Workshop Riosoft Auditoria Teste de Invasão(pentest)

Foram apresentadas algumas das principais técnicas e ferramentas para realização de auditoria do tipo teste de invasão, tanto em redes e sistemas quanto em aplicações web. Uma série de estudos de casos relacionados com as atividades da auditoria tipo teste de invasão também será apreciada.

http://www.blog.clavis.com.br/workshop-gratuito1603-ferramentas-tecnicas-e-estudos-de-caso-para-auditorias-teste-de-invasao/

1. Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Técnicas e Ferramental para
Testes de Invasão (PenTests)
Rafael Soares Ferreira
Clavis Segurança da Informação
[email protected]

2. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
$ whoami
• CSO (Clavis & Green Hat)
• Pentester
• Investigador Forense
• Incident Handler
• Hacker Ético (CEHv6 – ecc943687)
• Instrutor e Palestrante

3. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Agenda
• Definição
• Preparação
• Testando Redes e Sistemas
• Testando Aplicações Web
• Ferramentas
• Dúvidas
• Próximos Eventos

4. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Testes de segurança
● Atividades técnicas controladas
● Simulações de ataques reais
Definição

5. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Avaliar riscos e vulnerabilidades
• Determinar eficácia de investimentos
• Conformidade
• Homologação
Definição

6. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Metodologia e Documentação
● Limitações e Ética
● Autorização documentada
Definição

7. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> OSSTMM
Open Source Security Testing Methodology Manual
>> NIST 800.42
Guideline on Network Security Testing
>> OWASP
Open Web Application Security Project
>> ISSAF
Information Systems Security Assessment Framework
Definição

8. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Detalhes da Infraestrutura
• Acordo de confidencialidade (NDA)
• Equipamento e recursos necessários
• Acesso a testes anteriores
Preparação

9. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Objetivo/Propósito
● Alvos
● Profundidade
● Exclusões
Preparação

10. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> O que você sabe sobre o ambiente?
Blind (caixa preta)
Open (caixa branca)
>> O que o ambiente sabe sobre você?
Teste anunciado
Teste Não-anunciado
Preparação

11. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Ponto de Partida
● Ataques externos
● Ataques Internos
Preparação

12. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Tratamento de questões especiais
● Falha no sistema alvo
● Dados sensíveis encontrados
● Pontos de Contato
Preparação

13. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Limitações de Tempo
● Restrições de Horário
● Duração do Teste
Preparação

14. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Classificação de vulnerabilidades
● Identificação de circuitos de ataque
● Caminho de menor resistência
● Árvores de ataques
Vetores de Ataque
Preparação

15. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
●Engenharia Social
●Trashing (Dumpster Diving)
●Whois
●Entradas DNS
●Buscas na Internet
Testando Redes e Sistemas
Obtenção de Informações

16. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
●Wardriving
●Mapeamento de Redes
●Port Scan
●Vulnerabilidade
Testando Redes e Sistemas
Varreduras

17. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Sniffing
● DNS Cache Poisoning
● Exploits
● Quebra de Senha
● Negação de Serviço
Testando Redes e Sistemas
Invasão

18. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Escalada de Privilégios
● Manutenção de Acesso
● Cobrindo Rastros
Testando Redes e Sistemas
Pós-Invasão

19. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Não validação de dados externos
• Não tratamento de erros
• Falta de Canonicalização
• Verificações Client-Side
• Segurança por Obscuridade
Testando Aplicações Web
Principais Problemas

20. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Dados não esperados (e não tratados!) enviados
para um interpretador
• Interpretadores recebem strings e interpretam
como comandos
• SQL, Shell, LDAP, etc...
• Injeção de SQL é disparado o mais comum!
• Impactos Catastróficos!
>> Injeções
Testando Aplicações Web

21. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '$senha'
;
<form method="post" action="http://SITE/login.php">
<input name="nome" type="text" id="nome">
<input name="senha" type="password" id="senha">
</form>
Client-Side:
Server-Side:
>> Injeções - SQL
Testando Aplicações Web

22. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
' OR 'a'='a
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '' OR 'a'='a'
;
Client-Side: O Exploit!
Server-Side:
>> Injeções - SQL
Testando Aplicações Web

23. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
www.seginfo.com.br
Traduzida a partir da Tirinha “Exploits of a mom” do xkcd
>> Injeções - SQL
Testando Aplicações Web

24. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Dados enviados pelo usuário geram um comando
que é passado ao sistema
• Exemplo: DNS lookup em domínios passados pelo
usuário
• Exploit: clavis.com.br%20%3B%20/bin/ls%20-l
>> Injeções - SO
Testando Aplicações Web

25. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Dados maliciosos enviados ao browser do usuário
• Podem estar em posts, URLs, javascript, etc...
• Todo Browser é “vulnerável”:
javascript:alert(document.cookie)
• Geralmente visa roubo (de sessão, de dados, ...)
ou redirecionamento para sites maliciosos
>> Cross-Site Scripting (XSS)
Testando Aplicações Web

26. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Cross-Site Scripting (XSS)
Testando Aplicações Web

27. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Cross-Site Scripting (XSS) - Persistente
Testando Aplicações Web

28. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Cross-Site Scripting (XSS) – Não Persistente
Testando Aplicações Web

29. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• O protocolo HTTP é stateless
• SESSION ID usado para gerir a “sessão”
• A exposição do SESSION ID é tão perigosa
quanto a de credenciais
• Outras possibilidades são: Reset e/ou lembrete
de senha, Pergunta secreta, logout, etc...
• Possibilita o comprometimento de sessões
>> Gerência de Sessões e Autenticações
Testando Aplicações Web

30. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• Não adianta esconder objetos
• Controle de Acesso em camada de apresentação
não funciona!
• Force restrições server-side!
• Possibilita acesso a dados não autorizados
>> Referência Direta a Objetos Insegura
Testando Aplicações Web

31. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• O browser da vítima é induzido à executar
requisições
• Analogia: Um atacante se apodera de seu mouse
e clica em links enquanto você usa seu internet
banking
>> Cross Site Request Forgery (CSRF)
Testando Aplicações Web

32. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Cross Site Request Forgery (CSRF)
Testando Aplicações Web

33. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
• A internet é pública e hostil!
• Dados podem ser (e serão!) capturados
• Utilize criptografia!
• Atacantes podem visualizar e/ou modificar
informações em trânsito
>> Canal Inseguro
Testando Aplicações Web

34. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Nmap
>> THC-Amap
>> Xprobe2
>> Unicornscan
Sondagem e Mapeamento
Ferramentas

35. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> John The Ripper
>> THC-Hydra
Auditoria de Senhas
Ferramentas

36. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Wireshark
>> Tcpdump
>> Ettercap
>> Dsniff
Análise de Tráfego
Ferramentas

37. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Nessus
>> OpenVAS
>> SARA
>> QualysGuard
Análise de Vulnerabilidades
Ferramentas

38. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Nikto
>> Paros
>> Webscarab
Auditoria em Servidores Web
Ferramentas

39. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Kismet
>> Aircrack-ng
>> Netstumbler
>> Cowpatty
Auditoria em Redes sem Fio
Ferramentas

40. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Metasploit
>> SecurityForest
Exploração de Vulnerabilidades
Ferramentas

41. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
>> Hping
>> Yersinia
>> Ida Pro
>> Ollydbg
Manipulação de pacotes e artefatos
Ferramentas

42. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
● Técnicas regem o ferramental
● A ética é muito importante (sempre!)
● “Grandes poderes trazem grandes
responsabilidades”
● Segurança deve ser pró-ativa
Conclusões

43. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Próximos Eventos

44. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Próximos Eventos
Data: 12 e 13 de agosto de 2011(sexta e sábado)
Local: Centro de Convenções da Bolsa de Valores do
Rio de Janeiro.
www.seginfo.com.br

45. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Próximos Eventos
Profissionais renomados no cenário
Nacional e Internacional

46. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Próximos Eventos
Jogos e Premiações!

47. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Dúvidas?
Perguntas?
Críticas?
Sugestões?

48. Copyright © 2009 Clavis Segurança da Informação. Todos os direitos reservados.
Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.
Fim...
Muito Obrigado!
Rafael Soares Ferreira
[email protected]
@rafaelsferreira