Kali Linux: transferência de zona DNS (AXFR) - Parte 2

O coleguinha, então quer dizer que todo servidor que ele tem ali um serviço de DNS, ele faz naturalmente ali uma possível entrega dos dados. Possível, porque nós vimos no vídeo anterior que requer uma programação, certo? Bom, então vamos lá. Então a falha de transferência de zona é quando nós vimos o slave, ele solicita ao master uma transferência de zona conhecida como AXFR. Então se alguém falar em AXFR e DNS, é esse ato de pedir essa transferência de zona do slave para o master. Beleza. Bom, e um problema nasce então quando alguém coloca... Eu utilizei, conforme vimos no vídeo anterior, NONE, ou você pode pôr um endereço IP. E você também poderia ter um ALO TRANSFER ZONE. Então você poderia ter ali uma lista de IP, uma ACL, colocar a ACL que você permite que obtenha dados da zona, beleza? Então, requer um pouco mais de configuração. O que eu preciso então, vamos lá, vamos iniciar o ambiente. Essa máquina, ela está zicada, conforme nós já vimos, e a tal da máquina, pera aí, deixa eu startar aqui o CubeManager. Aê, está saindo, está saindo ali, material do Cube. Vamos dar uma olhada aqui, essa gravação está rodando. Explotable. Essa máquina aqui é a vulnerável. Então vamos iniciar essa máquina aqui. Beleza. Está bom, está inicializada. Vamos entrar então agora com o nosso amigo Kali Linux. Bom, opa, fui para aqui. O primeiro comando que você poderia utilizar seria um próprio Nmap. Eu sou meio contra o que o Nmap está fazendo, que é utilizando scripts, certo? E ele está competindo com o Metasploit. Eu acho assim, que é um comando, que ele é muito bom para fazer varredura, para conhecer infraestrutura, o Nmap. E eu acho que ele deveria ter ficado nesse ponto. Ficado nesse ponto. Porém, o Metasploit vem perdendo espaço para o Nmap. O Nmap parece que está na mão, né? Agora, em uma máquina, o Nmap é um comando. E muito também do próprio Metasploit, tá? O próprio Metasploit está criando um ambiente muito fértil para o Nmap, cara. Chegar nesse nível. O Metasploit era para ser mais fácil. Vamos aqui, aumentar o zoom. Cara, eu tenho que ir lá em... A etcdefault e alterar ali o tamanho de fonte do terminal padrão já, né? Porque para a gravação... É isso aqui. No meu dia a dia não é isso aqui, né? Não é desse tamanho. Legal. Então, eu acredito que está ligada a máquina. Eu poderia muito bem chegar aqui em ping 10.137.0.24. E seria rastreado na internet. Desculpa, na rede. Cara, seria visto como algo esquisito. Beleza? Bom. Eu poderia também, simplesmente, abrir aqui um telnet na porta 80 e tentar me conectar. Seria melhor, tá, gente? Seria telnet. Nem sei se telnet está aqui. Telnet está. Legal. Legal, telnet está. Então, telnet. Aí você coloca lá o IP 10.137.0.24. Porta 80. Não sei se está aberto. Tem que ver isso. Se você dá um enter e ele travar, significa que a porta está aberta e a máquina está lá. Beleza? Se não está, tenta 80.80. Beleza? É menos perceptível isso na rede do que um ping. Um ping é mais perceptível. Beleza? Na visão do defensor. Então, vamos lá. Nmap. Traço porta 5.3. Vou para 5.3. Se eu sei sobre a porta 5.3, é porque eu já fiz o pentester. Beleza? Aqui no curso hacker, vocês estão nessa disciplina. Aqui nessa disciplina, que eu vou trocar o nome para Kali Linux, para pentesters. Eu vou trocar para pentesters. Porque ambos são para hackers, mas esse aqui é mais para pentesters. Você descobriria a existência da porta e de um domínio. Então, você saberia qual domínio nós estamos falando, qual máquina, qual possível porta estaria lá. SV, para buscar versões de coisas e a parte que eu não gosto. Se você estivesse usando o metasploit, seria uma entrada muito simples. Depois, você vai passando argumento. No Nmap, nós temos a mania de passar argumentos aqui. script.dns.zone.transform. É aqui que eu costumo errar bastante. Esse N seguido do S aqui. script.dns.zone.transform.domain. Cara, é uma pancada de parâmetros que você tem que buscar na internet. Eu já saberia qual o domínio da empresa. Assim como você sabe, cursohacker.com.br é um domínio. Você já conhece. Então, serviço pentester inicial traria essa informação para mim. Está faltando colocar agora qual é o servidor que tem o DNS. Lembre-se, eu coloquei a porta, que é o 53. Não coloquei ainda 10.137.0.24. Legal? E aí, eu vou tentar fazer uma transferência de zona. Então, eu vou colocar aqui. Ele vai tentar. Vamos lá. Ah, olha. DNS transfer zone server argumento não foi localizado. E, na verdade, é o 10.137.0.24, gente. Veio. Olha. Isso aqui é a configuração nova, pelo que eu sei, tá, gente? Do script. Que seria a mesma coisa que você colocar isso aqui no final, assim. Isso aqui é a versão antiga. Eu mesclei aqui a versão antiga e a versão nova no comando. Mas, deu certo. Vamos lá. É um problema, tá? O DNS Recon e o Nmap estão sofrendo muitas alterações. Pode ser que esse curso daqui a uns... Um ano. Esse comando já não funcione assim. Tá? Bom. Ó. Empresa local. NS1. Admin empresa local. Ah! Olha o nome de máquina. Mas, a NS1 nós conhecíamos. É essa que nós estamos batendo. Mas, a Admin nós não conhecíamos essa máquina. Anota aí. Beleza? Ó, tem a Mail. Tem um servidor de e-mail, MX. Ó. Tem um servidor de caixa de e-mail chamado Mail. Tem uma máquina chamada Mail. O nome dela é Mail, cara. Pô, legal. Beleza? Aqui é uma flag. Um texto. Geralmente a galera coloca aqui um... É... Em muitas competições colocam um textinho aqui. Tá? Que geralmente é uma captura de flag clássica, cara. Eu acho ridícula. Todo mundo já sabe onde estão as flags. Qualquer inteligência artificial idiota da Ollama consegue bater as capturas de flag. Legal? Aqui nós temos uma máquina chamada BK. Olha que interessante. Ela está no IP 1007. Legal. A Dev empresa. Ó, a Dev. É uma CNAME. E esse CNAME Dev empresa, na verdade, vai ser o WWW. Então nós temos uma máquina com um site. Qual é o IP da WWW? É a máquina 10.137.024. Por que está na mesma máquina do DNS? Porque é economia de memória, né, galera? Nós não vamos abrir aqui um ambiente com um GNS3 e umas 20 máquinas aqui. Nós não somos loucos, né, cara? Não tem memória para isso na máquina do aluno. Nem da do professor, pô. Bom, vamos lá. Opa! Os caras têm, então, um serviço de VPN próprio, cara. Hum... Vamos, com certeza, atacar esse cara aqui, porque esse cara é borda de alguma coisa. O... Geralmente, o WWW é na internet, o MEI é na internet. Ó, isso aqui é um servidor de intranet. Então, todas essas máquinas aqui... Então, agora, nós iríamos o quê? Inspecionar elas. Tentar buscar a versão. Você não bateria o Nmap em todas as portas. Por exemplo... WWW. Quais são as portas que você poderia bater? Porta 80. 443. Se não retornar, 8080. Entenderam? Você só vai para 8080 se não retornar nada nessas duas. E pode ir uma a 80. Depois você vai na 443. Legal. Por que isso? Se você utilizar o SV, o S minúsculo V, você consegue trazer as versões das coisas. Isso é importante para nós. Beleza? 25, 110, meio. Tá? Aqui, meio. NS1, NS2. São... Porta 53. Não é? Então, nós podemos, então, depois, agora, ir aqui buscando... Mais detalhes sobre cada máquina. E ir conhecendo a infraestrutura do alvo. E o quê que nós deixamos de rastro na rede? Nada. Porque nós usamos um procedimento lícito na rede. E só fizemos uma única requisição. E nós descobrimos em uma única requisição ali umas... Pelo menos umas 8 máquinas. Sem fazer alarde na infraestrutura. Beleza? Bom, tem uma outra forma também que é muito mais simples. Eu já mostrei para vocês aqui. Acho que no vídeo anterior, né? DIG. No DIG, você vai passar o parâmetro AXFR. Solicitando transferência de zona. Beleza? Empresa.local. Se você não colocar aonde é o servidor de nomes... Ele vai tentar procurar no seu resolver. Vamos ver qual é o resolver dessa máquina? catetcresolver.conf, tá? Esse aqui é o 10139111. Então... Ele vai tentar perguntar lá. E adivinha? Lá não vai saber me responder. Lógico. Não é? Não vai saber me responder. Porque... A empresa.local está na máquina 10.137.024. Então, você vai colocar o arroba. 10.137.0.24. É lá que está o serviço de DNS. E aí, esse cara... Você vê que ele é até bem mais rápido, né? Que o outro. Bom... Devo mostrar para vocês que... Eles possuem outputs diferentes. E é importante que você execute mais de um. Nós estamos vendo o secret. É o flag. Da captura de flag. Nós estamos vendo ali então... Praticamente as mesmas máquinas. Pelo que eu estou vendo. Só que com detalhes. Na verdade, detalhes tem no... No EMAP. E nós não temos aqui. Mas, esse aqui... É também... Naturalmente um comando que você pode utilizar. Para fazer essa... Essa solicitação de tentativa de transferência... De zona. Legal? Tá, legal. Clear. Lembre-se. Você tem... TNS Recon. TNS NUM. Várias ferramentas de numeração. Várias. Tá. Legal. Então, agora... Acho que nós vamos precisar de modificar... O nosso resolve.conf. Aqui nós vamos... Trabalhar com o TNS Recon. Então, vamos lá. Olha só. Então... Subo. Nano. ETC. Resolve.conf. Esse arquivo, ele é um arquivo teimoso. Como assim? Ele é modificado durante o seu carregamento. Não é isso? Opa! Vacilo, hein? .0.1. Nada. 24. Esse aqui... É, então... O serviço de nome que nós vamos... Gestionar. Legal? Então, eu posso... Depois de alterar esse nome... Só vou... Cache. ETC. .0.1. .0.2. .0.3. .0.4. .0.5. .0.6. .0.7. .0.8. .0.9. .0.10. .0.11. .0.12. .0.13. .0.13. .0.14. .0.15. .0.16. .0.17. .0.18. .0.19. .0.21. .0.22. .0.23. .0.24. .0.25. .0.26. .0.27. .0.28. .0.30. .0.31. .0.32. .0.33. .0.34. .0.35. .0.36. .0.37. .0.38. .0.39. .0.40. .0.41. .0.42. .0.43. .0.44. .0.45. .0.46. .0.47. .0.48. .0.49. .0.50. .0.51. .0.52. .0.53. .0.54. .0.55. .0.56. .0.57. .0.58. .0.59. ns1, ns1, eu não estou vendo o ns2, né, galera? Ah, eu não coloquei o ns2, foi mal. O admin, backup, o intranet, o mail, o ns1, o vpn, o www, os mesmos dados que nós tínhamos localizado ali. Lógico, naturalmente, com outros detalhes, beleza? Então, custam três comandos para você utilizar aí, tá? E tentar, né, naturalmente, fazer essa transferência de zona. E não ser tão perceptivo na rede. Legal, assim vai ficar melhor agora, né? Vamos dar mais foco aqui para o Kali Linux, o Kali K. Então, vamos alterar, né? Vamos voltar lá para o meu resolve.conf clássico. Era o 139, 1.1. E é o padrão do Qubes. Se você esqueceu qual é o seu DNS, você não anotou, então, você abre o Qubes Manager, você clica aqui, e aí você vem aqui em Settings, no Kali Linux, certo? Que você está operando pelo Kali Linux. Ele é demorado assim mesmo, tá, gente? E aí você vai ver aqui, ó, virtual DNS, 139, 1.1. Beleza, pode trabalhar com esse cara aqui, tá? Ele já faz uma parte. É uma defesa, uma segurança, o DNS. Bom, é um outro papo esse negócio de vazamento de DNS, tá? É um papo mais para você se defender. Defender. Nós estamos atacando aqui. Basicamente isso. Mas lembre-se que estamos atacando uma máquina local, sem cometer crimes. TNS, enum, é um outro comando, tá? Ah, server, server, name server. 10.137.0.1, ou 24, 24, e o domínio da empresa. Putz, foi mal, galera. Ah, DNS, DNS server. Ah, isso aí. Hahaha. Hahaha. Vem aí, ah, assuma o controle, porra, o ser humano é o Zé Cu, errou o parâmetro. Hahaha. Não vejo a hora. Galera, estou projetando o Godel Machine, hein? Procura sobre o Godel Machine. Godel Machine já funciona na minha máquina, só estou com medo de conectar ele ao Borg. Hahaha. Vem aí, ah, mate o humano logo, porra, ele errou o argumento. Olha só. Estou aqui. Cara. Bem limpa a visualização aqui, né, cara? Tá bem limpa. Mas todos trazem o, como eu posso dizer assim, o mesmo resultado. Mas por que que nós sempre, sim, conhecemos esse leque de, temos que conhecer esse leque de comandos, cara? Porque um, nem sempre, uma vez eu ouvi, né, um livro falar que nem sempre você tem aquele comando. Pô, mas se nem sempre eu tenho aquele comando, eu carrego ele comigo. Eu vejo uma outra, eu tenho uma outra visão. Ambos, desculpa, todos eles deixam pegadas diferentes na infraestrutura. E você ser versátil nesse ponto, eu acho interessante, cara. Você jogar uma moedinha, né, lado A e lado B, e escolher um ou outro comando, eu acho interessante para você dar uma certa aleatoriedade. Lembrando que você não é aleatório. Não é aleatório. Jogar uma moeda para cima também não é tão aleatório. Beleza? Depende de N fatores. Mas pelo menos o ser humano, ele tende a se apaixonar por um comando. Por exemplo, eu já falei mal do, do Nmap, e já falei bem do Matterpreter, né? Então, let's plot. Então, é, o que que acontece? Pô, cara, só aí já, já entrega um pouco sobre minha, sobre a minha personalidade e quem está na infraestrutura, entendeu? Lógico, né? Um único comando não vai definir quem eu sou ali dentro, né? Mas talvez uma sequência de comandos e passos que eu dou ali dentro, nós já conhecemos esse hack. Uma vez eu estava numa reunião, nós fomos atacados pela segunda vez. Nós fomos para uma reunião com, com, com alta chefia e, e o cara começou a mostrar, a rir. Cara, eu já vi aquilo ali, aqui, os caras acharam que eu estava rindo da situação. Eu já vi aquele malware ali, cara. Eu já vi aquele malware ali. Então, eu, eu ri porque, ufa, nada de novo, cara. Eu conheço. Então, e é a mesma, é o mesmo sentimento que o cara pensa lá quando pega um hacker atacando com os mesmos passos, os mesmos comandos, as mesmas sequências de tudo, entendeu? Opa, eu já vi isso aí. Ele abre um sorriso, cara. Traço, traço, domen, empresa ponto local. Cara, é um outro comando que eu não costumo usar. Ns, servers, isso. Então 24. Não, mas está instalado aqui também, né cara? Pô, errei, cara. Empresa local Ah, ele não foi Agora eu estou vendo logo aqui Erro de escrita aqui, DNS, cara Aqui, ó Veia, mate o ser humano O ser humano não presta, errou o argumento Olha o que é interessante aqui Inclusive, ele te traz aqui uma Uma forma muito Parecida com o que os programadores gostam Eu não digo que isso aí é um JSON Mas isso aí está muito próximo De você converter isso aí para um JSON Tem uma nomenclatura diferente para isso aí Olha só, a mesma coisa Já é a mesma coisa E aí você vai capturando Capturando Capturando Até você Naturalmente conhecer a infraestrutura toda E aí você começa depois Em máquina por máquina Na WW, na VPN Na NSA Na mail, na intranet Na dev, na backup Na admin E naturalmente você obtém dados da Secret Secret não é uma máquina Secret é um texto que foi guardado ali Beleza? Que a captura de flag geralmente busca isso aqui Então se você for para uma captura de flag E tem a porta 53 aberta Está resolvido o seu exercício Que eu acho uma grande idiotice Você se basear em captura de flags Vai para a internet Basicamente isso Quer aprender? Monta ambiente Beleza? Nmap para achar a porta 53 Legal Nmap para explorar a porta 53 Ou TNS Recon Ou Enum Ou naturalmente DIG Entenderam a jogada? Aí você pode trocar Aí você acha a porta 53 Bate no host Vai no host Bate no host E você então naturalmente Tenta obter informações Segue esse padrão Que eu já passei para vocês E a correção disso naturalmente Já mostrei para vocês Que lá em Allo Transfer Zone Está lá no meu livro de Linux Onde foi que eu coloquei ele? Está aqui Então Você poderia Colocar a lista Que você permite Ou aqui O que é mais Que é mais certo Allo Transfer Aqui você coloca os IPs Que você permite Que você permite Que faça a transferência de zona Aqui Está noni Por que está noni? Porque eu tenho uma lista de permissão aqui Eu tenho uma lista de máquinas E eu estou dizendo Naturalmente Quem eu sou Eu sou a máquina 10 Nesse exercício E tem a máquina 11 Que eu confio Está na lista das máquinas Que eu confio Ou você poderia colocar aqui Chumba aqui Seria uma opção bem visível Usamos DNS Recon Enum Fierce O DIG Nmap E o alvo foi Um bind 9 mal configurado Legal? Para essa prática É coleguinha Complicado hein Vacila aí Até mais Tchau