Инструмент для тестирования безопасности устройств самообслуживания

Вышел новый iKAT или иначе Interactive Kiosk Attack Tool.  Предназначена эта система для тестирования безопасности разного рода киосков, терминалов самоообслуживания и прочих подобных устройств. 

Почитать про iKAT, оценить его возможности онлайн и скачать Desktop-версию можно по ссылке - http://ikat.ha.cked.net

Думаю что коллегам из банков и разного рода платежных операторов эта штука может оказаться полезной. 

Вот небольшое видео про iKAT:

Stonesoft Evader: А насколько прочны ваши межсетевые экраны ?

Некоторое время назад я писал о поездке в Финляндию, которую организовала компания Stonesoft. Помимо всякой развлекухи вроде знакомства с красотами города и игры в хакеров в тестовой лаборатории в рамках данного мероприятия у нас была небольшая лекция от эксперта компании Stonesoft, Olli-Pekka Niemi, по поводу продвинутых техник обхода различных сетевых фильтров (AET). 

В качестве инструмента для моделирования подобных техник коллеги показали нам так называемый Predator. Конечно заполучить его очень хотелось, но нам сказали, что это секретное оружие Stonesoft, которое они никому не дают (ну под тем предлогом, чтобы не в те руки не попало). 

И вот на днях я натыкаюсь на интересный сайт - http://evader.stonesoft.com/.  Ба, да это же тот самый Predator.  

С указанного сайта можно скачать виртуалку, с уже предустановленным инструментарием, которая может использоваться для тестирования возможностей обхода ваших сетевых экранов. В самом простом варианте схема тестирования выглядит следующим образом:

На указанной схеме 1 - это атакующая машина, 2 - цель атаки.  Загруженная с сайта виртуалка может играть роль и атакующего и жерты. Т.е. задача атакующего направить трафик на цель атаки через тестируемое устройство, а виртуалка на целевом узле уже будет определять какие техники обхода оказались успешными. 

Техник там огромное количество, а если учесть, что их можно комбинировать, то вообще получается просто бездна возможных вариантов (конечно же работать будут далеко не все). Вот собственно как выглядит интерфейс системы:

Инструмент просто отличный и с точки зрения реального аудита сетевой безопасности просто крайне необходимый. Рад, что эксперты Stonesoft не зажали разместили его в свободном доступе. 

Удачного вам тестирования, коллеги. Думаю что результаты вас очень удивят.

Firefox для пентестера

Firefox довольно удобный браузер, но благодаря разного рода надстройкам его функционал может быть безгранично расширен. И среди множества надстроек есть немалое количество тех, которые могут пригодится специалистам по аудиту информационной безопасности.

Хочу представить вам, коллеги, проект FireCAT (Firefox Catalog of Auditing exTensions) - ссылка, в рамках которого его участники занимаются сбором и систематизацией полезных надстроек для Firefox. 

Вот лишь некоторые из них:

1) Firebug

Надстройка позволяет детально анализировать все файлы и скрипты загружаемые в браузер. Обязательная вещь при тестировании веб-приложений.

2) Hackbar

Полезная надстройка для проведения атак типа SQL-Injection и XSS. Помимо этого еще содержит функции по кодированию/декодированию URL-ов и др. полезные штуки.

3) Tamper Data

Позволяет просматривать и изменять HTTP/HTTPS-заголовки и параметры POST-запросов "на лету"

4) OSVDB

Поиск по базе Open Source Vulnerability Database

5) Packet Storm search plugin

Поиск по базе эксплоитов "Packet Storm"

6) Offsec Exploit-db Search

Поиск по базе эксплоитов Exploit-db

7) Cookie Watcher

Просмотр кукисов веб-сайта

8) XSS Me

Надстройка для тестирования на XSS-уязвимости

9) SQL Inject Me

Надстройка для тестирования на  SQL-Injection

10) Wappalyzer

Определение технологий и приложений, которые используются на исследуемом веб-сайте

11) Javascript Deobfuscator

Деобфускатор JavaScript-кода

12) FoxyProxy

Продвинутый инструмент для переключения между прокси-серверами

13) CryptoFox

Инструмент шифровки/дешифровки для взлома MD5-паролей

14) WorldIP

Сетевые инструменты для определения IP-адреса, физического размещения веб-сервера, выполнения команд Ping,Traceroute,RDNS,AS etc.

15) Default Passwords

Поиск по базе дефолтных паролей на CIRT.net

Тестирование на уязвимости веб-приложений

На мой взгляд тестирование веб-приложений - одна из наиболее перспективных тем в области проведения тестов на проникновение. Веб становится универсальным прикладным интерфейсом (взять те же облака и SaaS решения, везде веб-технологии). Практически все системы ДБО - это веб-приложения. При этом в нашей, российской блогосфере как-то не часто поднимаются вопросы безопасности веб-приложений. Странно... 

Мне тут попалась на глаза интересная подборка методологий, инструментов и тестовых фреймворков, относящихся к проверке на уязвимость веб-приложений. 

Смотреть тут. 

Вообще тем, кто интересуется тематикой взлома веб-приложений рекомендую прочитать вот эту книжку.

Солдаты кибер-войны

Сегодня по новостным лентам прошла парочка интересных новостей:

1) Как передает информационное агентство Bloomberg со ссылкой на одно из правительственных ведомств США, за последние несколько лет неизвестными злоумышленниками были взломаны системы управления четырьмя американскими спутниками. Непрямые улики указывают на то, что в каждой из этих атак участвовали китайские хакеры. Источник - http://www.securitylab.ru/news/409126.php

2) Баронесса Невилл-Джонс (Neville-Jones) заявила, что Россия и Китай имеют отношение к масштабной хакерской атаке на компьютерные системы Министерства иностранных дел Великобритании и ряда других ведомств, которые были проведены летом текущего года. Источник - http://www.securitylab.ru/news/409473.php

Конечно же представители Китая оперативно выступили с опровержением, но интересно тут другое.

Разговоры о серьезной кибер-угрозе, которая исходит от Китая, идут уже давно. Считается, что Китай готовит целую армию хакеров, которые должны будут включиться в борьбу в кибер-войне, которая может случиться в ближайшей перспективе. Вспомним опять же операцию "Аврора" и последующий скандал и выход Google из Китая.

Вопрос к читателям блога: вы верите, что Китай целенаправленно готовит специалистов для проведения кибер-атак в целях шпионажа (в т.ч. коммерческого) ? Или это ни что иное как транснациональные группировки кибер-преступников, которые всего лишь скрываются за личиной китайских или русских "хакеров".

Что лично смущает меня. Сообщения о нападении китайских хакеров на западные ресурсы и компании появляются с завидной регулярностью, но в отношении российских - полная тишина. В чем причина ? Мы так хорошо защищены ? Сомнительно, лично мне думается, что мы менее других стран подготовлены к кибер-атакам, потому что

а) у нас этой проблемой никто не занимается, в то время как в других странах это вопрос поднят на уровень президента и правительства

б) в государственных структурах у нас работают (к сожалению) не самые выдающиеся эксперты, а нормативные требования наших регуляторов не способствуют организации защиты, отвечающей требованиям современности

То, что в будущем экономические/политические войны могут усилится - думаю это факт и то, что в этих войнах хакеры, целью которых будет хищение секретов или вывод систем конкурентов из строя, станут неотъемлемой частью, думаю что тоже факт.

Пора начинать готовится к "светлому будущему", коллеги :)

Украденный ноутбук можно попытаться вернуть

Попалась на глаза интересная статейка по поводу того, как у специалиста по информационной безопасности увели ноутбук, но только воришка не учел с кем имеет дело. Парень смог собрать всю необходимую информацию о похитителе с помощью специальной програмки, которая стояла у него на ноуте. Читать тут (статья на английском).

Случай кстати это далеко не единичный и специальные сервисы по отслеживанию мобильного оборудования существуют уже не первый год. Есть даже такие, которые рассчитаны на корпоративный сектор. Есть и open source решения вроде вот этого.

P.S. Кстати по статистике ФБР в Америке в среднем каждые 43 секунды обращаются в полицию по поводу кражи ноутбука.

В библиотеку пентестеру

В последнее время вышли две книги, которые могут быть интересны тем, кто интересуется вопросами выявления уязвимостей и проведения тестов на проникновение.

1) Penetration Tester's Open Source Toolkit, Third Edition

Книжка доступна на Amazon. В свое время я читал первую ее редакцию и вот уже выходит третья. Посвящена книга описанию инструментов пентестера на базе открытого кода (читай бесплатных).

2) Metasploit: The Penetration Tester's Guide

Книжка также доступна на Amazon. Посвящена она довольно известному хакерскому фреймворку - Metasploit. Книжек про Metasploit выходило за последние годы не так много, хотя этот фреймворк необычайно популярен, и вот наконец что-то свежее.

Так как я сам с этими книгами пока ознакомиться не успел, то никакой рецензии от себя дать не могу.

Как проверить не "сливает" ли Ваш сайт информацию в поисковик

Недавняя шумиха, произошедшая с "утечкой" сперва SMS, отправленных с сайта Мегафона, а потом и разной другой информации из секс-шопов, билетных онлайн-касс и проч. стал каким-то откровением пожалуй только для неискушенной публики, да рядовых граждан. Специалисты уже давно осведомлены о возможностях индексации разнообразной интересной информации в поисковых системах и вопрос применения различных хитрых запросов для ее извлечения обсуждается уже оооочень много лет.

Не знаю началось ли это с него, но человеком прославившимся на гугло-хакинге (Google Hacking) был хакер по имени Johny Long, известный под ником j0hnny (вот тут краткая статья о нем из wikipedia). Он в свое время активно развивал эту тему и даже создал базу данных различных запросов, позволяющих добывать интересную информацию из поисковика. База жива до сих пор, хотя Джонни отошел от дел и сейчас занимается благотворительностью в рамках организации Hackers for Charity.

Очень хорошая книжка есть о гугло-хакинге, которая так и называется Google Hacking for Penetration Testers (посмотреть можно тут). К этой книге также приложил руку Джонни.

Но запросы запросами, а хакеры народ ленивый и им руками набивать все не хочется, поэтому периодически в сети стали появляться различные инструменты, позволяющие используя базу запросов искать проиндексированную информацию. Большинство из этих инструментов уже давно не работают из-за изменений в Google API.

Последним на моей памяти работающим инструментом был Goolag, разработанный хакерской группой Cult of the Dead Cow. Но он похоже уже тоже приказал долго жить.

И вот буквально на днях на хакерской конференции BlackHat 2011 были представлены новые инструменты для поиска информации через запросы к поисковикам Bing и Google - Google Hacking Diggity Project.

Используя эти инструменты у вас есть реальная возможность посмотреть что же интересного утекло/утекает с Вашего сайта в публичный доступ (поисковик).

Интерфейс программы выглядит следующим образом:

P.S. Аналогичных инструментов для отправки запросов в Яндекс я не встречал, если кто-то знает, напишите, очень интересно.

P.P.S Да и еще, очень много пишется что нужно прописать запрет на индексацию в robots.txt и будет все отлично. Господа, конечно от поискового бота это спасет, но реальный злоумышленник заглянув в этот файл сразу поймет где вы от него что прячете. Поэтому правьте сайт, а не файл robots.txt !!!

Вторая встреча группы Defcon-Russia

Группа Defcon-Russia (группа DC7812) – это независимое и открытое сообщество, объединяемое интересами в области ИТ и ИБ. Основная цель – создание комьюнити среди студентов, программистов, хакеров, системных администраторов и прочих гиков. Так что выползаем с форумов и переходим к живому общению :). Группа дискуссионная, так что приветствуются все те, кто хочет высказаться, предложить свои идеи и показать свои работы, а главное - найти единомышленников. Согласно решению, принятому на прошлой встрече, мы будем стараться менять места их проведения, будем переезжать по разным ВУЗ'ам. В этот раз нас приютит "Бизнес Инкубатор" QD на базе ИТМО. Кстати, даже само место будет многим интересно для посещения: "Межвузовский бизнес-инкубатор QD помогает студентам создавать и развивать технологические бизнес-проекты. Инкубатор поддерживает инновационные стартапы в любых отраслях. Каждая команда является важной частью сообщества бизнес-инкубатора и может получить доступ к его ресурсам и помощь менторов". Так что если у тебя есть свой стартап или ты хочешь поучаствовать в каком-то – присмотрись к этому месту. Встреча состоится 15-го июля в 19 часов. Адрес: г. Санкт-Петербург, Биржевая линия В.О., д. 14 А теперь самое главное – темы докладов. Будут представлены на обсуждение два интереснейших доклада, а так же весёлый интерактив в третьей части программы: Темы: 1) Никита Абдулин - "Аппаратная виртуализация и вредоносное ПО" "В докладе освещаются технологии аппаратной виртуализации (HVM) в контексте их применения атакующей и защищающейся сторонами информационного конфликта. Будет дан обзор технологий HVM с точки зрения реализации и возможностей для практического использования, рассмотрено понятие гипервизора и потенциал воздействия на вышестоящие системы, как в роли вредоносного гипервизора, так и легитимного. На основе исследованных методов обнаружения гипервизоров и методов противодействия обнаружению оцениваются перспективы применения HVM для вредоносного ПО и защиты от него". 2) Никита Тараканов - "MacOS X - защита ядра и атаки на него" Популярность операционной системы MacOS X за последнее время выросла. В связи с этим и выросла степень заинтересованности в эксплуатации различных уязвимостей, а также внедрение различных защитных механизмов для противодействия атак. В докладе будут рассмотрены две ветки MacOS X : Snow Leopard (10.6.8) и свежий Lion (10.7.X). Будут рассмотрены нововведения, которые появились в Lion, и как они усложнили процесс эксплуатации различных уязвимостей. Будут продемонстрированы техники эксплуатации как пользовательских приложений (Safari) так и ядра MacOS X (XNU). Более подробно будет рассмотрено ядро XNU: реализация защитных механизмов, механизмы взаимодействия с пользовательскими приложениями, различные особенности в архитектуре. 3) Александр Поляков - "Lockpicking for newbies" Будет рассказано о таком новом развлечении как lockpicking, о его идеях и целях. Далее - общая теория и, конечно же, практика. Так что приносите с собой отмычки и замки :). 4) Павел Ершов - "Децентрализованная криптовалюта Bitcoin" Во время данного доклада слушатели познакомятся с криптовалютой Bitcoin: архитектура, принцип работы. Также будут освещены проблемы безопасности данной технологии и возможные пути их решения. Вход свободный. Для прохода на проходной желательно иметь паспорт или иной документ удостоверяющий личность. В программе возможны изменения - все зависит от вашей активности :). Желающие выступить с докладом пишите на defconrussia@gmail.com. Подробности на сайте группы - http://www.defcon-russia.ru/ Twitter - https://twitter.com/defconrussia Источник - www.xakep.ru

Ужесточение наказания за хакерство

В нескольких футуристических фильмах, которые мне доводилось смотреть проскакивали фразы примерно такого содержания "В будущем хакерство было приравнено к экстремизму". Но вот насколько на самом деле нереален такой сценарий ? Сейчас в разных странах идет ужесточение наказаний за хакерскую деятельность. Вот, например, из свежего:

• 20.06.2011 Верхняя палата парламента Японии утвердила дополнения к УК ужесточающие наказание за совершение киберпреступлений

• 23.06.2011 В американском конгрессе начинаются слушания по законопроекту о кибербезопасности, внесенному администрацией Барака Обамы. Президент США предлагает увеличить срок тюремного заключения для хакеров до 20 лет.

• 21.06.2011 Министры всех 27 стран, входящих в Европейский Союз, собрались, чтобы обсудить предложения Европейской Комиссии, касающиеся вопросам противодействия атакам, направленным на информационные системы.В черновом варианте обсуждался проект запрета «создания и выпуска хакерских инструментов, эксплуатируемых для совершения правонарушений»

Безусловно с хакерством необходимо бороться, но не стоит забывать, что у этой борьбы есть и обратная сторона. Так, в 2007 году в Германии был принят законопроект, согласно которому разработка любых программ, которые могут быть использованы для хакинга, стала противозаконной, подсудной деятельностью. Однако законодатели не учли, что те же инструменты используются и для проведения этического хакинга (или инче пентестов), в результате практически все сайты, на которых ранее хостились подобные утилиты были переведены в другие страны, также на территории Германии прекратились некоторые исследовательские проекты, связанные с информационной безопасностью, т.к. создаваемые исследователями утилиты могли быть использованы и для хакинга.

Ну а что же у нас ? Все к сожалению грустно, мы отстаем и в правовом и в техническом плане. Об этих проблемах буквально недавно на семинаре RISSPA высказывался Илья Сачков (Group-IB). Вот буквально 2 иллюстрации:

Леонида Куваева, известного спамера мирового масштаба, смогли у нас посадить только за изнасилования и педофилию. Не страдай он подобными отклонениями, "трудился" бы себе дальше.

А вот свежий пример того, что у нас за хакерство дают условные сроки, в то время как в Америке вполне себе реальные.

Такие вот дела, коллеги... есть над чем подумать...

P.S. В Турции, кстати, решили пойти еще дальше и наказывать всех, чей компьютер участвует в DDOS атаке.