ХАКЕР 04 /171/ 2013 Ломаем вместе89тор. А вот на *nix придется дополнительно поставить Ruby (таккак Dredis на нем написан):sudo apt-get install ruby irb rdoc ruby1.9-devlibopenssl-ruby rubygems# библиотеки SQLite3:sudo apt-get install libsqlite3-0 libsqlite3-dev# и Ruby Bundler gem:sudo gem install bundlerСледующим шагом после установки идет настройка.Для этого необходимо выполнить скрипт reset.sh или reset.batпод виндой. Это подготовит конфигурационные файлы и базуданных, которая будет выступать в качестве репозитория.После чего с помощью скрипта start.sh/start.bat можнозапустить непосредственно сам Dradis. По умолчаниювеб-интерфейс приложения будет висеть на порту 3004:https://127.0.0.1:3004/. А чтобы забиндить, к примеру, 443-йпорт и заставить Dradis слушать все сетевые интерфейсы,надо запустить скрипт start.sh/start.bat со следующими параметрами:# ./start.sh -b 0.0.0.0 -p 443Теперь, когда Dradis установлен и запущен, пришло времяпознакомиться с его возможностями поближе.Так как в процессе проведения пентестаприменяется множество различных специфичныхприложений, то результат их работыхотелось бы прикреплять к проектуПРОГРАММЫ ДЛЯ ПРОВЕДЕНИЯКОЛЛЕКТИВНОГО ПЕНТЕСТАЕстественно, Dradis не единственный инструмент,призванный помочь при командной работе.Существует ряд альтернатив.HP AMP bit.ly/ZEgjjTРаспределенное масштабируемое веб-приложение,позволяющее выполнять тестирование безопасностивеб-приложений в автоматическом режиме, объединяетвсе результаты сканирования объекта, позволяя оценитьобщий уровень его защищенности.HP Fortify bit.ly/Y5wJDJЕще одно детище компании HP, позволяющее командамразработчиков и пентестеров быстро идентифицироватьи фиксить уязвимости, а благодаря удобному вебинтерфейсуи репозиторию быстро делиться информациейсо всеми членами команды.Veracode veracode.comЦелая облачная платформа, позволяющая проводитьтестирование объектов и рассчитывать общий уровень ихбезопасности.ТЕСТ-ДРАЙВЗалогинившись в Dradis, мы видим достаточно простойи дружелюбный веб-интерфейс. Прежде чем начать какуюлибодеятельность, надо создать своего рода новый проект.Для этого нажимаем на «Add brunch» и даем название созданномубранчу. Проекты имеют древовидную структуру — щелкнувна нем правой кнопкой мыши и нажав «Add child», можнодобавить поддиректорию или отдельный хост. К любомусозданному элементу можно добавить описание при помощикнопки «add note». Так как в процессе проведения пентестаприменяется множество различных специфичных приложений,то результат их работы (например, сканированиепортов конкретного хоста) тоже хотелось бы как-то прикреплятьк проекту. И такая возможность в Dradis есть. Он поддерживаетимпорт результатов работы следующих инструментов:Burp Scanner, Mediawiki,Nessus (v1, v2), Nexpose, Nikto,Nmap, OpenVAS, OSVDB, Retina,SureCheck, VulnDB HQ, w3af, wXf,Zed Attack Proxy. Таким образом,просканировав какой-либо хостс помощью Nmap, Nikto или какоголибодругого инструмента, результатего работы можно будет прикрепитьк Dradis. Для этого следуетвыбрать «Import from file... → newimport», затем выбрать тип инструмента из приведенногосписка и его выходной файл, после чего все данные будутимпортированы. Поддержка работы со столькими инструментамидостигается за счет использования плагинов. Еслив приведенном стандартном списке нет какой-либо тулзы,которой ты часто пользуешься во время своих тестов, огорчатьсяне стоит. Плагин для импорта результатов ее работыможно написать самому. Для этого лишь нужно немножкознать Ruby, всю остальную информацию можно почерпнутьиз туториала — bit.ly/pmx6va. После окончания тестированиярезультат работы можно экспортировать в различные форматыWord, PDF или опять же написать плагин для экспортав какой-то специфичный формат. Как видишь, работа с данныминструментом предельно проста и не требует каких-тоособых навыков. Гибкость в использовании и возможностьструктурированно хранить результаты работы всех участниковкоманды позволяет получить более детальную картинуо безопасности исследуемого объекта. Что делает Dradis однимиз незаменимейших инструментов при проведении масштабныхтестов на проникновение.ЗАКЛЮЧЕНИЕВот мы и познакомились с двумя популярными инструментами,используемыми для организации совместной работы.Реальность такова, что герои-одиночки остались тольков голливудских боевиках, а для того, чтобы сделать что-тосерьезное и стоящее, приходится работать командой. Такчто теперь при необходимости поработать в коллективеты знаешь, какими тулзами можно пользоваться. А в том,что необходимость совместной работы появится, можнодаже не сомневаться.Загруженный результатработы сканера NmapПОШАГОВЫЕИНСТРУКЦИИПО УСТАНОВКЕDRADISDradis на OS Х —bit.ly/vH4AbA,Ubuntu —bit.ly/n3uPeF,FreeBSD —bit.ly/ZE0k5w.Для тех, кто планируетиспользоватьDradis в винде из-подCygwin консолиMetasploit’а, — вотхороший туториал,как это сделать: bit.ly/YeiyLJ. Если же хочетсяпопробовать тулзув действии, а ковырятьсяс установкой/настройкой желаниянет, то можно заюзатьBacktrack, в которомDradis уже предустановлен.DVDКак всегда, весьупомянутый в статьесофт ты можешь найтина нашем диске.
90ВзломХАКЕР 04 /171/ 2013WARNINGВнимание! Информация представлена исключительнос целью ознакомления! Ни авторы, ни редакцияза твои действия ответственности не несут!Дмитрий «D1g1» Евдокимов,Digital Security@evdokimovdsX-TOOLSСОФТ ДЛЯ ВЗЛОМА И АНАЛИЗА БЕЗОПАСНОСТИАвтор:Justin CollinsСистема:Windows/Linuxbrakemanscanner.orgАвторы:Paul Rascagneres,Hugo CaronСистема: Windowscode.google.com/p/malwasmАвторы:Minded securityСистема:Firefox ext.dominator.mindedsecurity.com1 2 3ПРОВЕРЯЕМ РЕЛЬСЫВ последнее время складывается такое ощущение,что Ruby on Rails (или, как его еще любятсокращать, RoR) решил посоревноваться с Javaи Flash в количестве уязвимостей. Естественно,с этим надо что-то делать. В итоге на свет появилсяBrakeman — сканер безопасности для статическогоанализа проектов на Ruby on Rails.Этот проект позволяет находить проблемыбезопасности по исходным кодам Railsприложенийна любой стадии их разработки.Помимо этого, проект умеет проверять код на использованиеbest practices. Для запуска сканерадостаточно одной команды:brakeman ваше_rails_приложениеВсе найденные проблемы Brakeman разделяетна три уровня критичности (weak, mediumи high) и типы уязвимостей, среди которых, помимоXSS, CSRF, SQLi, Command Injection, присутствуюти Remote Execution in YAML.load, DynamicRender Paths, Dangerous Send и другие. Сейчасуже проект легко обнаруживает:• CVE-2013-0155,• CVE-2013-0156,• CVE-2013-0269,• CVE-2013-0276,• CVE-2013-0277,• CVE-2013-0333.Полезная возможность сканера — можно отметить,что искать и что не искать, это поможетизбежать большого количества ложных срабатываний.Также Brakeman можно использоватькак библиотеку в собственном проекте.ОФЛАЙН-ОТЛАДКАMalwasm предназначен для помощи при реверс-инжиниринге.Базируется он на двух другихочень крутых проектах: Cuckoo Sandbox (www.cuckoosandbox.org) и PIN (intel.ly/XHSF8q). Алгоритмработы следующий:1. Вредоносное ПО для анализа запускаетсяв песочнице Cuckoo Sandbox.2. Во время выполнения все действия программылогируются с помощью pintool.3. Все действия и изменения в системе сохраняютсяв базу данных (Postgres).4. Визуализировать данные из БД для удобногоанализа и управлять ими можно через вебинтерфейс.Кратко приведу некоторые из основных фишекMalwasm:• офлайн-отладка программы;• возможность перемещаться во временив процессе отладки (буквально, с помощьюспециального слайдера);• отображение состояния регистров и флагов;• отображение stack/heap/data;• опция «Following dump»;• работа полностью в браузере.Для работы с программой достаточно двух команди входа в веб-интерфейс:1. utils/submit.py malware/bad.exe.2. web/malwasm_web.py.3. Заходим на http://127.0.0.1:5000.При желании уже сейчас можно посмотретьна веб-интерфейс проекта и его возможностипо адресу malwasm.com.ИЩЕМ DOM XSS В RUNTIMEDOMinator — это расширение Firefox, котороедолжно войти в джентльменский набор пентестера.Аддон предназначен для анализа и идентификацииDOM Based Cross Site Scripting проблем(DOM XSS). Фактически это первый runtimeинструмент,который помогает идентифицироватьDOM XSS.Инструмент доступен в двух различных вариантах:бесплатном и платном (профессиональном).Бесплатная версия DOMinator открытадля community, а Pro имеет дополнительныефичи, типа дополнительной поддержки, улучшенногоGUI, более расширенной базы правил и базызнаний.Для своей работы данный инструмент используетдинамическое тейнтирование строк во времяработы пользователя с нативным браузером.Строка помечается при входе и трассируетсяна протяжении всего времени ее использованияв браузере. Трассировка таких помеченных строкпозволяет понять, действительно ли эксплуатируемаDOM XSS.Для понимания кода инструмент используеттехнологию Rea.Dy.Da.Ta. (акроним от RealtimeDynamic Data Tainting), которая базируется на нативномJavaScript-движке браузера, что улучшаеткачество анализа и дает возможность работатьс обфусцированным кодом.На текущий момент DOMinator способен помочьв идентификации reflected DOM BasedXSS, но потенциально возможно расширить егои для идентификации stored DOM XSS. Кстати, насайте есть подробные примеры того, как этот замечательныйаддон можно использовать для поискауязвимостей и их исправления.