Verktygslåda för en nybörjare: vi presenterar en kort sammanfattning av de viktigaste verktygen som kommer att vara användbara när du testar ett internt nätverk. Dessa verktyg används redan aktivt av ett brett utbud av specialister, så det kommer att vara användbart för alla att veta om deras kapacitet och behärska dem perfekt.
Innehåll:
Nmap
– ett opensource-verktyg för att skanna nätverk, är ett av de mest populära verktygen bland säkerhetsspecialister och systemadministratörer. Används främst för portskanning, men förutom detta har den en enorm mängd användbara funktioner, vilket i huvudsak är vad Nmap gör superskördare för nätverksforskning.
Förutom att kontrollera öppna/stängda portar, kan nmap identifiera tjänsten som lyssnar på den öppna porten och dess version, och hjälper ibland till att bestämma operativsystemet. Nmap har stöd för att skanna skript (NSE - Nmap Scripting Engine). Med hjälp av skript är det möjligt att kontrollera sårbarheter för olika tjänster (om det såklart finns ett skript för dem, eller så kan du alltid skriva ett eget) eller att återställa lösenord för olika tjänster.
Således låter Nmap dig skapa en detaljerad karta över nätverket, få maximal information om att köra tjänster på värdar i nätverket och även proaktivt kontrollera vissa sårbarheter. Nmap har också flexibla skanningsinställningar; du kan konfigurera skanningshastighet, antal trådar, antal grupper som ska skannas, etc.
Bekväm för att skanna små nätverk och oumbärlig för punktskanning av enskilda värdar.
Fördelar:
- Fungerar snabbt med ett litet antal värdar;
- Inställningars flexibilitet - du kan kombinera alternativ på ett sådant sätt att du får den mest informativa informationen på en acceptabel tid;
- Parallell scanning - listan över målvärdar är uppdelad i grupper, och sedan skannas varje grupp i tur och ordning, parallell scanning används inom gruppen. Även uppdelningen i grupper är en liten nackdel (se nedan);
- Fördefinierade uppsättningar skript för olika uppgifter - du behöver inte spendera mycket tid på att välja specifika skript, utan specificera grupper av skript;
- Utdataresultat - 5 olika format, inklusive XML, som kan importeras till andra verktyg;
Nackdelar:
- Skanna en grupp av värdar - information om någon värd är inte tillgänglig förrän genomsökningen av hela gruppen är klar. Detta kan lösas genom att i alternativen ställa in den maximala gruppstorleken och det maximala tidsintervallet under vilket ett svar på en förfrågan förväntas innan du stoppar försök eller gör ett nytt;
- Vid skanning skickar Nmap SYN-paket till målporten och väntar på eventuella svarspaket eller timeout om det inte finns något svar. Detta påverkar skannerns prestanda som helhet negativt i jämförelse med asynkrona skannrar (till exempel zmap eller masscan);
- När du skannar stora nätverk kan användning av flaggor för att påskynda skanningen (-min-rate, --min-parallelism) ge falsknegativa resultat, saknade öppna portar på värden. Dessa alternativ bör också användas med försiktighet, med tanke på att en hög pakethastighet kan leda till oavsiktlig DoS.
Zmap
(inte att förväxla med ZenMap) - också en öppen källkodskanner, skapad som ett snabbare alternativ till Nmap.
Till skillnad från nmap, när SYN-paket skickas, väntar Zmap inte tills svaret kommer tillbaka, utan fortsätter att skanna, samtidigt som det väntar på svar från alla värdar, så det upprätthåller faktiskt inte anslutningstillståndet. När svaret på SYN-paketet kommer kommer Zmap att förstå från innehållet i paketet vilken port som öppnades och på vilken värd. Dessutom skickar Zmap bara ett SYN-paket per port som skannas. Det är också möjligt att använda PF_RING för att snabbt skanna stora nätverk om du råkar ha ett 10-Gigabit-gränssnitt och ett kompatibelt nätverkskort till hands.
Fördelar:
- Skanningshastighet;
- Zmap genererar Ethernet-ramar som går förbi systemets TCP/IP-stacken;
- Möjlighet att använda PF_RING;
- ZMap randomiserar mål för att jämnt fördela belastningen på den skannade sidan;
- Möjlighet till integration med ZGrab (ett verktyg för att samla information om tjänster på L7-applikationsnivå).
Nackdelar:
- Det kan orsaka en denial of service av nätverksutrustning, till exempel förstöra mellanliggande routrar, trots den distribuerade belastningen, eftersom alla paket kommer att passera genom en router.
Masscan
- överraskande nog är det också en öppen källkodskanner, som skapades med ett syfte - att skanna Internet ännu snabbare (på mindre än 6 minuter med en hastighet av ~10 miljoner paket/s). I huvudsak fungerar det nästan likadant som Zmap, bara ännu snabbare.
Fördelar:
- Syntaxen liknar Nmap, och programmet stöder även vissa Nmap-kompatibla alternativ;
- Drifthastighet - en av de snabbaste asynkrona skannrarna.
- Flexibel skanningsmekanism - återuppta avbruten skanning, fördela belastningen över flera enheter (som i Zmap).
Nackdelar:
- Precis som med Zmap är belastningen på själva nätverket extremt hög, vilket kan leda till DoS;
- Som standard finns det ingen möjlighet att skanna på L7-applikationslagret;
Nessus
— en skanner för att automatisera genomsökning och upptäckt av kända sårbarheter i systemet. Medan den är stängd finns det en gratisversion av Nessus Home som låter dig skanna upp till 16 IP-adresser med samma hastighet och detaljerade analys som den betalda versionen.
Kan identifiera sårbara versioner av tjänster eller servrar, upptäcka fel i systemkonfigurationen och utföra bruteforce av ordbokslösenord. Kan användas för att fastställa riktigheten av tjänsteinställningar (e-post, uppdateringar, etc.), samt som förberedelse för en PCI DSS-revision. Dessutom kan du skicka värduppgifter till Nessus (SSH eller ett domänkonto i Active Directory) och skannern kommer att ha tillgång till värden och utföra kontroller direkt på den, detta alternativ kallas autentiseringsskanning. Bekvämt för företag som genomför revisioner av sina egna nätverk.
Fördelar:
- Separata scenarier för varje sårbarhet, vars databas uppdateras ständigt;
- Utdata av resultat - vanlig text, XML, HTML och LaTeX;
- API Nessus - låter dig automatisera processerna för att skanna och få resultat;
- Credential Scan, du kan använda Windows- eller Linux-referenser för att söka efter uppdateringar eller andra sårbarheter;
- Möjlighet att skriva dina egna inbyggda säkerhetsmoduler - skannern har sitt eget skriptspråk NASL (Nessus Attack Scripting Language);
- Du kan ställa in en tid för regelbunden skanning av det lokala nätverket - på grund av detta kommer informationssäkerhetstjänsten att vara medveten om alla ändringar i säkerhetskonfigurationen, uppkomsten av nya värdar och användningen av ordbok eller standardlösenord.
Nackdelar:
- Det kan finnas fel i driften av de system som skannas - du måste arbeta noggrant med alternativet för säkra kontroller avaktiverat;
- Den kommersiella versionen är inte gratis.
Net-krediter
är ett verktyg i Python för att samla in lösenord och hash, samt annan information, till exempel besökta webbadresser, nedladdade filer och annan information från trafik, både i realtid under en MiTM-attack, och från tidigare sparade PCAP-filer. Lämplig för snabb och ytlig analys av stora trafikvolymer, till exempel under nätverks-MiTM-attacker, när tiden är begränsad och manuell analys med Wireshark kräver mycket tid.
Fördelar:
- Tjänstidentifiering baseras på paketanalys istället för att identifiera en tjänst med det portnummer som används;
- Lätt att använda;
- Ett brett utbud av extraherade data - inklusive inloggningar och lösenord för FTP-, POP-, IMAP-, SMTP-, NTLMv1/v2-protokoll, såväl som information från HTTP-förfrågningar, såsom inloggningsformulär och grundläggande autentisering;
nätverksminer
- en analog till Net-Creds vad gäller drift, men den har större funktionalitet, till exempel är det möjligt att extrahera filer överförda via SMB-protokoll. Precis som Net-Creds är det bekvämt när du snabbt behöver analysera en stor trafikvolym. Den har också ett användarvänligt grafiskt gränssnitt.
Fördelar:
- Grafiskt gränssnitt;
- Visualisering och klassificering av data i grupper förenklar trafikanalysen och gör den snabb.
Nackdelar:
- Testversionen har begränsad funktionalitet.
mitm6
— ett verktyg för att utföra attacker på IPv6 (SLAAC-attack). IPv6 är en prioritet i Windows OS (allmänt sett även i andra operativsystem), och i standardkonfigurationen är IPv6-gränssnittet aktiverat, vilket gör det möjligt för en angripare att installera sin egen DNS-server för offret med hjälp av Router Advertisement-paket, varefter angriparen kan spoofa offrets DNS . Perfekt för att utföra en reläattack tillsammans med verktyget ntlmrelayx, som låter dig attackera Windows-nätverk framgångsrikt.
Fördelar:
- Fungerar utmärkt på många nätverk just på grund av standardkonfigurationen av Windows-värdar och nätverk;
svar
— Ett verktyg för att spoofa protokoll för sändningsnamnupplösning (LLMNR, NetBIOS, MDNS). Ett oumbärligt verktyg i Active Directory-nätverk. Förutom spoofing kan den fånga upp NTLM-autentisering; den kommer också med en uppsättning verktyg för att samla in information och implementera NTLM-reläattacker.
Fördelar:
- Som standard höjer den många servrar med stöd för NTLM-autentisering: SMB, MSSQL, HTTP, HTTPS, LDAP, FTP, POP3, IMAP, SMTP;
- Tillåter DNS-spoofing vid MITM-attacker (ARP-spoofing, etc.);
- Fingeravtryck av värdarna som gjorde sändningsförfrågan;
- Analysläge - för passiv övervakning av förfrågningar;
- Formatet för avlyssnade hash för NTLM-autentisering är kompatibelt med John the Ripper och Hashcat.
Nackdelar:
- När du kör under Windows är bindning av port 445 (SMB) behäftad med vissa svårigheter (det kräver att du stoppar motsvarande tjänster och startar om);
Evil_Foca
- ett verktyg för att kontrollera olika nätverksattacker i IPv4- och IPv6-nätverk. Skannar det lokala nätverket, identifierar enheter, routrar och deras nätverksgränssnitt, varefter det är möjligt att utföra olika attacker på nätverksdeltagare.
Fördelar:
- Bekvämt för att utföra MITM-attacker (ARP-spoofing, DHCP ACK-injektion, SLAAC-attack, DHCP-spoofing);
- Du kan utföra DoS-attacker - med ARP-spoofing för IPv4-nätverk, med SLAAC DoS i IPv6-nätverk;
- Det är möjligt att utföra DNS-kapning;
- Lätt att använda, användarvänligt grafiskt gränssnitt.
Nackdelar:
- Fungerar endast under Windows.
Bettercap
– ett kraftfullt ramverk för att analysera och attackera nätverk, och vi pratar även om attacker på trådlösa nätverk, BLE (bluetooth low energy) och även MouseJack-attacker på trådlösa HID-enheter. Dessutom innehåller den funktionalitet för att samla in information från trafik (liknande net-creds). I allmänhet en schweizisk kniv (allt i ett). Nyligen har det fortfarande .
Fördelar:
- Autentiseringssniffer - du kan fånga besökta webbadresser och HTTPS-värdar, HTTP-autentisering, autentiseringsuppgifter för många olika protokoll;
- Massor av inbyggda MITM-attacker;
- Modulär HTTP(S) transparent proxy - du kan hantera trafik beroende på dina behov;
- Inbyggd HTTP-server;
- Stöd för caplets - filer som tillåter komplexa och automatiserade attacker att beskrivas i skriptspråk.
Nackdelar:
- Vissa moduler - till exempel ble.enum - stöds delvis inte av macOS och Windows, vissa är endast utformade för Linux - packet.proxy.
gateway_finder
— ett Python-skript som hjälper till att fastställa möjliga gateways på nätverket. Användbar för att testa segmentering eller hitta värdar som kan dirigera till önskat subnät eller Internet. Lämplig för interna tester när du snabbt behöver leta efter obehöriga rutter eller rutter till andra interna lokala nätverk.
Fördelar:
- Lätt att använda och anpassa.
mitmproxy
— ett öppen källkodsverktyg för att analysera trafik skyddad med SSL/TLS. mitmproxy är praktiskt för att avlyssna och modifiera skyddad trafik, naturligtvis, med vissa varningar; Verktyget utför inte SSL/TLS-dekrypteringsattacker. Används när du behöver avlyssna och registrera förändringar i trafiken skyddad av SSL/TLS. Den består av Mitmproxy - för proxy-trafik, mitmdump - liknande tcpdump, men för HTTP(S)-trafik, och mitmweb - ett webbgränssnitt för Mitmproxy.
Fördelar:
- Fungerar med olika protokoll, och stöder även modifiering av olika format, från HTML till Protobuf;
- API för Python - låter dig skriva skript för icke-standardiserade uppgifter;
- Kan arbeta i transparent proxyläge med trafikavlyssning.
Nackdelar:
- Dumpformatet är inte kompatibelt med någonting - det är svårt att använda grep, du måste skriva skript;
SJU
— ett verktyg för att utnyttja funktionerna i Cisco Smart Install-protokollet. Det är möjligt att erhålla och ändra konfigurationen, samt ta kontroll över en Cisco-enhet. Om du kunde få Cisco-enhetskonfigurationen kan du kontrollera den med , det här verktyget är användbart för att analysera säkerhetskonfigurationen för Cisco-enheter.
Fördelar:
Genom att använda Cisco Smart Install-protokollet kan du:
- Ändra tftp-serveradressen på klientenheten genom att skicka ett felaktigt TCP-paket;
- Kopiera enhetens konfigurationsfil;
- Ändra enhetskonfigurationen, till exempel genom att lägga till en ny användare;
- Uppdatera iOS-bilden på enheten;
- Utför en slumpmässig uppsättning kommandon på enheten. Detta är en ny funktion som bara fungerar i iOS-versionerna 3.6.0E och 15.2(2)E;
Nackdelar:
- Fungerar med en begränsad uppsättning Cisco-enheter, du behöver också en "vit" IP för att få ett svar från enheten, eller så måste du vara på samma nätverk som enheten;
yersinia
är ett L2-attackramverk utformat för att utnyttja säkerhetsbrister i olika L2-nätverksprotokoll.
Fördelar:
- Låter dig utföra attacker på STP, CDP, DTP, DHCP, HSRP, VTP och andra.
Nackdelar:
- Inte det mest användarvänliga gränssnittet.
proxykedjor
- ett verktyg som låter dig omdirigera programtrafik genom en specificerad SOCKS-proxy.
Fördelar:
- Hjälper omdirigera trafik från vissa applikationer som som standard inte kan fungera med proxyservrar;
I den här artikeln tittade vi kort på fördelarna och nackdelarna med de viktigaste verktygen för internt nätverkstestning. Håll utkik, vi planerar att publicera sådana samlingar i framtiden: webb, databaser, mobilapplikationer - vi kommer definitivt att skriva om detta också.
Dela dina favoritverktyg i kommentarerna!
Källa: will.com