ניתוח פאקטים של Kerberos
עם Wireshark ועם NetworkMiner

תמלול ההרצאה: ניתוח פאקטים של Kerberos עם Wireshark ועם NetworkMiner

הטקסט המלא של הדקות הראשונות בהרצאה «ניתוח פאקטים של Kerberos עם Wireshark ועם NetworkMiner» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו הולכים לנתח את הפאקטים של קרברוס ולהוציא משם את ה-hash של היוזר. אני מזכיר לכם שהפאקט הראשון של קרברוס, שנקרא "Kerberos Authentication Service Request" עובר עם טיימסטמפ מוצפן עם ה-hash של היוזר, ואם אנחנו נתפוס את הפאקט הזה, נוכל לנסות לפרוץ את ה-hash של היוזר.

2. 00:27

   אז בואו נחפש את הפאקט הזה ואת ה-hash הזה, וננסה לפרוץ אותו על ידי ג'ון דה ריפר או על ידי האשקאט כמובן שאני צריך לקוות שהסיסמה של היוזר תהיה בתוך המילון שלי בתוך rocky.txt אם לא אין לי סיכוי אז בואו נתחיל לחפש את הפאקט הזה וזה פאקט ראשון שיש לנו פה אנחנו רואים פה את הבקשה בקרברוס גרסה 5 ובבקשה הזאת ברקווסט הזה אין

3. 00:55

   את ההאש משום מה ווינדוס מנסה כברירת מחדל לשלוח פאקט בלי האש. תיאורטית זה אפשרי אם מנהל רשת היה מגיע לתוך Active Directory ומבטל דרישה לעימות ראשוני.

4. 01:10

   בואו תראו פה ב-Tools, ב-Active Directory Users and Computers, בתוך יוזר מסוים, נניח דיוויד, אני יכול באקאונט שלו, במאפיינים שלו, של החשבון שלו, לשים פה v: don't require, אל תדרוש, קרברוס פרי אוטיטיקיישן את העימות הראשוני את הפאקט הראשוני הזה עם טיימסטמפ מוצפן בהאש נקרא פרי אוטיטיקיישן עימות שלפני העימות

5. 01:34

   העימות הראשוני אם הייתי שם את ה-v הזה זה היה עובד אבל אף אחד בחיים לא שם פה v כי זה מוריד מרמת האבטחה ואף אחד לא עושה את זה לפחות אני לא ראיתי ב-20 שנה שאני בתחום שמישהו ישים פה don't require קרברוס פרי אוטיטיקיישן ולכן הפאקט הראשון הזה מקבל סירוב מהשארת pre authentication required אתה חייב לשלוח לי את ה-time stamp את השעה הנוכחית מוצפנת עם הה של היוזר רק אחרי זה אני אדבר איתך

6. 02:03

   ואז בבקשה חוזרת שהוא עושה אנחנו יכולים לראות כאן למטה שיש לנו כבר את ה-time stamp זאת אומרת לפני ה-request לפני הבקשה יש לנו time stamp בקודם בפאקט הקודם היה לנו רק request רק בקשה עצמה פה לפני הבקשה לפני ה-request יש time stamp וה-time סטמפ הזה הזמן הנוכחי הזה מוצפן עם האלגוריתם

7. 02:26

   מספר 18 שזה EAS 256 ומתקבלת התוצאה הזאת A91 D118 אני יכול לקחת את ההצפנה הזאת ולנסות לעשות לה רוורס בעצמי בדיוק כמו שהשרת עושה את זה הרי מה השרת עושה הוא לוקח את הסייפר הזה את ההצפנה הזאת את התוצאה הזאת ופותח אותה בעזרת אלגוריתם AES 256 ומפתח סודי שזה ההא של היוזר חזרה למצב לא מוצפן ובמצב הלא מוצפן הוא רואה שהשעה

8. 03:01

   שהייתה עדיין רלוונטית ולא עברו יותר מחמש דקות והוא גם בודק שלא היו בקשות אחרות בדיוק על אותה אלפית השנייה כי אם האקר מנסה לקחת את הפאקט הזה ובלי לפרוץ אותו as is לשלוח אותו עוד פעם לשרת השרת יקלוט שזה ריפליי עתק שידור חוזר שהאקר כמו שהוא משדר את הפאקט עוד פעם את הפאקט של העימות כדי שההתקפה הזאת

9. 03:26

   לא תצליח השרת בודק לפני הכל שלא יתקבלו פאקטים של עימות בדיוק עם אותה הלפית השנייה זה מונע התקפות ריפלי עתק אז אני יכול כהאקר לקחת את הסייפר הזה את המידע המוצפן הזה לקחת את ההא של היוזר שאני חושב שהוא הנכון מתוך קובץ רוקיו נקודה טקסט ולנסות לעבור סיסמה סיסמה בקובץ הזה רוקיו טקסט אם הסיסמה הזאת תפתח

10. 03:53

    את הסייפר הזה את ההצפנה הזאת עם האלגוריתמי s 256 ואני אקבל טיימסטמפ נכון שעה נוכחית נכונה כי יש תקן לשעה אני יכול לדעת שזאת שעה נכונה אז הצלחתי לנחש סיסמה אם אני לא מצליח כנראה שהסיסמה לא בקובץ הזה זאת אומרת אני עושה ברוטפורס פריצה בכוח מנסה לעשות רוורס על ההצפנה שימו לב זה הצפנה סימטרית יאס, זה לא האש חד-כיווני.

11. 04:19

    בגלל שזה לא האש חד-כיווני אלא הצפנה סימטרית, אפשר לעשות לה רוורס. וזה בדיוק מה שהשרת עושה, עושה רוורס על ההצפנה.

12. 04:27

    אז תפסתי את הפאקט הראשון ואני מנסה לעשות עליו רוורס. כדי שג'ון דה ריפר יעבוד, צריך לעשות לו קובץ טקסט בצורה מאוד מאוד מסוימת, תכף אני אראה לכם איך עושים את זה.

13. 04:38

    אין לי כוח לעשות את זה ידנית, אז אני אשתמש בכלי שעושה את זה במקומי שנקרא נטוורק מיינר. הנטוורק מיינר הזה ייקח בדיוק את אותו הפאקט ופשוט יחבר לסטרינג נכון, את הטקסט נכון.

14. 04:50

    תכף אני אראה לכם מה הוא עושה, זה משהו קטן, פשוט חוסך לעבודה ידנית. בואו ניכנס לנטוורק מיינר, נוריד אותו. אתם יכולים לכתוב בגוגל נטוורק מיינר ולהיכנס לעמוד הזה.

15. 05:01

    יש גרסה פרי ויש גרסת פרופשנל. שימו לב הגרסה החינמית