Recopilando información (information gathering)

Estos días estaba pensando en publicar una entrada sobre como hacer una test de intrusión (pentest) y por eso decidí hacer un par de entradas dedicadas a information gathering, una de las partes importantes que se llevan a cabo en una intrusión, en está entrada no voy a extenderme mucho ya que son conceptos básicos.

Empezemos a hablar sobre que es eso de information gathering.

Esta técnica trata de recopilar el máximo de información posible sobre la web/sistema que se hará el test, y  usar esa información para encontrar algunas vulnerabilidades. Por ejemplo:

Tenemos que hacer un test de intrusión a una empresa privada de juguetes. Usando un buscador, ya sea google/bing/yahoo u otro, nos dedicaremos a buscar archivos de configuración, backups, PDF’s, o cualquier tipo de documento que nos pueda servir más adelante. Podemos extraer los metadatos y guardar esa información para el informe que se presentará al final del test de intrusión.

Nos topamos con que la empresa de juguetería usa un CMS (Content Management System) conocido llamado WordPress y está desactualizado. ¿Cómo lo sabemos? En casi todos los CMS que hay hoy en día en el panel de administración o lugares públicos como puede ser el /readme.html de WordPress sale la versión que se usa, y gracias a ello podemos buscar en webs como exploit-db, 1337day, seclists o en buscadores si tiene alguna vulnerabilidad conocida o publicada. En la juguetería estan usando la versión 3.1.3 de WordPress, en este caso tiene una vulnerabilidad SQLi y aquí podemos ver donde afecta de esa versión.

Ahora que sabemos que CMS usa y su version con sus respectivas vulnerabilidades podemos empezar a buscar otra información “algo” confidencial como podrían ser el nombre de usuario de la máquina, si está en un IIS, apache, tomcat u otro, si el servidor está compartido o no y una larga etcetera de cosas. ¿Como podemos saber todas estas cosas? Fácil, como siempre hay formas manuales de hacerlo o automatizandolas, para no extender mucho la entrada vamos a nombrar de una forma rapida un par de maneras manuales y otras con automatizadores.

Manualmente, podría ser viendo  las cabeceras HTTP que envia el servidor, que casi siempre te saldrá. Otra es provocar un error 500 o 404 y en el footer de la página a veces se puede observar la versión, en que corre, que CGI permite etc…

Por otra parte tenemos herramientas muy buenas para automatizar test de intrusión:

Nmap es una de las formas más usadas en los test de intrusión ya que permite escanear los puertos y hacer OS fingerprinting.

También está la FOCA que se usa para extraer los metadatos y hacer footprinting a la web si no me equivoco, es una herramienta muy interesante, creada por la gente de informatica64.

En la próxima entrada sobre information gathering seguiremos con escaneo de puertos ¡y muchas más cosas!

 

Saludos, JKS.