Suositeltu

Palvelinten hallinta

Tämä julkaisu käsittelee Tero Karvisen kurssin ”Palvelinten Hallinta – Spring 2020” Tehtäviä

H1 Hei maailma, verkon yli ja idempotenssi.

Tehtävänannon mukaan asensin Saltstackin ja uuden orjan. Tein kokonaisuuden uudelle virtuaalikoneelle, jotta prosessia tulisi treenattua lisää.
Tehdessä uusia asetuksia virtuaalikoneelle minulle tuli ongelmia vastaan orjaa määrittäessä.

Etsiessäni vikaa ohjelmisto kertoi että ei saa yhteyttä masteriin koska ”multiple masters”. Tämä tarkoitti sitä, että verkossa oli jo yksi master. Poistin vanha virtuaalikoneen ja jatkoin uuden asentamista.

Seuraavana tehtävänä loin toimivalle ”orjalle” slaveM1 idempotenssin. Tämän suoritin Tero Karvisen Salt States – I Want My Computers Like This ohjeiden mukaan. Orjalla on nyt käytössään helloaki.txt file, jossa lukee ”hello test123”.

Seuravana tehtävänä oli kerätä tietoa koneesta saltin avulla (grains.items). Salt:lla voi kerätä tietoa orjan järjestelmästä komennolla

master$ sudo salt '*' grains.items

Kysyin orjalta tietoa cpu:sta. En muistanut miten tarkasti CPU:hun tulisi viitata joten ajoin komennon:

master$ sudo salt '*' grains.items | grep cpu

Vastaukseksi tuli sanat joihin kuului ”cpu”. Valitsin haettavaksi sanaksi ”cpu_model”.

master$ sudo salt '*' grains.item cpu_model

Tähän orja vastasi oikealla cpu:lla, joka on Intel i-5 9600K.

Seuraavana tehtävänä oli etsiä lisää tietoa salt tiloista. Esimerkkinä oli etsiä ”pkg.installed, file.managed, service.running, file.symlink, user.present, group.present”. Näistä valitsin ensimmäisenä tutkia pkg.installed ja käytin komentoa:

master$ sudo salt '*' sys.state_doc pkg.installed|less

Näin pystyin tutkimaan pkg.installed liittyviä toimintoja kyseisestä dokumentista. Tähän käytin aikaa noin 10 minuuttia. Tehtävä ei vieläkään täysin auennut minulle, mutta uudelleen lukemisen jälkeen tajusin, että orjan state tuli vaihtaa. Loin seuravaksi uuden ”.sls” tiedoston.

master$ sudoedit salt /srv/salt/install.sls

Tiedoston sisältö näyttää tältä:

install bind packages:
  pkg.installed:
    - pkgs:
      - git

Kun tiedosto oli valmis asetin sen orjan tilaksi komennolla:

master$ sudo salt '*' state.apply install

Lopputulos näytti tältä:

slaveM1: 
---------- 
          ID: install bind packages 
    Function: pkg.installed 
      Result: True 
     Comment: All specified packages are already installed 
     Started: 17:52:53.793790 
    Duration: 550.179 ms 
     Changes:    

Summary for slaveM1 
------------ 
Succeeded: 1 
Failed:    0 
------------ 
Total states run:     1 
Total run time: 550.179 ms 

Vapaaehtoinen ja viimeinen tehtävä oli laitta Salt Master palvelimelle, joka näkyy Internetiin. Tätä tehtävää en toistaiseksi vielä tehnyt.

Pentesting @ Haaga-Helia

Tämä postaus käsittelee kurssia Haaga-Helian Tunkeutumistestaus ict4tn027-3006 jonka vetäjänä toimii Tero Karvinen. Tähän postaukseen kirjaan henkilökohtaisesti kurssilla annettuja tehtäviä.

H1 aloitellaan pentestaus kurssi

Kurssi aloitetaan helpoilla ja mukavilla tehtävillä. Tämän ensimmäisen viikon tehtävät on tehty hutiloiden, kuten myös tämä blog.

a) Hanki kutsu HackTheBoxiin.

Ensimmäisenä tehtävänä oli ”saada” kutsu HackTheBox sivustolle. Tehtävä itsestään tehtiin kurssin ensimmäisellä luennolla. Jotta voit luoda sivustolle tunnuksen tulee sinun hankki kutsu itse. Tämä toimii testinä kaikille ”hakkeriksi” haluaville. Tehtävä itsestään ei vaadi haastajalta minkään erikoisen softan asennusta. Ratkaisu onnistuu ihan perus windows, mac tai linux käyttöjärjestelmällä.

HackTheBox kutsu haaste.

Kutsu haaste tulee ratkaista itse eikä siihen ole soveliasta antaa ratkaisuja ;). Tehtävän tehtyä pääsee tekemään tunnukset itse sivustolle.

HTB näkymä sisäänkirjautumisen jälkeen

b) Asenna WebGoat ja kokeile, että pääset kirjautumaan sisään.

Aloitin WebGoatin asentamisen Tero Karvisen ohjeiden mukaan. Päätin asentaa WebGoatin virtualboxilla sijaitsevaan ubuntu 20.04.1 LTS virtuaalikoneeseen. Aluksi kohtasin ongelmia asentamisen kanssa, mutta kaikki onnistui myöhemmin kun päivitin virtualboxin.

Aloitin asentamisen varmistamalla että Ubuntusta löytyy tarvittavat Java versio ja UFW. Samalla enabloin UFW. Syötin seuraavan komennon terminaaliin.

$ sudo apt-get update
$ sudo apt-get -y install openjdk-11-jre ufw
$ sudo ufw enable

Seuraavana steppinä noudin webgoatin wget komennolla ja laitoin webgoatin pyörimän. Syötin seuraanalaiset komennot terminaaliin.

$ wget https://github.com/WebGoat/WebGoat/releases/download/v8.0.0.M26/webgoat-server-8.0.0.M26.jar
$ java -jar webgoat-server-8.0.0.M26.jar

c) Ratkaise WebGoatista tehtävät ”HTTP Basics”, ”Developer tools”, ”CIA Triad” ja ”A1 Injection (intro)”. Katso vinkit alta.

WebGoatin tehtävät on hyvä ratkaista itse. En halua jakaa tehtävien vastauksia tässä blogissa. Tehtävien tekemiseen minulla meni noin 1,5h. Osiot ”HTTP Basics”, ”Developer tools” ja ”CIA Triad” olivat mielestäni todella hyvää kertausta kyseisiin aiheisiin, mikäli on asioita käynyt joskus lävitse. Tehtävät osion ”A1 Injection (intro)” alla itsessään olivat mielestäni haastavia, sillä en ole sujuva SQL käyttäjä. Sain joka tapauksessa ratkottua tehtävät tarvittavan googletuksen avulla. Ohessa kuvakaappaus tehdyistä ”A1 Injection (intro)” tehtävistä.

d) Kuuntele jokin maksuvälineisiin liittyvä jakso Darknet Diaries -podcastista. Kuvaile tiiviisti tämä murto ja peilaa sitä Mika Raution esitykseen ”Stealing your payment card data”.

Valitsin kuunnella Darknet Diaries-podcastin episodin 52 Magecart. Kyseinen episodi käsitti Magenton verkkokauppa palvelussa yleistynyttä pankkikorttitietojen skimmausta. Episodissa käytiin esimerkeinä hyökkäyksiä jotka oli suunnattu British airwayssiä ja NewEggiä vastaan. Molemmissa hyökkäyksissä hyökkääjät olivat saaneet ujutettua heidän haittaohjelmansa näiden yhtiöiden verkkokauppaan, josta he pystyivät nappaamaan asiakkaiden pankkikorttitietoja. Haittaohjelma oli yleisesti tehty JavaScript:llä ja se ujutettiin Magenton lähdetiedostoihin, mutta myös on tapauksia missä haittaohjelmaa on ajettu mainoslinkin takaa.

Lähteet

Karvinen, Tero 2020: Penetration Testing Course 2020 Autumn – Tunkeutumistestaus ict4tn027-3006 h1 http://terokarvinen.com/2020/tunkeutumistestaus-kurssi-pentest-course-ict4tn027-3006-autumn-2020/ Luettu 5.11.2020

Karvinen, Tero 2020: Install Webgoat 8 – Learn Web Pentesting http://terokarvinen.com/2020/install-webgoat-web-pentest-practice-target/ Luettu 5.11.2020

Create your website with WordPress.com
Aloitus