NetRipper или "Всё новое — это хорошо забытое старое"
@Dark_help
Сегодня рассмотрим инструмент для постэксплуатации - NetRipper.
Данный инструмент использует не совсем традиционный подход к извлечению информации, привычные всем сниффы таскают пароли и хеши из сетевого трафика, NetRipper же использует API хуки и обращается к функциям доступным даже для обычного низкопривелегированного юзверя, что зачастую может помочь собрать данные для продвижения пентеста. Особо необходимо отметить что NetRipper захватывает трафик до шифрования и после - что помогает анализировать в процессе пентеста.
Сама тулзовина использует такие прекрасные вещи как -
1) Reflective DLL Injection от уважаемого Stephen Fewer (stephenfewer/ReflectiveDLLInjection)
2) И конечно основной метод MinHook от не менее уважаемого Tsuda Kageyu (TsudaKageyu/minhook)
Как работает API HOOK . (если честно даже не вижу смысла делать пояснение на картинке и так все понятно)
Стоит заметить, что этот инструмент впервые был продемонстрирован на Defcon 23, в Вегасе. Какая древность скажите вы. Но не тут то было, проектик то обновлялся.
Так как речь идет о пост-эксплуатации, то нужно кратко рассмотреть варианты доставки NetRipper’a.
Вариантов как всегда множество — можно использовать его в рамках уже имеющейся метасплойт сессии, или доставить в качестве отдельного пейлоада с помощью социальной инженерии, тут конечно выбор за вами.
В папках x86/x64 - уже можно найти собранные exeшники.
Powershell
Так же NetRipper написан и на Powershell, но к сожалению не обновлялся и отсутствует поддержка x64 (в самом ps1 скрипте.) Если всё же у вас появилось желание протестировать, вы сразу столкнетесь с ошибкой:
Грамотному человеку, сразу доступно что не возможно использовать $index: переменную в подобном виде. Ну а для человека не сведущего поясняю иди -> в 111 строчку и поставь пробел после $index
Код:
Import-Module Netripper.ps1
Invoke-NetRipper -LogLocation C:/Temp/ -ProcessName ВашеИмяПроцесса -Verbose -AllData
Или укажите -ProcessID
-------------------------------------------------------------------------------
Думаю что с этим разобрались. Поехали дальше
Metasploit
Ты, мой дорогой читатель, естественно уже запасся сессией meterpreter, и уже потираешь лапки в предвкушении. Но давай подгрузим все таки модуль.
Для типичной установки меты в Kali (Кто ставил себе мету сам, ему и без моих пояснений понятно что куда пихать)
Код:
cd NetRipper
mkdir /usr/share/metasploit-framework/modules/post/windows/gather/netripper
cp Metasploit/netripper.rb /usr/share/metasploit-framework/modules/post/windows/gather/netripper/netripper.rb
cp x86/DLL.x86.dll /usr/share/metasploit-framework/modules/post/windows/gather/netripper/DLL.x86.dll
cp x64/DLL.x64.dll /usr/share/metasploit-framework/modules/post/windows/gather/netripper/DLL.x64.dll
На картинке видно, что я использовал типовой multi-web_delivery для получения сессии. Думаю что комментарии к картинке не нужны.
DATAPATH TEMP для нас соответственно будет C:/Users/User/AppData/Local/Temp/NetRipper
Как видим в логах есть трафф до крипты и после.
NetRipper прекрасно справился с захватом логина и пароля для ok.ru или facebook.com (маленький камень полетел ну сами знаете в чей огород)
Но мы и на этом не ограничимся и протестируем с putty
А вот и наша магия
-------------------------------------------------------------------------------
Пара слов о плагинах
Плагины
- PlainText - позволяет записывать только текстовые данные
- DataLimit - сохранение только первых байтов запросов и ответов
- StringFinder - поиск определенной строки в сетевом трафике
-------------------------------------------------------------------------------
Пара слов за возможности
Протестированные приложения
NetRipper должен иметь возможность фиксировать сетевой трафик: Putty, WinSCP, SQL Server Management Studio, Lync (Skype для бизнеса), Microsoft Outlook, Google Chrome, Mozilla Firefox.
Cписок не ограничивается этими приложениями, но для других инструментов может потребоваться специальная поддержка.
Хотя протестировав большое число клиент-серверных приложений могу сказать, что работает очень многое.
-------------------------------------------------------------------------------
Вся дополнительная информация и подробности работы указаны в pdf приложении с dc на гите.
Ну и в завершении:
Вся информация предоставлена в ознакомительных целях. Автор статьи предупреждает об ответственности за использовании материалов в неправомерных целях.