लेखा परीक्षा। ब्लैक बॉक्स

इस लेख में मैं आपको एक ब्लैक बॉक्स ऑडिट तकनीक की पेशकश करूंगा जिसे आप विशेष ज्ञान के बिना मास्टर कर सकते हैं और इसे अपने संसाधनों के संबंध में लागू कर सकते हैं ।

स्वाभाविक रूप से, लेख को हैकिंग संसाधनों की तकनीक में अनुवादित किया जा सकता है। लेकिन कैसे बचाव करना है, यह जानने के लिए, आपको यह जानने की आवश्यकता है कि हैक कैसे करें। आप अर्जित ज्ञान के लिए जिम्मेदारी लेते हैं;)

और यदि आप एक डेवलपर के रूप में, कम से कम कुछ सिद्धांतों और तकनीकों को जानते हैं जो हैकर्स उपयोग करते हैं, तो मुझे लगता है कि आप उनके (संसाधनों) के लिए थोड़ा शांत महसूस करेंगे और आपकी गतिविधि का परिणाम उच्च स्तर हासिल करेगा

लेख एक बुनियादी स्तर के ऑडिट को प्रदर्शित करता है, हम पढ़ने और समझने के लिए कम सीमा बनाए रखते हैं।

संसाधन सारांश

इस ब्लॉक से पहले, आपको मेरे पिछले लेख का उल्लेख करना चाहिए, क्योंकि इसमें मैंने बहुत सुविधाजनक और प्रभावी मुफ्त टूल प्रदर्शित किए हैं जो हमारी मदद करेंगे।

स्वाभाविक रूप से, यह सब लक्ष्य संसाधन के एक सामान्य विश्लेषण से शुरू होता है। Nmap इससे हमें मदद करेगा। एक पल, इसे कुछ बाहरी मशीन से लॉन्च किया जाना चाहिए, और स्थानीय रूप से नहीं। सबसे अधिक बार, फ़ायरवॉल को स्थानीय नेटवर्क से सब कुछ का उपयोग करने के लिए कॉन्फ़िगर किया गया है, लेकिन यह बाहर से पैकेट को सही ढंग से फ़िल्टर करता है। और हमें वस्तुनिष्ठ मूल्यांकन की आवश्यकता है।

nmap -A -T4 host

और जैसे कुछ मिलता है

Starting Nmap 5.51 ( nmap.org ) at 2011-08-01 11:38 NOVST
Nmap scan report for host (12.34.56.78)
Host is up (0.020s latency).
Not shown: 994 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 5.3p1 Debian 3ubuntu7 (protocol 2.0)
80/tcp open http nginx 0.7.65
81/tcp open http Apache httpd 2.2.14 ((Ubuntu))
|_http-methods: No Allow or Public header in OPTIONS response (status code 200)
111/tcp open rpcbind 2 (rpc #100000)
443/tcp open http Apache httpd 2.2.14 ((Ubuntu))
|_http-title: 404 Not Found
8000/tcp open http Icecast streaming media server
|_http-title: Icecast Streaming Media Server
Service Info: OSs: Linux, Unix

जबकि हम Nmap के परिणामों का विश्लेषण करने जा रहे हैं, हम "वेब ऐप परीक्षण" नीति के साथ समानांतर में नेसस चला सकते हैं। वह हमें एक समान सारांश देगा, और साथ ही वह अपने डेटाबेस में sploits के लिए सेवाओं की जांच करेगा (IMHO, उसकी "चाल" प्राथमिकता में से एक, डेटाबेस को अपडेट करने के लिए मत भूलना!)। हमें उसी चीज़ को दोबारा जाँचने की आवश्यकता क्यों है? जैसा कि अभ्यास से पता चलता है, कभी-कभी Nmap उन सेवाओं को प्रकट कर सकता है जो इनमें से कोई भी उपयोग नहीं करती हैं।

और इसलिए, हम तुरंत एक अपुष्ट फ़ायरवॉल देखते हैं (81 एक स्पष्ट वेब-बैकेंड है जो बंद नहीं है)। सेवा नामों के बाद पैकेज प्रबंधक ((उबंटू) के माध्यम से सॉफ़्टवेयर स्थापित करना। वैसे, अब हम जानते हैं कि उबंटू है)।
हमने यह भी निर्धारित किया कि किस प्रकार का वेब बैकएंड है। लेकिन आमतौर पर इसका संस्करण https का उपयोग करके प्रकट होता है, और यहां इसकी आवश्यकता नहीं थी।

प्रदर्शित नहीं की गई लाइन के बारे में : 994 बंद पोर्ट्स - डिफ़ॉल्ट रूप से, Nmap 1000 कॉमन पोर्ट्स की जांच करता है, जिन पर सेवाएं आमतौर पर परिणाम के तेज आउटपुट के लिए काम करती हैं। एक बंदरगाह मिला - एक हजार में से माइनस 1।

हां, पॉजिटिव टेक्नोलॉजीज के लोग मुझे माफ कर देंगे, लेकिन यहां मैं एक्सस्पाइडर को लॉन्च करने के लिए समानांतर में भी सलाह दूंगा, उदाहरण के लिए, संस्करण 7.7, जो सार्वजनिक रूप से क्रैक किए गए संस्करण में उपलब्ध है (मैं वास्तव में इसके लिए माफी चाहता हूं)।

इसका मुख्य लक्ष्य हमारे पास सामान्य पासवर्ड (विशेषकर ftp के मामले में) की जांच करना होगा। नहीं, बेशक, अभी भी इसके लिए बहुत सारी उपयोगिताओं हैं, लेकिन हमारे पास प्रारंभिक स्तर का ऑडिट है, जिसमें शब्दकोशों, कौशल और समान तकनीकों के ज्ञान की अनुपस्थिति शामिल है। हां, और हो सकता है कि एक्सस्पाइडर खुद हमें दिलचस्प बताए (मैं विश्लेषण में इसकी बहुत ही दुर्लभ त्रुटियों को नोट करना चाहूंगा)

उन्होंने यहां और यहां दोनों जगह संसाधन को "रोक दिया"। आप हमारे लिए उपलब्ध सेवाओं के अधिक विस्तृत "विकास" के लिए आगे बढ़ सकते हैं। यदि नेसस अभी भी जाँच कर रहा है, तो चलो स्प्लिट्स के लिए एक मैन्युअल खोज पर चलते हैं। अधिक या कम प्रासंगिक आधार हैं:

• explot-db
• पैकेट तूफान
• खोज
• securitylab

और अन्य। आमतौर पर, अन्य साइटें पड़ोसी साइटों पर होने वाले कारनामों की खोज कर रही हैं, और लगभग पुनरावृत्ति के लिए, जैसे कि "येरालश", जिसने इसे किसी से भी लिखा था:]

और यहां मैं एक महत्वपूर्ण बिंदु को चिह्नित करूंगा। यदि यह लिखा जाता है कि शोषण आपके द्वारा चलाए जा रहे सॉफ़्टवेयर के इस संस्करण के लिए उपयुक्त है, तो यह एक तथ्य नहीं है कि यह (शोषण) काम करेगा! यह संभव है कि आपके पास सॉफ़्टवेयर का संस्करण है जो पहले से ही पैच है।

Metasploit में Autopwn का उपयोग करने पर हम पहले से प्राप्त ज्ञान (पिछले लेख से) को तुरंत जोड़ देंगे। यह विशेष रूप से उपयोगी है यदि संस्करण और / या सेवाओं के नाम स्थापित नहीं किए जा सकते हैं।

मैं हमारे मामले के लिए शोषण खोजों के परिणाम नहीं दूंगा, मैं सिर्फ सामान्य विश्लेषण तकनीक का वर्णन करता हूं। और यहाँ पहले से ही नेसस समाप्त हो जाना चाहिए था, हम इसके परिणाम जोड़ेंगे (शोषण के लिए दृष्टिकोण की सूक्ष्मता को ध्यान में रखते हुए) और इस बिंदु पर ऑडिट के हमारे संस्करण में वर्तमान चरण समाप्त हो गया है।

और इसलिए हमारे पास पहले से क्या है? सिस्टम के बारे में सामान्य जानकारी, चल रही सेवाएं, अनाम पहुँच / सामान्य पासवर्ड, कारनामों के संपर्क में (जनता में क्या है, भूमिगत के बारे में मत भूलना;))
यह संभव है कि इनमें से कुछ चरणों में संसाधन पहले से ही समझौता कर लेंगे।

अपनी सूक्ष्मताओं के साथ वेब

अधिक बार नहीं, हैकिंग इसी तरफ से होती है। यहां कोई भी निर्देश देना काफी मुश्किल है, क्योंकि यहां स्थितियां बहुत अलग हैं। तो बस एक सामान्य दृष्टिकोण।
हम एक्यूनेटिक्स शुरू करते हैं, हम निको कनेक्ट करते हैं, हम दुखद परिणामों की प्रतीक्षा करते हैं। उन छेदों को बंद करें जो उन्हें मिले थे।

सर्वर पर स्क्रिप्ट का ऑडिट करें

हम जांचते हैं कि हमारे सर्वर पर क्या उपयोग किया गया है।
कस्टम स्क्रिप्ट के मामले में - हम उस जानकारी का विश्लेषण करते हैं जो स्कैनर ने दी और कोशिश की, पेन के साथ कोशिश करें! यह सब आपके स्तर पर निर्भर करता है।
मुख्य सिद्धांत: आने वाले डेटा (जैसे $ _GET, $ _POST, $ _COOKIE ...) के प्रतिस्थापन के साथ कुछ ऐसा है जो उन्हें (जैसा कि डेवलपर द्वारा इच्छित) उम्मीद नहीं थी।
यह सब आपके स्तर पर निर्भर करता है, जिसे आप व्यक्तिगत अनुभव या इंटरनेट से भरे लेखों को पढ़कर सुधार सकते हैं। ए प्लस का विकास निडर सोच होगा।

तीसरे पक्ष की लिपियों के बारे में क्या?
उनके लिए स्प्लिट्स खोजने के लिए हमें उनके संस्करणों का निर्धारण करना चाहिए (उसी डेटाबेस में जो मैंने ऊपर उद्धृत किया है)।

1. आमतौर पर, स्क्रिप्ट पाद में अपना संस्करण प्रदर्शित करते हैं। पल के ऑडिटर के रूप में, यह हमारे लिए सही है। यह स्क्रिप्ट संस्करण के आउटपुट को हटाने के लायक है ताकि एक बार जब आप GHDB परिणाम (Google Dorks उदाहरण ) में न आ जाएं
2. और तरीके? किसी कारण से, 99% डेवलपर्स / डॉक्स फ़ोल्डर या सर्वर (मानव कारक, अज्ञानता, गलतफहमी) के समान फ़ोल्डर अपलोड करते हैं। क्या आपके पास phpbb है? या वर्डप्रेस? और अब हमारे पास थोड़ा अनुभव होगा :)
   phpBB / डॉक्स / CHANGELOG.html
   wordpress / readme.html
   वोइला, 95% मामलों में हम स्क्रिप्ट के वर्तमान संस्करण का पता लगा सकते हैं।
3. स्क्रिप्ट की संरचना और संस्करणों में अंतर का ज्ञान। सब कुछ आपके अनुभव और ज्ञान पर निर्भर करता है, जिसकी मदद से आप स्क्रिप्ट का विश्लेषण कर सकते हैं और समझ सकते हैं कि किस संस्करण का उपयोग करने की सबसे अधिक संभावना है।

स्पिलिट्स के लिए जाँच करें। यहां सर्विस सॉफ्टवेयर की तुलना में स्थिति अलग है। ऐसा अक्सर नहीं होता है कि शोषण स्क्रिप्ट के इस संस्करण में फिट नहीं होता है, बहुत कम ही कोई अगले को अपडेट किए बिना वर्तमान को पैच करता है।
लेकिन यहां एक और बिंदु है, कभी-कभी पंजीकरण बंद कर दिया जाता है, कभी-कभी आवश्यक bb कोड निषिद्ध होते हैं, सब कुछ इस विशेष स्थिति के कारण होता है, इसलिए आपको मैन्युअल रूप से सब कुछ जांचने की आवश्यकता है। लेकिन संभव भेद्यता के रूप में यह पहले से ही होता है।

उन्हें स्प्लिट्स नहीं मिले, स्क्रिप्ट का नवीनतम संस्करण है, क्या मैं शांत हो सकता हूं? नहीं
हम कस्टम डेवलपर स्क्रिप्ट का मैन्युअल रूप से परीक्षण क्यों करते हैं, लेकिन नवीनतम संस्करण के साथ लोकप्रिय स्क्रिप्ट के साथ ऐसा नहीं करते हैं? यह रूढ़ियों से छुटकारा पाने के लिए आवश्यक है, और विशेष रूप से - कि हर कोई पहले से ही आपके लिए सब कुछ पा चुका है, लेकिन आप दूसरों की तुलना में चालाक या "अधिक सफल" नहीं हो सकते।

मैं क्यों हूँ? बहुत समय पहले नहीं, मेरी प्रयोगशाला में, मैंने फिलहाल इसके नवीनतम संस्करण (3.0.9) के PHPBB का विश्लेषण शुरू किया था। अब मैं आपको एक तरकीब दूंगा जो आपको विशेषाधिकार नहीं देगा (जब तक कि दुर्लभ मामलों में तालिका उपसर्ग न हो), यह केवल एक सांकेतिक क्षण है

प्रोफ़ाइल -> व्यक्तिगत सेटिंग्स -> सामान्य सेटिंग्स
फ़ील्ड "दिनांक प्रारूप"। हम परिचय कराते हैं

  "" "" 

हमें मिलता है
SQL ERROR [ mysqli ]
Data too long for column 'user_dateformat' at row 1 [1406]

त्रुटि समझ में आती है, आने वाले डेटा की लंबाई htmlentities () लागू होने से पहले ही जाँच की जाती है, और क्वेरी पहले से ही डेटाबेस में है, हमें इसका परिणाम मिलता है।

मैंने आपको केवल लिपियों के अधिकार, एक संसाधन, डेवलपर्स, आदि की धारणा से बाहर करने के लिए यह कहा था।

ऑडिट एक महत्वपूर्ण और एक बार की चीज नहीं है। आपको कम से कम हमेशा जनता में कारनामों की रिहाई के बारे में पता होना चाहिए, ताकि बाद में आपको अंतिम बैकअप की तलाश न करनी पड़े।

निष्कर्ष

मैंने यहां ऑडिटर के काम की योजना की जांच की, इसे उस स्थिति से जोड़ते हुए जब आप खुद की जाँच करते हैं, यह वह जगह है जहाँ "क्रॉस" स्थिति और मिश्रित सर्वनाम चलते हैं। मैं वास्तव में आशा करता हूं कि कोई व्यक्ति जो प्राप्त ज्ञान का उपयोग करने का निर्णय लेता है और तीसरे पक्ष के संसाधन पर कुछ पाता है, व्हाइटहैट पक्ष का चयन करता है और संसाधन व्यवस्थापक को सब कुछ के बारे में सूचित करता है। चूंकि जिम्मेदारी अब आप पर है।

मैंने "सफेद बॉक्स" के बारे में लिखना भी शुरू कर दिया था, लेकिन मैंने इसे हटाने का फैसला किया, और इसलिए यह लेख बहुत बड़ा निकला।
यदि कोई ऐसा व्यक्ति है जिसे "ब्लैक बॉक्स" के ऑडिट को पूरक करने की आवश्यकता है, तो कृपया टिप्पणियों में लिखें और लेख के कुछ बिंदुओं पर चूक के कारण अपना असंतोष व्यक्त न करें। और याद रखें, ये सूक्ष्म बिंदुओं के सुराग के साथ, ऑडिट की मूल बातें हैं। एक अधिक पेशेवर ऑडिट में विशेष स्थानीय प्रॉक्सी सर्वर का उपयोग शामिल है, जो हमारे द्वारा आवश्यक डेटा और अन्य टूल को बदल देगा। खैर, कमजोरियों या सेवा से इनकार के लिए कुछ विशिष्ट तकनीक और जांच।

श्रृंखला:

• वेब-संसाधनों के ऑडिट के लिए नि: शुल्क उपकरणों का अवलोकन और न केवल
• लेखा परीक्षा। ब्लैक बॉक्स
• वेब अनुप्रयोगों में कमजोरियों के साथ-साथ डेवलपर्स की सबसे आम गलतियों के बारे में भी
• केवल वेब-संसाधनों और न केवल v2 के लिए मुफ्त टूल का अवलोकन