Link
| Il footprinting |
| Network & Sniffing | ||||||||||||||||||||||||||||||||
| Domenica 13 Marzo 2011 19:24 | ||||||||||||||||||||||||||||||||
|
Ho fatto una spece di riassunto di varie info trovate in giro e vorrei riportarvele. Il footprinting è l'attività che consente di creare un profilo sulla sicurezza di un bersaglio. Attraverso vari strumenti e metodi è possibile arrivare a conoscere moltissime info su un determinato bersaglio (organizzazioni, privati, ecc). E' la prima attività svolta dagli hacker quando voglio attaccare qualcuno (per qualsiasi scopo lo vogliano fare), ed è fondamentale in quanto permette di raccogliere molte info. Gli elementi che vengono monitorati sono:
I vari passi che vengono effettuati sono abbastanza personali, ma facendo un riassunto ne ho individuati 6. PASSO 1: definire l'ambito di attività Si tratta di determinare su cosa raccogliere informazioni:
PASSO 2: autorizzazioni Supponendo che stiate facendo tutto in buona fede e per testare la sicurezza della vostra organizzazione. dovete ottenere i permessi per svolgere la vostra attività. In sostanza si tratta dei livelli 8 e 9 del modello OSI a 7 livelli: politica e finanziamenti. PASSO 3: informazioni pubbliche Molti di voi magari non ci pensano, ma ci sono tantissime informazioni pubblilche se sapete dove cercare:
PASSO 4: enumerazione WHOIS Prima di tutto che cos'è il WHOIS: è un protocollo che consente di determinare a quale provider appartenga un determinato indirizzo IP. Prima di andare oltre, però, è meglio spiegare le basi sulla gestione di Internet, in modo da capire bene come funziona la procedura. Le funzionalità centrale di Internet è gestita dall'ICANN, che è una sorta di organizzazione di coordinazione per Internet. Nello specifico coordina l'assegnazione dei seguenti identificatori:
L'ICANN è divisa in diverse parti:
Nello specifico l''ASO alloca blocchi di indirizzi IP ai registri regionali RIR che gestiscono e distribuiscono i vari IP agli ISP o ad altre organizzazioni. Le varie regioni in cui si suddivide l'ASO sono:
Capita tutta questa suddivisione possiamo fare un esempio reale cominciando con le ricerche relative ai domini. Prima di tutto dobbiamo identificare qyale server WHOIS contiene le info che vogliamo. Per farlo si usano le cosi dette tre R del WHOIS: si identifica il Registry per un dato dominio (tipo .com) che contiene info sul Registrar che è colui che ha registrato il dominio bersaglio; infine identifichiamo il Registrant corrispondente allo specifico nome di dominio. Per fare tutto ciò possiamo usare uno dei tant siti dedicati ale ricerche WHOIS, oppure fare tutto "a mano". Vediamo un possibile procedimento. Ci colleghiamo a WHOIS IANA e cerchiamo il registry per il dominio .it (ad esempio). In fondo vediamo che http://www.nic.it/; ci colleghiamo e clicchiamo su WHOIS a destra e cerchiamo orangeneration.it. Vediamo che è stato registrato da Aruba; sulla sinistra clicchiamo sul link Whois per vedere tutte le info del sito (alcuni provider hanno servizi di WHOIS specifici ma su Aruba non l'ho trovato). Così facendo abbiamo molti dettagli non trascurabili, ed aumentano nel caso di alcuni provider.. Volendo possiamo effettuare le stesse ricerche comodamente dal terminale (esempio di un libro):
Inoltre come detto prima potete usare uno dei tatissimi siti online (basta cge cercate whois su Google). Volendo possiamo fare le ricerche per IP invece che per dominio. Andate sul sito dell'ARIN e mettete l'IP nella casella in alto a destra. Proviamo con 217.200.200.42. L'indirizzo è allocato presso RIPE; andiamo quindi presso il sito RIPE e mettete l'IP in RIPE database. Scopriamo che è gestito dalla Telecom. Questa procedura può essere usate per tracciare qualsiasi indirizzo; al massimo combiareanno i gestori dell'IP. Tenendo però conto che è sempre possibile mascherare il proprio indirizzo...... PASSO 5: interrogazione dei DNS A questo punto passiamo all'interrogazione dei DNS. Il metodo più usato è il cosidetto "trasferimento di zona", tenendo però in considerazione che ad oggi i sistemi di sicurezza sono molto migliorati e non è sempre possibile usare questa metodologia. Il modo classico è quello di usare nslookup, un semplice programma da riga di comando. Se date solo il comando nslookup si avvierà una spece di sessione interattiva. All'avvio dovrebbe indicare il server DNS di default. Se però il nostro server DNS non è autorizzato per il dominio bersaglio non conterrà tutti i record DNs che stiamo cercando, e quindi dovremmo indicare manualmente quale interrogare. Vi posto un esempio trovato su u file pdf (scaricato chissà dove):
In questo caso utiliziamo il server primario per il dominio esempio.com (192.168.1.1). Come tipo di record impostiamo any per lavorare su qualsiasi record DNS. Con ls elenchiamo tutti i record associati a un dominio, e con l'opzione -d elenchiamo tutti i record del dominio. Il risultato lo salviamo dentro /tmp/zone_out in modo da poterlo leggere con calma. Ci sono varie voci di cui alcune di particolare interesse. Ad esempio il record A che contiene l'IP del nome del sistema operativo in esecuzione Altro record importante è HINFO che indica il sistema operativo in uso. Ovviamene possiamo estrapolare tutte le info che vogliamo con i soliti programmi da shell (tipo grep, awk, sed, ....). Sennò possiamo agire usando l'utility host (sempre da riga di comando) che ci leva un pò di lavoro:
Se vi servono solo gli IP:
Infine con host possiamo anche identificare dov'è gestita la posta:
Altro comando molto utilizzato è dig, che può svolgere in automatico molte operazioni descritte:
Infine c'è anche axfr che però in questo momento non ho. PASSO 6: riconoscimento della rete Ottenute tutte queste info possiamo provare a identificare le tipologie di rete e i potenzili punti di ingresso. Il modo migliore è usare il comando traceroute:
Possiamo vedere il percorso dei pacchetti attraverso vari hop senza essere bloccati. Di default traceroute usa pacchetti UDP, ma possiamo specificare l'opzione -I per usare pacchetti ICMP (default per Windows). Inoltra possiamo usare l'opzione -p n per specificare un numero di porta UDP incrementato di uno dopo l'avvio. Se vogliamo bloccare questo comportamento usaimo il flag -S. Se no volete usare il terminale potete trovare in rete diversi strumenti grafici.
Direi che tutto ciò può bastare. Non sono andato troppo nello specifico, ma magari ho acceso la vostra cursioità. In rete trovate moltissime guide e articoli per approfondire. Come ultima nota vi dico che la maggior parte dei programmi citati sono presenti sia per Unix che per Windows. Ciauz!! |
||||||||||||||||||||||||||||||||
| Ultimo aggiornamento Venerdì 18 Marzo 2011 18:14 |
