hacktricks/network-services-pentesting/pentesting-ssh.md

22 - SSH/SFTP Pentesting

AWS hackleme konusunu sıfırdan ileri seviyeye öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek istiyorsanız veya HackTricks'i PDF olarak indirmek istiyorsanız [ABONELİK PLANLARI]'na(https://github.com/sponsors/carlospolop) göz atın!
• Resmi PEASS & HackTricks ürünlerini edinin
• The PEASS Family'yi keşfedin, özel NFT'lerimiz koleksiyonumuz
• Katılın 💬 Discord grubuna veya telegram grubuna veya bizi Twitter 🐦 @carlospolopm'da takip edin.
• Hacking püf noktalarınızı paylaşarak PR'lar göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.

Ödül avı ipucu: Intigriti'ye kaydolun, hackerlar tarafından oluşturulan bir premium ödül avı platformu! Bugün https://go.intigriti.com/hacktricks adresinde bize katılın ve $100,000'a kadar ödüller kazanmaya başlayın!

{% embed url="https://go.intigriti.com/hacktricks" %}

Temel Bilgiler

SSH (Güvenli Kabuk veya Güvenli Soket Kabuğu), güvensiz bir ağ üzerinden bir bilgisayara güvenli bir bağlantı sağlayan bir ağ protokolüdür. Uzak sistemlere erişirken verilerin gizliliğini ve bütünlüğünü korumak için önemlidir.

Varsayılan bağlantı noktası: 22

22/tcp open  ssh     syn-ack

SSH sunucuları:

• openSSH – OpenBSD SSH, BSD, Linux dağıtımlarında ve Windows'ta Windows 10'dan beri bulunmaktadır
• Dropbear – Düşük bellek ve işlemci kaynaklarına sahip ortamlar için SSH uygulaması, OpenWrt'te bulunmaktadır
• PuTTY – Windows için SSH uygulaması, istemci genellikle kullanılsa da sunucunun kullanımı daha nadirdir
• CopSSH – Windows için OpenSSH uygulaması

SSH kütüphaneleri (sunucu tarafını uygulayan):

• libssh – SSHv2 protokolünü uygulayan çok platformlu C kütüphanesi, Python, Perl ve R ile bağlantıları bulunmaktadır; KDE tarafından sftp için ve GitHub tarafından git SSH altyapısı için kullanılmaktadır
• wolfSSH – ANSI C'de yazılmış SSHv2 sunucu kütüphanesi ve gömülü, RTOS ve kaynak kısıtlı ortamlar için hedeflenmiştir
• Apache MINA SSHD – Apache SSHD java kütüphanesi Apache MINA'ya dayanmaktadır
• paramiko – Python SSHv2 protokol kütüphanesi

Numaralandırma

Banner Yakalama

nc -vn <IP> 22

Otomatik ssh denetimi

ssh-audit, ssh sunucusu ve istemci yapılandırmasının denetlenmesi için bir araçtır.

https://github.com/jtesta/ssh-audit, https://github.com/arthepsy/ssh-audit/ adresinden güncellenmiş bir çatallanmadır.

Özellikler:

• SSH1 ve SSH2 protokolü sunucu desteği;
• SSH istemci yapılandırmasını analiz etme;
• banner'ı al, cihazı veya yazılımı tanı ve işletim sistemini algıla, sıkıştırmayı tespit et;
• anahtar değişimini, anahtar anahtarını, şifreleme ve mesaj doğrulama kodu algoritmalarını topla;
• algoritma bilgilerini çıktıla (mevcut olan, kaldırılan/devre dışı bırakılan, güvensiz/zayıf/eski vb.);
• algoritma önerilerini çıktıla (tanınan yazılım sürümüne göre ekle veya kaldır);
• güvenlik bilgilerini çıktıla (ilgili sorunlar, atanan CVE listesi vb.);
• algoritma bilgilerine dayalı SSH sürümü uyumluluğunu analiz et;
• OpenSSH, Dropbear SSH ve libssh'den tarihsel bilgiler;
• Linux ve Windows üzerinde çalışır;
• bağımlılıkları yoktur

usage: ssh-audit.py [-1246pbcnjvlt] <host>

-1,  --ssh1             force ssh version 1 only
-2,  --ssh2             force ssh version 2 only
-4,  --ipv4             enable IPv4 (order of precedence)
-6,  --ipv6             enable IPv6 (order of precedence)
-p,  --port=<port>      port to connect
-b,  --batch            batch output
-c,  --client-audit     starts a server on port 2222 to audit client
software config (use -p to change port;
use -t to change timeout)
-n,  --no-colors        disable colors
-j,  --json             JSON output
-v,  --verbose          verbose output
-l,  --level=<level>    minimum output level (info|warn|fail)
-t,  --timeout=<secs>   timeout (in seconds) for connection and reading
(default: 5)
$ python3 ssh-audit <IP>

Sunucunun Genel SSH Anahtarı

Asciinema'da nasıl yapıldığını izleyin

ssh-keyscan -t rsa <IP> -p <PORT>

Zayıf Şifre Algoritmaları

Bu varsayılan olarak nmap tarafından keşfedilir. Ancak ayrıca sslcan veya sslyze kullanabilirsiniz.

Nmap betikleri

nmap -p22 <ip> -sC # Send default nmap scripts for SSH
nmap -p22 <ip> -sV # Retrieve version
nmap -p22 <ip> --script ssh2-enum-algos # Retrieve supported algorythms
nmap -p22 <ip> --script ssh-hostkey --script-args ssh_hostkey=full # Retrieve weak keys
nmap -p22 <ip> --script ssh-auth-methods --script-args="ssh.user=root" # Check authentication methods

Shodan

• ssh

Kaba kuvvetle kullanıcı adları, şifreler ve özel anahtarlar

Kullanıcı Adı Sıralaması

Bazı OpenSSH sürümlerinde zamanlama saldırısı yaparak kullanıcıları sıralayabilirsiniz. Bunu sömürmek için bir metasploit modülü kullanabilirsiniz:

msf> use scanner/ssh/ssh_enumusers

Kaba kuvvet

Bazı yaygın ssh kimlik bilgileri burada ve burada ve aşağıda.

Özel Anahtar Kaba Kuvvet

Eğer kullanılabilecek bazı ssh özel anahtarlarını biliyorsanız... deneyelim. Nmap betiğini kullanabilirsiniz:

https://nmap.org/nsedoc/scripts/ssh-publickey-acceptance.html

Veya MSF yardımcı modülü:

msf> use scanner/ssh/ssh_identify_pubkeys

Bilinen kötü anahtarlar burada bulunabilir:

{% embed url="https://github.com/rapid7/ssh-badkeys/tree/master/authorized" %}

Zayıf SSH anahtarları / Debian tahmin edilebilir PRNG

Bazı sistemler, kriptografik materyal oluşturmak için kullanılan rastgele tohumda bilinen hatalara sahiptir. Bu, kaba kuvvet saldırısına maruz kalan dramatik bir anahtar alanı oluşturabilir. Zayıf PRNG etkilenen Debian sistemlerinde oluşturulan önceden oluşturulmuş anahtar setleri burada mevcuttur: g0tmi1k/debian-ssh.

Kurban makine için geçerli anahtarları aramak için buraya bakmalısınız.

Kerberos

crackmapexec ssh protokolünü kullanarak --kerberos seçeneğini kullanarak kerberos üzerinden kimlik doğrulaması yapabilir.
Daha fazla bilgi için crackmapexec ssh --help komutunu çalıştırın.

Varsayılan Kimlik Bilgileri

Satıcı	Kullanıcı Adları	Şifreler
APC	apc, device	apc
Brocade	admin	admin123, password, brocade, fibranne
Cisco	admin, cisco, enable, hsa, pix, pnadmin, ripeop, root, shelladmin	admin, Admin123, default, password, secur4u, cisco, Cisco, _Cisco, cisco123, C1sco!23, Cisco123, Cisco1234, TANDBERG, change_it, 12345, ipics, pnadmin, diamond, hsadb, c, cc, attack, blender, changeme
Citrix	root, nsroot, nsmaint, vdiadmin, kvm, cli, admin	C1trix321, nsroot, nsmaint, kaviza, kaviza123, freebsd, public, rootadmin, wanscaler
D-Link	admin, user	private, admin, user
Dell	root, user1, admin, vkernel, cli	calvin, 123456, password, vkernel, Stor@ge!, admin
EMC	admin, root, sysadmin	EMCPMAdm7n, Password#1, Password123#, sysadmin, changeme, emc
HP/3Com	admin, root, vcx, app, spvar, manage, hpsupport, opc_op	admin, password, hpinvent, iMC123, pvadmin, passw0rd, besgroup, vcx, nice, access, config, 3V@rpar, 3V#rpar, procurve, badg3r5, OpC_op, !manage, !admin
Huawei	admin, root	123456, admin, root, Admin123, Admin@storage, Huawei12#$, HwDec@01, hwosta2.0, HuaWei123, fsp200@HW, huawei123
IBM	USERID, admin, manager, mqm, db2inst1, db2fenc1, dausr1, db2admin, iadmin, system, device, ufmcli, customer	PASSW0RD, passw0rd, admin, password, Passw8rd, iadmin, apc, 123456, cust0mer
Juniper	netscreen	netscreen
NetApp	admin	netapp123
Oracle	root, oracle, oravis, applvis, ilom-admin, ilom-operator, nm2user	changeme, ilom-admin, ilom-operator, welcome1, oracle
VMware	vi-admin, root, hqadmin, vmware, admin	vmware, vmw@re, hqadmin, default

SSH-MitM

Eğer kurban olan kullanıcı ile SSH sunucusuna kullanıcı adı ve şifre ile bağlanacak olan kurban aynı yerel ağda ise, bu kimlik bilgilerini çalmak için MitM saldırısı gerçekleştirmeyi deneyebilirsiniz:

Saldırı yolu:

• Trafik Yönlendirme: Saldırgan, kurbanın trafiğini kendi makinesine yönlendirir, böylece SSH sunucusuna bağlantı denemesini engeller.
• Yakalama ve Kayıt: Saldırganın makinesi, kullanıcının giriş bilgilerini yakalayan bir proxy olarak hareket eder ve meşru SSH sunucusu gibi davranır.
• Komut Yürütme ve Aktarımı: Son olarak, saldırganın sunucusu kullanıcının kimlik bilgilerini kaydeder, komutları gerçek SSH sunucusuna iletir, bunları yürütür ve sonuçları kullanıcıya geri gönderir, bu süreci sorunsuz ve meşru gösterir.

SSH MITM yukarıda açıklananı tam olarak yapar.

Gerçek MitM'yi gerçekleştirmek için ARP zehirlemesi, DNS zehirlemesi veya Ağ Zehirleme saldırıları bölümünde açıklanan diğer teknikleri kullanabilirsiniz.

SSH-Snake

Sistemlerde keşfedilen SSH özel anahtarlarını kullanarak ağda gezinmek istiyorsanız, her özel anahtarı yeni ana bilgisayarlar için her sistemde kullanarak SSH-Snake ihtiyacınız olan şeydir.

SSH-Snake aşağıdaki görevleri otomatik olarak ve tekrarlayarak gerçekleştirir:

1. Mevcut sistemdeki tüm SSH özel anahtarlarını bulur,
2. Mevcut sistemde, özel anahtarların kabul edilebileceği tüm ana bilgisayarları veya hedefleri (kullanıcı@ana bilgisayar) bulur,
3. Keşfedilen tüm özel anahtarları kullanarak tüm hedeflere SSH denemesi yapar,
4. Bir hedefe başarılı bir şekilde bağlanıldığında, bağlanılan sisteme adımları tekrarlar: #1 - #4.

Tamamen kendi kendini çoğaltan ve kendi kendini yayabilen - ve tamamen dosyasızdır.

Yapılandırma Yanlışlıkları

Root girişi

SSH sunucularının genellikle varsayılan olarak kök kullanıcı girişine izin vermesi yaygındır, bu da ciddi bir güvenlik riski oluşturur. Kök girişini devre dışı bırakmak, sunucuyu güvence altına almanın kritik bir adımıdır. Bu değişikliği yaparak yetkisiz yönetici ayrıcalıklarıyla erişim ve kaba kuvvet saldırıları engellenebilir.

OpenSSH'de Kök Girişini Devre Dışı Bırakmak İçin:

1. SSH yapılandırma dosyasını düzenleyin:sudoedit /etc/ssh/sshd_config
2. Ayarı değiştirin #PermitRootLogin yes den PermitRootLogin no'ya.
3. Yapılandırmayı yeniden yükleyin:sudo systemctl daemon-reload
4. Değişiklikleri uygulamak için SSH sunucusunu yeniden başlatın: sudo systemctl restart sshd

SFTP Kaba Kuvvet

• SFTP Kaba Kuvvet

SFTP komut yürütme

SFTP kurulumlarında yaygın bir hata, yöneticilerin kullanıcıların uzak kabuk erişimini etkinleştirmeden dosya değiş tokuşu yapmasını amaçladığı yerlerde meydana gelir. Kullanıcıları etkileşimsiz kabuklarla (örneğin, /usr/bin/nologin) ayarlamalarına rağmen ve onları belirli bir dizine sınırlamalarına rağmen, bir güvenlik açığı kalır. Kullanıcılar, belirlenen etkileşimsiz kabukları devralmadan hemen sonra bir komutun (örneğin, /bin/bash) yürütülmesini isteyerek bu kısıtlamaları atlayabilir. Bu, yetkisiz komut yürütme için izin verir ve amaçlanan güvenlik önlemlerini zayıflatır.

Örnek buradan:

ssh -v noraj@192.168.1.94 id
...
Password:
debug1: Authentication succeeded (keyboard-interactive).
Authenticated to 192.168.1.94 ([192.168.1.94]:22).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.
debug1: pledge: network
debug1: client_input_global_request: rtype hostkeys-00@openssh.com want_reply 0
debug1: Sending command: id
debug1: client_input_channel_req: channel 0 rtype exit-status reply 0
debug1: client_input_channel_req: channel 0 rtype eow@openssh.com reply 0
uid=1000(noraj) gid=100(users) groups=100(users)
debug1: channel 0: free: client-session, nchannels 1
Transferred: sent 2412, received 2480 bytes, in 0.1 seconds
Bytes per second: sent 43133.4, received 44349.5
debug1: Exit status 0

$ ssh noraj@192.168.1.94 /bin/bash

Aşağıda, kullanıcı noraj için güvenli SFTP yapılandırmasının bir örneği bulunmaktadır (/etc/ssh/sshd_config - openSSH):

Match User noraj
    ChrootDirectory /home/noraj
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

Match User noraj
ChrootDirectory %h
ForceCommand internal-sftp
AllowTcpForwarding no
PermitTunnel no
X11Forwarding no
PermitTTY no

Bu yapılandırma yalnızca SFTP'yi izin verecek şekilde ayarlanmıştır: başlangıç komutunu zorlayarak kabuk erişimini devre dışı bırakma ve TTY erişimini devre dışı bırakma, ayrıca tüm türde port yönlendirmeyi veya tünelleme işlemlerini devre dışı bırakma.

SFTP Tünellemesi

Bir SFTP sunucusuna erişiminiz varsa, örneğin yaygın port yönlendirmeyi kullanarak trafiğinizi bu sunucu üzerinden tünelleyebilirsiniz:

sudo ssh -L <local_port>:<remote_host>:<remote_port> -N -f <username>@<ip_compromised>

SFTP Symlink

SFTP'nin "symlink" komutu bulunmaktadır. Bu nedenle, bir klasörde yazma izinleriniz varsa, başka klasörler/dosyaların symlink'lerini oluşturabilirsiniz. Muhtemelen bir chroot içinde sıkışmış durumdasınız, bu nedenle bu sizin için özellikle faydalı olmayacaktır, ancak oluşturulan symlink'e bir no-chroot hizmetinden erişebiliyorsanız (örneğin, web üzerinden symlink'e erişebiliyorsanız), symlink'ler aracılığıyla dosyaları web üzerinden açabilirsiniz.

Örneğin, yeni bir dosyadan "froot" adında bir symlink oluşturmak için:

sftp> symlink / froot

Kimlik doğrulama yöntemleri

Yüksek güvenlik ortamlarında, genellikle basit faktör şifre tabanlı kimlik doğrulaması yerine yalnızca anahtar tabanlı veya iki faktörlü kimlik doğrulamasını etkinleştirmek yaygın bir uygulamadır. Ancak genellikle daha güçlü kimlik doğrulama yöntemleri etkinleştirilirken daha zayıf olanların devre dışı bırakılmadığı görülür. Sık rastlanan bir durum, openSSH yapılandırmasında publickey'i etkinleştirmek ve varsayılan yöntem olarak ayarlamak ancak password'ü devre dışı bırakmamaktır. Bu nedenle, bir saldırgan, SSH istemcisinin ayrıntılı modunu kullanarak daha zayıf bir yöntemin etkinleştirildiğini görebilir:

ssh -v 192.168.1.94
OpenSSH_8.1p1, OpenSSL 1.1.1d  10 Sep 2019
...
debug1: Authentications that can continue: publickey,password,keyboard-interactive

Örneğin, bir kimlik doğrulama başarısızlık sınırı belirlenmişse ve şifre yöntemine ulaşma şansınız hiç olmazsa, PreferredAuthentications seçeneğini kullanarak bu yöntemi kullanmaya zorlayabilirsiniz.

ssh -v 192.168.1.94 -o PreferredAuthentications=password
...
debug1: Next authentication method: password

Yapılandırma dosyaları

SSH sunucusu yapılandırmasını incelemek, yalnızca beklenen yöntemlerin yetkilendirildiğini kontrol etmek için gereklidir. İstemci üzerinde ayrıntılı modun kullanılması, yapılandırmanın etkinliğini görmeye yardımcı olabilir.

ssh_config
sshd_config
authorized_keys
ssh_known_hosts
known_hosts
id_rsa

Fuzzing

• https://packetstormsecurity.com/files/download/71252/sshfuzz.txt
• https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh_version_2

Referanslar

• SSH'yi nasıl güçlendireceğinize dair ilginç kılavuzlar https://www.ssh-audit.com/hardening_guides.html adresinde bulunabilir.
• https://community.turgensec.com/ssh-hacking-guide

Hata ödülü ipucu: Intigriti'ye kaydolun, hackerlar tarafından oluşturulan bir premium hata ödülü platformuna! Bugün bize https://go.intigriti.com/hacktricks adresinden katılın ve 100.000 $'a kadar ödüller kazanmaya başlayın!

{% embed url="https://go.intigriti.com/hacktricks" %}

HackTricks Otomatik Komutları

Protocol_Name: SSH
Port_Number: 22
Protocol_Description: Secure Shell Hardening

Entry_1:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -v -V -u -l {Username} -P {Big_Passwordlist} -t 1 {IP} ssh

Entry_2:
Name: consolesless mfs enumeration
Description: SSH enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ssh/ssh_version; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use scanner/ssh/ssh_enumusers; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ssh/juniper_backdoor; set RHOSTS {IP}; set RPORT 22; run; exit'

AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert)!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek istiyorsanız veya HackTricks'i PDF olarak indirmek istiyorsanız ABONELİK PLANLARI'na göz atın!
• Resmi PEASS & HackTricks ürünlerini edinin
• The PEASS Family'yi keşfedin, özel NFT'lerimiz koleksiyonumuz
• 💬 Discord grubuna veya telegram grubuna katılın veya bizi Twitter 🐦 @carlospolopm'da takip edin.
• Hacking püf noktalarınızı paylaşarak PR'ler göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.