Todos los que nos dedicamos a la seguridad y más concretamente a hacer Pentesting sabemos del poco tiempo que disponemos cuando nos ponemos a auditar la red de una empresa, todos acabamos haciendonos nuestros scripts o nuestros programitas (en la medida de lo posible) para conseguir automátizar cuantas más cosas mejor, para así disponer de más tiempo para aquellas que requieren sencillamente pararse a pensar y echarle imaginación.
Parace que lo mismo le ha sucedido a David Kennedy, ex-NSA, actualmente trabajando en la empresa SecureState, que ha desarrollado un script en python llamado Fast-Track que pretende automatizar algunas tareas muy interesantes a la hora de realizar un test de intrusión (de hecho fijaros en el nombre de la web, parecido al de esta).
Este script está ya en las manos de los usuarios de BackTrack, ya que Dave es colaborador habitual de esta distribución. Para utilizarlo sólo es necesario entrar en el directorio /pentest/exploits y lanzarlo con las opciones deseadas "-i" para modo interactivo por linea de comandos, "-g 80" para lanzar un servidor web al que conectar a http://localhost y seleccionar las opciones deseadas de forma gráfica.
(en otra ventana)
Además, en la web de Fast-Track existen excelentes tutoriales de demostración en video que muestran como utilizar cada una de las opciones de esta herramienta.
De entre todas ellas, a mi hay dos que me resultan especialmente interesantes, ya que realiza de forma automática la detección del sistema, selección de los exploits que le podrían afectar, y los prueba, lo que ahorra mucho tiempo:
Parace que lo mismo le ha sucedido a David Kennedy, ex-NSA, actualmente trabajando en la empresa SecureState, que ha desarrollado un script en python llamado Fast-Track que pretende automatizar algunas tareas muy interesantes a la hora de realizar un test de intrusión (de hecho fijaros en el nombre de la web, parecido al de esta).
Este script está ya en las manos de los usuarios de BackTrack, ya que Dave es colaborador habitual de esta distribución. Para utilizarlo sólo es necesario entrar en el directorio /pentest/exploits y lanzarlo con las opciones deseadas "-i" para modo interactivo por linea de comandos, "-g 80" para lanzar un servidor web al que conectar a http://localhost y seleccionar las opciones deseadas de forma gráfica.
# cd /pentest/exploits
# ./fast-track.py -g 80(en otra ventana)
# firefox http://localhostAdemás, en la web de Fast-Track existen excelentes tutoriales de demostración en video que muestran como utilizar cada una de las opciones de esta herramienta.
De entre todas ellas, a mi hay dos que me resultan especialmente interesantes, ya que realiza de forma automática la detección del sistema, selección de los exploits que le podrían afectar, y los prueba, lo que ahorra mucho tiempo:
- Fast-Track Autopwnage: Esta opción realiza de forma automática un escaneo de puertos con NMAP para posteriormente utilizar Metasploit, seleccionando únicamente los exploits adecuados a los puertos que se han descubierto como abiertos. Una forma muy rápida de encontrar agujeros directamente explotables a través de Metasploit.
- Fast-Track Mass Client Attack: Levanta un servidor web que, tras realizar un ataque MitM que deberemos realizar de forma manual, (otro día escribiré algo sobre eso) realiza una detección de la versión del navegador utilzada por el cliente y le develve en la contestación a su petición los exploits que podrían explotar vulnerabilidades de su navegador. En el ejemplo vemos como explota una vulnerabilidad y obtiene un acceso mediante VNC.
Sin duda una herramienta excepcional, que nos va a permitir agilizar mucho nuestro trabajo.
A disfrutarla!
Fuente: http://www.pentester.es/
Ingeniero, me gusta la cyberseguridad, la programación y el blockchain.
0 Notaciones:
Publicar un comentario