trustedsec/tapDie TrustedSec Attack Platform ist eine zuverlässige Methode für Dropper auf einer Infrastruktur, um etablierte Verbindungen zu einer Organisation sicherzustellen.
TAP - Remote-Builder für Penetrationstest-Plattformen.
Geschrieben von: David Kennedy @HackingDave
Firma: TrustedSec (https://www.trustedsec.com)
Projektseite: https://github.com/trustedsec/tap
Ein TrustedSec-Projekt - Copyright 2020
Unterstützte Betriebssysteme: Linux (Ubuntu Linux bevorzugt)
TAP ist ein Remote-Builder für Penetrationstest-Plattformen. Für Leute in der Sicherheitsbranche wird Reisen oft zur Belastung und verursacht eine Menge Kosten für den Kunden. TAP wurde entwickelt, um die Bereitstellung dieser Boxen extrem einfach zu machen und eine selbstheilende, stabile Plattform zur Bereitstellung von Remote-Penetrationstest-Plattformen zu schaffen. Im Wesentlichen ist das Konzept einfach: Du konfigurierst eine brandneue Box vor und führst die TAP-Setupdatei aus. Dadurch wird ein Dienst auf Linux installiert, der nach deinen Wünschen konfiguriert wird. Er stellt einen Reverse-SSH-Tunnel zu einer Maschine her, die im Internet exponiert ist. Von dort aus kannst du die Box lokal vom Server aus erreichen, mit dem sie verbunden ist. TAP erkennt automatisch, wenn eine SSH-Verbindung abgestorben ist, und baut sie automatisch wieder auf.
Es bietet außerdem eine Reihe weiterer Optionen, zum Beispiel, falls du die SSH-Verbindung verlierst, verbindet es sich mit einer Textdatei und führt Befehle für dich aus. Außerdem aktualisiert es sich kontinuierlich selbst und stellt sicher, dass du die neuesten Pakete für Ubuntu Linux verwendest (falls das dein Betriebssystem ist).
python setup.py - This will install TAP.
Um TAP zu deinstallieren:
python setup.py - This will uninstall TAP.
Bei der Einrichtung von TAP ist eine Frage, die du dir möglicherweise stellst, der REMOTE-SSH-Server. Das wäre eine externe Box, bei der SSH exponiert ist. Das ist die Box, mit der sich die TAP-Maschine verbinden soll – die Maschine, die du im Internet auf Verbindungen warten lässt. Es wird nicht empfohlen, root zu verwenden, da dies ein Sicherheitsmangel ist. Verwende einen normalen Benutzer, um den SSH-Tunnel aufzubauen. Aktuell wird nur die Passwort-Authentifizierung unterstützt, später werden wir jedoch Unterstützung für SSH-Keys hinzufügen. Das Passwort wird mit AES gespeichert, allerdings ist die Speicherung des Chiffrierschlüssels derzeit unsicher. Jemand mit dauerhaftem Zugriff auf die Box könnte den Chiffrierschlüssel abgreifen und das Passwort in der Konfiguration mit genügend Zeit und Ausdauer entschlüsseln. Dies wird in einem späteren Release behoben.
Der zweite Punkt ist der LOCAL-Port, der auf der REMOTE-Box liegen wird. Wenn TAP sich per Reverse-SSH zurückverbindet, verbindet es sich mit der REMOTE-Box und richtet einen lokalen Port auf der Maschine ein. Wenn du dich per SSH mit der Remote-Box im Internet verbindest, möchtest du ssh user@localhost -p <LOCAL PORT> ausführen. Das ist der Port, den TAP auf dem REMOTE-System bindet, damit du auf die Maschine zugreifen kannst.
Sobald du das konfiguriert hast, hat TAP einen Standardpfad, von dem es Updates bezieht. Du kannst dies auf deinen eigenen Update-Pfad ändern. Ich habe dies bewusst nicht auf GitHub gelegt, damit du selbst festlegen kannst, was für dich als genehmigte Updates gelten soll.
Als Nächstes kannst du Befehle an TAP senden. Es prüft alle zwei Minuten auf neue Anweisungen. Du musst einen Pfad angeben, zum Beispiel:
TAP prüft diesen Pfad alle zwei Minuten auf neue Befehle. Beachte, dass dieser nächste Teil WICHTIG ist. Die erste Zeile der Textdatei MUSS "EXECUTE COMMAND" enthalten (ohne die doppelten Anführungszeichen). Sobald TAP dies erkennt, prüft es, ob der Befehl bereits ausgeführt wurde, und falls nicht, führt es die Befehle Zeile für Zeile aus. Das ist nützlich, wenn die Verbindung zu TAP abreißt und du Befehle ausführen musst, um das Problem zu beheben.
Sobald du das Setup ausführst, installiert es die Dateien in /usr/share/tap. Es startet automatisch, wenn du das angibst, und prüft automatisch auf Updates wie Debian-Updates, TAP-Updates usw.
Du solltest außerdem die Updateserver auf die Whitelist setzen, wenn du Debian verwendest, sowie deine REMOTE-Box, mit der du dich verbindest.
Das war's!
Falls du dich entscheidest, keine SSH-Keys zu verwenden und stattdessen Passwörter zu nutzen, speichert die Konfiguration diese im AES-Format (erfordert python-pycrypto). Wenn du das Passwort aktualisieren musst, gehe in das Skriptverzeichnis, in dem sich ein update-password-Skript befindet, um das verschlüsselte Passwort zu aktualisieren und einen neuen dynamischen Chiffrierschlüssel zu erstellen.
Ein weiterer netter Trick: Es gibt ein kleines Tool, das wir im Grunde für ein SSH-VPN geschrieben haben. Das funktioniert hervorragend, wenn du keine großen Datenmengen wie Portscans, Schwachstellenscans usw. durchführst. Unten findest du ein einfaches Tool, das sshuttle umschließt, um das VPN zu erstellen. Speichere die folgende Datei einfach als Python-Datei und führe sie mit den Befehlen aus. Es verbindet dich per VPN mit dem entfernten Netzwerk, in dem TAP bereitgestellt wird. Du kannst alles tun, solange es kein extrem hohes Datenaufkommen gibt (relativ stabil).
Es gibt zwei Möglichkeiten, ein VPN zu handhaben. Die erste ist die unten beschriebene Methode mit SSHuttle. Du kannst auch ein transparentes VPN verwenden, das von Geoff Walton bei TrustedSec erstellt wurde und sich im Skriptordner befindet. Dies erstellt ein TAP-Interface und verbindet dich per SSH per VPN mit dem System. Mit SSHuttle funktionieren Dinge wie Portscans nicht richtig, daher empfehle ich das ssh-tunnel-Skript sehr.
SSHUTTLE ist ein Tool, mit dem du SSH als Methode für ein transparentes Proxy-VPN verwenden kannst. Du kannst dieses Skript verwenden, um mit dem entfernten TAP-Gerät zu kommunizieren und dein System über den Proxy für ein vollständiges VPN zu tunneln. Dadurch kannst du Tests über dein eigenes Gerät durchführen und nicht das TAP-Gerät selbst nutzen.
import subprocess
import time
if not os.path.isfile("/usr/sbin/sshuttle"):
print "[!] SSHUTTLE does not appear to be installed, installing now"
subprocess.Popen("apt-get install sshuttle -f", shell=True).wait()
print("Welcome to the sshuttle wrapper for TAP.")
print("Enter the address for the SSH server, i.e. box.sshserver.com")
reverse1 = input("Enter SSH server (REMOTE server): ")
reverse2 = input("Enter the remote SSH port for %s:: " % (reverse1))
reverse3 = input("Enter the port to tunnel for the local TAP machine (i.e. TAP box localhost port): ")
reverse4 = input("Enter the username to connect to REMOTE system: ")
print)"Triggering tunnel now...")
time.sleep(2)
subprocess.Popen("ssh -f %s@%s -L %s:localhost:%s -N" % (reverse4, reverse1, reverse3, reverse2), shell=True).wait()
subprocess.Popen("sshuttle --dns -vr %s@localhost:%s 0/0" % (reverse4,reverse3), shell=True).wait()
TAP verwendet proxychains4 (proxychains-ng), um den gesamten HTTP/HTTPS-Verkehr über SSH zu deiner Remote-Box zu tunneln. Dies hilft bei Content-/Egress-Filterung, sodass du sicherstellen kannst, dass du immer alles auf dem neuesten Stand hast. Um proxychains zu verwenden, gib einfach proxychains4 <command_you_want_to_use> ein – TAP-Updates verwenden dies automatisch.
TAP fragt dich während des Setup-Prozesses, ob du alle auf dem System ausgeführten Befehle protokollieren möchtest. Wenn ja, werden alle auf dem System eingegebenen Befehle protokolliert, sodass du sie dem Kunden zur Verfügung stellen oder Aufzeichnungen darüber führen kannst, was auf den Geräten geschehen ist. Alle Protokolle werden unter /var/log/messages gespeichert.
Ubuntu 18.04 LTS (sollte auf Debian und anderen Ubuntu-Versionen einwandfrei funktionieren)