Niezbędnik "ochroniarza"

Jak najlepiej sprawdzić poziom zabezpieczeń komputera? Narzędziami komputerowych włamywaczy. Przedstawiamy kilkanaście bezpłatnych programów testujących zabezpieczenia, bez których nie możesz się obejść. Przy okazji poznasz anatomię hakerskich ataków.

Jak najlepiej sprawdzić poziom zabezpieczeń komputera? Narzędziami komputerowych włamywaczy. Przedstawiamy kilkanaście bezpłatnych programów testujących zabezpieczenia, bez których nie możesz się obejść. Przy okazji poznasz anatomię hakerskich ataków.

Narzędzi do testowania zabezpieczeń powstało mnóstwo. Większość to produkty komercyjne, niekiedy bardzo rozbudowane i wymagające fachowej wiedzy do obsługi i interpretacji wyników. Zamiast nich przedstawiamy tylko najlepsze bezpłatne programy, umożliwiające testowanie różnych aspektów bezpieczeństwa. Niektóre oferują jedynie kilka funkcji i są bardzo proste w obsłudze, ale mimo to pozwalają wykryć luki w zabezpieczeniach. Jak bardzo są przydatne, świadczy to, że wykorzystują je również hakerzy do włamań komputerowych. Wszystkie działają w systemie Windows. Wyjątkiem jest Nessus, którego wersja do Windows jest płatna.

Przedstawione programy umożliwiają przejście przez wszystkie fazy włamania komputerowego: poszukiwanie słabo zabezpieczonych maszyn, rozpoznanie działającego oprogramowania (systemu operacyjnego i aplikacji), testowanie w celu wykrycia ewentualnych luk oraz wykorzystanie wykrytych luk do włamania. Pierwszy etap to wyszukiwanie w sieci włączonych komputerów i innych urządzeń metodą skanowania z wykorzystaniem protokołów TCP lub ICPM (Internet Control Message Protocol). Kolejne dwa etapy mają na celu ustalenie, czy w wybranym komputerze działają określone aplikacje lub usługi oraz przetestowanie ich pod kątem luk w zabezpieczeniach. Ostatni etap to uzyskanie przez taką lukę dostępu do komputera, np. do twardego dysku, lub nawet przejęcie nad nim kontroli. Udane włamanie może posłużyć do eskalacji ataku, np. do uzyskania większych uprawnień w sieci, w której ten komputer działa.

SoftPerfect Network Scanner 2.6

http://www.softperfect.com

SoftPerfect Network Scanner 2.6 wyszukuje w sieci włączone komputery, dostarczając od razu informacji o udostępnionych katalogach.

SoftPerfect Network Scanner 2.6 wyszukuje w sieci włączone komputery, dostarczając od razu informacji o udostępnionych katalogach.

Na początek wystarczy ten niepozorny, ale użyteczny program, z którego obsługą poradzi sobie każdy, kto wie, co to jest adres IP. Podstawową funkcją Network Scanner jest wykrywanie w sieci lokalnej lub Internecie włączonych komputerów. Wystarczy wpisać zakres adresów IP, nacisnąć przycisk skanowania i poczekać na wyniki. Po chwili program zacznie wyświetlać informacje o wykrytych komputerach: nazwę, adres IP oraz listę udziałów (udostępnionych katalogów i drukarek). Wyniki mogą przejść oczekiwania - okazuje się, że niektórzy użytkownicy beztrosko udostępniają zasoby swoich twardych dysków, nie wspominając już o braku podstawowych zabezpieczeń, takich jak zapora sieciowa. Z tego powodu pierwsza faza ataku może okazać się ostatnią, gdy natrafisz na komputer z udostępnionymi katalogami na twardym dysku. Skanując na przykład naszą sieć firmową, znaleźliśmy komputer z udostępnionymi wyciągami z konta jednego z pracowników, a z innego skopiowaliśmy plik konfiguracyjny Gadu-Gadu, z którego bez trudu można wydobyć nazwę i hasło użytkownika.

Network Scanner oferuje jeszcze kilka przydatnych opcji. Jednocześnie sprawdza pięćdziesiąt adresów IP, ale można podnieść tę wartość do stu, żeby przyspieszyć skanowanie. Opcjonalnie podaje adres MAC wykrytych komputerów oraz sprawdza, czy pojedynczy port jest otwarty. Ta niepozorna funkcja daje wskazówki na temat zabezpieczeń komputerów, ułatwiając wybór celu - jeśli sprawdzany port jest otwarty, najprawdopodobniej komputer chroni firewall. Podczas skanowania blisko 2 tysięcy adresów IP z zakresu neostrady w 78 komputerach na 461 wykrytych był otwarty port 80, używany przez przeglądarkę WWW. Na tym nie koniec - w kilku komputerach były udostępnione dla wszystkich katalogi, np. katalog "Ważne" zawierający pracę licencjacką.

SuperScan 4.0

http://www.foundstone.com

SuperScan 4.0 dostarcza informacji o otwartych portach w komputerze.

SuperScan 4.0 dostarcza informacji o otwartych portach w komputerze.

Po znalezieniu włączonych komputerów (czy po namierzeniu ofiary, jak powiedziałby haker), czas sprawdzić ich zabezpieczenia. Pierwszy test to skanowanie portów, dostarczające wielu informacji o celu ataku oraz jego słabych punktach. Raporty generowane przez skanery portów dają wiedzę nie tylko o otwartych portach, ale również uruchomionych w obserwowanym komputerze usługach (serwerze WWW, FTP itd.), co ułatwia ustalenie wersji systemu operacyjnego i działających w nim programów (wiedząc, jakie oprogramowanie jest zainstalowane w komputerze, można sprawdzić je po kątem podatności na ataki).

Możesz użyć skanera portów, np. SuperScan 4.0, żeby poznać słabe punkty również swojego komputera i w porę je zabezpieczyć. Program bada po kolei porty komputera (każdy ma swój numer) - wszystkie 65 tysięcy lub jedynie wybrany zakres. Najczęściej uruchamiane w komputerach usługi korzystają z reguły z tych samych portów, np. serwer FTP pracuje w porcie 21, przeglądarka WWW - w porcie 80. Dlatego zwykle wystarczy skanowanie początkowych, najczęściej używanych 1024 portów, co trwa dużo krócej.

SuperScan 4.0 warto polecić użytkownikom przyzwyczajonym do graficznego interfejsu. Bada porty TCP i UDP oraz zdobywa dodatkowe informacje, umożliwiające określenie, jaki system operacyjny działa w skanowanym komputerze. Parametry skanowania możesz ustawiać na kartach Scan Options (m.in. opcja tłumaczenia nazw) oraz Host and Service Discovery, gdzie ustalisz m.in. metodę znajdowania komputerów pracujących w sieci, typ skanowania oraz określisz przedział portów, które będą skanowane. Program oferuje też wygodny dostęp do wielu poleceń sieciowych, np. ping, traceroute, pozwalających na zdobycie ogólniejszych informacji o celu ataku. Po zakończeniu konfiguracji przejdź do karty Scan i zacznij skanowanie. Możesz podać adres IP lub nazwę pojedynczego komputera (pole Hostname/IP) lub zakres adresów IP (pola Start IP i End IP). Opcja Read IPs from file pozwala na pobranie adresów IP z pliku, np. utworzonego wcześniej w SoftPerfect Network Scanner. Po zakończeniu skanowania SuperScan 4.0 wygeneruje raport widoczny w środkowym oknie. Zobaczysz w nim listę numerów otwartych portów TCP i UDP, jeśli programowi uda się je zidentyfikować. Szczegółowy raport w formie dokumentu HTML otrzymasz po kliknięciu przycisku View HTML Results. Znajdziesz w nim dodatkowe informacje o usługach nasłuchujących w odnalezionych otwartych portach.

Profesjonaliści docenią możliwości programu Nmap 3.90, który obsługuje się w trybie tekstowym. Wart jest szczególnej uwagi z powodu dużych możliwości i funkcji ukrywania skanowania, m.in. przez zaawansowaną obsługę pakietów.

N-Stealth Security Scanner 5.8

http://www.nstalker.com

N-Stealth Security Scanner 5.8 sprawdza podatność serwerów na ataki. Ma bazę około 16 tysięcy testów znanych luk w zabezpieczeniach serwerów WWW.

N-Stealth Security Scanner 5.8 sprawdza podatność serwerów na ataki. Ma bazę około 16 tysięcy testów znanych luk w zabezpieczeniach serwerów WWW.

Najłatwiejszą część testowania zabezpieczeń (włamania z punktu widzenia hakera) mamy już za sobą - udało się znaleźć włączone komputery i ustalić, jakie usługi zostały w nich uruchomione. Teraz kolej na dużo trudniejsze zadanie - sprawdzenie, czy wykryte usługi są podatne na ataki. Inaczej mówiąc, czy są jakieś luki w zabezpieczeniach. Do przetestowania usług sieciowych znakomicie nadaje się N-Stealth Security Scanner. Posłużymy się bezpłatną, okrojoną wersją programu, zawierającą około 16 tysięcy testów znanych luk w zabezpieczeniach serwerów WWW, m.in. 20 najczęstszych luk z listy SANS Top 20 (www.sans.org/top20). Wersja komercyjna N-Stealth sprawdza 30 tysięcy luk, a co miesiąc przybywa 200 nowych. Dzięki bezpłatnej wersji można wykryć najpopularniejsze luki w serwerach i ustalić, w jaki sposób je wykorzystać, np. program wyszukuje na serwerach WWW podatne na atak skrypty PHP i CGI, czy testuje podatność na ataki SQL injections. Obsługa aplikacji jest wyjątkowo prosta - wystarczy wpisać adres IP komputera z otwartym portem 80 (lub 443 w wypadku protokołu HTTPS) i rozpocząć skanowanie. Możesz zmienić numer otwartego portu na dowolny inny. Czas trwania procesu skanowania zależy od przepustowości łącza i może wynosić nawet kilkadziesiąt minut.

Enum

http://www.bindview.com/services/razor/utilities

Umożliwia identyfikację wielu informacji o systemie Windows. Program obsługuje się w wierszu poleceń, wpisując jego nazwę z odpowiednimi parametrami. Zbiera informacje o komputerze przez protokół NetBIOS i port 139. Enum może zdobyć listę użytkowników, komputerów, grup i ich członków, a nawet hasła i LSA (Local Security Authority). Może również posłużyć do złamania metodą siłową lub słownikową hasła dostępu do wybranego komputera. Zwróć uwagę, że niektóre programy antywirusowe, np. F-Secure podniosą alarm, informując o wykryciu narzędzia hakerskiego, gdy skopiujesz lub spróbujesz uruchomić Enum. Jednak program nie jest wirusem i korzystanie z niego nie grozi infekcją.

SNMPWalk 5.2

http://net-snmp.sourceforge.net

SNMP (Simple Network Management Protocol) jest powszechnie stosowanym protokołem, ale niemającym żadnych zabezpieczeń. Służy do monitorowania urządzeń sieciowych i administrowania nimi. Używają go m.in. serwery Windows i routery Cisco. Jedną z większych "słabości" protokołu SNMP jest przesyłanie jawnym tekstem haseł używanych w lokalnej sieci, np. do kont typu Gość. Jeśli chcesz ocenić stan zabezpieczeń sieci od strony protokołu SNMP, pomoże w tym program SNMPWalk, który umożliwia wydostanie cennych informacji z urządzeń korzystających z SNMP. SNMPWalk jest częścią projektu Net-SNMP. Program odpytuje urządzenia korzystające z SNMP, m.in. sprawdza, czy używają domyślnych ustawień (np. w wypadku routerów Cisco domyślnym hasłem jest ILMI). Ten ciąg znaków wykorzystany w połączeniu z SNMP-Walk może wydobyć szereg informacji z routera Cisco, w tym niezbędne do przejęcia kontroli nad siecią, jeśli tylko są przechowywane w Cisco Management Information Base (MIB).

Po zainstalowaniu pakietu Net-SNMP uruchomisz SNMPWalk z poziomu wiersza poleceń, wpisując snmpwalk z odpowiednimi parametrami. Polecenie bez parametrów wyświetli na ekranie instrukcję używania programu i opis znaczenia poszczególnych parametrów. SNMPWalk pobiera wszystkie informacje przechowywane przez agenta SNMP. Uprawnienia do ich odczytu otrzymasz po wprowadzeniu powszechnie znanego ciągu znaków (np. domyślne wartości stosowane przez producentów). Jeśli wartość domyślna została zmieniona, dość łatwo ją zdobyć, podsłuchując transmisję sieciową narzędziem typu sniffer.


Zobacz również