Enno Rey Michael Thumann Dominick Baier. Mehr IT-Sicherheit durch Pen-Tests

Transkript

1 Enno Rey Michael Thumann Dominick Baier Mehr IT-Sicherheit durch Pen-Tests

2

3 Enno Rey Michael Thumann Dominick Baier Mehr IT-Sicherheit durch Pen-Tests Optimierung der IT-Sicherheit durch gelenktes "Hacking" - Von der Planung über die Vertragsgestaltung zur Realisierung Herausgegeben von Stephen Fedtke IJ vleweg

4 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über < abrufbar. Das in diesem Werk enthaltene Programm-Material ist mit keiner Verpflichtung oder Garantie irgend - einer Art verbunden. Der Autor übernimmt infolgedessen keine Verantwortung und wird keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Programm-Materials oder Teilen davon entsteht. Höchste inhaltliche und technische Qualität unserer Produkte ist unser Ziel. Bei der Produktion und Auslieferung unserer Bücher wollen wir die Umwelt schonen: Dieses Buch ist auf säure freiem und chlorfrei gebleichtem Papier gedruckt. Die Einschweißfolie besteht aus Polyäthylen und damit aus organischen Grundstoffen, die weder bei der Herstellung noch bei der Ver brennung Schadstoffe freisetzen. 1. Auflage März 2005 Alle Rechte vorbehalten Vieweg+Teubner Verlag Springer Fachmedien Wiesbaden GmbH 2011, Softcover 2013 Lektorat: Dr. Reinald Klockenbusch / Andrea Broßler Der Vieweg Verlag ist ein Unternehmen von Springer Science+Business Media. Das Werk einschließlich aller seiner Teile ist urheberrechtlich ge schützt. Jede Verwertung außerhalb der engen Grenzen des Ur heber rechts ge set zes ist ohne Zustimmung des Verlags unzuläs sig und straf bar. Das gilt ins be sondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Konzeption und Layout des Umschlags: Ulrike Weigel, Umschlagbild: Nina Faber de.sign, Wiesbaden Druck und buchbinderische Verarbeitung: Wilhelm Adam, Heusenstamm Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier ISBN (Hardcover) ISBN (Softcover) e-isbn DOI /

5 Vorwort Neben der Definition der eigenen Sicherheits-Bedürfnisse und der Umsetzung von Schutz-Massnalunen (seien sie technischer, organisatorischer oder vertraglicher Natur) gehört zu einem funktionierenden Sicherheits-Regelkreis immer auch das regelmässige Hinterfragen, ob etwa die definierten Ziele mit den getroffenen Massnalunen auch erreicht werden. Zu den dafür notwendigen Kontroll-Mechanismen zählen Penetrations-Tests, die damit einen wichtigen Platz innerhalb der IT-Sicherheit haben. Inhalt dieses Buchs sind in erster Linie die Tools und Techniken von Angreifern, mithin das Handwerkszeug eines Pentesters. Zu formalen Rahmenbedingungen oder methodischen Fragen liegen mit der BSI-Studie Durcbjübrungskonzept jür Penetrationstests oder dem von Pete Herzog initiierten Open Source Security Testing Metbodology Manual (OSSTMM) umfassendere Werke vor. Wir möchten uns auf Angriffs-Methoden konzentrieren und folgen hier einer strikten Full Disclosure Politik, d. h. wir halten eine öffentliche Darstellung oder detaillierte Diskussion von Angriffen für sinnvoll zur Ausbildung hohen Sicherheits-Knowhows, sei es auf Seiten von Prüfern, sei es auf Seiten von Sysadmins (die daher explizit auch zum intendierten Adressatenkreis des Buchs zählen). Es sollte sich von selbst verstehen, dass alle beschriebenen Methoden nur gegen Systeme eingesetzt werden sollten, bei denen Sie dazu qua erteiltem Auftrag oder beruflicher Funktion autorisiert sind. v

6 Wir wünschen allen Lesern viel Freude und spannende Momente bei der Lektüre. Für Anregungen fachlicher Art, Hinweise auf Fehler oder auch nur eine einfache Rückmeldung, welche Kapitel Ihnen besonders gefallen haben, sind wir stets dankbar und nehmen all dies gerne unter der Mall-Adresse entgegen. Heidelberg im Februar 2005, Dominick Baier Enno Rey Michael Thumann VI

7 Inhaltsverzeichnis 1 Sinn und Zweck von Penetrations-Tests Standards und rechtliche Aspekte Standards Rechtliche Aspekte Prüf-Ethik Ablauf eines Penetra.tions-Tests Der Initialworkshop Die eigentliche Testphase Der Bericht Die Abschluss-Präsentation Die Werkzeuge Betriebssysteme VMWare Werkzeuge zur Informationsgewinnung Portscanner Vulnerability Scanner Programmiersprachen Zusammenfassung Scanning Portscanning Vulnerability Scanner Zusammenfassung Pen-Testing Windows Die typischen Schwachstellen von Windows-Netzen Untersuchen der Windows-Landschaft Ausnutzen von Sicherheitslücken Passwort-Attacken Sniffen von Passwörtern...46 VII

8 6.6 Arbeiten mit Remote Shells Offline-Knacken von Passwörtern SQL Server Terminal Services Zusammenfassung Pen-Testing Unix Unix-Derivate Typisches Erscheinungsbild Online Password-Angriffe Zugriff auf das Dateisystem Vertrauensstellungen Remote Procedure Calls (RPC) X-Windows Unix-Exploits Pen-Testing Web-Anwendungen Funktionsweise von http (Hypertext Transport Protocol) Sniffing / Analyse von HTTP-Verkehr Untersuchen von Web-Anwendungen Testen von HTTP-Authentifizierung SQL Injection Cross Site Scripting Netzwerk-Devices Kompromittierung durch Passwort -Bruteforcing Kompromittierung über SNMP Kompromittierung über mangelhafte Management Interfaces Zusammenfassung und Checkliste Pen-Testing Wireless und VPN Wireless Standards Voraussetzungen für WLAN Pen-Tests MAC-Adressen-Filter Abschalten des SSID Broadcasts Vergabe statischer IP-Adressen VIII

9 10.6 Reduzierung der Sendeleistung Einschalten der WEP-Verschlüsselung WPA (Wi-Fi Protected Access) VPN - Virtual Private Networks Zusammenfassung Exploit Frameworks Übersicht über die Exploit Frameworks Core Impact CANVAS Metasploit Metasploit-Konsole Metasploit Web Interface Metasploit Shellcode Generator Zusammenfassung Der Bericht Berichtsinhalte Formulierung des Ziels Auflistung der Tools und Prüfmethodik Auflistung der Schwachstellen Proof of Concept Verbesserungsvorschläge Priorisierung Executive Summary Zusammenfassung Zusätzliche Links Sachwortverzeichnis IX