Merhaba TürkHackTeam Üyeleri.
Bu Konumda Sizlere Sadece Bir Word Belgesi İle Windows'un Kimlik Bilgisinin Nasıl Çalınabileceğini Göstereceğim.
Konu İçeriği
➤ Kısaca NTLM Nedir?
➤ Word Belgesi İle Kimlik Bilgisi Nasıl Çalınır?
Kısaca NTLM Nedir?
Açılımı NT Lan Manager olan NTLM, Windows ağında kimlik doğrulama işlemini gerçekleştiren bir güvenlik paketidir. Windows cihazlarda kimlik doğrulama işlemlerinde Kerberos ve NTLM kullanılır. Bir web sitesine erişmeye çalıştığınızda site size "kimsin?" diye sorar. Sitenin bu sorusuna NTLM ve Kerberos sistemlerinde farklı şekilde cevap verilir. NTLM sisteminde direk kullanıcı adı ve şifre bilgisi istenir ve siz direk olarak kullanıcı adı ve şifre bilgisini siteye verirsiniz. Kerberos da ise direk kullanıcı adı ve şifre bilgisi istenmez. Önceden belirlenmiş token/session key istenir. Sizde önceden aldığınız token/session key i siteye verirsiniz. Bundan dolayıda Kerberos daha güvenlidir. NTLM'in bu sisteminden dolayı ortaya bir zafiyet çıkmaktadır.
Bu konumda bu zafiyetden Word belgesi aracılığıyla yararlanarak hedefin Windows kimlik bilgisine erişeceğiz. Microsoft Word de dış bağlantılardan gelen resimleri ekleme gibi bir özellik vardır. Bu özellik sayesinde biz bu zafiyetimizi pratiğe dökebiliyoruz. Ve bunu yaparken hiçbir güvenlik protokolü bunu farkedemiyor. Zira aslında yaptığımız şey Word'ün bir özelliğini kullanmak oluyor. Windows Defender veya başka antivirüsler veya korumalar da bu durumu normal karşılayıp yapmak istediğimiz şeye gönül rahatlığıyla izin veriyor.
Yapacağımız şeyden kısaca bahsedecek olursak öncelikle WordSteal aracı ile hedefin kimlik bilgisine erişmemizi sağlayacak olan .rtf uzantılı normal bir Word dosyası oluşturacağız. Akabinde oluşan bu Word dosyasını hedef bilgisayarda çalıştıracağız ve çalışınca hedef bilgisayarın kimlik bilgileri bize düşecek. Son olarak da hashli olan bu kimlik bilgelerini kırarak hedefin kimlik bilgilerine erişeceğiz. Tabi bu Word dosyasını hedef cihazda çalıştırdığımızda her şey normalmiş gibi çalışacak ve Windows Defender veya başka bir koruma buna engel olmayacak. Word dosyası da normal bir Word dosyası gibi açılıp kullanıcı da resim gözükecek.
Daha fazla uzatmadan nasıl yapılacağına geçelim..
Word Belgesi İle Kimlik Bilgisi Nasıl Çalınır?
» Öncelikle GNU/Linux cihazımızda terminale aşağıdaki kodu yazarak WordSteal aracını cihazımıza kuruyoruz.
Kod:
git clone https://github.com/0x09AL/WordSteal
» Akabinde cd komutu ile aracımızın klasörüne giriş yapıyoruz.
Kod:
cd WordSteal/
» Sonrasında IP adresimize bakmak için terminale aşağıdaki komutu giriyoruz.
Kod:
ifconfig
» Gördüğünüz gibi benim IP adresim 192.168.1.58 miş. Şimdi aşağıdaki komutu çalıştırarak aracımızı çalıştırıyoruz.
Kod:
python main.py deneme.jpeg 1
» Bağlantımız açıldı ve WordSteal klasörüne .rtf uzantılı Word dosyamız oluştu.
» Şimdi bu dosyayı hedef cihazımıza atıyoruz. Ve o cihazda bu Word dosyasını çalıştırıyoruz. Zaten dediğim gibi Windows bunu normal bir Word dosyası gibi açacaktır ve herhangibir engel koymayacaktır.
» Dosyayı hedef cihazımızda açınca toolumuz NTLM hashlerini yakalayıp kaydedecektir. WordSteal klasörümüze yakalanan kullanıcı adı, parola ve NTLM hashlerinin tutulduğu password isminde bir dosya kaydedilecektir.
» Şimdi ise bu hashli dosyayı John The Ripper aracı ile kıralım. Bunun için aşağıdaki komutu çalıştırmamız yeterlidir. John aracımız kısa sürede hashi kırıp bize hedefin kimlik bilgilerini verecektir. Ve böylelikle hedefin kimlik bilgilerine erişmiş olduk.
Kod:
john passwords_netntlmv2
Okuduğunuz İçin Teşekkür Ederim.
Esenlikle Kalın..
Saygılarımla:Smiley1021:
