ASIX/M16/UF2/EX2 - Historial de revisió

Guillem: Guillem ha mogut M16/UF2/EX2 a ASIX/M16/UF2/EX2 sense deixar una redirecció: Crear subnivell ASIX

2020-04-15T11:33:29Z

Guillem ha mogut M16/UF2/EX2 a ASIX/M16/UF2/EX2 sense deixar una redirecció: Crear subnivell ASIX

2019-02-28T17:17:48Z

Prova de funcionament

2019-02-28T17:16:43Z

Prova de funcionament

2019-02-28T17:11:50Z

Prova de funcionament

2019-02-28T16:58:42Z

Instruccions

2019-02-28T16:58:25Z

Prova de funcionament

2019-02-28T16:45:09Z

Prova de funcionament

2019-02-28T16:44:52Z

Instruccions

2019-02-28T16:41:22Z

Procediment

2019-02-28T16:21:12Z

Procediment

@@ Línia 164: / Línia 164: @@
 ====Prova de funcionament====
 Des del Kali Linux mateix podem provar d'obrir una sessió SSH al servidor normalment
 <source>
@@ Línia 174: / Línia 175: @@
 Ara bé, si prèviament fem la seqüència de ''knock'' correcta, podrem obrir una sessió sense problemes.
 Primer executarem ''nmap'' en els ports concrets en l'ordre concret sense paràmetres (per defecte usa SYN)
 <source>
@@ Línia 229: / Línia 231: @@
 </source>
 Paral·lelament, si des del propi servidor mirem els logs que genera ''knockd'' mentre s'executa (desat a <code>/var/log/knockd.log</code> podem veure el comportament des que s'arrenca el servei de ''port-knocking'', el registre de cada etapa detectada (''stage'') i la comanda que executa per a permetre la connexió SSH durant 10 segons. Una vegada passat el ''cmd_time-out'', executa la comanda d'IPTables per a eliminar la regla de permetre la connexió SSH. Tot i així, com que hi ha una política que preval que permet connexions ja establertes, la connexió llançada no es tancarà fins que nosaltres fem un ''logout'' des del client.
 <source>

@@ Línia 173: / Línia 173: @@
 Ara bé, si prèviament fem la seqüència de ''knock'' correcta, podrem obrir una sessió sense problemes.
 <source>
 ###########
@@ Línia 218: / Línia 220: @@
 </source>
 <source>
 root@kali-gsb:~# ssh root@10.16.2.10
@@ Línia 226: / Línia 229: @@
 </source>
 <source>
 [2019-02-28 18:06] starting up, listening on eth1
 [2019-02-28 18:07] 10.16.2.11: opencloseSSH: Stage 1
 [2019-02-28 18:07] 10.16.2.11: opencloseSSH: Stage 2
@@ Línia 237: / Línia 240: @@
 [2019-02-28 18:07] 10.16.2.11: opencloseSSH: command timeout
 [2019-02-28 18:07] opencloseSSH: running command: /usr/sbin/iptables -D INPUT -s 10.16.2.11 -p tcp --dport ssh -j ACCEPT
 </source>

@@ Línia 172: / Línia 172: @@
 Ens farà un ''timeout'' perquè el Firewall del servidor està aplicant la regla política de DROP dels paquets; ja que en aquest moment no hi ha cap regla per a permetre connexions entrants pel port 22 del servidor.
-Ara bé, si prèviament fem la seqüència de ''knock'' correcta, podrem obrir una sessió sense problemes. Utilitzarem un ''one-liner'' per a anar tocant els ports corresponents que hem definit a la configuració
+Ara bé, si prèviament fem la seqüència de ''knock'' correcta, podrem obrir una sessió sense problemes.
 <source>
-for x in 1234 5678 9101; do nmap -Pn --host_timeout 201 --max-retries 0 -p $x 10.16.2.10; done
+###########
 </source>

@@ Línia 139: / Línia 139: @@
 [options]
          UseSyslog
 [opencloseSSH]
          sequence      = 1234,5678,9101
          seq_timeout   = 15
          tcpflags      = syn
          start_command = /usr/sbin/iptables -I INPUT 1 -s %IP% -p tcp --dport ssh -j ACCEPT
          cmd_timeout   = 10

← Versió més antiga		Revisió del 16:58, 28 feb 2019
Línia 163:		Línia 163:

	====Prova de funcionament====		====Prova de funcionament====
		+	Des del Kali Linux mateix podem provar d'obrir una sessió SSH al servidor normalment
		+	<source>
		+	ssh root@10.16.2.10
		+	^C
		+	</source>
		+
		+	Ens farà un ''timeout'' perquè el Firewall del servidor està aplicant la regla política de DROP dels paquets; ja que en aquest moment no hi ha cap regla per a permetre connexions entrants pel port 22 del servidor.
		+
		+	Ara bé, si prèviament fem la seqüència de ''knock'' correcta, podrem obrir una sessió sense problemes. Utilitzarem un ''one-liner'' per a anar tocant els ports corresponents que hem definit a la configuració
		+	<source>
		+	for x in 1234 5678 9101; do nmap -Pn --host_timeout 201 --max-retries 0 -p $x 10.16.2.10; done
		+	</source>

← Versió més antiga	Revisió del 11:33, 15 abr 2020
(Cap diferència)

← Versió més antiga		Revisió del 16:44, 28 feb 2019
Línia 150:		Línia 150:

	Veiem com definim la '''seqüència''' de ports que s'han de "tocar" per a fer saltar l''''''start_command''''' i que hi ha un màxim de 15 segons per a fer això enviant paquets amb el ''flag'' de SYN activat. Una vegada es compleix aquesta regla, s'insereix (diferència -I amb -A) una regla nova a IPTables per tal d'obrir el port SSH NOMÉS per a l'adreça IP que ha fet el ''knock''. Al cap de 10 segons, s'elimina la regla; però la sessió SSH no s'interromprà perquè hi ha la regla d'ACCEPT per a les connexions que estiguin en estat ESTABLISHED.		Veiem com definim la '''seqüència''' de ports que s'han de "tocar" per a fer saltar l''''''start_command''''' i que hi ha un màxim de 15 segons per a fer això enviant paquets amb el ''flag'' de SYN activat. Una vegada es compleix aquesta regla, s'insereix (diferència -I amb -A) una regla nova a IPTables per tal d'obrir el port SSH NOMÉS per a l'adreça IP que ha fet el ''knock''. Al cap de 10 segons, s'elimina la regla; però la sessió SSH no s'interromprà perquè hi ha la regla d'ACCEPT per a les connexions que estiguin en estat ESTABLISHED.
		+
		+
		+	Activarem el servei creant l'arxiu <code>/etc/default/knockd</code> i posant el següent contingut
		+	<source>
		+	START_KNOCKD=1
		+	</source>
		+
		+	Després d'això, el podem posar en marxa com qualsevol altre servei
		+	<source>
		+	systemctl start knockd
		+	</source>
		+
		+	=====Prova de funcionament=====

@@ Línia 91: / Línia 91: @@
 :*Posa't una contrasenya d’aquelles que pots trobar fàcilment en qualsevol llista i executa l’script nmap per esbrinar la contrasenya SSH. T’ha funcionat?
 ====Procediment====
 Per a poder aplicar un sistema de ''port knocking'' al nostre servidor de prova, haurem d'instal·lar el programari <code>knockd</code> que ens facilitarà la configuració de regles per a poder aconseguir l'objectiu.
 Per a l'exemple d'aquest exercici farem servir combinacions relativament simples; però en un cas en un entorn de proves o productiu podríem fer servir seqüències més difícils d'endevinar o fins i tot més llargues per a dissuadir possibles atacants i mitigar els intents d'accés per SSH mitjançant força bruta.

← Versió més antiga		Revisió del 16:21, 28 feb 2019
Línia 91:		Línia 91:
	:*Posa't una contrasenya d’aquelles que pots trobar fàcilment en qualsevol llista i executa l’script nmap per esbrinar la contrasenya SSH. T’ha funcionat?		:*Posa't una contrasenya d’aquelles que pots trobar fàcilment en qualsevol llista i executa l’script nmap per esbrinar la contrasenya SSH. T’ha funcionat?
	====Procediment====		====Procediment====
		+	Per a poder aplicar un sistema de ''port knocking'' al nostre servidor de prova, haurem d'instal·lar el programari <code>knockd</code> que ens facilitarà la configuració de regles per a poder aconseguir l'objectiu.
		+
		+	Per a l'exemple d'aquest exercici farem servir combinacions relativament simples; però en un cas en un entorn de proves o productiu podríem fer servir seqüències més difícils d'endevinar o fins i tot més llargues per a dissuadir possibles atacants i mitigar els intents d'accés per SSH mitjançant força bruta.