JIT SPRAY АНАЛИЗ TDSS - Xakep Online

¹ 6
РЕШЕНИЕ:
ЗАДАЧА:ОБОЙТИ ФАЙЕРВОЛ, ИСПОЛЬ-
ЗУЯ ICMP(PING)-ТОННЕЛЬ
default.asp). Большинство из них занимаются тем, что инкапсулируют (с
некоторыми изменениями, конечно) пакеты TCP в поле Data ICMP-сообщений.
По идее все просто, но в реализациях много хитростей. Например,
как упомянуто выше, TCP — надежный протокол, а ICMP — нет. В итоге
Схема работы ICMP-прокси (тоннеля)
Предположим, что мы пытаемся проникнуть в закрытую сеть и закрепиться
на каком-нибудь из тамошних хостов. Последних в ней много, но доступа
из внешней сети маловато: пару сервачков наружу, а ушастые юзеры
все сидят за NAT’ом (один внешний IP, через который все и ползают).
Таким образом, к ним с нашей стороны не подключиться. К тому же, доступ
наружу обрезан: предположим только HTTP/HTTPS, да и то через прокси и
к определенным сайтам. В общем-то, классическая ситуация для многих
организаций. Но, как часто это бывает, хотя TCP/UDP-соединения во внешнюю
сеть бдительные админчики фильтруют на файерволе, про такой
протокол, как ICMP забывают (или оставляют для каких-то технических
целей). Этим-то мы и можем воспользоваться :). Основная задача такова:
наполнить ICMP-протокол необходимым функционалом для удаленного
доступа к жертве (точнее ее к нам, если говорить о NAT’е). Напомню, ICMP
(англ. Internet Control Message Protocol, RFC 792, 950) — это, как понятно
из названия, межсетевой протокол управляющих сообщений. То есть
такой сервисный протокол, во многом используемый для сообщения об
ошибках в связи на сетевом (IP) и транспортном уровне(TCP/UDP) по модели
OSI. Я уверен, что ты юзал его не раз, так как он и является основой
такой вещи как ping. Да, когда ты пингуешь какую-нибудь машину, ты
отправляешь ей ICMP-пакет с типом 8, а назад получаешь ICMP-пакет с
типом 0.
Протокол простой: инкапсулируется в IP-пакет, а содержит в себе всего
4 поля. Поле «Type» и «Code» по 8 бит, контрольную сумму пакета — 16
бит, дополнительное поле для некоторых типов и кодов — 32 бита. Далее
поле Data — в общем-то, любые данные. Размер пакета может достигать
64 Кб. Потому мы можем переносить достаточно приличные объемы
информации за один запрос. Что для нас важно, ICMP — это ненадежный
протокол, то есть мы не получаем ответ о доставке нашего сообщения
(как, например, у TCP).
Теперь к практике.
Программок, которые наделяют ICMP, так сказать, возможностями передачи
данных, полным-полно. Это и ptunnel, и itun, и ishell, и даже старенькая
тулза от твоего любимого журнала — x-proxy (xakep.ru/post/16337/
XÀÊÅÐ 09 /140/ 10
корректность работы и производительность тулз невелика.
Лучшей программой, вроде как, является ptunnel(cs.uit.no/~daniels/
PingTunnel). Она все еще живет и развивается, к тому же есть версия под
Windows (под которой обычно сидят все юзеры). Но начну я с несколько
альтернативного решения. Имя ему — Ishell. По сути — это шелл, только
на основе ICMP. То есть у него нет заморочек с передачей данных. Все в
себе, так сказать, и взять можно на icmpshell.sourceforge.net.
Качаем исходники и make’им их.
У жертвы(192.168.0.1) запускаем сервер:
./ishd
А сами коннектимся:
./ish 192.168.0.1
Получаем шелл. Есть возможность настроить тип, идентификатор, размер
ICMP-пакетов. Но это, в общем, не особо нужно. Из плохого: для начала —
не работает под Win, а главное — требует коннекта от нас, то есть не дает
возможности обойти NAT. Хотя сие можно обойти, хорошенько доработав
исходнички и сделав backconnect.
Вернемся к классическому ptunnel (by Daniel Stoedle). В статьях про
него описывается в основном возможность «кражи» интернета,
если у тебя доступен только ICMP. Вешаем сервер («ICMP-прокси»)
где-нибудь в интернете, а сами из «закрытой» сети коннектимся к
нему по ICMP. Сервер же уже реально соединяется с нужным нам
ресурсом по TCP и передает копии «диалога». Как-то так :). Но мы
воспользуемся им по-другому: совместим реверсовый meterpreter из
Metasploit’а(MSF) с ICMP-туннелем. Описывать «установку» ptunnel
не буду, но замечу, что для Win требуются библиотеки WinPCAP
(winpcap.org/install/default.htm). Итак, представим, что IP жертвы
— 192.168.146.1, а наш — 192.168.146.128. Создаем реверсовый
meterpreter на себя самого на 5678 порт в виде exe-файла, который мы
045