Terminal-Server Break-Out

Transkript

1 Compass Event 2005 Terminal-Server Break-Out Jan P. Monsch GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch Aenda Ausanslae Terminal-Server Schwachstellen Ausbrechen aus Anwendunen Gefahren von Scriptin- und Makro-Funktionalität Graphische Dateiübertraun Geenmassnahmen Terminal-Server Hardenin Software-Restriction-Policies Administrative-Templates für Office Fazit Compass Pae 2

2 Compass Event 2005 Ausanslae GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch Ausanslae Terminal-Server-Technoloien sind heute in den Unternehmen sehr verbreitet. Microsoft Terminal-Server Citrix MetaFrame Tarantella Anwendunen Graphische Firewalls zum Surfen im Internet Extranet-Anbindunen von Mitarbeitern, Partnern & Kunden Geschäftsanwendunen ERP-Anwendunen For-Your-Eyes-Only-Anwendunen Performance-Verbesserun bei kommunikationsintensiven Client-Server-Anwendunen, die über Schmalband- Verbindunen betrieben werden müssen. Compass Pae 4

3 Beispiel 1: Graphische Firewalls Die Idee hinter raphischen Firewalls ist die Durchführun eines Protokollbruchs zwischen HTTP/HTML und Tastatureinaben/Bild. Hinter einer raphischen Firewall verbirt sich meist ein Citrix- oder ein Terminal-Server in einer DMZ, worin der Browser betrieben wird. Compass Pae 5 Beispiel 1: Graphische Firewalls Vorteile bezülich Malicious Mobile Code (MMC) Bieten einen uten Schutz een Inside-Out-Attacken Verhindern eine direkte Infektion des Arbeitsplatzes Verlust betrifft nur DMZ-Zone und nicht das anze Intranet Wird die Installation kompromittiert, so kann diese vom Backup zurückespielt werden. Der Internet-Zuriff kann zentral ereelt werden. Vorteile bezülich Wartun und Betrieb Die Software kann zentral ewartet werden und das Einspielen von Sicherheits-Patches beschränkt sich auf eine kleine Zahl von Systemen. Die raphische Firewall kann durch Software-Restriction- Policys sehr restriktiv konfiuriert werden, ohne die Geschäftsapplikationen auf dem Arbeitsplatz zu behindern. Compass Pae 6

4 Beispiel 2: Closed User-Group Die Mitarbeiter und Geschäftspartner reifen über Terminal-Server oder Citrix MetaFrame auf das - System für eine Closed-User-Group zu. Auf dem Terminal-Server kann der Benutzer nur die - Anwendun verwenden. Compass Pae 7 Gefahren Terminal-Server-Technoloien bieten sehr viel Flexibilität und Benutzerkomfort. Doch enau dieses Flexibilität bietet sehr viel Anriffsoberfläche für einen Anreifer Ausbrechen aus Anwendunen Einschleusen von MMC Unerlaubter Dateiaustausch zwischen dem Client und dem Terminal-Server-System Resourcen-Sharin Client-Laufwerke auf den Terminal-Server projizieren Serial- und Druckerports auf den Client projizieren Nachfolend werden die änien Schwachstellen bei Terminal-Server-Anwendunen aufezeit. Compass Pae 8

5 Compass Event 2005 Ausbrechen aus Anwendunen GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch Ausbrechen aus einer Anwendun Aus jeder Windows-Anwendun heraus können weitere Anwendunen estartet werden können, auch wenn kein Windows-Desktop dem Benutzer zur Verfüun steht. In jeder rösseren Anwendun ibt es dutzende Mölichkeiten solcher Ausäne. Nicht nur rosse sondern auch kleine Software-Pakete sind davon betroffen. Compass Pae 10

6 Ausbrechen aus einer Anwendun Varianten Standard-Dialoe bei den Funktionen Öffnen und Speichern Suchfunktionen Starten von Prorammen über das Kontextmenu Anzeie der Verzeichnisstruktur und -inhalte Kontextmenu Anzeie des HTML-Source-Codes bei Internet Explorer und Outlook ermölicht das Öffnen eines Notepads Einabe von URLs über Adresszeile im Browser Einfüen von URLs in Dokumente Anzeie von lokalen Dateien Starten von Prorammen Links, die den Start des Internet Explorers ermölichen Windows-Short-Cuts: Shift-Ctrl-Esc startet dentask-manaer Compass Pae 11 Standard Dialoe für Open und Save Standard-Dialoe für Funktionen wie Open, Save oder Save As... bieten ute Mölichkeiten, um auszubrechen. Insbesonders dann, wenn noch das Kontextmenu mit der Funktion Open aktiv ist. Compass Pae 12

7 Starten eines Notepads Bei Anwendunen die auf dem Browser basieren, kann über das Kontextmenu View Source ein Notepad estartet werden. Davon betroffen sind Internet Explorer. Anwendunen, die den Internet Explorer interieren, wie Outlook. Compass Pae 13 Ausbrechen aus Windows-Explorer Über die Adresszeile des Windows Explorer und des Internet Explorers können Proramme estartet werden. Die Adresszeile macht soar Vorschläe, was für Dateien in einem Verzeichnis vorhanden sind. Compass Pae 14

8 Ausbrechen über Hyperlinks Hyperlinks in Dokumenten oder s sind ute Mölichkeiten, um einen Browser oder eine andere Applikation zu starten. Compass Pae 15 Compass Event 2005 Gefahren von Scriptin- und Makro-Funktionalität GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch

9 Windows Scriptin Host Windows Scriptin Host (WSH) erlaubt System-Administratoren administrative Tätikeiten zu automatisieren, ist standardmässi auf allen Windows-Systemen aktiviert. Prorammierun kann über Script-Sprachen wie JScript oder VBScript esteuert werden, erlaubt Zuriff auf beliebie COM-Objekte. Es ibt zwei verschiedene Varianten, um ein Script auszuführen cscript: Anzeie von Ausaben auf der Kommandozeile wscript: Anzeie von Ausaben in einem Windows-Dialo Compass Pae 17 WSH - Dateizuriff & Download Über COM-Objekte ist ein Zuriff auf Dateien mölich var s = "Hello World!"; var fso = WScript.CreateObject("Scriptin.FileSystemObject"); var file = fso.createtextfile("hello.txt"); file.write(s); file.close(); oder auch ein Download einer Web-Seite var url = " var proxy = "proxy:8080"; var http = WScript.CreateObject("WinHttp.WinHttpRequest.5.1"); http.setproxy(2, proxy); http.open("get", url, false); http.send(); var body = http.responsetext; WScript.Echo(body); Compass Pae 18

10 Microsoft Office Makros Fast alle Microsoft-Office-Produkte bieten die Mölichkeit von Visual Basic Makros Word, Excel, PowerPoint, Access und Visio Visual Basic ist sehr mächti und erlaubt Zuriff auf beliebie COM-Objekte beliebie Funktionen in DLLs Makros können über das Windows-Menu Tools\Makros estartet und editiert werden Compass Pae 19 Makros und COM Objekte Im Visual Basic Editor können über das Windows-Menu Tools\References, die zu verwendenden Typen-Bibliotheken aktiviert werden Starten von Prorammen über das WSH COM-Objekt Dim shellobj As New WshShell shellobj.run Path "c:\winnt\system32\cmd.exe" Compass Pae 20

11 Dateiübertraun per Copy/Paste Terminal-Server-Sessions bieten die Mölichkeit Copy/Paste zu verwenden. Zusammen mit der Mölichkeit Code auf dem Server auszuführen bietet sich die Mölichkeit eine Datei zu übertraen Über ein EXE, Script oder Makro die Datei in Text codieren (z.b. Hex-codiert oder Base64) Text in einem Editor anzeien Per Copy/Paste den Text übertraen Compass Security hat hierzu ein Word Makro entwickelt, mit dem eine beliebie Datei als Hexcode in einem Word- Dokument anezeit werden kann. Compass Pae 21 Compass Event 2005 Graphische Dateiübertraun GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch

12 Ausanslae Der Terminal-Server wurde weiter abesichert, so dass Copy & Paste nicht mehr mölich ist. Somit bleibt einzi die physische Tastatur und das Fenster mit dem Terminal-Server als Kommunikationsmedium übri. Compass Pae 23 Macro- und Key-Recoder Um Windows-Oberflächen zu automatisieren, wurden Proramme entwickelt, mit denen die Aktionen der Maus und der Tastatur aufezeichnet und wieder abespielt werden können. Eine erste Version eines solchen Tools ab es in Windows 3.1 unter dem Namen Macro Recoder. Heute können solche Tools von Drittherstellern kommerziell erworben werden. Die meisten bieten auch eine Mölichkeit daraus Scripts zu enerieren, die dann manuell anepasst werden können. Somit kann die Gruppenrichtline für den Terminal-Server mit der Copy-Paste-Restriktion umanen werden. Compass Pae 24

13 Batch-Dateien als Transportmittel Batch-Dateien unterstützen nur darstellbare Zeichen aus dem US-ASCII Zeichensatz. Eine direkte Übertraun von binären Dateien ist daher nicht mölich. Jedoch besteht die Mölichkeit COM-Proramme zu schreiben, die nur Maschinencodes verwenden, die darstellbare Zeichen ereben. Solche COM-Proramme können in eine Batch-Datei einefüt werden und beim Aufrufen der Batch-Datei in eine Datei eschrieben und auseführt werden. Da COM-Proramme in der Grösse eineschränkt sind, werden meist nur Decoder-Proramme damit codiert. Der echte Nutzinhalt wird codiert in Kommentarzeilen abelet. Compass Pae 25 h2b.com H2B.com ist ein solcher Decoder, welcher eine in Hex codierte Datei entschlüsseln kann. REM Writes H2B converter to file h2b.com echo echo WwX0GwUY Wv;ovBX2Gv0ExGIu>>h2b.com... REM Executes h2b and converts the hex codes marked f1 to hacker.exe h2b "::f1" <%0 >attack.exe REM Removes h2b and starts attack.exe del h2b.com attack.exe REM Binary encoded in hex ::f1 4D5A ::f1 FFFF0000B Compass Pae 26

14 Batch-Dateien als Medium für MMC Solche Techniken werden auch von Viren und Würmern verwendet, um sich zu verbreiten. Nicht nur Batch-Dateien können für solche Anriffe missbraucht werden, sondern jede beliebie Script- Sprache. Durch die Codierun können diese Scripts den Virenscanner am Perimeter umehen. Compass Pae 27 Graphische Datenübertraun Wird Copy & Paste über eine Gruppenrichtlinie unterdrückt, so bleibt als Ausabemedium einzi der Bildschirm des Terminals übri bleibt. Ein allfällier Download von Daten muss daher raphisch erfolen. Als Mölichkeiten stehen zur Verfüun Schrifterkennun (OCR) Barcodes Matrix-Codes (2D Barcode) Als effizientestes Mittel kommen Matrix-Codes in Frae Können rössere Datenmenen enthalten (je nach Code- Type bis zu 3 kbyte) Bieten Interitätsschutz Sehr kompakt Darstellun Können einfach decodiert werden Compass Pae 28

15 QR-Code QR-Code (Quick Response Code) Erfunden 1994 durch die japanische Firma Denso Version 40 Seit 2000 ISO Standard Eienschaften Speichert bis zu 2953 Bytes 40 verschiedene Grössen 4 Stufen der Fehlerkorrektur, basierend auf dem Reed-Solomon Code Version 1 Compass Pae 29 QRCode FTP Compass Security hat auf Basis des QR-Codes ein Prozess für die Übermittlun einer Datei entwickelt. Funktionsweise QRCode FTP Sender Daten werden aufeteilt in QR-Codes Animation der QR-Codes Erstellen von Screenshots QRCode FTP Receiver JPEG-Dateien werden decodiert Die Daten werden in der richtien Reihenfole zusammenesetzt Übertraunsraten 1 MB 356 QR-Codes Bildrate 266 ms 95 Sekunden/MB 88 kbit/s Compass Pae 30

16 Compass Event 2005 Geenmassnahmen GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch Geenmassnahmen Die stärke dieser Anriffe beruht darauf, dass der Benutzer die Mölichkeit hat Code auszuführen (BAT, EXE, Scripts oder Makros) Dateien zu editieren Daher muss diese Funktionalitäten auf dem Terminal- Server unterbunden werden Terminal-Server Lockdown Einschränken der Benutzeroberfläche Software-Restriction-Policies unter Windows Nur erwünschte Anwendunen freischalten Nach Mölichkeit keine Editoren freischalten Nach Mölichkeit keine Scriptin-Enines oder VMs freischalten Administrative-Templates für Office Einschränken der Makro-Funktionalität Compass Pae 32

17 Hardenin des Terminal-Server Über Windows Gruppenrichtlinien (GPO) kann die Windows- Oberfläche eineschränkt werden. [User Confiuration\Administrative Templates\ Windows Components\Windows Explorer] Remove File menu from Windows Explorer = Enabled Remove Search button from Windows Explorer = Enabled Remove Windows Explorer's default context menu = Enabled Hide these specifed drives in My Computer = Restrict all drives Prevent access to drives from My Computer = Restrict all drives... [User Confiuration\Administrative Templates\ Internet Explorer\Browser menus] Disable Context menu = Enabled Für weitere Empfehlunen siehe Lockin Down Windows Server 2003 Terminal Server Sessions Compass Pae 33 Software-Restriction-Policys Software Restriction Policys sind ein neues Feature in Windows XP und Windows 2003 Mechanismen zur Identifizierun der Software über Kryptoraphischen Hashwert, Zertifikate, Pfad, Zonen. Whitelistin- oder Blacklistin-Ansatz mölich, wobei nur erster zu empfehlen ist. Bei Windows heissen diese Default-Reeln Unrestricted Disallows Prüfun auf der Ebene von ausführbaren Dateien wie auch deren abhänien DLLs mölich. Jedoch ist der Aufwand für das erstellen des Reelwerks bei Einbezu der DLLs sehr hoch, aber auch sehr sicher. Compass Pae 34

18 Software-Restriction-Policys Kombination der verschiedenen Mechanismen mölich, wobei folende Reihenfole ilt. Hash, Zertifikate, Pfad, Internet-Zone und Default-Reel Spezifischere Reeln ewinnen eenüber allemeineren Reeln Beispiel Hash Reel 1 Hash outlook.exe Unrestricted 2 Hash msword.exe Unrestricted Zertifikat Reel 3 IT Manament Certificates Unrestricted Pfad Reel 4 %WINDIR%\System32\*.vbs Unrestricted 5 %WINDIR%\System32\mmt.vbs Disallow Default Reel 6 Disallow Compass Pae 35 Software-Restriction-Policys Beim Freischalten von ausführbaren Dateien auf dem Terminal- Server ist zu beachten, dass folende Proramme nicht aktiviert werden sollten Java Virtual Maschine java.exe Windows Scriptin Host wscript.exe, cscript.exe Falls diese freieschaltet werden, kann beliebier Code auseführt werden - auch das Ansprechen von DLLs ist mölich! Müssen auf dem Terminal-Server Office-Dokumente nur anezeit werden, so empfiehlt sich der Einsatz von reinen Viewern Microsoft Word Viewer 2003 Microsoft Excel Viewer 2003 Microsoft PowerPoint Viewer 2003 Compass Pae 36

19 Administrative-Templates Office 2003 Resource Kit bietet Administrative-Templates, womit es mölich ist die Funktionalität der Office- Anwendunen einzuschränken. WORD11.ADM EXCEL11.ADM PPT11.ADM ACCESS11.ADM... Macro-Security auf die höchste Sicherheitsstufe einstellen Zuriff auf Visual Basic Projekte einschränken Menu-Punkte und Tastatur- Short-Cuts einschränken Compass Pae 37 Compass Event 2005 Fazit GLÄRNISCHSTRASSE 7 POSTFACH 1671 CH-8640 RAPPERSWIL Tel Fax team@csnc.ch

20 Fazit Es ibt verschiedene Mölichkeiten wie ein Anreifer seinen Code ausführen kann: Batch-Dateien Java Script und Visual Basic Script Visual Basic in Office Produkten Java Download und Uploads vom und zum Server mölich über Tastatur und Bildausabe mölich, wenn der Anreifer entsprechende Execute-Berechtiunen besitzt. Verhinderun dieser Anriffe durch White-Listin der ewünschten Anwendunen Einschränkun der Scriptin- und VM-Umebunen Compass Pae 39 Referenzen Lockin Down Windows Server 2003 Terminal Server Sessions ebbf834fc6f7/win2003_teminal_server_lockdown.doc Usin Software Restriction Policies to Protect Aainst Unauthorized Software How To Use Software Restriction Policies in Windows Server Office 2003 Policy Template Files and Deployment Plannin Tools Office and Home Applications (Office Viewer) Compass Pae 40

21