Chuyên đề ENUMERATION (tt)

[thanhsang_truong]

Tác giả
Lê Đình Tiến Lâm

KIỂM TRA TÀI KHOẢN NGƯỜI DÙNG

- 2 công cụ liệt kê mạnh trong Windows NT/2000 là :

1. sid2user
2. user2sid

- Chúng có thể download được tại : www.chem.msu.su/^rudnyi/NT/
- Những dòng lệnh trong công cụ để kiểm tra SIDs từ người dùng nhập vào thay cho versa

Công cụ :

- user2sid & sid2user là 2 tiện ích nhỏ cho Windows NT/2000 cho phép người dùng truy vấn file SAM và tìm kiếm ra những giá trị SID cho tên tài khoản và chứng nhận versa. Những tiện ích này được thực hiện trên những dòng lệnh tới phương thức Win32, tới LookupAccount Name & LookupAccount Zone. Nó xảy ra khi sử dụng những phương thức này để có được người dùng tới Everyone. Nó có nghĩa những người dùng bình thường có thể tìm kiếm những vấn đề đến tên Administrator được xây dựng trong Domain. Microsoft khuyến cáo đổi tên từ Administrator tới những thức khác.
- User2sid.exe có thể nhận SID từ SAM (Security Account Manager) từ những máy chung hay những máy truy cập từ xa. Sid2user có thể sử dụng để nhận tên tất cả những tài khoản người dùng và hơn thế nữa. Windows NT/2000 giữ những tài khoản người dùng và nhóm với chứng nhận bảo mật hay SIDs. Tất cả những SID chỉ có một được cấp bởi hệ thống & được đưa ra bởi những quyền như Domain. Ở đó có 5 quyền :

• SECURITY_NULL_SID_AUTHORITY (null user)
• SECURITY_WORLD_SID_AUTHORITY (everyone)
• SECURITY_LOCAL_SID_AUTHORITY (local user)
• SECURITY_CREATOR_SID_AUTHORITY (creator owner /group)
• SECURITY_NT_AUTHORITY

Ghi chú : Những SID mà người tấn công quan tâm đến :

• Administrator S-1-5-21-<........................>-500 và Guest S-1-5-21-<......................>-501
• Domain Admins S-1-5-21-<........................>-512
• Domain Users S-1-5-21-<........................>-513
• Domain Guest S-1-5-21-<........................>-514

Phương pháp tấn công :

- Chúng ta hãy nhìn sự tấn công

- Chúng ta sẽ cố gắng xây dựng mặc định tài khoản Administrator – chúng ta sẽ truy cập để thu thập nhiều thông tin như là Domain và số tài khoản dưới quyền.
- Chúng ta đã tìm kiếm những tài khoản Guest mặc định, chúng ta có thể cố gắng chuyển nó thành nhóm Administrator bời việc chuyển RID sử dụng Sid2user.
c:\>sid2user \\192.168.1.250 5 21 1202660629 1500820517 725345543 500
- Chúng sẽ chuyển tài khoản Guest tới tài khoản Administrator. Ba số cuối (ở đây là 500) là những ID đã được đăng ký. Một RID được đưa ra sẽ không bao giở sử dụng lần nữa. Những nhóm hay người dùng mà không được tạo bởi những mặc định sẽ có RID 1000 hay lớn hơn.
- Tất cả những lệnh Net use, user2sid, sid2user trên cổng 139 TCP – NetBIOS Session. Đó là lý do tại sao những tiện ích làm việc bất chấp có ACLs trong vùng mà LookupAccountName & LookupAccountZone không có ACL trên chúng.

CÔNG CỤ TẤN CÔNG : ENUM

- Được download tại http://razor.bindview.com
- Enum là tiện ích liệt kê thông tin cơ bản trên nền Win32
- Sử dụng Null Session, enum có thể liệt nhận được danh sách người sử dụng, danh sách máy tính, danh sách thư mục chia sẻ, nhóm và thành viên, thông tin password & LSA.
- Enum có khả năng tấn công cơ bản trên những tài khoản đặc biệt.

Công cụ :

- Enum là một công cụ được viết bởi Jordan Fitter, sử dụng Null Session, thông tin Windows NT/2000. Enum là một tiện ích liệt kê thông tin cơ bản trên nền Win32. Sử dụng Null Session, enum có thể liệt nhận được danh sách người sử dụng, danh sách máy tính, danh sách thư mục chia sẻ, nhóm và thành viên, thông tin password & LSA. Enum có khả năng tấn công cơ bản trên những tài khoản đặc biệt.
- Cách sử dụng :
enum <-UMNSPGLdc> <-u username> <-p password> <-f dictfile> <hostname|ip>

-U is get userlist
-M is get machine list
-N is get namelist dump (different from -U| -M)
-S is get sharelist
-P is get password policy information
-G is get group and member list
-L is get LSA policy information
-D is dictionary crack, needs -u and -f
-d is be detailed, applies to -U and -S
-c is don't cancel sessions
-u is specify username to use (default"")
-p is specify password to use (default"")
-f is specify dictfile to use (wants -D)

(còn tiếp)

[abcd]

Cái này hình như quen quen gặp ở đâu đó rồi ta?