PenTest: Raccolta e scansione di informazioni

L’importanza della raccolta di informazioni

Per iniziare un pentest è importante raccogliere informazioni sul target in primo luogo, questo include anche definire gli obiettivi e gli obiettivi del test. La raccolta di informazioni consiste nella ricerca di informazioni pubbliche disponibili relative al sistema e cerca quale sia il modo migliore per sfruttare tali informazioni.

Lo scopo di raccogliere quante più informazioni possibile è capire come funziona l’applicazione o il sistema per scoprire le carenze di sicurezza che possono essere risolte. Per questo processo abbiamo due approcci:

Raccolta di informazioni passive-questo metodo può essere utilizzato prima della raccolta di informazioni attive, perché è meno evasivo. Solo le informazioni pubblicate pubblicamente delle informazioni target vengono utilizzate e raccolgono quante più informazioni possibili senza stabilire un contatto tra il pentester e il target. Per questo possiamo usare alcuni strumenti open source, ad esempio: dominio whois, social network, server di posta, elenco di applicazioni ospitate sullo stesso indirizzo IP e altre informazioni aperte.

Raccolta di informazioni attive – su questo tipo di approccio, è necessaria una maggiore preparazione da parte del pentester perché lascia tracce, che possono causare l’innesco di avvisi al bersaglio. Utilizzando questo metodo, l’organizzazione mirata può venire a conoscenza del processo in corso poiché vi è un coinvolgimento attivo con il target. In questa fase, otteniamo informazioni sulle porte aperte, i servizi, le versioni delle applicazioni, la versione del sistema operativo, ecc.

Set di strumenti del pentester per la scansione

Ora che sappiamo quali informazioni vogliamo recuperare, ci sono molti modi per raccoglierle. Il primo strumento che tutti dovrebbero usare è Google. La quantità di dati mostrati da Google è enorme e si possono trovare cose interessanti per quanto riguarda il vostro obiettivo. Il database di Google Hack vi mostra una grande lista di trucchi utili per cercare informazioni con il motore di ricerca di Google. Maltego è anche un altro strumento che aiuta a collegare i dati con indirizzi commerciali e di posta elettronica. La ricerca di informazioni in questo modo è chiamata indiretta ma non è sufficiente per recuperare tutto ciò che vogliamo.

È stato menzionato nell’articolo precedente che lo strumento principale di un pentester è un sistema operativo orientato alla sicurezza. Ce ne sono tre principali: Kali, ParrotSec e BlackArch. Essi forniscono tutti gli strumenti necessari per eseguire rapidamente un test di penetrazione contro un ambiente. Tra tutti, ce ne sono alcuni che vengono utilizzati principalmente per la scansione e la raccolta di informazioni:

  • nmap-è uno scanner di rete open source utilizzato per scoprire host e servizi su una rete di computer inviando pacchetti e analizzando le risposte, può anche essere utilizzato per la scansione delle vulnerabilità.
  • OWASP ZAP – è uno scanner di sicurezza delle applicazioni web open source. Esso è destinato ad essere utilizzato sia da quelli nuovi per la sicurezza delle applicazioni, nonché tester di penetrazione professionali.
  • nslookup-questo è uno strumento a riga di comando disponibile in ogni computer per interrogare il Domain Name System per ottenere nomi di dominio o indirizzi IP o anche altri record DNS.

Esistono molti altri strumenti ma sono più specifici a seconda dei risultati di quelli sopra menzionati. Ad esempio, se si trova un server di database in ascolto su una porta che può essere contattata tramite un software client, è possibile utilizzarlo per provare a connettersi al servizio. Ciò ha portato a ulteriori ricerche in seguito e più in profondità si va, migliore è il risultato.

Scansiona l’host e la rete con Nmap

Per eseguire una scoperta sulla rete del target, possiamo usare lo strumento Nmap. Aiuta a identificare host e servizi su una rete. In questo caso, se vogliamo scansionare un host, possiamo ottenere informazioni sulle porte aperte, i servizi in esecuzione, la versione del sistema operativo, ecc.

Ci sono molti comandi che possiamo fare in Nmap, ma vi mostreremo due casi:

Figura 1: Comando “nmap” 8.8.8.8″
Figura 2: Comando “nmap cloudflare.com ”

In queste due immagini possiamo vedere esempi dell’output che il Nmap recupera. Possiamo vedere le porte aperte e chiuse, i servizi che sono in esecuzione dietro le porte e se la rete ha altri indirizzi.

Scansiona il sito web con OWASP ZAP

OWASP, che sta per Open Web Application Security Project, è una comunità online che produce numerose risorse nel campo della sicurezza delle applicazioni web. Più che il famoso progetto OWASP Top Ten, forniscono uno strumento chiamato ZAP, Zed Attack Proxy. Aiuta a trovare le vulnerabilità di sicurezza all’interno di un’applicazione Web con l’aiuto di strumenti come Scanner, Spider, Fuzzer, ecc.

Dopo aver lanciato ZAP, il software mostra una finestra di avvio rapido in cui è possibile inserire l’URL di destinazione ed eseguire una scansione rapida e analisi delle vulnerabilità sull’applicazione web. Questo è il primo passo facile con il software.

Figura 3: OWASP ZAP

Puoi anche configurare ZAP come proxy per il tuo browser, quindi ogni richiesta che viene fatta passerà attraverso ZAP e verrà analizzata.

Tuttavia, il metodo più efficiente è quello di utilizzare manualmente ogni strumento fornito a voi:

  • Con il Ragno, sarete in grado di strisciare attraverso un sito web. Il software cercherà di recuperare ogni link e pagina che potrebbe trovare nell’ambito specificato.
  • Con il Fuzzer, se si desidera eseguire un grande numero di richieste di modifica di uno o più parametri ogni volta, vi aiuterà a regole definite su di esso
  • Con lo Scanner Attivo, potrai eseguire vari attacchi e vi mostrerà come vulnerabile è l’applicazione

ZAP hanno molte più funzionalità in esso, eppure è uno dei più potenti software per il web di scansione delle vulnerabilità.

Che cosa è interessante ?

Possiamo raccogliere molte informazioni sul bersaglio, e ora è importante filtrare ciò che è utile per il pentest. Per impostazione predefinita, tutto deve essere mantenuto e nessuna informazione è inutile, ma alcuni sono più interessanti per un pentester. Ad esempio: servizi in esecuzione sull’host, versioni del software, nome ed e-mail dei dipendenti dell’azienda, indirizzi IP, nome host e architettura. Tutto ciò che potrebbe essere un punto di ingresso per un utente malintenzionato è un’informazione critica.

Ora che abbiamo abbastanza informazioni sul bersaglio, il pentester può disegnare una mappa delle minacce della rete o dell’applicazione. Si concentra sul vettore che considera facile da usare e inizia lo sfruttamento in base a quello. Nella prossima parte di questa serie, parleremo dello sfruttamento e di come possiamo usare ciò che troviamo durante la fase di scansione. Andreia Francisco dal team di sicurezza è stato anche un collaboratore per questo articolo.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato.