windows vpn? yes problem!

[craftwr]

Я тебя по ip вычислю! (с)
Это просто праздник какой-то! (с)
Песец, как известно подкрадывается очень тихо. Из-за бага в API Windows, которому без малого 20 лет, можно развести пользователя (без социальной инженерии обойтись тут тоже не получится, но варианты есть) подсунув ссылку в письме которая ведет на сайт с эксплоитом или перенаправить юзвера

Comments

[sakurovskiy]

последний пароль у него уже украли, вовней в безопасности.

[nicusor]

вовней уже неделю как нопесал

ru-sysadmins. livejournal. com/2536532.html?style=mine

[craftwr]

вовней писал о маскировке.

[vovney]

Lol

[01petr]

> При открытии ссылки на SMB-ресурс

если зафильтрован доступ к портам 445 139 скорее всего атака провалится.
раньше провайдеры активно фильтровали эти порты.

а в чем опасность? в деанонимизации? подозреваю в сети есть множество других работоспособных способов.

[vovney]

Опасность в том, что хеш тю-тю

А так как у большинства хеш очень слабый, то и пароли тютю

А так как у многих еще и 2fa нету, то...

^ _ ^

[karpion]

Ну и куда можно будет применить этот пароль? К контроллеру домена? Ну так нефиг выставлять контроллер домена (да и раб.станции тоже) мордой наружу!

Хотя если сам злодей или его агент есть внутри защитного периметра - то ой-вэй, туши свет... ;(

[vladgr]

"К контроллеру домена? "
К почте, фтп, корпоративному порталу. Другое дело, что при нормально настроенном файрволе наружу хеш никогда не попадет.

[vovney]

И много вы компаний знаете, у которых не попадет?))))

[vladgr]

Насчет Вашей компании сомнений не было!

[saint_erasty]

"При открытии ссылки на SMB-ресурс в браузере Internet Explorer, Edge..."

Дальше можно не читать.

[vovney]

Что дальше не читать? Какой процент трафика из крупных компаний идет на внешку как раз через IE? Больше 50 точно, потому что всякое говно типа SP или SAP BW требует как раз IE + ActiveX
Можно конечно совсем извращаться, и сделать принудительно: IE intranet ONLY, а на внешку Chrome или Firefox с централизованным управлением.

Меня другое волнует. А эта штука работает в почте? Приходит письмо, там картиночки неактивны, но есть кнопка Скачать картиночки. Вот если ее нажать - ведь движок отрабатывает как раз чере IE, если тот по дефолту?? Если так работает - это просто пиздец

[saint_erasty]

"А эта штука работает в почте?"
Вот тут поподробнее, что имеется в виду под словом "почта".

[vovney]

Вот из оргинальной статьи:
https://habrahabr.ru/post/306810/

"Эксплуатация с целью деанонимизации - поинтересней. Учетка будет отправляться со страниц сайта, если жертва использует Internet Explorer, или при клике внутри письма, в случае с Outlook. Почти все веб-интерфейсы почтовых служб фильтруют картинки со схемой file:// при выводе письма (схема file:// является аналогом схемы \\), но не Яндекс, который не считает это своей уязвимостью (что, в общем-то, корректно). Деанонимизация с использованием почты более опасна, т.к. дает связь не только IP-адреса с аккаунтом Windows, но и с почтой."

Как я понимаю, для картинок в Outlook например юзается как раз метод file://
И если по дефолту стоит браузер IE, то после клика "скачать картинки" - хеш уедет