O documento discute os ataques de hackers aos sites governamentais brasileiros (.gov.br), fornecendo estatísticas sobre invasões passadas de acordo com o Zone-h e descrevendo diferentes tipos de ataques, como brute force, SQL injection e busca por arquivos sensíveis. O autor também apresenta uma ferramenta chamada PHP Avenger para automatizar ataques e menciona os resultados de testes offensivos em 73 alvos governamentais, concluindo que o governo precisa melhorar o controle, responsabilização, prevenção e monitoramento de segurança
4. ● Mais velho, mais Legal, mais bonito... e além
disso...
● Desenvolvedor PHP desde meus 19 anos...
● Também sou entusiasta da área de Segurança
da Informação.
● ASZone / PHPDF / WordPress Brasília
13. Problemas do Governo
● Quantidade enorme de sistemas.
● Escassez de recurso.
– Infraestrutura.
– Mão de obra.
– Financeiro.
● Descontinuação constante.
● Legado.
● Desenvolvimento seguro.*
27. “Se tivesse seis horas para derrubar uma
árvore, eu passaria as primeiras quatro horas
afiando o machado.”
Abraham Lincoln
28. Pensando nisso...
PHP Avenger
● Automatização de ataques;
● Dividido em duas partes;
– Localização e identificação dos alvos através de
padrões de desenvolvimeto de software, utilizando
indexadores como Google, Bing, Yander, Baidu;
– Efetivação da vulnerabilidade através de testes
ofensivos;
29. Localização e Indentificação
● Dorks
– Pesquisa avançada utilizando parametros.
– Site:gov.br inurl:(login|admin|adm)
● Problemas encontrados
– Sensibilidade de buscadores.
– Falso positivos.
– Análise de massa de dados.
● Soluções
– Envio de emails
– Tor / Proxys
– Botnets
31. Validação de vulnerabilidade
● Validação do alvo.
● Inserção de parametros ofencivos.
● Tratamento, validação e identificação de
retorno do ataque efetuado.
35. Searching Trash
● Objetivo:
– Localizar arquivos sensíveis esquecidos pelos
administradores, como senha de banco de dados,
servidores e sistemas, além de backups.
● Método:
– Através de dorks.
37. Brute-Force + Injection
● Objetivo:
– Obter acesso a aplicação ou gerar erro de banco de dados para um
possível ataque de sql injection.
● Método:
– Utilizando senhas como:
● $injection[]="' or '1'='1";
● $injection[]="' or 'x'='x";
●
$injection[]="' or 0=0 --";
● $injection[]="' or 0=0 --";
● $injection[]='" or 0=0 --';
● $injection[]="or 0=0 --";
● $injection[]="' or '1'='1";
39. Brute-Force + WordPress
● Objetivo:
– Obter acesso ao sistema.
● Método:
– Listando todos os usuários, com isso, 50% do
ataque já esta realizado com sucesso, faltando
apenas acertar a senha.
43. Sql Injection
● Objetivo:
– Extrair dados indevidos do banco de dados
● Método:
– Inserindo parametros indevidos nas entradas de
dados que são repassadas as base de dados.
44. Sql Injection
● Objetivo:
– Extrair dados indevidos do banco de dados
● Método:
– Inserindo parametros indevidos nas entradas de
dados que são repassadas as base de dados.
45. Resultado
●
Searshing trash
– 18
● Possíveis falhas brute-force do WP
– 8
●
Possíveis falhas de brute force através de injection.
– 12
●
Possíveis falha de Local File Donwload
– 8
●
Possíveis falha de Sqli Injection
– 27
Total de 73
46. Finalmente
● Governo vai ser um eterno alvo.
● Estão aprendendo com os ataques.
● Falta
– Controle.
– Responsabilização.
– Prevensão.
– Monitoramento.
● Sensação de segurança dos gov.br é baixa.
Boa tarde pessoal...
Assunto Polemico...
Engracado que inicialmente parecia uma otima ideia falar de estatisticashackers e tecnicas de ataques, sem contar com o desenvolvimento de uma tool de automatiza;'ao de ataques em massa escrita em php, tudo isso envolvendo o governo. Uma verdadeira bomba.
Confesso que passei uns dias bolados para achar uma linha tenue, qual eu n'ao passasse para o lado da ilegalidade, mas que tivesse algo real... e acho que encontrei um meio termo legal e voces v'ao gostar...
Quem sou eu!
Eu sou o Lenon, mais conhecido como irmão do Leonn, Irmão mais velho...
Colocar imagem
Mais Legal...
Mais gente boa...
Mais simpático...
Mais tudo, pode pergunta pra minha mãe...
Então vamos lá, quantos aqui trabalham para o governo?!
E quantos trabalham para pf, abin:? heheh ou alguma coisa do tipo!?
zueira vai...
Vamos lá... quantos já tiveram os sites hackeados?!
Levante a mão bora bora... chega de data folha né
Antes de tudo primeiramente precisamos entender algumas coisas, o cenario, quem sao as pessoas qu estao do outro lado, os riscos... é todo o contexto, apesar de não parecer, até o enredo político influencia esse estudo.
Antes de começar a falar de números e ataques, precisamos entender o cenário atual, a internet, e quem são os hackers que saem tanto na mídia...
Essa imagem mostrar alguns dos perfis que vamos mostrar... do que ganha menos dinheiro para o que ganha mais dinheiro... heheh
O Cenário perfis dos Hackers...
Começando de trás para frente, vcs sabiam que existe tipos e perfis de hackers?!
Script Kid.
quem não conhece né, é o cara q aprendeu usar uma ou duas ferramentas... e sai usando até dar certo... São muitos, de fácil rastreio e pouco produtivos...
Advanced Persistent Threat
Alguém já ouviu falar nesses tipo de hackers?!
Então, é pq eles realmente não querem que você conheça eles... Esse tipo de hackers, na verdade geralmente são equipes, com foco em diversas áreas, desde engenharia social, a gestores até passar no pessoal tecnico. São pessoas voltadas para ganho financeiro baseado em roubo de intelecto... grande massa de dinheiro, e geralmente são invisíveis
Spy Hackers
É uma versão menor de menor ecala do APT, dos hackers assim, eles são hackers que buscam aquisições financeiras baseadas em roubo de informações... Muito usado no mercado de empresas... uma querendo informação da outra no caso...
Spammers
O nome já diz, responsável por envio de spam, para quem não sabe isso gera mt dinheiro, sabe aquela propaganda que aparece do viagra, do aumente seu penis... pois é são geradas através dele... e dá um dinheiro bom
Hacktivista
State Sponsored Hackers
Hackers fodas patrocinados pelo gov, ou o próprio governo como o dos EUA...
Como vimos vamos nos basear nos hackers que aparecem na mídia, pq quem não quer aparecer não tem como mensurar... as vezes estão efetuando ataques nesse exato momento e nunca vamos saber... mas focando em números, vamos trazer os ataques desses rapazes aqui... mas como?! onde tem escrito isso..
Vale lembrar que maioria das vezes querem apenas pinchar o site, sem nenhuma alteração, não causando maiores danos, pois querem chamar atenção, aatrair os olosfostes para a bandeira que levantam, mas nem sempre é assim por exemplo...
Então a porra fica mais séria, aí o bixo pega, passou a causar probela de vidas... então pessoal esse tipo de coisa pode causar muitos trantoronos, imagine isso na mão de facções criminosas... e eu vou te falar não vou longe... existe disso por todo o Brasil.
Graças ao parça Snodem, que jogou a merda no ventilador descobrimos mais riscos... Como os sistemas Prism e Mystic, alguém conhece:!?
São sistemas de monitoramento, onde grande empresas como Face, Google Yahoo colaboram...
Prism, pode conteudo e Mystic por aúdio
O hacker no submundo, é meio que um popstar, e todos vivem de ego, afinal o que adiantar fazer se não pode contar para nínguêm, o hacker não aje como mineiro... Esses que mostramos precisam aparecer, não digo aqueles dos governos ou os que são pago para isso ma aquele pobre activista ele nã tem dinheiro e vive de ego, de mídia.. então os hackers possuem uma mini rede social, ou um ranking onde são publicados e válidados todos as suas ações. que é o zone-h, existe outros mais esse é o mais antigo e com mais informações e tem mais, todos os ataques precisam de ter um print. com data, sistema operacional, nome da sua galera ou gang, rsrs
2011/2012 Crise política...
Lulzsec;
Anonymos;
Muita mídia;
Diminuição ao longo dos anos...
Aprendizado, por parte do governo;
Menos motivação;
Subida 2015
Crise política***;
Maturidade tecnica dos hackers
Ciclo de renovação de software;
Grandes centros mais ataques;
Mais sistemas, mais problemas.
Maior mídia para os grande centros.
Mais Municípios, mais sites.
Pequenos centros com menos ataques;
Menos sistemas, menos problemas.
Menos munícipios.
Menos mídia, e motivação
Mas esse mlk é louco
Essa frase é para mostrar que ao invés de ir site por site na mão, pq não agilizamos o processo de ataque?!
Vamos perder algum tempo implementando apenas uma vez e nenhum efetuando ataques