Как всегда, «Мистер Робот» оказался захватывающим в сюжетной линии и реалистичным в своих хакерских действиях. В 6-й серии 2-го сезона Анджела, лучшая подруга Эллиота, а ныне младший руководитель E Corp, ищет информацию об утечке токсичных веществ, устроенной E Corp, в результате которой погибли её мать и отец Эллиота. Анджела использует методы социальной инженерии для доступа к секретарше своего начальника в его кабинет, а затем с помощью USB-флешки Rubby Ducky извлекает его пароли в незашифрованном виде. Это, предположительно, даст ей доступ к компрометирующей информации об утечке токсичных веществ в районе Вашингтон-Тауншип.
Анджела сделала вид, что узнать пароль босса легко, и на самом деле это так, если знать, что делать.
В этом уроке мы обсудим и покажем, как можно использовать USB-устройство для извлечения паролей с компьютера под управлением Windows в виде открытого текста (пароли Windows хранятся в виде хешей), точно так же, как это сделала Анджела в этом эпизоде «Мистера Робота».
Резиновая уточка
Rubber Ducky — это USB-устройство, эмулирующее USB-клавиатуру. Каждое USB-устройство сообщает операционной системе, к какому типу относится, например, накопитель, принтер, мышь, клавиатура и т. д. В прошивку Rubber Ducky просто зашит код клавиатуры, а не накопителя. В результате любая система, к которой он подключен, будет автоматически получать данные с Rubber Ducky, как и с любой подключенной к ней клавиатурой. Вы можете купить его в магазине Hackaday по этой ссылке менее чем за 50 долларов.
У Анджелы действительно нет хакерских навыков, необходимых для извлечения паролей, поэтому команда f/society дала ей эту резиновую уточку, чтобы упростить ей установку mimikatz и кражу паролей. Mimikatz не требует резиновой уточки, но с её помощью можно установить скрипт на резиновую уточку, так что Анджеле нужно было только установить устройство, чтобы получить пароль.
Даже имея очень ограниченный объем знаний, вы можете использовать mimikatz для извлечения паролей без резиновой утки.
Мимикац
Программа, которую Анджела использовала для извлечения пароля своего начальника, называется mimikatz. Её разработал Бенджамин Дельпи, также известный как gentilkiwi, для самостоятельного изучения языка C и изучения безопасности Windows. По сути, программа способна извлекать различные наборы учётных данных Windows из оперативной памяти. Если система активна и пользователь вошёл в систему, mimikatz может получить его учётные данные!
Mimikatz оказался настолько мощным, что Rapid7 портировал его версию в качестве пост-эксплуатационного модуля в Metasploit. Вы можете прочитать об этом в моём руководстве здесь. Angela и f/society используют оригинальный автономный модуль для этого взлома.
Вы можете загрузить отдельную версию mimikatz.
Важно отметить, что mimikatz доступен как в 32-битной, так и в 64-битной версии. Убедитесь, что вы используете версию, соответствующую целевой системе, иначе он будет практически бесполезен.
Давайте рассмотрим, как работает mimikatz и как с его помощью можно получить пароли пользователей, как это сделала Анджела в этом эпизоде «Мистера Робота».
Шаг №1 Установка mimikatz
После загрузки mimikatz откройте командную строку с правами администратора (щелкните правой кнопкой мыши cmd.exe и выберите «Открыть как администратор»).
Затем перейдите в каталог, куда вы загрузили mimikatz, и введите:
C:x64mimikatz
Это запустит mimikatz и откроет интерактивный сеанс с mimikatz, как показано на снимке экрана ниже.
Шаг №2 Перевести в режим отладки
Прежде чем что-либо делать в mimikatz, необходимо перевести систему в режим отладки. Это можно сделать в mimikatz, набрав:
mimikatz # privilege ::debug
Шаг №3 Найдите версию ОС
Давайте начнём с поиска версии операционной системы, с которой мы работаем. Введём:
mimikatz # версия
Как видите, mimikatz удалось извлечь, что операционная система — Windows NT 6.1 build 7601 (Windows 7) и что она имеет 64-битную архитектуру.
Шаг №4. Получите пароли
А теперь перейдём к сути. Давайте найдём пароль пользователя. Mimikatz использует внедрение DLL-файла для доступа к памяти, где хранятся учётные данные. Для этого Mimikatz использует sekurlsa.dll.
Чтобы получить пароли, введите:
mimikatz # sekurlsa::logonpasswords
Как вы можете видеть на снимке экрана выше, система ответила большим количеством информации, включая имя пользователя (Angela's Boss), домен (E Corp) и, что самое важное, пароль (pa$$w0rd).
Теперь Анджела может получить доступ к секретным файлам E-Corp, чтобы найти доказательства утечки токсичных веществ, в результате которой погибли ее мать и отец Эллиота, и привлечь виновных к ответственности!
Анджела сделала вид, что узнать пароль босса легко, и на самом деле это так, если знать, что делать.
В этом уроке мы обсудим и покажем, как можно использовать USB-устройство для извлечения паролей с компьютера под управлением Windows в виде открытого текста (пароли Windows хранятся в виде хешей), точно так же, как это сделала Анджела в этом эпизоде «Мистера Робота».
Резиновая уточка
Rubber Ducky — это USB-устройство, эмулирующее USB-клавиатуру. Каждое USB-устройство сообщает операционной системе, к какому типу относится, например, накопитель, принтер, мышь, клавиатура и т. д. В прошивку Rubber Ducky просто зашит код клавиатуры, а не накопителя. В результате любая система, к которой он подключен, будет автоматически получать данные с Rubber Ducky, как и с любой подключенной к ней клавиатурой. Вы можете купить его в магазине Hackaday по этой ссылке менее чем за 50 долларов.
У Анджелы действительно нет хакерских навыков, необходимых для извлечения паролей, поэтому команда f/society дала ей эту резиновую уточку, чтобы упростить ей установку mimikatz и кражу паролей. Mimikatz не требует резиновой уточки, но с её помощью можно установить скрипт на резиновую уточку, так что Анджеле нужно было только установить устройство, чтобы получить пароль.
Даже имея очень ограниченный объем знаний, вы можете использовать mimikatz для извлечения паролей без резиновой утки.
Мимикац
Программа, которую Анджела использовала для извлечения пароля своего начальника, называется mimikatz. Её разработал Бенджамин Дельпи, также известный как gentilkiwi, для самостоятельного изучения языка C и изучения безопасности Windows. По сути, программа способна извлекать различные наборы учётных данных Windows из оперативной памяти. Если система активна и пользователь вошёл в систему, mimikatz может получить его учётные данные!
Mimikatz оказался настолько мощным, что Rapid7 портировал его версию в качестве пост-эксплуатационного модуля в Metasploit. Вы можете прочитать об этом в моём руководстве здесь. Angela и f/society используют оригинальный автономный модуль для этого взлома.
Вы можете загрузить отдельную версию mimikatz.
Важно отметить, что mimikatz доступен как в 32-битной, так и в 64-битной версии. Убедитесь, что вы используете версию, соответствующую целевой системе, иначе он будет практически бесполезен.
Давайте рассмотрим, как работает mimikatz и как с его помощью можно получить пароли пользователей, как это сделала Анджела в этом эпизоде «Мистера Робота».
Шаг №1 Установка mimikatz
После загрузки mimikatz откройте командную строку с правами администратора (щелкните правой кнопкой мыши cmd.exe и выберите «Открыть как администратор»).
Затем перейдите в каталог, куда вы загрузили mimikatz, и введите:
C:x64mimikatz
Это запустит mimikatz и откроет интерактивный сеанс с mimikatz, как показано на снимке экрана ниже.
Шаг №2 Перевести в режим отладки
Прежде чем что-либо делать в mimikatz, необходимо перевести систему в режим отладки. Это можно сделать в mimikatz, набрав:
mimikatz # privilege ::debug
Шаг №3 Найдите версию ОС
Давайте начнём с поиска версии операционной системы, с которой мы работаем. Введём:
mimikatz # версия
Как видите, mimikatz удалось извлечь, что операционная система — Windows NT 6.1 build 7601 (Windows 7) и что она имеет 64-битную архитектуру.
Шаг №4. Получите пароли
А теперь перейдём к сути. Давайте найдём пароль пользователя. Mimikatz использует внедрение DLL-файла для доступа к памяти, где хранятся учётные данные. Для этого Mimikatz использует sekurlsa.dll.
Чтобы получить пароли, введите:
mimikatz # sekurlsa::logonpasswords
Как вы можете видеть на снимке экрана выше, система ответила большим количеством информации, включая имя пользователя (Angela's Boss), домен (E Corp) и, что самое важное, пароль (pa$$w0rd).
Теперь Анджела может получить доступ к секретным файлам E-Corp, чтобы найти доказательства утечки токсичных веществ, в результате которой погибли ее мать и отец Эллиота, и привлечь виновных к ответственности!
