Otro excelente webcast de SANS en donde se combinaron técnicas de ataques wireless y web para realizar un penetration testing.
Esta fue la primera parte del webcast "The Pen Test Perfect Storm: Combining Network, Web App, and Wireless Pen Testing Techniques", dictado por Kevin Johnson, Ed Skoudis y Joshua Wright.
La idea de este ataque combinado consistía en inyectar código HTML malicioso en redes wireless abiertas, tomar control de los browsers de los clientes, y luego desde allí atacar a otros sistemas de la red interna.
La inyección de código HTML la realizaban con la herramienta AirCSRF. Esta herramienta escucha los pedidos HTTP realizados por los clientes, y cuando detecta un pedido a un host víctima especificado por nosotros, por ejemplo www.google.com, se encarga de inyectar al final de la respuesta del servidor un código HTML.
Este código HTML puede ser javascript, o código que se encuentre en un servidor controlado por nosotros. Aquí es en donde entra en juego BeEF, la parte mas interesante del ataque.
BeEF, es un framework de ataque para browsers, que convierte al browser de un cliente en un zombie para luego utilizarlo en otros ataques, como por ejemplo escanear puertos, hacer un keylogging de lo que escribe el usuario, robar el contenido del clipboard, etc. (todo desde el browser)
El webcast se focalizó también en todo lo que se puede hacer desde el momento en que se obtiene control del browser del usuario con BeEF, y los posibles escenarios de ataques que podemos aprovechar en un penetration testing.
* Link al WebCast y al Link al Slide del WebCast
Herramientas Utilizadas:
- BeEF, "The Browser Exploitation Framework", por Wade Alcorn
- AirCSRF, “Air-Sea-Surf”, por Garland Glessner (no ha sido publicado todavía)
- Yokoso!, por Kevin Johnson, (próximamente será publicado, sirve para hacer un fingerprinting de la interfaz administrativa de un dispositivo)
- Samurai Web Testing Framework, por Kevin Johnson (este es un LiveCD orientado a hacer PenTesting a aplicaciones Web)
- Metasploit, por HD Moore
- AirPwn, por Toast (framework para inyectar paquetes 802.11)
Esta fue la primera parte del webcast "The Pen Test Perfect Storm: Combining Network, Web App, and Wireless Pen Testing Techniques", dictado por Kevin Johnson, Ed Skoudis y Joshua Wright.
La idea de este ataque combinado consistía en inyectar código HTML malicioso en redes wireless abiertas, tomar control de los browsers de los clientes, y luego desde allí atacar a otros sistemas de la red interna.
La inyección de código HTML la realizaban con la herramienta AirCSRF. Esta herramienta escucha los pedidos HTTP realizados por los clientes, y cuando detecta un pedido a un host víctima especificado por nosotros, por ejemplo www.google.com, se encarga de inyectar al final de la respuesta del servidor un código HTML.
Este código HTML puede ser javascript, o código que se encuentre en un servidor controlado por nosotros. Aquí es en donde entra en juego BeEF, la parte mas interesante del ataque.
BeEF, es un framework de ataque para browsers, que convierte al browser de un cliente en un zombie para luego utilizarlo en otros ataques, como por ejemplo escanear puertos, hacer un keylogging de lo que escribe el usuario, robar el contenido del clipboard, etc. (todo desde el browser)
El webcast se focalizó también en todo lo que se puede hacer desde el momento en que se obtiene control del browser del usuario con BeEF, y los posibles escenarios de ataques que podemos aprovechar en un penetration testing.
* Link al WebCast y al Link al Slide del WebCast
Herramientas Utilizadas:
- BeEF, "The Browser Exploitation Framework", por Wade Alcorn
- AirCSRF, “Air-Sea-Surf”, por Garland Glessner (no ha sido publicado todavía)
- Yokoso!, por Kevin Johnson, (próximamente será publicado, sirve para hacer un fingerprinting de la interfaz administrativa de un dispositivo)
- Samurai Web Testing Framework, por Kevin Johnson (este es un LiveCD orientado a hacer PenTesting a aplicaciones Web)
- Metasploit, por HD Moore
- AirPwn, por Toast (framework para inyectar paquetes 802.11)
No hay comentarios.:
Publicar un comentario