[Owasp-turkey] Kurumsal Ağda NTLM over HTTP Saldırısı

Wed Oct 12 03:12:50 EDT 2011

merhaba,
bilgiguvenligi'nde de okumustum yazinizi aslinda ama simdi uzerine
dusununce...  Onlem olarak SSL cozum degil, credential'larin manuel olarak
girilmesi de kullanisliligi cok dusuruyor ve yine (xss yolu ile gorunmez bir
iframe'de acilan saldirgan proxy NTLM authentication isteginin sadece login
kutucugu gozukuyor, yani kutucuk icindeki domain ismi disinda, ki bu da
guzel bir isim / IP olabilir :), kullanicinin dikkate alabilecegi bisey yok)
cozum olarak gozukmuyor. Baska onlem bilen?

diger versiyonlari var ama mitm ile pass-the-hash tool'u var midir?

Not: kullanicilarin girdigi ntlm, basic,form, kerberos v.b. ile korunan
herhangi bir lokal uygulamada ozellikle stored xss varsa kullaniciya
bilgilerini girebilecegi afilli bir form cikarmak ve (sadece hash degil
username/password) bilgilerini caktirmadan yonlendirmek mumkun...
 bedirhan
11 Ekim 2011 21:34 tarihinde GÃ¶khan Muharremoglu <gokmuh at hotmail.com> yazdÄ±:

>  Merhaba,
>
> Ã‡ok fazla gÃ¶z Ã¶nÃ¼nde olmayan sinsi bir tehditten bahsetmek istiyorum.
>
> NTLM over HTTP ile oturum aÃ§ma yÃ¶ntemi kullanÄ±lan sunucularda, Internet
> Explorer (IWA) tarafÄ±ndan otomatik yollanan NTLM kimlik bilgileri, kÃ¶tÃ¼
> niyetli olarak hazÄ±rlanmÄ±ÅŸ bir Proxy'den geÃ§irilerek yine Intranet altÄ±ndaki
> baÅŸka bir sunucuya yetkisiz eriÅŸim saÄŸlamak iÃ§in kullanÄ±labiliyor.
>
> EÄŸer NTLM over HTTP ile korunan ve kurum aÄŸÄ±nda kullandÄ±ÄŸÄ±nÄ±z kritik Ã¶nem
> taÅŸÄ±yan bir Web UygulamanÄ±z varsa ve bu Web uygulamasÄ±nÄ±n tek kimlik
> doÄŸrulama/oturum aÃ§ma yÃ¶ntemi bu yÃ¶ntem ise, bu durumun Ã¶nemli bir risk
> teÅŸkil ettiÄŸini belirtmek lazÄ±m.
>
> KullanÄ±labilirlik ve gÃ¼venlik dengesi genelde terazimin 2 farklÄ±
> kefesindeki bÃ¼yÃ¼k kalemleri temsil ediyor. KullanÄ±labilirlik iÃ§in Domain
> altÄ±ndaki bir kullanÄ±cÄ±ya Web Ã¼zerinden Ã§ok hÄ±zlÄ± ve ÅŸÄ±k bir eriÅŸim saÄŸlayan
> bu sistem, bu sefer de gÃ¼venlik kefesinde fire vermiÅŸ gibi gÃ¶rÃ¼nÃ¼yor.
>
> AÃ§Ä±k ile ilgili detaylarÄ± aÅŸaÄŸÄ±daki linkte bulabilirsiniz.
>
>
> http://www.bilgiguvenligi.gov.tr/microsoft-guvenligi/ntlm-over-http-evil-proxy-mitm-ve-pass-the-hash-saldirisi.html
>
> GÃ¶khan MUHARREMOÄžLU
>
> _______________________________________________
> Owasp-turkey mailing list
> Owasp-turkey at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>
>

-- 
Bedirhan Urgun
http://www.webguvenligi.org
http://www.owasp.org/index.php/Turkey

TÃ¼rkÃ§e Web Uygulama GÃ¼venliÄŸi E-Posta Listesine Ã¼ye olmak iÃ§in:
https://lists.owasp.org/mailman/listinfo/owasp-turkey
-------------- sonraki bölüm --------------
Bir HTML eklentisi temizlendi...
URL: https://lists.owasp.org/pipermail/owasp-turkey/attachments/20111012/fbc06008/attachment.html 