Técnicas PenTests

Técnicas e Ferramental para
Testes de Invasão (PenTests)
Rafael Soares Ferreira
Clavis Segurança da Informação
rafael@clavis.com.br

Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.

$ whoami

• CSO (Clavis & Green Hat)
• Pentester
• Investigador Forense
• Incident Handler
• Hacker Ético (CEHv6 – ecc943687)
• Instrutor e Palestrante


Agenda

• Definição
• Preparação
• Testando Redes e Sistemas
• Testando Aplicações Web
• Ferramentas
• Dúvidas
• Próximos Eventos

Definição

● Testes de segurança

● Atividades técnicas controladas

● Simulações de ataques reais


Definição

● Avaliar riscos e vulnerabilidades

• Determinar eficácia de investimentos

• Conformidade

• Homologação


Definição

● Metodologia e Documentação

● Limitações e Ética

● Autorização documentada


Definição

>> OSSTMM
Open Source Security Testing Methodology Manual

>> NIST 800.42
Guideline on Network Security Testing

>> OWASP
Open Web Application Security Project

>> ISSAF
Information Systems Security Assessment Framework


Preparação

• Detalhes da Infraestrutura

• Acordo de confidencialidade (NDA)

• Equipamento e recursos necessários

• Acesso a testes anteriores


Preparação

● Objetivo/Propósito
● Alvos
● Profundidade
● Exclusões


Preparação

>> O que você sabe sobre o ambiente?
Blind (caixa preta)

Open (caixa branca)

>> O que o ambiente sabe sobre você?

Teste anunciado

Teste Não-anunciado


Preparação

Ponto de Partida

● Ataques externos

● Ataques Internos


Preparação

Tratamento de questões especiais

● Falha no sistema alvo
● Dados sensíveis encontrados
● Pontos de Contato


Preparação

Limitações de Tempo

● Restrições de Horário
● Duração do Teste


Preparação

Vetores de Ataque
● Classificação de vulnerabilidades

● Identificação de circuitos de ataque

● Caminho de menor resistência

● Árvores de ataques


Testando Redes e Sistemas

Obtenção de Informações

● Engenharia Social
● Trashing (Dumpster Diving)
● Whois
● Entradas DNS
● Buscas na Internet



Varreduras

● Wardriving
● Mapeamento de Redes
● Port Scan
● Vulnerabilidade



Invasão

● Sniffing
● DNS Cache Poisoning
● Exploits
● Quebra de Senha
● Negação de Serviço



Pós-Invasão

● Escalada de Privilégios
● Manutenção de Acesso
● Cobrindo Rastros


Testando Aplicações Web

Principais Problemas

• Não validação de dados externos
• Não tratamento de erros
• Falta de Canonicalização
• Verificações Client-Side
• Segurança por Obscuridade



>> Injeções

• Dados não esperados (e não tratados!) enviados
para um interpretador

• Interpretadores recebem strings e interpretam
como comandos

• SQL, Shell, LDAP, etc...

• Injeção de SQL é disparado o mais comum!

• Impactos Catastróficos!


>> Injeções - SQL

Client-Side:
<form method="post" action="http://SITE/login.php">
<input name="nome" type="text" id="nome">
<input name="senha" type="password" id="senha">
</form>

Server-Side:

SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '$senha'
;



>> Injeções - SQL

Client-Side: O Exploit!

' OR 'a'='a

Server-Side:

SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '' OR 'a'='a'
;



>> Injeções - SQL

www.seginfo.com.br

Traduzida a partir da Tirinha “Exploits of a mom” do xkcd



>> Injeções - SO

• Dados enviados pelo usuário geram um comando
que é passado ao sistema

• Exemplo: DNS lookup em domínios passados pelo
usuário

• Exploit: clavis.com.br%20%3B%20/bin/ls%20-l



>> Cross-Site Scripting (XSS)

• Dados maliciosos enviados ao browser do usuário

• Podem estar em posts, URLs, javascript, etc...

• Todo Browser é “vulnerável”:
javascript:alert(document.cookie)

• Geralmente visa roubo (de sessão, de dados, ...)
ou redirecionamento para sites maliciosos



>> Cross-Site Scripting (XSS)



>> Cross-Site Scripting (XSS) - Persistente



>> Cross-Site Scripting (XSS) – Não Persistente



>> Gerência de Sessões e Autenticações

• O protocolo HTTP é stateless

• SESSION ID usado para gerir a “sessão”

• A exposição do SESSION ID é tão perigosa
quanto a de credenciais

• Outras possibilidades são: Reset e/ou lembrete
de senha, Pergunta secreta, logout, etc...

• Possibilita o comprometimento de sessões


>> Referência Direta a Objetos Insegura

• Não adianta esconder objetos

• Controle de Acesso em camada de apresentação
não funciona!

• Force restrições server-side!

• Possibilita acesso a dados não autorizados



>> Cross Site Request Forgery (CSRF)

• O browser da vítima é induzido à executar
requisições

• Analogia: Um atacante se apodera de seu mouse
e clica em links enquanto você usa seu internet
banking



>> Cross Site Request Forgery (CSRF)



>> Canal Inseguro

• A internet é pública e hostil!

• Dados podem ser (e serão!) capturados

• Utilize criptografia!

• Atacantes podem visualizar e/ou modificar
informações em trânsito


Ferramentas

Sondagem e Mapeamento

>> Nmap

>> THC-Amap

>> Xprobe2

>> Unicornscan


Ferramentas

Auditoria de Senhas

>> John The Ripper

>> THC-Hydra


Ferramentas

Análise de Tráfego

>> Wireshark

>> Tcpdump

>> Ettercap

>> Dsniff


Ferramentas

Análise de Vulnerabilidades

>> Nessus

>> OpenVAS

>> SARA

>> QualysGuard


Ferramentas

Auditoria em Servidores Web

>> Nikto

>> Paros

>> Webscarab


Ferramentas

Auditoria em Redes sem Fio

>> Kismet

>> Aircrack-ng

>> Netstumbler

>> Cowpatty


Ferramentas

Exploração de Vulnerabilidades

>> Metasploit

>> SecurityForest


Ferramentas

Manipulação de pacotes e artefatos

>> Hping

>> Yersinia

>> Ida Pro

>> Ollydbg


Conclusões

● Técnicas regem o ferramental
● A ética é muito importante (sempre!)
● “Grandes poderes trazem grandes
responsabilidades”
● Segurança deve ser pró-ativa


Próximos Eventos


Próximos Eventos

Data: 12 e 13 de agosto de 2011(sexta e sábado)

Local: Centro de Convenções da Bolsa de Valores do
Rio de Janeiro.
www.seginfo.com.br


Próximos Eventos

Profissionais renomados no cenário
Nacional e Internacional


Próximos Eventos

Jogos e Premiações!


Dúvidas?

Perguntas?
Críticas?
Sugestões?


Fim...

Muito Obrigado!

Rafael Soares Ferreira

rafael@clavis.com.br

@rafaelsferreira


Técnicas PenTests

Recommended

Recommended

More Related Content

What's hot

What's hot (19)

Viewers also liked

Viewers also liked (20)

Similar to Técnicas PenTests

Similar to Técnicas PenTests (20)

More from Clavis Segurança da Informação

More from Clavis Segurança da Informação (16)

Técnicas PenTests