UNIVERSIDADE TUIUTI DO PARANÁ

Diogo Adzgauskas Perucio

PENTEST EM SERVIDORES

CURITIBA

2012
PENTEST EM SERVIDORES

CURITIBA

2012
Diogo Adzgauskas Perucio

PENTEST EM SERVIDORES

Trabalho de Conclusão do curso de Pós-

Graduação em Redes de Computadores e
Segurança de Redes – Administração e
Gerência da Universidade Tuiutí do
Paraná.
Professor Orientador: Roberto Néia
Amaral.

CURITIBA

2012
 AGRADECIMENTOS

É difícil nomear todos que merecem meu agradecimento, todos que de uma
forma fizeram ou fazem parte da minha vida, muito obrigado a todos vocês de
coração.

Agradeço principalmente a toda minha Família em especial meus pais Maria

Cristina Adzgauskas Perucio e meu pai Gerson Perucio, por me ensinar os
verdadeiros valores da vida, e sempre confiaram e me ajudaram a passar com
serenidade por todas as dificuldades que a vida nos impôs, meus amigos e colegas
de trabalho por toda compreensão e ajuda.

Agradeço a Mariana Romancini por sua paciência e amor, e estar ao meu

lado em todas as minhas decisões e momentos difíceis que enfrentamos.
 EPÍGRAFE

A popularização leva à aceitação superficial sem estudo sério. As pessoas

apenas repetem as frases que aprendem no teatro ou na imprensa. Pensam
compreender algo da psicanálise porque brincam com seu jargão...
Sigmound Freud
 RESUMO

A proposta do presente trabalho é fazer uma analise detalhada sobre as falhas de

segurança; desatualização de programas e softwares; e vulnerabilidades; que
podem ocorrer, devido ao crescimento da internet, novos softwares e aplicativos, é
necessário garantir a segurança no ambiente coorporativo, segurando a informação,
e dados tanto da corporação quanto dos seus funcionários. Através dessa análise é
possível identificar, corrigir ou mitigar falhas, como prevenção para uma possível
invasão ou um ataque.

Palavras-chaves: PenTest, Servidores, Segurança da Informação.

 LISTA DE GRÁFICOS

GRÁFICO 01 ..........................................................................................................................14
 SUMÁRIO

1. ..............................................................................................................CAPITULO I 11
1.1 .........................................................................................................INTRODUÇÃO 11
1.2 .............................................................................................................OBJETIVOS 11
1.3 .......................................................................................................JUSTIFICATIVA 12
2. ..............................................................................................................CAPITULO II 13
2.1 ............................................................................SEGURANÇA FÍSICA E LÓGICA 13
2.2 ........................................................................ PRINCIPAIS TIPOS DE ATAQUES 14
2.2.1 .................................................................................................Engenharia Social 14
2.2.2 ....................................................................................................................... DoS 14
2.2.3 .....................................................................................................Cavalo de Troia 15
2.2.4 .....................................................................................................................Scan 15
2.2.5 .................................................................................................................Sniffing 15
2.2.6 ................................................................................................ Man in The Middle 15
2.3 ....................................................................... VULNERABILIDADES E AMEAÇAS 16
3. .............................................................................................................CAPITULO III 17
3.1 ................................................................................................................ PENTEST 17
3.2 .................................................................................................... PLANEJAMENTO 17
3.3 ......................................................... LEVANTAMENTO DE DADOS (SO’S E IP’S) 18
3.4 .........................................................................................LISTA DE SERVIDORES 18
3.5 .............................................................................................................EXECUÇÃO 18
4. ............................................................................................................ CAPITULO IV 19
4.1 ........................................................................................ RESULTADO DO TESTE 19
4.2 ................................................................................................................... FALHAS 19
4.3 ..........................................................................................................CORREÇÕES 20
4.4 ................................................................................................ PORTAS ABERTAS 21
5. ............................................................................................................CONCLUSÃO 22
REFERÊNCIAS.........................................................................................................23
 11

1 CAPITULO I

1.1 INTRODUÇÃO

Com os avanços nos dias de hoje nas tecnologias, e com a facilidade de

acesso a internet, qualquer pessoa pode ter banda larga em casa, ou até de um
celular, com isso tem mais pessoas na rede e o trafego aumentou
consideravelmente, a informação tornou-se senão o maior um dos maiores
patrimônios das empresas, por isso cuidados devem ser tomados e ações
preventivas para que esses dados (informação) caiam nas mãos de pessoas não
autorizadas.
A Segurança da Informação vem para proteger esses dados, com três
premissas, são elas Disponibilidade, Confidencialidade e Integridade, garantindo que
a informação esteja integra e disponível a quem deve ter o acesso, além da TI tem
que ter o apoio do RH e a parte Jurídica da empresa.
Uma forma de minimizar essas vulnerabilidades é ter uma boa PSI, que é
um dos maiores obstáculos para a TI, e manter os servidores atualizados, e fazer
periodicamente um Pentestnos servidores pra corrigir falhas e vulnerabilidades, além
da conscientização dos colaboradores, que são as principais ameaças ao ambiente.

1.2 OBJETIVOS

Fazer analise e levantamento de vulnerabilidades em servidores Windows

Server 2008 e Linux Debian 6 (todas Maquinas Virtuais do VirtualBox), todos os SOs
com serviços básicos rodando, será executado um teste de caixa branca (White
Box). Verificar portas abertas (NMAP e Iana), serviços e vulnerabilidades (Nessus).
Após levantamento, analise e classificação da vulnerabilidade (baixa, media e alta),
mostrar e explicar como corrigir suas principais falhas.
 12

1.3 JUSTIFICATIVA

A proposta do presente trabalho é fazer uma analise detalhada sobre as

falhas de segurança; desatualização de programas e softwares; e vulnerabilidades;
que podem ocorrer, devido ao crescimento da internet, novos softwares e
aplicativos, é necessário garantir a segurança no ambiente coorporativo, segurando
a informação, e dados tanto da corporação quanto dos seus funcionários.
Através dessa análise é possível identificar, corrigir ou mitigar falhas, como
prevenção para uma possível invasão ou um ataque.
 13

2 CAPITULO II

2.1 SEGURANÇA FÍSICA E LÓGICA

Quando falamos em segurança da informação, muitos se esquecem de que a

segurança física do ambiente também está envolvida, um servidor bem configurado,
atualizado e constantemente monitorado, de nada adianta se estiver em uma sala
que qualquer pessoa pode ter acesso.

Para isso é necessário a segurança física, desde controles de acessos a sala

ou ao CPD, somente pessoal autorizado poderia entrar nesse ambiente, até mesmo
protegendo-a de acidentes naturais como enchentes por exemplo. Também é
interessante tem um sistema de vigilância 24 horas por sete dias.

Outros cuidados devem ser levados em consideração, como temperatura da

sala onde ficam os servidores, cuidados com a rede elétrica e a aterramento,
cuidados com incêndio os extintores jamais usar a base de agua, é indicado os de
pó químico (CO2) e treinamento com funcionários.

A segurança logica já depende dos controles do computador, em nível de

sistema operacional e aplicativos, como um bom antivírus atualizado, cuidado com
arquivos recebidos via e-mails ou baixados da internet, senhas de acesso, sistema
operacional sempre atualizado e um bom Firewall.

Um servidor pode ser usado para limitar os acessos aos usuários, à

programas, pastas da rede, computadores, ou seja, um funcionário do departamento
administrativo, não pode ter acesso à folha de pagamento, e vice versa, esses
acessos devem estar definidos nas Politicas de Segurança da empresa.
 14

2.2 PRINCIPAIS TIPOS DE ATAQUES

GRÁFICO 01

Fonte: http://www.cert.br/stats/incidentes/2011-jan-dec/tipos-ataque.html acessado em 08/02/2012.

2.2.1 Engenharia Social

O mais ingênuo dos ataques, pois só depende da conversa do atacante com

o usuário, geralmente fazendo-se passar por alguém do departamento de
Informática, solicitando dados sigilosos, ou até mesmo números de documentos,
cartões de credito, nome de pessoas da família e datas importantes.

2.2.2 DoS

Mais conhecido como negação de serviço (DoS – Denialof Service) pode ser
feito da maquina do atacante ou de um conjunto de maquinas, que visam enviar
mais solicitações que o servidor pode processar, assim sobrecarregando a maquina
e tirando ela do ar.
 15

Recentemente uma onda de ataque a sites de bancos brasileiros foi

efetuada pelo grupo Anonymous Brasil (@AnonBRNews), simulando vários acessos
simultâneos eles conseguiram tirar vários bancos do ar, no inicio do ano.

“@AnonBRNews: 349800 Conexões enviadas, 38938 estabelecidas...”

Comentário do grupo Anonymous Brasil (@AnonBRNews) no Twittersobre o ataque a Caixa

Econômica Federal em 04/02/2012. Disponível em: <https://twitter.com/#!/AnonBRNews>. Acesso
em: 8 de fevereiro de 2012.

2.2.3 Cavalo de Troia

O nome desse ataque vem da famosa historia grega, na conquista de Troia,

que hoje em dia é usado esse termo para mascaras programas maliciosos em
programas verdadeiros, com o objetivo de enviar dados do usuário para o atacante.

2.2.4 Scan

Usados para encontrar portas abertas, ao identificar uma porta, pode

encontrar alguma vulnerabilidade nela ou no serviço que rode nela e assim
conseguir fazer a invasão.

2.2.5 Sniffing

São programas que ficam “farejando” o tráfego na rede. Com eles é possível
descobrir sites acessados e até senhas de todos os tipos, como de e-mail e cartões
de créditos.

2.2.6 Man in theMiddle

 16

Conhecido como o “homem no meio”,é literalmente isso, onde o atacante

consegue o controle da maquina entre o atacado e ele próprio, para conseguir
informações e com base nelas, altera suas rotas.

2.3 VULNERABILIDADES E AMEAÇAS

As vulnerabilidades são alguns pontos fracos de um sistema ou aplicativo,

seja ela criada devido a uma má configuração ou uma falha não corrigida, deixar de
atualizar seu sistema operacional Windows permite que seja explorar essa
vulnerabilidade por um atacante, a vulnerabilidade é um fator interno.

As ameaças são um fator externo, que vem geralmente de fora da rede,

explorada uma vulnerabilidade é possível conseguir acesso a maquina desejada.
 17

3. CAPITULO III

3.1 PENTEST

O Pentest é uma forma de analisar a segurança de um software ou servidor,

nesse caso falarei somente sobre servidores. Onde é feita uma simulação de um
atacante, buscando alguma informação, controle da maquina ou simplesmente para
ter o acesso, sem prejudicar os serviços que estão rodando na maquina.

O principal intuito de um teste assim é verificar possíveis falhas, portas

abertas e corrigi-las antes que alguém descubra e possa acessar a rede ou
informações da empresa.

3.2 PLANEJAMENTO

A parte fundamental de um pentestbem feito, tem que ter um escopo com

todas as etapas bem definidas, com base nos resultados obtidos escolheremos o
melhor tipo de ataque no sistema vulnerável.

Para poder assegurar, é interessante o responsável pelos testes fazer um

documento onde a empresa a ser testada está ciente dos riscos e está de pleno
acordo, deve também conter os prazos e se preciso soluções de contorno para
questões especiais que possam vir a ocorrer.

No planejamento também devemos definir o tipo de teste que será feito,

temos os testes de caixa preta, caixa branca e caixa cinza.
 18

Testes de caixa preta são caracterizados por ter nenhum ou pouco

conhecimento sobre a estrutura a ser atacada, os testes de caixa branca, é quando
o atacante tem todas as informações sobre seu alvo, desde números IPs, topologia
de rede até mesmo usuários e senhas.

O teste de caixa cinza também conhecido como híbrido, presumisse que o

conhecimento seja limitado, ou seja ter o necessário para iniciar os testes.

3.3 LEVANTAMENTO DE DADOS (SO’S E IP’S)

A maior aliada para esse levantamento é a internet, onde vamos buscar os

dados dos alvos, para isso podemos usar serviços de WHOIS e DNS, e o principal
www.google.com.br onde encontramos muitas informações.

Com o endereço do site podemos ir até um site de WHOIS e ver o IP onde

está hospedado esse site, a partir dai já temos a principal fonte para começar, outras
técnicas até mesmo um simples PING para o IP, de acordo com o TTL (Time to Live)
de resposta podemos saber o Sistema Operacional que está nesse servidor,
exemplo o Windows responde em 128, Linux em 64 e Unix em 255.

Com o NMAP levantaremos as portas abertas em cada servidor,

identificando cada serviço usado nela, segundo o Iana (http://www.iana.org/), e com
o NESSUS verificamos as falhas do Sistema Operacional e suas vulnerabilidades.

3.4 LISTA DE SERVIDORES

Linux Kernel 2.6 Debian 6 (squeeze) - IP 192.168.1.6.

Windows Server 2008 Standard - IP 192.168.1.7.

3.5 EXECUÇÃO
 19

Com base nos IPs dos servidores iniciaremos os testes de caixa branca.
Com o NESSUS, uma varredura completa e com o NMAP para verificar portas
abertas e identificar serviços usados nelas.

4. CAPITULO IV

4.1 RESULTADO DO TESTE

No servidor 192.168.1.6 – Linux Debian 6, foram encontradas 18 problemas

relatados com o Nessus, 1 problema de risco Médio, 4 de risco Baixo e outras 13 de
caráter informativo, com a varredura do NMAP foi verificado 3 portas abertas.

Já o servidor 192.168.1.7 – Windows Server 2008 Standard, foram

encontradas 3 problemas relatados com o Nessus, 2 problemas de risco Baixo e 1
de caráter informativo, com a varredura do NMAP não foi localizado nenhuma porta
aberta.

4.2 FALHAS

Somente serão comentadas as falhas médias e baixas, as demais, por

serem informativas não necessitam de tanta atenção assim.

Servidor Linux Risco Médio:

1. SSH Server Type and Version Information.

Detalhe: Um servidor SSH está rodando nessa porta.

Descrição: É possível obter informações sobre o servidor SSH remote, enviando uma
solicitação de autenticação vazia.
 20

Servidor Linux Risco Baixo:

1. SSH Protocol Versions Supported.

Detalhe:Um servidorSSHestá rodando nohost remoto.

Descrição: Este plugindetermina asversões do protocoloSSHapoiado

pelodaemonSSHremoto.

2. Service Detection.

Detalhe:O serviçoremoto podeser identificado.

Descrição:Foi possívelidentificaro serviço remotodoseu banneroupor olhar paraa

mensagem de erroele enviaquando recebeuma solicitação HTTP.

3. TracerouteInformation.

Detalhe:Foipossível obter informaçãotraceroute.

Descrição: Faz umtraceroutepara o host remoto.

4. OS Identification.

Detalhe:É possíveldescobriro sistema operativoremoto.

Descrição: Utilizando uma combinação desondasremotas,(TCP / IP, SMB, HTTP,

NTP, SNMP, etc..) é possível descobriro nome dosistema operativo remotoem uso, epor vezes
a suaversão.

Servidor Windows RiscoBaixo:

1. Host Fully Qualified Domain Name (FQDN) Resolution.

Detalhe: Foi possívelresolver o nomedo host remoto.

Descrição: Nessusfoi capaz de resolvero FQDN dohost remoto.

2. Ethernet Card Manufacturer Detection.

Detalhe: O fabricante pode serdeduzido a partir daOUIEthernet.

Descrição: Cadaendereço EthernetMACcomeça com um24-bit“identificador

exclusivo". EstesOUIsão registrados peloIEEE.
 21

4.3 CORREÇÕES

As correções no Servidor Linux, podem ser feitas nas configurações de

serviços (SSH podemos alterar a porta padrão) e por um Firewall bem configurado,
para evitar respostas de scannes, pings dentre outras formas de ataque.

Já o servidor Windows com essas falhas especificas não temos muito o que
fazer, pois somente com o nome da maquina e com o fabricante da placa de rede,
não pode ser descoberto algo a mais ou uma invasão propriamente dita.

4.4 PORTAS ABERTAS

Segundo o Ianna (Service NameandTransportProtocolPortNumber Registry).

Servidor192.168.1.6 (Debian):

22 / tcp - The Secure Shell (SSH) Protocol.

25 / tcp - Simple Mail Transfer.

111 / tcp- SUN Remote Procedure Call.

Servidor 192.168.1.7 (Windows):

Não foi encontrado nenhuma porta aberta.

 22

5. CONCLUSÃO

Como podemos observar ao longo deste trabalho, o acesso à informação

tem ficado cada vez mais fácil, com isso as empresas têm que proteger seus dados
e suas informações.

Servidores que ficam na internet que são alvos constantes de ataques

devem ser bem configurados para que não seja fácil o acesso a eles, mesmo com a
instalação zerada, ou seja, sem nenhum serviço além do básico, podemos encontrar
algumas brechas tanto no Linux quanto no Windows.

No Linux, por ser falado sempre que é o mais seguro, encontramos mais
riscos que no Windows. Mas o fato é que o Linux se bem configurado, com um
firewall, serviços atualizados se torna muito mais seguro, ao contrário do Windows,
que é uma “caixa” fechada, onde pouca coisa pode ser mudada em sua estrutura,
necessita geralmente um Firewall Linux antes dele para sua proteção.

Para concluir, seja Windows ou Linux o importante sempre é estar de olho

nos serviços, atualizações e quando possível fazer um teste de penetração ideal
fazer de 6 em 6 meses, e o mais importante é o treinamento com funcionários,
sendo que a maior parte de invasões parte de dentro da empresa ou por engenharia
social.
 23

REFERÊNCIAS

ANONYMOUS BRASIL. Onda de Ataques a Bancos, 2012. Disponível em:

<https://twitter.com/#!/AnonBRNews> acessado em: 08 fev. 2012.

SEGURANÇA da informação. Disponível em:

<http://pt.wikipedia.org/wiki/Seguran%C3%A7a_da_informa%C3%A7%C3%A3o>
acessado em: 18 abr. 2012.

TESTE de Penetração. Disponível em:

<http://pt.wikipedia.org/wiki/Teste_de_penetra%C3%A7%C3%A3o> acessado em:
29 mai. 2012.

ZC, André. Pentest - Fundamentos para realizar um teste de fogo. Segurança Linux,
2010. Disponível em: <http://segurancalinux.com/artigo/Pentest-Fundamentos-para-
realizar-um-teste-de-fogo> acessado em: 18 abr. 2012.

INSTITUTE OF ELECTRICAL AND ELECTRONICS ENGINEERS. Oui Public Listing.

Disponível em: <http://standards.ieee.org/develop/regauth/oui/public.html> acessado
em: 30 mai. 2012.

INSTITUTE OF ELECTRICAL AND ELECTRONICS ENGINEERS. FAQs: The

Registration Authority. Disponível em: <http://standards.ieee.org/faqs/regauth.html>
acessado em: 30 mai. 2012.

MICROSOFT CORPORATION. Configuring authentication and encryption, 2005.

Disponível em: <http://technet.microsoft.com/en-us/library/cc782610.aspx> acessado
em: 22 mai. 2012.

THE APACHE SOFTWARE FOUNDATION. Security Updates. Disponível em:

<http://tomcat.apache.org/security.html> acessado em: 29 mai. 2012.

CENTRO DE ESTUDOS, RESPOSTA E TRATAMENTO DE INCIDENTES DE

SEGURANÇA NO BRASIL. Incidentes Reportados ao CERT.br - Janeiro a
Dezembro de 2011. Disponível em: <http://www.cert.br/stats/incidentes/2011-jan-
dec/tipos-ataque.html> acessado em: 08 fev. 2012.

CARNEGIE MELLON UNIVERSITY. Advisory CA-2002-22 Multiple Vulnerabilities in

Microsoft SQL Server, 2003. Disponível em: <http://www.cert.org/advisories/CA-
2002-22.html> acessado em: 29 mai. 2012.

PENTEST - Testes de penetração. Forum Now, 2008. Disponível em:

<http://www.forumnow.com.br/vip/mensagens.asp?forum=32226&grupo=154949&to
pico=2982577&pag=1> acessado em: 22 mai. 2012.
 24

THE INTERNET ASSIGNED NUMBERS AUTHORITY. Service Name and Transport

Protocol Port Number Registry, 28/06/2012. Disponível em:
<http://www.iana.org/assignments/service-names-port-numbers/service-names-port-
numbers.xml> acessado em: 29 mai. 2012.

UNITED STATES COMPUTER EMERGENCY READINESS TEAM. Vulnerability

Note VU#288308, 09/01/2004. Disponível em:
<http://www.kb.cert.org/vuls/id/288308> acessado em: 22 mai. 2012.

MICROSOFT CORPORATION. Microsoft Security Bulletins. Disponível em:

<http://www.microsoft.com/technet/security/current.aspx> acessado em: 22 mai.
2012.

MONTORO, Massimiliano. Security Advisory. 28/05/2005. Disponível em:

<http://www.oxid.it/downloads/rdp-gbu.pdf> acessado em: 29 mai. 2012.

SECURITYFOCUS. CVE-2009-0781 XSS in Apache Tomcat examples web

application, 06/03/2009. Disponível em:
<http://www.securityfocus.com/archive/1/501538/30/0/threaded> acessado em: 29
mai. 2012.

BLOG SEGINFO – SEGURANÇA DA INFORMAÇÃO. Auditoria Teste de

Invasão(Pentest) – Planejamento, Preparação e Execução, 07/09/2010. Disponível
em: <http://www.seginfo.com.br/auditoria-teste-de-invasaopentest-planejamento-
preparacao-e-execucao/> acessado em: 18 abr. 2012.