建站
咨詢
售后
建站咨詢
新聞中心
網(wǎng)絡(luò)攻擊者如何利用泄露的憑據(jù)?可以通過(guò)想象合理的攻擊場(chǎng)景來(lái)回答這個(gè)問(wèn)題。第一種情況：在Docker映像中找到RSA私鑰。
輝縣網(wǎng)站制作公司哪家好，找創(chuàng)新互聯(lián)公司！從網(wǎng)頁(yè)設(shè)計(jì)、網(wǎng)站建設(shè)、微信開(kāi)發(fā)、APP開(kāi)發(fā)、響應(yīng)式網(wǎng)站等網(wǎng)站項(xiàng)目制作，到程序開(kāi)發(fā)，運(yùn)營(yíng)維護(hù)。創(chuàng)新互聯(lián)公司自2013年創(chuàng)立以來(lái)到現(xiàn)在10年的時(shí)間，我們擁有了豐富的建站經(jīng)驗(yàn)和運(yùn)維經(jīng)驗(yàn)，來(lái)保證我們的工作的順利進(jìn)行。專注于網(wǎng)站建設(shè)就選創(chuàng)新互聯(lián)公司。
安全服務(wù)商不僅會(huì)剖析網(wǎng)絡(luò)攻擊者可以做些什么來(lái)獲取憑據(jù)，還會(huì)剖析他們?cè)讷@得初始訪問(wèn)權(quán)限后會(huì)做些什么，并介紹不同的威脅場(chǎng)景，講述黑客的攻擊故事，而這些故事或者基于真實(shí)事件，或者是合理的理論。
查找泄露的TLS私鑰
對(duì)于這種威脅場(chǎng)景，將探索嵌入到容器映像中的秘密的潛在濫用;特別是TLS證書(shū)中使用的RSA私鑰。在這一場(chǎng)景中，Poor Corp公司使用Docker Hub來(lái)公開(kāi)托管他們的容器鏡像。黑客掃描Docker Hub的圖像以查找在構(gòu)建過(guò)程中添加到容器中的秘密。就在那時(shí)，他們偶然發(fā)現(xiàn)了Poor Corp公司的原有的GitLab容器鏡像。
黑客發(fā)現(xiàn)了幾個(gè)添加到圖像層的文件，擴(kuò)展名為.crt和.key。當(dāng)黑客下載圖像并檢查.key文件的內(nèi)容時(shí)，他們會(huì)看到以下內(nèi)容：
-----BEGIN RSA PRIVATE KEY-----
... (valid key contents) ...
-----END RSA PRIVATE KEY-----
然后，黑客檢查證書(shū)。該證書(shū)是通配符TLS證書(shū)，對(duì)Poor Corp公司域的所有子域均有效。在構(gòu)建GitLab映像時(shí)，Poor Corp公司添加了他們的TLS證書(shū)和私鑰，以便企業(yè)的開(kāi)發(fā)人員能夠從內(nèi)部網(wǎng)絡(luò)外部訪問(wèn)GitLab。
偽裝成Poor Corp公司
既然黑客有了通配符證書(shū)，他們就可以冒充Poor Corp公司的域。但是要做到這一點(diǎn)，他們還需要將Poor Corp公司的一個(gè)子域訪問(wèn)黑客控制的計(jì)算機(jī)。是時(shí)候進(jìn)行一些DNS篡改了。
黑客有幾個(gè)不同的選擇。如果Poor Corp是像谷歌這樣的知公司，黑客可以帶著WiFi Pineapple(這是一個(gè)使網(wǎng)絡(luò)攻擊者能夠通過(guò)設(shè)置惡意無(wú)線接入點(diǎn)竊取用戶數(shù)據(jù)的設(shè)備)去繁忙的地方，并欺騙他們的單點(diǎn)登錄(SSO)在強(qiáng)制門(mén)戶中。任何連接到惡意設(shè)備的人都會(huì)看到他們的憑據(jù)被盜。不幸的是，對(duì)于黑客來(lái)說(shuō)，Poor Corp公司并沒(méi)有像谷歌那樣普遍用于身份驗(yàn)證。相反，黑客發(fā)現(xiàn)了一個(gè)不同的攻擊媒介：子域接管。
知道他們可以欺騙Poor Corp公司的任何子域之后，黑客立即開(kāi)始檢查Poor Corp.公司域上的所有DNS記錄。很快，他們找到了一條指向GitHub頁(yè)面的A記錄(“A”代表“地址”)。Poor Corp公司最近從GitLab遷移到了GitHub，他們將演示網(wǎng)站的代碼放在GitHub存儲(chǔ)庫(kù)中，并與GitHub頁(yè)面一起發(fā)布。
Poor Corp公司刪除了他們的GitHub 頁(yè)面測(cè)試存儲(chǔ)庫(kù)，但忘記清理指向它的DNS記錄。黑客啟動(dòng)了一個(gè)新的GitHub帳戶，創(chuàng)建了Poor Corp公司的SSO的克隆，添加了泄露的TLS證書(shū)和密鑰，并在GitHub頁(yè)面上發(fā)布了該克隆。當(dāng)他們?cè)O(shè)置GitHub頁(yè)面時(shí)，他們將其配置為具有廢棄A記錄的子域?，F(xiàn)在，網(wǎng)絡(luò)攻擊者控制了Poor Corp公司的子域，并且擁有了一個(gè)有效的TLS證書(shū)。
使用SSO克隆，黑客向Poor Corp公司的幾個(gè)IT管理員發(fā)送了一封魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)電子郵件。兩位管理員都在有效域中被欺騙，并且網(wǎng)絡(luò)攻擊者現(xiàn)在在Poor Corp公司的網(wǎng)絡(luò)中擁有特權(quán)憑據(jù)。從那里開(kāi)始，網(wǎng)絡(luò)攻擊者可以在網(wǎng)絡(luò)中隱藏并尋找高價(jià)值目標(biāo)，同時(shí)偽裝成管理員。最終，黑客可以竊取Poor Corp公司的寶貴數(shù)據(jù)并部署勒索軟件。
吸取的教訓(xùn)
現(xiàn)在介紹了完整的場(chǎng)景，以下了解哪里出了問(wèn)題。
首先是泄露的TLS私鑰。Poor Corp公司將他們的通配符證書(shū)添加到他們的GitLab映像中，但他們認(rèn)為一旦發(fā)布在Docker Hub上，任何人無(wú)法從Docker映像中竊取私鑰。與其在構(gòu)建容器時(shí)將敏感文件和硬編碼環(huán)境變量添加到容器中，Poor Corp公司應(yīng)該使用運(yùn)行時(shí)環(huán)境變量和掛載的卷來(lái)將秘密傳遞到容器中，Git Guardian的機(jī)密檢測(cè)CLIggshield已經(jīng)用于掃描Docker映像的命令。如果人們發(fā)現(xiàn)自己也犯了這個(gè)錯(cuò)誤，則需要立即撤銷任何暴露的證書(shū)或憑證。
Poor Corp公司做錯(cuò)的另一件事是忘記了被遺棄的GitHub Pages DNS記錄。在GitHub頁(yè)面上發(fā)布的站點(diǎn)將始終使用相同的IP地址：
- 185.199.108.153
- 185.199.109.153
- 185.199.110.153
- 185.199.111.153
當(dāng)A記錄指向GitHub頁(yè)面時(shí)，對(duì)該子域的任何請(qǐng)求都將轉(zhuǎn)到GitHup repo配置的子域。由于Poor Corp公司放棄了其GitHub頁(yè)面存儲(chǔ)庫(kù)，它為黑客敞開(kāi)了大門(mén)，讓他們可以創(chuàng)建自己的具有相同子域的域。子域接管并不是什么新鮮事，隨著技術(shù)的發(fā)展，總會(huì)有新的方法來(lái)利用它們。使公共DNS記錄保持最新始終是至關(guān)重要的。
希望這個(gè)場(chǎng)景能讓用戶在自己的運(yùn)營(yíng)環(huán)境中進(jìn)行一些調(diào)查，并激發(fā)對(duì)容器和代碼安全性的興趣。暴露的憑證是威脅參與者的一個(gè)巨大的初始訪問(wèn)向量。作為防御者，需要了解憑據(jù)可能被泄露的新方式，并且還需要領(lǐng)先于攻擊者，切斷他們?cè)诎l(fā)現(xiàn)泄露的機(jī)密后可能采取的攻擊途徑。
標(biāo)題名稱：像黑客一樣思考進(jìn)而防患于未然
當(dāng)前網(wǎng)址：http://www.5511xx.com/article/dhohhop.html
