Outil automatisé de collecte d’informations pour testeurs d’intrusion

Vidéos :

https://www.youtube.com/watch?v=EUMKffaAxzs&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=4 https://www.youtube.com/watch?v=qCgW-SfYl1c&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=5 https://www.youtube.com/watch?v=98Soe01swR8&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=6 https://www.youtube.com/watch?v=9wft9zuh1f0&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=7

Les testeurs d’intrusion passent trop de temps pendant la phase de collecte d’informations. Flashlight (Fener) fournit des services pour scanner les réseaux/ports et collecter rapidement des informations sur les réseaux cibles. Flashlight devrait donc être le choix pour automatiser l’étape de découverte lors d’un test d’intrusion. Dans cet article, l’utilisation de l’application Flashlight sera expliquée.

Pour plus d’informations sur l’utilisation de Flashlight, l’option « -h » ou « -help » peut être utilisée.

Les paramètres pour l’utilisation de cette application peuvent être listés ci-dessous :

• -h, --help : Affiche les informations sur l’utilisation de l’application Flashlight.
• -p <ProjectName> ou --project < ProjectName> : Définit le nom du projet avec le nom donné. Ce paramètre peut être utilisé pour enregistrer différents projets dans différents espaces de travail.
• -s <ScanType> ou –scan_type < ScanType > : Définit le type de scan. Il existe quatre types de scans : Scan actif, Scan passif, Scan de captures d’écran et Filtrage. Ces types de scans seront examinés en détail plus tard.
• -d < DestinationNetwork>, --destination < DestinationNetwork > : Définit le réseau ou l’adresse IP sur lequel le scan sera exécuté.
• -c <FileName>, --config <FileName> : Spécifie le fichier de configuration. Le scan est réalisé selon les informations du fichier de configuration.
• -u <NetworkInterface>, --interface < NetworkInterface> : Définit l’interface réseau utilisée pendant le scan passif.
• -f <PcapFile>, --pcap_file < PcapFile > : Définit le fichier .cap qui sera filtré.
• -r <RasterizeFile>, --rasterize < RasterizeFile> : Définit l’emplacement spécifique du fichier JavaScript Rasterize qui sera utilisé pour prendre des captures d’écran.
• -t <ThreadNumber>, --thread <Threadnember> : Définit le nombre de threads. Ce paramètre est valide uniquement en mode scan de captures d’écran (screen scan).
• -o <OutputDiectory>, --output < OutputDiectory > : Définit le répertoire dans lequel les résultats du scan peuvent être sauvegardés. Les résultats du scan sont sauvegardés dans 3 sous-répertoires : Pour les résultats du scan Nmap, le sous-répertoire « nmap », pour les fichiers PCAP le sous-répertoire « pcap » et pour les captures d’écran le sous-répertoire « screen ». Les résultats du scan sont sauvegardés dans le répertoire indiqué sous les répertoires de sortie par ce paramètre. Si cette option n’est pas définie, les résultats du scan sont sauvegardés dans le répertoire où les applications Flashlight sont exécutées.
• -a, --alive : Effectue un ping scan pour découvrir les adresses IP actives avant le scan de vulnérabilité proprement dit. Utilisé pour le scan actif.
• -g <DefaultGateway>, --gateway < DefaultGateway > : Identifie l’adresse IP de la passerelle. S’il n’est pas défini, l’interface avec le paramètre « -I » est choisie.
• -l <LogFile>, --log < LogFile > : Spécifie le fichier journal pour sauvegarder les résultats du scan. S’il n’est pas défini, les journaux sont sauvegardés dans le fichier « flashlight.log » dans le répertoire de travail.
• -k <PassiveTimeout>, --passive_timeout <PassiveTimeout> : Spécifie le délai d’attente pour l’écoute en mode passif. La valeur par défaut est de 15 secondes. Ce paramètre est utilisé pour le scan passif.
• -m, --mim : Utilisé pour effectuer une attaque MITM.
• -n, --nmap-optimize : Utilisé pour optimiser le scan nmap.
• -v, --verbose : Utilisé pour lister les informations détaillées.
• -V, --version : Spécifie la version du programme.

Installation

``` apt-get install nmap tshark tcpdump dsniff ```

Pour installer phantomjs facilement, vous pouvez le télécharger et l’extraire depuis https://bitbucket.org/ariya/phantomjs/downloads.

L’application Flashlight peut effectuer 3 types de scans de base et 1 type d’analyse. Chacun d’eux est listé ci-dessous.

1) Scan passif

Lors du scan passif, aucun paquet n’est envoyé sur le réseau. Ce type de scan est utilisé pour écouter le réseau et analyser les paquets.

Pour lancer un scan passif avec Flashlight, un nom de projet doit être spécifié, par exemple « passive-pro-01 ». Dans la commande suivante, les paquets capturés par eth0 sont sauvegardés dans le répertoire « /root/Desktop/flashlight/output/passive-project-01/pcap », tandis que les fichiers PCAP et tous les journaux sont sauvegardés dans le répertoire « /root/Desktop/log ».

./flashlight.py -s passive -p passive-pro-01 -i eth0 -o /root/Desktop/flashlight_test -l /root/Desktop/log –v

Lorsque le scan est terminé, un nouveau répertoire nommé « flashlight_test » et un fichier journal nommé « log » sont créés dans le répertoire « /root/Desktop/ ».

La structure du répertoire « flashlight_test » est la suivante. Le fichier PCAP est sauvegardé dans le répertoire « /root/Desktop/flashlight_test/output/passive-pro-01/pcap ». Ce fichier PCAP peut être utilisé à des fins d’analyse. ls /root/Desktop/flashlight_test -R

Le contenu du fichier journal ressemble à la sortie de la ligne de commande :

Lors du scan passif standard, les paquets de diffusion et les paquets directs vers les machines scannées sont capturés. En plus de cela, en utilisant le paramètre « -mim/-m », une attaque ARP Spoof et MITM peut être effectuée.

./flashlight.py -s passive -p passive-project-02 -i eth0 -g 192.168.74.2 -m -k 50 -v