Ushbu o‘quv modulida biz quyidagi o‘quv birliklarini qamrab olamiz:
Penetration testlarida mijoz bizdan ularning korporativ tarmoq perimetrini buzish va tarmoq ichida dastlabki o‘rinni egallash vazifasini yuklashi mumkin. An’anaviy hujum modelida biz mijozning ochiq mashinalarini ro‘yxatga olib, ularning xizmatlarini ekspluatatsiya qilishga harakat qilardik. Biroq, Verizon kompaniyasining hisobotiga ko‘ra, texnik zaifliklarni ekspluatatsiya qilib perimetrni yengish tobora kam uchraydigan va qiyinlashib borayotgan holatga aylandi. Hisobotda aytilishicha, Phishing perimetrni buzish uchun ishlatiladigan ikkinchi eng katta hujum vektori bo‘lib, faqat hisob ma’lumotlari hujumlaridan keyin turadi.
Phishing ko‘pincha client-side attacks-dan foydalanadi. Bu turdagi hujum foydalanuvchilarga zararli fayllarni to‘g‘ridan-to‘g‘ri yetkazib berish orqali ishlaydi. Agar ular ushbu fayllarni o‘z mashinalarida ishga tushirsalar, biz ichki tarmoqda o‘rin egallashimiz mumkin. Client-side attacks ko‘pincha brauzerlar, operatsion tizim komponentlari yoki office dasturlari kabi mahalliy dasturiy ta’minot va ilovalardagi zaifliklar yoki funksiyalarni ekspluatatsiya qiladi. Mijoz tizimida zararli kodni ishga tushirish uchun ko‘pincha maqsadli foydalanuvchini ishontirish, aldash yoki chalg‘itish kerak.
Aldash tushunchasi penetration testerlar sifatida biz uchun muhimdir. Bu savolni keltirib chiqaradi: biz kimni aldamoqdamiz? Kimni ishontirmoqchimiz? Client-side attacks bizga nafaqat kompyuterlar yoki tarmoqlardagi zaifliklarni, balki odamlarga xos zaifliklar, tarafkashliklar va mo‘rtlikni o‘ylash imkoniyatini beradi. Bu shuni anglatadiki, eng yaxshi hujumchilarga aylanish uchun biz nafaqat tizim administratsiyasi va tarmoq ishlari kabi texnik ko‘nikmalarga ega bo‘lishimiz, balki inson psixologiyasi, korporativ madaniyat va ijtimoiy normalar haqida ham bilimlarni rivojlantirishimiz kerak.
Penetration testlarda client-side attacks-dan foydalanganda, foydalanuvchilarni nishonga olishning axloqiy jihatini ham hisobga olishimiz zarur. Maqsadimiz faqat ularning tizimida code execution-ni amalga oshirish emas, balki xodimlarni shantaj qilish yoki politsiyani taqlid qilish kabi axloqiy yoki qonuniy chegaralarni buzmaslik hamdir.
Mijozning ichki korporativ tarmoqdagi mashinasi odatda to‘g‘ridan-to‘g‘ri ochiq tizim emas va ko‘pincha tashqi xizmatlarni taqdim etmaydi, shuning uchun bu turdagi hujum vektorini yumshatish qiyin va ayniqsa xavflidir. Bunday hujumlar yangi himoya paradigmalarini joriy etishga undadi.
Client-side attacks ko‘pincha maxsus yetkazib berish mexanizmlari va payload kombinatsiyalaridan foydalanadi, jumladan, elektron pochta qo‘shimchalari yoki zararli veb-saytlar yoki fayllarga havolalar. Biz hatto USB Dropping yoki watering hole attacks kabi yanada murakkab yetkazib berish mexanizmlaridan foydalanishimiz mumkin.
Qaysi yetkazib berish mexanizmini tanlamasligimizdan qat’iy nazar, biz ko‘pincha payload-ni tashqi tarmoqlarda ochiq bo‘lmagan, yo‘naltirilmaydigan ichki tarmoqdagi nishonga yetkazishimiz kerak, chunki mijoz tizimlari kamdan-kam hollarda tashqariga ochiq bo‘ladi.
Spam filtrlar, firewall-lar va boshqa xavfsizlik texnologiyalari tufayli elektron pochta orqali payload-larni yetkazib berish tobora qiyinlashmoqda, chunki ular elektron pochta xabarlaridagi havolalar va qo‘shimchalarni skaner qiladi.
Hujum vektori va payload-ni tanlashda avval reconnaissance o‘tkazib, maqsadning operatsion tizimi va o‘rnatilgan ilovalarni aniqlashimiz kerak. Bu muhim birinchi qadam, chunki bizning payload maqsadning imkoniyatlariga mos kelishi zarur. Masalan, agar maqsad Windows operatsion tizimida ishlayotgan bo‘lsa, biz Windows Script Host orqali ishga tushiriladigan zararli JScript kodi yoki zararli resurslarga ishora qiluvchi .lnk shortcut fayllari kabi turli xil client-side attacks-dan foydalanishimiz mumkin. Agar maqsadda Microsoft Office o‘rnatilgan bo‘lsa, biz zararli makroslar o‘rnatilgan hujjatlarni ekspluatatsiya qilishimiz mumkin.
Ushbu modulda biz maqsadga qarshi reconnaissance qanday amalga oshirishni, zararli Microsoft Office hujjatlari bilan ekspluatatsiya stsenariylarini ko‘rib chiqamiz va Windows Library Files-dan foydalanishni o‘rganamiz.
11.2. Exploiting Microsoft Office