Tweet
Tác giả:
Lê Đình Tiến Lâm
VI. KỸ THUẬT LIỆT KÊ NetBIOS:Lê Đình Tiến Lâm
- NBTscan là chương trình dùng để quét những IP mạng cho thông tin về tên NetBIOS.
Nó trả lời cho chúng ta những địa chỉ IP, tên NetBIOS, những người dùng đang dăng nhập & địa chỉ MAC.
- Việc đầu tiên của người tấn công từ ca cố gắng truy cập vào mạng Windows 2000 để thu thập những máy tính đang kết nối.
1. net view/domain
2. nbtstat –A <địa chỉ IP>
Ghi chú:2. nbtstat –A <địa chỉ IP>
- Bước đầu tiên hướng tới việc kiệt kê những máy Windows sẽ trở nên thuận tiện cho NetBIOS API. NetBIOS là chuẩn của Networks Basic Input Output System (hệ thống nhập xuất mạng cơ bản). nó được phát triển bởi IBM & Systek như là một chương trình ứng dụng mạng (Application Program Interface)- phần mềm cho các máy trạm truy cập đến tài nguyên mạng LAN.
- Chúng ta có thể nhìn thấy việc thiết lập kỹ thuận Null Session sử dụng NET.exe để kết nối tới IPC$ của máy từ xa. Chúng ta sẽ nhìn thấy được những công cụ quét các cổng mạng như nmap có thể những đang mở & nhận ra hệ thống HĐH.
- Nếu người tấn công ghi chú HĐH với cổng 139 đang mở, anh ấy sẽ kiểm tra đến tài nguyên mạng mà anh ấy có thể truy cập hoặc xem trên máy từ xa. Tuy nhiên để liệt kê đuợc tên NetBIOS. Anh ấy ào thể chọn đọc/chỉnh sửa tới hệ thống máy tình từ xa phụ thuộc vào khả năng của thư mục chia sẽ. cách khác anh ta có thể hướng tới DoS (Denial os Services).
- Một ví dụ gần đây được báo cáo vào tháng 8/2002 khi Microsoft đưa ra ý kiến người tấn công có thể tìm kiếm, khai thác những bộ nhớ đệm trong tài nguyên mạng bởi người cung cấp trên máy tính mà người nặc danh có thể truy cập bởi những yêu cầu SMB đã bị chỉnh sửa tới máy đích & phá hủy nó.
Phương pháp tấn công:
- Chúng ta có thể thấy người tấn công thu được kết quả từ những cổng mà anh ta quét được.
- Trên cổng 139 đang mở, đầu tiên người tấn công lệnh nbstat. Dòng lệnh:
nbtstat [-a RemoteName] [-A IP_address] [-c] [-n] [-R] [-r] [-S] [-s] [interval]
- Người tấn công đặc biệt quan tâm đến ID<03>. Chúng ta sẽ cố gắng kết nối tới máy tính từ xa sử dụng kỹ thuật Null Session. Câu lệnh: net use \\ip\ipc$””/u”” kết nối tới máy tính từ xa sử dụng người dùng rỗng và password trống như là một chứng nhận trống. IPC$ là một thư mục chia sẻ ẩn trên IP đặc biệt mà chúng ta sẽ cố gắng truy cập đến để liệt kê một vài tài nguyên chia sẻ. 2 hạn chế chính của nbstat là chúng sẽ bị ngăn ngừa tới HĐH trên 1 người dùng, nói đúng hơn là khó có thể liệt kê được. công cụ NBTScan được download ở địa chỉ bên dưới.
CÔNG CỤ TẤN CÔNG: NBTSCAN
- Một công cụ được sử dụng để thu thập kết quả là NBTScan được viết bởi Alla Bezroutchko. Donwload tại http://www.inetcat.org/software/nbtscan.html NBTScan là chương trình sử dụng để quét những IP mạng cho thông tin về tên NetBIOS. Nó gửi những câu hỏi tới những địa chỉ được cung cấp và liệt kê những htông tin truy cập được. Cho mỗi câu trả lời là danh sách địa chỉ IP, tên máy NetBIOS, người sử dụng đang đăng nhập và địa chỉ MAC. NBTScan sử dụng cổng 137 UDP để gửi nhửng câu hỏi. Nếu cp63ng này được đóng ở máy đích thì nó sẽ trả lời lại với ICMP “port unreachable” (cổng không thể hướng tới được). Xem hình bên dưới:
CÔNG CỤ TẤN CÔNG: DUMPSEC
- Dumpsec phát hiện những thư mục chia sẽ thông qua kỹ thuật Null Session đến máy đích
Công cụ:
- Dumpsec được biết đến như 1 phần mềm miễn phí từ Somarsoft & được download tại http://www.systemtools.com/somarsoft/ , dùng để kiểm tra bảo mật trong hệ thống Windows. Nó liệt kê những quyền (DACLs), và kiểm tra cấu hình cho tập tin hệ thống, registry, máy in & những thư mục chia sẻ rất ngắn gọn, định dạng theo kiểu danh sách sổ xuống (listbox). Vì thế những lỗ hổng trong hệ thống được hiện rõ ra bên ngoài. dumpsec luôn luôn liệt kê được người dùng, nhóm & thông tin thứ bản.
- Dumpsec lấy lợi thế từ NetBIOS API làm việc bởi việc thiết lập kỹ thuật Null Session tới máy đích như một Null User thông qua dòng lệnh [ net use \\server “”/user “” ]
- Chương trình ứng dụng mạng (API) tạo ra kỹ thuật liệt kê NET* được gọi giống như NetServerGetInfo (được hỗ trợ bởi thư viện Netapi32)
- Nó cho phép người dùng kết nối từ xa tới máy tính & liệt kê những quyền hạn, chỉnh sửa cấu hình và lấy lại quyền làm chủ trong tập tin hê thống của Win NT/2000 theo dạng văn bản chuyển đổi qua Microsoft Excel để biên tập, chỉnh sửa. người tấn công có thể chọn để liệt kê những hệ htống NTFS hoặc những quyền trong thư mục chia sẽ. nó thì luôn luôn liệt kê những quyền hạn cho máy in hay Registry.
- Điểm mạnh của Dumpsec là có khả năng liệt kê người dùng & nhóm người dùng trong Windows NT hay Active Domain. Đó chỉ là một vài chọn lựa & người tấn công có thể chọn để liệt kê trực tiếp đến hay xông thẳng vào nhóm thành viên cho mỗi người dùng. Nó tốt như sử dụng những tập lệnh đăng nhập (logon scipt), trạng thái tài khoản, có thể kích hoạt hoặc khóa tài khoản đó và thời gian đăng nhập lần cuối cùng trong Domain. Người dùng có thể lấy thông tin về Password như “Password last set time” và “Password Expires Time”. Nói tóm lại, dumpsec có khả năng liệt kê danh sách người dùng, nhóm & những quyền, luật đối với người dùng cũng như hệ thống Win NT.
(còn tiếp)