Автоматизированный инструмент сбора информации для тестеров на проникновение

Видео :

https://www.youtube.com/watch?v=EUMKffaAxzs&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=4 https://www.youtube.com/watch?v=qCgW-SfYl1c&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=5 https://www.youtube.com/watch?v=98Soe01swR8&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=6 https://www.youtube.com/watch?v=9wft9zuh1f0&list=PL1BVM6VWlmWZOv9Hv8TV2v-kAlUmvA5g7&index=7

Тестеры на проникновение тратят слишком много времени на этапе сбора информации. Flashlight (Fener) предоставляет сервисы для сканирования сети/портов и быстрого сбора информации о целевых сетях. Таким образом, Flashlight должен быть выбором для автоматизации этапа обнаружения во время теста на проникновение. В этой статье будет объяснено использование приложения Flashlight.

Для получения дополнительной информации об использовании Flashlight можно использовать опцию "-h" или "-help".

Параметры для использования этого приложения перечислены ниже:

• -h, --help: Показывает информацию об использовании приложения Flashlight.
• -p <ProjectName> или --project < ProjectName>: Устанавливает имя проекта с указанным именем. Этот параметр можно использовать для сохранения разных проектов в разных рабочих областях.
• -s <ScanType> или --scan_type < ScanType >: Устанавливает тип сканирования. Существует четыре типа сканирования: Активное сканирование, Пассивное сканирование, Сканирование скриншотов и Фильтрация. Эти типы сканирования будут рассмотрены позже подробно.
• -d < DestinationNetwork>, --destination < DestinationNetwork >: Устанавливает сеть или IP, против которого будет выполняться сканирование.
• -c <FileName>, --config <FileName>: Указывает файл конфигурации. Сканирование выполняется в соответствии с информацией в файле конфигурации.
• -u <NetworkInterface>, --interface < NetworkInterface>: Устанавливает сетевой интерфейс, используемый во время пассивного сканирования.
• -f <PcapFile>, --pcap_file < PcapFile >: Устанавливает cap-файл, который будет отфильтрован.
• -r <RasterizeFile>, --rasterize < RasterizeFile>: Устанавливает конкретное расположение JavaScript-файла Rasterize, который будет использоваться для создания скриншотов.
• -t <ThreadNumber>, --thread <Threadnember>: Устанавливает количество потоков. Этот параметр действителен только в режиме сканирования скриншотов (screen scan).
• -o <OutputDiectory>, --output < OutputDiectory >: Устанавливает каталог, в который можно сохранить результаты сканирования. Результаты сканирования сохраняются в 3 подкаталогах: для результатов сканирования Nmap используется подкаталог "nmap", для файлов PCAP — подкаталог "pcap", а для скриншотов — подкаталог "screen". Результаты сканирования сохраняются в каталоге, указанном в выходных каталогах с помощью этого параметра. Если этот параметр не задан, результаты сканирования сохраняются в каталоге, где запускается приложение Flashlight.
• -a, --alive: Выполняет ping-сканирование для обнаружения активных IP-адресов перед фактическим сканированием уязвимостей. Используется для активного сканирования.
• -g <DefaultGateway>, --gateway < DefaultGateway >: Определяет IP-адрес шлюза. Если не задан, выбирается интерфейс с помощью параметра "-I".
• -l <LogFile>, --log < LogFile >: Указывает файл журнала для сохранения результатов сканирования. Если не задан, журналы сохраняются в файле "flashlight.log" в рабочем каталоге.
• -k <PassiveTimeout>, --passive_timeout <PassiveTimeout>: Указывает тайм-аут для сниффинга в пассивном режиме. Значение по умолчанию — 15 секунд. Этот параметр используется для пассивного сканирования.
• -m, --mim: Используется для выполнения MITM-атаки.
• -n, --nmap-optimize: Используется для оптимизации сканирования nmap.
• -v, --verbose: Используется для вывода подробной информации.
• -V, --version: Указывает версию программы.

Установка

``` apt-get install nmap tshark tcpdump dsniff ```

Чтобы легко установить phantomjs, вы можете загрузить и распаковать его с https://bitbucket.org/ariya/phantomjs/downloads.

Приложение Flashlight может выполнять 3 основных типа сканирования и 1 тип анализа. Каждый из них перечислен ниже.

1) Пассивное сканирование

При пассивном сканировании пакеты не отправляются в сеть. Этот тип сканирования используется для прослушивания сети и анализа пакетов.

Для запуска пассивного сканирования с помощью Flashlight необходимо указать имя проекта, например "passive-pro-01". В следующей команде пакеты, захваченные через eth0, сохраняются в каталог "/root/Desktop/flashlight/output/passive-project-01/pcap", а файлы Pcap и все журналы сохраняются в "/root/Desktop/log".

./flashlight.py -s passive -p passive-pro-01 -i eth0 -o /root/Desktop/flashlight_test -l /root/Desktop/log –v

После завершения сканирования в каталоге "/root/Desktop/" создаются новый каталог с именем "flashlight_test" и файл журнала с именем "log".

Структура каталога "flashlight_test" показана ниже. Файл PCAP сохраняется в каталог "/root/Desktop/flashlight_test/output/passive-pro-01/pcap". Этот файл PCAP можно использовать для целей анализа. ls /root/Desktop/flashlight_test -R

Содержимое файла журнала аналогично выводу командной строки:

Во время стандартного пассивного сканирования захватываются широковещательные пакеты и пакеты, направленные на сканируемые машины. Кроме того, с помощью параметра "-mim/-m" можно выполнить Arp Spoof и MITM-атаку.

./flashlight.py -s passive -p passive-project-02 -i eth0 -g 192.168.74.2 -m -k 50 -v

Анализируя захваченный файл PCAP, можно увидеть HTTP-трафик.