Methoden der Kompromittierung und Aufrechterhaltung des Zugangs bei Penetrationstests

Social Engineering und Phishing

Ein besonders effektiver Weg ist die Manipulation des Menschen. Durch maßgeschneiderte Phishing-Angriffe werden Nutzer per E-Mail oder Nachricht dazu verleitet, auf schädliche Links zu klicken oder sensible Daten auf gefälschten Webseiten preiszugeben. Oftmals werden auch bösartige Makros in Dokumenten verwendet, die beim Öffnen Schadcode direkt im System ausführen.

Aufrechterhaltung des Zugangs (Maintaining Access)

Sobald der initiale Zugang etabliert ist, stellt der Angreifer fest, dass seine Rechte oft stark eingeschränkt sind. Um das volle Potenzial des Angriffs auszuschöpfen, muss der Zugang stabilisiert und erweitert werden.

Privilege Escalation (Rechteausweitung)

Die Rechteausweitung ist der Prozess, bei dem ein Angreifer versucht, seine Befugnisse innerhalb des Systems zu erhöhen, idealerweise bis zum Niveau eines Administrators. Hierbei unterscheidet man zwei Richtungen:

1. Vertikale Eskalation: Der Angreifer versucht, von einem Benutzerkonto mit niedrigen Privilegien zu einem Konto mit höheren Rechten (z. B. Administrator oder Root) aufzusteigen.
2. Horizontale Eskalation: Hierbei versucht der Angreifer, Zugriff auf andere Benutzerkonten zu erlangen, die jedoch ein ähnliches Berechtigungsniveau wie das bereits kompromittierte Konto besitzen.

Das ultimative Ziel ist die Erlangung von Administrator-Berechtigungen, da diese die vollständige Kontrolle über das Betriebssystem und alle darauf laufenden Dienste ermöglichen.

Shells und das Command Line Interface

Um mit dem kompromittierten System zu interagieren, benötigt ein Angreifer eine Schnittstelle, die sogenannte Shell. Über ein Command Line Interface (CLI) können Befehle direkt an das Betriebssystem übergeben werden.

• Eine Standard-Shell ermöglicht grundlegende Interaktionen (z. B. cmd.exe unter Windows oder Bash unter Linux).
• Eine Root Shell hingegen bietet die maximale Kontrolle, da sie mit den höchsten verfügbaren Rechten operiert.

Um die Verbindung zum Zielsystem aufrechtzuerhalten, werden oft spezielle Netzwerkverbindungen genutzt:

• Bind Shells: Der Angreifer verbindet sich mit einem auf dem Zielsystem wartenden Port.
• Reverse Shells: Das Zielsystem baut aktiv eine Verbindung zum Angreifer auf. Dies ist oft effektiver, da ausgehende Verbindungen von Firewalls häufig weniger streng kontrolliert werden als eingehende.

Prüfungstipp: Merken Sie sich den Unterschied zwischen vertikaler und horizontaler Eskalation. Vertikal bedeutet "höhere Ebene" (User $\rightarrow$ Admin), horizontal bedeutet "gleiche Ebene" (User A $\rightarrow$ User B).

Backdoors und Rootkits zur Verschleierung

Damit der Zugriff auch nach einem Systemneustart oder trotz Sicherheitsupdates bestehen bleibt, werden Backdoors (Hintertüren) installiert. Diese können in Form von geheimen Benutzerkonten oder speziellen Netzwerkdiensten existieren.

Um diese Hintertüren vor Entdeckung zu schützen, werden oft Rootkits eingesetzt. Rootkits sind Schadsoftware, die tief in das Betriebssystem integriert wird, um Prozesse, Dateien oder Netzwerkverbindungen vor dem Benutzer und sogar vor dem Task-Manager oder anderen Sicherheitswerkzeugen zu verbergen. Dies ist besonders gefährlich bei lang andauernden Angriffen (Advanced Persistent Threats), da die Präsenz der Angreifer selbst durch herkömmliche Backups nicht immer zuverlässig entfernt werden kann, wenn die Sicherung bereits infiziert wurde.