Escolar Documentos
Profissional Documentos
Cultura Documentos
Everson Feuser
Marcos Maia
Rivalino Matias Júnior
Agosto/2002
AGENDA
INTRODUÇÃO
Empresa fundada em Florianópolis no ano de 1991
Breve Histórico
O Hacker
Começo...& Cracker
Estatísticas de Segurança
Aquisição de Alvos
Varreduras
Enumeração
Windows 9x
Windows NT
AGENDA
’
PARTE
EmpresaIII – fundada
HACKINGemDEFlorianópolis
REDE no ano de 1991
Dispositivos de Rede
O Firewalls
Começo...
Ataques de Recusa de Serviço (DoS)
Controle Remoto
I ntrodução
Histórico
I ntrodução
Hacker & Cracker
I ntrodução
Novas Modalidades
Novas modalidades:
Warchalking (guerra do giz)
Marcações, pichadas, em áreas externas de
empresas que possuem rede wireless não
criptografada.
Hacker Cognitivo
Produção, adulteração e/ou divulgação de
informações inverídicas, pela Internet, podendo
causar danos a terceiros;
I ntrodução
Vítima de Hacking Cognitivo
http://www.ericsson.com.br/email_falso.htm
COMUNICADO IMPORTANTE
A Ericsson vem sendo vítima de uma seqüência de fraudes disseminadas
por meio da Internet.
Segundo uma delas a empresa estaria distribuindo aparelhos celulares
gratuitamente.
O e-mail que dissemina essa falsa mensagem vem assinado por Anna
Swelund, que falsamente se intitula funcionária da empresa.
Esta funcionária, bem como a suposta promoção não existem.
A Ericsson lamenta que a Internet, tão importante para as comunicações
globais, seja utilizada de maneira inescrupulosa, causando sérios
transtornos à empresa e abusando da boa fé das pessoas.
A Ericsson esclarece ainda à opinião pública que está tomando as
providências cabíveis para identificar a origem destas ações fraudulentas.
Ericsson Telecomunicacões S.A.
I ntrodução
Estatísticas
Incidentes
60000
50000
40000
30000
20000
10000
0
2000 2001 2002
Fonte: Computer Security Institute/FBI Computer Fonte: CERT Coordination Center
Intruder Squad 20:30 29/08/2002
I ntrodução
Brasil no Ranking
Hackers catch World Cup fever
Friday, 23rd August 2002 - Brazil's triumph in the
football World Cup may have spurred the country's
hackers to emulate the success in cyber-space.
Brazilian hackers are now the most prolific in the
world, taking over from Eastern European groups
which dominated cyber-attacks in the 1990s,
according to security firm mi2g. There appears to be
no political motivation for activities of the hackers,
said mi2g. Instead they seem to have been inspired
by World Cup fever and the intellectual challenge of
breaking into sites.
I ntrodução
Exemplos de Defacements - BR
GLOBO (2002)
INF.UFSC.BR (1999)
Massdefacement
Em 22/07/2002, o grupo Brasileiro Hax0rs Lab.
Realizou o maior ataque em massa já existente na
Internet, desfigurando 1.158 site de uma só vez.
Site do Hax0rs Lab (defaced) !!!
Parte I
Cercando a Instituição
P arte I – Cercando a Instituição
Footprinting
P arte I – Cercando a Instituição
Footprinting
P arte I – Cercando a Instituição
Footprinting
P arte I – Cercando a Instituição
Footprinting
Plataforma
Webserver
Provedor de
Backbone.
DIGESTO.NET
REGISTRO.BR:
domínio:
Empresa fundadaE-HOST.COM.BR
em Florianópolis no ano de 1991
entidade: Sede Internet Ltda.
documento: 001.438.091/0001-04
O Começo...
responsável: Sede Internet
endereço: SCN. Quadra01 Bloco E Sala 606 –
Ed. Central Park., s/n, Asa Norte
endereço: 70711-000 - Brasilia - DF
telefone: (0800) 610510
ID entidade: SEI
ID admin: SEI
ID técnico: SEI
ID cobrança: SEI
servidor DNS: NS1.E-HOST.COM.BR 200.190.159.21
......
Plataformas de
SO e Webserver
Provedor de
Backbone.
P arte I – Cercando a Instituição
Varredura
A varredura testa cada endereço obtido nos passos
anteriores, a fim de verificar quem está ou não ativo;
Nesta etapa é possível se descobrir endereços ativos
que não foram identificados na fase anterior;
Os tipos mais comuns de varredura são:
Varredura de endereço (IP, NETBIOS, etc.)
Identificação dos elementos ativos;
Varredura de portas (port scanning)
Identificação dos serviços prestados pelos
elementos ativos.
P arte I – Cercando a Instituição
Varredura
root@BigIP /root]# nmap -O www.acme.com.br
Starting nmap V.2.54BETA30 (www.insecure.org/nmap/)
Interesting ports on (200.121.XYZ.121):
(The 1545 ports scanned but not shown below are in
state: filtered)
Port State Service
25/tcp open smtp
53/tcp open domain
80/tcp open http
443/tcp closed https
Remote operating system guess: Solaris 2.6 - 2.7
Uptime 225.234 days (since Thu Jan 17 12:35:57 2002)
Nmap run completed -- 1 IP address (1 host up)
scanned in 200 seconds
P arte I – Cercando a Instituição
Varredura
Detecção do Sistema Operacional (fingerprinting)
Diferenças entre implementações do TCP/IP stack;
Utiliza-se de um scan port para coletar dados da
implementação TCP/IP;
Exemplo de sonda - TCP FIN:
Um pacote FIN é enviado para uma porta
aberta. A RFC 793 afirma que o comportamento
correto é não responder este pacote, contudo, a
implementação desta RFC pelo WindowsNT
responde com um FIN/ACK.
P arte I – Cercando a Instituição
Enumeração
Identificação de contas de usuários e recursos
compartilhados mal protegidos;
A diferença da enumeração em relação aos métodos
anteriores é o nível de invasividade do sistema alvo;
Estas técnicas são direcionadas e normalmente
dependentes do sistema operacional;
Detecção de recursos e compartilhamentos;
Usuários e grupos;
Aplicativos e banners.
P arte I – Cercando a Instituição
Enumeração
P arte I – Cercando a Instituição
Contramedidas
Footprinting:
Selecionar a informação que será armazenada
em bases públicas de serviços de rede
(REGISTRO.BR);
Configurar o serviço de DNS para não fazer a
transferência de sua zona para sistemas não
autorizados;
Varreduras
Controlar o tráfego ICMP através de sistemas
Firewall e IDS;
Customização no próprio SO;
P arte I – Cercando a Instituição
Contramedidas
Enumeração;
Controle efetivo dos recursos de rede (usuários,
dispositivos compartilhados, etc.);
Implementação de políticas de controle de acesso
(ex. single sign one);
Adoção de sistemas Firewall e IDS, a fim de evitar
enumerações por banners.
Parte II
Hacking de Sistemas
Hackers Hackeando o WIN 9X
Considerações Gerais
Foi priorizada a facilidade de uso em detrimento da
Empresa fundada em Florianópolis no ano de 1991
segurança;
O WIN 9x não foi projetado para ser um sistema
O Começo...
multiusuário;
Seus recursos de administração remota são bastante
limitados;
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Conexão ao Compartilhamento
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Hackers Hackeando o WIN 9X
Recusa de Serviço
Hackers Hackeando o WIN 9X
Usando o Console
Contra medidas:
Configurar senha do BIOS
Ferramentas comerciais de segurança para o Win 9x
Hackers Hackeando o WIN 9X
Usando o Console
Usar a execução
Empresa automática
fundada (CD com o no
em Florianópolis arquivo
ano de 1991
autorun.inf com a linha ‘open=‘)
O Começo...
O Win 95 executa o autorun, mesmo com a proteção de
tela ativa com senha.
Hackers Hackeando o WIN 9X
Solução : Windows NT
Hackers Hackeando o WIN 9X
Reveladores de senhas
www.lostpassword.com
Hackers Hackeando o WINDOWS
NT
Passos
•OObtenção
Começo...
de privilégios de super-usuário
• Consolidação do poder
• Ocultação de trilhas
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
Empresa
A fundada
busca pelo em Florianópolis
Administrador no ano
- Nos sistemas NT, de
um 1991
intruso remoto não é nada se não tiver privilégios de
O Começo...
administrador.
Mecanismos:
Adivinhação de senhas
Explorações remotas
Escalação de privilégios
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
Empresa fundada
ADIVINHAÇÃO em Florianópolis no ano de 1991
DE SENHAS
OManual
• Começo...
• Automatizada
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
ADIVINHAÇÃO DE SENHAS - a maior brecha de
Empresa fundada em Florianópolis no ano de 1991
qualquer rede é a senha nula ou trivial de adivinhar
O•Começo...
Manual
• Automatizada
Usa programas de adivinhação:
Legion
NetBios Auditing Tool-NAT
NTInfonScan
CyberCop Scanner
Requerem uma lista de usuários válida para o sistema-
alvo.
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
Hackers Hackeando o WINDOWS
NT
Obtenção de privilégios
Hackers Hackeando o WINDOWS
NT
Consolidação do poder
Hackers Hackeando o WINDOWS
NT
Consolidação do poder
Controle remoto
Empresa e porta
fundada dos fundos no ano de 1991
em Florianópolis
Aplicativos:
O Começo...
Remote Command Line - remote.exe
Remote Command Service - rcmd.exe
netcat - www.l0pht.com/netcat
NetBus
Back Orifice 2000
WinVNC (www.uk.research.att.com/vnc)
Hackers Hackeando o WINDOWS
NT
Ocultação de Trilhas
O intruso,fundada
Empresa após obter
em acesso de administrador
Florianópolis no ano no
de 1991
sistema, tentará impedir a detecção da sua presença.
O Começo...
DESATIVAÇÃO DA AUDITORIA - com os
privilégios obtidos, desativa-se a auditoria na entrada e
reativa-se na saída
LIMPAR O REGISTRO DE EVENTOS - pode-se
usar o elsave (www.ibt.ku.dk/jesper/NTtools/)
Parte III
Hacking de Rede
P arte III – Hacking de Rede
Dispositivos de Rede
Problemas comuns encontrados em roteadores,
switches, RAS, modem ADSL, outros:
Agentes SNMP – community public
Contas e senhas default do fabricante;
Backdoor de fabricantes;
Logs de acesso desabilitados;
Acesso físico não controlado;
Meio físico Comutado vs. Compartilhado
Switch vs. Hub
P arte III – Hacking de Rede
Dispositivos de Rede
FIREWALL: Sistema que implementa uma barreira
entre um ambiente controlado e uma rede
considerada insegura;
Deve estar preparado para receber diversos tipos
de ataque;
Deve estar preparado para conter diversas
formas de sondagem (varredura, enumeração,
fingerprint, etc.);
Deve ser escalável;
Sua presença não é o suficiente para garantir a
segurança do ambiente.
P arte III – Hacking de Rede
Dispositivos de Rede - Firewall
FILIAIS
Firewall
SERVER
Inseguro FARM
Dial-up /
LPs L.A.N.
CORPORATE
P arte III – Hacking de Rede
Dispositivos de Rede - Firewall
TIPOS DE FIREWALL:
Proxy de aplicação;
Filtragem de pacotes (stateless);
Filtragem de pacotes (statefull);
P arte III – Hacking de Rede
Dispositivos de Rede - IDS
IDS: Sistema de Detecção de Intrusão, implementa
um nível adicional de segurança em caso de tentativas
e/ou ocorrência de uma invasão.
Pode ser de rede (NIDS) ou Host (HIDS);
Trabalha de forma passiva e/ou ativa (reação);
Centralizado ou distribuído;
Integrável com outras soluções de segurança;
Deve ser escalável;
Sua presença não é o suficiente para garantir a
segurança do ambiente.
P arte III – Hacking de Rede
Firewall / IDS
ACME S/A
Varreduras de IP
Port scanning
Inseguro
Sondagem de NIDS
Sniffer Server
monitoring/analysis
Fingerprint
etc.. L.A.N. SERVER
CORPORATE FARM
P arte III – Hacking de Rede
Ataques DoS – Denial of Service
P arte III – Hacking de Rede
Ataques DoS – Denial of Service
Rede
Rede C
C Rede
Rede D
D
A rede B
é o alvo !
Rede
Rede A
A Rede
Rede B
B
P arte III – Hacking de Rede
Ataques DoS – Denial of Service
Rede
Rede C
C Rede
Rede D
D
Rede
Rede A
A Rede
Rede B
B
P arte III – Hacking de Rede
Contramedidas
Parte IV
Hacking de Software
H acking de Software
REMOTO
Ao Administrador
Suporte remoto
H acking de Software
SOFTWARES C R
LISTA
pcAnywhere
Empresa www.
fundada emsymantec .comno ano de 1991
Florianópolis
ReachOut www.stac.com
O Começo...
Remotely Anywhere .com
Timbuktu www.netopia.com
Virtual Network Computing
www.uk.research.att.com/vcn
H acking de Software
FRAQUEZAS
Vulnerabilidades
Senhas reveladas;
Tansferência de perfis.
H acking de Software
CONTRAMEDIDAS
Segurança
H acking de Software
CONTRAMEDIDAS
Segurança
O Começo...
Autenticação Alternativa
H acking de Software
COMPARAÇÃO
Qual é o Melhor?
O Começo...
ReachOut?????
Remotely Anywhere?????
Timbuktu?????
H acking de Software
PCANYWHERE
Qual é o Melhor?
O Começo...mais popular
SYMANTEC
H acking de Software
REACHOUT
Qual é o Melhor?
O Começo...
sem meios para senhas robustas
H acking de Software
REMOTE ANYWHERE
Qual é o Melhor?
Empresa
novo com fundada em Florianópolis
muita promessa no mercadono ano de 1991
O Começo...
oferece todas as funções administrativas via Web
H acking de Software
TIMBUKTU
Qual é o Melhor?
H acking de Software
VIRTUAL NETWORK COMPUTING
Qual é o Melhor?
Gratuíto
H acking de Software
PARA EVITAR ATAQUES
PRINCÍPIOS
C onclusões
Segurança é 80% definição e aplicação de políticas;
Trabalhar com segurança exige atualização diária;
Previna-se contras as vulnerabilidades mais críticas:
Instalações default de sistemas operacionais e
aplicativos;
Contas sem senhas ou com senhas fracas;
C onclusões
Muitos sites referenciados pelo livro não existem
mais;
Em minha opinião:
O livro é muito genérico em algumas questões.
São poucas as técnicas que se tem um maior
detalhamento;
A proposta do livro, de abordar vários ambientes,
Linux, Netware, WindowsNT,95,98, não foi bem
sucedida;
O livro tem poucas abordagens sobre a
segurança pessoal, altamente relevante na
sociedade da informação.