---
# System prepended metadata

title: Практика 3. Deception

---

# Практика 3. Deception
1. С помощью nmap нашли 2 хоста - 172.22.0.1 и 172.22.0.2:

![](https://i.imgur.com/fajwMUg.png)


2. Проверим сервисы на хостах:

![](https://i.imgur.com/upHJWeL.png)
 
3. Проверим сервисы на 172.22.0.2

![](https://i.imgur.com/rVEu5ur.png)

![](https://i.imgur.com/nEoimLT.png)


3. Посмотрим сервисы на хосте 172.22.0.1:
![](https://i.imgur.com/gPueP6z.png)
## SSH 
**SSH** (англ. Secure Shell — «безопасная оболочка») — сетевой протокол прикладного уровня, позволяющий производить удалённое управление операционной системой и туннелирование TCP-соединений (например, для передачи файлов). Схож по функциональности с протоколами Telnet и rlogin, но, в отличие от них, шифрует весь трафик, включая и передаваемые пароли. SSH допускает выбор различных алгоритмов шифрования. SSH-клиенты и SSH-серверы доступны для большинства сетевых операционных систем
1. **cat /etc/passwd**
        - Эта команда позволяет просмотреть файл, в котором описаны все существующие в системе пользователи, домашний каталог, идентификатор пользователя, группы, регистрационная оболочка.
        - Злоумышленник получит представление о системе, ее пользователях.

3. **ls -la**
        ![](https://i.imgur.com/r4vYC0X.png)
        - Данная команда позволяет посмотреть, какие файлы есть в каталоге, кто владелец(группа и пользователь), какие разрешения на него есть
        - С помощью этой команды можно узнать, какие файлы можно запускать, кто их создал а так же какие файлы мы можем отредактировать.
4. **whoami**
        ![](https://i.imgur.com/N9NX3t0.png)
        - Эта команда позволяет посмотреть, под каким пользователем удалось подключиться.
        - Обычно эта команда является началом первой фазы атаки(разведка), когда злоумышленник пытается понять кто он.
5. **cat /etc/shadow**
        ![](https://i.imgur.com/lGppLp2.png)
        - Данный файл содержит хэш-значения паролей пользователей и данные о пароле(дата истечения, дата обновления и тп)
        - В купе с файлом /etc/passwd можно попробовать пробрутфорсить пароли других пользователей. [Подробнее](https://www.securitylab.ru/analytics/531326.php)
6. **crontab -l**
        ![](https://i.imgur.com/DfjbZjZ.png)
        - Просмотр файла crontab, где располагаются задачи, выполняемые периодически.
        - Злоумышленник может посмотреть, какие программы периодически запускаются и либо напрямую добавить свой вредонос для авто-запуска, либо попробовать прописать непосредственно эксплойт, который, например, будет строить reverse-shell туннель
        
## Telnet
TELNET — сетевой протокол для реализации текстового терминального интерфейса по сети.
Если быть точнее - это не команды telnet, а команды huawei оборудования:
1. **display snmp-server arp-sync table**
        ![](https://i.imgur.com/phLzlAX.png)
        - Просмотр таблиц ARP c помощью протокола SNMP
        - Информация, полученная с помощью этой команды может быть использована для дальнейшей ARP-spoofing атаки
2. **display ip vpn-instance**
        ![](https://i.imgur.com/ni6hJhe.png)
        - Отображение информации об экземплярах VPN
3. **display arp**
        ![](https://i.imgur.com/maBAclw.png)
        - Отобразить arp-таблицу
4. **system view**
        ![](https://i.imgur.com/GeQ4EIZ.png)
        - Просмотр данных о системе
5. **display session limit vpn-instance vpna**
        ![](https://i.imgur.com/WgmtbVC.png)
        - Отображает информацию о количестве(лимитах) vpn-соединений. USG2200 не поддерживают такой синтаксис. Тольк USG5000.
## HTTP-server
Протокол прикладного уровня передачи данных, изначально — в виде гипертекстовых документов в формате HTML, в настоящее время используется для передачи произвольных данных.
1. **/../../../etc/passwd**
        ![](https://i.imgur.com/icJgtjP.png)
        - Попытка вывести файл /etc/passwd
        - Опасно тем, что через такого рода уязвимсоть злоумышленник может узнать много инфомрации о системе и в дальнешем, на основе этих данных, взломать систему.
2. **/robots.txt**
        ![](https://i.imgur.com/aMq7C3T.png)
        - Данный файл предназначен для настроек доступа робота к сайту из поисковых систем(какие страницы индексируются роботами поисковых систем, а какие нет). Не работает на поддоменах.
        - Злоумышленник, прочитав этот файл, может сделать вывод о тех поддоменах, папках и файлах, которые разработчики скрывают от поисковых систем. Скорее всего, эту информацию скрывают не просто так.
3. **/phpinfo.php**
        ![](https://i.imgur.com/QaVpYDq.png)
        - Это файл php, который, как правило, содержит скрипт, в котором прописана одна функция - phpinfo(). Эта функция выводит на экран большое количество информации о текущем статусе PHP. Сюда входят:
    * информация о сервере, версия/конфигурация PHP, ОС;
    * document_root — директория, из которой выполняется текущий скрипт;
    * error_log — логи ошибок (можно задействовать при LFI);
    * safe_mode (default OFF) — безопасный режим;
    * open_basedir (default empty) — ограничивает список файлов, которые могут быть открыты через PHP;
    * allow_url_fopen (default ON) — разрешает доступ к URL на уровне файлов;
    * allow_url_include (default OFF) — удаленное подключение файлов;
    * magic_quotes_gpc (default OFF) — автоматическое экранирование входящих данных;
    * register_globals (default OFF) — глобальные переменные;
    * disable_functions (default empty) — отключает использование определенных функций;
    * max_execution_time (default 0) — максимальное время работы скрипта;
    * display_errors (default OFF) — отображение ошибок;
    * upload_tmp_dir — путь к tmp-директории.
    * подключенные модули (curl, sockets, zip и т. д.);
    * содержимое всех глобальных переменных _GET, _POST, _COOKIE, _FILES, _SERVER.
       
Если этот файл не убрать с сайта, то есть вероятность получить серьезные проблемы в виде RCE на вашем сервере. Подробное описание возможной атаки в журнале [хакер](https://xakep.ru/2012/01/25/58183/#toc09.)
4. **/sitemap.xml**
        ![](https://i.imgur.com/l5UfZzM.png)
        -  файле Sitemap содержится информация о том, как организован контент на сайте (например, веб-страницы, видео и прочие ресурсы). Она помогает Google и другим поисковым системам более точно индексировать ваши материалы. В данном файле расположены все url сайта, которые необходимо индексировать, в иерархическом порядке
        - если злоумышленник получит доступ к этому файлу, у него будет возможность провести XXE атаку, а так же узнать о некоторых доменах и поддоменах компании без активного сканирования
5. **/admin.php**
        ![](https://i.imgur.com/VMclppe.png)
        - Скорее всего это страница для администратора, или же форма авторизации для администратора
        - Данную страницу необходимо очень хорошо защищать, так как в случае какой-либо уязвимости внутри этой страницы у злоумышленника появляется шанс получить доступ с привилегиями администратора.
## Redis
Redis — резидентная система управления базами данных класса NoSQL с открытым исходным кодом, работающая со структурами данных типа «ключ — значение». Используется как для баз данных, так и для реализации кэшей, брокеров сообщений.
1. **CONFIG GET \***
        ![](https://i.imgur.com/RtpaQRH.png)
        - чтения параметров конфигурации работающего сервера Redis
2. **client list**
        ![](https://i.imgur.com/6R2RvQO.png)
        - вывод списка клиентов
3. **GET admin**
        ![](https://i.imgur.com/CmQ1REL.png)
         - получение значения по ключу ADMIN
4. **SELECT 1**
        ![](https://i.imgur.com/UP57cUD.png)
         - получение информации из базы
5. **INFO**
        ![](https://i.imgur.com/HCo53Hs.png)
        - возвращение информации и статистики о сервере
## FTP
FTP (англ. File Transfer Protocol) — протокол передачи файлов по сети, появившийся в 1971 году задолго до HTTP и даже до TCP/IP, благодаря чему является одним из старейших прикладных протоколов. Изначально FTP работал поверх протокола NCP, на сегодняшний день широко используется для распространения ПО и доступа к удалённым хостам.
1. **USER anonymous**
    ![](https://i.imgur.com/q1twYLb.png)
    **PASS anonymous**
    ![](https://i.imgur.com/KUA6CWd.png)
    - Данные команды позволяют ввести логин и пароль при авторизации. Так как используется anonymous/anonymous, доступ пытается получить анонимный пользователь.
    - Анонимное подключение опасно тем, что неавторизованный пользователь получает доступ к серверу как авторизованный, и в случае слабой защиты может взять под контроль сервер.
3. **FEAT**
    ![](https://i.imgur.com/aAZlJ11.png)
    - предоставление механизма быстрого определения того, какие расширенные функции поддерживает FTP-сервер
5. **HELP**
    ![](https://i.imgur.com/bkCErIC.png)
    - получения информации о реализации протокола FTP-сервером, возвращат списка поддерживаемых (или распознанных) команд
7. **LIST -l**
    ![](https://i.imgur.com/sOxtwKZ.png)
    - вывод информации о файлах на сервере
9. **PWD**
    ![](https://i.imgur.com/RRQiEdM.png)
    - вывод информации о текущей дериктории
11. **APPE /exploit.sh**
    ![](https://i.imgur.com/DuSUwBJ.png)
     - загрузка файла на сервер
13. **STOR /etc/passwd**
    ![](https://i.imgur.com/UPnwFLH.png)
    - Копирует локальный файл на удаленный компьютер, используя текущий тип перемещения файлов.

# Анализ действий злоумышленника
Попытки получения доступа к honeypot были через telnet и ssh. Далее хакеры собирали информацию о структуре сайта и о содержании базы данных. Далее используя протокол FTP передали вредоносный файл в систему. В ходе сканирования утилитой nmap был выявлен MAC-адрес злоумышленника: 

# Рекомендации по защите
1. Изменить все пароли по-умолчанию на более сложные
2. Убрать с сайта HTTP чувствительные и явно уязвимые компоненты системы
3. Перевести HTTP сайт на HTTPs, что позволит защитить передаваемые данные с помощью шифрования
4. Если возможно - сделать доступ до определенных компонентов инфраструктуры только с определенных ip-адресов. Как правило - с компьютеров администраторов.
        
