(Comptia Security+) Chapter 2 Type of Attack Indicators Phần 2

Download full PDF (xem link download tại chuyên mục Comptia Security +)

Password Attack  (Tấn công bằng mật khẩu)

Hình thức xác thực phổ biến nhất là kết hợp ID người dùng và mật khẩu. Mặc dù vốn dĩ nó không phải là một cơ chế xác thực kém, nhưng sự kết hợp này có thể bị tấn công theo một số cách. Thông thường, các cuộc tấn công này mang lại kết quả thuận lợi cho kẻ tấn công, không phải do điểm yếu trong kế hoạch, mà thường là do người dùng không tuân thủ các quy trình mật khẩu tốt.

Trong video sau đây, Đông Dương đã trình bày một bài khai thác CTF Minotaur và một vài thao tác tấn công password rất thu vị

Spraying

Password             spraying              là một cuộc tấn công sử dụng một số lượng hạn chế các mật khẩu thường được sử dụng và áp dụng chúng cho một số lượng lớn tài khoản. Các cuộc tấn công brute-force truyền thống cố gắng truy cập trái phép vào một tài khoản duy nhất bằng cách đoán mật khẩu. Phun hay “spray” là mặt trái của điều này, sử dụng một số lượng hạn chế mật khẩu và thử chúng với tất cả các tài khoản. Đây là một cuộc tấn công hữu ích khi bạn không quan tâm mình nhận được tài khoản nào và khá thành công khi được cung cấp một bộ tài khoản lớn. Bảo vệ chống lại điều này là quan trọng trong các tổ chức, bởi vì nếu một tài khoản bị vi phạm, đó là chỗ đứng cần thiết để có được quyền tham gia.

Các bạn tham khảo thêm bài viết về chủ đề này cùng những công cụ liên qua tại đây : https://cehvietnam.com/2021/05/29/preoscp-huong-dan-toan-dien-ve-tan-cong-password-spraying/

Dictionary (Từ điển)

Một phương pháp khác để xác định mật khẩu là sử dụng một chương trình bẻ khóa mật khẩu sử dụng danh sách các từ trong từ điển để cố gắng đoán mật khẩu, do đó tấn công từ điển tên. Các từ có thể được sử dụng bởi chính chúng, hoặc hai hoặc nhiều từ nhỏ hơn có thể được kết hợp để tạo thành một mật khẩu duy nhất có thể. Một số chương trình bẻ khóa mật khẩu thương mại và miền công cộng sử dụng nhiều phương pháp khác nhau để bẻ khóa mật khẩu, bao gồm cả việc sử dụng các biến thể trên ID người dùng.

Các chương trình này thường cho phép kẻ tấn công tạo ra các quy tắc khác nhau cho chương trình biết cách kết hợp các từ để tạo thành mật khẩu mới có thể. Người dùng thường thay thế các số nhất định cho các chữ cái cụ thể. Ví dụ: nếu người dùng muốn sử dụng từ bí mật cho mật khẩu, thì chữ e có thể được thay thế bằng số 3, tạo ra s3cr3t. Mật khẩu này sẽ không được tìm thấy trong từ điển, vì vậy một cuộc tấn công từ điển thuần túy sẽ không bẻ khóa nó, nhưng mật khẩu vẫn dễ dàng cho người dùng nhớ. Tuy nhiên, nếu một quy tắc được tạo ra để thử tất cả các từ trong từ điển và sau đó thử các từ tương tự thay thế số 3 cho chữ e, mật khẩu sẽ bị bẻ khóa.

Các quy tắc cũng có thể được xác định để chương trình bẻ khóa mật khẩu sẽ thay thế các ký tự đặc biệt cho các ký tự khác hoặc kết hợp các từ. Khả năng bẻ khóa mật khẩu của kẻ tấn công liên quan trực tiếp đến phương pháp mà người dùng sử dụng để tạo mật khẩu ngay từ đầu, cũng như từ điển và quy tắc được sử dụng.

Tấn công từ điển liên quan đến việc sử dụng bảng tra cứu để thử và tìm câu trả lời. Với suy nghĩ đó, việc sử dụng mật khẩu nhiều lần, cùng với việc vi phạm dữ liệu, cung cấp một bộ mật khẩu để thử. Đây là lý do tại sao mật khẩu duy nhất cho các trang web nhạy cảm về bảo mật lại rất quan trọng, vì một công ty vi phạm dữ liệu có thể khiến bạn mất tất cả tài khoản của mình, vì công việc của kẻ tấn công trở nên đơn giản như tra cứu chúng.

Một demo về crack password RDP được instructor Đông Dương, một “thầy giáo vùng cao” minh họa qua hướng dẫn sau https://www.youtube.com/watch?v=nvf3kC2vfzA

Brute Force

Nếu người dùng đã chọn một mật khẩu không có trong từ điển, ngay cả khi nhiều số hoặc ký tự đặc biệt khác nhau được thay thế cho các chữ cái, thì cách duy nhất để bẻ khóa mật khẩu là kẻ tấn công cố gắng thực hiện một cuộc tấn công vũ phu hay brute force, trong đó  chương trình crack mật khẩu sẽ thử tất cả các kết hợp mật khẩu có thể có. Ví dụ LC 7 hiện nay hay John, Hydra, Medusa là các ứng dụng thuộc lĩnh vực này.

https://www.youtube.com/watch?v=X1bm3aS2sl4 (minh họa của chương trình ECSA về crack password SMB trên Metasploitable 3)

Độ dài của mật khẩu và kích thước của tập hợp các ký tự có thể có trong mật khẩu sẽ ảnh hưởng rất nhiều đến thời gian thực hiện một cuộc tấn công bạo lực. Cách đây vài năm, phương pháp tấn công này rất tốn thời gian, vì cần nhiều thời gian để tạo ra tất cả các tổ hợp có thể. Tuy nhiên, với sự gia tăng của tốc độ máy tính, việc tạo ra các tổ hợp mật khẩu nhanh hơn nhiều, làm cho việc khởi động các cuộc tấn công bạo lực chống lại một số hệ thống máy tính và mạng khả thi hơn.

Một cuộc tấn công brute force vào mật khẩu có thể diễn ra ở hai cấp độ: nó có thể tấn công một hệ thống, nơi kẻ tấn công đang cố gắng đoán mật khẩu tại lời nhắc đăng nhập hoặc nó có thể tấn công danh sách các hàm băm mật khẩu có trong tệp mật khẩu. Lần tấn công đầu tiên có thể khó khăn hơn nếu tài khoản bị khóa sau một vài lần đăng nhập không thành công. Cuộc tấn công thứ hai có thể bị cản trở nếu tệp mật khẩu được duy trì an toàn để những người khác không thể lấy được bản sao của nó.

Offline

Các cuộc tấn công ngoại tuyến, bạo lực có thể được sử dụng để thực hiện so sánh hàm băm với một tệp mật khẩu bị đánh cắp. Điều này có thách thức là đánh cắp tệp mật khẩu, nhưng nếu hoàn thành, có thể sử dụng các máy song song dựa trên GPU hiệu suất cao để thử mật khẩu với tỷ lệ rất cao và chống lại nhiều tài khoản cùng một lúc.

Online

Khi cuộc tấn công brute force xảy ra trong thời gian thực chống lại một hệ thống, nó thường được thực hiện để tấn công một tài khoản duy nhất với nhiều ví dụ về mật khẩu. Thành công hay thất bại được xác định bởi hệ thống bị tấn công và kẻ tấn công có thể vào hoặc không. Các cuộc tấn công bạo lực trực tuyến có xu hướng rất ồn ào và dễ dàng nhận thấy bằng việc giám sát an ninh mạng và chúng cũng bị giới hạn bởi thời gian phản hồi của hệ thống và băng thông.

Các bạn tham khảo một bài trình bày của chủ đề ethical hacking theo chương trình CEH tại CEH VIETNAM sau đây https://www.youtube.com/watch?v=xAJZBm_CiUc

Rainbow Table

Rainbow table hay bảng cầu vồng là các bảng được tính toán trước hoặc các giá trị băm được liên kết với mật khẩu. Sử dụng bảng cầu vồng có thể thay đổi việc tìm kiếm mật khẩu từ bài toán tính toán thành bài toán tra cứu. Điều này có thể làm giảm đáng kể mức độ công việc cần thiết để bẻ khóa một mật khẩu nhất định. Cách bảo vệ tốt nhất chống lại các bảng cầu vồng là các hàm băm muối (password salt), vì việc bổ sung một giá trị muối hay salt làm tăng độ phức tạp của vấn đề bằng cách làm cho quá trình tiền máy tính không thể lặp lại giữa các hệ thống. Muối chỉ đơn thuần là một tập hợp các ký tự ngẫu nhiên được thiết kế để tăng chiều dài của mục được băm, làm cho bảng cầu vồng trở nên quá lớn để tính toán một cách hiệu quả.

Nhắc tới muối ta không thể gợi nhớ đến các món ăn của “thánh” Salt Bea qua video tổng hợp của một Youtuber tại https://www.youtube.com/watch?v=FaLUtKngedw

Mẹo thi Salt là một tập hợp các ký tự ngẫu nhiên được thiết kế để tăng độ dài của vật phẩm được băm. Nó là một cách phòng thủ hiệu quả trước các cuộc tấn công bằng bàn cầu vồng. Xem thêm về bảng cầu vồng https://www.youtube.com/watch?v=G8RUz4CSeXY

Plaintext/Unencrypted

Mật khẩu được lưu trữ có thể được truy xuất. Bất cứ lúc nào hệ thống có thể gửi cho bạn một bản sao mật khẩu của bạn, đó là một vấn đề bảo mật. Các cuộc tấn công bằng mật khẩu văn bản rõ ràng là những cuộc tấn công nhằm vào những vấn đề cụ thể này. Đừng để bất cứ ai nghĩ rằng đây chỉ là vấn đề từ các hệ thống hoặc chương trình giả mạo, ngay cả các hệ thống chính thống cũng có thể rơi vào bẫy này. Microsoft cho phép quản trị viên đẩy ra mật khẩu cho các tài khoản cục bộ thông qua các tùy chọn chính sách nhóm. Để bảo vệ mật khẩu, chúng được mã hóa bằng Tiêu chuẩn mã hóa nâng cao (AES). Vì lý do tương thích với các hệ thống khác, Microsoft đã xuất bản key và gây ra sự cố.

Trong các hệ thống Microsoft Windows, Mimikatz là một công cụ bảo mật có thể trích xuất các vé Kerberos từ bộ nhớ, và nó cũng có khả năng trích xuất mật khẩu bản rõ từ các kết xuất quy trình của quy trình LSASS. Điều này có nghĩa là bằng cách sử dụng các công cụ bảo mật ProcDump và Mimikatz, người ta có thể thu thập mật khẩu văn bản rõ từ một hệ thống.

Xem thêm bài viết sau https://cehvietnam.com/2021/04/09/metasploit-cho-pentester-mimikatz/

Mẹo thi Hãy chắc chắn rằng bạn đã quen thuộc với các cuộc tấn công khác nhau, bao gồm spraying, dictionary, brute force, rainbow tables,             và plaintext/unencrypted. Hiểu chúng khác nhau như thế nào và cách nhận biết từng cuộc tấn công.

Physical Attack

Hầu hết các cuộc tấn công được liệt kê trong chương cho đến thời điểm này là các cuộc tấn công logic ở chỗ chúng đang tấn công hệ thống từ góc độ logic máy tính. Chương 1, “Kỹ thuật Kỹ thuật xã hội”, đề cập đến các cuộc tấn công kỹ thuật xã hội — các cuộc tấn công được thiết kế để khiến người dùng thực hiện các hành động dẫn đến việc lộ ra lỗ hổng. Một loại tấn công khác, tấn công vật lý, xảy ra khi một phần tử vật lý như ổ đĩa flash được để cho ai đó sử dụng. Hành động sử dụng các thiết bị vật lý “bình thường” này bắt đầu một chuỗi tấn công.

Tham khảo https://www.youtube.com/watch?v=aP8yrkkLWlM

Malicious Universal Serial Bus (USB) Cable (Cáp nối tiếp đa năng độc hại (USB))

Hầu hết người dùng xem cáp USB chỉ là một sợi dây, nhưng trên thực tế, cáp USB có thể có các thiết bị điện tử nhúng trong đó. Cáp “nhiễm độc” đã được tìm thấy cùng với các thiết bị điện tử có thể đưa phần mềm độc hại vào máy móc. Điều này đã được tìm thấy trong cả cáp USB thông thường và cáp Lightning cho các thiết bị của Apple. Cáp demo thậm chí đã được thực hiện với các thiết bị Wi-Fi nhúng, cho phép tấn công mạng Wi-Fi từ chính cáp.

Sau đây là một minh họa từ trùm hacker Kevin Miknik https://www.youtube.com/watch?v=YjQhS_95t7s