Tài liệu Báo cáo system hacking

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG VÀ AN NINH MẠNG QUỐC TẾ ATHENA BÁO CÁO THỰC TẬP DOANH NGHIỆP SYSTEM HACKING Giảng viên hướng dẫn: Võ Đỗ Thắng. Sinh viên thực hiện: Trần Nguyễn Lộc. TP. Hồ Chí Minh, tháng 04 năm 2015 Nhận xét của giảng viên .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. .............................................................................................................................................. SVTH:TRẦN NGUYỄN LỘC Trang 1 Mục lục Mở đầu ................................................................................................................................ 4 Phần I: Giới thiệu. .............................................................................................................. 5 1.1.Khái niệm System hacking......................................................................................... 5 1.2. Các lỗ hỗng bảo mật hệ thống và phần mềm trong windows ................................... 5 1.3.Các bước tấn công hệ thống. ...................................................................................... 6 PHẦN II: SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC VÀ TẤN CÔNG TRONG MẠNG LAN. ....................................................................................................................... 7 2.1.Giới thiệu về hệ điều hành Backtrack 5 R3. .............................................................. 7 2.2.Giới thiệu về công cụ Metasploit ............................................................................. 10 2.3.Các lệnh dùng để khai thác lỗ hổng của công cụ Metasploit ................................... 11 2.4.Khai thác và xâm nhập lỗ hổng windows XP .......................................................... 14 2.4.1. Sơ đồ tấn công mạng Lan ................................................................................. 14 2.4.2.Thực hiện tấn công. ........................................................................................... 15 PHẦN III: XÂY DỰNG HONEYPOT KHAI THÁC XÂM NHẬP LỖ HỔNG TỪ XA QUA MẠNG INTERNET. ................................................................................................ 26 3.1 Honeypot . ................................................................................................................ 26 3.2 Sơ đồ tổng quan sử dụng Honeypot để xâm nhập từ xa qua Internet ...................... 27 3.3 Tấn công hệ điều hành Windows XP ....................................................................... 28 PHẦN IV: TỔNG KẾT .................................................................................................... 31 Phần V: Danh mục các clip .............................................. Error! Bookmark not defined. Phần VI: Danh Mục Tham Khảo. .................................................................................... 32 SVTH:TRẦN NGUYỄN LỘC Trang 2 Lời cảm ơn -Em xin chân thành cảm ơn trung tâm Athena đã tạo điều kiện cho em học hoàn thành tốt đồ án tốt nghiệp , giúp em có thêm tự tin để có thể làm việc sau khi ra trường. -Em xin gửi lời cảm ơn đến thầy Võ Đỗ Thắng –giám đốc trung tâm Athena đã hướng dẫn tận tình và truyền đạt những kinh nghiệm quý báu để giúp em hoàn thành đề tài này. -Trong quá trình thực hiện đề tài không thể không có những sai sót, mong thầy cô và các bạn trung tâm Athena góp ý để em có được nhiều kinh nghiệm quý báu trong các đề tài sau này. SVTH:TRẦN NGUYỄN LỘC Trang 3 Mở đầu Theo thống kê của công ty Bkav, từ đầu năm 2013 đến nay, tại Việt Nam đã có 2.405 website của các cơ quan, doanh nghiệp bị xâm nhập, trung bình mỗi tháng có khoảng 300 website bị tấn công. Ông Vũ Ngọc Sơn, Phó chủ tịch phụ trách Nghiên cứu phát triển của Bkav cho biết, các cơ quan doanh nghiệp bị tấn công gần như là đầy đủ, từ ít nghiêm trọng đến nghiêm trọng và rất nghiêm trọng (nhằm đánh cắp các tài liệu mật) và các mã độc này nhắm cả vào Bộ Công An, Bộ Quốc phòng, ngân hàng, các cơ quan đơn vị nghiên cứu, các doanh nghiệp…Theo nhìn nhận của Bkav, đã có những chiến dịch tấn công, phát tán mã độc có chủ đích vào Việt Nam. Trong đó, bản thân các vụ tấn công trên mạng và các vụ xâm nhập hệ thống công nghệ thông tin là nhằm do thám, trục lợi, phá hoại dữ liệu, ăn cắp tài sản, cạnh tranh không lành mạnh và một số vụ mất an toàn thông tin số khác đang gia tăng ở mức báo động về số lượng, đa dạng về hình thức, tinh vi hơn về công nghệ. Qua báo cáo trên cho ta thấy tình hình an ninh mạng ở Việt Nam là diễn biến hết sức phức tạp và chứa nhiều lỗ hổng bảo mật hết sức nguy hiểm, chính vì thế tôi chọn đề tài “System hacking ” để làm đề tài thực tập với mục đích tìm hiểu rõ về những lỗ hổng bảo mật trong window và các phần mềm ứng dụng mà hacker có thể lợi dụng tấn công hệ thống và sau đó chiếm toàn quyền điều khiển , từ đó đưa ra giải pháp phòng chống thích hợp để bảo vệ máy tính cá nhân và hệ thống máy tính trước các sự tấn công nguy hiểm của các hacker. SVTH:TRẦN NGUYỄN LỘC Trang 4 Phần I: Giới thiệu. 1.1.Khái niệm System hacking. -Tấn công hệ thống (System hacking) bao gồm những kỹ thuật lấy username, password dựa vào phần mềm cài trên hệ thống hoặc tính dễ cài đặt và chạy các dịch vụ từ xa của hệ điều hành window. Nâng quyền trong hệ thống, sử dụng keyloger để lấy thông tin, xóa những log file hệ thống. -Mật khẩu mặc định của tài khoản quản trị (administrator) trong hệ thống Windows được để trống , nếu khi cài đặt người dùng bỏ qua quá trình điền mật khẩu của user administrator. Vì vậy, hacker có thể khai thác lỗi này để đăng nhập chính thức vào hệ thống với quyền hạn cao nhất. 1.2. Các lỗ hỗng bảo mật hệ thống và phần mềm trong windows -Tội phạm mạng thường sử dụng các lỗ hổng trong các mã chương trình để truy cập vào các dữ liệu và tài nguyên trên máy tính bị lỗi bảo mật. Các chương trình độc hại được thiết kế đặc biệt để khai thác các lỗ hổng được gọi là kỹ thuật exploit, đang ngày càng phổ biến nhanh chóng.Nếu như trước đây, tội phạm chủ yếu nhắm mục tiêu vào các lỗ hổng bảo mật trong các hệ điều hành Microsoft Windows thì vài năm gần đây, bọn chúng đã chuyển trọng tâm vào các sản phẩm như Adobe Flash Player và Adobe Reader, Microsoft office(Word)….. -Thế nhưng thực tế vẫn còn rất nhiều người dùng không chịu thường xuyên cập nhật các phần mềm trên máy tính của họ. Điều này giải thích tại sao việc khai thác các lỗ hổng đã được vá vẫn còn phổ biến rộng rãi nhất trong số các chương trình độc hại được phát hiện trên máy tính của người dùng. -Để khắc phục những nguy hiểm này, chúng ta nên : thường xuyên kiểm tra các bản cập nhật phần mềm, cài đặt chúng ngay khi được phát hành, có thể cài đặt thủ công nếu cần thiết; không bấm vào các đường liên kết không rõ ràng hoặc mở những email xuất hiện trong hộp thư nếu chúng ta không biết và tin tưởng người gửi, và đặc biệt chúng ta nên thực hiện theo các quy tắc cơ bản của bảo mật máy tính và sử dụng các trình duyệt như Google Chrome, Mozilla Firefox và Internet Explorer để tăng cường bảo mật khi truy cập internet. SVTH:TRẦN NGUYỄN LỘC Trang 5 1.3.Các bước tấn công hệ thống. Trước tiên ta sẽ tìm hiểu tổng quát một quá trình tấn công hệ thống. Mục tiêu phía trước của chúng ta là một hệ thống máy tính. Các bước để tấn công, đánh sập nó, có thể được liệt kê như hình vẽ bên cạnh. Nó gồm 6 công đoạn như sau: (hình 1.1: Quá trình tấn công vào một hệ thống)  Enumerate (liệt kê): Trích ra tất cả những thông tin có thể về user trong hệ thống. Sử dụng phương pháp thăm dò SNMP để có được những thông tin hữu ích, chính xác hơn.  Crack: Công đoạn này có lẽ hấp dẫn nhiều Hackernhất. Bước này yêu cầu chúng ta bẽ khóa mật khẩu đăng nhập của user. Hoặc bằng một cách nào khác, mục tiêu phải đạt tới là quyền truy cập vào hệ thống.  Escalste (leo thang): Nói cho dễ hiểu là chuyển đổi giới hạn truy cập từ user binh thường lên admin hoặc user có quyền cao hơn đủ cho chúng ta tấn công. SVTH:TRẦN NGUYỄN LỘC Trang 6  Execute (thực thi): Thực thi ứng dụng trên hệ thống máy đích. Chuẩn bị trước malware, keylogger, rootkit…để chạy nó trên máy tính tấn công.  Hide (ẩn file): Những file thực thi, file soucecode chạy chương trình… Cần phải được làm ẩn đi, tránh bị mục tiêu phát hiện tiêu diệt.  Tracks (dấu vết): Tất nhiên không phải là để lại dấu vết. Những thông tin có liên quan đến bạn cần phải bị xóa sạch, không để lại bất cứ thứ gì. Nếu không khả năng bạn bị phát hiện là kẻ đột nhập là rất cao. Tóm lại, quá trình tấn công hệ thống (System hacking) là bước tiếp theo sau quá trình khảo sát, thu thập thông tin của mục tiêu cần tấn công bằng những kỹ thuật như Footprinting, Social engineering, Enumeration, Google Hacking… đã được áp dụng cho mục đích truy tìm thông tin. Khi hệ thống mục tiêu đã được xác định, chúng ta bắt đầu đi vào quá trình tấn công hệ thống thật sự. Ta phải tiến hành những kỹ thuật khác nhau để làm sao vào được trong hệ thống đó, thực hiện những việc mà mình mong muốn, như xóa dữ liệu, chạy chương trình trojan, keylogger… PHẦN II: SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC VÀ TẤN CÔNG TRONG MẠNG LAN. 2.1.Giới thiệu về hệ điều hành Backtrack 5 R3. Backtrack là một bản phân phối dạng Live DVD của Linux, được phát triển để thử nghiệm xâm nhập. Backtrack là sự hợp nhất giữa 3 bản phân phối khác nhau của Linux về thâm nhập thử nghiệm IWHAX, WHOPPIX, và Auditor. Trong phiên bản hiện tại của nó (5), Backtrack được dựa trên phiên bản phân phối Linux Ubuntu 11.10. Công cụ Backtrack đã có lịch sử phát triển khá lâu qua nhiều bản linux khác nhau. Phiên bản hiện nay sử dụng bản phân phối Slackware linux (Tomas M.(www.slax.org)). Backtrack liên tục cập nhật các công cụ, drivers,... Hiện tại Backtrack có trên 300 công cụ phục vụ cho việc nghiên cứu bảo mật. Backtrack là sự kết hợp giữa 2 bộ công cụ kiểm thử bảo mật rất nổi tiếng là Whax và Auditor. SVTH:TRẦN NGUYỄN LỘC Trang 7 Backtrack 5 chứa một số công cụ có thể được sử dụng trong quá trình thử nghiệm thâm nhập của chúng ta. Các công cụ kiểm tra thâm nhập trong Backtrack 5 có thể được phân loại như sau:  Information gathering: loại này có chứa một số công cụ có thể được sử dụng để có được thông tin liên quan đến một mục tiêu DNS, định tuyến, địa chỉ e-mail, trang web, máy chủ mail, và như vậy. Thông tin này được th u thập từ các thông tin có sẵn trên Internet, mà không cần chạm vào môi trường mục tiêu.  Network mapping: loại này chứa các công cụ có thể được sử dụng để kiểm tra các host đang tồn tại, thông tin về OS, ứng dụng được sử dụng bởi mục tiêu, và cũng làm portscanning.  Vulnerability identification: Trong thể loại này, chúng ta có thể tìm thấy các công cụ để quét các lỗ hổng (tổng hợp) và trong các thiết bị Cisco. Nó cũng chứa các công cụ để thực hiện và phân tích Server Message Block (SMB) và Simple Network Management Protocol (SNMP).  Web application analysis: loại này chứa các công cụ có thể được sử dụng trong theo dõi, giám sát các ứng dụng web.  Radio network analysis: Để kiểm tra mạng không dây, bluetooth và nhận dạng tần số vô tuyến (RFID), chúng ta có thể sử dụng các công cụ trong thể loại này.  Penetration: loại này chứa các công cụ có thể được sử dụng để khai thác các lỗ hổng tìm thấy trong các máy tính mục tiêu.  Privilege escalation: Sau khi khai thác các lỗ hổng và được truy cập vào các máy tính mục tiêu, chúng ta có thể sử dụng các công cụ trong loại này để nâng cao đặc quyền của chúng ta cho các đặc quyền cao nhất.  Maintaining access: Công cụ trong loại này sẽ có thể giúp chúng ta trong việc duy trì quyền truy cập vào các máy tính mục tiêu. Chúng ta có thể cần để có được những đặc quyền cao nhất trước khi các chúng ta có thể cài đặt công cụ để duy trì quyền truy cập.  Voice Over IP (VOIP): Để phân tích VOIP chúng ta có thể sử dụng các công cụ trong thể loại này.  Digital forensics: Trong loại này, chúng ta có thể tìm thấy một số công cụ có thể được sử dụng để làm phân tích kỹ thuật như có được hình ảnh đĩa cứng, cấu trúc SVTH:TRẦN NGUYỄN LỘC Trang 8 các tập tin, và phân tích hình ảnh đĩa cứng. Để sử dụng các công cụ cung cấp trong thể loại này, chúng ta có thể chọn Start Backtrack Forensics trong trình đơn khởi động. Đôi khi sẽ đòi hỏi chúng ta phải gắn kết nội bộ đĩa cứng và các tập tin trao đổi trong chế độ chỉ đọc để bảo tồn tính toàn vẹn.  Reverse engineering: Thể loại này chứa các công cụ có thể được sử dụng để gỡ rối chương trình một hoặc tháo rời một tập tin thực thi. Chúng ta có thể tải bản www.backtracklinux.org/downloads/ SVTH:TRẦN NGUYỄN LỘC Backtrack 5 tại địa chỉ: Trang 9 2.2.Giới thiệu về công cụ Metasploit -Metasploit là một dự án bảo mật máy tính cung cấp các thông tin về vấn đề lỗ hổng bảo mật cũng như giúp đỡ về kiểm tra thăm nhập và phát triển hệ thống phát hiện tấn công mạng. Metasploit Framework là một môi trường dùng để kiểm tra, tấn công và khai thác lỗi của các service. Metasploit được xây dựng từ ngôn ngữ hướng đối tượng Perl, với những components được viết bằng C, assembler, và Python. Metasploit có thể chạy trên hầu hết các hệ điều hành: Linux, Windows, MacOS. Chúng ta có thể download chương trình tại www.metasploit.com. Metasploit hỗ trợ nhiều giao diện với người dùng:  Console interface: dùng lệnh msfconsole. Msfconsole interface sử dụng các dòng lệnh để cấu hình, kiểm tra nên nhanh hơn và mềm dẻo hơn.  Web interface: dùng msfweb, giao tiếp với người dùng thông qua giao diện Web.  Command line interface: dùng msfcli. Metasploit Enviroment: Global Enviroment: Được thực thi thông qua 2 câu lệnh setg và unsetg, những options được gán ở đây sẽ mang tính toàn cục, được đưa vào tất cả các module exploits. Temporary Enviroment: Được thực thi thông qua 2 câu lệnh set và unset, enviroment này chỉ được đưa vào module exploit đang load hiện tại, không ảnh hưởng đến các module SVTH:TRẦN NGUYỄN LỘC Trang 10 exploit khác Chúng có thể lưu lại enviroment mình đã cấu hình thông qua lệnh save. Môi trường đó sẽ được lưu trong ./msf/config và sẽ được load trở lại khi user interface được thực hiện. 2.3.Các lệnh dùng để khai thác lỗ hổng của công cụ Metasploit  Khởi động chương trình metasploit: -Dùng lệnh msfconsole  Xem các module exploit mà framework hỗ trợ -Dùng lệnh show exploits  Tìm kiếm một module exploit có hỗ trợ hay không -Dùng lệnh : Search exploit_name SVTH:TRẦN NGUYỄN LỘC Trang 11  Chọn module exploit -Dùng lệnh: Use exploit_name  Xem thông tin về module exploit -Dùng lệnh : info exploit_name SVTH:TRẦN NGUYỄN LỘC Trang 12  Xem cách cấu hình của exploit -Sau khi dung lệnh Use exploit_name, ta dùng lệnh show options để biết cách cấu hình exploit  Cấu hình địa chỉ của máy bị tấn công -Dùng lệnh :set Rhost [đia chỉ ip]  Cấu hình port của máy bị tấn công -Dùng lệnh : set Rport [địa chỉ ip]  Cấu hình địa chỉ của máy tấn công(backtrack 5) -Dùng lệnh : set lport [số hiệu port]  xác định payload module name: set payload payload_name  xem những advanced options của payload đó: show advanced  Xem hệ điều hành có hỗ trợ việc tấn công hay không: -Dùng lệnh: show targets SVTH:TRẦN NGUYỄN LỘC Trang 13  Để thực thi exploit : -Dùng lệnh : exploit  Quay lại thao tác trước đó: -Dùng lệnh : back. 2.4.Khai thác và xâm nhập lỗ hổng windows XP 2.4.1. Sơ đồ tấn công mạng Lan SVTH:TRẦN NGUYỄN LỘC Trang 14 -Chuẩn bị: + 1 máy backtrack 5 R3 có địa chỉ IP: 172.16.0.9(máy tấn công) + 1 máy win XP có địa chỉ IP 172.16.0.10(máy bị tấn công) 2.4.2.Thực hiện tấn công. 2.4.2.1. Khai thác mã lỗi ms10_042 -Mục đích của việc khai thác này là khai thác lỗ hổng css trong help center của IE, sau đó chiếm toàn quyền điều khiển trên máy nạn nhân, và sau đó tiến hành cài Backdoor trên máy nhân và sau đó tiến hành xóa dấu vết.  Tiến hành xâm nhập vào máy nạn nhân  Mở giao diện console của công cụ metasploit bằng dòng lệnh msfconsole.  Tìm mã lỗi mà ta cần khai thác , ở đây mã lỗi ms10_042 bằng lệnh search ms10_042. SVTH:TRẦN NGUYỄN LỘC Trang 15  Sử dụng lênh use và set payload để sử dụng mã lỗi ms10_042 và set payload trên máy nạn nhân.  Dùng lệnh set srvhost, lhost, exploit - Set srvhost 172.16.0.9 -> set địa chỉ IP của máy backtrack 5 R3 - Set lhost 172.16.0.9 -> set địa chỉ IP của máy backtrack 5 R3 - Lệnh exploit để bắt đầu xâm nhập trên máy nạn nhân. SVTH:TRẦN NGUYỄN LỘC Trang 16  Sau khi thực hiện lệnh exploit , thì sẽ tạo ra 1 đường link chứa mã độc , mà khi nạn nhân kích vào, thì lập tức sẽ nhiễm mã độc và lúc này backtrack 5 sẽ chiếm toàn quyền điều khiển trên máy bạn nhân.(việc lừa nạn nhận kích vào mã độc tùy vào khả năng của hacker như gửi mail hoặc gửi qua facebook …., tùy vào khả năng của mỗi người) =>Tới bước này là ta có thể chiếm được toàn quyền điều khiển trên máy nạn nhân như: xem thông tin trên máy nạn nhân,thêm ,xóa ,sửa file, thư mục ….. trên máy nạn nhân. SVTH:TRẦN NGUYỄN LỘC Trang 17 -Xem thông tin trên máy nạn nhân thành công. -Tạo thư mục backdoor thành công.  Cài backdoor trên máy tính nạn nhân SVTH:TRẦN NGUYỄN LỘC Trang 18 -Mục đích của việc này là máy tính nạn nhân tự kết nối đến máy backtrack 5 sau mỗi lần restart mà không cần phải tấn công, để thực hiện được việc này chúng ta cần công cụ putty để remote từ xa đến máy nạn nhân.  Sử dụng lệnh sau để tiến hành cài đặt backdoor trên máy nạn nhân  Tiến hành xóa dấu vết trên máy nạn nhân sau khi đã xâm nhập và tấn công thành công. -Mặc định khi ta đăng nhập vào một máy tính nào đó thì nó sẽ lưu lại các event trong công cụ Event Viewer của Microsoft. SVTH:TRẦN NGUYỄN LỘC Trang 19