Агент Nac Bypass

Этот фрагмент кода представляет собой скрипт на Python, предназначенный для запуска на Kali Linux. Ниже приводится краткое описание того, что делает каждая функция:

run_command(command):

Эта функция запускает команду, переданную ей на вход, и возвращает её вывод.

kill_network_services():

Эта функция останавливает службы dhclient и NetworkManager.

get_network_info():

Эта функция прослушивает сетевой трафик с помощью tcpdump и возвращает первый захваченный IP-адрес и MAC-адрес. Если эти адреса не захвачены, возвращается None.

spoof_ip_address(interface, ip_address, netmask):

Эта функция заменяет IP-адрес указанного сетевого интерфейса на заданный IP-адрес и маску подсети.

spoof_mac_address(interface, mac_address):

Эта функция заменяет MAC-адрес указанного сетевого интерфейса на заданный MAC-адрес.

start_responder(interface):

Эта функция запускает инструмент responder на указанном сетевом интерфейсе.

start_tcpdump(interface):

Эта функция запускает инструмент tcpdump на указанном сетевом интерфейсе.

nbtscan(ip_range):

Эта функция запускает инструмент nbtscan в заданном диапазоне IP-адресов.

main():

Эта функция объединяет все вышеперечисленные функции, запрашивает у пользователя необходимую информацию, изменяет IP- и MAC-адреса, запускает инструменты responder и tcpdump, а также выполняет nbtscan.

Весь вышеуказанный код должен быть помещён в Python-скрипт, и скрипт должен запускаться с правами root. Поскольку данный код содержит команды, изменяющие сетевую конфигурацию, и инструменты для прослушивания сетевого трафика, эти операции обычно требуют прав root. Кроме того, использование этого скрипта может быть ограничено законом, и несанкционированное использование может привести к юридическим проблемам. Поэтому важно проверить местные законы и политики перед использованием скрипта.

В сценариях APT-групп и программ-вымогателей, когда они проникают в корпоративную сеть извне, он пытается обойти NAC-решения безопасности в корпоративных структурах. Если ему это удаётся, он начинает обнаруживать пользователей во всей сети. Также он прослушивает сеть с помощью wireshark или tcpdump. Если в вашей структуре используется VoIP, он может декодировать все звонки через SIP. В описанном ниже сценарии после успеха он декодирует ваши VoIP-звонки через SIP.

Это инструмент, который на базовом уровне автоматизирует метод обхода NAC в моём инструменте. С его помощью вы можете интерпретировать конфигурацию вашего продукта безопасности NAC в вашей организации с защитой от атак или без неё на базовом уровне. Пример использования и описание приведены ниже.

Шаг 1

Первый шаг — запустить этот инструмент при подключении к внутренней сети.

Если обход NAC прошёл успешно, прослушивайте сеть с помощью wireshark. Затем, используя собранные через wireshark данные, отфильтруйте VoIP-звонки на вкладке #SIPFlows из вкладки #Telephony, и, если звонок доступен в реальном времени, вы сможете прослушивать VoIP-звонки в определённом порядке.

Шаг 2

Шаг 3

Цель этого инструмента и этого сценария — повысить осведомлённость о безопасности в ваших организациях. Кроме того, была предпринята попытка отразить точку зрения APT-группы.

Все смотрят на то, на что смотрите вы; но способен ли каждый увидеть то, что видит он? Только вы — разница между ними…

Мевлана Джалаладдин Руми