LIMB
В прошлой части я создал рокетчат для пентестеров. Скажу так, по моей статистике на 5 человек работает только один, остальные не работают. Поэтому всем так необходимы пентестеры.
У меня со старого сплоита есть доступы, но там очень много пустышек. Я решил их отсортировать, удалив генерку, логины из цифр, логины без домена и отсортироввал. Всё это дело я сделал в несколько этапов используя регулярные выражения и стандартную сортировку от emeditor. В любом случае ChatGPT в помощь вам.
Зачем я это сделал? Ну по моей логике если от одного впна много учеток и есть домен, то больше вероятность что сетка стоящая. Также много учеток на руках, больший шанс что попадется юзер или домейн админа или какие то интересные доступа в сети принтеры может быть, NAS еще чего. Это гораздо интереснее, чем заниматься рутиной и переходить каждый раз к новому доступу потому что не выдал впн роуты или в сети ничего нет.
Из 11 тысяч строк осталось всего лишь 1500. Примерно 10-20 разных компаний. На первое время мне этого хватит чтобы написать статей. Рад быть мотиватором в твоих начинаниях :handshake:
Разберемся для начала в основных терминах
Главное отличие:
Мы значит проводим редтим. Коротко о чем эта статья, часто неопытные юзеры выкидывают доступы если vpn не отдал им роуты, думая что сетка пустая или бессмысленно сканить большие диапазоны. В это статье я расскажу обратное.
Вы можете для подключения к впну использовать как windows, то есть скачать официальное приложение для подключения к forti, далее после подключения прописать в cmd.exe print route или ipconfig /all и вы уведите ip и маску впна. Там будет маска 255.255.255.255 и вы уже подумаете что всё пора выбрасывать. Подключившись через openconnect впн также не отдаст автоматически роуты и вы расстроитесь. Но нет! Сейчас покажу.
Как коннектиться к forti на windows (если знаете скипайте)
Скачиваем с официального сайта fortinet версию VPN-only
Используйте опцию Customize port если требуется. И жмем save
Connect, соглашаемся с предупреждением, готово.
Обычно адаптер Forti явно подписывается в поле "Description" вы его ни с чем не перепутаете.
Пробегаемся глазами по маске видим почти всё 255.255.255.255 никаких диапазонов нет.
Сканируем сеть
Используем этот софт: https://www.advanced-ip-scanner.com/ru/
Это действительно популярный сканер среди сисадминов, поэтому траффик не должен быть подозрительным. На рабочих тачках в AD он может быть уже предустановлен и вы можете прям с нее сканить, но это не наш случай. У нас ничего подобного нет.
Настройте опции под ваши требования
Поскольку впн не отдал роуты будем сканить иначе.
Документ RFC 1918 определяет три диапазона IP-адресов, зарезервированных для частных сетей:
Очевидно так мы не можем, слишком много адресов в этих диапазонах, можно потратить время.
172.16.0.17 - dns такой. Попробуем просканить 172.16.0.0/24 и еще можно 192.168.0.0/24
Что-то да находит.
К этой компании у меня есть десяток разных учеток впна. Я могу побрутить микротик тем более api доступен 8728 порт открыт
Еще известна версия RouterOS можно поискать poc
Далее просто частные диапазоны гоняем. Обратите внимание... Сотни роутеров просто ждут пока вы их сбрутите или найдете дефолт креды.
Но, честно скажу я не пентестер. Я отдал эту корпу мемберу с нашего форума который в десятку лучших входит по standoff365. Если раскурим что-то то поделимся с вами.
А вот коротко что можно сделать если получим доступы к роутерам.
Получить бесплатный доступ и начать работать со мной: https://forum.LIMB.cc/threads/493/page-2
У меня со старого сплоита есть доступы, но там очень много пустышек. Я решил их отсортировать, удалив генерку, логины из цифр, логины без домена и отсортироввал. Всё это дело я сделал в несколько этапов используя регулярные выражения и стандартную сортировку от emeditor. В любом случае ChatGPT в помощь вам.
Зачем я это сделал? Ну по моей логике если от одного впна много учеток и есть домен, то больше вероятность что сетка стоящая. Также много учеток на руках, больший шанс что попадется юзер или домейн админа или какие то интересные доступа в сети принтеры может быть, NAS еще чего. Это гораздо интереснее, чем заниматься рутиной и переходить каждый раз к новому доступу потому что не выдал впн роуты или в сети ничего нет.
Из 11 тысяч строк осталось всего лишь 1500. Примерно 10-20 разных компаний. На первое время мне этого хватит чтобы написать статей. Рад быть мотиватором в твоих начинаниях :handshake:
Разберемся для начала в основных терминах
КритерийПентест (Penetration Test)Аудит безопасности (Security Audit)Red Team (Red Team Assessment)ЦельВыявление и эксплуатация уязвимостейПроверка соответствия стандартам, политикам и лучшим практикамСимуляция реальных атак для оценки способности защитыПодходИмитация действий злоумышленникаАнализ документации, конфигураций, процедурКомплексная скрытная атака с достижением заранее заданных целейМетодыСканирование, эксплуатация, технический анализИнтервью, ревизия, лог-анализ, проверка политикСоциальная инженерия, фишинг, физический доступ, эксплуатацияМасштабОпределён заранее, ограниченныйШирокий, охватывает технические и организационные аспектыГибкий, максимально приближён к реальной атакеТип тестированияАктивноеПассивноеАктивноеВзаимодействие с защитой (Blue Team)Отсутствует или уведомленоОтсутствуетОтсутствует (в классическом варианте), для проверки детектированияИнструментыСканеры уязвимостей, фреймворки (например, Metasploit)Чек-листы, нормативные документы, конфигурационные анализаторыЛюбые: от технических до физических и психологическихПродолжительностьОбычно от нескольких дней до пары недельОт нескольких дней до месяцаОт нескольких недель до нескольких месяцевРезультатОтчёт с уязвимостями, рисками и рекомендациямиОтчёт о соответствии с выявленными несоответствиями и рекомендациямиОтчёт о векторах атаки, точках входа, успешных действиях атакующегоРиск воздействия на инфраструктуруУмеренный (возможны сбои при эксплуатации)Низкий (только чтение и анализ)Высокий (используются реальные техники атаки)Требования к уровню допускаДоступ к целевым системам, согласованный объём информацииПолный доступ к документации, системамМинимальный или нулевой доступ, действуют как внешний противникОсновной фокусТехнические уязвимостиПроцессы, политика, соответствиеОбщая устойчивость организации к целенаправленным атакам
Пентест:
- Проверка технических уязвимостей.
- Выполняется с согласованным охватом.
- Имитация действий злоумышленника, но в ограниченных рамках.
- Цель: найти уязвимости и показать, как они могут быть использованы.
- Не включает социальную инженерию или физический доступ.
Аудит:
- Проверка соответствия стандартам, политикам, требованиям.
- Пассивный подход — нет эксплуатации уязвимостей.
- Оцениваются процессы, настройки, документация.
- Цель: выявить отклонения от нормативов и внутренних регламентов.
Red Team:
- Полная симуляция реальной атаки (технической, физической, психологической).
- Не ограничен строгими рамками — цель достигается любыми средствами.
- Проверяется не только уязвимость, но и способность защитной стороны обнаружить и остановить атаку.
- Используются тактики APT-групп: фишинг, фальшивые документы, взлом устройств и т.п.
Главное отличие:
- Пентест — проверка уязвимостей.
- Аудит — проверка соответствия.
- Red Team — проверка готовности к реальной атаке.
Мы значит проводим редтим. Коротко о чем эта статья, часто неопытные юзеры выкидывают доступы если vpn не отдал им роуты, думая что сетка пустая или бессмысленно сканить большие диапазоны. В это статье я расскажу обратное.
Вы можете для подключения к впну использовать как windows, то есть скачать официальное приложение для подключения к forti, далее после подключения прописать в cmd.exe print route или ipconfig /all и вы уведите ip и маску впна. Там будет маска 255.255.255.255 и вы уже подумаете что всё пора выбрасывать. Подключившись через openconnect впн также не отдаст автоматически роуты и вы расстроитесь. Но нет! Сейчас покажу.
Как коннектиться к forti на windows (если знаете скипайте)
Скачиваем с официального сайта fortinet версию VPN-only
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Используйте опцию Customize port если требуется. И жмем save
Не удалось прогрузить медиа
Connect, соглашаемся с предупреждением, готово.
ipconfig /allНе удалось прогрузить медиа
Обычно адаптер Forti явно подписывается в поле "Description" вы его ни с чем не перепутаете.
Не удалось прогрузить медиа
Пробегаемся глазами по маске видим почти всё 255.255.255.255 никаких диапазонов нет.
Сканируем сеть
Используем этот софт: https://www.advanced-ip-scanner.com/ru/
70 миллионов пользователей выбирают
бесплатный Advanced IP Scanner
AIP Надежный и бесплатный сетевой сканер для анализа локальных сетей. Программа сканирует все устройства в сети, предоставляет доступ к общим папкам и FTP-серверам, дает возможность удаленно управлять компьютерами (через RDP и Radmin), и даже может удаленно выключать их. Advanced IP Scanner не требует установки и имеет простой дружелюбный интерфейс. Эта программа должна присутствовать в арсенале каждого системного администратора
Это действительно популярный сканер среди сисадминов, поэтому траффик не должен быть подозрительным. На рабочих тачках в AD он может быть уже предустановлен и вы можете прям с нее сканить, но это не наш случай. У нас ничего подобного нет.
Настройте опции под ваши требования
Не удалось прогрузить медиа
Поскольку впн не отдал роуты будем сканить иначе.
Документ RFC 1918 определяет три диапазона IP-адресов, зарезервированных для частных сетей:
КлассДиапазонКол-во адресовA
10.0.0.0/816 777 216 адресовB172.16.0.0/121 048 576 адресовC192.168.0.0/1665 536 адресов
Очевидно так мы не можем, слишком много адресов в этих диапазонах, можно потратить время.
172.16.0.17 - dns такой. Попробуем просканить 172.16.0.0/24 и еще можно 192.168.0.0/24
Не удалось прогрузить медиа
Что-то да находит.
Не удалось прогрузить медиа
К этой компании у меня есть десяток разных учеток впна. Я могу побрутить микротик тем более api доступен 8728 порт открыт
Не удалось прогрузить медиа
Еще известна версия RouterOS можно поискать poc
git clone https://github.com/tenable/routeros.gitНе удалось прогрузить медиа
Далее просто частные диапазоны гоняем. Обратите внимание... Сотни роутеров просто ждут пока вы их сбрутите или найдете дефолт креды.
Не удалось прогрузить медиа
Но, честно скажу я не пентестер. Я отдал эту корпу мемберу с нашего форума который в десятку лучших входит по standoff365. Если раскурим что-то то поделимся с вами.
А вот коротко что можно сделать если получим доступы к роутерам.
:brain: Сбор данных (Recon)
ДействиеОписаниеУсловия выполненияПрименимо кПросмотр конфигурацииИзвлечение всех настроек, включая IP, ACL, логиныПривилегированный доступ (
admin, enable, root)ВсеИзвлечение VPN/PPPoE/SIP учётокДоступ к конфигурации или файловой системеКонфиг содержит plaintext/base64 пароли. Привилегии: read + fileMikroTik, Cisco, HuaweiПросмотр маршрутов/NATПонимание структуры сети, возможен обходПривилегии уровня read, adminВсеCDP/LLDP разведкаСоседи, MAC-адреса, топология сетиПротокол включен + доступ к CLI (show, display, /ip neighbor)Cisco, Huawei, MikroTikПросмотр логовАнализ подключений, логинов, ошибок, иногда — паролиЕсли log доступен или пишется в файл/память (log print, logread)MikroTik, Linux-based
:closed_lock_with_key: Снифинг (Credential Interception)
ДействиеОписаниеУсловия выполненияПрименимо кИспользование Torch (MikroTik)Просмотр IP/портов в реальном времениПривилегии
/tool torch (обычно требует admin)MikroTikPort mirroring / SPANОтправка трафика с интерфейса на "зеркальный" портУстройство с поддержкой SPAN. Доступ к конфигу интерфейсовCisco, MikroTik, HuaweiИспользование Packet SnifferПрямой перехват TCP/UDP/ARP пакетов/tool sniffer, привилегия admin. Интерфейсы не должны быть защищеныMikroTik, Linux-basedСниффинг PPPoE/CHAPПерехват auth handshakePPPoE-трафик не зашифрован, доступ к sniffer/log, наличие клиентов в сетиMikroTik, иногда CiscoDNS interceptionВедение логов DNS-запросовИспользование /ip dns static, NAT-правил или ip dns cache allMikroTikПодмена маршрутов (MITM)Манипуляция маршрутизацией для проксирования трафикаДоступ к /ip route, /ip firewall nat, отсутствие egress ACLMikroTik, Cisco
:jigsaw: Закрепление (Persistence)
ДействиеОписаниеУсловия выполненияПрименимо кСоздание скрытого пользователяНовый пользователь с маскировкой (
system script, user)Привилегии admin. На MikroTik можно задать невидимую группу или скриптMikroTik, CiscoНазначение авто-скриптаАвтозапуск шела, туннеля, туннель reverse SSHMikroTik /system script + /system scheduler, Cisco EEMMikroTik, CiscoReverse shell через wget/tftpУстановка backconnect скриптаДоступ к shell и внешним IP, разрешение исходящих соединенийMikroTik (если shell), LinuxСкрытая маршрутизация в туннельТуннелирование части трафика на внешкуПривилегии на маршруты, разрешение tun/tcp/greMikroTik, CiscoПодмена DNSПеренаправление DNS-запросовДоступ к /ip dns, spoofing разрешёнMikroTik, Linux-based
:firecracker: Эксплуатация (Post-Exploitation)
ДействиеОписаниеУсловия выполненияПрименимо кПерехват логинов (telnet/ftp/http)Через снифинг, если нет TLSЛокальный трафик или отражён через туннель. Протокол не использует шифрованиеВсеДоступ к внутренним подсетямИспользование маршрутизатора как pivotПривилегии + внутренние маршруты или NAT/port-forwardingВсеБрут внутренних служб (pivot)Использование маршрутизатора как точка опорыУстройство пропускает исходящий трафик, есть SSH или SOCKS-туннельВсе
Получить бесплатный доступ и начать работать со мной: https://forum.LIMB.cc/threads/493/page-2
👍39
❤️8
😁14
😮11