Differences

This shows you the differences between two versions of the page.

--- lehrkraefte:blc:informatik:glf20:hackme [2021/06/17 06:38] – Ivo Blöchliger
+++ lehrkraefte:blc:informatik:glf20:hackme [2023/06/13 13:29] (current) – [Weitere Ideen] Ivo Blöchliger
@@ Line 1: / Line 1: @@
+===== Schlechte Passwörter, ungesicherte Server =====
+Ihr Ziel ist es, die Passwörter zu knacken und so Zugang zur Webseite zu erhalten.
+Dazu gibt es 4 Challenges, wobei die letzte nur einem Programm gelöst werden kann.
+**Wichtig: Verwenden Sie keine eigenen Passwörter für die Übung! Die werden alle im Klartext übermittelt gehen unverschlüsselt in die Server-Logs...**
+Die Challenges müssen in der Reihenfolge gelöst werden. Bei der Lösung einer Challenge erhalten Sie den Link auf die nächste Challenge. Wenn Sie eine Challenge gelöst haben, speichern Sie die URL (das was in der Adresszeile vom Browser steht) in eine .txt-Datei.
+Start hier: https://tech-lab.ch/hackme/
+==== Infos zu Challenge 1 ====
+Wir möchten uns natürlich nicht als einfacher User, sondern als Benutzer mit Administrator-Rechten einloggen...
+<hidden>
+So praktisch Standardpasswörter bei der Inbetriebnahme auch sind, diese müssen unbedingt geändert werden. Insbesondere für den Benutzer //admin//.
+Mehr zu Standardpasswörtern: https://www.computerweekly.com/de/definition/Standardpasswort-Default-password
+</hidden>
+==== Infos zu Challenge 2 ====
+<hidden>
+Passwörter im Klartext speichern geht gar nicht. Und dazu diese noch öffentlich zugänglich rumliegen lassen ist ganz schlecht. Und die URL im Browser darf natürlich angepasst werden...
+</hidden>
+==== Infos zu Challenge 3 ====
+<hidden>
+Anstatt die Passwörter sollten Prüfsummen (sogenannte Hashes) gespeichert werden. Aber nicht nur einfach den Hash davon, sondern der muss mindestens noch gesalzen werden, d.h. das Passwort muss erst noch mit einer zufälligen Zeichenkette “gesalzen”, d.h. verlängert werden. Der entstehende Hash und das “Salz” werden dann gespeichert. Damit ist die direkte Entschlüsselung über Tabellen nicht möglich.
+</hidden>
+==== Infos zu Challenge 4 ====
+<hidden>
+Wenn man (sehr optimistisch) davon ausgeht, dass nur 10% der Leute unsichere Passwörter haben, könnte man durch Probieren ziemlich schnell einige Passwörter in einer Organisation "knacken".
+Um einen solchen Angriff auf die HackMe-Seite zu fahren, ist man auf ein Programm angewiesen, das alle Passwörter durchprobiert. Im folgenden finden Sie ein Programm-Skelett, das die wichtigsten Funktionen bereits enthält. Dazu brauchen Sie die Passwort-Datei zu entpacken und im gleichen Ordner wie das folgende Programm zu speichern:
+<code python>
+import socket
+import ssl
+import urllib.parse
+# Dowload einer url (ohne https://tech-lab.ch)
+# z.B. /hackme/c4.php?user=hans&pass=muster
+def download(url):
+    host = "tech-lab.ch"
+    port = 443
+    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
+    s.connect((host , port))
+    s = ssl.wrap_socket(s)
+    request = "GET " + url + " HTTP/1.1\r\nHost: " + host + "\r\n\r\n"
+    s.sendall(bytes(request, "utf8")
+    reply = s.recv(4096)
+    s.close()
+    return str(reply)
+# Passwoerter einlesen
+file1 = open('john.txt', 'r')
+pws = map(lambda x : urllib.parse.quote(x.rstrip()), file1.readlines())
+file1.close()
+# Passwoerter alle durchgehen
+for pw in pws:
+    # Die URL ist zu vervollstaendigen (aus einem login-Versuch kopieren)
+    url = "/hackme/c4.php..... " + pw + "....."
+    print(url)
+    # Den HTML-Code vom login-Versuch herunterladen
+    reply = download(url)
+    # HTML-Code analysieren:
+    if not ("Passwort falsch" in reply):
+        print("Hooray! "+pw)
+        exit()
+    else:
+        print("nope "+pw);
+    exit()  # Nur ein Versuch, bis alles richtig läuft... dann diese Zeile loeschen
+</code>
+</hidden>
+===== XSS =====
+XSS steht für Cross-Site-Scripting und bezeichnet Angriffe, bei denen HTML- oder JavaScript-Code in eine fremde Seite eingeschleust werden können. Das ist darum problematisch, weil so vertrauenswürdige Seiten Dinge anzeigen können, die nicht vorgesehen sind, wie z.B. eine login-Maske, um Passwörter zu stehlen. So eine Lücke wurde im z.B. im alten Nesa-System gefunden.
+Folgende Seite ist für XSS-Angriffe verwundbar:
+  * https://tech-lab.ch/hackme/xss.php
+Folgende Challenges:
+  * Erreichen Sie, dass irgendetwas auf der Seite rot erscheint oder dass ein Bild auf der Seite angezeigt wird.
+  * Erreichen Sie, dass der Hintergrund der gesamten Seite rot wird.
+  * Erreichen Sie, dass eine Warnbox mit dem Text "XSS" erscheint.
+Posten Sie die Ihre verschiedenen URLs, die den XSS-Angriff demonstrieren auf Teams.
+  * https://tech-lab.ch/hackme/xss.php?search=%3Cscript%3Ewindow.addEventListener%28%27load%27%2C+%28%29%3D%3Edocument.body.innerHTML%3D%22nichts+mehr+da%22%29%3C%2Fscript%3E
+==== Weitere Ideen ====
+<hidden nur Notizen für die Lehrkräfte>
+  * Office-Macros: https://www.youtube.com/watch?v=2tVE79T09Zg
+</hidden>