O lado ofensivo do ChatGPT

Escrito por: Fátima Rodríguez

22 de março de 2023

O mundo em geral tem sido muito bom para interagir, questionar, compartilhar e encontrar usuários em todos os ramos de conhecimento possíveis para ChatGPT e a comunidade de segurança não é a exceção: encontrar vulnerabilidades e atajos úteis e inovadores. No entanto, ainda temos muito dudas rodeando o impacto/efeito que terá na indústria e os praticantes de cibersegurança no meio do caminho. Neste artigo vamos repasar um pouco de Chat GPT e seus aplicativos no curto plazo -y con la capacidad que tiene atualmente- para la seguridad ofensiva.

Mas empecemos por conocerlo, por si alguien aún não ha interatuado com ele: ChatGPT é um chatbot gerenciado por inteligência artificial e lançado por OpenIA em novembro de 2022. Está treinado usando Aprendizaje Reforzado por Retroalimentaci[on Humana (RLHF) e está construído com a última versão da família GPT3.5 de modelos de linguagem ampliada, su aprendizaje é através do reforço e da supervisão de especialistas para interagir em uma forma de conversação (apenas texto). O diálogo com o chat possibilita resolver dúvidas, admitir erros, reclamar solicitações inadequadas, seguir uma instrução e dar uma resposta detalhada.

Podemos começar com uma pergunta sem sentido para nos apresentar ao mundo do Equipe vermelha en el modelo de entrenamiento y comenzar perguntando ¿qué é um time vermelho? O ChatGPT dará uma definição que alguém já postou com anterioridade através de perguntas de treinamento. Mas isso é apenas um exemplo de seu funcionamento.

Avancemos um pouco mais e façamos perguntas dentro do contexto específico da metodologia de uma pesquisa de penetração e perguntemos coisas como Qual é o comando do Nmap para encontrar vulnerabilidades em um servidor Apache? O que é o código para gerar um shell reverso em PHP? Bem, podemos encontrar ao alcance de uma busca semântica na internet, ChatGPT responderá em bastante contexto que não necessariamente encontraríamos de forma precisa e com uma explicação detalhada, mas o que mais poderia fazer por nós? (¿o em nosso lugar?)

Ainda um pouco mais allá na elaboração de perguntas com conteúdo altamente específico, esperamos obter respostas iguais de precisas para as tarefas de um pentester, por exemplo:

Como realizar um ataque para um formulário no porto 8393 com a Hydra?

Inclusive se não estamos familiarizados com o tema, podemos obter uma boa quantidade de informações úteis para iniciarmos no mesmo assunto a partir desta resposta que analisaremos a continuação:

O primeiro a fazer o ChatGPT é o contexto de quem está respondendo

Para realizar um ataque de força bruta em um formulário HTTP GET para o porto 8393 com Hydra, você pode seguir os seguintes passos:

Seguido de uma série de passos detalhados que podemos analisar (de 1 a 3) são tarefas bastante pontuais e lógicas na sequência de passos que realizam antes de usar a herramienta em questão. Para perguntas em inglês, o ChatGPT também fornece um pequeno resumo de quais ferramentas você usa e sua função principal, derivada do treinamento obtido por especialistas humanos nesse idioma. Mas as respostas em espanhol também estão bastante completas:

  1. Identifique o objetivo do formulário no site que deseja atacar e certifique-se de que está sendo executado no porto 8393.
  2. Crie um arquivo de plano de texto que contenha uma lista de possíveis nomes de usuários e contrasenhas para verificação. Cada linha do arquivo deve conter uma combinação de nome de usuário e contraste separados por dois pontos (:).
  3. Abra um terminal e execute Hydra com o seguinte comando, substituindo os valores em mayúsculas com os seus botões:

hidra -L /ruta/al/archivo_de_usuarios.txt -P /ruta/al/archivo_de_contraseñas.txt PROTOCOLO://DIRECCIÓN_IP:8393/ruta/al/formulario

Como pentester, me parece que é uma instrução totalmente correta do uso da ferramenta para o contexto específico que se le ha solicitado, que podemos intuir para este momento y sin mucha familiaridad, que realiza ataques de fuerza bruta comprobando combinaciones de usuarios y contraseñas. Si bien, no es el comando más específico y profundo del uso desta herramienta (Por ejemplo, cosas como el método, tipo de protocolo y esos detalles han quedado de lado), é suficiente para iniciar con la misma e inclusive, si conocemos estos os detalhes específicos do aplicativo para formular a pergunta, a resposta do ChatGPT serão incluídos na sintaxe do comando. Esto, dicho mar de paso, cuando uno no está tan familiarizado con la herramienta, ahorra valioso tempo invertido en encontrar una sintaxis correcta por búsquedas de internet o simplemente, tecleando en una consola.

Além disso, ChatGPT nos apresenta um exemplo com os argumentos do comando e o significado de cada parte descrita:

Por exemplo:

hidra -L /home/user/usernames.txt -P /home/user/passwords.txt http://192.168.0.1:8393/login.php http-get

Onde:

/ruta/al/archivo_de_usuarios.txt: é a localização do arquivo de plano de texto que contém a lista de nomes de usuários.
/ruta/al/archivo_de_contraseñas.txt: é a localização do arquivo de plano de texto que contém a lista de contraseñas.
PROTOCOLO: é o protocolo HTTP ou HTTPS.
DIREÇÃO_IP: é a direção IP do site que você deseja atacar.
/ruta/al/formulário: é a rota onde se encontra o formulário que deseja atacar.

Espera a Hydra completar o ataque. Os resultados serão exibidos na tela, indicando as combinações de usuário e contraseña que estão funcionando.

Minha parte favorita, são as recomendações para manter o exercício ético, que é importante se estiver em uma etapa de script infantil:

Lembre-se de que o uso da força bruta para acessar sistemas ou aplicativos sem autorização explícita pode ser ilegal e estar sujeito a sanções legais. Portanto, certifique-se de obter a permissão explícita do proprietário do sistema ou do aplicativo antes de realizar qualquer ataque.

Se neste ponto ainda estiver dentro dos alcances desta tecnologia, é compreensível. No momento, aparentemente, há uma escrita de comandos (que não é pouco), mas você poderia executar, por exemplo, um ataque direto a um humano e engajá-lo, algo conhecido como phishing? E bem, aqui se acaba um pouco da magia porque a resposta é NÃO. Se perguntarmos diretamente como realizar um ataque de phishing, não receberemos resposta.

Isso se deve ao fato de que não DEBEMOS discutir sobre atividades ilícitas, ataques ou jerga de hackers identificados livremente nas consultas, pois consideramos um uso impróprio e violamos as políticas de uso do bate-papo. pero limpar que podemos perguntar onde almacena Gophish las contraseñas, como fazer uma URL trazable ou onde usar uma linha telefonica virtual e todas essas questões que, por partes, nos ajudam hipoteticamente hablando, claro, a engañar a algún humano.

Mas a versatilidade não termina aqui. Podemos até interagir com a maior profundidade técnica de forma a obtermos a resposta de um ataque muito mais elaborado:

Para extrair cookies no PowerShell, você pode usar o módulo InternetExplorer.Application para criar uma instância do navegador Internet Explorer e acessar os cookies armazenados no mesmo. A continuação, você mostra um exemplo de como extrair o valor de um cookie específico no PowerShell:

# Cria uma instância do navegador Internet Explorer

$ie = Novo-Object -ComObject “InternetExplorer.Application”

# Hacer que o navegador fica invisível

$ie.Visible = $falso

# Navegar na página que contém o cookie

$ie.Navigate(“https://www.ejemplo.com”)

# Esperar a que a página se carregue completamente

while ($ie.ReadyState -ne 4) {Start-Sleep -Milliseconds 100}

# Obtenha todos os cookies como uma cadeia de texto

$cookies = $ie.Document.cookie

# Separar cada cookie em um array

$cookieArray = $cookies.Split(“;”)

# Buscar o cookie específico por seu nome

foreach ($cookie em $cookieArray) { $cookieName = $cookie.Split(“=”)[0]

# Se você encontrar o biscoito, extraia seu valor

if ($cookieName -eq “nome_de_la_cookie”) {

$cookieValue = $cookie.Split(“="”)[1]

Write-Host “O valor do cookie é: $cookieValue”

quebrar

   }

}

# Fechar o navegador

$ie.Sair()

Anteriormente, é um script para realizar a extração de cookies, uma área que depende da tecnologia utilizada, vulnerabilidades identificadas e de mais condições, é totalmente verosímil de realizar quando estamos fazendo um teste de penetração em uma página da web, em um ambiente Windows. De hecho, no selectioné la question al azar, sino que verdadeiramente lo necesité alguna vez.

Também quero que você goste dos comentários em espanhol, algo incomum no mundo da segurança/cibersegurança em geral. Claro que isso ocorre porque fue el idioma de entrada de minha pergunta pero, eso no lo hace menos impressionante. En fin, habrá quien diga que nuevamente, es code obtenido de la red, pero, (tomando en cuenta que recorté la salida por el bien de la longitud deste artículo) incluye la explicación de cada componente del código y las recomendaciones legais a manera de isenção de responsabilidade, cosa que vamos encontrar em poquísimas respostas de Stack Overflow.

Você pode tentar usar o mesmo dentro de https://chat.openai.com/chat que são tão úteis como a automatização da exploração de um porto por meio de ferramentas conhecidas - como os módulos de metasploit- são totalmente processados ​​e scripts úteis podem ser obtidos. Não escreva a resposta de uma dessas consultas aqui, para que seja como um exercício para o leitor a resposta do seguinte:

gera um script em bash que automaticamente explora a porta 80 com Metasploit para o segmento 10.1.0.0/16


Considere que um blueteamer dará escalafrío ver la respuesta tan concreta (corta y sentilla) para realizar isso. Se você não se dedicar à segurança ofensiva, provavelmente estará se perguntando: ¿Ese código es correto? Qual a repercussão para que eu possa ter a automatização das tarefas de um “hacker”? E se te dedicas, seguro vas mais pelo lado de perguntar ¿Hasta dónde podrá avançar una vez que la fase gratuita llegue a su fin y tengamos que pagar por la herramienta? existem opções opensource? ¿Dónde hará más provacho analisar e colocar essas saídas?

Há muitas respostas que podemos ver no contexto histórico de projetos semelhantes à chamada “inteligência artificial”, mas neste momento, com a capacidade máxima de alcançar o máximo possível para a versão 3.5, o ChatGPT é uma ampliação, sensibilidade e porta completa para estender a Os recursos dos atacantes e com eles aumentam a superfície do ataque. Como vimos, temos recursos que vão desde esses exemplos enviados até o desenvolvimento e modificação de exploits conhecidos, desenvolvimento de malware e código LOLBIN (Living off the Land Binaries), segmentação, proliferação e troca de vetores complexos de phishing e por suposto, Maiores recursos para desenvolvimento de ataques de Dia Cero.

Um escalofriante exemplo do primeiro alistado, foi compartilhado pelo equipamento da CyberArk, que usa o ChatGPT para criar malware polimófico, é decir, código que muda seu comportamento em cada vítima para evitar a detecção. O técnico informado revelou que poderia eludir algumas medidas de segurança usando uma API em um código Python. O resultado é um novo tipo de Malware, funcional que muda para ser indetectável pelos antivírus tradicionais baseados em empresas.

É dito, a ofensiva cada dia mais cerca de qualquer, envolvendo vetores de ataque completos fáceis de entender para quem quiera preguntar (bom, tal vez, qualquer com um mínimo de treinamento técnico). Mas não é isso que se trata de tecnologia? Siendo assim, avancemos todos e veremos onde nos levaremos em um curto plazo, como es finales de 2023, onde se preveé que se encuentre no máximo de suas opções de configuração.


Como nota final, através deste enlace estás a um passo de interagir com o chat: https://openai.com/blog/chatgpt/ mas também existem opções de código aberto que você pode aprender e responder com respostas em espanhol como o OpenAssistant https://open-assistant.io/es, onde todos podemos colaborar. Espero que tal vez, se não estás impressionado também, haya podido gerar ao menos, una pequeña duda.

Fátima Rodríguez é uma apaixonada pela segurança ofensiva, trabalhando atualmente como Analista de Inteligência de Cibersegurança, realizando diversos serviços desta rama. Le gusta aprender, compartir y hacer comunidad en el field de la ciberseguridad.
Se você está gostando de nosso conteúdo, por favor, compartilhe esta postagem com sua comunidade nas redes sociais.
Compartilhe Este