Re: Penetration test

On Tue, Apr 10, 2001 at 04:42:54PM +0200, walter valenti wrote:
> Quali sono i passi fondamentali per effettuare un penetration test??

E' impossibile schematizzare, ma cercando di farlo lo stesso
si ottiene una cosa molto script-kiddies-like.
Tuttavia puo' essere di qualche utilita' per chi non
ha nessuna esperienza:

0) Farsi firmare una liberatoria.
1) Valutare il livello di dettaglio del penetration test
2) Tentare di ottenere piu' informazioni possibili sui processi
   in esecuzione sulla macchina target, sul tipo di processore,
   sistema operativo, ...
3) Tentare di ottenere un accesso migliore alla macchina sfruttando
   delle trusted relationships e/o attaccando altre macchine in
   qualche modo connesse a questa, o sfruttando dei problemi
   nel firewalling o qualcosa del genere.
4) Controllare se ci sono cattive configurazioni sui programmi che
   girano sul target che permettono un qualche tipo di attacco.
5) Controllare se ci sono vulnerabilita' conosciute sui programmi
   che girano sul target.
6) Esaminare il codice sorgente dei programmi per cui non esistono
   vulnerabilita' note tentando di scovarne di nuove.
7) Cercare di sommare (se necessario) le vulnerabilita' trovate
   nelle fasi 4, 5 e 6 per creare attacchi potenti da quelli semplici
8) Tentare l'attacco
9) In caso di riuscita: prendere uno screenshot o qualcos'altro
   da fornire al cliente come prova.

ciao,
antirez

-- 
Salvatore Sanfilippo <antirez@invece.org>
http://www.kyuzz.org/antirez
finger antirez@tella.alicom.com for PGP key
28 52 F5 4A 49 65 34 29 - 1D 1B F6 DA 24 C7 12 BF

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List