Cómo realizar pruebas de penetración y escaneo de vulnerabilidades en su sitio web
De acuerdo con las leyes de algunas regiones, es ilegal realizar pruebas de penetración sin la autorización de la parte que se está probando. Todos los métodos de prueba de penetración que proporcionamos aquí son (supuestamente) servicios de evaluación legítimos, comúnmente conocidos como hacking ético, por lo que todos nuestros lectores aquí deben ser hackers éticos, y si no lo son, espero que se conviertan en uno de los hackers éticos cuando vienes aquí ;)
Aquí. También quiero decirles: las pruebas de penetración se centran en la práctica y necesitan un corazón que nunca se rinda y un cerebro pensante activo. Esto no significa que podrá copiar este documento a su sitio web o guardarlo en su computadora local. Incluso si lo imprime y lo come con un poco de salsa picante, no funcionará. paso a paso según el documento. Y todas las pruebas requieren usar su cerebro. No utilice una o dos herramientas mencionadas en este artículo de manera indiscriminada. Le garantizo que la seguridad de Internet no será más segura debido a esto. Buena suerte.
I.Introducción
¿Qué es el test de penetración?
La explicación más simple y directa de las pruebas de penetración es: el proceso de prueba de seguridad del sistema objetivo completamente desde la perspectiva del atacante.
¿Cuál es el propósito de las pruebas de penetración?
Comprenda la seguridad de su sistema actual y comprenda las posibles formas en que un atacante podría explotar su sistema. Permite a los gerentes comprender visualmente los problemas que enfrenta el sistema actual. ¿Por qué se llama intuitivo? Como Mitnick menciona en el libro, el trabajo de gestión de seguridad (lo cambiamos aquí a trabajo de evaluación de seguridad) debe ser integral para tener éxito, y los piratas informáticos (pruebas de penetración) pueden ingresar al sistema a través de un punto para destruirlo. Tuvo mucho éxito.
¿Las pruebas de penetración son lo mismo que la evaluación de riesgos?
No, puedes entender provisionalmente que las pruebas de penetración son parte de una evaluación de riesgos. De hecho, la evaluación de riesgos es mucho más compleja que las pruebas de penetración porque implica la identificación de activos, el análisis de riesgos y la revisión manual y componentes opcionales de postoptimización además de las pruebas de penetración.
Si se ha realizado una revisión de seguridad, ¿aún se requiere una prueba de penetración?
Si les digo: Oye, la teoría y la tecnología aeroespaciales existentes en China se pueden demostrar mediante cálculos informáticos. China es totalmente capaz de realizar paseos espaciales de astronautas. No hay necesidad de lanzar el "Shenba" nuevamente. . ¿Puedes aceptarlo?
¿Las pruebas de penetración son una prueba de caja negra?
No. Muchos técnicos tienen malentendidos sobre este tema. Las pruebas de penetración no consisten sólo en simular ataques de piratas informáticos externos, sino que también deben prevenir ataques conscientes (inconscientes) por parte de personas internas. En este punto, se puede acusar a los evaluadores de seguridad de incluir fragmentos de código para contener cierta información sobre el sistema. En este punto, califica para la prueba de caja gris o incluso para la prueba de caja blanca.
¿Qué implican las pruebas de penetración?
Los aspectos técnicos incluyen equipos de red, hosts, bases de datos y aplicaciones. Considere también agregar ingeniería social (EL ARTE DE LA INTRUSIÓN).
¿Cuáles son las desventajas de las pruebas de penetración?
La razón principal es que la inversión es grande y el riesgo alto. Y hay que ser un hacker ético profesional para confiar en el resultado final.
Lo dijiste muy bien, ¿por qué las pruebas de penetración no son muy populares en China?
Lo único que puedo decir es: sí. La clave de las pruebas de penetración es que no hay forma de demostrar que los resultados de la prueba sean perfectos. Los usuarios no tienen idea del nivel de seguridad que han alcanzado después de pagar para demostrar que su sistema está defectuoso. Pero está claro que los usuarios confían en equipos de seguridad profesionales y experimentados, lo que supone un grave problema en China. En algunos procesos de pruebas de penetración realizados por algunas grandes empresas de seguridad con las que he contactado, el nivel de los probadores no alcanzó esos niveles de precios y fueron irresponsables desde el proceso de prueba hasta el informe de resultados. Calculo que esta situación cambiará en tres años. En ese momento, por un lado, la solidez técnica del personal de seguridad habrá mejorado enormemente y, por otro lado, las empresas tendrán una comprensión más profunda. como una especie de auditoría de TI para unirse al proceso de desarrollo. La profesionalización y comercialización de las pruebas de penetración será cada vez más madura.
En segundo lugar, formule un plan de implementación.
El plan de implementación debe comunicarse y negociarse entre la parte de prueba y el cliente. Al comienzo de la prueba, la parte de la prueba debe proporcionar un cuestionario simple para comprender la aceptación básica de la prueba por parte del cliente.
El contenido incluye, entre otros, los siguientes aspectos:
Introducción al sistema de destino, objetos clave de protección y características.
¿Se permite la corrupción de datos?
¿Está permitido impedir el normal funcionamiento del negocio?
¿Se debe notificar al personal de interfaz de los departamentos pertinentes antes de realizar la prueba?
¿Método de acceso? ¿Red externa y red interna?
¿La prueba es exitosa si solo se encuentra un problema o es necesario encontrar tantos problemas como sea posible?
¿El proceso de penetración debe considerar la ingeniería social?
.
Después de obtener los comentarios de los clientes, el evaluador escribe un primer borrador del plan de implementación y lo envía al cliente para su revisión. Al finalizar la revisión, el cliente deberá autorizar por escrito a la parte que realiza la prueba. Aquí, las dos secciones del documento deben contener lo siguiente:
Sección del Plan de Implementación:
...
...
Parte de autorización escrita de la agencia:
...
3. Proceso operativo específico
1. Proceso de recopilación de información
Recopilación de información de la red. :
En esta parte, el objetivo a probar no se escaneará directamente. Primero debe buscar información relevante en Internet, incluida la piratería de Google, la consulta Whois, DNS y otra información (si es ingeniería social). se considera). Si considera la ingeniería social, también puede obtener información periférica sobre el sistema de destino a través de listas de correo/grupos de noticias, como la composición de las cuentas internas de los empleados, los métodos de identificación y las direcciones de contacto de correo electrónico, etc.).
1. Utilice whois para consultar el servidor DNS del dominio de destino
2.nslookup
>set type=all
>
>servidor
>establecer tipo=todos
>
>servidor < servidor ns>