Το Metasploit είναι ένα από τα πιο ισχυρά και δημοφιλή εργαλεία στον κόσμο της κυβερνοασφάλειας. Πρόκειται για ένα πλαίσιο ασφαλείας που χρησιμοποιείται για τη δοκιμή ασφάλειας συστημάτων και εφαρμογών. Αναπτύχθηκε αρχικά από την Rapid7 και τώρα είναι διαθέσιμο ως ανοικτού κώδικα λογισμικό.
Το Metasploit επιτρέπει στους ερευνητές ασφάλειας, τους επαγγελματίες κυβερνοασφάλειας και ακόμη και τους επιτιθέμενους να εκμεταλλευτούν ασφαλιστικές ελλείψεις σε συστήματα και εφαρμογές. Με τη χρήση του Metasploit, μπορείτε να ελέγξετε την ασφάλεια του συστήματός σας, να εντοπίσετε τυχόν ευπάθειες και να αναπτύξετε εκμεταλλευτικές επιθέσεις για να τις επιλύσετε προτού κακόβουλοι επιτιθέμενοι τις εκμεταλλευτούν.
Η χρήση του Metasploit περιλαμβάνει τα ακόλουθα βήματα:
Επιλογή Στόχου: Αρχικά, πρέπει να επιλέξετε τον στόχο που θέλετε να δοκιμάσετε ή να ελέγξετε την ασφάλειά του. Αυτό μπορεί να είναι ένας διακομιστής, μια εφαρμογή ή ακόμη και ένας υπολογιστής.
Σάρωση: Το Metasploit μπορεί να εκτελέσει σάρωση του στόχου για ευπάθειες και ανοιχτές πόρτες. Αυτό βοηθάει στην εντοπισμό πιθανών ευκαιριών για επίθεση.
Επίθεση: Με βάση τις ευπάθειες που ανακαλύψατε, μπορείτε να χρησιμοποιήσετε το Metasploit για να εκτελέσετε επιθέσεις. Αυτές μπορεί να είναι εκμεταλλευτικές επιθέσεις, όπως εισβολές σε αυτό το σύστημα ή την εφαρμογή.
Αξιολόγηση: Μετά την επίθεση, αξιολογείτε την αποτελεσματικότητα της και τυχόν πληροφορίες που αποκτήσατε.
Αναφορά: Το Metasploit παρέχει εκτενείς αναφορές και καταγραφές των επιθέσεών σας, κάτι που είναι σημαντικό για την κυβερνοασφάλεια και την επίλυση τυχόν ευπαθειών.
Το Metasploit είναι ένα εξαιρετικά χρήσιμο εργαλείο για τη δοκιμή ασφάλειας και την προστασία των συστημάτων από κυβερνοεπιθέσεις. Ωστόσο, πρέπει να χρησιμοποιείται με προσοχή, καθώς η ανοικτή χρήση του χωρίς την ανάλογη εξουσιοδότηση είναι παράνομη.
Για να χρησιμοποιήσετε το Metasploit με ασφάλεια και νοηματική ευθύνη, είναι σημαντικό να έχετε την άδεια και την εξουσιοδότηση για να δοκιμάσετε την ασφάλεια των συστημάτων ή των εφαρμογών που ανήκουν σε εσάς ή σε εκείνους που έχετε τη συγκατάθεσή τους. Πάντα πρέπει να τηρείτε τους νόμους περί κυβερνοασφάλειας και ιδιωτικότητας.
Εν κατακλείδι, το Metasploit είναι ένα εξαιρετικά ισχυρό εργαλείο για την ανίχνευση ευπαθειών και τη δοκιμή ασφάλειας. Ωστόσο, πρέπει να χρησιμοποιείται με προσοχή, ευθύνη και σεβασμό προς τους νόμους και την ιδιωτικότητα των άλλων. Με την κατάλληλη εκπαίδευση και τον ηθικό προσανατολισμό, μπορεί να συμβάλει στην ενίσχυση της κυβερνοασφάλειας και την προστασία από δυνητικούς κινδύνους στον ψηφιακό κόσμο.
Μια κακόβουλη εκστρατεία που οι ερευνητές παρατήρησαν ότι γίνεται όλο και πιο σύνθετη κατά το τελευταίο εξάμηνο, εγκατέστησε σε πλατφόρμες ανοιχτού κώδικα εκατοντάδες πακέτα κλοπής πληροφοριών που μέτρησαν περίπου 75.000 λήψεις.
Η εκστρατεία παρακολουθείται από τις αρχές Απριλίου από τους αναλυτές της ομάδας Supply Chain Security της Checkmarx, οι οποίοι ανακάλυψαν 272 πακέτα με κώδικα για την κλοπή ευαίσθητων δεδομένων από στοχευμένα συστήματα.
Η επίθεση έχει εξελιχθεί σημαντικά από τότε που εντοπίστηκε για πρώτη φορά, με τους συγγραφείς των πακέτων να εφαρμόζουν όλο και πιο εξελιγμένα στρώματα απόκρυψης και τεχνικές αποφυγής εντοπισμού.
Οι ερευνητές λένε ότι άρχισαν να βλέπουν ένα μοτίβο “στο οικοσύστημα Python από τις αρχές Απριλίου 2023”.
Ένα παράδειγμα που παρέχεται είναι το αρχείο “_init_py”, το οποίο φορτώνει μόνο αφού ελέγξει ότι εκτελείται σε ένα σύστημα-στόχο και όχι σε ένα εικονικό περιβάλλον – ένα τυπικό σημάδι ενός ξενιστή ανάλυσης κακόβουλου λογισμικού.
Μόλις ξεκινήσει, στοχεύει τις ακόλουθες πληροφορίες στα μολυσμένα συστήματα:
Εργαλεία προστασίας από ιούς που εκτελούνται στη συσκευή.
Λίστα εργασιών, κωδικοί πρόσβασης Wi-Fi και πληροφορίες συστήματος.
Τα διαπιστευτήρια, το ιστορικό περιήγησης, τα cookies και οι πληροφορίες πληρωμής που αποθηκεύονται στα προγράμματα περιήγησης ιστού.
Δεδομένα σε εφαρμογές πορτοφολιού κρυπτονομισμάτων όπως το Atomic και το Exodus.
Discord badges, αριθμοί τηλεφώνου, διευθύνσεις ηλεκτρονικού ταχυδρομείου και κατάσταση nitro.
Δεδομένα χρηστών Minecraft και Roblox.
Επιπλέον, το κακόβουλο λογισμικό μπορεί να τραβήξει στιγμιότυπα οθόνης και να κλέψει μεμονωμένα αρχεία από το παραβιασμένο σύστημα, όπως οι κατάλογοι Desktop, Pictures, Documents, Music, Videos και Downloads.
Το πρόχειρο του θύματος παρακολουθείται επίσης συνεχώς για διευθύνσεις κρυπτονομισμάτων και το κακόβουλο λογισμικό τις ανταλλάσσει με τη διεύθυνση του επιτιθέμενου για να εκτρέψει τις πληρωμές σε πορτοφόλια που βρίσκονται υπό τον έλεγχό του.
Οι αναλυτές εκτιμούν ότι η εκστρατεία έκλεψε άμεσα περίπου 100.000 δολάρια σε κρυπτονόμισμα.
Χειραγώγηση εφαρμογών
Η Checkmarx αναφέρει ότι το κακόβουλο λογισμικό που χρησιμοποιήθηκε σε αυτή την εκστρατεία προχωρά ένα βήμα παραπέρα από τις τυπικές επιχειρήσεις κλοπής πληροφοριών, εμπλέκοντας τη χειραγώγηση δεδομένων εφαρμογών για να επιφέρει ένα πιο αποφασιστικό χτύπημα.
Για παράδειγμα, το αρχείο electron της εφαρμογής διαχείρισης πορτοφολιού κρυπτονομισμάτων Exodus αντικαθίσταται για να αλλοιώσει τα βασικά αρχεία, επιτρέποντας στους επιτιθέμενους να παρακάμψουν την Πολιτική Ασφάλειας Περιεχομένου (Content-Security-Policy) και να εξαφανίσουν δεδομένα.
Στο Discord, εάν είναι ενεργοποιημένες ορισμένες ρυθμίσεις, το κακόβουλο λογισμικό εισάγει κώδικα JavaScript που εκτελείται κατά την επανεκκίνηση του προγράμματος-πελάτη.
Το κακόβουλο λογισμικό χρησιμοποιεί επίσης ένα σενάριο PowerShell σε ένα υπερυψωμένο τερματικό για να χειραγωγήσει τους “κεντρικούς υπολογιστές” των Windows, ώστε τα προϊόντα ασφαλείας που εκτελούνται στην παραβιασμένη συσκευή να μην μπορούν να επικοινωνήσουν με τους διακομιστές τους.
Εξέλιξη της επίθεσης
Σύμφωνα με τους ερευνητές, ο κακόβουλος κώδικας αυτής της εκστρατείας σε πακέτα από τον Απρίλιο ήταν σαφώς ορατός, καθώς ήταν απλό κείμενο.
Τον Μάιο, όμως, οι συγγραφείς των πακέτων άρχισαν να προσθέτουν κρυπτογράφηση για να εμποδίσουν την ανάλυση. Τον Αύγουστο, ο ερευνητής παρατήρησε ότι στα πακέτα είχε προστεθεί συσκότιση πολλαπλών επιπέδων.
Σε μια ξεχωριστή έκθεση του ερευνητή της Checkmarx, Yahuda Gelb, αναφέρθηκε ότι δύο από τα πιο πρόσφατα πακέτα χρησιμοποιούσαν όχι λιγότερα από 70 επίπεδα συσκοτισμού.
Επίσης, τον Αύγουστο, οι προγραμματιστές του κακόβουλου λογισμικού συμπεριέλαβαν τη δυνατότητα απενεργοποίησης των προϊόντων προστασίας από ιούς, πρόσθεσαν το Telegram στη λίστα των στοχευμένων εφαρμογών και εισήγαγαν ένα εφεδρικό σύστημα διαφυγής δεδομένων.
Οι ερευνητές προειδοποιούν ότι οι κοινότητες ανοικτού κώδικα και τα οικοσυστήματα προγραμματιστών εξακολουθούν να είναι ευάλωτα σε επιθέσεις στην αλυσίδα εφοδιασμού και ότι οι φορείς απειλών ανεβάζουν καθημερινά κακόβουλα πακέτα σε ευρέως χρησιμοποιούμενα αποθετήρια και συστήματα ελέγχου εκδόσεων, όπως το GitHub, ή σε μητρώα πακέτων όπως το PyPi και το NPM.
Συνιστάται στους χρήστες να εξετάζουν προσεκτικά τα έργα και τους εκδότες πακέτων που εμπιστεύονται και να επαγρυπνούν σχετικά με τα ονόματα πακέτων που περιέχουν τυπογραφικά λάθη.
Ένας κατάλογος των κακόβουλων πακέτων που χρησιμοποιήθηκαν σε αυτή την εκστρατεία είναι διαθέσιμος εδώ.
Χρησιμοποιήστε το google για Hacking! Οδηγός σχετικά με τα Google Dorks
Έχω σκοπό να σας δείξω πως μπορείτε να χρησιμοποιήσετε το Google για hacking έτσι ώστε να μπορείτε να εκμεταλευτείτε ακριβώς όλες τις λειτουργίες που σας παρέχει αυτη η μηχανή αναζήτης και να έχετε καλύτερα αποτελέσματα.
Ας ξεκινήσουμε.
inurl: Το inurl χρησιμοποιείται για να μας εμφανίσει ιστοσελίδες οι οποίες έχουν πάνω ένα αρχείο. Για παράδειγμα, αν βάζαμε στο google inurl:”admin.php” θα μας εμφάνιζε όλες τις ιστοσελίδες που εχουν στο url τους το admin.php
Για παράδειγμα Δηλαδή αν θέλατε να βρείτε απο wordpress σελίδα τη σελίδα συνδεσης (Admin Panel) τότε πολύ απλα τα ψάχνατε για inurl:”wp-admin.php” το wp-admin είναι η σελίδα σύνδεσης σε wordpress.
intitle
Παραπάνω είδαμε οτι το inurl λειτουργεί με βάση το url. Το intitle λειτουργεί με βάση το τίτλο της ιστοσελίδας, οπου συνήθως ειναι αυτος που βρίσκετε αναμεσα στα <title> </title> στον html Κώδικα. Δηλαδή με το intitle:”admin login” θα είχαμε το παρακάτω αποτέλεσμα Ακόμα με το intitle μπορείτε να χρησιμοποιήσετε και την εντολή index of για παράδειγμα
intitle:"index of backup"
Ψάχνει για ιστοσελίδες οπου έχουν ανεβασμένο ενα φάκελο με το ονομα backup και ο οποίος είναι εμφανή. Δηλαδή με το Index of μας εμφανίζει τα περιεχόμενα του φακέλου.
Δηλαδή με το intitle:”index of photos” ψάχνει ιστοσελίδες που έχουν πανω ανεβασμένο κάποιο φάκελο με το όνομα photos ο οποίος είναι προσβάσιμος σε ολους.
Και αν μπούμε πχ στο http://www.efoplistis.gr/photos/ μπορούμε να δούμε τι περιέχει μέσα ο φάκελος..
Για σκεφτείτε κάποιος να είχε ανεβάσει Prive εικόνες, δεν θα τις βλέπατε; η να μπορούσατε εσεις να βρείτε μέσα απο αυτο το dork!! filetype
Το filetype απλά θα σας εμφανίσει ολες τις ιστοσελίδες που έχουν πάνω ενα συγκεκριμένο αρχειο.
Για παράδειγμα:
” filetype:pdf ” θα σας εμφανίσει διάφορα Pdf αρχεία.
Μπορείτε να δοκιμάσετε για αρχεία του τυπου .zip .rar. png. xls .xml .txt κ.λ.π.
Αναζήτηση με βάση τη χώρα.
Ωραία μέχρι εδώ!! Αλλα αν εγω θέλω όλες τις ιστοσελίδες με κατάληξη .gov η .gr τι κανω;
Η Λύση είναι απλή, απλα χρησιμοποιείται το site:gr
Για παράδειγμα intitle:"index of backup" site:".gov"
Μπορείτε ομως για ακόμα καλύτερα αποτελέσματα να δοκιμάσετε απλα να βάλετε .gov
Για παράδειγμα intitle:"index of backup" .gov.
Πάμε να δούμε παρακάτω κάποια dorks που έφτιαξα! inurl:wp-config intext:wp-config 'DB_PASSWORD'
Τι ψάχνει;
wp σημαίνει wordpress, και είναι ένα δημοφιλή CMS. Το όνομα χρήστη και κωδικούς πρόσβασης απο τη βάση δεδομένων αποθηκεύονται σε ενα αρχείο wp-config. Έτσι, ψάχνουμε για wp-config στο inurl, στο intext χρησιμοποιήσαμε το wp-config ‘DB_PASSWORD’ εξασφαλίσει το ακριβές αποτέλεσμα.
Θα καταλάβετε περισσότερα όταν θα ψάξετε στο google με αυτο.
Παράδειγμα
Ακόμα και στη πρώτη σελίδα είχατε το παρακάτω αποτέλεσμα.
http://www.twmisfits.com/wp-config.php%20org
Οπου καταφέρατε και βρήκατε τα στοιχεία απο τη βάση δεδομένων. define('DB_NAME', 'themisf4_bandt_live');
/** MySQL database username */ define('DB_USER', 'themisf4_live');
/** MySQL database password */ define('DB_PASSWORD', 'txX=gKz)&U03');
/** MySQL hostname */ define('DB_HOST', 'localhost'); inurl:admin inurl:userlist χρησιμοποιώντας αυτό μπορούμε να βρούμε τα ονόματα απο τα μέλη (users) κάποιας ιστοσελίδας.
inurl:index.php?id= Ενα απλο dork για Sql Injection.
inurl:index.php?id= intext:Warning: mysql num rows() site:gr Ακόμα ενα dork για sql injection αλλα ψάχνει για ιστοσελίδες που εχουν το παραπάνω σφάλμα, οπότε ειναι ευλαωτες και δεν χρειάζετε να τις ψάχνετε εσεις. Στο site:gr θα ψάξει όλες τις ιστοσελίδες .gr
Νέο CVE υψηλής βαθμολογίας από την Google στη libwebp
Η Google έχει εκχωρήσει ένα νέο αναγνωριστικό CVE (CVE-2023-5129) σε μια ευπάθεια ασφαλείας της libwebp, η οποία αξιοποιήθηκε ως zero-day σε επιθέσεις και επιδιορθώθηκε πριν από δύο εβδομάδες.
Η εταιρεία αρχικά αποκάλυψε το ελάττωμα ως αδυναμία του Chrome, που εντοπίστηκε ως CVE-2023-4863, αντί να το αποδώσει στη βιβλιοθήκη libwebp ανοικτού κώδικα που χρησιμοποιείται για την κωδικοποίηση και αποκωδικοποίηση εικόνων σε μορφή WebP.
Αυτό το σφάλμα μηδενικής ημέρας αναφέρθηκε από κοινού από την Apple Security Engineering and Architecture (SEAR) και το Citizen Lab στο Munk School του Πανεπιστημίου του Τορόντο την Τετάρτη 6 Σεπτεμβρίου και διορθώθηκε από την Google λιγότερο από μια εβδομάδα αργότερα.
Οι ερευνητές ασφαλείας του Citizen Lab έχουν καθιερωμένο ιστορικό στον εντοπισμό και την αποκάλυψη zero-day που έχουν γίνει αντικείμενο κατάχρησης σε στοχευμένες εκστρατείες κατασκοπευτικού λογισμικού, οι οποίες συχνά συνδέονται με κρατικούς φορείς απειλών που στοχεύουν κυρίως άτομα υψηλού κινδύνου, όπως δημοσιογράφους και πολιτικούς της αντιπολίτευσης.
Η απόφαση να χαρακτηριστεί ως σφάλμα του Chrome προκάλεσε σύγχυση στην κοινότητα της κυβερνοασφάλειας, προκαλώντας ερωτήματα σχετικά με την επιλογή της Google να το κατηγοριοποιήσει ως πρόβλημα του Google Chrome αντί να το προσδιορίσει ως ελάττωμα στο libwebp.
Ο ιδρυτής της εταιρείας συμβούλων ασφαλείας Ben Hawkes (ο οποίος προηγουμένως ήταν επικεφαλής της ομάδας Project Zero της Google) συνέδεσε επίσης το CVE-2023-4863 με την ευπάθεια CVE-2023-41064 που αντιμετωπίστηκε από την Apple στις 7 Σεπτεμβρίου και χρησιμοποιήθηκε καταχρηστικά ως μέρος μιας αλυσίδας εκμετάλλευσης iMessage με μηδενικό κλικ (που ονομάστηκε BLASTPASS) για τη μόλυνση πλήρως επιδιορθωμένων iPhones με το εμπορικό spyware Pegasus της NSO Group.
Νέο CVE υψηλής σοβαρότητας
Ωστόσο, τώρα έχει εκχωρήσει ένα άλλο αναγνωριστικό CVE, το CVE-2023-5129, χαρακτηρίζοντάς το ως κρίσιμο ζήτημα στη libwebp με μέγιστη βαθμολογία σοβαρότητας 10/10. Αυτή η αλλαγή έχει σημαντικές επιπτώσεις για άλλα έργα που χρησιμοποιούν τη βιβλιοθήκη ανοικτού κώδικα libwebp.
Τώρα αναγνωρίζεται επίσημα ως ελάττωμα της libwebp και αφορά μια υπερχείλιση buffer σωρού στο WebP, επηρεάζοντας τις εκδόσεις του Google Chrome που προηγούνται της 116.0.5845.187.
Αυτή η ευπάθεια βρίσκεται στον αλγόριθμο κωδικοποίησης Huffman που χρησιμοποιείται από τη libwebp για συμπίεση χωρίς απώλειες και επιτρέπει στους επιτιθέμενους να εκτελούν εγγραφές μνήμης εκτός ορίων χρησιμοποιώντας κακόβουλα διαμορφωμένες σελίδες HTML.
Αυτός ο τύπος εκμετάλλευσης μπορεί να έχει σοβαρές συνέπειες, από συντριβές έως εκτέλεση αυθαίρετου κώδικα και μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες.
Η επαναταξινόμηση του CVE-2023-5129 ως ευπάθεια της libwebp έχει ιδιαίτερη σημασία λόγω του ότι αρχικά πέρασε απαρατήρητη ως πιθανή απειλή για την ασφάλεια πολλών έργων που χρησιμοποιούν τη libwebp, συμπεριλαμβανομένων των 1Password, Signal, Safari, Mozilla Firefox, Microsoft Edge, Opera και των εγγενών προγραμμάτων περιήγησης ιστού Android.
Η αναθεωρημένη κρίσιμη αξιολόγηση υπογραμμίζει τη σημασία της άμεσης αντιμετώπισης της ευπάθειας ασφαλείας (που τώρα παρακολουθείται με πολλαπλά αναγνωριστικά CVE με διαφορετικές αξιολογήσεις σοβαρότητας) σε όλες αυτές τις πλατφόρμες για να διασφαλιστεί η ασφάλεια των δεδομένων των χρηστών.
