�ݺ�ߣ

Alessandra Zullo
www.alessandrazullo.it
Information Gathering
Agosto 2016

Introduzione
Per information gathering si intende la fase di raccolta di dati effet-
tuata durante un penetration test.
Tale operazione ha l’obiettivo di raccogliere quante più informazio-
ni possibili circa l’avversario senza però effettuare alcun attacco attivo.
Si parla di intelligence gathering quando è usato un ragionamento
logico al fine di ottenere le informazioni desiderate.
Ad esempio se il CEO dell’azienda avversaria pubblica sui social mol-
te notizie riguardanti una determinata squadra di calcio allora la sua
password "potrebbe" essere il nome di tale squadra.
Si parla di open source intelligence gathering quando per raccoglie-
re le informazioni si utilizzano tecniche legali cioè si effettuano ricerche
web o ragionamenti logici sulle informazioni rivelate dai social, oppure
quando si effettuano attacchi a database o attacchi di social enginee-
ring.
Tutto ciò che sarà spiegato nel resto del documentoo è ai limiti del
legale.
Information Gathering disponibile su www.alessandrazullo.it

1. SYSTEM IDENTIFICATION
1 System Identification
L’operazione di information gathering è anche conosciuta come system
identification.
La prima informazione da raccogliere per l’identificazione di un sistema
è il dominio o l’indirizzo IP dell’avversario.
1.1 Informazioni disponibili pubblicamente.
Le informazioni che le compagnie di web server o web-hosting raccol-
gono e rendono disponibili pubblicamente possono dire molto circa un
determinato sistema.
La compagnia Netcraft, ad esempio, tiene traccia del tempo di vita
di un sistema effettuando delle query per memorizzare lo stato del
sistema.
Tali informazioni sono rese pubbliche sul sito www.netcraft.com.
Esempio
Nel seguente esempio si può notare che il risultato ottenuto dalla query
fornisce informazioni come titolo del sito, indirizzo IP, compagnia di
hosting, web server, sistema operativo, indice di rischio e tecnologie
utilizzate.
Figura 1: Esempio query su www.alessandrazullo.it

1.2 Identificazione del proprietario.
Dopo aver ottenuto l’indirizzo IP o il dominio dell’avversario è possibile
usare appositi tool/software per raccogliere informazioni circa il proprie-
tario del dominio.
Uno degli strumenti più utilizzati è Whois Lookup disponibile sia come
comando di Kali Linux sia tramite siti web.
Whois come comando di KALI: Lanciando la seguente stringa sul
terminale di Kali:
1 w h o i s nomedominio
è possibile ottenere informazioni preziose sul dominio come ad esempio
l’identita’ del proprietario e le sue informazioni di contatto (indirizzo
di casa o numero di telefono).
Perchè accade questo? Perchè durante la registrazione di un dominio
si è obbligati ad inserire informazioni circa l’identità del proprietario del
dominio (nome, cognome, indirizzo, cellulare ecc.); è possibile richiedere
il servizio "domains by proxy" che offre una registrazione privata che
permette di nascondere tali informazioni.
1.3 Identificazione dei servizi
L’identificazione dei servizi è un passo di cruciale importanza poichè
permette di ottenere tantissime informazioni circa il sistema.
Dapprima si può eseguire un ping per controllare se il sistema è attual-
mente attivo (in esecuzione).
Per effettuare il ping bisogna lanciare il seguente comando:
1 p i n g < nomeDominio OR i n d i r i z z o I p >
se la risposta è positiva allora significa che il sistema è attualmente in
esecuzione.

Figura 2: Esempio ping di www.google.com
Successivamente è possibile lanciare il comando traceroute per trac-
ciare il percorso compiuto dal pacchetto da quando parte dall’host
sorgente ﬁno a quando arriva all’host di destinazione. Grazie a tale
comando è possibile ottenere informazioni circa i computer presenti in
una rete, infatti se due o più host hanno indirizzi IP simili "forse" ap-
partengono ad una stessa rete.
Su Windows è possibile lanciare
1 t r a c e r t < nomeDominio OR i n d i r i z z o I p >
mentre su Linux il comando da lanciare è:
1 t r a c e r o u t e < nomeDominio OR i n d i r i z z o I p >

Figura 3: Esempio traceroute di www.google.com
1.4 DNS
Un’altra possibile modalità per la raccolta di informazioni è l’utilizzo di
un DNS Server che permette di ottenere maggiori dettagli circa un
dominio.
Un DNS(Domain Name System) Server non è altro che un sistema
che permette di tradurre un nome di dominio (facilmente leggibile dagli
umani) in un indirizzo IP.
Ogni dispositivo ha una lista di nomi di dominio a cui sono associati
i corrispondenti indirizzi IP; in tal modo l’utente può facilemente ri-
cordare i nomi di dominio e richiederli ogni qualvolta ne ha bisogno,
il dispositivo in maniera del tutto semplice leggerà il corrispondente
indirizzo IP nella lista.
Nslookup
Per ottenere informazioni circa un dominio è possibile lanciare il co-
mando:
1 n s l o o k u p nomedominio
E’ anche possibile ottenere informazioni circa il server mail utilizzato
dal sito; basta richiedere il record mx lanciando il seguente comando:
1 n s l o o k u p
2 s e t t y p e mx
3 nome d o m i n i o

Ci sono due modi per lanciare il comando nslookup:
1. Non interattivo: lanciando il comando nslookup nomeDominio
sarà restituito il corrispondente indirizzoIP associato a tale dominio;
2. Interattivo: lanciando il comando nslookup seguito da altri co-
mandi che servono per interrogare i determinati record.
Figura 4: Esempio: nslookup interattivo su www.alessandrazullo.it
Host
Un altro comando per l’interrogazione dei DNS è host che permette
di ottenere il nome del server associato al dominio passato come
argomento. Il comando da lanciare è:
1 h o s t − t ns nomedominio
dove
• t sta per type
• ns sta per nameserver
Figura 5: Esempio: host su alessandrazullo.it

1.5 Zone transfer
I DNS implementano uno spazio gerarchico dei nomi che permette di
distrubuire le informazioni relative alle associazioni tra nomi e indirizzi
IP su vari server DNS conosciuti anche com nameserver.
A ogni dominio della struttura gerarchica corrisponde uno o più name-
server.
Un singolo dominio è suddiviso in varie parti dette zone; ogni name
server è responsabile di una di queste zone.
Genericamente per ogni dominio vi è un name server primario che si
occupa di restituire le informazioni di reiferimento per poter contattare
i name server dei sottodomini di tale dominio.
Inoltre, per ogni name server primario, vi sono anche dei backup detti
name server secondari mantenuti aggiornati mediante il meccanismo
conosciuto come zone transfer.
Se un avversario può richiedere di ricevere un intero zone transfer per
un dominio allora può utilizzare tale informazione per capire la topo-
logia della rete della compagnia.
Per richiedere le informazioni di un zone transfer è possibile lanciare il
seguente comando:
1 h o s t − l nomeDominio n a m e S e r v e r
Vi sono due metodi comuni per rendere sicuro un zone transfer [1]1:
• Bind DNS access control list che consiste di una lista di indirizzi
IP a cui sono negati o permessi determinati servizi o query di
zone transfer. In particolare vi sono 4 opzioni permesse:
1. none: nessun indirizzo IP ha il permesso;
2. any: tutti gli indirizzi IP hanno il permesso;
3. localhost: tutte le macchine connesse all’host locale hanno il
permesso;
4. localnet: tutte le reti connesse alla rete locale hanno il
permesso.
E’ anche possibile utilizzare la funzione allow-transfer seguita da
una lista di host o di indirizzi IP che indica i dispositivi a cui è
1https://www.sans.org/reading-room/whitepapers/dns/
securing-dns-zone-transfer-868

ristretto l’accesso.
Il problema del Bind DNS access control list è che l’autenticazione
controlla solo l’indirizzo IP, per cui non è possibile evitare attacchi
di IP Spoofing.
• Transaction Signatures (TSIG) definita dal RFC 2845; è uti-
lizzato un segreto condiviso e una funzione hash one way per
autenticare i messaggi DNS (risposte e aggiornamenti).
In conclusione tramite uno zone transfer è possibile ottenere pagine
e pagine di DNS entry e da esse individuare eventuali vulnerabilita’.
Ad esempio leggendo infomazioni tipo mail.nomesito.com è possibile
rendersi conto che vi è un mail server che potrebbe essere in esecuzione
sulla porta 25 per SMTP o 110 per POP3.
Se si scopre che vi è in esecuzione un server mail è possibile effettuare
attacchi per l’identificazione delle username e password per accedere e
leggere le email contenenti informazioni sensitive dell’azienda.
1.6 Identificazione informazioni mediante indirizzo EMAIL
Un ottimo livello di sicurezza è ottenuto esponendo solo i servizi ac-
cessibili da remoto e necessari per il funzionamento del sistema (web
server, mail server, VPN server e altri come SSH o FTP); tali servizi
sono quelli più attaccati.
Un ottimo modo per ottenere le credenziali per l’accesso a tali servizi
è quello di sfruttare le informazioni associate agli indirizzi email dei
dipendenti o proprietari del sistema che si vuole hackerare.
E’ possibile utilizzare un tool scritto in Python chiamato the Harvester
che permette di perlustrare tramite un motore di ricerca tutte le infor-
mazioni associate ad un indirizzo email.
Il comando da lanciare è il seguente:
1 t h e h a r v e s t e r −d nomeDominio − l n u m e r o R i c h i e s t e −b
m o t o r e D i R i c e r c a ( a l l p e r p r o v a r e su t u t t i )

Figura 6: Esempio: ricerca email su microsoft.com
1.7 Banner Grabbing
Il banner grabbing è una tecnica che permette di ottenere informazioni
circa il sistema operativo o il server sottostante ad un sito. Esso con-

siste nel provare a connettersi mediante telnet o FTP.
I server FTP o telnet all’accesso mostrano dei messaggi testuali che
prendono il nome di banner; essi possono indicare chiaramente il servi-
zio in esecuzione; ad esempio connettendosi ad un server FTP anonimo
si ottiene il seguente risultato:
1 220 ProFTPD S e r v e r ( Welcome . . . ) "
"
in cui:
• 220 indica che il server è pronto ad accettare un nuovo utente
• ProFTPD indica che il server FTP in esecuzione
Mediante una ricerca (anche su un motore di ricerca) un utente ma-
lizioso potrebbe conoscere il sistema operativo o i requisiti di sistema
necessari per eseguire quello specifico server FTP.
E’ buona norma per l’amministratore di sistema attuare tecniche di
"spoofing" mostrando informazioni del tutto opposte a quelle reali, ad
esempio se si utilizza un sistema Unix si potrebbe impostare come ban-
ner un messaggio come il seguente "WS_FTP Server" ovvero il nome
di un server FTP basato su Windows.
1.8 Identificare i servizi tramite porte o protocolli
Una delle fasi fondamentali per la raccolta delle informazioni è l’iden-
tificazione dei servizi attivi che può essere fatta controllando il traffico
di rete, i protocolli e le porte utilizzate.
Netscat
Netstat è un tool che permette di conoscere i servizi (e le rispettive
porte) in esecuzione su un computer.
Lanciando il comando :
1 n e t s t a t −a
si ottiene una lista delle connessioni (TCP/UDP) attualmente attive sul
computer.

1.9 Port Scanning
E’ possibile individuare attacchi da effettuare ad un sistema mappando
la sua rete quindi ascoltando il traffico in uscita e in entrata.
NETCAT
Netcat è un tool che permette la lettura o la scrittura di dati attraverso
connessioni di rete; utilizza sia il protocollo TCP sia UDP. Lanciando
il comando:
1 nc h o s t p o r t
viene creata una connessione TCP sulla porta passata come argomento.
E’ possibile passare il flag c per specificare il comando da eseguire subito
dopo la connessione.
Per usare netcat è possibile lanciare il seguente comando:
1 nc −vv h o s t p o r t a
Nmap
Nmap è uno standard industriale per la scansione delle porte.
Oggigiorno i firewall e altri sistemi di prevenzione hanno fatto grandi
passi nel rilevare e bloccare la scansione del traffico per cui è possibile
che in alcuni casi che il risultato restituito sia nullo.
Quando Nmap non è bloccato da un firewall esso permette di ottenere
informazioni circa gli host attivi e permette di ascoltare il traffico di
una porta.
SYN Scan
Una connessione TCP inizia con un handshake composto da tre fasi:
1. SYN
2. SYN-ACK
3. ACK

Figura 7: Penetration Testing di Georgia Weidman
Una scansione SYN è una scansione TCP che non termina l’handshake
TCP; Nmap invia il messaggio di SYN e aspetta il messaggio di SYN-
ACK che gli arriva solo se la porta invocata è aperta, però non invia
mai il messaggio di ACK per completare la connessione.
Se il messaggio di SYN-ACK non arriva allora significa che la porta
non è disponibile oppure che è chiusa o che le connessioni sono filtrate
(cioè permesse solo a determinate macchine).
Grazie a tale handshake non completo Nmap capisce se la porta è
aperta senza doversi mai connettere alla macchina.
Per eseguire nmap bisogna lanciare il seguente comando:
1 nmap −sS r a n g e H o s t −oA f i l e L o g
dove i flag indicano:
• -sS: scansione SYN;
• -oA: il risultato sarà memorizzato nel file nominato fileLOG (se
omesso sarà stampato su stdout);
• rangeHost: range degli indirizzi da analizzare.
Figura 8: NMAP è possibile notare che le porte sulla VM sono
tutte chiuse, mentre in Windows vi è la porta 6646 attiva

NOTA BENE: il fatto che vi siano porte aperte non implica che
siano presenti delle vulnerabilità nel sistema.
E’ possibile conoscere i software in esecuzione sulle porte scansiona-
te; tale opzione risulta importante poichè grazie ad essa è possibile
confrontare i banner letti tramite una connessione con netcat con il
software indicato da nmap.
Tale risultato è raggiunto aggiungendo uno dei due seguenti flag:
• -sV: sono stampate tutte le informazioni possibili;
• -sT: è eseguita una scansione TCP completa.
Scansione UDP
Una connessione UDP è una connessione senza stato.
E’ possibile eseguire una scansione UDP tramite il flag -sU grazie ad
esso Nmap invia dei pacchetti UDP alla specifica porta.
Nel caso UDP quando è spedito un pacchetto se è ricevuta una risposta
allora la porta può essere considerata aperta; nel caso in cui la porta
è chiusa mentre si riceve un messaggio ICMP.
Nel caso UDP Nmap non è sempre in grado di capire se la porta è
chiusa o se è filtrata da un firewall, infatti in molti casi nel campo
STATE vi è open | filtered che indica che Nmap non è riuscito ad
individuare esattamente lo stato della porta.
Scansione di una specifica porta
E’ possibile impostare nmap in modo da scansionare il traffico di una
specifica porta; basta lanciare il comando
1 nmap −p n u m e r o P o r t a −sV − r a n g e H o s t
In alcuni casi, utilizzando il flag -sV la scansione richiesta è così potente
da mandare in crash il servizio scansionato (Esempio: sistemi SCADA).

1.10 Dmitry
Kali Linux mette a disposizione Dmitry grazie al quale è possibile
ottenere tutte le informazioni precedenti lanciando un unico comando:
1 d m i t r y w i n s e p f b nomedominio
dove:
• w sta per scansione whois;
• i sta per ricerca/risoluzione indirizzo Ip;
• n sta per i risultati ottenuti da netcraft;
• e sta per la ricerca degli indirizzi email;
• p sta per la scansione delle porte TCP;
• f sta per la scansione delle porte TCP con risultati stampati per
ogni porta;
• b sta per la ricerca dei banner testuali ottenuti alla connessione
ad una porta.

�ݺ�ߣ

Information Gathering

More Related Content

Information Gathering