Hay artesanía y artesanía.
Técnicamente, interceptar el tráfico HTTP GET / POST para modificar los valores internos antes de enviarlos al servidor es la creación de paquetes. En ese caso, podría usarse para verificar que la seguridad no solo se “imponga” en el lado del cliente. Si veo que el tráfico sale de mi navegador con una cookie o un parámetro que dice “admin = 0”, puede estar seguro de que lo intentaré con el administrador configurado en 1.
Ahora, crear paquetes desde cero (marco de ethernet, datos de IP, datos de tcp / udp, etc.) le brinda más granularidad. Es útil cuando quieres ver si las cosas se rompen cuando les hablas de una manera extraña. Supongamos que detecta un dispositivo de red que maneja el tráfico de Vlan. ¿Qué sucede si cambias la etiqueta? ¿Qué sucede si envía paquetes fragmentados de una manera extraña? Érase una vez que se podía pasar por alto un cortafuegos fragmentando los paquetes de tal manera que ninguna de las partes activaría las reglas, pero si juntaba ambas partes, la política debería haber bloqueado si se hubieran enviado en un solo paquete. También puede hacer su propio escáner web / exploit utilizando paquetes especialmente diseñados para verificar si los objetivos son vulnerables.
- ¿Cuáles son los antecedentes necesarios que necesito para comenzar un curso de pruebas de penetración, siempre que todavía sea un programador novato?
- ¿Qué curso debo tomar, CISA, CISM o CISSP, si quiero hacer ciberseguridad? Donde lo hago
- ¿Qué tan fácil o difícil es para los estudiantes indios conseguir un trabajo después de hacer una maestría en seguridad cibernética en una universidad de los Estados Unidos?
- ¿2017 será el año más grande del ransomware hasta ahora? ¿Por qué puede ser esto cierto? ¿Qué medidas pueden tomar las organizaciones para mejorar la seguridad?
- ¿Cuál es el estado actual del arte en la investigación de malware?
Otra cosa que se me ocurre es la exfiltración de datos y el sigilo general. Si trabaja asumiendo que su objetivo tiene un especialista en seguridad paranoico que mantiene su teléfono cerca y siempre está listo para entrar en caso de que su IDS / IPS comience a quejarse de que el enemigo está en la puerta (o ya está dentro), entonces quiere volar por debajo del radar. ¿Cómo haces eso? Puedes aprovechar el tráfico de otra persona (pero eso requiere una infraestructura ya existente) o puedes tratar de hacerte discreto al quedarte con la multitud. Si veo una gran cantidad de tráfico que sale de una subred específica durante el horario de oficina (por ejemplo, muchos desarrolladores navegan por el stackoverflow), entonces siempre puedo intentar ocultar algo de tráfico creando paquetes para que:
- Parece que provienen de la misma subred
- Parece que se ejecutan las solicitudes DNS de fábrica para algún subdominio stackoverflow o https.
- Contiene datos que quiero exfiltrar.
Ahora, dependiendo del tipo de arquitectura de seguridad, esto podría explotar fácilmente, por lo que podría querer usar algo completamente diferente. Tal vez…
¡Paquetes de ping hechos a mano!
Esos son bastante fáciles de hacer y le permiten enviar datos por cable mientras los oculta como tráfico ICMP simple.
Si controlo un enrutador, también podría interceptar y reescribir el tráfico SNMP para que el administrador no crea que algo anda mal (no, no he estado enviando 50 gigas de IP por el cable, sigue caminando, nada que ver aquí).
Esto no es más que una simple descripción de lo que se puede hacer y estoy seguro de que otras respuestas cubrirán muchas más posibilidades. La conclusión principal es que si puedes crear paquetes, obtienes acceso a muchas más cosas que pueden romperse o comportarse de una manera que no deberían. También puede mentirle al equipo de monitoreo, pero es mejor que mantenga sus mentiras consistentes, de lo contrario las cosas saldrán mal.
