Principais ataques Engenharia social Coleta de informação Varredura

Apresentação em tema: "Principais ataques Engenharia social Coleta de informação Varredura"— Transcrição da apresentação:

1 Principais ataques Engenharia social Coleta de informação Varredura
Negação de serviço Exploração de bugs Exploração de protocolos Sniffers Ataque do dicionário Código malicioso

2 Introdução Passos de um atacante conhecimentos preliminares
mapeamento de Hosts e Firewalls busca por vulnerabilidades exploração consolidação da invasão explorações posteriores

3 Mapeamento Mapeamento de Hosts e Firewalls firewalking
descoberta de hosts varredura de portas (port scanning) detecção de SO (OS fingerprinting) mapeamento de protocolos e serviços detecção de firewalls inteligentes

4 Técnicas e Ferramentas
Classes Não intrusivas clientes regulares de serviço acessar o que está publicamente disponível ações indiretas e diretas sobre o alvo dificilmente podem ser evitadas Intrusivas comportamento completamente anormal agem diretamente sobre o alvo facilmente detectadas existem mecanismos eficazes contra elas

5 Técnicas e Ferramentas
Pesquisa no site do alvo Ferramenta: web browser Informações serviços publicamente disponíveis missão do alvo (atividade) contatos primários nome de desenvolvedores plataformas de desenvolvimento Onde procurar? na página em si no código fonte (comentários, campos, ...)

6 Técnicas e Ferramentas
Pesquisa WHOIS Ferramentas: web browser, whois Informações faixas de endereço IP pertencentes ao alvo endereço físico do alvo CGC/CPF servidores DNS (nomes e endereços) nomes e telefones para contado (adm. e técnico) Sites 

7 Técnicas e Ferramentas
Pesquisa WHOIS Exemplo domínio: UFRGS.BR entidade: Universidade Federal do Rio Grande do Sul documento: / responsável: <nome do responsável> endereço: Rua Ramiro Barcelos, 2574, UFRGS-CPD endereço: Porto Alegre - RS telefone: (051) ... servidor DNS: NS1.UFRGS.BR servidor DNS: NS2.UFRGS.BR servidor DNS: DNS.POP-RS.RNP.BR ID: <normalmente as iniciais> nome: <nome do responsável> endereço: Rua Ramiro Barcelos, 2574, endereço: Porto Alegre - RS telefone: (051)

8 Técnicas e Ferramentas
Troca de s Ferramenta: mail reader Informações nome e versão do programa servidor smtp nome e versão do programa do usuário interno plataformas (servidor e usuário interno) nomes e endereços de servidores Onde procurar? nos cabeçalhos da mensagem Como fazer? enviar s para usuários internos enviar s para um usuário inexistente

9 Técnicas e Ferramentas
Troca de s Exemplo Received: from mail.dominioX.com (localhost.localdomain [ ]) by dominoX.com (8.11.0/8.11.3) with ESMTP id g32Mn2J53943; Mon, 4 Mar :49: Received: from smtp.dominioY.com (server.dominioY.com [ ]) by dominoX.com (8.11.0/8.11.3) with ESMTP id g32Mn2J53943; for Mon, 4 Mar :48: Received: from dominioZ.com (dominioZ.com [ ]) by dominioZ.com (8.12.1/8.12.1/Debian -5) with ESMTP id ... for Mon, 4 Mar :49: ... 10 Message-ID: <Pine.LNX

10 Técnicas e Ferramentas
DNS Zone Transfer Ferramentas: dig, host, nslookup Informações todos os nomes existentes no DNS identificação de máquinas chave (ex. fw, gw) máquinas mais propícias para um ataque Comando dom.com.br axfr Site Geek Tools (

11 Técnicas e Ferramentas
DNS Zone Transfer Exemplo 1 # dom.com.br axfr 2 ; <<>> DiG dom.com.br axfr 3 ;; global options: printcmd 4 dom.com.br IN NS dns.dom.com.br. 5 dom.com.br IN NS dns2.dom.com.br. 6 dom.com.br IN NS gw.dom.com.br. 7 dom.com.br IN MX mail.dom.com.br. 8 mail.dom.com.br IN CNAME svr1.dom.com.br. 9 ftp.dom.com.br IN CNAME svr1.dom.com.br. ... 10 svr1.dom.com.br IN A 11 svr1.dom.com.br IN HINFO "Pentium III 1GHz" "Linux Red Hat 6.2" 12 fw.dom.com.br IN A 13 fw.dom.com.br IN HINFO "Pentium II 400MHz"

12 Técnicas e Ferramentas
Verificação do Sistema Operacional e Servidor Web contém histórico de versões antigas exemplo: OS Server Last changed IP address Windows Server Microsoft-IIS/ Nov Windows unknown 31-Oct Windows Server Microsoft-IIS/ Mar Windows Microsoft-IIS/ Apr Solaris Apache 27-Dec Solaris Apache/ (Unix) 30-Nov Solaris Apache/1.3.4 (Unix) 4-Nov

13 Varredura (Scanning) Teste sistemático dos números IP de uma organização Determinação dos serviços estão ativos (quais portas estão escutando) Varredura com ping Consultas ICMP Varredura de portas Programas de varredura: COPS,ISS, SATAN, SAINT, Nessus, nmap

14 Varredura (Scanning) Teste dos números IP de uma organização
Programas típicos Ping TraceRoute Finger NSLookup Whois Fornecem informações sobre domínio e/ou máquinas

15 Varredura (Scanning) Teste dos números IP de uma organização
Network Ping Sweep Teste envia ICMP ECHO (tipo 8) Alvo envia ICMP ECHO_REPLY (tipo 0) Demorado para redes grandes Pode ser bloqueado por firewalls TCP ping Usa porta permitida no firewall (ex.: 80, 25) Envia TCP SYN

16 Técnicas e Ferramentas
ICMP TTL Exceeded Ferramentas: traceroute, hping2, web browser Informações distância do alvo máquinas intermediárias gateways internos existência de firewalls (regras e tipos) perdas de pacotes Comandos traceroute hping2 -S -p 80 -T

17 Técnicas e Ferramentas
ICMP TTL Exceeded Exemplo #traceroute alvo.sub.dom.br 1 dial.domX.com.br ( ) ms ms ms 2 fw.domX.com.br ( ) ms ms ms 3 atm.domY.com.br ( ) ms ms ms 4 gw.dom.br ( ) ms ms ms 5 gw.sub.dom.br ( ) ms ms ms ( ) ms ms ms 7 alvo.sub.dom.br ( ) ms ms ms

18 Varredura (Scanning) Teste sistemático das portas ativas
Procura na faixa (servidores) Procura na faixa (clientes) Técnicas TCP connect Cliente envia SYN (e ACK=0) Servidor responde com SYN/ACK Cliente responde com ACK (e SYN=0) Operação normal do protocolo Desvantagem: detecção fácil

19 Varredura (Scanning) Técnicas TCP SYN scan TCP FIN scan
Cliente envia SYN (e ACK=0) Servidor responde com SYN/ACK (porta inativa responde com RST/ACK) Cliente responde com RST/ACK (reset) Vantagem: dificulta a detecção (conexão “meio-aberta” não é logada normalmente) TCP FIN scan Cliente envia FIN Porta inativa responde com RST (RFC 793) Porta ativa não responde Funciona para Unix (não funciona para Windows)

20 Varredura (Scanning) Técnicas TCP Xmas tree TCP NULL scan
Cliente envia pacote com todas opções ligadas Servidor responde com RST para porta inativa (RFC 793, caso FIN, URG e PUSH estejam ligados) Porta ativa não responde TCP NULL scan Cliente envia pacote com todas opções desligadas Servidor responde com RST para porta inativa (RFC 793)

21 Varredura (Scanning) Técnicas UDP scan Scan
Cliente envia pacote UDP para porta alvo Servidor responde com “ICMP port unreachable” para porta inativa Porta ativa não responde Desvantagem: técnica não eficaz (UDP é “connectionless”) e imprecisa Scan Resposta exata depende da exatidão da implementação da pilha TCP/IP Eficácia depende do sistema operacional

22 Técnicas e Ferramentas
Varredura de IPs e Portas Ferramentas: nmap, hping2 Informações lista de máquinas ligadas lista de portas abertas em uma determinada máquina existência de firewalls lista de portas filtradas identificação de sistemas operacionais Comando nmap -sS -O

23 Técnicas e Ferramentas
Varredura de IPs e Portas Exemplo # nmap –sS –O Starting nmap V. 2.54BETA33 ( ) Interesting ports on ( ): (The 1545 ports scanned but not shown below are in state: closed) Port State Service 22/tcp filtered ssh 80/tcp open http 111/tcp open sunrpc 139/tcp open netbios-ssn 443/tcp open https 515/tcp open printer 548/tcp open afpovertcp 689/tcp open unknown 1024/tcp open kdm Remote operating system guess: Linux ...

24 Técnicas e Ferramentas
Idle Scan não envia pacotes diretamente à vítima maior invisibilidade máquina intermediária (zumbi)

25 Detecção do Sistema Operacional
Captura de Banners Análise de Arquivo Binário Detecção Ativa de Pilha partes mal definidas das especificações (RFCs) geração de tráfego sob medida espera de respostas que variem entre SOs condensação de resposta (fingerprint) comparação com banco

26 Detecção do Sistema Operacional
Técnicas FIN probe Enviar FIN para uma porta aberta Procedimento correto é não responder Windows responde com FIN/ACK Bogus Flag probe Ligar bit não definido no cabeçalho em um pacote SYN Linux responde com este bit ligado Initial Sequence Number “Don’t Fragment” bit Valor do ACK (sequence number, sequence number+1)

27 Detecção do Sistema Operacional
Técnicas Mensagens ICMP (em casos de erro) Tratamento da fragmentação (quando fragmentos se sobrepõe) Alterações no cabeçalho (bits ligados/desligados) Manipulação das opções do TCP (RFCs 793 e 1323) Programa típico: nmap (unix) nmap-os-fingerprints Detecta inclusive com todas portas inativas !

28 Detecção do Sistema Operacional
Detecção Ativa de Pilha Nmap 2 portas TCP e 1 porta UDP fechada gera tráfego ilegal métricas relativas a pacotes TCP, IP e UDP defesa: firewall stateful c/ bloqueio a portas UDP fechadas

29 Detecção do Sistema Operacional
Detecção Ativa de Pilha Cron-OS RTO Stack Fingerprinting análise do comportamento temporal de retransmissão da pilha TCP 1 porta TCP aberta defesa: alteração de aspectos temporais da pilha TCP uso de um Syn Relay para normalização temporal

30 Detecção do Sistema Operacional
Detecção Ativa de Pilha Synscan analisa aspectos complexos da pilha TCP 1 porta TCP aberta testes: serviços: nível de aplicação sessões: nível de rede/transporte 16 plugins de análise Congestion Control Fragment Overlap Policy defesa: alteração da pilha TCP

31 Detecção do Sistema Operacional
Detecção Passiva de Pilha p0f base similar a da ativa sem geração de tráfego escuta o tráfego, de 3 vias: Pacote SYN Pacote SYN/ACK Pacote RST precisa de tráfego TCP gerado pela vítima métricas: wsize, opções TCP, anormalidades, tamanho datagramas defesa: alteração da pilha TCP

32 Mapeamento de serviços
Estado de portas e SISOP insuficiente Necessário protocolo/serviço da porta Captura de Banners Técnica geral envio de pacotes especiais (aplicação) procura por padrão em respostas comparação com banco de respostas

33 Mapeamento de serviços
Amap Primeira a surgir Usa “triggers” Pouca documentação Nmap version scanning “processo de interrogação” envio de probes em ordem crescente de tráfego identificações parciais reduzem processo

34 Detecção de firewalls inteligentes
Se fazem passar por host alvo Resposta a CRC inválido firewalls se atêm a camada de rede não calculam checksum TCP/UDP envio de checksum TCP/UDP inválido resposta sinaliza firewall defesa: calcular o checksum do pacote e descartá-lo ou aceitá-lo

35 Detecção de firewalls inteligentes
Comparação de TTL comparação de TTL de pacote SYN/ACK com o de pacote RST diferença indica firewall inteligente defesa: uso de mesmo TTL por firewall firewall não altera TTL (modo bridge) hping2 -S -p 80 HPING (eth ): S set, 40 headers + 0 data bytes len=46 ip= flags=SA DF seq=0 ttl=254 id=6905 win=9112 rtt=1.6 ms len=46 ip= flags=SA DF seq=1 ttl=254 id=6906 win=9112 rtt=1.7 ms len=46 ip= flags=SA DF seq=2 ttl=254 id=6907 win=9112 rtt=1.6 ms hping2 -A -p 80 HPING (eth ): A set, 40 headers + 0 data bytes len=46 ip= flags=R seq=0 ttl=30 id=1 win=0 rtt=1.5 ms len=46 ip= flags=R seq=1 ttl=30 id=1 win=0 rtt=1.6 ms len=46 ip= flags=R seq=2 ttl=30 id=1 win=0 rtt=1.5 ms

36 Detecção de firewalls inteligentes
Comparação Temporal comparação de tempo de transmissão de porta aberta com o de porta fechada diferença indica firewall inteligente defesa: firewall que normaliza tempo (Syn Relay)

37 Técnicas e Ferramentas
Varredura de vulnerabilidades Ferramentas: nessus, stealth Informações vulnerabilidades existentes no sistema sistemas com determinada vulnerabilidade Como fazer?

38 Técnicas e Ferramentas
Busca na Internet Ferramentas web browser Linux, BSD compiladores conhecimento em C paciência Onde procurar?