RECABAR INFORMACION

Tec. recolección de datos
1. Información Gathering
  1. investigación y analisis de datos recabados
  2. la ventaja del intruso en esta fase del ataque: puede utilizar recursos no éticos para la extracción o recolección de info. pasiva del obj.
  3. Consultas a bases de datos
    1. el intruso utilizará una recolección pasiva en cualquier tipo de información de empleados para acceder al sistema corporativo. La empresa podra mitigar estos problemas creando politicas internas para la creación de contraseñas de acceso.
    2. Rooteado, es slang o lunfardo y significa que el intruso ha escalado privilegios (mayores permisos en el servidor) en un sistema Linux/Unix hasta llegar a ser un usuario con per misos de root (cuenta de máximo privilegio). Esto le da la posibilidad de realizar cuanto desee dentro del sistema, siempre y cuando sepa cómo.
    3. la recolección mas activa esta ligada a bases de datos intrusivas, metiendose dentro de los servidores o extrayendo datos secuencialmente a muy alta velocidad. También lo pueden hacer instalando
      1. Backdoors on-the-fly, puertas traseras para ingresar cuando se desee, sin despertar sospechas, ya que no dejan puertos abiertos o detectables para saber que existen.
      2. Binarios troyanizados, el intruso con suficientes conocimientos reemplaza a mano algunos archivos binarios de sistema, para ocultar procesos o archivos dentro del mismo SO
      3. Rootkits, serie de aplicaciones utilizada para mantener los privilegios del root dentro del servidor . Sirve para mantener procesos ocultos y quizas una puerta de entrada. Existen para todos los SO
      4. Sniffers, son capturadoes de logins o cualquier paquete.
      5. Los mas usados en esta tecnica intrusiva son
        shadows, servidores Linux y Solaris
        SAM, servidores Windows flia. server o terminales XP
    4. Un script-kiddie no sólo barre (escanea buscando o ejecuta exploits al azar) los rangos de direcciones IP. Éstos, extraerán información de carpetas compartidas o intranet s/extranets sin restricción de acceso o con fallas de inyección de código SQL, muy fáciles de detectar y de utilizar para comprometer servidores de empresas u otras organizaciones.
  4. Escaneo y fingerprinting
    1. No deja de recopilar información al acertar un escaneo a los hosts del objetivo o al procesar información que brinda éste con resultado. Asi logra ubicar la organización mediante rangos de direcciones IP y dominios. Con estos metodos esperará encontrar si los hosts de una red o un rango determinado de Internet estan vivos, de igual forma reconocerá nombre y las IP:
      1. A través de un port scanning; que puertos estan abiertos
      2. Con el fingerprinting: que SO, version de kernel poseen
      3. Con el vulnerability scanning: podra conocer descuidos de admon.
    2. Consejos vulnerability scanning
      1. Hay que entender que es lo que busca esta herramienta
      2. No hay que ponerlo a funcionar con una configuración por defecto
      3. No confiar plenamente en todo el output o resultao de analisis
      4. Chequear cosas a mano
      5. Descartar los módulos de chequeo de la herramienta, donde obviamente, esas vulnerabilidades no se encuentran por lógica del objetivo
      6. Utilizar varias harramientas o productos
      7. Inyectar todo tipo de cosas
      8. Probar técnicas de evasión
      9. Planificar un modelo/patrón de busqueda
      10. Luego de lo planificado, intentar otras cosas sobre la base de aquello que surja
  5. Peticiones HTTP
    1. Se puede encontrar info. importante del objetivo y llevar a cabo ataques y chequeos, Ej: * Codigo fuente de pagina; * inyectar scripts remotos; * Repositorios de archivos cconfidenciales o no, ocultos o no, etc.
  6. Datos de archivos binarios y otros
    1. El mismo tipo de análisis puede llevarse a cabo en archivos binarios del tipo .exe ya que éstos, si están mal diseñados o protegidos, nos darán algún path, cuenta de usuario, o bien pistas sobre el autor o quién lo desarrollo y la plataforma de su terminal.
  7. Información Gathering en la vida real
    1. Quiere decir que el intruso hará la busqueda fuera de Internet o utilizando tecnología basada en ésta, pero llevada al contexto físico y cercano del objetivo. Lo mas común:
      1. Buscar datos de la organización
      2. Llamar por teléfono
      3. Enviar correo ordinario
      4. Visitar la organización en persona
      5. Revisar la basura
      6. Instalar uno o varios nodos wireless cerca de la organización
  8. Utilidades IG de Backtrack 2.0
    1. Es una distribución LiveCD de Linux, lo que significa que no hace falta instalar el sistema operativo ya que podemos correrlo directamente desde su CD o incluso desde un pendrive. Es una distribución creada en especial para quienes están relacionados con la seguridad informática.
  9. Analizar la información
    1. No se deja de recopilar información hasta que el trabajo se ha logrado total o parcialmente. Muchas veces durante el chequeo, se sigue obteniendo informaciónsustancial que puede llegar a darnos pistas para intentar otras cosas en el sistema
2. Buscadores
  1. Gran fuente de clasificación, análisis, busqueda y caché de info., confidencial o no.
  2. Altavista, años 90
  3. Yahoo, año 2000
  4. Google, actual
  5. Busquedas determinadas que se pueden hacer para encontrar info. ligada a intrusiones: archivos con info. sensible, configuraciones, bases de datos, detalles de vulnerabilidad, avisos, usuarios, entradas de logueo, logins, directorios privados, errores típicos de un SO.
  6. Google Hack Honeypot, proyecto para estudiar y analizar a script-kiddies que utilizan Google para buscar determinados parámetros en el buscador.
    1. Su intención es atraer intrusos simulando ser vulnerables a los ataques. Es una herramienta de seg. informática para recoger info. sobre atacantes y sus técnicas. Puede distraer al atacante para advertir al administrados del sist. de un ataque y permite un examen del atacante durante y despues del ataque.
  7. Las busquedas típicas de un objetivo determinado será: site:sitiovictima.com
  8. En la busqueda de un e-mail, es recomendable utilizar:
    1. • @dominiovictima.com: sólo el dominio para ver más usuarios. • usuario@dominiovictima.com: e-mail completo. • usuario dominiovictima.com: con un espacio en blanco en el medio. • usuario: el usuario solo. • usuario dominio ealgunisp: para encontrar otras posibles casillas.
  9. La búsqueda debe pasar más por la lógica e in ventiva nuestra que por los recursos automatizados con los que contemos para todo lo que comprende el chequeo.
    1. Veamos un listado de operadores avanzados de Google:
      1. • site: busca todo lo relacionado al dominio. • intitle: sitios relacionados al título. • allintitle: sitios de títulos con todas las palabras definidas. • inurl: presente en el URL. • allinurl: todo presente en el URL. • filetype: tipo de archivo por buscar, extensión. • allintext: todo presente en el texto por buscar. • link: quién linkea a determinado sitio buscado. • inanchor: busca en el texto utilizado como link. • daterange: busca entre rangos de fechas. • cache: busca dentro de los sitios cacheados. • info: información sobre el sitio web buscado. • related: busca similares. • author: autor de mensaje en Google Groups.
      2. • group: busca pertenencia de grupo en Google Groups. • phonebook: busca números de teléfono. • insubject: busca titulares de mensajes en Google Groups. • define: busca el significado de determinado vocablo.
  10. Nunca conviene postear (publicar) direcciones de e-mail, menos la de nuestra empresa. Conviene usar una de Hotmail o Gmail. Además, no es recomendable usar nombres reales, cargos o detalles, si no sólo nick names aleatorios. Si posteamos desde nuestra empresa, recordemos usar un proxy http para no dejar la direc ción IP real allí.
  11. Para evitar problemas, en nuestros sitios web conviene utilizar un filtrador de robots de indexación, si no deseamos que Google u otro buscador cacheen el sitio o parte de ellos.
  12. Otros recursos online
    1. Hay otras bases de datos públicas y herramientas que brindarán datos en tiempo real en Internet.
      1. SmartWhois: encuentra info. de una IP
      2. CountryWhois: devuelve elpaís de donde proviene la IP
      3. TraceRoute: devuelve la maquina y la IP de cada salto que daun paquete desde la maquina original hasta la de destino por Internet
      4. Ping: envía u echo request a una maquina especifica en la red
      5. NsLookup: resuelve un hostname a dirección IP o visceversa
      6. Proxy Test: chequea si un Proxy es realmente anónimo
      7. Environmental Variables Test: muestra varias configuraciones remotas del browser y de nuestra maquina
  13. Cabeceras de correos electrónicos
    1. después de encontrar las casillas de correo de las organizaciones mediante el buscador o revisando la pagina web institucional, el intruso ubicará en la red a la empresa mediante análisis o intercción
      1. Interacción: en caso de que no encuentre el codigo de algún correo electrónico
      2. Anáñisis: analizar y comenzar a escanear los puertos y los host, para resolver las IP
    2. También obrará de modo lógico para obtener otros datos valiosos o aprovechables. La información que puede dar a un intruso un simple correo electrónico es muy variada e importante.
  14. Telneteo
    1. Busqueda manual de banners y otra información. Modismo que significa utilizar un cliente telnet
      1. Sirve para ver que hay en ese servicio y generalmente se ven solo banners, pequeños carteles de información del servicio

Next up

RECABAR INFORMACION

Description

Resource summary

Similar

	Created by angelacamargorub about 10 years ago