Bästa informationsinsamlingsverktygen i Kali Linux

Nmap

Network Mapper, som vanligtvis används som Nmap, är ett gratis och öppen källkodsverktyg för nätverks- och portavsökning. Det är också skickligt i många andra aktiva tekniker för insamling av information. Nmap är det överlägset mest använda informationsinsamlingsverktyget som används av penetrationstestare. Det är ett CLI-baserat verktyg, men det har också en GUI-baserad version på marknaden som heter Zenmap. Det var en gång ett ”Unix Only” -verktyg men stöder nu många andra operativsystem som Windows, FreeBSD, OpenBSD, Sun Solaris och många andra. Nmap kommer förinstallerat i penetrationstestdistroer som Kali Linux och Parrot OS. Den kan också installeras på andra operativsystem. För att göra det, sök Nmap här.

Figur 1.1 visar en normal skanning och resultat. Skanningen avslöjade de öppna portarna 902 och 8080. Figur 1.2 visar en enkel tjänstsökning som berättar vilken tjänst som körs på porten. Figur 1.3 visar en standardskanningsskanning. Dessa skript avslöjar ibland intressant information som kan användas vidare i de laterala delarna av ett penna-test. För fler alternativ, skriv nmap i terminalen så visas version, användning och alla andra tillgängliga alternativ.

Figur 1.1: Enkel Nmap-skanning

Figur 1.2: Nmap-tjänst / versionskanning

Figur 1.3: Standardskanning av skript

Tcpdump

Tcpdump är en gratis datanätverkspaketanalysator som fungerar på CLI-gränssnittet. Det låter användare se, läsa eller fånga nätverkstrafik som överförs via ett nätverk som är anslutet till datorn. Ursprungligen skrivet 1988 av fyra arbetare vid Lawrence Berkely Laboratory Network Research Group, organiserades det 1999 av Michael Richardson och Bill Fenner, som skapade www.tcpdump.org. Det fungerar på alla Unix-liknande operativsystem (Linux, Solaris, Alla BSD, macOS, SunSolaris, etc). Windows-versionen av Tcpdump heter WinDump och använder WinPcap, Windows-alternativet för libpcap.

Så här installerar du tcpdump:

$ sudo apt-get install tcpdump

Användande:

# tcpdump [Alternativ] [uttryck]

För alternativdetaljer:

$ tcpdump -h

Wireshark

Wireshark är en oerhört interaktiv nätverkstrafikanalysator. Man kan dumpa och analysera paket när de tas emot. Ursprungligen utvecklat av Gerald Combs 1998 som Ethereal, det döptes om till Wireshark 2006 på grund av varumärkesproblem. Wireshark erbjuder också olika filter så att användaren kan ange vilken typ av trafik som ska visas eller dumpas för senare analys. Wireshark kan laddas ner från www.wireshark.org / # nedladdning. Den är tillgänglig på de flesta vanliga operativsystem (Windows, Linux, macOS) och kommer förinstallerad i de flesta penetrationsdistroer som Kali Linux och Parrot OS.

Wireshark är ett kraftfullt verktyg och behöver en god förståelse för grundläggande nätverk. Det omvandlar trafiken till ett format som människor lätt kan läsa. Det kan hjälpa användarna att felsöka latensproblem, tappade paket eller till och med hackningsförsök mot din organisation. Dessutom stöder det upp till två tusen nätverksprotokoll. Man kanske inte kan använda dem alla eftersom vanlig trafik består av UDP-, TCP-, DNS- och ICMP-paket.

En karta

Application Mapper (även en karta), som namnet antyder, är ett verktyg för att kartlägga applikationer på öppna portar på en enhet. Det är ett nästa generations verktyg som kan upptäcka applikationer och processer även när de inte körs på sina konventionella portar. Till exempel, om en webbserver körs på port 1337 istället för standardport 80 kan amap upptäcka detta. Amap levereras med två framstående moduler. Först, amapcrap kan skicka mockdata till portar för att generera någon form av svar från målporten, som senare kan användas för vidare analys. För det andra har amap kärnmodulen, som är Application Mapper (en karta).

Amap-användning:

$ amap -h
amap v5.4 (c) 2011 av van Hauser www.thc.org / thc-amap
Syntax: amap [Lägen [-A | -B | -P]] [Alternativ] [MÅLPORT [port] ...]
Lägen:
-A (standard) Skicka utlösare och analysera svar (Map Applications)
-B Fånga ENDAST banderoller; skicka inte utlösare
-P En fullfjädrad anslutningsscanner
Alternativ:
-1 Snabb! Skicka utlösare till en port fram till första identifieringen
-6 Använd IPv6 istället för IPv4
-b Skriv ut ASCII-bannern med svar
-i FIL Maskinsläsbar utdatafil att läsa portar från
-u Ange UDP-portar på kommandoraden (standard: TCP)
-R Identifiera INTE RPC-tjänsten
-H Skicka INTE potentiellt skadliga applikationsutlösare
-U dumpa INTE okända svar
-d dumpa alla svar
-v Utförligt läge; använd två gånger eller mer för mer information
-q Rapportera inte stängda portar och skriv inte ut dem som oidentifierade
-o FILE [-m] Skriv utdata till filen FILE; -m skapar maskinläsbar utdata
-c CONS Gör parallella anslutningar (standard 32, max 256)
-C RETRIES Antal återanslutningar vid anslutningstidsavbrott (standard 3)
-T SEC Anslut timeout för anslutningsförsök i sekunder (standard 5)
-t SEC Svar vänta en timeout i sekunder (standard 5)
-p PROTO Sänd utlösare ENDAST till detta protokoll (e.g. FTP)
MÅLPORT Måladress och port (ar) som ska skannas (tillägg till -i)

Fig 4.1 Exempel på amap-skanning

p0f

p0f är kortformuläret för “sidassive OS fingerprinting ”(En noll används istället för en O). Det är en passiv skanner som kan identifiera system på distans. p0f använder fingeravtryckstekniker för att analysera TCP / IP-paket och för att bestämma olika konfigurationer inklusive värdens operativsystem. Den har förmågan att utföra denna process passivt utan att generera någon misstänkt trafik. p0f kan också läsa pcap-filer.

Användande:

# p0f [Alternativ] [filterregel]

Fig 5.1 Exempel på p0f-utdata
Värden måste antingen ansluta till ditt nätverk (spontant eller induceras) eller vara ansluten till någon enhet i ditt nätverk på något vanligt sätt (surfning osv.) Värden kan acceptera eller vägra anslutningen. Denna metod kan se igenom paketbrandväggar och är inte bunden av begränsningarna för ett aktivt fingeravtryck. Passivt OS-fingeravtryck används huvudsakligen för angriparprofilering, besöksprofilering, kund- / användarprofilering, penetrationstest osv.

Upphörande

Rekognosering eller informationssamling är det första steget i något penetrationstest. Det är en väsentlig del av processen. Att starta ett penetrationstest utan en anständig rekonstruktion är som att gå till ett krig utan att veta var och vem du slåss. Som alltid finns det en värld av fantastiska rekonstruktionsverktyg bortsett från ovanstående. Allt tack vare en fantastisk öppen källkod och cybersäkerhetsgemenskap!

Glad Recon! 🙂