Oque é PenTest :
Os PenTest são testes que fazemos antes de fazer uma invasão em algum servidor. O PenTest pode ser também usado para encontrar falhas no seu próprio servidor.
Muita gente usa softwares automatizados(metasploit, etc) hoje em dia. Não vou tratar desses softwares. Vou me ater apenas ao PenTest em si.
Oque Precisamos :
Primeiramente precisamos escanear as portas do servidor em questão. Um bom programa para isso é o nmap (Download no Fim do Tópico). Ele está disponível para praticamente todas as plataformas(até mesmo para Android).
Função do NMap :
O nmap vai te dar uma lista de portas abertas, quase sempre ele indica também quais serviços estão rodando naquelas portas. Na maioria das vezes ele indica também qual o sistema operacional do alvo.
Reproduzindo o Alvo :
Depois de escanear portas e descobrir serviços, a melhor coisa a fazer é tentar reproduzir o ambiente do servidor alvo.
Você pode instalar tudo que o alvo tem(sistema operacional igual, servidores iguais...) em um computador que você tiver sobrando. Ou instalar tudo em uma máquina virtual Vmware ou Virtual Box (Download no Fim do Tópico)Depois de reproduzir o sistema do alvo, você deve se familiarizar com o sistema dele.
Ligue o computador(ou máquina virtual) que você configurou na internet. Procure na internet por exploits para os programas que você instalou, rode eles e veja que resultado eles dão. Se você não encontrar exploits para os programas que encontrou rodando na máquina alvo, você vai precisar cria-los! Para isso leia o código do programa(se ele for OpenSource) e procure por funções vulneráveis a algum BufferOverflow, etc...
Importante :
Enquanto não obtiver sucesso invadindo a máquina "clone" que você criou, não parta para o ataque real. Pois isso apenas facilitaria que você fosse rastreado. E também é meio que perda de tempo.
Downloads :
Nmap - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Virtual Box - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Vmware - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Os PenTest são testes que fazemos antes de fazer uma invasão em algum servidor. O PenTest pode ser também usado para encontrar falhas no seu próprio servidor.
Muita gente usa softwares automatizados(metasploit, etc) hoje em dia. Não vou tratar desses softwares. Vou me ater apenas ao PenTest em si.
Oque Precisamos :
Primeiramente precisamos escanear as portas do servidor em questão. Um bom programa para isso é o nmap (Download no Fim do Tópico). Ele está disponível para praticamente todas as plataformas(até mesmo para Android).
Função do NMap :
O nmap vai te dar uma lista de portas abertas, quase sempre ele indica também quais serviços estão rodando naquelas portas. Na maioria das vezes ele indica também qual o sistema operacional do alvo.
Reproduzindo o Alvo :
Depois de escanear portas e descobrir serviços, a melhor coisa a fazer é tentar reproduzir o ambiente do servidor alvo.
Você pode instalar tudo que o alvo tem(sistema operacional igual, servidores iguais...) em um computador que você tiver sobrando. Ou instalar tudo em uma máquina virtual Vmware ou Virtual Box (Download no Fim do Tópico)Depois de reproduzir o sistema do alvo, você deve se familiarizar com o sistema dele.
Ligue o computador(ou máquina virtual) que você configurou na internet. Procure na internet por exploits para os programas que você instalou, rode eles e veja que resultado eles dão. Se você não encontrar exploits para os programas que encontrou rodando na máquina alvo, você vai precisar cria-los! Para isso leia o código do programa(se ele for OpenSource) e procure por funções vulneráveis a algum BufferOverflow, etc...
Importante :
Enquanto não obtiver sucesso invadindo a máquina "clone" que você criou, não parta para o ataque real. Pois isso apenas facilitaria que você fosse rastreado. E também é meio que perda de tempo.
Downloads :
Nmap - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Virtual Box - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Vmware - Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...
Comment