Mitternachtshacking

In den Security Kalender 2010 habe ich heute ein paar französische und finnische Termine nachgetragen und fehlende Daten ergänzt. Wer weitere Security Konferenzen aus dem europäischen Umland (EU+Schweiz+Island+Balkan) kennt, bitte eine kurze Notiz an mich. Entweder in die Kommentare oder gerne auch per E-Mail.

Mir ist aufgefallen, dass es immer mal wieder Exploits z.B. auf Securityfocus oder Milw0rm gibt, die als Metasploit Modul geschrieben sind. Sowohl alte Perl Module, z.B.

• WordPress <= 1.5.1.3 Remote Code Execution eXploit
• vBulletin <= 3.0.6 (Add Template Name in HTML Comments = Yes) command execution eXploit

aber auch viele neue in Ruby, z.B.

• DECT Base Station Scanner
• DECT Call Scanner
• Solaris ypupdated Command Execution
• FlipViewer FViewerLoading ActiveX Control Buffer Overflow

Nur scheint es weder ein zentrales Repository für die diversen Module zu geben, noch werden sie bei Metasploit aufgeführt. Oder sehe ich das falsch?

Kennt jemand ein Verzeichnis der diversen von dritten erstellen Metasploit Module? Wenn nicht, würde ich eines anlegen und pflegen, wenn mich auch ein paar andere mit Links zu Module versorgen würden.

Ich habe den Security Kalender 2009 mal auf den neuesten Stand gebracht. Die Troopers 2009 sowie die HAR in den Niederlanden sind nachgetragen, außerdem die Termine der IT-Underground sowie der IT-SA, die ja die verschiedene Systems ersetzt korrigiert.

Über Hinweise auf weitere Termine würde ich mich sehr freuen.

Mit Viren und Schadprogrammen kann man bekanntlich richtig viel Spaß haben.

Dazu gehört beispielsweise der Download gängiger Construction Kits bei VX Heavens, die man dann gegen ein nicht besonders geschütztes System laufen lassen kann. Spezielle aktuelle Schadprogramme lassen sich oft bei Offensive Computing herunterladen und natürlich gibt es auch noch den üblichen Schadprogramme-Spam. Zum ausprobieren und rumspielen bietet sich ein virtuelles System in VM-Ware an, da kann man am wenigsten kaputt machen.

Bei dieser Gelegenheit kam die Frage auf, was einen guten Virus auszeichnet und wir haben uns da ein paar Gedanken gemacht:

• E-Mail Viren müssen den Anwender neugierig machen
• Die richtige Ausbreitungsgeschwindigkeit entscheidet den Erfolg
• Vor dem Verbreiten die Viren unbedingt ausgiebig Testen
• Ein guter Virus wird von gängigen Virenscannern nicht erkannt
• Der Virus sollte leicht um neue Funktionen erweiterbar sein
• Der Virus sollte unter der GPL (oder ähnlich) lizenziert werden
• Der Virus sollte sich intelligent in Windows einklinken
• Der Virus sollte ein brauchbares Rootkit mitbringen
• Der Virus sollte dem Entwickler einen finanziellen Gewinn bringen
• Der Entwickler sollte den Namen des Virus festlegen können

Alles weitere in der Mitternachtshacking-Präsentation Spaß mit Viren (PDF, 960 KB)

Das BSI tut uns auch mal etwas Gutes, hier mit der BSI OSS Security Suite, aktuell in der Version 2.0.

Live Linux Hacking CD-ROMs wie die Back Track CD haben ein paar Nachteile. Der wichtigste ist vielleicht, dass in den meisten Unternehmen Hacking-CDs nicht sonderlich gerne gesehen werden. Auf diesen CDs sind oft eine Reihe von Exploits enthalten, der Inhalt generell ist nicht kontrollierbar und die Firmen haben (oft verständlicherweise) ein wenig Angst vor zu erwartenden Problemen. Ein weiterer Nachteil insbesondere der Back Track CD ist, dass die neuen sehr restriktiven Lizenzbedingungen von Nessus v3 es nicht mehr erlauben, Nessus auf der Back Track mit zu integrieren. Back Track hat konsequenterweise Nessus komplett entfernt. In der praktischen Arbeit hinterlässt das jedoch eine Lücke.

Die BSI Open Source Software Security Suite, kurz BOSS ist eine im Auftrag des BSI entwickelte Software, die Nessus (allerdings v2), Nmap und ein paar weitere nützliche Tools zur schnellen Prüfung der Sicherheit eines Unternehmens enthält. Und da die CD-ROM von der Webseite des BSI heruntergeladen werden kann und sogar mit einem BSI-Logo kommt, ist es interessanterweise für viele Unternehmen akzeptabel diese CD einzusetzen.

Aus diesem Grund haben wir vor einiger Zeit die Präsentation Mitternachtshacking BSI BOSS (PDF, 720 KB) zusammengestellt, die neben der Bedienung von Nessus und NmapFE auch ein paar Infos zum Portscannen an sich enthält. Sicher nicht die besten und detailliertesten Inhalte, aber besser als nichts.

Ein weiteres Thema der Mitternachtsreihe war WEP-Cracking. Darum folgt hier auch die Präsentation zum Mitternachtshacking WEP Un-Security (PDF; 1,0 MB). Die Angriffe wurden alle mit der BackTrack 2.0 CD-ROM durchgeführt, daher stammen auch die Screenshots in der Präsentation.

WEP, Wired Equivalent Privacy, ist die veraltete Verschlüsselungstechnik in Wireless LANs. Bereits kurz nach der Veröffentlichung wurden erste Schwächen in WEP aufgezeigt, die dazu führten, dass durch das Mitsniffen ausreichend vieler Pakete der statische Teil des Verschlüsselungskeys rekonstruiert werden kann. Während Anfangs noch mehrere Millionen Pakete und schwache Initialisierungsvektoren (IVs) notwendig waren, wurden die Angriffe im Laufe der Zeit verfeinert, so genügen inzwischen wenige hunderttausend Pakete und schwache IVs die von vielen Access Points gefiltert werden, sind gar nicht mehr notwendig.

Die Präsentation zeigt eine übliche Angriffsfolge. Dabei wird zuerst die SSID ermittelt, die von vielen Netzwerken nicht mehr in Broadcast-Frames übertragen wird. Anschließend wird, sofern nötig, die MAC-Adresse angepasst, um MAC-Filter zu umgehen. Danach findet eine Paketinjektion von ARP-Paketen statt. Dadurch werden innerhalb von wenigen Minuten die nötigen Pakete erzeugt, die zum Cracken des Keys notwendig sind. Das eigentliche Cracken des WEP-Keys erfolgt zum Abschluss, danach steht das WEP-geschützte WLAN offen.

Ein weiterer Nachtrag aus der Reihe Mitternachtshacking. Hier ist die Präsentation zum Mitternachtshacking Web-Applications (PDF, 400 KB). Die Präsentation geht nur ganz kurz auf Cross Site Scripting und SQL-Injection ein, die spannenden Sachen wurden dann im Praxisteil gemacht.

Als Webanwendungen zum Hacken haben wir die frei verfügbaren Foundstone Demoanwendungen HacmeBank und HacmeBookstore verwendet. Beide Anwendungen enthalten bewußt einprogrammierte Sicherheitslücken die typisch für reale Webanwendungen sind. Außerdem gibt es eine nette Anleitung, wie man mit den Lücken tatsächlich was anstellen kann und die Erklärung ist durchaus ganz brauchbar.

Cain & Abel gilt inzwischen als eines der mächtigsten Universaltools für Windows. Dies zeigt auch die Übersicht der Top 100 Network Security Tools, auf der Cain & Abel zur Zeit auf Platz 9 geführt wird und zur vorherigen Liste 23 Plätze aufgestiegen ist.

Cain & Abel selbst ist die Vereinigung einer Vielzahl unterschiedlicher Programme unter einer gemeinsamen grafischen Oberfläche, die auch unbedarften Benutzern einige sehr komplexe Hacking-Angriffe eröffnet. So sind Funktionen wie DNS-Spoofing und ARP-Spoofing für Man-in-the-Middle Angriffe sehr einfach bedienbar, der eingebaute on-the-fly Zertifikatsgenerator erlaubt auf einfachste Weise sogar Angriffe gegen verschlüsselte HTTPS-Verbindungen.

Mein Kollege Matthias hat im Rahmen der Mitternachtshacking-Vorträge eine Präsentation zu Cain & Abel (PDF; 1,1 MB) zusammengestellt, die kurz die diversen Möglichkeiten des Programms beschreibt. Die Präsentation gibt leider nur einen Bruchteil des Abends wieder, da fast alle Funktionen praktisch ausprobiert wurden und einigen Teilnehmern dabei die Augen geöffnet wurden, wie einfach viele Angriffe doch sind.

„Google ist das wichtigste Hacker-Tool!“ Diese Aussage hört man immer wieder, besonders wenn es um die Suche von Lücken in Webservern geht. Johnny Long hat auf seiner Webseite in der Google Hacking Database eine Vielzahl von sogenannten „Googledorks“ zusammengestellt. Damit sind Suchanfragen gemeint, mit denen man sensible Daten wie Passwörter, Vulnerabilities und anderes finden kann.

Wir haben dieses Thema im April 2006 aufgegriffen und einen Abend Mitternachtshacking zu typischen Sicherheitslücken auf Webanwendungen veranstaltet. Die Inhalte decken z.B. kostengünstig Shoppen in schlecht gemachten Webshops ab, Spamversand über E-Mail-Kontaktseiten von Firmen und natürlich, wie man all das möglichst einfach und bequem per Google finden kann.

Unsere eigene Präsentation (PDF, 1200 KB) und natürlich die Originalpräsentation von Johnny Long auf der Black Hat Europe Konferenz 2005 in Amsterdam sind sehr spannend anzusehen.

Portscanning, obwohl es dafür Tools wie Sand am Meer gibt, ist manchmal erheblich schwieriger als sich das gewöhnliche Script Kiddies so denken. Insbesondere die Interpretation der Ergebnisse verlangt zumindest ein grundsätzliches Verständnis der Kommunikationsprotokolle TCP (RFC 793) und UDP (RFC 768). Warum lässt sich ein offener UDP-Port nur selten von einem durch eine Firewall blockierten Port unterscheiden? Wie (und warum) kann man anhand eines TCP-XMAS-Scan ein Microsoft Windows Betriebssystem von einem Linux Kernel 2.6.x unterscheiden?

The Art of Portscanning (PDF, 680 KB) von März 2005 war der zweite Vortrag aus der Mitternachtshacking-Reihe.

Die verschiedenen Arten von Portscans wurden erläutert und an Testrechnern praktisch ausprobiert. Besonders spannend finde ich immer wieder die Advanced Tools, insbesondere Scanrand von Dan Kaminsky. Damit kann man innerhalb von wenigen Sekunden ein komplettes Class A Netzwerk scannen und Sender und Empfänger der Pakete sogar auf verschiedenen Rechnern betreiben. Die ganze Paketto Keiretsu Suite ist eigentlich einen genaueren Blick wert.