Ferramentas Forense: Recuperando WIFIs

Olá a todos, no post de hoje vamos falar sobre a análise forense e extrair todas as informações sobre redes Wi-Fi à qual está ligado um PC com Windows.

Para o Windows, listamos a rede Wi-Fi para que um usuário tenha contectado analisando a seguinte chave do Registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged\XXXXXXX

Podes ver um exemplo das seguintes capturas:

Para extrair informações mais rápido e não ter que ir ler uma por uma todas as subchaves, eu programei um script Python simples que eu sair e, em seguida, vamos listar todas as redes:

from _winreg import *

def val(val):
    addr=''
    for ch in val:
        addr+='%02x '% ord(ch)
    addr=addr.strip(' ').replace(' ',':')[0:17]
    return addr

def showNetworkList():
	key=OpenKey(HKEY_LOCAL_MACHINE,r"SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged")
	print '\n WiFis:\n ======'
	subkeyNo,valueNo,lastMod=QueryInfoKey(key)
	for x in range(subkeyNo):
		try:
			netKey=OpenKey(key,str(EnumKey(key,x)))
			(n,addr,t)=EnumValue(netKey,5)
			(n,name,t)=EnumValue(netKey,4)
			print ' - ' + str(unicode(name).encode("utf-8")) + ' [' + val(addr) + ']'
			CloseKey(netKey)
		except WindowsError:
			break

def main():
    showNetworkList()
if __name__=="__main__":
    main()

Abaixo, você vai ver o resultado desse console foi dado:


Além disso, a configuração destes redes WiFi é armazenada noutro local. No caso do Windows 7 são armazenados em arquivos XML hospedados no seguinte caminho:

 

C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces\{Interfaz}

E no caso do Windows XP, esta información a encontraremos no registro de Windows, no seguinte caminho:

c:/ProgramData/Microsoft/Wlansvc/Profiles/Interfaces/[INTERFAZ]

Isso é tudo por hoje, não vai resistir a qualquer Wifi! :-)

Abraços!

 

Anúncios

Wi-fi Cracking Windows

Tá em ENGLISH!

 

 

Tools required: 1] CommView for Wi-Fi

2] Aircrack-ng (Windows based)

Now open your “CommView” for Wifi and go to “file option” and click on “file capture” like shown in the figure below:

After that a new window appears and then click on “start scanning”.

After scanning its shows the list of all channels and the wireless networks which are running on specified channels as shown in the figure below:

In the above figure I selected a network which is running on channel 6.For details see the right side of the window, it shows the network encryption type, SSID and MAC address. Then click on “capture” and wait for the packet data. You have to create a minimum of 5000 packets for cracking a WEP key. When the numbers of packets are high, it’s easier for you to crack the key as shown in the figure below:

When sufficient packets create the “go to file option”, click on “stop capture”.

After the capturing process is complete, it creates a log file in the “log folder”. You can check your log folder directory by clicking on “log tab”. In the figure below it shows the directory of “my log folder” which is in “my documents/CommView for Wifi/Logs”.

Tools required: 1] CommView for Wi-Fi

2] Aircrack-ng (Windows based)

Now open your “CommView” for Wifi and go to “file option” and click on “file capture” like shown in the figure below:

After that a new window appears and then click on “start scanning”.

After scanning its shows the list of all channels and the wireless networks which are running on specified channels as shown in the figure below:

In the above figure I selected a network which is running on channel 6.For details see the right side of the window, it shows the network encryption type, SSID and MAC address. Then click on “capture” and wait for the packet data. You have to create a minimum of 5000 packets for cracking a WEP key. When the numbers of packets are high, it’s easier for you to crack the key as shown in the figure below:

When sufficient packets create the “go to file option”, click on “stop capture”.

After the capturing process is complete, it creates a log file in the “log folder”. You can check your log folder directory by clicking on “log tab”. In the figure below it shows the directory of “my log folder” which is in “my documents/CommView for Wifi/Logs”.

REFERENCES:

http://www.squidoo.com/what-is-wifi

http://mobileoffice.about.com/od/glossary/g/wi-fi.htm

http://en.wikipedia.org/wiki/Wi-Fi

http://compnetworking.about.com/od/wirelesssecurity/f/what-is-a-wireless-key.htm

http://compnetworking.about.com/od/wirelessfaqs/f/wep_keys.htm

http://compnetworking.about.com/cs/wirelesssecurity/g/bldef_wpa.htm

 

Fonte:InfoSecInstitute

Executando comando no Linux do seu historico

Muitas vezes, as coisas podem tipo assim, você quer executar um comando muito longo e você é tão preguiçoso como eu sou, ou esquecido, não conseguiu memoriar o comando, mas sabe que já rodou ele no Linux, Então, aqui está o que você faz:

history |grep COMANDO_OU_PARTE_DO_COMANDO

Exemplo do rsync:

history |grep rsync
  110  man rsync 
  111  rsync -h
  116  rsync -h |grep time
  117  rsync -h |grep -i time
  122  rsync -arH some/local/dir some-machine-name:/some/remote/dir

Você pode copiar ou dar um exclamação o ID do historico:
!122
rsync -arH some/local/dir some-machine-name:/some/remote/dir

DoS simples no Windows , utilizando Bomba Fork

A bomba fork é uma forma de ataque de negação de serviço em um computador que executa a operação fork, ou alguma funcionalidade equivalente pelo qual um processo pode criar um outro processo. Bomba wabbit fork é considerado uma réplica, porque não é o mesmo que os vermes ou vírus. O seu efeito baseia-se no pressuposto de que o número de programas e os processos que funcionam simultaneamente no computador tem um limite.

Uma bomba fork funciona através da criação de um grande número de processos muito rapidamente, a fim de saturar o espaço disponível na lista de processos mantida pelo sistema operativo do computador. Se a tabela de processo torna-se saturado então não pode iniciar novos programas até que eles fecham um. Para que isso aconteça, é muito improvável que você pode começar um programa útil, porque os processos de bomba estão à espera de novos processos para criar a primeira chance de ser concedido.

Bombas Fork não só ocupam espaço dentro da lista de processos, também consomem tempo e memória da máquina onde eles correm de processamento. Como resultado, os computadores ficam lento e pode mesmo tornar-se inutilizável devido a falta de memória e a incapacidade para tirar vantagem do processador.

esquema:

Criando uma bomba Fork in Windows:

1) Abra um bloco de notas e cole o seguinte código:

:s

start %0

%0 | %0

goto s

2) Guardamos o arquivo com a extensão “.bat”

3) Para testar a bomba, executei numa máquina virtual con Windows XP.

Aos pocos segundos a máquina se congela totalmente.

Quem sabe a utilidade destas “bombas”? … Piadas …

Ataques de Brute-Force em Aplicações Web

O ataque de Brute-force sempre foi muito comum em serviços disponibilizados remotamente tais quais, ftp, smtp, pop entre outros. Em geral este ataque por si só não apresenta um risco muito grave, porém pode ser utilizado como vetor para ataques mais complexos que podem explorar falhas na infra-estrutura que vão desde políticas mal configuradas de permissões, política de senha ineficiente ou inexistente entre outras.

Durante este tipo de ataque, o atacante tenta transpor mecanismos de segurança como por exemplo sistemas de autenticação, proteção de diretórios por senha e etc, tendo como base um mínimo conhecimento sobre o alvo.

Existem basicamente 2 métodos que podem ser empregados neste tipo de ataque o ataque de dicionário e o de força-bruta.

Dicionário: O atacante utiliza um catalogo pré-formatado onde no caso são utilizadas strings que contém possíveis resultados e que em geral utilizam senhas padrão comumente utilizadas, nomes de pastas utilizadas e etc. Em geral este tipo de ataque tende a ser direcionado.

Força-Bruta: O atacante utiliza classes de caracteres ex: alfanumerica, especiais, case sensitive e etc. Neste caso específico este tipo de método demanda muito tempo e seu percentual de aproveitamento é muito baixo assim como gera muito alarde durante o ataque fazendo com que possíveis mecanismos de segurança como IDSs, IPSs e etc sejam acionados.

Em sua grande maioria ataques de brute-force são utilizados para conseguir senhas de usuários para controle de acesso de aplicações e sistemas. Entretanto existem diversas ferramentas que utiliza esta técnica para examinar web services, procurar pastas contendo arquivos que possam conter senhas de banco de dados, assim como testar como a aplicação se comporta utilizando diferentes data forms (GET/POST) assim como identificar Session-IDs de usuários. Especialmente em aplicações web o ataque de brute-force pode ser utilizado para

– Conseguir cookies de acesso a sessões de usuários;

– Usuários e senhas de diretórios protegidos;

– SessionID de aplicações;

– Arquivos de include contendo dados sensíveis como senhas de banco de dados entre outras.

Veremos abaixo alguns exemplos de ferramentas que podem ajudar durante o teste de aplicações web e descobrir se estamos vulneraveis a este tipo de ataque.

Para testes em serviços web existem 2 ferramentas  interesssantes:

-dirb (http://sourceforge.net/projects/dirb)

-webroot (http://www.cirt.dk/tools/webroot/WebRoot.txt)

A ferramenta dirb consiste em uma ferramenta com opções mais avançadas e pode ser utilizada para:

– setar diferentes cookies

– adicionar qualquer tipo de HTTP header desejado

– utilizar proxys para mascarar a conexão

– Utilizar catalogos ou arquivos utilizando dicionários definidos ou templates fazendo uma varredura direcionada.

COMO UTILIZAR? (clique em leia mais)

Continuar lendo

Vulnerable Web Applications – Simuladores para Estudo

Hoje não há o que discutir quando o assunto é a segurança das aplicações desenvolvidos para a web em sua corporação, ou então as que são disponibilizadas para usuários. Apesar do grande número de técnicas e estratégias para aumentar a segurança existentes, a última grande camada, que irá de fato aumentar a segurança da aplicação é sem dúvida, o próprio desenvolvedor.

Ainda hoje, apesar de segurança ter se tornado uma matéria interdisciplinar e estar presente em todos os âmbitos onde hajam profissionais de tecnologia, existe uma lacuna gigantesca entre o que é preciso fazer para de fato aumentar a segurança e o que é possível fazer levando em conta o cronograma onde os projetos são desenvolvidos, e onde muitas vezes por falta de planejamento estratégico adequado do Core Team, a segurança é relegada a pequenos aspectos, que muitas vezes são apenas o inicio do todo trabalho.

Muitas vezes, durante os estudos fica difícil para iniciantes conseguir aplicar e visualizar alguns conceitos de vulnerabilidades e ataques em aplicações web, e isso acaba tornando a experiência algo difícil de ser absorvido. Pensando nisto, resolvi publicar um artigo voltado a alguns frameworks para estudo e simulação de explorações de vulnerabilidades em aplicações web.

Com estes frameworks você poderá ver na prática o efeito das principais vulnerabilidades, suas contra-medidas, assim como abrir a mente no que diz respeito a possíveis formas de mitigação destes tipos de ataque.  Utilizando uma plataforma das 3 que irei falar abaixo, certamente você verá que o entendimento destes tópicos se tornará muito mais interessante (e divertido).

dvwa

DVWA (Damn Vulnerable Web Application) – Este framework consiste basicamente de uma aplicação vulnerável em PHP/MySQL onde você pode testar suas habilidades em SQL Injection, XSS, Blind SQL Injection, etc.  O DVWA é desenvolvido por Ryan Dwhurst e faz parte de um projeto OpenSource da RandomStorm

http://www.dvwa.co.uk

hackxor11_7

Hackxor – É um web application hacking game. Neste game o jogador precisa localizer e explorer vulnerabilidades para progredir através da história do jogo, como se fosse um hacker contratado para rastrear outro hacker, usando todos os meios necessários. Ele contem scripts vulneraveis a Cross Site Scripting (XSS), Cros Site Request Forgery (CSRF), Structured Query Language Injection (SQLi), Remote Command Injection (RCE) e muitos outros.

http://sourceforge.net/projects/hackxor

WebGoat_Welcome_Page

WebGoat – É um projeto da OWASP (Open Web Application Security Project) onde você possuirá uma interface deliberadamente insegura disponibilizada em J2EE, onde você encontrará diversas lições e exercícios, onde poderá aprender de forma bem didática, com exemplos e exercícios de diversos níveis de dificuldade. O mais legal dessa web application e que permite ao usuário demonstrar seu entendimento de uma determinada falha de segurança explorando uma vulnerabilidade real em cada lição.

http://code.google.com/p/webgoat

Todas são geralmente muito simples de utilizar e começar a brincar. Acredito que é sempre bom deixar bem claro aqui que, obviamente a segurança dessas aplicações é algo praticamente inexistente, sendo assim, não hospedem estes recursos em servidores de produção (nunca é demais lembrar eheh), pois fatidicamente vocês serão hackeados, e não será apenas de brincadeira. 🙂

Fonte:RootSecurity