Используйте другой адрес после каждых 20 запросов
Я использую Ubuntu 16.04 для запуска пентеста на веб-сайте клиента, используя metasploitмодуль HTTP-сканера.
После 20 запросов сервер, который я тестирую, блокирует мой IP-адрес и не позволяет мне продолжать мой тест методом перебора. Поскольку я в некотором временном кризисе, это довольно раздражающая проблема.
Есть ли способ проинструктировать мою систему подделывать IP-адрес источника (скажем, каждые 5 запросов) пакетов, чтобы я мог продолжить свой тест и обойти блокировщик? Если да, то как мне это сделать?
1 ответ
Нету. То, что вы просите, в буквальном смысле невозможно (для всех вменяемых намерений и целей, при условии нормальных ресурсов).
Из-за протокола TCP (который HTTP, и по доверенности metasploit, использует), изменение исходного IP-адреса не позволит серверу отправлять вам сообщения о состоянии HTTP.
Поэтому, даже если вы измените IP-адрес источника, он будет совершенно бесполезен для вас. Сервер вообще не сможет вам ничего сказать, и нет способа исправить эту конкретную проблему, кроме переизобретения TCP и / или HTTP.
Если вы на самом деле кем-то работаете в качестве внештатного пентестера, вы можете связаться с постоянным сисадмином, чтобы внести в белый список ваш тестовый IP-адрес.
Но, с точки зрения кибербезопасности, давайте копать немного дальше, потому что почему бы и нет.
- Перебор - ужасный способ проверить безопасность
Если вы тестируете безопасность, угадывая буквально любой возможный пароль, вы просто теряете время каждого. Пентестирование и обнаружение уязвимостей - это поиск проблем в коде, который позволяет обойти аутентификацию или иным образом связываться с системой. Никто реально не собирается перебивать большинство систем. - Если вы не можете его перебором, это безопасно!
См. Пункт 1. На самом деле, вы можете проверить "можно ли перебор паролей" из своего контрольного списка полностью. Если система блокирует пользователей после 20 неудачных попыток, это хорошо. Там достаточно безопасно. Никто не сможет угадать пароль за 20 попыток (кроме случаев, когда пароль действительно плохой). - Если вы можете проверить брутфорс поддельного источника, вы ищете не в том месте
Еще раз продолжение пункта № 1. Если вы просто ищете успешные входы в систему (что вы можете), у вас есть доступ к системе. И, следовательно, вы можете проверить реальные угрозы вместо угрозы, которая никогда не будет реально использована и уже исправлена (см. #2).
Мой совет: не пытайтесь подделать исходный IP. Найдите что-то еще, что представляет угрозу безопасности. Как раздача учетных данных по безопасности случайному человеку через Интернет с целью пентестирования.
Я имею в виду, конечно, постоянный злоумышленник может использовать Tor/ большое количество прокси-серверов, но это огромная трата ресурсов злоумышленника (см. #1, опять же) из-за того, что HTTP-перебор медленный. Вам необходимо сгенерировать POST для HTTP-сервера, подождать, пока он вычислит и построить веб-страницу, вернуть эту веб-страницу вам и затем обработать эту веб-страницу. Это не что иное, как атака на известный хеш, который вы используете локально, где вы можете тестировать тысячи значений в секунду.