स्टेरॉयड पर पेंटेस्ट। प्रक्रिया को स्वचालित करें

इस विषय के साथ मैंने CodeFest पर बात की। और यहाँ मैं शब्दों के साथ फिर से बताऊँगा कि क्या, कैसे और क्यों।


रिपोर्ट काफी सतही है और सूचना सुरक्षा के क्षेत्र में लगभग कोई योग्यता की आवश्यकता नहीं है। इसे लक्षित दर्शकों (वेब ​​डेवलपर, परीक्षक (पैठ नहीं), सिस्टम प्रशासक, आदि) के लिए डिज़ाइन किया गया था। सब कुछ काफी सरल है: कई उपयोगिताओं, उन्होंने शुरू किया, वे इंतजार करते हैं, हम रिपोर्ट को पार्स करते हैं।

सम्मेलन का वीडियो आमंत्रण:

Pentest

"पेंटेस्ट" ( प्रवेश परीक्षण ) - "घुसपैठियों" के साधन और तरीकों द्वारा अंत नोड या संसाधन की सुरक्षा का मूल्यांकन © विकी । हैकिंग से अंतर यह है कि यह (हैकिंग) आवश्यक उद्देश्यों के लिए किसी भी भेद्यता को खोजने, इसे अनसुना करने और शोषण करने का कार्य है। यहाँ लक्ष्य का व्यापक विश्लेषण किया गया है।

हम क्या कर रहे हैं?

लक्ष्य "ब्लैक बॉक्स" रणनीति के अनुसार नेटवर्क संसाधन के पैठ परीक्षण को स्वचालित करना है, सॉफ्टवेयर पर एक प्रतिशत खर्च किए बिना उद्देश्य परिणाम प्राप्त करना।

परीक्षण कदम

हम परीक्षण को 2 चरणों में विभाजित करते हैं:

1. नेटवर्क सेवा परीक्षण
2. वेब अनुप्रयोग का परीक्षण करना

हम कमजोरियों की तलाश करेंगे, जारी किए गए कारनामों की जांच करेंगे, "कमजोर" खातों, कॉन्फ़िगरेशन त्रुटियों, साथ ही साथ बस मानवीय लापरवाही की तलाश करेंगे।

चलो चलें!

भाग 1. नेटवर्क सेवाएँ - आर्मिटेज (nmap + msf)

Armitage Metasploit फ्रेमवर्क और Nmap के लिए GUI है। यह लक्ष्य की कल्पना करता है, डेटा एकत्र करता है, और आमतौर पर एक पेंटेस्ट को हैक करने की प्रक्रिया को सरल करता है।



अधिक स्पष्ट रूप से कल्पना करना कि दांव पर क्या है, यहाँ एक स्क्रीन है:


मॉड्यूल (नीले रंग में) - शोषण और पोस्ट-शोषण का चयन (सत्र स्थापित होने के बाद उपयोग किया जाता है। उदाहरण के लिए, कॉन्फ़िगरों का एक डंप पाने के लिए)।

लक्ष्य (नारंगी में) - लक्ष्य ही। लक्ष्य की स्थिति के आधार पर, इसका आइकन बदलता है। यदि आपने केवल आवश्यक होस्ट जोड़ा है और इसके बारे में कुछ भी ज्ञात नहीं है, तो बस एक "ब्लैक" मॉनिटर या उपकरण आइकन होगा। यदि आप ओएस स्थापित करने में कामयाब रहे, तो ओएस आइकन दिखाई देगा। और "अंतिम" राज्य - बिजली के साथ एक लाल फ्रेम में एक आइकन - एक कारनामे ने काम किया, शेल सत्र स्थापित करना संभव था।

टैब (हरा) - वर्तमान कार्य गतिविधि का कंसोल

चलिए प्रक्रिया पर चलते हैं।

• होस्ट जोड़ें (होस्ट्स -> होस्ट्स जोड़ें)
• इस पर राइट क्लिक करें, स्कैन करें । इस स्तर पर, उपर्युक्त नैंप शुरू नहीं किया गया है, लेकिन मेटासैप्लोइट में निर्मित पोर्ट स्कैनिंग मॉड्यूल। लेकिन आप इस कार्य के लिए Nmap का भी उपयोग कर सकते हैं।
• हमलों -> हमलों का पता लगाएं । इस चरण में, सेवाओं के लिए उपलब्ध कारनामों के लिए एक खोज की जाती है (खुले बंदरगाहों पर एक मैच होता है)।
• हमलों -> जय मेरी । यह ऊपर दिए गए कदम से बारी-बारी से होने वाले कारनामों के लिए मॉड्यूल है। एक शोषण शुरू करता है और रिवर्स कनेक्शन की प्रतीक्षा करता है। कृपया ध्यान दें कि इसके लिए आपका आईपी "सफेद" होना चाहिए।
• हम ऑपरेशन पूरा होने का इंतजार कर रहे हैं। प्रक्रिया इस तरह से होती है

हेल ​​मैरी मॉड्यूल के पूरा होने के बाद, दो परिणाम हमारा इंतजार करते हैं। या शोषित (ओं) ने काम किया और सत्र (ओं) का निर्माण किया


या नहीं


रनिंग नेटवर्क सेवाओं की जाँच करने के बाद, सार्वजनिक कारनामों के प्रतिरोध की जाँच करने के बाद, आप डिफ़ॉल्ट / व्यापक खातों की भी जाँच कर सकते हैं। ऐसा करने के लिए, लक्ष्य मेनू से लॉगिन -> सेवा वर्ग -> चेकमार्क "सभी क्रेडेंशियल्स की जांच करें" -> लॉन्च करें।

Armitage , Metasploit Framework, Metasploit का हिस्सा है, जिसे यहाँ डाउनलोड किया जा सकता है । मोमेंट: इंस्टॉलेशन के बाद, केवल 1 बार फ्रेमवर्क कंसोल को शुरू करें और इसे बंद करें (प्रारंभिक डेटा को प्रारंभ करना)। उसके बाद, Armitage शुरू करें और इसे मेटास्प्लोइट RPC सर्वर शुरू करने की अनुमति दें।

भाग 2. वेब

• Nikto
• Skipfish
• Havij
• 1337day.com, शोषण- db.com

पल। मैंने वेब-संसाधनों और न केवल v2 के लिए नि: शुल्क टूल के लेख अवलोकन में निकटो और स्किपफिश के बारे में बात की

निकोलेट एक unletleted फाइल (/1.php /info.php), डेटाबेस प्रबंधन स्क्रिप्ट (phpmyadmin, phppgadmin, आदि) की उपस्थिति और बस कमजोर स्क्रिप्ट जैसे छेद खोजने के लिए एक पर्ल उपयोगिता है। वह बाद के साथ बहुत तंग है, क्योंकि सत्यापन केवल आवश्यक HTTP अनुरोध भेजकर और प्रतिक्रिया कोड (404/200) को देखता है, और यह नहीं कि स्क्रिप्ट वास्तव में पहले से ही जारी शोषण के लिए अतिसंवेदनशील है।
पुनश्च वास्तव में, यह लंबे समय से अपडेट नहीं किया गया है, आपको प्रतिस्थापन (या इसे संशोधित करने) की तलाश करने की आवश्यकता है ... अब तक, केवल भुगतान किए गए एनालॉग्स ही जानते हैं।



उत्पाद पृष्ठ - www.cirt.net/nikto2

Skipfish
Google से कमजोरियों के लिए वेब स्क्रिप्टिंग स्कैनर (अब न केवल मिशाल ज़ाल्स्की इस पर काम कर रहा है)। वह सब कुछ खोजता है जो संभव है, जितना संभव हो (लगभग 5 दिन लग गए), ट्रैफ़िक खाती है और परिणामस्वरूप एचटीएमएल 5 में एक रिपोर्ट तैयार करती है। याद रखें, मैंने सर्वर को कुछ समय के लिए रखा, जिससे सेवा से वंचित कर दिया गया, अतिप्रवाह / tmp (मैंने प्रत्येक php कॉल के साथ सत्र बनाया)।

यहां स्रोतों को डाउनलोड करें , और जीत के तहत एकत्र किया जा सकता है यहां डाउनलोड किया जा सकता है ( इस लेख में उल्लेख किया गया है)।


हविज - एसक्यूएल इंजेक्शन को ढूंढता है और उसे खोल देता है । सामान्य तौर पर, चीज़ में स्पष्ट रूप से काम करना चाहिए, जल्दी से, कुछ फ़िल्टर को बायपास करता है (हालांकि एक चीज थी, एक बैंल डब्ल्यूएएफ ने बाईपास नहीं किया था, इस कार्य में सीटीएफ के लिए जाँच की गई थी)। दो संस्करण हैं - भुगतान किया और मुफ्त। वे कार्यक्षमता में भिन्न हैं। और सबसे जरूरी विशेषताओं में से एक सीएनसी पैरामीटर में एक इंजेक्शन की खोज करना है, जैसे कि
site.com/users/ sql_inj / टॉपिक्स
जो मुक्त संस्करण में नहीं है। यह बताने के लिए अधिक कुछ नहीं है, कार्यक्रम में एक जीयूआई है, सब कुछ बेहद स्पष्ट और सुविधाजनक है :)

यहाँ डाउनलोड करें

1337day.com / शोषण- db.com
ज्यादातर उन स्थितियों के लिए अभिप्रेत है जहां लक्ष्य संसाधन पर पुनर्वितरण योग्य स्क्रिप्ट मिलती हैं। हम ऊपर की साइटों पर जाते हैं और उनके लिए कारनामों की तलाश करते हैं, और इसे एक-एक करके शुरू करते हैं (एक प्रकार की हेल ​​मैरी से आर्मिटेज)। यह इस बिंदु पर विचार करने योग्य है कि स्क्रिप्ट प्लगइन्स स्वयं स्क्रिप्ट की तुलना में अधिक कमजोर हैं।

इसके अलावा, वेब का विश्लेषण करते समय, ऐसा हो सकता है कि एक "पड़ोसी" असुरक्षित अनुप्रयोग है, और इसके माध्यम से आप विश्लेषक तक पहुंच सकते हैं और उसी डेटाबेस को मर्ज कर सकते हैं, इसे वायरस या दोष के साथ संक्रमित कर सकते हैं।

और क्या?

उपकरण अनजाने हैं, यह शीर्ष सेकंड-सूची को सूचीबद्ध करने के लिए कोई मतलब नहीं है, लेकिन कुछ "संयोजनों" को नहीं बुलाया जा सकता है। सच है, वे पहले से ही अप्रत्यक्ष रूप से हमारे विषय से संबंधित हैं (प्रति सॉफ्टवेयर 0 सेंट के बारे में याद रखें?), लेकिन आप शेयरवेयर संस्करण प्राप्त करने का प्रयास कर सकते हैं।

MaxPatrol / XSpider
पॉजिटिव टेक्नॉलॉजी के घरेलू उत्पाद, जिनके कर्मचारी भी हब्राह्रा में लिखते हैं । XSpider (7.8) MaxPatrol का एक स्ट्रिप-डाउन संस्करण है। 7 वीं शाखा में पिछले संस्करणों के साथ करने के लिए लगभग कुछ भी नहीं (यह अजीब है कि उन्होंने प्रमुख संस्करण को नहीं बदला, क्योंकि इसके लिए हर कारण है)। XSpider 7.8 के बारे में वेबिनार (ओलेग मैट्यकोव से, पॉजिटिव टेक्नोलॉजीज़ में डिज़ाइन सॉल्यूशंस के प्रमुख) के बारे में यहां ( पीडीएफ ) देखा जा सकता है।
सामान्य तौर पर, मैं नए XSpider के बारे में कुछ शब्द कहना चाहूंगा। एक ऋण के रूप में, मैं इंटरफ़ेस निकालूंगा, यह बहुत अधिक भारित और गैर-कल्पना (IMHO) था। लेकिन, ज़ाहिर है, कि हमें उत्पाद से कुछ अलग चाहिए, बस स्कैन में लगभग पूरा लेख शामिल है, कुछ बिंदुओं को छोड़कर (उदाहरण के लिए, स्किपफिश आत्म-शिक्षा है, और जितना अधिक आप इसे चलाते हैं, उतना ही अधिक इसका शब्दकोश), हालांकि इसकी भरपाई की जाती है। बस निरंतर नए उत्पाद के सिर के साथ बनाता है। वह खुद को पैरीपिचन के साथ अच्छी तरह से कुचल दिया जाता है, ठीक है, बस हर चीज के साथ जो संभव है। जानवर बल के लिए डिक्शनरी भी प्रसन्न हुई। सामान्य तौर पर, मैं हाल ही में एक संसाधन (रनट में सबसे लोकप्रिय में से एक) पर एक भेद्यता खोजने में कामयाब रहा, जिसके बारे में मैंने केवल संक्षेप में सुना और कोई अन्य स्कैनर नहीं मिला। मेजबानों की संख्या पर प्रतिबंध के साथ शेयरवेयर संस्करण को पीटी बिक्री विभाग से संपर्क करके प्राप्त किया जा सकता है, और पहले से ही अपने संसाधनों पर प्रयास करें।

Acuentix
वेब स्कैनर, शुरुआती लोगों के लिए सुविधाजनक, बहुत सहज इंटरफ़ेस। पूर्ण संस्करण को बिक्री विभाग से भी अनुरोध किया जा सकता है, वे बहुत उत्तरदायी हैं। बस ध्यान रखें कि बाद में वे आपके मेल को भर देंगे - "आपको हमारा उत्पाद कैसा लगा?", "खरीदना नहीं चाहते?", आदि।

नेसस (OpenVAS)
Nessus और OpenVAS के लिए इसका नि: शुल्क समकक्ष। मैं उन्हें शोषण मशीन कहूंगा :) नेसस होम संस्करण नि: शुल्क है, और खुद ओपनवीएएस मुक्त है।

और क्या?

बेशक, हाथों से, किसी ने मैनुअल विश्लेषण को रद्द नहीं किया। यह सीधे निरीक्षक के हाथों और ज्ञान पर निर्भर करता है, थोड़ा किस्मत पर, और "ऊर्जा हैक" पर भी थोड़ा सा, जिसके बारे में आपको कहीं भी लेख नहीं मिलेगा। लेकिन यह हमारे लेख (रिपोर्ट) का विषय नहीं है।

बिल्कुल सही मामला


यह, निश्चित रूप से, सांख्यिकीय कोड विश्लेषण है। आमतौर पर मैं इसे नियमित रूप से करता हूं (हालांकि मैंने इसे अपने जीवन में 2 बार किया, एक दर्दनाक श्रमसाध्य प्रक्रिया और हमेशा संभव नहीं), जैसे कि grep -nr "exec" ./ और परिणाम का विश्लेषण। हालाँकि, इसके लिए स्क्रिप्ट भी हैं, वे आम तौर पर लागू नहीं होते हैं, क्योंकि उनमें से अधिकांश पुराने हैं और उन परियोजनाओं के लिए अभिप्रेत हैं जो फ्रेमवर्क पर नहीं हैं (वे समय जब आप उनके बिना लिखे गए हैं)।

उदाहरण

संभवतः उपयोगिताओं का उपयोग करने का और भी अधिक अनुभव अधिक है (2011 की शुरुआत के मेरे इतिहास से गूँज)

1. ब्लैकबॉक्स, पूरी साइट की जाँच की गई, सीएसआरएफ / एक्सएसएस जैसी चीजें मिलीं, लेकिन संसाधन को पूरी तरह से "पिक" करने के लिए कुछ भी नहीं है।
Armitage-> Host-> Login-> ftp-> सभी क्रेडेंशियल चेक करें
और अनाम है: अनाम गलती से / var / www में देख रहा है

2. ऐसा लगता है कि मैंने 5 दिन बाद हत्या की, पीसी को केवल नींद और भोजन के लिए छोड़ दिया। CSRF / XSS / phpmyadmin , पैकेज मैनेजर द्वारा सबसे अधिक संभावना स्थापित किया गया है, क्योंकि यह लोअर केस में था और Apache उपनामों में पंजीकृत था (तदनुसार, प्रशासक ने यह स्क्रिप्ट सार्वजनिक html में नहीं देखी थी)। पीएमए अभेद्य है (संस्करण कमजोर था, लेकिन गलत परिस्थितियां थीं)। और कुछ भी नहीं ... पहले से ही परेशान था :) स्किपफिश गिर गई (बस स्कैनिंग के कारण डॉस संसाधन के साथ मामला)। संसाधन उठाया, स्किपफिश फिर से स्कैन करता है और एक जानवर पाता है ...
साइट / स्क्रिप्ट / config.ini
बिंगो! एक .ini फ़ाइल जिसे डेटाबेस कनेक्शन कॉन्फिग के साथ सादे पाठ के रूप में अपाचे द्वारा लौटाया जाता है! जैसा कि बाद में पता चला, इसका उपयोग किसी प्रकार की क्रोन लिपि के लिए किया गया था। हम गलती से वितरित पीएमए में उपयोग करते हैं।

PS जैसा कि मीडिया कहता है, ऊपर दिए गए कुछ उपकरण उनके मामलों में बेनामी का उपयोग करते हैं ।

मेरे लिए बस इतना ही एक बोनस प्रस्तुति के रूप में


और हविज और आर्मिटेज (मैं आपको देखने की सलाह देता हूं) का उपयोग करने का एक डेमो।



जो सभी में महारत हासिल है - मेरे हाथ हिलाओ :)

अपडेट 05/25/2012: प्रदर्शन का रिकॉर्ड जोड़ा गया