La cassetta degli attrezzi: Parte 2°

Nello scorso articolo abbiamo analizzato gli strumenti base utilizzati dagli hacker ossia il Sistema Operativo e il terminale; oggi dedicheremo uno sguardo ad alcune delle applicazioni utilizzate soprattutto durante le fasi iniziali di un attacco scoprendo che alcune sono strumenti tutt’altro che segreti e misteriosi.

Browser

Potrebbe quasi sembrare un controsenso affermare che gli hacker sono obbligati ad usare molti programmi privi di interfaccia grafica e poi indicare come prima applicazione per l’hacking il browser web che stiamo utilizzando per leggere questo articolo, pubblicarlo su Facebook o su Twitter.

Il browser che sia Chrome Based, Firefox o Edge di Microsoft è lo strumento che l’hacker utilizza per avviare la fase di raccolta informazioni, la fase nella quale si cerca di identificare i possibili punti di accesso all’obbiettivo:

• sito web;
• ricerche di lavoro;
• profili social;
• profili social dei dipendenti;
• portali di login;
• contenuti etc etc…

Tutte le attività elencate e le numerose altre che potrebbero aggiungersi alla lista sono svolte attraverso le normali ricerche per parole chiave, ma anche attraverso l’uso dei Google Dork, ossia una specifica sintassi utilizzata per raffinare le ricerche.

Ad esempio la ricerca svolta digitando site:example.com inurl:/admin/login cerca le pagine del sito example.com che contengono nell’URL (il loro indirizzo) l’espressione che corrisponde alla pagina di login dell’amministratore.

Motori di Ricerca Alternativi

Se si utilizza un browser, è inevitabile sfruttare la potenza dei motori di ricerca come Google e Bing, ma esistono anche altre tipologie di motori di ricerca che indicizzano oggetti ben specifici.

In primis Google Maps e simili che possono aiutare a fare sopralluoghi delle strutture da attaccare senza doversi recare sul posto.

Poi ci sono i motori di ricerca professionali per il marketing che scandagliano il web alla ricerca dei contenuti pubblicati dagli utenti; sono strumenti costosi utilizzati per definire i trend in determinate zone e creare campagne pubblicitarie sempre più mirate e quindi raccolgono i dati che i Social gentilmente mettono a loro disposizione, i vostri dati, anche se avete disattivato la geolocalizzazione.

Infine ci sono strumenti come Shodan che indicizzano non le pagine web come fa google, ma i dispositivi connessi alla rete come IoT e telecamere di sicurezza.

Whois

Rimanendo nel campo della “tecnologia” senza invadere quello del Social Engineering, l’hacker avrà scoperto un sito internet e vorrà scoprire quante più informazioni su quel sito utilizzando un applicazione chiamata whois disponibile su qualsiasi terminale, ma anche online.

Il Whois, letteralmente “who is” ossia “chi è” è una applicazione che richiede alle organizzazioni che gestiscono i domini di primo livello (TLD o Top level Domain, quindi .com, .ch , .it e cosi via.) le informazioni relative al sito richiesto.

Digitando in un terminale “whois apple.com” si otterrà:

Domain Name: apple.com
Registry Domain ID: 1225976_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.corporatedomains.com
Registrar URL: www.cscprotectsbrands.com
Updated Date: 2022-02-16T01:15:06Z
Creation Date: 1987-02-19T00:00:00Z
… omissis …
Registrant Name: Domain Administrator
Registrant Organization: Apple Inc.
Registrant Street: One Apple Park Way
Registrant City: Cupertino
Registrant State/Province: CA
Registrant Postal Code: 95014
Registrant Country: US
Registrant Phone: +1.4089961010
Registrant Phone Ext:
Registrant Fax: +1.4089741560
Registrant Fax Ext:
Registrant Email: domains@apple.com
… omissis …
Tech Phone: +1.4089961010
Tech Phone Ext:
Tech Fax: +1.4089741560
Tech Fax Ext:
Tech Email: apple-noc@apple.com
Name Server: c.ns.apple.com
Name Server: d.ns.apple.com
Name Server: b.ns.apple.com
Name Server: a.ns.apple.com

Nessuna di queste informazioni è sufficiente per realizzare un attacco, tuttavia poter recuperare numeri di telefono, email, nomi di amministratori può aiutare un hacker ad individuare il punto in cui colpire.

DNS Lookup

Altri strumenti fondamentali sono i tool (dnsenum o altri) che permettono di cercare informazioni sui DNS, Domain Name Server, in parole molto semplici a rivelare gli indirizzi delle macchine (host) che ospitano un sito internet, piuttosto che un server di posta.

“dnsenum example.com” fornirà il risultato:

dnsenum VERSION:1.2.6
—– example.com —–

Host’s addresses:
example.com. 42269 IN A 93.184.216.34

Name Servers:
a.iana-servers.net. 1160 IN A 199.43.135.53
b.iana-servers.net. 1305 IN A 199.43.133.53

Mail (MX) Servers:

I numeri rappresentano i server che ospitano vari servizi di una organizzazione e quindi le macchine da rendere bersaglio dei propri attacchi.

Ping

Prima di poter studiare, indagare e alla fine attaccare queste macchine bisogna verificare che siano effettivamente attive e raggiungibili, perché le informazioni raccolte potrebbero non essere attuali. Il metodo più semplice e veloce è quello di utilizzare il tool “ping” che invia un semplice messaggio al server. In base al tipo di risposta ricevuta si potrà comprendere, se il server è raggiungibile, se non è raggiungibile e anche se esistono apparati o configurazioni che ci impediscono di indagare.

Digitando “ping -c 5 example.com” si invieranno 5 messaggi e si otterranno 5 risposte:

ping -c 5 example.com
PING example.com(2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946)) 56 data bytes
64 bytes from 2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946): icmp_seq=1 ttl=50 time=91.8 ms
64 bytes from 2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946): icmp_seq=2 ttl=50 time=91.7 ms
64 bytes from 2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946): icmp_seq=3 ttl=50 time=94.0 ms
64 bytes from 2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946): icmp_seq=4 ttl=50 time=91.9 ms
64 bytes from 2606:2800:220:1:248:1893:25c8:1946 (2606:2800:220:1:248:1893:25c8:1946): icmp_seq=5 ttl=50 time=92.6 ms
— example.com ping statistics —
5 packets transmitted, 5 received, 0% packet loss, time 4005ms
rtt min/avg/max/mdev = 91.730/92.403/93.973/0.843 ms

Adesso un hacker ha trovato il suo obbiettivo e nel prossimo episodio scopriremo quali applicazioni sfrutterà per attaccarlo.

Header Photo by Tekton on Unsplash