搜索

[7890] 2014-03-20_基于RDP的SSL中间人攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-03-20_基于RDP的SSL中间人攻击 基 于 R D P 的 S S L 中 间 人 攻 击 F r e e B u f   2 0 1 4 - 0 3 - 2 0 作 者 作 者   T a s k i l l e r 本 文 通 过 演 示 在 本 文 通 过 演 示 在 R D P 会 话 期 间 劫 持 的 按 键 发 送 信 息 ， 向 读 者 演 示 了 为 什 么 用 户 忽 略 那 些 基 于 会 话 期 间 劫 持 的 按 键 发 送 信 息 ， 向 读 者 演 示 了 为 什 么 用 户 忽 略 那 些 基 于 S S L 的 的 R D P 连 接 的 证 书 连 接 的 证 书 警 告 可 能 导 致 中 间 人 警 告 可 能 导 致 中 间 人 ( M i T M ) 攻 击 ， 并 总 结 了 一 些 关 于 如 何 避 免 成 为 这 种 攻 击 的 受 害 者 的 建 议 。 攻 击 ， 并 总 结 了 一 些 关 于 如 何 避 免 成 为 这 种 攻 击 的 受 害 者 的 建 议 。 R D P 连 接 的 类 型 连 接 的 类 型 在 开 始 之 前 ， 首 先 明 确 本 文 讨 论 了 三 种 类 型 的 R D P 连 接 ， 包 括 ： -   R D P 安 全 层 （ R D P S e c u r i t y   L a y e r ） -   S S L ( T L S   1 . 0 ) -     C r e d S S P   ( S S L   w i t h   N L A ) 本 文 要 演 示 的 是 中 间 的 那 个 类 型 ， 即 S S L （ T L S   1 . 0 ） 。 在 终 端 服 务 器 上 ， S S L 一 般 会 如 下 配 置 （ 不 选 中 任 意 N L A 复 选 框 ） ： R D P 使 用 的 配 置 如 果 服 务 器 被 设 置 “ N e g o t i a t e ” ， 某 些 连 接 可 能 包 含 比 较 容 易 受 到 攻 击 ， 因 为 其 安 全 层 可 能 使 用 S S L 。 S S L 证 书 警 告 证 书 警 告 如 果 有 用 户 在 每 次 连 接 时 经 常 不 重 视 类 型 如 下 的 警 告 提 示 ， 本 文 恰 好 就 是 针 对 这 些 用 户 的 ：
经 常 被 习 惯 性 忽 视 的 S S L 警 告 攻 击 简 介 攻 击 简 介 在 较 高 的 层 面 ， 攻 击 与 其 它 的 S S L 中 间 人 攻 击 类 似 ： 1 .   想 办 法 使 受 害 者 连 接 到 我 们 系 统 上 的 P o C 工 具 （ r d p - s s l - m i t m . p y ） ， 而 不 是 其 要 连 接 的 R D P 服 务 器 。 2 .   该 工 具 使 用 R D P 协 议 ， 通 过 协 商 使 其 在 交 互 过 程 中 使 用 S S L 。 3 .   一 旦 连 接 被 协 商 使 用 S S L ， 我 们 的 工 具 就 会 用 其 自 己 （ 不 可 信 的 ） S S L 证 书 与 R D P 客 户 端 协 商 一 次 S S L 连 接 。 这 样 就 使 欺 骗 工 具 有 机 会 访 问 R D P 客 户 端 发 送 的 信 息 明 文 。 4 .   该 工 具 也 需 要 与 正 常 的 R D P 服 务 器 创 建 S S L 连 接 ， 将 R D P 客 户 端 的 数 据 发 送 到 该 服 务 器 。 这 种 攻 击 的 唯 一 缺 点 是 在 创 建 所 需 的 S S L 连 接 之 前 ， 我 们 的 欺 骗 工 具 必 须 通 过 R D P 协 议 与 客 户 端 有 一 个 简 短 的 交 互 。 1 、 使 受 害 者 连 接 到 我 们 这 里 、 使 受 害 者 连 接 到 我 们 这 里 在 真 实 的 攻 击 过 程 中 ， 我 们 需 要 使 R D P 客 户 端 连 接 到 我 们 的 系 统 ， 而 不 是 其 目 标 服 务 器 。 因 此 会 用 到 A R P 欺 骗 、 D N S 欺 骗 或 一 些 其 它 方 法 ， 为 简 便 起 见 ， 本 文 不 再 演 示 这 些 细 节 ， 假 设 已 经 成 功 欺 骗 受 害 者 的 R D P 客 户 端 使 其 连 接 攻 击 者 的 系 统 。 在 我 们 的 攻 击 系 统 上 （ 1 9 2 . 1 6 8 . 1 9 0 . 1 7 0 ） ， 启 动 P o C 工 具 ， 告 诉 它 与 正 常 的 R D P 服 务 器 1 9 2 . 1 6 8 . 2 . 9 6 连 接 ： $   . / r d p - s s l - m i t m . p y   - r 1 9 2 . 1 6 8 . 2 . 9 6 : 3 3 8 9 [ + ]   L i s t e n i n g   f o r c o n n e c t i o n s   o n   0 . 0 . 0 . 0 : 3 3 8 9 这 里 我 们 只 需 要 简 单 地 将 攻 击 系 统 的 I P 地 址 输 入 到 R D P 客 户 端 （ 客 户 端 从 1 9 2 . 1 6 8 . 1 9 0 . 1 连 接 ） ：
直 接 输 入 攻 击 者 的 I P ， 略 过 A R P 欺 骗 步 骤 2 、 与 、 与 R D P 客 户 端 交 互 协 商 使 用 客 户 端 交 互 协 商 使 用 S S L S S L 的 协 商 在 R D P 协 议 内 非 常 短 ： M e s s a g e   # 1 :   C l i e n t   > M i T M   >   S e r v e r 0 3   0 0   0 0   1 3   0 e   e 0   0 0   0 0   0 0   0 0   0 0   0 1   0 0   0 8 0 0   * 0 3 * 0 0   0 0   0 0 这 段 消 息 是 静 态 不 变 的 ， 我 们 的 欺 骗 工 具 直 接 将 其 传 递 给 服 务 器 ， 不 做 修 改 。 * 0 3 * 表 示 客 户 端 支 持 R D P 安 全 层 、 S S L 与 C r e d S S P 。 M e s s a g e   # 2 :   S e r v e r   > M i T M   >   C l i e n t 0 3   0 0   0 0   1 3   0 e   d 0   0 0   0 0   1 2   3 4   0 0   0 2   0 0   0 8 0 0   * 0 1 * 0 0   0 0   0 0 接 下 来 的 消 息 表 示 服 务 器 选 择 使 用 的 协 议 ， * 0 1 * 表 示 服 务 器 已 经 选 择 使 用 S S L （ * 0 2 * 表 示 C r e d S S P ） 。 我 们 也 将 这 条 消 息 不 加 修 改 地 传 递 给 客 户 端 。 注 意 如 果 服 务 器 如 果 选 择 了 C r e d S S P （ * 0 2 * ） ， 本 次 演 示 会 失 败 ， 因 为 这 里 只 是 攻 击 S S L ， 不 是 C r e d S S P 。 3 、 与 、 与 R D P 客 户 端 创 建 客 户 端 创 建 S S L 连 接 连 接 M e s s a g e   # 3 :   C l i e n t   > M i T M 第 三 条 消 息 用 来 开 始 创 建 一 条 S S L 连 接 。 这 里 S S L 客 户 端 的 消 息 从 * 1 6   0 3 0 1 * 开 始 （ 0 3   0 1 表 示 S S L 使 用 的 版 本 ： S S L   3 . 1 A K A T L S   1 . 0 ） * 1 6   0 3   0 1 *   0 0   5 a   0 1   0 0   0 0   5 6   0 3   0 1   5 2   2 1   a c b e   6 3 2 0   c e   d e   4 b   a 5   9 0   1 8   f 0   6 6   9 7   e e   9 d   5 4   1 4 e 3   1 c . . .   s n i p   . . . 欺 骗 工 具 不 会 将 这 些 数 据 直 接 发 给 服 务 器 ， 而 是 直 接 向 服 务 器 发 送 创 建 连 接 的 请 求 ， 同 时 与 客 户 端 完 成 S S L 连 接 的 建 立 。 这 里 我 们 使 用 的 S S L 证 书 会 被 R D P 客 户 端 认 为 非 法 ， 并 在 m s t s c 中 向 用 户 显 示 S S L 警 告 ：
因 P o C 工 具 使 用 的 证 书 产 生 的 安 全 警 告 如 果 用 户 仔 细 检 查 就 会 发 现 ， 这 里 使 用 的 S S L 证 书 与 正 常 证 书 是 存 在 区 别 的 。 要 改 进 攻 击 的 质 量 ， 我 们 需 要 不 断 改 进 证 书 使 其 无 限 接 近 真 实 的 证 书 ， 但 我 们 永 远 无 法 得 到 与 正 常 证 书 相 同 的 签 名 ， 因 此 总 会 有 些 不 同 。 4 、 与 、 与 R D P 服 务 器 创 建 服 务 器 创 建 S S L 连 接 连 接 同 时 ， 我 们 的 工 具 也 向 R D P 服 务 器 发 起 创 建 连 接 的 消 息 ， 并 与 其 创 建 第 二 条 S S L 连 接 。 显 示 按 键 信 息 显 示 按 键 信 息 至 些 ， 我 们 的 欺 骗 工 具 就 可 以 明 文 显 示 R D P 客 户 端 发 给 服 务 器 所 有 按 键 操 作 了 。 很 容 易 确 定 发 送 的 是 哪 种 类 型 的 消 息 ， 以 下 两 个 4 字 节 的 消 息 就 是 按 ‘ p ’ 键 时 发 送 的 。 4 4   0 4   0 0   1 9 4 4   0 4   0 1   1 9 第 三 个 字 节 表 示 按 键 的 方 向 （ 0 0 表 示 键 被 按 下 ， 0 1 表 示 键 弹 起 ） 。 第 四 个 字 节 是 键 的 扫 描 码 （ s c a n c o d e ） ， 通 过 查 询 可 以 发 现 0 × 1 9 恰 好 对 应 字 母 “ p ” 键 。 通 常 情 况 下 ， 与 字 符 对 应 的 扫 描 码 取 决 于 所 使 用 的 键 盘 。 我 所 使 用 的 P o C 工 具 中 ， 已 经 实 现 了 对 Q W E R T Y 键 盘 的 映 射 ， 所 以 如 果 读 者 使 用 的 是 U K / U S 键 盘 ， 该 工 具 可 以 直 接 将 大 部 分 扫 描 码 转 换 成 对 应 的 字 符 。 注 意 我 们 无 法 知 道 字 符 是 大 写 的 还 是 小 写 的 ， 需 要 根 据 C A P S L o c k 键 和 S H I F T 键 的 状 态 的 状 态 确 定 。 话 不 多 说 ， 直 接 上 例 子 。 以 下 是 P o C 工 具 的 一 些 输 出 ， 显 示 了 记 录 的 按 键 ， 同 时 也 记 录 下 了 登 录 的 用 户 名 为 A d m i n i s t r a t o r ， 密 码 为 P a s s w o r d ： $   . / r d p - s s l - m i t m . p y   - r   1 9 2 . 1 6 8 . 2 . 9 6 : 3 3 8 9 [ + ]   L i s t e n i n g   f o r   c o n n e c t i o n s   o n 0 . 0 . 0 . 0 : 3 3 8 9 [ + ]   I n c o m i n g   c o n n e c t i o n   f r o m 1 9 2 . 1 6 8 . 1 9 0 . 1 : 6 0 3 7 0
[ + ]   N e w   o u t g o i n g   r e q u e s t   t o 1 9 2 . 1 6 8 . 2 . 9 6 : 3 3 8 9   ( S S L :   0 ) [ + ]   C o n n e c t e d [ + ]   D e t e c t e d   i n c o m i n g   S S L   c o n n e c t i o n . T u r n i n g   s e l f   i n t o   S S L   s o c k e t [ + ]   I n c o m i n g   c o n n e c t i o n   f r o m 1 9 2 . 1 6 8 . 1 9 0 . 1 : 6 0 3 7 4 [ + ]   N e w   o u t g o i n g   r e q u e s t   t o 1 9 2 . 1 6 8 . 2 . 9 6 : 3 3 8 9   ( S S L :   0 ) [ + ]   C o n n e c t e d [ + ]   D e t e c t e d   i n c o m i n g   S S L   c o n n e c t i o n . T u r n i n g   s e l f   i n t o   S S L   s o c k e t < L S h i f t - d o w n > A < L S h i f t - u p > D M I N I S T R A T O R < T a b > < L S h i f t - d o w n > P < L S h i f t - u p > A S S W O R D < E n t e r > 总 结 总 结 习 惯 性 忽 略 R D P 连 接 中 的 S S L 认 证 警 告 提 示 可 能 造 成 与 忽 视 H T T P S 网 站 的 证 书 同 样 的 后 果 ： 用 户 可 以 轻 而 易 举 受 到 中 间 人 攻 击 。 这 种 攻 击 可 以 截 获 到 用 户 的 用 户 名 、 密 码 、 按 键 信 息 及 其 它 敏 感 信 息 。 使 用 R D P 客 户 端 可 信 的 、 由 认 证 授 权 机 构 签 名 的 S S L 证 书 ， 正 常 情 况 下 是 没 有 警 告 提 示 的 ， 因 此 本 文 也 强 烈 推 荐 用 户 注 意 这 一 点 。 如 果 服 务 器 授 权 了 N L A ， 这 种 攻 击 也 会 失 效 ， 所 以 我 们 也 强 烈 推 荐 使 用 N L A 。 不 过 需 要 知 道 的 是 ， 这 并 不 是 R D P 客 户 端 或 服 务 器 软 件 的 漏 洞 ， 这 种 利 用 方 法 也 不 是 新 发 现 。 这 只 是 R D P 使 用 过 程 中 的 一 些 脆 弱 特 性 ， 在 用 户 忽 略 安 全 警 告 时 可 能 产 生 ， 在 技 术 层 面 只 是 一 个 普 通 的 S S L 中 间 人 攻 击 。 这 种 攻 击 中 一 个 比 较 有 趣 的 扩 展 就 是 可 以 记 录 屏 幕 画 面 ， 也 有 机 会 攻 击 任 意 R D P 客 户 端 映 射 的 驱 动 器 ， 更 多 细 节 可 以 参 考 《 A t t a c k i n g   t h e   R D P   C l i e n t s 》 ， 不 过 这 种 攻 击 需 要 攻 击 有 一 定 的 编 码 基 础 。 [ v i a   p o r t c u l l i s ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理