Praktikum IT-Sicherheit

Transkript

1 Praktikum IT-Sicherheit - Versuchshandbuch - Aufgaben Wenn es ein Angreifer einmal geschafft hat, Informationen über ein System zu sammeln und danach in das System eingedrungen ist, möchte er dies nicht jedes Mal wiederholen müssen. Aus diesem Grund richtet er Hintertüren (Backdoors) auf dem System ein, um immer wieder leicht Zugang zu haben. In dieser Übung werden Sie selbst solche Backdoors einrichten und sehen wie man diese mittels des Netzwerkmanagement-Protokolls SNMP feststellen kann. Danach werden Sie die Backdoor mittels eines so verstecken, dass sie nicht mehr auffindbar ist. B.Sc. M.Sc. AI M.Sc. EB 10 IT-Sicherheit

2 Aufgabe1 Fragen zu Backdoors a) Was ist eine Backdoor? b) Welchen Sinn verfolgt ein Angreifer mit dem Einrichten einer Backdoor? c) Welche Möglichkeiten gibt es eine Backdoor in einem Zielsystem zu verstecken? d) Welche Möglichkeiten gibt es eine Backdoor in einem System zu entdecken? 2

3 Aufgabe 2 Einrichten einer einfachen Backdoor a) Wir simulieren eine Backdoor mit dem Programm netcat (nc). Wechseln Sie auf das Zielsystem und führen Sie den Befehl nc -l p e /bin/sh aus, um eine Backdoor zu installieren. Die steht für den Port. b) Überprüfen Sie, ob das Programm auf dem gewünschten Port lauscht. (netstat paut) c) Wechseln sie auf das Angreifersystem und führen Sie den Befehl aus. nc <Ziel-IP-Adresse> d) Was hat dieser Befehl bewirkt? Auf welchem System befinden Sie sich? e) Mit welchen Rechten befinden Sie sich auf dem Zielsystem? 3

4 f) Starten sie das Programm Firefox (einfach firefox im Terminal eingeben). Danach wechseln Sie zum Zielsystem und schauen, was passiert. g) Wie könnte man eine solche einfache Backdoor ganz leicht erkennen? 4

5 Aufgabe 3 Einrichten einer Port-Knocking-Backdoor a) Was versteht man unter einer Port-Knocking-Backdoor? b) Worin liegt der entscheidende Vorteil im Gegenteil zu der einfachen Backdoor, die in Aufgabe 2 eingerichtet wurde? c) Wechseln Sie auf einem Terminal des Zielsystems in den Ordner Port_Knocking_Backdoor. Dort führen Sie folgenden Befehl aus: java -jar PortKnocking.jar Hierbei stehen die Parameter 1, 2 und 3 für die Klopfreihenfolge, welche zum Öffnen der Backdoor benötigt wird. Der Parameter steht für die Portnummer auf der nach dem Anklopfen gelauscht werden soll. 5

6 d) Versuchen Sie mit Hilfe des Befehls netstat herauszufinden, ob eine Backdoor eingerichtet worden ist. ja nein e) Wechseln Sie zu dem Angreifersystem und starten Sie ein Terminal. Dort wechseln Sie in den Ordner Port_Knocking_Backdoor. Dann führen Sie folgenden Befehl aus: java -jar Connector.jar <Ziel-IP-Adresse> Hierbei stehen die Parameter 1, 2 und 3 für die Klopfreihenfolge, welche zum Öffnen der Backdoor benötigt wird. Der Parameter steht für die Portnummer auf die sich der Angreifer versucht zu connecten (kann bis ca. 2 Minuten dauern). f) Führen sie die Befehle whoami und pwd aus. Wie bewerten Sie die Ergebnisse? g) Wie könnte man schon vor dem Anklopfen die Backdoor erkennen? 6

7 Aufgabe 4 Erkennen einer Backdoor mittels SNMP Internes Netzwerk Zielsystem User: target Passwort: target Ueberwachungssystem User: security Passwort: security a) Wie könnte man eine Backdoor mittels SNMP erkennen? b) Wechseln Sie zu dem Überwachungssystem. Dort starten Sie das Programm snmp_mit_gui.jar (Pfad: /root/desktop/snmp_mit_gui.jar), vom Terminal aus, mit dem Befehl: java -jar snmp_mit_gui.jar Bei der erscheinenden GUI geben Sie im oberen Textfeld die IP-Adresse des Zielsystems an und wählen danach bei den Radiobuttons Inventarisieren aus. Wenn Sie jetzt auf Start drücken, macht sich das Programm über das Zielsystem schlau. Es fragt per SNMP die geöffneten Ports, Prozesse, installierte Software, Routen usw. ab und speichert diese in einer Datenbank. 7

8 c) Führen Sie jetzt den Schritt a) von Aufgabe 2 nochmals durch, um eine Backdoor zu öffnen. d) Wechseln Sie zurück zum Überwachungssystem. Starten Sie das Programm nun im Auswerten Modus (Radiobutton Auswerten auswählen). Nun werden die Systemparameter erneut mittels SNMP abgefragt und mit denen in der Datenbank verglichen. e) Wurde die Backdoor erkannt? f) Könnte man auch Port-Knocking-Backdoors mittels SNMP erkennen, wenn ja wie? 8

9 Aufgabe 5 Fragen zu a) Was ist ein Rootkit und wofür wird es verwendet? b) Welche Arten von gibt es und wie ist ihre Vorgehensweise? c) Erläutern Sie kurz das Funktionsprinzip eines Binary. d) Erläutern Sie kurz das Funktionsprinzip eines LKM. 9

10 e) Wie könnte man Binary entdecken? f) Wie könnte man LKM entdecken? 10

11 Aufgabe 6 Demonstration eines a) Starten Sie die virtuelle Maschine Windows_XP_SP3_Rootkit. b) Starten Sie auf dem Windows PC die Kommandozeile und wechseln Sie in den Ordner nc111nt auf dem Desktop. Dort führen Sie folgenden Befehl aus um eine einfache Backdoor zu installieren: nc -l p e cmd.exe Bei der Abfrage der Firewall wählen Sie Nicht mehr Blocken. c) Starten Sie eine neue Kommandozeile und vergewissern Sie sich mit dem Befehl netstat -an, dass die Backdoor eingerichtet ist. d) Schauen Sie im Task-Manager bei den Prozessen nach, ob der Prozess nc.exe läuft. (nc.exe stellt unsere Backdoor dar) e) Wechsel Sie in den Ordner hxdef100r auf dem Desktop. Öffnen Sie die Datei hxdef100.ini und tragen hier ein, dass das Rootkit den Prozess nc.exe und den Port verstecken soll. Danach führen Sie dann das Rootkit mit dem Befehl hxdef100.exe aus. 11

12 f) Schauen Sie im Task-Manager bei den Prozessen nach, ob Sie den Prozess nc.exe noch sehen. ja nein g) Versuchen Sie mittels netstat -an festzustellen, ob Sie die Backdoor noch erkennen können. ja nein h) Können Sie auf dem Desktop den Ordner hxdef100r noch sehen? ja nein 12