Често Задавани Въпроси

Видео демонстрация на BruteSSH – многонишков инструмент за брутфорс на пароли. Използва речници и е базиран на paramico библиотеката.

Slowloris атаката, за която съм споменавал, успяваше да спре всички версии на популярният web сървър Apache. Единствената защита беше да използва друг сървър ( напр. nginx ) или да се спретне по-сложна схема с прокси пред сървъра. Е, от известно време има разширение на mod_security, което може да спре Slowloris атака.

По своята същност Slowloris е атака срещу 7-ми слой на мрежовата инфраструктура или по-точно срещу самият web сървър. Тя не запълва канала с трафик, т.е. не е DoS атака, макар, че ефекта е подобен. Проблемът идва в начина по който Apache oбработва заявките и по-точно при отваряне на конекция, дори и да няма изпратен нито един байт, Apache чака да изтече таймаут, преди да затвори конекцията. Също така в зависимост от версията записва информация в лог-файловете. Проблемът идва от това, че опашката на конекциите е ограничен ресурс, който относително лесно може да бъде препълнен. Например ето така изглежда заявка съгласно HTTP RFC:

   1: Request       = Request-Line              ; Section 5.1

   2:                         *(( general-header        ; Section 4.5

   3:                          | request-header         ; Section 5.3

   4:                          | entity-header ) CRLF)  ; Section 7.1

   5:                         CRLF

   6:                         [ message-body ]          ; Section 4.3

Ако атакуващият не изпрати CRLF-а, който отбелязва края на заявката, Apache ще продължи да чака до изтичане на таймаут.

За защита от подобни атаки от версия ModSecurity 2.5.13 вече има включена директива SecReadStateLimit, която ограничава броя на конекциите в състояние SERVER_BUSY_STATE от даден IP адрес. При надхвърляне на този лимит сървъра ще върне грешка 400 Bad Request status code. Също така с цел защита от други разновидности на атаката е добавени директивата RequestReadTimeout.

За всички skiddies – Hail Mary намира препоръчителните експлойти за целите, и после ги филтрира и сортира, за да можете да ги стартирате съвсем лесно, в шарен графичен интерфейс.
Бях споменал вече за Armitage, фронт-енда на Мetasploit.

Приятна игра и помнете – никой не носи отговорност за глупостите, които натворите.

Често предупреждавам, че всеки си носи отговорност за действията си ( което си е вярно ). За съжаление е доста трудно човек да си поиграе с нещата, които публикувам, без да направи нещо неетично или направо нарушаващо закон. Затова от Metasploit проекта са сглобили Metasploitable – VMWare машина, която е компилирана с няколко уязвими услуги. Машината е non-persistent, т.е. ако я счупите злобно, само трябва да бъде рестартирана.

Въпреки, че идва от Metasploit, този VMWare може да ви е полезен и при тестване на всякакви други инструменти и атаки. Ето демонстрация на сканиране с Nessus:

Security Onion е нова Live Linux дистрибуция, базирана на Xubuntu 10.04. Можете да свалите DVD-то и да го използвате като мрежови IDS сензор в случай, че се съмнявате или просто искате да тествате различни IDS-и с отворен код. В проекта са включени:

• Snort
• Suricata
• Sguil
• Xplico
• nmap
• scapy
• hping
• netcat
• tcpreplay

Има два IDS-а ( Snort & Suricata ), интерфейси ( Squil ),  както и няколко инструмента за генериране на пакети ( hping3,inundator, scapy ), които да използвате за тестове. Поддържат се стандартните опции за включване към мрежата – SPAN порт, network TAP ( ако имате парите ) и inline, ако машината разполага с две мрежови платки и достатъчно процесорна мощност ( не подценявайте – 100 мегабитова мрежа се слуша относително лесно, но за гигабитова изискванията са сериозни ). За в бъдеще се планира интегрирането на host IDS и уеб интерфейс.

Основен разработчик е Doug Burks, а дистрибуцията можете да свалите от тук

Много добър наръчник за Meterpreter ( Meta Interpreter ) – payload-а¹ на Metasploit. Подробно и последователно описание на командите. В момента е малко остарял, но все пак е добро начало, ако тепърва започвате с Meterpreter. http://www.exploit-db.com/download_pdf/15948 [PDF, на английски].

1. как се превежда това на български ? [обратно ↩]