看NSA黑客如何利用大數(shù)據(jù)拿下網(wǎng)絡(luò)系統(tǒng)管理員

責(zé)任編輯:editor006

2014-06-27 16:31:33

摘自:51cto

在繼續(xù)之前,先得介紹一下DISCOROUTE——NSA內(nèi)專門用于在telnet sessions流量中“被動”收集和存儲路由器配置文件的工具。- 通過DISCOROUTE工具獲得的配置文件,可以知道這個管理員通過telnet登陸到路由器 

斯諾登事件已過一年有余,情報組小編翻看眾多公布的材料,挑選其中一篇2012年時候的“NSA的內(nèi)部帖子”,來看看一個NSA黑闊如何利用“大數(shù)據(jù)”拿下網(wǎng)絡(luò)系統(tǒng)管理員的攻擊思維。

“情報”是攻擊的最終目的

在NSA里面的SID(SignalsIntelligence Directorate)“信號情報部門”顧名思義他的終極目標(biāo)是產(chǎn)出情報,供決策者使用。無論什么時候,目標(biāo)使用高科技去進行通信,NSA黑客就要想盡辦法去收集它、分析它、然后輸出報告。聽起來是很簡單,除非他已經(jīng)在目標(biāo)的通信網(wǎng)絡(luò)中。而他們其實也不是任何時候都能收集到所有的信息,特別是他們的目標(biāo)通信的網(wǎng)絡(luò)并不在他們的收集范圍內(nèi)。這個時候他們就需要一些手工的“跑腿”去幫助他們完成這個任務(wù)了。這個“跑腿”就是這篇帖子《I hunt sys admins》想介紹的“系統(tǒng)管理員”

科普廣告插播

SID,全稱Signals Intelligence Directorate信號情報指揮部,在NSA組織架構(gòu)中代號為“S”,主要負責(zé)收集、分析、產(chǎn)生和傳播信號情報。下屬若干個分支機構(gòu),其中就包括大名鼎鼎的TAO,具體如下:

- S1—主攻客戶關(guān)系

- S2—主要分析和制作中心,下屬若干“生產(chǎn)線”

S2A:南亞,S2B:中國與韓國,S2C:國際安全,S2E:中東和亞洲,S2F:國際犯罪,S2G:反擴散,S2H:俄羅斯,S2I:反恐……

- S3—數(shù)據(jù)獲得,主要負責(zé)“收集”工作,下屬包括:

S31——Cryptanalysis and Exploitation Services密碼與漏洞利用服務(wù)簡稱CES

S32——TailoredAccessOperations,簡稱TAO,負責(zé)黑進外國的計算機以事實網(wǎng)絡(luò)間諜活動,被譽為NSA“信號情報指揮部”最大最重要的部分,有1000名軍隊級和平民電腦黑客、情報分析員、targeting專家、電腦軟件硬件設(shè)計師,電子工程師等組成。

S33——Global Access Operations,簡稱GAO,主要負責(zé)攔截衛(wèi)星或其他國際SIGINT平臺的信號。

S34——收集戰(zhàn)略及需要中心

S35——Special Source Operations,簡稱SSO,主要負責(zé)美國國內(nèi)的收集計劃,例如大名鼎鼎的“棱鏡計劃”PRISM

網(wǎng)絡(luò)系統(tǒng)管理員是最好的“跑腿”

事實上“系統(tǒng)管理員”并不是這些NSA黑客的最后目標(biāo),他的最后目標(biāo)是“極端分子/恐怖分子”或者官方政府要使用的這些網(wǎng)絡(luò),而這個網(wǎng)絡(luò)是由這些“系統(tǒng)管理員”所管理的。比如他的目標(biāo)正使用的是在外國網(wǎng)絡(luò)的一個CDMA終端,很可能NSA魔爪已經(jīng)收集過目標(biāo)手機的電話、SMS短信,(PS:用帖子里的原話是說“where we passively collect his phone call/SMS out in the wild”。從這個側(cè)面看NSA的確已經(jīng)能夠廣泛性的“被動”采集電話通信數(shù)據(jù))但是如果真的能夠進入到本地的基礎(chǔ)設(shè)施,從而可以任何時候更直接的監(jiān)視目標(biāo)從哪個基站進行了連接,甚至監(jiān)視電話和數(shù)據(jù)的流量。但是通常直接以基礎(chǔ)設(shè)置為攻擊目標(biāo)是很困難的,一般需要一系列的信息以幫助開展行動。例如:

– 目標(biāo)網(wǎng)絡(luò)的拓撲

– 基礎(chǔ)設(shè)施設(shè)備的憑證(密碼)

– 目標(biāo)網(wǎng)絡(luò)的行事情況,例如只有管理員的源IP限制策略的允許接入清單

– 一些總概述的背景,例如網(wǎng)絡(luò)是如何組成的,如何配制的

所以為了拿到以上信息,還有誰比目標(biāo)網(wǎng)絡(luò)的管理員更合適?很多時候,當(dāng)NSA黑客看到目標(biāo)出現(xiàn)在一個新的網(wǎng)絡(luò),他的第一個目標(biāo)就是能否通過CNE(Computer Network Exploitation)攻陷網(wǎng)絡(luò)上的這個管理員。這個時候通常就依賴于“QUANTUM”來訪問他們的帳號。當(dāng)然你可以通過釣魚郵件,但是NSA黑客認為現(xiàn)在人們比過去5-10年已經(jīng)越來越聰明,所以這種攻擊方法已經(jīng)不再靠譜了。因此,為了使QUANTUM攻擊對這些管理員有效,NSA黑客需要一些webmail/facebook類型的SELECTOR。

科普廣告插播:

SELECTOR:又稱“分揀器”,說白了就是NSA從龐大的數(shù)據(jù)流量中用于識別定位的特定目標(biāo)的“選擇子”,例如Hotmail GUIDs,GoogleprefIDs,Apple IMEIs,Apple UDIDs,Nokia IMEIs,Wireless MACs等等,而這個Selector又跟下面要說到的“Quantum”密切相關(guān)。

看NSA黑客如何利用大數(shù)據(jù)拿下網(wǎng)絡(luò)系統(tǒng)管理員

QUANTUM:這個可跟量子計算沒有多大關(guān)系,主要是NSA的一個代號,是一種man-on-the-side的中間劫持技術(shù),在骨干網(wǎng)中秘密放置一些服務(wù)器,通過Selector識別出被攻擊的目標(biāo),然后利用比正常服務(wù)器更快的反應(yīng)時間,把漏洞利用代碼發(fā)向受攻擊的目標(biāo)(也就是這里說的管理員),使得攻擊成功。隨著近年來的發(fā)展,已經(jīng)不止最開始2005年的“Quantuminsert”,還有2007年的QuantumBOT,2008年的QuantumDNS等等,如下圖所示:

CNE:Computer Network Exploitation,如果說CNE是注重從目標(biāo)計算機和網(wǎng)絡(luò)中挖掘情報,那么另一個叫CAN(Computer Network Attack)的則是試圖瓦解、損害和摧毀目標(biāo)。

攻擊思路:

如果說希望通過whois等手段,查找目標(biāo)網(wǎng)絡(luò)IP地址空間或者域名信息的注冊信息來發(fā)現(xiàn)這些管理員的個人信息。那NSA黑客的實踐表明,這個成功率并不高,因為這些信息通常是管理員的官方郵箱地址,這些郵件服務(wù)器就部署在目標(biāo)的網(wǎng)絡(luò)中,而NSA黑客的大殺器Quantum成功的秘訣不是用在這類型郵件系統(tǒng)中的。他們真正想要的是管理員的個人郵箱、facebook等這樣的賬號。(因為這些賬號才能篩選出Selector,從而使用Quantum技術(shù)來實施對管理員的控制。這里可以使用“dumpster-dive技術(shù)”(翻管理員公司附近的垃圾箱找)或“Google搜索技術(shù)”(看看管理員是否有在什么官方的非官方的論壇中暴露這些信息)。

攻擊線路:

NSA大黑闊——〉“恐怖分子”——〉恐怖分子所在的網(wǎng)絡(luò)——〉該網(wǎng)絡(luò)管理員——〉控制網(wǎng)絡(luò)

攻擊所需條件(反向推導(dǎo)):

網(wǎng)絡(luò)管理員〈——Quantum攻擊〈——可識別出管理員的Selector〈——個人賬號如facebook〈——???

在繼續(xù)之前,先得介紹一下DISCOROUTE——NSA內(nèi)專門用于在telnet sessions流量中“被動”收集和存儲路由器配置文件的工具。

有這樣的工具,有這樣的數(shù)據(jù),都對入侵這個目標(biāo)網(wǎng)絡(luò),了解它的網(wǎng)絡(luò)結(jié)構(gòu)有莫大的幫助,但是,這些配置文件似乎跟找到網(wǎng)絡(luò)管理員的個人webmail或者facebook似乎還沒有啥關(guān)系。離成功入侵這個網(wǎng)絡(luò)還遠著。為此,NSA黑闊隨機選了一個肯尼亞的路由配置來做個示范。(從這個側(cè)面看,NSA還說沒有入侵,沒有監(jiān)聽別國的通信?拿路由器配置信息都是信手拈來的事情了。)接下來作為一名分析師,最基本的水平是基于這份配置文件做出大膽的假設(shè):

- 我們有一臺路由器,路由器有一個管理員

- 通過DISCOROUTE工具獲得的配置文件,可以知道這個管理員通過telnet登陸到路由器

- 管理員可能不會讓任何人或者每個人都能登陸到路由器

- 管理員可能設(shè)置了ACL,只允許他自己的IP telnet到路由器中

下面看看路由器的配置文件:

從上面可以看到管理員的確設(shè)置了源地址訪問的ACL——access-class,以及密碼屬性設(shè)置為代表密文的7,當(dāng)然這個也是很好破解的。網(wǎng)上基本上就有現(xiàn)成的工具專門對付這類password 7 hash。

從下面的配置列表可以看到:

看NSA黑客如何利用大數(shù)據(jù)拿下網(wǎng)絡(luò)系統(tǒng)管理員

可以看到,如果想要telnet到這臺路由器,你必須要從這些(已經(jīng)打黑的)IP地址去訪問。稍微有點網(wǎng)絡(luò)知識的你都可以知道,就算你知道路由器的認證信息,就算你知道這些白名單,你都不可能偽造這些源地址去登到路由器上,因為,你無法看到response包。所以你是必須接入到其中一臺這些IP地址,才能去登陸路由器。

讓我們回顧一下,NSA黑客的假設(shè)——一個管理員只允許他自己去telnet,而禁止了來自其他地址的登陸。因此我們可以進一步大膽假設(shè)這是這些acl地址,就是管理這個肯尼亞網(wǎng)絡(luò)的管理員地址。

繼而,利用這些地址就可以去查找,從這些IP地址登陸hotmail,yahoo,facebook的活動賬號。從而就能夠識別出這個肯尼亞網(wǎng)絡(luò)的管理員個人賬號信息了。把這些信息作為selector,就可以用QUANTUM技術(shù)去攻擊這些管理員,從而通過這些管理員控制網(wǎng)絡(luò)。

總結(jié)一下以上大致兩個步驟

步驟一:從DISCOROUTE中的路由器配置信息中識別有有telnet的acl信息,導(dǎo)出這些acl的公網(wǎng)IP地址。

步驟二:從ASDF(全稱Atomic SIGINT Data Format,是NSA從被動收集信息系統(tǒng)——PassiveSIGINT system收集的所有session信息中生成的metadata。)中,根據(jù)步驟一得到的公網(wǎng)IP關(guān)聯(lián)出活躍用戶。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號