Minha experiência no OSCP

No dia 16/09/2019 recebi o tão esperado e-mail “Você foi aprovado no OSCP”, então, como isso tudo começou? como foi o processo de estudo? estou começando em security posso fazer OSCP? Como foi fazer a prova com proctoring? Estas e outras perguntas pretendo responder neste artigo.

 

Antes de começar, quem sou eu e qual o meu background?

No momento da escrita deste artigo, tenho mais de 20 anos de experiência com Tecnologia da Informação, passando por diversas áreas, desenvolvimento, desenvolvimento mobile, redes, infraestrutura, gestão de identidades e acessos, VoIP com asterisk e etc… Durante toda minha carreira sempre fui muito curioso e gostei de ir a fundo nas coisas que estava estudando, sempre me perguntando como isso funciona? E nunca me limitando ao “está funcionando é o que importa”, sempre quis saber como as coisas funcionavam desde pequeno, nunca tive um brinquedo sequer que eu não o tenha desmontado para ver o sistema interno.

O que é OSCP?

Antes de responder essa pergunta é necessário responder outra pergunta, quem é a autoridade certificadora que assina o OSCP? OSCP é o Acrônimo de Offensive Security Certified Professional, desta forma, quem assina o OSCP é a Offensive Security é nada mais nada menos quem criou e mantém o Kali Linux (sucessor do Backtrack) e também oferece cursos na área de segurança ofensiva (Pentest). Desta forma a OSCP é a certificação focada em testes de invasão oferecida pela Offsec.

Como eu compro a OSCP?

Para fazer a OSCP é obrigatório a compra do curso PWK (Pentest with Kali) + um tempo de acesso ao laboratório da Offsec. O mínimo que se pode comprar de acesso ao laboratório é de 30 dias, e no momento da escrita deste artigo pode comprar com 30, 60 ou 90 dias com valores de (US Dólar) U$ 800, U$ 1000 e U$ 1150 respectivamente, podendo em qualquer um dos planos adquirir a extensão do tempo de acesso. Para maiores informações verificar a página https://www.offensive-security.com/information-security-training/penetration-testing-training-kali-linux/

 

Como é a pegada OSCP?

Só existe uma expressão capaz de definir OSCP: Try Harder!

O curso PWK é bem interessante, porém o mesmo não prepara para que possa ser capaz de passar na certificação OSCP, pois ele somente lhe da os caminhos das pedras, ensina de coisas básicas a algumas coisas mais avançadas, mas não contempla tudo que você vê no laboratório e muito menos do que você vê na prova. Desta forma com o curso você tem uma noção do que pode procurar, e o resto você vai ter que achar no Google, Livros e etc… E certamente não achará tudo pronto, você terá que construir o seu conhecimento, com pedaços isolados de conceitos, conhecimentos, ferramentas e etc…

 

Estou começando em Security OSCP posso tentar OSCP?

Vou ser simples e direto, se você tem dinheiro para jogar fora, vai fundo! Caso contrário, não! OSCP não é para quem está começando, você precisa ter um conhecimento de rede, entender muito bem como funciona camada OSI, ter noções de desenvolvimento, como uma aplicação funciona (independente da linguagem), como ela interage com o sistema operacional, conhecer de arquitetura Linux e Windows, de o que um usuário privilegiado e não privilegiado pode fazer, onde o Windows e Linux guardam suas configurações, senhas, registros e outros. Como fazer coisas em Windows somente utilizando comandos (esquece as janelinhas bonitinhas). Se você não tem esses conhecimentos (e alguns outros), estude-os antes de pensar em fazer OSCP.

 

Um pouco da minha história no OSCP

Eu decidi fazer o OSCP por indicação de um cara muito amigo, ele me disse “vai lá, é de boa para você”, “você passa”. E eu acreditei. Pode ter certeza que eu o xinguei diversas vezes, quando passei mais de 5 dias em uma única maquina no lab e sem conseguir achar nada, certamente eu o xinguei. Mas ao mesmo tempo eu sou eternamente grato a ele, pois conseguiu ver além da superfície, e me incentivou e ajudou a alcançar um feito extremamente importante para mim, algo que vai muito além da certificação: diversos amigos que hoje fazem parte do meu RedTeam.

Mas voltando a certificação, um pouco antes de iniciar meus estudos propriamente dito no lab da Offsec, eu estava como primeiro colocado em um lab privado (de mesma pegada da OSCP), então quando meu amigo falou vai lá, vc passa, eu pensei, vou mesmo pois sou foda, estou em primeiro no Lab. Então adquiri somente 30 dias de lab da Offsec e comecei o meu estudo no lab OSCP, na primeira semana eu aprendi minha primeira lição “Não importa o quão bom você é, seja humilde!”, e só tinha um sentimento na minha cabeça “Paulo Trindade eu vou te matar!!!”

Passado o trauma da primeira semana e já na terceira semana de estudo eu percebi que 30 dias de lab não daria para cumprir com o meu objetivo que era pegar 100% das maquinas do laboratório.

No final das contas eu tive que contratar mais 60 dias de lab, totalizando 90 dias.

Como foi o meu ritmo de estudo?

Nos primeiros 15 dias eu estudei por volta de 14 horas por dia, e depois por volta de 7 horas/dia durante a semana e 14 horas/dia nos finais de semana, neste período, churrasco, cerveja, uísque, passeios com a família, tudo ficou em segundo plano.

E é neste momento que eu devo agradecer a todos os meus familiares em especial minha esposa e companheira que entendeu e me apoiou em toda essa jornada, tomando conta dos nossos 2 filhos, e segurando a onda enquanto eu estava distante, me abstendo da companhia prazerosa deles. Muito Obrigado meu Amor! Te Amo muito!!!

 

Laboratório

O laboratório do OSCP é fantástico, desafiador ele faz você realmente se conhecer, pois te leva ao extremo, faz você perder a paciência, faz você desistir, faz você tentar novamente para enfim obter o sucesso esperado.

Se neste momento eu posso lhe dar uma dica, “ganhe tempo” estudando e realizando todas as maquinas do laboratório, eu coloquei ganhe tempo entre duplas aspas pois acho que o termo gaste tempo, ou perca tempo não consegue exprimir a grandeza de qualidade de tempo que é estar estudando e tentando, tentando, tentando e enfim conseguindo invadir uma por uma das maquinas deste incrível laboratório.

Nessa minha jornada eu Ownei (invadi e peguei root/admin) em 100% das 55 maquinas do laboratório, conforme a listagem abaixo:

Rede pública (43 maquinas)

  • alice
  • pedro
  • phoenix
  • mike
  • bob
  • bob2
  • barry
  • payday
  • ralph
  • pain
  • leftturn
  • 314159265
  • Bethany
  • Bethany2
  • alpha
  • beta
  • gamma
  • tophat
  • dotty
  • john
  • dj
  • gh0st
  • sufferance
  • alice
  • HELPDESK
  • susie
  • oracle
  • kraken
  • hotline
  • OBSERVER
  • punchout
  • master
  • slave
  • Jeff
  • joe
  • jd
  • mail
  • kevin
  • core
  • humble
  • humble2
  • cory
  • sean

Rede IT Dept (3 maquinas)

  • nina
  • carrie
  • brett

Rede IT Dev (5 maquinas)

  • internal
  • carol
  • james
  • john
  • niky

Rede Administrative (4 maquinas)

  • tricia
  • mario
  • jack
  • luigi

Enfim chegou o dia do exame (prova), e ai como foi o proctoring?

Para quem não está habituado, o proctoring é um procedimento onde alguém lá do outro lado do mundo te monitora pela sua webcam e pela visualização da sua tela. Isso tudo fica gravado lá nos servidores da Offsec, em geral em provas mais curtas você não pode sair de frente do computador, nem para ir ao banheiro, mas como o OSCP tem duração de 23 horas e 45 minutos isso ficaria inviável.

Por opção decidi realizar a prova com proctoring, e creio ter sido um dos primeiros no Brasil a fazer a prova deste modo. A Offsec convidou todos que estavam realizando o exame um determinado período a serem Beta Tester oferecendo uma recompensa em desconto em uma próxima aquisição com eles, como eu já estava pensando na OSCE então resolvi aceitar.

O processo de proctoring foi extremamente tranquilo, logo no início confirmaram minha identidade e solicitaram que eu mostrasse todo o ambiente em que estava para se certificarem que não havia mais ninguém comigo. Após estes procedimentos iniciais, liberaram minha VPN ao ambiente do exame e pediram para eu realizar um teste acessando o painel da prova. Finalizado isso, pude iniciar a prova.

Ainda comentando sobre o proctoring, fui monitorado durante todo o período da prova, porém com total liberdade para me ausentar quando desejado, mas quando ausente com o acesso a VPN cortado, somente em um momento que me ausentei para almoçar eu solicitei que não bloqueassem a VPN pois deixei uma ferramenta enumerando as páginas web, minha solicitação foi aceita e assim ficou.

E o Exame como foi?

Por questões óbvias não posso comentar detalhes técnicos das maquinas do exame.

Quando você acessa o painel do exame tem um texto com IP das maquinas você precisa invadir e explicando o seu objetivo em cada uma delas, e qual a pontuação máxima daquela maquina, algo mais ou menos neste estilo:

Maquina XXX.XXX.XXX.XXX: 25 pontos

Objetivos:

  • Entre na maquina e pegue shell não privilegiado
  • Depois escale privilégio
  • Realize pelo menos X prints deste processo
  • Coloque no painel o conteúdo dos arquivos de flag (local.txt e proof.txt) e realize o print conforme orientado no guia do exame (https://support.offensive-security.com/#!oscp-exam-guide.md)

Sendo assim, sabendo que o mínimo para passar na prova é 70 pontos, você tem condições de decidir e priorizar as maquinas conforme desejar.

O exame tem duração de 23 horas e 45 minutos, eu demorei 23 horas e 30 minutos para conseguir pegar todas as maquinas parando somente para comer, ir ao banheiro e tomar alguma coisa (no meu caso RedBull), ou seja, a prova é extremamente desgastante, exige muito além dos seus conhecimentos técnicos, exige resiliência, persistência e capacidade física.

Após as mais de 23 horas do exame, você pensa, agora sim, peguei 100% das maquinas, vou descansar e curtir a minha mais nova certificação, é isso? Infelizmente não.

Após finalizar a prova, você tem que enviar um relatório detalhado com passo a passo de todas as maquinas que pegou no exame. E você tem até 24 horas após a finalização do exame para postar o relatório em um site da Offsec e enviar por e-mail para a Offsec o link que o site gera.

Basicamente estes são os pontos que precisam estar no relatório:

  • Tanto no caso do local.txt quanto no proof.txt, é necessário um print (screenshoot) incluindo o conteúdo do arquivo e o endereço IP da máquina alvo usando ipconfig ou ifconfig.
  • Submeter o conteúdo do local.txt e proof.txt no painel de controle do exame, e o painel não lhe informará se está certo ou não.
  • Caso use um exploit, colocar a URL do exploit e se realizou alguma alteração o código do exploit e a marcação da alteração realizada e o porquê a fez.
  • Indicação de qual foi a vulnerabilidade encontrada, onde e como foi explorada, como pode ser remediada.

Basicamente o objetivo do relatório é que o mesmo seja um relatório de pentest que você entregaria a um cliente, ou seja, que outra pessoa técnica habilitada consiga pegar o relatório e reproduzir com exatidão o que você realizou para chegar a root/admin na máquina alvo.

Para o exame há algumas restrições de ferramentas, para maiores detalhes verifique a página específica das instruções para o exame (https://support.offensive-security.com/#!oscp-exam-guide.md)

Após o envio do relatório em até 24 horas você recebe um e-mail informando que receberam o seu relatório e depois disso até 3 dias úteis eles respondem se você passou ou não.

Adicionalmente você pode fazer um relatório do laboratório para ganhar 10 pontos extra, neste relatório precisa fazer o passo a passo de pelo menos 10 maquinas do lab, e mais de 100 exercícios do PDF do PWK, então quem pretende fazer esse relatório para garantir uns pontinhos, comece bem antes do dia da prova ou de finalizar o acesso ao lab, pois é demorado e cansativo. Eu desisti no meio do caminho.

 

Considerações finais

Obviamente que ter a chancela OSCP é muito importante para um profissional de RedTeam e de forma alguma estou menosprezando a minha ou a certificação de qualquer OSCP, porém para quem realmente estudou e se dedicou durante o processo do lab realizar o exame e tirar a chancela OSCP é mais ou menos como coroar todo o aprendizado, é como se a caminhada fosse mais importante do que ganhar, do que chegar em primeiro, pois ganhar, chegar em primeiro (em nosso caso passar no exame) é nada mais nada menos do que a demonstração que a caminhada foi bem realizada e o aprendizado realmente ocorreu.

Gostaria também de comentar que sem amigos não chegamos a lugar nenhum, então gostaria de agradecer o Paulo Trindade, como ja comentei anteriormente, ao Aroldo, Eder e todos os meus brothers do RedTeam, vcs foram peças chave para todo este processo, valeu pessoal #tamosjunto e #tryharder

Espero que tenha contribuído para tirar algumas dúvidas sobre a OSCP.

Que Deus lhe abençoe e se precisar de mim durante o processo de caminhada fique a vontade para me contatar.

 

 

Identificando Versão do Windows através de arquivos

Um dos desafios em um pentest é identificar a versão exata de um windows, então segue aqui algumas dicas de como faze-lo usando arquivos nativos do Sistema operacional.

Este procedimento é dividido em 2 passos:

  1. Buscar o build number, ou seja, o número de compilação
  2. Traduzir este número em algo que possamos entender

 

Buscando o Build Number

Arquivo c:\windows\system32\prodspec.ini, pode-se observar que a versão é a 5.1.2600.0

;
;Attention : VOUS NE DEVEZ PAS MODIFIER NI SUPPRIMER CE FICHIER.
;
[SMS Inventory Identification]
Version=1.0

[Product Specification]
Product=Windows XP Professionnel

Version=5.0
Localization=Français
ServicePackNumber=0
BitVersion=40 
[Version]
DriverVer=07/01/2001,5.1.2600.0

Arquivo c:\boot.ini, este arquivo detém um não tão exato com a versão do windows

;[boot loader]
timeout=1
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows Server 2003, Standard" /fastdetect /NoExecute=OptIn

Arquivo c:\windows\explorer.exe, é um executável então temos que usar uma ferramenta do linux chamada exiftool para buscar as informações do mesmo

exiftool /tmp/explorer.exe | grep -i "produ"

Esse comando retornará algo parecido com o texto abaixo

Product Version Number          : 6.0.3790.1830
Product Name                    : Microsoft® Windows® Operating System
Product Version                 : 6.00.3790.1830

 

Traduzindo o Build Number em informação do qual é o Sistema Operacional

Agora de posse da informação tão desejada basta traduzir para a versão do windows com a tabela abaixo (retirada de https://www.gaijin.at/en/lstwinver.php)

Sistema Operacional Versão / Build / Data
Windows 95 OEM Service Release 1 (95A) 4.00.950 A *)
Windows 95 OEM Service Release 2 (95B) 4.00.1111 B *)
Windows 95 OEM Service Release 2.1 4.03.1212-1214 B *)
Windows 95 OEM Service Release 2.5 C 4.03.1214 C *)
Windows 98 4.10.1998
Windows 98 Second Edition (SE) 4.10.2222 A
Windows Millenium Beta 4.90.2476
Windows Millenium 4.90.3000
Windows NT 3.1 3.10.528 (27.07.1993)
Windows NT 3.5 3.50.807 (21.09.1994)
Windows NT 3.51 3.51.1057 (30.05.1995)
Windows NT 4.00 4.00.1381 (24.08.1996)
Windows NT 5.00 (Beta 2) 5.00.1515
Windows 2000 (Beta 3) 5.00.2031
Windows 2000 (Beta 3 RC2) 5.00.2128
Windows 2000 (Beta 3) 5.00.2183
Windows 2000 5.00.2195 (17.02.2000)
Whistler Server Preview 2250
Whistler Server alpha 2257
Whistler Server interim release 2267
Whistler Server interim release 2410
Windows XP (RC 1) 5.1.2505
Windows XP 5.1.2600 (25.10.2001)
Windows XP, Service Pack 1 5.1.2600.1105-1106
Windows XP, Service Pack 2 5.1.2600.2180
Windows XP, Service Pack 3 5.1.2600 (21.04.2008)
Windows .NET Server interim 5.2.3541
Windows .NET Server Beta 3 5.2.3590
Windows .NET Server Release Candidate 1 (RC1) 5.2.3660
Windows .NET Server 2003 RC2 5.2.3718
Windows Server 2003 (Beta?) 5.2.3763
Windows Server 2003 5.2.3790 (24.04.2003)
Windows Server 2003, Service Pack 1 5.2.3790.1180
Windows Server 2003 5.2.3790.1218
Windows Home Server 5.2.3790 (16.06.2007)
Windows Longhorn 6.0.5048
Windows Vista, Beta 1 6.0.5112 (20.07.2005)
Windows Vista, Community Technology Preview (CTP) 6.0.5219 (30.08.2005)
Windows Vista, TAP Preview 6.0.5259 (17.11.2005)
Windows Vista, CTP (Dezember) 6.0.5270 (14.12.2005)
Windows Vista, CTP (Februar) 6.0.5308 (17.02.2006)
Windows Vista, CTP (Refresh) 6.0.5342 (21.03.2006)
Windows Vista, April EWD 6.0.5365 (19.04.2006)
Windows Vista, Beta 2 Previw 6.0.5381 (01.05.2006)
Windows Vista, Beta 2 6.0.5384 (18.05.2006)
Windows Vista, Pre-RC1 6.0.5456 (20.06.2006)
Windows Vista, Pre-RC1, Build 5472 6.0.5472 (13.07.2006)
Windows Vista, Pre-RC1, Build 5536 6.0.5536 (21.08.2006)
Windows Vista, RC1 6.0.5600.16384 (29.08.2006)
Windows Vista, Pre-RC2 6.0.5700 (10.08.2006)
Windows Vista, Pre-RC2, Build 5728 6.0.5728 (17.09.2006)
Windows Vista, RC2 6.0.5744.16384 (03.10.2006)
Windows Vista, Pre-RTM, Build 5808 6.0.5808 (12.10.2006)
Windows Vista, Pre-RTM, Build 5824 6.0.5824 (17.10.2006)
Windows Vista, Pre-RTM, Build 5840 6.0.5840 (18.10.2006)
Windows Vista, RTM (Release to Manufacturing) 6.0.6000.16386 (01.11.2006)
Windows Vista 6.0.6000 (08.11.2006)
Windows Vista, Service Pack 2 6.0.6002 (04.02.2008)
Windows Server 2008 6.0.6001 (27.02.2008)
Windows 7, RTM (Release to Manufacturing) 6.1.7600.16385 (22.10.2009)
Windows 7 6.1.7600 (22.10.2009)
Windows 7, Service Pack 1 6.1.7601
Windows Server 2008 R2, RTM (Release to Manufacturing) 6.1.7600.16385 (22.10.2009)
Windows Server 2008 R2, SP1 6.1.7601
Windows Home Server 2011 6.1.8400 (05.04.2011)
Windows Server 2012 6.2.9200 (04.09.2012)
Windows 8 6.2.9200 (26.10.2012)
Windows Phone 8 6.2.10211 (29.10.2012)
Windows Server 2012 R2 6.3.9200 (18.10.2013)
Windows 8.1 6.3.9200 (17.10.2013)
Windows 8.1, Update 1 6.3.9600 (08.04.2014)
Windows 10 10.0.10240 (29.07.2015)
Windows 10 (1511) 10.0.10586
Windows 10 (1607) 10.0.14393
Windows Server 2016, RTM (Release to Manufacturing) 10.0.14393 (26.09.2016)

*) O Build Number nem sempre é exibido exatamente como está na tabela

Estabelecendo VPN Site-to-site IPSEC com OpenSwan

Neste post veremos passo a passo como configurar o OpenSwan para estabelecer uma VPN Site-to-site (entre 2 redes)  utilizando segredo compartilhado ou certificado digital. No decorrer do post explicarei as diferenças quando um dos firewall está atrás de um equipamento realizando NAT-T.

A motivação da escrita deste post se deu na necessidade de realizar essa VPN em meu ambiente somado ao fato que não encontrei na internet nenhum tutorial que trouxesse de forma simples, completa e bem comentada cada um dos parâmetros para o correto funcionamento do OpenSwan no ambiente proposto. Achei sim, diversos tutoriais, que me ajudaram muito, mas somente informações fragmentadas e muitas vezes confusas, sendo assim resolvi agregar todas em um único post. Espero que ajude.

Leia mais

Assinando digitalmente aplicativo JAVA com CA Windows

O Objetivo deste post é demonstrar como realizar a assinatura de um aplicativo JAVA utilizando uma Autoridade Certificadora (CA) Windows.

Motivação

Em um ambiente corporativo com infraestrutura de domínio e Active Directory já existe uma autoridade certificadora e todos os membros do domínio já confiam nos certificados assinados por esta CA. Desta forma facilita o trabalho de publicação do aplicativo e confiança da assinatura digital deste.

Leia mais

Criando CAPTCHA com C#

CAPTCHA é um acrônimo da expressão “Completely Automated Public Turing test to tell Computers and Humans Apart” (teste de Turing público completamente automatizado para diferenciação entre computadores e humanos): um teste de desafio cognitivo, utilizado como ferramenta anti-spam evitando que aplicativos automatizados realize post em formulários sem uma interação humana.

Um tipo comum de CAPTCHA requer que o usuário identifique as letras de uma imagem distorcida, às vezes com a adição de uma sequência obscurecida das letras ou dos dígitos que apareça na tela.

Tendo como base essa descrição retirada do Wikipédia (http://pt.wikipedia.org/wiki/CAPTCHA), irei demonstrar como implementar um CAPTCHA utilizando C#.

Este código gera o CAPTCHA conforme os exemplos abaixo

Leia mais

Convertendo relatório Zenmap (nmap) para Excel com C#

O objetivo deste aplicativo é converter o arquivo gerado pelo Zenmap (Nmap) para uma planilha do excel.

O Aplicativo tem como entrada o arquivo XML do zenmap e gera um arquivo XML com um padrão reconhecido pelo Excel.

Método de utilização:

ZenNmapToExcel.exe [arquivo_zennmap.xml]

Segue o aplicativo compilado bem como o código fonte em C# ZenmapToExcel.

Verificando se um certificado é valido para atuar como uma autoridade certificadora (CA)

No campo Basic Constraints (Restições básicas) dentro do campo Extensions (Extensões) do certificado digital é necessário haver algumas informações para que este possa atuar como uma CA, ou seja, assinar novos certificados.

Para poder visualizar esta informação é necessário ter o certificado X.509, desta forma se o único certificado que temos é o PKCS#12 é preciso extrair dele o certificado X.509.

Leia mais