Outil automatisé de collecte d’informations pour testeurs d’intrusion

Vidéos :

https://www.youtube.com/watch?v=EUMKffaAxzs&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=4 https://www.youtube.com/watch?v=qCgW-SfYl1c&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=5 https://www.youtube.com/watch?v=98Soe01swR8&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=6 https://www.youtube.com/watch?v=9wft9zuh1f0&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=7

Les testeurs d’intrusion passent trop de temps pendant la phase de collecte d’informations. Flashlight (Fener) fournit des services pour scanner les réseaux/ports et collecter rapidement des informations sur les réseaux cibles. Flashlight devrait donc être le choix pour automatiser l’étape de découverte lors d’un test d’intrusion. Dans cet article, l’utilisation de l’application Flashlight sera expliquée.

Pour plus d’informations sur l’utilisation de Flashlight, l’option « -h » ou « -help » peut être utilisée.

Les paramètres pour l’utilisation de cette application peuvent être listés ci-dessous :

• -h, --help : Affiche les informations sur l’utilisation de l’application Flashlight.
• -p <ProjectName> ou --project < ProjectName> : Définit le nom du projet avec le nom donné. Ce paramètre peut être utilisé pour enregistrer différents projets dans différents espaces de travail.
• -s <ScanType> ou –scan_type < ScanType > : Définit le type de scan. Il existe quatre types de scans : Scan actif, Scan passif, Scan de captures d’écran et Filtrage. Ces types de scans seront examinés en détail plus tard.
• -d < DestinationNetwork>, --destination < DestinationNetwork > : Définit le réseau ou l’adresse IP sur lequel le scan sera exécuté.
• -c <FileName>, --config <FileName> : Spécifie le fichier de configuration. Le scan est réalisé selon les informations du fichier de configuration.
• -u <NetworkInterface>, --interface < NetworkInterface> : Définit l’interface réseau utilisée pendant le scan passif.
• -f <PcapFile>, --pcap_file < PcapFile > : Définit le fichier .cap qui sera filtré.
• -r <RasterizeFile>, --rasterize < RasterizeFile> : Définit l’emplacement spécifique du fichier JavaScript Rasterize qui sera utilisé pour prendre des captures d’écran.
• -t <ThreadNumber>, --thread <Threadnember> : Définit le nombre de threads. Ce paramètre est valide uniquement en mode scan de captures d’écran (screen scan).
• -o <OutputDiectory>, --output < OutputDiectory > : Définit le répertoire dans lequel les résultats du scan peuvent être sauvegardés. Les résultats du scan sont sauvegardés dans 3 sous-répertoires : Pour les résultats du scan Nmap, le sous-répertoire « nmap », pour les fichiers PCAP le sous-répertoire « pcap » et pour les captures d’écran le sous-répertoire « screen ». Les résultats du scan sont sauvegardés dans le répertoire indiqué sous les répertoires de sortie par ce paramètre. Si cette option n’est pas définie, les résultats du scan sont sauvegardés dans le répertoire où les applications Flashlight sont exécutées.
• -a, --alive : Effectue un ping scan pour découvrir les adresses IP actives avant le scan de vulnérabilité proprement dit. Utilisé pour le scan actif.
• -g <DefaultGateway>, --gateway < DefaultGateway > : Identifie l’adresse IP de la passerelle. S’il n’est pas défini, l’interface avec le paramètre « -I » est choisie.
• -l <LogFile>, --log < LogFile > : Spécifie le fichier journal pour sauvegarder les résultats du scan. S’il n’est pas défini, les journaux sont sauvegardés dans le fichier « flashlight.log » dans le répertoire de travail.
• -k <PassiveTimeout>, --passive_timeout <PassiveTimeout> : Spécifie le délai d’attente pour l’écoute en mode passif. La valeur par défaut est de 15 secondes. Ce paramètre est utilisé pour le scan passif.
• -m, --mim : Utilisé pour effectuer une attaque MITM.
• -n, --nmap-optimize : Utilisé pour optimiser le scan nmap.
• -v, --verbose : Utilisé pour lister les informations détaillées.
• -V, --version : Spécifie la version du programme.

Installation

Pour installer phantomjs facilement, vous pouvez le télécharger et l’extraire depuis https://bitbucket.org/ariya/phantomjs/downloads.

L’application Flashlight peut effectuer 3 types de scans de base et 1 type d’analyse. Chacun d’eux est listé ci-dessous.

1) Scan passif

Lors du scan passif, aucun paquet n’est envoyé sur le réseau. Ce type de scan est utilisé pour écouter le réseau et analyser les paquets.

Pour lancer un scan passif avec Flashlight, un nom de projet doit être spécifié, par exemple « passive-pro-01 ». Dans la commande suivante, les paquets capturés par eth0 sont sauvegardés dans le répertoire « /root/Desktop/flashlight/output/passive-project-01/pcap », tandis que les fichiers PCAP et tous les journaux sont sauvegardés dans le répertoire « /root/Desktop/log ».

./flashlight.py -s passive -p passive-pro-01 -i eth0 -o /root/Desktop/flashlight_test -l /root/Desktop/log –v

Lorsque le scan est terminé, un nouveau répertoire nommé « flashlight_test » et un fichier journal nommé « log » sont créés dans le répertoire « /root/Desktop/ ».

La structure du répertoire « flashlight_test » est la suivante. Le fichier PCAP est sauvegardé dans le répertoire « /root/Desktop/flashlight_test/output/passive-pro-01/pcap ». Ce fichier PCAP peut être utilisé à des fins d’analyse. ls /root/Desktop/flashlight_test -R

Le contenu du fichier journal ressemble à la sortie de la ligne de commande :

Lors du scan passif standard, les paquets de diffusion et les paquets directs vers les machines scannées sont capturés. En plus de cela, en utilisant le paramètre « -mim/-m », une attaque ARP Spoof et MITM peut être effectuée.

./flashlight.py -s passive -p passive-project-02 -i eth0 -g 192.168.74.2 -m -k 50 -v

En analysant le fichier PCAP capturé, le trafic HTTP peut être observé.

En décodant le message d’authentification de base, les informations d’identification indiquant les droits d’accès aux serveurs web seront obtenues.

Tous les paramètres pendant le scan passif sont listés ci-dessous.

./flashlight.py -s passive -p passive-pro-03 -i eth0 -g 192.168.74.2 -m -k 50 -o /root/Desktop/flashlight_passive_full -l /root/Desktop/log -v

2) Scan actif

Lors d’un scan actif, les scripts NMAP sont utilisés en lisant le fichier de configuration. Un exemple de fichier de configuration (flashlight.yaml) est stocké dans le répertoire « config » sous le répertoire de travail.

tcp_ports:

   - 21, 22, 23, 25, 80, 443, 445, 3128, 8080

udp_ports:

   - 53, 161

scripts:

   - http-enum

screen_ports: - 80, 443, 8080, 8443

Selon le fichier de configuration « flashlight.yaml », le scan s’exécute sur les ports TCP « 21, 22, 23, 25, 80, 443, 445, 3128, 8080 », les ports UDP « 53, 161 », le script « http-enum » en utilisant NMAP.

Remarque : Pendant le scan actif, l’option « screen_ports » est inutile. Cette option fonctionne uniquement avec le scan d’écran.

L’option « -a » est utile pour découvrir les hôtes actifs en envoyant des paquets ICMP. De plus, augmenter le nombre de threads à l’aide du paramètre « -t » accélère la vitesse du scan.

./flashlight.py -p active-project -s active -d 192.168.74.0/24 –t 30 -a -v

En exécutant cette commande, les fichiers de sortie dans trois formats différents (Normal, XML et Grepable) sont émis pour quatre types de scans différents (Scan du système d’exploitation, Ping scan, Scan de ports et Scan de scripts).

Les exemples de commandes que l’application Flashlight exécute peuvent être donnés comme suit :

• Scan du système d’exploitation : /usr/bin/nmap -n -Pn -O -T5 -iL /tmp/"IPListFile" -oA /root/Desktop/flashlight/output/active-project/nmap/OsScan-"Date"
• Ping scan : /usr/bin/nmap -n -sn -T5 -iL /tmp/"IPListFile" -oA /root/Desktop/flashlight/output/active-project/nmap/PingScan-"Date"
• Scan de ports : /usr/bin/nmap -n -Pn -T5 --open -iL /tmp/"IPListFile" -sS -p T:21,22,23,25,80,443,445,3128,8080,U:53,161 -sU -oA /root/Desktop/flashlight/output/active-project/nmap/PortScan-"Date"
• Scan de scripts : /usr/bin/nmap -n -Pn -T5 -iL /tmp/"IPListFile" -sS -p T:21,22,23,25,80,443,445,3128,8080,U:53,161 -sU --script=default,http-enum -oA /root/Desktop/flashlight/output/active-project/nmap/ScriptScan-"Date"

Pour exécuter un scan actif efficace et optimisé, le paramètre « -n » peut être utilisé :

./flashlight.py -p active-project -s active -d 192.168.74.0/24 -n -a –v

Le paramètre « -n » ajoute des options NMAP supplémentaires qui sont affichées ci-dessous ;

… -min-hostgroup 64 -min-parallelism 64 -host-timeout=300m -max-rtt-timeout=600ms -initial-rtt-timeout=300ms -min-rtt-timeout=300ms -max-retries=2 -min-rate=150 …

3) Scan d’écran

Le scan d’écran est utilisé pour prendre des captures d’écran de sites/applications web en utilisant les directives du fichier de configuration (flashlight.yaml). Les directives dans ce fichier fournissent un scan d’écran pour quatre ports (« 80, 443, 8080, 8443 »)

screen_ports:

   - 80, 443, 8080, 8443

Un exemple de scan d’écran peut être effectué comme ceci :

./flashlight.py -p project -s screen -d 192.168.74.0/24 -r /usr/local/rasterize.js -t 10 -v

Par exemple, supposons qu’en exécutant cette commande, trois applications web sont détectées. Les captures d’écran de ces sites web sont sauvegardées dans le sous-dossier « screen ». Ces captures d’écran peuvent être utilisées pour une analyse hors ligne.

4) Filtrage

./flashlight.py -p filter-project -s filter -f /root/Desktop/flashlight/output/passive-project-02/pcap/20150815072543.pcap -v

En exécutant cette commande, certains fichiers sont créés dans le sous-dossier « filter ».

Cette option analyse les paquets PCAP selon les propriétés suivantes :

• Hôtes Windows
• Top 10 des requêtes DNS

Remerciements :

• Bahtiyar Bircan
• Bedirhan Urgun
• Ertugrul Basaranoglu
• Johan Nestaas