hacktricks/network-services-pentesting/pentesting-ssh.md

22 - Testowanie penetracyjne SSH/SFTP

Nauka hakowania AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

• Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
• Zdobądź oficjalne gadżety PEASS & HackTricks
• Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @carlospolopm.
• Podziel się swoimi sztuczkami hakowania, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.

Wskazówka dotycząca nagrody za błąd: Zarejestruj się na platformie Intigriti, premium platformie nagród za błędy stworzonej przez hakerów, dla hakerów! Dołącz do nas na https://go.intigriti.com/hacktricks już dziś i zacznij zarabiać nagrody aż do $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Podstawowe informacje

SSH (Secure Shell lub Secure Socket Shell) to protokół sieciowy umożliwiający bezpieczne połączenie z komputerem przez niezabezpieczoną sieć. Jest niezbędny do zachowania poufności i integralności danych podczas dostępu do systemów zdalnych.

Domyślny port: 22

22/tcp open  ssh     syn-ack

Serwery SSH:

• openSSH – OpenBSD SSH, dostarczany w dystrybucjach BSD, Linuxa i Windows od wersji Windows 10
• Dropbear – Implementacja SSH dla środowisk o niskiej pamięci i zasobach procesora, dostarczana w OpenWrt
• PuTTY – Implementacja SSH dla Windows, klient jest powszechnie używany, ale użycie serwera jest rzadsze
• CopSSH – Implementacja OpenSSH dla Windows

Biblioteki SSH (implementujące po stronie serwera):

• libssh – Wieloplatformowa biblioteka w języku C implementująca protokół SSHv2 z wiązaniami w Pythonie, Perlu i R; jest używana przez KDE do sftp i przez GitHub do infrastruktury git SSH
• wolfSSH – Biblioteka serwera SSHv2 napisana w ANSI C, przeznaczona dla wbudowanych, systemów operacyjnych czasu rzeczywistego i środowisk o ograniczonych zasobach
• Apache MINA SSHD – Biblioteka SSHD w języku Java Apache oparta na Apache MINA
• paramiko – Biblioteka protokołu SSHv2 w Pythonie

Wyliczanie

Pobieranie banera

nc -vn <IP> 22

Zautomatyzowany audyt ssh

ssh-audit to narzędzie do audytu konfiguracji serwera i klienta ssh.

https://github.com/jtesta/ssh-audit to zaktualizowana wersja od https://github.com/arthepsy/ssh-audit/

Funkcje:

• Obsługa serwera protokołu SSH1 i SSH2;
• analiza konfiguracji klienta SSH;
• pobieranie banera, rozpoznawanie urządzenia lub oprogramowania oraz systemu operacyjnego, wykrywanie kompresji;
• zbieranie algorytmów wymiany klucza, klucza hosta, szyfrowania i kodu uwierzytelniania wiadomości;
• wyprowadzanie informacji o algorytmach (dostępne od, usunięte/wyłączone, niebezpieczne/słabe/przestarzałe, itp.);
• wyprowadzanie zaleceń dotyczących algorytmów (dodawanie lub usuwanie na podstawie rozpoznanego numeru wersji oprogramowania);
• wyprowadzanie informacji o bezpieczeństwie (powiązane problemy, przypisana lista CVE, itp.);
• analiza zgodności wersji SSH na podstawie informacji o algorytmach;
• informacje historyczne z OpenSSH, Dropbear SSH i libssh;
• działa na systemach Linux i Windows;
• brak zależności

usage: ssh-audit.py [-1246pbcnjvlt] <host>

-1,  --ssh1             force ssh version 1 only
-2,  --ssh2             force ssh version 2 only
-4,  --ipv4             enable IPv4 (order of precedence)
-6,  --ipv6             enable IPv6 (order of precedence)
-p,  --port=<port>      port to connect
-b,  --batch            batch output
-c,  --client-audit     starts a server on port 2222 to audit client
software config (use -p to change port;
use -t to change timeout)
-n,  --no-colors        disable colors
-j,  --json             JSON output
-v,  --verbose          verbose output
-l,  --level=<level>    minimum output level (info|warn|fail)
-t,  --timeout=<secs>   timeout (in seconds) for connection and reading
(default: 5)
$ python3 ssh-audit <IP>

Publiczny klucz SSH serwera

Obejrzyj to w akcji (Asciinema)

ssh-keyscan -t rsa <IP> -p <PORT>

Słabe algorytmy szyfrowania

To jest domyślnie odkrywane przez nmap. Ale można także użyć sslcan lub sslyze.

Skrypty Nmap

nmap -p22 <ip> -sC # Send default nmap scripts for SSH
nmap -p22 <ip> -sV # Retrieve version
nmap -p22 <ip> --script ssh2-enum-algos # Retrieve supported algorythms
nmap -p22 <ip> --script ssh-hostkey --script-args ssh_hostkey=full # Retrieve weak keys
nmap -p22 <ip> --script ssh-auth-methods --script-args="ssh.user=root" # Check authentication methods

Shodan

• ssh

Brute force usernames, passwords and private keys

Wyliczanie nazw użytkowników

W niektórych wersjach OpenSSH można przeprowadzić atak czasowy w celu wyliczenia użytkowników. Można skorzystać z modułu metasploit w celu wykorzystania tego:

msf> use scanner/ssh/ssh_enumusers

Atak siłowy

Niektóre powszechne dane uwierzytelniające ssh tutaj i tutaj oraz poniżej.

Atak siłowy na klucz prywatny

Jeśli znasz jakieś klucze prywatne ssh, które mogą być użyte... spróbujmy tego. Możesz użyć skryptu nmap:

https://nmap.org/nsedoc/scripts/ssh-publickey-acceptance.html

Lub moduł pomocniczy MSF:

msf> use scanner/ssh/ssh_identify_pubkeys

Znane złe klucze można znaleźć tutaj:

{% embed url="https://github.com/rapid7/ssh-badkeys/tree/master/authorized" %}

Słabe klucze SSH / Przewidywalny generator liczb losowych w Debianie

Niektóre systemy mają znane wady w ziarnie losowym używanym do generowania materiałów kryptograficznych. Może to skutkować dramatycznym zmniejszeniem przestrzeni kluczy, które można złamać metodą bruteforce. Zestawy wstępnie wygenerowanych kluczy wygenerowanych na systemach Debian dotkniętych słabym PRNG są dostępne tutaj: g0tmi1k/debian-ssh.

Należy sprawdzić tutaj, aby wyszukać prawidłowe klucze dla maszyny ofiary.

Kerberos

crackmapexec używając protokołu ssh może użyć opcji --kerberos do uwierzytelniania za pomocą Kerberosa.
Aby uzyskać więcej informacji, uruchom crackmapexec ssh --help.

Domyślne dane uwierzytelniające

Producent	Nazwy użytkowników	Hasła
APC	apc, device	apc
Brocade	admin	admin123, password, brocade, fibranne
Cisco	admin, cisco, enable, hsa, pix, pnadmin, ripeop, root, shelladmin	admin, Admin123, default, password, secur4u, cisco, Cisco, _Cisco, cisco123, C1sco!23, Cisco123, Cisco1234, TANDBERG, change_it, 12345, ipics, pnadmin, diamond, hsadb, c, cc, attack, blender, changeme
Citrix	root, nsroot, nsmaint, vdiadmin, kvm, cli, admin	C1trix321, nsroot, nsmaint, kaviza, kaviza123, freebsd, public, rootadmin, wanscaler
D-Link	admin, user	private, admin, user
Dell	root, user1, admin, vkernel, cli	calvin, 123456, password, vkernel, Stor@ge!, admin
EMC	admin, root, sysadmin	EMCPMAdm7n, Password#1, Password123#, sysadmin, changeme, emc
HP/3Com	admin, root, vcx, app, spvar, manage, hpsupport, opc_op	admin, password, hpinvent, iMC123, pvadmin, passw0rd, besgroup, vcx, nice, access, config, 3V@rpar, 3V#rpar, procurve, badg3r5, OpC_op, !manage, !admin
Huawei	admin, root	123456, admin, root, Admin123, Admin@storage, Huawei12#$, HwDec@01, hwosta2.0, HuaWei123, fsp200@HW, huawei123
IBM	USERID, admin, manager, mqm, db2inst1, db2fenc1, dausr1, db2admin, iadmin, system, device, ufmcli, customer	PASSW0RD, passw0rd, admin, password, Passw8rd, iadmin, apc, 123456, cust0mer
Juniper	netscreen	netscreen
NetApp	admin	netapp123
Oracle	root, oracle, oravis, applvis, ilom-admin, ilom-operator, nm2user	changeme, ilom-admin, ilom-operator, welcome1, oracle
VMware	vi-admin, root, hqadmin, vmware, admin	vmware, vmw@re, hqadmin, default

SSH-MitM

Jeśli znajdujesz się w sieci lokalnej ofiary, która ma połączyć się z serwerem SSH za pomocą nazwy użytkownika i hasła, możesz spróbować przeprowadzić atak typu MitM, aby ukraść te dane uwierzytelniające:

Ścieżka ataku:

• Przekierowanie ruchu: Atakujący przekierowuje ruch ofiary na swoją maszynę, efektywnie przechwytując próbę połączenia z serwerem SSH.
• Przechwycenie i logowanie: Maszyna atakującego działa jako proxy, przechwytując dane logowania użytkownika, udając prawidłowy serwer SSH.
• Wykonanie poleceń i przekazywanie: W końcu serwer atakującego loguje dane uwierzytelniające użytkownika, przekazuje polecenia do rzeczywistego serwera SSH, wykonuje je i przesyła wyniki z powrotem do użytkownika, sprawiając, że proces wydaje się być płynny i legalny.

SSH MITM robi dokładnie to, co opisano powyżej.

Aby przechwycić i przeprowadzić rzeczywisty atak typu MitM, można użyć technik takich jak ARP spoofing, DNS spoofing lub inne opisane w Atakach na podszywanie się w sieci.

SSH-Snake

Jeśli chcesz przemierzać sieć, korzystając z odkrytych prywatnych kluczy SSH na systemach, wykorzystując każdy klucz prywatny na każdym systemie do nowych hostów, to SSH-Snake jest tym, czego potrzebujesz.

SSH-Snake automatycznie i rekurencyjnie wykonuje następujące zadania:

1. Na bieżącym systemie znajduje wszystkie klucze prywatne SSH,
2. Na bieżącym systemie znajduje wszystkie hosty lub miejsca docelowe (użytkownik@host), które mogą zaakceptować klucze prywatne,
3. Próbuje połączyć się przez SSH ze wszystkimi miejscami docelowymi, używając wszystkich odkrytych kluczy prywatnych,
4. Jeśli połączenie z miejscem docelowym powiedzie się, powtarza kroki #1 - #4 na połączonym systemie.

Jest to w pełni samoreplikujące się i samopropagujące -- oraz całkowicie bezplikowe.

Błędy konfiguracji SSH

Logowanie jako root

Często serwery SSH pozwalają na logowanie użytkownika root domyślnie, co stanowi znaczne ryzyko bezpieczeństwa. Wyłączenie logowania jako root jest kluczowym krokiem w zabezpieczaniu serwera. Nieuprawniony dostęp z uprawnieniami administracyjnymi oraz ataki bruteforce można zminimalizować, dokonując tej zmiany.

Aby wyłączyć logowanie jako root w OpenSSH:

1. Edytuj plik konfiguracyjny SSH za pomocą: sudoedit /etc/ssh/sshd_config
2. Zmień ustawienie z #PermitRootLogin yes na PermitRootLogin no.
3. Przeładuj konfigurację za pomocą: sudo systemctl daemon-reload
4. Uruchom ponownie serwer SSH, aby zastosować zmiany: sudo systemctl restart sshd

Atak bruteforce SFTP

• Atak bruteforce SFTP

Wykonanie poleceń SFTP

Często występuje powszechne przeoczenie w konfiguracjach SFTP, gdzie administratorzy zamierzają, aby użytkownicy wymieniali pliki bez włączania zdalnego dostępu do powłoki. Pomimo ustawienia użytkowników z nieaktywnymi powłokami (np. /usr/bin/nologin) i ograniczenia ich do określonego katalogu, pozostaje luka w zabezpieczeniach. Użytkownicy mogą ominąć te ograniczenia, żądając wykonania polecenia (np. /bin/bash) natychmiast po zalogowaniu, zanim przejmie kontrolę ich przeznaczona nieaktywna powłoka. Pozwala to na nieautoryzowane wykonanie poleceń, podważając zamierzone środki bezpieczeństwa.

Przykład stąd:

ssh -v noraj@192.168.1.94 id
...
Password:
debug1: Authentication succeeded (keyboard-interactive).
Authenticated to 192.168.1.94 ([192.168.1.94]:22).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.
debug1: pledge: network
debug1: client_input_global_request: rtype hostkeys-00@openssh.com want_reply 0
debug1: Sending command: id
debug1: client_input_channel_req: channel 0 rtype exit-status reply 0
debug1: client_input_channel_req: channel 0 rtype eow@openssh.com reply 0
uid=1000(noraj) gid=100(users) groups=100(users)
debug1: channel 0: free: client-session, nchannels 1
Transferred: sent 2412, received 2480 bytes, in 0.1 seconds
Bytes per second: sent 43133.4, received 44349.5
debug1: Exit status 0

$ ssh noraj@192.168.1.94 /bin/bash

Oto przykład zabezpieczonej konfiguracji SFTP (/etc/ssh/sshd_config - openSSH) dla użytkownika noraj:

Match User noraj
ChrootDirectory %h
ForceCommand internal-sftp
AllowTcpForwarding no
PermitTunnel no
X11Forwarding no
PermitTTY no

To konfiguracja pozwoli tylko na SFTP: wyłączenie dostępu do powłoki poprzez wymuszenie uruchomienia polecenia start i wyłączenie dostępu do TTY, ale także wyłączenie wszystkich rodzajów przekierowywania portów lub tunelowania.

Tunelowanie SFTP

Jeśli masz dostęp do serwera SFTP, możesz również przekierować swój ruch przez niego, na przykład korzystając z powszechnego przekierowywania portów:

sudo ssh -L <local_port>:<remote_host>:<remote_port> -N -f <username>@<ip_compromised>

SFTP Symlink

SFTP posiada polecenie "symlink". Dlatego, jeśli masz prawa do zapisu w pewnym folderze, możesz tworzyć symlinki do innych folderów/plików. Ponieważ prawdopodobnie jesteś uwięziony w chroocie, to nie będzie to specjalnie przydatne dla Ciebie, ale jeśli możesz uzyskać dostęp do utworzonego symlinku z usługi bez chroota (na przykład, jeśli możesz uzyskać dostęp do symlinku z sieci), możesz otworzyć pliki poprzez sieć.

Na przykład, aby utworzyć symlink od nowego pliku "froot" do "/":

sftp> symlink / froot

Jeśli możesz uzyskać dostęp do pliku "froot" za pośrednictwem sieci, będziesz mógł wyświetlić zawartość folderu root ("/") systemu.

Metody uwierzytelniania

W środowiskach o wysokim poziomie bezpieczeństwa powszechną praktyką jest włączanie tylko uwierzytelniania opartego na kluczu lub uwierzytelniania dwuetapowego, a nie opartego na prostym haśle. Jednak często silniejsze metody uwierzytelniania są włączane bez wyłączania słabszych. Częstym przypadkiem jest włączenie publickey w konfiguracji openSSH i ustawienie go jako domyślną metodę, ale nie wyłączenie password. Dlatego, korzystając z trybu verbose klienta SSH, atakujący może zobaczyć, że włączona jest słabsza metoda:

ssh -v 192.168.1.94
OpenSSH_8.1p1, OpenSSL 1.1.1d  10 Sep 2019
...
debug1: Authentications that can continue: publickey,password,keyboard-interactive

Na przykład, jeśli ustawiono limit niepowodzeń uwierzytelniania i nigdy nie masz szansy dotrzeć do metody hasła, możesz użyć opcji PreferredAuthentications, aby wymusić użycie tej metody.

ssh -v 192.168.1.94 -o PreferredAuthentications=password
...
debug1: Next authentication method: password

Pliki konfiguracyjne

ssh_config
sshd_config
authorized_keys
ssh_known_hosts
known_hosts
id_rsa

Fuzzing

• https://packetstormsecurity.com/files/download/71252/sshfuzz.txt
• https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh_version_2

References

• Możesz znaleźć interesujące przewodniki dotyczące zabezpieczania SSH pod adresem https://www.ssh-audit.com/hardening_guides.html
• https://community.turgensec.com/ssh-hacking-guide

Wskazówka dotycząca nagrody za błąd: Zarejestruj się na platformie Intigriti, premium platformie nagród za błędy stworzonej przez hakerów, dla hakerów! Dołącz do nas na https://go.intigriti.com/hacktricks już dziś i zacznij zarabiać nagrody aż do $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

HackTricks Automatic Commands

Protocol_Name: SSH
Port_Number: 22
Protocol_Description: Secure Shell Hardening

Entry_1:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -v -V -u -l {Username} -P {Big_Passwordlist} -t 1 {IP} ssh

Entry_2:
Name: consolesless mfs enumeration
Description: SSH enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ssh/ssh_version; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use scanner/ssh/ssh_enumusers; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ssh/juniper_backdoor; set RHOSTS {IP}; set RPORT 22; run; exit'

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

• Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF sprawdź PLANY SUBSKRYPCYJNE!
• Kup oficjalne gadżety PEASS & HackTricks
• Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @carlospolopm.
• Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.