Wewnętrzne testy
penetracyjne
Marcin Kurpiewski
Testy penetracyjne to jedna
z technik stosowanych w celu
wykrycia luk w bezpieczeństwie
systemów informatycznych.
Polegają na symulacji działań
potencjalnego intruza. Jako że
mają stanowić odzwierciedlenie
tego, co może stać się
w przypadku wystąpienia
prawdziwego ataku, powinny
obejmować możliwie najwięcej
znanych metod penetracji
systemów.
ewnętrzne testy penetracyjne to ba- switcha zlokalizowanego w strefie DMZ (ang.
danie sieci oraz systemów informa- demilitarized zone  strefa zdemilitaryzowana).
Wtycznych wewnątrz ich środowiska Ogólny schemat badanej sieci i lokalizację te-
produkcyjnego. Taka forma testów polega na stera przedstawia Rysunek 1.
przeprowadzeniu symulacji odporności testo-
Faza wstępna
wanego ośrodka na ataki, których z
ródłem mo-
gą być pracownicy lub jakiekolwiek inne z
ródła  wyszukiwanie hostów
wewnątrz prywatnej sieci. Pierwszym etapem testu jest rozpoznanie te-
Spróbujmy przeprowadzić w praktyce we- renu  poznanie adresów hostów pracujących
wnętrzny test penetracyjny (patrz Ramka Przy- w sieci lokalnej. Aby tego dokonać, możemy
gotowanie testów). W naszym przykładzie sys- skorzystać z narzędzia przechwytującego pa-
temem operacyjnym, który zostanie poddany kiety krążące w sieci. Najbardziej praktyczne
testom będzie FreeBSD w wersji 5.2.1 (wyda- będzie przechwycenie pakietów ARP (Address
nie z lutego 2004 r.). Jako drugi przetestowa- Resolution Protocol), wysyłanych przez kom-
ny zostanie system MS Windows 2003 Server putery w sieci w celu odnalezienia innych ma-
 choć nie jest głównym badanym systemem, szyn. Będzie ich niewiele, a wskażą konkret-
warto poznać różnice w słabościach podob-
nych usług działających na obu serwerach.
Z artykułu nauczysz się...
Wykonanie testów
" jak przeprowadzać wewnętrzne testy penetra-
Po wybraniu narzędzi testujących (patrz Ram-
cyjne.
ka Narzędzia użyte w testach) można przy-
Pownieneś wiedzieć...
stąpić do badania sieci. W naszym przypad-
ku komputerem testującym jest notebook HP
" jak korzystać z linii poleceń w systemach unik-
Compaq nx9005 z zewnętrzną kartą sieciową sowych,
USB (3Com 3C460) i zainstalowanym syste- " znać zasadę działania protokołu TCP/IP.
mem Linux (kernel 2.6.9-rc2), podłączony do
36 www.hakin9.org Hakin9 Nr 6/2004
Atak
Testy penetracyjne
wysyła żadnych danych do sieci,
lecz czeka na wysyłane przez inne
Przygotowanie testów
komputery pakiety. Efekt działania
Test penetracyjny jest symulacją działań intruza  tak więc badający musi przewidzieć,
jak zachowa się intruz. Dlatego też testy powinny mieć charakter agresywny. Tak więc nie jest więc natychmiastowy  mu-
przed ich przeprowadzeniem konieczne jest wykonanie pełnych kopii bezpieczeństwa simy uzbroić się w cierpliwość. Lista
danych.
wynikowa może być bardzo długa
Symulacje wewnętrzne najczęściej przeprowadza się metodą czarnej skrzynki
w zależności od liczby komputerów
(ang. black box), czyli zakłada się brak wiedzy o strukturze badanej sieci i zainstalowa-
w sieci i natężenia ruchu. Może jed-
nym na serwerach oprogramowaniu:
nak nie obejmować wszystkich ho-
stów (istnieje możliwość, że w czasie
" oficjalnie nie znamy sieci, które będziemy przeszukiwać,
prowadzenia nasłuchu część z nich
" oficjalnie nie jesteśmy administratorami systemów, które będziemy testować,
nie będzie komunikować się z pozo-
" posiadamy uprawnienia (zgodę) na przeprowadzanie testów.
stałymi). Oto rezultat pracy progra-
Do testów wykorzystuje się narzędzia wyszukujące podatne na ataki hosty w sieci, ska-
mu w sieci LAN:
nery luk oraz programy przechwytujące przesyłane siecią dane. Podstawowe metody
to:
# tcpdump arp
18:01:25.024801
" pasywne słuchanie sieci (sniffing),
arp who-has domain-srv.firma.com
" wyszukiwanie niezabezpieczonych hostów  skanowanie portów,
tell 192.168.0.13
" identyfikacja zdalnego systemu,
" identyfikacja usług sieciowych, 18:01:25.157800
" przechwytywanie transmisji danych, arp reply domain-srv.firma.com
" wyszukiwanie luk w oprogramowaniu i systemie operacyjnym.
is-at 00:04:76:00:D5:B8
W fazie wstępnej należy tak skonfigurować komputer wykorzystywany do przepro-
Tak zaś wygląda efekt działania
wadzania testów, aby przy rozwiązywaniu nazw korzystał z podstawowego serwera
tcpdumpa w strefie zdemilitaryzowa-
DNS sieci lokalnej. Można tego dokonać przez dodanie odpowiedniego wpisu w pliku
nej (DMZ) badanej sieci:
/etc/resolv.conf. Idealnym rozwiązaniem byłoby, gdyby wybrany serwer DNS przecho-
wywał nazwy hostów i serwerów w tzw. strefie odwrotnej (rekordy PTR). Rozwiązywa-
# tcpdump arp
nie adresów hostów o znaczeniu specjalnym do postaci kanonicznej może znacznie uła-
twić pracę przy testowaniu sieci  umożliwia identyfikację przeznaczenia maszyny po- 18:05:13.157800
przez jej nazwę. arp who-has router.firma.com
tell 192.168.1.111
18:05:16.142648
ne komputery (by nastąpiła komuni- Aby przechwycić pakiety ARP arp who-has mail-srv.firma.com
kacja między innymi maszynami i tak użyjemy programu tcpdump (patrz tell 192.168.1.13
najpierw muszą one się skomuniko- Ramka Narzędzia użyte w testach). 18:05:31.063157
wać za pomocą ARP). Jest on narzędziem pasywnym  nie arp reply router.firma.com
is-at 00:04:C1:D1:DA:46
18:05:32.071232
INTERNET
Firewall
arp reply mail-srv.firma.com
W2003
DSL
is-at 00:06:1B:DF:36:0B
Wynik podsłuchu pozwala nam są-
dzić, że w sieci są hosty, z których
LAN
Ruter przynajmniej dwa (mail-srv i doma-
192.168.0.0/24
in-srv) są serwerami, a jeden pra-
cuje jako ruter. Oczywiście wnioski
Ethernet
te czerpiemy jedynie z nazw kano-
nicznych wykrytych komputerów. Te-
raz warto wyszukać urządzenia sie-
ciowe, które nie znalazły się liście,
DMZ
a mogą być w tym samym segmen-
cie sieci. Nie jest to trudne  znając
adres sieci, możemy ją szczegóło-
192.168.1.0/24
Freebsd
Ethernet wo przeskanować za pomocą pro-
Tester
gramu Nmap.
Nmap działa w trybie aktywnym.
Rysunek 1. Schemat sieci poddanej testom penetracyjnym
Oznacza to, że wysyła odpowiednio
2004 Hakin9 Nr 6/2004 www.hakin9.org
37