Trabalho Academico - Instalacao e Testes com Honeypot usando Metasploit

Trabalho Honeypot Segurança e Auditoria de Sistemas Prof Carlos Oberdan Rolim O trabalho tem por objetivo instalar um honeypot e efetuar testes de penetração utilizando a ferramenta Metasploit Instruções Deverão ser entregues arquivos PDF contendo as telas solicitadas informações serão fornecidas mais abaixo O trabalho é individual Cada aluno é responsável pela preparação de seu ambiente de trabalho Porém como soulegal vou passar informações de como preparar tudo Honeydrive O Honeydrive é um projeto que possui diversas ferramentas préinstaladas para criação de honeypots Não iremos utilizar todas elas Porém é interessante dar uma olhada no sumário de suas features no link abaixo que também será utilizado para download de uma virtual appliance arquivo OVA para criação de uma máquina virtual Esse arquivo deverá ser importado usando o virtual box ou o vmware O Vmware pode reclamar que o arquivo OVA não está de acordo com o padrão Clique em retry que ele irá importar normalmente Instalação Baixar o Honeydrive httpsourceforgenetprojectshoneydrive Após ter importado o arquivo uma máquina virtual será criada Inicializandoa será mostrado um desktop Nesse desktop você pode ler o arquivo READMEtxt que contém informações a respeito de todos os aplicativos instalados no honeypot e também sobre seus arquivos de configuração e inicialização No nosso caso nos concentraremos em apenas duas de suas múltiplas ferramentas Kippo e Dionaea O usuário senha de super usuário honeydrive honeydrive importante pois será preciso em alguns momentos Kyppo e Kyppograph O Kippo é um honeypot SSH desenvolvido para sofrer ataques de força bruta Além disso ele possibilita que um atacante interaja com a shell imaginando estar realmente atacando um ambiente real mas que burro dá zero pra ele O Kippograph apresenta de forma visual todas as atividades que ocorreram com o Kippo através de uma interface web Configuração Abra uma shell através do icone de terminal presente no desktop 1 cd honeydrivekippo O arquivo kippocfg pode ser editado se desejar efetuar algum ajuste Porém pode ser deixado como padrão sem alterações que irá funcionar normalmente 2 honeydrivekippostartsh inicializar o kippo 3 ifconfig para verificar qual o endereço IP do honeypot Ele será chamado por nós de IPHONEYPOT e será utilizado nos testes mais abaixo Apontar o browser para o IP da máquina virtual descoberto com o ifconfig Deve aparecer uma mensagem do tipo URL http IPHONEYPOT Depois disso apontar o browser para httpIPHONEYPOTkippograph Dionaea From the developers site Dionaea é o sucessor do projeto Nepenthes Ele é um honeypot destinado a receber ataques de malwares que exploram serviços em uma rede coletar suas ações e até mesmo obter uma cópia do mesmo Configuração 1 inicializar o Dionaea sudo optdionaeabindionaea l alldebug L Irá solicitar a senha de superusuario que é honeydrive 2 em outro terminal abra outra janela cd honeydriveDionaeaFR 3 Inicializar a coleta de dados python managepy collectstatic Digite yes quando solicitado 4 Inicializar o servidor web para visualização dos logs python managepy runserver IPHONEYPOT 8000 Sendo que IPHONEYPOT é o IP do seu honeypot descoberto anteriormente com ifconfig e 8000 é a porta que o servidor irá rodar Minimize esse terminar e deixe a aplicação rodando Agora aponte o browser na sua máquina para httpIPHONEYPOT 8000 Com isso as configurações da máquina virtual necessárias para execução do trabalho estarão prontas O Honeydrive possui diversas outras ferramentas É interessante brincar com elas um pouco A curiosidade possibilita grande aprendizado Desktop para execução dos testes Uma vez configurada a máquina virtual será a vez de configurar o seu desktop para executar a ferramenta de pen tests O Metasploit é um conjunto das melhores plataformas de aprendizagem e investigação para o profissional de segurança ou do hacker ético Ele possui centenas de exploits payloads e ferramentas muito avançadas que nos permite testar vulnerabilidades em muitas plataformas sistemas operacionais e servidores Ele deve ser utilizado com muita cautela e somente para fins éticos Nos testes de penetração tradicionais eram usados os seguintes passos Encontrar um exploit público Ajustar os endereços de offset e retorno de acordo com o alvo Sobrepor o código do software alvo com um shellcode Com o Metasploit os testes envolvem os seguintes passos Carregar o módulo no Metasploit Selecionar o SO do alvo Definir o IP do alvo Definir o payload Run baby Ou seja todas as etapas trabalhosas foram bastante simplificadas e automatizadas Instalação Visite o site do projeto no link a seguir e selecione uma das opções para Download a opção Framework é free e atende as necessidades para esse trabalho mas se quiser testar a versão Pro fique a vontade mas lembrese que ela funciona somente por 14 dias httpswwwrapid7comproductsmetasploitdownloadeditions Necessária permissão de administrador para instalar o aplicativo Desabilite a firewall do Windows C netsh firewall set opmode disable C netsh advfirewall set currentprofile state off Desabilite o antivírus senão a instalação terá problemas ou nem mesmo acontecerá No caso do Windows Defender para desabilitar Abra a Central de Segurança do Windows Defender e selecione Proteção contra vírus e ameaças Configurações de ameaça Desativar Proteção em tempo real Instale o aplicativo Basta ir clicando em next Atenção Se na última tela você deixar marcado que deseja utilizar a interface web no final da instalação vai abrir o browser solicitando a criação de uma conta de usuário e o registro do software Demora um tempinho até o código de registro chegar na caixa posta Para nosso trabalho não precisa deixar essa opção marcada Clique em Finish e espere a finalização terminar pode demorar um tempo Vá até a pasta Cmetasploit e execute o arquivo devmsfconsole Será aberta a console metasploit v41649dev 1749 exploits 997 auxiliary 304 post 536 payloads 40 encoders 10 nops Free Metasploit Pro trial httpr7cotrymsp msf Dica o comando show apresenta informações globais e também dos módulos presentes Combinado com o comando info as coisas ficam mais simples Ahhhh existe o comando search para pesquisar por um modulo especifico Início dos testes Elencar as portas do sistema msf search portscan pesquisar quais portscan temos instalado Vamos executar um simples TCP port scan Note que o comando search demonstra que existem outros portscan que podem ser utilizados msf use scannerportscantcp set rhosts IPHONEYPOT set threads 50 run lets go IPHONEYPOT IPHONEYPOT21 TCP OPEN IPHONEYPOT IPHONEYPOT22 TCP OPEN IPHONEYPOT IPHONEYPOT42 TCP OPEN IPHONEYPOT IPHONEYPOT135 TCP OPEN demais portas abertas Isso indica quais portas estão com serviços em execução A dinâmica do trabalho final será a seguinte eu demonstro como testar dois serviços e vocês testam os outros que eu solicitar por conta própria OK Esse será o desafio do trabalho Atenção Você deve OBRIGATÓRIAMENTE executar os passos dos testes descritos abaixo os que irei indicar que devem ser executados para o trabalho ser considerado completo Arquivo de senhas word list Em alguns serviços tentaremos fazer um ataque de força bruta Para isso será necessário um arquivo com muitas senhas muitas mesmo No meu caso para demonstrar como isso pode ser feito vou utilizar um aplicativo para gerar senhas Existem diversos outros que você pode usar ou até mesmo baixar wordlists prontas na internet O aplicativo que usarei será o PWGen que pode ser baixado em httppwgenwinsourceforgenet ou httpssourceforgenetprojectspwgenwinsourcetypredirect Após instalado executeo Marque as checkbox Include characters include words format password Clique no ícone do disquete para salvar o arquivo O meu arquivo eu salvei em c emppasswords Teste do SSHD porta 22 No Metasploit executar os seguintes comandos use auxiliaryscannersshsshlogin set rhosts IPHONEYPOT set port 22 set threads 50 set username SEUNOME PRIMEIRA LETRA DO SOBRENOME IMPORTANTE que seja definido dessa forma ou o trabalho não será considerado válido Exemplo para o nome Joao Silva deve ser usado o comando set username joãos set passfile c emppasswords ATENCAO usar duas exploit Scanned 1 of 1 hosts 100 complete Auxiliary module execution completed back retornar Teste do MsSQL porta 1433 use auxiliaryscannermssqlmssqllogin info vai mostrar as informacoes do modulo set USERNAME meta set PASSWORD c emppasswords arquivo de senha gerado anteriormente set RHOSTS IPHONEYPOT run Mais informações em httpswwwdarkoperatorcomblog20091127attackingmssqlwithmetasploithtml Testes de penetração que você deve efetuar Você deve efetuar testes de penetração usando o Metasploit seguindo a mesma lógica dos testes demonstrados acima para os seguintes serviços FTP porta 21 Dica Use o modulo ftplogin e defina o username como root Msrpc porta 135 Dica daqui para a frente lembrese do comando search e do google HTTPS porta 443 Dica Pode ser um simples HTTP SSL Certificate Checker SMB 445 Dica veja o Microsoft Print Spooler Service Impersonation Vulnerability SIP porta 5060 Dica Use the force Luke Crie um PDF contendo os comandos que você usou e a saída de cada um dos testes basta copiar e colar do console do Metasploit Esse arquivo será chamado de exploitspdf Abra o navegador e digite o seguinte endereço http IPHONEYPOTkippograph Clique em Kippograph Será apresentada uma tela como a seguinte Mande imprimir a tela como PDF Esse arquivo deverá ser nomeado para kippopdf Aponte seu browser para o dionaeaFR e mande imprimir para um arquivo PDF a saída dos seguintes links Home http192168371318000 arquivo dionaeahomepdf Services http192168371318000graphsservices arquivo dionaeaservicespdf Connections http192168371318000connections arquivo dionaeaconnpdf Tela do link Home Tela do link Services Tela do link Connections Poste no site da disciplina sistema de envio de trabalhos os arquivos que foram criados exploitspdf kippopdf dionaeahomepdf dionaeaservicespdf dionaeaconnpdf Well done young Padawan Finalizando Existe bastante matéria na Internet sobre como usar o Metasploit para diferentes fins Um link bacana para aprender mais é o METASPLOIT UNLEASHED FREE ETHICAL HACKING COURSE httpswwwoffensivesecuritycommetasploitunleashed No visible text to extract Exploits msf6 search portscan Matching Modules Name Disclosure Date Rank Check Description 0 auxiliaryscannerportscanftpbounce normal No FTP Bounce Port Scanner 1 auxiliaryscannernatpmpnatpmpportscan normal No NATPMP External Port Scanner 2 auxiliaryscannersapsaprouterportscanner normal No SAPRouter Port Scanner 3 auxiliaryscannerportscanxmas normal No TCP XMas Port Scanner 4 auxiliaryscannerportscanack normal No TCP ACK Firewall Scanner 5 auxiliaryscannerportscantcp normal No TCP Port Scanner 6 auxiliaryscannerportscansyn normal No TCP SYN Port Scanner 7 auxiliaryscannerhttpwordpresspingbackaccess normal No Wordpress Pingback Locator Interact with a module by name or index For example info 7 use 7 or use auxiliaryscannerhttpwordpresspingbackaccess msf6 auxiliaryscannerportscantcp set rhosts 127001 rhosts 127001 msf6 auxiliaryscannerportscantcp run 127001 Warning The Windows platform cannot reliably support more than 16 threads 127001 Thread count has been adjusted to 16 127001 127001135 TCP OPEN 127001 127001445 TCP OPEN 127001 1270012968 TCP OPEN 127001 Caught interrupt from the console Auxiliary module execution completed msf6 auxiliaryscannerportscantcp use auxiliaryscannersshsshlogin msf6 auxiliaryscannersshsshlogin set rhosts 127001 rhosts 127001 msf6 auxiliaryscannersshsshlogin set port 22 port 22 msf6 auxiliaryscannersshsshlogin set threads 50 threads 50 msf6 auxiliaryscannersshsshlogin set username gabriell username gabriell msf6 auxiliaryscannersshsshlogin set passfile cUserspsmalDocuments passfile cUserspsmalDocuments msf6 auxiliaryscannersshsshlogin exploit Warning The Windows platform cannot reliably support more than 16 threads Thread count has been adjusted to 16 12700122 Starting bruteforce Error 127001 ErrnoEISDIR Is a directory rbsysopen cUserspsmalDocuments Scanned 1 of 1 hosts 100 complete Auxiliary module execution completed msf6 auxiliaryscannersshsshlogin msf6 auxiliaryscannermssqlmssqllogin info Name MSSQL Login Utility Module auxiliaryscannermssqlmssqllogin License Metasploit Framework License BSD Rank Normal Provided by MC mcmetasploitcom Check supported No Basic options Name Current Setting Required Description BLANKPASSWORDS true no Try blank passwords for all users BRUTEFORCESPEED 5 yes How fast to bruteforce from 0 to 5 DBALLCREDS false no Try each userpassword couple stored in the current database DBALLPASS false no Add all passwords in the current database to the list DBALLUSERS false no Add all users in the current database to the list DBSKIPEXISTING none no Skip existing credentials stored in the current database Accepted none user userrealm PASSWORD no A specific password to authenticate with PASSFILE no File containing passwords one per line RHOSTS yes The target hosts see httpsgithubcomrapid7metasploitframewo rkwikiUsingMetasploit RPORT 1433 yes The target port TCP STOPONSUCCESS false yes Stop guessing when a credential works for a host TDSENCRYPTION false yes Use TLSSSL for TDS data Force Encryption THREADS 1 yes The number of concurrent threads max one per host USERNAME sa no A specific username to authenticate as USERPASSFILE no File containing users and passwords separated by space one pair per line USERASPASS false no Try the username as the password for all users USERFILE no File containing usernames one per line USEWINDOWSAUTHENT false yes Use windows authentification requires DOMAIN option set VERBOSE true yes Whether to print output for all attempts Description This module simply queries the MSSQL instance for a specific userpass default is sa with blank References httpsnvdnistgovvulndetailCVE19990506 msf6 auxiliaryscannermssqlmssqllogin set USERNAME meta USERNAME meta msf6 auxiliaryscannermssqlmssqllogin set PASSWORD cUserspsmalDocuments PASSWORD CUserspsmalDocuments msf6 auxiliaryscannermssqlmssqllogin set RHOSTS 127001 RHOSTS 127001 msf6 auxiliaryscannermssqlmssqllogin run 1270011433 1270011433 MSSQL Starting authentication scanner 1270011433 No active DB Credential data will not be saved 1270011433 1270011433 LOGIN FAILED WORKSTATIONmetacUserspsmalDocuments Unable to Connect 1270011433 1270011433 LOGIN FAILED WORKSTATIONmeta Unable to Connect Scanned 1 of 1 hosts 100 complete Auxiliary module execution completed msf6 auxiliaryscannerftpftplogin set THREADS 30 THREADS 30 msf6 auxiliaryscannerftpftplogin set USERNAME root USERNAME root msf6 auxiliaryscannerftpftplogin set PASSFILE CUserspsmalDocumentssenhas PASSFILE CUserspsmalDocumentssenhas msf6 auxiliaryscannerftpftplogin show options Module options auxiliaryscannerftpftplogin Name Current Setting Required Description BLANKPASSWORDS false no Try blank passwords for all users BRUTEFORCESPEED 5 yes How fast to bruteforce from 0 to 5 DBALLCREDS false no Try each userpassword couple stored in the current da tabase DBALLPASS false no Add all passwords in the current database to the list DBALLUSERS false no Add all users in the current database to the list DBSKIPEXISTING none no Skip existing credentials stored in the current data ba se Accepted none user userrealm PASSWORD no A specific password to authenticate with PASSFILE CUserspsmalDocumentssenhas no File containing passwords one per line Proxies no A proxy chain of format typehostporttypehostport RECORDGUEST false no Record anonymousguest logins to the database RHOSTS 127001 yes The target hosts see httpsgithubcomrapid7meta sploitframeworkwikiUsingMetasploit RPORT 21 yes The target port TCP STOPONSUCCESS false yes Stop guessing when a credential works for a host THREADS 30 yes The number of concurrent threads max one per host USERNAME root no A specific username to authenticate as USERPASSFILE no File containing users and passwords separated by space one pair per line USERASPASS false no Try the username as the password for all users USERFILE no File containing usernames one per line VERBOSE true yes Whether to print output for all attempts msf6 auxiliaryscannerftpftplogin exploit 12700121 Warning The Windows platform cannot reliably support more than 16 threads 12700121 Thread count has been adjusted to 16 12700121 Starting FTP login sweep 12700121 No active DB Credential data will not be saved 12700121 LOGIN FAILED root J0bfI6qcRG Unable to Connect 12700121 LOGIN FAILED rootGmgsEVl57sR Unable to Connect 12700121 LOGIN FAILED roots5dMSrAA01 Unable to Connect 12700121 Scanned 1 of 1 hosts 100 complete Auxiliary module execution completed msf6 auxiliaryscannersmbsmblogin back msf6 use auxiliaryscannersipoptions msf6 auxiliaryscannersipoptions show info Name SIP Endpoint Scanner UDP Module auxiliaryscannersipoptions License Metasploit Framework License BSD Rank Normal Provided by hdm hdmio Check supported No Basic options Name Current Setting Required Description BATCHSIZE 256 yes The number of hosts to probe in each set RHOSTS yes The target hosts see httpsgithubcomrapid7metasploitframeworkwikiUsingMetasploit RPORT 5060 yes The target port UDP THREADS 10 yes The number of concurrent threads TO nobody no The destination username to probe at each host Description Scan for SIP devices using OPTIONS requests msf6 auxiliaryscannersipoptions set THREADS 16 THREADS 16 msf6 auxiliaryscannersipoptions set RHOSTS 127001 RHOSTS 127001 msf6 auxiliaryscannersipoptions run Sending SIP UDP OPTIONS requests to 127001127001 1 hosts Scanned 1 of 1 hosts 100 complete Auxiliary module execution completed msf6 auxiliaryscannersipoptions DionaeaFR Catches bugs DATA Home Connections Downloads GRAPHS Services Ports URLs IPs Malware Connections MAPS Attackers Countries Last 7 days Number of Connections dmY DATA Home Connections Downloads GRAPHS Services Ports URLs IPs Malware Connections MAPS Attackers Countries 11 Connections 1 IPs 0 URLs 0 Downloads 0 Malware Analyzed 0 Malware Known Connections by country Reserved Others Unknown IPs by country Reserved Others Unknown Reserved 10000 Connections of last year mY