Cercar a lloc comuns per emmagatzemar credencials #

• Cada sistema/aplicació té un lloc per emmagatzemar les credencials
• Tècniques:
  • Cerca exhaustiva del disc
  • Cercar en sistemes de compartició
    • En LAN
    • Internet
  • Web browser
  • repositoris de codi
  • Windows credential Manager
  • Password Managers

Cerca exhaustiva a disc: Patrons de cerca disc complet #

Powershell (Windows, Linux) #

$ pwsh
PowerShell 7.1.3
Copyright (c) Microsoft Corporation.

https://aka.ms/powershell
Type 'help' to get help.

PS /home/roger/git>

PS /home/roger/git> Get-ChildItem -Recurse | Select-String password

• Eliminar falsos positius

Get-ChildItem -Recurse | Select-String password | sls -NotMatch "falsepositiu, falsepositiu"  

Linux #

 grep -ir password / | grep -v falsepositiu

• Per cercar múltiples patrons els llistes en un fitxer i executes

 grep -Iir patrons.lst /

• Si addcionalment vols separar els falsos dispositius

 grep -Iir patrons.lst / | grep -v -f falsospositius.lst

Taula de patrons #

Extret de cybersecurity Attacks Red Team Strategies (Johann Rehberger)

Cercar a documents d'altres formats #

• Per exemple un docx

strings my.docx | grep -i password

• a windows

strings.exe my.docx | sls password

Cercar contrasenyes wi-fi #

A windows #

• Primer llistar les wifi a les que s'ha connectat

netsh wlan show profile  

• Per cada wifi

netsh wlan show profile  name="nom de la wifi" key=clear

Windows Search #

• A la barra de cerca de windows escriu: "Indexing options"
• Marcar Index Properties and File Contents
• Pots buscar amb el cercador en entorn gràfic
• Exmples de powershells de cerca https://github.com/microsoft/Windows-classic-samples/tree/main/Samples/Win7Samples/winui/WindowsSearch

Apache Lucene and scour #

• Powershell

Install-Module -Name Scour
Initialize-ScourIndex
Search-ScourContent password

Cercar en sistemes de compartició #

• Es poden trobar en llocs esperats i inesperats
• Cerca obvia
  • carpetes compartides, sistemes de fitxers locals, repositoris de codi, històric de la cli
• Altres
  • paste bin, stack overflow o similars (o versions internes)
  • Departaments menys tècnincs (finances, legal, etc) solen deixar contrasenyes al nubol o inclus als seus portàtils en clar (o amb una guia)

Web browser #

repositoris de codi #

• TruffleHog: https://github.com/dxa4481/truffleHog
  • Per cercar a repostioris git

• Sourcegraph és una eina amb entorn gràfic que serveix per cercar patrons a repositoris de codi

docker run --publish 7080:7080 --publish 127.0.0.1:3370:3370 --rm --volume ~/.sourcegraph/config:/etc/sourcegraph --volume ~/.sourcegraph/data:/var/opt/sourcegraph sourcegraph/server:3.33.0

• Navegues a 127.0.0.1:7080
• Afegir repos
• Cercar credencials (paraula password), auth, credencials
• Es pot fer servir com a monitor

Windows credential Manager #

Password Managers #

• Normalment utilitzen una base de dades xifrada que és accessible després d'introduir una contrasenya.

• Una vegada desbloquejada la contrasenya es poden afegir, modificar i copiar contrasenyes.

• Solen tenir un generador de contrasenyes d'alta complexitat. D'aquesta manera l'usuari només ha de saber una contrasenya (la del password manager) i en cada lloc té una contrasenya diferent.

• Les contrasenyes no se solen mirar sinó copiar temporalment a memòria

• Els atacs aquí són tant per força bruta sobre la base de dades tant com d'exploració de memòria

  • Manual crackejar keepass 2

Bbliografia cerca de patrons #

L'apartat de cerca de credencials ha estat elaborat en base al llibre cybersecurity Attacks Red Team Strategies (Johann Rehberger)