Bypassing - Session von HTTP Website 'übernehmen' ?

[XsupergurkeX]

Hey Leute,
da ich mich hier im Board noch nicht vorgestellt habe und bis jetzt immer ein stiller Mitleser war erstmal ein freundliches 'hallo' in die Runde.
Ich denke, bei euch bin ich mit meinem Anliegen richtig, also schieß ich mal direkt los:

Die Berufsschule, die ich zur Zeit besuche verwendet eine Software Namens 'MNS+' zur Netzwerkverwaltung. Also Internetfreigaben, Monitore sperren und so weiter. Die Software besteht aus mehreren Modulen, wovon ich eins schon 'überlisten' konnte.
Die Software ist auf jedem Rechner installiert, erscheint bei einer Schüleranmeldung aber nicht auf dem Desktop und lässt sich auch aus dem Programmverzeichnis nicht starten. Mit einem lokalen Admin mit dem Namen eines Lehreres allerdings schon ^^
Es wird also nicht gecheckt, ob der Nutzer auch in def Domäne angemeldet ist.

Allerdings betrifft das nur das Verwaltungsmodul. Damit kann man zwar so lustigen Schnick Schnack machen, wie Monitore sperren, und Rechner Fernsteuern, allerdings keine Internetfreigaben erteilen.
Dafür ist das Grundmodul zuständig. Dieses ist nicht als Software auf den Rechnern installiert, sondern ist über einen Webserver über den Port 1234 erreichbar. Die Verbindung wird nicht per HTTPS verschlüsselt.

Ruft man als Schüler den Server mit dem Browser auf, startet das Modul und man ist direkt mit seinem Namen angemeldet (kein weiterer login notwendig). Cookies werden soweit ich gesehen habe keine Angelegt.
Mein Vorhaben könnt ihr euch sicherlich schon denken.
Ich möchte, dass mich der Server für einen Lehrer hält.

Leider kenne ich mich da nicht genug aus. Es gibt ja die Möglichkeit, session cookies von nicht verschlüsselten Verbindungen abzugreifen, aber hier werden ja gar keine angelegt. Oder soll ich einfach mit Wireshark schauen, was auf dem Port 1234 so passiert ?
Und wie mache ich dann weiter? Oder gibt es trotz det unverschlüsselten Verbindung und dem fehlenden login keine Möglichkeit da was zu machen, und verschwende ich nur meine Zeit ?

Ich denke, hier haben viele mehr Ahnung von der Materie als ich, also bin ich mal auf eure Antworten gespannt.

Ein fröhliches Karnevalswochenende euch allen ^^

 

[werner]

Hi, ich kenne mich damit speziell nicht aus, finde dein Vorhaben aber überhaupt nicht ok. Und ich hoffe, dass dir auch niemand anderes hier dazu Hilfestellungen gibt.

 

[LadyRavenous]

Wie wäre es, wenn du dich mit einem der Admins zusammen hockst und es durchgehst? Du hast den Vorteil, dass du was lernst und gegebenenfalls vorhandene Lücken gleich geschlossen werden? Zudem handelst du dir so keinen Ärger ein.

 

[XsupergurkeX]

@werner
Moralisch verwerflich finde ich mein Verhalten ehrlich gesagt nicht. Ich schade ja niemanden. Über das Grundmodul hab ich vielleicht 1 / 2 mal die Rechner von meinen Kumpels aus dem Kurs gesperrt, und das wars dann. Wenn ich anstatt zu Arbeiten meine Zeit im Netz verbringe ist das mein Bier. Mache ich bis jetzt, auch nur halt mit dem Smartphone. Keine Frage, ich würde damit Sicherheitsvorkehrungen umgehen, allerdings halten sich meine Gewissensbisse dabei in Grenzen. - Meine Meinung.

@LadyRavenous
Mit einem Admin zusammenzusetzen wäre eine Möglichkeit, allerdings kann ich den 'leitenden' Admin nicht ab, und ins Netz käme ich Anschließend auch nicht.

Wenn mein Thema hier falsch ist, bitte verschieben. Oder eben ganz löschen, wenn so etwas hier nicht gern gesehen wird. Dann habe ich euer Forum wohl etwas falsch eingeschätzt.

 

[alter_Bekannter]

Und woher willst du die Session Information nehmen? Mal vollkommen unabhängig davon wie sie verwaltet wird? Warum sollte die Gegenstelle dir die geben?

Wie läuft die Authentifizierung? Woran erkennt das System wer Lehrer und wer Schüler ist?

Achja, das übliche:
Was du vorhast ist potentiell ein Kündigungsgrund. Auch für Auszubildende.

Edit:
So wie ich diese Art von Gammelsystem kenne könnte alles über IP und oder MAC laufen in dem Fall könntest du die einfach anpassen. Die passenden rauszufinden ist leicht bis Zeitaufwendig, aber keinesfalls schwer.

 

[XsupergurkeX]

Danke für deine Antwort, @alter_Bekannter

Ich hatte erst gedacht, man könnte die cookies irgendwie abgreifen, und dann einfach auswechseln. Nur werden ja leider keine abgelegt.

Zur Authentifizierung werden wie gesagt keine Login Informationen benötigt. Man ruft einfach den Webserver mit dem Browser auf, und das System weiß sofort, wer man ist.
Durch de. Fehlenden login und der unverschlüsselten Verbindung sollte das doch potenziell angreifbar sein, oder nicht ?
Über einen lokalen Admin mit Lehrernamen konnte ichs noch nicht probieren.

An die IP käme ich ohne Probleme. Die Rechner tragen alle Aufkleber mit der Bezeichnung und tauchen unter dem Namen auch im Netzwerk auf.

 

[alter_Bekannter]

Das Etikett von der Softdrinkflasche auf meine Schreibtisch ist auch nicht verschlüsselt, trotzdem kommst du nicht dran.

Das Computer nichts mit Magie zu tun haben sollte mal langsam weiter in der Bevölkerung vordringen. Die funktionieren auch nur mit handelsüblicher Alltagsphysik. Also nochmal:
Was unterscheidet deiner Meinung nach den Lehrercomputer von deinem?

Lass die Mystifizierung mal weg und verwende normale Logik.

 

[XsupergurkeX]

langeweile7

Die Computer unterscheiden sich gar nicht.
Der Lehrer kann sich prinzipiell an jedem beliebigen Rechner anmelden und hat auch überall die gleichen Möglichkeiten. Also eigentlich unterscheidet sich nur der angemeldete Benutzer.

Ich weiß, dass es auch bei Computern grenzen gibt, allerdings sind der Lehrer und ich ja im selben Netzwerk. Ich hätte jetzt gedacht, dass man sich den Traffic von dem Port anschauen kann, und so vielleicht herausfindet, wie das HTTP Request aussieht, was die Freigabe erteilt.
Habe davon aber ziemlich wenig Ahnung, und deshalb bin ich hier. Sorry also, wenn ich dir mit meinem Posts auf den Sack gegangen bin.
Ich wollte nur etwas Eigeninitiative zeigen.

 

[LadyRavenous]

Mit den Benutzern sind bestimmte Rollen und damit Berechtigungen verknüpft. Ich weiß nicht genau wie es aufgesetzt ist, aber ich kann mir vorstellen, dass jeder Lehrer eine Rolle Lehrer (oder ähnlich lautend) hat und entsprechend die Berechtigung gesetzt wird, so dass er auf die Software zugreifen kann. Schüler haben die passende Rolle und bekommen die Software nicht zu sehen.

Edit:
Bevor du irgendwas machst, empfehl ich dir die rechtliche Seite einmal zu überlegen, insbesondere §202 a und b StGB. Auch wenn du es moralisch nicht verwerflich findest, kann es doch Folgen für dich haben.

An sich finde ich es gut, dass du dir Gedanken machst, zudem sollten Schulen auch merken, dass Schüler häufiger fitter sind als sie selbst oder ihre Admins, aber man könnte auch mit den Admins zusammen arbeiten oder schauen, ob man das nicht als Pentesting-Projekt durchgehen würde. Dann wärst du zumindest auf der sicheren Seite.

 

[Metal_Warrior]

@XsupergurkeX: Hallo erstmal! Ich wurde grade von einem anderen Forumsmitglied auf diesen Thread verwiesen und angestupst, ob ich nicht was schreiben möchte, weils ja irgendwie mehr IT-Sicherheit als Webtechnik betrifft.

Erstmal: Ich finds Klasse, dass du dich damit auseinander setzt. Du zeigst das, was jeder Arbeitgeber mit Hirn gern in seinen Azubis sieht, nämlich Engagement und Wissensdurst. Mit solchen Azubis macht Ausbildung Spaß, und ich rede da aus Erfahrung. Wärst du mein Azubi, was du wahrscheinlich nicht bist, würde ich dir wahrscheinlich nen Projekt geben, das dich mal in dieser Hinsicht etwas an deine Grenzen bringt.
Und um ehrlich zu sein: Fast jeder, der hier etwas Ahnung von der Materie hat, hat das selbst schon mal in der eigenen Schule gemacht. Ich hab mich grundsätzlich gleich zu Anfang der Kontrolle des Lehrers entzogen, nur halt mit einer plausiblen Ausrede - ich wusste nie, warum der Computer bei mir gesponnen hat und der Prozess abgestürzt ist

Du kannst dir aber denken, das so viel Lobhudelei nicht ohne ein dickes Aber kommt. LadyRavenous hat es schon recht deutlich gesagt - du hängst hier ganz stark in Paragraphen drin, die unabhängig von deinem moralischen Kompass böse zuschlagen können.

Ich nehme mal an, dass du volljährig und IT-Azubi bist, also entweder AIK, Netzwerktechniker oder Fachinformatiker (Schwerpunkt völlig egal). Wenn du mal drei Jahre in die Zukunft schaust, möchtest du sicher nen Job mit Perspektive haben, also Aufstiegsmöglichkeiten, ordentlichem Gehalt und auch Verantwortung. Du hast jetzt zwei Möglichkeiten (eigentlich drei, aber ein "hör auf" ist ziemlich langweilig):

1. Du machst weiter, findest irgendwann ne Schwachstelle (von denen es ja zuhauf zu geben scheint) und fuhrwerkst im System als Lehrer oder gar Admin rum.
Was glaubst du, was ist die Konsequenz, unabhängig von einem Verweis von der Schule und ner Menge Ärger mit dem Gesetz? Versuch dich, in einen potentiellen zukünftigen Arbeitgeber reinzuversetzen, der dich anstellen will, womöglich in einer verantwortungsvollen Position. Glaubst du, du bekommst diesen Job? Würdest du jemanden einstellen, der aus Jux und Tollerei, nichtmal mit böser Absicht, in Systeme einbricht, die vertrauliche Daten enthalten? Einer meiner ehemaligen Azubis, der einfach nur datenschutzrechtlich fahrlässig gehandelt hat, ist mittlerweile nur noch im Webdesign - die Alternative, nämlich den Telefonserver zu verwalten, wurde ihm aufgrund seiner mangelnden Integrität gar nicht erst angeboten, obwohl da jemand gesucht wurde.

2. Du veröffentlichst die Schwachstelle.
Also nicht sofort. Erstmal dem Admin schreiben, sprich auch noch mit deinen Ausbildern im Betrieb darüber, leg alles offen, was du weißt. Ein guter Ausbilder steht in diesem Fall hinter dir, egal was kommt. Selbst wenn die Schule Konsequenzen fordert, wird er sie abblocken und zurückschießen. Überleg dir, was dieses Vorgehen für Konsequenzen hat. Und denk nicht nur an dein Arbeitszeugnis - die Personaler bzw. potentiellen direkten Vorgesetzten telefonieren vor Einstellung normalerweise mit den alten Vorgesetzten, um sich abseits des geschniegelten Arbeitszeugnisses die ehrliche Meinung abzuholen. Deine Integrität in diesem Fall ist unangetastet, im Gegenteil, sogar gestärkt. Du zeigst, dass du nicht nur Köpfchen, sondern auch Verantwortungsbewusstsein hast - damit stehen dir alle Türen offen. Und im Betrieb kann es gut sein, dass du tatsächlich mal auf die eigenen Server losgelassen wirst - zum Abtesten auf Schwachstellen. Da lernst du mehr, hast auch noch Anleitung und die rechtliche Absicherung von oben.

Überleg dir, was du haben willst - Ärger und Probleme im Leben, oder die Absegnung von Oben, weitere Möglichkeit zu schnüffeln und zu spielen und auch noch ein potentiell höheres Gehalt in der Zukunft. Mehr will ich dir an der Stelle nicht raten.

(aber wenn in nem Monat einer meiner Frischlinge auf mich zukommt, kenn ich wenigstens seinen Nicknamen )

 

[theSplit]

Ich muss ganz ehrlich sagen, ich habe dieses Thema zu erst als die "übliche" Trollerei abgetan, weil bei solchen Themen oft Leute hantieren, die nur Mist machen wollen und nicht wirklich daran interessiert sind wie Sicherheitskonzepte umgesetzt oder verstärkt werden - aber es liest sich sehr gut...

"Sicherheit" ist aber auch ein komisches Feld, sie soll nicht angegangen werden (Gesetzlich geregelt) - sollte aber theoretisch ständig überprüft und verifiziert werden, damit eben die Sicherheit wirklich gewährleistet ist.... irgendwie ironisch.

Wollte ich nur mal loswerden, aber bitte weitermachen die Damen und Herren - sieht interessant aus....

 

[sia]

"Sicherheit" ist aber auch ein komisches Feld, sie soll nicht angegangen werden (Gesetzlich geregelt) - sollte aber theoretisch ständig überprüft und verifiziert werden, damit eben die Sicherheit wirklich gewährleistet ist.... irgendwie ironisch.

Und genau deswegen nutzt man als Pentester ein §202-Formular mit Haftungsausschluss, damit man vor seinen eigenen Kunden sicher ist

 

[LadyRavenous]

Dieses und es gibt normalerweise auch eine Geheimhaltungsvereinbarung (NDA). Dadurch ist auch der Kunde geschützt. Er will ja auch nicht, dass bekannt wird, dass er Lücke x, y und z hat, und dass Interna nach außen gelangen.

 

[theSplit]

Ja, was ihr schreibt macht Sinn, aber dass erlaubt einem ja nicht generell die Sicherheit, zum Beispiel des "eigenen" Webspaces/Providers, zum Beispiel, zu überprüfen. In dem man nen Portscan auf nem Server laufen lässt oder was auch immer

Ich geb zu, es macht generell Sinn dass nicht jeder die Befugnis hat IT-Infrastrukturen zu penetrieren und Lücken ausfinding zu machen, aber auf der anderen Seite, wer stellt sicher dass der mögliche "Tester" nicht vielleicht besser informiert ist, als die Leute, die die System erst in Form gebracht haben?

Will jetzt niemanden Fahrlässigkeit oder Dummheit unterstellen, aber der beschriebene Fall kann ja mal eintreten. Nur weil eine Firma X ist, heißt es ja nicht automatisch das man alles abdeckt oder "bedenkt" oder sich keine ungedeckten (Zero day) Exploits öffnen.

War oder ist das nicht immer so ein Rennen in der Sicherheits/IT-branche? - Es tauchen Lücken auf und dann dauert es eine Weile, bis ein Großteil, also vielleicht nicht mal alle, Systeme sicher gemacht worden sind? Oder es wird veraltete Software/Hardware verwendet...

 

[alter_Bekannter]

Ein NDA musste ich bislang noch bei jeder Stelle unterschreiben. Man kann halt nicht sinnvoll vermeiden das Entwickler an Informationen rankommen die sonst nur die Geschäftsleitung oder das unmittelbar zuständige Personal haben dürfte.

Einige Sachen dürfte man halt nur mit Augenbinde machen wenn man alle Gesetze 100% ernst nimmt. Wenn Politiker Ahnung von Technik hätten wäre Passwörter speichern auch bereits eine Straftat, da wäre ich sogar dafür. Wäre im Rahmen unserer Datenschutzgesetze eigentlich nur konsequent. Aber wo kämen wir hin wenn Politik konsequent und logisch wäre? Tja, das ist wie mit dem Universum in dem Hitler Krebs geheilt hat, denk nicht drüber nach.

Spoiler

 

[LadyRavenous]

@Split: Ein Unternehmen sollte selbst schon auf Sicherheit achten. Nicht umsonst gibt es Security Incident Management ;-) Die Firma kann auch selbst testen und auf Schwachstellen scannen. Beispielsweise könnte ein Portscanner einmal wöchentlich laufen und auf Veränderungen schauen.

Als Tester holt man sich alle möglichen Infos vom Kunden ein und bekommt Dokumente, wie Policies, Architektur usw. Zudem stellt man einige Fragen, wenn etwas unklar ist. Klar, man betreibt es nicht selbst, andererseits ist man auch nicht betriebsblind.

@alter_Bekannter: meinst du NDA für die Entwicklerstelle beim Arbeitgeber oder wenn du extern was testest? Wenn du extern unterwegs bist, gibts zusätzliche NDAs mit den Auftraggebern, was find ich aber auch logisch ist.

Aktuell werde ich das Gefühl nicht los, dass wir abtriften.

@XsupergurkeX: Hast du dir mal das Handbuch Anwendungsbetreuer durchgelesen? Es ist zwar für Idioten geschrieben, aber damit solltest du trotzdem die Berechtigungsfrage klären können.

 

[theSplit]

@LadyRavenous:

Klingt gut, aber wie gesagt ich wollte niemanden etwas unterstellen - es ging mir eher um das Recht "selbst" aktiv zu werden, auch ohne das ich dazu "eingeladen" worden bin. Und das unser Gesetzt verbietet, Sicherheit von etwas in Frage zu stellen - entweder man traut dem ganzen oder nicht, aber es bleibt keine Wahl. Das mit dem Webspace ist übrigens nur ein Beispiel, ich traue meinem Provider schon noch zu, die Sicherheit im Griff zu haben.... aber ich muß mich "blind" darauf verlassen.

 

[LadyRavenous]

@theSplit: Kommt es nicht immer auf Vertrauen im Endeffekt raus? Früher war es gefühlt weniger reglementiert, vielleicht auch, weil die Politik im Neuland Internet keine Ahnung hatte und hat. Es hilft trotzdem nichts, dass wir uns daran halten sollten, da sonst Konsequenzen folgen, egal wie blöd manche Gesetze sein mögen.

 

[theSplit]

@LadyRavenous:

Regeln, oder Gesetze, an sich sind per se nicht verkehrt oder gar unsinnig, aber wie gesagt - selbst wenn ich beste Intensionen habe und wirklich "helfen" wollen würde, man darf nicht - ich hab nicht einmal das Recht dazu für die Sicherheit eines Systems, wenn es mich selbst auch wirklich betrifft, beizutragen. Das ist doch etwas doof.

 

[LadyRavenous]

@theSplit: Versteh ich.

Spoiler