HOD402 - Phần 8: Hậu khai thác và di chuyển ngang

Đáp án đúng: "Opens the Task Scheduler". taskschd.msc là snap-in của Microsoft Management Console mở Task Scheduler (bộ lập lịch tác vụ), nơi xem và tạo các tác vụ chạy tự động theo thời gian hoặc theo sự kiện; người kiểm thử lẫn người phòng thủ đều soi nơi này vì tác vụ lập lịch là cơ chế persistence (duy trì truy cập) phổ biến. "Opens the registry editor" sai vì trình sửa registry được mở bằng regedit, không phải taskschd.msc. "Launches PowerShell" sai vì PowerShell khởi chạy bằng powershell.exe hoặc pwsh, là một shell dòng lệnh chứ không phải bảng điều khiển MMC. "Displays user accounts" sai vì quản lý tài khoản cục bộ dùng lusrmgr.msc hoặc lệnh net user; Task Scheduler chỉ cho biết tác vụ chạy dưới tài khoản nào, không phải công cụ quản lý người dùng.

Đáp án đúng gồm ba ý: "PowerSploit", "WinRM" và "Empire". Living off the land (sống nhờ tài nguyên sẵn có) là kiểu hậu khai thác dùng chính các thành phần hợp lệ của Windows như PowerShell, WMI hay dịch vụ quản trị từ xa, nên hoạt động hòa lẫn vào việc quản trị bình thường và khó bị phát hiện. "PowerSploit" là bộ mô-đun PowerShell, "Empire" là khung hậu khai thác chạy tác tử PowerShell, còn "WinRM" là dịch vụ quản trị từ xa có sẵn trong Windows; cả ba đều dựa vào thành phần gốc của hệ điều hành. "Twittor" là công cụ điều khiển và chỉ huy (C2) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, tức dựa vào dịch vụ bên ngoài chứ không phải công cụ sẵn có của hệ thống. "Socat" là tiện ích chuyển tiếp dữ liệu giữa hai kênh, phải mang vào máy nạn nhân. "WMImplant" là công cụ PowerShell khai thác WMI, nhưng trong nhóm này nó được xếp như một implant (cấy ghép) do kẻ tấn công đưa vào chứ không phải thành phần quản trị gốc nên không thuộc ba ý được chọn.

Đáp án đúng gồm hai ý: "pwd" và "cat". Meterpreter (payload tương tác của Metasploit chạy trong bộ nhớ máy mục tiêu) cung cấp một số lệnh mô phỏng shell Unix để thao tác hệ tệp, trong đó "pwd" in thư mục làm việc hiện tại và "cat" hiển thị nội dung một tệp, đúng như chức năng của hai lệnh cùng tên trên Linux. "hashdump" là lệnh riêng của Meterpreter dùng để trích xuất các giá trị băm mật khẩu từ cơ sở dữ liệu SAM của Windows, Linux không có lệnh gốc nào như vậy. "clearev" cũng là lệnh riêng của Meterpreter, xóa nhật ký sự kiện (event log) Application, System và Security trên Windows, một hành vi xóa dấu vết mà đội phòng thủ nên giám sát bằng cách chuyển nhật ký sang máy chủ tập trung. "resource" dùng để chạy lần lượt các lệnh ghi sẵn trong một tệp resource script của Metasploit, không phải lệnh chuẩn của shell Linux.

Đáp án đúng: "Empire". Empire là khung hậu khai thác (post-exploitation framework) mã nguồn mở viết trên PowerShell và Python, cung cấp sẵn các module như keylogger, bind shell, reverse shell và kênh liên lạc tuỳ biến giữa agent với máy chủ điều khiển để khó bị phát hiện; người phòng thủ thường săn nó qua nhật ký PowerShell và lưu lượng beacon bất thường. "BloodHound" sai vì đây là công cụ lập đồ thị quan hệ trong Active Directory để tìm đường leo quyền, không phải khung triển khai module hậu khai thác. "Sysinternals" sai vì đó là bộ tiện ích quản trị và chẩn đoán Windows của Microsoft như Process Explorer hay PsExec, không phải framework tấn công. "WMI" sai vì Windows Management Instrumentation là thành phần quản trị có sẵn của Windows; kẻ tấn công có thể lợi dụng nó, nhưng bản thân nó không phải khung mã nguồn mở chứa keylogger hay shell.

Đáp án đúng: "Base64". Trong kỹ thuật đường hầm DNS (DNS tunneling), dữ liệu bị lấy ra được nhúng vào nhãn tên miền của truy vấn hoặc vào bản ghi phản hồi gửi tới máy chủ tên miền do kẻ tấn công kiểm soát; Base64 (hay biến thể base32) biến dữ liệu nhị phân bất kỳ thành chuỗi ký tự in được và giải ngược được, nên phù hợp để chở dữ liệu trong payload DNS. Đội phòng thủ phát hiện bằng cách theo dõi truy vấn có tên dài bất thường, độ ngẫu nhiên cao hoặc tần suất dày tới cùng một miền. "MD5" là hàm băm một chiều, đầu ra không giải ngược được nên người nhận không khôi phục được dữ liệu gốc. "ASCII" chỉ là bảng mã ký tự, bản thân nó không chuyển dữ liệu nhị phân thành dạng an toàn để truyền. "HTML" là ngôn ngữ đánh dấu trang web, không phải phương pháp mã hóa dữ liệu để nhét vào gói DNS.

Đáp án đúng: "It gives a full, interactive GUI of the remote compromised computer.". Remote Desktop (RDP) cho người kiểm thử một phiên giao diện đồ hoạ đầy đủ, tương tác như đang ngồi trước máy đã bị chiếm quyền, điều mà bộ Sysinternals vốn làm việc qua dòng lệnh không có. Các phương án kia mô tả chính khả năng của Sysinternals nên không phải ưu thế của Remote Desktop: "It can upload, execute, and interact with executables on compromised hosts." là việc PsExec làm được khi đẩy và chạy chương trình trên máy từ xa; "It can run commands revealing information about running processes, and services can be killed and stopped." ứng với các tiện ích như PsList, PsKill, PsService để liệt kê tiến trình và dừng dịch vụ; "It can use PsExec to remotely execute anything that can run on a Windows command prompt." nói thẳng tới PsExec, một thành phần của Sysinternals. Với người phòng thủ, cả RDP lẫn PsExec đều là dấu hiệu lateral movement (di chuyển ngang) cần giám sát trong nhật ký đăng nhập.

Đáp án đúng: "PowerShell". PowerShell là shell và ngôn ngữ kịch bản của Windows, vừa chạy được lệnh kiểu CMD cũ vừa bổ sung cmdlet (lệnh dạng Động từ-Danh từ như Get-Process) với khả năng quản trị hệ thống tích hợp sẵn; vì có mặt trên mọi máy Windows nên nó cũng hay bị lạm dụng ở giai đoạn hậu khai thác, và người phòng thủ cần bật ghi nhật ký script block để theo dõi. "Twittor" là công cụ C2 (command and control, chỉ huy và điều khiển) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, không phải tiện ích Windows. "Wsc2" là khung C2 nhỏ dùng WebSocket làm kênh liên lạc. "Socat" là tiện ích chuyển tiếp dữ liệu hai chiều giữa hai kênh như socket, tệp hay cổng, tương tự Netcat, xuất thân từ Unix chứ không phải trình thông dịch kịch bản của Windows.

Đáp án đúng: "BloodHound". BloodHound là ứng dụng web một trang viết bằng JavaScript, dùng lý thuyết đồ thị để vẽ quan hệ giữa người dùng, nhóm, máy tính và quyền trong Active Directory cũng như Microsoft Azure (Entra ID), từ đó lộ ra những đường leo thang đặc quyền phức tạp mà con người khó thấy; đội phòng thủ cũng dùng nó để tìm và cắt bớt các đường nguy hiểm. "Empire" là khung hậu khai thác (post-exploitation framework) dựa trên PowerShell và Python, điều khiển các agent trên máy bị chiếm, không chuyên phân tích đường tấn công dạng đồ thị. "Netcat" là tiện ích dòng lệnh đọc ghi dữ liệu qua kết nối TCP hoặc UDP, hay được gọi là con dao đa năng của mạng, không phải ứng dụng web. "Sysinternals" là bộ tiện ích của Microsoft để quản trị và xử lý sự cố Windows, ví dụ Process Explorer hay PsExec, không dùng để tìm đường tấn công trong Azure.

Đáp án đúng: "Extract and crack service account hashes". Kerberoasting là kỹ thuật hậu khai thác trong Active Directory: một tài khoản miền bất kỳ có thể xin vé dịch vụ Kerberos (TGS) cho các tài khoản dịch vụ có đăng ký SPN, phần vé được mã hoá bằng khoá dẫn xuất từ mật khẩu tài khoản dịch vụ, nên có thể đem ra bẻ khoá ngoại tuyến (offline) để tìm mật khẩu. Phòng thủ là đặt mật khẩu dài ngẫu nhiên hoặc dùng gMSA và giám sát số yêu cầu TGS bất thường. "Bypass firewalls" là mục tiêu né thiết bị phòng thủ mạng, không liên quan tới vé Kerberos. "Modify DNS records" là kiểu tấn công DNS như giả mạo bản ghi để chuyển hướng người dùng. "Redirect SMTP messages" là thao túng luồng thư điện tử, không dính tới cơ chế xác thực Kerberos.

Đáp án đúng: "VLANs". Lateral movement (di chuyển ngang) là việc kẻ tấn công đã vào được một máy rồi lần sang các máy khác trong cùng mạng nội bộ. VLAN chia mạng thành các phân đoạn logic tách biệt, lưu lượng giữa các VLAN phải đi qua thiết bị định tuyến hoặc tường lửa có thể áp quy tắc, nên một máy bị chiếm không dễ chạm tới máy chủ ở phân đoạn khác; đây là biện pháp network segmentation (phân đoạn mạng). "Database backups" giúp phục hồi dữ liệu sau sự cố, ví dụ sau ransomware, nhưng không ngăn kẻ tấn công lan rộng. "VPNs" mã hoá kết nối từ xa vào mạng, bảo vệ kênh truyền chứ không chặn di chuyển bên trong mạng sau khi đã vào. "Strong passwords for user accounts" làm khó việc đoán mật khẩu, nhưng di chuyển ngang thường dùng hash hay vé đã đánh cắp như pass-the-hash, nên mật khẩu mạnh một mình không đủ và cũng không phải biện pháp cấu trúc mạng như câu hỏi hướng tới.

Đáp án đúng: "PsExec". PsExec trong bộ Sysinternals cho phép thực thi tiến trình trên máy Windows từ xa với thông tin xác thực hợp lệ, nhờ đó người kiểm thử có thể chạy lệnh như reg để sửa giá trị registry và kết nối máy đã chiếm được tới máy khác, phục vụ di chuyển ngang (lateral movement). Vì là công cụ quản trị hợp lệ, hoạt động của nó dễ lẫn vào việc vận hành thường ngày. "PsInfo" chỉ thu thập thông tin hệ thống như phiên bản Windows, thời gian chạy và phần cứng. "PsLoggedOn" liệt kê những người dùng đang đăng nhập cục bộ hoặc qua chia sẻ tài nguyên trên một máy. "PsGetSid" hiển thị mã định danh bảo mật (SID) của máy hoặc tài khoản người dùng; cả ba đều là công cụ đọc thông tin, không thực thi lệnh từ xa để thay đổi hệ thống.

Đáp án đúng: "Kerberoasting". Kerberoasting là kỹ thuật hậu khai thác trong Active Directory: một tài khoản miền bất kỳ có thể xin vé dịch vụ Kerberos (TGS) cho các tài khoản dịch vụ có SPN (Service Principal Name); một phần vé được mã hoá bằng khoá suy ra từ mật khẩu của tài khoản dịch vụ, nên kẻ tấn công mang vé ra ngoài để bẻ khoá ngoại tuyến. Cách phòng thủ là đặt mật khẩu tài khoản dịch vụ dài và ngẫu nhiên hoặc dùng gMSA, đồng thời giám sát các yêu cầu vé bất thường. "MITM" là tấn công người đứng giữa, chặn hoặc sửa lưu lượng giữa hai bên. "On-Path attack" là tên gọi mới của chính MITM, cũng không trích xuất hash từ Active Directory. "MAC spoofing" là giả địa chỉ MAC để vượt lọc MAC hay mạo danh thiết bị ở tầng 2, không liên quan vé Kerberos.

Đáp án đúng: "Netcat". Netcat được gọi là con dao đa năng của TCP/IP: một tiện ích nhẹ, dễ mang theo, đọc và ghi dữ liệu qua kết nối TCP hoặc UDP, nên có thể dùng để tạo bind shell (máy nạn nhân mở cổng chờ kết nối) và reverse shell (máy nạn nhân chủ động kết nối ngược về người kiểm thử). Bên phòng thủ phát hiện bằng cách giám sát kết nối ra ngoài bất thường và tiến trình lắng nghe lạ. "WMImplant" là công cụ PowerShell dùng WMI để điều khiển máy Windows từ xa, phụ thuộc vào môi trường Windows chứ không phải tiện ích shell gọn nhẹ đa nền tảng. "WSC2" là khung điều khiển và chỉ huy dùng WebSocket làm kênh liên lạc. "BloodHound" phân tích quan hệ trong Active Directory để tìm đường leo thang đặc quyền, không tạo shell.

Đáp án đúng: "Empire". Empire là khung hậu khai thác dựa trên PowerShell, triển khai các tác tử (agent) liên lạc với máy chủ điều khiển qua kênh mã hóa, có mô-đun duy trì hiện diện (persistence) và chạy được tác tử PowerShell mà không cần gọi tiến trình powershell.exe, giúp né một số cơ chế giám sát. "Veil" là khung tạo payload được làm rối để vượt qua phần mềm diệt virus, phục vụ bước phân phối chứ không phải quản lý tác tử hậu khai thác. "Patator" là công cụ dò mật khẩu đa giao thức theo kiểu vét cạn (brute force), dùng để kiểm tra độ mạnh thông tin xác thực. "Security Onion" là bản phân phối Linux cho phòng thủ, tích hợp công cụ giám sát an ninh mạng, phát hiện xâm nhập và quản lý nhật ký, tức thuộc phía bảo vệ.

Đáp án đúng: "to obfuscate, to evade and to cover the attacker tracks". Steghide là công cụ giấu tin (steganography): nhúng dữ liệu vào tệp ảnh hoặc âm thanh như JPEG, BMP, WAV, có thể kèm mật khẩu, để tệp trông vẫn bình thường; vì vậy nó thuộc nhóm công cụ làm rối, né phát hiện và che dấu vết khi trích xuất hay cất giấu dữ liệu. Đội phòng thủ đối phó bằng giám sát luồng dữ liệu ra ngoài và công cụ phân tích giấu tin. "to modify Windows registry values and to connect a compromised system to another system" mô tả công cụ quản trị registry và kết nối từ xa trên Windows, không liên quan việc giấu dữ liệu trong tệp đa phương tiện. "to find complex attack paths in Microsoft Azure" là chức năng của BloodHound, công cụ vẽ đồ thị quan hệ quyền. "to allow administrators to control a Windows-based computer from a remote terminal" mô tả các công cụ điều khiển từ xa như Remote Desktop hay PsExec, phục vụ quản trị chứ không phải giấu tin.

Đáp án đúng: "PowerShell". Living off the land (sống nhờ tài nguyên sẵn có) là việc kẻ tấn công dùng chính công cụ hợp lệ có trong hệ điều hành để khỏi cài mã độc dễ bị phát hiện; PowerShell là shell và ngôn ngữ kịch bản có sẵn trên Windows, các cmdlet như Get-ChildItem, Copy-Item, Move-Item, Get-Process cho phép liệt kê thư mục, sao chép, di chuyển tệp, xem tiến trình đang chạy và làm hầu hết tác vụ quản trị. Phòng thủ là bật ghi nhật ký script block và giới hạn chế độ ngôn ngữ. "Sysinternals" là bộ công cụ quản trị của Microsoft nhưng phải tải về riêng, không phải thành phần sẵn có của hệ điều hành. "WMI" (Windows Management Instrumentation) cũng có sẵn và dùng được để truy vấn thông tin, chạy lệnh từ xa, nhưng không phải công cụ thao tác tệp và thư mục như mô tả. "BloodHound" là công cụ bên thứ ba vẽ đồ thị quan hệ quyền trong Active Directory để tìm đường leo thang, không phải kỹ thuật living off the land.

Đáp án đúng: "To open a port on the compromised system and wait for a connection". Bind shell là shell mà máy bị chiếm quyền tự mở một cổng lắng nghe và chờ người kiểm thử chủ động kết nối tới; ngược lại reverse shell để máy nạn nhân kết nối ra ngoài. Vì bind shell cần kết nối chiều vào, nó dễ bị tường lửa chặn và dễ bị phát hiện khi rà soát các cổng đang lắng nghe bất thường. "To initiate a connection from the victim to the attacker" chính là định nghĩa của reverse shell, hay được dùng vì tường lửa thường thoáng hơn với kết nối đi ra. "To hide files within image files" là steganography (giấu tin), không liên quan shell. "To encrypt the communication channel" là việc của giao thức như TLS hay SSH; một bind shell cơ bản như qua Netcat thường truyền dữ liệu dạng rõ, mã hoá không phải mục đích chính của nó.

Đáp án đúng: "WinRM". Lệnh Enable-PSRemoting bật tính năng PowerShell Remoting, vốn chạy trên dịch vụ WinRM (Windows Remote Management, quản trị từ xa của Windows): nó khởi động dịch vụ, tạo listener và mở luật tường lửa; cờ -SkipNetworkProfileCheck cho phép bật cả khi mạng ở hồ sơ công cộng, còn -Force bỏ qua hộp xác nhận. Nhờ vậy máy có thể nhận kết nối quản trị từ xa về sau, nên bên phòng thủ cần giám sát việc bật dịch vụ này. "WMImplant" là công cụ PowerShell dựa trên WMI, không phải dịch vụ được bật bằng lệnh này. "BloodHound" là công cụ phân tích quan hệ Active Directory để tìm đường leo thang đặc quyền. "PsExec" là tiện ích Sysinternals thực thi lệnh từ xa qua SMB và dịch vụ tạm thời, không cần Enable-PSRemoting.