Pentester verbringen zu viel Zeit in der Phase der Informationssammlung. Flashlight (Fener) bietet Dienste zum schnellen Scannen von Netzwerken/Ports und zum Sammeln von Informationen über Zielnetzwerke. Daher sollte Flashlight die Wahl sein, um den Discovery-Schritt während eines Penetrationstests zu automatisieren. In diesem Artikel wird die Verwendung der Flashlight-Anwendung erläutert.
Automatisiertes Tool zur Informationssammlung für Penetrationstesterhttps://www.youtube.com/watch?v=EUMKffaAxzs&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=4 https://www.youtube.com/watch?v=qCgW-SfYl1c&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=5 https://www.youtube.com/watch?v=98Soe01swR8&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=6 https://www.youtube.com/watch?v=9wft9zuh1f0&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=7
Pentester verbringen zu viel Zeit in der Informationssammlungsphase. Flashlight (Fener) bietet Dienste zum Scannen von Netzwerken/Ports und zur schnellen Informationssammlung in Zielnetzwerken. Daher sollte Flashlight die Wahl für die Automatisierung des Discovery-Schritts während eines Penetrationstests sein. In diesem Artikel wird die Verwendung der Flashlight-Anwendung erläutert.
Für weitere Informationen zur Verwendung von Flashlight kann die Option „-h" oder „-help" verwendet werden.
Die Parameter für die Verwendung dieser Anwendung sind unten aufgeführt:
Um phantomjs einfach zu installieren, können Sie es von https://bitbucket.org/ariya/phantomjs/downloads herunterladen und entpacken.
Die Flashlight-Anwendung kann 3 grundlegende Scantypen und 1 Analysetyp durchführen. Jeder von ihnen wird unten aufgeführt.
Beim passiven Scan werden keine Pakete in das Netzwerk gesendet. Diese Art von Scan wird zum Abhören des Netzwerks und Analysieren von Paketen verwendet.
Um einen passiven Scan mit Flashlight zu starten, sollte ein Projektname wie „passive-pro-01“ angegeben werden. Im folgenden Befehl werden Pakete, die von eth0 erfasst wurden, im Verzeichnis „/root/Desktop/flashlight/output/passive-project-01/pcap" gespeichert, während PCAP-Dateien und alle Protokolle im Verzeichnis „/root/Desktop/log“ gespeichert werden.
./flashlight.py -s passive -p passive-pro-01 -i eth0 -o /root/Desktop/flashlight_test -l /root/Desktop/log –v
Wenn der Scan abgeschlossen ist, werden ein neues Verzeichnis namens „flashlight_test" und eine Protokolldatei namens „log“ im Verzeichnis „/root/Desktop/" erstellt.
Die Verzeichnisstruktur von „flashlight_test“ ist wie unten dargestellt. Die PCAP-Datei wird im Verzeichnis „/root/Desktop/flashlight_test/output/passive-pro-01/pcap“ gespeichert. Diese PCAP-Datei kann für Analysezwecke verwendet werden. ls /root/Desktop/flashlight_test -R
Der Inhalt der Protokolldatei entspricht der Befehlszeilenausgabe:
Während des standardmäßigen passiven Scans werden Broadcast-Pakete und direkte Pakete an die Scan-Maschinen erfasst. Darüber hinaus kann mit dem Parameter „-mim/-m“ ein ARP-Spoofing- und MITM-Angriff durchgeführt werden.
./flashlight.py -s passive -p passive-project-02 -i eth0 -g 192.168.74.2 -m -k 50 -v
Durch die Analyse der erfassten PCAP-Datei kann der HTTP-Verkehr eingesehen werden.
Durch Decodieren der Basic-Authentifizierungsnachricht werden Anmeldeinformationen für den Zugriff auf Webserver abgerufen.
Alle Parameter während des passiven Scans sind unten aufgeführt.
./flashlight.py -s passive -p passive-pro-03 -i eth0 -g 192.168.74.2 -m -k 50 -o /root/Desktop/flashlight_passive_full -l /root/Desktop/log -v
Während eines aktiven Scans werden NMAP-Skripte verwendet, indem die Konfigurationsdatei gelesen wird. Eine Beispielkonfigurationsdatei (flashlight.yaml) befindet sich im Verzeichnis „config” unter dem Arbeitsverzeichnis.
tcp_ports:
- 21, 22, 23, 25, 80, 443, 445, 3128, 8080
udp_ports:
- 53, 161
scripts:
- http-enum
screen_ports: - 80, 443, 8080, 8443
Gemäß der Konfigurationsdatei „flashlight.yaml“ führt der Scan gegen die TCP-Ports „21, 22, 23, 25, 80, 443, 445, 3128, 8080“, die UDP-Ports „53, 161“ und das Skript „http-enum“ mit NMAP durch.
Hinweis: Während des aktiven Scans ist die Option „screen_ports“ nutzlos. Diese Option funktioniert nur mit dem Screen-Scan.
Die Option „-a“ ist nützlich, um aktive Hosts durch Senden von ICMP-Paketen zu erkennen. Darüber hinaus erhöht die Erhöhung der Thread-Anzahl mit dem Parameter „-t“ die Scangeschwindigkeit.
./flashlight.py -p active-project -s active -d 192.168.74.0/24 –t 30 -a -v
Durch Ausführen dieses Befehls werden Ausgabedateien in drei verschiedenen Formaten (Normal, XML und Grepable) für vier verschiedene Scantypen (Betriebssystem-Scan, Ping-Scan, Port-Scan und Skript-Scan) erzeugt.
Die Beispielbefehle, die die Flashlight-Anwendung ausführt, können wie folgt angegeben werden:
Um einen effektiven und optimierten aktiven Scan durchzuführen, kann der Parameter „-n” verwendet werden:
./flashlight.py -p active-project -s active -d 192.168.74.0/24 -n -a –v
Der Parameter „-n” fügt zusätzliche NMAP-Optionen hinzu, die unten aufgeführt sind;
… -min-hostgroup 64 -min-parallelism 64 -host-timeout=300m -max-rtt-timeout=600ms -initial-rtt-timeout=300ms -min-rtt-timeout=300ms -max-retries=2 -min-rate=150 …
Screen Scan wird verwendet, um Screenshots von Websites/Anwendungen zu erstellen, indem die Anweisungen in der Konfigurationsdatei (flashlight.yaml) verwendet werden. Die Anweisungen in dieser Datei ermöglichen den Screen-Scan für vier Ports („80, 443, 8080, 8443“)
screen_ports:
- 80, 443, 8080, 8443
Ein Beispiel für einen Screen-Scan kann wie folgt durchgeführt werden:
./flashlight.py -p project -s screen -d 192.168.74.0/24 -r /usr/local/rasterize.js -t 10 -v
Angenommen, durch Ausführen dieses Befehls werden drei Webanwendungen erkannt. Screenshots dieser Websites werden im Unterordner „screen“ gespeichert. Diese Screenshots können für eine Offline-Analyse verwendet werden.
./flashlight.py -p filter-project -s filter -f /root/Desktop/flashlight/output/passive-project-02/pcap/20150815072543.pcap -v
Durch Ausführen dieses Befehls werden einige Dateien im Unterordner „filter“ erstellt.
Diese Option analysiert PCAP-Pakete gemäß den folgenden Eigenschaften: