 使 いやすくて 無 料
● example.co.jp なら example.jp は 最 高

準 備 : リスナとペイロードの 設 定
1) リクエストを 集 め、 保 存 するDNSサーバーを 立 ち
上 げる
2) 各 ペイロードは 一 意 のユーザーidを 含 む
(それぞれのバイナリにプリコンパイルしてもいい)
3) 実 行 者 のメールアドレスをプロジェクトidとユー
ザーidに 割 り 当 てる

準 備 : ウェブサイトと 文 書 の 偽 造
● SETを 使 ってウェブサイトをコピーして、 偽 のドメ
インに 入 れる(または 対 象 のサイトをハッキング
する)
● Javaの 脆 弱 性 を 使 って、コードを 入 れられる
(CVE-2011-3521 ← 新 )
● PDFの 脆 弱 性 も 使 える
● アーカイブし、そのままで 送 ってもいい

エクスプロイト
宛 先 : hr@company.com
件 名 : 【 重 要 】 給 料 計 算 の 手 続 き 変 更
例 株 式 会 社 の 皆 様 へ
昨 日 、 新 しい 給 料 計 算 方 法 についての 会 議 を 行 いました。
そこでこのメールに 添 付 されている 最 終 的 なプロトコルの 全 従 業 員 に 通 知 することが
決 定 されました。
以 上 、 宜 しくお 願 い 致 します。
山 田 太 郎
人 事 部
例 株 式 会 社
03 123-4567

エクスプロイト: 口 実 のシナリオ
● 給 料 の 変 更
● 健 康 保 険
● 無 料 でお 昼 を 食 べれるようになった...
● セキュリティアップデート 等

エクスプロイト

エクスプロイト

エクスプロイト

エクスプロイト: ペイロード
● スクリーンショット、ipconfigの 設 定 とユーザー 名
を 取 得 する
● ウェブカメラから 撮 影 できる
● アンチウィルスで 検 出 されない
(ウィルスじゃないから)
● ネットワークに 直 接 に 接 続 していない

エクスプロイト: DNS 上 の 双 方 向 通 信
アンチウィルスを 騙 す 方 が 難 しい (ソケットライブラ
リは 必 要 )
● IPv6 DNSを 使 う (TXTフィールド 以 外 )
● ソケットを 開 かないように
● 小 さいコード
● Metasploit 対 応

トロイの 木 馬 のツールキットの 例
@asintsovさんに 書 いて 頂 き

結 果 の 解 析
レポートに 含 まれている 点
● 危 害 を 受 けたユーザー 名 のリスト
● 侵 入 されたサブネットのリスト
● 情 報 が 漏 洩 したDNSサーバーのリスト
● スクリーンショット 等
対 象 の 貴 重 な 財 産 に 繋 がれているサブネットへの
攻 撃 が 成 功 であれば → このユーザーの 権 限 で 社
内 のネットワークから 侵 入 テストをもう 一 回 やるべき

結 果 の 解 析 : 対 策
● ネットワークを 分 割 する
● DNSとICMPは 社 外 に 通 れないようにする
「 勉 強 、 勉 強 、 勉 強 !」ウラジーミル・レーニン

maratto.blogspot.com ( 英 ) @touzoku ( 露 )