Etapas do Ataque Cibernético

Prévia do material em texto

ATAQUE-ETAPAS – Cyber kill Chain
1. Recon: Recon, abreviação de reconhecimento, refere-se à etapa em que o atacante tenta aprender o máximo possível sobre o alvo. Informações como tipos de servidores, sistema operacional, endereços IP, nomes de usuários e endereços de e-mail podem ajudar no sucesso do ataque.
2. Armamento: Esta etapa refere-se à preparação de um arquivo com um componente malicioso, por exemplo, para fornecer acesso remoto ao invasor.
3. Entrega: Entrega significa entregar o arquivo “armado” ao alvo através de qualquer método viável, como e-mail ou memória flash USB.
4. Exploração: quando o usuário abre o arquivo malicioso, o sistema executa o componente malicioso.
5. Instalação: A etapa anterior deve instalar o malware no sistema de destino.
6. Comando e Controle ( C2 ): A instalação bem-sucedida do malware fornece ao invasor uma capacidade de comando e controle sobre o sistema alvo.
7. Ações sobre objetivos: Depois de obter controle sobre um sistema alvo, o invasor alcançou seus objetivos. Um exemplo de objetivo é a exfiltração de dados (roubar dados do alvo).
SITES UTEIS
https://github.com/megadose/holehe --- VERIFICAR ONDE E-MAIL FOI CADASTRADO (OSINT)
· Guia CyberSecurity
· https://www.hybrid-analysis.com/
· https://attack.mitre.org/
· https://portswigger.net
· https://registro.br/
· http://web.archive.org/
· https://gchq.github.io/CyberChef/
· https://www.metadata2go.com/
· http://www.zone-h.com.br/
· https://casadosdados.com.br
· https://www.google.com/advanced_search
· https://duckduckgo.com/duckduckgo-help-pages/results/syntax/
· https://www.exploit-db.com/google-hacking-database
· https://mitre-attack.github.io/attack-navigator/
· https://md5hashing.net/
· diafygi.github.io/webrtc-ips/
· https://www.shodan.io/dashboard
· https://www.caranalytics.co.uk
· Device Info - Web browser security, privacy, and troubleshooting tool.
· https://github.com/osintbrazuca?tab=repositories
· https://osintframework.com/
· Discover (hunter.io) - fere-se a um protocolo de comunicação utilizado para consultar informações sobre a propriedade de um nome de domínio na internet. 
· https://weleakinfo.io/ é conhecido por ser um repositório de informações vazadas, onde os usuários podem procurar por dados pessoais que podem ter sido expostos em violações de dados na internet.
· https://mxtoolbox.com/ é uma ferramenta online que oferece uma variedade de serviços de diagnóstico para administradores de sistemas. Ela é amplamente utilizada para verificar a configuração de registros MX (Mail Exchange) de um domínio, mas também oferece funcionalidades para analisar outros tipos de registros DNS, verificar listas negras (blacklists), monitorar a saúde do servidor de e-mail, e muito mais.
· Packet Storm (packetstormsecurity.com)
PESQUISAS AVANÇADAS P/ PESSOAS,ARQUIVOS,SITES,FALHAS,ASSUNTOS
Google Docking – Parametros: filetype:pdf, inauthor:"nome do autor", -intitle:"palavra-chave”, site:exemplo.com
intitle:"index of" inurl:ftp
exemplos:
	Símbolo/Sintaxe
	Função
	"search phrase"
	Encontre resultados com frase de pesquisa exata
	OSINT filetype:pdf
	Encontre arquivos do tipo PDFrelacionado a um determinado termo.
	salary site:blog.tryhackme.com
	Limite os resultados da pesquisa a um site específico.
	pentest -site:example.com
	Excluir um site específico dos resultados
	walkthrough intitle:TryHackMe
	Encontre páginas com um termo específico no título da página.
	challenge inurl:tryhackme
	Encontre páginas com um termo específico no URL da página.
Utilizar aspas ao pesquisar em motores de buscas -- Quando você usa aspas em uma pesquisa, está pedindo ao motor de busca para procurar exatamente a frase que está entre as aspas. Isso é útil quando você está procurando por uma combinação específica de palavras em uma ordem exata.
-Utilizar filtros do Facebook:
-Instagram Geocalização: 
-SHERLOCK KALI
ANONIMATO NA REDE
ip_spoofing
IP Spoofing é uma técnica utilizada por invasores para falsificar o endereço IP de origem dos pacotes enviados. Ao mascarar seu endereço IP real e fazer parecer que os pacotes estão vindo de um endereço IP legítimo e confiável, o invasor pode burlar medidas de segurança e realizar uma série de atividades maliciosas.
Como Funciona
8. Modificação do Cabeçalho IP:
· O invasor altera o cabeçalho do pacote IP para substituir o endereço IP de origem pelo endereço IP de um dispositivo confiável ou de outro endereço que não levante suspeitas.
9. Envio de Pacotes:
· Os pacotes com o endereço IP falsificado são então enviados ao destino. O sistema de destino acredita que os pacotes estão vindo do endereço IP confiável e os processa normalmente.
10. Falta de Rastreabilidade:
· Como o endereço IP de origem foi falsificado, rastrear o verdadeiro remetente dos pacotes torna-se muito difícil.
User agent
Existem algumas formas de se alterar o User Agent de um browser, no entanto, a mais simples é utilizando uma extensão chamada “User Agent Switcher”, que está disponível para a maioria dos navegadores. Com ela, é possível fazer o spoofing do browser e imitar as strings de User Agent de outros navegadores e sistemas operacionais, tudo isso com apenas alguns cliques.
TORIFY
Proxychain
COLETAR INFORMAÇOES/METADADOS
COMANDO-WHOIS- 
O "whois" é como uma lista telefônica para a internet. Quando alguém registra um site (um domínio) ou um bloco de endereços na internet, as informações sobre quem é o dono, quando foi registrado e como entrar em contato são armazenadas em um banco de dados.
NSLOOKUP-
"nslookup" é um comando de linha de comando usado para consultar servidores de nomes (DNS) e obter informações sobre registros DNS, como endereços IP associados a um nome de domínio
ExifTool
Descrição: ExifTool é uma ferramenta de linha de comando altamente versátil para ler, escrever e editar metadados em uma ampla gama de arquivos. Embora seja amplamente conhecido por seu uso com imagens digitais para manipular dados EXIF, ele também pode trabalhar com metadados de arquivos PDF, documentos do Office, arquivos de áudio e vídeo, entre outros.
Harvester
O Harvester é uma ferramenta de código aberto utilizada para a coleta de informações sobre e-mails, subdomínios, hosts, nomes de funcionários, nomes de empresas, e muito mais, a partir de diversas fontes públicas. É amplamente usada em atividades de reconhecimento durante testes de penetração e auditorias de segurança. A ferramenta busca auxiliar profissionais de segurança cibernética a entender melhor a superfície de ataque de uma organização antes de realizar testes mais profundos.
The harvester – d dominino –l 100 –b google
FERRAMENTAS/SOFTWARES P TESTE DE SEGURANÇA, PENETRAÇÃO E PESQUISAS
PEENTOO
o Pentoo é uma distribuição Linux baseada no Gentoo, projetada para segurança e análise forense. Ele é desenvolvido para ser usado principalmente em testes de penetração e avaliação de segurança, fornecendo um ambiente especializado para profissionais de segurança e hackers éticos.
https://pentoo.github.io/
Mirmikatz.exe
Mimikatz é uma ferramenta poderosa usada para explorar vulnerabilidades relacionadas à segurança em sistemas Windows, principalmente em relação à manipulação de credenciais. No entanto, é importante destacar que o uso dessa ferramenta deve ser feito de maneira ética e legal, com permissão adequada.
mimikatz # sekurlsa::logonpasswords mimikatz # sekurlsa::ekeys
Ferramentas de recon/ataque web
Zmap - A principal vantagem do ZMap é sua capacidade de realizar varreduras de rede em larga escala de maneira eficiente, identificando dispositivos conectados à internet e seus serviços disponíveis. Isso é útil para uma variedade de propósitos, incluindo pesquisa em segurança cibernética, monitoramento da exposição da rede, e identificação de vulnerabilidades em sistemas conectados à internet.
NIKITO – 
 é uma ferramenta de analise de vulnerabilidades comuns em servidores Web.
O Nikto é uma ferramenta de código aberto amplamente utilizada para testes de segurança em servidores web. Ele realiza uma série de testes automatizadosem servidores web em busca de várias vulnerabilidades, como falhas de configuração, problemas de segurança conhecidos e possíveis problemas de configuração do servidor.
Sintaxe Básica do Nikto
A sintaxe básica para usar o Nikto é a seguinte:
nikto -h [opções]
· -h : Especifica o hostname ou endereço IP do servidor que você deseja escanear.
· [opções]: São várias opções que você pode fornecer ao Nikto para personalizar o escaneamento. Algumas opções comuns incluem:
· -p : Especifica a porta ou intervalo de portas a serem verificadas.
· -ssl: Força o uso de SSL para conexões.
· -id : Define uma string para o cabeçalho User-Agent para personalizar a identificação da solicitação.
· -Tuning : Define parâmetros de ajuste para personalizar o escaneamento.
· -o : Especifica um arquivo de saída para salvar os resultados do escaneamento.
WAPITI-
Wapiti é uma ferramenta de código aberto utilizada para a auditoria de segurança de aplicações web. Opera realizando "black-box testing", ou seja, analisa e testa a aplicação web de fora, sem conhecimento prévio sobre sua estrutura interna ou o código fonte. O objetivo principal do Wapiti é identificar vulnerabilidades de segurança em sites web, permitindo aos administradores e desenvolvedores tomar as medidas necessárias para corrigi-las.
BURPSUITE-
O Burp Suite é uma ferramenta integrada de testes de segurança para aplicações web, desenvolvida pela PortSwigger. É amplamente utilizado por profissionais de segurança cibernética, especialmente em testes de penetração e avaliações de vulnerabilidades em aplicações web. Sua popularidade deve-se à sua versatilidade e capacidade de automatizar uma série de tarefas que seriam extremamente complexas e demoradas para serem realizadas manualmente
11. Spider: Ferramenta de varredura automatizada que rastreia aplicativos web para mapear sua estrutura.
12. Proxy: Permite interceptar, inspecionar e modificar o tráfego HTTP/HTTPS entre o navegador e o servidor web.
13. Scanner: Ferramenta automatizada para identificar vulnerabilidades em aplicativos web.
14. Intruder: Realiza ataques automatizados de força bruta ou de injeção, úteis para testar a segurança de entradas e autenticações.
15. Repeater: Permite modificar e reenviar requisições HTTP, facilitando o teste manual de vulnerabilidades.
16. Sequencer: Analisa a aleatoriedade de tokens e outros dados não previsíveis gerados pela aplicação.
17. Decoder: Ferramenta para decodificar e codificar dados em vários formatos.
18. Comparer: Permite comparar duas peças de dados para identificar diferenças.
19. Extensibility: Suporte para plugins e extensões através da API, permitindo personalizar e expandir a funcionalidade do Burp Suite.
20. Dashboard: Interface centralizada que oferece uma visão geral das atividades e alertas de segurança.
Essas são as principais ferramentas e funcionalidades que tornam o Burp Suite uma solução completa para testes de segurança em aplicações web.
NMAP- 
O Nmap (Network Mapper) é uma ferramenta de código aberto usada para exploração de rede e auditoria de segurança. Ela é frequentemente utilizada para realizar o reconhecimento em ambientes web e em redes de forma geral, identificando quais serviços e portas estão abertos, além de outras características dos hosts na rede.
Aqui estão alguns dos principais parâmetros do Nmap:
Parâmetros
· RND: Ao usar essa opção, o Nmap mistura a ordem dos alvos, dificultando a identificação de um padrão previsível pelos sistemas de segurança. 
· --source-port ; -g (Disfarça o número de
 porta de origem)
· --data-length (Acrescenta dados aleatórios nos pacotes enviados)
· -sS, -sT, -sU, -sA: Define o tipo de varredura a ser realizada. Por exemplo, -sS para uma varredura SYN, -sT para uma varredura TCP connect(), -sU para varredura UDP, e -sA para varredura ACK.
· -p: Especifica quais portas serão varridas. Pode ser um intervalo (por exemplo, -p 1-1000) ou portas específicas (por exemplo, -p 80,443).
· -Pn: Desativa a detecção de hosts vivos, assumindo que os alvos estão online.
· -n: Suprime a resolução de DNS para acelerar a varredura.
· -v, -vv: Aumenta a verbosidade da saída. -vv para ainda mais detalhes.
Descoberta de Hosts
· -sn: Varredura de ping para descobrir hosts sem realizar uma varredura de portas.
· -PR: Varredura ARP para descobrir hosts em redes locais.
Técnicas Avançadas de Varredura
· -sZ: Varredura SCTP INIT para descobrir portas abertas.
· -sI: Varredura de hosts disfarçados (zombie scan), útil para mapear redes sem expor a origem da varredura.
Detecção de Serviços e Versões
· -sV: Ativa a detecção de versão de serviços, tentando determinar informações sobre os serviços que estão rodando nas portas abertas.
· -A: Ativa a detecção de sistema operacional e versão de serviços, além de incluir uma varredura de script NSE.
Scripts NSE
· --script: Especifica scripts individuais ou categorias de scripts do Nmap Scripting Engine (NSE) para executar contra alvos.
· --script-args: Passa argumentos para os scripts NSE.
Opções de Temporização
· -T0 a -T5: Ajusta a velocidade da varredura, de -T0 (paranóica, muito lenta) a -T5 (insana, muito rápida).
Saída
· -oN, -oX, -oG, -oA: Especifica o formato de saída do relatório. Por exemplo, -oN para um relatório normal, -oX para XML, -oG para Grepable e -oA para todos os formatos anteriores.
echo –en “GET /HTTP/1.0\n\\n\n”|nc www.dominio.com.br 80|grep Server: Obter o tipo e a versao do servidor da web no Linux
Nmap –sV –script=banner 
Esse Script obtém todos os banner de todos os serviços que ele pode descobrir em um HOST
nmap -sV --script vulners 45.55.126.134
sudonmap -sS -sV -sC -p- 192.168.135.101 --min-rate=10000
PortScan para confundir sistemas de proteção (ips, ids:
PortScan Rapido:
f
Esses são apenas alguns dos parâmetros mais comuns do Nmap.
WafW00f -Detecção de WAP (firewall de app web)
WafW00f é uma ferramenta de código aberto que permite detectar a presença de um Firewall de Aplicação Web (WAF) em um site e identificar qual WAF está sendo utilizado. Ele funciona analisando as respostas HTTP do servidor e comparando essas respostas com assinaturas conhecidas de diferentes WAFs.
WhatWeb é uma ferramenta de reconhecimento e fingerprinting de tecnologia web. Ela é usada para identificar as tecnologias utilizadas por um site, como frameworks, servidores web, sistemas de gerenciamento de conteúdo (CMS), plugins, e outros componentes de software.
Vulners 
É um banco de dados de vulnerabilidades que pode ser integrado com várias ferramentas, incluindo o Nmap, para realizar verificações de vulnerabilidade mais sofisticadas. Ele compara as informações coletadas durante a varredura do Nmap com um banco de dados de vulnerabilidades conhecidas e exibe possíveis vulnerabilidades associadas a serviços específicos identificados.
Enum4linux
é uma ferramenta para enumeração de informações em sistemas Windows via SMB (Server Message Block). É amplamente utilizada em testes de penetração para coletar informações sobre um sistema remoto, como compartilhamentos de rede, usuários, grupos, políticas de senha e muito mais. enum4linux é escrito em Perl e é baseado no utilitário Samba smbclient.
enum4linux -a 192.168.1.1
DIRBUSTER
DirBuster é uma ferramenta multiplataforma desenvolvida em Java e parte do projeto OWASP (Open Web Application Security Project). Ela é projetada para ajudar em testes de penetração e auditorias de segurança, especialmente para descobrir diretórios e arquivos ocultos em servidores web. Esta ferramenta usa ataques de força bruta com listas de palavras (wordlists) para tentar adivinhar nomes de diretórios e arquivos que não são visíveis diretamente em páginas web ou que não estão ligados em nenhum lugar acessível publicamente.
RPCCLIENT
rpcclient é uma ferramenta de linha de comando disponível no conjunto de utilitários Samba, que é usado principalmente para interagir com sistemas Windows e serviços que implementam o protocoloMicrosoft's Server Message Block (SMB). Esta ferramenta é útil para administradores de sistemas e profissionais de segurança para gerenciar e obter informações de servidores e clientes Windows, especialmente em ambientes mistos com UNIX/Linux e Windows.
· Testar a segurança do sistema utilizando chamadas RPC para simular ataques de força bruta.
· Consultar e administrar o banco de dados do registro do Windows.
· Visualizar e controlar serviços do Windows (iniciar, parar, configurar).
· Obter e definir informações de políticas de grupo.
· Gerenciamento de usuários e grupos (adicionar, deletar, listar usuários e grupos).
· Enumeração de shares de arquivos e impressoras.
· 
rpcclient -U "username%password" //servername
ShareEnum 
é uma ferramenta desenvolvida pela Sysinternals (agora parte da Microsoft), que é utilizada para enumerar compartilhamentos de arquivos e impressoras em redes locais. Esta ferramenta é especialmente útil para administradores de sistemas e profissionais de segurança para auditar compartilhamentos em uma rede Windows, identificando potenciais exposições de segurança e garantindo que apenas os compartilhamentos necessários estejam acessíveis, e com as configurações de permissão corretas.
SESSAO NULL
Uma sessão null é um tipo de conexão com um sistema Windows onde o usuário se conecta sem fornecer uma conta de usuário ou senha. Esse tipo de sessão explora um recurso do protocolo SMB (Server Message Block) que permite acessos limitados a serviços de rede, como RPC (Remote Procedure Call), sem autenticação. Sessões null foram originalmente projetadas para oferecer um meio de conectividade básica para sistemas e serviços que não requerem autenticação rigorosa, mas com o tempo, revelaram-se uma significativa vulnerabilidade de segurança.
DIRB- 
O DIRB (Directory Buster) é uma ferramenta de teste de penetração que é usada para encontrar diretórios e arquivos em websites que podem estar escondidos ou não listados
Gobuster - utiliza a técnica de força bruta, empregando listas de palavras (wordlists) para descobrir diretórios e arquivos ocultos em sites, bem como subdomínios não listados publicamente. Essa ferramenta é especialmente útil em situações onde o teste de penetração ou a avaliação de segurança requer a rápida identificação de pontos de entrada potenciais dentro de uma aplicação web
Burpsuite
O Burp Suite é uma ferramenta integrada de testes de segurança para aplicações web, desenvolvida pela PortSwigger. É amplamente utilizado por profissionais de segurança cibernética, especialmente em testes de penetração e avaliações de vulnerabilidades em aplicações web. Sua popularidade deve-se à sua versatilidade e capacidade de automatizar uma série de tarefas que seriam extremamente complexas e demoradas para serem realizadas manualmente.
NIKITO- RECONb
SQLinjection 
Controle de acesso: Robots.txt, repeater do burpsuite
Cross-Site Scripting (xss) - XSS Refletido (Non-Persistent XSS), XSS armazenada e XSS Baseado em DOM
1. XSS Armazenado (Persistent XSS):
O XSS armazenado ocorre quando os dados maliciosos inseridos por um atacante são permanentemente armazenados no servidor, como em um banco de dados, fórum, log de visitantes, etc.
2. XSS Refletido (Non-Persistent XSS): O XSS refletido ocorre quando os dados maliciosos são refletidos do servidor imediatamente, sem serem armazenados. Esse tipo de XSS é frequentemente encontrado em URLs ou campos de formulário.
Exemplo: O atacante envia um link ou um formulário contendo o payload malicioso. Quando a vítima clica no link ou envia o formulário, os dados são refletidos de volta pelo servidor e executados no navegador da vítima.
3. XSS Baseado em DOM: O código malicioso é executado diretamente no navegador através da manipulação insegura do DOM (Document Object Model). O XSS baseado em DOM ocorre inteiramente no lado do cliente e não interage diretamente com o servidor.
XSS Refletido (Non-Persistent XSS), XSS Baseado em DOM 
Sistema para testes: https://sourceforge.net/projects/owaspbwa/
Nmap –script http-stored-xss.nse www.exemplo.com 
Este script verifica vulnerabilidades de XSS armazenado em servidores HTTP.
Server-side request forgery - No ataque de SSRF, o objetivo é induzir o servidor a fazer solicitações a links externos determinados pelo atacante e, assim, executar ações específicas nesses links externos. Por exemplo, o atacante pode direcionar o servidor para acessar um link malicioso que contém um script que faz o servidor enviar informações confidenciais de volta para o atacante, ou executar uma ação prejudicial, como a exclusão de arquivos ou o comprometimento do sistema. Em resumo, o atacante utiliza o SSRF para explorar a confiança excessiva do servidor em solicitações de rede, direcionando-o a realizar ações maliciosas em links externos sob o controle do atacante.
1. Vulnerabilidade chamada Path Traversal - os ataques de Path Traversal envolvem a manipulação de entradas de caminho de arquivo para acessar recursos que não deveriam estar disponíveis
2. Local File Inclusion (LFI) - Ocorre quando um aplicativo web permite a inclusão de arquivos locais do servidor sem a devida validação ou filtragem de entrada. Identificação do Ponto de Vulnerabilidade: O invasor identifica um ponto de entrada no site que permite a inclusão dinâmica de arquivos locais do servidor, como parâmetros de URL, campos de formulário ou cookies.
3. 
4. Remote File Inclusion (RFI) - No ataque de Remote File Inclusion (RFI), um invasor explora uma vulnerabilidade em um site ou aplicativo web que permite a inclusão dinâmica de arquivos externos, como scripts ou templates, sem uma verificação adequada. O invasor então aproveita essa falha inserindo um URL para um arquivo remoto que ele controla e deseja que o aplicativo inclua em seu código fonte.
Injection 
EVAL - Em termos simples, o eval() pega uma string que contém código e executa essa string como se fosse código Python. Por exemplo:
codigo = "3 + 4" 
resultado = eval(codigo) 
print(resultado) #7 
Execução em python:
eval(compile("""__import__('os').popen(r'cd').read()""",'','single'))
Se você executar este código em um ambiente Python, ele imprimirá o diretório atual, como /home/usuario ou C:\Users\usuario, dependendo do sistema operacional.
Injeção em webservice
http://localhost:8080/?metodo=__import__('os').popen('cd%20pasta_desejada%20&&%20dir').read()
https://github.com/digininja/DVWA testar ataques WEB
DalFox- 
A ferramenta é projetada para agilizar o processo de detecção e verificação de falhas XSS e vem equipada com um motor de teste robusto e várias características especializadas para facilitar a identificação de pontos de injeção e outros tipos de vulnerabilidades, como SQL Injection (SQLi), Server-Side Template Injection (SSTI), e redirecionamentos abertos
BUSCAR EXPLOITS
5. exploit database google hacking : inurl:"/login.aspx" intitle:"usuário" ou index of site:
6. https://www.rapid7.com/db/
7. https://www.exploit-db.com/google-hacking-database
8. https://metasploit.com/
SQLmap- scan de vuln relacionada a SQLinjection
-parametros--
sqlmap -u https://0add0031049eacbb82f8299c00b50053.web-security-academy.net/filter?category=Tech+gifts -D public -T users -columns "password,username" --dump --batch
9. Utilizar flags que melhoram a performance do sqlmap, como --batch para ele responder as perguntas de forma padrão, threads para determinar o número de requisições a se fazerem ao mesmo tempo e dbms para especificar o gerenciador de banco de dados utilizado.
Injeção de Parâmetros
Esse tipo de ataque ocorre quando um invasor manipula os parâmetros de uma URL com o objetivo de explorar falhas na forma como o aplicativo web lida com esses parâmetros.
Por exemplo, considere um aplicativo web que possui uma página de login com uma URL como http://exemplo.com/login?usuario=joao&senha=123. Se o aplicativo não validar adequadamente esses parâmetros, um invasor pode tentar manipulá-los, por exemplo, mudando a senha para tentar acessar a conta de outro usuário.· &: Usado para separar múltiplos parâmetros em uma URL. Por exemplo, em http://exemplo.com/recurso?parametro1=valor1&parametro2=valor2, o "&" separa os parâmetros parametro1 e parametro2.
· =: Usado para separar um nome de parâmetro do seu valor. Por exemplo, em http://exemplo.com/recurso?parametro1=valor1, o "=" separa o parâmetro parametro1 do seu valor valor1.
· %: Usado para codificar caracteres especiais em uma URL. Por exemplo, o espaço em branco é representado como %20.
· #: Usado para indicar uma âncora em uma página web. Por exemplo, em http://exemplo.com/pagina#secao, o "#" indica que a página deve rolar para a seção com o nome secao.
· ?: Como mencionado anteriormente, usado para separar a parte da URL que indica o recurso dos parâmetros.
· / e .: Usados para separar os diferentes componentes de uma URL, como o caminho para um arquivo ou diretório e sua extensão. Por exemplo, em http://exemplo.com/diretorio/arquivo.html, "/" é usado para separar o diretório do arquivo, e "." é usado para separar o nome do arquivo de sua extensão
Entre outros.
Enum4linux
é uma ferramenta de linha de comando para sistemas baseados em Linux destinada à enumeração de informações de servidores Windows e Samba através de protocolos SMB (Server Message Block) e MS-RPC (Microsoft Remote Procedure Call). Sua principal função é coletar e apresentar uma ampla gama de informações que podem ser úteis durante uma avaliação de segurança ou ataque de penetração, permitindo que os atacantes ou profissionais de segurança entendam melhor a configuração e a arquitetura do sistema alvo.
OpenVas- O OpenVAS é uma plataforma de código aberto projetada para a realização de testes de segurança em sistemas e redes. É uma ferramenta popular para varreduras de vulnerabilidades e avaliação de segurança.
Nessus Essentials - O Nessus realiza varreduras automatizadas em sistemas, identificando vulnerabilidades conhecidas e possíveis pontos fracos que podem ser explorados por atacantes
Ferramentas para ataques de dicionarios/bruteforce:
Hydra:
John the Riper
HASHCAT
Ataques e ferramentas p/ explorar Vulnerabilidades em Softwares, servidores etc.
Metasploit
O Metasploit é uma plataforma de desenvolvimento de exploits e ferramenta de teste de penetração de código aberto. Ele fornece uma estrutura modular e extensível que facilita o desenvolvimento, teste e implementação de exploits contra sistemas alvo. Desenvolvido pela Rapid7, o Metasploit é usado por profissionais de segurança, testadores de penetração e hackers éticos para avaliar a segurança de sistemas e redes.
Aqui estão alguns aspectos principais do Metasploit:
10. Exploits: O Metasploit oferece uma vasta coleção de exploits para várias vulnerabilidades de software. Esses exploits são scripts ou códigos que exploram falhas de segurança em sistemas específicos.
11. Payloads: Os payloads são componentes do código malicioso que são entregues a sistemas de destino após uma exploração bem-sucedida. Eles podem realizar várias ações, como estabelecer uma conexão reversa, executar comandos, capturar informações e muito mais.
12. Módulos Auxiliares: Além dos exploits e payloads, o Metasploit possui módulos auxiliares que fornecem funcionalidades adicionais, como varreduras de portas, coleta de informações, etc.
13. Framework Modular: O Metasploit é modular e extensível, permitindo que os usuários adicionem ou modifiquem facilmente módulos para atender às suas necessidades específicas.
14. Multiplataforma: Suporta ataques contra sistemas operacionais Windows, Linux, macOS e outros.
15. Gráficos e Interface de Linha de Comando: O Metasploit pode ser usado através de sua interface gráfica (Metasploit Framework Community Edition) ou por meio da interface de linha de comando (msfconsole).
MetaSploit- msfconsole
é uma poderosa ferramenta de teste de penetração e desenvolvimento de exploits.
Exemplo de reverse_TCP apos criar um payload pelo veil-invasion:
VULNERABILIDAE VsFTPD EXEMPLO DE SHELL REVERSE
Msfvenom
é uma ferramenta dentro do ecossistema Metasploit que é usada para gerar payloads (cargas úteis) personalizadas para explorar vulnerabilidades em sistemas alvo
Nmap no Msfconsole:
Sintaxe: db_nmap -p- -A -t4 IP
-p- : todas as portas
-A: junta argumentos: -0, -sV --script
-T4 nivel de agressividade (velocidade t1,t2,t3,t4)
Buffer Overflow : O ataque de Buffer Overflow é usado em várias situações para quem busca explorar vulnerabilidades de softwares
Situações em que o estouro do Buffer pode ser utilizado:
· Desativação de Medidas de Segurança, 	
· Exploração de Serviços de Rede, 
· injeção de Código Shell,
· escapar de restrições de software
· Elevação de Privilégios:
· Execução de Código Malicioso:
Veil-Evasion
É parte do projeto Veil-Framework e é frequentemente utilizado em testes de penetração para criar payloads que podem não ser detectados por antivírus, facilitando a simulação de ataques cibernéticos em ambientes controlados para identificar vulnerabilidades
Dsniff
O "dsniff" é uma coleção de ferramentas para interceptação e análise de tráfego de rede. Foi desenvolvido principalmente para demonstrar e testar vulnerabilidades de segurança em redes. Essas ferramentas são usadas para sniffar (capturar) dados que passam por uma rede, com o objetivo de capturar informações sensíveis, como senhas e IDs de sessão.
O dsniff inclui várias ferramentas específicas, como:
21. dsniff - Captura e decodifica senhas em várias aplicações.
22. mailsnarf - Captura emails em trânsito na rede.
23. urlsnarf - Registra todas as URLs que são acessadas na rede.
24. webspy - Permite que o usuário "espione" e veja o que uma vítima está vendo no seu navegador web.
25. arpspoof - Engana a rede fazendo-a enviar dados para o atacante, não para o destino legítimo.
26. dnsspoof - Engana as solicitações de DNS na rede para redirecionar tráfego.
TSHARK
O tshark é uma ferramenta de interface de linha de comando (CLI) usada para capturar e analisar o tráfego de rede.
https://lucassoeiro.medium.com/instala%C3%A7%C3%A3o-introdu%C3%A7%C3%A3o-ao-tshark-no-ubuntu-20-04-f68c05ac9175
Spoofing de navegador
Spoofing de navegador refere-se a técnicas utilizadas para enganar um usuário ou sistema, fazendo-os acreditar que estão interagindo com um recurso legítimo ou confiável, quando na verdade estão sendo direcionados para um recurso falso ou malicioso. No contexto da navegação na web, isso pode envolver a manipulação de elementos do navegador, como o URL exibido na barra de endereços, o conteúdo da página, ou os cookies, para simular a aparência de um site confiável.
ATAQUES EM APLICATIVOS
Fuzzing
Fuzzing é uma técnica de teste de segurança que envolve o envio de uma grande quantidade de dados aleatórios, inesperados ou inválidos para um aplicativo com o objetivo de provocar comportamentos anômalos, como falhas, travamentos ou exposição de vulnerabilidades.
Benefícios do Fuzzing
· Descoberta de Vulnerabilidades: Pode revelar falhas de segurança, como buffer overflows, injeções de SQL e outros tipos de vulnerabilidades.
· Robustez do Software: Ajuda a identificar áreas do código que não lidam corretamente com entradas inesperadas, melhorando a robustez geral do software.
· Automatização: Ferramentas de fuzzing podem automatizar o processo de envio de entradas aleatórias, tornando-o mais eficiente do que testes manuais.
Ferramentas de Fuzzing
Algumas ferramentas populares de fuzzing incluem:
· AFL (American Fuzzy Lop): Uma ferramenta de fuzzing que utiliza mutações para gerar entradas de teste.
· ZZUF: Uma ferramenta que altera dados aleatoriamente para fuzzing.
· Peach Fuzzer: Uma plataforma de fuzzing que suporta a criação de ambientes de teste complexos.
Exemplo de Uso
Um exemplo simples de fuzzing pode ser realizado com a ferramenta AFL:
sh
Copiar código
afl-fuzz -i input_dir -o output_dir -- ./target_application @@
Neste comando:
· -i input_dir: Especifica o diretório de entrada com casos de teste iniciais.
· -o output_dir: Especifica o diretórioonde os resultados do fuzzing serão armazenados.
· ./target_application @@: Especifica o aplicativo alvo a ser testado, onde @@ é substituído pelos dados gerados pelo fuzzing.
Conclusão
A técnica de Fuzzing é uma abordagem poderosa para identificar como um aplicativo responde a entradas inesperadas e é amplamente utilizada em testes de segurança.
targeted Fuzzer
Um targeted Fuzzer é uma ferramenta de teste de software que se concentra em partes específicas e críticas de um aplicativo, ao invés de realizar testes aleatórios em toda a aplicação. O objetivo de um targeted fuzzer é explorar áreas que são mais propensas a falhas ou que são mais críticas para a segurança e funcionalidade do sistema.
Instrumentação
A Instrumentação é a técnica de inserir código adicional em um programa durante a compilação ou execução para coletar informações sobre o seu comportamento e desempenho. No contexto de testes de segurança, como o fuzzing, a instrumentação é usada para monitorar o desempenho do programa e detectar falhas ou comportamentos anômalos.
Importância da Instrumentação no Fuzzing
· Detecção de Falhas: Identifica travamentos e exceções.
· Análise de Cobertura: Garante que o fuzzing cubra adequadamente o código.
· Otimização de Desempenho: Revela áreas de código ineficientes.
· Validação de Entrada: Garante o correto tratamento das entradas.
Portanto, o termo para descrever a inserção de código adicional durante a compilação é Instrumentação.
e
FORENSE DIGITAL/OSINT/ANALISE DE MALWARES
https://github.com/osintbrazuca?tab=repositories
https://osintframework.com/
Esteganografia /tecnicas requentemente utilizada em relação à ocultação de mensagens dentro de arquivos digitais, especialmente imagens, vídeos ou arquivos de áudio. 
· Lsb-- Least Siginifcant BIT Baseia em modficiar os bits menos significativos de cada pixel( menor unidade da imagem digital), camuflando, assim, as informaçoes.
Autopsy- possui a opção de rastrear todo o disco rígido em busca de conteúdo alocado, deletado e não alocado, o que implica dizer que mesmo arquivos residuais seriam recuperados, evidentemente sem nome ou qualquer referência de seus metadados.
Exiftool - O ExifTool é uma ferramenta poderosa e amplamente utilizada para a leitura, escrita e edição de metadados em arquivos de imagem, áudio e vídeo.
exiftool nome_do_arquivo.jpg
Binwalk
O Binwalk é uma ferramenta de análise de firmware que permite examinar e extrair informações de arquivos binários incorporados, como firmware de dispositivos embutidos, imagens de disco e outros tipos de arquivos binários
PDFINFO
é uma ferramenta de linha de comando usada para extrair informações detalhadas sobre um arquivo PDF. Ele fornece detalhes como o título do documento, o autor, o número de páginas, o tamanho do arquivo, as dimensões das páginas, entre outros.
Audacity
O Audacity oferece uma variedade de recursos para gravação, edição e manipulação de áudio. Aqui estão alguns dos recursos principais:
Analise de espectro, manipulação de audio...
OpenStego
é uma ferramenta de esteganografia de código aberto, que é usada para esconder informações ou dados secretos dentro de outros arquivos (como imagens ou áudio) de forma que não seja aparente para quem observa superficialmente. A esteganografia se concentra em ocultar a existência da informação, enquanto a criptografia, por outro lado, se concentra em tornar a informação ilegível para quem não possui a chave de decodificação.
16. STEGSOLVE - Desenvolvido em Java, o Stegsolve oferece uma interface gráfica que permite aos usuários inspecionar as várias camadas e canais de cores de uma imagem, facilitando a identificação de dados ocultos ou mensagens que não são facilmente perceptíveis a olho nu.
17. Steghide: É uma ferramenta de esteganografia que permite ocultar dados dentro de arquivos de imagem ou áudio. Steghide suporta a criptografia dos dados ocultos, oferecendo proteção adicional por meio de uma senha. É usado para embutir secretamente arquivos em imagens ou sons sem alterações perceptíveis, facilitando a transmissão segura de informações.
18. Stegcrack: Uma ferramenta projetada para quebrar a senha de arquivos que foram ocultados usando esteganografia, especificamente com o Steghide. O Stegcrack utiliza técnicas de força bruta ou dicionário para tentar decifrar a senha, permitindo assim acessar os dados ocultos. É útil em situações de teste de penetração ou em esforços para recuperar informações de arquivos protegidos cujas senhas foram perdidas ou esquecidas.
19. Stegdetect: Esta ferramenta é usada para detectar a presença de dados ocultos em arquivos de imagem. O Stegdetect analisa imagens, procurando por assinaturas que indiquem a utilização de técnicas de esteganografia. É uma ferramenta importante para investigações de segurança e análise forense, ajudando a identificar imagens que possam conter informações ocultas maliciosas ou confidenciais.
The Sleuth Kit
The Sleuth Kit (TSK) é uma coleção de ferramentas de código aberto para análise forense digital. Ele fornece uma variedade de utilitários e bibliotecas para examinar sistemas de arquivos em discos rígidos, mídias digitais e imagens de disco.
 
· fls: Lista arquivos e diretórios em uma imagem de partição. Pode também mostrar arquivos apagados para sistemas de arquivos suportados.
· icat: Extrai a versão de um arquivo com base em seu número de inodo.
· ils: Lista informações de inodos de sistemas de arquivos. Pode ser usado para recuperar informações sobre arquivos apagados.
· mmls: Exibe a disposição das partições em uma imagem de disco, incluindo tabelas de partições ocultas ou apagadas.
· fsstat: Mostra estatísticas e informações sobre sistemas de arquivos, o que pode incluir o tipo de sistema de arquivos, tamanhos de alocação e estruturas de diretórios.
· img_stat: Mostra informações sobre uma imagem de disco, como formatos de imagem suportados e tamanhos de setor.
· img_cat: Permite que o conteúdo de uma imagem de disco seja exibido para o usuário.
· ffind: Encontra os nomes de arquivos que apontam para um determinado número de inodo, o que é útil para rastrear quais arquivos pertenciam a quais dados.
· dls: Lista setores de disco não alocados, que podem ser usados para recuperar dados apagados.
· sigfind: Procura por assinaturas de arquivos (como o cabeçalho de um arquivo JPEG) dentro dos dados de uma imagem.
· blkcat: Imprime o conteúdo de um bloco de dados (ou setor), permitindo examinar os dados brutos em um disco ou imagem de disco.
· blkstat: Mostra os detalhes de um bloco de dados específico dentro de um sistema de arquivos.
Volatility
é um framework de código aberto utilizado para análise de memória RAM em sistemas operacionais Windows, Linux, Mac e outros. Ele permite que os analistas forenses identifiquem artefatos de um sistema operacional em uma captura de memória física e é especialmente útil para investigar sistemas que podem ter sido comprometidos por malware ou outros tipos de atividades não autorizadas.
RegRipper
RegRipper é uma ferramenta de código aberto desenvolvida para análise forense do Registro do Windows. Ele permite extrair informações valiosas do Registro, como chaves, valores e entradas específicas, para ajudar na investigação de incidentes de segurança, análise forense e reconstrução de eventos em sistemas Windows.
Foremost
A ferramenta foremost no Linux é uma aplicação de linha de comando destinada à recuperação de arquivos baseada na análise do cabeçalho, rodapé e estruturas internas de dados. É frequentemente utilizada em situações de análise forense digital e para recuperar arquivos perdidos ou deletados de unidades de armazenamento.
Win32 Disk Imager
Win32 Disk Imager, que é frequentemente usado para gravar imagens de disco em dispositivos USB, mas também pode ser usado para criar imagens de qualquer dispositivo de armazenamento.
comando "dd"
O comando dd é uma ferramenta de linha de comando disponível em sistemas Unix e Linux, conhecida por sua capacidade de copiar e converter dados brutos. Devido à sua versatilidadee potência, é frequentemente referido como "destroyer of disks" ou "disk duplicator", dependendo de como é usado. O dd pode ser usado para uma variedade de tarefas, incluindo backup e recuperação de dados, conversão de formatos de arquivo, criação de imagens de disco e mais.
Strings 
strings é frequentemente usado para encontrar mensagens ocultas, URLs, caminhos de arquivos, e qualquer outro tipo de informação textual que possa estar embutida dentro de um arquivo binário ou executável.
strings -n 5 programa.bin 
strings programa.bin > saida.txt
METADADOS XMP
strings -n 1000 00003185.jpg | grep "exif"
CAINE
CAINE inclui um conjunto de ferramentas forenses para a análise de sistemas de arquivos, recuperação de dados, análise de memória, análise de rede e muito mais. Essas ferramentas são selecionadas cuidadosamente para atender às necessidades de investigações digitais completas.
IPED
O IPED (Índice Pericial de Evidências Digitais) é uma ferramenta forense digital de código aberto desenvolvida no Brasil. Ela é projetada para indexar, analisar e relatar dados em dispositivos de armazenamento digital, como discos rígidos, dispositivos móveis e mídias removíveis
Apache Tika - um kit de ferramentas de análise de conteúdo
Apache Tika é um kit de ferramentas de análise de conteúdo de código aberto que faz parte do projeto Apache Software Foundation. É amplamente utilizado para extrair conteúdo e metadados de diferentes tipos de arquivos. Graças à sua extensa lista de parsers de arquivo, Tika pode lidar com uma grande variedade de formatos de arquivo, incluindo documentos de texto (como PDF, Microsoft Office, OpenOffice), arquivos de mídia (como MP4, MP3), imagens (como JPEG, PNG), e muitos outros.
Analisando malwares
https://any.run/ - um serviço interativo de análise de malware baseado em nuvem. Ele permite a detecção, análise e monitoramento de ameaças cibernéticas, oferecendo uma abordagem inovadora para a análise de malware
Análise de Malware Estática
Básica:
· Objetivo: Examinar o arquivo de malware sem executá-lo.
· Técnicas: Inclui a inspeção de strings, identificação de metadados do arquivo, e uso de ferramentas como antivírus e scanners de hash para detectar assinaturas conhecidas.
· PEiD: Detecta packers, cryptors e compressores usados para ofuscar executáveis no Windows.
· Strings: Extrai strings de texto simples de arquivos binários, útil para identificar informações embutidas.
· Binwalk: Analisa arquivos binários para detectar e extrair conteúdo oculto ou embutido.
· Dependency Walker: Analisa arquivos executáveis para identificar dependências de DLLs.
· Resource Hacker: Permite visualizar e editar recursos de executáveis, como ícones, diálogos e strings.
Avançada:
· Objetivo: Entender profundamente o código e a lógica do malware sem executá-lo.
· Técnicas: Envolve engenharia reversa, desmontagem do código usando disassemblers e análise de estruturas de dados.
· Ferramentas Comuns: IDA Pro: Um dos disassemblers mais avançados, que permite análise profunda de executáveis, com suporte a scripts e plugins.
· Ghidra: Ferramenta de engenharia reversa de código, desenvolvida pela NSA, que oferece disassembly e decompilação avançados.
· Radare2: Um framework completo para engenharia reversa que oferece disassembly, debugging, análise de binários e mais.
· Cutter: Interface gráfica para o Radare2, focada em facilitar o uso de suas capacidades de análise avançada.
· Die (Detect It Easy): Um identificador de packers e compiladores que oferece uma interface gráfica e suporte a plugins para identificação de binários complexos.
· 
Análise de Malware Dinâmica
Básica:
· Objetivo: Observar o comportamento do malware em tempo real ao executá-lo em um ambiente controlado.
· Técnicas: Monitorar a atividade de rede, alterações no sistema de arquivos e entradas no registro durante a execução.
· Ferramentas Comuns: 
Process Monitor (Procmon): Monitora em tempo real as atividades de processos, registro e sistema de arquivos, útil para identificar comportamento suspeito.
Regshot: Compara o estado do registro do Windows antes e depois da execução de um arquivo, identificando alterações.
Autoruns: Mostra todos os programas configurados para rodar automaticamente no Windows, útil para detectar persistência de malware.
Wireshark: Analisa tráfego de rede, útil para observar comunicação de malware com servidores de comando e controle.
FakeNet-NG: Emula redes para observar e capturar o tráfego de rede gerado por malwares, sem necessidade de conexão à internet.
· Avançada:
· Objetivo: Obter insights detalhados sobre as interações do malware com o sistema e a rede.
· Técnicas: Uso de máquinas virtuais ou sandboxes para capturar comportamento dinâmico, análise de memória, e debugging em tempo real para rastrear o fluxo de execução.
· Ferramentas Comuns: 
Cuckoo Sandbox: Um sistema de sandboxing que executa malwares em ambientes isolados e gera relatórios detalhados sobre seu comportamento.
OllyDbg: Um debugger de código x86 que permite análise detalhada de programas executáveis, com foco em engenharia reversa.
x64dbg: Um debugger de código aberto para sistemas Windows 64 bits, que oferece funcionalidades avançadas para análise de malware.
API Monitor: Monitora chamadas de API feitas por programas, permitindo análise detalhada do comportamento de malwares.
Detekt: Um scanner de malware para detectar ameaças avançadas que podem não ser pegas por antivírus tradicionais, focado em ferramentas de vigilância.
YARA
é uma poderosa ferramenta utilizada na análise de malware para identificar e classificar amostras de arquivos com base em padrões que você define. Ela é amplamente utilizada por analistas de segurança para encontrar e categorizar malwares de forma eficiente.
USO:
yara -r caminho/para/regra.yar caminho/para/arquivo_ou_diretorio
https://attack.mitre.org/
https://www.hybrid-analysis.com/
Process Hacker
uma ferramenta de monitoramento de processos de código aberto, similar ao Task Manager do Windows, mas com funcionalidades avançadas. Ele permite visualizar, gerenciar e controlar processos, threads, módulos, serviços e outros recursos do sistema em tempo real. Além disso, o Process Hacker oferece recursos como a capacidade de finalizar processos difíceis de matar, editar permissões de processos, visualizar gráficos detalhados de uso de CPU e memória, inspecionar e modificar conexões de rede e serviços, entre outros. É amplamente utilizado para depuração e análise de desempenho e segurança.
https://processhacker.sourceforge.io/
OFUSCAÇÃO
Tecnica XOR
A técnica de ofuscação XOR é amplamente usada por malwares para dificultar sua detecção por antivírus.
Ofuscação com XOR: O malware é inicialmente "ofuscado" usando a operação XOR, o que basicamente embaralha o código original. Embora XOR seja uma operação simples, ela serve para esconder o conteúdo real do malware, evitando que seja facilmente detectado por sistemas de segurança baseados em assinaturas que buscam padrões conhecidos no disco.
esofuscação na memória RAM: Quando o malware é executado, ele carrega seu código ofuscado para a memória RAM. Lá, ele executa a operação inversa do XOR, usando a mesma chave que foi usada para ofuscar o código. Isso resulta na "desofuscação", onde o código volta ao seu estado original e legível.
Armazenamento no disco: O código malicioso ofuscado pode ser armazenado no disco rígido. Como o código está ofuscado (e não no formato legível ou diretamente executável), ele passa despercebido por muitos antivírus tradicionais que escaneiam arquivos no disco em busca de padrões conhecidos.
Ferramentas do windows
PsExec
O PsExec é uma ferramenta da Sysinternals, que permite a execução de processos em máquinas remotas no ambiente Windows.
psexec.exe \\ip cmd.exe ( se voce ter permissão de adm, consegue executar sem login e senha)
nircmd
O NirCmd é conhecido por sua versatilidade, sendo utilizado para ajustes em configurações de áudio, vídeo, rede, entre outros
nircmd.exe dentro system32 dele 
nircmd.exe setdefaultsounddevice alto-falantenircmd.exe changesysvolume 2000000
Criptografia,hash crack, encode...
HashCat
Hashcat é uma ferramenta de quebra de senha altamente especializada que é projetada para recuperar senhas de hash. Hashcat suporta vários algoritmos de hash e métodos de ataque, permitindo que os usuários realizem a recuperação de senhas através de ataques de força bruta, ataques de dicionário e técnicas mais avançadas.
BruteForce attack
hashcat -a 3 -m [hash_mode] hash_file.txt mask
 
Ophcrack- Ophcrack é uma ferramenta gratuita de recuperação de senha baseada em rainbow tables, uma técnica eficiente para crackear senhas. É um programa que é amplamente utilizado para recuperar senhas esquecidas do Windows, aproveitando as vulnerabilidades nos métodos de hash de senha usados pelo sistema operacional.
Tabela rainbown
A tabela rainbow, ou tabela arco-íris, é um método usado para tentar decifrar senhas criptografadas, servindo como uma técnica eficaz em ataques de força bruta reversa. Esse tipo de tabela é uma grande base de dados pré-calculada de hashes para uma vasta gama de possíveis senhas. Cada hash é um valor único derivado de uma string de texto (neste caso, uma senha) através de uma função de hash criptográfica. As tabelas rainbow permitem que um atacante potencialmente descubra a senha correspondente a um hash específico sem ter que calcular hashes para diferentes combinações de senhas no momento do ataque.
unshadow command com John tool
Unshadow etc/passwd etc/shadow > password.db
John –format=crpyt password.db
PASS THE HASH
Pass the hash é uma técnica de hacking que permite que um invasor se autentique em um servidor ou serviço remoto usando o hash NTLM ou LanMan subjacente da senha de um usuário, em vez de exigir a senha de texto simples associada, como normalmente é o caso
Wireless hacking, exploração de trafego de rede
Ettercap
bettercap é uma ferramenta de segurança de rede gratuita e de código aberto para ataques man-in-the-middle em uma LAN. Ele pode ser usado para análise de protocolo de rede de computadores e auditoria de segurança.
AIRCRACK-NG
O Aircrack-ng foca na auditoria de redes Wi-Fi, capturando pacotes de dados e analisando-os para recuperar senhas de Wi-Fi.
20. Airodump-ng: Essa ferramenta é usada para capturar pacotes de uma rede sem fio. Ela exibe informações sobre redes Wi-Fi disponíveis, incluindo BSSID (Identificador Básico de Conjunto de Serviços), força do sinal, tipo de criptografia e clientes conectados.
21. Aireplay-ng: O Aireplay-ng é utilizado para injetar tráfego em uma rede sem fio para gerar novos IVs (Vetores de Inicialização) para quebrar a criptografia WEP ou desautenticar clientes para capturar o handshake WPA/WPA2.
ATAQUE DE desautenticação
22. Aircrack-ng: Essa é a ferramenta principal para quebrar chaves de criptografia WEP e WPA/WPA2-PSK. Ela utiliza os dados capturados e tenta recuperar a senha por meio de vários ataques. A eficácia desses ataques depende da força da senha escolhida e das medidas de segurança implementadas na rede.
23. Airmon-ng: O Airmon-ng é usado para habilitar ou desabilitar o modo de monitoramento em interfaces sem fio. O modo de monitoramento é essencial para capturar pacotes Wi-Fi brutos necessários para análise de rede e auditoria de segurança.
24. Airtun-ng: O Airtun-ng é usado para criar túneis virtuais por meio do cartão sem fio, permitindo a redireção de tráfego de uma interface de rede para outra.
tcpdump & Wireshark
São ferramentas tutilizadas para monitorar os pacotes trafegados numa rede de computadores, sendo amplamente utilizada.[1]
NetworkMiner
Ela captura e analisa pacotes de rede em tempo real ou pode processar arquivos de captura de pacote previamente gravados. O Network Miner é capaz de extrair arquivos e dados de sessões dos pacotes de rede, identificar os hosts e os serviços que eles estão utilizando, e também pode ser usado para detectar sistemas operacionais, sessões abertas e nomes de usuário sem colocar qualquer tráfego na rede.
Xplico
O Xplico é uma ferramenta de análise forense de rede de código aberto disponível para sistemas Linux. Ela é projetada para extrair dados de tráfego de rede de modo que possam ser usados em investigações de segurança cibernética ou análises legais. O objetivo principal do Xplico não é apenas capturar pacotes de dados, mas decompor esses dados para extrair e reconstruir o conteúdo das comunicações na Internet.
Principais características do Xplico:
27. Extração de Dados: Xplico é capaz de analisar e extrair conteúdo de diversos protocolos de Internet, incluindo HTTP, SMTP, FTP, TCP, UDP, entre outros. Ele pode extrair e reconstruir emails, conteúdos de páginas web, vídeos, imagens e muito mais.
28. Compatibilidade: Funciona bem com arquivos capturados por outros softwares populares de captura de rede, como Wireshark.
29. Interface Gráfica: Embora possa ser operado via linha de comando, o Xplico também oferece uma interface gráfica chamada Xplico Interface (XI), que simplifica a visualização e a análise dos dados.
30. Desempenho: É projetado para funcionar eficientemente mesmo com grandes volumes de dados, o que é crucial para o uso em ambientes corporativos ou durante investigações extensivas.
31. Relatórios: Capacidade de gerar relatórios detalhados que podem ser usados em contextos de análise forense ou auditorias de segurança.
hijacking de sessão TCP
também conhecido como sequestro de sessão TCP, é um tipo de ataque na segurança de rede onde um invasor assume o controle de uma sessão de comunicação entre duas máquinas na internet. Isso é feito interceptando e desviando pacotes dentro de uma sessão de comunicação estabelecida. Aqui está uma explicação passo a passo de como isso pode acontecer:
32. Estabelecimento de Sessão: Duas máquinas, digamos A e B, estabelecem uma sessão TCP válida, trocando pacotes e seguindo o protocolo de handshake TCP.
33. Previsão de Sequência: Para assumir a sessão, o invasor precisa prever ou descobrir os números de sequência usados nos pacotes entre A e B. O número de sequência é crucial porque determina a ordem dos pacotes em uma sessão TCP.
34. Intercepção: O invasor, com conhecimento do número de sequência, pode criar pacotes que parecem parte da conversa normal. Esses pacotes podem ser inseridos na sessão sem que A ou B percebam.
35. Manipulação de Dados: Uma vez que o invasor consegue enviar pacotes para a sessão, ele pode manipular os dados transmitidos, enviando comandos falsos ou dados incorretos, potencialmente ganhando acesso não autorizado a sistemas ou dados confidenciais.
36. Quebra de Conexão: Em alguns casos, o invasor pode optar por encerrar a sessão entre A e B para desviar completamente a comunicação.
ARP Poisoning
O ARP Poisoning (envenenamento ARP), também conhecido como ARP Spoofing, é um tipo de ataque em redes de computadores que usa o protocolo ARP (Address Resolution Protocol) para redirecionar o tráfego de rede de uma maneira maliciosa. O protocolo ARP é usado para associar endereços IP com endereços MAC (Media Access Control), que são necessários para a comunicação na camada de enlace de dados. Aqui está como o ataque funciona e suas implicações:
Como Funciona o ARP Poisoning
37. ARP Request e Reply: Em uma rede normal, quando um dispositivo quer comunicar-se com outro na mesma rede local, ele envia uma solicitação ARP para descobrir o endereço MAC associado ao endereço IP desejado. O dispositivo com esse IP responde com seu endereço MAC.
38. Falsificação de Respostas ARP: No ARP Poisoning, um atacante envia respostas ARP falsificadas para outros dispositivos na rede. Essas respostas não são solicitadas e contêm o endereço MAC do atacante associado a um endereço IP legítimo de outro dispositivo na rede.
39. Redirecionamento de Tráfego: Como resultado das respostas ARP falsificadas, os dispositivos na rede começam a associar o endereço IP do alvo com o endereço MAC do atacante. Isso faz com que o tráfego destinado ao dispositivo alvo seja enviado ao atacante.
40. Interceptação de Dados: Com otráfego sendo redirecionado, o atacante pode interceptar, modificar ou bloquear dados entre os dispositivos na rede sem que as vítimas percebam.
ENGENHARIA SOCIAL ATTACKS
Zphisher
Zphisher é uma ferramenta de phishing automatizada usada para criar páginas falsas que imitam sites legítimos, a fim de coletar credenciais de login de usuários desavisados. É popular entre os entusiastas de segurança e é uma evolução de outras ferramentas de phishing como ShellPhish e HiddenEye.
https://github.com/htr-tech/zphisher?tab=readme-ov-file
Spearphishing Attachment
"Spearphishing Attachment" refere-se a uma técnica de ataque de spearphishing específica, onde um atacante envia e-mails personalizados (spearphishing) que contêm anexos maliciosos. Esses e-mails são projetados para se parecerem com comunicações legítimas, muitas vezes direcionadas a um indivíduo específico ou a um grupo de pessoas.
image3.png
image4.png
image5.png
image6.png
image7.png
image8.png
image9.png
image10.png
image11.png
image12.png
image13.png
image14.png
image15.png
image16.png
image17.png
image18.png
image19.png
image20.png
image21.png
image1.png
image2.png