Конкурс Бесследное вторжение в базы 1С

Статья для участия в конкурсе на codeby


Тема тесно перекликается с темой @animi и построено, как ее дополнение с несколько другим путем. Но для просто ответа в ветке материала слишком много (а я начал там в ответах, но, увидя объем, решил выделить отдельной статьей). Если что-то не так, то отдаю решение на откуп админам и модераторам.

Подправлю и дополню статью оппонента (и коллеги одновременно)

Оказались мы в некоторой сетки где есть общая сетевая директория с файлами:

Как-то не вяжется это с заголовком... Где-то что-то изменить нужно (IMHO).
Статья о вторжении, а мы уже с самого начала "как-то вдруг" оказались в сетке.
По остальному:

встает интересный вопрос какую из платформ брать 8.0,8.1,8.2,8.3,8.4.

Это верно. Тем более, что и хэши с логинами будут абсолютно в других местах. (не именно в v8users).
Сейчас продемонстрирую. У меня в соседнем доме два бухгалтера, сейчас я у них базу поменьше качну. Если, конечно, они не работают в ней. Повезло!

Пока она качается, остановлюсь на другом пункте: Tool_1CD изначально шел исключительно для просмотра в режиме "только чтение", но потом 1С-ники были вынуждены довести ее до ума - дать возможность редактирования, чтобы при сбое индексов или самой базы, ее легко было бы восстановить, подправив всего несколько бит информации вручную. Они ее сделали, выложили,.... и лишь потом осознали, что сами себе свинью подложили.

Все это делается в Windows. И конкретно для работы Tool_1CD предпочтительнее 32-разрядная версия. В 64-х будут выскакивать ошибки, связанные в распределением памяти - оно у них разное.

Конечно можно загуглить "как скинуть пароль в 1с" будет целая куча статей как это сделать.

Мой путь короче

Копируем в поисковик если есть совпадения радуемся. Иначе пробуем все остальные либо брутим.

Это длинный путь, да к тому же на "авось".

Но когда мы будем внедрять свои доработки для продвижения по сети не будем же их скидывать пользователей и пароли.

Еще как будем! Именно так мы и поступим! С одной оговоркой: после "проделок" вернем все "на место".

Сейчас не нужно брутить, мучиться и изголяться. Процесс сброса-изменения пароля в 1С занимает буквально минуту-две. И больше зависит от производительности ПК, чем от рук пользователя. Я думаю, что именно этот их промах и вынудит отказаться от формата *.1CD. На который, кстати, они перешли потому, что в предыдущих версиях пароль сбрасывался еще проще - удалением(временным переименованием) папки USERS.

Итак, нам нужна версия с редактированием. Лезем в собственные архивы...
Па-ажал-ста - в Греции все есть!

База перекачалась (я специально выбрал поменьше, всего ~400Mb). Начинаем...

Получили доступ в базу это отлично

А как ты туда попал? В статье ничего нет.

А я предлагаю следующее:
В одну папку с произвольным именем закидываем Tool_1CD и 1Cv8.1CD.
Уточняю: способ актуален для 8.2 и 8.3.
Запускаемся

Освоились в интерфейсе? Я дал достаточно подробные пояснения где что есть. Напоминаю, что эта версия с редактированием.

Поехали!
Сохраняем (сохранить) данные в файл. Я назвал его users.usr (расширение добавится автоматически).
Tool_1CD не закрываем!

Открываем его в любом текстовом редакторе (я под Total Commander использую EmEditor через F3, но пойдет и "Блокнот", и AkelPad): работающие без сторонних приложений могут просто "кликнуть" правой кнопкой мыши, выбрать "Открыть с помощью..." и указать на любой текстовый редактор попроще.

Итак, мы видим два пользователя. Один из них - админ. Я предположу, что вряд ли админом будет "Диспетчер" Скорее всего это человек с фамилией на Шу******* (не будем ее "светить" тут)
Его хэш - bf47b864-79be-4cd8-b727-092a601683f3 (ВАЖНО: сохраняем его!!!)
На кой ляд нам его брутить, время терять?
Я вот знаю, что хеш 2jmj7l5rSw0yVb/vlWAYkK/YBwk= означает, что пароля нет вообще! Это "пустой пароль".

Подменяем, закрываем с сохранением.
Возвращаемся к Tool_1CD. (второй скрин)
И теперь подгружаем измененный файлик обратно в базу.
Теперь можно легально и спокойно делать то, за чем мы пришли. Т.е. - вернуться к теме @animi

После всех процедур проделываем все операции еще раз и возвращаем хэш истинного владельца на место. И базу - тоже. А "Админ"зайдет, как ни в чем не бывало и даже ничего не заподозрит.
Важное уточнение: все эти операции нужно проводить так, чтобы в период вашего "колдовства" с копией, с реальной базой никто не работал. В противном случае возможны сбои, потому что она не будет соответствовать логам системы. Лучше это делать глубокой ночью.

Есть еще один инструмент, снимающий пароль админа, но на нем я останавливаться не буду. Туда же относится и способ обхода черех WinHex или другой hex-редактор.

 

[animi]

Мне нравится))).Хотел рассказать про этот метод. Но мало вероятный факт, что будет доступ ночью, да и для проведения этого метода нужен монопольный доступ к БД, что в рабочее время не получится сделать так как пользователи там работают. Но ночью определенно 99% успеха))) ( если пользователи выходят или их выкидывает). спасибо)))

 

[Twix]

Класс! Про редактирование в 1С-Тул мне в новинку. Спасибо!

 

[Elektrolife]

а как быть,в случае когда база 1с на sql сервере и весит террабайт ? )

 

[animi]

Можно запустить на кали windows в виртуалке подключится забрать список пользователей написать небольшой скрипт на vbs с com-объектом перебирать пароли и пользователей успех 99% если только не стоит доменная авторизация. Могу написать статью с этим методом.

 

[Ondrik8]

это ах....нный ++++++++++

Автор РЕСПЕКТ!

 

[Remir]

это ах....нный ++++++++++
Автор РЕСПЕКТ!

Ни в жисть не поверю, что ты этого не знал
Хотя, ты больше с сетьми связан, а я начинал, как субъективный локальщик.
Это способ известен давным-давно и странно, что до сих пор об этом не написано здесь.
[doublepost=1511546454,1511545820][/doublepost]

а как быть,в случае когда база 1с на sql сервере

Сменить вектор атаки (если использовать этот способ). Ответ в вопросе.

и весит террабайт ? )

Какая разница сколько она весит? Принцип тот же. Не устраивает перпективка перегонять терабайт? Применяй другие методы. Описанный в статье совсем не единичный.
Ну, еще могу посоветовать соразмерять силы и желания Замахнись тогда на что-либо попроще и поменьше. А если для тебя это определенная цель, то я бы не стал лезть (чтобы не засветить), пока все не просчитаю по времени и возможностям.

 

[animi]

Какой вектор 1с и sql? может статья будет?

 

[Remir]

Нет, статьи не будет в ближайшее время. По субъективным причинам.

 

[SooLFaa]

Итак, призываю все группы оценивать статью с помощью систем репутации, "Мне нравится" или комментариев.
Отныне, просто состоять в группе мало для того, чтобы в ней оставаться. Ваша задача, так же наставлять авторов и оценивать их.
Критерии:
Статья достойна репутации +1 балл
Статья отстой и/или не соблюдены правила -1 балл
Статья неплохая, но на репу не катит - поставить лайк - оставить комментарий.
Статья нейтральная не гавно но и не шедевр - оставить комментарий.

Grey
@a113
@AL04E
@Celestial
@d7uk4r3v
@DoberGroup
@ghost
@Ishikawa
@JuicyBrute
@koldonuuchu
@MAdDog719
@nemainthium
@Underwood
@Vertigo
@WIPE
Red
@Dr.Jo.Frink
@Dr.Lafa
@grapf92
@id2746
@IioS
@Ondrik8
@r1991omen
@Sniff
@z3RoTooL
Eleet
@ghostphisher
@kot-gor
@PingVinich
@SooLFaa
@Vander
@~~DarkNode~~

 

[ghostphisher]

Тема заходит. ТС - продолжи тему пораьботе с эл.ключам, вернее эмулями. Многие конторы вместо флешки с ключом ставят себе кряк эмуль + цифровую подпись (использования цифровой подписи и программ шифрования). Слив подобный можно совершать некоторые деяния.

 

[Vertigo]

Выдал балл .Статья отличная .Очень много встречаю в организациях неленцизионные версии 1с,либо версии до 8.2 и с ограниченным количеством лицензий (у таких версий свои крупные недостатки). Будет уроком для тех,кто дорожит репутацией компании и слушает админов (которые нас читают естественно) ,а также поводом для действий по совершенству безопасности.
[doublepost=1511702588,1511702509][/doublepost]

 

[Remir]

Тема заходит.

Извини, бро, не совсем понял. Куда?

Многие конторы вместо флешки с ключом ставят себе кряк эмуль + цифровую подпись

Знакомо. И могу это подтвердить, не раз встречал.

Слив подобный можно совершать некоторые деяния.

Допустим, я знаю в теории, как их модифицировать. А вот что это дает и как это использовать - на ум не приходит.
[doublepost=1511716520,1511716291][/doublepost]

Статья отличная

Спасибо. Но я сейчас знаю как и за что ее можно покритиковать. Есть недочеты, просто она написалась спонтанно.

у таких версий свои крупные недостатки

А хотя бы общее направление можно узнать? Обожаю "поковырять" (за то и люблю инжиниринг)

 

[ghostphisher]

Извини, бро, не совсем понял. Куда?

В реальную жизнь. Тема пригодна на ее реализации.

 

[Vertigo]

А хотя бы общее направление можно узнать? Обожаю "поковырять" (за то и люблю инжиниринг)

Версии до 8.2 способны обрабатываться HEX-редактором и многое на этом основано.
Используется приём как "подмена конфигурации" в файле users.usr, или разбираются файлы .DBF с данными.

Можно поработать с памятью (ищется подстрока Lockwaittime и переменная addr.)
Далее сканируется память в обратном порядке и находится пароль.

С помощью Microsoft Office также вламываются
Ещё изучаются протоколы (точно не помню,по-моему 3).
Все они применяются для обмена данными и операций "проведения" в зависимости от расстояния между объектами.
Злоумышленники могут атаковать по ним.

 

[Jees]

Замыленная тема. И на авторство можно было и ссылку дать (инфостарт

Ссылка скрыта от гостей

). Tool_1cd не является поделкой 1с-ников. Инфостарт отклонил публикацию Tool_1CD в связи с наездом компании 1С о том, что программа, якобы, нарушает лицензию 1С. Это не первый случай, когда Tool_1CD убирается с инфостарта. Временно публикация отклонена или навсегда - неизвестно. Формат файла уже довольно хорошо изучен (за исключением индексов) и достать информацию не составляет труда (

Ссылка скрыта от гостей

,

Ссылка скрыта от гостей

)

 

[Elektrolife]

Можно запустить на кали windows в виртуалке подключится забрать список пользователей написать небольшой скрипт на vbs с com-объектом перебирать пароли и пользователей успех 99% если только не стоит доменная авторизация. Могу написать статью с этим методом.

Часто вместе с доменной авторизацией ставится и простой пароль для инженера поддержки,для того чтобы он мог зайти под пользователем и что то посмотреть. Это я из своего опыта )

 

[Сергей Попов]

***Скрытый текст***

Хочу услышать мнения участников о данном комментарии. Как по мне - критика

Ссылка скрыта от гостей

и является попыткой прорекламировать сайт.

 

[Remir]

***Скрытый текст***

Поправка принимается, хотя в контексте топика под "1С-никами" я лично подразумевал людей, занимающихся 1С (в т.ч. и взломом), а не производителя. Мы так же называем "сетевиками" людей, плотно с ней работающих и специализирующихся на сетевых технологиях. И это вовсе не потому, что они ее придумали и создали.
А вообще, ну за версту несет инфостартником! Сразу амбиции включились и, типа, оправдания: я не я и лошадь не моя!
Я бы дал ссылку, тем более, что в курсе именно этих публикаций, да вот ради чего я буду просаживать по SEO Codeby и бесплатно, мало того, что рекламировать, но и поднимать вес сайта Инфостарта? Здесь мне ничего плохого не сделали, а от "инфы" я хорошего ничего не получал
За расположение ссылок, между прочим, денежки платятся. Именно потому их под хайд и засунули.
[doublepost=1511803678,1511803641][/doublepost]

Хочу услышать мнения участников о данном комментарии

Я написал чуть выше.

 

[Valkiria]

Хочу услышать мнения участников о данном комментарии. Как по мне - критика

Ссылка скрыта от гостей

и является попыткой прорекламировать сайт.

С одной стороны, у "того" сайта довольно высокие ТИЦ, Rank и остальные показатели.
В подобной рекламе сайт особо не нуждатся ))
С другой стороны, в сообщении пользователя Jees, о котором идёт речь, нет никакой критики.
Осмелюсь предположить, что он - автор упомянутой в статье программы либо имеет к ней какое-то отношение ))
Ссылки на сторонний сайт нисколько не компроментируют статью.
У пользователя Jees, автора поста, всего одно сообщение на "счётчике" )
Я считаю, что данный пост напечатан лишь с целью повышения самооценки личности, желание признания ))
В этом нет ничего плохого, но к форуму не имеет никакого отношения.
Было-бы приятнее читать какие-то его аргументы, замечания или предложения не на сторонних ресурсах, а прямо здесь, в этой теме, в комментариях.