Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Основы тестирования КИИ на проникновение. Учебное пособие.pdf
2. АКТИВНЫЙ СБОР ИНФОРМАЦИИ
(ACTIVE INFORMATION GATHERING)
После того, как вы собрали достаточный объём информацию о своей цели,
используя открытые веб-ресурсы и другие методы пассивного сбора информации, можно начать собирать информацию о более конкретных сервисах. Эта глава продемонстрирует несколько вариантов активного сбора информации.
Сервис DNS является полезным источником данных для активного сбора
информации. С помощью DNS можно получить разнообразную информацию о
публичных (а иногда и частных!) серверах организации, такую как IP-адреса,
имена серверов и их функции.
DNS-сервер или сервер имён (name server) – это устройство, содержащее
большую базу данных, которая связывает доменные имена с IP-адресами. Процесс сопоставления имени и адреса называют р
tion/resolving). Работу DNS можно описать как следующий пошаговый процесс
(рис. 2.1):
1. Ввод доменного имени. Доменное имя сайта должно быть введено в
адресной строке, что и является причиной отправки запроса к DNS-серверу.
2. Запрос информации. Местом, где компьютер начнёт искать соответ-
ствующий имени адрес, является кеш DNS (ipconfig /displaydns). Кеш DNS – это
место, где хранится информация, полученная при предыдущих обращениях в
DNS-серверу. Если запись в кеше не найдена, необходимо выполнить DNSзапрос.
3. Рекурсивные DNS-серверы. Если инфо
ном кеше, то компьютер опрашивает рекурсивные DNS-серверы провайдера.
Поскольку рекурсивные серверы содержат свои собственные кеши, информация будет тут же возвращена, если в кеше будет содерж
пись.
4. Корневые серверы имён (Root Name Servers). После неудачного ре-
курсивного запроса DNS-сервера компьютер опрашивает корневые серверы
имён.
5. Серверы имён TLD (TLD Name servers). Корневые серверы имён пе-
ренаправляют запрос серверам TLD (серверы доменных имён верхнего уровня,
Top Level Domain name server). У TLD есть свои собственные серверы имён,
поэтому, даже если у TLD не
просы непосредственно на серверы имён, содержащие эту информацию.
6. Авторитетные DNS-серверы (Authoritative DNS servers). Серверы
имён TLD выполняют поиск или направляют запрос на сервер, ответственный
за конкретный домен. Авторитетные серверы имён – это серверы, которые содержат информацию о каждом конкретном домене. Эта информация хранится в
записях конфигурации DNS. Кажд
ней данных.
2.1. ПЕРЕЧИСЛЕНИЕ DNS (DNS ENUMERATION)
азрешением имён DNS (resolu-
рмация не найдена в локаль-
аться необходимая за-
т необходимой информации, они направляют за-
ая запись имеет свой тип содержащихся в
21
Рис. 2.1. Схема работы службы DNS
7. Получение записи. Рекурсивный сервер получают информацию от ав-
торитетных серверов имён. Затем он сохраняет запись в своём локальном кеше.
Время от времени рекурсивный сервер запрашивает новую копию данных для
обновления информации во избежание её устаревания.
8. Получение ответа. Компьютер получает данные от рекурсивного
сервера. Затем он сохраняет запись данных в своём кеш
сов. IP-адрес передаётся в веб-браузер, который открывает соединение с вебсервером и получает содержимое веб-страницы.
Ниже приведёны некоторые типы записей, которые хранятся в настройках авторитетных для некоторой зоны DNS-серверах:
− A-запись – определяет адрес хоста;
− NS-запись – адрес официального сервера имён;
22
е для будущих запро-
− MX-запись – адрес почтового сервера;
− CNAME – каноническое имя хоста, позволяющее использовать до-
полнительные имена или псевдонимы;
− SOA – определяет полномочия для домена;
− SRV – запись о дополнительных службах (например, о Jabber и Ac-
tive Directory);
− RP – контакты ответственного лица;
− PTR – указатель на каноническое имя, используется для обратного
просмотра;
− TXT – блок произвольного текста;
− HINFO – запись информации о хосте с указани
ем типа процессора и
операционной системы.
2.1.1. Взаимодействие с DNS-сервером
DNS-сервер обычно сообщает информацию о себе и почтовом сервере
для домена, в котором он авторитетен. Эта информация является обязательной,
так как публичные запросы адресов электронной почты и DNS-серверов составляют основу работы Интернета.
Взаимодействовать с DNS-сервером можно используя различные DNSклиенты, такие как host, nslookup и dig. Сначала рассмотрим утилиту nslookup.
Выполнив команду nslookup, вы попадёте в интерпретатор утилиты, который
перенаправляет лю
бой запрос на DNS-сервер, указанный в настройках стека
TCP/IP локального устройства.
root@kali:~# nslookup
> domain.com
Server: 192.168.0.1
Address: 192.168.0.1#53
Non-authoritative answer:
Name: domain.com
Address: 72.163.4.161
В этом примере мы подключились к локальному DNS-серверу (192.168.0.1)
и запросили у него разрешение записи типа A для ресурса domain.com. DNSсервер отвечает адресом 72.163.4.161.
Чтобы определить почтовые серверы, принадлежащие организации, вы
можете запросить у DNS-сервера получение всех записей типа MX, доступных
для домена этой организации:
> set type=mx
> domain.com
Server: 192.168.0.1
Address: 192.168.0.1#53
Non-authoritative answer:
domain.com mail exchanger = 20 rcdn-mx-01.domain.com.
domain.com mail exchanger = 30 aer-mx-01.domain.com.
domain.com mail exchanger = 10 alln-mx-01.domain.com.
23
Authoritative answers can be found from:
domain.com nameserver = ns3.domain.com.
domain.com nameserver = ns2.domain.com.
domain.com nameserver = ns1.domain.com.
alln-mx-01.domain.com internet address = 173.37.147.230
alln-mx-01.domain.com has AAAA address 2001:420:1201:6::ad25:93e6
rcdn-mx-01.domain.com internet address = 72.163.7.166
aer-mx-01.domain.com internet address = 173.38.212.150
ns1.domain.com internet address = 72.163.5.201
ns2.domain.com internet address = 64.102.255.44
ns3.domain.com internet address = 173.37.146.41
>
Обратите внимание на перечисленные три почтовых сервера. У каждого
сервера есть «стоимость», связанная с ним, – 20, 30, 10 соответственно. Эта
стоимость указывает предпочтение получения почты одним из перечисленных
почтовых серверов (предпочтительна более низкая стоимость). Исходя из этого,
вы можете предположить, что alln-mx-01.domain.com – это основной почтовый
сервер, а другие – его резервные копии.
Следующим запросом вы можете идентифицировать все DNS-серверы,
авторитетные для дом
ена:
> set type=ns
> domain.com
Server: 192.168.0.1
Address: 192.168.0.1#53
Non-authoritative answer:
domain.com nameserver = ns1.domain.com.
domain.com nameserver = ns2.domain.com.
domain.com nameserver = ns3.domain.com.
Authoritative answers can be found from:
ns1.domain.com internet address = 72.163.5.201
ns2.domain.com internet address = 64.102.255.44
ns3.domain.com internet address = 173.37.146.41
Этот запрос идентифицирует три DNS-сервера, обслуживающих домен
domain.com: ns1.domain.com, ns2.domain.com и ns3.domain.com. Эта информа-
ция может быть полезна позже для реализации попытки выполнения переноса
зоны.
Утилита nslookup имеет и короткую форму выполнения запросов:
root@kali:~# nslookup -query=a domain.com или nslookup domain.com
root@kali:~# nslookup -query=mx domain.com
root@kali:~# nslookup -query=ns domain.com
Также можно использовать другую утилиту host вместе с параметром
-t (type) для обнаружения DNS и почтовых серверов для домена:
root@kali:~# host domain.com
domain.com has address 72.163.4.161
root@kali:~# host -t ns domain.com
domain.com name server ns2.domain.com.
24
domain.com name server ns1.domain.com.
domain.com name server ns3.domain.com.
root@kali:~# host -t mx domain.com
domain.com mail is handled by 30 aer-mx-01.domain.com.
domain.com mail is handled by 10 alln-mx-01.domain.com.
domain.com mail is handled by 20 rcdn-mx-01.domain.com.
Перейдём к другому инструменту работы с DNS – dig. Dig, как и nslookup,
является одним из наиболее часто используемых инструментов на этапе сбора
информации. Он используется для выполнения DNS-запросов. В его самом базовом синтаксисе мы можем просто запустить следующую команду:
root@kali:~# dig domain.com
; <<>> DiG 9.9.5-9+deb8u2-Debian <<>> domain.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2381
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 7
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;domain.com. IN A
;; ANSWER SECTION:
domain.com. 1800 IN A 72.163.4.161
;; AUTHORITY SECTION:
domain.com. 1800 IN NS ns3.domain.com.
domain.com. 1800 IN NS ns1.domain.com.
domain.com. 1800 IN NS ns2.domain.com.
;; ADDITIONAL SECTION:
ns1.domain.com. 600 IN A 72.163.5.201
ns2.domain.com. 1800 IN A 64.102.255.44
ns3.domain.com. 1800 IN A 173.37.146.41
ns1.domain.com. 1800 IN AAAA 2001:420:1101:6::a
ns2.domain.com. 1800 IN AAAA 2001:420:2041:5000::a
ns3.domain.com. 1800 IN AAAA 2001:420:1201:7::a
;; Query time: 249 msec
;; SERVER: 192.168.0.1#53(192.168.0.1)
;; WHEN: Sat Apr 01 10:37:44 MSK 2017
;; MSG SIZE rcvd: 240
Как вы можете видеть, записи, получаемые по умолчанию, – записи типа A.
Кроме того, вы можете увидеть и другие сведения, которые могут затруднить
чтение вывода. Чтобы упростить вывод, мы будем использовать дополнительные параметры в следующих командах:
− + Nocmd – удаляет вывод параметров + cmd;
− + Noall – удаляет лишние заголовки, флаги, информацию о времени,
размер сообщения и т.д.;
− + Answer – dig возвращает данные раздела Answer.
25
Чтобы указать запись, которую мы хотели бы запросить, необходимо добавить её тип сразу после указания домена:
root@kali:~# dig +nocmd domain.com A +noall +answer
domain.com. 1449 IN A 72.163.4.161
root@kali:~# dig +nocmd domain.com NS +noall +answer
domain.com. 1800 IN NS ns2.domain.com.
domain.com. 1800 IN NS ns1.domain.com.
domain.com. 1800 IN NS ns3.domain.com.
2.1.2. Автоматизация поиска
В процессе сбора информации с использованием DNS можно выделить
три основных метода:
− метод прямого перебора (Forward Lookup Brute Force);
− обратный поиск (Reverse Lookup Brute Force);
− передача зоны (DNS Zone Transfers).
2.1.2.1. Метод прямого перебора
Теперь, когда у нас есть базовые сведения для домена domain.com, мы
можем продолжать использовать дополнительные DNS-запросы, чтобы обнаружить больше имён хостов и IP-адресов, принадлежащих компании. Например, мы можем предположить, что домен domain.com имеет веб-сервер, возможно, с именем поддомена www. Мы можем проверить эту теорию, например
с помощью команды host:
root@kali:~# host www.domain.com
www.domain.com is an alias for www.domain.com.akadns.net.
www.domain.com.akadns.net is an alias for wwwds.domain.com.edgekey.net.
wwwds.domain.com.edgekey.net is an alias for
wwwds.domain.com.edgekey.net.globalredir.akadns.net.
wwwds.domain.com.edgekey.net.globalredir.akadns.net is an alias for
e2867.dsca.akamaiedge.net.
e2867.dsca.akamaiedge.net has address 95.100.11.188
e2867.dsca.akamaiedge.net has IPv6 address 2a02:26f0:18:198::b33
e2867.dsca.akamaiedge.net has IPv6 address 2a02:26f0:18:191::b33
Теперь давайте проверим, есть ли у компании сервер с именем testexist.
Обратите внимание на разницу между результатами запросов:
root@kali:~# host testexist.domain.com
Host testexist.domain.com not found: 3(NXDOMAIN)
root@kali:~#
Идея метода прямого перебора состоит в том, чтобы угадать действительные имена серверов, пытаясь разрешить их утилитой host. Если имя поддомена, которое вы проверяете, действительно существует, результаты вывода
команды могут указывать на его наличие и даже функциональность. Мы можем
создать список потенциальных имён хостов и выполнить команду host, чтобы
проверить каждое из них:
26
root@kali:~# echo www > list.txt
root@kali:~# echo mail >> list.txt
root@kali:~# echo ftp >> list.txt
root@kali:~# echo owa >> list.txt
root@kali:~# for ip in $(cat list.txt);do host $ip.domain.com;done
www.domain.com is an alias for www.domain.com.akadns.net.
www.domain.com.akadns.net is an alias for wwwds.domain.com.edgekey.net.
wwwds.domain.com.edgekey.net is an alias for
wwwds.domain.com.edgekey.net.globalredir.akadns.net.
wwwds.domain.com.edgekey.net.globalredir.akadns.net is an alias for
e2867.dsca.akamaiedge.net.
e2867.dsca.akamaiedge.net has address 95.100.11.188
e2867.dsca.akamaiedge.net has IPv6 address 2a02:26f0:18:198::b33
e2867.dsca.akamaiedge.net has IPv6 address 2a02:26f0:18:191::b33
mail.domain.com has address 64.101.220.134
ftp.domain.com has address 173.37.146.11
ftp.domain.com has IPv6 address 2001:420:1201:9::a
root@kali:~# Host owa.domain.com not found: 3(NXDOMAIN)
Или следующий вариант в виде отдельного скрипта:
root@kali:~# nano dodns.sh
#!/bin/bash
for name in $(cat list.txt);do
host $name.domain.com
done
root@kali:~# ./dodns.sh
В этом простом примере мы обнаружили, что имена хостов www, mail и
ftp были действительно обнаружены в результате использования процесса пе-
ребора. Однако хост с именем owa не был найден.
Обратите внимание, что были найдены несколько IP-адресов из новых
диапазонов: 64.101.220.134 и 173.37.146.11.
Чтобы завершить поиск, выполните
команду whois для найденных адресов IP.
2.1.2.2. Метод обратного перебора (Reverse Lookup Brute Force)
Зная блоки IP-адресов компании, переходим ко второму методу сбора
информации с помощью DNS, – методу обратного перебора. Этот метод основан на наличии записей PTR, настроенных на сервере имён организации. Записи PTR широко используются, поскольку многие почтовые системы требуют
подтверждения PTR до получения почтового сообщения. Используя команду
host, вы можете выполнить запрос DNS PTR на IP-адрес, и если этот IP-адрес
имеет за
root@kali:~# host 216.200.241.66
66.241.200.216.in-addr.arpa domain name pointer www.checkpoint.com.
root@kali:~#
пись PTR, вы получите полное доменное имя:
Можно использовать небольшой скрипт в целях автоматизации обратного
перебора:
root@kali:~# for ip in $(seq 1 100);do host 173.36.7.$ip;done | grep -v
"not found"
27
2.1.2.3. Передача зоны DNS
Перенос зоны можно сравнить с действием репликации базы данных между несколькими (основным и резервным) DNS-серверами. Изменения в файлах зон обычно делаются на первичном DNS-сервере, а затем реплицируются
запросом передачи зоны на вторичный сервер.
К сожалению, многие администраторы неправильно конфигурируют свои
DNS-серверы, не ограничивая адреса источников запросов с помощью ACL,
и в результате каждый, запрашивающий копию зоны DNS-серв
ера, получает её.
Можно использовать команды host или dig в Linux для проверки попытки
передачи зоны.
На предварительном шаге необходимо получить адреса DNS-серверов,
обслуживающих конкретную зону:
root@kali:~# host -t ns domain.com
Из вывода предыдущей команды host мы заметили, что домен domain.com
обслуживают три DNS-сервера: ns1.domain.com, ns2.domain.com и ns3.domain.com.
Попробуем передать зону с одного из них:
root@kali:~# host -l domain.com ns1.domain.com
Using domain server:
Name: ns1.domain.com
Address: 72.163.5.201#53
Aliases:
Host domain.com not found: 5(REFUSED)
; Transfer failed.
root@kali:~#
Передача зоны завершилась неудачно, потому что DNS-серверы были настроены правильно.
Посмотрите, как выглядит успешный перенос зоны. В этом примере определяются все DNS-серверы, авторитетные для домена zonetransfer.me, который специально разрешает перенос зон, а затем выполняется попытка передать
зону:
root@kali:~# host -t ns zonetransfer.me
zonetransfer.me name server nsztm2.digi.ninja.
zonetransfer.me name server nsztm1.digi.ninja.
root@kali:~# host -l zonetransfer.me nsztm1.digi.ninja
Using domain server:
Name: nsztm1.digi.ninja
Address: 81.4.108.41#53
Aliases:
zonetransfer.me name server nsztm1.digi.ninja.
zonetransfer.me name server nsztm2.digi.ninja.
zonetransfer.me has address 217.147.177.157
157.177.147.217.IN-ADDR.ARPA.zonetransfer.me domain name pointer
www.zonetransfer.me.
asfdbbox.zonetransfer.me has address 127.0.0.1
canberra-office.zonetransfer.me has address 202.14.81.230
dc-office.zonetransfer.me has address 143.228.181.132
28
deadbeef.zonetransfer.me has IPv6 address dead:beaf::
email.zonetransfer.me has address 74.125.206.26
internal.zonetransfer.me name server intns1.zonetransfer.me.
internal.zonetransfer.me name server intns2.zonetransfer.me.
intns1.zonetransfer.me has address 167.88.42.94
intns2.zonetransfer.me has address 167.88.42.94
office.zonetransfer.me has address 4.23.39.254
ipv6actnow.org.zonetransfer.me has IPv6 address
2001:67c:2e8:11::c100:1332
owa.zonetransfer.me has address 207.46.197.32
alltcpportsopen.firewall.test.zonetransfer.me has address 127.0.0.1
vpn.zonetransfer.me has address 174.36.59.154
www.zonetransfer.me has address 217.147.177.157
Вы выполнили успешную попытку переноса зоны сайта zonetransfer.me.
Можно написать эффективный скрипт для автоматизации процесса переноса зоны:
#/bin/bash
# Simple Zone Transfer Bash Script
# $1 is the first argument given after the bash script
# Check if argument was given, if not, print usage
if [ -z "$1" ]; then
echo "[*] Simple Zone transfer script"
echo "[*] Usage : $0 <domain name> "
echo "[*] Example : $0 aeoi.org.ir "
exit 0
fi
# if argument was given, identify the DNS servers for the domain
for server in $(host -t ns $1 |cut -d" " -f4);do
# For each of these servers, attempt a zone transfer
host -l $1 $server |grep "has address"
done
Проверка возможности переноса зон возможна и с помощью утилиты dig:
root@kali:~# dig +nocmd zonetransfer.me NS +noall +answer
zonetransfer.me. 7200 IN NS nsztm1.digi.ninja.
zonetransfer.me. 7200 IN NS nsztm2.digi.ninja.
root@kali:~# dig +nocmd axfr @nsztm1.digi.ninja zonetransfer.me +noall
+answer
2.1.3. Релевантные инструменты в Kali Linux
В Kali Linux существует несколько инструментов, помогающих в перечислении DNS, и большинство из них выполняют те же задачи, которые мы уже
рассмотрели. Двумя известными инструментами являются DNSRecon и DNSEnum. У каждого из этих инструментов есть дополнительные полезные опции.
2.1.3.1. DNSRecon
DNSRecon – это скрипт для перечисления DNS, написанный на языке
Python. Запуск сценария dnsrecon в домене domain.com приводит к следующему
результату:
29
root@kali:~# dnsrecon -d domain.com -t axfr
[*] Testing NS Servers for Zone Transfer
[*] Checking for Zone Transfer for domain.com name servers
[*] Resolving SOA Record
[*] SOA ns1.domain.com 72.163.5.201
[*] Resolving NS Records
[*] NS Servers found:
[*] NS ns3.domain.com 173.37.146.41
[*] NS ns3.domain.com 2001:420:1201:7::a
[*] NS ns2.domain.com 64.102.255.44
[*] NS ns2.domain.com 2001:420:2041:5000::a
[*] NS ns1.domain.com 72.163.5.201
[*] NS ns1.domain.com 2001:420:1101:6::a
[*] Removing any duplicate NS server IP Addresses...
[*]
[*] Trying NS server 173.37.146.41
[*] 173.37.146.41 Has port 53 TCP Open
[-] Zone Transfer Failed!
[-] No answer or RRset not for qname
[*]
[*] Trying NS server 72.163.5.201
[*] 72.163.5.201 Has port 53 TCP Open
[-] Zone Transfer Failed!
[-] No answer or RRset not for qname
[*]
[*] Trying NS server 2001:420:1201:7::a
[-] Zone Transfer Failed for 2001:420:1201:7::a!
[-] Port 53 TCP is being filtered
[*]
[*] Trying NS server 2001:420:1101:6::a
[-] Zone Transfer Failed for 2001:420:1101:6::a!
[-] Port 53 TCP is being filtered
[*]
[*] Trying NS server 64.102.255.44
[*] 64.102.255.44 Has port 53 TCP Open
[-] Zone Transfer Failed!
[-] No answer or RRset not for qname
[*]
[*] Trying NS server 2001:420:2041:5000::a
[-] Zone Transfer Failed for 2001:420:2041:5000::a!
[-] Port 53 TCP is being filtered
root@kali:~#
2.1.3.2. DNSEnum
DNSEnum – ещё один популярный инструмент перечисления DNS. Запуск этого скрипта для проверки домена zonetransfer.me, который специально
разрешает перенос зон, завершится следующим результатом:
root@kali:~# dnsenum zonetransfer.me
root@kali:~# dnsenum zonetransfer.me
dnsenum.pl VERSION:1.2.3
----- zonetransfer.me -----
Host's addresses:
__________________
30