?? Внутренний пентест. Почему захватить сеть изнутри иногда бывает так просто?

Приветствую тебя user_name.

• Пентестеры и специалисты в области информационной безопасности ценят 2 вещи — время и экономящие его инструменты. Однако сегодня мы не будем говорить о крутом софте и эксплойтах, а затронем публичную информацию из сети. Да, именно публичную, этого будет достаточно. Так как существует ряд наиболее частых проблем #ИБ, благодаря которым, хакер может захватить корпоративную сеть организации.

1. Настройки антивируса — в компании установлен и раскатан на все хосты антивирус, изменения вносить нельзя (если не владеешь паролем администратора), а вот исключения..... Крайне часто на всех ПК в сети организации, исключения настроены единообразно. К примеру исключения на папку IIS, которой нет на большинстве ПК. Но что мешает нам создать данную папку и запустить оттуда малварь?

2. Забытые хосты — Таких систем можем быть огромное кол-во. Они не обновляются, не администрируются, возможно что на хосте используются пароли по умолчанию, нет никаких групповых политик и т.д. Такие системы максимально уязвимы, ведь использование устаревшего ПО — один из наиболее распространенных недостатков безопасности.

3. LLMNR и NBNS спуфинг — суть в том, что клиент рассылает мультикастные LLMNR - и широковещательные NBT-NS-запросы для разрешения имен хостов, если сделать это по DNS не удалось. На такие запросы может ответить любой пользователь сети. Если простыми словами, то это два включенных по умолчанию протокола, которые позволяют нам практически незаметно для пользователей в сети сети встать посередине и угнать хэши учетных записей домена.

Инструменты, которые позволяют провести атаку:
• Responder
• Inveigh
• Модули Metasploit: auxiliary/spoof/llmnr/llmnr_response, auxiliary/spoof/nbns/nbns_response,
auxiliary/server/capture/smb, auxiliary/server/capture/http_ntlm

4. Пароли в LSASS — Mimikatz (подробный гайд тут) лучшее средство поднятия привилегий. Эта чудо-тулза позволит нам достать пароли из оперативной памяти процесса lsass.exe, в открытом виде.

5. Настроенная политика по смене паролей — в большинстве компаний установлена политика смены паролей, которые меняются по заданному промежутку времени. Например каждые 120 дней. В 70% случаев, пароли в такой компании будут: May2022, June2022, July2022 или Vfq2022, fghtkm2022 и т.д.

?? Это одни из самых популярных проблем в #ИБ, которые встречаются в сетях различных компаний. Данный список не претендует на полноту. Сюда можно добавить еще очень много пунктов, которые будут актуальны для захвата всей сети компании. Твой S.E.