Повышение привилегий через принтеры

Не удалось прогрузить медиа

Введение

Предположим, вы проводите пентест, но получить начальный доступ быстрыми путями не удаётся, либо у выданной вам учётной записи мало прав. Если в сети есть принтеры, то это хороший звоночек для нас - зачастую там могут храниться учетные данные, которые можно заполучить.

В некоторых моделях принтеров для их лучшей интеграции с корпоративной средой используется адресная книга и/или креды от какой-либо учётной записи различных протоколов (SMB, LDAP, FTP). Адресная книга нужна для упрощения и ускорения процесса печати. Она позволяет видеть список пользователей компании для отправки факсов или сканирования документов прямо в почтовые ящики сотрудников. Креды различных протоколов нужны для взаимодействия принтера с другими устройствами и сервисами, чтобы принтер мог аутентифицировать пользователей (проверить, свой ли сотрудник пытается распечатать документ).

Все принтеры имеют открытый порт 9100:

PORT STATE SERVICE
9100/tcp open jetdirect

По этому порту передается уже полностью подготовленное задание на печать. Чаще всего это данные на языке принтера (Page Description Language). Для эксплуатации этого порта можно использовать Printer Exploitation Toolkit. Он позволяет делать интересные манипуляции, например перехватывать задания на печать или манипулировать ими, получать доступ к файловой системе и памяти или даже наносить физический ущерб устройству. Про то, как паренек взломал 50000 принтеров и распечатал на них бумажку с просьбой подписаться на ютуб-канал можно почитать здесь.

Но это не совсем то, что нам нужно, будем сразу искать что-то интересное.

Практика

1. Эксплуатация принтеров Konica Minolta

У принтеров этого производителя всегда открыт порт 50001:

Не удалось прогрузить медиа

Эксплуатация проста. Открываем наш любимый Metasploit и используем модуль gather/konica_minolta_pwd_extract. Скорее всего, базовый пароль никто не менял.

Не удалось прогрузить медиа

Если повезёт, можно получить пароль администратора домена.
Важно: в некоторых моделях дефолтный пароль – 1234567812345678.

Кроме того, в метасплойте есть аналогичный модуль из моделей Canon (auxiliary/scanner/printer/canon_iradv_pwd_extract).

2. Эксплуатация принтеров Kyocera

Такие принтеры находить несложно, их название обычно начинается на “KM” и netexec для них не может определить версию ОС:

Не удалось прогрузить медиа

Для извлечения пароля идем на гитхаб и скачиваем эксплойт. Для дампа адресной книги (а часто и паролей вместе с ней) используем команду

Bash:

python3 getKyoceraCreds.py <printerip>

3.  Извлечение данных из МФУ

МФУ (многофункциональные устройства) также могут хранить в себе учетные данные. Для каждой модели есть свои дефолтные креды, которые стоит проверить. Если вам удалось зайти, а в принтере есть функции проверки подключения к серверам LDAP, SMB или FTP – дело за малым.

Не удалось прогрузить медиа

Поднимаете с помощью Responder свой LDAP/SMB/FTP сервер, указываете в настройках учетной записи, которую хотите получить, ip-адрес своего респондера, жмёте “Check Connection” и ловите пароли открытым текстом:

Не удалось прогрузить медиа

Бывает, пароль и логин меняются местами.

4. Обход аутентификации

Бывает, что системные администраторы заморочились и поменяли дефолтные пароли на всех своих принтерах. Это не значит, что мы теперь бессильны - не так давно в журнале "Хакер" вышла статья про обход аутентификации в моделях Brother, Fujifilm, Konica Minolta, Ricoh и Toshiba. Комьюнити метасплойта позаботилось и уже выпустило модуль для эксплуатации некоторых моделей принтеров Brother.

Выводы

Хотя самой распространенной моделью принтеров в корпоративной среде остается HP, вероятность встретить уязвимые модели достаточно высока. Из практики Konica Minolta чаще встречается в США, Канаде, странах Европы; Kyocera – в Японии, Тайвани, странах Европы и США. Также нужно пробовать войти с дефолтными кредами в веб-формы принтеров (да и других устройств/служб, чего уж) и пытаться выжать из них максимум информации.

Вся информация представлена в образовательных целях и для повышения осведомленности в области безопасности. Проводите тестирование на проникновение только с явного письменного разрешения владельца целевой системы.