Curso de ethical hacking [Pentesting] - Parte 1 [Reconocimiento Pasivo]

Hace poco dije que iba a hacer un curso desde cero sobre ethical hacking, así que ahora cumpliendo mis palabras les vengo a traer la primera parte, donde voy a mostrar una introducción, las técnicas y herramientas que vamos a usar en esta parte, aunque cuando inicié este blog hice una entrada sobre que era el ethical hacking ¿Qué es el ethical hacking?

Introducción al ethical hacking :

El Ethical Hacking hace referencia al proceso de realizar pruebas sobre sistemas informáticos de la misma forma que podría hacerlas una persona malintencionada, pero con la diferencia de que se hacen bajo el consentimiento de la organización 'víctima', con el propósito de conocer las debilidades de su infraestructura, a fin de poder solucionarlas, antes de que una persona malintencionada pudiera aprovecharse de ellas.Obviamente, dichas pruebas deben ser realizadas por un profesional con un excelente nivel de ética (de ahí el nombre 'Ethical Hacking') debido a que es muy probable que, durante las pruebas, se descubran vulnerabilidades que podrían ser explotadas para obtener beneficios económicos más allá de los acordados.Otro punto de suma importancia es que, antes de realizar las pruebas, el profesional debe conseguir un permiso explícito de la organización, autorizandolo a comprobar la existencia de vulnerabilidades. También se debe aclarar cuáles son las pruebas que van a ser realizadas, y cuáles quedarán afuera del proyecto. Esto es debido a que, generalmente, existen pruebas que podrían llegar a producir un impacto negativo en la operatoria de los sistemas e, incluso, dejarlos fuera de funcionamiento.Por último, es necesario que el proyecto no termine en la realización de las pruebas, sino que debe realizarse un seguimiento y una corrección a los problemas encontrados. Básicamente, podemos definir que existen nueve pasos para completar adecuadamente el proceso de Ethical Hacking, los cuales son:

1. La organización desea saber si sus sistemas son realmente seguros.
2. Selecciona y contrata un servicio profesional de ethical hacking.
3. Lo autoriza a realizar el trabajo mediante diversas pautas.
4. Planifican estratégicamente cómo se realizará y el alcance que tendrá.
5. Se realizan las tareas imitando al atacante, pero sin comprometer datos.
6. Luego, analiza los resultados del security assessment.
7. Confecciona un reporte detallado para que la organización lo evalúe.
8. Soluciona lo vulnerable o mitiga lo potencial para dejar el sistema más seguro.
9. Se adoptan políticas de control y seguimiento (normativa).

Fases de un pentesting :

El proceso de Ethical Hacking se divide en etapas, en las que cada una se encarga de un objetivo puntual, las cuales son: Reconocimiento, Enumeración, Ganar Acceso, Mantener Acceso y Borrar Rastros.

Dependiendo de la documentación consultada, podríamos llegar a ver algunas pequeñas variantes (alguna etapa más o alguna etapa menos), pero todas apuntan a las mismas tareas.Podemos ver un pequeño gráfico sobre las fases que lleva un pentesting : 

He hecho este gráfico agregando dos fases más antes de completar el proceso, nunca está de más tomarlo en cuanta el acuerdo de confidencialidad y el informe (Aunque este último es obvio sí nos referimos al pentesting empresarial)

Dicho esto, un pentesting se define como una busqueda y explotación de vulnerabilidades, existen 3 tipos de pentest : 

Black box testing (Prueba de caja negra) :
  
El concepto principal de un test de caja negra es simular los métodos de ataque de un hacker con sus mismos recursos. Sólo disponemos de información pública sobre el objetivo, y a través de esto intentamos identificar los agujeros de seguridad que puedan comprometer información sensible o las operaciones del sistema. Cuando se aplica correctamente este test, se puede simular no sólo ataques de hackers al azar, sino también de hackers que se dedican a obtener algún acceso inicial al sistema. Este test imita lo que un verdadero hacker haría, y proporciona al cliente una evaluación realista del nivel de riesgo al que está expuesto el sistema. Si podemos identificar alguna vulnerabilidad a través de este test es probable que un hacker también pueda identificarla.

Pros:
1. Proporciona una estimación real de las amenazas.
2. Obtiene los resultados a través de la información pública.
3. Requiere un esfuerzo mínimo del cliente.

Contras:
1. Puede ser un esfuerzo recopilar la información.
Pruebas realizadas :
1. Pruebas de Penetración de Infraestructura/Red.
2. Pruebas de Penetración de Aplicaciones.
3. Ataque simulado completo.

Tecnicas de caja negra :

 Vulnerabilidades de tipo 'deface'
Vulnerabilidades de tipo 'cross-site scripting'
Vulnerabilidades de tipo 'spoofing'
Vulnerabilidades de tipo inyección de SQL
Vulnerabilidades de tipo inyección de código
Vulnerabilidades derivadas de la validación de entrada / salida
Vulnerabilidades derivadas del análisis de tiempos
Vulnerabilidades de sincronización
Vulnerabilidades de tipo desbordamiento de memoria
Vulnerabilidades basadas en secuestro de sesiones
Vulnerabilidades en los equipos de la red local
Vulnerabilidades basadas en 'sniffing' de la red
Vulnerabilidades basadas en escaladas de privilegio
Vulnerabilidades en la gestión de contraseñas
Inyección de código
Autentificación incompleta y gestión de sesiones
Referencias directas a objetos inseguros
Configuración incorrecta de la seguridad de aplicaciones
Almacenamiento criptográfico inseguro
Problemas de acceso a URLs restringidas
Protección del nivel de transporte insuficiente
Redirecciones no validadas

White box testing (Prueba de caja blanca) :  

Antes de la realización del test de caja blanca los personas que lo realizan se proveen de toda la información necesaria para evaluar mejor la seguridad del entorno sometido a prueba, incluyendo el código fuente, archivos de configuración, documentación, diagramas, etc. Esto permite una revisión a fondo del sistema, identificando no sólo las vulnerabilidades inmediatas, sino también secciones de código y configuraciones potencialmente peligrosas, puertas traseras, y defectos de construcción. El test de caja blanca puede requerir más recursos, tanto por nuestra parte como del cliente, para proporcionar la información pertinente. Este tipo de test es más adecuado para entornos muy sensibles.

Pros : 
1. Extremadamente minucioso.
2. Las recomendaciones para reparar fallos son muy precisas.
3. Detecta las amenazas inmediatas, así como los defectos de configuración y construcción.

Contras : 

1. Requiere muchos recursos tanto del auditor como del cliente.
2. No simula un verdadero ataque.
Pruebas realizadas con esta metodología :
1. Solicitud de revisión de código.
2. Examen de diseño y construcción.
3. Configuración del servidor de Auditorías.
4. Auditorías de red.

Tecnicas de caja blanca:

· Ataques con conocimientos de la arquitectura del sistema
· Ataques con acceso a los detalles de las aplicaciones implantadas en la organización
· Vulnerabilidades de abuso contra interfaces de programación de aplicaciones
· Vulnerabilidades de calidad de código
· Vulnerabilidades derivadas de la configuración del sistema
· Vulnerabilidades de los protocolos
·  Vulnerabilidades criptográficas
·  Vulnerabilidades en la gestión de contraseñas 

Gray box testing (Prueba de caja gris) :  

El test de caja gris combina los tests de caja negra y caja blanca. Este test hace pruebas con métodos similares a los de la caja negra, simulando ataques reales. Sin embargo, a diferencia del test de caja negra, el atacante dispone de la información técnica pertinente del sistema, y además se le permite pedir información adicional señalada con comentarios como con los del test de caja blanca. Este test es muy efectivo para identificar el mayor número real de amenazas como sea posible en el menor tiempo disponible, y por eso es la manera más efectiva para efectuar evaluaciones de seguridad cuando los valores más absolutos de las cajas blanca y negra no son necesarios.
Pros :

1. Más rentable.
2. Proporciona una estimación realista de las amenazas.

Contras :

1. No simula un ataque real como la caja negra.
Pros Pruebas realizadas con esta metodología :
1. Aplicación de pruebas de penetración (con la revisión de código parcial).
2. Test de la infraestructura y la red de penetración (con revisión de la red y la configuración del servidor)
3. Examen de alto nivel de diseño y construcción.

=================================================================

NDA : Acuerdo de confidencialidad : Este proceso en mí opinión es lo primero que se debe de hacer antes de llevar a cabo un pentesting. Porque lo que estamos haciendo es además de descubrir vulnerabilidades y explotarlas, nos podemos encontrar con información muy sensible que quizás el cliente siquiera nos habría autorizado a conseguir. Por lo que es importante que antes de un pentesting, un responsable de la empresa firme autorizándonos el tipo de pentesting que vamos a hacer, sea white box, black box o gray box. También al firmar este acuerdo, nosotros aceptamos en no divulgar ningún tipo de información ni vulnerabilidad que podemos encontrar en los sistemas y servidores de la empresa. Con esto, estamos exentos de que puedan denunciarnos y mandarnos a la cárcel. Reitero, esto paso no es obligatorio, pero creo que debería ser tomado muy en cuenta a la hora de ser contratados por una pequeña o grande organización.

Reconocimiento : En esta etapa, vamos a conseguir toda la información posible acerca de nuestro objetivo, pero sin realizar ningún ataque ni comportamiento propio de actividades malintencionadas. Para esto, vamos a consultar bases de datos (Públicas y de libre acceso) y herramientas estándar que cualquiera podría utilizar para propósitos benignos. Gracias a esto podremos obtener información como : Sitios web de la organización, direcciones de correo electrónico, teléfonos, nombres de empleados y sus cargos, dirección fisíca de la empresa (Y de sus sucursales sí es que tiene) Etc.

Enumeración : En esta segunda etapa, pasamos a utilizar herramientas que podrían llegar a generar cierto grado de sospecha sí la organización analizada cuenta con sistemas de detección y prevención y/o se hace un buen análisis de los registros (logs) De los sistemas. Algunas de las herramientas más populares que vamos a utilizar son los escaneadores de puertos (Como nmap) y los analizadores de vulnerabilidades (Como nessus y openvas) Gracias a esto, vamos a poder descubrir la presencia de software vulnerable y distintas posibilidades para explotar esas vulnerabilidades (Pero todavía sin explotarlas, porque eso lo veremos en la próxima etapa)

Ganar acceso : (Esta es mí etapa favorita) En esta etapa vamos a realizar el : "Ataque" propiamente dicho. Generalmente utilizando algún exploit, abusaremos del software mal configurado o desactualizado, para tomar el control de los sistemas de la organización. En esta etapa también se deben demostrar las distintas posibilidades de Denegación de Servicio (DoS) que podríamos llegar a generar. Una vez hecho esto, lo ideal seria que contemos con la capacidad de controlar algunos de los sistemas remotos o, en el peor de los casos, tener la capacidad de dejarlos sin funcionamiento mediante DoS. NOTA : Algunos pentest se terminan en esta etapa, porque muchas de las organizaciones solo quieren saber sí sus sistemas pueden ser controlados o no.

Mantener acceso : En esta etapa simplemente nos vamos a asegurar de que el acceso que ganamos anteriormente sea mantenido. Es decir que, aunque la organización corrija los problemas que nos dieron acceso, nosotros podríamos seguir teniendo acceso a los sistemas. Esto se hace principalmente, instalando una puerta trasera (Backdoor) que nos permita volver a ingresar a los sistemas a través de un canal no convencional. En el caso de que un sistema cuente con una gran cantidad de usuarios autorizados, podríamos generar un usuario adicional, intentando que no sea descubierto por los administradores

Borrar rastros :  En esta etapa, intentamos eliminar cualquier rastro de nuestra intrusión en los sistemas. Esto es algo más asociado con los ataques reales (Y no con los procesos de ethical hacking), pero puede servir para comprobar el funcionamiento de los sistemas de registro de eventos (En un sistema de logs bien diseñado, debería ser extremadamente difícil borrar todo rastro de una intrusión)

Informe : Esta es la última etapa, donde vamos a generar un informe técnico y un informe ejecutivo, del proceso de pentesting que realizamos. Donde el informe técnico vamos a entregarlo a un encargado de TI o administrador de sistema, donde nos vamos a poder explicar detalladamente las vulnerabilidades y como solucionarlas y el informe ejecutivo a un directivo o a una persona que pueda entender con ejemplos sencillos lo que hemos hecho.

=================================================================

Herramientas automatizadas : 

Existe una gran tendencia a utilizar herramientas totalmente automatizadas, del tipo 'apunta y dispara' en las que simplemente debemos escribir la dirección IP objetivo o el sitio web de la organización que queremos verificar, y se realizan muchísimas pruebas de forma automática.Esto, desde el punto de vista educativo, falla completamente, debido a que no es posible aprender basándonos en estas soluciones. Es por eso que, a lo largo de este documento, utilizaremos herramientas pequeñas, que siguen la filosofía Unix. En la que, cada una lleva a cabo solamente una o dos tareas. Esto nos permite entender exactamente qué es lo que hacemos y cómo lo hacemos.

=================================================================

Reconocimiento : En esta etapa, vamos a conseguir toda la información posible acerca de nuestro objetivo, pero sin realizar ningún ataque ni comportamiento propio de actividades malintencionadas. Para esto, vamos a consultar bases de datos (Públicas y de libre acceso) y herramientas estándar que cualquiera podría utilizar para propósitos benignos. Gracias a esto podremos obtener información como : Sitios web de la organización, direcciones de correo electrónico, teléfonos, nombres de empleados y sus cargos, dirección fisíca de la empresa (Y de sus sucursales sí es que tiene) Etc.

=================================================================

Whois :

Whois es un protocolo TCP que se utiliza para efectuar consultas en una base de datos que permite determinar el propietario de un nombre de dominio o una dirección IP en Internet.Las consultas WHOIS se han realizado tradicionalmente usando una interfaz de línea de comandos, pero actualmente existen multitud de páginas web que permiten realizar estas consultas. Estas páginas siguen dependiendo internamente del protocolo WHOIS para conectar a un servidor WHOIS y hacer las peticiones.La utilización básica de Whois se hace a través de algún cliente, ya sea gráfico, de línea de comandos o web. A continuación, hay un ejemplo del cliente de línea de comandos de GNU/Linux, consultando el dominio cisco.com (la salida del  comando fue modificada, quitando datos irrelevantes).Voy a usar a mercadolibre como prueba para demostrar los datos que podemos conseguir usando esta herramienta que viene implementada en windows, pero también la podemos instalar en nuestro linux.

=================================================================

Domain Name System (DNS) :

Una de las primeras búsquedas de información que debemos hacer es a través del sistema de nombres de dominio (DNS), el cual nos permitirá conocer varios datos acerca del dominio de la organización analizada.El servidor DNS utiliza una base de datos distribuida y jerárquica que almacena información asociada a nombres de dominio en redes como Internet. Aunque como base de datos el DNS es capaz de asociar diferentes tipos de información a cada nombre, los usos más comunes son la asignación de nombres de dominio a direcciones IP y la localización de los servidores de correo electrónico de cada dominio.La asignación de nombres a direcciones IP es ciertamente la función más conocida de los protocolos DNS. Por ejemplo, si la dirección IP del sitio FTP de prox.mx es 200.64.128.4, la mayoría de la gente llega a este equipo especificando ftp.prox.mx y no la dirección IP. Además de ser más fácil de recordar, el nombre es más fiable. La dirección numérica podría cambiar por muchas razones, sin que tenga que cambiar el nombre.

Jerarquía DNS :

El espacio de nombres de dominio tiene una estructura arborescente. Las hojas y los nodos del árbol se utilizan como etiquetas de los medios. Un nombre de dominio completo de un objeto consiste en la concatenación de todas las etiquetas de un camino. Las etiquetas son cadenas alfanuméricas (con '-' como único símbolo permitido), deben contar con al menos un carácter y un máximo de 63 caracteres de longitud, y deberá comenzar con una letra (y no con '-') (ver la RFC 1035, sección "2.3.1. Preferencia nombre de la sintaxis ").Las etiquetas individuales están separadas por puntos. Un nombre de dominio termina con un punto (aunque este último punto generalmente se omite, ya que es puramente formal). Un FQDN correcto (también llamado Fully Qualified Domain Name), es por ejemplo este: www.example.com. (Incluyendo el punto al final)Un nombre de dominio debe incluir todos los puntos y tiene una longitud máxima de 255 caracteres.Un nombre de dominio se escribe siempre de derecha a izquierda. El punto en el extremo derecho de un nombre de dominio separa la etiqueta de la raíz de la jerarquía (en inglés, root). Este primer nivel es también conocido como dominio de nivel superior (TLD).Los objetos de un dominio DNS (por ejemplo, el nombre del equipo) se registran en un archivo de zona, ubicado en uno o más servidores de nombres.El gráfico muestra el camino completo para el nombre ‘es.wikipedia.org.’

Tipos de Registros :

Los servidores DNS pueden alojar distintos tipos de registros. A continuación listamos los más utilizados.A = Address – (Dirección) Este registro se usa para traducir nombres de servidores de alojamiento a direcciones IPv4.AAAA = Address – (Dirección) Este registro se usa en IPv6 para traducir nombres de hosts a direcciones IPv6.CNAME = Canonical Name – (Nombre Canónico) Se usa para crear nombres de servidores de alojamiento adicionales, o alias, para los servidores de alojamiento de un dominio. Es usado cuando se están corriendo múltiples servicios (como ftp y servidor web) en un servidor con una sola dirección ip. Cada servicio tiene su propia entrada de DNS (como ftp.ejemplo.com. y www.ejemplo.com.). Esto también es usado cuando se alojan múltiples sitios web dentro de un mismo servidor.NS = Name Server – (Servidor de Nombres) Define la asociación que existe entre un nombre de dominio y los servidores de nombres que almacenan la información de dicho dominio. Cada dominio se puede asociar a una cantidad cualquiera de servidores de nombres.MX (registro) = Mail Exchange – (Registro de Intercambio de Correo) Asocia un nombre de dominio a una lista de servidores de intercambio de correo para ese dominio.PTR = Pointer – (Indicador) También conocido como 'registro inverso', funciona a la inversa del registro A, traduciendo IPs en nombres de dominio.SOA = Start of authority – (Autoridad de la zona) Proporciona información sobre el servidor DNS primario de la zona.SRV = SeRVicios - Permite indicar los servicios que ofrece el dominio. RFC 2782SPF = Sender Policy Framework - Ayuda a combatir el Spam. En este registro se especifica cual o cuales hosts están autorizados a enviar correo desde el dominio dado. El servidor que recibe, consulta el SPF para comparar la IP desde la cual le llega, con los datos de este registro.

=================================================================

Nslookup :

Es una herramienta que permite consultar un servidor de nombres y obtener información relacionada con el dominio o el host y así diagnosticar los eventuales problemas de configuración que pudieran haber surgido en el DNS.

También con nslookup, podemos pasarle el parametro de tipo MX, para saber la lista de servidores de intercambio de correo para un dominio, en este caso mercadolibre.

Como les comentaba, podemos pasarle distintos parámetros a nslookup, no los voy a poner todos porque seria interminable, pero quería mostrar estos dos ejemplos.

Dig :

Cumple la misma función que nslookup, que es la de hacer consultas a los servidores DNS.

Dnsdumpster.com e intodns.com: 

Estas dos páginas web nos sirven para obtener información acerca de la configuración de los servidores DNS, de un dominio. Estos sitios sirven para realizar auditorias y va a mostrarnos posibles malas configuraciones en los servidores DNS.

 

(Intodns, nos muestra unas tablas de información sobre sí los dominios que consultamos, tienen mal configurados los servidores DNS)

(DNSdumpster, nos muestra practicamente lo mismo, pero también nos entrega como un diagrama)

Geolocalización y mapeo IP-ASN :

A través de las direcciones IP públicas podemos acceder a varios datos adicionales, como el proveedor que tiene registradas dichas direcciones y cuál es la geoposición en la cual se utiliza la misma.Para conocer la ubicación en la que se está utilizando una dirección IP, podemos utilizar varios servicios, como:

http://www.ip2location.com

http://www.ipligence.com

http://www.maxmind.com

IP2location :

IPligence :

Maxmind :

Como podemos ver, estas son diferentes herramientas donde podemos obtener mucha información pública, desde algo sencillito como un correo, hasta algo importante como una geolocalización. También les quiero agregar esta página : http://www.team-cymru.org Que es bastante completa.

Identificación de un hosting compartido :

La capacidad de los servidores web de servir varios sitios web a través de una misma dirección IP permite abaratar los costos, pero también permite que, rápidamente, podamos saber qué otros sitios web se encuentran alojados en el mismo servidor (1)
Para conocer qué sitios web comparten una misma dirección IP, podemos realizar una consulta al motor de búsqueda Bing (www.bing.com),que es propiedad de la empresa Microsoft.
El término de búsqueda sería algo así como:

ip:209.225.49.78

Con esto obtendremos un reporte sobre todos los sitios web que utilizan la dirección IP 

209.225.49.78

Si un atacante no logra vulnerar el sitio web de una empresa, podría intentar encontrar otros sitios web alojados en el mismo servidor y vulnerarlos para poder conseguir acceso al sitio que le interesa. Si bien es cierto que los servicios de hosting intentan realizar configuraciones seguras para que esto no sea posible, en muchos casos las vulnerabilidades existen y son aprovechables por los atacantes.
De todos modos, en el proceso de Ethical Hacking esto no es válido, porque no podemos intentar atacar a ningún recurso que no pertenezca a la empresa que nos está contratando.
(1) Es posible alojar sitios en servidores diferentes utilizando una misma dirección IP para todos, pero no es el caso más habitual.

Búsqueda de datos :

Existen varios sitios web que ofrecen información sobre personas y empresas. Generalmente, solicitan el nombre, el número de documento (DNI) o el CUIT y, en base a eso, entregan un reporte con una gran cantidad de datos sobre la persona o la empresa solicitada.
Esto podría llegar a ser de mucha utilidad para conseguir datos acerca de empleados de una empresa, así como también cualquier otro tipo de dato que podríamos utilizar para llevar a cabo tareas de ingeniería social.
Algunos de estos sitios son:
http://www.buscardatos.com

http://www.dateas.com

http://registronacional.com

También podemos consultar las bases de datos de organismos públicos. Por ejemplo, para Argentina:

http://www.afip.gob.ar

http://www.anses.gob.ar

=================================================================

TheHarvester :

Esta herramienta nos puede ser de mucha ayuda para la recolección de información, ya que nos puede encontrar correos electrónicos y hosts.

(En este caso, no me encontró ningún email, pero sí algunos hosts)

Maltego :

Esta también es una excelente herramienta de recolección de datos, como correos electrónicos y host, y además tiene muchas más opciones obviamente y es bastante bonita, porque hasta nos hace un gráfico y todo. (Al parecer maltego no me funciona y no quiere abrir, así que voy a poner una imagen que no es de mí autoria, pero muestra como es maltego)

Como no me funciona maltego, es obvio que no puedo mostrar el funcionamiento de maltego, por eso les adjunto un vídeo de como conseguir dicha información :

 A continuación también les dejo esta primera parte del curso en PDF :

Curso de Ethical Hacking [Pentesting] - Parte 1.pdf

¡Y esta fue la primera etapa de una fase de un pentesting, existen muchas herramientas más, pero creo que seria imposible enumerarlas a todas, igualmente varia, porque todas cumplen la misma función que otra, saludos y espero que sigan el curso!