Estamos implementando un nuevo sitio web, alojado nosotros mismos. A menos que te pongas sombreros blancos, ¿cómo harías las pruebas de penetración desde fuera de la red?
Yo hago querer un sombrero blanco en, el problema que tengo es que la empresa es reacio a gastar el dinero. Para obtener la financiación, primero necesito exponer cualquier vulnerabilidad (pollo y huevo, lo sé), por lo que idealmente necesito una solución gratuita en primera instancia. ¿Algunas ideas?
Marko Carter
en la pila de windows?
jinsungy
Sí, Windows Server 2008 Web edition usando IIS7 para la máquina host, hablando con dos servidores de base de datos (ambos Windows 2003, uno con SQL 2000 y el otro con SQL 2005)
Marko Carter
Respuestas:
7
los consultores de sombrero blanco que he visto entran y usan esta herramienta y luego le envían una factura masiva.
¡Eche un vistazo a OWASP (Open Web Application Security Project), son muy informativos y gratuitos! tienen una guía de prueba de pluma muy detallada que debes mirar.
McAfee Secure ofrece un servicio de escaneo bastante decente que analizará el servidor web, la red y el sitio web de manera automatizada y bajo demanda. Su escáner está certificado para escaneos PCI, por lo que es bastante completo.
Otra opción es Qualys . Tenga en cuenta que Qualys y la solución mcAfee Secure son escáneres de vulnerabilidades. La prueba de lápiz se puede automatizar con respecto a los escaneos, y algunos de ellos se pueden automatizar para ataques de inyección XSS y SQL, pero en última instancia, querrá un pentester de buena reputación que verifique el sistema.
Yo hago querer un sombrero blanco en, el problema que tengo es que la empresa es reacio a gastar el dinero. Para obtener la financiación, primero necesito exponer cualquier vulnerabilidad (pollo y huevo, lo sé), por lo que idealmente necesito una solución gratuita en primera instancia. ¿Algunas ideas?
Marko Carter
¿Gratis? Comience con lo básico que puede hacer usted mismo: nmap ( nmap.org ) para hacer un escaneo de puertos y servicios y nikto ( cirt.net/nikto2 ) para hacer un escaneo de vulnerabilidades.
K. Brian Kelley
2
Lo primero sería un escaneo de red . Como está en la pila de Windows, use zenmap y escanee el servidor web y ambos servidores sql. Esto le informará sobre los puertos abiertos y los servicios en ejecución. Ejecute zenmap en la prueba completa. Usaría esta información para ajustar su firewall para bloquear los puertos que están expuestos.
Otra cosa que desearía hacer es buscar vulnerabilidades de inyección SQL .
Scrawlr es un software gratuito para escanear vulnerabilidades de inyección SQL en sus aplicaciones web.
Está desarrollado por HP Web Security Research Group en coordinación con Microsoft Security Response Center.
Mira este video de ScreenToaster que creé. Muestra una exploración de red simple para el servidor sql, el puerto 1433 y una inyección básica de SQL.
Lista de los principales escáneres de vulnerabilidad: http: // sectools.org/vuln-scanners.html
También está el Analizador de seguridad de línea de base de Microsoft, que debería ser parte de su configuración base si aún no lo está antes de implementar un servidor para producir: http: // www.microsoft.com/downloads/details.aspx?familyid=F32921AF-9DBE-4DCE- 889E-ECF997EB18E9 & displaylang = es
Nikto es un buen comienzo para buscar vulnerabilidades bien conocidas. Funciona en Windows y Linux, etc. Bastante simple incluso para novatos como yo :)
Independientemente de la tecnología, necesita conocer las amenazas. ¿Necesita saber cuáles son los datos que está tratando de proteger? Necesita saber cómo funciona su sitio web. Haga un modelo de amenaza olvidando primero estos métodos mágicos de tecnología de bala de seguridad. Debe averiguar dónde se encuentra antes de gastar dinero inútil en una prueba de penetración.
De hecho, soy el creador principal de un nuevo Pentest LiveCD Distro, que es una bifurcación de Backtrack 4. El Distro integra todo lo necesario para realizar buenas pruebas de penetración (OpenVAS, Metasploit, fasttrack, milw0rm exploits ...). Su nombre es shadowcircle, y puedes verlo @
Hay una variedad de herramientas de licencias públicas a su disposición, sin embargo, donde opero, utilizamos Firefox y Paros Proxy para manipular publicaciones y recibos, WebInspect para informes de vulnerabilidad de aplicaciones y QualysGuard Enterprise para un buen escaneo de hosts a la antigua. Dependiendo de cuáles sean los resultados, hacemos ajustes a la configuración y la postura de seguridad de la caja, creamos formularios de aceptación de riesgos para cosas que no podemos cambiar, o utilizamos otras herramientas para decidir si un hallazgo es realmente algo de lo que preocuparse.
Respuestas:
los consultores de sombrero blanco que he visto entran y usan esta herramienta y luego le envían una factura masiva.
¡Eche un vistazo a OWASP (Open Web Application Security Project), son muy informativos y gratuitos! tienen una guía de prueba de pluma muy detallada que debes mirar.
fuente
Herramientas que usaría
Nmap Sister Tool SQLMap
y Nessus
también escaneo rápido para inyección XSS y HTML http://www.seoegghead.com/tools/scan-for-html-injection.seo también http://www.cirt.net/nikto2
Asegúrese de haber visto esto durante su desarrollo OWASP
También debe consultar la Guía de seguridad de la Guía de seguridad de MS Windows Server 2008
fuente
McAfee Secure ofrece un servicio de escaneo bastante decente que analizará el servidor web, la red y el sitio web de manera automatizada y bajo demanda. Su escáner está certificado para escaneos PCI, por lo que es bastante completo.
fuente
Otra opción es Qualys . Tenga en cuenta que Qualys y la solución mcAfee Secure son escáneres de vulnerabilidades. La prueba de lápiz se puede automatizar con respecto a los escaneos, y algunos de ellos se pueden automatizar para ataques de inyección XSS y SQL, pero en última instancia, querrá un pentester de buena reputación que verifique el sistema.
fuente
Lo primero sería un escaneo de red . Como está en la pila de Windows, use zenmap y escanee el servidor web y ambos servidores sql. Esto le informará sobre los puertos abiertos y los servicios en ejecución. Ejecute zenmap en la prueba completa. Usaría esta información para ajustar su firewall para bloquear los puertos que están expuestos.
Otra cosa que desearía hacer es buscar vulnerabilidades de inyección SQL .
Mira este video de ScreenToaster que creé. Muestra una exploración de red simple para el servidor sql, el puerto 1433 y una inyección básica de SQL.
fuente
Lista de los principales escáneres de vulnerabilidad: http: // sectools.org/vuln-scanners.html
También está el Analizador de seguridad de línea de base de Microsoft, que debería ser parte de su configuración base si aún no lo está antes de implementar un servidor para producir: http: // www.microsoft.com/downloads/details.aspx?familyid=F32921AF-9DBE-4DCE- 889E-ECF997EB18E9 & displaylang = es
fuente
Nikto es un buen comienzo para buscar vulnerabilidades bien conocidas. Funciona en Windows y Linux, etc. Bastante simple incluso para novatos como yo :)
fuente
Independientemente de la tecnología, necesita conocer las amenazas. ¿Necesita saber cuáles son los datos que está tratando de proteger? Necesita saber cómo funciona su sitio web. Haga un modelo de amenaza olvidando primero estos métodos mágicos de tecnología de bala de seguridad. Debe averiguar dónde se encuentra antes de gastar dinero inútil en una prueba de penetración.
Matt Parsons CISSP mparsons1980 [at] gmail.com
fuente
De hecho, soy el creador principal de un nuevo Pentest LiveCD Distro, que es una bifurcación de Backtrack 4. El Distro integra todo lo necesario para realizar buenas pruebas de penetración (OpenVAS, Metasploit, fasttrack, milw0rm exploits ...). Su nombre es shadowcircle, y puedes verlo @
www.shadowcircle.org.
Espero que te guste;)
fuente
Hay una variedad de herramientas de licencias públicas a su disposición, sin embargo, donde opero, utilizamos Firefox y Paros Proxy para manipular publicaciones y recibos, WebInspect para informes de vulnerabilidad de aplicaciones y QualysGuard Enterprise para un buen escaneo de hosts a la antigua. Dependiendo de cuáles sean los resultados, hacemos ajustes a la configuración y la postura de seguridad de la caja, creamos formularios de aceptación de riesgos para cosas que no podemos cambiar, o utilizamos otras herramientas para decidir si un hallazgo es realmente algo de lo que preocuparse.
fuente
Escaneos gratuitos de vulnerabilidad de Nikto, Nmap, OpenVas disponibles en línea desde este sitio web
fuente