(n)

※本投稿に記載の内容を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断され、最悪の場合、法的措置を取られる可能性もあります。同内容の調査を行われる場合には、必ず自身の管理下にあるネットワークやサーバーに対してのみ実施してください。

【検証概要】
Nmapの機能の1つ「NSE(Nmap Script Engine)」について、以下2点にフォーカスを合せて検証を行いました。
・日本語訳化
・スクリプトの動作確認

Continue reading

※本投稿に記載の内容を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断され、最悪の場合、法的措置を取られる可能性もあります。同内容の調査を行われる場合には、必ず自身の管理下にあるネットワークやサーバーに対してのみ実施してください。

【検証概要】
Nmapの「日本語リファレンス」について、長らく更新されていないこともあり、「日本語リファレンス」記載の動作と「実際の動作」とに多数の差異が確認できました。本検証はNmapの「実際の動作」に基づいたヘルプを作成することを目的としております。
なお、公式リファレンスは以下をご参照ください。(下記、検証結果の項目にて多数引用しております。)

日本語版リファレンスガイド
「Nmap リファレンスガイド (Man Page)」　https://nmap.org/man/jp/

英語版リファレンスガイド
「Chapter 15. Nmap Reference Guide」　https://nmap.org/book/man.html
 

【検証環境】
下図、2パターンの検証環境にて、Nmapの全オプションを各々指定し、Nmapを実行しました。Nmap実行ホストおよびターゲットホストにてNmap実行時のパケットキャプチャを取得し、日本語リファレンスに記載されている内容と比較の上、差異を確認しました。

なお、各ホストは以下のOS、Versionを使用しました。
・Nmap実行ホスト:Kali Linux　Rolling (Nmap version 7.25 BETA1)
・ターゲットホスト:metasploitable-linux-2.0.0
 

【検証結果】
以下に各コマンド、コマンドの説明およびコマンド例を記載します。
※1　Nmapのヘルプに記載なし
※2　タブ補完不可
 

■ターゲットの指定

■ホストの発見

≪Nmap実行ホストとターゲットホストが同セグメントの環境≫

≪Nmap実行ホストとターゲットホストが別セグメントの環境≫

■ポートスキャンのテクニック

このオプションは一度に1つしか使えないが、UDPスキャン(-sU)だけは例外で、TCPスキャンタイプのいずれか1つと組み合わせて用いることができる。

■ポートの指定とスキャンの順序

■サービスとバージョンの検出

■OS検出

■タイミングとパフォーマンス

■ファイアウォール/IDSの回避とスプーフィング

■出力

■その他オプション

以上です。

reported by ntsuji, kuno

※本投稿に記載の内容を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断され、最悪の場合、法的措置を取られる可能性もあります。同内容の調査を行われる場合には、必ず自身の管理下にあるネットワークやサーバーに対してのみ実施してください。

【検証概要】
SSHログインパスワードクラックの検証時に使用したものと同じ、下記４ツールについてSMBパスワードのクラッキング速度を比較検証をしました。

• Metasploit(smb_loginモジュール)
• hydra
• medusa
• ncrack

【検証環境】
１台の物理PCに、攻撃用サーバ(KaliLinux)および被攻撃用サーバ(Windows7)を仮想マシンとして構築し、同サーバ間で検証を行いました。

攻撃は１つのユーザに対し、多数のパスワードを試行する手法を採用しました。試行するパスワードには1000個のユニークなパスワードが記載されたファイルを使用し、被攻撃用サーバのSMBログインパスワードは同パスワードファイルの一番最後に記載されているパスワードを設定しました。

また、クラッキングツールのオプション値および被攻撃用サーバのSMBサーバに関する設定値を適時変更し、各設定値毎に速度を測定しました。

なお、本検証では以下バージョンのクラッキングツールを使用しました。
「Metasploit(smb_loginモジュール)」：Version 4.11.5-2016010401-0kali1

「hydra」：Version 8.1-1+b1

「medusa」：Version 2.2-0kali2

「ncrack」：Version 0.5-0kali1

【検証結果】
検証結果は下表のとおりです。
表の列はツールおよびツールのオプション値を、表の行はSMBサーバの設定値を示しています。(設定値の詳細については次々項に記載しています。)

SMBサーバにてアカウントロックのしきい値を設けることにより、ほぼ全てのツールで“Crack不可”となりました。今回の検証のように、１つのユーザに対して、多数のパスワードを試行するクラック手法への対策としては、同値を0以外の値に設定することが非常に有用である言えます。

ただし、アカウントロックのしきい値を設けていない場合には、マルチコネクションのオプションを設定した「medusa」、次いで「hydra」が素晴らしいスピードでクラックに成功することが分かりました。

「Metasploit(ssh_loginモジュール)」および「ncrack」についても、「medusa」・「hydra」と比較すると、クラックスピードが非常に遅い印象を受けますが、問題なくクラックに成功しました。

【総評】
検証結果より、有用と判断できるツールを以下に示します。

■有用ツール
「medusa」
唯一マルチコネクションに対応しており、かつクラッキング速度が非常に早いため、クラックするにあたっての条件が特にない場合には、同ツールの使用が最も汎用的であると考えられます。

「hydra」
シングルコネクションのみの対応ですが、本ツールもクラッキング速度が非常に早いため、充分有用であると判断できます。

■非有用ツール
「Metasploit(ssh_loginモジュール)」
クラッキング速度が上記有用ツールに比べて非常に遅く、またアカウントがロックアウトされた状態でもパスワードを試行し続ける動作を鑑みて、あまり有用ではないと考えます。

「ncrack」
クラッキング速度が上記有用ツールに比べて非常に遅く、またアカウントがロックアウトされた状態でもパスワードを試行し続ける動作を鑑みて、あまり有用ではないと考えます。

SMBログインパスワードのクラッキングを行うにあたり、１つのユーザに対し多数のパスワードを試行するという手法は、前項にも記載したとおり、アカウントロックのしきい値を設けることにより成功率が著しく下がります。そのため、SMBログインパスワードのクラッキングには本検証の手法よりも、多数のユーザに対し１つのパスワードを試行するという手法が有用であると考えられます。

【設定値の詳細(下線は検証より判明した事項です。)】
※本項のコマンド実行例は、以下の環境を前提に記載しております。
被攻撃用サーバのIPアドレス：192.168.110.129
クラッキング対象のユーザ名：kuno
クラッキングに使用するパスワードファイル：/root/Desktop/passwords.1000

• SMBサーバの設定

設定手順)
1. コントロールパネルより、[管理ツール]選択し、[ローカル セキュリティ ポリシー]をクリックします。

2. [セキュリティの設定] > [アカウント ポリシー] > [アカウント ロックアウトのポリシー]を順に選択します。

3. [アカウントのロックアウトのしきい値]を右クリックし、[プロパティ]を選択します。設定値を入力し、[OK]ボタンをクリックします。

設定手順)
1. コントロールパネルより、[管理ツール]選択し、[ローカル セキュリティ ポリシー]をクリックします。

2. [セキュリティの設定] > [アカウント ポリシー] > [アカウント ロックアウトのポリシー]を順に選択します。

3. [ロックアウト カウンターのリセット]を右クリックし、[プロパティ]を選択します。設定値を入力し、[OK]ボタンをクリックします。

設定手順)
1. コントロールパネルより、[管理ツール]選択し、[ローカル セキュリティ ポリシー]をクリックします。

2. [セキュリティの設定] > [アカウント ポリシー] > [アカウント ロックアウトのポリシー]を順に選択します。

3. [ロックアウト期間]を右クリックし、[プロパティ]を選択します。設定値を入力し、[OK]ボタンをクリックします。

設定手順)
1. 共有フォルダを右クリックし、[プロパティ]を選択します。

2. [共有]タブを選択し、[詳細な共有]ボタンをクリックします。

3. [設定]項目の[同時に共有できるユーザー数]に設定値を入力し、[OK]ボタンをクリックします。

• Metasploit(SMB_loginモジュール)の設定

コマンド実行例) BrutForceSpeed = 4 の場合

msf auxiliary(smb_login) > set bruteforce_speed 4
bruteforce_speed => 4

コマンド実行例) Thread = 5 の場合

msf auxiliary(smb_login) > set threads 5
threads => 5

◆その他、Metasploit(SMB_loginモジュール)の検証で判明した事項

・デフォルトの設定では、下図のパケットキャプチャデータのとおり、試行する1パスワード毎に、SMBプロトコルのネゴシエーションを行い、セッション・セットアップ(パスワード試行)を実施するという動きをしました。(シングルコネクション)

・下図、ツール実行時の出力結果のとおり、アカウントロックアウトのしきい値に達しても、全てのパスワードを試行するまでは終了しませんでした。
※アカウントロックのしきい値を設けた状態で唯一クラックに成功したケースでは、設定したアカウントのロックアウト期間が過ぎ、ロックアウトが解除されたタイミングで偶然、正解のパスワードを試行し、クラックが成功しました。

• hydraの設定

コマンド実行例) Task = 4 の場合

hydra -l kuno -P /root/Desktop/passwords1000.txt -t 4 192.168.110.129 smb

◆その他、hydraの検証で判明した事項

・デフォルトの設定では、下図のパケットキャプチャデータのとおり、試行する1パスワード毎に、SMBプロトコルのネゴシエーションを行い、セッション・セットアップ(パスワード試行)を実施するという動きをしました。(シングルコネクション)

・下図のパケットキャプチャデータのとおり、アカウントロックアウトのしきい値に達した場合には即座にツールが終了しました。

• medusaの設定

コマンド実行例) g = 1 の場合

medusa -h 192.168.110.129 -u kuno -P /root/Desktop/passwords1000.txt -M smbnt -g 1

コマンド実行例) r = 1 の場合

medusa -h 192.168.110.129 -u kuno -P /root/Desktop/passwords1000.txt -M smbnt -r 1

コマンド実行例) t = 10 の場合

medusa -h 192.168.110.129 -u kuno -P /root/Desktop/passwords1000.txt -M smbnt -t 10

◆その他、medusaの検証で判明した事項

・デフォルトの設定では、下図のパケットキャプチャデータのとおり、ツール実行時の最初1回のみSMBプロトコルのネゴシエーションを行い、その後は連続してセッション・セットアップ(パスワード試行)を実施するという動きをしました。(シングルコネクション)

・下図、ツール実行時の出力結果のとおり、アカウントロックアウトのしきい値に達した場合には即座にツールが終了しました。

• ncrackの設定

コマンド実行例) cl = 5 の場合

ncrack –user kuno -P /root/Desktop/passwords1000.txt 192.168.110.129:445,cl=5

コマンド実行例) CL = 10 の場合

ncrack –user kuno -P /root/Desktop/passwords1000.txt 192.168.110.129:445,CL=10

コマンド実行例) cd = 3 の場合

ncrack –user kuno -P /root/Desktop/passwords1000.txt 192.168.110.129:445,cd=3

◆その他、ncrackの検証で判明した事項

・デフォルトの設定では、下図のパケットキャプチャデータのとおり、ツール実行時の最初1回のみSMBプロトコルのネゴシエーションを行い、その後は連続してセッション・セットアップ(パスワード試行)を実施するという動きをしました。(シングルコネクション)

・下図のパケットキャプチャデータのとおり、アカウントロックアウトのしきい値に達しても、全てのパスワードを試行するまでは終了しませんでした。

以上です。

reported by ntsuji, kuno

※本投稿に記載の内容を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断され、最悪の場合、法的措置を取られる可能性もあります。同内容の調査を行われる場合には、必ず自身の管理下にあるネットワークやサーバーに対してのみ実施してください。

【検証概要】
SSHログインパスワードのクラックツールとして有名な下記４ツールについて、クラッキング速度の比較検証をしました。

• Metasploit(ssh_loginモジュール)
• hydra
• medusa
• ncrack

【検証環境】
１台の物理PCに、攻撃用サーバ(KaliLinux)および被攻撃用サーバ(CentOS7)を仮想マシンとして構築し、同サーバ間で検証を行いました。

攻撃は１つのユーザに対し、多数のパスワードを試行する手法を採用しました。試行するパスワードには1000個のユニークなパスワードが記載されたファイルを使用し、被攻撃用サーバのSSHログインパスワードは同パスワードファイルの一番最後に記載されているパスワードを設定しました。

また、クラッキングツールのオプション値および被攻撃用サーバのSSHサーバに関する設定値を適時変更し、各設定値毎に速度を測定しました。

なお、本検証では以下バージョンのクラッキングツールを使用しました。
「Metasploit(ssh_loginモジュール)」：Version 4.11.5-2016010401-0kali1

「hydra」：Version 8.1-1+b1

「medusa」：Version 2.2-0kali1

「ncrack」：Version 0.4-alpha-1kali2

【検証結果】
検証結果は下表のとおりです。
表の列はツールおよびツールのオプション値を、表の行はSSHサーバの設定値を示しています。(設定値の詳細については次々項に記載しています。)

純粋なクラッキング速度としては「ncrack」が圧倒的に早いことが分かります。
「Metasploit(ssh_loginモジュール)」については、ツールのオプション値およびSSHサーバの設定値にはあまり影響されず、ほぼ一定の速度でした。
「hydra」については、一部のケースを除いてパスワードクラック自体が不可でした。
「medusa」については、マルチコネクションのオプションを設定することにより、速度を改善することは可能でしたが、「ncrack」には敵わず、またSSHサーバの設定によってはマルチコネクションのオプションを設定しないケースより時間がかかってしまうケースもありました。

SSHサーバの設定については、パスワードがクラックされるまでの時間稼ぎには、「MaxStartups」をなるべく小さい値に設定することが最も有用であると考えられます。

【総評】
検証結果より、最も有用と考えられるツールおよび条件付きで有用と判断できるツールを以下に示します。

■有用ツール
「ncrack」
被攻撃サーバのSSH設定がいかなる場合であっても、クラッキング速度がその他ツールに比べ圧倒的に早いため、クラックするにあたっての条件が特にない場合には、同ツールの使用が最も汎用的であると考えられます。

■条件付き有用ツール
「medusa」
クラッキング速度については「ncrack」に劣りますが、同時実行するコネクション数の指定が柔軟なため、例えば複数台の攻撃サーバを用意して1台のサーバを攻撃する場合などには、攻撃サーバ間でコネクションの取り合いにならないよう、1台の攻撃サーバで使用するコネクション数を指定できる同ツールを使用するのがよいかと考えます。

「Metasploit(ssh_loginモジュール)」
クラッキング速度は他ツールに比べ劣っていますが、1コネクションにつき1パスワードしか試行しないという動作をするため(他ツールではコネクションあたりの最大認証試行回数、パスワードを試行します。次項参照。)、被攻撃サーバで「最大認証試行回数パスワード認証に失敗しました」というログ出力させるのを防ぎたい場合には、同ツールを使用するメリットがあると考えられます。

■非有用ツール
「hydra」
試行したいパスワードの数が少ない場合(被攻撃サーバがCentOS7でSSHサーバの設定がデフォルトであれば「96個以下」)には正常に動作しますが、それ以上のパスワードを試行したい場合にはクラックツールとして正常に動作しないため、あまり有用ではないと判断できます。

【設定値の詳細(下線は検証より判明した事項です。)】

• SSHサーバの設定

• Metasploit(ssh_loginモジュール)の設定

◆その他、Metasploit(ssh_loginモジュール)の検証で判明した事項

1. デフォルトの動作は、試行するパスワード１つにつき、SSH認証のコネクションを張り、パスワードを試して認証失敗であればコネクションを閉じるという動きをしました。(シングルコネクション)
2. コネクションタイムアウトなどで、3回連続接続に失敗するとモジュールが終了しました。

• hydraの設定

◆その他、hydraの検証で判明した事項

1. デフォルトの動作は、SSH認証コネクションを同時に16コネクション張り、各コネクションで試行可能な最大回数、パスワードを試し、試行可能な最大回数、認証失敗となりSSHサーバにコネクションを切断された場合、新たなコネクションを張ることなくクラック不可というステータスで終了、という動きをしました。
2. 上記のとおり、あるSSHコネクションにおいて、パスワード試行の最大回数を超え、SSHサーバにコネクションを切断された場合には新たなコネクションを張りませんが、「LoginGraceTime」の猶予時間オーバーによりSSHサーバにコネクションを切断された場合には、再度SSHサーバへ新たなコネクションを張りにいきました。

• medusaの設定

◆その他、medusaの検証で判明した事項

1. デフォルトの動作は、シングルコネクションでSSH認証コネクションを張り、試行可能な最大回数パスワードを試し、試行可能な最大回数、認証失敗となりSSHサーバにコネクションを切断されると、新たにコネクションを張りに行き、同じように試行可能な最大回数パスワードを試します。これを繰り返すという動作をしました。

• ncrackの設定

◆その他、ncrackの検証で判明した事項

1. デフォルトの動作は、ツール実行直後はシングルコネクションで接続し、SSH認証の試行最大回数失敗しSSHサーバにコネクションを切断されると、その後は、マルチコネクション(検証環境では12～13コネクション程度)で接続するという動作をしました(cl/CLの設定値を変えてもこの動作は変わりませんでした。)。SSHサーバの「MaxtAuthTries」が100など非常に大きい値の場合には、ツール実行直後のシングルコネクションでの試行は60回程度で終了し、マルチコネクションに移行しました。
2. ncrackはmedusaのように、「MaxStartups」の確率に引っかかってコネクションが拒否されても、動的にコネクション数を減らすような動作はせず、コネクション数を維持しました。(概ね「MaxtAuthTries」の開始数以上、「MaxtAuthTries」の最大数未満でコネクションを張りました。)

以上です。

reported by ntsuji, kuno