Het grote Pentest Topic

[D_Jeff]

Het grote Pentest Topic

Welkom in het kennis- & ervaringentopic over pentesting. Hier proberen we uit te leggen en te praten over alles wat je zoal tegenkomt als je je bezig houdt met security. Uiteraard op zowel hobby-matig als professioneel vlak.

Wat is pentesting?

De naam pentest is afgeleid van de langere term penetratie testen. Hiermee bedoelen we het testen van software en/of hardware, met als doel het vinden van zwakke plekken. Dat is nuttige informatie; als je op de hoogte bent van zwakke plekken kan je maatregelen nemen om de kans te verkleinen dat deze worden misbruikt.

_{Bron: https://www.guardian360.nl/de-onzin-van-pentesten/}

In sommige gevallen is het zelfs noodzakelijk om pentesten te laten doen op bepaalde systemen. Denk hierbij bijvoorbeeld aan aanlsuiting op het DigiD platform van de overheid. Hierbij zal door gecertificeerde bedrijven een pentest uitgevoerd moeten worden om aan te tonen dat je veilig met je klanten kan communiceren. In de meeste gevallen zul je ook met een bepaalde interval deze testen moeten herhalen om aan te blijven tonen dat je veilig bent. Voor bijvoorbeeld DigiD geldt dat dit ieder jaar moet gebeuren.

Voor Pentesting heb je tools waarbij je het zelf kan uitvoeren. Er worden tevens ook kant en klare oplossingen verkocht.

Pentesting DIY

• MetaSploit - Gratis variant, betaalde support beschikbaar
• Kali / BackTrack - Gratis set tools (incl. MetaSploit Free)
• Nessus - Gratis trial

Kant en Klaar Pentesting

• Beyond Security ADVS - Betaald
• The OrangeBox

Credits

Hero of Time schreef op vrijdag 20 oktober 2017 @ 08:32:
Nou, klinkt eerder een onderwerp om in B&V te bespreken. Kunnen anderen ook meedenken, praten en leren.

unezra schreef op vrijdag 20 oktober 2017 @ 09:28:
Ja, graag!
Ik kom sowieso te weinig echte sysadmin topics op Tweakers tegen. :-) Het mag wel wat drukker worden in de pro hoek.

Tools

MetaSploit

MetaSploit is een grote database waarin je kan testen op allerlei zogenaamde CVE's. Dit zijn bekende vulnerabilities die allemaal verzameld worden en gepubliceerd. Als je een lek gevonden hebt kan je deze aanmelden en komt ook jouw naam bij deze CVE te staan. Dit staat trouwens ook erg leuk op je CV!

Gezien het open karakter van de CVE lijst en MetaSploit kan je vrij snel aan de gang. Zeker als je een Linux ISO van bijvoorbeeld Kali gebruikt. Kijk eens naar deze simpele tutorial waarin vrij basaal wordt uitgelegd hoe dit in zijn werk gaat. Als je hiermee voor de eerste keer gaat pielen, probeer dan een en ander uit in een paar VM's. Installeer eens een kale Windows XP en schrik je te pletter

Kali / Backtrack

Sinds jaar en dag is Kali een grote aanwinst voor de beheerder die zelf net nog even voor de externe pentest wil kijken of die er door heen komt. Kali is te downloaden als ISO voor zowel x86, 64 als ARM platform. Als je dus geautomatiseerde testen vanaf je trouwe RasPi wil doen, kan dat ook!

Kali bevat een bijzonder groot aantal tools om op allerlei vlakken testen te kunnen doen op diverse lagen van je OSI model. Denk bijvoorbeeld aan DNS intercepts, VOIP verkeer, Wifi sniffen, maar ook exploits vanaf Layer5 en hoger. CVE's zijn te testen via MetaSploit enzovoorts. Dit is tevens een grote valkuil omdat je er verschrikkelijk veel mee kan. Klein beginnen dus.

Verder kan het een draak zijn om je wireless in Kali aan de praat te krijgen. Zorg dus dat je een goede wifi kaart tot je beschikking hebt. Check alhier eens. WhizzCat gebruikt op het werk Proxim kaarten met de ORiNOCO chips. Kost wat, heb je ook wat. Hiermee kan je ook b.v. op Layer2 Probe pakketjes sniffen (met airmon-ng i.c.m. Wireshark).

Tips voor het hele proces van Pentesten

Hier volgt een kort stappenplan voor het hele proces van een Pentest. Tegenwoordig zie je dat hack pogingen steeds meer de kant van social engineering opgaan. Hoe vogel ik wachtwoorden uit van gebruikers, wat gebeurt er in een bedrijf en hoe lopen de processen? Dit stappenplan is natuurlijk, gezien de aard van het topic, puur technisch.

Mocht je hiermee aan de slag willen, adviseren we met klem om dit in een virtuele omgeving los van je netwerk te doen!

Stap 1. Information Gathering / Enumeration
Hier proberen we om zo veel mogelijk informatie te verzamelen over het doelwit. Dit kan een bedrijf zijn maar ook bijvoorbeeld een bepaalde applicatie of IoT device indien we meer op 0-day vulnerability discovery gericht zijn.

Stap 2. Vulnerability Discovery
Nu kunnen we alle verzamelde informatie gebruiken om naar zwakheden/vulnerabilities te zoeken. Er is veel tooling om bekende vulnerabilities te ontdekken zoals o.a. Nessus, Metasploit, Nikto, , etc. Daarnaast is het mogelijk om naar 0-days te zoeken maar dit vereist een iets andere toolset b.v. IDA Pro, Sysinternal Tools, Microsoft ASA, fuzzers, etc.

Stap 3. Exploitation
Na het vinden van vulnerabilities is het tijd om ze ook daadwerkelijk te misbruiken. Hiervoor is het vaak nodig om een payload (shellcode) toe te voegen zodat de exploit iets nuttigs doet. Voorbeelden zijn een bind shell starten, user toevoegen aan het systeem, executables downloaden, etc.

Dit kun je makkelijk genereren met Metasploit of downloaden van diverse websites. Heb je tijd te veel dan kun je het ook zelf schrijven. Let op dat AV soms alarm kan slaan en je exploit dan niet werkt. Test in je vrije tijd op een virtuele omgeving zodat je weet hoe AV en andere end-point security maatregelen zoals application whitelisting een impact kunnen hebben. Google kan je vaak helpen om daar omheen te werken.

Stap 4 Post-Exploitation
De meeste exploits zijn er op gericht om ergens toegang tot te krijgen. Nu we dat hebben doorlopen we globaal de volgende fases:

1. Information Gathering: waar zijn we? Wat voor rechten hebben we? Welke netwerk segmenten zien we? etc.

2. Elevation of Privileges: wellicht zijn we een web-user en gaan we nu op zoek naar manieren om root / admin access te verkrijgen. Een populaire en simpele methode op Windows is b.v. DLL planting/hijacking of zwakke rechten van directories /services misbruiken. Op Linux vaak SUID/GUID executables en command injection.

3.Persistence: om niet opnieuw dezelfde exploit te moeten gebruiken, of nog erger: een nieuwe te zoeken omdat de initiele gepatcht is, is het van belang een achterdeur in te bouwen. Dit kan van alles zijn. Het minst onzichtbaar zijn manieren welke van legitieme services gebruik maken. B.v. als de host een SSH server aan heeft staan dan voegen we onze RSA key toe of een nieuwe user. Misschien hebben we een connect-back shell, deze kunnen we over DNS of HTTPS laten lopen.

4. Optioneel: Data Exfiltration, pas hier mee op in een pentest. Voordat je het weet staat er gevoelige data buiten het bedrijf. Het beste kun je dit simuleren door het bedrijf "flags" te laten plaatsen op hun systemen. Dus een tekst-bestand met een bepaalde hash welke je als pen-tester moet achterhalen.

Andere leuke dingen

• Cain & Abel - Deze tool is in staat om APR (ARP Poison Routing) te doen. Bekend van de beruchte "Man In The Middle attack". LET OP: het gebruik van deze software is wat ons betreft grijs gebied!. Deze techniek van MITM wordt overigens ook gebruikt om Gast pagina's op gratis Wifi netwerken mogelijk te maken. Dit is namelijk domweg een intercept van je DNS verkeer.

Disclaimer

Pentesting om je eigen systemen te testen zijn legaal, echter worden deze tools helaas ook misbruikt voor andere doeleinden.
Dit topic is alleen bedoeld voor de educatieve kant, niet om je eigen hacking sk1ll5 richting een ander te proberen!


<sub>Credits/koekjes/kudos:
* sh4d0wman (Proces van pentests)</sub>

[ Voor 94% gewijzigd door WhizzCat op 25-10-2017 21:30 . Reden: Proces beschrijving n.a.v. input ]

[D_Jeff]

Gereserveerd voor Topic Start aanvullingen

[MAX3400]

D_Jeff schreef op zaterdag 21 oktober 2017 @ 22:12:
[Metaspoilt

Aangezien penetration testing en Linux-afgeleide tools nogal syntax-gevoelig zijn, zou het handig zijn als ook de tools correct benoemd zijn

D_Jeff schreef op zaterdag 21 oktober 2017 @ 22:12:
...penetreren van software en/of hardware

Ik snap wat je bedoelt maar het er staat er een beetje ruk. Als ik jouw een switch geef zonder firmware erop of een moederbord zonder BIOS erop, kan je pentesten tot je een ons weegt maar dat stuk hardware ga je niet werkend / onder controle krijgen.

Misschien herformuleren naar "het penetreren van verschillende typen software zoals OS'en, firmwares, drivers ongeacht of deze opensource of closed source zijn".

Ga dit topic zeker even in de gaten houden; interessante stof om te lezen en over na te denken!

/edit: meteen een vraag/opmerking; in hoeverre worden dit soort tools "bijna realtime" bijgewerkt met nieuwe vulnerabilities? Het heeft zo zijn voor- en nadelen om dat hier te posten; het ligt er maar net aan wie er meeleest of hoe groot de impact van een exploit is.

[ Voor 57% gewijzigd door MAX3400 op 21-10-2017 22:38 ]

[ThinkPad]

Iemand al wat met de KRACK vulnerability getest? Ben wel benieuwd of m'n Ubiquiti nog kwetsbaar is nadat ik de laatste firmware erop heb staan.

[iTeV]

ThinkPadd schreef op zaterdag 21 oktober 2017 @ 22:47:
Iemand al wat met de KRACK vulnerability getest? Ben wel benieuwd of m'n Ubiquiti nog kwetsbaar is nadat ik de laatste firmware erop heb staan.

Je kunt met deze repo testen of je AP kwetsbaar is.

[WhizzCat]

MAX3400 schreef op zaterdag 21 oktober 2017 @ 22:27:
/edit: meteen een vraag/opmerking; in hoeverre worden dit soort tools "bijna realtime" bijgewerkt met nieuwe vulnerabilities? Het heeft zo zijn voor- en nadelen om dat hier te posten; het ligt er maar net aan wie er meeleest of hoe groot de impact van een exploit is.

Dat ligt er een beetje aan. CVE's via MetaSploit zullen vrij rap beschikbaar zijn, mits je je database up to date houdt. Aangezien dit een publieke lijst is.

Als je b.v. kijkt naar de laatste WPA ellende, dit is al sinds juni(!) dit jaar bekend, maar pas recent openbaar gemaakt om leveranciers de kans te geven een patch te bouwen. Het verschilt dus enorm met wat je wil testen. Over het algemeen is mijn ervaring dat patches vanaf Layer6 of 7 sneller beschikbaar zijn dan bijvoorbeeld protocol dingen zoals dat WPA verhaal.

[sh4d0wman]

Leuk topic! Om een goede audit uit te voeren is het van belang om gestructureerd te werken. Ik mis dus nog een workflow in de TS Hier een eerste opzetje:

Stap 1. Information Gathering / Enumeration
Hier proberen we om zo veel mogelijk informatie te verzamelen over het doelwit. Dit kan een bedrijf zijn maar ook bijvoorbeeld een bepaalde applicatie of IoT device indien we meer op 0-day vulnerability discovery gericht zijn.

Stap 2. Vulnerability Discovery
Nu kunnen we alle verzamelde informatie gebruiken om naar zwakheden/vulnerabilities te zoeken. Er is veel tooling om bekende vulnerabilities te ontdekken zoals o.a. Nessus, Metasploit, Nikto, , etc. Daarnaast is het mogelijk om naar 0-days te zoeken maar dit vereist een iets andere toolset b.v. IDA Pro, Sysinternal Tools, Microsoft ASA, fuzzers, etc.

Stap 3. Exploitation
Na het vinden van vulnerabilities is het tijd om ze ook daadwerkelijk te misbruiken. Hiervoor is het vaak nodig om een payload (shellcode) toe te voegen zodat de exploit iets nuttigs doet. Voorbeelden zijn een bind shell starten, user toevoegen aan het systeem, executables downloaden, etc.

Dit kun je makkelijk genereren met Metasploit of downloaden van diverse websites. Heb je tijd te veel dan kun je het ook zelf schrijven. Let op dat AV soms alarm kan slaan en je exploit dan niet werkt. Test in je vrije tijd op een virtuele omgeving zodat je weet hoe AV en andere end-point security maatregelen zoals application whitelisting een impact kunnen hebben. Google kan je vaak helpen om daar omheen te werken.

Stap 4 Post-Exploitation
De meeste exploits zijn er op gericht om ergens toegang tot te krijgen. Nu we dat hebben doorlopen we globaal de volgende fases:

1. Information Gathering: waar zijn we? Wat voor rechten hebben we? Welke netwerk segmenten zien we? etc.

2. Elevation of Privileges: wellicht zijn we een web-user en gaan we nu op zoek naar manieren om root / admin access te verkrijgen. Een populaire en simpele methode op Windows is b.v. DLL planting/hijacking of zwakke rechten van directories /services misbruiken. Op Linux vaak SUID/GUID executables en command injection.

3.Persistence: om niet opnieuw dezelfde exploit te moeten gebruiken, of nog erger: een nieuwe te zoeken omdat de initiele gepatcht is, is het van belang een achterdeur in te bouwen. Dit kan van alles zijn. Het minst onzichtbaar zijn manieren welke van legitieme services gebruik maken. B.v. als de host een SSH server aan heeft staan dan voegen we onze RSA key toe of een nieuwe user. Misschien hebben we een connect-back shell, deze kunnen we over DNS of HTTPS laten lopen.

4. Optioneel: Data Exfiltration, pas hier mee op in een pentest. Voordat je het weet staat er gevoelige data buiten het bedrijf. Het beste kun je dit simuleren door het bedrijf "flags" te laten plaatsen op hun systemen. Dus een tekst-bestand met een bepaalde hash welke je als pen-tester moet achterhalen.

[kipppertje]

Cool, eindelijk een pentest topic!
Wat betreft tools en de uitleg ervan mis ik een aantal heel aantal must-haves. @TS: heb je er wat aan als ik een lijstje + beschrijving maak voor de Topic Start?

[Verwijderd]

Ik zou ook wel graag wat nieuwssites zien over security. https://krebsonsecurity.com/ bijvoorbeeld.

[D_Jeff]

@kipppertje Zekers! Credits/Koekje komt er voor terug

@Verwijderd Ik snap je gedachtegang, maar mist hier een beetje z'n doel.

[WhizzCat]

kipppertje schreef op maandag 23 oktober 2017 @ 16:57:
Cool, eindelijk een pentest topic!
Wat betreft tools en de uitleg ervan mis ik een aantal heel aantal must-haves. @TS: heb je er wat aan als ik een lijstje + beschrijving maak voor de Topic Start?

Zou inderdaad fijn zijn! Ik ben begonnen met wat basics, maar aanvulling per DM, danwel hier zijn natuurlijk altijd welkom

@sh4d0wman zeer mooie aanvulling. Ik ga even kijken hoe ik dit het handigst kan verwerken in de TS. Bedankt!

[ Voor 11% gewijzigd door WhizzCat op 24-10-2017 15:33 ]

[kipppertje]

Check, ga ik daar mee aan de slag!

[iisschots]

Laten we dit een stucky maken voor een aantal weken

[D_Jeff]

@iisschots Dank. Ik weet dat de TS nog in aanbouw is en dynamisch zal blijven.

Verder, als ik tijd vind, zal ik een nog update plaatsen over mitre. (methode van pentesting)

[mistercash]

Wordt openvas nog gebruikt?
Ik gebruikte het een 8tal jaar geleden om onze security te checken van buitenaf.

[ShadowBumble]

mistercash schreef op zondag 5 november 2017 @ 11:33:
Wordt openvas nog gebruikt?
Ik gebruikte het een 8tal jaar geleden om onze security te checken van buitenaf.

Ik gebruik het nog wel eens als ik een node deploy om 's nachts(op timer) het netwerk domain te crawlen, maar eigenlijk alleen nog in hele specifieke scenario's.

De situatie en opdracht hangt er ook vanaf gewoon een Vuln Scan is prima maar als het een red team test is en onopgemerkt te blijven daar is het te noisy voor.

[ Voor 16% gewijzigd door ShadowBumble op 05-11-2017 11:41 ]

[D_Jeff]

@mistercash openvas ken ik niet. Kan je een kleine, korte toelichting geven wat het doet?
(in de style van de TS, ik zal het daarna opnemen )

[Yarisken]

Vroeger heel veel nexpose gebruikt maar is nu niet meer gratis te krijgen. Nessus ook.
Zelf ben ik meer fan van backbox dan kali : https://backbox.org/

[Kentsfield]

D_Jeff schreef op zondag 5 november 2017 @ 17:53:
@mistercash openvas ken ik niet. Kan je een kleine, korte toelichting geven wat het doet?
(in de style van de TS, ik zal het daarna opnemen )

Openvas is een vulnerability scanner http://www.openvas.org/ zoals nessus en nexpose. Interface werkt niet heel prettig vind ik en het is een stuk trager dan bijvoorbeeld nessus.

Voor de topic start, pentesten is vooral veel oefenen mischien een idee om vermeldingen te plaatsen naar vulnhub en guides? Bijvoorbeeld:

https://blog.g0tmi1k.com/...nux-privilege-escalation/
https://github.com/frizb/OSCP-Survival-Guide
http://pentestmonkey.net/
https://netsec.ws/

En boeken:
https://www.nostarch.com/pentesting
https://www.nostarch.com/blackhatpython
https://www.nostarch.com/hacking2.htm

[ Voor 36% gewijzigd door Kentsfield op 08-11-2017 23:29 ]

[Kabouterplop01]

Vergeet ook niet om tools Als BURP suite en SQLmap te noemen.
met BURP kun je man in the middlen bij o.a webrequests. (en deze aanpassen naar eigen inzicht)
Ook maken talloze websites van achterliggende databases gebruik.
sqlmap kan je helpen om de databases en configuraties die ervoor en er aan verwant zijn te testen op zwak gebruik.
SQLmap (evt. i.c.m. BURP) zijn perfecte tools om input validation te checken.
o.a.
-CSRF
-XSS
-SQLi
zijn allemaal voorbeelden van slechte input validation.

[DeKaerften]

Voor web application pentesting (eigenlijk toegespitst op bug bounties) vond ik Web Hacking 101 van Peter Yaworski erg fijn lezen.

Daarnaast haalt hij "How to shot web" van Jason Haddix aan als een van zijn bronnen, en dat vond ik ook een erg interessante presentatie. (Youtube presentatie / Slides)

Verder is de Web Pentesting workshop een interessante serie: YouTube

[The GUI]

Leuk topic, ga ik zeker even volgen!

Zakelijk gebruik ik sinds kort Threadstone. Test hetzelfde (of meer) als OpenVAS, maar je krijgt er gelijk een uitgebreide rapportage bij die ook voor 'de leek' leesbaar is.

https://www.threadstone.eu/

edit: Had ik al gezegd dat de prijzen ook reuze meevallen?

[ Voor 11% gewijzigd door The GUI op 06-12-2017 16:35 ]

[Muncher]

Ben wat aan het aanpielen met VM’s om mijn testvaardigheden wat bij te werken. Ik gebruik hiervoor een Kali VM en een kwetsbare VM (bijv. via vulnhub), beiden in Virtualbox. Best practice is volgens mij om beide VM’s op een host-only network te hangen. Maar dan heeft mijn Kali VM geen internet meer. Heel onpraktisch als je tijdens het testen wat packages wil updaten. Hoe lossen jullie dat op? Extra virtuele netwerk adapter toevoegen en die op NAT zetten?

[Slurpgeit]

Of: https://www.hackthebox.eu/. Leuke challenges (en ook entry challenge) zonder dat je zelf enorm veel moet kloten met virtual machines .

[ongekend41]

certifiedsecure.com Heeft ook voor beginners leuke challenges, en zo zijn er wel meer sites te vinden.

@Muncher Waarom niet eerst bedenken wat je gaat doen, dan de juiste packages binnenhalen (indien niet in de standaard distributie), updaten en daarna pas in het host-only netwerk hangen? Tijdens het updaten heb ik sowieso zo min mogelijk programma's draaien. Een update kán een lopende test om zeep helpen.

Edit: Het kan ook nooit kwaad af en toe rond te kijken op exploit-db.com. Ze hebben daar ook Metasploit-modules die (nog) niet in de repo zitten. Althans, dat was zo, ik heb Metasploit al een tijd niet meer gebruikt.

[ Voor 22% gewijzigd door ongekend41 op 24-02-2018 22:34 ]

[Muncher]

ongekend41 schreef op zaterdag 24 februari 2018 @ 22:16:
certifiedsecure.com Heeft ook voor beginners leuke challenges, en zo zijn er wel meer sites te vinden.

@Muncher Waarom niet eerst bedenken wat je gaat doen, dan de juiste packages binnenhalen (indien niet in de standaard distributie), updaten en daarna pas in het host-only netwerk hangen? Tijdens het updaten heb ik sowieso zo min mogelijk programma's draaien. Een update kán een lopende test om zeep helpen.

Edit: Het kan ook nooit kwaad af en toe rond te kijken op exploit-db.com. Ze hebben daar ook Metasploit-modules die (nog) niet in de repo zitten. Althans, dat was zo, ik heb Metasploit al een tijd niet meer gebruikt.

Juist omdat ik een beginner ben, weet ik vooraf niet altijd wat ik nodig heb. En soms moet ik bijv. een exploit van Github halen, wat ik vooraf niet had verwacht. Dan is dat eindeloos rebooten onhandig. Ik kan ook de virtuele adapter met NAT uitzetten vanuit Kali als ik hem nodig heb. Als ik hem dan met ifconfig weer aanzet, krijg ik meestal geen lease.

[Slurpgeit]

Mwah, zolang je alles op NAT houdt gaat er vrij weinig mis denk. Zodra je VM's gaat bridgen met je netwerk én je mensen op je netwerk hebt die je niet kan vertrouwen moet je gaan oppassen.

[D_Jeff]

*schop*

Inmiddels heb ik aardig wat producten in deze serie gezien, waarbij de range nogal verschild.
daarbij moet gezegd worden:

Vulnerability Shielding =/= Vulnerability Management

_{mocht ik nog eens tijd vinden, zal ik de TS bijwerken}