Обход изоляции и особенности пентеста через SSL VPN

Не удалось прогрузить медиа

Введение

Сейчас очень распространены доступы через различные SSL VPN, в частности Fortinet, Cisco, F5. При исследовании таких сетей мы можем заметить, что некоторые стандартные инструменты не отрабатывают так, как должны, например не прилетает Reverse Shell или Relay.
Разберём на примере FortiVPN. Дело в том, что Forti из коробки настроен так, что пул адресов VPN-юзеров отделен от основных роутов, мы находимся в "песочнице", это означает, что:

- Нет LLMNR/ NBNS;
- Серверы не отправляют NTLM запросы на нашу машину;
- Даже если мы подключены к домену - машина не воспринимается как трастовая.

Например сканировать, подключаться по RDP к таргетам мы можем, но, если поднять http сервер:

то подключиться из основной сети (предположим Windows 11) к серверу не получится, хотя очень часто бывает необходимым быстро развернуть локальный сервер для возможности расшарить какой-либо пэйлоад.

Не выйдет и произвести атаку NTLMRelay, вызванную, например PetitPotam.

Мы нашли простой в реализации выход - обход через VPS и Chisel. В данной статье рассмотрим, как построить рабочую схему для пентеста корпоративной сети внутри VPN на примере проведения атаки PetitPotam и NTLMRelay.

Теория

Для начала, о PetitPotam и NTLMRelay.

PetitPotam - это техника, позволяющая заставить целевую машину (обычно контроллер домена или сервер с включённой службой MS-EFSRPC ) инициировать аутентификацию по протоколу NTLM к произвольному хосту. Это достигается через вызов уязвимых RPC функций, таких как EfsRpcOpenFileRaw, которые не требуют предварительной аутентификации и автоматически выполняют аутентификацию от имени компьютерной учётной записи (обычно MACHINE$).

Для эксплуатации достаточно запустить скрипт, который можно найти на гитхабе (ссылка https://github.com/topotam/PetitPotam):


Как итог домен контроллер (либо другая уязвимая машина) попытается аутентифицироваться на машине атакующего по протоколу NTLM, то есть мы получим хэш от учетки DC$.

NTLM Relay - это техника, при которой злоумышленник перехватывает NTLM обмен между клиентом и сервером и мгновенно ретранслирует его на другой целевой сервис, выдавая себя за клиента. При этом никакого взламывания хэшей не нужно.

Запускается командой:

Методы, способы и вариации Relay, PetitPotam и других сплоитов описывать не буду, т.к. информации в интернете достаточно, поэтому перейдем к самому важному – реализации в сети VPN.

Обход ограничений

Начнем разбор с самого начала, поэтому просто просканируем сеть:

Видим, что есть 2 контроллера, причем у DC2 signing:False, а это значит, что на него сработает Relay


Если мы попробуем просто запустить атаку на DC1, описанную ранее, то увидим, что нам абсолютно ничего не прилетело, хотя PetitPotam отработал. Все из-за того, что наша цель по просту не видит компьютер атакующего и не может отправить ответ.

Суть нашего метода заключается в том, что из VPN сети есть доступ в Интернет, а значит и к нашему VPS (надеюсь он у вас есть).

Потребуется реализовать следующую схему:

Не удалось прогрузить медиа

Подготовка VPS

Как вы уже поняли, для успешного выполнения потребуется VPS, либо машина с белым IP.

К счастью VPS у меня есть, поэтому начнём с того, что установим Chisel


Теперь после установки запускаем наш сервер с обратным туннелем и SOCKS5, делается это просто:


В результате увидим что-то вроде:


Отлично , наш сервер готов к использованию. Кстати заметил бывает на некоторых операционках. что нужно запускать с правами sudo из-за необходимости управлять портами, так что не пугаемся ошибок и запускаем  с нужными правами

Подключаем Kali изнутри FortiVPN к нашему туннелю

Теперь нам нужно зайти на рабочую ОС, в моем случае это Kali (любимая), устанавливаем аналогичным образом chisel, желательно чтобы это была одна и та же версия, но запускаем в client режиме:


Получаем примерно вот такой вывод:


Вот тут ВАЖНО - нужно пробросить порт 445 с VPS на локальный 4445, потому что порт 445 на Kali может быть занят (как было у меня, сначала не понимал в чем проблема)!

И наконец после этого мы получаем заветное соединение между портами VPS и Kali, таким образом весь трафик, который летит на 445 и 80 порт VPS, перенаправляется прямиком на нашу машину внутри VPN. Половина дела сделана (ну почти)

Запуск NTLM Relay ВНУТРИ сети (на Kali)

Ставим всеми любимый Impacket (у кого ещё не установлен):


Ну и запускаем ntlmrelayx через impacket


Смотрим логи и получаем следующий вывод:


Видим, что необходимые сервисы запустились, а значит машина готова к проведению  " релея"

Триггерим атаку

По сути, вся подготовка завершена, осталось только запустить сплоит,  в нашем случае PetitPotam, и получить результат.

Для этого соответственно качаем PetitPotam


И запускаем


По логам видим, что эксплоит прошел успешно:


Значит желаемый запрос от цели должен был улететь на наш VPS, затем оттуда через chisel туннель на ПК атакующего, ну а дальше самое интересное

Что происходит после успешного релея?

Получаем такой вывод на Kali:


Как мы можем заметить, наша схема сработала и мы получили хэш компьютерной учётки DC2!

Теперь можно получить RCE:


Или просто сдампить NTDS:


В результате получаем полный контроль над DC2, а значит и над всем доменом

Подводим итоги
Таким методом можно реализовать любую атаку внутри VPN SSL, требующую запрос от целевого хоста на наш IP, будь то ADCS или просто подгрузить payload с python-сервера. Данный способ работы был протестирован мной лично и используется всей командой, достаточно эффективно. Конечно есть свои минусы, например в некоторых эксплоитах при попытке регистрациис помощью NTLM на VPS (то есть ПК вне домена) будет использоваться нулевая сессия, но тут важна сама задумка, а как ее применить, каждый решит сам для себя.

Если возникли вопросы или трудности всегда поможем и подскажем)

С уважением DCcorp&SPBcorp!