GCC242 – Segurança,

Auditoria e Avaliação de
Sistemas de Informação
Aula 10 – Pentest [Técnicas de ataque + Certificações de Teste de Segurança da
Informação]

Victor Hugo Santiago

Departamento de Ciência da Computação
victor.santiago@usp.br
Possibilidades para os testes de invasão

Redes e Sistemas – vulnerabilidades e possibilidades de invasões em redes de

computadores e ambientes corporativos

Aplicações Web – vulnerabilidades como XSS, CSRF e SQLi, riscos de comprometimento de

integridade, confiabilidade e disponibilidade

Redes Sem-fio: infraestrutura sem fio é uma porta de entrada para ataques pontenciais

Aplicativos mobile: podem ser explorados por atacantes ou usuários mal-intencionados

Cloud: identificação de impactos potenciais considerando as particularidades desse modelo

Aplicações web

Cross Site Scripting (XSS): é um tipo de injeção, em que scripts maliciosos são injetadas em
sites de outra forma confiável. Esse tipo de ataque ocorre quando um invasor usa uma
aplicação web para enviar código malicioso, geralmente na forma de um script do lado do
navegador, para um usuário final diferente.

Falhas que permitem que estes ataques para ter sucesso

são bastante generalizadas e podem ocorrer em qualquer
lugar que uma aplicação web usa a entrada de um usuário
dentro da saída que é retornada sem validar
ou higienizá-lo.
Aplicações web

CSRF (Cross-site request forgery- Falsificação de solicitação entre sites): é um tipo de ataque
informático malicioso a um website no qual comandos não autorizados são transmitidos
através de um utilizador em quem o website confia. Em contraste com o XSS, que explora a
confiança de um utilizador para um site particular, o CSRF explora a confiança que um
website tem do navegador do usuário.

Iludem o navegador do usuário para o envio de solicitações HTTP para um site de destino
Aplicações web

SQLi: é uma técnica de ataque baseada na manipulação do código SQL, que é a linguagem
utilizada para troca de informações entre aplicativos e bancos de dados relacionais.

O invasor pode inserir ou manipular consultas criadas pela aplicação, que são enviadas
diretamente para o banco de dados relacional.

Por que o SQL Injection funciona?

●
Por que a aplicação aceita dados arbitrários fornecidos pelo usuário (“confia” no texto digitado);

●
As conexões são feitas no contexto de um usuário com privilégios altos.
Algumas técnicas para roubo de senhas

Dictionary Attack: tentar todas as sequencias de caracteres em uma lista pré-estabelecida

por um script ou programa, normalmente derivada de uma lista de palavras que o hacker usa
baseado em possibilidades de login e senha que um usuário poderia usar
Algumas técnicas para roubo de senhas

Ataque de força bruta: consiste de verificação sistemática de todas as possíveis chaves e

senhas até que as corretas sejam encontradas. No pior dos casos, isto envolveria percorrer
todo o espaço de busca.
Algumas técnicas para roubo de senhas

Port Scan Attack (Scanner de Porta): objetivo de mapear as portas TCP e UDP. Neste teste
ele identifica o status das portas, se estão fechadas, escutando ou abertas. Pode-se explicitar
o range de portas que o aplicativo irá scanear, por ex: 25 a 80. Geralmente, os port scanners
são usados por pessoas mal intencionadas para identificar portas abertas e planejar invasões
(Nmap)
Algumas técnicas de pós-exploração e
vulnerabilidades em PENTEST
Coletando o arquivo SAM: o SAM é o arquivo responsável por guardar encriptados os
hashes de sistemas Microsoft. Nele o administrador pode ser compartilhado entre as
máquinas com importância diferentes; algum administrador de domínio pode aparecer e
acabar revelando os usuários de domínio

Pivolt: utilizar da máquina comprometida para acesso a segmentos de rede onde a máquina
de origem não tem acesso. Ou seja, o testador usa a máquina comprometida para atacar
outras maquinas
Algumas técnicas de pós-exploração e
vulnerabilidades em PENTEST
Arquivos importantes: procurar por arquivos de informação que podem conter dados que
podem levar o consultor a comprometer outros sistemas. Dica: arquivos de configuração
podem dar dados importantes

Keylogger: algumas vezes nada pode ser encontrado no host, porém algum usuário utiliza
senha e pode dar informações que o testador procura. Tudo o que a pessoa digitar, uma vez
que existe o keylogger, pode ser explorado para conseguir informações futuras

Enumeração de usuários: alguns serviços permitem que os usuários (sem privilégio)

consigam enumerar os usuários do sistema. Nem sempre a primeira exploração é a primeira
que pode fazer a experiência no pentest.
Certificações de Teste de Segurança da Informação

Exercício no campusvirtual!