Hacker. unberechtigter Zugang zu Systemen und insbesondere: Wie man das verhindert! Situationen

Transkript

1 Hacker unberechtigter Zugang zu Systemen und insbesondere: Wie man das verhindert! Situationen physikalischer Zugang möglich im LAN des Opfers außerhalb

2 physikalischer Zugang wie kriegt man den? Diebstahl Einbruch social engineering Abhilfe? physikalischer Zugang möglich Rest eher banal na ja, kommt drauf an... reboot vom eigenen Medium Zugriff auf Daten, Programme... Keylogger Abhilfe: Boot-Laufwerke, BIOS-Kennwörter Verschlüsselung

3 Kennwörter herausfinden... Betriebssystem speichert Kennwörter in verschlüsselter Form (typ. MD5 Hash) Zugang zu gespeicherten Daten systematische Attacke möglich Brute Force vorberechnete Tabellen (hash chains, rainbow tables) [

4 Beispiele... oder klassische Tricks wie cmd.exe nach logon.scr kopieren... Beispiel: Windows Wenn Sie das Kennwort für ein Benutzerkonto in ein Kennwort mit weniger als 15 Zeichen festlegen oder ändern, erzeugt Windows sowohl einen LAN Manager-Hashwert (LM Hash) als auch einen Windows NT-Hashwert (NT Hash) für das Kennwort. Diese Hashwerte werden in der lokalen Datenbank der Sicherheitskontenverwaltung (SAM) oder in Active Directory gespeichert. Der LM-Hashwert ist im Vergleich zum NT-Hashwert relativ schwach, und ist daher anfällig für schnelle Brute-Force-Angriffe. LM Hash wandelt Kennwort in Grossbuchstaben um, zerlegt längere als 7 Zeichen in zwei separate! Abhilfe: Wenn Passwort länger als 15 Zeichen, wird LM Hash nicht gespeichert... MSKB [ [

5 tools... [ as a Service ;-)

6 Beispiel: Unix /etc/passwd /etc/shadow Angriffe mit vorberechneten Tabellen (z.b. rainbow tables) werden durch einen salt erschwert: Es wird nicht nur das Kennwort verschluesselt, sondern zwei (zufällige) Buchstaben und das Kennwort - der salt (hier die ersten zwei Zeichen des Kennwort-Strings) im LAN des Opfers Sniffer Spoofing IP-Adresse z.b. DNS, DHCP Software-Installation (Viren, Trojaner) Abhilfe? IDS, NAC, klassische Sicherheit

7 Sniffer protokollieren Ethernet-Pakete,Fehlersuche promiscous mode alle Pakete werden ausgewertet normalerweise nur an eigenen Rechner gerichtete Pakete (Ausnahme: Broadcast) nur root (Sicherheit) tcpdump, etherreal, kommerzielle Testnetz ibook susi.test.de ping

8 ping http

9 Kennwörter spoofing Angreifer vermeintliches Gateway Gateway normaler Weg Opfer z.b. ARP-spoofing: Die MAC-Adresse des gateways wird die des ANgreifers ersetzt (durch ARP cache poisoning). Folgende Zugriffe gehen über den Rechner des Angreifers, der beliebig mithören/manipulieren kann.

10 tools... TCP session hijacking Angreifer übernimmt bestehende TCP Verbindung, z.b. telnet Abhilfe: verschlüsselte Verbindungen verwenden, MAC-Adress Filterung im switch [

11 außerhalb... Vorgehen Informationen sammeln Zugang erhalten Ziel: (beliebige) Kommandos ausführen root-rechte erlangen Zugang erhalten/tarnen Informationen sammeln ohne Kenntnis kein Zugang! security by obscurity öffentliche Quellen DNS, whois, Rechnernamen (z.b. fw...) scans

12 Portscans Prinzip Verbindung zu best. Port aufbauen wenn erfolgreich, läuft entsprechender Dienst aus Verhalten Informationen über z.b. Produkt, Version usw. Portscans manuell: telnet, ping usw. mühsam automatisch: connect() scan leicht erkennbar (logfiles...) SYN- oder stealth-scan nicht in logs aber in IDS, Firewall usw. teilweiser Aufbau der TCP-Verbindung Verbindungsaufbau: SYN Flag SYN-flood: Denial of Service attacks

13 TCP Verbindungsaufbau andere... letztlich: Reaktion auf Fehlerbedingungen FIN: Paket mit gesetztem FIN-Flag (Ende der Verbindung), falls kein Dienst aktiv --> RST Christmas Tree Scan (FIN PUSH URG) usw. tools: nmap

14 Beispiel Idle Scan

15 Ergebnis Welche Rechner existieren Welche Dienste laufen auf diesen welche sind interessant! Welche Software/Versionen Basis für Suche nach Sicherheitslücken Abhilfe Was tun gegen (Port-) Scans? Will man die überhaupt verhindern? Security by obscurity Hauptsache, man erkennt sie! Intrusion Detection Systeme honeypots

16 Zusammenfassung SCAN liefert Informationen über Rechner (Namen, Adressen) Dienste Software (Versionen) (Port-) Scans lassen sich im wesentlichen nicht verhindern Zugang erhalten Angreifer möchte Code auf dem Zielrechner ausführen Dafür (Rechteverwaltung) wird account benötigt woher? Mit fremdem account anmelden bestehende Anmeldung übernehmen ( hijacking ) Variante: laufende Anwendung dazu bringen, (Schad-) code auszuführen

17 fremder account Anmeldung mit Benutzername/Kennwort beides muss bekannt sein deshalb: insb. Administrator-account umbenennen (wenn möglich) Benutzernamen nicht publizieren security by obscurity Kennwörter erraten...

18

19 exploit hacker bringt bereits laufende Anwendung dazu, seinen code auszuführen viele Möglichkeiten klassisch z.b. shellcode hat die Anwendung root-rechte, kriegt der hacker root Rechte... Buffer overflow int main(int argc, char *argv[]) { char buf[500]; strcpy(buf, argv[1]); return 0; } [ smashing the stack for fun and profit

20 Beispiel Morris worm (erster Internet-worm) Code Red, 2001, Microsoft IIS SQL Slammer, 2003, Microsoft SQL-Server Programmiersprachen, die keinen direkten Speicherzugriff erlauben (z.b. Java) Keine Ausführung von code in Datenbereichen (NX Bit - AMD, XD Bit - Intel) Abhilfe spezielle Libraries, Compiler usw. die Prüfungen durchführen defensive Programmierung Intrusion Detection Systeme (z.b. SUche nach NOP-sleds) Web Application Level Firewalls schwierig...

21 Zusammenfassung Buffer Overflows sind (auf absehbare Zeit) kaum zu verhindern Können evtl. erkannt werden (IDS) i.w. deshalb nicht mehr so populär wie früher, weil andere Lücken (von Web- Anwendungen) leichter auszunutzen sind...