Mini Teoria - Ping, traceroute e Ddos

Olá pessoal, continuando a série do site sobre redes, vou falar sobre a teoria de funcionamento de duas ferramentas, o Ping e o Traceroute.

Se desejar ver outros tutoriais clique aqui, eles estão na seção "Redes", aproveite e confira as outras séries do guia.

Funcionamento

Ping

O ping muitos já devem conhecer, principalmente, por causa de jogos on-line. Ele é o tempo de resposta do servidor ao qual estamos estabelecendo conexão, ou seja, quanto tempo o pacote demora a sair de sua máquina, ir para o servidor, e este mandar uma resposta, por ser geralmente muito pequeno o tempo de ping é medido em Milisegundos (ms), para os que gostam de matemática é a milésima parte do segundo, ou 10^-3 seg ou ainda, 0.001 seg.

Traceroute

O princípio de funcionamento é o mesmo do ping, mas o traceroute é um pacote que sai do computador e ao sair de um cabo faz um registro, contendo o domínio (e/ou IP) do aparelho em que está e a quanto tempo saiu do 1º computador, então vai a outro e assim por diante, até o destino, ao chegar no destino, o pacote retorna ao emissor com as informações de onde passou.

Exemplos Simples de Uso

Para mostrar como funciona na prática, vou usar exemplos fictícios, primeiro para o ping:

Código:

ping 200.0.0.1

Saída:

PING 200.0.0.1 (200.0.0.1) 56(84) bytes of data.
64 bytes from 192.168.0.1: icmp_seq=1 ttl=64 time=6.86 ms
64 bytes from 192.168.0.1: icmp_seq=2 ttl=64 time=5.87 ms
64 bytes from 192.168.0.1: icmp_seq=3 ttl=64 time=3.79 ms
--- 192.168.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 8014ms
rtt min/avg/max/mdev = 1.369/2.827/6.863/2.037 ms

Agora para um traceroute:

Código:

traceroute 200.0.0.1

Saída:

traceroute to 200.0.0.1 (200.0.0.1), 30 hops max, 60 byte packets
 1  192.168.0.1 (192.168.0.1)  1.379 ms  2.817 ms  3.358 ms
 2  subdominio.algumprovedor.com (180.0.0.1)  15.322 ms  15.786 ms  19.655 ms
 3  subdominio.algumprovedor.com (180.0.0.2)  18.709 ms  20.022 ms  20.827 ms
 4  subdominio.algumprovedor.com (180.0.0.3)  22.302 ms  22.713 ms  23.032 ms
 5  subdominio.outroprovedor.com (200.0.0.65)  26.275 ms  26.050 ms  27.357 ms
 6 subdominio.outroprovedor.com (200.0.0.60)  27.079 ms  27.050 ms  28.357 ms
 7  200.0.0.42 (200.0.0.42) 30.001 ms 31.567 ms 32.666 ms
 8  200.0.0.12 (200.0.0.12) 32.321 ms 32.987 ms 36.999 ms
 9  200.0.0.11 (200.0.0.11) 32.500 ms 33.100 ms 37.599 ms
10 200.0.0.1 (200.0.0.1)  34.215 ms  36.112 ms  38.560 ms
11  * * *
12  * * *
13  * * *
14  * * *
15  * * *
16  * * *
17  * * *
18  * * *
19  * * *
20  * * *
21  * * *
22  * * *
23  * * *
24  * * *
25  * * *
26  * * *
27  * * *
28  * * *
29  * * *
30  * * *

É bem notável a diferença entre eles, e é de se imaginar que possuem aplicações diferentes, mas ambos são muito utilizados quando há a necessidade de um diagnóstico de rede, para determinar possíveis causas de problemas de conexão.

Uso Indevido do Ping

Certamente você já ouviu falar que "o site X, 'caiu'...", "fizeram Ddos aqui...", entre outras frases semelhantes. Para explicar como o ping se relaciona ao Ddos vou usar uma analogia.

Imagine uma rodovia duplicada que liga duas cidades, as cidades são os computadores e a rodovia os cabos, os carros são os pacotes. Então quando o ping é enviado, um carro entra na rodovia, vai até a outra cidade e volta. Agora imagine que um ponto da rodovia tem um pedágio (pode ser um switch ou outro equipamento qualquer de rede) que só pode passar um carro a cada segundo.

Quando um carro chega e não tem fila, ele passa direto e vai ao destino, agora imagine uma rodovia congestionada, quando seu carro sair ele vai pegar engarrafamento e pode nem chegar ao destino, o ataque de negação de serviço é justamente o que cria "o engarrafamento", fazendo com que outros carros "sem destino" passem na rodovia para atrapalhar os outros. O que ocorre é que os carros "verdadeiros" não chegam ao destino e consequentemente a conexão é perdida.

Os programas feitos com a intenção maliciosa, são justamente "pingadores" criados para realizar pings simultâneos o mais rápido possível, afim de atrapalhar quem já está na via.

Num artigo futuro estarei ensinando como fazer um teste de stress simples na sua rede doméstica, até a próxima pessoal.

Read More

Network Tools! Simples e Eficaz!

Fala galera!

Hoje venho aqui  apresentar a vocês a ferramenta Network Tools, uma ferramenta para footprinting, desenvolvida pela 3TM para a plataforma android, já testei e gostei bastante, pois é uma aplicação que poupa todo o trabalho de ter que utilizar ferramentas online ou até mesmo usar seu Prompt de comando do Windows ou Shell do Linux para se adquirir informações de algum site ou servidor, de forma segura e prática!

Suas principais funções:

- Ping;
- Traceroute;
- DNS lookup;
- Who Is query;
- WebGet;
- Subnet scanner;
- Subnet calculator;
- IP converter

Vamos falar passo a passo, sobre as funções principais PING, DNS, TRACEROUTE, WHOIS e WEBGET

Ping:

Utilizaremos o Google.com para essa pequena demonstração em imagens da utilização da ferramenta:

 

Resultado parcial, para mais detalhes, utiliza a função PING DETAILS:

DNS:

Continuamos com o Google.com para nossos testes:

Observem na imagem  que adquirimos o DNS do Google, porém não é só ele, utilize a função DNS FULL INFORMATION

Pronto, todos os endereços DNS do Google foram adquiridos.

TraceRoute:

Utilizaremos o DNS do Google para analisar:

Acreditam se eu disser que ficou assim por 5 minutos e não emitiu resultado? Como eu estava sem tempo no momento, não esperei acabar, porém, outra hora atualizo o artigo, e demonstro as demais funções do Tracert!

WHOIS:

Agora vamos obter as informações do DNS do GOOGLE;

Observem que a Ferramenta, entregou todos os resultados possíveis e públicos disponíveis do Google..

WebGet:

Interessante essa função dessa ferramenta, pois ela faz a medição da velocidade da sua conexão de internet, no meu teste deu 781.25 kbps a velocidade...

Resumindo, esse aplicativo é excelente, simples e de fácil utilização!

Porém não é a melhor ferramenta para levantamento de informações de sites e servidores, é claro e lógico que existem ferramentas muito mais planejadas e com mais funções que esta. Por Exemplo o FING(baseado em algumas funções do Nmap) e DSploit, são ferramentas para android formidáveis e já falamos sobre algumas aqui mesmo no blog.

Essa ferramenta é um encanto, por ser simples, e por ser leve! Aproveitem pois é de graça!

Um grande ponto negativo, são as propagandas que aparecem(Observem nas imagens), porém, como todos sabemos, os desenvolvedores ganham em cima dos clicks nos anúncios, então, é tolerar!

Faça o Download Seguro Pela Google Play!

https://play.google.com/store/apps/details?id=net.tools&hl=pt_BR

Até a próxima!

Read More

Introdução à Segurança da Informação - Parte 4

Vamos continuar nesse post a obtenção de informação. Como comentado nos posts anteriores, toda a informação que você coletar é útil. Boa parte do tempo de um pentest é a obtenção de informação.

Então vamos lá! O que podemos adquirir de informação de um alvo? Podemos começar olhando o site e o seu código fonte para ver se conseguimos alguma informação de clientes, emails, tecnologias, e outras informações que a empresa faz questão de mostrar.

Outra fonte riquíssima de informação é a consulta de domínio. Com um simples comandos podemos obter bastante informações sobre o registro do domínio, o webmaster e em alguns casos informações de email e login no provedor do domínio.

Por exemplo, se rodarmos o comando whois aqui no blog, você vai receber várias informações sobre o domínio, site e pessoais do dono do site, neste caso eu.

OBS: catalogue todas as informações encontradas para por no relatório final. Se você usa Linux/Unix você pode usar o comando script antes de começar ou usar o comando tee para mandar todas as saídas para um arquivo.

Outro comando interessante é o dig. Com ele podemos obter algumas informações sobre os servidores DNS e redirecionamentos que o site usa. Por exemplo, se você rodar o comando dig -t MX brutalsecurity.com.br vai perceber que redirecionamos o nosso servidor de email para o servidor do zoho mail.

DICA: Para mais informações leia o manual dos comandos whois, script, tee e dig.

Você também pode usar sites como o Domain Tools e Netcraft para obter estas informações e algumas outras.

Existe também um site chamado You Get Signal, que um dos seus serviços é mostrar, através de buscas por DNS, quais sites estão hospedados no mesmo host. Isso pode ajudar também na obtenção de informação, mas lembre-se, mesmo que você tenha permissão para testar a segurança de um site, você não tem permissão de atacar sites de terceiros que estejam hospedados no mesmo servidor.

No blog temos também um post sobre o Dirb. O Dirb é um crawler, sua função é basicamente ficar procurando por páginas em um site. Outras ferramentas fazem isso, para Windows por exemplo temos o Acunetix.

Um lugar muito bom para obter informações de usuários e/ou funcionários é as redes sociais. É bem comum os usuários soltarem informações sensíveis sobre suas rotinas nas redes sociais, e isso pode ser usado contra eles mesmos em um próximo ataque futuro. Então fique ligado em redes sociais bastante usadas como Facebook, Twitter, Google +, Linkedin e etc.

Para ter uma noção, quando tiver um tempo livre crie um perfil fake em uma rede como o Facebook e faça um teste inofensivo, adicione alguns amigos e familiares e interaja com eles para ver o que eles podem soltar de informação sensível.

Fingerprint

O fingerprint é uma das principais técnicas de levantamento de informações. Com o fingerprint podemos obter informações bem específicas do servidor do alvo, como por exemplo, Sistema Operacional, portas abertas, banners, serviços rodando, versões de serviços, sniffing de rede e etc. Vamos ver algumas dessas técnicas a seguir.

Antes de iniciarmos os scans, precisamos levar em conta que existem dois tipos de fingerprint, o passivo e o ativo. O passivo seria as técnicas de sniffing, onde você não pede pela informação, você apenas captura quando ela passa, neste primeiro ponto vai ser necessário acesso físico a rede da empresa, como uma rede sem fio desprotegida por exemplo. Já o fingerprint ativo é onde vamos fazer requisições ao servidor e a partir das respostas avaliar quem é e o que está rodando no servidor do alvo.

Fingerprint Passivo

Para o fingerprint passivo vamos usar o ettercap. O ettercap tem milhares de funções, vamos vendo elas aos poucos. Como neste caso ainda não temos acesso físico a rede do alvo vamos tentar descobrir qual é o Sistema Operacional que está hospedando o site do alvo.

Para isso abra o ettercap e vá em Sniff > Unified sniffing...

Escolha a interface que será usada, no meu caso, eth0.

Agora inicie a ferramenta em Start > Start sniffing.

Após tudo iniciado, acesse o site que você deseja fazer o Fingerprint Passivo. No meu caso aqui vou acessar meu próprio site. Assim que o site carregar volte ao ettercap e vá em View > Profiles.

Se tudo deu certo você vai ver uma tela parecida com a abaixo. Agora basta clicar em cima do endereço do site e na janela que vai abrir vai ter qual é o SO que está rodando no servidor.

Estranho meu servidor não? Veja a imagem de um outro site:

Para o servidor, isso foi apenas um acesso normal, para nós foi extremamente útil, conseguimos mais um bocado de informações.

Fingerprint Ativo

Já o fingerprint ativo é um pouco mais intrusivo, porque vamos fazer uma série de requisições ao site de diversas formas e em diversas portas, isso provavelmente vai cair nos logs e levantar suspeitas.

Podemos começar com o ping, através do TTL (Time To Live) podemos identificar qual é o sistema do alvo. Mas cuidado, nem sempre isso vai estar certo, isso pode ser alterado, então não se baseie totalmente nisso.

Algumas opções de TTL para sistemas default:

● Cyclades - Normalmente 30

● Linux - Normalmente 64
● Windows - Normalmente 128

● Cisco - Normalmente 255

● Linux + iptables - Normalmente 255

Por exemplo, rodei o comando na Brutal Security e o TTL foi 245, já quebrando com essa lógica, neste caso o servidor onde hospedei o site mudou o TTL. Mas se adicionarmos os hops daria 255, o que indicaria um Linux + iptables.

Outro comando presente em praticamente todos os sistemas é o traceroute. Podemos ver quantos saltos nosso pacote dá até chegar ao servidor.

Podemos ver que nos hops 18 até 36 não obtivemos nenhuma informação, provavelmente seja algum tipo de filtro, firewall ou sistema de descartes de pacotes.

Read More