16 834
Tesztek Android Google Apple Microsoft Samsung Huawei Linux Okostelefon Biztonság Tudomány Facebook Videojáték Film
16 834
https://lh5.googleusercontent.com/-K2zWDyess-c/ULopuXE7tRI/AAAAAAAABMY/iih_CZuse6k/s800/image.jpg

Hackeljünk Androiddal: Penetrációs tesztelés telefonnal

Black Cell Kft.2012.12.01. 17.06
https://lh5.googleusercontent.com/-K2zWDyess-c/ULopuXE7tRI/AAAAAAAABMY/iih_CZuse6k/s800/image.jpgA mobiltelefonok alapvető eszközei minden üzleti vállalkozásnak. A vezetőség be akarja foltozni az eszközök által generált biztonsági rést, így a projekt előbb vagy utóbb az IT menedzser asztalán köt ki. A cikk ezen biztonsági rések feltárásához nyújt segítséget. Mára olyan szakmai fórum foglalkoznak a kérdéssel, mint a DEFCON, Black Hat, OWASP, AppSec, SANS. A probléma, amivel rögtön szemben találjuk magunkat az a kontrollálni kívánt eszközök operációs rendszereinek sokrétűsége. Android, iOS, Windows, Blackberry, hogy csak a legnépszerűbbeket említsem. A vizsgálathoz először is fel kell venni a támadói, invazív szemléletet.

Amikor meghalljuk azt, hogy penetrációs teszt, az ember rögtön a kívülről érkező hálózati támadásokra gondol, ahol a szakember megpróbál távolról betörni a rendszerbe. A piac természetesen ehhez is alkalmazkodott a tűzfalak, céleszközök és biztonsági programok szempontjából. A mobil eszközök - amelyek akár közvetlen Wi-Fi kapcsolattal rendelkezhetnek - terjedésével azonban a belső problémákkal is fel kell venni a harcot. Az mobilokat egyre erősebb processzorokkal vértezik fel, képesek WI-FI kapcsolatra, kamerájuk, háttértárolójuk és még állandó internet kapcsolatuk is van 3G/4G segítségével, amely ezáltal számos alkalmazást tesz elérhetővé, a „rootolt” eszközök pedig sok esetben rendelkeznek olyan tudással, mint egy PC. Ha ezeket kombináljuk a megfelelő programmal, számos szkent lehet elvégezni percek alatt, amihez rengeteg új, az információ megszerzését célzó támadási lehetőség is párosul.

Ezek a mobil erőforrások a kényelem teljességével képesek igen erős penetrációs alkalmazások futtatására is. Méretükből adódóan viszont jobban fedettek, könnyebben elrejthetők, mint egy felnyitott laptop. A nagyvállalati IT Magyarországon is sokat költ hálózatainak biztonságára. Sok esetben azonban kimarad a végpontok biztonsága, ami alapvető hiányosság. A belső biztonsági szabályzatok habár előírásban nem is annyira, végrehajtásban azonban jóval lazábbak, mint a külső szabályzatok.

Egy hálózat támadása jelenleg sokkal egyszerűbb, mint pár évvel ezelőtt, mivel az eszközök és az operációs rendszerek sokkal változatosabbak, mint abban az időben, amikor letettük a voksunkat egy elsődleges és állandó WIN/LINUX rendszer mellett, ami ethernet kábelen csatlakozott. Napjainkban az irodák Wi-Fi-t használnak számos különböző típusú eszközzel rajtuk (laptop, tablet, telefon, stb.), amelyek nem feltétlenül vannak a vállalkozás tulajdonában (BYOD). Szóval, a „behatolónak” igen gazdag környezet kínálkozik számos támadási vektorral.

A dolgozói eszközök használatára vonatkozó belső szabályozás általánosságban elég gyér, nincs végrehajtva vagy egyáltalán nincs. Az alkalmazottak pedig nem részesülnek megfelelő biztonsági oktatásokban a mobil eszközök tekintetében. Ezen a tesztelés után célzottan lehet javítani.

Miért kell felügyelni az USB portokat?

A mobil eszközök flash meghajtóként való használata, igen hatékony eszközzé teszi őket penetráció során. Gondoljunk csak a Stuxnet esetére, vagy a nem is olyan rég kirobbant katonai drónok távoli vezérlésére. Mind a két esetben USB-n keresztül jutottak be a kártékony programok a rendszerbe. Amennyiben a vállalatnak csak szignatúra alapú vírusirtója van és nem viselkedés alapú, akkor elegendő, ha egy jól bevált trójai forráskódját megszerezzük, és részben módosítjuk, ezzel kicselezve a vírusirtók java részét. Hijackelésnél ne feledjük az SSL csatornát, főként a tűzfal megkerülése és a rejtettség végett.

Javaslat: Az USB portokat és egyéb interfészeket le kell tiltani és csak a vállalat által hitelesíttetett, dedikált eszközöket szabad engedélyezni az alkalmazottak számára, megfelelő naplózás mellett. Az új generációs tűzfalak és biztonsági programok pedig lehetőséget biztosítanak az SSL csatornák monitorozására is.

A „behatolás”

Vezetéknélküli hálózatok támadásánál számos úton be lehet jutni, vagy legalább is közelebb kerülni a célponthoz. Például social enginering-el: interjúkon, közösségi oldalakon, (LinkedIn, Facebook), sőt a Google-ön, esetleg üzleti megbeszéléseken keresztül, de alkalmat adhat rá egy házhoz szállítás, takarítás, nyílt nap, vagy egy rendezvény is. A vezetéknélküli hálózatok hatósugarát nehéz szabályozni, így már akár az épületbe való bejutás nélkül is elérhetjük a célrendszert, akár egy autóból, étteremből vagy kávézóból. A művelethez nagyjából bármely nagyobb teljesítményű „rootolt” Androidos eszköz megfelel. A mobil alkalmazás, amire első körben szükségünk lehet az a Network Discovery, amely elérhető a Google Play-ből, de használhatunk egyéb más mappelő programokat is. Ez a program ingyenes és nem igényel rootolást sem. Felülete átlátható és könnyen kezelhető. Sok igen hasznos program elérhető már iOS-en is. A Wi-Fi hálózathoz való csatlakozás után - jelszó szükséges - az alkalmazás felismeri a csatlakozott eszközök gyártóját, típusát és operáció rendszerét. Így már kapunk egy jó rálátást a kiszemelt hálózatra.

A hálózati felderítés, mappelés csak egy dolog, ami csak a nyílt Wi-Fi hálózatok szkennelésére alkalmas. Ha azonban sérülékenységeket, port szkent és más dolgokat szeretnénk csinálni több programra van szükségünk. Szerencsére egy izraeli biztonsági cég, a Zimperium megalkotta nekünk azt a kompakt arzenált, melyet ANTI – nak (Andoid Network Toolkit) kereszteltek el. Gyakorlatilag nem kell Linux Lászlóvá válnunk, megtanulnunk az TCP/IP alapokat, még csak nmap zenmasternek sem kell lennünk, ha be akarunk törni a hálózatba. Az integrált eszköztár igen széles, ráadásul könnyen értelmezhető egy laikus számára is.

Miután elindítjuk a programot, – telepítéshez rootolás szükséges – utána el tudjuk kezdnek a szkent is a hálózaton, mint a Network Discovery-nél. Az ANTI meghatározza a csatlakoztatott eszközöket, is itt már a sérülékenységekről is kapunk egy képet. Ezeken exploitokat tudunk elhelyezni Metasploit-ból és ExploitDB-ből, amikkel célzott támadásokat tudunk indítani.

Lehetőségünk van képernyőképeket lopni, MITM támadásokat beékelni, brute force attack-es jelszótörésre, számos integrált könyvtár segítségével.
A „Cracker” funkció feltárja az eszközök nyitott portjait a hálózaton belül, ami eltarthat egy ideig, a portoktól és a támadásban használt könyvtáraktól függően. A Wi-Fi monitor méri az elérhető hálózatok jelerősségét és a MAC címet is leolvashatjuk vele. „Intrúzív” szkenneléssel pedig megtudhatjuk a potenciális sebezhetőségeket. A támadásokat egy a hálózaton kívüli HTTP szerverről is el tudjuk végezni egy hasznos modul segítségével.

Javaslat: A kliens oldali tűzfal és patch menedzsment segítségével le tudjuk redukálni ezeket a sérülékenységeket.

Session Hi-Jacking, ARP Spoofing és Wi-FI-s cselek

Sokan ismerhetik a Firesheep nevű programot, mely a Firefox böngészőből nyer ki session-öket. Ennek megvan az Androidos megfelelője, a Droidsheep azonban ehhez az alkalmazáshoz is szükség van root jogokra. Sajnos sok esetben belassíthatja a hálózatot, így azonosíthatóvá válik, azonban ha kikapcsoljuk az ARP Spoofing-ot azonosíthatatlan lesz. Ebben az esetben a titkosított hálózatokat nem mindig tudjuk „elterelni”. Generikus módban minden lehetséges session-t látunk.

Egy másik igen robusztus megoldás a Network Spoofer (sajnos már nem elérhető a store-ból), amely ARP Spofing-ra ad lehetőséget, ahol is módosított webes forgalmat tudunk küldeni a hálózatra vagy egy gépre. Mint említettem igen robosztus, több tulajdonsága miatt is, főleg mert körülbelül 600MB, ami alapvetően egy Debian disztribúció Squid proxyval, az adatok módosításához. Számos egyéb támadásra is kiváló ez az alkalmazás is, bár a WPA/WPA2-es hálózatot sajnos lelassítja vagy akár meg is béníthatja. A Network Spoofer képes átirányítani a teljes forgalmat a telefonra, ebből kifolyólag egy Shark for root nevű alkalmazással el is tudjuk kapni a csomagokat és menteni az SD kártyára pcap formátumban. A Shark reader alkalmazás segítségével pedig el tudjuk olvasni, ha pedig FTP-re, laptopra akarjuk felmásolni, a Wireshark lesz a mi barátunk a művelet során. A csomagok megszerzésének van egy igen kézenfekvő módja is. Egyszerűen csinálunk a vállalat nevére emlékeztető hot-spotot, például: vállalat_guest, így a csatlakozott eszközökről direktbe nyerünk információt.

Hogyan hackeljünk távolról

Az okostelefonok nem csak a programok futtatására alkalmasak, de méretükből adódóan könnyen rejtethetőek, így otthonról is be tudunk lesni a hálózatba a megfelelő előkészületek után. Első lépésben el kell helyezni a mobilt valahol az épületben egy töltőre csatlakoztatva. Ez nem egy nagy kihívás, de annál több lehetőséget ad a távoli hálózat, otthonunk kényelméből való vizsgálgatásra tesztelésére. A távoli eléréshez szükségünk lesz a Remote Web Desktop alkalmazásra, amely a store-ból szintén elérhető. Lényegében ezzel minden alkalmazást el tudunk érni a telefonunkról, így például a log fájlokat is ki tudjuk küldeni egy FTP szerverre.

Szkriptelés

Számos terminál emulátor elérhető Androidra, mint például a ConnectBot, amely sokrétű session-ökre és titkosított csatornákra ad lehetőséget. Az SL4A (Scripting Layer for Android) pedig megkönnyíti a szkriptek végrehajtását az eszközön. Telepíthetünk Python, amely számos szkript futtatás mellett még a kompromittáló alkalmazásokat is le tudja törölni. Természetesen használhatunk SL4A motor alatt Ruby-t, Perl-t, JavaScriptet és Beanshell-t is többek között.

A cikk a Black Cell Kft. hivatalos írása az Androbit.org online informatikai magazin számára, Gyebnár Gergő tollából.
Kattints ide  ➜

Az Androbit technológiai és tudományos magazinnál hiszünk abban, hogy az információ mindenkit megillet. Hosszú évek munkájával megszerzett hírnevünknek köszönhetően megadatott számunkra az a lehetőség, hogy műszaki témájú médiumként is elérhessünk minden internetező korosztályt. Tesszük ezt olyan hírekkel és cikkekkel, amik között egyaránt szerepel nagyobb tömegeket és kisebb szakmai csoportokat érintő tartalom is.

A témák gondos összeválogatásának és a cikkek minőségi kidolgozottságának hála mára Magyarország egyik legnépszerűbb technológiai és tudományos információforrásává váltunk – fejlesztéseinkkel és kutatásainkkal pedig igyekszünk mindig egy lépéssel a versenytársak előtt járni.

A weboldalunkon található, szerkesztőségünk által készített tartalmakra vonatkozó összes felhasználási jogot az Androbit technológiai és tudományos magazin birtokolja. A tartalmak egyes részleteinek felhasználását kizárólag látványos (vagy jól hallható) forrásmegjelöléssel engedélyezzük. A feltételek megszegésének jogi következményei lehetnek. A feltételektől eltérő tartalomfelhasználás kizárólag megegyezés útján lehetséges.
Copyright © 2007-2016 – Makay József (makay@androbit.net)
Gigantic ‑ Ingyenes nyílt bétával kezd az Overwatch új kihívója
Az egyik legnépszerűbb antivírus egyben a legrosszabb is
Akksiproblémák mutatkoznak néhány MacBook Pro notebooknál
Sokat fejlődik az új frissítéssel a Google Duo
2016 legjobb okostelefonjai ‑ Sebességteszt
Már 20 millióan használják az Apple Musicot
Felkapott témák
Az egyik legnépszerűbb antivírus egyben a legrosszabb is
Ezek a jelenleg kapható legerősebb okostelefonok
2016 legjobb okostelefonjai - Sebességteszt
Android 1.0 Apple Pie vs. Android 7.1 Nougat
Melyik lesz 2017 legjobb okostelefonja?
Ingyenes nCore regisztráció - Újabb csalók próbálkoznak
Állásajánlatok
Maintenance engineer
Software Architect Java EE
Telephelyvezető
Senior Experte Business Operations
Business Test Analyst
Specialist, Customer Documentation
SAP Security Consultant