|
|
Le reniflement est une autre technique à employer intérieurement. Une utilité de capture de renifleur ou de paquet peut capturer n'importe quel trafic voyageant le long du segment de réseau auquel il est relié. Nous installons normalement des renifleurs dans toute l'organisation pour capturer le trafic de réseau, espérant identifier l'information valable telle que des identifications d'utilisateur et des mots de passe. Nous employons le reniflement pour capturer passivement des données étant envoyées à travers le réseau interne. Les ordinateurs portatifs sont habituellement la plateforme idéale puisqu'ils sont portatifs et faciles à cacher. Le système n'a pas besoin même d'un IP address puisqu'il capture passivement le trafic. La machine de reniflement copie les données sans modifier son contenu et est difficile à détecter même avec le logiciel sophistiqué de détection d'intrusion. Il y a des programmes, tels qu'antiSniff, qui ont un certain succès en détectant des renifleurs.
Les environnements commutés d'Ethernet réduisent le risque de capture de paquet. Puisque le renifleur peut capturer le trafic seulement sur son même segment de réseau, un renifleur dans un environnement commuté peut voir seulement le trafic destiné pour lui. Cependant, dans un environnement partagé ou l'environnement mélangé, les renifleurs peuvent être très utiles pour capturer le trafic valable. En outre, le dsniff, écrit par chanson creusée, peut renifler à travers des commutateurs. Les utilisations de dsniff de techniques de renifler sur des segments commutés peuvent causer des états de démenti-de-service et devraient donc être employées avec précaution pendant l'essai de pénétration.
N'importe quel trafic de réseau qui est transmis en texte clair est susceptible du reniflement. Le telnet, le ftp, et d'autres sessions de texte en clair fournissent des informations valables. Le renifleur peut capturer un telnet complet et la session de ftp, y compris le nom d'utilisateur et le mot de passe. En outre, le E-mail reniflé et le trafic de HTTP peuvent rapporter les mots de passe ou les indices réels qui permettent à des mots de passe d'être devinés. Le E-mail reniflé peut également rapporter le matériel confidentiel, les sujets légaux, ou toute autre information qui devrait normalement être chiffrée.
Si la pensée que cette information peut être saisie de votre réseau vous concerne, le renifleur de capture de L0phtCrack's SMB vous concernera sûrement. Le renifleur de mot de passe de NT, capture de SMB, dans L0phtCrack peut renifler des mots de passe de NT directement du réseau. Si les mots de passe sont faibles (par exemple, mot de dictionnaire, short, un nombre à l'extrémité), L0phtCrack pourra fendre les mots de passe dans des minutes. Si les mots de passe sont forts (mélange des lettres majuscules et minuscules, des caractères spéciaux) il pourrait prendre des mois pour qu'ils soient fendus. Le fait que la plupart des mots de passe de l'utilisation LANMAN de réseaux de NT fait à des sujets plus mauvais encore. Des mots de passe de LANMAN sont exigés pour être envoyés quand les clients non-NT (Windows 9x) doivent authentifier aux serveurs de NT. Les mots de passe de LANMAN ne sont pas cas sensible et sont donc plus faciles à fendre. Au début du scénario d'essai interne, commencez la capture de SMB pour commencer à capturer et fendre les mots de passe de NT.
Normalement nous installons un renifleur dans la salle d'essai où nous sommes situés pendant l'essai. En outre, nous essayons de trouver un autre segment de réseau avec les données critiques ou le trafic à fort débit de réseau sur lesquels pour placer un renifleur. Souvent, les segments de réseau qui sont reliés au centre de calculs, les zones du travail des interfaces gestionnaire, les services juridiques, les départements humains de relations, ou la haute direction font d'excellentes cibles pour des renifleurs. La clef doit trouver un endroit dans lequel pour placer le renifleur où on ne le notera pas. Si des cabinets de réseau peuvent être consultés, vous pourriez brancher le renifleur directement à un port de commutateur ou de moyeu et essayer de cacher le renifleur de façon ou d'autre. Puisque la plupart des cabinets de réseau sont verrouillés, nous finissons habituellement vers le haut de cacher le renifleur dans un bureau, un compartiment, ou une salle de conférence vide. Occasionnellement, nous avons caché des renifleurs sous des podiumes dans des salles de conférence. Souvent il y a tant de fils sortant du podiume, personne note un frais supplémentaires.
Une fois que le renifleur est installé dans le site éloigné, vous devez trouver une manière de rechercher les données d'elle. Vous pouvez retourner et prendre le renifleur plus tard et lire les données, employer un manuscrit au ftp il à intervalles réguliers, ou employer un programme de télécommande pour retourner et rechercher les données et configurer le système comme nécessaire. L'utilisation des programmes de télécommande sur ces renifleurs cachés est tout à fait efficace. Ces programmes vous permettent périodiquement de vérifier les données que vous recevez du renifleur et de faire des changements à la configuration pendant que vous apprenez plus au sujet du réseau. Par exemple, si vous voyez les sessions d'ouverture qui emploient le passwd “de syntaxe,” vous pouvez filtrer un trafic reniflé en utilisant le ngrep ou une commande de filtrage différente de capturer ce trafic dans un dossier. Plus que vous pouvez placer sur le renifleur filtres, plus facile il sera d'analyser les données. Cependant, fassiez attention à ne pas rendre vos filtres trop restrictifs ou vous pouvez manquer des données critiques.
L'essai interne est tout comme une série de vulnérabilités liées. Une fois que vous gagnez l'accès d'administrateur sur un système, les systèmes additionnels commencent à tomber. Heureusement pour l'appareil de contrôle et malheureusement pour l'organisation, les mots de passe d'administrateur sur beaucoup de systèmes tendent à être les mêmes dans l'organisation. En plus, il y a habituellement au moins un compte de chaque système compromis qui travaillera sur un autre système. Pour vous commencez à fendre des systèmes, établissez une liste d'information qui peut être utile en attaquant d'autres systèmes : noms de compte, mots de passe, dossiers qui peuvent offrir des conseils de mot de passe, services vulnérables, et ainsi de suite. En outre, recherchez les rapports de confiance entre les systèmes. Souvent un système que nous avons précédemment balayé d'un ordinateur portatif qui a montré qu'aucune volonté ouverte de ports n'ont soudainement beaucoup de ports ouverts une fois balayée d'un système compromis. C'est dû au fait que le système peut avoir des rapports de confiance ou peut employer le filtrage pour permettre seulement à certains hôtes de se relier à ces services. , soyez par conséquent sûr de charger votre kit d'intrus sur le centre serveur compromis et de commencer la phase de découverte sur les systèmes restants.
Online: 963 users browsing the articles directory
|
|