Hacking-Lab Online Hack&Learn 9. December 2008

Transkript

1 Hacking-Lab Glärnischstrasse 7 Postfach 1671 CH-8640 Rapperswil T F root@hacking-lab.com Hacking-Lab Online Hack&Learn 9. December 2008 Name des Dokumentes: DE_Hacking_Lab_V3.3_OpenVPN.doc Version: V 3.2 Autor(en): Ivan Buetler, Compass Security AG Lieferungsdatum: 9. Dezember 2008 Klassifikation:

2 Inhaltsverzeichnis 1 COMPASS E-LAB E TRAININGS-INFRASTRUKTUR INFRASTRUKTUR Topologie OpenVPN Zugang Tools zu den Laboraufgaben 5 2 HACKING-LAB ÜBUNGEN Beispiel Screenshot Lösungs-Formular Vulnerable Web Application (Educational Web App) 7 Seite: 2

3 1 Compass E-Lab Trainings-Infrastru Infrastruktur tur 1.1 Topologie Das E-Lab der Compass Security besteht aus einem zentralen OpenVPN Server für den Netz- Zugang und entsprechende Server in der DMZ von Compass für die Hands-on Labs. Für die Laborübungen wichtige Systeme lauten: glocken.hacking-lab.com xssshell.hacking-lab.com myspace.hacking-lab.com Glocken Shop Vulnerable Application XSS Shell Server für Attacker Glocken Community Site Falls in der Aufgabenstellung beispielsweise steht, Sie sollen mit dem hackerxx einloggen, dann heisst das, dass Sie irgendeinen User wählen können von hacker10 bis hacker40. Das Passwort ist überall compass compass. Seite: 1

4 1.2 OpenVPN Zugang Installation OpenVPN Downloaden und installieren Sie das OpenVPN Paket und stellen Sie sicher, dass Sie von Compass Security eine gültige client.zip erhalten haben (inkl. Client Certificate und das vollständige Hacking-Lab) OpenVPN Client Hacking-Lab Client Certificate (config.zip) Nach der Installation des OpenVPN client, sollten Sie das OpenVPN Verzeichnis haben, inklusive Verzeichnis Ordner. C:\Program Files\OpenVPN>dir Volume in drive D is swdata Volume Serial Number is 80B4-6DCF Directory of c:\program Files\OpenVPN :55 <DIR> :55 <DIR> :43 <DIR> bin :49 <DIR> config :43 <DIR> driver :43 <DIR> easy-rsa :37 83 INSTALL-win32.txt :54 28'387 license.txt :34 <DIR> log :20 8'705 OpenVPN GUI ReadMe.txt : openvpn.ico :43 <DIR> sample-config :44 72'907 Uninstall.exe 5 File(s) 110'848 bytes 9 Dir(s) 8'240'791'552 bytes free Client Certificate e for OpenVPN Kopieren Sie den Inhalt des mitgelieferten config.zip in das OpenVPN config Verzeichnis. Seite: 2

5 1.2.3 OpenVPN mit Windows Vista Falls Sie OpenVPN mit Windows Vista nutzen, müssen Sie das Programm als Administrator ausführen. Hierzu gehen Sie nach der Installation von OpenVPN ins Verzeichnis C:\Program Files\OpenVPN\bin. Danach setzen Sie unter den Eigenschaften der openvpn-gui.exe den Haken Program als ein Administrator ausführen aktivieren. Hinweis: Wenn Sie OpenVPN aus der Autostart entfernen möchten, sollte dies über die MSConfig tun. Hierzu Ausführen (oder Tastenkombination Windows-Taste + R) -> msconfig deaktivieren. Seite: 3

6 1.2.4 Basic Access Test Nachdem Sie die erste Hacking-Lab Verbindung (via SSL VPN oder OpenVPN) hergestellt haben, öffnen Sie die folgende URL. Sie sollten dann eine Seite wie unten dargestellt sehen: Falls Sie die obige Seite nicht sehen, sind Sie noch nicht korrekt verbunden. Troubleshooting: Falls Sie OpenVPN benützen: Haben Sie einen neuen DNS Server für Ihren Client Computer erhalten? Dies ist zwingend für die Auflösung der Hacking-Lab Domain-Namen. Der DNS Name Server ist auf Seite: 4

7 1.3 Tools zu den Laboraufgaben Verwenden Sie die folgenden Tools um die Aufgaben zu lösen: [ Paros ] [ LiveHttpHeader Firefox Plugin ] [ Add N Edit Firefox Plugin ] [ Firebug ] [ Venkmann Java Script Debugger ] [ Tamper Firefox Plugin ] [ Firefox 2 ] [ Eclipse WTB ] [ SwitchProxy ] Seite: 5

8 2 Hacking-Lab Übungen Sie finden die Aufgabenstellungen auf Sie müssen authentisiert sein, um die Wargame Cases anschauen zu können. 2.1 Beispiel Screenshot Stellen Sie sicher, dass alle Wargame Cases, die Sie ausgewählt haben, aufgelistet sind. Andernfalls Mail an 2.2 Lösungs-Formular Verwenden Sie bitte das vorgegebene Hacking-Lab Web-Formular, um Ihre Lösung an die Jury zu senden. Seite: 6

9 2.3 Vulnerable Web Application (Educational Web App) Sie müssen mit der Hacking-Lab Infrastruktur verbunden sein, um die Wargames zu lösen. Die URL's sind nicht direkt vom Internet zugänglich. Seite: 7

10 Wenn Sie den Glocken Shop sehen (siehe unten), sind Sie korrekt verbunden. Seite: 8