UNIVERSIDAD NACIONAL DE INGENIERÍA FACULT ACULTAD DE INGENIERÍA INGENI ERÍA INDUSTRIAL I NDUSTRIAL Y SISTEMAS SI STEMAS
ETHICAL HACKING CURSO:
SeguridadInformática
DOCENTE:
Ing. BringasMasgo, Isaac
ESTUDIANTES:
Calderón Ccatamayo, Magaly
Carranza Palomino, Vladimir
SihuacolloLiñan, Ethel
30 de septiembre de 2010
Seguridad Informática
2010 II
Contenido ETHICAL HACKING ..............................................................................................................................3 1.
2.
Descripción de la institución...................................................................................................3 1.1.
Historia ...........................................................................................................................3
1.2.
Visión ..............................................................................................................................3
1.3.
Misión.............................................................................................................................3
Etapas del Ethical Hacking ......................................................................................................3 2.1.
RECONOCIMIENTO: ........................................................................................................3
2.1.1.Herramientas para el Reconocimiento: .................................................................................4 2.1.2.Herramientas Utilizadas: .......................................................................................................4 2.2.
ESCANEO: .......................................................................................................................7
2.2.2.
TIPOS ..........................................................................................................................7
2.2.3.
HERRAMIENTAS PARA EL ESCANEO ............................................................................8
2.2.4.Herramientas Utilizadas: .......................................................................................................8 2.3.
GANAR ACCESO (GAINING ACCESS) ..............................................................................10
2.4.
MANTENER EL ACCESO (MAINTAINING ACCESS) ..........................................................15
2.5.
CUBRIR LAS HUELLAS (COVERING TRACKS) ..................................................................15
2.5.1.
OBJETIVOS ................................................................................................................15
2.5.2.
HERRAMIENTAS PARA CUBRIR LAS HUELLAS ............................................................16
2.5.3.
PROCEDIMIENTO ......................................................................................................16
2
Seguridad Informática
2010 II
ETHICAL HACKING 1. Descripción de la institución 1.1. Historia Es la evolución de una unidad de negocio que se forjo en la década de los “80” (1989 – 1990); muchos afirman que comenzó como una oficina de cursos de computación e informática destinados principalmente a la capacitación de la plana docente de la facultad, meses más tarde se llamo Centro de Cursos de Información (CCI).
En 1994 hasta la actualidad el CCI pasaría a ser Centro de Computo FIIS (laboratorio de cómputo), el cual está destinado para el desarrollo de las clases dirigido a los alumnos de la facultad de ingeniería industrial y de sistemas.
1.2. Visión Ser líderes brindando servicios de capacitación y entrenamiento en tecnologías de información (TI) recientes apoyado en el uso intensivo de tecnología de punta en nuestra facultad.
1.3. Misión Somos líderes brindando servicios de calidad, capacitando y entrenando a los alumnos de la facultad de ingeniería industrial y de sistemas en tecnología de Información (TI) utilizando tecnología de punta.
2. Etapas del Ethical Hacking 2.1. RECONOCIMIENTO: El reconocimiento se refiere a la fase preparatoria donde el atacante obtiene toda la
información necesaria de su objetivo o victima antes de lanzar el ataque. Esta fase también puede incluir el escaneo de la red que el Hacker quiere atacar no importa si el ataque va a ser interno o externo. Esta fase le permite al atacante crear una estrategia para su ataque. Esta fase puede incluir la Ingeniería Social, buscar en la basura (Dumpsterdiving), buscar que tipo de sistema operativo y aplicaciones usa el objetivo o víctima, cuales son los puertos que están abiertos, donde están localizados los routers (enrutadores), cuales son los host (terminales, computadoras) más accesibles, buscar en las bases de datos del Internet (Whois) información como direcciones de Internet (IP), nombres de
3
Seguridad Informática
2010 II
dominios, información de contacto, servidores de email y toda la información que se pueda extraer de los DNS (DomainName Server). Esta fase le puede tomar bastante tiempo al Hacker ya que tiene que analizar toda la información que ha obtenido para lanzar el ataque con mayor precisión. 2.1.1. Herramientas para el Reconocimiento:
GOOGLE:Mediante este buscador se encuentra la URL de la empresa a analizar, a partir de ahí podemos comenzar a seguir reconociendo datos importantes de la empresa. DNSSTUFF:Mediante esta herramienta se determinara información relacionada con el nombre de dominio de Internet de la empresa. IPTOOLS SITELOGR FREEDNSINFO
2.1.2. Herramientas Utilizadas: Sitelogr:Sitelogr es un servicio gratuito que proporciona una gran cantidad de
valiosa información a los webmasters sobre cada sitio web en Internet. Estos datos son recopilados de diversas fuentes en tiempo real. Una característica única que ofrece es poder dar una estimación de la cantidad de visitas a un sitio web. Utilizamos un avanzado algoritmo para calcular estos datos. Por supuesto, nunca será perfectamente exacto, pero por lo menos tener una idea general.
4
Seguridad Informática
2010 II
IPTOOLS: IP-Tools ofrece varios utilitarios TCP/IP en un solo programa. Este programa
ganador de varios premios puede trabajar bajo Windows NT 4.0, Windows 2000/XP/Vista y Windows Server 2003/2008, y resulta indispensable para cualquiera que utiliza Internet o Intranet (pero si usted es un administrador de red, le sugerimos experimentar nuestro poderoso monitor de red: Advanced Host Monitor, y el programa para mensajes inalámbricos de nuestros asociados: NotePage).
Utilitarios de IPTOOLS: Local Info: Examina al host local y muestra información del procesador, memoria,
datos del Winsock, etc Connection Monitor: Despliega información de las actuales conexiones de red TCP,UDP Name Scanner: Explora los nombres de los hosts bajo el rango de las direcciones IP Trace: Rastrea la ruta a un host remoto a través de la red WhoIs : Obtiene información sobre nombres desde el Network Information Center LookUp: Busca nombre de dominios de acuerdo a su dirección I P o una dirección IP desde el nombre del dominio.
5
Seguridad Informática
2010 II
6
Seguridad Informática
2010 II
2.2. ESCANEO:
Esta es la fase que el atacante realiza antes de la lanzar un ataque a la red (network). En el escaneo el atacante utiliza toda la información que obtuvo en la Fase del Reconocimiento (Fase 1) para identificar vulnerabilidades específicas. Por ejemplo, si en la Fase 1 el atacante descubrió que su objetivo o su víctima usa el sistema operativo Windows XP entonces él buscara vulnerabilidades especificas que tenga ese sistema operativo para saber por dónde atacarlo. También hace un escaneo de puertos para ver cuáles son los puertos abiertos para saber por cual puerto va entrar y usa herramientas automatizadas para escanear la red y los host en busca de mas vulnerabilidades que le permitan el acceso al sistema. 2.2.1. Objetivos Detectar sistemas vivos en la red Descubrir puertos activos
Descubrir el sistema operativo
Descubrir los servicios ejecutándose y presentes en el sistema
Descubrir direcciones ip’s
2.2.2. TIPOS Se puede dar : Escaneo de puertos: Es comprobar los servicios corriendo en el objetivo enviando
una secuencia de mensajes en un intento de entrar. Escaneo de Red: Es el proceso de identificar host activos en la red Escaneo de Vulnerabilidades: Es un método automá
7
Seguridad Informática
2010 II
2.2.3. HERRAMIENTAS PARA EL ESCANEO
HPING2
Firewalk
NMAP
Netscan
Megaping
Global Network Inventor
Telnet
Httprint
Nessus 2.2.4. Herramientas Utilizadas:
Nmap:Nmap (‘Network Mapper’), es una herramienta open source, diseñada para
explorar y para realizar auditorias de seguridad en una red de computadoras. Esta herramienta puede ser utilizada para realizar auditorias de seguridad en una red, pero también puede ser utilizada para fines delictivos, ya que esta herramienta pone al descubierto, puertos abiertos en las computadoras de una red, así como también es posible conocer como se encuentra organizada, y de cuantas computadoras consta una red. Se utilizo la herramienta NMAP para escanear la red. Para el trabajo utilizamos el NMAP que se encuentra en la distribución de Back
track v4.
8
Seguridad Informática
2010 II
Para conocer que puertos tiene abiertos un host en nuestra red, con dirección ip 192.168.1.0/24, ejecutamos:
Vemos que tenemos 6 host en la red
9
Seguridad Informática
2010 II
AUTOSCAN NETWORK 1.5:
Es una aplicación diseñada para explorar y administrar una red. No requiere ser configurado para scanear una red. El objetivo principal es imprimir la lista de equipos conectados en una red. Todas las subredes pueden ser escaneadas simultáneamente sin intervención humana. Se realizo un reconocimiento de la red con la herramienta AutoScan Network 1.5
que esta en la distribución de backtrack.
2.3. GANAR ACCESO (GAINING ACCESS)
Esta es una de las fases más importantes para el Hacker porque es la fase de penetración al sistema, en esta fase el Hacker explota las vulnerabilidades que encontró en la fase 2. La explotación puede ocurrir localmente, offline (sin estar conectado), sobre el LAN (Local Area Network), o sobre el Internet y puede incluir técnicas como buffer overflows (desbordamiento del buffer), denial-of-service (negación de servicios), sesión hijacking (secuestro de sesión), y password cracking (romper o adivinar claves usando varios métodos como: diccionaryatack y brute forcé atack). Los factores que ayudan al Hacker en esta fase a tener una penetración exitosa al sistema dependen de cómo es la arquitectura del sistema y de cómo está configurado el sistema
10
Seguridad Informática
2010 II
objetivo o víctima, una configuración de seguridad simple significa un acceso más fácil al sistema, otro factor a tener en cuenta es el nivel de destrezas, habilidades y conocimientos sobre seguridad informática y redes que tenga el Hacker y el nivel de acceso que obtuvo al principio de la penetración (Fase 3). 2.3.1. herramientas para ganar acceso Inyección SQL Herramienta Telnet Metasploit Framework
2.3.2. Herramientas Utilizadas Metasploit Framework: Metasploit proporciona información útil y herramientas
para pruebas de penetración, los investigadores de seguridad, y la firma de los desarrolladores de IDS. Este proyecto fue creado para proporcionar información sobre las técnicas de explotación y crear una base de conocimiento funcional para explotar los desarrolladores y profesionales de la seguridad.Metasploit es un proyecto de código abierto gestionados por Rapid7 . Para ganar el acceso primero elegimos el host al cual debemos ganar acceso para
este caso tomaremos el host 192.168.1.66 En la fase anterior (escanear) verificamos que le host 192.168.1.66 tiene puertos
abiertos.
Vemos que el puerto 445 esta abierto
11
Seguridad Informática
2010 II
Usaremos el backtrack para lograr el acceso .
Ingresamos el comando, sudo msfconsole.
12
Seguridad Informática
2010 II
Luegoingresamos , search ms08
UTILIZAMOS EL EXPLOIT WINDOWS/SMB/MS08_067_NETAPI
13
Seguridad Informática
2010 II
Y con ello se tiene acceso al host 192.168.1.66 .
14
Seguridad Informática
2010 II
2.4. MANTENER EL ACCESO (MAINTAINING ACCESS) Una vez el Hacker gana acceso al sistema objetivo (Fase3) su prioridad es mantener el acceso que gano en el sistema. En esta fase el Hacker usa sus recursos y recursos del sistema y usa el sistema objetivo como plataforma de lanzamiento de ataques para escanear y explotar a otros sistemas que quiere atacar, también usa programas llamados sniffers para capturar todo el trafico de la red, incluyendo sesiones de telnet y FTP (File Transfer Protocol). En esta fase el Hacker puede tener la habilidad de subir, bajar y alterar programas y data. En esta fase el hacker quiere permanecer indetectable y para eso remueve evidencia de su penetración al sistema y hace uso de Backdoor (puertas traseras) y Troyanos para ganar acceso en otra ocasión y tratar de tener acceso a cuentas de altos privilegios como cuentas de Administrador. También usan los caballos de Troya (Trojans) para transferir nombres de usuarios, passwords e incluso información de tarjetas de crédito almacenada en el sistema. 2.5. CUBRIR LAS HUELLAS (COVERING TRACKS) En esta fase es donde el Hacker trata de destruir toda la evidencia de sus actividades ilícitas y lo hace por varias razones entre ellas seguir manteniendo el acceso al sistema comprometido ya que si borra sus huellas los administradores de redes no tendrán pistas claras del atacante y el Hacker podrá seguir penetrando el sistema cuando quiera, además borrando sus huellas evita ser detectado y ser atrapado por la policía o los Federales. Las herramientas y técnicas que usa para esto son caballos de Troya, Steganography, Tunneling, Rootkits y la alteración de los “log files” (Archivos donde se almacenan todos los eventos ocurridos en un sistema informático y permite obtener información detallada sobre los hábitos de los usuarios), una vez que el Hacker logra plantar caballos de Troya en el sistema este asume que tiene control total del sistema. 2.5.1. OBJETIVOS Mantener escondido el acceso al sistema Modificar los logs del sistema donde se encuentren evidencias. Esconder los archivos que se usara para el hacking.
15
Seguridad Informática
2010 II
2.5.2. HERRAMIENTAS PARA CUBRIR LAS HUELLAS AUDITPOL ELSAVE EVIDENCE ELIMINATOR WINZAPPER ADS SPY
2.5.3. PROCEDIMIENTO Desactivar auditoría del sistema (Herramienta AuditPol):
Para ello utilizamos las siguientes comandos cuando tengamos acceso en el servidor (victima) : C:\>auditpol \\ El cual nos dará el estado de la auditoría. Para desactivar la auditoría ejecutamos: C :\>auditpol \\ /disable De esta forma evitamos que registren nuestras acciones. Limpiar Logs del servidor:
Para esto instalamos la Herramienta ElSave:
Para poder guardar y/o limpiar el log del servidor nos servirá la siguiente sintaxis
16
Seguridad Informática
-s
2010 II
Ip del Servidor (víctima)
\\server
-F file
Directorio y Nombre con el cual se guardará el archivo del log en la maquina local
-l log
Nombre del log del servidor que será guardado y/o limpiado
-C
Borra el registro. Si-C no se especifica el registro no se borra.
Con el cual podemos elaborar los siguientes comandos para guardar el log o limpiar el log.c:\>elsave –l system –F d:\system.log Mediante el cual guardamos el log system en la dirección d:\system.log c:\>elsave –s \\74.220.219.61 –l“Security” – C En este caso colocamos el ip del servidor donde está el log “security” y colocamos la
opción de limpiar el log. Nosotros no hemos borrados los registros del log pues borraría todo y sería una evidencia de que alguien intento algún ataque. Lo recomendable sería analizar el log y borrar solo donde aparecen nuestro acceso.
17
Seguridad Informática
2010 II
Prueba 2: uso del Paros proxy
18
Seguridad Informática
2010 II
19
