Automatisiertes Tool zur Informationssammlung für Penetrationstester

Videos :

https://www.youtube.com/watch?v=EUMKffaAxzs&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=4 https://www.youtube.com/watch?v=qCgW-SfYl1c&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=5 https://www.youtube.com/watch?v=98Soe01swR8&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=6 https://www.youtube.com/watch?v=9wft9zuh1f0&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=7

Pentester verbringen zu viel Zeit in der Informationssammlungsphase. Flashlight (Fener) bietet Dienste zum Scannen von Netzwerken/Ports und zur schnellen Informationssammlung in Zielnetzwerken. Daher sollte Flashlight die Wahl für die Automatisierung des Discovery-Schritts während eines Penetrationstests sein. In diesem Artikel wird die Verwendung der Flashlight-Anwendung erläutert.

Für weitere Informationen zur Verwendung von Flashlight kann die Option „-h" oder „-help" verwendet werden.

Die Parameter für die Verwendung dieser Anwendung sind unten aufgeführt:

• -h, --help: Zeigt Informationen zur Verwendung der Flashlight-Anwendung an.
• -p <ProjectName> oder --project < ProjectName>: Legt den Projektnamen mit dem angegebenen Namen fest. Dieser Parameter kann verwendet werden, um verschiedene Projekte in verschiedenen Arbeitsbereichen zu speichern.
• -s <ScanType> oder –scan_type < ScanType >: Legt den Scantyp fest. Es gibt vier Scantypen: Active Scan, Passive Scan, Screenshot Scan und Filtering. Diese Scantypen werden später im Detail untersucht.
• -d < DestinationNetwork>, --destination < DestinationNetwork >: Legt das Netzwerk oder die IP fest, gegen die der Scan durchgeführt wird.
• -c <FileName>, --config <FileName>: Gibt die Konfigurationsdatei an. Der Scan wird gemäß den Informationen in der Konfigurationsdatei durchgeführt.
• -u <NetworkInterface>, --interface < NetworkInterface>: Legt die Netzwerkschnittstelle fest, die beim passiven Scan verwendet wird.
• -f <PcapFile>, --pcap_file < PcapFile >: Legt die zu filternde PCAP-Datei fest.
• -r <RasterizeFile>, --rasterize < RasterizeFile>: Legt den spezifischen Speicherort der Rasterize-JavaScript-Datei fest, die für Screenshots verwendet wird.
• -t <ThreadNumber>, --thread <Threadnember>: Legt die Anzahl der Threads fest. Dieser Parameter ist nur im Screenshot-Scan-Modus gültig.
• -o <OutputDiectory>, --output < OutputDiectory >: Legt das Verzeichnis fest, in dem die Scanergebnisse gespeichert werden. Die Scanergebnisse werden in 3 Unterverzeichnissen gespeichert: Für Nmap-Scanergebnisse das Unterverzeichnis „nmap", für PCAP-Dateien das Unterverzeichnis „pcap" und für Screenshots das Unterverzeichnis „screen". Die Scanergebnisse werden in dem Verzeichnis gespeichert, das durch diesen Parameter unter den Ausgabeverzeichnissen angezeigt wird. Wenn diese Option nicht gesetzt ist, werden die Scanergebnisse in dem Verzeichnis gespeichert, in dem die Flashlight-Anwendungen ausgeführt werden.
• -a, --alive: Führt vor dem eigentlichen Schwachstellen-Scan einen Ping-Scan durch, um aktive IP-Adressen zu erkennen. Wird für den aktiven Scan verwendet.
• -g <DefaultGateway>, --gateway < DefaultGateway >: Identifiziert die IP-Adresse des Gateways. Wenn nicht gesetzt, wird die mit dem Parameter „-I“ angegebene Schnittstelle gewählt.
• -l <LogFile>, --log < LogFile >: Gibt die Protokolldatei zum Speichern der Scanergebnisse an. Wenn nicht gesetzt, werden Protokolle in der Datei „flashlight.log“ im Arbeitsverzeichnis gespeichert.
• -k <PassiveTimeout>, --passive_timeout <PassiveTimeout>: Gibt das Timeout für das Sniffen im passiven Modus an. Standardwert ist 15 Sekunden. Dieser Parameter wird für den passiven Scan verwendet.
• -m, --mim: Wird verwendet, um einen MITM-Angriff durchzuführen.
• -n, --nmap-optimize: Wird verwendet, um den Nmap-Scan zu optimieren.
• -v, --verbose: Zeigt detaillierte Informationen an.
• -V, --version: Gibt die Version des Programms an.

Installation

``` apt-get install nmap tshark tcpdump dsniff ```

Um phantomjs einfach zu installieren, können Sie es von https://bitbucket.org/ariya/phantomjs/downloads herunterladen und entpacken.

Die Flashlight-Anwendung kann 3 grundlegende Scantypen und 1 Analysetyp durchführen. Jeder von ihnen wird unten aufgeführt.

1) Passiver Scan

Beim passiven Scan werden keine Pakete in das Netzwerk gesendet. Diese Art von Scan wird zum Abhören des Netzwerks und Analysieren von Paketen verwendet.

Um einen passiven Scan mit Flashlight zu starten, sollte ein Projektname wie „passive-pro-01“ angegeben werden. Im folgenden Befehl werden Pakete, die von eth0 erfasst wurden, im Verzeichnis „/root/Desktop/flashlight/output/passive-project-01/pcap" gespeichert, während PCAP-Dateien und alle Protokolle im Verzeichnis „/root/Desktop/log“ gespeichert werden.

./flashlight.py -s passive -p passive-pro-01 -i eth0 -o /root/Desktop/flashlight_test -l /root/Desktop/log –v

Wenn der Scan abgeschlossen ist, werden ein neues Verzeichnis namens „flashlight_test" und eine Protokolldatei namens „log“ im Verzeichnis „/root/Desktop/" erstellt.

Die Verzeichnisstruktur von „flashlight_test“ ist wie unten dargestellt. Die PCAP-Datei wird im Verzeichnis „/root/Desktop/flashlight_test/output/passive-pro-01/pcap“ gespeichert. Diese PCAP-Datei kann für Analysezwecke verwendet werden. ls /root/Desktop/flashlight_test -R

Der Inhalt der Protokolldatei entspricht der Befehlszeilenausgabe:

Während des standardmäßigen passiven Scans werden Broadcast-Pakete und direkte Pakete an die Scan-Maschinen erfasst. Darüber hinaus kann mit dem Parameter „-mim/-m“ ein ARP-Spoofing- und MITM-Angriff durchgeführt werden.

./flashlight.py -s passive -p passive-project-02 -i eth0 -g 192.168.74.2 -m -k 50 -v

Durch die Analyse der erfassten PCAP-Datei kann der HTTP-Verkehr eingesehen werden.