• XSS.stack #1 – первый литературный журнал от юзеров форума

Доступы в корпы

Отслеживать
kosh_e4ka

kosh_e4ka

(L2) cache
Пользователь
Регистрация
29.10.2022
Сообщения
398
Реакции
146
Всем привет, хочу разобраться как работает скупка доступов в корп. Вот как я это вижу

Предположим в юсе есть какая то локальная курьерка по штату, у них есть какой нибудь дырявый сайт на необновленном вордпресе, через который получается доступ в админку, далее в этой админки заливается шел и пен смотрит с чем еще этот сайт связан. Пен находит там условно какое ниубдь фтп, добирается до этого фтп в которое условно идут данные клиентов, а фтп связано с компами которые стоят на складах откуда отправляется товар. Через это фтп пен добирается до компов на складах и лочит их, и в таком случае бизнес начинает соглашаться на переговоры тк отправки встали.

Вопрос 1 - так ли это работает?
Вопрос 2 - на каком этапе можно продавать доступ? вордпресс, фтп, доступ ко всем компам?
Вопрос 3 - если все что я говорю не верно, то как собирают таргеты под рансом? если с шопами все ясно - собрал 1000 шопов закинул в окуня и сиди жди, то не понятно как это происходит с теми таргетами у которых продают АД. Скан ip на известные све не в счет. Как проникать в АД через веб? Как с шопами? Нашел скулю или открытый бекап/слабые креды/дефолтные креды и оттуда уже крутишься?
Вопрос 4 - покупают только то что работает на АД в винде или юникс подобное тоже можно продать и это активно скупается?
 
kosh_e4ka сказал(а):
если все что я говорю не верно, то как собирают таргеты под рансом?
Зачастую первичный доступ получают в vpn / rdp / citrix и подобные удаленные рабочие столы, их и продают
 
досутп можно продать на любом этапе начиная с первых валидных кред
чем дальше ты попал тем больше цена
важна сама цель - если цель выбирается для взлома в процессе обработки траффика - качество и цена на любом этапе будут выше
рансом уходит на второй план - выбор стоющей цели и поиск оценка критичности данных до которых удалось дотянутся вот тут кроется успех
 
бля, охуительный вопрос. я думал, што шолава Нэнси открывает какой-то пдф файл с презентацией из письма и оттуда понеслась.

можно поподробнее, как это происходит?

Зачастую первичный доступ получают в vpn / rdp / citrix и подобные удаленные рабочие столы
 
kokoiToPidor сказал(а):
бля, охуительный вопрос. я думал, што шолава Нэнси открывает какой-то пдф файл с презентацией из письма и оттуда понеслась.

можно поподробнее, как это происходит?
Через фишинг, как вы описали, получаем доступ к аккаунту Нэнси.
Через брут, получаем учетку Нэнси.
Через уязвимости в ПО (vpn / rdp / citrix и т.д.) получаем доступ в компанию где работает Нэнси.
Это самое популярное, есть и другие методы и способы, у кого на что фантазии хватает.
 
kokoiToPidor сказал(а):
бля, охуительный вопрос. я думал, што шолава Нэнси открывает какой-то пдф файл с презентацией из письма и оттуда понеслась.

можно поподробнее, как это происходит?
некорректно. нэнси не шалава а дай бог ей здоровья, благодаря таким нэнси весь форум живет счастливо
 
xss_user сказал(а):
Зачастую первичный доступ получают в vpn / rdp / citrix и подобные удаленные рабочие столы, их и продают
доступ в эти впн получается только брутом и све? либо я могу насобирать сайтов с впн условно на поддомене и из бд скулей вытянуть кред от впн? такое вообще практикуется?
 
Таак! Добрый вечер товарищи! Как поживаете с наступающим новым годом!
По поводу доступ из веб шелла, если сайт работает на вмке который стоит в АД и может пингануть других хостов то да покупает.
Как товарищ boost говорил чем больше у вас права тем дороже вы продоете, НО все покупают минимум из дю ака домен юзер.
И все думают что доступы покупают только для лока, да нет не только лока там дофига много манипуляции можно сделать, тут я тоже с boost ом согласен лок это второй вариант. нп: команда добрался до фин отдела получил доступ к qb (quickbooks) а не десктопный апп а сразу к веб морде с мейл доступом, потом начнется пулл денежныйх средств компании, это один из вариантов. вот по этому все хотят купить юса и ка доступы.
а про Ненси, да верно спам, фишинг, вифинг. Это самый хороший способы, не брутите соники-фортики это вам результат не даст. окей брутил впн с опенконнектом подключился сделал скан сети и там ой какой много доммених пков аж глаз радует думаешь что вот на изи 3к получаешь продав его, а тут твой счастливый момент пропадает так как у тебя нет домменый учетка, а это что обозначает что ты его не продаешь а 3к не будет.
Постарайся сразу получить доступ к пк.
 
kosh_e4ka сказал(а):
доступ в эти впн получается только брутом и све?
Это лишь одни из методов, есть много разных вариаций:
DOC сказал(а):
спам, фишинг, вифинг
и т.д.

kosh_e4ka сказал(а):
либо я могу насобирать сайтов с впн условно на поддомене и из бд скулей вытянуть кред от впн? такое вообще практикуется?
Технически можешь, но навряд-ли там будут креды от впн.

DOC сказал(а):
НО все покупают минимум из дю ака домен юзер.
Большинство да, иногда покупают просто объемом по дешовке и уже своими инструментами/чекерами достают, что интересует.

DOC сказал(а):
не брутите соники-фортики это вам результат не даст. Нк окей брутил впн с опенконнектом подключился сделал скан сети и там ой какой много доммених пков аж глаз радует думаешь что вот на изи 3к получаешь продав его, а тут твой счастливый момент пропадает так как у тебя нет домменый учетка, а это что обозначает что ты его не продаешь а 3к не будет.
Результат даст, если уметь с этим работать, но с нуля если заходить и иметь цель только продать...это долгий путь...

DOC сказал(а):
Постарайся сразу получить доступ к пк.
100% лучше идти к этому.
 
xss_user сказал(а):
покупают просто объемом по дешовке и уже своими инструментами/чекерами достают, что интересует.
Ну товарищ думаю вы на этом плане шарите так как отвечаете на вопросы, вот поэтому скажу. Если вы были на админском фортике то вы уже видели что там показывает какой юзер отправляет сколько пакеты, внутри сети брутит учетка пипетс алертов сделает вы будете сиять как новогодняя ёлка, а потом сисадмин вырубит доступ. все эти приват софты работает на одним и тем жем протоколу или после не удачных попыток брута юзера дк пойдет на офф в некоторый время. я этот впнов 2 года выжимал сок и вертикально и горизонтально. Так что без учеток не как, ибо без учетка покупает не люди. это же не 2020 год верно тогда зерологон или блюкипом можно было дотронуться, сейчас у всех дк на вин25.
 
DOC сказал(а):
Ну товарищ думаю вы на этом плане шарите так как отвечаете на вопросы, вот поэтому скажу. Если вы были на админском фортике то вы уже видели что там показывает какой юзер отправляет сколько пакеты, внутри сети брутит учетка пипетс алертов сделает вы будете сиять как новогодняя ёлка, а потом сисадмин вырубит доступ. все эти приват софты работает на одним и тем жем протоколу или после не удачных попыток брута юзера дк пойдет на офф в некоторый время. я этот впнов 2 года выжимал сок и вертикально и горизонтально. Так что без учеток не как, ибо без учетка покупает не люди. это же не 2020 год верно тогда зерологон или блюкипом можно было дотронуться, сейчас у всех дк на вин25.
Согласен с вами, однако встречаются еще сети, и немало, в которых можно получить доступ к учетке не прибегая к бруту внутри сети. С каждой сетью все индивидуально.
 
в заключении - добраться через ленд на вп до такого вида корпоративного доступа чтобы можно было его продать да подороже - шанс невероятно маленький. так?
 
kosh_e4ka сказал(а):
в заключении - добраться через ленд на вп до такого вида корпоративного доступа чтобы можно было его продать да подороже - шанс невероятно маленький. так?
Я не встречал wp внутри корп сетей, не могу ответить на этот вопрос
 
Пожалуйста, обратите внимание, что пользователь заблокирован
kosh_e4ka сказал(а):
Всем привет, хочу разобраться как работает скупка доступов в корп. Вот как я это вижу

Предположим в юсе есть какая то локальная курьерка по штату, у них есть какой нибудь дырявый сайт на необновленном вордпресе, через который получается доступ в админку, далее в этой админки заливается шел и пен смотрит с чем еще этот сайт связан. Пен находит там условно какое ниубдь фтп, добирается до этого фтп в которое условно идут данные клиентов, а фтп связано с компами которые стоят на складах откуда отправляется товар. Через это фтп пен добирается до компов на складах и лочит их, и в таком случае бизнес начинает соглашаться на переговоры тк отправки встали.

Вопрос 1 - так ли это работает?
Вопрос 2 - на каком этапе можно продавать доступ? вордпресс, фтп, доступ ко всем компам?
Вопрос 3 - если все что я говорю не верно, то как собирают таргеты под рансом? если с шопами все ясно - собрал 1000 шопов закинул в окуня и сиди жди, то не понятно как это происходит с теми таргетами у которых продают АД. Скан ip на известные све не в счет. Как проникать в АД через веб? Как с шопами? Нашел скулю или открытый бекап/слабые креды/дефолтные креды и оттуда уже крутишься?
Вопрос 4 - покупают только то что работает на АД в винде или юникс подобное тоже можно продать и это активно скупается?
напиши мне расскажу
 
kosh_e4ka сказал(а):
некорректно. нэнси не шалава а дай бог ей здоровья, благодаря таким нэнси весь форум живет счастливо
но от этого она не перестает быть шалавой :D
А так я полностью согласен - кормильцы наши, как и пресвятая винда, да будет прославлен в веках создатель ее - Блаженный Билли, и да будет прирастать она новыми багами и уязвимостями с каждым релизом ее.
 
kosh_e4ka сказал(а):
в заключении - добраться через ленд на вп до такого вида корпоративного доступа чтобы можно было его продать да подороже - шанс невероятно маленький. так?
На вп наверное шанс не очень велик, а вот самопис ,очень даже!
 
Все способы получения первоначальных доступов описаны в MITRE - https://attack.mitre.org/tactics/TA0001/

Любой курс по пентесту даст больше информации, чем вопросы на форуме, где большинство ответов от самоучек без базы.
 
Сканишь массканом ну или чем либо ещё диапазончики к примеру у меня немного по своему, но с массканом https://nbox.me/176dc9f5-6d1b-4703-b48d-399a84c82351
Затем чистенькие ip:port пихаешь в брут, настраиваешь его как удобно
Screenshot_20251223_043521_com.android.chrome.jpg

Ну и после чего жмёшь старт

Screenshot_20251223_000331_com.android.chrome.jpg

На месяца не смотри до окончания, чисто на одном воркере запущен для иллюстрации
Ну и на выходе соответственно: https://1.214.20.18:10443/remote/login?lang=en;guest;guest [VPN Fortinet]
Что то типо того)
Ну а далее уже пошёл к пентестам в отработку давать, или в продажники
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх