Presentación curso de verano (Valencia 2010) - PenTest

1. Alejandro Ramos
www.securitybydefault.com

3. Método para evaluar la seguridad
de un sistema o red de sistemas
de información simulando el
ataque por un intruso

4.  Parte por la necesidad de comprobar cual es
el impacto real de una vulnerabilidad
mediante la realización de pruebas
controladas.
 Que no se diagnostique una enfermedad no
significa que no exista, se busca la detección
de vulnerabilidades no conocidas.

5.  Auditoría de vulnerabilidades:
◦ Cuantifica y clasifica vulnerabilidades y
recomendaciones
◦ Encuentra el 100% de las vulnerabilidades
conocidas
 Test de intrusión:
◦ Detecta algunas vulnerabilidades conocidas y
algunas desconocidas
◦ Describe y demuestra el impacto asociado a las
vulnerabilidades detectadas.

6.  Ataque: lo que afecta a la Autenticidad,
Confidencialidad, Integridad, Disponibilidad, o
Auditabilidad (ACIDA)
 Activo
◦ Modifica el sistema
◦ Altera la integridad o disponibilidad
◦ Ejemplos: explotar una vulnerabilidad, descargar una
base de datos.
 Pasivo
◦ No modifica los sistemas
◦ Intercepta información
◦ Afecta a la confidencialidad
◦ Ejemplo: escucha de paquetes en la red

7.  Externo
◦ Ejecutado desde fuera del perímetro de seguridad.
◦ Ejemplo: Internet
 Interno
◦ Con más privilegios de acceso en la red
◦ Ejemplo: empleado, cliente, proveedor, conexión
wireless

8. Capa de aplicación T
Análisis de visibilidad E
Auditoría de código fuente (J2EE, C, ASPX, PHP…)S
Auditoría de aplicaciones web y web services
T
Auditoría de Servicios (BBDD, WEB, Correo, etc)
D
Auditoría de sistemas Operativos E
Capa comunicaciones
Auditoría entornos inalámbricos: WiFi, BT, RFID
I
N
Auditoría Accesos remotos: Wardialing, VPN
T
Auditoría Elementos de red: routers, switches
R
Auditoría Elementos de seguridad: FW, IDS, SEIM U
Capa física S
Ingeniería Social
I
Ó
Dumpster Diving
N

9.  Se genera un requerimiento de propuestas
(request for proposal)
 Proveedores responden con sus ofertas
 Se acepta una de ellas
 Reunión de arranque
 Ejecución
 Cierre de proyecto

10. Fase I. Fase II.
Fase 0. Fase III. Fase IV.
Test de Test de
Arranque Resultados Cierre de
Intrusión Intrusión
Proyecto Proyecto
Externo Interno
Gestión Proyecto
A. Reunión Da. Recopilación Db. Recopilación H. Informe J. Presentación de
Arranque Información Información técnico Resultados
I. Informe
B. Planificación de Ea. Enumeración Eb. Enumeración K. Reunión de
Ejecutivo
pruebas Cierre de Proyecto
Fa. Análisis Fb. Análisis L. Aceptación de
hitos y
C. Reuniones
finalización de
Seguimiento
Fa.1 Fb.1 proyecto
Infraestructura Infraestructura
Fa.2 Sistema Fb.2 Sistema
Operativo Operativo
Fa.3 Servicios Fb.3 Servicios
Fa.4 Fb.4
Aplicaciones Aplicaciones
Ga. Obtención de Gb. Obtención de
evidencias evidencias

11.  Ámbito / Alcance
 Nivel de información
◦ Caja Blanca
◦ Caja Negra
 Autorización de trabajo
◦ http://www.counterhack.n
et/permission_memo.html
 Objetivos de auditoría
 ¿Ingeniería social?
 ¿Pruebas (exploits)
peligrosos?

12. Recopilación de Información
• Buscadores: Google, MSN
• Ripe, whois, DNS
• Metadatos: jpg, doc, xls, pdf
Documentación Enumeración
• Análisis de visibilidad • Direccionamiento IP
• Informe de Test de Intrusión • Nombres de usuario
• Presentación de resultados • Servicios y aplicaciones
• Alertas
Explotación Análisis
• Intrusión en sistemas • Infraestructura
• Obtención de evidencias • Sistema Operativos
• Servicios
• Aplicaciones

13. Recopilación de
Información
Garantizando acceso
•Instalación de rootkits
•Sniffers
Enumeración
•Keyloggers
Borrado de
evidencias Análisis
•Eliminación de
registros
Explotación

14.  ISECOM OSSTMM 3.0
◦ http://www.isecom.org/
 OWASP
◦ http://www.owasp.org
 NIST SP 800-42 (Security Testing), 800-115
◦ http://csrc.nist.gov

15. Demo

17.  Primera fase del test de intrusión
 Esencial para elaborar un ataque sofisticado
posterior
 No intrusivo, la entidad no debe detectarlo
 Recopilar mayor cantidad de información
publica:
Direccionamiento IP Dominios
Correos electrónicos Nombres de usuario
Software y Hardware Proveedores y clientes
Marcas comerciales Productos
Perfil de trabajadores IMAGINACIÓN

18.  Objetivo: encontrar nuevos hosts y aplicaciones
web
 Identificar otros dominios alojados en una misma
dirección IP (virtual vost)
 Se consultan todas las direcciones IP en
buscadores
 Bing.com permite “IP:<ip>”
 Online:
◦ http://www.serversniff.net/hostonip.php
◦ http://www.myipneighbors.com
◦ http://www.domaintools.com/reverse-ip/
◦ http://whois.webhosting.info/

22.  A veces incluido dentro de fase de obtención
de información (activo)
 Identificar las versiones y los servicios que
ofrece cada dirección IP
 Identificación de sistemas operativos,
elementos de red, etcétera.
 Identificación de reglas en firewalls
 Descartar sistemas que no ofrezcan servicios
(IPs sin uso)

23.  Objetivo: descubrir los
servicios activos
 Barrer los 65535
puertos.
 Uso de distintos
protocolos
 Optimización de tiempo
 Detección de reglas de
firewall

26.  Versiones antiguas
 Falta de parches
 Errores de configuración
 Configuraciones por defecto
 Usuarios y contraseñas débiles

27.  Proceso de detección de vulnerabilidades
automáticamente:
Banco de pruebas muy elevado.
Ahorro en coste/tiempo
 Falta de control
 Número elevado de falsos positivos
 Denegación de Servicio

28.  Tenable Nessus
 OpenVAS
 GFI Languard
 SAINT
 QualysGuard
 Rapid7 Nexpose
 eEye Retina
 Foundstone
 nCircle IP360
 Skybox Secure solution
 Gideon SecureFusion

32. Objetivos:
 Eliminación de falsos positivos.
 Obtención de evidencias
 Salto a la red interna y/o entre servidores
 Muestra el impacto real
Precauciones:
 Caída del servicio
 Caída del sistema
 Inestabilidad de los servicios
 Obtención de información confidencial
◦ Revisión del alcance y autorización de trabajos

33.  Código que explota una vulnerabilidad en
beneficio del que la ejecuta
 Categorías:
◦ Exploits de servicio - Server side
◦ Exploits en el cliente - Client side
◦ Escalada local de privilegios
 Frameworks
 Códigos independientes

34.  Metasploit
 Core Impact
 Canvas
 Saintexploit

36. function validarAcceso($login,$password ) {
include("../includes/config.inc.php");
$login=mysql_escape_string($login);
$password=mysql_escape_string($password);
$sql="select * from usuarios where
db_login='".$login."' and
db_pwd=password('".$password."')";

37. http://forum.antichat.ru/showthread.php?p=2121072

40.  Introducción
 Resumen ejecutivo y conclusiones
 Metodología
 Proceso de intrusión, vulnerabilidades
◦ Criticidades, recomendaciones, evidencias
 Apéndices

41. www.securitybydefault.com