Кража KeyTab.

Во время тестирования на проникновение часто встречаются системы Linux с настроенным Keytab. Keytab хранит пары принципала кербероса и его зашифрованных ключей. С помощью этих зашифрованных ключей можно получить TGT. В результате чего появляется возможность запросить TGT на имя принципала без ввода пароля. Kerberos на Linux уже далеко не редкость - гетерогенные сети становятся все более популярными по ряду причин. Например, может быть такой сценарий, что на Linux бекапится содержимое какой-либо шары, при этом получить доступ к этой шаре могут только пользователи домена. В таком случае пишется простенький скрипт на баш, в котором реализуется логика по запросу TGT тикета на основе KeyTab, а затем копирования файлов с шары. Причем для периодичности запуска скрипт добавляется в crontab.

Нам, как атакующим, конечно же, интересен процесс запроса TGT билета на основе KeyTab. Для этого можно использовать команду kinit со следующим синтаксисом:
kinit –kt <keytab> <принципал>

Например, если файл /tmp/admin.keytab служит для аутентификации пользователя admin@OFFICE.LOCAL , то делаем вот так:
kinit -kt /tmp/admin.keytab admin@OFFICE.LOCAL

Остается лишь одна проблема - обнаружение самих KeyTab файлов. Конечно, можно ручками через find искать эти файлы, потом также муторно проверять разрешения на них, что не есть хорошо. Поэтому я накалякал следующий командлет, который автоматически найдет все .keytab файлы , а затем подсветит интересные разными цветами:
1. Зеленым подсвечиваются те файлы, которые принадлежат текущему пользователю.
2. Желтым подсвечиваются те файлы, которые принадлежат пользователю, отличному от текущего, при этом текущий пользователь не имеет достаточных прав (чтение/запись) на этот самый KeyTab.
3. Наконец, красным подсвечиваются файлы, которые принадлежат пользователю, отличному от текущего, при этом текущий пользователь имеет достаточные права на этот самый KeyTab.

find / -iname '*.keytab' -type f -exec ls -l {} \; 2>/dev/null | awk -v user="$(whoami)" 'BEGIN { FS = OFS = " "; red = "\033[31m"; yellow = "\033[33m"; green = "\033[32m"; reset = "\033[0m" } { if ($3 == user && $9 ~ /.keytab$/) { printf green } else if ($3 != user && $9 ~ /.keytab$/ && $1 ~ /^-.w.r../) { printf red } else if ($3 != user && $9 ~ /.keytab$/ && ($1 !~ /^.w.r../ || $1 !~ /^-.w../)) { printf yellow } print $0; printf reset }'

PEN-200-2023 💻

Наконец появилось то, что так долго ждали - обновленный курс OSCP. Мне новая методичка понравилась гораздо больше, чем предыдущая. Структурированный материал. Видна работа методологов.

Забираем и наслаждаемся.

Пентест или багбаунти?

Для меня, как для человека, который занимается пентестами почти 5 лет, а также 4 года багхантит, видны плюсы и минусы обоих способов защиты своих систем.

Давайте разберем их.

Для компаний, которые хотят защитить свои сервисы оба этих способа нужно держать в своем арсенале, так как являются взаимодополняемыми.

У меня есть масса примеров, которые это доказывают.

Например, очень часто бывало и бывает такое, что нам на пентест прилетает проект, который уже давно на багбаунти в котором и я участвовал. И перед проектом возникают мысли, ведь столько людей уже тестировали этот сервис, было найдено куча багов и наверняка проект будет скучным. Но нет, в 99% случаях на пентесте находится десятки багов в том числе и баги с высоким риском. Один из таких багов, буду сдавать на award.awillix.ru

Почему же так случается?

И мы не говорим сейчас о каких-либо внутренних сервисах, тестировать которые можно только на пентестах.

Чаще всего на багбаунти сервис не изучают под микроскопом, не тестируют каждый API эндпоинт детально. И поверьте мне из-за этого упускаются очень много багов.

✅Плюсы пентеста
– Ограниченный скоуп. Это помогает фокусироваться на нужных вещах, а не бегать от одного к другому.
– Команда. Относительно предоставленного скоупа мы можем выбрать на проект людей относительно их скиллов. Также командный взлом более эффективен.
– Дополнительная информация. На пентестах идет плотное взаимодействие с клиентом, клиент может предоставить документацию, сваггер..., что тоже тестирование делает более эффективным
– Доступ к любым сервисам в пределах скоупа. Некоторый функционал бывает немного затруднительно тестировать, например, кредиты в банках или есть хорошо настроенные вафы, которые сильно мешают. На пентестах же нам могут выдать тестовые стенды или добавить в вайтлисты для полноценного тестирование нужного функционала.

⛔️Минусы пентеста
– Ограниченное время. Тут есть риск, что во время пентеста мы не можем себе позволить долго сконцентрироваться на чем-то одном. Например, если есть интересная зацепка, но раскрутить ее сходу не получается. Если это в каком-то софте, то можно отдельно поресерчить.
Ограниченное время я бы не назвал даже каким-то существенным минусом, часто это помогает нам сконцентрироваться на скоупе, которое мы исследуем во время пентеста.


✅Плюсы багбаунти
– Огромное количество хантеров с различными скиллами. Один из самых больших плюсов багбаунти – это огромная банда хантеров с различными скиллами. Особенно это бывает полезно, если есть что-то специфическое.
– Неограниченное время. Багхантер не ограничен по времени и может хоть месяц ломать то, что захочет.
– Компания платит только за баг, который нашли. Для компаний хороший способ сэкономить.

⛔️Минусы багбаунти
– Ограничения в действиях. Багхантер не может пробить периметр и дальше идти ломать внутрянку. Также, если мы только занимаемся багхантерством, то есть риск, что знания в постэксплуатации будут слабыми.
– Отсутствие дополнительной информации.
– Отсутствие доступа к некоторым сервисам. Тут тоже достаточно все очевидно, у многих ли хантеров юридические лица? Но в то же время и плюс для тех, у кого это есть, например, можно снять все сливки с юридических сервисов, если запарится и сделать себе ИП.

Учитывая все эти факторы получаем идеальную взаимодополняемость обоих способов.