ZackAttack! - إعادة توجيه NTLM كما لم يفعلها أحد من قبل

======= ما هذا بحق الجحيم؟

نسخة tl;dr - ZackAttack! هي مجموعة أدوات جديدة للقيام بإعادة توجيه مصادقة NTLM بشكل مختلف عن أي أداة أخرى موجودة حاليًا.

= إذن كيف يختلف / يتفوق ZackAttack!؟ بالمقارنة مع الأدوات الأخرى...

• يدعم NTLMv2 :)
• يُحدث تأثيرًا خارجيًا لـ NTLM عبر إعادة التوجيه إلى خوادم Exchange Web Services الخارجية (فكّر في مستخدمي الهواتف المحمولة :) )
• خادم HTTP و SMB مارق مخصص يجمّع المصادقات في مصدر واحد مُجمّع ويعرف هوية المستخدم ويُبقيه في حالة مصادقة دون إغلاق الـ socket
• منطق قائم على القواعد لتنفيذ إجراءات تلقائيًا عند رؤية مستخدم ينتمي إلى مجموعة. عندما لا توجد قاعدة، يُبقي الخادم المارق جلسة المصادقة لأطول فترة ممكنة حتى تصل قاعدة أو طلب API.
• توليد تلقائي / موجه لإنشاء طرق تجعل المستخدمين يصادقون تلقائيًا دون تفاعل
• طرق جديدة للمصادقة التلقائية للعميل تتضمن جعل FF/Chrome يصادق تلقائيًا عبر مشاركات UNC SMB (على غرار IE)
• إعادة التوجيه إلى LDAP (أمر حاسم لإعادة التوجيه إلى وحدات تحكم المجال)، و Exchange Web Services، وقريبًا mssql.
• بروكسي SOCKS للسماح بهجمات إعادة توجيه NTLM مع أدواتك المفضلة (proxychains smbclient...إلخ)
• يركز ليس فقط على فتح الصدفات (shells) التي تقوم بها أدوات إعادة التوجيه التقليدية، بل أيضًا على استغلال المستخدمين السذّج وسحب البيانات من خلالهم.

هذا كان ملخص tl;dr ;) الهدف؟ أداة على غرار Firesheep لإعادة توجيه مصادقات NTLM

= كيف أبدأ؟

1. ruby zackattack.rb

2. افتح متصفحك المفضل على http://zf:zf@localhost:4531/

3. .....

4. PROFIT! أو لا. ما زالت alpha.

الكود مكتوب لـ ruby1.9 لكن يجب أن يعمل مع 1.8. يتطلب net/http(s) و webrick rubygems

= إذن ما هي المكونات؟

الخوادم المارقة - HTTP و SMB. هذه تتلقى طلبات المصادقة وتعيد تدويرها باستمرار

العملاء - يتصلون بالخوادم المستهدفة ويطلبون بيانات اعتماد NTLM من الخوادم المارقة

القواعد - تحدد إجراءات تلقائية لتنفيذها عند رؤية مستخدم.

الحمولات - طرق لجعل المستخدمين يصادقون تلقائيًا عبر المصادقة المدمجة في ويندوز (Integrated Windows Auth) أي دون مطالبة المستخدم بالمصادقة.

= XYZ لا يعمل

أنا متأكد أنه لا يعمل ;) لا أكتب دائمًا في ruby، لكن عندما أفعل، أحرص على إدخال أكبر عدد ممكن من الأخطاء :)

أرسل أكبر قدر ممكن من المعلومات (بشكل مريح) إلى صفحة المشكلات. يرجى محاولة الحصول على التقاط wireshark / pcap إذا كانت مشكلة في العميل. إذا كانت تحتوي على بيانات حساسة (أي بيانات اعتماد NTLM لعميل) أخبرني ويمكننا العمل حول ذلك إن أمكن.

طلب ميزة؟ أريد سماعه! تحقق من ملف todo ومعرفة ما إذا كنت قد ذكرته هناك بالفعل، وإلا أرسله!

سأضيف المزيد من التفاصيل لاحقًا....