意識すること

自問自答すべきこと

Principle

  1. 目に見えるものだけがすべてではない。 あらゆる視点を考慮しろ
  2. 見えていることと、見えていないことを区別しろ
  3. 常に情報を得る手段は存在する。 対象をしっかり理解しろ

方法論

列挙は主に3つに分けられる

レイヤー 説明 注目すべき部分
1. インターネットプレゼンス インターネット上の存在感および外部からアクセス可能なインフラの特定
契約の範囲で追加のホストを探すことができる場合、このレイヤーは固定ターゲットのみよりもさらに重要
 ドメイン、サブドメイン、vHosts、ASN、ネットブロック、IPアドレス、クラウドインスタンス、セキュリティ対策
2. ゲートウェイ 企業の外部・内部インフラを保護するためのセキュリティ対策の特定
到達可能なターゲットのインターフェース、それがどのように保護されているか、およびネットワーク内のどこにあるかを理解する		 ファイアウォール、DMZ、IPS/IDS、EDR、プロキシ、NAC、ネットワークセグメンテーション、VPN、Cloudflare
3. アクセス可能なサービス 外部または内部でホストされているアクセス可能なインターフェイスやサービスの特定
特定の理由でインストールされた特定の目的がある		 サービス種類、機能、構成、ポート、バージョン、インターフェイス
4. プロセス サービスに関連する内部プロセス、送信元、送信先の特定 PID、処理データ、タスク、送信元、送信先
5. 権限 アクセス可能なサービスに対する内部の権限および特権の特定 グループ、ユーザー、権限、制限、環境
6. OSセットアップ 内部コンポーネントおよびシステム設定の特定 OSの種類、パッチレベル、ネットワーク構成、OS環境、設定ファイル、機密性の高いプライベートファイル

インフラベースの列挙

対象

ドメイン情報

オンラインプレゼンス

証明書

curl -s https://crt.sh/\?q\=<DOMAIN>\&output\=json | jq .

正規表現でサブドメインだけも集められる

curl -s https://crt.sh/\?q\=<DOMAIN>\&output\=json | jq . | grep name | cut -d":" -f2 | grep -v "CN=" | cut -d'"' -f2 | awk '{gsub(/\\n/,"\n");}1;' | sort -u > subdomainlist

account.ttn.inlanefreight.com
blog.inlanefreight.com
bots.inlanefreight.com
console.ttn.inlanefreight.com
ct.inlanefreight.com
data.ttn.inlanefreight.com
*.inlanefreight.com
inlanefreight.com
integrations.ttn.inlanefreight.com
iot.inlanefreight.com

サブドメインのリストから、インターネットから直接アクセスできて、会社がホストしているホストを特定できる

for i in $(cat subdomainlist);do host $i | grep "has address" | grep <DOMAIN> | cut -d" " -f1,4;done

blog.inlanefreight.com 10.129.24.93
inlanefreight.com 10.129.27.33

DNSレコード

snowyowl644@htb[/htb]$ dig any inlanefreight.com

; <<>> DiG 9.16.1-Ubuntu <<>> any inlanefreight.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 52058
;; flags: qr rd ra; QUERY: 1, ANSWER: 17, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;inlanefreight.com.             IN      ANY

;; ANSWER SECTION:
inlanefreight.com.      300     IN      A       10.129.27.33
inlanefreight.com.      300     IN      A       10.129.95.250
inlanefreight.com.      3600    IN      MX      1 aspmx.l.google.com.
inlanefreight.com.      3600    IN      MX      10 aspmx2.googlemail.com.
inlanefreight.com.      3600    IN      MX      10 aspmx3.googlemail.com.
inlanefreight.com.      3600    IN      MX      5 alt1.aspmx.l.google.com.
inlanefreight.com.      3600    IN      MX      5 alt2.aspmx.l.google.com.
inlanefreight.com.      21600   IN      NS      ns.inwx.net.
inlanefreight.com.      21600   IN      NS      ns2.inwx.net.
inlanefreight.com.      21600   IN      NS      ns3.inwx.eu.
inlanefreight.com.      3600    IN      TXT     "MS=ms92346782372"
inlanefreight.com.      21600   IN      TXT     "atlassian-domain-verification=IJdXMt1rKCy68JFszSdCKVpwPN"
inlanefreight.com.      3600    IN      TXT     "google-site-verification=O7zV5-xFh_jn7JQ31"
inlanefreight.com.      300     IN      TXT     "google-site-verification=bow47-er9LdgoUeah"
inlanefreight.com.      3600    IN      TXT     "google-site-verification=gZsCG-BINLopf4hr2"
inlanefreight.com.      3600    IN      TXT     "logmein-verification-code=87123gff5a479e-61d4325gddkbvc1-b2bnfghfsed1-3c789427sdjirew63fc"
inlanefreight.com.      300     IN      TXT     "v=spf1 include:mailgun.org include:_spf.google.com include:spf.protection.outlook.com include:_spf.atlassian.net ip4:10.129.24.8 ip4:10.129.27.2 ip4:10.72.82.106 ~all"
inlanefreight.com.      21600   IN      SOA     ns.inwx.net. hostmaster.inwx.net. 2021072600 10800 3600 604800 3600

;; Query time: 332 msec
;; SERVER: 127.0.0.53#53(127.0.0.53)
;; WHEN: Mi Sep 01 18:27:22 CEST 2021
;; MSG SIZE  rcvd: 940

クラウドにおけるセキュリティ

1. 会社が使用しているクラウドを見つけ出す

2. クラウドだったりドメインの情報を引き出す

求人や従業員からの漏洩

Metasploit Framework

素晴らしい一枚絵

Moduleのタイプ

タイプとその説明