Eskalierung der Rechte auf Windows-PCs

Im diesem letzten Beitrag für das Jahr 2017 möchte ich nochmal untersuchen, ob eine Rechteeskalierung in den aktuellen Windows Betriebssystemen mittels der bekannten Penetration Testing Frameworks möglich ist. Gleichzeitig möchte ich prüfen, welchen Schutz Virenschutzprogramme gegen die einschlägigen Techniken bieten. Als „Versuchsobjekte“ habe ich Windows 10 mit dem integrierten Virenschutz „Windows Defender“ und Windows 7 mit „McAfee – Total Protection“ ausgewählt. Beide Betriebssysteme befinden sich auf den neusten Stand. Die Virenschutzdefinitionen habe ich vor dem Test aktualisiert.

WeiterlesenEskalierung der Rechte auf Windows-PCs

PenTesters Framework auf Ubuntu MATE installieren

Das PenTesters Framework (PTF) ist eine von David Kennedy  in der Programmiersprache Python geschriebene Anwendung, die vorrangig für Debian und Ubuntu-Systeme entwickelt wurde. Mit Hilfe dieses Werkzeuges lassen sich verschiedene Tools für Penetrationstests in Verzeichnissen zusammenfassen und aktualisieren.

Das so zusammengetragene Toolset vereinigt regelmäßig eingesetzte Werkzeuge (Module) in einer zentralen Umgebung, die sich für die eigene Nutzung erweitern lassen.

Für einen ersten Test werden wir PTF in einer virtuellen Umgebung auf einem Ubuntu-MATE-System (64 bit) installieren.

WeiterlesenPenTesters Framework auf Ubuntu MATE installieren

Veil-Evasion Auxiliary macro_converter

Makro-Viren sind eigentlich ein wenig in die Tage gekommen. Glaubt ihr das wirklich? Im Gegenteil – aktuell  sind wieder verstärkt Angriffe zu verzeichnen. Auch wenn Makros seit geraumer Zeit in Office standartmäßig deaktiviert sind, gibt es viele Nutzer, die diese Anweisungen bzw. Deklarationen weiter nutzen wollen. Viele haben den Standart geändert und Makros wieder aktiviert bzw. lassen sich eine Meldung anzeigen, wenn Makro in einem Office-Dokument enthalten sind. Diese können dann mit einem Mausklick aktiviert werden.

Natürlich erfinden die Angreifer einige Tricks, um die ahnungslosen Nutzer in die Irre zu führen. Hier ist also eine wenig Aufklärung gefragt.

Penetration Tester sind eine andere Gruppe, die diese Makros nutzen, um in die Netzwerke ihrer Kunden „einzubrechen“.  Aber hier geht man im Auftrag  und  strukturiert vor um die Sicherheitsarchitektur des Kunden zu testen. Dabei wendet man gezielt Social Engineering an und versucht den installierten Virenschutz zu umgehen.

Veil-Evasion ist eine Tool, dass gerade bei der Überwindung des Virenschutzes helfen soll und dazu verschiedene  Verschleierungstechniken anwendet. Im November V-Day 2015 wurde  ein Hilfsmittel (Auxiliar) hinzugefügt, mit dem  sich relativ einfach Makros zu diesem Zweck erstellen lassen. Ziel ist es, durch Nutzung des Makros in einem Office Dokument eine (reverse) Netzwerkverbindung vom Opfer-PC zum Angreifer zu errichten und damit vom Virenschutz unbemerkt weitere Befehle auszuführen (Post-Exploitation).

WeiterlesenVeil-Evasion Auxiliary macro_converter

Eine Backdoor im Office Dokument – Fun mit Windows Powershell Teil 1

Windows Powershell ist, nicht erst seit kurzem,  ein interessantes Betätigungsfeld für Penetrationstester. Es ist also nicht verwunderlich, dass sich mehr und mehr Nutzer mit dem leistungsfähigen Tool befassen, um ihre Arbeit zu erleichtern und  Abläufe zu automatisieren.

Mit der  auf dem .NET-Framework basierenden Umgebung ist man in der Lage, Behle auf der Kommandozeile ausführen. Darüber hinaus lassen sich die Kommandos, wie aus Unix/Linux bereits bekannt, mit Pipes verknüpfen bzw. zu kurzen Skripten zusammenfassen.

Schon für die Betriebssysteme Windows XP, Windows Server 2003 und Windows Vista bestand die Möglichkeit,  diese Anwendung herunterzuladen und zu nutzen. Seit Windows 7 ist die Version 2.0 vorinstalliert.

Diese standardmäßige Verfügbarkeit macht Windows Powershell  auch für Angreifer interessant.  Für sie bestehen  auf den „Opfer-PC“ komplette Umgebungen, auf denen nur noch die eigenen Skripte gestartet werden müssen.  Virenschutzprogramme  sind  oftmals nicht in der Lage, diesen Programmcode als Schadsoftware zu entlarven.

Vielen  Administratoren ist nicht bewusst, welches Potenzial die Client-PC mit installiertem Windows Powershell besitzen und welche versteckten Gefahren in dieser Anwendung lauern.

Das bereits hier vorgestellte Veil-Framework nutzt Powershell-Skripte  um, in Zusammenarbeit mit dem Metasploit-Framework, Angriffe zu verschleiern bzw. Virenschutzprogramme zu umgehen.

In diesem Blog wird gezeigt, wie man Metasploit-Payload in Office Dokumente einbettet und so eine Backdoor zu einem Windows-System schaffen kann. Wir werden zunächst Payload mit Hilfe des Veil-Frameworks erstellen und diesen dann  in einem Excel-Dokument einbetten.  Hierzu machen wir uns die Makro-Funktionalität von Excel und Windows Powershell zu nutze.

WeiterlesenEine Backdoor im Office Dokument – Fun mit Windows Powershell Teil 1

Backdoor-Factory mit Veil-Evasion und Metasploit nutzen

Bereits im Buch „Penetration Testing mit Metasploit“ bin ich im Kapitel 5.9  auf das folgende Thema eingegangen. Hier wurde  versucht, in das Programm BgInfo.exe von Windows Sysinternals ein Trojanisches Pferd einzubetten. Im folgenden Beitrag möcht ich zeigen, dass sich auch auf diesem Gebiet einiges getan hat und das die Möglichkeiten zur Verschleierung solcher Angriffe immen noch unterschätz werden. Viele Anwender wiegen sich in Sicherheit und hoffen, dass solche Angriffe vom installierten Virenschutzprogramm bzw. der Fierwall erkannt und abgewehrt werden.

Die im Buch beschrieben Methode war recht umständlich und das so erzeugte Trojanische Pferd wurde auch von vielen Virenschutzprogrammen erkannt. Hier wird gezeigt, wie man die Tools Backdoor-Factory und Veil-Evasion nutzen kann, um die Arbeit eines Penetration Testers zu erleichten.

WeiterlesenBackdoor-Factory mit Veil-Evasion und Metasploit nutzen

Veil in Kali Linux mittels GitHub installieren

Das Veil-Framework besteht derzeit aus folgenden Projekten:

  • Veil-Catapult
  • Veil-Evasion
  • Veil-Pillage
  • Veil-PowerView

Die einzelnen Komponenten lassen sich nun vollständig in Kali Linux mittels GitHub integrieren. Das Herunterladen und die Installation der notwendigen Abhängigkeiten kann je nach verfügbarer Bandbreite etwas Zeit in Anspruch nehmen.

cd /usr/share/
git clone https://github.com/Veil-Framework/Veil
cd Veil
./update.sh
apt-get install winbind

Update: 04.02.2015

apt-get  install winbind
cd /usr/share/
git clone https://github.com/Veil-Framework/Veil
cd Veil
./Install.sh -c

Symantec Antivirus für Linux testen

In den ersten beiden Teilen habe ich gezeigt, wie man Symantec AntiVirus für Linux auf einem Ubuntu-Server installieren und aktualisieren kann.

Im dritten und letzten Teil wollen wir nun den Virenschutz auf dem Ubuntu-Server testen. Dazu erstellen wir uns drei Dateien, die „Trojanische Pferde“ enthalten.  Dabei werden zwei Dateien (trojan.pdf und trojan.bin) mit dem Metasploit-Framework und eine (trojan.exe) mittels des Veil-Frameworks angelegt.

Da der Virenschutz mit „Auto-Protect“ Funktion versehen ist, sollte im Idealfall keine Datei auf das Zielsystem gelangen und sofort eliminiert werden.

WeiterlesenSymantec Antivirus für Linux testen

Payload ausliefern mit Veil und Catapult

Nachdem Christopher Truncer und Will Schroeder das Veil-Framework auf der ShmooCon 2014 präsentiert haben, möchte ich in dem heutigen Beitrag Veil-Catapult vorstellen. Es handelt sich hierbei um ein Framework, das die mit Veil erstellten Payloads an Zielsysteme ausliefert.  Dabei können Zielsysteme mit einzelnen IP-Adressen festgelegt aber auch in Listen zusammengefasst werden.

Zur Demonstration benutze ich ein Testnetzwerk auf der Grundlage von VirtualBox. Dabei kommt  die im Buch (Kapitel 2) beschriebene virtuelle Umgebung zum Einsatz.

Das Ziel ist eine Windows Netzwerk mit drei Windows XP Clients (192.168.222.73-75).  Als Virenschutz ist Symantec Endpoint Protection mit den aktuellen Virensignaturen installiert. Dabei sind einzelne Clients auch mit dem Netzwerkbedrohungsschutz ausgestattet.

WeiterlesenPayload ausliefern mit Veil und Catapult

Veil Präsentation während der ShmooCon 2014

Christopher Truncer und Will Schroeder hielten diesen interessanten Vortrag während der ShmooCon 2014 in Washington, DC.  Sie präsentierten das Veil-Framework und das neue Payload Delivery Tool „Veil-Catapult“. Der Vortrag beinhaltete zwei Live-Demos.

[youtube AKml11-XfTA 548 365]