49 - Pentesting TACACS+
Groupe de sécurité Try Hard
Informations de base
Le protocole Terminal Access Controller Access Control System (TACACS) est utilisé pour valider de manière centralisée les utilisateurs tentant d'accéder aux routeurs ou aux serveurs d'accès réseau (NAS). Sa version améliorée, TACACS+, sépare les services en authentification, autorisation et comptabilité (AAA).
Port par défaut : 49
Intercepter la clé d'authentification
Si la communication entre le client et le serveur TACACS est interceptée par un attaquant, la clé d'authentification chiffrée peut être interceptée. L'attaquant peut ensuite tenter une attaque par force brute locale contre la clé sans être détecté dans les journaux. En cas de succès dans la force brute de la clé, l'attaquant obtient l'accès aux équipements du réseau et peut décrypter le trafic en utilisant des outils comme Wireshark.
Réalisation d'une attaque MitM
Une attaque de spoofing ARP peut être utilisée pour réaliser une attaque de l'Homme du Milieu (MitM).
Force brute de la clé
Loki peut être utilisé pour effectuer une force brute sur la clé :
Si la clé est réussie forcée (généralement au format crypté MD5), nous pouvons accéder à l'équipement et décrypter le trafic chiffré TACACS.
Décryptage du trafic
Une fois la clé réussie craquée, la prochaine étape consiste à décrypter le trafic chiffré TACACS. Wireshark peut gérer le trafic TACACS chiffré si la clé est fournie. En analysant le trafic décrypté, des informations telles que la bannière utilisée et le nom d'utilisateur de l'administrateur peuvent être obtenues.
En accédant au panneau de contrôle de l'équipement réseau en utilisant les identifiants obtenus, l'attaquant peut exercer un contrôle sur le réseau. Il est important de noter que ces actions sont strictement à des fins éducatives et ne doivent pas être utilisées sans autorisation appropriée.
Références
Try Hard Security Group
Dernière mise à jour
