Beste hulpmiddelen voor het verzamelen van informatie in Kali Linux

Nmap

Network Mapper, vaak gebruikt als Nmap, is een gratis en open-source tool voor het scannen van netwerken en poorten. Het is ook bekwaam in vele andere actieve technieken voor het verzamelen van informatie. Nmap is verreweg de meest gebruikte tool voor het verzamelen van informatie die wordt gebruikt door penetratietesters. Het is een op CLI gebaseerde tool, maar het heeft ook een op GUI gebaseerde versie in de markt genaamd Zenmap. Het was ooit een "Unix Only"-tool, maar ondersteunt nu veel andere besturingssystemen zoals Windows, FreeBSD, OpenBSD, Sun Solaris en vele andere. Nmap is vooraf geïnstalleerd in distributies voor penetratietesten zoals Kali Linux en Parrot OS. Het kan ook op andere besturingssystemen worden geïnstalleerd. Om dit te doen, zoek Nmap hier.

Figuur 1.1 toont u een normale scan en resultaten. De scan onthulde de open poorten 902 en 8080. Figuur 1.2 toont u een eenvoudige servicescan, die vertelt welke service op de poort draait. Figuur 1.3 toont een standaard scriptscan. Deze scripts onthullen soms interessante informatie die verder kan worden gebruikt in de laterale delen van een pentest. Voor meer opties typt u nmap in de terminal en u ziet de versie, het gebruik en alle andere beschikbare opties.

Figuur 1.1: Eenvoudige Nmap-scan

Figuur 1.2: Nmap-service/versie-scan

Figuur 1.3: Standaard scriptscan

Tcpdump

Tcpdump is een gratis datanetwerkpakketanalysator die werkt op de CLI-interface. Hiermee kunnen gebruikers netwerkverkeer zien, lezen of vastleggen dat wordt verzonden via een netwerk dat op de computer is aangesloten. Oorspronkelijk geschreven in 1988 door vier werknemers van de Lawrence Berkely Laboratory Network Research Group, werd het in 1999 georganiseerd door Michael Richardson en Bill Fenner, die www.tcpdump.org. Het werkt op alle Unix-achtige besturingssystemen (Linux, Solaris, All BSD's, macOS, SunSolaris, enz.). De Windows-versie van Tcpdump heet WinDump en gebruikt WinPcap, het Windows-alternatief voor libpcap.

Om tcpdump te installeren:

$ sudo apt-get install tcpdump

Gebruik:

# tcpdump [Opties] [uitdrukking]

Voor opties detail:

$ tcpdump -h

Wireshark

Wireshark is een enorm interactieve netwerkverkeeranalysator traffic. Men kan pakketten dumpen en analyseren zodra ze worden ontvangen. Oorspronkelijk ontwikkeld door Gerald Combs in 1998 als Ethereal, werd het in 2006 omgedoopt tot Wireshark vanwege handelsmerkproblemen. Wireshark biedt ook verschillende filters, zodat de gebruiker kan specificeren welk type verkeer moet worden getoond of gedumpt voor latere analyse. Wireshark kan worden gedownload van www.draadhaai.org/#download. Het is beschikbaar op de meeste gangbare besturingssystemen (Windows, Linux, macOS) en is vooraf geïnstalleerd in de meeste penetratiedistributies zoals Kali Linux en Parrot OS.

Wireshark is een krachtig hulpmiddel en vereist een goed begrip van basisnetwerken. Het zet het verkeer om in een formaat dat mensen gemakkelijk kunnen lezen. Het kan de gebruikers helpen bij het oplossen van latentieproblemen, het laten vallen van pakketten of zelfs hackpogingen tegen uw organisatie. Bovendien ondersteunt het tot tweeduizend netwerkprotocollen. Het is mogelijk dat u ze niet allemaal kunt gebruiken, omdat het gewone verkeer bestaat uit UDP-, TCP-, DNS- en ICMP-pakketten.

Een kaart

Applicatie Mapper (ook: een kaart), zoals de naam al doet vermoeden, is een hulpmiddel om applicaties op open poorten op een apparaat in kaart te brengen. Het is een tool van de volgende generatie die toepassingen en processen kan ontdekken, zelfs als ze niet op hun conventionele poorten draaien. Als een webserver bijvoorbeeld op poort 1337 draait in plaats van de standaardpoort 80, kan amap dit ontdekken discover. Amap wordt geleverd met twee prominente modules. Eerste, amapcrap kan nepgegevens naar poorten sturen om een soort reactie van de doelpoort te genereren, die later kan worden gebruikt voor verdere analyse. Ten tweede heeft amap de kernmodule, de Applicatie Mapper (een kaart).

Amap-gebruik:

$ amap -h
amap v5.4 (c) 2011 door van Hauser www.thc.org/thc-amap
Syntaxis: amap [Modus [-A|-B|-P]] [Opties] [TARGET POORT [poort]… ]
Modi:
-A (Standaard) Stuur triggers en analyseer reacties (Map Applications)
-B Pak ALLEEN banners; stuur geen triggers
-P Een volwaardige scanner voor verbindingspoorten
Opties:
-1 Speedy! Stuur triggers naar een poort tot 1e identificatie
-6 Gebruik IPv6 in plaats van IPv4
-b Print ASCII-banner met antwoorden
-i BESTAND Machineleesbaar uitvoerbestand om poorten uit te lezen
-u Specificeer UDP-poorten op de opdrachtregel (standaard: TCP)
-R RPC-service NIET identificeren
-H Stuur GEEN potentieel schadelijke applicatietriggers
-U Dump geen niet-herkende reacties
-d Alle reacties dumpen
-v Uitgebreide modus; gebruik twee of meer voor meer breedsprakigheid
-q Meld gesloten poorten niet en druk ze niet af als niet-geïdentificeerd
-o FILE [-m] Schrijf uitvoer naar bestand FILE; -m maakt machineleesbare uitvoer
-c CONS Maak parallelle verbindingen (standaard 32, max 256)
-C RETRIES Aantal herverbindingen bij verbindingstime-outs (standaard 3)
-T SEC Connect time-out bij verbindingspogingen in seconden (standaard 5)
-t SEC-reactie wacht op een time-out in seconden (standaard 5)
-p PROTO Stuur triggers ALLEEN naar dit protocol (e.g. FTP)
TARGET POORT Het doeladres en de poort(en) om te scannen (aanvullend op -i)

Afb. 4.1 Voorbeeld amap-scan

p0f

p0f is de korte vorm voor "phulpvaardig OS fingerprinting” (Er wordt een nul gebruikt in plaats van een O). Het is een passieve scanner die systemen op afstand kan identificeren. p0f gebruikt vingerafdruktechnieken om TCP/IP-pakketten te analyseren en om verschillende configuraties te bepalen, waaronder het besturingssysteem van de host. Het heeft de mogelijkheid om dit proces passief uit te voeren zonder verdacht verkeer te genereren. p0f kan ook pcap-bestanden lezen.

Gebruik:

# p0f [Opties] [filterregel]

Afb. 5.1 voorbeeld p0f-uitvoer
De host moet ofwel verbinding maken met uw netwerk (spontaan of geïnduceerd) of op een standaard manier verbonden zijn met een entiteit op uw netwerk (webbrowsen, enz.).) De host kan de verbinding accepteren of weigeren. Deze methode kan door pakketfirewalls heen kijken en is niet gebonden aan de beperkingen van een actieve vingerafdruk. Passieve OS-fingerprinting wordt voornamelijk gebruikt voor aanvallerprofilering, bezoekersprofilering, klant-/gebruikersprofilering, penetratietesten, enz.

stopzetting

Verkenning of informatie verzamelen is de eerste stap in elke penetratietest. Het is een essentieel onderdeel van het proces. Een penetratietest starten zonder een fatsoenlijke verkenning is als een oorlog beginnen zonder te weten waar en tegen wie je vecht. Zoals altijd is er een wereld van verbazingwekkende verkenningstools, afgezien van de bovenstaande. Allemaal dankzij een geweldige open-source- en cyberbeveiligingsgemeenschap!

Gelukkige verkenning! 🙂