WPAD – מה זה? למה זה מסוכן?

WPAD – מה זה? למה זה מסוכן?

Print Friendly, PDF & Email

רקע

פוסט זה הוא חלק מרשימת פוסטים שמקורם בחומר שלמדתי בקורס CEH בג'ון ברייס. קורס זה העשיר את ידיעותיי בתחום אבטחת המידע וההאקינג והפוסטים הללו מהווים סוג של סיכום שיעור.

 

מהות: שירות אוטומטי הקיים בכל דפדפן ומבצע פניה בעת הפעלת הדפדפן לאתר באחד מהשמות הבאים:

http://wpad.department.branch.example.com/wpad.dat

http://wpad.branch.example.com/wpad.dat

http://wpad.example.com/wpad.dat

http://wpad.com/wpad.dat

אם שרת wpad יענה לו באחת מהכתובות הללו הוא ינסה לקבל ממנו את הגדרות הפרוקסי שהוא צריך להשתמש בהן. מטרת השירות הזה היתה לפשט ככל שניתן את היכולת של הגדרת הפרוקסי בתחנות.

 

סיכון: תוקף יכול להגיב לפניות הללו (על ידי הקמת מחשב בשם wpad.domainname.co.il) ולהציג את עצמו כפרוקסי וכך כל הפניות ינותבו דרכו. כך אפשר להזריק כל קוד רצוי לפניות החוזרות מהאתרים האמיתיים וכך, למשל באמצעות beef להשתלט על התחנה שגולשת (למשל בהזרקת exploits) ומשם להשיג גישה מלאה לכל מחשב ברשת.

דוגמא:

בעזרת כלי בשם Responder ניתן לקנפג קובץ בשם responder.conf כדי להחזיר את ה"קובץ" של ה-wpad.dat כך:

הפקודה להזנקת הכלי לאחר הקונפיגורציה שלו היא:

python Responder.py -i 1.1.1.1

על מנת לגרום לתעבורת ה-SSL להיות מפוענחת (Break SSL tunnel) יש להשתמש ב-sslstrip כך:

 

הגנה:

1. ניתן להקים ב-DNS רשומה בשם wpad המפנה ל-127.0.0.1 או לכתובת שלא קיימת

2. ניתן להגדיר רשומה בקובץ host בכל תחנה המפנה את wpad.domainname ל-127.0.0.1 או לכתובת שלא קיימת

3. ניתן להגדיר ב-DHCP רשומה המכילה אופציה מס' 252 (http://technet.microsoft.com/en-us/library/cc940962%28v=ws.10%29.aspx) כך שתפנה ל-127.0.0.1 או לכתובת שלא קיימת

 

דוגמאות ואתרים מומלצים:

http://www.agarri.fr/kom/archives/2013/10/22/exploiting_wpad_with_burp_suite_and_the_http_injector_extension/index.html

http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol

 

השאר תגובה