CERTIFICADO DE HACKING ÉTICO EXPERTO(CHEE) TUTOR: FRANCISCO SANZ.

Presentación del tema: "CERTIFICADO DE HACKING ÉTICO EXPERTO(CHEE) TUTOR: FRANCISCO SANZ."— Transcripción de la presentación:

1 CERTIFICADO DE HACKING ÉTICO EXPERTO(CHEE) TUTOR: FRANCISCO SANZ

2 CERTIFICADO DE HACKING ÉTICO EXPERTO 2º-Linux 100%(I)

3 CERTIFICADO DE HACKING ÉTICO EXPERTO Índice: -Introducción -Usuarios, Grupos y Permisos -Accesos remotos -Squid -Iptables

4 -Uso de Linux desde consola -Recordatorio de múltiples comandos que nos serán de utilidad en hacking -No se trata de un repaso o estudio a TODO lo que es Linux, sino lo más importante en hacking -Podremos verificar la seguridad de un linux -Muy útil para la escalada de privilegios -Muy útil para auditorias de seguridad en linux. -Múltiples posibilidades sabiendo más sobre Linux CERTIFICADO DE HACKING ÉTICO EXPERTO Introducción

5 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios, Grupos y Permisos. Linux permite el uso de varios usuarios en el mismo equipo con permisos diferentes. Es multiusuario. Tipos de usuarios: - root = superusuario - normales = creados por root y administrados por él Tipos de Grupos: - Grupo root, llamado root - Grupos normales, con nominaciones diferentes.

6 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios: Qué es UID? El significado es User ID y es un numero administrado por el sistema. En el caso del superusuario root el valor es 0. root:x:0:0:root:/root:/bin/bash Así nos aparece en el archivo /etc/passwd y cada columna significa lo siguiente: - Columna 1= root= nombre de usuario -Columna 2=x= contraseña si existe en /etc/shadow root:$6$oVTmHWo3$Xg2mF5QcA3uXShBeRHn12Etprxrz5P1xYKZSu43lDzcwz241jy1CocU1VhmyMUc/.Me3IEPHkwN8qQme4H4ti.:16531:0:99999:7::: -Columna 3=0=es el UID. -Columna 4=0= es el GID (group ID) -Columna 5=root= GECOS (comentarios adicionales, donde suele venir el nombre de user)

7 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios: Para entrar en root = su +password de root Para salir de root = “exit” Para ver usuarios activos = w Para ver todas las variables de entorno = env Para ver el valor de las variables de entorno de una en una = echo $variable de entorno Crear variable de entorno = export VAR=121212 (variable temporal) Para variable de entorno permanente, añadirlo a.bashrc

8 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios: -Creación de usuarios: useradd usuario + passwd usuario -Borrar usuarios: userdel –r usuario -Bloquear usuario: passwd –l usuario -Desbloquear usuario: passwd –u usuario -Obtener info de una cuenta: passwd –S usuario. Si aparece P es con password activo y si sale con una L está cerrada. -Añadir usuario a sudoers: adduser usuario sudo o colocarlo directamente en sudoers -Para ver suoders = visudo -La contraseña del user debe ser potente.

9 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios: Cómo hacer un password potente! Técnica TSS Partimos de: usuario thess potente 1º Cogemos las primeras sílabas de cada palabra uthepo 2º Mayúsculas y minúsculas intercaladas UtHePo 3º Añadimos el año actual. Los dos primeros números al principio y los dos últimos al final. 20UtHePo15

10 CERTIFICADO DE HACKING ÉTICO EXPERTO Usuarios: 4º A mayores ponemos admiración al principio y al final ¡20UtHePo15! Sencillo y muy difícil de romper.

11 CERTIFICADO DE HACKING ÉTICO EXPERTO Grupos: -Crear grupo: groupadd grupo -Crear un usuario y que pertenezca a un grupo: useradd –N –g grupo usuario -Borrar grupo: groupdel grupo -Añadir un usuario a un grupo: useradd usuario grupo -Quitar usuario de un grupo: deluser usuario grupo -Para ver a qué grupo pertenece un usuario: groups usuario -Ver el GID: cat /etc/group

12 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: -Ver permisos: ls –l Si aparece d es directorio y si aparece – es archivo. R=readw=write x=executable -La primera columna es el owner, la segunda es el grupo y la tercera otros drwxr-xr-x 8 thess thess 4096 abr 3 08:01 firefox -chmod: da o quita permisos -Chmod u=rwx,g=r,o=r archivo hace que el usuario tenga permisos de lectura, modificacion y ejecucion, el grupo solo lectura y los otros solo lectura

13 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: -Chmod u +x archivo le da permisos de ejecucion a usuario -Chmod u –x archivo le quita permisos de ejecución a usuario Lo mismo sería con grupo (g) o con el resto (o) -Dar o quitar permisos a un directorio entero: chmod u=x,g=r,o=r directorio –R -Valores de los permisos: -Read= 4 -Write=2 -Exe=1 -Chmod 721 archivo (el primer numero es para user, el segundo para grupo y el tercero para el resto). Esto seria 7=wrx; el 2=w y el 1=x

14 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: -Chown se usa para cambiar el dueño de un archivo: chown user.group archivo Modificar la máscara: Tema de seguridad muy importante.

15 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: Modificamos la mascara así: umask 000 umask 111 umask 222 En el archivo /etc/profile aparece un archivo donde nos dice que mascara tenemos por defecto y podemos modificarla. En mi caso aparece en el archivo /etc/login.defs

16 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: Sticky Bit Te permite escribir o modificar un archivo. Pero solo root o el owner puede borrarlo. Para ver que directorio tiene este tipo de permiso debemos teclear ls –l /

17 CERTIFICADO DE HACKING ÉTICO EXPERTO Permisos: Acls Access Control Lists.podemos cambiar el permiso de un archivo para un usuario en particular. Ejemplo: Setfacl –m u:usuario:wrx archivo Estamos dando al usuario “usuario” permisos de wrx en el archivo “archivo”. Sin necesidad de que sea el owner. Si hacemos un ls –l veremos un signo + en el archivo. Significa que hay mas información adicional. -rwxrwxrwx+ 1 thess thess 4 may 31 09:19 hola Getfacl archivo y ves la información referente a ese archivo. Usuarios, permisos etc.

18 CERTIFICADO DE HACKING ÉTICO EXPERTO Accesos remotos: -Antiguamente las conexiones viajaban en texto plano. -FTP,rlogin, VNC, telnet…son inseguros. -SSH protocolo cifrado. Conexión cliente-servidor y comunicación cifrada. Criptografía básica: -Simétrico : la misma llave para cifrar y para descifrar. -Asimétrico: usa dos llaves, una publica y otra privada.

19 CERTIFICADO DE HACKING ÉTICO EXPERTO Accesos remotos: Para ver información de nuestro protocolo ssh = more /etc/ssh/ssh_config O bien sshd_config Podemos cambiar las configuraciones por defecto. Por cambiar el puerto no lo hacemos mas seguro. Podemos cambiar otras opciones como PermitRootLogin que por defecto está en yes.

20 CERTIFICADO DE HACKING ÉTICO EXPERTO Logs: Los logs permiten tener un seguimiento sobre el sistema. Ver si somo atacados o ver posibles errores Log de booteo: Inicio del sistema (las famosas líneas que aparecen al inicio del arranque linux) Messages: en este log se almacena información importante, como errores del sistema, por ejemplo. Auth.log: logs de logueo User.log :logs de users Mail.log : logs de correo

21 CERTIFICADO DE HACKING ÉTICO EXPERTO Logs: Comando tail –f nos sirve para ver en tiempo real qué ocurre en un archivo. Por ejemplo, si yo creo el archivo log y desde otra consola le lanzo un hola, lo veré en tiempo real. Muy útil para monitorizar logs.

22 CERTIFICADO DE HACKING ÉTICO EXPERTO Logs: Last muestra la lista de users que hicieron login. Esta es la información que esta en el fichero /var/log/wtmp y last es la forma de ver ese fichero. Lastlog muestra la lista de todos los usuarios y la ultima vez que hicieron login. Con la opción –u usuario, nos indica la informacion de un solo usuario. Monitoreo de rootkits: Uso de chrootkit o rkhunter. Monitoriza tu equipo en busca de rootkits. Uso de escáneres desde otro equipo. Md5sum compara si ha habido modificación de archivos. Creamos BBDD de algunos archivos y despues comparamos.

23 CERTIFICADO DE HACKING ÉTICO EXPERTO Squid: Servidor Proxy. Software libre Multiplataforma Control de paginas Aumento de seguridad Control por user

24 CERTIFICADO DE HACKING ÉTICO EXPERTO Squid: /etc/squid/squid.conf es el archivo de configuración del squid. Casi todo está comentado, lo que facilita su configuración, aunque el archivo es bastante extenso. Es útil para asegurar navegación por parte de la red. Podemos permitir o denegar ciertas acciones. Posibilidad de crear acl’s personalizadas. Por ejemplo, prohibir la navegacion a paginas no deseadas como youtube, facebook, twitter etc. “acl bloqueo url_regex facebook youtube” “http_acces deny bloqueadas” Prohibir navegación de rangos de ip’s. Y un larguísimo etc. Nosotros, veremos algo de su uso. Muy útil para la seguridad de linux.

25 CERTIFICADO DE HACKING ÉTICO EXPERTO Squid: Analizar logs: podemos ver sus logs en el archivo /var/log/squid/access.log y nos dará informacion de los logs. Iptables: IPtables es un sistema de firewall vinculado al kernel de linux. Iptables esta integrado con el kernel, es parte del sistema operativo. Un firewall de iptables no es sino un simple script de shell en el que se van ejecutando las reglas de firewall. Las cadenas pueden ser para tráfico entrante (INPUT), tráfico saliente (OUTPUT) o tráfico reenviado (FORWARD) Las reglas de destino pueden ser aceptar conexiones (ACCEPT), descartar conexiones (DROP), rechazar conexiones (REJECT), encaminamiento posterior (POSTROUTING), encaminamiento previo (PREROUTING), SNAT, NAT, entre otras.

26 CERTIFICADO DE HACKING ÉTICO EXPERTO Iptables: Políticas por defecto iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT Limpieza de reglas específicas (para poder crear nuevas reglas) iptables -F INPUT iptables -F FORWARD iptables -F OUTPUT iptables -F -t nat

27 CERTIFICADO DE HACKING ÉTICO EXPERTO Iptables: (ejemplos) Permitir paquetes en el propio muro cortafuegos para tráfico saliente a través de la interfaz eth0 que son parte de conexiones existentes o relacionadas iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT Permitir (ACCEPT) todo el tráfico entrante (INPUT) desde (-s) cualquier dirección (0/0) la red local (eth1) y desde el retorno del sistema (lo) hacia (-d) cualquier destino (0/0): iptables -A INPUT -i eth1 -s 0/0 -d 0/0 -j ACCEPT iptables -A INPUT -i lo -s 0/0 -d 0/0 -j ACCEPT Descartar (DROP) todo el tráfico entrante (-i) desde la interfaz eth0 que trate de utilizar la dirección IP pública del servidor (90.90.90.90), alguna dirección IP de la red local (192.168.0.0/24) o la dirección IP del retorno del sistema (127.0.01) iptables -A INPUT -i eth0 -s 90.90.90.90/32 -j DROP iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP iptables -A INPUT -i eth0 -s 127.0.0.0/8 -j DROP

28 CERTIFICADO DE HACKING ÉTICO EXPERTO Iptables: (ejemplos) Descartar (DROP) el tráfico entrante (INPUT) para el protocolo (-p) TCP hacia los puerto (-- destination-port) de SSH (22) y Telnet (23): iptables -A INPUT -p tcp --destination-port 22 -j DROP iptables -A INPUT -p tcp --destination-port 23 -j DROP Mostrar la lista de cadenas y reglas: Es posible visualizar éstas utilizando el mandato iptables con las opciones -n, para ver las listas en formato numérico y -L, para solicitar la lista de éstas cadenas. iptables -nL Agregar iptables al arranque: chkconfig iptables on