Сбор информации, как ключевой этап тестирования на проникновение

Действия атакующего (и пентестера) обычно разделены на следующие этапы:

• Пассивный сбор информации;
• Анализ собранной информации;
• Активный сбор информации;
• Проведение атаки.

При этом сбор и анализ информации, а также корректировка выбранных способов проникновения в информационную систему многократно могут повторяться. Первоначальный же сбор информации во многом является ключевым элементом проведения успешного и правильного пентеста. От того, насколько скрупулезно он был осуществлен, может зависеть, как эффективность пентеста в целом, так и эффективность отработки отдельных векторов атаки (социальная инженерия, брутфорс, атака на Web-приложения и пр.).

Пассивный сбор информации

Пассивный метод сбора информации характерен тем, что его этапы невозможно обнаружить, т.к. на практике они не вызывают никаких подозрений, при этом фактически невозможно определение узла, с которого проводится пассивный сбор информации. Для пассивного сбора информации используются:

• службы Whois;
• анализ DNS;
• неактивное исследование публичных Интернет-ресурсов;
• поисковые системы и интернет сервисы;
• социальные сети.

При помощи пассивного метода сбора информации в большинстве случаев можно составить приблизительную карту узлов внешнего периметра с предположениями об их ролях, собрать дополнительную информацию об организации, контактную информацию о сотрудниках и много другой полезной информации для атакующего.

Активный сбор информации

Активный сбор информации предполагает отправку узлу (сервису, службе) некоторых запросов и последующую их обработку. Примером подобных запросов могут быть, например, запросы к DNS серверу на перенос обслуживаемой им зоны. Подобные действия в большинстве случаев фиксируются в журналах и могут быть проанализированы системами обнаружения вторжений и ответственными лицами (администраторами, сотрудниками службы информационной безопасности) как в режиме реального времени, так и по истечении некоторого времени.

По сути, использования сканеров уязвимостей (безопасности) также является одним из способов осуществления активного сбора информации.

Попытка проникновения

А вот тут уже начинается самый интересный этап – этап тестирования на проникновение:) Из всех собранных данных выбираются наиболее оптимальные пути для возможности проведения успешной атаки за максимально короткий промежуток времени в отношении объектов исследования. В ход идут любые инструменты, которые только попадают под руку, от наборов публичных эксплоитов (Metasploit, Canvas, etc.), до самых стандартных программ и утилит (telnet, браузер, etc.). А после? А после - вновь сбор и анализ информации, только уже в пределах системы, которую удалось взломать...

Примеры из практики

Довелось мне проводить пентест для одного коммерческого учреждения с числом сотрудников не более 500-та. Потратив приблизительно 5-ть рабочих дней, было собрано достаточно много интересной информации, как то:

• Неформальные взаимоотношения сотрудников в компании.
• Тестовые сервисы для партнеров (Web-приложения на нестандартных портах, VPN-сервер).
• Составлен список возможных логинов (например: devteev, dmitry, d_evteev, dmitry.evteev и т.д.)
• Составлен список возможных паролей (например: название компании, доменные имена, корпоративные слоганы и др.)

Собранная информация позволила успешно провести атаку по всем отрабатываемым векторам атаки! Например:

Брутфорс – обладая списком предполагаемых логинов и паролей, атака типа брутфорс выстрелила менее чем через 10 минут. Это стало причиной получения списка всех используемых логинов в компании и, как следствие, – компрометации порядка 15% из них.

Web-приложения – зная о работающих "тестовых" Web-приложениях было просто проведено их сканирование в режиме black-box. Этого оказалось вполне достаточно, чтобы получить ряд эксплуатабельных уязвимостей на них и, в последствии, спуститься на уровень ОС.

Проникновение во внутреннюю сеть – не нужно быть гением, чтобы не попробовать залогиниться под скомпрометированной учетной записью к VPN. А пароли-то все привыкли использовать один на все ресурсы. Да здравствует SSO:)

Социалка – зная кто и с кем неформально общается, письмо "от подруги" к "другу" с прикрепленным к нему исполняемым файлом не вызывает не малейшего подозрения. Дальше думаю рассказывать не стоит…

Другой пример.

Не так давно проводил тест на проникновение методом black-box в отношении одного Web-приложения. На этапе сканирования никаких более менее интересных уязвимостей на стороне сервера найдено не было. Сайт прикрыт mod_rewrite, а потому понять, каким образом формируются запросы к самому приложению, с использованием методики черного ящика, не представлялось возможным. Однако стоило только заглянуть в google, как вся внутренняя логика приложения с параметрами предстала перед глазами как на ладони. Полученная информация позволила обнаружить sql-injection и после успешно получить привилегии администратора исследуемого Web-приложения.