IRS: Ip Restrictions Scanner

Muitas vezes uma das principais necessidades dentro de um pentest é publicar uma porta da rede interna para a internet a fim de facilitar o acesso de algum console SSH ou Terminal Service. Porém nem sempre é uma tarefa fácil encontrar hosts que tenham acesso permissivo para a internet.

Firewalls, Proxies e Content filters estão cada vez mais presentes em diversos segmentos de rede dificultando o que é conhecido como “Extrusion Attacks”.

Muitos mecanismos de Extrusion Detection vêm sendo implantados em pontos estratégicos da rede, para impedir que trojans, vírus e outros tipos de ameaças consigam evadir-se da rede, muitas vezes copiando informações sensíveis para hosts na internet, assim como também impedindo que funcionários (Insiders), possam muitas vezes cometer Espionagem Industrial fornecendo dados sigilosos à terceiros.

A implantação bem sucedida de um Filtro na camada de aplicação (Proxy) pode causar muitas dores de cabeça para um pentester que necessita publicar o acesso da rede interna na internet. Em muitos casos um bypass em cima de um filtro de Aplicação pode tornar-se complicado e uma ferramenta que irá ajudar muito em um cenário como este é o IRS (Ip Restrictions Scanner).

Desenvolvido pelos mesmos criadores do conhecido Cain & Abel (ferramenta com múltiplas funcionalidades), o IRS utiliza-se de diversas técnicas entre elas:

– Mac Address Spoofing

– Ip Spoofing

– Arp Tables Spoofing

– Half Scan

Ele atua de acordo com uma pequena configuração que deve ser feita apenas direcionando qual a interface de rede o mesmo deve utilizar. O IRS irá verificar qual a netmask utilizado pelo seu host e assim varrer todos os hosts que estão disponíveis neste segmento. Fazendo o IP Spoof ele envia uma solicitação SYN para o host externo e a porta que você colocou e fica aguardando o retorno de um pacote SYN/ACK. Assim ele mostra para você que este host consegue efetuar a comunicação que você tanto precisa.

Agora basta acessar este host (Estação de Administrador ou servidor) e fazer a publicação do acesso da forma que lhe for mais conveniente.

O IRS pode ser baixado aqui.

Esta versão pode ser utilizada no Windows 2000,Xp e 2003.

Antes de instala-lo deve-se tomar o cuidado de instalar a versão mais recente do pacote Winpcap que será necessário para a execução do IRS.

Maiores informações em http://oxid.it

Good Hacking 4 All.

Advertisements

How to Add More Ciphers for John the Ripper?

Como todos sabem, John the ripper é um dos mais conhecidos e funcionais frameworks para auditoria em hashes e senhas de sistemas, sejam eles Unix ou Windows.

Nativamente o mesmo possui diversas funcionalidades e suporta os Algoritmos de criptografia utilizados na maioria dos sistemas disponibilizados pelo mercado. O john encontra-se atualmente na versão 1.7.2 e pode ser baixado aqui.

John the Ripper é muito rápido e atualmente está disponível para ser utilizado em muitos sabores de Unix (11 são oficialmente suportados, sem contar as diferentes arquiteturas), Windows, DOS, BeOS e OpenVMS.

O Propósito básico do uso do John é detectar passwords fracas que podem causar diversos problemas de segurança à sua infra-estrutura de rede.

Existem diversos patches disponíveis na internet de desenvolvedores que guiados pela necessidade de auditar diversos tipos de hashes diferentes, adicionaram funcionalidades ao John, acrescentando o suporte a muitos outros Hashes de aplicações e sistemas como por exemplo:

* O john mscash patch adiciona suporte para Cached Windows 2000/XP Domain Password Hashes. (mscash).

Abaixo segue uma tabela dos Hashes adicionais que podem ser suportados pelo John the Ripper utilizando alguns Patches que estão disponíveis.

Hash Adicional Autor Status Vetores
Windows NTLM (MD4) Alain Espinosa OK
Windows Cache (mscash) bartavelle OK
Raw MD5 (hex-encoded) bartavelle OK MMX/SSE
Raw SHA1 (hex-encoded) bartavelle OK (*) MMX/SSE
MySQL passwords Noah Williamsson OK
Eggdrop IRC bot userfiles Sun-Zero OK
Apache MD5-based “apr1” Sun-Zero OK
Netscape LDAP SHA Sun-Zero OK MMX/SSE
Netscape LDAP Salted SHA1 bartavelle OK (*) MMX/SSE
Open LDAP Salted SHA1 bartavelle No clue (*) MMX/SSE
Lotus Domino R4 Jeff Fay OK 3 way implementation on x86
using GP registers in current tree.
Lotus Domino R5+ Michal Luczaj OK (*)
PIX passwords Bartavelle OK (*) MMX/SSE
MS-SQL bartavelle should work (*) Buggy
MS-SQL05 bartavelle should work (*) Buggy
Oracle bartavelle OK (*)
Raw HMAC-MD5 bartavelle OK (*) MMX/SSE
WPA PSK (Latest version
of Aircrack works very
well with this)
bartavelle Requires tweaking Unfinished
You should use aircrack here.

(*) : Estes ciphers não foram testados e provavelmente não funcionam em arquitetura diferente da x86.

Abaixo estão as duas possibilidades de utilização dos patches para adicionar as funcionalidades, fica ao seu critério escolher qual é a forma mais interessante:

  • O john bigpatch adiciona suporte para uma grande range de hashes ao John the Ripper. Este patch funciona com o John 1.6.38. Existem vários bugs conhecidos, é recomendado que se utilize a versão abaixo.
  • O current tree, é a versão atual que funciona com todos os Hashes. Ele vem com o suporte de todos os Hashes acima e é so compilar e usar :).

Para quem não precisa utilizar nenhum Cipher diferente dos padrões, recomenda-se utilizar o John the Ripper diretamente do site do projeto Openwall.

Good Hacking 4 All.

Inguma – Free OpenSource Pentesting Toolkit

Inguma é um open source penetration testing e vulnerability research toolkit escrito completamente em Python. O ambiente dele foi concebido principalmente para atacar sistemas relacionados com Oracle porém pode ser aplicado para diversos outros usos.

Uma vez que a capacidade de exploitação do Inguma é ainda muito limitada, ele conta com diversas ferramentas para Enumeração e Auditoria em hosts. Inguma continua sendo pesadamente desenvolvido então é sempre bom ficar atento pois novas releases podem sair rapidamente. No momento em que escrevo este post a current-version é a 0.0.7.2.

Inguma pode ser subdividido em 4 componentes principais:

1. Core and modules – Consiste na interface command line e os modulos para enumeração e auditoria, exploits e targets.

2. PyQT based GUI – Uma interface gráfica muito simples. Atualmente ela é mais uma idéia do que algo realmente usável.

3. Krash fuzzer – Um fuzzer para vários propósitos com muitos exemplos de pacotes.

4. OpenDis – Uma ferramenta para simplificar Assembly.

Como Inguma é um projeto open source, ele pode ser tão bom quanto a comunidade ajudar a ser. O Autor convida a todos para não somente no desenvolvimento como reportando bugs e contribuindo para o forum de discussão da comunidade e as mail-lists.


-> reporting bugs

-> community discussion

-> mailing list.

Usando o Inguma

O layout dos módulos do Inguma pode ser usados de forma sequencial. Este é um dos motivos pelo qual iremos ver primeiro os módulos de Discover.

Antes de continuar devo frizar que os módulos devem ser utilizados somente em sistemas que você tem permissão de utilizar como target. Auditar sistemas que você não é autorizado geralmente quebra várias Leis e pode colocar você em uma situação não muito agradável.

Dito isto vamos continuar.


Um dos módulos mais básicos e também mais funcionais é o portscan.
Vamos executar um portscan na máquina target para checar.

One of the most basic and useful gather modules is portscan. Let’s run a portscan on the machine we wish to check.

inguma> target = “cobaia.net”
inguma> show options
inguma> scanType = “S”
Options

Target: cobaia.net
Port: 0
Covert level: 0
Timeout: 1
Wait time: 0.1
Wizard mode: False

Veja o uso do commando “show options”. Ele é útil no caso de você ter esquecido alguma coisa. Também setamos a variável scanType = “S”. Isso quer dizer que utilizaremos um scan utilizando pacotes SYN.


inguma> portscan
Portscan results

Port 80/www is opened at cobaia.net
Port 7777 is opened at cobaia.net
Port 8080/webcache is opened at cobaia.net
Port 21/ftp is opened at cobaia.net
Port 9090 is opened at cobaia.net

Agora que nós sabemos que portas estão abertas no nosso target, nós veremos um modulo de Discover chamado “isnated”. Isnated faz o que o nome sugeri, verifica que se a porta X está ou não atrás de um NAT.

inguma> port = 80
inguma> isnated
Port 80 is NOT NATed
inguma>

Identificamos que a porta 80 não está sob Nat Static, ou seja, é um servidor que está totalmente de frente para a internet, provavelmente sem firewalls na frente J. A próxima coisa a fazer agora é utilizar um módulo para pegar informações sobre o serviço que está sendo disponibilizado na porta 80. Para isto vamos utilizar o módulo chamado “identify”.

inguma> port = 80
inguma> identify
Port 80 : Apache/2.2.4 (Ubuntu) DAV/2 SVN/1.4.4 mod_perl/2.0.2 Perl/v5.8.8

Como podem ver, existem muitos módulos interessantes que podem ser utilizados durante um pentest e recomendo que todos sejam testados. Acredito que o Inguma será uma das grandes ferramentas de Penetration Testing Open Source assim como hoje o MetaSploit é.

Good Hacking 4 All.

Def Con 16 Convention

Announcement: 4/11/2008

We are proud to announce the 16th annual Def Con.

If you are at all familiar with any of the previous Cons, then you will have a good idea of what DEF CON will be like. If you don’t have any experience with Cons, they are an event on the order of a pilgrimage to Mecca for the underground. They are a mind-blowing orgy of information exchange, viewpoints, speeches, education, enlightenment… And most of all sheer, unchecked PARTYING. It is an event that you must experience at least once in your lifetime.

The partying aside, it is a wonderful opportunity to met some of the luminaries of the underground computer scene and those that shape its destiny – the researchers, hackers, libertarians, and info-rebels of various kinds.

Most of all, there will be plenty of open-ended discussion on security, networks, and other topics as well as what TIME magazine calls the “Cyberpunk Movement”.

Las Vegas is, as you might have guessed, a great choice for the Con.

Gambling, loads of hotels and facilities, cheap air fare and room rates.

It’s also in the West Coast making it more available to a different crowd than the former Cons have been.

Your foray into the scene and your life will be forever incomplete if by some chance you miss out on DEF CON 16. Plan to be there!

WHO: You know who you are.

WHAT: Super Hacker Party Fest, with Speakers, contests, even live music.

WHERE: Las Vegas, Nevada

WHEN: August 8 – 10 (Fri, Sat, Sun) 2008

WHY: To meet all the other people out there you’ve been talking to for

months and months, and get some solid information instead of rumors.

DESCRIPTION:

So you’re bored, and have never gone to a convention? You want to meet all the other members of the so called ‘computer underground’? You’ve been calling BBS systems for a long time now, and you definitely have been interacting on the national networks. You’ve bullshitted with the best, and now it’s time to meet them in Vegas! For me I’ve been networking for years, and now I’ll get a chance to meet everyone in the flesh. Get together with a group of your friends and make the journey.

We cordially invite all hackers, phreaks, techno-rats, programmers, writers, activists, lawyers, philosophers, politicians, security officials, cyberpunks and all network sysops and users to attend.

DEF CON 16 will be over the weekend in the middle of down town Las Vegas at the Riviera Hotel. Why Las Vegas? Las Vegas is the place to do it.

Cheap food, alcohol, lots of entertainment and, like us, it never sleeps.

We will have the entire convention meeting space, so no sharing with the ‘norms’ this year. Events and speakers will be there to provide distraction and some actual information and experiences from this loosely knit community from lock picking, robot wars, the Black & White ball to the mystery box challenge and the premier Capture the Flag contest! See the site for an ever growing list of happenings.

This is an initial announcement. It is meant only to alert you to the time, dates and location of the convention. Future announcements will inform you about specific speakers and events.

An information pack is off of the internet at https://www.defcon.org/ The IP# is 216.231.40.180 Information updates will be posted there in the future as well as updated speaker lists.

CALL FOR PAPERS OPEN!

SPEAKERS: We want to solicit speakers from all aspects of the computer underground and associated culture (Law, Media, Software Companies, Cracking Groups, Hacking Groups, Magazine Editors, Etc.) If you or anyone you know of is interested in speaking on a self selected topic, please submit a CFP.

– From hacking your car, your brain, and CIA sculptures to hacking the vote, Bluetooth, and DNS hacks. We group presentations by subject and come up with topic areas, or “clusters” of interest. It worked out so well in the past we are doing it again.

What are we looking for then, if we don’t have tracks? Were looking for the presentation that you’ve never seen before and have always wanted to see. We are looking for the presentation that the attendees wouldn’t ask for, but blows their minds when they see it. We want strange demos of Personal GPS jammers (Lady Ada?), RFID zappers, and HERF madness. Got a MITM attack against cell phones or a way to duplicate fingerprints? (CCC?) We want to see it!

GET INVOLVED: There are many contests and groups to get involved with. If you don’t know anyone don’t phear, get involved. Join the forums, read up on the contests, plan a party, do something!

FOR MORE INFORMATION:

For initial comments, requests for more information, information about speaking at the event, or maps to the section where prostitution is legal outside Las Vegas (Just Kidding) Contact The Dark Tangent by leaving me mail at: dtangent@defcon.org on the InterNet.

Future information updates will pertain to the speaking agenda.

– —————————————————————————-

– —

Web Site

https://www.defcon.org/

Submit a CFP

https://www.defcon.org/html/defcon-16/dc-16-cfp-form.html

Forums – Discuss and follow all the pre-conference planning https://forum.defcon.org/

Future Announcements in RSS format

https://www.defcon.org/defconrss.xml

The Jackal, holding the radio right behind Aleph One https://www.defcon.org/images/graphics/PICTURES/defcar1.jpg

“/” Enumeration (Webroot)

Website directory enumeration é a combinação de métodos utilizados para conseguir listar os recursos de um determinado site. Não é surpresa que a enumeração de diretórios web seja uma clara evidência da fragilidade da segurança deste tipo de recurso, e é uma das principais formas de descobrir informações interessantes em um pentest.

Muitas vezes recursos que estão expostos fora da arvore de conteúdo principal muitas vezes acabam ficando visíveis para que usuários possam acessa-los, e na maioria das vezes sem que se tenha credenciais validas para se logar no sistema em questão e ter então acesso a estes dados. Abaixo vamos ver alguns métodos utilizados para enumerar este tipo de informação:

Enumeração via Brute Force pode jogar você em muitas direções diferentes que talves não sejam tão interessantes, porém existe várias formas mais interessantes de se implementar a mesma idéia.

Dicionário: Este conceito literalmente tenta todas as possibilidades de combinações de strings que são fornecidas para serem testadas contra o site. Funciona da mesma forma que um ataque de dicionário utilizado por um programa para quebrar senhas. Existe uma ferramenta chamada http-dir-enum, que pode ser baixada aqui e faz exatamente isto.

Common path’s and filenames: Esta técnica consiste em checar combinações de de paths e filenames que são comuns em webservers e que são conhecidos por conterem vulnerabilidades, como por exemplo alguns CGI scripts, determinadas strings PHP/ASP e etc. Este método é largamente utilizado por ferramentas que fazem Scan de Vulnerabilidades em Aplicações Web e servidores web, procurando por strings específicas que respondem a determinada vulnerabilidade. Existe um grande número de ferramentas que executa este tipo de ataque que podem ser baixadas aqui.

Spider emulation: Esta técnica simula a ação de um Search Engine Spider e sai vasculhando o site e visitando todo link que existe no index de todos os resources do site. Um Spider sabe onde ir utilizando o sitemap e os arquivos de robots que estão nos index. Você pode utilizar esta técnica usando o Wget e forjando um User-Agent:

wget -r –spider -l10 –wait 3 –random-wait -Uspiderpiggy -asomelog http://www.url.com

Falhas de Configuração: Websites ou a implementação errada de arquivos .htaccess comumente mostram uma listagem do conteúdo dos diretórios – alguns sites simplesmente não setam as ACLs para negar o acesso para usuários não autenticado no .htaccess permitindo que o conteúdo seja visualizado.

Certamente existem muitas outras formas de enumerar o conteúdo de um website e todas elas necessitam apenas de um pouco de criatividade e tempo. Good Hacking for all.

Microsoft Windows Stub Resolver Cache Poisoning

O Microsoft Windows DNS Stub Resolver (componente no windows responsável pelas queries de upstream para DNS server, e que é utilizado para resolução de endereços na maioria dos programas que o Windows utiliza, ex browsers) envia solicitações DNS previsíveis em relação ao DNS Transaction ID e a porta de origem UDP.

Este tipo de comportamento permite muitos ataques interessantes nos Clients desses DNS, incluindo DNS Cache Poisoning no Cache Local dos Clients (que é gerenciado pelo componente de Stub Resolver), assim como ataques de DNS Drive by Pharmming.

Todos os sistemas Windows Vista, Windows XP SP2, windows 2003 e windows 2000 SP4 são vulneráveis a este tipo de ataque.

No dia 30 de Abril de 2007 a Microsoft foi informada sobre este tipo de falha. Um Bulletin da Microsoft (MS08-020) trata justamente desta questão (pouco tempo né ?).

Existe uma documentação muito interessante e completa sobre este tipo de técnica “Microsoft Windows DNS Stub Resolver Cache Poisoning” que pode ser baixada aqui:

http://www.trusteer.com/docs/windowsresolver.html

ExploitSearch: Google Hacking for Exploits

O site ExploitSearch.com é uma ferramenta muito útil para pentestes e analistas de segurança porque utiliza a Engine do Google para fazer buscas pela internet por materiais relacionados à determinada vulnerabilidade pesquisada. Em geral ele utiliza referências de links para falhas postadas no site SecurityFocus.com

exploit search

Good Hacking !

http://exploitsearch.com