14 Ocak 2018 Pazar

Tarayıcı Istismarı - Sayfa Klonlama




Önceki yazımdaki saldırının saldırgan perspektifinden nasıl gerçekleşebileceğine bir bakalım.

Setoolkit ile Sayfa Klonlama

Bilmiyorsanız, Setoolkit, birçok sosyal mühendislik saldırısı gerçekleştirmekte ve sızma testlerinde kullanmak üzere gerekli adımları hızlı bir şekilde gerçekleştirmekte kullanılan bir araç. 

Kali Linux üzerinde kurulu gelmekle birlikte, github üzerinden de indirilebilir https://github.com/trustedsec/social-engineer-toolkit

Yeni bir terminal açıp, terminale setoolkit yazarak çalıştırabiliriz.


Gerçekleştireceğimiz saldırı bir sosyal mühendislik saldırısı olduğu için 1. şıkkı seçiyoruz.



Web sayfası saldırı vektörleri için 2 diyoruz.




Gördüğümüz üzere setoolkit bize 8 tane seçenek sunuyor. Biz aynı sayfa üzerinden birden fazla saldırı gerçekleştireceğiz. Gerçek dünyada da birçok saldırgan bu şekilde saldırılar kullanmakta. Bu 
durumda 6. opsiyonu seçerek birden fazla saldırıyı aynı anda gerçekleştirebiliriz.

6. opsiyonu seçtiğimizd aşağıdaki görüntü ile karşılaşacağız. Bu seçceğimiz saldırıları gerçekleştirmek için kullanacağımız web sayfasını belirlemek için.



İlk yöntem ile SET tarafından oluşturulmuş çeşitli phishing sayfalarını kullanabilir,
İkinci yöntem ile var olan bir sayfayı klonlayabilir,
Üçüncü yöntem ile kendi oluşturduğumuz bir web sayfasını kullanabiliriz.

Biz var olan bir sayfayı klonlayacağımızdan, 2'yi seçelim.

Bu noktada SET bize NAT arkasında olup olmadığımızı soruyor. Saldırıyı bizimle aynı ağdaki birilerini hedef alarak gerçekleştireceksek no demeliyiz. İşleri basitleştirmek için böyle yapacağız.

Not: Saldırıyı internete açık bir sunucu üzerinden yapıyorsak SET'e sunucunun alan adını veya IP adresini tanımlamamız yeterli. Eğer saldırıyı NAT arkasından yapıyorsak  gerekli port forwarding kurallarını tanımlamalıyız. 

SET bize metasploit listener'ımızın hangi porttan dinlemesi gerektiğini ve klonlayacağımız sayfanın adresini soracak.

 

Gerkekli bilgileri tanımladıktan sonra, kullanacağımız saldırı türlerini seçebiliriz. Tüm saldırıları gerçekleştirmek için 6 yı seçebiliriz.


Biz 2 ve 3 üzerinden gideceğiz.

Senaryo:
Kurban, Setoolkit Multi-Attack Web Method ile oluşturulan bir phishing sayfasına yönlendirilir. Kurbanın buraya kullanıcı adı, parola, ikamet adresi,  tc kimlik numarası, kredi kartı bilgileri vb. girmesi amaçlanmıştır. Ancak kurban bunu yapmadığı takdirde (veya yapmasına rağmen üstüne bir de) bir tarayıcı exploiti çalıştırılarak, işletim sistemi ele geçirilir.

Seçimlerimizi tamamladıktan sonra 7 yi seçerek sayfayı oluşturalım.



Şimdi ise sıra, kullanmak istediğimiz istismar kodunu seçmekte. Bu noktada spesifik bir hedefimiz varsa, kullandığı tarayıcı versiyonuna hitap eden bir exploit seçmeliyiz. Hedefin kullandığı tarayıcının versiyonunu öğrenmek için bize ait zararsız bir sayfayı ziyaret etmesini sağlayabilir veya bir XSS açığından yararlanabiliriz.

 Birden fazla kişiyi hedef alan bir saldırı gerçekleştirmek istiyorsak en güncel ve en sık kullanılan hizmetlerden birini seçmek mantıklı olacaktır.

Sırada istismar başarılı olduğu takdirde çalıştıracağı payload'u seçmek var. İstersek 9 opsiyonu seçerek kendi oluşturduğumuz bir dosyayı hedef sistem üzerinde çalıştırabiliriz. Eğer bulunduğumuz ağda Egress Firewall kuralları varsa, egress buster ile birden fazla porttan bağlantı kurmayı deneyebilir veya DNS üzerinden bağlantı kurmayı deneyebiliriz. Ağda Deep Packet İnspection aktifse, reverse HTTPS payload'unu kullanabiliriz.



İşleri basitleştirmek için 1'i seçelim. SET bize tersine bağlantı için hangi portu kullanmak istdiğimizi soracak.



İstediğimiz bir portu seçebiliriz. SET arkada çeşitli metasploit komutları çalıştırarak biz hızlı bir şekilde exploit kodunu çalıştıracak ve arka plana atacak.


(Görseldeki IP adresi değişikliğini kaile almayınız.)


Artık SET' geri dönebilir sayfamızı host edebiliriz. Kurban sayfamızı ziyaret ettiğinde hem istismar kodu çalışacak ve işletim sistemini ele geçirmeye çalışacak, hem de kurban bilgilerini sayfaya girdiği takdirde aşağıdaki gibi bilgilerini elde edeceğiz



Fakat burada iki problem var

1) İstismar kodu çalışmazsa (yanlış bir adres çağırırsa, vb.) tarayıcı çökeceği için credential harvester metodu da başarısız olacaktır.

NOT: Her istismar kodu farklı çalıştığından, istismar kodu başarılı bir şekilde çalışsa bile tarayıcı kullanım dışı kalabilir

2) Kullanmak istediğimiz istismar kodu SET içinde tanımlı olmayabilir. (Bkz: kendimiz geliştirmiş olabiliriz. Oraya da geleceğiz.)


Öncelikle, 1. problemimizi elimine etmek adına istismar kodumuzu en son çare olarak çalıştırmalıyız. Diyelim SET üzerinde bulamadığımız bir istismar kodunu bulduk. Credential Harvester metodunu seçtik ve phishing sayfamızı oluşturduk. Aşağıdaki gibi, bağlanıldığı zaman bir exploit çalıştıracak zararlı bir web sayfası sunmaya başladık.


İstismar kodumuzun bulunduğu sayfayı başka bir sayfada sunarak SET tarafından oluşturulan index.html dosyasında bir takım değişiklikler yapabiliriz. Aşağıda 4. satıra sayfa açıldıktan 30 saniye sonra 192.168.1.24:8080:/oriYQLjCdRF sayfasına yönlendirme yapacak bir satır ekledim.



Bu fazlasıyla basitleştirilmiş tek satır kod, kurbanın bilgilerini phishing sayfamıza girmesi için 30 saniye tanıdıktan sonra, bir yönlendirme yaptı ve ziyaret ettiği ikinci sayfada istismar kodunu çalıştırdı.



İstismar kodunun başarıyla çalıştığını görebiliriz. Artık hedef bilgisayarı ele geçirmiş durumdayız.



on 14 Ocak by Berk Cem Göksel |   Edit