Kategorier
Metodik

Frågor vid beställning av penetrationstest

penetrationstest

Följande lista innehåller en hel del matnyttigt om vad som du som beställare bör tänka på vid upphandling eller beställning av ett penetrationstest:

  1. Vad är syftet med penetrationstestet? (Kunden måste själv förstå vad den beställer, något som inte alltid är fallet). Handlar det om compliance (kryssa i rutan ’pentest genomfört’), eller vill man hitta sårbarheter ’på riktigt’? Svaret på detta sätter nivån och ambitionen med testet
  2. Vill man testa ett specifikt system, en rad system, eller hela sin IT-miljö? (Kunden måste veta detta själv)
  3. Vill man testa system är det bra om man är villig att även lämna ut källkod
  4. Vill man testa sin IT-miljö behöver man ha klart för sig begränsningar med att pentesta en produktionsmiljö (ett pentest ger inte alltid bra svar på hur en ’riktig’ angripare skulle lyckas, eftersom man inte kan göra vad som helst i nätet)
  5. Vilken kompetens har pentestaren? Tidigare uppdrag, bakgrund, programmeringskunskaper?, använder man uteslutande köp-verktyg?
  6. Certifieringar (visar mest att någon velat satsa på personen i fråga, snarare än en indikation på kompetens)
  7. Hur skyddar pentestaren företagets data som oundvikligen blir exponerat om pentestet ’lyckas’?
  8. Vilken plattform utför pentestaren arbetet från? (sin egen windows-laptop / specifik dator med annat OS / annat?)
  9. Vad händer med insamlat material efter utfört arbete? (både digitalt och fysiskt)
  10. Hur rapporteras resultatet? Rapport, Föredragning
  11. Vad innehåller resultatet?
  12. Listning av sårbarheter? Angreppssätt? Förslag på åtgärder? Analyser? Slutsatser?
  13. Vem utför uppdraget? Seniorkonsulten som kommer på mötet, eller junioren som precis anställts?
  14. Hur ser pentestaren på blackbox/whitebox testning? (fråga att ställa leverantören) Rätt svar är att blackbox testar pentestarens skicklighet med liten möjlighet för kunden att värdera resultatet. Whitebox ökar möjligheten att även en inkompetent testare hittar något.

Vad tycker du, är det något viktigt vi har missat? Lämna gärna en kommentar nedan.

Kategorier
Metodik

Forcera WordPress-plugins

Med hjälp av verktyget dirs3arch och medföljande WordPress-plugindatabas är det lätt och enkelt att forcera samtliga plugins som CMS verktyget WordPress kan ha installerat.

Följande kommado startar en genomsökning med hela WordPress-databasen. Obs kan ta en stund

python3 dirs3arch.py -u http://www.target/wp-content/plugins/ -e php -w db/wordpress/wordpress-all-plugins.txt

Och då kan du se följande:

dirs3arch

dirs3arch kan du ladda hem här: https://github.com/maurosoria/dirs3arch

Kategorier
Metodik

Kali Linux med Vagrant

pentest-env

Ett bra tips är att automatisera Kali Linux med hjälp av Vagrant. På Github finns det ett projekt vid namn pentest-env som just tillhandahåller detta.

Så här gör du:

1. Installera Vagrant (och VirtualBox).

2. Klona hem repot: https://github.com/Sliim/pentest-env

3. Gå in i katalogen och skriv vagrant up

4. Logga in mot Kali Linux med kommandot vagrant ssh

Så enkelt är det att komma igång. Installationen är även persistent så det du skriver till Kali Linux sparas.