Denník N

Ako prelomiť heslo

Váš prvý krok do sveta kybernetickej bezpečnosti.

Upozornenie: Postupy, opísané v tomto článku, môžete uplatniť len ako etický hacker, tzv. white hat, s vedomím a výslovným súhlasom majiteľa webových stránok alebo účtov, na ktoré mierite svoj útok. V opačnom prípade sa dopúšťate ilegálnej činnosti ako tzv. black hat.

Fakt vs. fikcia

Zrejme tušíte, že reálne hackovanie sa na filmové nepodobá skoro vôbec. Nie je to tak, že borec alebo borkyňa sa okamžite pripojí k cieľovému zariadeniu, chvíľu číta rýchlo sa meniace riadky na obrazovke, prípadne si v duchu rovno prekladá stĺpce zelených núl a jednotiek do ľudskej reči, pričom búši do klávesov ako Rachmaninov a vzápätí oznámi: „Som dnu.“ Nie. Ozajstné hackovanie je päťfázový proces: prieskum, skenovanie, získanie prístupu, udržanie prístupu, vymazanie stôp. V tomto texte sa zameriame na získanie cudzích prístupových údajov, teda užívateľského mena a hesla.

V princípe nemusíte vedieť programovať, administrovať Linux, ani poznať SQL či sa vyznať v sieťach, ale ak chcete pracovať ako bezpečnostný analytik alebo penetračný tester, potrvá istý čas, kým si osvojíte potrebné znalosti. V praxi však platí, že na všetky typy útokov v tomto článku existuje aplikácia, do ktorej stačí zadať vašu alebo cieľovú IP adresu, prípadne názov webovej stránky. Ak chcete eticky hackovať, nemusíte kódovať ani skriptovať. Stačí poznať názvy a využitie na to určených aplikácií. Veľkú časť práce spravia za vás.

Päť fáz hackovania

Prieskum (reconnaissance, footprinting) je zbieranie informácií o cieli – používateľoch, prostredí cieľového systém a siete. Aký druh informácií? IP adresy, používateľské mená, údaje o DNS a operačnom systéme, telefónne čísla, emailové adresy a pod.

Nástroje: Maltego, Netcraft, Nmap, NetBIOS

Skenovanie (scanning) je hľadanie slabých miest a vytvorenie profilu cieľových zariadení alebo organizácie. Hľadáte konfiguračné chyby, ktoré nechtiac odkryjú časti cieľového systému, skúšate často využívané (default) heslá, nachádzate DoS slabiny, routery, porty a firewally.

Nástroje: OpenVAS/Nessus, Osmedeus, Naabu, Nuclei

Získanie prístupu (gaining access) sa najčastejšie deje skrz prelomenia hesla buď pomocou slovníka (preto sa neodporúča používať heslá v podobe existujúcich slov ako more, leto, satan, atď.), hrubou silou, hybridnými útokmi, dúhovými tabuľkami, otrávením paketov, alebo pomocou phishingu.

slovník (dictionary) – skúša slová v slovníku a ich permutácie

hrubá sila (brute force) – skúša kombinácie a permutácie písmen, čísel a znakov

hybridný útok (hybrid attack) – slovník + hrubá sila, prípadne už raz prelomené a známe heslá

dúhové tabuľky (rainbow tables) – trochu náročnejšie na pochopenie, v princípe využívajú kryptoanalýzu vopred vypočítaných hodnôt párov zašifrovaných hesiel (hash) a ich textových podôb

otrávenie paketov (packet poisoning, ARP spoofing, ARP poison routing) – ARP znamená address resolution protocol, čiže protokol na získanie adresy sieťového rozhrania druhej strany v rovnakej podsieti pomocou známej IP adresy. Samotné otrávenie alebo poisoning spočíva v zaslaní falošnej správy cez lokálnu sieť za účelom prepojenia útočníkovej MAC adresy s legitímnou IP adresou v danej sieti.

Nástroje: Hatch, John the Ripper, L0pthCrack (na rozlúsknutie hesla do Windows), Cain and Abel (alebo len Cain), Wireshark – analýza paketov (detekcia ARP spoofing/poisoning/poison routing)

Udržanie prístupu (maintaining access) je kľúčové, aby útočník mohol nepozorovane získavať dáta z napadnutého počítača priebežne počas dlhšieho času, nielen jednorazovo. Aby to etický hacker dosiahol, zvyčajne nainštaluje na cieľové zariadenie trójskeho koňa alebo (ťažšie odhaliteľný) rootkit – škodlivý softvér, pôvodne určený len pre Linux, no pre veľkú popularitu dostupný už aj pre Windows, prípadne k zariadeniu vytvorí skrytý prístupový kanál (covert channel), cez ktorý dokáže obísť bežné zabezpečenie počítača.

Nástroje: Vanquish, AFX

Vymazanie stôp (covering tracks) zabráni tomu, aby užívateľ alebo administrátor napadnutého systému postrehol, že etický hacker získal k jeho zariadeniu neautorizovaný prístup. Častým nástrojom na zmazanie stôp je práve rootkit.

Ako získať cudzie prístupové údaje?

Okrem metód na získanie hesla, opísanými vyššie, sa to dá aj týmito spôsobmi:

Phishing je proces vytvorenia falošnej, vernej kópie prihlasovacej stránky, ku ktorej chce etický hacker získať heslo a o ktorej vie, že ju obeť útoku používa, následné zaslanie odkazu na falošnú stránku obeti a získanie jej prihlasovacích údajov v textovom formáte. Phishing využíva zraniteľnosť najslabšieho článku počítačovej bezpečnosti: ľudský faktor.

Nástroje: Social-Engineer Toolkit

Tento sofistikovaný program umožňuje útočníkovi napríklad naklonovať prihlasovaciu stránku webu, ku ktorému chce získať prihlasovacie údaje. Odkaz na falošnú, klonovanú stránku pošle potenciálnej obeti útoku. Správa, obsahujúca takýto odkaz, nesmie vzbudiť podozrenie! Cieľový používateľ vyplní svoje meno a heslo a nič netušiac ich odošle útočníkovi. Údaje sa následne zobrazia v aplikácii SET. Obeť sa do svojej webovej aplikácie cez falošnú stránku samozrejme nedokáže prihlásiť. Na obrazovke to vyzerá, že stránka nereaguje (keďže je falošná), v tom momente však už útočník získal želané prihlasovacie údaje.

Únos spojenia (session hijacking) je ukradnutie súboru HTTP cookie, ktoré webový server odošle klientskému počítaču pre identifikáciu klientského zariadenia, za účelom získania neoprávneného prístupu na server.

Nástroje: BetterCap, CookieCatcher

SQL injection je jedným z najznámejších hackov. V ideálnom svete by už tento druh nežiaducej manipulácie s databázou nemal byť možný a pri správne navrhnutých webových aplikáciách ani nie je. Môže sa však stať, že backendový vývojár zanedbá bezpečnosť a umožní tak používateľovi taký druh prístupu do SQL databázy, aký by ten druhý v žiadnom prípade nemal mať. Samotná injekcia vyzerá tak, že namiesto prihlasovacieho mena zadá útočník do políčka formulára na webovej stránke požiadavku vo formáte, ktorý program na serveri interpretuje ako SQL príkaz. V zle navrhnutej aplikácii sa tak dá pomerne jednoducho získať údaje z databázy (napríklad všetky mená a heslá), alebo aj zmazať údaje a spôsobiť tak majiteľovi webu škodu katastrofických rozmerov.

Nástroje: SQLMap, jSQL Injection, Whitewidow

Trójsky kôň je starý dobrý trojan. Hoci tento druh škodlivej aplikácie zrejme odhalí a eliminuje väčšina antivírusových programov, nič vám nebráni, aby ste si stiahli aplikáciu, v ktorej vytvoríte spustiteľný súbor a odošlete ho obeti. Stačí, aby útočník zadal svoju IP adresu, alebo IP adresu, na ktorú má trójsky kôň bez vedomia obete odosielať senzitívne údaje. Keď raz cieľový používateľ spustí takto vytvorený súbor, umožní útočníkovi prakticky úplnú kontrolu nad svojím systémom. Etický hacker tak získa prístup napríklad k súborom, informáciám o systéme, k registru, ale aj k webkamere. Trojan dokáže aj zaznamenať aktivitu používateľa na klávesnici.

Nástroje: njRAT / Bladabindi

Bonus: Ak vás niekto naštve

DoS útok spôsobí (a znamená) odmietnutie služby, teda denial of service. Cieľový server je zaplavený požiadavkami (request) a kvôli ich obrovskému množstvu nie je schopný odosielať odpovede (response) všetkým klientským počítačom, od ktorých dostáva požiadavky. Nasleduje pád servera, prípadne sa služba alebo webová stránka kvôli enormne dlhej čakacej dobe na odpoveď stane nepoužiteľnou.

Nástroje: High Orbit Ion Cannon (H.O.I.C.)

Účinná obrana – program Anti DDoS Guardian monitoruje server a keď zistí, že z nejakej IP adresy prichádza neobvyklé množstvo požiadaviek, zablokuje prístup z podozrivej IP adresy na server, zabrániac tým útoku.

Ak vás niekto naozaj naštve

DDoS útok

je distribuované odmietnutie služby, alebo DoS vo veľkom. Znamená to, že etický hacker vytvorí malvér, ktorý rozošle na veľké množstvo počítačov, ktoré potom na jeho pokyn uskutočnia vyššie opísaný útok na cieľový server nie z jednej, ale z množstva IP adries.

To nie je všetko

Účelom tohto článku je vzbudiť záujem o kybernetickú bezpečnosť, nie navádzať čitateľa na aktivity na hrane zákona alebo poskytnúť kompletný prehľad o etickom hackovaní. Ak si zadáte ktorýkoľvek z kľúčových výrazov v tomto texte do vyhľadávača, nájdete zrejme stovky stránok, ktoré danú tému vysvetľujú dopodrobna. V prípade, že vás táto oblasť IT zaujala a chcete etické hackovanie vykonávať ako zárobkovú činnosť, rátajte, že potrvá pár mesiacov, kým získate relevantnú prax. Podobne ako pri každej profesii, aj tu platí, že tréning robí majstra.

Podporte najlepšie slovenské vydavateľstvo a prečítajte si moju novú knihu o ovládnutí sveta tu.

Ďakujem.

Teraz najčítanejšie

Richard Brenkuš

V noci som autorom špekulatívnej fikcie, cez deň pracujem v IT. V tomto blogu pôjde najmä o to druhé.