Ma a volte non è necessario scaricare nulla, basta usare le risorse di Windows.
Esiste infatti una utility di Windows che permette di fare le stesse cose di DriverView, ovvero visualizzare la lista dei driver con relativa versione, utility già installata e disponibile dalla linea di comando.

Sto parlando di Driverquery. Questo programma permette di visualizzare la lista dei driver installati sul proprio computer o su di un computer remoto. Offre la possibilità di salvare il risultato in diversi formati:

• Tabella: Quattro colonne, “Nome modulo”, “Nome visualizzato”,  “Tipo di driver” e “Data collegamento”

• Lista: In questa modalità l’output è organizzato in righe, dove le informazione relative ad ogni singolo driver sono mostrate una sotto l’altra, le quattro colonne della modalità tabella diventano quattro righe.

• CSV: Formato “Comma Separated Values”, valori separati da virgola, formato utile se si vuole importare la lista in un foglio di calcolo (o in un database) per successive elaborazioni.

Con Driverquery chi non si spaventa della linea di comando si trova a disposizione uno strumento assai utile sia per la diagnostica, sia per la raccolta di informazioni nella fase post-exploit.

Usarla è semplice, basta aprire il prompt dei comandi e digitare driverquery. Se non si specificano opzioni il programma presenta l’output in formato tabella. Per cambiare il tipo di output si utilizza l’opzione /FO, specificando di seguito il tipo di formato richiesto, “TABLE”, “LIST” o “CSV”. Utilizzando il carattere > è possibile reindirizzare l’output in un file.

Per accedere ad una macchina remota si deve usare l’opzione /S e specificare il nome (o l’indirizzo) del sistema a cui ci si vuole collegare; bisogna inoltre specificare il nome utente (/U) e la password con l’opzione /P. Quest’ultima opzione può essere omessa: sarà il sistema a chiederla al momento dell’accesso.

Segnala presso:

Il problema potrebbe essere causato da un malware o da un problema di configurazione di un software, di un servizio, di un driver.
Una volta raccolte le informazioni è possibile iniziare a studiare la situazione e individuare le cause del problema.

Un software che può aiutare enormemente in questo compito è WinAudit.

WinAudit è un programma freeware dalle ridottissime dimensioni (830KB) che in pochi secondi setaccia il computer e compila un completo report di ogni aspetto del sistema.

Ecco alcune delle informazioni che WinAudit raccoglie:

• Descrizione sistema
• Programmi installati
• Periferiche
• Impostazioni sicurezza
• Log di sistema
• Impostazioni networking
• Dischi
• Processori
• Memoria
• Servizi
• Programmi in esecuzione
• Porte aperte

Una volta che il report è stato creato può essere salvato in diversi formati:

• Testo
• Pdf
• Html
• Xml
• Excel

Inoltre le informazioni possono essere memorizzate in un database.
Un’ultima parola su WinAudit: è compatibile con tutte le versioni di Windows dal 95 a Vista e non necessita di installazione.

Un programma versatile, dalle dimensioni ridotte, dalla compatibilità universale e perdippiù gratuito non può mancare alla mia raccolta di utilities sul pen-drive.

Segnala presso:

In questo articolo illustro un paio di strumenti e una tecnica che possono aiutarvi a scoprire il tipo di file, con e senza estensione, o file camuffati, tipo immagini con estensione .dll o .exe.

Se avete un file dall’estensione sconosciuta e non sapete come aprirlo consiglio di usare http://filext.com/. E’ un sito che contiene un database ricchissimo di estensioni.

Inserendo l’estensione che cerchiamo nel campo di ricerca in alto a sinistra, otteniamo una serie di informazioni che possono aiutarci a identificare il file. Le informazioni sono abbastanza esaustive e vanno a spiegare checos’è ilfile, il tipo MIME, le eventuali applicazioni in grado di leggerlo.

Questo per quanto riguarda i file con estensione sconosciuta. Potrebbero esserci altri casi però. File senza estensione per esempio. Oppure file alla quale l’estensione è stata deliberatamente modificata.

Una tecnica artigianale per scoprire di che tipo di file si tratta un file senza estensione è quella di aprirlo con un editor esadecimale (come WinHex, ma anche PsPad permette di aprire file in esadecimale) e identificarne la firma. Cos’è la firma di un file? E’ la sequenza dei primi caratteri.
Per esempio, se ad un eseguibile (.exe) viene modificata l’estensione in .jpg, cercando di travestire il file in un’immagine, la firma rimane quella di un file eseguibile, ovvero 4D 5A, i primi caratteri che compaiono in tutti i file eseguibili. Unjpg avrebbe dovuto avere come firma FF D8 FF.
Per ottenere le firme dei file si può usare ancora http://filext.com/: tra le informazioni sui file c’è anche la firma (Identifying Characters).

Questo principio è stato ampliato da Marco Pontello che ha realizzato un software in grado di riconoscere i file analizzandoli e cercando, oltre alla firma, altre caratteristiche comuni a quel tipo di file. I fileexe hanno particolarità che non si trovano nei file mp3 o doc, e così via.

Il programma creato da Pontello è TrID file identifier ed è un programma da linea di comando. Esiste anche una versione con interfaccia grafica Tridnet. Infine c’è anche una versione online, utilizzabile dal browser:TrID Online.

Analizzare i file con TrID è semplicissimo: si passa al programma il file da analizzare e TrID mostra una (o una serie di)  possibilità, il cui valore è dato da una percentuale. Più la percentuale è alta più l’identificazione è precisa. Se prendete un’immaginepng e la rinominate .exe TrID non ci casca, mostrerà comunque il reale tipo di file ovvero immagine png.

Segnala presso:

La suite PsTools oggi reperibile sul sito Microsoft Technet è un insieme di comandi per l’amministrazione di Windows ispirati al comando ps di Linux. Uno dei comandi più potenti è psexec, un programma che permette di eseguire programmi da remoto su una macchina di cui si ha l’accesso.

Con psexec si può accedere alla shell di Windows con molta semplicità: basta digitare il comando seguito dal nome del computer, il nome utente (con l’opzione -u), la password (opzione -p) e il comando da eseguire. Per esempio, io seguente comando:

psexec \\192.168.132.128 -u administrator cmd.exe

apre una shell di Windows con la quale interagire da remoto:

PsExec v1.94 - Execute processes remotely
Copyright (C) 2001-2008 Mark Russinovich
Sysinternals - www.sysinternals.com
 
Password:
 
Microsoft Windows XP [Versione 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
 
C:\WINDOWS\system32>

PsExec è utile in diversi scenari:

• Amministrazione: con psexec si possono fare tutte le cose che si possono fare con la linea di comando. Se avete una rete con diversi computer è il modo più semplice per accedere ai vari sistemi senza dover installareVNC o altri software di accesso remoto.

• Hacking l’hacker può accedere alla shell sfruttandola come backdoor, dopo avere ottenuto un accesso abusivo tramite il cracking degli account scoperti con la Null Session , oppure dopo essere riuscito ad entrare tramite un exploit, il recupero del SAM database e il cracking delle password.

Con PsExec è possibile anche caricare un programma prima di eseguirlo utilizzando l’opzione -c nomeprogramma.

Cosa ci si può fare?

• Spegnere il computer da remoto: con il comando shutdown (shutdown -s -t 0 per esempio).

• Aggiungere/Rimuovere utenti: con il comando net user.

• Avviare/Fermare servizi: con net start/stop.

Segnala presso:

Questa caratteristica di netcat può essere utile in diversi casi. Può essere il modo più semplice e veloce per passare file tra due computer senza dover attivare condivisioni o installare servizi. Oppure durante un penetration test o durante un’intrusione può essere molto utile portare velocemente sul computer sotto attacco  trojan, rootkit o altri strumenti; oppure può essere necessario esfiltrare file senza lasciare tracce nei log. Un altro punto forte di questa tecnica è la diffusione di netcat sulle macchine Unix/Linux. Se si deve portare dei file su un Linux in rete senza troppi problemi si può utilizzare netcat.

La tecnica è abbastanza semplice: si usano due netcat, uno sulla macchina sorgente e uno sulla macchina di destinazione. Quest’ultimo avrà la funzione di server.

Netcat può agire come server. Questo significa che può mettersi “in ascolto” su di una porta Tcp e attendere una connessione. Per attivare questa funzione bisogna specificare sulla riga di comando il parametro -l (listen) e specificare la porta (-p):

nc -l -p 9999 -vv > miofile

Questo comando mette netcat in ascolto sulla porta 9999; l’output viene reindirizzato al file miofile tramite il simbolo >.

Questo significa che tutto quello che netcat riceverà sulla rete attraverso la porta 9999 verra memorizzato in un file di nome miofile. Sia il valore della porta (in questo caso  9999), sia il nome del file (miofile), sono arbitrari, possono essere qualsiasi cosa.

Mentre sul server netcat “ascolta”, sulla macchina sorgente, ovvero sulla macchina sulla quale è memorizzato il file da trasmettere al server, dovremo usare unnetcat in modalità client per inviare i dati del file da trasferire:

nc 127.0.0.1 9999 -vv < miofile

Con questo comando invio il file “miofile” tramite la redirezione dell’input ottenuta con il simbolo < all’host 127.0.0.1, ovvero il computer sul quale netcat è in “ascolto”, sulla porta 9999. In questo esempio ho utilizzato l’indirizzo del computer locale (127.0.0.1), ma nella realtà naturalmente l’indirizzo dovrà coincidere con l’Ip reale del computer server. Ovvero se il computer sul quale netcat è in ascolto in modalità server è 192.168.0.1, nel netcat in modalità client dovrò indicare proprio questo indirizzo.

Un’ultima considerazione: netcat non fornisce un indicatore di progresso del trasferimento in corso; per sapere quando il trasferimento stesso è terminato occorre controllare con il comando dir ols le dimensioni crescenti del file.

Questo articolo fa parte della serie “Le 7 Vite di Netcat“. Potrai trovare altre informazioni su Netcat negli altri articoli della serie:

• Leggere gli header HTTP e le pagine Web con Netcat

• Leggere la posta elettronica con Netcat

• Inviare email con Netcat

• Netcat come scanner

• Trasferire file con Netcat

• Creare una backdoor con Netcat

• Back Channel con Netcat

Segnala presso:

Ma netcat si differenzia da telnet, può essere utilizzato anche per compiti più complessi di una connessione ad un servizio Tcp. A partire da questo articolo e nei prossimi vedremo degli esempi del potenziale di netcat.

Dicevamo, netcat come scanner. Certo non si può paragonare a nmap, ma nel suo piccolo può essere utile, per un veloce controllo delle porte Tcp di un host.

Vediamo come fare. Nell’esempio faccio una scansione del mio PC:

nc -vv -w2 127.0.0.1 130-140

questo comando effettua la scansione in sequenza delle porte Tcp da 130 a 140. Dell’opzione -vv ho già detto negli articoli precedenti; -w2 indica il tempo espresso in secondi di attesa della risposta; poi viene l’indirizzo Ip dell’host e la serie di porte. Ecco il risultato:

C:\Documents and Settings\angelor>nc -vv -w2 127.0.0.1 130-140

localhost [127.0.0.1] 140 (?): connection refused
localhost [127.0.0.1] 139 (netbios-ssn): connection refused
localhost [127.0.0.1] 138 (?): connection refused
localhost [127.0.0.1] 137 (netbios-ns): connection refused
localhost [127.0.0.1] 136 (?): connection refused
localhost [127.0.0.1] 135 (epmap) open
net timeout
localhost [127.0.0.1] 134 (?): connection refused
localhost [127.0.0.1] 133 (?): connection refused
localhost [127.0.0.1] 132 (?): connection refused
localhost [127.0.0.1] 131 (?): connection refused
localhost [127.0.0.1] 130 (?): connection refused

E’ possibile anche randomizzare l’ordine delle porte; per farlo si utilizza l’opzione -r.

Questo articolo fa parte della serie “Le 7 Vite di Netcat“. Potrai trovare altre informazioni su Netcat negli altri articoli della serie:

• Leggere gli header HTTP e le pagine Web con Netcat

• Leggere la posta elettronica con Netcat

• Inviare email con Netcat

• Netcat come scanner

• Trasferire file con Netcat

• Creare una backdoor con Netcat

• Back Channel con Netcat

Segnala presso:

La tecnica di cui voglio parlare consente di evitare di trovarsi ad un certo punto con un computer instabile, e non avere la minima idea di dove mettere le mani o dove iniziare a guardare per trovare un rimedio.

L’idea è semplice: eseguiamo periodicamente dei task di manutenzione e registriamo dei report sullo stato del sistema. In caso di problema basterà confrontare lo stato attuale con l’ultimo stato in cui il sistema era stabile.

Questo confronto potrebbe mostrare discrepanze (un driver nuovo, un programma in autorun che prima non c’era…) che potrebbero essere utili per diagnosticare il problema con precisione.

Di seguito presento alcuni programmi: i primi due servono per la manutenzione ordinaria e per  evitare che il sistema si appesantisca o rallenti; gli altri cinque servono per monitorare vari aspetti del sistema e produrre periodicamente report da conservare e utilizzare in caso di sopravvenuta instabilità per cercare la causa del problema.

Programmi per la manutenzione:

1. CCleaner
CCleaner è un programma per ottimizzare il sistema ed eliminare le tracce di attività (navigazione, file consultati). E’ in grado di rimuovere file non utilizzati, rendendo il sistema più veloce e liberando spazio su disco.
http://www.ccleaner.com/

2. Defraggler
Ottimo programma per “defraggare” il disco. Ha la particolarità di permettere il defrag di file singoli e non solo dell’intero disco. Eseguendolo periodicamente si mantiene l’hard disk in perfetta efficienza.
http://www.defraggler.com/

Programmi per il monitoraggio:

3. Autoruns
Questo programma visualizza tutti i programmi che partono automaticamente all’avvio del computer. Il programma visualizza i file nell’ordine in cui vengono eseguiti, cercandoli nella cartella di esecuzione automatica e nel registro (Run, RunOnce e altre chiavi).
http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx

4. CurrPorts
CurrPorrs visualizza la lista di tutte le connessioni Tcp/Ip aperte. Per ogni porta vengono visualizzate le informazioni riguardo al processo che ha aperto la porta e il path completo del file.
http://www.nirsoft.net/utils/cports.html

5. DriverView
DriverView  visualiza la lista dei driver caricati in memoria, mostrando l’indirizzo in memoria, il nome la descrizione e la versione del driver.
http://www.nirsoft.net/utils/driverview.html

6. MyUninstaller
MyUninstaller è un programma alternativo alla gestione delle installazioni del Pannello di Controllo di Windows. La caratteristica che più ci interessa (come gli altri programmi presentati in questa lista) è la possibilità di salvare un report con l’elenco dei programmi installati, con relative informazioni utili (nome, descrizione, data installazione, versione…)
http://www.nirsoft.net/utils/myuninst.html

7. Process Explorer
Process Explorer è un programma alternativo al Task Manager di Windows, ma molto più completo. Mostra la lista dei processi attivi in memoria, le DLL e gli handlers aperti dai processi, il path del programma associato al processo. Anche con Process Explorer è possibile salvare la lista dei processi e creare un report da conservare.
http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx

Segnala presso:

Alcuni benefici dell’identificazione dei sitemi li svela Fyodor nell’introduzione al suo nmap. L’identificazione può essere determinante per capire se un sistema è vulnerabile o meno a un attacco; l’identificazione della precisa versione di un software può determinare l’esito dell’esecuzione di un exploit.

Inoltre l’identificazione dei sistemi può essere utile anche agli amministratori di grandi reti per effettuare un inventario dei software installati, o per rilevare dispositivi non autorizzati.

Infine le informazioni raccolte con questi strumenti possono servire da supporto ad un attacco di social-engineering, dove un’informazione estremamente dettagliata può sostenere e consolidare la credibilità dell’hacker.

1. Amap
Effettua il fingerprinting delle applicazioni, identificando i protocolli indipendentemente dalla porta TCP/UDP sui cui sono in esecuzione.

2. BrowserRecon
Riconosce il tipo di browser da remoto, anche se lo User-Agent è modificato (con User Agent Switcher per esempio)

3. Ettercap
Molto più di uno strumento di fingerprinting, Ettercap è in grado di sniffare dati, effettuare attacchi man-in-the-middle in LAN. Tra l’altro è in grado di effettuare OS fingerprinting e analisi del MAC address

4. Httprecon
HTTP fingerprinting. Riconosce un web server anche se questo viene mascherato (con mod_security per esempio)

5. Httprint
Come Httprecon; se non ricordo male è stato il primo a fare HTTP fingerprinting

6. Nmap
Il principe degli scanner implementa l’OS fingerprinting attivo dal ’98. Nel 2006 è stato sostituito l’engine con una nuova versione più potente. Ottimo strumento per riconoscere un sistema operativo da remoto

7. Nmap Online
Un Nmap online con interfaccia web. Può sempre tornare utile.

8. p0f
Creatura del perfido Michal Zalewski, il primo software di passive OS fingerprinting

9. SinFP
Modulo Perl multi-piattaforma per effettuare il riconoscimento attivo e passivo.

10. XProbe2
Altro potente software per il fingerprinting attivo

Segnala presso:

Di Netcat ho già parlato a proposito degli header HTTP. Qui approfondirò l’argomento con una serie di esempi pratici.

Ricordo che Netcat è disponibile praticamente per tutte le piattaforme. Su Linux spesso è installato di default, per invocarlo basta scrivere nc dalla linea di comando. Esiste una versione per Windows installabile a parte.

In questa serie coprirò i seguenti argomenti:

• Leggere gli header HTTP e le pagine Web
  Utilizzare Netcat per navigare in Internet! Non proprio, però è possibile recuperare pagine web e manipolare gli header HTTP.

• Leggere la posta elettronica con Netcat
  Accedere alla casella postale tramite protocollo POP3. Utile e comodo, per esempio per cancellare lo spam prima di scaricare la posta con il client.

• Inviare email con Netcat
  Antico cavallo di battaglia degli hacker anni ’90. inviare email da linea di comando!

• Netcat come scanner
  Certo non è il suo lavoro e non può competere con Nmap, ma può fare anche questo

• Trasferire file con Netcat
  Altra chicca di Netcat: trasferire file tra computer tramite rete, basta due Netcat, uno di quà e uno di là

• Creare una backdoor con Netcat
  Andiamo sull’hackeresco: attacchiamo una shell ad una porta tcp e accediamo da remoto

• Back Channel con Netcat
  Se la montagna non và da Maometto, Maometto và alla montagna. Se il firewall non ci permette di collegarci alla backdoor, facciamo che sia la backdoor a collegarsi a noi!

Chi ha voglia di dirvertirsi un po’ col vecchio arnese tuttofare rimanga sintonizzato su PillolHacking.Net nei prossimi giorni per scoprire le sette vite di Netcat

Segnala presso:

Anzi, non solo MD5 ma anche NTLM, MySql e SHA1. La lista proviene dal blog di raz0r, un hacker russo: per questo motivo alcuni di questi indirizzi portano a risorse in lingua russa (ma c’e’ anche la versione inglese). In assenza della versione inglese si può sempre ricorrere a Google Translate.

• http://tmto.org/
  MD5, SHA1

• http://hashcracking.info/
  Accesso tramite SSL; MD5, SHA1, MySql

• http://passcracking.ru/
  MD5, SHA1, Mysql

• http://hashcrack.com/
  Windows, Mysql, MD5, SHA1

• http://hash.insidepro.com/
  MD5, NTLM. Si possono inviare fino a 50 hash alla volta

• http://gdataonline.com/
  MD5

Se li provate lasciate un commento per indicare pregi e difetti dei vari servizi.

Segnala presso: