El desarrollo de reportes en procesos de Test de Penetración es quizás una de las fases más importantes (casi al mismo nivel que la fase de recolección de información – Information Gathering). Pues es la mejor manera de transmitir todas las actividades realizadas y toda nuestra experticia técnica y metodológica a nuestros clientes.
A diferencia de algunos PenTesters que conozco. La generación y desarrollo de reportes me gusta y disfruto ejecutándola, ya que me permite interactuar directamente con la entidad, haciéndole ver de mejor manera eso que llaman retorno de la inversión.

Así como de importante, tiene de compleja… Pues entre las fases de la metodología de desarrollo de reportes, está la de unificar y analizar en gran detalle cada una de las salidas de diferentes herramientas. Claro, algunas traen sus propios sistemas de generación de reportes, pero pocas veces sabemos como interpretar los mismos… O peor aun (y en casos que he visto) los “ethical hackers certificados y sus super empresas” se limitan a copiar y pegar las salidas de herramientas tipo Nessus y ya está (una pena que luego hablaremos).

Frente a esta problemática, @Gremwell desarrollo una aplicación llamada MagicTree, enfocada al análisis y gestión ordenada de reportes. Todo esto desde una agradable interfaz, que además es multiplataforma (Java) y que permite hacerlo mediante la gestión de nodos en estructura de árbol (de allí su particular nombre).

Dentro de sus fortalezas se encuentra el amplio repertorio de herramientas soportadas (Nmap, Nikto, BurpSuite, Nessus, OpenVas, Qualys e Imperva Scuba -entre otras basadas en salidas XML), y sobre todo su alta capacidad y eficacia para analizar los datos generados por las mismas… Todo esto sumado a la posibilidad de generar de manera automática reportes basados en plantillas por defecto, totalmente personalizables además.

Para explicarme de mejor manera veamos algunos ejemplos de uso de esta poderosa herramienta.

Escenario: PenTest Interno
Fase: Enumeración
Herramienta: Nmap (Zenmap)

Salida estándar de Zenmap (visor + xml)

Ejecución de MagicTree

Análisis del archivo XML (nmap) desde MagicTree (OpenFile…)

Generación automática de reportes desde MagicTree (Reporte: Puertos abiertos + Resumen hallazgos)

Escenario: PenTest Externo – Web Assessment
Fase: Enumeración, Identificación y Análisis de Vulnerabilidades
Herramienta: Nikto

Análisis de datos Nikto

Generación automática de reportes desde MagicTree (Reporte: Puertos abiertos + Resumen hallazgos)

Escenario: PenTest Interno
Fase: Identificación y Análisis de Vulnerabilidades
Herramienta: Nessus

Análisis de datos Nessus

Generación automática de reportes desde MagicTree (Reporte: Puertos abiertos + Resumen hallazgos)

Escenario: PenTest Externo – Web Asessment
Fase: Identificación, Análisis y Explotación de Vulnerabilidades (SQLi)
Herramienta: BurpSuite

Análisis de datos Burp Suite

Generación automática de reportes desde MagicTree (Reporte: Puertos abiertos + Resumen hallazgos)

Completamente útil para nuestras actividades del día a día… Sobra aclarar que estas salidas NO son las finales a entregar… Debemos personalizar en detalle los formatos y tener muy en cuenta que los mismos están orientados a complementar el reporte técnico del proyecto…

Más información y descarga de MagicTree >>

UserAssist es una herramienta que resulta muy útil en el momento de realizar un Análisis Forense Digital bajo sistemas windows, pues esta te permite generar una tabla/reporte con los programas que han sido ejecutados en el sistema, el número de veces y la fecha de última ejecución.

Veamos algunas capturas de pantalla que permitirán comprender mejor el funcionamiento del programa.

Más información sobre UserAssist >>

Descargar UserAssist>>

En el anterior post, presentaba de manera muy general entorno de trabajo forense X-Ways Forensics. Ahora vamos a comenzar una serie de post dedicados al trabajo práctico con dicha herramienta. En este post veremos algunos métodos para la creación de imágenes forenses con dicha herramienta. Veamos. Lo primero será ejecutar la herramienta desde el acceso directo creado en el proceso de instalación. Desde el Menu Tools, Open Disk. Seleccionaremos el disco fuente a tomar como evidencia. Deberiamos ver una imagen similar a la siguiente Una vez seleccionado el disco (físico/lógico), pasamos al menu File, Create Disk Image Ahora seleccionamos las opciones de creación de imágenes. Para nuestro caso optamos por una imagen del tipo Raw image (.dd) y cálculo de hash por medio de MD5 a 128 bits Veremos una barra de progreso como la siguiente Proceso finalizado Hash de la evidencia Verificamos la evidencia en la ruta que seleccionamos previamente Desde el mismo X-Ways Forensics podríamos explorar el contenido de la evidencia sin alterarla Archivos Para comprobar esta información, podríamos “montar” la evidencia adquirida con el software Mount Image Pro. Pronto seguiremos con otros temas relacionados al uso de esta completa herramienta.

X-Ways Forensics, es un avanzado entorno de trabajo para analistas forenses que funciona sobre plataformas Windows 2000 / XP / 2003 / Vista / Seven / 2008 con tecnologías de 32 y 64 Bits.

Algunas de las características de X-Ways Forensics son:

• Posibilidad de crear imágenes o copiados seguros de evidencias digitales.
• Recuperación de información eliminada.
• Visualizar estructuras de directorios sobre imágenes del tipo .dd.
• Acceder a discos, RAIDs, e imágenes de gran tamaño (2Tb).
• Soporte nativo para FAT12, FAT16, FAT32, TFAT, NTFS, Ext2, Ext3, Ext4, CDFS/ISO9660/Jolite, UDF.
• Visualización y volcado de memoria RAM y memoria virtual de procesos en ejecución.
• Creación de medios forenses estériles.
• Generación y cálculo de firmas criptográficas (CRC32, MD4, ed2k, MD5, SHA-1, SHA-256, RipeMD.
• Capacidades de búsquedas en la evidencia recolectada.
• Bookmarks.
• Anotaciones y un largo etc.

Para más información sobre X-Ways Forensics visita su Web oficial >>

Manual oficial de usuario para X-Ways forensics (pdf) >>

QuickStart Guide (pdf) >>

Netstat es un de las herramientas primordiales a la hora de realizar tareas relacionadas con el análisis forense digital, gracias a su amplio repertorio de instrucciones para generar información involucrada a las estadísticas de conexiones de red en un sistema.

Veamos una descripción más completa desde la Wikipedia:

Netstat (network statistics) es una herramienta de línea de comandos que muestra un listado de las conexiones activas de un ordenador, tanto entrantes como salientes. Existen versiones de este comando en varios sistemas como Unix, GNU/Linux, Mac OS X, Windows y BeOS.

La información que resulta del uso del comando incluye el protocolo en uso, las direcciones IP tanto locales como remotas, los puertos locales y remotos utilizados y el estado de la conexión. Existen, además de la versión para línea de comandos, herramientas con interfaz gráfica (GUI) en casi todos los sistemas operativos desarrollados por terceros.

Más información>>

Ahora algunos ejemplos de interés:

——————————————————————————————-

Ayuda/Comandos disponibles (netstat -h)

[root@freeforuse avatar]# netstat -h usage: netstat [-veenNcCF] [] -r         netstat {-V|–version|-h|–help} netstat [-vnNcaeol] [ ...] netstat { [-veenNac] -I[] | [-veenNac] -i | [-cnNe] -M | -s } [delay]

-r, –route display routing table -I, –interfaces=[] display interface table for -i, –interfaces display interface table -g, –groups display multicast group memberships -s, –statistics display networking statistics (like SNMP) -M, –masquerade display masqueraded connections -v, –verbose be verbose -n, –numeric don’t resolve names –numeric-hosts don’t resolve host names –numeric-ports don’t resolve port names –numeric-users don’t resolve user names -N, –symbolic resolve hardware names -e, –extend display other/more information -p, –programs display PID/Program name for sockets -c, –continuous continuous listing -l, –listening display listening server sockets -a, –all, –listening display all sockets (default: connected) -o, –timers display timers -F, –fib display Forwarding Information Base (default) -C, –cache display routing cache instead of FIB -T, –notrim stop trimming long addresses -Z, –context display SELinux security context for sockets: Name of interface to monitor/list.={-t|–tcp} {-u|–udp} {-S|–sctp} {-w|–raw} {-x|–unix} –ax25 –ipx –netrom=Use ‘-A’ or ‘–’; default: inet List of possible address families (which support routing): inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) netrom (AMPR NET/ROM) ipx (Novell IPX) ddp (Appletalk DDP) x25 (CCITT X.25)

——————————————————————————————-

Conexiones activas (netstat -a) | less (visualización segmentada)

[root@freeforuse avatar]# netstat -a Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address               Foreign Address             State tcp        0      0 *:https                     *:*                         LISTEN tcp        0      0 *:http                      *:*                         LISTEN tcp        0      0 *:ssh                       *:*                         LISTEN tcp        0    248 freeforuse:ssh              adslxxx-xxx-xxx-xxx.ep:xxxxx ESTABLISHED Active UNIX domain sockets (servers and established) Proto RefCnt Flags       Type       State         I-Node Path unix  2      [ ]         DGRAM                    24410733 @/org/kernel/udev/udevd unix  4      [ ]         DGRAM                    24411062 /dev/log unix  2      [ ]         DGRAM                    33025313 unix  2      [ ]         DGRAM                    25001699

——————————————————————————————-

Programas asociados a dichos servicios (netstat -p)

[root@freeforuse avatar]# netstat -p Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name tcp        0    284 freeforuse:ssh              adslxxx-xxx-xxx-xxx.ep:xxxxx ESTABLISHED 18128/1 Active UNIX domain sockets (w/o servers) Proto RefCnt Flags       Type       State         I-Node PID/Program name    Path unix  2      [ ]         DGRAM                    24410733 15696/udevd         @/org/kernel/udev/udevd unix  4      [ ]         DGRAM                    24411062 15959/syslogd       /dev/log unix  2      [ ]         DGRAM                    33025313 25692/crond unix  2      [ ]         DGRAM                    25001699 18128/1

——————————————————————————————-

IP’s Conectadas (netstat -n)

[root@freeforuse avatar]# netstat -n Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address               Foreign Address             State tcp        0    232 ::ffff:192.168.1.103:22     ::ffff:190.71.125.170:49249 ESTABLISHED Active UNIX domain sockets (w/o servers) Proto RefCnt Flags       Type       State         I-Node Path unix  2      [ ]         DGRAM                    24410733 @/org/kernel/udev/udevd unix  4      [ ]         DGRAM                    24411062 /dev/log unix  2      [ ]         DGRAM                    33025313 unix  2      [ ]         DGRAM                    25001699

——————————————————————————————-

Conexiones activas por TCP (netstat -t)

[root@freeforuse avatar]# netstat -t Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address               Foreign Address             State tcp        0    232 freeforuse:ssh              adslxxx-xxx-xxx-xxx.ep:xxxxx ESTABLISHED

——————————————————————————————- Conexiones activas por UDP (netstat -u) ——————————————————————————————- Estadísticas de uso para todas las conexiones (netstat -s) [root@freeforuse avatar]# netstat -s Ip: 77333 total packets received 0 forwarded 0 incoming packets discarded 77333 incoming packets delivered 44657 requests sent out Icmp: 0 ICMP messages received 0 input ICMP message failed. ICMP input histogram: 4 ICMP messages sent 0 ICMP messages failed ICMP output histogram: echo request: 4 IcmpMsg: OutType8: 4 Tcp: 843 active connections openings 140 passive connection openings 440 failed connection attempts 5 connection resets received 1 connections established 76714 segments received 43937 segments send out 38 segments retransmited 0 bad segments received. 468 resets sent Udp: 666 packets received 0 packets to unknown port received. 0 packet receive errors 666 packets sent TcpExt: 2 resets received for embryonic SYN_RECV sockets 93 delayed acks sent Quick ack mode was activated 2 times 22 packets directly queued to recvmsg prequeue. 600 packets directly received from prequeue 65644 packets header predicted 3 packets header predicted and directly queued to user 4031 acknowledgments not containing data received 192 predicted acknowledgments 1 times recovered from packet loss due to SACK data 0 TCP data loss events 1 timeouts after SACK recovery 1 fast retransmits 19 other TCP timeouts 3 DSACKs sent for old packets 4 connections reset due to unexpected data 1 connections reset due to early user close 1 connections aborted due to timeout IpExt: ——————————————————————————————- Tabla de routing (netstat -r) [root@freeforuse avatar]# netstat -r Kernel IP routing table Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface 192.0.2.0       *               255.255.255.0   U         0 0          0 venet0 169.254.0.0     *               255.255.0.0     U         0 0          0 venet0 default         192.0.2.1       0.0.0.0         UG        0 0          0 venet0 ——————————————————————————————- Interfaces activas en el sistema (netstat -i) [root@freeforuse avatar]# netstat -i Kernel Interface table Iface       MTU Met    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg lo        16436   0      937      0      0      0      937      0      0      0 LRU venet0     1500   0    76505      0      0      0    43766      0      0      0 BOPRU venet0:0   1500   0      – no statistics available -                            BOPRU ——————————————————————————————-

Por medio de los comentarios puedes recomendar otras instrucciones (Y)

Página oficial de netstat>>

Saludos a todos,

Sí, esa es la razón de ser de este escrito,  “Como CAIN& ABEL no hay otro igual” y no estoy haciendo referencia a “Holy Bible” y la Narración del chicho Bueno y el chico Malo con su sacrificio ante Dios.

Como leerán y verán a continuación Cain es un chico tan bueno como Abel.

En realidad estoy haciendo referencia al excelente software creado por el Señor Massimiliano Montoro y su grandioso Web Site .

Rondaba en mi cabeza la intención de escribir desde hace mucho rato sobre este maravilloso aplicativo, puesto que se convirtió en uno más de las armas de mi arsenal para Análisis de Seguridad, el cual no puede faltar en ningún de mis Test de Intrusión Interno, apelando a sus excelentes métodos para la recuperación y desciframiento de contraseñas, contribuyendo así  en la consecución de hallazgos que nos fortalezcan nuestras evidencias de auditoría de seguridad.

Antes de pasar a las imágenes de evidencia, una breve descripción de lo que es CAIN&ABEL  para quien no conozca de esta maravillosa herramienta Multiuso.

“Caín y Abel es una herramienta de recuperación de contraseña para sistemas operativos de Microsoft.  Permite la recuperación fácil de diversos tipo de contraseñas por métodos de sinfín de la red (olfateo de red), craqueo contraseñas cifradas utilizando ataques de  diccionario, fuerza bruta y ataques de criptoanálisis, permite grabar conversaciones de VoIP, descodificar contraseñas, recuperar claves de la red inalámbrica, revelar  contraseñas en Text Box, caché las contraseñas en Windows y el análisis de protocolos de enrutamiento.

La última versión es más rápida y contiene muchas características nuevas como APR (Arp Poison Routing) que permite el rastreo en cambió de LANs y ataques Man-in-the-Middle.

El sniffer en esta versión también puede analizar los protocolos cifrados como SSH-1 y HTTPS y contiene los filtros para capturar las credenciales de una amplia gama de mecanismos de autenticación. “

Bien y si no me crees, échale un vistazo a las siguientes evidencias. El orden de los factores no altera el producto  xDDD

No pretendo entregar un manual del producto, el cual puedes descargar de aquí View Cain & Abel on-line User Manual Así que iré detallando cada evidencia sin establecer un nivel o criterio de importancia.

Corresponden a diversos proyectos ejecutados de los cuales tratare de incluir lo que considere más relevante, ya que si me doy a la tarea de subir todo, creo que este Artículo no me alcanzaría para su inclusión.

Enumeración de Equipos o Sondeo de Red.

Si hacemos uso de Su pestaña de Host y Network tenemos la posibilidad de Sondear o enumerar la Red de la cual pertenecemos al segmento de Red o tenemos enrutamiento alguno.  De igual forma tratar de acceder a recursos compartidos, Bases de Datos, o registros de Windows en los equipos.

Recursos Compartidos, acceso por clave o usuario Anonymous

Llaves de Registro y Recursos Compartidos.

Enumeración de usuarios, registro y recursos compartidos

Enumeración de Servicios.

Registro del sistema

En algunas ocasiones nuestra estación de trabajo es controlada o nos aplican restricciones con medidas como Vlans o Acls (Listas de Control de Accesos), etc.  Algunas formas de tratar de evadirlas es montando una Maquina virtual y estableciendo una configuración estática o dinámica, un Ip spoofing,  mac spoofing,  con una mac diferente para saltar el control de Acls por MAC, como se muestra a continuación capturando credenciales de autenticación (login y password) en  tramas de HTTP una vez se ha iniciado un ARP Poisoning.

Captura de tramas HTTP con credenciales y comportamientos de navegación, si tienes algún sitio prohibido de navegación, aquí te darás cuenta que te están saltando el proxy o el Web Content.

Captura de credenciales de autenticación servicio FTP, en conexiones FTP

Explotando el servicio  ;P

O lo prefieres visualizar así 

Captura de tramas del protocolo SIP (Session Initiation Protocol) en un sistema Asterisk (VoiP).

Captura de tramas protocolo POP3 (servicio de correo interno)

Captura de tramas protocolo SMB. Indicio excelente para aplicar un SMB Relay 

Captura credenciales Oracle (TNS) ciframiento tipo DES !!

Captura  tramas de VoIP

Volcado de la SAM en una estación de trabajo vulnerada por su baja seguridad a nivel de LOCALHOST.

Proceso de ARP poisong y MITM (Man In The Middle) con Cain

Captura de tramas http de archivos, aplicativos que pueden ser modificados On line.

Credenciales de autenticación conexión es Wirelles tomadas de los Cache Passwords de un equipo vulnerado a nivel de Localhost,  en donde se ha instalado Cain&Abel.

Creo que no te gustaría que te encontraran visitando sitios de tu preferencia xDD.

Aclaro que no tengo nada contra la definición de Género o estilos de Vida. Pero con esta sociedad de doble moral, no creo que te guste que encuentren que visitas estos sitios. El problema es que este es un equipo corporativo de trabajo.

Información de los Windows Mail Passwords del Cached Passwords del equipo.

Información de los Credential Manager del Cached Passwords del equipo.

Información del Protected Storage del Cached Passwords del equipo.

Información del Dialup Password del Cached Passwords del equipo

Captura de Credential Manager en Cached Passwords, credencial de controlador de Dominio Maestro.

Captura de Certificados

Función Cracker de Cain&Abel en donde puedes utilizar varios métodos para descifrar los hash de las contraseñas por medio de ataques por diccionario, fuera bruta, intentos, etc. Adicionalmente puedes subir diccionarios personalizados o las tablas de Rainbow Tables.

Capturas de sesión de Telnet

Descifrado de Hash de VNC levantadas del registro de Windows

Esto es una belleza como un Santo Grial, un LDAP abierto de Patitas       Esperando ser coronado

Capturas de tramas protocolo  SMNP

O si tu intención es una Denegación de Servicios (DoS)

Huyyyyy  

La verdad dejemos hasta aquí porque me canse y se me atrasaron algunas vainas de trabajo y académicas……..

He probado algunas otras opciones como el Cracking de Wirelles, Accesos por RDP, desciframiento de BD, Conexión a BD, Desciframiento de CCDU, Traceroute, RSA Token Security ID, Siskey Decoder, DecoderBase64, Cisco VPN Password y Cisco Decode Password. Algunas me han funcionado otras no!!.  A lo mejor por falta de conocimiento o ser mas diestro con la herramienta. Creo que no conozco más del 50% de la misma pero ya puedes medir su potencial con los hallazgos de las evidencias anteriores.

Como puedes ver Cain también es un chico bueno como Abel!!! 

Y como su título lo dice no he encontrado herramienta alguna similar para Linux, razón por la cual mantengo mi partición dual Win/BT algunas vainas sobre Windows como algunas herramientas forenses  y de seguridad.

Ahora, no vamos a volver con el mismo cuento que siempre me tomo que usa Dsniff, Ettercap, Wireshark  que combínalo con scripts o con otras herramientas. Ni de esta forma alcanza el gran potencial de esta maravillosa herramienta. Eso si recomiendo,  si encuentras algo similar por favor no dudes en contactarme que es de mi especial interés!!

Con gratitud  se escribió este artículo especialmente para el proyecto Sec-Track por permitirme participar de él. Congratulations mi gran amigo 4v4t4r por tan excelente iniciativa de seguridad.

Espero que sean de su agrado estas líneas, que como cosa rara me extendí más de lo que esperaba, aunque como lo dije desde el principio tratare de ser breve, tratando de mostrar el potencial de la herramienta.

No me queda más que despedirme, agradecerles a todos por invertir su tiempo en leer un poco estas líneas de conocimiento.

Bytes

Dino

PD: Agradecimientos al Señor Massimiliano Montoro y su grandioso Web Site

PD2: Se publica también en mi Blog

———–

Nota de 4v4t4r:

@d7n0

• Administrador de Empresas
• Gerencia en Consultoría Empresarial
• Profesional en Sistemas de Información
• Especialización Administración de la Información
• Veinte (20) años de experiencia en Sistemas e Informática
• Diez (10) años de experiencia en Seguridad Informática
• Miembro activo de La Comunidad DragonJAR.
• Miembro activo de la Comunidad Team SecurityIT
• Coordinador del grupo SWAT de Hacking Etico
• Columnista de diversos articulos de seguridad Informatica, Hardening, Análisis Forense, Hacking Etico en revistas Electrónicas, como Hackerss.com, Dragonjar.org.
• Analista en Seguridad Informática (Freelance)
• Investigador Informática Forense (Freelance)
• Vinculación con la Empresa P@ssword S.A. Desde hace tres años desarrollando proyectos de Seguridad Informática (Aseguramiento, Análisis de Seguridad, Análisis Forense) a Organizaciones Gubernamentales, Estatales, Sector Público y Privado.
• Asesor y Consultor de TICS
• Capacitador Diplomados de Seguridad Informatica en Universidades (Universidad Cooperativa, Universidad Libre de Colombia, Universidad Antonio Nariño, Universidad del Pacifico)
• Capacitador cursos de Ethical Hacking en Centros de Entrenamiento de Alta Tecnologia CETEC, Itech Learning
• Ponente Nacional en temas de Seguridad Informática en diversos eventos, seminarios y Universidades (Universidad Javeriana, Universidad Santiago de Cali, Universidad Libre, Universidad Autonoma de Popayan, UNAD de Neiva).

CUTeam es un reconocido grupo de colombianos investigadores en seguridad de la información. Este grupo actualmente tiene en desarrollo varios proyectos de herramientas y utilidades relacionadas con la seguridad informática y algunos laboratorios virtuales y otros privados donde se reunen a compartir conocimiento.

Dejo a continuación la propia descripción del grupo de investigadores CUTeam así como la de los proyectos iniciados, que no está por demás invitar a todos los interesados en participar de estos!!!

CUTeam

Quiénes somos

GeoIPGen es una herramienta de red para la generación de IP’s Geo-Objetivos o de identificación de origen.

La herramienta funciona con base al hecho de que los ISP tienen determinadas IP’s a su control en cada país. La base de datos utilizada por la herramienta corresponde a la de Maxmind. La base de datos corresponde a un simple archivo CSV que es leído por la herramienta.

Veamos el proceso de configuración y uso:

root@bt:~/CHK/tools/geoipgen-0.4# ls
CHANGELOG  INSTALL  README  TODO  geoipgen  geoipgen.lsm
root@bt:~/CHK/tools/geoipgen-0.4# less INSTALL

root@bt:~/CHK/tools/geoipgen-0.4# wget http://www.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip
–2010-05-17 18:58:52–  http://www.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip
Resolving www.maxmind.com… 67.15.94.80
Connecting to www.maxmind.com|67.15.94.80|:80… connected.
HTTP request sent, awaiting response… 301 Moved Permanently
Location: http://geolite.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip [following]
–2010-05-17 18:58:52–  http://geolite.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip
Resolving geolite.maxmind.com… 64.246.48.99
Connecting to geolite.maxmind.com|64.246.48.99|:80… connected.
HTTP request sent, awaiting response… 200 OK
Length: 1777882 (1.7M) [application/zip]
Saving to: `GeoIPCountryCSV.zip’

100%[======================================>] 1,777,882    310K/s   in 6.0s

2010-05-17 18:58:59 (289 KB/s) – `GeoIPCountryCSV.zip’ saved [1777882/1777882]

root@bt:~/CHK/tools/geoipgen-0.4# unzip GeoIPCountryCSV.zip
Archive:  GeoIPCountryCSV.zip
inflating: GeoIPCountryWhois.csv
root@bt:~/CHK/tools/geoipgen-0.4# mv GeoIPCountryWhois.csv /usr/local/share/ || ( mkdir $HOME/.geoipgen ; mv GeoIPCountryWhois.csv “$HOME/.geoipgen/”)

root@bt:~/CHK/tools/geoipgen-0.4# ./geoipgen -l |grep Colombia
CO      Colombia
root@bt:~/CHK/tools/geoipgen-0.4# ./geoipgen -n 10 CO
190.249.132.75
200.71.67.20
201.232.212.13
190.126.199.90
190.251.122.20
190.182.50.124
190.250.163.7
190.125.192.131
186.114.221.105
186.80.204.45

root@bt:~/CHK/tools/geoipgen-0.4# ./geoipgen -n 10 ES
85.49.39.104
88.3.33.50
83.46.243.85
83.59.59.181
81.32.128.146
95.39.198.21
81.43.162.41
79.156.155.124
77.208.3.231
95.60.138.155

Bastante efectiva la información… Podríamos complementar el uso de esta herramienta con la resolución de nombres de dominios de la herramienta DNSRecon.

Más información (Web oficial del proyecto-MorningStartSecurity)

DNSRecon es una herramienta desarrollada en Ruby por Carlo Perez (DarkOperator) para la enumeración de DNS. La herramienta permite enumerar por medio de rango de IP’s, y consultas directas y de resolución para la identificación de host y subdominios, zonas de transferencia, reverse lookup, etc.

Veamos algunos ejemplos:

Enumeración por medio de rango de IP’s

root@bt:/pentest/enumeration/dnsrecon# ruby dnsrecon.rb -r 72.232.197.100 72.232.197.130
Reverse Lookup for IP Renge from 72.232.197.100 to 72.232.197.200
100.197.232.72.static.reverse.ltdomains.com,72.232.197.100
101.197.232.72.static.reverse.ltdomains.com,72.232.197.101
102.197.232.72.static.reverse.ltdomains.com,72.232.197.102
103.197.232.72.static.reverse.ltdomains.com,72.232.197.103
104.197.232.72.static.reverse.ltdomains.com,72.232.197.104
105.197.232.72.static.reverse.ltdomains.com,72.232.197.105
dbservidores2.com,72.232.197.106
ns1.dbservidores2.com,72.232.197.107
ns2.dbservidores2.com,72.232.197.108
dimdim.dedicatedplace.com,72.232.197.109
111.197.232.72.static.reverse.ltdomains.com,72.232.197.111
112.197.232.72.static.reverse.ltdomains.com,72.232.197.112
113.197.232.72.static.reverse.ltdomains.com,72.232.197.113
server.suganoissei.info,72.232.197.114
ns1.suganoissei.info,72.232.197.115
ns2.suganoissei.info,72.232.197.116
ns3.suganoissei.info,72.232.197.117
ns4.suganoissei.info,72.232.197.118
119.197.232.72.static.reverse.ltdomains.com,72.232.197.119
120.197.232.72.static.reverse.ltdomains.com,72.232.197.120
ocean.roteador.info,72.232.197.122
ocean.roteador.info,72.232.197.123
ocean.roteador.info,72.232.197.124
ocean.roteador.info,72.232.197.125
ocean.roteador.info,72.232.197.126
127.197.232.72.static.reverse.ltdomains.com,72.232.197.127
128.197.232.72.static.reverse.ltdomains.com,72.232.197.128
129.197.232.72.static.reverse.ltdomains.com,72.232.197.129
us1.goobix.com,72.232.197.130

Enumeración por Top Level Domain Expanssion

root@bt:/pentest/enumeration/dnsrecon# ruby dnsrecon.rb -tld informatica64
informatica64.com,80.81.106.148,A
informatica64.kr,222.231.8.226,A
informatica64.pw,70.87.29.179,A
informatica64.pw,70.87.29.150,A
informatica64.mp,75.101.130.205,A
informatica64.ph,203.119.6.249,A
informatica64.ws,64.70.19.33,A
informatica64.st,195.178.160.40,A
informatica64.tk,94.103.151.195,A
informatica64.tk,193.33.61.2,A
informatica64.tk,209.172.59.196,A
informatica64.tk,217.119.57.22,A
informatica64.vn,203.162.57.28,A

DNS Host y Fuerza Bruta a Dominios

root@bt:/pentest/enumeration/dnsrecon# ruby dnsrecon.rb -b medellin.gov.co hosts.txt
av.medellin.gov.co,200.13.232.107
beta.medellin.gov.co,200.13.232.182
correo.medellin.gov.co,200.13.232.182
live.medellin.gov.co,200.13.232.100
mail.medellin.gov.co,200.13.232.115
omega.medellin.gov.co,200.13.232.101
portal.medellin.gov.co,200.13.232.182

Consulta general de DNS por NS, SOA y Registros MX

root@bt:/pentest/enumeration/dnsrecon# ruby dnsrecon.rb -s telemedellin.tv
telemedellin.tv,67.43.6.235,A
dns1.nettica.com,64.94.136.11,SOA
dns1.nettica.com,64.94.136.11,NS
dns5.nettica.com,212.100.247.15,NS
dns4.nettica.com,69.41.170.223,NS
dns2.nettica.com,64.237.45.34,NS
dns3.nettica.com,64.94.136.13,NS
alt2.aspmx.l.google.com,74.125.113.27,MX,20
aspmx2.googlemail.com,209.85.135.27,MX,30
aspmx3.googlemail.com,72.14.213.27,MX,30
aspmx4.googlemail.com,209.85.229.27,MX,30
aspmx5.googlemail.com,74.125.157.27,MX,30
aspmx.l.google.com,74.125.67.27,MX,10
alt1.aspmx.l.google.com,209.85.211.91,MX,20

Zonas de transferencias

root@bt:/pentest/enumeration/dnsrecon# ruby dnsrecon.rb -axfr elcolombiano.com
Zone transfer failed for redglobal.net
Zone transfer failed for server2i.elcolombiano.com.co
Zone transfer failed for dns1.redelectrica.com

Wfuzz es una herramienta destinada para la enumeración de archivos y directorios alojados en una aplicación Web.

Esta herramienta desarrollada por Edge-Security realiza ataques de fuerza bruta para la enumeración de directorios, servlets, scripts y archivos en el webserver.

Read the rest of this entry »