Security Audit - Penetrationstest

[markwaldhoff]

Da ich demnächst einen Penetrationstest in unserer Firma ausführen soll, wollte ich hier mal kurz nachfragen, welche Tools ihr mir da empfehlen könnt... mit Nessus hab ich mich schon beschäftigt... das kommt auf jeden Fall in die auswahl.... an Password-Crackern habe ich bis jetzt nur John the Ripper ausprobiert.... klappt auch ganz gut... brauche aber noch einen Passwort-Cracker für Windows rechner...

Vielleicht kennt Ihr ja noch ein paar interessante Tools... oder habt das ganze mal selber in euerer Firma gemacht und könnt mir tipps geben...

[Thomas]

John ist auch unter Windows lauffähig und für die Passwörter dieses OSes geeignet.

Thomas.

[karl-heinz]

Folgende Tools sind für Pen-Tests ganz gut:
- Nmap
- Nessus
- Nikto
- John The Ripper
- THC-Hydra
- Satan
- Saint

Les dir mal den Artikel vom Linux-Magazin durch: http://www.linux-magazin.de/Artikel/ausgabe/2002/03/pentest/pentest.html
Der ist ganz gut...

MfG Kalle

[markwaldhoff]

kann es sein das es Saint nur zu kaufen gibt ? ich dachte immer das sei OpenSource... ?!?!?!

[cane]

Wieso haste diesen Topic von dir nicht fortgeführt:
http://www.linuxforen.de/forums/showthread.php?t=117964

Ist doch exakt die selbe Frage...

cane

[markwaldhoff]

In dem anderen Thread ging es mehr um die allgemeine Vorgehensweise bei einem Security Audit.... diesmal geht es mir mehr um die Tools, die dabei verwendet werden können...

[markwaldhoff]

...und da hab ich direkt noch eine Frage...
wer hat schonmal THC Hydra verwendet ??? habt ihr die passwort und username dateien selber geschrieben, oder kann man die auch irgendwo herbekommen ?

[cane]

Du meinst eine Liste oft verwendeter logins / pwds?
Die findest Du online...

Das Problem ist nur ne Seite zu finden die nicht nur auf Dialer verlinkt...

[karl-heinz]

Hallo,

für THC Hydra musst du dir die sogenannten "Wordlists" selber suchen.
Saint ist soweit ich weiss jetzt kommerziell, früher war es Open-Source.

Gruß Kalle

[deadbeef]

hi,

naja, zunaechst mal waere hilfreich zu wissen, was du alles testen willst ?

nur klassisch webserver, ssh, ftp oder auch VPN gateways, wireless usw ?

fuer das infogathering von services kann ich dir noch : thc-amap empfehlen.
es identifiziert die ports nicht aufgrund der /etc/services sondern das
was die fingerprints so zurückliefern. in kombination dazu ist auch nmap 3.50
mit dem -A parameter sehr nützlich.

für vpn tests kann man z.b. ikescan/ikecrack benutzen.

desweiteren sind man-in-the-middle tools auch ganz nett, z.b.
dsniff, sslmitm, ssharp(ssh mitm)

wenn du im anderen segment sitzt und den traffic nicht über den
klassischen arpspoof trick rerouted bekommst, versuche es über
IRPAS und VIPPR (beides cisco routing attack tools von phenoelit)
oder ganz hart aus dem internet mit dem bgp rerouting tool admbgp.

guesswho (ssh2 brute forcer)

für wireless: kismet und bei cisco LEAP implementationen thc-leapcracker

für windows password knacken : LC4 (l0phtcrack 4)

für das testen von webapplications/datenbanken:

appscan
webinspect

gute einbruchssoftware (kein reiner scanner !):

core impact
canvas
metasploit 2.0 (FREE !)

exploitcode archive:

http://www.k-otik.com/exploits
http://www.befeared.com/?cmd=exploits
http://www.securiteam.com/exploits/
http://packetstormsecurity.nl
http://www.thc.org/exploits.php

weitere sites mit tools:

http://www.phenoelit.de/fr/tools.html
http://www.team-teso.net/releases.php
http://www.remote-exploit.org/codes.html

gibt natürlich noch eine menge mehr, womit man testen kann,
aber das sind so die gängisten sachen.

ansonsten wird ein pentest immer nur dann gut, wenn man
mit der hand testet (z.b. cross site scripting, sql-injection, race-conditions, algo-checks usw)

viele dinge finden die programme nämlich nicht, sondern nur ein funktionierendes hirn. ;)

gruss,
deadbeef

[markwaldhoff]

hat jemand vielleicht Word-Lists für THC Hydra da ??? Werde irgendwie nicht fündig... und könnte es sehr gut gebrauchen... :confused:

[emwe]

sieh oben www.packetstormsecurity.org . Dann "assessment" -> "Program and Password Cracking" -> "Wordlists".

Ist nicht so unlogisch, wie ich finde...
Außerdem gibts oben auf der Seite ein Textfeld mit einer komischen Beschriftung... hieß glaub ich "search" oder so ;p

Gruß,

emwe

[markwaldhoff]

Gibt es ein Tool womit ich remote ssh zugänge "brute-forcen" kann ???
Mit Hydra ist das ja leider nicht möglich...

[L00NIX]

Gibt es ein Tool womit ich remote ssh zugänge "brute-forcen" kann ???
Mit Hydra ist das ja leider nicht möglich...

Reicht es nicht, die Passwörter lokal mit Passwortcracker zu testen? Wozu das ganze noch remote checken? Außer bei einem fehlerhaften sshd bringt das nix. Und wenn der sshd fehlerhaft ist, braucht man kein Passwort.

[Thomas]

Jetzt wird es mir zu bunt.
Ich habe oft genug verwarnt: Hier werden keine Hilfen für Skript-Kiddies gegeben!
Falls du dich auf legalem Gebiet bewegst und selbst nicht die nötigen Kenntnisse hast, solltest du dich an einen professionellen Berater oder an eine Firma, welche Pen-Tests durchfüht, wenden.


Thomas.

[CLOSED]