プラットフォームattackdefense.comの情報セキュリティインスタンス

...私たちは大きなイベントと小さな人々の時代に生きています

...ウィンストン・チャーチル



本日は、よく知られている会議主催者（ Black Hat and Pentes Academy ）のサポートを受けて、リソースattackdefense.comの分析と実験室作業のサイクルの最初の記事に注目します。これは、さまざまなプロトコル、サービス、システムに対する攻撃の多くの側面を理解できるプロジェクトです。 ほとんどの場合、このリソースは、最も関連性の高いトピックに関する実験室作業のプラットフォームです。



この資料を読んでいる間に発生する可能性のあるいくつかの質問にすぐにお答えします。





この記事では、以下を簡単に確認します。

• 機能とリソースに関する歌詞。 そして、それは私たちに何を与えるでしょう。
• リソースが提供する「攻撃」の種類。
• これから説明する実験室の作業による攻撃ベクトルに関する資料。
• 「テスト」ラボの1つのソリューション。
• 結論

次の記事が予定されています。

• 1種類の攻撃方向の全ラインを完了します。 （トラフィック分析）
• コースの資料を準備します。
• 実験室の仕事を解決するときに生じる主なエラーを分析しましょう。
• この方向で簡単な理論を収集します（論文/ベビーベッド）
• 前の記事の質問に答えます。

はじめに

私たちが追求した目的：以前はこのトピックに専念していなかったが、この分野に強い関心を持っていた人々のために、サービスの研究に関心を高めること。



一部の人々とコミュニティはすでにこのトピックを開始していますが、リソースの可能性を明らかにした人はいません。 私たちが提供しようとしているもの、他の人が提供していないもの。 これらは、この脆弱性が発生した技術の説明であり、この脆弱性が発生した理由と、この脆弱性をどのように解決、回避、または相殺できるかを理解するのに役立ちます。



すでに意見を述べており、独自の開発の方向性を持っているより熟練した人々のために、あなたはあなた自身のために新しいベクトルを発見する可能性に慣れることをお勧めします。



プロフェッショナル向けに 、新しい「Capture the Flag」を発見してください。 この方向には詳細なレビューはありません。 これは独立した通過のために残ります。 （ただし、成果、結果、または元のソリューションを共有したいボランティアがいる場合は、記事の別のセクションにあなたの考えを追加できます。追加のレビューとして。ヒーローについて言及します。

読み込み中

いくつかの統計：



執筆時点で、研究所の数は505-664-700個から増加しています。

ラボ分析：ネットワーク調整-Memcashed [理論]

Memcachedは、ハッシュテーブルベースのデータキャッシュサービスを実装するソフトウェアです。 クライアントライブラリを使用すると、利用可能な多くのサーバーのRAMにデータをキャッシュできます（ wikiまたはもう少し詳細なhabr.comを参照 ）。



この製品の興味は何ですか、なぜそんなに注目されているのですか？

問題は、このアプリケーションで使用されるプロトコルがUDPであるため、「攻撃者」の利益のためにこのツールを使用する単純さです。 ご存知のように 、TCPプロトコルとUDPプロトコルの違いは何ですか（例について忘れていた人を思い出させてください ： otvet.mail / Wikiまたはlink ）。 つまり UDPを使用すると、受信者がフレームデータを受信することを心配せずに、フレームデータを送信できます。 そして最も重要なことは、UDPを介して送信されるデータの量は、TCPを介して送信されるデータの数倍です。



しかし、そのような注意は何ですか？ そして、実際には、ネットワーク/インターネットを介してこのソフトウェアにアクセスする場合、100 kbの着信パケットサイズでポート11211にアクセスします。 答えは1,000〜50,000倍で得られます。 それら。 100 kbを送信すると、100,000 kbが返されます。 良い比率？ 最高！



しかし、危険は何ですか？ お願いします。 なぜこの情報が必要なのですか？

しかし、問題はこれです。トラフィックを制御しないローカルネットワークや通信事業者では、IPスプーフィングなどの攻撃が可能です。 発信IPの置換。 今や、悪人はだれかとして自分自身を紹介するだけでなく、彼に代わって何らかの情報を要求することができます。



そして、ここでこれが判明します（画像に簡単に示されています）：

1. IPスプーフィングを使用する攻撃者がIPをスプーフィングします。 IP「犠牲者」で。
2. Memcashedサーバーに要求を行います。 IPアドレスが変更された
3. サーバーはリクエストに応答します。 しかし、控訴に対する回答はすでに「犠牲者」に送られています
4. 「犠牲者」は、リクエストのサイズの100倍の応答を受け取ります。

その結果、このようなリクエスト/レスポンスが多数発生します。 DosまたはDDos攻撃は、ゾンビマシンの数に応じて発生する場合があります。



詳細については、 securitylab 、 xakep.ru 、 360totalsecurityを参照してください。



または、Googleで検索します。



緩和策： Memcachedサーバーの脆弱性を修正する方法

Memcachedサーバーがリフレクターとして悪用されないようにする最も簡単な方法の1つは、ファイアウォールを使用してソースポート11211でUDP速度をブロックまたは制限することです。 IPスプーフィングがインターネットで許可されている場合、Memcachedを介した攻撃は、インターネットサービスプロバイダー（ISP）によって簡単に阻止することはできません。



nmapを使用してサービスを見つける例（最も合理的な方法ではありません）

nmap 192.168.1.1 -p 11211 -sU -sS --script memcached-info







この一連のラボ作業では、Memcashedサービスの単純なインテリジェンス機能に慣れることができます。 Metasploit兵器庫のツールが影響を受ける場所。 そして、標準のLinuxシステムコマンド。 それほど複雑で普通ではありません。

ラボ分析[演習]

[メニュー]

各ラボ作業にはメニュー項目があります。

1.割り当て

2.ルール

3.タスクへの回答

4.解決のヒント。 （必ずしもすべてのラボではありません）

5.読み取りの参照（Enのみ）

[割り当て]

1. nmapを使用してmemcachedサーバーのバージョンを見つけます。

2. netcatまたはtelnetを使用してバージョン情報を見つけます。

3. memcachedサーバーが許可する同時着信接続の最大数を確認し、使用可能なnmapスクリプトを使用します。

4. memcstatを使用して、memcachedサーバー上の現在のアイテムの数を見つけます。

5.利用可能なmetasploitモジュールによってダンプされたキーと値のペアからキー「フラグ」に保存されている値を見つけます。

6. memcdumpを使用して、memcachedサーバーに存在するすべてのキーの名前を見つけます。

[開始]

「Lad link」をクリックすると、新しいウィンドウが開き、kali linuxターミナルが表示されます







これがあなたのメインウィンドウになります。 （仮想マシンではありません。すべてが既にインストールされ、構成されています。ラボのすべてのスクリプトは既に内部にあります。ダウンロード、検索、何かを発明する必要はありません！） 原則として（常にではないが）マテリアル、スクリプト、およびデータベースはルートフォルダーにあり、または自宅で。



タスク1： nmapを使用してmemcachedサーバーのバージョンを見つけます。



ヒントは既に与えられています。 nmapを使用します

 Nmap –p 11211 ipaddress –sV –p .    11211 -sV –   
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

nmapの詳細については、記事の最後をご覧ください。 セクションExtras。 材料。 そこにベビーベッドを置きます。



結果： 1.5.12（ラボで1.5.6を書いた回答-よく知っている）



タスク2： netcatまたはtelnetを使用してバージョン情報を検索します。

彼らが尋ねなかった量：











まだ返事がありません。



結果：結果の取得に失敗しました。



タスク3：利用可能なnmapスクリプトを使用するためにmemcachedサーバーが許可する同時着信接続の最大数を見つけます。



ヒント： Google検索：memcached nmap







リンクをたどると、memcacheに関する情報を見つけるための既製のソリューションが既にあることがわかります。 すべてのスクリプトが既にインストールされていることが保証されているため、次のことを試みます。

 Nmap –p 111211 –script memcached-info 182.220.144.3
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

結果： 2147



タスク4： memcstatを使用して、memcachedサーバー上の現在のアイテムの数を見つけます。

 memcstat –h memcstat --servers=”IP”
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

結果： curr_items：10



タスク5：利用可能なmetasploitモジュールによってリセットされたキー値のペアから「フラグ」キーに保存されている値を見つける

 use auxiliary/gather/memcached_extractor show options set rhosts 192.220.144.3 run
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

スクリプトの応答：フラグ "VALUE flag 0 32 \ r \ n25c8dc1c75c9965dff9afd3c8ced2775 \ r \ nEND \ r \ n"

結果： 「VALUEフラグ0 32 \ r \ n25c8dc1c75c9965dff9afd3c8ced2775 \ r \ nEND \ r \ n」

（25c8dc1c75c9965dff9afd3c8ced2775）原則として、同じこと。



タスク6： memcdumpを使用して、memcachedサーバー上のすべてのキーの名前を見つけます。



ヒント：すでに知っています。 前のタスクのmetasplitの助けを借りて。 まあ、私たちはまだ見ることができます：

 root@attackdefense:~# memcdump 192.220.144.3
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

フラグ、パスワード、国、郵便番号、州、都市、住所、ニックネーム、ラストネーム、ファーストネーム









結果：フラグ、パスワード、国、郵便番号、州、市、住所、ニックネーム、ラストネーム、ファーストネーム



タスク7： memcached-toolを使用して、「first_name」キーに保存されている値を見つけます。



memcached-toolを使って自分で試してみたい



結果：しかし、答えは同じになります：ジミー

どうやって知りましたか？ 「結果5」のスクリーンショットを見てください。

まとめると

1.このラボについて



見てきたように、割り当てられたタスクを解決するためのアプローチがいくつかあり（質問5、6、および7ではっきりとわかります）、最も重要なことは、あなたの時間はソリューションの選択に依存します。



残念ながら、私はまだタスク番号2の本質を理解していませんでした。 しかし、残念ながら、私は成功しませんでした（ または、nmap –o ip“ address”またはnmap –A“ ip addressなどのすべてを実行する必要があっただけかもしれません。しかし、これは別の話です）。



2.リソース全体について。



このリソースが気に入った点：





気に入らなかったもの：

追加します。 素材

マンnmap ：

チートシート ：

マン・ラス・ナマップ



著者からのPS追加：