CodeFest 2012 - Пентест на стероидах
0 likes127,752 views
Документ описывает автоматизацию процесса тестирования на проникновение (пентест) сетевых ресурсов с использованием методологии 'черного ящика'. Основное внимание уделяется использованию различных инструментов для тестирования сетевых сервисов и веб-приложений, в том числе Armitage, Nikto и Havij, а также выявлению уязвимых приложений. Цель заключается в получении объективных результатов тестирования без значительных затрат.
CodeFest 2012 - Пентест на стероидах
- 1. Пентест на стероидах. Автоматизируем процесс Белов Сергей Penetration tester
- 2. Тестирование на проникновение «Пентест» - оценка безопасности конечного узла или ресурса средствами и методами злоумышленников
- 3. Цель Автоматизировать тестирование на проникновение сетевого ресурса по стратегии «черного ящика», получив объективные результаты, не потратив ни цента на ПО
- 4. Этапы 1. Тестирование сетевых сервисов 2. Web – Эксплойты, уязвимости – «Слабые аккаунты» – Ошибки конфигурации – Халатность
- 6. Часть 1. Сетевые сервисы Armitage (nmap + msf)
- 7. Armitage
- 13. Уязвимых приложений не обнаружено Уязвимое приложение обнаружено, создана shell-сессия
- 14. Часть 2. Web • Nikto • Skipfish • Havij • 1337day.com, exploit-db.com
- 15. Nikto
- 17. Havij
- 19. Чем еще? • Монстрами для тестирования (shareware) –MaxPatrol / XSpider –Acuentix –Nessus (OpenVAS)
- 20. А еще...?
- 22. Идеальный случай - «Белый ящик»
- 23. Примеры
- 24. Armitage->Host->Login->ftp->check all credentials anonymous:anonymous - - - - > /var/www
- 25. Другой случай XSS, CSRF, phpmyadmin site/scripts/config.ini
- 26. Demo
- 27. pwn3d! Спасибо за внимание, вопросы? http://sergeybelove.ru sergeybelove@gmail.com belov_sv@bitworks-software.com