פריצה בכח ל-Brute Force Wordpress

בלי כתוביותעם כתוביות

מילון מושגים:

WordPress - מערכת ניהול תוכן בקוד פתוח לבניית אתרים ובלוגים, מבוססת PHP ומסד נתונים.

NAT - מנגנון שמתרגם כתובות IP פרטיות לכתובת ציבורית אחת, כדי לאפשר למחשבים ברשת פנימית לגשת לאינטרנט.

UDP - פרוטוקול תקשורת מהיר ללא אישור קבלה, המתאים לשידורי וידאו, קול ומשחקים שבהם מהירות חשובה מאמינות.

FTP - פרוטוקול להעברת קבצים בין מחשבים ברשת, בין לקוח לשרת.

אתר אינטרנט - אוסף של דפים ומשאבים מקושרים המתארחים תחת כתובת אחת ומוגשים דרך דפדפן.

URL - הכתובת שמזהה משאב באינטרנט, למשל דף אתר, וכוללת פרוטוקול, שם מארח ונתיב.

PHP - שפת תכנות לצד השרת, נפוצה בבניית אתרים דינמיים ומערכות ניהול תוכן כמו WordPress.

root - משתמש העל במערכות Linux, בעל הרשאות מלאות לכל פעולה. גם הרמה העליונה בעץ של תיקיות או נתונים.

פריצה בכח ל-Brute Force Wordpress

בשיעור זה נפרוץ אל אתר WordPress בשיטת הברוטפורס, פריצה בכוח, נקבל שליטה בניהול האתר, ונפתח ממנו של הפוך אל המחשב שלנו עם משתמש מוגבל. זהו החלק הראשון של ההרצאה, והחלק השני, שבו נשתמש בסקריפפים אוטומטיים לאיתור בעיות הרשאות לצורך העלאת ההרשאות, יופיע בשיעור הבא.

נושאי הסיכום המוצגים בשיעור:

1. הכנת הקורבן: מורידים מאתר VulnHub מכונה וירטואלית פגועה בכוונה, בגודל של כשני ג'יגה וחצי, מייבאים אותה אל VMware בעזרת לחיצה כפולה על קובץ ההתקנה, קוראים לה בשם שמזכיר את נושא ההרצאה, מאשרים שהיא אינה תואמת במדויק לתקן ה OVF, ומעבירים אותה לרשת NAT כמו הקאלי שלנו כדי שתהיה ביניהם תקשורת.

2. גילוי וסריקה: מגלים את כתובת הקורבן בעזרת nmap במצב שמבצע פינג בלבד, מזהים כתובת חדשה שאינה מוכרת, וסורקים אותה במצב אגרסיבי על כל הפורטים עם פסק זמן קצר. הסריקה מתבצעת על TCP בלבד, כי ב TCP לחיצת היד משולשת מאפשרת להכריע בוודאות שפורט פתוח גם בלי לדבר בשפת הפרוטוקול שלו, ואילו ב UDP קשה להבחין בין פורט סגור לחבילה שנשלחה שלא כראוי.

3. התוצאות הראשונות: נמצאים שלושה פורטים פתוחים, FTP בפורט 21, SSH בפורט 22 ואתר אינטרנט בפורט 80. גלישה אל הכתובת מציגה עמוד ריק לחלוטין, ולכן סביר שקיימים באתר עמודים ותיקיות שאינם מקושרים מהעמוד הראשי.

4. ברוטפורס של תיקיות web: מריצים כלים שעוברים על רשימת מילים ומנסים כתובות URL אפשריות עם כל מילה, בין השאר nikto, dirb והכלי הגרפי dirbuster. רשימת המילים שבשימוש מכילה כ 4614 שמות, והסריקה חושפת בין השאר תיקייה בשם secret. מוסבר שקוד 200 משמעו קיים ונגיש, ו 403 משמעו קיים אך אסור לגשת.

5. וורדפרס בתוך התיקייה: בגלישה אל התיקייה שהתגלתה מתגלה אתר WordPress. שימו לב שכל הלינקים הפנימיים בנויים סביב שם vtsec במקום שם השרת, ולכן יש להוסיף את השם הזה אל קובץ ה hosts המקומי, שמחליף את ה DNS בהתאמות פרטיות, ואז הלינקים הפנימיים עובדים כראוי.

6. מניית משתמשים בעזרת WPScan: עמוד הניהול של וורדפרס דולף שמות משתמשים בהודעות השגיאה שלו, אך WPScan, הכלי שנבנה במיוחד עבור וורדפרס, מוציא את השמות בשיטת איתור אגרסיבית תוך שניות בודדות, ומגלה משתמש בשם admin בלבד באתר הזה.

7. מניית משתמשים בעזרת מטאספלויט: במקביל מדגימים את אותה פעולה במודול המנייה של וורדפרס ב msfconsole, שעובר על כל שמות קובץ ה wordlist, כ 1909 שמות, ומגלה את אותו משתמש admin. מוסבר שבמבחן ה OSCP מותר להשתמש במטאספלויט פעם אחת בלבד, ולכן חשוב להכיר גם כלים חיצוניים.

8. ברוטפורס של הסיסמה: אחרי שהשם admin התגלה, מריצים ברוטפורס של סיסמאות עבור המשתמש הזה. WPScan מקבל קובץ סיסמאות בן כ 1024 שורות ומסיים תוך כשבע שניות, ומתגלה שהסיסמה של המשתמש admin היא בעצמה admin. גם מודול המטאספלויט מציג את אותה תוצאה כשמגדירים לו לעצור ברגע ההצלחה.

9. כניסה לניהול האתר: מתחברים אל עמוד הניהול של הוורדפרס עם השם והסיסמה שנמצאו, והשליטה בניהול האתר היא בידינו.

10. של הפוך מתוך עורך התבניות: הפעם במקום להשתמש בסקריפפ מהאינטרנט כמו שנעשה בעבר דרך עמוד ה 404, משתמשים בשלים מוכנים שכבר מובנים בתוך הקאלי תחת תיקיית ה webshells, ובתוכה סקריפפ PHP הפוך מוכן. פותחים אותו בעזרת vi, עוברים למצב הכנסה, מזינים את הכתובת שלנו ואת הפורט שרצוי, שומרים ומעתיקים את תוכנו.

11. השתלת הסקריפפ בעורך: בתוך עורך הניהול של וורדפרס פותחים את קובץ ה PHP של הסרגל הצדדי, sidebar, מדביקים את הסקריפפ ההפוך במקום התוכן המקורי ושומרים את הקובץ אל הדיסק של השרת. העיקרון שאין חשיבות לאיזה קובץ PHP בוחרים, כל עוד הקוד שלנו מורץ על ידי השרת.

12. קבלת השליטה: מציבים מאזין בקאלי בפורט שהוגדר בסקריפפ, שמריץ פקודת whoami מיד כשמתקבל חיבור, וגולשים אל האתר. הסרגל הצדדי מורץ בכל עמוד, הסקריפפ מופעל, והשרת מתחבר אלינו חזרה עם המשתמש www-data. משדרגים את השל כדי שיציג נוחות את המשתמש, המכונה והתיקייה הנוכחית.

13. המצב הנוכחי וההמשך: בעזרת ls על תיקיית ה root מתברר שאין לנו הרשאות, כי אנו פועלים כמשתמש www-data מוגבל. השלב הבא הוא העלאת הרשאות, privilege escalation, והוא יתבצע בעזרת סקריפפים אוטומטיים שעוברים על הקבצים החשובים במערכת ומאתרים בעיות הרשאות שאפשר לנצל.

בשיעור זה גילינו את האתר הנסתר בעזרת ברוטפורס של תיקיות, מנינו משתמשים בשתי שיטות, מצאנו סיסמה בברוטפורס, נכנסנו לניהול הוורדפרס, שתלנו של הפוך מובנה בקאלי בתוך קובץ ה sidebar, וקיבלנו שליטה ראשונית על השרת עם משתמש מוגבל. בשיעור הבא נעסוק בהעלאת הרשאות בלינוקס על ידי ניצול חולשות בקבצי סיסמאות.

פרקי ההרצאה: פריצה בכח ל-Brute Force Wordpress

תמלול ההרצאה: פריצה בכח ל-Brute Force Wordpress

הטקסט המלא של הדקות הראשונות בהרצאה «פריצה בכח ל-Brute Force Wordpress» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם בהרצאה הזו אנחנו רוצים להעלות הרשאות שלנו ממשתמש פשוט למשתמש שירות על ידי ניצול של בעיית אבטחה ברמת קובץ פייל פרמישנס הרשאות על הקובץ שנתן מנהל הרשת לא היו נכונים לא היו תקינים ואנחנו באים לנצל את זה כדי למצוא את הקבצים שיש בהם בעיית הרשאות בין הקבצים החשובים במערכת שאפשר
00:27
באמת לנצל ולא סתם איזה קובץ בטמפ אנחנו נשתמש בסקריפט אוטומטי שעובר על כל הקבצים החשובים במערכת ומראה לי באיזה מהם יש בעיות אבטחה. יש כמה סקריפטים כאלו ואנחנו נראה אותם בהרצאה הזו.
00:44
אז אנחנו הולכים לפרוץ לשרת, וזה הולך להיות דרך אגב השרת שלנו, שאנחנו הולכים להוריד אותו כדי שלא נצטרך להקים אותו מאפס. זאת המכונה שאני בחרתי, אתם יכולים לראות פה את המספר שלה, 216, באתר Vulnerable Hub, ואתם מגיעים למכונה הזאת בלינק כזה ומורידים אותה כאן בדאונלוד מירור או VA לוחצים והם מתחילים להוריד את הקובץ המוכן
01:11
עם מכונה וירטואלית מוכנה אחרי שאתם מורידים אותו זה הקובץ אני כבר הורדתי אותו 2.5 ג'יגה אתם יכולים לעשות עליו דאבל קליק אופן וויז ווורק סטיישן ואם הוא וורק סטיישן לייבא את זה לתוך ה-VMWARE הוא שואל אותי איך לקרוא למכונה הזאת בוא ניתן לזה שם שיזכיר לנו על מה ההרצאה
01:29
Linux Privileged Escalation בזכות בעיית פייל פרמישנס הוא אומר לי פה שזה לא נעשה לפי OVF ספציפיקיישן לפי ה-Taken של OVF אני עושה לא נורא תייבא את זה בכל מקרה ויהיה לי עכשיו שרת מוכן שזה הקורבן שלי שיהיה מוכן מה אני צריך לוודא שהוא באותה רשת כמו קאלי זאת אומרת הקאלי שלי אני כתוקף והוא צריכים להיות באותה רשת שיהיה לנו יותר קל
02:01
למרות שכל מה שאני הולך לעשות יעבוד גם דרך האינטרנט ובין הרשתות, זה עדיין יעבוד. מה אנחנו הולכים לעשות? אנחנו הולכים לגלות מה ה-IP של הקורבן על ידי nmap-sp.
02:13
SP זה אומר תעשה רק פינגים, אל תבדוק פורטים, אל תבדוק כלום, תעשה רק פינגים, תראה לי מה ה-IP שקיימים. אחרי שאני מגלה מה ה-IP של הקורבן שלי, מה ה-IP שאני רוצה לנהל עליו, אני מבצע סריקה אגרסיבית.
02:27
מה זה אומר אגרסיבית? זה אומר, עבור כל פורט אני בודק איזו גרסה של אפליקציה יש שם, איזה שרת FTP יש שם. לא רק שפורט זמין, גם מי עומד מאחורי הפורט, איזו תוכנה ואיזו ורסיה של איזו תוכנה.
02:42
T4 אומר לא להמתין הרבה זמן לתשובות, לעשות הכל זריז. אם אין תשובה הרבה זמן, אז לעבור הלאה, כי הכבל איכותי, אין בעיה של תקשורת. אז אם השרת לא עונה לך, דלג לפורט הבא, אל תמתין הרבה זמן.
02:55
T3 זה ברירת מחדל, T4 זה מה שאני מעדיף, ו-T5 זה יותר מדי מהיר, עלולים לפספס תשובות נכונות, כי לא המתנו מספיק זמן למעבד של השרת. המעבד של השרת לא החזיר לנו תשובה, הוא התעכב שמה, התשובה לא חזרה בזמן והוא כבר המשיך הלאה.
03:13
אז T5 זה יותר מדי מהיר, לדעתי. אני מעדיף T4, זה ככה בין האמינות למהירות. ו-P, מקו זה אומר P עם כל הפורטים, מפורט הכי ראשון, מפורט 0 כביכול, מפורט 1, עד פורט 65535 תכף אנחנו נראה את כל הפורטים בקיצור ככה אנחנו סורקים את הקורבן שלנו בואו רק נעביר אותו לרשת מסוג NAT למה כי גם קאלי נמצא ב-NAT ונעשה פה
03:42
אוקיי למטה אתם לא רואים אבל עשיתי אוקיי הנה הוא ב-NAT הכל בסדר ואני עושה לו סטארט זהו אני לא יודע כלום על הקורבן שלי אני רק מפעיל אותו והנה הוא עולה בוא נראה שהוא באמת עולה לנו הנה עלה לנו מחשב קורבן אנחנו לא יכולים להיכנס אליו לא יודעים כלום עליו
04:00
איך אנחנו אמרנו מתחילים? מתחילים בפינג. סודו מינוס s, עוברים ל-root, עברנו ל-root, עושים פינג, מחפשים כתובת שאני לא מכיר, כתובת חדשה, ואני רואה פה 202.
04:15
אתם רואים? הוא קיבל 202. אז אני פה עושה סריקת פורטים ל-202 לגלות מיהו הקורבן. אני עושה קונטרול l, 202. בואו נראה. אחרי שאנחנו סורקים את הפורטים אנחנו מגלים שיש לו אתר וב עובד, כבר אינטרנט עובד, הנה זה לקח לנו 10 שניות, למה זה כזה מהיר 10 שניות?
04:37
כי 65,532 פורטים ב-TCP בלבד, שימו לב, אנחנו סורקים רק TCP. UDP אנחנו לא סורקים כי ב-UDP אי אפשר חד משמעית להחליט האם פורט סגור או שפשוט לא שלחנו פאקט נכון, כי אין לחיצת יד משולשת.
04:53
יש הסבר על שחיקת פורטים ב-UDP בסרטון נפרד, שם בתחילת הקורס. ב-UDP קשה מאוד לקבוע אם שלחנו פאקט לא נכון לפורט ואז הוא מתעלם מאיתנו או שהפורט סגור ולכן הוא מתעלם מאיתנו ב-tcp עם פורט פתוח חייבים לעשות לחיצת יד משולשת לפני שמתחילים תקשורת בשפה של הפורט המסוים וגם אם אנחנו לא יודעים לדבר בשפה
05:16
של אותו פורט נניח לא יודעים שפת ftp עדיין הפתיחה של הסשן שלושה פאקטים ראשונים יגלו לנו שהפורט הזה פתוח אז אפשר לגלות פורט פתוח גם בלי שיודעים לדבר בפרוטוקול של אותו הפורט כי יש את החלק הראשון המקדים של tcp של לחיצת יד משולשת שהוא תקן אחיד לא משנה מהי השפה שתהיה אחרי פתיחת הסשן אוקיי אז גילינו שיש
05:40
לנו פה בtcp פורט 21 גילינו שיש לנו בssh פורט 22 שני פורטים פתוחים ופורט השלישי פורט 80 אתם רואים שלושה פורטים פתוחים ו65,532 סגורים יופי בואו ננסה להתחבר לפורט 80 לראות מה יש בפנים פורט 21 ו-22 יש יש לנו שלושה פורטים.
06:02
עכשיו, במקום להתחבר ידנית ולראות מה יש בפנים, נעשה את זה יותר מאוחר. יש לנו כלי שסורק את כל הכתובות. שימו לב, אם אני אתחבר עכשיו ל-IP בפיירפוקס הרגיל, אני אקח את ה-IP ואני אתחבר אליו, אתם תראו שאנחנו לא נראה שום דבר.
06:17
אתם רואים ב-IP הזה, התחברנו אליו, ורואים שיש פה פורט 80, אבל לא רואים כלום. אין איפה לפרוץ, אין שום דבר, נכון?
06:25
אין לנו שום דבר לעשות. אז אני חושב שיש פה איזושהי כתובת/משהו שאני לא יודע/המשך של הכתובת url שאני לא יודע להגיע. יש איזשהם עמודים נוספים או ספריות, תיקיות נוספות עם עמודי ווב שאני לא יודע עליהם.
06:41
אז מה עושים? מנסים ברוטפורס על תיקיות ווב. מה זה ברוטפורס על תיקיות ווב? יש כלי שנקרא ניקטו, יש כלי שנקרא דיר בי, יש כלי גרפי של דיר בי שנקרא דירבאסטר.
06:56
הם, מה הם עושים? עושים סריקה ומנסים כמו ברוט פורס לעבור שם שם מתוך רשימה על כתובות url זאת אומרת הם יעשו סלאש מיוזיק סלאש מובי סלאש לא יודע מה אדמין כל מיני סלאשים רק מה אנחנו צריכים פה לעשות 202 הנה הוא התחיל סריקה יפה אני רוצה להראות לכם כמה כלים שעושים ברוט פורס פריצה בכוח לעבור שם שם לנסות את כל האופציות שיש לו
07:23
ברשימת מילים והוא מנסה אולי הוא יצליח אולי לא אז יש כמה כלים כאלו שעושים כזה ברוטפורס. אני הולך להראות לכם ניקטו, דיר בי, דיר באסטר, יש עוד כלים.
07:35
זה כולה לנסות לעשות כל מיני שאילתות http עם כל מיני סלאשים. הנה הוא גילה לנו סלאש סיקרט, אתם רואים? הוא גילה לנו סלאש אייקונס רידמי, אתם רואים? הוא מגלה לנו כל מיני דברים.
07:47
בואו נראה מה עוד יגלה לנו. והוא נותן לנו פה מידע על האתר. הנה הוא סיים בזה מה שהוא גילה /secret/icons read me יפה מאוד בוא ננסה להפעיל עוד כלי סתם שתראו שיהיה לכם ככה שלא תהיו נעולים על meta-splot או על כלי אחד אני רוצה להראות לכם עקרונות ולראות שהרבה כלים עושים אותם דברים הנה פה אנחנו ממש
08:10
רואים איך דיר בי סורק הנה תראו הוא מצא גם סרבר סטטוס הנה הוא מצא פה עוד דברים הנה הרבה בתוך ה-secret הנה wordpress admin אני רואה פה מעולה בוא נעלה למעלה עד שהוא סורק אני רוצה לראות מה הוא כתב לנו למעלה דיר בי ושם, כמובן יש הרבה אופציות הנה וורדליסט פייל, פה הוא כותב בדיוק את השם של הקובץ שהוא הולך להשתמש בו
08:35
אנחנו יכולים להיכנס ולראות את הקובץ הזה והנה הוא סורק וגילה לנו 13 אופציות, נהדר בואו נעשה סתם קאט לקובץ הזה זה סתם רשימה של מילים והוא כל פעם מנסה מילה אחרת רשימה של מילים, רוצים לדעת כמה יש פה?
08:52
שחקת מינוס n, ויהיה לכם מספור ליד כל שורה, יש פה 4,614 שמות כאלו שהוא עשה. יש גם כלי גרפי, כן, כל אנשי הווינדוס שנורא אוהבים כלים גרפיים גם ציירו להם כלי גרפי, שנראה זוועה, אבל ככה זה בלינוקס, אף אחד לא משקיע בגרפיקה.
09:10
פה אנחנו מכניסים את ה-url, edit, paste, ופה אנחנו מכניסים את ה-wordlist, איזה רשימת מילים. יש גם עוד אופציות שאתם יכולים לקרוא אותן, פה יש איזה סיומות להוסיף, האם גם לחפש ספריות וקבצים, האם להיות רקורסיבי, להיכנס בתוך תיקיות וכו' וכו'.
09:31
נעשה נניח לא רקורסיבי, אחרת זה ייקח זמן, ותראו איזה ממשק מדהים, הסטארט היה פה למטה. אוקיי, אז זה כלי גרפי, רק דבר אחד שטעיתי, פה צריך לעשות 202. למה התחלפה לי הכתובת?
09:45
מאז שעשיתי את הבדיקות שלי התחלפה לי הכתובת. אוקיי, והנה הוא מתחיל גם כן טסטינג וסורק את הדברים האלו, ובסוף הוא ייתן תוצאות די דומות.
09:55
אוקיי, אחרי שאנחנו מגלים איזה שמות יש לנו, הנה יש לנו פה את ה-Secret, אתם רואים? כי זו אותה רשימת מילים, Secret 200. מה זה 200? זה אומר סטטוס אוקיי.
10:05
403 זה אסורה הגישה. זה אומר שזה קיים, אבל אסור לך לגשת לזה. טוב, אנחנו רואים שיש לנו פה סיקרט. בואו נגלוש לסיקרט הזה ונגלה מהו.
10:14
הבנתם את הקטע, נכון? בואו נעצור, נגלוש לזה ונתחיל לפרוץ אותו.