Transcrição do áudio
É, coleguinha, se eu chegasse aí na sua empresa com o meu currículo, você me contrataria? É, coleguinha, então, sempre desconfie de ótimos currículos, olha só. Por volta de 2011, naturalmente, o agente interno conseguiu implantar uma rotina maliciosa dentro de uma das tecnologias mais utilizadas, então, naquela época. E um dos protocolos mais utilizados naquela época para troca de arquivos. O FTP... E com o passar dos anos, ele foi perdendo espaço para o protocolo SSH, para troca de arquivos. Por volta de 2010, 2011, 2012, ainda nós tínhamos o quê? Muita gente utilizando o FTP, beleza? E, naturalmente, o VSFTP sempre foi a melhor solução para esse assunto, como o server. Então... Ah, eu devo alertar que o som está ruim por enquanto, porque eu estou montando um novo estúdio. O próximo áudio vai, naturalmente, ser melhor que esse com relação ao som, beleza? Mas vamos aqui buscar, então, a qualidade do conhecimento. Então, tem aqui o CVE, que nós vamos explorar ao 25-23 de 2011. Basicamente, você... No Dimon, VSFTP-D 2.3.4... Se você mandasse um sorriso... Ele abriu um backdoor na porta 6200, beleza? Qual a chance de você localizar isso aqui numa infraestrutura hoje? Muito difícil. Mas por que eu coloquei, então, no livro de vulnerabilidades clássicas? Porque ela é uma vulnerabilidade clássica. E ela é o melhor exemplo de que uma agenda... Com poder para, como eu posso dizer, implantar algo malicioso... Pode ser, como posso dizer, assim... Um desastre. E isso só foi percebido dias depois. Então, muita gente instalou essa coisa vulnerável. Bom... Agora, há dois, três anos atrás, nós tivemos também um... Só que não foi no FTP, foi no SSH, lembra? Três vulnerabilidades. Três vulnerabilidades implantadas por um agente interno malicioso. Um agente interno na cadeia de componentes e desenvolvimento. Então, eu já simulei essa falha aqui. Então, aqui no exploit, já tenho a versão que tem o determinado problema. E eu vou mostrar para vocês como acessar ela. E, naturalmente, eu vou trazer algumas informações para vocês aqui. Primeira coisa. A sua vida... A sua vida... A sua vida é vir aqui buscar dados de CVE, vir aqui procurar... É raro você procurar aqui a versão. Você, geralmente, coloca aqui a tecnologia ou o produto e você vai minerar isso aí. Por quê? A versão está no texto. E você tem que... Acauto com 264, passo hoje. Backdoor 2017. Então, você tem que vir aqui e minerar todas essas informações. E essa é a grande diferença de um hacker para um gamer, um cara iniciante. O cara iniciante tem tanta vontade de fazer alguma coisa logo que ele não é capaz de tentar conseguir paz no coração e executar. Ler e executar o que está dizendo aqui. Entenderam? Então, no Kali Linux, você tem, na verdade, uma ferramenta utilitária para te ajudar nisso aí. Mas, não troque, nunca troque o seu dia a dia aqui pelo que eu vou mostrar agora. Isso aqui é um facilitador. Tá. Exploit. Cara, eu tenho mania de colocar aqui. Eu tenho mania de não colocar exploit, colocar assim, exploit. Cara, aqui... Quantas vezes eu já ri isso? Exploit. VSFTPD, que é o Dimon. E 2.3.4. E aqui ele traz para mim se tem vulnerabilidades ou não lá. Cara, isso aqui é importante, tá? Ó, ó. Então, aqui eu tenho as versões. Ah... Então... Teoricamente, teoricamente, a galera foi lá e localizou essas vulnerabilidades. Mas, se você olhar, as vulnerabilidades que nós temos nessa ferramenta não bate com a quantidade de vulnerabilidade que nós enxergamos aqui. Por isso que eu falo. A sua vivência aqui, ela é muito importante, ó. Uma... E aqui tem 25, 26. De 25, né? Paginado em 25 aqui. De 26, vulnerabilidade. E não mais que o quê? 10. Deixa eu ver. Ó, 1, 2, 3, 4, 5, 6, 7, 8. Tá? Então, veja que a sua experiência e o seu trabalho, o seu conhecimento, é... Vai te tirar dessa ferramenta e vai te colocar lá. É natural. Porque na hora que você começar a executar a... Esses testes, né? Os testes de vulnerabilidade no seu dia-a-dia, você vai precisar de dados e informação mais preciso, maior volume. Então, você vai acabar indo pra lá. Beleza? Tem essa ferramenta, essa ferramenta é muito falada. Eu coloco aqui pra você ver que ela existe. Tudo bem? Mas, de cara, nós já podemos ver um backdoor aqui, ó. Na versão 2.3.4. Beleza? Bom, o meu alvo... Eu não sei se meu alvo tem uma FTP. Então... Eu não sei se meu alvo tem uma FTP. Eu já falei pra vocês que o primeiro passo é eu entender o que é que meu alvo faz. Por exemplo, eu sei que ele tem sites. Eu sei que... Se ele tem sites, ele tem uma forma de colocar arquivo lá, tá? Ah, eu sei que ele troca arquivos de backup. Então, ele tem uma forma de trocar arquivos. Então, eu tenho que tentar entender. E aí, eu posso fazer um teste. Um teste. Posso fazer um teste. É... Em... Map. Por exemplo. Eu quero buscar a versão, já que eu vou disparar alguma requisição pra ele. Que eu traga a versão das coisas. Beleza? Portas 21. 10.137.0.24. Cara, eu vou executar isso aqui. Barra 32. Eu vou executar isso aqui. Tá? Eu vou executar isso aqui. E eu não disparo contra muitas portas. Porque, baseado no que eu sei que o cliente faz, o que ele tem, eu provavelmente eu vou fazer isso aqui numa porta. O hacker inexperiente, ele vai fazer isso aqui, ó. Ele vai ter muita dúvida. E aí, ao fazer isso aqui, ele vai disparar tantas requisições que vai ficar no log. Tá? Vai ser perceptível isso. Beleza? Isso aqui vai demorar, porque ele vai também tentar enumerar os serviços, que tipo de coisa tem. Mas, aqui eu já consegui ver que o meu alvo tem um VSFTPD. Mas, aquilo ali se chama banner. Um dia eu vou juntar 5 mil dólares em criptomoeda. Até tremi aqui, né? Pra pagar pro cara. E filmar que ele tá defecando. Na tumba do cara que inventou. Que todo serviço tem que ter um banner dizendo o que que é e a versão do que é. Porque, você... Primeira coisa que você tem que fazer no Cyberkill. Cara, primeira coisa, cara. Primeira coisa que você tem que fazer. Você tem que ler esse texto aqui, ó. Aqui, ó. Cyberkill Chain Premium Work. Cara, a primeira coisa que você tem que bater é no RECOM, cara. É no RECOM. Não dá informação pro cara. Não, não, não deixa, não deixa, não deixa. O cara tem qualquer tipo de informação sua. E aí, o que que... O que que os serviços retornam? O banner dizendo o que que é e a versão do que é. Muitos livros dizem que é pra você tirar o banner. Beleza? Eu digo o contrário. E se eu pegar outra tecnologia... Pensa assim. Pensa como eu. Eu pego outra tecnologia e faço parecer o banner de outra tecnologia, que não é a tecnologia que eu tô utilizando. Então, o hacker, ele vai perder muito tempo atacando naturalmente o quê? Um serviço que não é aquele serviço dos exploits que ele tá utilizando. Então, ele vai errar. E hoje em dia... A inteligência... A inteligência artificial, ela tá tão bem treinada que tem um problema. E se eu enganar a inteligência artificial? Ela é boba. Então, qual é a ideia? Essa é a ideia. Você pegar outra tecnologia de FTP, pegar um banner de outras tecnologias e forçar pra que o banner, o seu VSFTPD, seja o de outra tecnologia. Isso vai atrapalhar muito. Lembrando que... O foco do cara da security é dar trabalho pro hacker. O hacker, ele tem o dia dele livre pra brincar. Então, o nosso trabalho é dar trabalho pra ele. Por quê? Se... A empresa do lado não tem segurança nenhuma e o hacker consegue tirar mais coisas de lá e o RECOM é o começo de tudo, é o que dá mais gás pra ele, é o RECOM. Se a empresa do lado traz mais informações pra ele do que a minha, ele vai tirar o foco da minha empresa e vai focar nessa outra empresa. Então, faça isso. Faça isso. Beleza? Vamos lá. E, infelizmente, nos lugares que eu trabalho, essa minha ideia não bate, tá? Tinha que bater, cara. Tinha que bater. Bom, vamos lá. Então, a máquina aqui do lado, ela tá... Ela tem o... A versão vulnerável, tá? Então, eu poderia... Eu poderia, naturalmente, iniciar esse backdoor. Esse backdoor, ele não é um backdoor, assim, que está lá, assim, ativo. Ele tem que ser ativado por um comando. Então, pra não ficar muito visível, né? O cara, quando ele bolou isso, ele pensou, ó, vou mandar uma informação e, baseado nessa informação, então, ativa o backdoor, tá? Eu vou tentar explorar o backdoor pra você ver que não tá funcionando ainda, igual, tá? Olha só, NC, que é o netcat. Aí, você coloca 10.137.0.24, certo? 62.200, tá? Desculpa, 62.200, que é a porta vulnerável. Ó, não tá. Não tá disponível. Beleza? Tá bom. Então, se eu fosse fazer uma busca, uma varredura de rede, de rede? De rede? No meu cotidiano, eu não iria pegar essa porta aberta, beleza? Não iria pegar essa porta aberta. Então, olha só que interessante. Aí, o cara bolou o seguinte. Como que eu ativo o cara que programou esse malware? Esse backdoor dentro dessa aplicação, que virou um malware, se você olhar. Simples. Eu vou mandar um user com um sorrisinho. Se eu mandar um user com um sorrisinho, então, poxa, eu ativo o backdoor. Então, o cara foi lá e colocou netcat, 10.137, na verdade, não precisa do netcat, você poderia chamar o telnet e fazer isso com o telnet na unha, mas eu não vou fazer com o telnet na unha, não, cara. Vamos aqui. 24, tá? Porta 21, que é a porta clássica do FTP. Eu verifiquei que ela tá ali vulnerável, ela tem a versão vulnerável. Não posso dizer que ela tá vulnerável. Não posso dizer que ela tá vulnerável. Então, esse é o banner do VSFTPD, tá? E ele retorna isso, quando você se conecta. Esse protocolo funciona assim. Você se conecta, e aí ele retorna o banner. E 220, se é sucesso. Desculpa o som, cara, de fundo, mas o estúdio não tá pronto ainda. Então, olha só que interessante. Agora, eu informo o usuário. Aí ele fala, tudo bem. O usuário existe, qual é a senha? Se eu não informar a senha, não vai pro log. Se eu informar a senha, vai pro log, tá? Então, eu poderia parar somente sabendo o usuário, tá bom? Olha o que o cara fez. User, agora eu mando o user, que é do protocolo, né? O user é do protocolo, e aqui eu mando o usuário que eu quero. Galera, se você não sabe do que eu tô falando, eu tenho um livro de Linux de FTP, tá? Ou um capítulo de FTP. É de graça o meu livro. E eu tenho também, meu amigo, sabe o quê? A playlist de redes do Tannibal. E tem um livro do Tannibal pra você ler. E lá vai explicar sobre o protocolo FTP com muito detalhe. Se você mandar esse sorriso aqui, o que importa é o sorriso. O hacker não importa, tá? E aí ele fala, tudo bem, 331. Agora você me especifica um password, por favor. Ah, essa é uma comunicação do protocolo FTP. Então eu venho e falo, pass, de password, e você pode colocar qualquer coisa, tá? Botafogo é um filme de merda. Cara, o estúdio pode mudar, o meu áudio pode mudar, mas infelizmente eu não consigo deixar de ser botafoguense. Don't enter. Nunca deixe seu filho ser um botafoguense, cara. É só sofrimento. Pode recomendar o meu canal pra ele. Então olha só. Repare que ele não fala mais nada. Ele deveria entrar e falar aqui sobre o protocolo FTP. Legal? Olha só, cara, o backdoor tá ativo agora. Então, o que acontece? Agora eu posso acessar aquela porta. Ele ativa essa porta como um backdoor. E aí eu entro como super usuário. Que louco, né? E ele me joga pra raiz como super usuário. Olha que backdoor maldito, hein? Se você acha que a sua rede tá boa, cara, você já imaginou se um funcionário tá maldiçoado. Ele acha que ele vai ser demitido. E ele tira o VSFTPD que tem lá e coloca essa versão vulnerável. E esse funcionário for demitido, o que ele vai poder fazer na sua infraestrutura? Hum? Você já pensou? Então, se você quer na área da segurança, coloque a negação na porta 6200. Você nunca sabe o que vai passar na cabeça do usuário se for um cara que tem conhecimento. Se você magoou ele, a gente interna maliciosa, cara, é complicado, tá? Ó, cat. ETC. Shadow. Aqui eu imprimi o shadow porque eu tô como super usuário. Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Cara! Tudo que eu estou fazendo tá ficando no log. Então a auditoria me pegaria. E a infraestrutura tem alguém prestando atenção, tem ferramentas. Cara, em poucos minutos vai ser acionado alguém. Tá? Então eu tenho que fazer as coisas mais prejudiciais possíveis para o ambiente, para que eu consiga naturalmente ganhar, lograr acesso novamente. o que eu faria, a clear não vai ter eu faria o seguinte eu injetaria um usuário novo com o id zero eu colocaria o usuário aqui novo, beleza eu vou fazer um tópico só sobre isso, o que fazer quando você entrar, beleza sabendo o que as pessoas vão fazer você pode se defender lembrando que só tem uma forma de você saber como é se defender de um soco no dia que você levar um soco você vai entender vai por mim e é zencrypt não dá para jogar isso aqui no join the rip para chegar em uma hash então eu estou com um problema a primeira tentativa minha já deu com os burros na água porque as senhas aqui infelizmente vamos ver se algum usuário ah, isso aqui é comum a cat etc vamos ver se algum usuário tem o id zero o id zero root eu já estou com o root 1, 2, 4, 5, 12 não tem ninguém com o id zero eu poderia pegar um usuário aqui e colocar com o id zero qual usuário eu colocaria o id zero esse cara aqui esse cara eu colocaria o id zero aqui no lugar 33 e aqui eu colocaria o id zero barra bem, barra best certo isso está no meu livro de linux está lá no meu livro de linux no capítulo de usuário inclusive eu falo sobre isso então esse usuário aqui gente é o usuário do meu amigo apache e aí eu pegaria o apache e colocaria uma vulnerabilidade no apache um web shell tudo bem porque o web shell com o apache ele rodaria como super usuário só que eu não testaria não pode testar tudo bem e aí eu pá seria um algo tipo assim esse algo seria muito prejudicado por minha pessoa lógico né
