ادمین F-bomb را در یک رمز عبور انداخت تا به هکرها نشان دهد که واقعا 1337 هستند

به PWNED خوش آمدید، که در آن The Reg داستان‌های هشداردهنده‌ای از افرادی ارائه می‌کند که درهای خود را به روی مهاجمان باز گذاشته‌اند و زندگی کرده‌اند تا داستان را تعریف کنند. ماجراجویی این هفته شامل دستگاه های قدیمی تر وصله نشده و رمز عبوری است که قرار بود پیامی را به مجرمان ارسال کند.

داستان ما یک بار دیگر از تیم برجسته قرمز و آزمایشگر قلم داهوید شلوس از Suzu Labs است.

یک مشتری از Schloss خواست تا از یک کارخانه بازدید کند و سرورهای آنجا را برای حفره های امنیتی بررسی کند. این شرکت شش ماه قبل هک شده بود، برخی تنظیمات را انجام داده بود و می خواست مطمئن شود که اکنون ضد گلوله هستند.

ماموریت Schloss، که او آن را قبول کرد، دریافت حقوق مدیریت دامنه بود.

Schloss به کارخانه رفت و متوجه شد تعدادی از سرورهای ویندوز 7 به ماشین‌های فرز CNC متصل هستند، حتی اگر ویندوز 10 در آن زمان سیستم‌عامل دسکتاپ پشتیبانی شده توسط مایکروسافت بود. این قابل انتظار بود، زیرا شرکت‌های دارای نرم‌افزار اختصاصی اغلب از سیستم‌عامل‌های قدیمی به دلیل ترس از شکستن برنامه‌ها استفاده می‌کنند.

در ابتدا، Schloss به سختی وارد شد زیرا اکثر سرورها به دامنه متصل نبودند. بنابراین هیچ فایده ای در اجرای EternalBlue zero-day او نداشت که به او اجازه ورود بدهد.

او گفت: «بنابراین من اینها را بررسی می‌کردم و بیشتر آنها از دامنه جدا شده بودند، بنابراین این حرکت درستی است. بله، شما می‌توانید EternalBlue را در شبکه اجرا کنید، اما واقعا نمی‌توانید با آن به جایی برسید، زیرا روی دستگاه و آنچه پیدا می‌کنید: LSASS [سرویس زیرسیستم امنیتی محلی Windows] را حذف می‌کنید، مانند «بسیار خوب، اعتبارات مدیریت محلی وجود دارد، اما مدیران محلی در آن دستگاه‌های مدیریت محلی، اکثریت مدیران محلی، اعتبارات مدیران محلی را متفاوت از اعتبارات مدیریت محلی در دستگاه‌های محلی بودند که می‌یابید، مانند، بله، بله. ایستگاه های کاری."

سرانجام Schloss به یکی از سرورهایی که به ماشین های فرز متصل بود رفت و متوجه شد که به شبکه و دامنه متصل است. برای EternalBlue آسیب پذیر بود و او رفت و LSASS را انداخت و یک جفت اعتبار از WDigest پیدا کرد که یکی از آنها شبیه یک حساب کاربری مدیریت بود.

اما Schloss فکر کرد که وقتی رمز عبور را خواند: "heyhackergof***yourself" نباید یک حساب مدیر قانونی باشد، اما به زبان leet speak [l337 5p34k] نوشته شده بود.

رشته به دست آمده یک رمز عبور قوی بود، اما Schloss فرض کرد که ادمین ها با او بازی می کنند و این اعتبار را در آنجا گذاشت تا او پیدا کند. Schloss فرض کرد که کار نمی کند و یک هفته روی آن نشست.

در طی یک جلسه توجیهی که با خدمه فناوری اطلاعات داشت، یافته های خود را ارائه کرد و سپس پرسید که چه کسی حساب مدیریت را با این رمز عبور خنده دار راه اندازی کرده است.

شلوس توضیح داد: «می‌توانی ببینی که همه به‌نوعی به مدیر ارشد فناوری اطلاعات نگاه می‌کنند، مثل اینکه «این تو بودی، مگر نه». "او یک جورهایی این چهره را دارد. من شبیه "اوه لعنتی، چه چیزی؟" معلوم شد که "heyhackergof***yourself" رمز عبور واقعی حساب مدیریت او بوده است."

روز دوشنبه، Schloss ترکیب نام کاربری و رمز عبور را امتحان کرد و دید، کنترل کامل کل شبکه را به او داد. او سپس توانست به رمزهای عبور دیگر دسترسی پیدا کند و بسیاری از آنها نیز توهین به هکرهای احتمالی بودند.

Schloss متوجه شد که تیم هنوز به خاطر نقضی که شش ماه قبل از آن متحمل شده بودند عصبانی است و در صورت نقض مجدد، می‌خواستند انگشت خود را به هکری که این کار را انجام داده است بدهد. متأسفانه، سیستم آنها هنوز آسیب پذیر بود، زیرا دستگاه منسوخ شده ای که به دامنه متصل شده بود و او توانست کنترل را به دست آورد.

درسی که در اینجا وجود دارد این است که سیستم های خود را اصلاح کنید و در صورت امکان از استفاده از سیستم عامل های قدیمی ناامن اجتناب کنید، زیرا این یک دستگاه قدیمی بود که اجازه ورود Schloss را می داد، نه یک رمز عبور ضعیف.

در واقع، "hackergof***yourself" در leet speak رمز عبور وحشتناکی نیست، فقط اگر فاش شود رمزی شرم آور است. ®