Vindicate

नेटवर्क प्रशासकों के लिए एक LLMNR/NBNS/mDNS स्पूफिंग डिटेक्शन टूलकिट

विंडिकेट क्या है?

Vindicate एक उपकरण है जो नाम सेवा स्पूफिंग का पता लगाता है, जिसका उपयोग अक्सर IT नेटवर्क हमलावर उपयोगकर्ताओं से क्रेडेंशियल्स (जैसे Windows Active Directory पासवर्ड) चुराने के लिए करते हैं। यह हैकिंग उपकरणों जैसे Responder, Inveigh, NBNSpoof, और Metasploit के LLMNR, NBNS, और mDNS स्पूफर्स के उपयोग का पता लगाने के लिए डिज़ाइन किया गया है, जबकि गलत सकारात्मक परिणामों से बचा जाता है। यह ब्लू टीम को अपने नेटवर्क पर हमलावरों का तुरंत पता लगाने और उन्हें अलग करने की अनुमति दे सकता है। यह Windows इवेंट लॉग का लाभ उठाकर Active Directory नेटवर्क के साथ शीघ्रता से एकीकृत होता है, या इसके आउटपुट को अन्य प्रणालियों के लिए लॉग में पाइप किया जा सकता है।

स्पूफिंग हमलों और Vindicate कैसे काम करता है, इसकी व्याख्या करने वाला एक आरेख विकी पर उपलब्ध है।

.NET Framework 4.5.2 की आवश्यकता है

LLMNR/NBNS/mDNS स्पूफिंग क्या है और मुझे इसका पता लगाने की आवश्यकता क्यों है?

TL;DR - हमलावर आपके नेटवर्क पर आपकी आंखों के सामने सभी प्रकार के क्रेडेंशियल्स (Active Directory क्रेडेंशियल्स से लेकर व्यक्तिगत ईमेल खातों से लेकर डेटाबेस पासवर्ड तक) चुरा रहे हो सकते हैं और आप पूरी तरह से अनजान हो सकते हैं कि ऐसा हो रहा है।

लाइसेंसिंग

Vindicate का कॉपीराइट Danny 'Rushyo' Moules के पास है और यह बिना वारंटी के GPLv3 लाइसेंस के तहत प्रदान किया गया है। LICENSE देखें।

त्वरित आरंभ

VindicateTool डाउनलोड करें।

एक गैर-उन्नत कमांड प्रॉम्प्ट या PowerShell प्रॉम्प्ट खोलें और ReleaseBinaries उप-फ़ोल्डर में निम्नलिखित टाइप करें:

./VindicateCLI.exe

Vindicate अब LLMNR/NBNS/mDNS स्पूफिंग की खोज करेगा और रिपोर्ट करेगा।

यदि आप कुछ भी होता नहीं देख रहे हैं, तो Vindicate क्या कर रहा है, इसके बारे में अधिक विस्तृत आउटपुट प्राप्त करने के लिए -v फ्लैग का उपयोग करने का प्रयास करें।

यदि स्पूफिंग हो रही है, तो आप कुछ इस तरह देख सकते हैं:

Received mDNS response from 192.168.1.24 claiming 192.168.1.24
Spoofing confidence level adjusted to Medium
Received LLMNR response from 192.168.1.24 claiming 192.168.1.24
Received NBNS response from 192.168.1.24 claiming 192.168.1.24
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Spoofing confidence level adjusted to Certain
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24

यह एक चल रहे हमले का संकेत देता है (इस मामले में, Responder डिफ़ॉल्ट सेटिंग्स के साथ चल रहा है)।

एप्लिकेशन बंद करने के लिए ESC का उपयोग करें।

अधिक जानकारी प्राप्त करें

अधिक विस्तृत आउटपुट प्राप्त करने के लिए VindicateCLI के साथ -v का उपयोग करें।

सही IP पता सेट करना

Vindicate आपके IP पते का स्वत: पता लगाने का प्रयास करेगा। यदि आपके पास एकाधिक नेटवर्क इंटरफ़ेस हैं, तो यह गलत नेटवर्क पर एक पता प्रदान कर सकता है। यदि ऐसा है, तो आप जिस IP पते का उपयोग करना चाहते हैं, उसे दर्ज करने के लिए -a का उपयोग करें।

इवेंट लॉग रिपोर्टिंग सक्षम करना

एक उन्नत (व्यवस्थापक) PowerShell प्रॉम्प्ट खोलें और निम्नलिखित टाइप करें:

New-EventLog -Source "VindicateCLI" -LogName "Vindicate"

इवेंट लॉगिंग सक्षम करने के लिए -e के साथ CLI ऐप चलाएँ। सेवा स्वचालित रूप से Windows इवेंट लॉग (या Mono समतुल्य) का उपयोग करती है।

इवेंट लॉग Applications and Services Log\Vindicate के अंतर्गत संग्रहीत किए जाते हैं।

सेवा स्थापना

एक उन्नत PowerShell प्रॉम्प्ट से चलाएँ (FULL\PATH\TO\ और ARGSHERE को उचित रूप से बदलते हुए):

New-EventLog -Source "VindicateService" -LogName "Vindicate"
sc.exe create "VindicateService" DisplayName="Vindicate" start=auto binPath="FULL\PATH\TO\ReleaseBinaries\VindicateService.exe ARGSHERE" obj="NT Authority\NetworkService"
sc.exe start "VindicateService"

सेवा CLI ऐप के सभी फ्लैग का समर्थन करती है, सिवाय -e के (इवेंट लॉग हमेशा सक्षम होते हैं)। स्थानीय फ़ायरवॉल को अपडेट करना न भूलें!

उपयोगी सामग्री

बिल्ड पूर्वापेक्षाएँ

बिल्ड करने के लिए .NET Framework 4.5.2 और Visual Studio 2015 या उच्चतर की आवश्यकता है। पूर्व-संकलित बाइनरी ReleaseBinaries के अंतर्गत उपलब्ध हैं।

फ़ायरवॉल कॉन्फ़िगरेशन

इनबाउंड:

UDP Local 49501 <- Remote 5355 (LLMNR)
UDP Local 49502 <- Remote 137 (NBNS)
UDP Local 5353 <- Remote 5353 (mDNS)

आउटबाउंड:

UDP Local 49501 -> Remote 5355 (LLMNR)
UDP Local 49502 -> Remote 137 (NBNS)
UDP Local 5353 -> Remote 5353 (mDNS)
TCP Local 49152-65535* -> Remote 80 (WPAD)
TCP Local 49152-65535* -> Remote 443 (WPAD)
TCP Local 49152-65535* -> Remote 139 (SMB)

*एफ़ेमेरल पोर्ट। दिए गए मान Windows Vista+ मानते हैं

महत्वपूर्ण इवेंट ID

7 - यह इंगित करता है कि Vindicate ने एक मूल्यांकन में अपना विश्वास उन्नत किया है कि स्पूफिंग* हो रही है।
8 - एक स्पूफ़* किए गए स्थान पर WPAD (Web Proxy Auto-Detection) सेवा का पता चला।
11 - एक स्पूफ़* किए गए स्थान पर SMB (Server Message Block) सेवा का पता चला।
6 - एक नाम लुकअप के लिए एक स्पूफ़* प्रतिक्रिया प्राप्त हुई।

पूरी सूची विकी पर पाई जा सकती है।

नोट्स

*डिफ़ॉल्ट रूप से, Vindicate ऐसे लुकअप नामों का उपयोग करता है जो किसी भी नेटवर्क में मौजूद नहीं होने चाहिए लेकिन एक हमलावर को अर्ध-यथार्थवादी लगते हैं, जो देख रहा हो, ताकि गलत सकारात्मक परिणामों से बचा जा सके जहां आपके पास वास्तविक सेवाएं हैं जो इन नाम लुकअप पर निर्भर हो सकती हैं। यदि उन नामों वाले सिस्टम वास्तव में आपके नेटवर्क पर मौजूद हैं, तो Vindicate गलत सकारात्मक परिणाम देगा।
उपरोक्त के कारण, Vindicate आपके वातावरण के अनुरूप कस्टम फ्लैग के साथ सबसे अच्छा काम करता है। सहायता प्राप्त करने के लिए -h का उपयोग करें।
चूँकि Vindicate .NET में लिखे गए आंशिक कस्टम नाम सेवा कार्यान्वयन का उपयोग करता है, यह तब भी काम करता है जब क्लाइंट पर मल्टीकास्ट रिज़ॉल्यूशन अक्षम हो।
Vindicate वर्तमान में अधिकतर WPAD प्रतिक्रिया प्राप्त करने पर निर्भर करता है, जिसमें SMB डिटेक्शन बहुत बुनियादी है (यह केवल जाँचता है कि SMB पोर्ट उपयोग में है या नहीं)। यदि Vindicate को अपनाया और उपयोग किया जाता है, तो मैं SMB सर्वरों को ठीक से सत्यापित करने और अपनी डिटेक्शन में Vindicate के विश्वास को बढ़ाने के लिए एक SMB क्लाइंट लिखूंगा।
Vindicate mDNS स्पूफिंग (अक्सर Mac OS से जुड़ा) का पता लगा सकता है, लेकिन Windows पर यह डिटेक्शन काम नहीं करेगा यदि मल्टीकास्ट रिज़ॉल्यूशन सक्षम है क्योंकि एक आवश्यक पोर्ट ऑपरेटिंग सिस्टम द्वारा उपयोग में है। सुरक्षा कारणों से इसे अक्षम करने पर विचार करें (और परिवर्तनों को लागू करने के लिए DNS सेवा को रीसेट करें)।
Vindicate को चलाने के लिए प्रशासनिक अनुमतियों की आवश्यकता नहीं है और यदि आप इसे उच्च विशेषाधिकारों के साथ चलाते हैं तो यह दुखी होता है।
Vindicate हमलावर को गलत क्रेडेंशियल्स भेज सकता है ताकि उनकी चालों को विफल किया जा सके। -u, -p, और -d फ्लैग देखें।
Vindicate को क्रॉस-प्लेटफ़ॉर्म उपयोग को ध्यान में रखकर लिखा गया है, लेकिन इस उद्देश्य के लिए अभी तक इसका परीक्षण नहीं किया गया है। यदि यह वांछित है, तो कृपया एक मुद्दा और अपने प्लेटफ़ॉर्म के साथ मुझे बताएं।

VindicateTool

सबसे लोकप्रिय