Eine MS-Office Hintertür mit Merlin

Die in Windows 10 integrierte Sicherheitssoftware Defender kann in vielen Tests sehr gute Ergebnisse vorweisen. Darum braucht sich diese kostenlose Sicherheitslösung vor der Konkurrenz nicht mehr zu verstecken. Die Schutzwirkung kann durchaus mit den Produkten von F-Secure, Kaspersky, Bitdefender, Symantec oder Trend Micro gleichgesetzt werden. Auch ich kann Windows Defender meine Empfehlung aussprechen und setze auf meinen produktiven Windows-Geräten keine zusätzliche kommerzielle Virenschutzsoftware mehr ein.

Es hat ein wenig gedauert, bis Microsoft diesen Entwicklungsstand erreicht hat. In Zukunft müssen sich die Dritthersteller sputen, wenn sie Ihre Produkte noch gewinnbringend an den Mann/Frau bringen wollen. Aus meiner Sicht können Windows 10 Nutzer schon heute mit gutem Gewissen ausschließlich auf den Windows 10 Defender setzen.

Was für Windows 10 Nutzer eine gute Nachricht ist, bereitet Sicherheitsforschern und Penetrationstestern zunehmend Kopfzerbrechen. Sie müssen sich ständig neue Techniken ausdenken, um den Virenschutz von Windows 10 zu umgehen. So hatten sie z.B. noch vor gut einem Jahr mit den Post-Exploitation-Frameworks Veil-Evasion oder Empire die Möglichkeit, Payloads zu erzeugen, die vom Windows Defender nicht erkannt wurden. Auch die diversen Powershell-Payloads werden nun zunehmend enttarnt.

Penetartionstester setzen zunehmend auf eigene Tools bzw. führen neue Techniken ein, um ihre Arbeit erledigen zu können. Ich habe in den zwei vorangegangenen Beiträgen die Post-Exploitation Plattform Merlin vorgestellt. Im ersten Teil ging es vorrangig um die Installation der Software und die Erstellung der Server und Agenten. Im zweiten Teil habe ich gezeigt, wie Sie in Sessions mit den Agenten interagieren und die bereits vorhandenen Module aufrufen können.

In diesem Beitrag zeige ich, wie Sie eine Hintertür in MS-Powerpoint einrichten und eine Session zum Merlin-Server erzeugen. Auch wenn diese Hintertür derzeit für den Windows Defender unsichtbar ist, so wird es wohl nur eine Frage der Zeit sein, bis auch hier eine passende Signatur erstellt wird. Das ewige Katz-und-Maus-Spiel zwischen den Entwicklern von Sicherheitslösungen und den Sicherheitsforschern bzw. Angreifern bleibt somit erhalten.

WeiterlesenEine MS-Office Hintertür mit Merlin

Merlin – Post Exploitation über HTTP/2 (Teil2)

Im ersten Teil habe ich gezeigt, wie Sie Merlin installieren und die derzeit verfügbaren Agenten kompilieren bzw. einsetzen können. In diese zweiten Teil werden Sie weitere Agenten erstellen und sie an Ihre Penetration Testing Umgebung anpassen. Darüberhinaus werden wir Sessions erzeugen und die derzeit vorhandenen Module auflisten.

DLL-Agenten erstellen

Im vorangegangenen Beitrag hatten wir bereits im dritten Schritt eine DLL-Agenten erstellt in einem zufällig generierten Verzeichnis unter data/temp/v0.6.0/ abgespeichert. Um diese DLL aber in Ihrer Umgebung nutzen zu können, müssen Sie die vorhandene Datei main.go für Ihre Zwecke anpassen und sie noch einmal kompilieren. Wechseln Sie dazu in das Verzeichnis cmd/merlinagentdll und ändern die folgende Zeile nach Ihren Wünschen ab. Die Variable „URL“ sollte die IP-Adresse oder den Domainnamen ihres Merlin-Servers und den dazugehörigen Port enthalten.

WeiterlesenMerlin – Post Exploitation über HTTP/2 (Teil2)

Eskalierung der Rechte auf Windows-PCs

Im diesem letzten Beitrag für das Jahr 2017 möchte ich nochmal untersuchen, ob eine Rechteeskalierung in den aktuellen Windows Betriebssystemen mittels der bekannten Penetration Testing Frameworks möglich ist. Gleichzeitig möchte ich prüfen, welchen Schutz Virenschutzprogramme gegen die einschlägigen Techniken bieten. Als „Versuchsobjekte“ habe ich Windows 10 mit dem integrierten Virenschutz „Windows Defender“ und Windows 7 mit „McAfee – Total Protection“ ausgewählt. Beide Betriebssysteme befinden sich auf den neusten Stand. Die Virenschutzdefinitionen habe ich vor dem Test aktualisiert.

WeiterlesenEskalierung der Rechte auf Windows-PCs

Backtrack5 – eine Revolution

Das Entwicklungsteam hat die Sicherheitsdistribution BackTrack am 10.05.2011 in der Version 5  mit Namen „Revolution“ veröffentlicht.  Als erstes fällt die optisch aufgepeppte Oberfläche ins Auge. Aber auch „unter der Haube“ gibt es einige Neuerungen. Backtrack basiert in der aktuellen Version nun auf Ubuntu Lucid LTS mit Kernel 2.6.83.  Erstmals sind eine 64-bit-Version und eine ARM-Version vorhanden. Außerdem kann man zwischen einem  Gnome oder  KDE-Desktop wählen.  Eine VM-Ware Image (GNOME-32-bit) wird ebenfalls bereitgestellt.  Die Downloads werden über einen FTP-Server der RWTH Aachen abgewickelt.

Natürlich ist das  Metasploit-Framework (Version 3.7.0) integriert. Als Neuerung ist  die Nutzerumgebung Armitage bereits installiert. Auch der Vulnerability Scanner Nessus kann nach vorheriger Registrierung beim Hersteller sofort genutzt werden.

Einige Screenshots:

Weitere Screenshots und Hintergrundbilder zum Download finden sie hier.

Das macht Lust, die neue Version zu testen. Sicherlich sind noch einige Bugs zu finden. Aber auch hier ist die Nutzer-Community sehr kommunikativ und rege.

Es wird sicher eine Möglichkeit geben, die aktuelle Version während des Deutschen Back-Track-Days am 05. und 06. November 2011 zu nutzen. Bis dahin – viel Spaß beim Ausprobieren.

Hier das offizielle Video zum Release.

[youtube f3-RjOE-pfI]

Hakin9-Magazin 6/2011 mit Metasploit-Artikel

Pivoting und Port Forwarding (Mit dem Metasploit-Framework in Netzwerkstrukturen eindringen)

Ziel dieses Artikels  ist es, Ihnen Angriffsmethoden und Techniken unter Zuhilfenahme des Metasploit-Frameworks näher zu bringen und   in praktischer  Art und Weise das mögliche Zusammenspiel  der Metasploit-Module und externer  Programmen  aufzuzeigen.  An diesem Beispiel wird das mögliche Eindringen in tiefe  Netzwerkstrukturen aufgezeigt und das  praktische Vorgehen innerhalb einer Testumgebung erläutert.   Außerdem wird beleuchtet, wie man die diversen Skripte im Metasploit-Framework einsetzen kann, um zusätzliche Informationen über den Aufbau eines Netzwerkes und der verfügbaren Daten  zu erlangen.

Die Leser sollten den Aufbau und die Funktionsweise des Metasploit-Frameworks kennen und  in die Problematik der IT-Sicherheit in Computernetzwerken eingeführt sein. Praktische  Erfahrungen im Umgang mit Sicherheitslücken und Exploits sind  Voraussetzung dafür, die  dargestellten Verfahren  und Methoden nachvollziehen  zu können.

Hakin9-Magazin 06/2011

 

 

 

 

 

 

 

 

Hier können sie den Artikel im pdf-Format downloaden.

Pivoting und Port Forwarding

Penetration Testing mit Metasploit

Liebe Leser!
Wie Lance Spitzner, einer der Mitbegründer des Honeynet-Projektes, sagte: „How can we defend against an enemy, when we don’t even know who the enemy is?”
Ziel ist es, Ihnen das Metasploit-Framework in einer praktischen Art und Weise näher zubringen und das mögliche Zusammenspiel mit anderen Programmen aufzuzeigen. Das Buch soll die möglichen Methoden der Angreifer aufzeigen und Denkanstöße zur Abwehr der Angriffe liefern. Diese praktische Einführung soll als Grundlage für Ihre weitere Arbeit dienen.

WeiterlesenPenetration Testing mit Metasploit