Thomas的部落格

湯瑪士的 WiFi Hacking 無線網路駭客現形攻防戰...
在雅虎奇摩也買得到了... 可以在館長推薦上直接看到 :)
雅虎奇摩

 
網路技術類 網友最愛 No 1.
 
Yahoo 奇摩人氣推薦榜 No 1.
 

 
Thomas 出書了!!  --- [WiFi Hacking 無線網路駭客現形攻防戰]
網路書店已經可以找到了 :D
博客來網路書店
 
金石堂


 旗標出版社


 搶先看:
- 駭客如何透過無線基地台的弱點攻擊？
- 無線駭客如何使用 AirSnort 破解 WEP 金鑰？
  
 

Asus Access Point WL530g has a telnet service enabled without any authentication requried.
 
For anyone who telnet to the Access Point will get a Sash Command Shell instantly.
 
Inside the shell, whenever the Administrator save or export the setting of the AP, a copy of this file will be stored in the directory of /tmp/settings.
 
Thus, anyone can read the file and get the Web Admin login credential, PPPoE credential, WEP/WPA keys and other configuration inforamtions.
 
Asus has released a newer version of the firmware to remove this service but they didn't talk about this vulnerability.
 
I would recommand anyone who is using this AP to upgrade their firmware ASAP.
 
 

最近微軟的『辦公室』家族, 拼了命被找出了一堆漏洞。Word, Excel 先後都被發現了漏洞, 而且, 在還沒有修補程式出來以前, 攻擊程式碼 (Exploit Code), 卻已經在網路上流傳。
 
Zero-Day Attack, 是的, 零時差或是叫初始攻擊, 怎麼叫都不重要, 但是, 這是近來企業內部網路安全極為普遍的攻擊。
 
攻擊程式搭上 Word, Excel 的便車, 偽裝成一篇篇的心靈小品的好文章, 或是標題聳動的檔案, 突破人性好奇心的弱點, 或是利用社交工程, 以大家都有的好朋友 Jennifer, Kevin 的名義, 寄發 Email, 誘使大家中獎。
 
所以, 在賽門鐵克早期預警的服務裡建議, 暫時先攔截電子郵件裡的 Excel 附件夾檔, 只是, 這樣強力的早期預防作為, 勢必造成企業員工因不方便而反彈, 因此, IT 及資安人員, 也就得花費相當多的力氣, 來解釋為什麼有人的 Excel 不見了, Quater End 了, 收不到訂單怎麼辦?!以及為什麼要攔 Excel 檔, 相信一定會接到很多的抱怨或是救助電話。
 
其實, 看到敝公司能有這樣的強勢作為, 基本上, 我是很樂見的。安全與方便, 永遠是必須相互平衡, 無法兩者兼得, 但我們不能因為怕麻煩而不做, 怕民意反彈而不做, 事前的預防, 有效的降低企業的營運風險, 而不能抱著賭一賭的心態, 賭事情不會發生, 或等到發生了, 再來補救。
 
嗯, 所以如果今天貴公司, 已經攔截了您 Email 裡的 Excel 附件, 請給你的 IT 或是資安人員, 一點掌聲。
 
相關資料:
Microsoft Windows, Internet Explorer, Media Player, Word, PowerPoint, and Exchange Vulnerabilities
     http://www.us-cert.gov/cas/techalerts/TA06-164A.html
Microsoft Excel Vulnerability
     http://www.us-cert.gov/cas/techalerts/TA06-167A.html
Excel 攻擊程式
     http://lists.grok.org.uk/pipermail/full-disclosure/2006-June/047050.html

<原文刊於 ITHome 2004 資安特刊>

近幾年來，企業資訊安全的危機，來自於蠕蟲的攻擊，佔了相當大的一部份。SQL Slammer、Blaster、Sasser
這些蠕蟲，利用攻擊這些在軟體本身上的弱點，造成全球數十億美元的損失。事實上，根據美國電腦危機處理中心(CERT/CC)的研究報告指出，超過99%
的資訊安全事件，都是針對已知弱點所造成的破壞。顯示企業安全的成敗除了被動式的防禦，主動預防式的弱點管理之有效執行，才能解決問題的根源。

弱點管理與企業安全

從2002年至2004年間，CERT/CC接獲回報的弱點數，每年將近四千個，平均一天超過十個以上的新弱點，在企業內有限的人力之下，如何能在
利用弱點的蠕蟲產生之前及時修補，將是企業的挑戰。尤其目前弱點公布至蠕蟲流行的時間已從1999年的288天，至2004年的十天反應時間，如何能從企
業內部眾多的數位資產裡，找出弱點的所在，從何處著手來做好弱點管理，考驗著資安人的智慧與能力。

弱點管理從何管起?

在2001年，SANS機構與FBI集合了資安專家的意見，共同公佈了一份文件，以”Stop the
Break-Ins!”為標題，列出了十項網路上最危急的重大弱點，提供企業在面對成千上萬個弱點時，能夠有優先順序的準則，先致力於最危險的弱點修補。
而後在2002年增加為二十項，並從2003年起分為Windows Top 10及Unix Top
10。而事實證明，SANS/FBI每年公佈的前二十項最重要的弱點，這些弱點也是後來這些蠕蟲如Blaster, Slammer, Code
Red, 或是 NIMDA所利用的弱點。

最近的一份報告(2004年10月)公佈的前二十項重大弱點如下：
Windows平台的前十大弱點：
• W1 Web Servers & Services
• W2 Workstation Service
• W3 Windows Remote Access Services
• W4 Microsoft SQL Server (MSSQL)
• W5 Windows Authentication
• W6 Web Browsers
• W7 File-Sharing Applications
• W8 LSAS Exposures
• W9 Mail Client
• W10 Instant Messaging

UNIX平台的前十大弱點：
• U1 BIND Domain Name System
• U2 Web Server
• U3 Authentication
• U4 Version Control Systems
• U5 Mail Transport Service
• U6 Simple Network Management Protocol (SNMP)
• U7 Open Secure Sockets Layer (SSL)
• U8 Misconfiguration of Enterprise Services NIS/NFS
• U9 Databases
• U10 Kernel

在這份新的清單內，值得注意的是，W10 Instant Messaging
是第一次進入排行榜。隨著IM軟體使用者的大幅增加，在IM上的弱點也逐漸被發掘，不管是在 MSN，Yahoo
Messenger或者AOL上，都存在著弱點，類型包含了檔案傳送時或ActiveX
Controls上的緩衝區溢位，雖然這些IM主要為一般使用者使用，但可能造成企業內部員工的機密資料外洩，或是使得員工無法工作，降低生產力，造成企
業損失。另外W8 LSAS Exposure的弱點也因Sasser的流行，加入了Top 20。

優先修補的對象
雖然了解了弱點修補的項目，但企業內龐大的資產數量，如何確認何者應為優先修補的對象？雖然各個企業對於資產重要性的定義或有出入，但以下幾個類別，可以列為工作的重點：

1. 具有外部連線的主機
很多企業在設計網路架構時，內部與外部網路，常常並沒有分開，所以這些有外部連線的主機，常常為第一攻擊目標，也是駭客進入內部網路的大門。所以應列修補的重點。
2. 伺服器
常用的郵件、檔案、DNS、Domain Controller等伺服器，關係著企業的正常運作與否，因此需要優先防護，以免於不管是來自內部（蠕蟲、病毒、Insider…）或外部（駭客、Script Kiddies…）的攻擊。
3. 資料庫
儲存著企業的重要資料及機密。
4. 重要系統
交易系統、ERP、人事資料系統等公司日常營運所使用的系統。
5. 防火牆及網路設備
防火牆為企業安全防護的城牆，當然應隨時檢視其自身之安全。而網路設備例如Router、Switch等設備，若受攻擊，則企業的網路也立刻受到影響。
6. 其他重要人事之主機
CEO、財務、人事管理者所使用的電腦裡常存有企業的重要機密資料，也應列為檢測重點。

弱點管理的工作，無法一次修補所有的資產，有系統的做好資產清查，分門別類，了解資產的重要等級，針對這些重要的資產，優先做處理，才能使得努力有所成效。

Top 20 弱點的影響

SANS/FBI的這些弱點，究竟對企業會造成那些的危害，可分為以下幾類：
1. 系統完全被非法擁有
利用這些弱點，攻擊者可以得到系統管理者的權限。竊取系統內的重要資料或更進一步利用這些主機發動DDoS攻擊。
2. 資訊或檔案的外洩
攻擊者無法獲得完全的權限，但可以讀取更改資訊及檔案，造成資料的完整性、隱私性、可用性受到破壞。
3. 執行任意程式碼
利用這些弱點，攻擊者可以在主機上執行任何的程式碼，通常此種攻擊若有系統權限或配合提升權限的方法，可以進一步達到完全擁有主機的目的。
4. 阻斷式攻擊
攻擊者攻擊這些弱點，使得主機上的服務中斷，無法提供正常的運作。
5. 感染及散播病毒
由於軟體本身上的弱點，造成執行了惡意的程式碼或病毒程式。
6. 散發Spam信件
利用Email服務上的弱點，大量散發郵件。

弱點檢測的方法與工具

針對這二十項弱點，企業內部的IT人員，該如何來檢測數位資產上是否有這些弱點？在SANS
網站上公佈的最新文件裡，有詳細的列出了每一個弱點的影響系統版本、如何檢測、如何免除危險，以及相對應之CVE/CAN編號。然而，從2001年公佈的
Top
10一直演進到目前版本的Top20，事實上其包含的項目，己成數倍增長。最新公佈的這一份文件，所涵蓋的相關弱點相當的多，其列出之相關CVE/CAN
編號，超過五百個項目，若是完全以人工來找尋這些弱點，則是工程相當浩大的任務。因此目前市面上有相對應的弱點評估/管理系統，提供針對SANS/FBI
Top 20項目而做的檢測。

SANS網站上所列舉的弱點評估/管理系統如下：
- Foundstone Enterprise Vulnerability Management System (www.foundstone.com)
- eEye Retina Network Security Scanner (www.eeye.com/retina)
- Preventsys (www.preventsys.com)
- Qualys (www.qualys.com)
- Sara (www-arc.com/sara)

其他還有一些非針對SANS/FBI Top 20的弱點掃描系統，
- Nessus (www.nessus.org)
- SAINT (www.saintcorporation.com)
- Nmap (www.insecure.org)

修補方法與建議

在找尋到這些弱點之後，IT人員又該如何來進行修補？一般的修補工作，可以分為以下幾種類型：
1. 上相對應的Patch或更新版本
針對系統或服務，廠商都會提供Patch檔，針對這些弱點做修補，這一類型的修補工作，佔相當大的比率，執行時應注意的是對於重要的上線系統，應該先做測試，評估其是否有其他的不良影響。
2. 參考廠商或專家提供的Best Practices建議，更改設定
一般的廠商及專家會提供最佳設定的建議給使用者，例如Apache、IIS Server這些都有安全設定的建議，使用者應該參考這些建議，補強預設Configuration的不足。
3. 關掉不必要的服務
沒有再使用的服務，應該直接將其移除或關閉。常見的情況為預設安裝作業系統時，一併裝設了很多沒有在使用的服務而不自覺。這些沒有在使用的服務，往往也疏於管理更新。
4. 使用Host-based Firewall跟IDS
這些防禦機制，如果正確的設定，可以有效的防止攻擊者使用這些弱點。
5. 最小權限原則(Least Privilege)
合理定義每個使用者的權限，避免過度的權限給予攻擊者機會。

安全了嗎?

修補了SANS/FBI Top 20，事實上即可消彌目前常見的重大資安事件。以US-CERT公布當前最常發生的重大資安事件為例 (2005/03/14, http://www.us-cert.gov/current/current_activity.html) 這些目前流行的資安事件，都在Top 20建議的修補範圍之內。下表列出其與弱點之關聯：

事件名稱	對應SANS/FBI Top 20之弱點	說明
W32/MyDoom Revisited	W6, W9	利用Email Client 自動瀏覽的功能或使用者打開不安全的附件達到感染及傳送病毒的目的。其新變種也利用IE IFRAME的弱點進行攻擊。
MySQL UDF Worm	W5	這一個蠕蟲並未利用任何MySQL的弱點，而是利用其安裝在Windows平台時簡易的密碼或無密碼設定的弱點。
Santy Worm	W1, U2	利用phpBB佈告欄程式的弱點，達到控制Web Server的目的。
W32/Sober Revisited	W9	利用Email Client 自動瀏覽的功能或使用者打開不安全的附件達到感染及傳送病毒的目的。
W32/Bagle Revisited	W9	利用Email Client 自動瀏覽的功能或使用者打開不安全的附件達到感染及傳送病毒的目的。

由上表顯示，目前流行的這些蠕蟲與病毒，其實也都被涵括在這個Top 20的項目內，只要能持續修補這些重點項目，則已經能夠阻擋這些常見的攻擊活動。

持續的有效進行弱點管理

來自於網路上的威脅雖然日新月異，但其實也不完全是無跡可尋。面對成千上萬個弱點，其實只要能夠掌握住重點，則這些修補工作就能具有效益，而不是花了很多的精力在修補一些不會對企業造成任何危害的弱點。畢竟企業內部弱點修補的工作是永無止境的。

義大利的經濟學家Vilfredo
Pareto在1906年提出的20-80理論，事實上也可應用在弱點管理的工作上。百分之20的弱點，會為企業帶來百分之80的風險。找出那些百分之
20的弱點，優先修補這些弱點，可立即大幅降低企業風險。而這些所謂的百分之20的弱點在那裡？SANS/FBI Top
20，即是一個相當重要的指標。

“Protecting the Right Assets • From the Right Threats • With the
Right Measures”，在做弱點管理時，使用正確的弱點管理系統為你做正確的評估，以SANS/FBI Top
20為方向找出正確的威脅，如此，企業才能保障資產的安全。

<原文刊於 ITHome 2004 資安特刊>

前言
你是否有這樣的經驗，打開電腦，啟動無線網卡，然後試著讓Windows XP幫你自動找尋可用的無線網路，想要在 Coffee Shop或者甚至是路邊，享受無線上網的樂趣。
而現在隨著無線設備價格的平民化，想要在路旁找一台無線基地台，似乎也不是難事，尤其是在一些Coffee Shop 更是以提供無線上網為號召，吸引隨時隨地想上網的人。然而，就在無線基地台所在都有的情況下，當你啟動你的無線網卡時，可能，你己經暴露在無形的危機裡。
目前無線網路的駭客工具，在網路上都可以很容易得到。而且所需要的專業知識，也愈來愈低。HotSpot裡常見的駭客攻擊行為，以及他們所利用的工具，如以下所述。
偵察
首先，駭客找了一個可以放心進行攻擊的好位置，然後對這一個無線環境，做一番的「偵察」工作。這一
類的工具有很多，最基本的，可以利用Windows XP 所內建的無線網卡設定工具。在Windows XP SP2以前的 Wireless
Zero Configuration
的設計裡，它會自動利用你己使用過的SSID先去做尋找無線基地台的工作，所以，若是你己經將一些常用的Default
SSID加入你的Preferred Network List 裡，可以加快你發現無線基地台的時間，也可以發現一些SSID 廣播被關掉的基地台。
在Windows 裡另外一個常用的工具，那就是 NetStumbler。NetStumbler的功能比Windows內建的工具好些，提供你SSID，MAC 地址，頻道，加密與否以及訊號強弱的資訊，此時你就可以利用這些找到的SSID試著去做連線。
這些Windows平台下基本的工具，並無法提供你更進一步攻擊所需要的資訊，例如，正在連線的工作站的MAC地址，這樣的資訊是你突破MAC
Address Access Control List限制所必需要的資訊。目前並無這類免費的工具，而付費的工具有AirDefense
Mobile 以及 AirMagnet。當然，如果你對Linux有些基本認識，你可以使用無線駭客的最愛的免費工具--Kismet。
Kismet提供了相當完整的無線偵察功能，也是War Driving常使用的工具。此時駭客感興趣的是無線基地台的SSID，MAC
Address，使用頻道，以及是否使用WEP或其他的認證機制。同時也收集使用者的MAC
Address，IP等資訊。而且，Kismet也可以將封包存下來，讓你用破解WEP 的工具來進行WEP解密。
連線
有了這些偵察工具的幫忙，駭客第一步就是找到一個可以連線的基地台。完全沒有安全防護的基地台，到
處都是。而一般常見的安全機制有在基地台端的有MAC Address Control
List，WEP加密，在後端與付費系統整合的認證，有利用MAC或Session來做認證。MAC Address Control
List可以從無線網路偵測的工具裡找到有用的MAC
Address，駭客只要利用像SMAC這樣的工具，將自己的網卡改為同樣的MAC地址，則可輕鬆破解。WEP加密，則可利用AirSnort直接花時間
去破解，也可利用Kismet所抓到的封包，使用WEPcrack等工具去做字典攻擊。
至於整合付費系統的認證機制的服務，在此類的認證，常常會先允許你連線到基地台，取得合法IP，但未付費時，則無法使用Internet。此時，駭客的攻擊手法就得因地制宜了。
一旦駭客連上了HotSpot 的無線基地台，即使他無法破解HotSpot的付費認證機制，但他卻可以對在HotSpot的其他使用者，進行攻擊，甚至可以竊取合法用戶的資料，來登入HotSpot的付費系統。
監聽
駭客最基本的功夫，即是利用Sniffer來監聽沒有加密的內容。常見的Sniffer工具有很
多，現在更有針對特殊應用程式及Protocol設計的程式，例如MSN
Sniffer讓你看得到別人的聊天內容，HTTPDetect讓你知道別人在瀏覽什麼網頁，像WinSniffer，Cain或ACE
Password這樣的工具，自動幫你搜集利用明碼(Plain-Text)傳送的密碼，例如Email，FTP，或Telnet。另外Ethereal
及Airopeek這種功能強大的Sniffer，也是駭客常用的工具。
Evil Twin
除了監聽之外，進一步的駭客攻擊，則會利用Man-in-the-middle，來
操弄其他的使用者。駭客使用兩張無線網卡，一張與HotSpot的無線基地台連線，另一張網卡則利用軟體驅動成”Soft
AP”，並且設成和HotSpot一樣的SSID，欺騙其他的使用者來與其連線。駭客的筆記型電腦，此時即設成了所謂的『Evil
Twin』，偽裝成和HotSpot一樣的”攣生AP”，靜待受害者連線。此時駭客可再設置一個和HotSpot付費登入一樣的網頁，讓使用者輸入其帳號
密碼，然後再將他重新導向到真正的付費畫面，使用者就在不知不覺中，被騙取了帳號密碼。MITM攻擊的工具，則有著名的Monkey
Jack，HotSpotter或是其他可以使用軟體驅動成Soft AP的無線網卡。
癱瘓
最後，駭客也可以發動阻斷式攻擊(DoS
Attack)，癱瘓HotSpot的無線基地台，此種攻擊可以是單純的阻礙使用者連線，也可暫時中斷使用者連線，然後增加使用者連到駭客設置的Soft
AP的機會。阻斷式攻擊可以針對某一台基地台，中斷所有的連線，使用工具為hunter_killer，或是針對某一台主機與基地台的連線，例如
wlan_jack等工具。
Client端攻擊
除了以上這些無線網路下特有的攻擊模式，事實上，當駭客與使用者在使用同一個無線網
路的時候，有線環境下的攻擊，也可以一一應用在WLAN裡。最簡單的攻擊，則是掃描使用者的漏洞，或是用字典攻擊法猜取使用者的Windows
管理者密碼，尤其是一般人對密碼設置的不重視，使用過於簡單的密碼或過短的密碼(低於8位數)，admin, password, 1234,
123456,
abc123若是你有使用類似的簡單密碼，在幾秒鐘之內，駭客即可猜到，然後若你的電腦為所欲為：讀取檔案，裝設木馬，完全控制你的電腦。

自我防衛
了解了HotSpot裡所可能進行的無線網路攻擊的行為，對一個單純的想要在HotSpot裡品嚐咖啡，享受無線上網樂趣的使用者，以下的幾點建議，將可有效的加強自身的防護，避免自己成為下一個受害者。
一、 使用VPN連線，防止駭客監聽。
二、 使用加密的通訊協定取代沒有加密的通訊協定，例如：使用SSH代替Telnet，使用SSL加密的HTTP。
三、 啟動個人防火牆，減少駭客直接Client to Client的攻擊行為。
四、 不在公用無線網路裡進行重要的交易，例如使用網路銀行或線上購物。
五、 離開電腦時啟動登入鎖定，不使用簡單或空白的登入密碼，避免駭客利用你離開座位的時候，裝設惡意程式在你的的電腦上。
作者簡介：
莊添發 Thomas Chuang
美國卡內基美隆大學資訊安全及電腦輔助工程雙碩士，目前任職精誠資訊公司，擔任亞太區顧問。主要領域為風險管理與弱點評估，以及無線網路安全，並且也擔任Foundstone Ultimate Hacking 講師，於新加坡、曼谷、香港、北京、上海等地開課。

Below are some of the SQL Injection syntax that allow you to have a quick check if there is a SQL Injection vulnerability exist. Authorization Bypass: ';-- ' or 1=1;-- Username: ' or ''='
Password: ' or ''=' Then ending character in MS SQL Server and MS Access is different. For MS SQL Server, the ending character is ; For MS Access, the ending character is # Table Name Checking: ' having 1=1;-- ' having 1=1-- If you got the Error message like below, then you can use advanced SQL syntax to check the column in the table. (please just google it, or wait for the next blog :) -- Microsoft OLE DB Provider for ODBC Drivers Error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Column 'DBName.dbo.TableName.ColumnName' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. /whatever.asp, line 123 Please use it with your own responsibility.

One of our sales was going to sell vulnerability assessment / management solutions to a customer. The customer was so confident of their server since they have nothing open to the Internet except the Port 80. Also, many of the vendors/SI already approached them and provided them many times of the scans already. OK. Port 80. It seems we don't have too much to do with a OS / services scanner. This test finally falls into a web application assessment. Thus, I lanuched a Web Application Scanner to scan the server. There is nothing interesting except a form that was designnd to send a email for forgotten password. All of the forms in this web site was designned with the input validation checks, except this little pop up window. Then the SQL injection hacking was played. The advanced skill in this case is that the result is not showing in the error message in the web browser. If your SQL statement was run, then it will send a email to notify the user for the forgotten password. So what I did is that I have to get the result by sending email to myself. Agree or not. It seems the Penetration Test is somehow nothing much to test except the web testing for most of the cases. And the web testing is somehow nothing much to do except the input validation or you go straight to test the SQL injection problem. The human mistakes in the application design give the hacker a happy venue to be success. So, as long as the port 80 is still open, employ your expertise in Web Hacking, you are on the way.

Here is something that I learnt to penetrate the Web Filtering.
The scenario here is I want to transfer binary files to an inside station that only have port 80 access. However, the port 80 is guarded by Web Filtering that restricted the file type to text only.
The filtering is not easy to be fooled; simply change the file name to .txt is not able to cheat the filtering. So the file has to be really a text file.
So here comes the solution.
The original idea is to use Binary to Text (exe2hex.exe) tool to transform the binary file to text (Hex). And then use the build-in windows tool “debug” to transform it back to binary.
However, there is a limitation; the debug is limited to work with only 64k bytes. The file size larger than that is not working. Use RAR to create the split binary files is a way to come over this problem. But, it’s just too trivial to split the file to many small binary files and then use Binary to Text (exe2hex.exe) to transform and then downloaded by the station.
So another tool comes to help.
Base64.exe could encode the binary files and then decode it back to binary. The size of the Base64.exe is less then 64k bytes, so we can use Binary to Text tool to transform it to text and use debug to reassemble it back.
Below is the reference websites:
Binary to Text (exe2hex.exe):
http://www.g615.co.uk/riftor/exe2hex.shtml
Base64.exe
http://www.rtner.de/software/base64.html
Thanks Master Min to share the expertise on this :)