Kategorier
Nyheter

Sårbarhet identifierad i Metasploit

metasploit

Det är nästan lite komiskt när sårbarheter identifieras i säkerhetsverktyg som har som uppgift att utnyttja sårbarheter. Det har givetvis hänt många gånger förr men helt klart något som står ut i den annars vanliga strömmen med publicerade sårbarheter.

På följande sätt beskrivs en av två sårbarheter som nu uppdagats i Metasploit:

”When the cookie serialization setting is either Marshal or hybrid, a remote unauthenticated attacker with knowledge of the cookie signing key can craft session cookies that, upon Marshal deserialization, trigger the execution of arbitrary code.”

Detta är således mot Metasploits webbgränssnitt som RCE (Remote Code Execution) är möjlig för en obehörig användare. Och det beror vidare på att cookie signing-nyckeln är samma för samtliga installationer.

En angripare som nyttjar denna brist får rättigheter som användaren daemon.

Och givetvis så finns det redan en exploit i Metasploit för denna sårbarhet:

     Name: Metasploit Web UI Static secret_key_base Value
     Module: exploit/multi/http/metasploit_static_secret_key_base
   Platform: Ruby
 Privileged: No
    License: Metasploit Framework License (BSD)
       Rank: Excellent
  Disclosed: 2016-09-15

 

Som tur så används inte GUI:t som standard i exempelvis Kali Linux om du enbart använder msfconsole kommandot.

Kategorier
Metodik

Tänk på detta när du beställer ett penetrationstest

Att vara en bra beställare är viktigt för att uppnå effekt. För du som beställare har förväntningar och krav på olika former av leverabler, oftast i form av en rapport och muntlig genomgång.

När det gäller att vara en bra beställare av ett penetrationstest eller IT-säkerhetsgranskning så finns det några viktiga punkter att tänka på redan innan du beställer granskningen.

Vet du vilket system det är som ska testas och vilka avgränsningar och begränsningar finns det i testet? Jag rekommenderar oftast att testa mot skarpa system men något som i praktiken är svårt att genomföra. För det är inte alltid så att eventuella test-system är snarlika med produktionssystem.

penetrationstest

Sedan när du väljer företag så rekommenderar jag att kontakta 3-4 st olika och förse dessa med information om vad som ska testas och en ungefärlig uppskattning när det gäller tid.

De flesta tester nu för tiden är så kallade white-box tester där granskaren ges möjlighet att läsa på dokumentation eller källkod redan innan testet utförs. Detta är för att göra testet mer effektivt och således en kostnadsbesparing för beställaren. Motsatsen till white-box tester är blackbox-tester där ingen information annat än eventuellt IP-adress eller domännamn tillhandahålls till granskaren innan.

Kontrollera även vem som personen eller personerna är som ska utföra testerna och hur information hanteras under och efter testet. Används hårddiskkryptering och säker överskrivning av filer?

Ställ även gärna krav på punkter som ska ingå i rapporteringen såsom åtgärdsförslag, prioriteringslista och vilka verktyg som nyttjats. Även om penetrationstestare är supermänniskor så hjälper automatiserade verktyg en hel del på traven och kan identifiera sådant som enbart manuell granskning skulle identifiera.

Se till att det finns resurser avdelade för att stödja granskningen om eventuella frågor uppstår.

Jag är även förespråkare för att genomföra två tester, ett initialt test som kanske tar någon enstaka dag för att sedan följas upp med ett längre test på cirka 2 veckor. Givetvis kan man testa system hur länge som helst men någonstans måste en avvägning göras.

Om du har frågor om penetrationstester eller IT-säkerhetsgranskningar är du välkommen att kontakta mig, Jonas Lejon på Triop AB.

Kategorier
Linux

Kali Linux 2016.2

Kali Linux

Nu har en ny version av Kali Linux släppts. Denna nya version heter 2016.2 och är en ny grundinstallation i det nya release-systemet som går under namnet ”rolling”. Det betyder att det kommer färre nya versioner och pakethanteraren APT används istället för att hålla Kali uppdaterat.

Nytt i denna version är att du kan välja fönsterhanterare direkt vid nedladdning av ISO. Du kan välja mellan KDE, MATE, LXDE, e17, och Xfce.

Detta är så klart väldigt trevligt för oss som inte gillar Gnome.

Och så klart är även en mängd olika verktyg uppgraderade samt tillagda, och för att lista några stycken:

  • Lynis
  • wifiPhisher
  • snmpcheck
  • fruitywifi
  • Nmap
  • CeWL
  • Bettercap
  • GoBuster
  • whatweb
  • routersploit
  • xsser

För att se samtliga så finns det en changelog och här kan du ladda hem ISO direkt eller Torrent:

kali-rolling-2016-2-release3