[Pen Testen] Advies gezocht

[Douweegbertje]

Het doel:

Ik wil een globale 'pen test' uitvoeren. Makkelijke zwakheden wil ik naar boven brengen.
Vanwege de omvang van de webapp, wilde ik dus een tool-programma-client of wat dan ook gaan gebruiken om verschillende zwakheden naar boven te brengen;

- SQL injecties
- open dirs, verkeerde rechten etc.
- XSS
- Overige makkelijke 'bugs' / 'exploits'

De web applicatie:

Op dit moment zit ik met een vrij grote web applicatie, hoe/wat/waar/benaming laat ik even achterwegen.

De applicatie is gebaseerd op:

- Windows 2008R2 server. 1 voor prod, 1 voor ontwikkel (alleen local bereikbaar).
- PHP en dot-net, waarbij het eigenlijk 95% PHP gebaseerd is.
- Er wordt MSSQL en MySQL gebruikt, grotendeels MSSQL
- Grote delen Javascript, ter ondersteuning, niet direct applicatie kritisch

Het gaat hier letterlijk om 100den scripts/bestanden, soms wel ter grote van 2000 regels.

De applicatie stampt uit begin 2000, en is altijd verder gebouwd zonder totaal nieuwe codes. Verwacht dus spaghetti en vieze codes. Desalniettemin is er wel redelijke escaping, checks, veilige querys etc. Maar de kans is vrij groot dat er 'ergens' wel iets verkeerd staat.

Wat ik zoek:

Ik zoek eigenlijk een programma waarbij ik grotendeels automatisch dingen kan laten uitvoeren.
- zoeken van toegankelijke dirs / bestanden (direct access etc.)
- Algemene URL fouten (sql bijv)

En vervolgens weer specifieke SQL injecties kan proberen door een URL in te geven zoals:
jeurldotnl/index.php?page=%zoekhierop%&nogeen=%ookhier%

De tool moet het werk voor mij verlichten, want natuurlijk ga ik zelf ook zoeken, aangezien er geen enkel programma is die alles kan vinden.

Alle overige dingen die handig kunnen zijn, zijn meegenomen.

Wat ik al heb gezocht:

Ik heb al even owasp ZAP gebruikt ; https://www.owasp.org/ind...ation_Penetration_Testing

De basis werkt vrij goed, echter mis ik een stukje ondersteuning in de vorm van een manual / guide om echt dieper op zaken in te gaan. Daarnaast heb ik het idee dat hij alleen basale informatie opzoekt, zoals random query's uitvoeren.

Op zaken waar ik zelf wel SQL fouten krijg, vind dit programma niets.


Verder heb ik Havij - free geprobeerd.
Het probleem is dat er met de free edition niets gezocht kan worden op https URL's, terwijl vrijwel heel de app op HTTPS draait. Een kostenpost van 500+$ is iets te veel voor dit programma (naar mijn mening).


Op het moment van spreken ben ik metasploit aan het uitproberen.
Al krijg ik het gevoel dat dit een 'te' groot programma is, voor wat ik eigenlijk wil gaan doen (puur de web applicatie doorspitten).
Dit kan ik natuurlijk ook fout hebben


Wat ik zoek

Een tool dat lokaal op mijn PC kan draaien (liefst windows) waarmee ik dan kan testen op de live omgeving.
OF
Een tool dat op de Windows server 2008R2 server kan draaien (ontwikkel), zonder allerlei benodigde voorwaarden zoals Java of python, ports etc. (Je mag altijd nog zo'n programma voordragen als dit echt wat is, of ik het uiteindelijk kan gaan gebruiken is een andere vraag)

Overig advies, tips, ervaringen, how-to's of wat dan ook.

Over dit:

Ik weet dat dit tweakers is, dus laat ik alvast wat antwoorden geven:

- Ja ik ben er van bewust dat een tooltje, je geen veilige app gaat geven
- Ja ik snap dat *nix HET platform voor pen testen is, maar de server is nou eenmaal windows
- Ja ik snap dat je java, python, cygwin etc allemaal er op kan zetten, maar dit ligt allemaal even wat moeilijker.
- Ja, ik weet dat ik er nog niet super veel vanaf weet, daarom ben ik nu o.a. ook hier om A: te leren, en B: te proberen en C: eventueel een iets veiligere app te maken
- Ja, ik snap ook dat mijn code gewoon veilig moet zijn, en geen domme querys moet draaien en dat je dingen moet afvangen.. maar zoals aangegeven: de app draait al lang, meerdere mensen zijn er overheen geweest dus je moet het hier eenmaal mee doen.


Alvast bedankt!

[ongekend41]

Ik weet niet of het de bedoeling is hier verschillende tools te dumpen maar je zou kijken of w3af (http://w3af.org/) wat vindt.
MSF kan bruikbaar zijn, in ieder geval om exploits te testen. Nexpose -van dezelfde makers- is meer op het scannen gericht, MSF om te testen of exploit daadwerkelijkt lukt.
Nessus zou je ook nog kunnen proberen.

Als de code echt een zooitje is, is handmatig nalopen misschien een goed idee. Of stukker herschrijven. zodat het meer 1 geheel wordt, da's een stuk makkelijker bijhouden in de toekomst.

[Douweegbertje]

Miljoenen lijnen aan code doorlopen is geen optie, herschrijven ook niet.
De complexiteit is dermate groot dat dit gewoon niet kan, beetje bij beetje worden nieuwe dingen toegevoegd die wel correct zijn geschreven, waarbij dan weer oude code weg gaat.
Dit is ook de enige manier, tenzij je opeens met 10 man gaat coden en daar de tijd voor krijgt

Bedankt voor je links, zal ze eens checken.

[F_J_K]

- Ja ik snap dat *nix HET platform voor pen testen is, maar de server is nou eenmaal windows

Dat maakt voor de client waarvandaan je test natuurlijk niet uit; daar Linux gebruiken zal je waarschijnlijk meer tools opleveren.

Beetje oud, maar dat is de code ook: www.owasp.org/index.php/Category:OWASP_Testing_Project

edit:
Ugh, * F_J_K slaat zichzelf en gaat een nieuwe bril kopen...

[ Voor 11% gewijzigd door F_J_K op 01-02-2013 09:46 ]

[ongekend41]

douweegbertje schreef op donderdag 31 januari 2013 @ 21:32:
Miljoenen lijnen aan code doorlopen is geen optie, herschrijven ook niet.
De complexiteit is dermate groot dat dit gewoon niet kan, beetje bij beetje worden nieuwe dingen toegevoegd die wel correct zijn geschreven, waarbij dan weer oude code weg gaat.

Als het zo'n complex geval is dan zal er ws bij elke toevoeging/wijziging toch gekeken moeten worden of dat nog wel werkt met oudere gedeelten (verwijzingen, gedeelde onderdelen e.d). Dat lijkt me toch ook tijdrovend tenzij en héle goede documentatie is.

Dit is ook de enige manier, tenzij je opeens met 10 man gaat coden en daar de tijd voor krijgt

Geen idee hoe lang jullie het programma nog denken te gebruiken, maar als het nog even duurt voordat het er uit gaat dan lijkt me het een goede investering.
edit: Of alle functies heel goed omschrijven en het "from scratch" op (laten) bouwen.
_{Maar da's mijn mening}

Voor het vinden van toegankelijke dirs zijn ook verschillende tools te vinden zoals Nikto of Dirbuster. Backtrack (Linux OS, ook als live-usb te vinden: http://backtrack-linux.org ) heeft een hele zwik aan pentest tools aan boord. Een beetje linux-kennis is wel handig maar tegenwoordig is goed lezen en nadenken al voldoende om er mee aan de slag te kunnen. Er bestaan meedere pentest-OS'en maar daar heb ik zelf geen ervaring mee, ik neem aan dat ze min-of-meer hetzelfde aan boord hebben.

[Turdie]

Backtrack is de "tool set" om te pentesten, maar is een Linux live cd. Die kun je bijvoorbeeld in een VM installeren. Hyper-V rol er bij zetten op de 2008 R2 server en dan een VM aanmaken met deze Live CD.
Zover ik weet is er bijna geen geen tooling die op 2008 R2 kan draaien die kan pentesten.

Misschien is dit wel ook handig om de kennis over pen testen te krijgen omdat het echt een apart vak is
Certified Penetration Tester (CPT)

[ Voor 131% gewijzigd door Turdie op 01-02-2013 07:57 ]

[j0rDy]

Ik ben bang dat dit met 1 tool niet gaat lukken. De meeste tools zijn vaak goed in 1 ding, bijvoorbeeld of XSS detecteren of SQL injectie. Ik heb zelf nog geen ervaring met ZAP, maar ik ga er even voor het gemak van uit dat dit ongeveer hetzelfde werkt als de burp suite. Als aanvulling zou ik hier zeker meerdere tools gebruiken die in hun vakgebied beter zijn.

Als je echt een goed onderzoek wilt uitvoeren ben je denk ik toch aangewezen op een bak aan ervaring/kennis, anders is de kans groot dat je nog het een en ander mist. Pentesten blijft toch gedeeltelijk handmatig werk, dus een goed onderzoek zal zeer lastig uit te voeren zijn op de manier die jij wilt.

Het is leuk 9/10 SQL injecties er uit te halen, maar de kans dat die andere gevonden wordt door een hacker is best groot...

[ Voor 8% gewijzigd door j0rDy op 01-02-2013 09:43 ]

[iisschots]

Heb een alias gemaakt in Programming. Hoop dat ze daar ook tips voor je hebben.

[Stroopwafels]

Acunetix? Prachtige tool om je website mee te scannen. http://www.acunetix.com/
Full version kost aardig wat, maar ik denk dat de meeste Tweakers daar wel een oplossing voor hebben. ;>

[markvt]

Burp suite (http://www.portswigger.net/burp/)

Is java gebaseerd draait dus bijna overal, met wat instellen is dit een goede scanner.

Je kan met de free versie niet alles zoeken maar wel een aardig beeld krijgen of je met deze tool kunt achterhalen wat je wilt en dan de 'pro' versie kopen.

[Herko_ter_Horst]

Wij gebruiken Arachni (http://arachni-scanner.com) voor onze geautomatiseerde testen, die met Cygwin ook op Windows zou moeten draaien (hoewel zoals gezegd het OS van de client er natuurlijk verder niet toe doet).

[serkoon]

Wees zeker bewust van de beperkingen van scanners en de mate waarin je ze moet helpen om formulieren in te vullen, in te loggen, ingelogd te blijven, AJAX-calls te doen, enzovoort.

Dingen die een pentester (een mens) gewoon snapt en weet te doen moet je tools zelf vertellen, afhankelijk van de mate van intelligentie in de tool. Ook kun je last krijgen van bij-effecten, zoals honderden e-mails die door een ingevuld contactformulier worden verstuurd, items die opeens verwijderd zijn omdat de verwijderfunctie met een GET ipv een POST werkt, enzovoort.

Dat gezegd hebbende, kun je het low-hanging fruit ongetwijfeld te pakken krijgen met een goede tool, als je weet wat je aan het doen bent. Als dat teveel tijd kost (meer dan een paar dagen), kun je vind ik beter gewoon een pentest-bedrijf in de arm nemen.

[HMS]

Kijk ook eens naar Nessus (http://www.tenable.com/products/nessus) als je scope echt groot is.

[Brainscrewer]

Je zou eventueel met Nessus ook nog een scan kunnen doen op het netwerk en dan met een tool als Metasploit de fouten opzoeken.

Edit: spuit elf

[Douweegbertje]

ongekend41 schreef op vrijdag 01 februari 2013 @ 00:36:
[...]

Als het zo'n complex geval is dan zal er ws bij elke toevoeging/wijziging toch gekeken moeten worden of dat nog wel werkt met oudere gedeelten (verwijzingen, gedeelde onderdelen e.d). Dat lijkt me toch ook tijdrovend tenzij en héle goede documentatie is.


[...]

Geen idee hoe lang jullie het programma nog denken te gebruiken, maar als het nog even duurt voordat het er uit gaat dan lijkt me het een goede investering.
edit: Of alle functies heel goed omschrijven en het "from scratch" op (laten) bouwen.
_{Maar da's mijn mening}

Voor het vinden van toegankelijke dirs zijn ook verschillende tools te vinden zoals Nikto of Dirbuster. Backtrack (Linux OS, ook als live-usb te vinden: http://backtrack-linux.org ) heeft een hele zwik aan pentest tools aan boord. Een beetje linux-kennis is wel handig maar tegenwoordig is goed lezen en nadenken al voldoende om er mee aan de slag te kunnen. Er bestaan meedere pentest-OS'en maar daar heb ik zelf geen ervaring mee, ik neem aan dat ze min-of-meer hetzelfde aan boord hebben.

Ik heb in mijn verhaal alle punten aangegeven die wel of niet mogelijk zijn. Ik kan ook wel de beste situatie en rendement beschrijven maar zo werkt het bedrijfsleven niet altijd. Punt is: er wordt gekozen om verder uit te bouwen. Dat is soms frustrerend (vooral dan voor de dev'r) maar totaal niet erg.
Ik kan / wil niet direct uitleggen waar het over gaat, maar in kort is het ook -niet- mogelijk om zelfs maar 1 gedeelte binnen 2 maanden te herschrijven als je hier met 5 man aan werkte

Overigens is het systeem niet lek, of wat dan ook. Er zitten genoeg en voldoende afhandelingen in, maar er is gewoon een kans dat 1-10 van de -weetikveelhoeveel- processen/querys/scripts etc een bugje/exploitTJE bevat

-----------------------------------------

In elk geval een update;

Heb nu backtrack met een dualboot klaar staan, en hier heb ik al een kleinschalige test mee uitgevoerd op de frontend met W3AF.

Ik heb hier nu echter een probleem dat als ik de SpiderMan wil gebruiken (browser naar proxy van W3AF) dat ik niet meer kan inloggen in de web applicatie (en zo dus niet meer NA auth kan testen...)
Heeft dit wellicht iets te maken dat de app via HTTPS gaat, en zodoende de login niet kan mee pakken?

Ik ben zelf nog wat verder aan het lezen, rommelen en testen. Waarschijnlijk pak ik nog een stukje mee met metasploit, nikto en dan nog weer met OWASP.

serkoon schreef op vrijdag 01 februari 2013 @ 12:02:
Wees zeker bewust van de beperkingen van scanners en de mate waarin je ze moet helpen om formulieren in te vullen, in te loggen, ingelogd te blijven, AJAX-calls te doen, enzovoort.

Dingen die een pentester (een mens) gewoon snapt en weet te doen moet je tools zelf vertellen, afhankelijk van de mate van intelligentie in de tool. Ook kun je last krijgen van bij-effecten, zoals honderden e-mails die door een ingevuld contactformulier worden verstuurd, items die opeens verwijderd zijn omdat de verwijderfunctie met een GET ipv een POST werkt, enzovoort.

Dat gezegd hebbende, kun je het low-hanging fruit ongetwijfeld te pakken krijgen met een goede tool, als je weet wat je aan het doen bent. Als dat teveel tijd kost (meer dan een paar dagen), kun je vind ik beter gewoon een pentest-bedrijf in de arm nemen.

Ik hoef geen pentest-bedrijf te hebben. De code is op zich wel in orde (handmatige tests, en ervaring met de app qua code).
Dit is ook meer een 'eigen hobby', mijn vak is programmeren, niet pentesten.
Als het echte doel en mijn opdracht was geweest om te testen, was ik heel erg fout bezig. Ik pak dit gewoon op als ervaring om zodoende weer mijn programmeer skills te verbeteren EN nog veiligere apps te maken.


-----------------------------------------

In elk geval bedankt iedereen voor de reacties, ik hoop dat iemand misschien nog antwoord weet op mijn vraag (die in bold staat).
Daarnaast pak ik elk stukjes documentatie (papers,vids,etc) aan, met name over het gebruik van verschillende programma's in allerlei situaties.
Test cases e.d. heb ik allemaal al wel gevonden.

[Turdie]

Ik zou je ook willen adviseren om een bedrijf als Fox-IT of Madison Gurkha in te huren, jij mist echt de specifieke kennis. Je bent zo te lezen aan het rommelen in een productieomgeving dat lijkt me niet echt een gewenste manier. Misschien heb je binnenkort wel een security incident op je naam, dat lijkt me ook niet echt wenselijk voor jezelf.

Ik snap ook niet helemaal waarom je wil pentesten, als je een goede applicatie hebt gemaakt heb je voldoende security in je applicatie ingebouwd of is er ingebewoud, dat een security afdeling hem in beheer kan nemen en als ze twijfelen een audit/pentest laten doen, en met de bevindingen die daaruit komen, jij specifieke aanpassingen kan doorvoeren.

[ Voor 90% gewijzigd door Turdie op 02-02-2013 02:26 ]

[Douweegbertje]

shadowman12 schreef op zaterdag 02 februari 2013 @ 02:18:
Ik zou je ook willen adviseren om een bedrijf als Fox-IT of Madison Gurkha in te huren, jij mist echt de specifieke kennis. Je bent zo te lezen aan het rommelen in een productieomgeving dat lijkt me niet echt een gewenste manier. Misschien heb je binnenkort wel een security incident op je naam, dat lijkt me ook niet echt wenselijk voor jezelf.

Ik snap ook niet helemaal waarom je wil pentesten, als je een goede applicatie hebt gemaakt heb je voldoende security in je applicatie ingebouwd of is er ingebewoud, dat een security afdeling hem in beheer kan nemen en als ze twijfelen een audit/pentest laten doen, en met de bevindingen die daaruit komen, jij specifieke aanpassingen kan doorvoeren.

Ik weet eigenlijk niet waarom ik serieus moet reageren.
Waarom ga je nou weer tech reuzen als fox-it etc. noemen, ooit zoiets in het nieuws gelezen oid?

Ik rommel niet, ook niet in productie omgeving, ik doe niets meer dan een normale gebruiker (of kwaadwillende) ook zou kunnen.

Verder snap ik totaal niet waarom jij een één of ander manager / operations / bedrijfs advies gaat lopen geven, verlaag je zelf even als medetweaker en reageer eens inhoudelijk op de gegevens die ik geef.
Beetje lukraak dingen roepen als " een security afdeling" en "audit/pentest laten doen" en "een bedrijf als Fox-IT of Madison Gurkha in te huren"...

Waarom mag ik, als TWEAKER, niet gaan tweaken? Ik wil gewoon ervaring op doen, dingen leren, en hiervoor heb ik een volledige werkende applicatie voor me die ik kan gebruiken.
Ik leer, EN eventueel vind ik iets (kleine kans).

Ik hoef absoluut geen advies van iemand die niets van de situatie weet, en denkt dat hij even kan vertellen hoe iemand moet werken zonder überhaupt 1 feitelijk iets te weten. Of vertel jij iedereen met een web applicatie X, die een beetje veiligheid wil testen als hobby dat hij een bedrijf als fox-it met uurlonen van 200-300+ moet gaan in huren voor 1 week?

[serkoon]

Mocht je tools loslaten, doe dat dan wel op de ontwikkelomgeving en niet op productie. Niks vervelender dan iets stuk maken terwijl je bedoeling is te verbeteren.

De genoemde tools hebben verschillende doeleinden:
1) Nessus - algemene kwetsbaarheden, doet ook standaard web-checks, maar is meer bedoeld om verouderde software te vinden.
2) Nikto - algemene kwetsbaarheden op webservers. Doet niet veel anders dan een groot aantal bekende scripts op te vragen om te zien of je kwetsbare standaard webapps hebt draaien, niet heel nuttig voor een zelf-gebouwde app.
3) Burp scanner, Acunetix, OWASP ZAP e.d. bieden in meer of mindere mate scanners aan die echt naar kwetsbaarheden in je webapplicatie zoeken.

Je bent dus, lijkt mij, op zoek naar 3.

Wat betreft je vraag.. een proxy zoals Burp/w3af zit tussen je browser en de website en zal afhankelijk van wat je doet ook je cookies moeten onthouden na inloggen. Misschien dat dat mis gaat, maar echt duidelijk is niet wat je wil en wat er niet lukt.

Ik heb goede ervaringen met de Burp scanner (geloof dat alleen de betaalde versie dat heeft?), die ook best goed is in SQL-injecties vinden. Tools als Havij en SQLmap zijn, imo, handiger als je al weet dat er een SQL-injectie aanwezig is om die vervolgens te exploiten.

Overigens zou je de eerste ontwikkelaar niet zijn die denkt dat de app wel aardig goed in elkaar steekt en dan met een rapport van een scantool of een security-bedrijf (die echt niet zoveel vragen als EUR 200-300+) er opeens achter komt dat het toch wat tegen valt. Dat gezegd hebbende kan ik het alleen maar toejuichen dat je actief op zoekt bent naar manieren om lekken te vinden om die op te kunnen lossen. Dat zouden meer ontwikkelaars mogen doen

[Douweegbertje]

serkoon schreef op zaterdag 02 februari 2013 @ 21:48:
Mocht je tools loslaten, doe dat dan wel op de ontwikkelomgeving en niet op productie. Niks vervelender dan iets stuk maken terwijl je bedoeling is te verbeteren.

De genoemde tools hebben verschillende doeleinden:
1) Nessus - algemene kwetsbaarheden, doet ook standaard web-checks, maar is meer bedoeld om verouderde software te vinden.
2) Nikto - algemene kwetsbaarheden op webservers. Doet niet veel anders dan een groot aantal bekende scripts op te vragen om te zien of je kwetsbare standaard webapps hebt draaien, niet heel nuttig voor een zelf-gebouwde app.
3) Burp scanner, Acunetix, OWASP ZAP e.d. bieden in meer of mindere mate scanners aan die echt naar kwetsbaarheden in je webapplicatie zoeken.

Je bent dus, lijkt mij, op zoek naar 3.

Wat betreft je vraag.. een proxy zoals Burp/w3af zit tussen je browser en de website en zal afhankelijk van wat je doet ook je cookies moeten onthouden na inloggen. Misschien dat dat mis gaat, maar echt duidelijk is niet wat je wil en wat er niet lukt.

Ik heb goede ervaringen met de Burp scanner (geloof dat alleen de betaalde versie dat heeft?), die ook best goed is in SQL-injecties vinden. Tools als Havij en SQLmap zijn, imo, handiger als je al weet dat er een SQL-injectie aanwezig is om die vervolgens te exploiten.

Overigens zou je de eerste ontwikkelaar niet zijn die denkt dat de app wel aardig goed in elkaar steekt en dan met een rapport van een scantool of een security-bedrijf (die echt niet zoveel vragen als EUR 200-300+) er opeens achter komt dat het toch wat tegen valt. Dat gezegd hebbende kan ik het alleen maar toejuichen dat je actief op zoekt bent naar manieren om lekken te vinden om die op te kunnen lossen. Dat zouden meer ontwikkelaars mogen doen

Bedankt voor je ruime informatie!
Betreft mijn vraag; Ik gebruikte dus de SpiderMan plugin om voorbij de 'auth' te komen.
In feite heb ik in mijn browser de lokale proxy van w3af ingesteld, zodat al mijn actions in w3af komen. Normaal gezien werkt dit prima (alle pagina's komen binnen), echter ik kom simpel weg niet voorbij het inlog scherm omdat hij niet inlogged (en ook idd geen cookie plaatst, dit is ook het probleem imo).
Als ik zelf moest gokken heeft het iets met de HTTPS te maken.. google en w3af site gaven hier niet echt info over

Ooit eens en 3e bedrijf eroverheen laten gaan is toekomst materiaal. 'Het werkt' , en in feite is het allemaal niet zo public, dus je hebt er eigenlijk 'nog' geen last van.
Het punt is dat ik niet alleen werk, en ik doe gewoon wat ik moet doen (dit is overigens mijn eigen initiatief, wel in overleg overigens).

Afhankelijk van de resultaten zullen er wel stappen komen.


edit;

nog als aanvulling:

De meeste pen-test programma's gaan er vanuit dat de applicatie toegankelijk is. Best irritant, want in feite zit alles achter een login. Heeft iemand hier informatie over? De basis van elk programma snap ik wel, echter voorbij auth testen is soms nog beetje tricky.. ook dus door lack van guides/manuals hierin..
Ach wil ik eens "RTFM"....

[ Voor 6% gewijzigd door Douweegbertje op 02-02-2013 23:47 ]

[ebia]

douweegbertje schreef op zaterdag 02 februari 2013 @ 19:00:
[...]


Ik weet eigenlijk niet waarom ik serieus moet reageren.
Waarom ga je nou weer tech reuzen als fox-it etc. noemen, ooit zoiets in het nieuws gelezen oid?

Ik rommel niet, ook niet in productie omgeving, ik doe niets meer dan een normale gebruiker (of kwaadwillende) ook zou kunnen.

Verder snap ik totaal niet waarom jij een één of ander manager / operations / bedrijfs advies gaat lopen geven, verlaag je zelf even als medetweaker en reageer eens inhoudelijk op de gegevens die ik geef.
Beetje lukraak dingen roepen als " een security afdeling" en "audit/pentest laten doen" en "een bedrijf als Fox-IT of Madison Gurkha in te huren"...

Waarom mag ik, als TWEAKER, niet gaan tweaken? Ik wil gewoon ervaring op doen, dingen leren, en hiervoor heb ik een volledige werkende applicatie voor me die ik kan gebruiken.
Ik leer, EN eventueel vind ik iets (kleine kans).

Ik hoef absoluut geen advies van iemand die niets van de situatie weet, en denkt dat hij even kan vertellen hoe iemand moet werken zonder überhaupt 1 feitelijk iets te weten. Of vertel jij iedereen met een web applicatie X, die een beetje veiligheid wil testen als hobby dat hij een bedrijf als fox-it met uurlonen van 200-300+ moet gaan in huren voor 1 week?

Ik denk dat Shadowman het goed bedoelt heeft. Je moet niet vergeten dan pentesten een serieus vak is, en dat je niet zomaar 123 alle kennis tot je neemt over dat vak door maar wat tooltjes te draaien. Dus jah, het kan dan soms lonend zijn bepaald werk uit te besteden a 200 per uur, dan dat je eigen mensen laat 'tweaken' en daarmee waarschijnlijk langer bezig bent en je mogelijk een vals gevoel van veiligheid creëert

Je hebt verder ook weinig losgelaten over je de scope (hoeveel manuren kun je erin steken, welk budget heb je), maar daar je praat over een applicatie van 12 jaar oud met miljoenen regels code, haal ik ook eruit dat het toch om een serieuze firma gaat, met een serieuze applicatie en dus serieuze devers in dienst. Zo raar vind ik dus de suggestie (vanuit een bedrijfskundige invalshoek) niet..,

Ik zou wel, als het puur gaat om het verbreden van je kennis en opdoen van ervaring, je werkgever betrekken hierin. Het zal niet de eerste keer zijn dat iemand zijn baan kwijtraakt omdat ie moedwillig de zaken aan de tand is gaan voelen zonder dat in overleg te doen met de zaak. Puur uit zelfbescherming dus.

[LuckY]

Check vooral eens http://sectooladdict.blog...on-scanner-benchmark.html

Waarin meerdere tools worden beschreven met sterkte en zwakte punten.

Wat misschien beter is dan direct op je eigen code te testen, ga eens wat wargames spelen zoals bij www.certifiedsecure.com. Hierin weet je dat er een fout zit, die te exploiten is. Waardoor je legaal wat ervaring kan opdoen. Hierbij is het dan ook de bedoeling dat je het manueel doet.

Waarom het belangrijk is dat je het manueel moet doen? Tools geven veel false positives of false negatives.

De owasp testing guide is handig, maar dit moet wel in je SDLC passen.

Daarnaast gewoon het advies van Serkoon oppakken.
Zaken als Nessus / Nikto / Metasploit gaat je hier niet echt helpen.

[ShadowBumble]

Je geeft aan dat de code sinds 2000 door gecode is kan ik hieruit opmaken dat dit een zelfgeschreven app is door het bedrijf ? If so heb je 2 keuzes :

1) Vragen in programming voor tips van het opschonen van je code.
2) Vragen in BV naar eventuele security pen tests.

Ik ga ervanuit dat optie 1 niet van toepassing ivm copyright, maar we kunnen je wel richting bepaalde tools duwen MSF / W3AF enz enz, je hebt het over SSL encrypted verbindingen ( misschien al aan "SSLStrip" gedacht ? lijkt me handig )

Tevens als je werkelijk iets legaals aan het doen bent kan je ook wel de volgende info geven :

- Wat voor webserver draait de boel ? ( Naam + versienummer )
- Wat voor Database ( Naam + versienummer )
- Draait het asp/php/ror enz enz ?

Dan kunnen we je veel gerichter laten zoeken, echter hou er rekening mee met het volgende :

- Als jij NIET de beheerder bent, ben je strafbaar zonder handtekening en goedkeuring van het bedrijf.
- Als jij WEL de beheerder bent, ben je alsnog strafbaar zonder handtekening en goedkeuring van het bedrijf.

Mondelinge overeenkomsten stellen NIKS voor in dit wereldje.

In beide gevallen laat het op schrift zetten, ik kan je nog wel 20 verschillende bugs of opties geven maar uiteindelijk ben jij de eindverantwoordelijke en helaas is pen testing niet iets wat je goed leert doen door maar te knutselen onder het motto

"Ik wil Tweaken"
"Ik doe dit als Hobby"

We willen je best helpen maar op dit moment kunnen we je echt niet zo superveel helpen als wat tooltjes aanwijzen en misschien een BlackBox of Backtrack Distro, en op heel eerlijk te zijn denk ik niet dat ieder van "ons" je ook maar werkelijk gaat aangeven :

( Even de oude truken doos open waarvan ik weet dat het niet meer werkt ( hopelijk ) maar voor de zekerheid toch meer niet teveel in detail, wel een windows based voorbeeld )

- Insert ../../.../../
- Dump met UDP er xxxxx.exe naar toe en push het de root van de schrijfbare dir in.
- execute xxxxx.exe door ../../../../../xxxx.exe

en Voila als je het goed hebt gedaan heb je system level acces op de volledig server.

Sorry het klinkt een beetje als een rant maar ik kan je uit persoonlijk ervaring vertellen i learned it the hard way en kwam heel maar dan ook heel goed weg.

[Phion]

Je leert niet 'even' op een forum hoe je een pentest moet uitvoeren. Mensen die dit doen hebben jaren ervaring en de professionals gebruiken tools ter uitbreiding van hun al bestaande vaardigheden. Menig gebruiker kan helemaal niets met al de tools die hier boven zijn genoemd.

Iedereen kan wat spelen met SQL/XSS/XSRF, maar een echte pentest gaat veel verder dan dat. Bovendien zul je voor pentestadvies toch echt op hele andere sites moeten zitten. Zowel commercieel als niet-commercieel.