Webinar sobre-ferramentas-e-técnicas-para-auditorias-teste-de-invasão

Técnicas e Ferramental para
Testes de Invasão (PenTests)
Rafael Soares Ferreira
Clavis Segurança da Informação
rafael@clavis.com.br

Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.

$ whoami

• CSO (Clavis & Green Hat)
• Pentester
• Investigador Forense
• Incident Handler
• Hacker Ético (CEHv6 – ecc943687)
• Instrutor e Palestrante


Agenda

• Definição
• Preparação
• Testando Redes e Sistemas
• Testando Aplicações Web
• Ferramentas
• Dúvidas
• Próximos Eventos

Definição

● Testes de segurança

● Atividades técnicas controladas

● Simulações de ataques reais


Definição

● Avaliar riscos e vulnerabilidades

• Determinar eficácia de investimentos

• Conformidade

• Homologação


Definição

● Metodologia e Documentação

● Limitações e Ética

● Autorização documentada


Definição

>> OSSTMM
Open Source Security Testing Methodology Manual

>> NIST 800.42
Guideline on Network Security Testing

>> OWASP
Open Web Application Security Project

>> ISSAF
Information Systems Security Assessment Framework


Preparação

• Detalhes da Infraestrutura

• Acordo de confidencialidade (NDA)

• Equipamento e recursos necessários

• Acesso a testes anteriores


Preparação

● Objetivo/Propósito
● Alvos
● Profundidade
● Exclusões


Preparação

>> O que você sabe sobre o ambiente?
Blind (caixa preta)

Open (caixa branca)

>> O que o ambiente sabe sobre você?

Teste anunciado

Teste Não-anunciado


Preparação

Ponto de Partida

● Ataques externos

● Ataques Internos


Preparação

Tratamento de questões especiais

● Falha no sistema alvo
● Dados sensíveis encontrados
● Pontos de Contato


Preparação

Limitações de Tempo

● Restrições de Horário
● Duração do Teste


Preparação

Vetores de Ataque
● Classificação de vulnerabilidades

● Identificação de circuitos de ataque

● Caminho de menor resistência

● Árvores de ataques


Testando Redes e Sistemas

Obtenção de Informações

● Engenharia Social
● Trashing (Dumpster Diving)
● Whois
● Entradas DNS
● Buscas na Internet



Varreduras

● Wardriving
● Mapeamento de Redes
● Port Scan
● Vulnerabilidade



Invasão

● Sniffing
● DNS Cache Poisoning
● Exploits
● Quebra de Senha
● Negação de Serviço



Pós-Invasão

● Escalada de Privilégios
● Manutenção de Acesso
● Cobrindo Rastros


Testando Aplicações Web

Principais Problemas

• Não validação de dados externos
• Não tratamento de erros
• Falta de Canonicalização
• Verificações Client-Side
• Segurança por Obscuridade



>> Injeções

• Dados não esperados (e não tratados!) enviados
para um interpretador

• Interpretadores recebem strings e interpretam
como comandos

• SQL, Shell, LDAP, etc...

• Injeção de SQL é disparado o mais comum!

• Impactos Catastróficos!


>> Injeções - SQL

Client-Side:
<form method="post" action="http://SITE/login.php">
<input name="nome" type="text" id="nome">
<input name="senha" type="password" id="senha">
</form>

Server-Side:

SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '$senha'
;



>> Injeções - SQL

Client-Side: O Exploit!

' OR 'a'='a

Server-Side:

SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '' OR 'a'='a'
;



>> Injeções - SQL

www.seginfo.com.br

Traduzida a partir da Tirinha “Exploits of a mom” do xkcd



>> Injeções - SO

• Dados enviados pelo usuário geram um comando
que é passado ao sistema

• Exemplo: DNS lookup em domínios passados pelo
usuário

• Exploit: clavis.com.br%20%3B%20/bin/ls%20-l



>> Cross-Site Scripting (XSS)

• Dados maliciosos enviados ao browser do usuário

• Podem estar em posts, URLs, javascript, etc...

• Todo Browser é “vulnerável”:
javascript:alert(document.cookie)

• Geralmente visa roubo (de sessão, de dados, ...)
ou redirecionamento para sites maliciosos



>> Cross-Site Scripting (XSS)



>> Cross-Site Scripting (XSS) - Persistente



>> Cross-Site Scripting (XSS) – Não Persistente



>> Gerência de Sessões e Autenticações

• O protocolo HTTP é stateless

• SESSION ID usado para gerir a “sessão”

• A exposição do SESSION ID é tão perigosa
quanto a de credenciais

• Outras possibilidades são: Reset e/ou lembrete
de senha, Pergunta secreta, logout, etc...

• Possibilita o comprometimento de sessões


>> Referência Direta a Objetos Insegura

• Não adianta esconder objetos

• Controle de Acesso em camada de apresentação
não funciona!

• Force restrições server-side!

• Possibilita acesso a dados não autorizados



>> Cross Site Request Forgery (CSRF)

• O browser da vítima é induzido à executar
requisições

• Analogia: Um atacante se apodera de seu mouse
e clica em links enquanto você usa seu internet
banking



>> Cross Site Request Forgery (CSRF)



>> Canal Inseguro

• A internet é pública e hostil!

• Dados podem ser (e serão!) capturados

• Utilize criptografia!

• Atacantes podem visualizar e/ou modificar
informações em trânsito


Ferramentas

Sondagem e Mapeamento

>> Nmap

>> THC-Amap

>> Xprobe2

>> Unicornscan


Ferramentas

Auditoria de Senhas

>> John The Ripper

>> THC-Hydra


Ferramentas

Análise de Tráfego

>> Wireshark

>> Tcpdump

>> Ettercap

>> Dsniff


Ferramentas

Análise de Vulnerabilidades

>> Nessus

>> OpenVAS

>> SARA

>> QualysGuard


Ferramentas

Auditoria em Servidores Web

>> Nikto

>> Paros

>> Webscarab


Ferramentas

Auditoria em Redes sem Fio

>> Kismet

>> Aircrack-ng

>> Netstumbler

>> Cowpatty


Ferramentas

Exploração de Vulnerabilidades

>> Metasploit

>> SecurityForest


Ferramentas

Manipulação de pacotes e artefatos

>> Hping

>> Yersinia

>> Ida Pro

>> Ollydbg


Conclusões

● Técnicas regem o ferramental
● A ética é muito importante (sempre!)
● “Grandes poderes trazem grandes
responsabilidades”
● Segurança deve ser pró-ativa


Dúvidas?

Perguntas?
Críticas?
Sugestões?


Próximos Eventos


Próximos Eventos

Data: 08, 10, 15, 17, 22 e 24 de Fevereiro de 2011;
Carga horária: 18 horas;

http://www.clavis.com.br/treinamento-ensino-a-distancia-ead/


Próximos Eventos

Data: 26 de Março e 02, 09, 16 de Abril de 2011;
Carga horária: 24 horas;



Próximos Eventos

Data: 14, 18, 19, 25, 26, 27, 28 e 30 de abril de
2011
Carga Horária: 25 horas;



Próximos Eventos

Data: Em Andamento. Aguarde Novas Turmas.
Carga Horária: 25 horas;



Próximos Eventos

Data: 12 e 13 de agosto de 2011(sexta e sábado)

Local: Centro de Convenções da Bolsa de Valores do
Rio de Janeiro.
www.seginfo.com.br


Próximos Eventos

Profissionais renomados no cenário
Nacional e Internacional


Próximos Eventos

Jogos e Premiações!


Fim...

Muito Obrigado!

Rafael Soares Ferreira

rafael@clavis.com.br

@rafaelsferreira


Webinar sobre-ferramentas-e-técnicas-para-auditorias-teste-de-invasão

Mais conteúdo relacionado

Mais procurados

Semelhante a Webinar sobre-ferramentas-e-técnicas-para-auditorias-teste-de-invasão

Mais de Clavis Segurança da Informação

Webinar sobre-ferramentas-e-técnicas-para-auditorias-teste-de-invasão