Roteiro para testes de Intrusão

[teckV]

Vulnerability Enumeration For Penetration Testing

Aelphaeis Mangarae [adm1n1strat10n AT hotmail DOT com]

[iRC.BlueHell.Org #BHF]

October 30th 2006

http://blackhat-forums.com

PLEASE DISTRIBUTE

© Copyright Aelphaeis Mangarae 2006

Notas: Documentos muito bom para testes de Intrusão onde podem ver demonstradas as varias fases do mesmo....

Fases e procedeimentos demonstrados:

Host Discovery

Banner Grabbing/OS Detection

Brute Forcing Services

SMTP Enumeration

SMB Enumeration

Web Server Fingerprinting

Web Based Vulnerabilities

Fuzzing For SQL Injection Vulnerabilities

Automated Vulnerability Scanning

Analyzing Firewall Rules

Stealth – Hiding Behind Numerous IP Addresses

Utilizing Public Exploits

Utilizing Metasploit

http://www.milw0rm.com/papers/112

teckV

horus herakty

[NuGuN]

Boas... Estava a ler o PDF e cheguei a uma parte que sugeriram para quem não soubesse/percebesse o que era “Three-way Handshake” que desse uma vista de olhos por este documento... Decidi seguir a dica e fui dar uma vista de olhos...

E fiquei com algumas duvidas...

Primeira: Não percebi como são gerados os Initial Sequence Sumber (ISN). São gerados aleatoriamente? São gerados com base em alguma informação?

Segundo:

Frame 4:

In this session of frames, you see the client sending a FIN that is accompanied by an ACK (TCP .A...F). This segment has two basic functions. First, when the FIN parameter is set, it will inform the server that it has no more data to send. Second, the ACK is essential in identifying the specific connection they have established.

Se bem percebi a parte que esta a negrito quer dizer que o ACK neste passo tem a função de identificar a conexão que se quer terminar.

Ou seja, o servidor utiliza esse valor para saber qual é a conexão a ser fechada certo?

E se assim for se eu alterar os pacotes que envio durante o processo de terminar a conexão posso "enganar" o servidor e enviar-lhe um ACK correspondente a outra conexão e ele fecha outra conexão? Ou estarei a fazer uma grande confusão?

Cumps

[shumy]

O FIN é que fecha a ligação ou RST se enviado pelo proprio servidor, como meio de recusa de ligação.

O ACK serve para confirmar a outra parte, que a informação foi recebida.

[teckV]

Primeira: Não percebi como são gerados os Initial Sequence Sumber (ISN). São gerados aleatoriamente? São gerados com base em alguma informação?

antes demais nada queria dizer que a nivel de internet há uma coisa chamada RFC ( request for comments) que são as definições técnicas de protocolos e praticas no mundo da internet... os RFC são a fonte oficial para normalizar os protocolos e todos os devem respeitar pelo que para se saber pormenores técnicos em relação a um protocolo é procurar o seu RFC...

para o TCP há o ultimo RFC 793 aqui

mas como quando o TCP foi feito não havia problemas de segurança informatica o protocolo foi desenvolvido sem pensar na mesma... com o passar do tempo o ppl começou a usar isso para contornar as desfesas das redes... por vezes é necessário fugir aos RFC por motivos de segurança

outra coisa importante é o desrespeito pelas normas como por exemplo faz a M$... num mundo ideal todos cumpriam com o estipulado num RFC mas num mundo onde existe a M$ os RFC´s não são cumpridos...

e como a implementação do protocolo TCP fica a cargo do sistema operativo, aquilo que temos hoje é diversas implementações de TCP... a M$ usa umas regrass, a IBM outras, os linux outras, etc, etc... isto para te dizer que não há uma forma de responder à tua questão... há varias formas de uso do TCP...

num casos o numero de sequencia é incremental.. mas isso é inseguro e permite que saibas muita coisa sobre o alvo.. sabes quantos pacotes está a enviar... basta enviar um pacote e receber o nº de sequencia de resposta... passado um determinado tempo envias outro pacote e fazendo as contas consegues saber quantos pacotes foram enviados entretanto.. isto é só um exemplo...

portantos nos diass de hoje não há uma norma... cada fabricante implementa o TCP da forma que quer.. .uns incrementam o nº de sequencia... outros usam nº aleatorios... outros fazem o reset de x em x tempo... etc...

alguns documentos sobre a tecnica de saber o sistema remoto pela forma como implementa o protocolo TCP para se ver bem estas diferençass

http://insecure.org/nmap/osdetect/

http://distro.conectiva.com.br/pipermail/seguranca/2001-April/001291.html

http://www.linuxsecurity.com.br/sections.php?op=imprime&artid=14

teckV

[NuGuN]

já percebi.

Obrigado  😄

Cumps

[skin]

Porque é que o prmeiro post desapareceu??

[Triton]

Porque é que o prmeiro post desapareceu??

Com a saída do teckV do staff ele está a apagar todas as suas contribuições no fórum.